新闻快讯
< >

1.23亿美国家庭敏感数据泄露,谁该为AWS S3配置错误买单?

E安全12月21日讯 网络安全公司UpGuard 发表博文称,该公司网络风险研究主管克里斯-维克里于2017年10月6日发现——美国加州数据分析公司Alteryx的因亚马逊AWS S3存储桶简单的配置错误问题,导致1.23亿美国家庭的敏感数据泄露。

1.23亿美国家庭数据在线泄露,又是亚马逊AWS S3配置错误-E安全

数据泄露范围

Alteryx公司泄露的这些数据,涉及美国家庭的住址、联系信息、偏爱的宠物等,数据详细到包括抵押所有权和财务状况以及购买行为的详细分析,这些暴露的数据反映出美国消费者的真实生活。

涉Experian和美国人口普查局的数据

此存储库中暴露的大量数据属于Alteryx的合作伙伴美国征信巨头Experian和美国人口普查局(US Census Bureau)2010年的普查数据。虽然人口普查数据由公开访问的统计数据和信息组成,但Experian 面向企业的可出售的ConsumerView 营销数据库中,除了公共数据还包含敏感数据。这些暴露的数据泄露了几十亿“个人识别信息”以及几乎每个美国家庭的相关数据。

这次的“配置错误”有些不同

S3存储桶的默认安全设置只允许特定授权用户访问其中的内容,但该存储桶配置错误,允许任何AWS“认证用户”下载其中的数据。事实上,AWS“认证用户”——即具有亚马逊AWS账户的任何用户,而该用户基础已经超过100万人,并且用户注册这样的账号是免费的。也就是说,注册一个AWS账号,再注册一个新电子邮箱就能下载该存储桶的数据。

1.23亿美国家庭数据在线泄露,又是亚马逊AWS S3配置错误-E安全

位于子域名为“alteryxdownload”的这个存储桶包含大量Alteryx软件发布和开发文件,以向客户提供应用程序服务,但其中还包含两个不属于Alteryx的文件:其中一个是名为“ConsumerView_10_2013”的36GB数据文件,扩展名为.yxdb,该文件中包含大量美国人的数据,其中有超过1.23亿行数据,每行代表一个美国家庭,这个数字接近于美国2013年的家庭数量,这份文件或许就是2013年创建的。

虽然每行代表一个不同的美国家庭,但有248列交叉索引收录了每个家庭已知或模式化个人详情、偏好和行为。这里数据点共有超过35亿个字段,可见其中的数据的详细程度。

1.23亿美国家庭数据在线泄露,又是亚马逊AWS S3配置错误-E安全

Experian 2016年在营销手册中描述称,ConsumerViewSM是传统和数字营销活动的最大和最全面的资源。通过针对超过3亿消费者和1.26亿家庭的数千个数据属性,ConsumerView数据可让客户深入了解消费者,在各个渠道获得更多可行性见解。

经研究人员证实,Alteryx正是Experian和美国人口普查局的合作伙伴。这起数据泄露再次说明第三方风险不容忽视。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。