網絡安全公司UpGuard的數據洩露研究小組於本週三（1月16日）披露了一起嚴重的數據洩露事件，一臺被用於存儲美國俄克拉荷馬州證監會（Oklahoma Department of Securities，ODS）數據的服務器因為沒有受到很好地保護，導致共計3TB大小的數百萬份文件可公開訪問。
根據UpGuard公司的說法，這些文件的內容極其豐富，從個人信息到系統憑證，以及俄克拉荷馬州證監會的內部文件和往來電子郵件。
數據洩露可能開始於2018年11月30日
UpGuard公司表示，目前還不清楚這個數據庫具體已經暴露了多長時間，但是從搜索引擎Shodan記錄的信息來看，數據洩露可能開始於2018年11月30日。UpGuard的數據洩露研究小組是在12月7日發現了這臺存儲有敏感內容的服務器，並於12月8日通知了俄克拉荷馬州政府。在當天，可公共訪問的問題就得到了解決。
從文件的內容和元數據來看，這些文件是在過去的幾十年裡累計創建的，最早的文件創建於1986年，最近的修改是在2016年進行的。而導致數據洩露的根本原因是由於俄克拉荷馬州管理和企業服務辦公室（Oklahoma Office of Management and Enterprise Services，OMES）的一個IP地址啟用了不安全的RSYNC服務（一種同步服務），進而允許來自任意IP地址的用戶都可以下載服務器上存儲的所有文件。
1999年至2016年的電子郵件備份遭洩露
UpGuard公司表示，在可公開訪問的文件中約有120.9GB的文件是.pst文件。這裡需要說明的是，.pst文件是本地存儲的電子郵件備份文件。UpGuard公司表示，從這些文件的命名來看，這些.pst文件是1999年至2016年的電子郵件備份。其中，最近也是最大的一個文件，大小達到了16GB。
數據涉及個人信息、系統憑證和商業信息
個人信息
UpGuard公司表示，可公開訪問的RSYNC服務器存儲有大量包含個人信息的虛擬機磁盤備份文件，大部分都有關參與金融證券交易的個人。
- 一個Microsoft Access數據庫包含了大約一萬名經紀人的信息，包括他們的社會安全號碼。
- 一個被命名為“csv”的CSV文件包含超過十萬經紀人的個人信息，包括出生日期、出生國家、性別、身高、體重、頭髮顏色和眼睛顏色等。
- 一個與Viators金融工具相關的數據庫包含與艾滋病患者相關的信息，包括患者姓名和T細胞計數。
系統憑證
暴露的系統憑證可能會帶來大規模濫用的風險。這些憑證不僅可以用來收集個人身份信息（PII），而且還可以提供對系統本身的訪問，進而可以修改文件（進一步傳播惡意軟件）或收集包含在文件中的信息。
- 用於遠程訪問俄克拉荷馬州證監會的VNC憑證。
- 用於提交證券證券申請表的BlueExpress數據庫的憑證。
- 包含Thawte、Symantec Protection Suite、Tivoli等帳戶用戶名和密碼的IT服務電子表格。
商業信息
類似於個人身份信息，商業文件則可以用來揭示有關企業公司組織內部的信息，而俄克拉荷馬州證監會的這臺RSYNC服務器就包含了大量的業務信息。
- 證監會工作人員的培訓文件。
- 證監會專員的歷史電子郵件。
- 證監會的調查文件。
- 與美國聯邦調查局（FBI）調查相關的電子表格。
俄克拉荷馬州證監會表示，他們已經就此次事件通知了執法部門和OMES。調查小組隊目前正在進行分析，以確定可能已遭暴洩露文件的類型和數量，以及可能訪問過該服務器的第三方人員。
另外，俄克拉荷馬州證監會表示，他們正在設法通知可能受此次事件影響的個人，並已經啟動了內部審查程序，增加控制措施和安全措施，以確保類似事件在今後不會再次發生。
本文由 黑客視界 綜合網絡整理，圖片源自網絡；轉載請註明“轉自黑客視界”，並附上鍊接。
閱讀更多 黑客視界 的文章
