服務(wù)器出現(xiàn)錯誤，美國逾2400萬份銀行貸款和抵押文件遭泄露

　　據(jù)外媒報道，在一臺服務(wù)器出現(xiàn)錯誤后，超過2400萬份金融和銀行文件在網(wǎng)上被發(fā)現(xiàn)。這些文件顯示了美國一些最大銀行的數(shù)萬筆貸款和抵押貸款信息。

　　這臺運行ElasticSearch數(shù)據(jù)庫的服務(wù)器擁有超過十年的數(shù)據(jù)，其中包括貸款和抵押貸款協(xié)議、還款時間表以及其他高度敏感的金融和稅務(wù)文件。這些文件透露了個人財務(wù)生活的具體信息。

　　但是它沒有密碼保護，任何人都可以訪問和讀取其中大量的信息。

　　據(jù)信，該數(shù)據(jù)庫只暴露了兩周，但這個時間已足夠讓獨立安全研究員鮑勃-迪亞琴科(Bob Diachenko)查看到了這些文件。乍一看，你無法立即知道誰擁有這些數(shù)據(jù)。在我們詢問了幾家銀行后，該數(shù)據(jù)庫于1月15日關(guān)閉。

　　這次泄密可以追溯到為金融行業(yè)服務(wù)的數(shù)據(jù)和分析公司Ascension。該公司的總部設(shè)在得克薩斯州的沃思堡。該公司提供數(shù)據(jù)分析和投資組合估值。在它的服務(wù)中，Ascension將紙質(zhì)文件和手寫筆記轉(zhuǎn)換成計算機可讀的文件——被稱為OCR文件。

　　迪亞琴科在自己的書面報告中說，被曝光的文件正是那家銀行的被轉(zhuǎn)換后的OCR文件。

　　Ascension的母公司Roc.hk Partners擁有總價值44億美元的4.6萬多筆貸款。該公司總法律顧問桑迪-坎貝爾(SandyCampbell)證實了這起安全入侵事件，但表示該公司的系統(tǒng)沒有受到影響。

　　他在一份聲明中說：“1月15日，該供應(yīng)商得知一臺服務(wù)器出現(xiàn)配置錯誤，可能導(dǎo)致了一些抵押貸款文件曝光。因此，它立即關(guān)閉了有問題的服務(wù)器。我們正在與第三方取證專家合作調(diào)查這一情況。隨著調(diào)查的進行，我們還與執(zhí)法調(diào)查人員和技術(shù)合作伙伴保持定期聯(lián)系。”

　　該聲明還補充說，未指明的部分貸款信息已被分享給合同商進行分析，但無法立即證實有多少貸款文件被泄露。

　　該供應(yīng)商是總部設(shè)在紐約的OpticsML公司。記者聯(lián)系該公司的努力沒有成功。其網(wǎng)站處于離線狀態(tài)，其電話號碼也打不通。

　　坎貝爾在電話中確認，該公司將通知所有受影響的客戶，并根據(jù)數(shù)據(jù)泄露通知法向州監(jiān)管機構(gòu)報告這一事件。

　　涉及數(shù)家主要金融和貸款機構(gòu)

　　從我們的審查中可以清楚地看出，這些文件涉及幾家主要金融和貸款機構(gòu)的貸款和抵押貸款信息以及其他往來信函。這些文件可以追溯到2008年，如果不是更久的話。其中包括花旗金融、匯豐人壽、富國銀行、CapitalOne和一些美國聯(lián)邦政府部門(包括住房和城市發(fā)展部)的文件�；ㄆ旖鹑谑腔ㄆ旒瘓F旗下一個現(xiàn)已倒閉的貸款金融部門。

　　其中一些公司在將其抵押貸款部門和資產(chǎn)出售給其他公司后，早已停業(yè)。

　　雖然不是所有的文件都包含高度敏感的個人數(shù)據(jù)，但我們發(fā)現(xiàn)：姓名、地址、出生日期、社會保障號碼、銀行賬號和支票賬號，以及包含敏感財務(wù)信息的貸款協(xié)議信息，例如個人申請貸款的原因。

　　一些文件還指出了某些個人是否申請了破產(chǎn)和稅務(wù)文件，包括年度W-2稅表。這些信息很容易被騙子用來要求虛假退款。

　　但迪亞琴科說，該數(shù)據(jù)庫以隨機順序存儲文檔，不容易以易于閱讀的方式呈現(xiàn)，因此很難從一份文檔跟蹤到另一份文檔。

　　我們利用公共記錄檔案數(shù)據(jù)庫中的信息來驗證這些文件數(shù)據(jù)的真實性。

　　“網(wǎng)絡(luò)犯罪分子的金礦”

　　迪亞琴科說：“這些文件包含高度敏感的數(shù)據(jù)，如社會保障號碼、姓名、電話、地址、信用記錄和其他細節(jié)，這些信息通常是抵押貸款或信用報告的一部分。這些信息將成為網(wǎng)絡(luò)犯罪分子的金礦。他們將擁有竊取身份、提交虛假納稅申報表、獲得貸款或信用卡所需的一切有用信息。”

　　盡管這些文件來自這些金融機構(gòu)，但幫助確保數(shù)據(jù)安全的花旗銀行表示，它目前與該公司沒有關(guān)系。

　　花旗的一位發(fā)言人表示：“花旗最近意識到，一個與花旗沒有聯(lián)系的第三方公司在一個不安全的在線環(huán)境中存儲了某些抵押貸款原始文件和修改文件。這些文件包含有關(guān)花旗現(xiàn)任或前任客戶以及其他金融機構(gòu)客戶的信息�；ㄆ焱ㄖ�了執(zhí)法部門，啟動了徹底的調(diào)查，并迅速采取行動，以確保這些信息不再被公開獲取。”

　　花旗證實，“我們沒有發(fā)現(xiàn)任何證據(jù)表明花旗的系統(tǒng)受到了安全入侵。”

　　該銀行補充說，它正在努力識別潛在的受影響客戶。

　　其他數(shù)十家公司也受到影響，包括規(guī)模較小的地區(qū)銀行和大型跨國公司。

　　富國銀行的一位發(fā)言人表示，這些數(shù)據(jù)是Ascension從那些購買富國銀行抵押貸款的實體組織那里獲得的。

　　匯豐表示，它正在調(diào)查是否有任何客戶的數(shù)據(jù)，包括過去的客戶，并證實“自2010年以來，它與Ascension沒有供應(yīng)商關(guān)系”。

　　當(dāng)記者聯(lián)系到CapitalOne時，該公司并未對此發(fā)表評論。

　　住房和城市發(fā)展的發(fā)言人沒有回應(yīng)記者的置評請求。該部門目前受到政府持續(xù)歇業(yè)的影響。

　　這是涉及ElasticSearch數(shù)據(jù)庫的一系列安全漏洞中的最新一例。

　　去年，人們發(fā)現(xiàn)了一個泄露數(shù)百萬實時短信數(shù)據(jù)的龐大數(shù)據(jù)庫，并立即對它采取了必要的安全措施。而且，還有一家頗受歡迎的按摩服務(wù)機構(gòu)也出現(xiàn)了大規(guī)模信息泄密。最近AIESEC國際青年組織也泄露了400多萬條青少年申請者的個人信息。(騰訊科技審校/樂學(xué))