【译】黑客窃取了200万T-Mobile客户的个人数据

T-Mobile这家电信巨头8月20日在其美国服务器上遭遇安全漏洞，可能导致多达200万T-Mobile客户的“部分”个人信息泄露。泄露的信息包括客户姓名，帐单邮政编码，电话号码，电子邮件地址，帐号和帐户类型（预付费或后付费）。然而，好消息是，在安全漏洞中没有泄露信用卡号，社会安全号等财务信息。T-Mobile发言人说，“加密密码”包含在受损数据中。研究人员称“加密密码”有可能被暴力破解，客户应该假设他们的密码已被破解并且应该更改密码。

在这个事件首次发布后，T-Mobile发言人告诉我，“加密密码”包含在受损数据中。在最初的公告中，该公司表示：“没有密码被泄露。”

当我问为什么公司使用这个措辞时，发言人在一条消息中说：“因为他们是安全的，它们是加密的。“

发言人拒绝说明这些密码是如何加密的，或者使用了什么哈希算法。在这个故事发布几个小时后，安全研究人员尼古拉斯·塞拉罗（Nicholas Ceraolo）声称暴露的数据超出了T-Mobile所披露的数据。研究人员分享了一份涉嫌泄密数据的样本，其中包括一个名为“userpassword”的字段，以及一个看似哈希的字段，这是密码的加密表示。（Ceraolo说他没有参与黑客攻击，而是从“共同的朋友”那里获得了样本。）

根据两位不同的安全研究人员，它与主板共享该哈希值，可能是一个编码的字符串，用名为MD5的众所周知的弱算法进行哈希处理，这可能会被暴力攻击破坏。

Jeremi M. Gosney，密码破解公司Terahash的着名密码专家兼首席执行官，分析了主板的哈希值。Gosney表示，尽管哈希算法并不完全清楚，但算法可能会进行逆向工程，可以从数据库中访问更大的哈希样本。

客户应该假设他们的密码已被破解并且应该更改密码，他在网上聊天时告诉我。

T-Mobile首席执行官John Legere 在一条推文中表示，“定期更改帐户密码总是一个好主意。”

原始事件如下

周四晚些时候，T-Mobile 透露黑客在新的数据泄露事件中窃取了200万人的部分个人数据。

在短暂的入侵中，黑客窃取了“一些”客户数据，包括姓名，电子邮件地址，帐号和其他结算信息。据该公司称，好消息是他们没有获得信用卡号码，社会安全号码。

T-Mobile在其声明中表示，其网络安全团队于8月20日星期一发现“未经授权捕获某些信息”。

“我们的网络安全团队发现并关闭了对包括您在内的某些信息的未经授权的访问，我们立即向当局报告。您公司网站上公布的公告中没有涉及您的财务数据（包括信用卡信息）或社会安全号码，也没有密码被泄露。“但是，您应该知道您的某些个人信息可能已被曝光，其中可能包含以下一项或多项信息：姓名，帐单邮政编码，电话号码，电子邮件地址，帐号和帐户类型（预付费或后付费） “。

公司发言人告诉我，这一违规行为影响其7700万客户中的不到3％。

发言人在一条短信中说，“幸运的是并不多，”她补充道，她无法透露具体数字。

该发言人补充说，“事件”发生在“8月20日清晨”，当时“国际组织”中的一部分“黑客”通过“不包含任何财务数据或其他非常敏感数据”的API访问公司服务器。

据发言人称，在入侵的同一天，网络安全团队发现了它。

发言人说：“我们很快就找到了它并快速关闭它。”

该发言人还表示，她无法提供攻击的“细节”，也不知道黑客是犯罪分子还是政府的一部分。

她说，T-Mobile通过短信直接与受害者联系，通知他们。

该公司在公告中写道：“所有受影响的客户已经或将很快被通知。如果您没有收到通知，那意味着您的帐户不受此事件影响。“T-Mobile还鼓励客户通过611与客服联系。

下面是去年T-Mobile看似无穷无尽的一系列安全事件中的最新一次。2017年10月，Motherboard透露，黑客在公司网站上发现了一个严重的漏洞，只允许他们通过电话号码查询客户的个人数据。犯罪分子利用它来访问客户的个人信息，利用它来窃取越来越多的被称为SIM交换或SIM卡劫持的骗局中的手机号码。

T-Mobile最初表示“没有发现任何客户账户受影响的证据”，但结果并不准确。几天后，T-Mobile 警告了被黑客攻击的“几百个客户”。然后，在今年2月，T-Mobile发出了一个大众文本警告客户SIM卡交换的威胁。

今年2月，一名安全研究人员在另一个T-Mobile网站上报告了一个“关键”漏洞，该漏洞会让黑客劫持客户的帐户。据该公司称，在任何人利用它之前，它已得到修复。

此外，在2015年，T-Mobile 遭到破坏并丢失了个人数据 - 那一次包括1500万人的社会安全号码。

翻译原文：https://motherboard.vice.com/en_us/article/a3qpk5/t-mobile-hack-data-breach-api-customer-data