美国230万灾难幸存者隐私信息恐遭泄露

国土安全部监察长办公室近期发布了一份报告，详细说明了美国联邦应急管理署（FEMA）在处理2017年飓风灾害以及加利福尼亚野火灾害的230万幸存者信息时所犯下的错误。

在国家灾难期间，美国联邦应急管理署（FEMA）提供了一项名为过渡性庇护援助（TSA）计划，为灾难幸存者提供庇护。

在一份名为“管理警报——FEMA关于灾难幸存者敏感信息保护方面的缺失”的咨询报告中，披露了FEMA未妥善保护幸存者的个人信息，例如银行账户信息，把这些敏感信息泄露给了给管理TSA计划的承包商。

“在我们对美国联邦应急管理署（FEMA）的过渡性庇护援助（TSA）计划的审计期间，发现FEMA违反了1974年发布的隐私法案和国土安全法案，将[编飓风哈维，艾尔玛和玛丽亚灾害以及加利福尼亚州野火灾害的230万受害者的隐私信息泄露给外界。FEMA理应该只提供少量信息，以验证灾难幸存者是否有资格参与TSA计划。此次泄露事件发生的主要原因是FEMA没有采取必要措施进行信息管控，造成灾难幸存者的身份盗窃和欺诈风险上升。”

在灾害幸存者参与TSA计划时，必须向FEMA提供个人信息。然后FEMA将其中一部分信息提供给管理TSA计划的承包商。

FEMA需要向承包商共享的幸存者信息为：

申请人名
申请人中间名
申请人姓
申请人出生日期
申请人社会安全号码的后4位数字
灾难号码
TSA授权
申请人的家庭人数
计划开始日期
计划结束日期
全名
输出序列号
FEMA注册号 

该报告指出，除上述敏感信息外，FEMA还向承包商提供了其余20个不必要的数据字段，其中包括以下六个高敏感数据字段，易使幸存者面临欺诈，鱼叉式网络钓鱼和身份盗窃的风险。

申请人居住的街道地址
申请人居住的城市名称
申请人居住地的邮政编码
申请人使用的金融机构名称
申请人的电子转账帐号
申请人的银行转账号码

国土安全部监察长办公室建议FEMA改进灾害幸存者保障措施，只与承包商共享必要的数据字段。该报告还建议FEMA要及早确定此次泄露的范围，确保销毁任何隐私数据。

FEMA则表示，他们已开始调查此次隐私泄露事件，并已将网络安全人员部署到承包商处，以确定此数据是否向外泄露。

“FEMA表示联合评估小组已经对承包商系统中不必要共享的敏感进行了删除，并对承包商的网络进行了深入评估。根据FEMA的说法，暂时未发现数据外泄情况。但联合评估小组还是发现承包商系统内有几个安全漏洞以及缺乏长期日志。截至到2019年3月，系统中的四个漏洞得到了修复，其余七个漏洞的正在商定修复计划。 FEMA预计漏洞的完全修复日期为2020年6月30日。鉴于此次事件的紧迫性，我们敦促FEMA加快漏洞修复步骤。”

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://www.bleepingcomputer.com/news/security/fema-data-leak-exposes-personal-info-of-23m-disaster-survivors/S