某不安全的Elasticsearch泄露了约12亿人的敏感信息

近期，有安全研究人员发现了一个不安全的Elasticsearch，里面存储了近12亿人的私人和社交信息。

研究人员Bob Diachenko和Vinny Troia发现了这个不安全的Elasticsearch服务器，其中包含了超出想象的40亿个帐户。

该Elasticsearch于2019年10月16日被发现，包含了超过4TB的的数据，可以说是历史上单个泄露源中泄露数据最多的。

泄露的数据包括姓名、电子邮件地址、电话号码、领英和Facebook的个人信息。

据研究人员的说法，其中包含的私人和社交信息似乎来自于两家不同的数据公司。

在报告中，研究人员表示“任何人都可以使用Web浏览器访问地址http://35.199.58.125:9200来获得数据，不需要任何身份验证。”

大部分数据存储在4个独立的数据索引中，分别标记为“PDL”和“OXY”，每个索引包含大约10亿帐户的信息。其中每条记录都拥有被标记为“PDL”和“OXY”的“源”字段。

研究人员认为，PDL索引中的数据来自大数据公司People Data Labs。

总共包含近30亿条PDL用户记录，与大约12亿独立用户相关联。而且还有6.5亿个独立的电子邮件地址，三个不同PDL索引的数据分别来自领英，Facebook、Twitter和Github等公司。

专家们向PDL报告了他们的发现，但PDL官方表示这个Eslasticsearch和他们无关。

“为了测试这些数据是否属于PDL，我们在他们的网站上创建了一个免费帐户，每月能进行1000次免费查询。”

结果发现Elasticsearch服务器上的数据与网站API返回的数据几乎完全匹配。唯一的区别是网站返回的数据包含了教育史。

当我在PeopleDataLabs.com上查看我的账户时，返回的结果是一样的——包括那个电话号码。研究人员认为这很好说明了数据的归属。

此外泄露的数据还牵涉到大数据公司OxyData.io。

Oxy的数据包含从领英上搜集的各类信息。不过OxyData也告诉研究人员这个服务器不属于它。

据以上情况，研究人员推测该服务器是由一个既是People Data Labs的客户，又是OxyData的客户控制。不过暂时没有确切证据支持这一说法。

但无论这些数据属于谁，都肯定有不少网络用户受到影响。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://securityaffairs.co/wordpress/94275/breaking-news/elasticsearch-social-information-1-2b-people.html