美国州政府服务器未做安全防护 3TB敏感数据泄露

属于俄克拉荷马州证券部（ODS）的大量政府数据在存储服务器上至少一周没有安全保护， 所有人都可以在没有任何密码的情况下全面开放和访问。暴露出包含数百万个敏感文件的高达3TB的数据。

暴露的其他严重文件包括电子邮件，社会安全号码，10,000名经纪人的姓名和地址，远程访问ODS工作站的凭证，以及为俄克拉荷马州证券委员会提供的通信，以及与艾滋病患者相关的可识别信息列表。

虽然研究人员并不确切知道服务器向公众开放的时间长短，但是Shodan显示该服务器至少在2018年11月30日公开开放，差不多一周后（12月7日）才被发现。

UpGuard研究小组第二天通知ODS部门，州政府机构在收到通知后立即取消了对不安全通道的“公共访问”，但目前还不清楚是否有其他人访问了不安全的服务器。

据安全公司称，此类风险可能对该部门的网络完整性产生“严重影响”。

“通过有效评估文件内容和元数据，数据已经超过数十年，最早的数据源自1986年，最近一次修改于2016年，这些数据是通过一个注册到俄克拉荷马州管理和企业服务办公室的IP地址的一个不安全的rsync服务公开的，允许来自任何IP地址的任何用户下载存储在服务器上的所有文件。”

该公司还发现了黑客可以远程访问州机构工作站的密码，以及包含多种互联网服务（包括流行的防病毒软件）的登录信息和密码的电子表格。

针对这一事件，俄克拉荷马州证券委员会在周三发布的一份新闻稿中表示，发现了一个有限时间的“意外漏洞”，并立即在服务器中得到保护，该部门正在认真对待这个问题并下令进行法律调查。

“俄克拉荷马州证券部（ODS）已开始全面审查涉及在安装防火墙期间无意中暴露信息的事件的情况，取证团队目前正在进行分析，以确定可能已暴露的数据文件的类型和数量，以及可能访问过的人员。”

委员会还表示，该部门还在为可能暴露其信息的任何人探索补救行动和通知，并审查内部程序，控制措施和安全措施，以确保此类事件在未来不会发生。

原文链接：https://thehackernews.com/2019/01/oklahoma-fbi-data-leak.html