泰国电信运营商TrueMove H数据泄露 4.6万用户资料可在线公开访问

TrueMove H是泰国三大电信运营商之一，也是泰国国内最大的4G移动网络运营商，并在去年宣布将通过与爱立信（Ericsson）合作推出泰国第一张5G网络。

英国科技新闻网站The Register在上周五（4月13日）发表的报道中指出，TrueMove H似乎成为了数据泄露事件的最新受害者。因亚马逊AWS S3存储桶配置错误，其4.6万用户的个人信息被公开暴露在互联网上，包括身份证扫描件。

根据The Register的说法，这个问题是由安全研究员Niall Merrigan发现的。他起初试图直接与TrueMove H进行联系，但该公司的工作人员并没有对此事表现出积极性。直到他向对方表示将公开这个问题时，对方才在本月4日向他进行了邮件回复并表示“正在处理”。

Merrigan在上周四（4月14日）上午10:00左右对TrueMove H的S3存储桶进行了再次检查，他发现配置错误问题以及这些文件仍然存在。大约在晚上19:00左右，TrueMove H才对这些文件进行了限制访问处理。

Merrigan告诉The Register，TrueMove H的S3存储桶共存储了超过32GB大小的数据，共有4.6K万个文件，主要是JPG和PDF。从内容上来看，它们大多数都是身份证、护照以及驾驶执照的扫描件，而这些包含大量敏感信息的文件并没有得到任何安全保护。

在TrueMove H对这些文件进行了限制访问处理之后，Merrigan在上周五发表了一篇用于分析该案例的博文。他解释说，类似bucket stream 和bucket-finder这样的工具可被用来扫描在互联网上暴露的亚马逊AWS S3存储桶。

在这个案例中，Merrigan使用了bucket-finder，它可以帮助网络管理员查找出配置文件、源代码和其他可能存在的数据泄露问题。这个搜索器能够通过AWS S3 API获取前1000个文件，Merrigan将这些文件加载到了一个小型SQL数据库中进行分析，他在其中便发现了True Move H。

TrueMove H在上周六（4月15日）发表的一份澄清声明中称，这起数据泄露事件只会影响到其子公司I True Mart。泄露用户数据的安全问题目前已经得到解决，该公司会继续与全球网络安全专家密切合作对事件进行彻底调查，并会通过采取法律行动来确保用户信息受到保护。

转自黑客视界，原文：http://mp.weixin.qq.com/s/-Si7CeUgmUSVdK2uHr-aNw