在线营销公司存在漏洞，3800多万美国公民详细记录泄露

研究人员发现了一个属于View Media的不安全数据桶，其中包含近3900万美国公民记录。

赛博新闻研究小组发现了一个属于在线营销公司View Media的不安全数据桶。这个存储桶包含近3900万美国公民记录，包括他们的全名、电子邮件和街道地址、电话号码和邮政编码。

数据库保留在一个可公开访问的amazonwebservices(AWS)服务器上，允许任何人访问和下载数据。继8月早些时候CyberNews报道的3.5亿封电子邮件泄露事件之后，这是今年夏天我们第二次遇到包含如此大量用户数据的无安全保护的Amazon存储桶。

[[340865]]

7月29日，exposed View Media bucket被亚马逊关闭，不再可访问。

若要查看您的电子邮件地址是否已暴露在此或其他安全漏洞中，请使用我们的个人数据泄漏检查器。

桶里有什么数据?

公开可用的Amazon S3存储桶包含5302个文件，包括：

700份针对性电子邮件和直邮广告活动的工作声明文档存储在PDF文件中59个CSV和XLS文件中，共包含38765297个美国公民记录，其中23511441个记录是唯一的

这些用户记录文件是根据营销公司的营销活动所针对的地点和邮政编码创建的，其中包括美国境内人员的全名、地址、邮政编码、电子邮件和电话号码。

除了工作声明文档和用户记录外，这个存储桶中还有数千个用于各种营销材料的文件，例如横幅广告、时事通讯和促销传单。

公开记录示例

下面是一些用户记录和工作声明文档的示例，这些文档保留在可公开访问的bucket上。

大多数CSV文件包含我们假设的目标人口统计数字或实体营销材料的用户记录。

2018年至2019年期间的营销活动工作说明文件：

谁拥有数据桶?

不安全的Amazon S3存储桶似乎属于View Media，这是一家专门从事电子邮件营销、显示广告、设计、托管、直邮、日期销售和其他数字营销服务的在线营销公司。该公司为论坛媒体和时代传媒集团等美国出版品牌提供有针对性的营销服务。

除了数以百万计的美国公民记录外，这个水桶还包括数千份营销时事通讯、促销传单设计、横幅广告和View Media为其客户创建的工作声明文档。

谁有权限?

这个bucket托管在amazonaws服务器上，该服务器已经暴露了一段时间，目前还不清楚是否有坏人访问了其中存储的数据。

也就是说，不安全的Amazon存储桶相对来说不需要任何授权就很容易找到和访问，这意味着任何知道在哪里查找的人都可以下载这些文件。

有什么影响?

即使不安全的Amazon S3存储桶中的文件不包含高度敏感的个人信息，如社会安全或信用卡号码，网络犯罪分子仍可以将数据库中的个人信息用于各种恶意目的：

骗子可以利用暴露人员的姓名、电子邮件地址和电话号码进行各种各样的欺诈计划。简单的联系方式就足以让垃圾邮件发送者和网络钓鱼者从多个角度对3800多万名暴露在外的美国人发动针对性攻击，如机器人电话、短信、电子邮件，社会工程活动确定的网络罪犯可以将这个桶里的数据与其他数据泄露相结合，建立身份盗用的潜在目标的档案

数据怎么了?

因为我们最初无法确定不安全存储桶的所有者，所以我们在7月27日联系了亚马逊，帮助他们保护数据库。他们在7月29日关闭了水桶。

然后，我们联系了存储在存储桶上的工作说明文档中提到的营销公司的一位客户，他在8月21日帮助我们确定了View Media是数据库的所有者。8月24日，我们联系了观点传媒，就此次泄密事件发表官方评论。但是，我们没有收到公司的回复。