数字钱包程序泄露了数百万用户的信用卡和ID？

网上又公开了另一批数据。这次，科学 Mentor的IT安全研究人员已经确定了整个北美数百万不知情用户的个人详细信息。

该漏洞是由于配置错误的Amazon Web Services(AWS)S3没有任何安全身份验证的结果。简而言之：只要具备识别公开数据库的简单知识，任何人都可以访问该数据。

[[322553]]

据科学Mentor的研究小组称，该数据库属于总部位于德克萨斯州奥斯汀的公司“ Key Ring”，该数字钱包允许用户上传和存储其文档的数字副本，包括信用卡，身份证，护照，驾驶执照，礼品卡，等等

该公司拥有超过1400万客户的隐私和安全都受到了威胁。科学 Mentor 在博客中透露，数字钱包暴露了5个S3存储桶，其中包含高度敏感的信息，包括信用卡数据的副本，包括其编号，有效期和CVV编号。

1：信用卡2：NRA会员卡3：政府身份证。(图像通过科学Mentor)

此外，个人身份信息(PII)也是泄漏数据的一部分，其中包括社会安全号码，政府身份证，和医疗保险卡，NRA会员卡，礼品卡，会员卡，零售俱乐部会员卡。

总共泄漏的图像数量高达4400万。但是，它并没有到此结束，实际上，数据库继续公开了全名，电子邮件地址，出生日期，邮政编码和Key Ring客户的位置。此外，IP地址，加密密码和家庭地址也被暴露。

所有这些内容都是纯文本格式的。该公司不向欧洲用户提供服务，因此不会受到GDPR巨额罚款的打击，反而会给北美客户带来沉重打击。

尽管目前尚不清楚第三方是否出于恶意目的访问了数据库，它将使客户遭受现实中的敲诈勒索以及身份盗窃欺诈。此外，由于所有信用卡号均以纯文本形式提供，因此黑客还可以清空其银行帐户并进行税务欺诈。

• 如果恶意黑客发现了这些存储桶，则对Key Ring用户(以及公司本身)的影响将是巨大的。实际上，我们无法确定在通知Key Ring之前没有其他人找到这些S3存储桶并下载了内容。
• 如果发生这种情况，仅删除公开的数据的保护可能不够。科学 Mentor的团队警告说，黑客仍然可以访问本地，脱机存储且完全无法追踪的所有数据。

但是，这不是第一次错误配置的S3存储桶公开了如此大量的数据。几天前，一家云存储提供商以纯文本形式公开了数百万客户的数据。在另一起事件中，一个配置错误的S3铲斗向公众暴露了美军的社交媒体间谍活动。