售前咨询
技术支持
渠道合作

跨境电商网站Gearbest泄露数百万用户信息和订单

据外媒报道,安全研究员Noam Rotem在进行网络扫描时,发现一个没有密码保护的Elasticsearch服务器,可直接访问,每周都会暴露数百万条记录,包括客户数据、订单和付款记录。由于没有密码保护,任何人都可通过这个服务器搜索数据。调查显示,这个数据库来自Gearbest,是中国环球易购(Globalegrow)旗下的自营网站。

公开了什么样的数据?

Rotem在VPNMentor上发布了其调查报告。报告称,该数据库泄露的数据包括:

1、订单数据:购买的产品、邮寄地址与邮编、用户姓名、电子邮件地址、电话号码;

2、支付与收据信息:订单号、支付类型、支付详情、电子邮件地址、名称、IP地址;

3、用户信息:姓名、地址。生日、电话号码、电子邮件地址、IP地址、其他国家身份证号码及护照信息、账户密码等。

可能的影响

报告指出“Gearbest的数据泄漏超过150万条客户记录,增加了越来越多的组织,这些组织由于错误配置的Elasticsearch服务器而在2019年遭遇安全漏洞。Gearbest的事件脱颖而出,因为护照号码,国民身份证号码和全套未加密数据,包括电子邮件地址和密码都是暴露的信息。这些数据可以让黑客通过与其他数据库的交叉引用轻松窃取Gearbest的客户身份,并允许恶意行为者访问在线政府门户网站,银行应用程序,健康保险记录等。

Rotem在VPNMentor上发布了调查报告,称其在3月份发现这个不安全的数据库,泄露的记录约有150万条。这些数据并没有什么加密措施,有些甚至完全没有加密。他表示,这些泄露的信息不仅侵犯了客户隐私,还可能危及世界上言论和表达自由受限地区的客户。

此外,Rotem还在同一IP地址上发现了一个单独的基于Web的数据库管理系统,利用这个系统,可以操纵或破坏Gearbest母公司环球易购所运行的数据库。Gearbest总部位于深圳,位列全球250强网站之一,服务于华硕,华为,英特尔和联想等顶级品牌。这个公司在欧洲也拥有大量业务,在西班牙、波兰、捷克共和国和英国设有仓库,而这些国家都适用欧盟数据保护和隐私法。

目前,Rotem已经联系了Gearbest ,但是Gearbest既没有关闭数据库保护数据也没有任何回应。这已经是Gearbest近年来发生的第二起安全事故了。2017年12月,Gearbest也曾因为撞库攻击而导致帐号信息泄露。待事件调查清楚后,Gearbest也许将面临GDPR的严重处罚。

网站要部署SSL证书加密数据

相较于传统的HTTP明文协议,HTTPS协议可以确保传输数据的完整性和机密性,建立一条从用户端到网站服务器端的加密传输通道,通过复杂的握手协议,确保用户的传输信息不被第三方窃取或篡改。SSL证书有助于通过强大的加密方法保护网络上的数据。SSL证书使网站更安全,数据高度加密后通过网络发送,防止隐私信息的泄露。 SSL本质上是一个程序,它使得第三方更难参与用户和网站之间的事务,达到高度的安全性。

数安时代GDCA也建议各大网站通过部署SSL证书,实现HTTPS加密升级来保护用户的账户和密码等隐私信息,且部署SSL证书后,醒目的标志有助于用户区别假冒钓鱼网站,以防用户有不必要的损失。

在中国,通过国际Webtrust标准的认证的CA机构仅3家,具备了国际电子认证服务能力的CA机构,通过国际Webtrust标准的认证意味着CA机构的运营管理和服务水平符合国际标准,并且有能力、有资质提供全球化认证服务,是可靠电子认证服务的有效证明。其中一家就是数安时代GDCA,在国内是一个综合安全实力比较强的CA机构。需要购买SSL证书的企业或站长可以考虑一下,数安时代除了自主品牌GDCA,还有SymantecGlobalsignGeoTrust等品牌,选择更多,一次性对比,提供行业最优惠的价格。有需要可以到官网咨询客服了解产品。

部分素材翻译于:techcrunch

上一篇:

下一篇:

相关新闻