身為驢（旅）友，花大把時間探索大千世界著實不錯，如果運氣好，找找寶藏，沒準(zhǔn)真能遇到堆滿了金銀財寶的“小金屋”。
不過，這都算不上離奇。最刺激的，寶藏被神秘人士仍在大街上，任你去取。連找的力氣都省了，那還不得樂昏過去？
或許你會問，世上哪有這等好事？別說，還真有！
近日，研究人員鮑勃·迪亞琴科（Bob Diachenko）和文尼·特羅亞（Vinny Troia）就發(fā)現(xiàn)了“寶箱”。原來，這是一個Elasticsearch服務(wù)器，其中包含12億用戶賬戶，該服務(wù)器被公開在暗網(wǎng)上，任何人都可以“到此一游”。
數(shù)據(jù)來自何方？
研究人員分析，當(dāng)人們通過BinaryEdge和Shodan尋找公開信息時，偶然發(fā)現(xiàn)服務(wù)器的IP地址可以追溯到Google Cloud Services?？傮w而言，該數(shù)據(jù)庫存儲著超過4 TB的公開數(shù)據(jù)供公眾訪問。
作為全文檢索搜索引擎的核心技術(shù)，Elasticsearch作為基于Lucene庫的搜索引擎而存在，其被應(yīng)用于企業(yè)信息網(wǎng)站、媒體網(wǎng)站、政府站點、商業(yè)網(wǎng)站、數(shù)字圖書館和搜索引擎中。
查看研究人員分享的詳細(xì)信息后發(fā)現(xiàn)，該數(shù)據(jù)是從社交媒體平臺（包括Twitter，F(xiàn)acebook，LinkedIn和GitHub）中抓取，而該平臺同樣為Git（一個開源的分布式版本控制系統(tǒng)）的存儲庫執(zhí)行托管服務(wù)。
這些數(shù)據(jù)在服務(wù)器中被分類成四個不同的數(shù)據(jù)集，其中三個被標(biāo)記為“People Data Labs”的數(shù)據(jù)代理，而另一個則被標(biāo)記為“OxyData”的數(shù)據(jù)代理。
Troia稱，他在People Data Labs（PDL）中發(fā)現(xiàn)了自己10年前在AT&T公司辦理的一個固話號碼。這個號碼他從未使用過，但是當(dāng)時錄入的信息卻被保留在了這里。
經(jīng)研究發(fā)現(xiàn)，在該服務(wù)器中包含了近30億PDL用戶記錄，近12億唯一人員和6.5億唯一電子郵件地址。這些數(shù)據(jù)數(shù)量不光與PDL公司的宣傳相符，甚至研究人員還可以通過PDL API返回的信息來反向查詢這些數(shù)據(jù)。
另外，研究人員通過將數(shù)據(jù)庫和上述兩家公司的公開數(shù)據(jù)進(jìn)行比對，發(fā)現(xiàn)至少在一定程度上源自它們。研究人員在博客文章中專門針對PDL的措辭進(jìn)行了詳細(xì)說明：
在打開的Elasticsearch服務(wù)器上發(fā)現(xiàn)的數(shù)據(jù)幾乎與People Data Labs API返回的數(shù)據(jù)完全匹配。唯一的區(qū)別是PDL返回的數(shù)據(jù)還包含教育歷史記錄。
從服務(wù)器下載的任何數(shù)據(jù)中都沒有教育信息。其他所有內(nèi)容都完全相同，包括具有多個電子郵件地址和多個電話號碼的帳戶。
但是，PDL聯(lián)合創(chuàng)始人Sean Thorne否認(rèn)公司擁有該服務(wù)器的說法，并稱，該服務(wù)器的所有者可能使用了PDL提供的一種擴充產(chǎn)品，以及其他數(shù)據(jù)擴充或許可性服務(wù)。
另一方面，4 TB用戶數(shù)據(jù)（包括3.8億個配置文件）被證實來自O(shè)xyData公司，但是該公司同樣回應(yīng)稱并沒有服務(wù)器的所有權(quán)。
截止目前，研究人員并不能確定是誰將服務(wù)器公開在互聯(lián)網(wǎng)上，但信息泄露意味著將會影響到兩家公司的共同客戶，并使其面臨數(shù)據(jù)濫用的風(fēng)險。
不是頭一次了
除了這次事件，Elasticsearch服務(wù)器曾多次被向公眾公開，這同樣將毫無戒心的用戶和企業(yè)的個人數(shù)據(jù)置于風(fēng)險之中：
今年早些時候，Elasticsearch服務(wù)器上公開了超過2000萬俄羅斯公民的個人信息。
今年5月，在Freedom Mobile擁有的Elasticsearch數(shù)據(jù)庫在線泄漏后，具有數(shù)百萬加拿大人CVV碼的個人和支付卡數(shù)據(jù)再次暴露。
去年12月，另一個包含8200萬美國人個人信息的數(shù)據(jù)庫在網(wǎng)上暴露了出來。
Elasticsearch服務(wù)器有關(guān)的數(shù)據(jù)泄漏事件屢屢出現(xiàn)，也吸引了大量攻擊者的目光，因為這可能成為其攻擊行動的切入點。
Cequence Security公司的一名黑客Jason Kent評論稱，“我們看到一種不同于以往的全新且具有潛在危險的數(shù)據(jù)關(guān)聯(lián)。如果攻擊者持有豐富的數(shù)據(jù)集，那么就能夠制作針對性極高的攻擊。這種攻擊可導(dǎo)致密碼恢復(fù)信息、財務(wù)數(shù)據(jù)、通信模式、社會結(jié)構(gòu)等被暴露，這是高級別在位人員可遭針對性攻擊的方式。
聯(lián)邦調(diào)查局尚未回應(yīng)
兩名研究員將這一發(fā)現(xiàn)上報了聯(lián)邦調(diào)查局，盡管通常情況下幾個小時內(nèi)Elasticsearch服務(wù)器即可完成數(shù)據(jù)脫機操作。但是，后者在收到消息后并未給出明確回復(fù)。
ARM Insight首席執(zhí)行官Randy Koch分析，此次大規(guī)模數(shù)據(jù)泄露事件對那些被看成持有數(shù)據(jù)所有權(quán)的企業(yè)來說造成巨大破壞，同時也會造成數(shù)十億人的信息外泄到世界各地。
所包含的個人數(shù)據(jù)如此龐大，加上識別數(shù)據(jù)所有者很復(fù)雜，因此有可能會引發(fā)我們現(xiàn)行隱私和數(shù)據(jù)泄露通知法律有效性的問題。
如果具有數(shù)據(jù)掌控權(quán)的公司將其用戶信息收集并進(jìn)行集中合成，則可以有效預(yù)防此事件，因為數(shù)據(jù)合成的過程在模仿真實數(shù)據(jù)的同時消除了用戶的可識別特征。
正確合成后，它就不能被黑客進(jìn)行逆向工程，并同時保留了原始數(shù)據(jù)集的所有統(tǒng)計價值，因此它仍然可以用于分析、市場營銷、客戶細(xì)分和AI算法訓(xùn)練等等。
但是，集中數(shù)據(jù)會抵消作為數(shù)據(jù)掌控企業(yè)的名譽，且在隱私、合規(guī)性上也頗具風(fēng)險。
