據(jù)報(bào)道，在線(xiàn)約會(huì)網(wǎng)站MeetMindful的228萬(wàn)名會(huì)員的數(shù)據(jù)被泄露，他們的Facebook的支付信息和個(gè)人的身體特征都被公開(kāi)。
根據(jù)ZDNet的報(bào)道，ShinyHunters黑客組織已經(jīng)竊取并對(duì)外公布了MeetMindful用戶(hù)的個(gè)人身份（PII）數(shù)據(jù)。據(jù)一位匿名的安全研究人員向該媒體透露，這些數(shù)據(jù)可以在一個(gè)"開(kāi)放的黑客數(shù)據(jù)庫(kù)交易論壇"上進(jìn)行免費(fèi)的下載。
這些數(shù)據(jù)總共有1.2GB，在論壇上有1500個(gè)瀏覽量。它被下載了多少次目前尚不清楚。
MeetMindful是一個(gè)將交友與生活健康、生活指導(dǎo)、生活小貼士和生活思考相結(jié)合的平臺(tái)。
該文件中包含了MeetMindful用戶(hù)在注冊(cè)賬戶(hù)和完善個(gè)人資料時(shí)所提供的信息。因此，研究人員的調(diào)查結(jié)果顯示，這些內(nèi)容包括姓名，電子郵件，城市，州和郵政編碼，約會(huì)偏好，出生日期，婚姻狀況，IP地址，以及受Bcrypt保護(hù)的賬戶(hù)密碼等信息。然而，對(duì)于一些用戶(hù)來(lái)說(shuō)，最敏感的個(gè)人信息也包括在內(nèi)，比如約會(huì)偏好，"身體細(xì)節(jié)描述"，甚至是具體的地理位置。此外，F(xiàn)acebook用戶(hù)ID和認(rèn)證令牌也包含在內(nèi)。
Threatpost聯(lián)系了MeetMindful進(jìn)行確認(rèn)，但截至發(fā)稿時(shí)，還沒(méi)有收到回復(fù)。
可能還會(huì)有許多攻擊
安全研究人員指出，約會(huì)應(yīng)用是網(wǎng)絡(luò)犯罪分子最喜歡攻擊的目標(biāo)。
Lookout安全解決方案高級(jí)經(jīng)理Hank Schless告訴Threatpost：
網(wǎng)絡(luò)攻擊者逐漸開(kāi)始將目標(biāo)鎖定在約會(huì)平臺(tái)上的用戶(hù)，他們這樣做是因?yàn)檫@些約會(huì)應(yīng)用程序會(huì)獲取很多的個(gè)人信息，同時(shí)還需要獲取大量的如地理位置，訪(fǎng)問(wèn)相機(jī)和訪(fǎng)問(wèn)聯(lián)系人等權(quán)限。
他指出，這次安全事故是在國(guó)際刑警組織發(fā)出約會(huì)應(yīng)用中可能存在金融詐騙的警告之后發(fā)生的。
他說(shuō)：
這里的每一個(gè)安全事故都表明，攻擊者對(duì)約會(huì)應(yīng)用用戶(hù)的攻擊方式并非只有一種，應(yīng)用開(kāi)發(fā)者和用戶(hù)都應(yīng)該意識(shí)到將個(gè)人數(shù)據(jù)托付給移動(dòng)應(yīng)用可能會(huì)帶來(lái)的風(fēng)險(xiǎn)。應(yīng)用開(kāi)發(fā)者需要提高移動(dòng)應(yīng)用程序的安全性，隨著攻擊者攻擊策略的不斷發(fā)展，需要不斷提高自身基礎(chǔ)設(shè)施的安全性。約會(huì)應(yīng)用程序的用戶(hù)應(yīng)該對(duì)于那些主動(dòng)在互聯(lián)網(wǎng)上和你進(jìn)行互動(dòng)的人提高警惕，并在手機(jī)上安裝一個(gè)移動(dòng)安全應(yīng)用程序，以保證他們自身的安全。社會(huì)工程學(xué)攻擊是一種常見(jiàn)的攻擊策略，主要用來(lái)對(duì)用戶(hù)進(jìn)行釣魚(yú)攻擊，竊取他們的個(gè)人信息，或者說(shuō)服他們下載惡意應(yīng)用。
目前還發(fā)現(xiàn)了一種利用平臺(tái)進(jìn)行sextortion攻擊的趨勢(shì)，即利用交友平臺(tái)中發(fā)現(xiàn)的性偏好和其他個(gè)人信息來(lái)攻擊用戶(hù)。
Schless說(shuō)：
攻擊者意識(shí)到，個(gè)人用戶(hù)很可能愿意付出更高的代價(jià)來(lái)防止自己的這些個(gè)人信息被公之于眾，Lookout最近發(fā)現(xiàn)了一個(gè)名為Goontact的sextortion攻擊活動(dòng)，該活動(dòng)主要是對(duì)非法網(wǎng)站的用戶(hù)進(jìn)行攻擊，然后竊取他們手機(jī)中的個(gè)人數(shù)據(jù)。
新網(wǎng)科技(NNT)全球副總裁Dirk Schrader指出，利用這些個(gè)人信息可以進(jìn)行許多攻擊。
他告訴Threatpost：
這種利用個(gè)人信息進(jìn)行攻擊的危害是很大的。最簡(jiǎn)單的方法是在數(shù)據(jù)中設(shè)置一些過(guò)濾條件，比如婚姻狀況，然后利用電子郵件對(duì)用戶(hù)進(jìn)行逐個(gè)攻擊嘗試。更險(xiǎn)惡的是將不同的數(shù)據(jù)信息組合起來(lái)，然后在工作場(chǎng)所對(duì)于目標(biāo)進(jìn)行釣魚(yú)攻擊。不過(guò)，大數(shù)據(jù)對(duì)于黑客來(lái)說(shuō)并不陌生，因此他們只需要對(duì)Facebook賬戶(hù)和電子郵件地址進(jìn)行一些研究即可。
ShinyHunters再次出擊
該網(wǎng)站的數(shù)據(jù)是由一個(gè)名為ShinyHunters的網(wǎng)絡(luò)黑客團(tuán)伙泄露的。該組織在去年5月份曾作案多起，據(jù)稱(chēng)該團(tuán)伙泄露了全球超過(guò)11家公司的7320萬(wàn)條用戶(hù)記錄，其中包括Homechef等在線(xiàn)快遞服務(wù)、照片打印服務(wù)公司ChatBooks和高等教育新聞網(wǎng)站Chronicle.com等。
ShinyHunters做過(guò)的影響最大的案件是竊取了印尼最大電商平臺(tái)Tokopedia的9100萬(wàn)用戶(hù)的登錄數(shù)據(jù)，然后以5000美元的價(jià)格在暗網(wǎng)上出售。
該組織去年還聲稱(chēng)，它闖入了微軟的GitHub賬戶(hù)，并從這家科技巨頭托管在平臺(tái)上的私人倉(cāng)庫(kù)中竊取了500GB數(shù)據(jù)。
上周，該組織竊取了1280萬(wàn)Teespring用戶(hù)的詳細(xì)信息，這是一個(gè)讓用戶(hù)創(chuàng)建和銷(xiāo)售定制服裝的網(wǎng)絡(luò)門(mén)戶(hù)。同時(shí)，網(wǎng)絡(luò)犯罪分子對(duì)外免費(fèi)公布了這些數(shù)據(jù)。
黑客的攻擊目標(biāo)：云環(huán)境
目前還不清楚ShinyHunters是如何獲取權(quán)限來(lái)訪(fǎng)問(wèn)該網(wǎng)站的數(shù)據(jù)的，但網(wǎng)絡(luò)安全專(zhuān)家、Cymulate的CTO Avihai Ben-Yossef懷疑可能是由于云端配置不當(dāng)造成的。
他通過(guò)電子郵件說(shuō)：
攻擊者ShinyHunters......有一個(gè)特點(diǎn)，就是優(yōu)先對(duì)使用云服務(wù)的公司進(jìn)行攻擊，那些從一開(kāi)始就把基礎(chǔ)設(shè)施放在云端的公司，很容易受到攻擊，企業(yè)在進(jìn)行云安全建設(shè)方面還有很多工作要做，包括多因素認(rèn)證、良好的證書(shū)和身份存儲(chǔ)管理、更好的配置和賬戶(hù)控制、良好的工作負(fù)載劃分等；同時(shí)還要進(jìn)行持續(xù)的安全評(píng)估工作。
Schrader指出：
這些公司似乎對(duì)攻擊本身知之甚少，如果他們?nèi)鄙侔┒?、補(bǔ)丁、變更控制和文件完整性監(jiān)控在內(nèi)的所有安全控制措施，這種情況下很可能會(huì)受到攻擊。
本文翻譯自：https://threatpost.com/meetmindful-daters-compromised-data-breach/163313/
