墨西哥退税网站MoneyBack泄露400GB客户敏感数据

发布日期：2017-09-18

又一波大规模数据泄露事故再次占据头条：来自安全企业Kromtech公司的专家们发现，墨西哥增值税退税网站MoneyBack因数据库配置错误导致大量客户敏感信息遭遇外泄。

Kromtech公司是在一次日常安全审计期间发现此非安全CouchDB数据库的。

墨西哥增值税退税网站MoneyBack主要供游客用于申请在该国游览时购买开销当中的税金部分。

此次数据泄露因一套Apache CouchDB数据库存在配置错误而起，其中包含有约50万名客户的护照信息、信用卡号码以及旅行票据等等。

Kromtech公司在发布的分析报告中指出：

“Kromtech安全研究中心已经发现一套存在配置错误的数据库，其中包含的近50万客户文件被暴露且可公开访问。”

“此数据库似乎与MoneyBack网站有关——其为墨西哥国内面向国际游客的主要退税(增值税退税或销售退税)服务供应方。”

“Moneyback隶属于Prorsus Capital SAPI de CV，一家墨西哥投资基金。此次遭遇外泄的数据总量超过400 GB。”

专家们发现超过400 GB敏感数据可通过网络进行公开访问，如此庞大的信息当中囊括有45万5038份扫描文档(包含护照、ID、信用卡以及旅行票据等等)以及8万8623条注册或者扫描形式的惟一护照号码。

专家们发现其中包含的护照信息来自世界各地，具体包括美国、加拿大、阿根廷、哥伦比亚以及意大利等国公民。这部分民众曾经于2016年到2017年之间使用此类退税服务。

那么这类数据外泄可能引发哪些风险?Kromtech公司战略联盟副总裁阿历克斯·柯尼什纽克指出，“网络犯罪分子将能够借此获得进行身份欺诈的的全部资料，或者直接使用数据库中的数十万条信用卡号码。”