京东6.18大促主会场领京享红包更优惠

 找回密码
 立即注册

QQ登录

只需一步,快速开始

查看: 6003|回复: 0

全世界谁最有钱?他们的信息全被泄露了

[复制链接]

9

主题

0

回帖

10

积分

新手上路

积分
10
发表于 2019-5-25 03:16:22 | 显示全部楼层 |阅读模式 来自 中国
点击▲关注 “CU技术社区”   给公众号标星置顶
3 w$ l) [2 A  U" W
更多精彩 第一时间直达
/ v" f5 z# ]; {1 j' ]( C: c
全世界谁最有钱?他们住在哪里?手机号是什么?富豪们买了什么?想必你跟我一样好奇。) h9 {; r' U; y5 M: b) L! O( u- {
这些信息很值钱,这些信息也很危险。# |1 X3 ^, v' \; u
最近,富豪们要瑟瑟发抖了。0 t3 y% z- c, V' k# n8 ?; P, D5 b1 `
5月21日据Forbes报道,位列福布斯全球2000强榜单的Hindustan Computers Limited(HCL)在多个子域上托管的可公开访问的页面和Web界面暴露了大量的员工和商业信息。$ Y/ Q- I$ e# j, @; ~% k( |
+ O3 b- y: \; ~# @/ G2 D- L2 R4 P, U
该公司拥有200多名财富500强以及600多名来自福布斯全球2000强名单的重要客户,这也为其客户企业带来机密信息泄露的重大风险。
8 z8 O- Y8 {6 [  ]5 RHCL什么鬼?! e" M9 ?+ Q* P9 c; _) b
没错,上述故事中担任“坑货”公司的原型就是HCL(Hindustan Computers Limited)。这是一家印度跨国信息技术(IT)服务和咨询公司,其总部位于北方邦的诺伊达。2 H9 @2 z* l; \8 }
! z6 a. h; L1 d7 t0 e
HCL业务涉及多个领域,包括航空航天和国防、汽车、银行、资本市场、化学和加工业、消费品、能源和公用事业、医疗保健、高科技、工业制造、保险、生命科学、制造业、媒体和娱乐,采矿和自然资源、石油和天然气、零售、电信、旅游、运输、物流和酒店等等。4 M7 Y/ \. M* P( B8 d: J% _
这意味着什么?HCL内部存储了海量企业的商业信息及数据。4 u) P8 z  ?3 s" J
HCL内部数据遭泄露5 S! K3 L8 h4 @& Z
OK,到这我想你已经猜到接下来要讲什么了。
& n' L7 Y" H3 ?% o根据安全评估公司UpGuard的说法,此次HCL暴露的公共数据“包括新员工的个人信息和明文密码,客户基础设施安装报告以及管理人员的Web应用程序。”
3 u& w" y$ L/ R0 Q, Q8 c
暴露的HCL人力资源管理系统

. j2 q# ?+ ^% k8 g4 v; R: L8 H) o9 k据悉,UpGuard的研究团队在5月1日发现这些被暴露的数据,当时在HCL域上检测到可免费下载并包含客户关键字的文档。文档中包含了其他可公开访问的页面以及个人和商业数据。
8 n( S+ l5 i* O% m, a6 y  u鉴于包含泄露数据的页面托管在多个HCL子域上,并且只能通过Web界面访问,研究人员最终决定在五天后才公开信息的详细分析结果。
) C; |. v& i$ B. ?5月6日,UpGuard在进一步分析泄露的信息后发现了一个电子统计表,其用于管理新雇用的共364条人事记录。! \% D2 _4 y" C
UpGuard研究人员称,364天记录中最古老的可以追溯到2013年。而直到2019年仍有超过200条相关记录在其中,这里面有54条记录是2019年5月6日加入的新员工。( @' L, K0 V4 x  [  Q
暴露的SmartManage报告系统

& f4 I, E1 S  }( D4 c+ _' h暴露的数据包括候选人ID、姓名、手机号码、加入日期、加入地点、招聘人员SAP代码、招聘人员姓名、创建日期、用户名、明文密码、BGV状态、接受的要约以及候选表格的链接。1 X) {7 P) G, t' f8 Y/ h+ |
客户机密信息“危在旦夕”4 Z" {) \6 m' I: J9 l0 }
正如上面所提,通过员工通行密码,黑客能够在HLC的内部系统之间“畅游”。而最新发现表明这些风险有极大可能会波及到其客户。
/ N% a; K  M/ d. g研究人员在其他不需要身份验证的页面上发现了更多泄露信息,这些信息中有超过2800名员工的名称和SAP代码可以被用于操控HCL内部的SmartManage报告系统查找或执行“停用”命令,以此管理全部客户的安装报告及项目数据。/ ]4 k+ B  |9 B
SmartManage报告索引

# M1 }' B. L7 Y! @6 |UpGuard还发掘了一份内部分析报告数据库,其中列出了超过5700个事件记录,其中包含了大约18000个条目记录了每周的客户报告详细内容,而最早的安装报告甚至可以追溯到2016年。
! h$ [6 M( g/ L9 R! g& L真高冷?还是慌!8 o3 C) b) K( B& W! L2 E
对于上述发现,UpGuard向HCL发送了一份通知并详细说明了泄露数据的性质——两个可公开访问的页面、一个包含子域名的列表,以及向HCL的数据保护官员公开展示其业务信息。2 C# U# _. X+ h% w
报告发送后尚未得到任何回复。
1 s+ h1 J3 B- I  ?尽管如此,5月7日UpGuard研究团队发现其上报的数据泄露通知的一部分内容得到了保护——发送的两个页面目前都需要访问所需的身份验证,并且相对安全。然而,其他的页面则仍然没有被“纳入”HCL的保护范围内。* ?5 m( \, \* R! |" l! @; a
UpGuard称:“该研究人员尝试再次发送了一封电子邮件,其中包含与HCL数据相关的其他泄露数据的页面信息。截止5月8日晚间,研究人员验证并确认匿名用户已经无法访问这些页面。”4 ]* L# v. }- L# J" T9 s, N
该研究人员表示,虽然HCL没有与报告数据泄漏的公司建立任何形式的沟通渠道,但UpGuard报告得出的结论是“HCL的此次泄漏事件应该引起商业领袖们的注意,他们很可能因此被沦为下一个受害者“。
; B+ p5 z" _: l4 T宅客频道得知,HCL似乎准备联合BleepingComputer发表正式声明。但外媒核实情况后,截止本文发布前依旧未收到任何回复。
5 w. I3 l( q* q1 M
转自 | 宅客频道  参考来源:Forbes  如有侵权,请联系删除
3 A: l3 V& b# ~

$ _% ^8 }9 L, @6 [+ m5 _2 I

( H! q6 u) E9 _4 ~$ M1 X/ b
: m+ [( q2 u8 Y, @4 n0 k

( a/ x3 a, Y1 X, z) G* k. j9 W# V3 p0 e- m; I* O* o7 K  \
, x/ z  R5 T7 K5 C; ^# a" l; B0 b

" p$ |* |0 v' g8 {4 l( S5 \来源:http://mp.weixin.qq.com/s?src=11&timestamp=1558724404&ver=1626&signature=TmxXpgFoTtLW6Kt780In7ZuhRebeEGj1UmspOI0GipKv3wlfaTx*vmRat8iCHceNwQcVOPlSPYLJzMY1vcjdQ2vk8W8BpDLP0xzoOljMgO4I9QjNMBUmMCMgcdVMFOd5&new=12 n  t! K' R9 Y0 @1 h- w1 N
免责声明:如果侵犯了您的权益,请联系站长,我们会及时删除侵权内容,谢谢合作!

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有账号?立即注册

×

帖子地址: 

梦想之都-俊月星空 优酷自频道欢迎您 http://i.youku.com/zhaojun917
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

关闭

站长推荐上一条 /6 下一条

QQ|手机版|小黑屋|梦想之都-俊月星空 ( 粤ICP备18056059号 )|网站地图

GMT+8, 2025-7-26 14:37 , Processed in 0.050561 second(s), 28 queries .

Powered by Mxzdjyxk! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表