不安全的MongoDB数据库暴露了超过2.75亿条记录
时间 : 2019-05-07 编辑 : DNS智能解析专家
一个巨大的MongoDB数据库暴露了275,265,298条印度公民的记录，其中包含详细的个人身份信息（PII），在互联网上超过两周没有受到任何保护。安全发现研究员Bob Diachenko使用Shodan发现了在Amazon AWS上托管的可公开访问的MongoDB数据库，并且正如平台提供的历史数据所示，PII数据的大量缓存首先在2019年4月23日编入索引。
正如他在进一步调查后发现的那样，暴露的数据包括姓名、性别、出生日期、电子邮件、手机号码、教育详情、专业信息（雇主、工作经历、技能、职能范围）和当前薪水等信息。
样本数据库记录
虽然未受保护的MongoDB数据库泄露了数亿印度人的敏感信息，但Diachenko没有找到任何将其与特定所有者联系起来的信息。
此外，存储在数据库中的数据集合的名称表明，为了未知目的“作为大规模抓取操作的一部分”收集了整个简历缓存。
暴露的数据库内容
该研究人员“立即通知了印度CERT团队，但数据库仍保持开放和可搜索状态，直到5月8日被黑客称为'Unistellar'组织的黑客被删除。”
数据库被黑客删除后，Diachenko在删除所有数据后发现了以下留言：
黑客留下的消息
Diachenko发现了多个其他不安全的数据库和服务器，发掘了一个可公开访问的140+ GB MongoDB数据库，其中包含3月初的大量 808,539,939个电子邮件记录，另一个包含超过2亿条记录的1月份中国求职者的简历。他还发现了12月份在互联网上公开的超过6600万人的个人信息以及 9月份的额外1100万条记录的个人信息，所有这些记录都存储在配置错误且无密码的MongoDB实例中。
这些数据泄漏是一件事，因为很多MongoDB数据库都是由其所有者公开访问的，并且没有得到适当的保护。这意味着可以通过保护数据库实例来阻止它们。
来源：https://www.bleepingcomputer.com/news/security/over-275-million-records-exposed-by-unsecured-mongodb-database/
