哈佛商业出版被许可人受到勒索软件的打击

Cybernews研究团队最近的一个发现，很好说明了开放的数据库对企业和消费者都构成了巨大的风险。

 9月16日，赛博新闻在土耳其发现了一个属于哈佛商业出版社的开放数据库Informag。

三天后，网络新闻研究人员重新访问数据库，查看其是否被关闭，发现其遭到勒索软件的打击。

一名袭击者要求提供0.01 BTC (约200美元)的赎金，威胁要开始泄漏数据，并警告可能违反GDPR的巨额罚款。

一项网络新闻调查显示，至少有5名受害者同意网络犯罪分子的要求。然而，对袭击者的最后一次支付是在7月31日，因此没有证据表明Infotag支付了赎金。

发现

 9月16日，研究人员发现了一个由哈佛大学全资子公司哈佛商业出版( Harvard Business Publishing，HBP )独立拥有和运营的被许可人informag . com . tr拥有的未受保护的MongoDB实例。

根据其网站，Informag以土耳其语出版《彭博商业周刊》和《哈佛商业评论》。

该数据库托管于土耳其，有3.9 GB -强，有超过1 950万条记录，尽管有一些重复和一些数据不敏感。

该数据库总共泄漏了超过152，000件与客户有关的信息，如电子邮件、姓名、LinkedIn、Twitter和Facebook简介的链接以及散列密码。有些是由像MD5这样的脆弱加密算法保护的，但另一些是用bcrypt加密的，被认为是一个强大的哈希。

该实例还包含15个员工电子邮件、姓名和密码保护的弱SHA1 – 128bit哈希。一些凭据对属于哈佛商业评论英语( @ hbr.org )用户。

最古老的条目可追溯到2017年，目前尚不清楚这个实例在网络新闻发现之前已经开放了多久。

该数据集还包含带有电子邮件、日期、银行名称、电话号码和互联网协议( IP )地址的付款日志。Informag还存储了一些公司和私人的物理地址，以及公司税号。

·  从2017年起，3.9 GB -强数据库中的信息。

·  该数据库包含15个员工的电子邮件、姓名和保护不良( SHA1-128bit )密码。

·  标记为”用户”的数据库索引包含超过152，000个条目：姓名、电子邮件、社交媒体配置文件的链接和密码，其中一些是使用非常弱的MD5算法散列的。

·   “订单”索引存储了公司和个人的姓名、物理地址、付款类型和电话号码。它也有组织的税号。

危险的泄漏

鉴于相当一部分存储的密码是使用弱密码散列函数( MD5或SHA1)散列的，它们可以很容易地被解密并用于凭据填充攻击。

 SHA1 (安全哈希算法1)自2004年被破获，可以被犯罪分子以相对较少的成本迅速突破。MD5是一个更弱的算法，据报道是在1996年首次妥协的。

此外，该数据库包含物理地址——与姓名、电子邮件地址和电话号码配对，这些信息可用于身份盗用或骚扰。

公开的实例中也包含了一些可能对公司本身造成损害的信息。例如，”管理员”指标显示部分员工有权编辑哈佛商业评论土耳其( hbrturkiye.com )网站。员工的电子邮件和凭证可以在未经确认的情况下修改网站，或者访问连接到互联网的额外资源。

该数据库还可能损害Informationag的许可方——哈佛商业出版——因为它包含了一些属于hbr . org地址的凭据。

赎金

 9月19日，Cybernews的研究人员回去检查数据库是否仍然开放，得知数据库遭到了勒索软件的攻击，这意味着犯罪分子在其所有者有机会关闭之前就发现了该数据集。

克鲁克斯留下字条，要求用比特币赎金，并威胁要联系当局，可能会对该公司可能违反GDPR的行为处以罚款。

你必须在48小时内向[钱包地址]支付0.01 BTC才能收回。48小时到期后，我们将泄露和暴露您的所有数据。在拒绝支付的情况下，我们会联系《通用数据保护条例》( General Data Protection Regulation，GDPR )并通知他们您以开放形式存储用户数据且不安全。根据法律规定，你将面临重罚或逮捕，你的基地转储将从我们的服务器中删除! [原文如此]。

它进一步给出了受害者在哪里以及如何购买比特币的说明。在进一步调查中，Cybernews小组发现，该照会中提到的钱包地址有9笔交易，其中5笔交易似乎是受害者转移0.01 BTC ——正是骗子所要求的赎金数额。

罪犯钱包的最后一笔交易是在7月31日，这表明Informag并没有满足他们的要求。

我们已经与Informag和哈佛商业出版社联系，了解有关该事件的更多细节。哈佛商业出版社立刻做出反应，指出虽然Informag只是被许可方，但他们认真对待这些问题，并使土耳其公司意识到了赛博新闻提供的信息。我们也多次联系过Informag，但是他们还没有回复。

恰当的加密是关键

数据泄露监控平台Breachsense已经索引了超过250亿份泄露的凭证。它的创始人Josh Amishav – Zlatin说，当数据泄露成为头条新闻时，它几乎是一个配置错误的ElasticSearch、MongoDB或S3实例。

他告诉《赛博新闻》说，潜在的问题往往是缺乏对公司资产的可见性加上服务器本身的简单错误配置。

这也可能是一个简单的错误配置，例如，IT专家错误地打开了一个外部世界的端口，并无意中暴露了数据。

网络安全公司SilverSky的专业服务副总裁Tom Neclerio告诉Cybernews说，第二个常见错误与客户环境中存在的应用程序漏洞有关，这些漏洞可以暴露后端数据库并允许黑客访问。

即使非故意暴露，敏感数据仍然可以保持安全。然而，企业并不总是正确地加密数据，例如使用过时的哈希算法来保护密码。

 Neclerio说，暴露敏感数据或允许其落入坏人之手会产生级联效应，导致监管和合规罚款、潜在的诉讼和法律罚款、包括失去客户信心在内的声誉损害以及包括失去业务在内的财务影响。

 Group-IB的攻击面管理团队于2021年在开放网络上识别了308，000个公开数据库。