被错误配置的云数据库暴露的数百万酒店客人的信用卡号码

2020-11-15 19:56:03

由于亚马逊网络服务S3存储桶配置错误,一家广泛使用的酒店预订平台曝光了1000万份与全球多家酒店客人相关的文件。这些记录包括敏感数据,包括信用卡详细信息。

威望软件的“云服务”被酒店用来将他们的预订系统与Expedia和Booking.com等在线预订网站整合在一起。

据发现桶的网站Planet的安全团队称,这起事件总共影响了价值24.4G的数据。研究人员表示,许多记录包含多名酒店客人的数据,这些客人被集中在一起预订一个房间;因此,暴露的人数很可能远远超过1000万人。

研究小组确定,其中一些记录可以追溯到2013年--但这个桶在本月被发现时,仍然是“活的”和正在使用的。

该公司在最近的一份关于这一问题的通知中表示:“该公司在没有任何保护措施的情况下,存储了酒店客人和旅行社多年的信用卡数据,使数百万人面临欺诈和网络攻击的风险。”仅从2020年8月开始,S3存储桶就包含了超过18万条记录。其中许多都与众多网站上的酒店预订有关,尽管这段时间全球酒店预订量处于历史最低水平。

Planet网站表示,这些记录包含大量信息,包括酒店客人的全名、电子邮件地址、国民身份证号码和电话号码;卡号、持卡人姓名、简历和有效期;以及预订细节,如酒店预订的总费用、预订号、住宿日期、客人提出的特殊要求、人数、客人姓名等。

这一曝光影响了许多平台,包括通过Amadeus、Booking.com、Expedia、Hotels.com、Hotelbees、Omnibees、Sabre等网站预订的数据。

根据Planet网站的说法,“所有与云酒店相关的网站和预订平台都可能受到影响。”“这些网站对由此暴露的任何数据不负责任。”

研究人员说,受影响的酒店客人可能成为广泛攻击的目标,从身份盗窃和网络钓鱼到有人劫持他们的度假。例如,他们指出,网络罪犯可以利用酒店住宿的细节来制造令人信服的骗局,并将目标对准曾住过昂贵酒店的富人。如果任何一家酒店披露了关于某人生活的令人尴尬或泄露的信息,这可能会被用来敲诈和勒索他们。

研究人员说:“我们不能保证在我们发现数据之前,没有人访问过S3存储桶并窃取了数据。”“到目前为止,还没有证据表明这种情况会发生。然而,如果是这样的话,将会对被曝光者的隐私、安全和财务健康产生巨大的影响。“。

其他攻击场景包括信用卡欺诈和更长时间的诈骗,攻击者可以利用这些细节建立信任,然后要求鼓励人们点击恶意链接、下载恶意软件或提供有价值的私人数据。

至于Prestige,它受一般数据保护条例和支付卡行业数据安全标准(PCIDSS)的约束。违反GDPR的行为可能会导致巨额罚款。研究人员指出,不遵守PCIDSS可能意味着Prestige接受和处理信用卡支付的能力将被剥夺。

研究人员说:“国际旅游和酒店业已经被冠状病毒危机摧毁,许多公司挣扎求生,数百万人失业。”“在这样一个微妙的时刻,暴露了如此多的数据,让这么多人处于危险之中,Prestige Software可能会因为这起泄密事件而面临公关灾难。”

研究人员直接联系了AWS,并在第二天确保了S3存储桶的安全。他们说,威望证实它拥有这些数据。Threatpost已经联系Prestige就这一事件发表评论。

这是一系列大型云错误配置中的最新一例。制药巨头新冠肺炎和有望获得疫苗的辉瑞公司在10月份被发现泄露了美国处方药使用者的私人医疗数据数月甚至数年,这要归功于一个不受保护的谷歌云存储桶。暴露的数据包括电话记录和与处方相关的个人身份信息(PII)。

同样是在10月份,服务于中小企业的知名VoIP提供商BroAdoice被发现泄露了超过3.5亿条客户记录,这些记录与该公司基于云的通信套件“b-hive”有关。

在今年秋天的其他事件中,估计有10万名Razer的客户通过错误配置的Elasticsearch服务器暴露了他们的私人信息。Razer是一家高端游戏设备供应商,从笔记本电脑到服装。此外,Mailfire拥有的一个配置错误的Elasticsearch服务器影响了70个约会和电子商务网站,被发现泄露了PII和浪漫偏好等细节。此外,英国国家医疗服务体系(National Health Service)威尔士分部宣布,新冠肺炎检测呈阳性的威尔士居民的PII通过公共云上传曝光。

9月份的一项分析发现,包含高度敏感信息的云数据库有太大比例是公开可用的。来自比较公司的这项研究显示,所有谷歌云存储桶中有6%配置错误,并向公共互联网开放,任何人都可以访问其内容。

11月18日下午2点,黑客将Bullseye放在Healthcare:上。美国东部夏令时(EDT)将找出2020年医院遭受勒索软件攻击的原因。请保留您的位置,参加这个关于医疗网络安全优先事项的免费网络研讨会,听取主要安全声音关于数据安全、勒索软件和补丁如何需要成为每个部门的优先事项,以及为什么。11月18日下午2点至3点,请加入我们的行列。美国东部夏令时(EDT)为这场现场直播的有限参与式网络研讨会。