美國家安全委員會發生數據泄露：近萬個登錄憑據曝光，波及2000家公司
責編：gltian ｜2023-09-04 15:33:38美國國家安全委員會泄露了其成員的近1萬份電子郵件和密碼，暴露了政府組織和大公司在內的2000家公司。其中包括美國國家航空航天局和特斯拉等。
國家安全委員會（NSC）是美國的一個非營利組織，提供工作場所和安全培訓。在其數字平臺上，NSC為分布在不同企業、機構和教育機構的近55000名成員提供在線資源。
然而，該組織的網站在五個月的時間里受到網絡攻擊。公眾可以訪問暴露了數千個憑據的網絡目錄。在一長串泄露的證書中，有大約2000家公司和政府實體的員工，其中包括：
◆ 化石燃料巨頭：殼牌、英國石油、埃克森、雪佛龍
◆ 電子產品制造商：西門子、英特爾、惠普、戴爾、英特爾、IBM、AMD
◆ 航空航天公司：波音公司、美國聯邦航空管理局（FAA）
◆ 制藥公司：輝瑞、禮來
◆ 汽車制造商：福特、豐田、大眾、通用、勞斯萊斯、特斯拉
◆ 政府實體：司法部、美國海軍、聯邦調查局、五角大樓、美國國家航空航天局、職業安全與健康管理局
◆ 互聯網服務提供商：Verizon、Cingular、Vodafone、ATT、Sprint、Comcast
◆ 其他：亞馬遜、家得寶、霍尼韋爾、可口可樂、UPS
這些公司可能在平臺上持有賬戶，以獲取培訓材料或參加國家安全委員會組織的活動。
該漏洞不僅對NSC系統構成風險，也對使用NSC服務的公司構成風險。泄露的憑據可能被用于憑據填充攻擊，這些攻擊試圖登錄公司的互聯網連接工具，如VPN門戶、人力資源管理平臺或公司電子郵件。
此外，這些憑據可能被用于首次訪問公司網絡，部署勒索軟件，竊取或破壞內部文件，或訪問用戶數據。
該漏洞于3月7日被發現，研究人員發現了國家安全委員會網站的一個子域名，該子域名可能用于開發目的。它向公眾公開了其web目錄的列表，使攻擊者能夠訪問對web服務器操作至關重要的大多數文件。在這些可訪問的文件中，研究人員還發現了一個存儲用戶電子郵件和散列密碼的數據庫備份。由于物聯網搜索引擎于2023年1月31日首次對泄漏進行索引，該數據在5個月內可供公眾訪問。
備份總共存儲了大約9500個獨特的帳戶及其憑據，其中近2000個不同的公司電子郵件域屬于各個行業的公司。
擁有公眾可訪問的開發環境表明開發實踐不佳。此類環境應獨立于生產環境的域托管，并且必須避免托管實際用戶數據。當然，也不應公開訪問這些數據。
由于大量電子郵件被泄露，平臺用戶可能會經歷垃圾郵件和網絡釣魚電子郵件的激增。建議他們從外部驗證電子郵件中包含的信息，并在單擊鏈接或打開附件時謹慎行事。
來源：E安全