美国360万创作者隐私数据因数据库未加密保护遭泄露
网络安全研究团队vpnMentor最新报告披露，一款应用开发平台的未加密数据库暴露了超过360万应用创作者、网红和企业家的个人信息。网络安全专家Jeremiah Fowler发现这个未设防的数据库包含高达12.2TB的敏感数据。
海量敏感数据裸奔
该数据库既未加密也未设置密码保护，存储着3,637,107条记录，包含用户和应用创作者的姓名、电子邮箱、实际住址以及支付明细等敏感信息。根据Fowler的分析报告，内部文件及数据库名称显示这些数据属于德克萨斯/特拉华州公司Passion.io。
Passion.io提供无代码平台，使创作者、教练和名人等无需技术背景即可构建自己的移动应用。这些应用允许用户提供互动课程，并通过订阅或一次性购买获利。
数据滥用风险严峻
泄露的个人身份信息（PII）包括姓名地址甚至图像，存在重大安全隐患。Fowler警告称，犯罪分子可能利用这些数据进行"钓鱼或社会工程攻击"——这些正是网络犯罪的常见起点。泄露的电子邮箱和购买记录可能被用于冒充可信机构，诱骗受害者透露更多个人或财务细节。
更令人担忧的是，部分用户资料图片涉及儿童，这些图像可能被滥用于身份冒充、创建虚假账户或其他网络诈骗。研究人员指出，即使看似无害的图像也可能"被武器化或用于不道德用途"。
除个人数据外，数据库还包含应用创作者出售的付费视频文件、PDF文档以及内部财务记录，这些数据不仅可能影响创作者收入，还会让竞争对手窥见公司运营细节。
企业响应及时获赞
发现漏洞后，Fowler立即通知Passion.io。该公司反应迅速，当天就限制了数据库的公开访问。Passion.io承认这一发现，表示其"隐私官和技术团队正在修复问题，确保此类事件不再发生"。
数据库安全防护五要点
为避免类似Passion.io的数据泄露事件，企业应落实以下关键措施（虽不能保证绝对安全，但可显著降低风险）：
1. 强化认证与访问控制
- 对管理权限实施多因素认证
- 采用基于角色的访问控制限制敏感数据查阅权限
- 严禁数据库在无密码或访问控制状态下暴露
2. 实施静态与传输加密
- 采用强加密协议并安全管理密钥
- 确保所有敏感数据在存储和传输过程中均加密
3. 自动化配置错误检测
- 设置公开暴露和异常访问模式的告警机制
- 使用云安全工具或配置扫描器（如AWS Config、GCP安全指挥中心）实时检测错误配置
4. 定期安全审计与渗透测试
- 不仅测试应用程序，还需检查存储和数据库层
- 对基础设施进行常规漏洞评估和渗透测试
5. 加强技术团队安全培训
- 保持文档更新并在开发过程中执行安全策略
- 确保所有基础设施操作人员掌握云数据库防护、权限管理和风险配置识别技能
-
2025-07-28
美国360万创作者隐私数据因数据库未加密
网络安全研究团队vpnMentor最新报告披露，一款应用开发
-
2024-03-23
联合国通过首个全球人工智能决议草案
当地时间3月21日，联合国大会一致通过了全球第一个关于人工智
-
2024-03-23
黑客可通过Unsaflok 漏洞获取数百
近日，研究人员了披露了一个有关 Saflok 电子 RFID
-
2022-11-28
Gartner发布2022年中国安全技术…
Gartner于2022年首次发布《2022年中国安全技术成
-
2022-11-28
设立密码专业学位，加强高层次密码应用型人
近期国务院学位委员会、教育部印发通知，发布《研究生教育学科
中文