Instagram.影响者帐户和联系信息暴露–专家在说什么


一个大规模的数据库,包含数百万Instagram影响者,名人和品牌账户的联系信息已在线公开。由Amazon Web服务托管的数据库在没有密码的情况下留下,允许任何人在内部看。据认为,数据库有超过4900万次记录。安全研究员发现 Anurag sen. 并报道 TechCrunch.他们的文章说“从简要审查数据,每个记录都包含了从影响者Instagram账户刮的公共数据,包括他们的生物,个人资料图片,他们拥有的追随者的数量,如果他们被核实以及他们的城市和国家的位置,也包含他们的位置私人联系信息,例如Instagram帐户所有者的电子邮件地址和电话号码。”

这是行业专家对此事件的看法。


Laurence Pitt,战略安全总监, 瞻博网络:

“在过去的六个月里,在没有强密码的情况下留下公共云数据库并为任何人接触而留下了许多公共云数据库的故事。那里’关于如何做到这一点甚至工具,如Grayhatwarfare,帮助人们!从本质上讲,任何具有少量专业知识的人都可以找到开放数据库,并且有足够的人看着它 ’在发现具有敏感信息的数据库之前只有时间问题。我奇怪的是,与我们听到发现的数据库的所有故事,并知道那里有大约4500万开放式数据库,有多少数据库被发现并立即销售到DarkNet上的某人秘密销售?

凭借最终用户的所有教育,关于密码,生物识别技术和MFA有多强,是保护自己的方式,ISN’它是关于时间持有我们数据的更多组织以同样的方式加强了吗?”


Colin Little,高级威胁分析师, 向心网络网络:

“此活动确认牙膏是多少我们自己的数据是:一旦它’离开管子,它’出来,永远不会回到。电话号码,电子邮件地址和其他PII可以合法地购买和出售,我们必须同意这项法案的唯一机会是阅读精细打印或弃权使用该服务;它也可以被犯罪分子非法收购,因为它们所在的数据库是不正确的保障。在世界上几乎任何其他地点,当我使用机修工等业务的服务时,该机械师仅对产品的质量和安全性负责。我不’不得不看看VIP是否检查了国家消声器维修链’S劳动标准,然后找出链条合同劳动到无数的第三方。这是使用在线服务的风险,甚至甚至注册帐户:此PII将在未经我的知识和未经安全的同意下销往第三方。”


COLIN BASTABRY,CEO 露西安全:

“拥有Instagram的Facebook表示正在调查此事。
或者,随着旧的Gag来了– “Facebook已经建议了另一个安全漏洞。马克扎克伯格正在调查它。”

当然,对于4900万个影响力而言,这是一个笑话,但任何委托他们数据到Facebook业务的任何部分的人都必须希望它具有转售价值。”


Kevin Gosschalk,首席执行官和联合创始人, arkose实验室:

“影响者,名人和品牌在社交媒体上带来了很多影响力,他们能够影响他们的追随者的情绪和行动。最近曝光含有超过4900万个账户的私人联系信息的记录,包括Instagram影响者和名人,是一个及时提醒,该公司必须保护它收集的大量数据量。它还代表了公司未能使用密码的另一个实例,这是一种令人震惊的现象,因为它是最基本的安全形式。时间是Up - 公司需要主动保护他们的攻击表面,特别是在线数据库包含有价值的客户记录,以保护他们的数字生态系统免受破坏性的网络攻击。“


Ameya Talwalkar,联合创始人和CPO, Cequence安全:

通常,我们发现某些数据库可访问应用程序层中的私有数据,可通过Internet访问。在大多数情况下,这些数据库中内置的固有安全性。这是因为它们意味着应用程序层 - Post身份验证中的其他服务和应用程序访问。

使用这些数据库,服务/应用程序之间存在显式信任的概念。在这些数据库具有一些安全/身份验证支持的情况下,通常不会打开,以便根据显式信任模型尽可能快地服务于查询。由于这些应用程序层由于快速开放的循环而变化非常迅速,因此该应用程序层频繁发生变化。在某些情况下,这些更改将敏感数据库休闲开放,以便从公共互联网访问。这些意外的曝光是由于防火墙策略中的错误,安全区域移动,移动工作负载和负载平衡。不幸的是,企业唐’t发现此类错误,直到媒体广泛报告了这种违规之后,对用户和品牌造成了很多损害已经导致了。

过去有类似的违规行为,例如涉及USPS的高调– https//techcrunch.com/2018/11/26/the-us-postal-service-exposed-data-of-60-million-users/://techcrunch.com/2018/11/26/the-us-postal-service-exposed-data-of-60-million-users/

这是怎么发生的?攻击者在Internet上不断扫描开放/可访问的服务器/服务。它们更加专注于在公共/私有云环境中托管的服务,他们知道环境经常更改,这导致安全策略中的错误概率更高。当他们发现如此敏感的数据库时,他们会在刮擦他们可以从它们的数据缩短。那’S过去和今天的Instagram影响者发生了什么。

以下是企业需要解决的问题:

  1. 应用程序层面可见性和锁定机制。
  2. 通过类似于黑客正在使用的工具扫描自己的应用程序层。
  3. 为自己和第三方定期审查安全策略,防火墙规则,工作负载区等。

总裁罗伯特比格格州 Jumio.:

“另一个数据泄露。惊喜,惊喜。我们的更多个人信息每天都会渗入黑暗网络,使欺诈者更容易,更容易犯下身份盗窃和帐户收购。那’他为什么现代企业应该有零信心,以至于在123个主要街道上闻名于约翰史密斯的人实际上是123个主要街道的真正的约翰史密斯’s创建一个新的在线帐户。什么’如果您有当前用户,则更有阴险的是—也命名为约翰史密斯—你真的有多自信,John Smith登录他们的在线账户实际上是John Smith,特别是考虑到他的用户名和密码可以从暗网上购买空洞。在线信任现在应该完全蒸发。每个数据泄露都是墙中的另一个呼口,另一个数据点为什么我们应该运行和尖叫远离受密码保护的系统。“