1.23亿美国家庭敏感数据泄露，谁该为AWS S3配置错误买单？

点击：65 发布时间：2021-04-22 10:01:10

       网络安全公司UpGuard 发表博文称，该公司网络风险研究主管克里斯-维克里于2017年10月6日发现——美国加州数据分析公司Alteryx的因亚马逊AWS S3存储桶简单的配置错误问题，导致1.23亿美国家庭的敏感数据泄露。

       数据泄露范围

       Alteryx公司泄露的这些数据，涉及美国家庭的住址、联系信息、偏爱的宠物等，数据详细到包括抵押所有权和财务状况以及购买行为的详细分析，这些暴露的数据反映出美国消费者的真实生活。

       涉Experian和美国人口普查局的数据

       此存储库中暴露的大量数据属于Alteryx的合作伙伴美国征信巨头Experian和美国人口普查局（US Census Bureau）2010年的普查数据。虽然人口普查数据由公开访问的统计数据和信息组成，但Experian 面向企业的可出售的ConsumerView 营销数据库中，除了公共数据还包含敏感数据。这些暴露的数据泄露了几十亿“个人识别信息”以及几乎每个美国家庭的相关数据。

       这次的“配置错误”有些不同

       S3存储桶的默认安全设置只允许特定授权用户访问其中的内容，但该存储桶配置错误，允许任何AWS“认证用户”下载其中的数据。事实上，AWS“认证用户”——即具有亚马逊AWS账户的任何用户，而该用户基础已经超过100万人，并且用户注册这样的账号是免费的。也就是说，注册一个AWS账号，再注册一个新电子邮箱就能下载该存储桶的数据。

       位于子域名为“alteryxdownload”的这个存储桶包含大量Alteryx软件发布和开发文件，以向客户提供应用程序服务，但其中还包含两个不属于Alteryx的文件：其中一个是名为“ConsumerView_10_2013”的36GB数据文件，扩展名为.yxdb，该文件中包含大量美国人的数据，其中有超过1.23亿行数据，每行代表一个美国家庭，这个数字接近于美国2013年的家庭数量，这份文件或许就是2013年创建的。

       虽然每行代表一个不同的美国家庭，但有248列交叉索引收录了每个家庭已知或模式化个人详情、偏好和行为。这里数据点共有超过35亿个字段，可见其中的数据的详细程度。

       Experian 2016年在营销手册中描述称，ConsumerViewSM是传统和数字营销活动的最大和最全面的资源。通过针对超过3亿消费者和1.26亿家庭的数千个数据属性，ConsumerView数据可让客户深入了解消费者，在各个渠道获得更多可行性见解。

       经研究人员证实，Alteryx正是Experian和美国人口普查局的合作伙伴。这起数据泄露再次说明第三方风险不容忽视。