安全研究人員發(fā)現(xiàn)了一個錯誤配置的招聘數(shù)據(jù)庫，該數(shù)據(jù)庫正在泄漏近2600萬個文件，安全專家警告說，這種事件越來越頻繁。

根據(jù)Cybernews的一份報告，DanceHook（一個在線申請人跟蹤平臺將人力資源部門與求職者連接起來），使一個Azure Blob存儲容器不當(dāng)配置和公開訪問。

結(jié)果，數(shù)百萬美國公民的簡歷被暴露在內(nèi)，包括全名，電子郵件地址，電話號碼，教育背景，專業(yè)資格和就業(yè)歷史。

Cybernews團(tuán)隊解釋說：“這些裸露的簡歷中包含的個人細(xì)節(jié)水平使它們非常適合高度針對性的網(wǎng)絡(luò)釣魚攻擊?！?/p>

“電子郵件地址和電話號碼可以用網(wǎng)絡(luò)釣魚電子郵件，SMS騙局或旨在欺騙個人披露敏感數(shù)據(jù)（例如ID掃描或銀行信息）的虛假工作優(yōu)惠來利用?！?/p>

研究人員警告說，這些數(shù)據(jù)可能對針對求職者的網(wǎng)絡(luò)犯罪分子很有價值。最近幾個月，像朝鮮州支持的拉撒路集團(tuán)這樣的團(tuán)體專門針對求職者。

今年的早期研究揭示了該小組如何使用LinkedIn等平臺或通過電子郵件和WhatsApp對誘餌受害者模仿招聘人員。

加強(qiáng)存儲配置實踐

Black Duck的軟件供應(yīng)鏈風(fēng)險負(fù)責(zé)人蒂姆·麥基（Tim Mackey）表示，這一事件強(qiáng)調(diào)了與被忽視的錯誤配置相關(guān)的嚴(yán)重風(fēng)險，并敦促企業(yè)改善其配置管理流程。

他說：“配置錯誤的系統(tǒng)，VM，容器，微服務(wù)和數(shù)據(jù)庫不是新問題?！?/p>

“例如，來自此漏洞的示例數(shù)據(jù)顯示了蒙版的標(biāo)識符，例如電子郵件地址和手機(jī)號碼，這表明這些字段沒有加密，或者不安全的API也可能導(dǎo)致泄漏。”

Huntress安全運營高級經(jīng)理Dray Agha支持Mackey的觀點，強(qiáng)調(diào)這樣的事件正在越來越常規(guī)。

Agha說：“像在這種情況下暴露的Azure容器一樣，云存儲錯誤的存儲空間是一個令人震驚的常見和可避免的問題，尤其是在處理敏感個人數(shù)據(jù)的組織中。”

“組織必須進(jìn)行定期配置審核，采用最小特權(quán)訪問政策，并保持連續(xù)監(jiān)控，以防止大規(guī)模接觸個人信息?！?/p>

Cybernews團(tuán)隊表示，他們已經(jīng)與TalentHook聯(lián)系，并建議該公司調(diào)整訪問設(shè)置以限制公共訪問并確保容器的安全，同時還可以更新權(quán)限以確保只有授權(quán)的用戶或服務(wù)才能訪問數(shù)據(jù)。

請務(wù)必在Google News上關(guān)注PHP.CN，以獲取我們所有最新更新，專家分析和評論。

以上是當(dāng)一家招聘軟件公司留下了一個錯誤配置的Azure容器Open＆ndash;當(dāng)招聘軟件公司露出2600萬個簡歷。網(wǎng)絡(luò)安全專家警告說，這是一個簡單的錯誤，變得太普遍了的詳細(xì)內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！