美國逾2400萬份銀行貸款和抵押貸款文件被泄露到網(wǎng)上

　　據(jù)外媒報(bào)道，在一臺(tái)服務(wù)器出現(xiàn)錯(cuò)誤后，超過2400萬份金融和銀行文件在網(wǎng)上被發(fā)現(xiàn)。這些文件顯示了美國一些最大銀行的數(shù)萬筆貸款和抵押貸款信息。

　　這臺(tái)運(yùn)行ElasticSearch數(shù)據(jù)庫的服務(wù)器擁有超過十年的數(shù)據(jù)，其中包括貸款和抵押貸款協(xié)議、還款時(shí)間表以及其他高度敏感的金融和稅務(wù)文件。這些文件透露了個(gè)人財(cái)務(wù)生活的具體信息。

　　但是它沒有密碼保護(hù)，任何人都可以訪問和讀取其中大量的信息。

　　據(jù)信，該數(shù)據(jù)庫只暴露了兩周，但這個(gè)時(shí)間已足夠讓獨(dú)立安全研究員鮑勃-迪亞琴科(Bob Diachenko)查看到了這些文件。乍一看，你無法立即知道誰擁有這些數(shù)據(jù)。在我們?cè)儐柫藥准毅y行后，該數(shù)據(jù)庫于1月15日關(guān)閉。

　　這次泄密可以追溯到為金融行業(yè)服務(wù)的數(shù)據(jù)和分析公司Ascension。該公司的總部設(shè)在得克薩斯州的沃思堡。該公司提供數(shù)據(jù)分析和投資組合估值。在它的服務(wù)中，Ascension將紙質(zhì)文件和手寫筆記轉(zhuǎn)換成計(jì)算機(jī)可讀的文件——被稱為OCR文件。

　　迪亞琴科在自己的書面報(bào)告中說，被曝光的文件正是那家銀行的被轉(zhuǎn)換后的OCR文件。

　　Ascension的母公司Roc.hk Partners擁有總價(jià)值44億美元的4.6萬多筆貸款。該公司總法律顧問桑迪-坎貝爾(SandyCampbell)證實(shí)了這起安全入侵事件，但表示該公司的系統(tǒng)沒有受到影響。

　　他在一份聲明中說：“1月15日，該供應(yīng)商得知一臺(tái)服務(wù)器出現(xiàn)配置錯(cuò)誤，可能導(dǎo)致了一些抵押貸款文件曝光。因此，它立即關(guān)閉了有問題的服務(wù)器。我們正在與第三方取證專家合作調(diào)查這一情況。隨著調(diào)查的進(jìn)行，我們還與執(zhí)法調(diào)查人員和技術(shù)合作伙伴保持定期聯(lián)系。”

　　該聲明還補(bǔ)充說，未指明的部分貸款信息已被分享給合同商進(jìn)行分析，但無法立即證實(shí)有多少貸款文件被泄露。

　　該供應(yīng)商是總部設(shè)在紐約的OpticsML公司。記者聯(lián)系該公司的努力沒有成功。其網(wǎng)站處于離線狀態(tài)，其電話號(hào)碼也打不通。

　　坎貝爾在電話中確認(rèn)，該公司將通知所有受影響的客戶，并根據(jù)數(shù)據(jù)泄露通知法向州監(jiān)管機(jī)構(gòu)報(bào)告這一事件。

　　涉及數(shù)家主要金融和貸款機(jī)構(gòu)

　　從我們的審查中可以清楚地看出，這些文件涉及幾家主要金融和貸款機(jī)構(gòu)的貸款和抵押貸款信息以及其他往來信函。這些文件可以追溯到2008年，如果不是更久的話。其中包括花旗金融、匯豐人壽、富國銀行、CapitalOne和一些美國聯(lián)邦政府部門(包括住房和城市發(fā)展部)的文件。花旗金融是花旗集團(tuán)旗下一個(gè)現(xiàn)已倒閉的貸款金融部門。

　　其中一些公司在將其抵押貸款部門和資產(chǎn)出售給其他公司后，早已停業(yè)。

　　雖然不是所有的文件都包含高度敏感的個(gè)人數(shù)據(jù)，但我們發(fā)現(xiàn)：姓名、地址、出生日期、社會(huì)保障號(hào)碼、銀行賬號(hào)和支票賬號(hào)，以及包含敏感財(cái)務(wù)信息的貸款協(xié)議信息，例如個(gè)人申請(qǐng)貸款的原因。

　　一些文件還指出了某些個(gè)人是否申請(qǐng)了破產(chǎn)和稅務(wù)文件，包括年度W-2稅表。這些信息很容易被騙子用來要求虛假退款。

　　但迪亞琴科說，該數(shù)據(jù)庫以隨機(jī)順序存儲(chǔ)文檔，不容易以易于閱讀的方式呈現(xiàn)，因此很難從一份文檔跟蹤到另一份文檔。

　　我們利用公共記錄檔案數(shù)據(jù)庫中的信息來驗(yàn)證這些文件數(shù)據(jù)的真實(shí)性。

　　“網(wǎng)絡(luò)犯罪分子的金礦”

　　迪亞琴科說：“這些文件包含高度敏感的數(shù)據(jù)，如社會(huì)保障號(hào)碼、姓名、電話、地址、信用記錄和其他細(xì)節(jié)，這些信息通常是抵押貸款或信用報(bào)告的一部分。這些信息將成為網(wǎng)絡(luò)犯罪分子的金礦。他們將擁有竊取身份、提交虛假納稅申報(bào)表、獲得貸款或信用卡所需的一切有用信息。”

　　盡管這些文件來自這些金融機(jī)構(gòu)，但幫助確保數(shù)據(jù)安全的花旗銀行表示，它目前與該公司沒有關(guān)系。

　　花旗的一位發(fā)言人表示：“花旗最近意識(shí)到，一個(gè)與花旗沒有聯(lián)系的第三方公司在一個(gè)不安全的在線環(huán)境中存儲(chǔ)了某些抵押貸款原始文件和修改文件。這些文件包含有關(guān)花旗現(xiàn)任或前任客戶以及其他金融機(jī)構(gòu)客戶的信息。花旗通知了執(zhí)法部門，啟動(dòng)了徹底的調(diào)查，并迅速采取行動(dòng)，以確保這些信息不再被公開獲取。”

　　花旗證實(shí)，“我們沒有發(fā)現(xiàn)任何證據(jù)表明花旗的系統(tǒng)受到了安全入侵。”

　　該銀行補(bǔ)充說，它正在努力識(shí)別潛在的受影響客戶。

　　其他數(shù)十家公司也受到影響，包括規(guī)模較小的地區(qū)銀行和大型跨國公司。

　　富國銀行的一位發(fā)言人表示，這些數(shù)據(jù)是Ascension從那些購買富國銀行抵押貸款的實(shí)體組織那里獲得的。

　　匯豐表示，它正在調(diào)查是否有任何客戶的數(shù)據(jù)，包括過去的客戶，并證實(shí)“自2010年以來，它與Ascension沒有供應(yīng)商關(guān)系”。

　　當(dāng)記者聯(lián)系到CapitalOne時(shí)，該公司并未對(duì)此發(fā)表評(píng)論。

　　住房和城市發(fā)展的發(fā)言人沒有回應(yīng)記者的置評(píng)請(qǐng)求。該部門目前受到政府持續(xù)歇業(yè)的影響。

　　這是涉及ElasticSearch數(shù)據(jù)庫的一系列安全漏洞中的最新一例。

　　去年，人們發(fā)現(xiàn)了一個(gè)泄露數(shù)百萬實(shí)時(shí)短信數(shù)據(jù)的龐大數(shù)據(jù)庫，并立即對(duì)它采取了必要的安全措施。而且，還有一家頗受歡迎的按摩服務(wù)機(jī)構(gòu)也出現(xiàn)了大規(guī)模信息泄密。最近AIESEC國際青年組織也泄露了400多萬條青少年申請(qǐng)者的個(gè)人信息。