大規(guī)模商業(yè)機密泄露，通用、福特、特斯拉等百家汽車制造商中招

安全研究人員UpGuard Cyber Risk上周五透露，包括通用汽車、菲亞特克萊斯勒、福特、特斯拉、豐田、蒂森克虜伯和大眾在內(nèi)的100多家汽車制造商的敏感文件被公布在一個隸屬Level One Robotics可公開訪問的服務(wù)器上。

根據(jù)UpGuard Cyber Risk的介紹，通過提供工業(yè)自動化服務(wù)的Level One Robotics進行的曝光，來自rsync，一種用于備份大型數(shù)據(jù)集的通用文件傳輸協(xié)議?！都~約時報》最先報道了這一數(shù)據(jù)泄露事件。

這名安全研究人員表示，rsync服務(wù)器沒有設(shè)置限制。這意味著連接到rsync端口的任何rsync客戶端都可以下載此數(shù)據(jù)。UpGuard Cyber Risk公布了它如何發(fā)現(xiàn)數(shù)據(jù)漏洞的過程，以顯示供應(yīng)鏈中的一家公司會如何影響具有看似嚴(yán)密安全協(xié)議的大公司。

也就是說，如果有人知曉這一原理，他們就能獲得汽車制造商嚴(yán)密保護的商業(yè)機密。目前還不清楚是否有不法分子真的拿到了數(shù)據(jù)。至少有一個來自一家受影響的汽車制造商的消息人士表示，敏感或?qū)Ｓ袛?shù)據(jù)似乎沒有被曝光。

UpGuard也給出了專業(yè)建議：rsync實例應(yīng)受IP地址限制。研究人員還建議設(shè)置用戶對rsync的訪問權(quán)限，以便客戶端在接收數(shù)據(jù)集之前必須進行身份驗證。研究人員說，沒有這些措施，rsync就可以被公開訪問。

這一數(shù)據(jù)泄露事件暴露了157千兆字節(jié)的數(shù)據(jù)，包括10年的裝配線示意圖、工廠平面圖和布局、機器人配置和文檔、ID證件申請表和VPN訪問申請表。泄漏數(shù)據(jù)中甚至包括特斯拉等公司的敏感保密協(xié)議。

一些Level One員工的個人資料也遭到泄漏，包括駕駛執(zhí)照和護照的掃描件，和Level One業(yè)務(wù)數(shù)據(jù)，包括發(fā)票、合同與銀行賬戶詳細信息。

該安全團隊于7月1日發(fā)現(xiàn)了這一數(shù)據(jù)泄漏事件。該公司在7月9日前成功聯(lián)系了Level One，第二天，泄漏問題就得到了解決。

編譯：福爾摩望