1.17TB 大规模数据泄露，暴露中国数十亿条物联网记录

大规模 1.17 TB 数据泄露，暴露了一家中国IoT灯具公司的数十亿条记录。Wi-Fi 密码、IP 地址和设备 ID 都是被泄露的数据。

网络安全研究员 Jeremiah Fowler 发现了一个大型、不受保护的数据库，该数据库属于xx，一家专门从事物联网灯具公司和农业软件的公司。

该数据库包含多达 27 亿条记录，总计 1.17 TB，暴露了大量敏感信息，包括 Wi-Fi 网络名称 (SSID)、密码、IP 地址、设备 ID、电子邮件地址等。

根据 Fowler 为 vpnMentor 撰写的博客文章，在数据库中发现了标有全球物联网设备日志记录、监控和错误记录的文件夹。

样本分析显示，13 个文件夹中有超过 1 亿条记录，不仅包含 Wi-Fi 网络名称，还包含其对应的密码、IP 地址和唯一设备标识符。有趣的是，这些数据似乎还与用于管理这些物联网产品的控制设备（如智能手机）有关，从而揭示了有关操作系统（例如 iOS 和 Android）的信息。

进一步调查显示，该数据库与加州注册的公司xx有关。泄露的数据中还包含与xx相关的 API 详细信息和 URL，这些公司均涉及农业种植灯、风扇和冷却系统的制造和销售。大量记录被明确标记表明与这些特定产品线存在关联。

Fowler还发现错误日志包含潜在的敏感信息，除了 Wi-Fi 凭证之外，还包括令牌、应用程序版本、设备类型和 IP 地址。

发现这一情况后，Fowler 立即通知了相关公司，数小时内数据库就得到了保护。xx是一家总部位于中国深圳的LED 物联网灯具制造商，在英国、美国和澳大利亚设有仓库，该公司向 Fowler 证实该应用程序是其官方产品。

然而，关于数据库的所有权、管理以及暴露时间的问题仍然存在。目前尚不清楚该数据库是由 LG-LED SOLUTIONS 直接管理还是由第三方承包商管理。Fowler 在博客文章中指出，需要进行彻底的取证审计来确定任何未经授权访问的程度。

应用程序和连接设备暴露了大量信息。此类疏忽可能导致滥用，如监视、中间人攻击和操纵。最近报道的Matrix 黑客组织就是持续利用暴露的 IoT 设备进行 DDoS 僵尸网络攻击的一个典型例子。

此外，研究表明，相当一部分物联网设备 (57%) 非常脆弱，大部分传输的数据 (98%) 都未加密。为了降低这些风险，物联网设备制造商和应用程序开发人员必须优先考虑数据保护，避免纯文本记录，使用加密，保护内部云存储，并定期进行安全审计和渗透测试。

来源：独眼情报，原文地址：https://mp.weixin.qq.com/s/tH46ocz5pCyhXr_GDAcASQ