2.02亿中国求职者履历曝光！MongoDB数据库发生重大安全事故！

1月13日，HackenProof的安全研究员Bob Diachenko发现，MongoDB数据库中有超过2.02亿中国求职者的详细简历信息已在网上被公布，疑似第三方应用泄露。经一位Twitter用户查证，已被删除的应用主要来源之一是bj.58.com。

雷锋网了解到，MongoDB的数据库存储的2.02亿简历文件中包含了 202,730,434 条记录，其中有求职者姓名，身高，体重，电子邮件ID，婚姻状况，政治倾向，技能、工作经历、电话号码、工资预期和驾驶执照等众多个人信息，总计一共854GB。

Hacken.io和HackenProof的网络风险研究主管Bob Diachenko说：“经调查，MongoDB数据库不安全且不受保护，因此无需通过高尖端的手段来获取，而实际上大量的求职信息是通过简单的BinaryEdge或Shodan搜索找到的，没有任何密码保护。”

“目前，我们没有发现与这些数据库相关的任何特定服务，但这并不意味着这2.02亿中国用户的信息就不会被后来者非法使用。”Diachenko说：“实际上，我们确实在GitHub上发现了一个应用程序的3年历史存储库。该应用程序包含几乎‘相同的结构模式’，其中被使用的数据与中国求职者简历信息服务很像。”

雷锋网 (公众号：雷锋网) 获悉，现阶段HackenProof还没有足够证据证明这2.02亿中国求职者简历已经被挪为他用，因为这些数据已经被一个名为'data-import'的工具全部删除了。

一位Twitter用户透漏：“这个工具（三年前创建）是一个已经删除的 GitHub 存储库，该存储库包含 Web 应用程序的源代码，此应用程序具有与泄露数据库中数据结构完全相同的数据，这清楚表明该程序应该是一个收集用户简历的第三方应用。似乎是为了从不同的中国分类广告中获取数据（简历）而创建的，比如bj.58.com等。”

目前尚不清楚它是用于收集所有申请人详细信息的官方申请还是非法申请，甚至有可能是那些被标记为来自“私人”的申请。

在事件宣布不久后，雷锋网得知该数据库被加进了保护机制，但这已经距离数据库的成立过去太久，这种后来的保护很有可能起不到太大作用。根据MongoDB日志，“至少有十几个”IP可能在脱机之前访问了数据库。