【安全圈】美背景调查公司数据库被公之于众，涉及27亿条公民个人信息

安全圈 · 公众号 · · 2024-08-15 19:00

正文

请到「今天看啥」查看全文

微信图片_20230927171534.png

关键词

个人信息贩卖

在某暗网论坛上，一名黑客倾倒了 27 亿条涵盖社会保险号码的个人数据记录，涉及美国、加拿大、英国等国家。

根据已知信息， 这些数据来自于一家美国背景调查公司 Jerico Pictures 所经营的 " 国家公共数据 "（National Public Data） 。更重要的是，最新公开的版本并不是这个信息泄露事件的全貌，发布者刻意隐去了一些危害更大的个人信息数据，例如个人电话号码和电子邮箱。

数据被盗始末

这起规模庞大的个人信息泄露事件，源头指向今年 4 月的一起事件，当时一个名为 "USDoD" 的网络犯罪集团发布帖子称，掌握来自 " 国家公共数据 " 的 29 亿条公民个人信息，涵盖来自美国、英国和加拿大的居民，并开价 350 万美元出售这些信息。有一些分析人士也认为，USDoD 是从另一个黑客 "SXUL" 拿到的数据库。

自那以后，暗网上时不时就会出现各种版本的 " 国家公共数据 " 泄露，通常包含电话号码和电子邮箱信息。

但在上周，一个名为 "Fenice" 的用户在暗网论坛上放出了 27 亿条未加密的记录，公开的两个 csv 文件共计 277GB。 涉及姓名、社会保险号码、所有已知地址和曾用名，以及与这个人有关联的其他姓名 ，泄露的信息并不包含电话号码和邮箱信息。

（网站截图，来源 : techrepublic）

需要注意的是，由于一个人可能会有多个居住地址，每条信息对应一个地址，所以 29 亿条信息并不是完全对应 29 亿人。

从这一点来说，这起事件的严重程度依然没有达到 2013 年涉及 30 亿人的雅虎数据泄露事件。即便如此，受影响的规模也几乎涵盖了这三个国家的大多数人。

根据一些科技网站的反馈，其中存在一些错误数据，同时许多人当前的住址并没有包含在内，意味着数据的来源可能是过往的备份。然而，也有些人证实这份数据包含他们以及家庭成员的正确信息，里面还有已经去世多年的人。

如何评价这一事件？

对于涉事的背调公司，科技研究机构 Comparitech 的消费者隐私倡导者 Paul Bischoff 解释称， 像 " 国家公共数据 " 这样的背景调查服务本质上是数据经纪人，他们尽可能多地收集每个人的可识别信息，然后将其出售给任何愿意付费的人。 它在数据主体不知情或未经其同意的情况下收集大部分数据，其中大多数人不知道 " 国家公共数据 " 到底是什么。

同时，在个人信息被广泛抓取的时代，黑客对背调公司的攻击，更主要的目标是窃取完成整理的数据库。

反勒索软件平台 Halcyon 的首席执行官 Jon Miller 表示，从犯罪分子的角度来看，" 国家公共数据记录 " 的价值在于它们已被收集和组织。虽然黑客很大程度上已经能够获取这类公民个人信息，但他们还需要为此付出大量的代价来做数据集合。

Miller 也感叹称，现在公民个人信息的货币化是要远远领先于法律保护，那些法律原本应该规定公司有资格收集哪些信息，如何使用这些信息，以及最重要的一点——保护这些信息的责任是什么。

作为这一事件的进展，背景调查公司 Jerico Pictures 目前正在美国遭遇集体诉讼。起诉书称，为了开展业务，" 国家公共数据 " 从非公开来源抓取数以亿计的个人身份信息，这意味着原告们并不知晓自己的数据已经被该公司获取。除了要求经济赔偿外，原告还要求该公司清除所有受影响个人的信息，并对数据库进行分割、加密和定期展开第三方数据库安全评估。