鞋類巨頭Ecco在500天內泄露超60GB敏感數據

12月22日消息，Cybernews研究人員發現全球鞋類制造商和零售商Ecco，在500天內暴露了數百萬份敏感文件，共計60GB。

Ecco是一家丹麥鞋類制造商和零售商，在全球擁有數千家店鋪和銷售點。研究人員表示，不僅任何人都可能修改數據，而且服務器的配置錯誤很可能會使公司遭受攻擊，從而波及世界各地的客戶。

據了解，Ecco從銷售數據到系統信息的數百萬份敏感文檔都處于可在線訪問狀態，任何有權限的人都可以查看、編輯、復制、竊取或刪除數據。

Cybernews研究員就此聯系了Ecco但未收到回復。但截至發稿，Ecco似乎已經解決了這個問題。

研究員稱發現一個公開實例，它為Ecco托管了Kibana，Kibana是一個ElasticSearch可視化儀表板。Kibana允許處理ElasticSearch上的信息，ElasticSearch是企業處理大量數據時使用的存儲設施。

盡管托管儀表板受超文本傳輸協議（HTTP）認證保護，但服務器配置錯誤導致所有應用程序接口（API）請求被允許通過。

研究員通過錯誤配置的認證在Ecco的ElasticSearch上查找索引名稱，查找出50個暴露的索引，有超過60GB的數據。

研究員稱，歷史數據表明，自2021年6月4日以來，被暴露的數據庫至少有506天是可以訪問的。威脅行為者可能通過修改代碼、命名和url進行網絡釣魚，或者讓受害者在瀏覽器和設備上安裝勒索軟件加載程序或遠程訪問工具，進行遠程攻擊。

Cybernews研究人員指出，企業應該提高審查安全策略和訪問的頻率，確保沒有不一致的地方，特別是在每次代碼推送到實時環境之后。