个人数据“裸奔”：国内2亿份简历流出，婚庆网站数百万数据公网表露

怡然

近日，创宇盾(Creation Shield, www.365cyd.com )网站安全舆情监测平台发现，国内某婚庆业务相关网站数百万数据因ElasticSearch办事配置不妥完全表露在公网上，目前已被国外安全研究人员公布在国外社交媒体上。

被公布的数据十分详细，包罗身份证照片、电话号码、账号、密码、地址等。





婚礼纪网站数据通过网站后台，直接发布到网站数据库，网站则把这些数据进行调用，数据包罗但不仅限于个人账号注册信息，顾客身份信息、住址信息等等。婚礼纪网站遭泄漏的数据便是来源于网站数据库中的数据。

一位名叫Bob Diachenko的网友在国外社交平台Twitter上爆料，一个包含2.02亿份中国人简历信息的数据库泄露，这些简历内容非常详细，包罗姓名、生日、手机号码、邮箱、婚姻状况、政治面貌和工作经历等。





基于此安全研究员历来推送信息的可靠度和目前发布的截图内容，本次事件可信度很高。

其实关于简历数据泄露的消息并不少见。此前有媒体报道，一些招聘网站向企业和个人账号开放简历搜索权限。有卖家称，花700元就可购买一套采集软件，批量爬取多家知名招聘平台全国简历信息。

有安全专家分析，本次数据是通过爬取收集的可能性非常小。因为一般简历公开数据不会这么详细，并且部分内容会脱敏，更可能是相关业务存在未授权或者其它漏洞而导致数据泄露。

"简历其实就是个人画像数据。如果大规模被泄露或被利用，可能造成严重的危害。

从近年数据泄露事件披露的情况来看，个人数据泄漏事件发生的越来越频繁，波及面越来越广，社会公众影响越来越恶劣。2018年3月发生的Facebook事件,超过8700万条数据被泄露和滥用。2018年4月，美国面包连锁店Panerabread旗下网站panerabread.com泄露了3700万用户信息，而更可怕的是，在官方没有给出公告前，这种泄露信息行为已经持续了超过8个月。2018年6月，AcFun弹幕视频网发出公告称，800-1000万摆布的用户数据被黑客窃取，900万条用户数据在暗网售卖，售价40万人民币。2018年11月，万豪旗下喜达屋酒店预订系统2014年起遭不法入侵，泄露大约5亿客户的用户信息。

Facebook的数据泄漏事件，按照GDPR法律，如果欧盟认定该公司没有采取足够办法来庇护其用户数据，可能面临16.3亿美元的巨额罚款。万豪也因为此次信息泄漏事件，被美国诉讼集团代表众多消费者起诉，索赔金额高达125亿美元。我们看到，企业没有庇护好个人隐私数据的代价是惨重的，所有承载庞大体量用户个人信息的企业都必需配置最高级别的安全防护等级，加强对个人（用户）数据的庇护。