網(wǎng)絡(luò)安全本質(zhì)中，人為因素是最值得注意的一點。

【資料圖】

不久前，據(jù)路透社報道，豐田的 T-Connect 服務(wù)中的約 296,019 條客戶信息可能遭到了泄露，引發(fā)了不少車主的恐慌。對此，豐田最新發(fā)公告證實了這一事件的真實性，并表示「對于給您帶來的不便和擔憂，我們深感歉意」，而泄露的來源或許與第三方外包公司有關(guān)。

源碼被發(fā)布到了 GitHub

首先值得注意的是，豐田 T-Connect 是這家汽車制造商的官方連接應(yīng)用程序，它的主要功能是可以讓豐田汽車車主將自己的智能手機與車輛的信息娛樂系統(tǒng)連接，可以共享電話、音樂、導(dǎo)航、通知、駕駛數(shù)據(jù)、發(fā)送機狀態(tài)和油耗等功能。

2022 年 9 月 15 日，豐田發(fā)現(xiàn) T-Connect 用戶站點的某些源代碼在 GitHub 平臺發(fā)布，這些源代碼包含了對數(shù)據(jù)服務(wù)器的訪問密鑰，而這些密鑰用于訪問存儲在數(shù)據(jù)服務(wù)器上的電子郵件地址和客戶管理號碼。

這使得未經(jīng)授權(quán)的第三方可以在 2017 年 12 月至 2022 年 9 月 15 日期間訪問 296,019 名的客戶的詳細信息。

不過，就在這一天，豐田緊急對 GitHub 存儲庫的訪問設(shè)置限制，并在 9 月 17 日對數(shù)據(jù)服務(wù)器訪問密鑰進行了更改，清除了未經(jīng)授權(quán)的第三方的所有潛在訪問。

這一次外包不是“背鍋俠”

在發(fā)現(xiàn)泄露事件的同時，豐田公司也即刻做出了排查，發(fā)現(xiàn)在 2017 年 12 月，T-Connect 網(wǎng)站開發(fā)外包公司違反處理規(guī)則，錯誤地將部分源代碼上傳到 GitHub 上，但是直到 2022 年 9 月 15 日才發(fā)現(xiàn)。

這也意味著，用戶信息在這五年間都有外泄的風險。為此，豐田解釋，客戶姓名、信用卡數(shù)據(jù)和電話號碼等信息未受到泄露，因為它們沒有存儲在公開的數(shù)據(jù)庫中，不過“由于開發(fā)外包公司對源代碼的處理不當，我們將與外包公司一起努力加強對客戶個人信息處理的管理，并加強其安全功能?！?/p>

不過，雖然數(shù)據(jù)沒有被盜用的跡象，豐田也提醒道，無法完全排除有人訪問和竊取數(shù)據(jù)的可能性。

其說道，“安全專家的調(diào)查表明，盡管我們無法根據(jù)存儲客戶電子郵件地址和客戶管理號碼的數(shù)據(jù)服務(wù)器的訪問歷史記錄來確認第三方的訪問，但同時，我們不能完全否認它（會被第三方盜用的可能性）?！?/p>

因此，對于可能泄露了電子郵件地址和客戶管理號碼的客戶，豐田公司稱，分別向注冊的電子郵件地址發(fā)送道歉信和通知。

人為因素是最大的變數(shù)

值得慶幸的是，存儲在服務(wù)器上的客戶管理號碼對第三方來說用處并不大，但是也會有不法分子會通過郵件等形式以豐田公司的名義發(fā)送一些釣魚網(wǎng)站。為此，豐田公司表示，提供了一個專用表單（https://www.toyota.co.jp/cmpnform/pub/co/contact-tconnect）并建立了專門的呼叫中心，以回答客戶的問題和疑慮。同時，其建議所有在 2017 年 7 月至 2022 年 9 月之間注冊的 T-Connect 用戶保持警惕，并避免打開來自聲稱是豐田的未知發(fā)件人的電子郵件及附件。

與此同時，據(jù)《每日經(jīng)濟新聞》報道，豐田中國相關(guān)負責人回應(yīng)道，這個情況是在日本發(fā)生的，不涉及中國用戶，主要是使用 T-connect 服務(wù)的客戶的郵箱地址和內(nèi)部管理的號碼有被竊取的可能，別的信息都不受影響。

至此，雖然“暴露”在外長達五年的漏洞僥幸沒有造成太大的影響，但這類屢見不鮮的事件也時刻警醒著處于信息化時代下的各家公司。

據(jù)外媒 BleepingComputer 報道，在今年 9 月，賽門鐵克的安全分析師曾公布，近 2000 個 iOS 和 Android 應(yīng)用程序在其代碼中包含硬編碼的 AWS 憑證。造成這種情況的，往往是開發(fā)者的疏忽大意，他會經(jīng)常在代碼中存儲憑證，以便在測試多個應(yīng)用迭代中快速且輕松地獲取資產(chǎn)、訪問服務(wù)和更新配置。

按理來說，當軟件準備好進行實際部署時，這些憑證應(yīng)該被刪除的，但是很多開發(fā)者總是會忽略，從而造成數(shù)據(jù)泄露。

另一邊，為了減少漏洞的出現(xiàn)，全球最大的代碼托管平臺 GitHub 也在近年間致力于改進這一方面。去年 6 月，GitHub 宣布其將自動掃描公開 PyPI 和 RubyGems 機密的存儲庫，如憑據(jù)和 API 令牌。簡單來看，當 GitHub 發(fā)現(xiàn)密碼、API 令牌、私有 SSH 密鑰或公共存儲庫中公開的其他受支持的機密時，它會通知注冊表維護者。在今年，GitHub 還推出了一項由機器學(xué)習驅(qū)動的新代碼掃描分析功能，該代碼掃描功能可以針對站點腳本 (XSS)、路徑注入、NoSQL 注入和 SQL 注入四種常見漏洞模式顯示警報。

不過，歸根究底，開發(fā)者在自身開發(fā)的時候需要具備足夠強的技術(shù)能力同時，也需要有強烈的網(wǎng)絡(luò)、系統(tǒng)等安全意識。

參考鏈接：

https://global.toyota/jp/newsroom/corporate/38095972.html

https://www.bleepingcomputer.com/news/security/toyota-discloses-data-leak-after-access-key-exposed-on-github/

關(guān)鍵詞： 電子郵件地址 服務(wù)器的 的可能性