全球数百万旅馆客人陷入海量数据泄漏

会影响流行预订平台用户的云配置错误，威胁到旅行者的身份盗窃，诈骗，信用卡欺诈和偷窃假期。

由于配置错误的Amazon Web Services S3存储桶，一个广泛使用的酒店预订平台已暴露了与全球各家酒店的客人相关的1000万个文件。记录包括敏感数据，包括信用卡详细信息。

酒店使用Prestige Software的“ Cloud Hospitality”将其预订系统与在线预订网站（如Expedia和Booking.com）集成。

网站星球的安全团队称，该事件影响了总计24.4 GB的数据。许多记录包含单个预订将多个酒店客人分组在一起的数据；因此，研究人员说，暴露的人数很可能超过1000万。

团队确定，一些记录可以追溯到2013年-但该桶在本月被发现时仍然“活跃”并在使用。

该公司在有关此问题的最新通知中说：“该公司在没有任何保护的情况下存储了来自酒店客人和旅行社的信用卡数据多年，使数百万人面临欺诈和在线攻击的风险。” “仅从2020年8月起，S3存储桶就包含了18万条记录。尽管全球酒店预订量在此期间一直处于历史最低水平，但其中许多都与在许多网站上进行酒店预订有关。”

Planet网站表示，这些记录包含大量信息，包括酒店客人的全名，电子邮件地址，身份证号码和电话号码；卡号，持卡人姓名，CVV和有效期；和预订详细信息，例如酒店预订的总费用，预订号，住宿日期，客人的特殊要求，人数，客人姓名等。

曝光影响到许多平台，其数据与通过Amadeus，Booking.com，Expedia，Hotels.com，Hotelbeds，Omnibees，Saber等进行的预订有关。

Planet网站表示：“与Cloud Hospitality连接的每个网站和预订平台都可能受到影响。” “这些网站对由此产生的任何数据概不负责。”

研究人员说，受到影响的酒店客人可能是广泛攻击的目标，从身份盗窃和网络钓鱼到有人劫持他们的度假。例如，他们指出，网络犯罪分子可以利用酒店住宿的详细信息来制造令人信服的骗局，并将目标锁定在昂贵酒店的富人。而且，如果有任何酒店住宿显示出有关一个人的生活的尴尬或妥协信息，则可能被用来勒索和勒索他们。

研究人员说：“我们不能保证没有人在我们找到S3存储桶之前就已经窃取了数据。” “到目前为止，还没有任何证据表明这种情况发生。但是，如果这样做的话，将对那些被暴露者的隐私，安全和财务状况产生巨大影响。”

其他攻击情形包括信用卡欺诈和更长的诈骗努力，攻击者可以利用这些细节建立信任，然后要求鼓励人们单击恶意链接，下载恶意软件或提供有价值的私人数据。

至于Prestige，它受通用数据保护法规和支付卡行业数据安全标准（称为PCI DSS）的约束。违反GDPR可能会导致高额罚款。研究人员指出，不遵守PCI DSS可能意味着Prestige接受和处理信用卡付款的能力将被剥夺。

研究人员说：“国际旅行和酒店业受到了冠状病毒危机的严重破坏，许多公司艰难地生存，数百万人失业。” “通过在如此微妙的时间内公开这么多数据并使许多人处于危险之中，Prestige Software可能会因这次违规而面临PR灾难。”

研究人员直接联系了AWS，并在第二天保护了S3存储桶。他们说，威望确认它拥有数据。Threatpost已联系Prestige对该事件发表评论。

这是大型云配置错误中的最新情况。由于没有受到保护的Google Cloud存储桶，制药巨头和COVID-19疫苗有望在10月辉瑞公司泄露了美国处方药用户的私人医疗数据长达数月甚至数年。公开的数据包括电话通话记录和与处方有关的个人身份信息（PII）。

同样在10月，为中小型企业提供服务的著名VoIP提供商Broadvoice被发现泄露了超过3.5亿条与该公司的“ b-hive ”基于云的通信套件有关的客户记录。

在今年秋天发生的其他事件中，估计有100,000名Razer（通过笔记本电脑到服装等高端游戏设备的供应商）的客户 通过配置错误的Elasticsearch服务器暴露了其私人信息。而且，发现配置错误的Mailfire拥有的Elasticsearch服务器影响了70个约会和电子商务网站，发现该服务器泄露了个人识别信息和诸如浪漫喜好之类的细节。此外，英国国家卫生局 的威尔士分部宣布，通过公共云上传公开了针对COVID-19测试呈阳性的威尔士居民的PII。

9月份的一项分析发现，包含高度敏感信息的云数据库的公开比例过大 。Comparitch的研究表明，所有Google Cloud存储桶中有6％被错误配置并向公共互联网开放，任何人都可以访问其内容。