翻译：360代码卫士

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

研究员Chris Vickery在6月12日发现了未受保护的且包含该数据的亚马逊网络服务 (AWS) S3桶。6月14日，将该数据下载后，通知了联邦机构，随后该数据库部署了安全措施。数据库中的信息包括选民姓名、出生日期、家庭住址、电话号码、选民登记状态、政治观点以及人种和民族信息。

分析显示，该未受保护的云服务器是由为目标电视广告提供数据管理平台的公司Deep Root Analytics公司管理的。该公司声称为此事件负责，并表示被暴露的数据包括产权信息和公开可获取信息。该公司表示目前尚未有证据表明除了Vickery以外的人访问了这些文件。

UpGuard公司指出，被暴露的文件表明至少有另外两家公司TargetPoint Consulting和Data Trust也参与贡献了该数据库。前者是一家市场研究和知识管理公司，曾为布什总统在2004年的竞选活动中提供服务。后者是共和党全国委员会的“独家数据提供商”。这两家公司以及Deep Root Analytics公司在当前美国总统特朗普的竞选活动中也都曾发挥重要作用。

CyberScout公司创始人Adam Levin认为该数据库中含有政治偏向和其它私人信息，对于具有创造性的黑客来讲是一座宝藏。他们能够伪装成选举委员会或银行发送钓鱼邮件或者窃取选民的其它信息如社保号等，或者直接对选举施加影响。而收集和存储数据的任何组织机构都必须执行最高级别的网络清洁，包括重复渗透测试，搜索并修复新漏洞，并持续监控异常数据提取。

相关网络安全专家认为，这起事件本可避免。亚马逊S3服务器默认具有访问控制列表，其消费者应当正确配置、维护并审计。可通过服务器端加密增强安全，亚马逊也提供了该服务，但部署的责任应该是由公有云消费者承担。

这并非Vickery首次发现的包含美国选民信息的被暴露数据库。2015年12月，他发现了1.91亿选民的个人信息。几个月后，他发现了存储着墨西哥选民记录的一个数据库。

文章原文链接:https://www.anquanke.com/post/id/86297