安全 ParkMobile泄密事件暴露了2100万用户的车牌数据和手机号码
据知名网络安全新闻网站KrebsOnSecurity报道，有人正在网络犯罪论坛上出售在北美颇受欢迎的移动停车应用ParkMobile的2100万客户的账户信息 。被盗数据包括客户的电子邮件地址、出生日期、电话号码、车牌号、哈希密码和邮寄地址 。
文章图片
KrebsOnSecurity首次从纽约市的威胁情报公司Gemini Advisory那里听说了这一漏洞，该公司密切关注网络犯罪论坛 。Gemini在一个俄语犯罪论坛上分享了一个新的销售线索，在附带的被盗数据截图中包含了一些用户的ParkMobile账户信息、电子邮件地址和电话号码，以及车辆的车牌号 。
当被问及销售线索时，总部位于亚特兰大的ParkMobile表示，该公司在3月26日发布了一则通知，内容是 "发生了一起网络安全事件，与我们使用的一款第三方软件的漏洞有关" 。
“作为回应，我们立即在一家领先的网络安全公司的协助下展开调查，以解决这一事件，”通知中写道 。“出于谨慎起见，我们也已经通知了相关执法部门 。调查还在进行中，我们目前能提供的细节有限 。”
文章图片
声明还指出：“我们的调查表明，我们加密的敏感数据或支付卡信息均未受影响 。同时，自从了解到该事件以来，我们还采取了其他预防措施，包括消除第三方漏洞，维护我们的安全性以及继续监视我们的系统 。”
当被要求澄清攻击者确实获取了什么信息时，ParkMobile证实其中包括基本的账户信息--车牌号，如果提供，还包括电子邮件地址或电话号码等 。
"在一小部分情况下，可能会有邮寄地址，"发言人Jeff Perkins说 。
ParkMobile并不存储用户密码，而是存储了一种相当强大的单向密码哈希算法的输出，这种算法被称为bcrypt，它比MD5等常见的替代方案更耗费资源，破解成本更高 。从ParkMobile窃取并出售的数据库包括每个用户的bcrypt哈希值 。
"你说的没错，bcrypt哈希值和‘加盐’密码都被获得了，"当被问及数据库销售线程中的截图时，Perkins说 。
"注意，我们的系统中并没有保留加盐值，"他说 。"此外，被泄露的数据不包括停车历史、位置历史或任何其他敏感信息 。我们不会向用户收集社会安全号码或驾驶执照号码 。"
ParkMobile表示，它正在最后确定其支持网站的更新，以确认其调查的结论 。但不知道其有多少用户甚至知道这次安全事件 。3月26日的安全通知似乎没有链接到ParkMobile网站的其他部分，而且该公司最近的新闻稿列表中也没有它 。
同样令人好奇的是，ParkMobile并没有要求或强迫其用户更改密码作为预防措施 。安全研究人员使用ParkMobile应用来重置密码，但应用中没有任何信息提示这是一件及时的事情 。
【安全|ParkMobile泄密事件暴露了2100万用户的车牌数据和手机号码】这次数据泄露事件对ParkMobile来说是在一个关键的时刻发生的 。3月9日，欧洲停车集团EasyPark宣布计划收购该公司，该公司在北美450多个城市运营 。
推荐阅读
- Tesla 碰撞时存在安全隐患 特斯拉召回734辆进口Model 3
- 安全 FBI认定对JBS发起勒索软件攻击的幕后黑手是REvil
- 安全 诺顿宣布内置于防病毒软件中的安全型以太坊挖矿功能
- Apple 苹果上线Apple Wallet/Apple Pay新页面 突显安全和便利
- 安全 微软收购ReFirm实验室以提高其固件分析和安全能力
- 可咖杯安全么
- Microsoft 推动安全浏览：微软为Edge浏览器引入自动HTTPS切换功能
- IT 两款中国大疆无人机通过美国防部安全审查 获准使用
- 2021年6月1日 系好安全带。
- 安全 PDF发现高危安全漏洞 黑客可篡改你已签名的合同/文件