2023 年 1 月 18 日，Cybernews 研究团队发现了一个未受保护的 Azure 存储 blob，其中包含大约一百万个文件，这些文件属于跨国公司 Andersen Corporation 的子公司 Renewal by Andersen。

云上近 30 万份文件暴露了该公司客户的家庭地址、联系方式和家庭装修订单，包括来自美国各州的客户家庭的内部和外部照片。最早的文件可以追溯到 2016 年。

Andersen Corporation 是北美最大的门窗制造商，在全球拥有约 12,000 名员工。

潜在风险

云存储上的装修项目由客户存档，包括带有客户姓名、电子邮件和电话号码的 JSON 文件。该数据集还包括一个“savedata”文件，包含了客户端的物理签名。

它还包含带有订单详细信息的 PDF 文件——使用的材料、购买和安装的物品、各种协议以及公司员工计划开展工作的家庭区域的照片。

Cybernews 研究人员提醒道，此类数据泄露对客户存在很大的潜在风险，因为不法者可以使用姓名、电子邮件、电话号码和地址等个人信息进行网络钓鱼诈骗、身份盗用和其他类型的欺诈。

有关装修工作的详细信息和房屋的照片可能会使受害者更容易遭到盗窃。此外，泄露的物理签名可能让不法者冒充个人并代表个人签署文件。

公司回应

在 Cybernews 联系该公司后，数据集得到了保护。然而，Andersen Corporation 对于数据库中的客户信息是如何泄露的没有给到明确的回答。

该公司给 Cybernews 记者的电子邮件相当含糊，试图向公众保证其系统没有受到损害。

该公司表示：“我们已经完成了对内部 IT 系统的审查，并确定我们的 Andersen 或 Renewal by Andersen 系统都没有受到损害。” “Andersen 非常重视数据隐私。我们拥有强大的内部系统来保护信息。”

Cybernews 又发送了一些关于用户数据集所有权的后续问题，目前没有得到任何答复。

---

转自 Freebuf，原文链接：https://www.freebuf.com/news/356452.html

封面来源于网络，如有侵权请联系删除