据TechRadar报道，安全研究人员发现印度软件开发平台Vibetech运营的一个未加密数据库在互联网上公开可访问，内含1370万条记录，数据来自此前多起数据泄露与网络攻击事件。该数据库在研究人员通报后被限制访问。
发现该数据库的是安全研究员Jeremiah Fowler，他长期追踪网络上未加密、未设密码保护的数据库。他在一次有限样本的查看中看到来自多个国家的个人账户与登录凭据，数据类型包括姓名、电话号码、电子邮箱、密码和银行账户信息。
这批档案按企业名称分类存放。其中占比最大的部分来自AT&T的一次数据泄露，接近800万条；其余包括亚马逊120万条、沃尔玛42万条、BluBank数字银行2.4万条、PayPal 1.8万条。档案中还包含规模较小的FBI员工名录4084条和国际刑警组织929条。
由于记录中同时包含密码和银行账户信息，这并非普通的数据泄露档案。攻击者可借此直接登录他人网络账户、提升权限以部署勒索软件，甚至可能直接从银行账户转出资金。
Fowler随后发现，该数据库的IP地址与Vibetech运营或开发的一个数据情报平台相关联。他推测，Vibetech在从以往的数据泄露或外泄事件中收集数据集时，无意中未设身份验证便将其公开。Fowler通知了该公司和托管服务商，数据库很快被限制为不可公开访问。一天后，该IP地址不再托管明文凭据，转而显示一个信息安全管理体系合规平台的仪表盘。
Fowler在报告中指出，有越来越多的组织有意收集并出售泄露凭据数据集，声称用于研究、监控或威胁情报目的，但这些活动究竟是否合法仍存疑问。他认为，尽管此类数据集能为攻击趋势、凭据复用和新兴威胁提供参考，收集被泄露个人信息的组织仍处于法律和伦理上复杂的环境中。
未受保护的数据库是造成数据泄露的主要原因之一，且许多情况属于无意为之：生成或采集数据的企业往往错误配置存储，或以为保障数据安全是云服务商的责任。2024年初，Cybernews曾发现一份包含约2.23亿巴西人个人信息的档案，而巴西总人口为2.14亿，有研究人员因此推测该国全体人口的信息可能被暴露。更早在2021年，B2B营销公司OneMoreLead在亚马逊云平台AWS上留下未加密数据库，泄露了多达1.26亿美国公民的个人身份信息，含电子邮箱、家庭住址和电话号码，这些数据可被用于身份盗窃、金融欺诈或策划钓鱼攻击。
对于认为自己信息可能已在上述任何一起泄露中暴露的人，建议立即修改密码，并对收到的邮件保持谨慎。