大規(guī)模商業(yè)機(jī)密泄露，通用、福特、特斯拉等百家汽車制造商中招

　　安全研究人員UpGuard Cyber Risk上周五透露，包括通用汽車、菲亞特克萊斯勒、福特、特斯拉、豐田、蒂森克虜伯和大眾在內(nèi)的100多家汽車制造商的敏感文件被公布在一個(gè)隸屬Level One Robotics可公開訪問的服務(wù)器上。

　　根據(jù)UpGuard Cyber Risk的介紹，通過提供工業(yè)自動(dòng)化服務(wù)的Level One Robotics進(jìn)行的曝光，來自rsync，一種用于備份大型數(shù)據(jù)集的通用文件傳輸協(xié)議。《紐約時(shí)報(bào)》最先報(bào)道了這一數(shù)據(jù)泄露事件。

　　這名安全研究人員表示，rsync服務(wù)器沒有設(shè)置限制。這意味著連接到rsync端口的任何rsync客戶端都可以下載此數(shù)據(jù)。UpGuard Cyber Risk公布了它如何發(fā)現(xiàn)數(shù)據(jù)漏洞的過程，以顯示供應(yīng)鏈中的一家公司會(huì)如何影響具有看似嚴(yán)密安全協(xié)議的大公司。

　　也就是說，如果有人知曉這一原理，他們就能獲得汽車制造商嚴(yán)密保護(hù)的商業(yè)機(jī)密。目前還不清楚是否有不法分子真的拿到了數(shù)據(jù)。至少有一個(gè)來自一家受影響的汽車制造商的消息人士表示，敏感或?qū)Ｓ袛?shù)據(jù)似乎沒有被曝光。

　　UpGuard也給出了專業(yè)建議：rsync實(shí)例應(yīng)受IP地址限制。研究人員還建議設(shè)置用戶對(duì)rsync的訪問權(quán)限，以便客戶端在接收數(shù)據(jù)集之前必須進(jìn)行身份驗(yàn)證。研究人員說，沒有這些措施，rsync就可以被公開訪問。

　　這一數(shù)據(jù)泄露事件暴露了157千兆字節(jié)的數(shù)據(jù)，包括10年的裝配線示意圖、工廠平面圖和布局、機(jī)器人配置和文檔、ID證件申請(qǐng)表和VPN訪問申請(qǐng)表。泄漏數(shù)據(jù)中甚至包括特斯拉等公司的敏感保密協(xié)議。

　　一些Level One員工的個(gè)人資料也遭到泄漏，包括駕駛執(zhí)照和護(hù)照的掃描件，和Level One業(yè)務(wù)數(shù)據(jù)，包括發(fā)票、合同與銀行賬戶詳細(xì)信息。

　　該安全團(tuán)隊(duì)于7月1日發(fā)現(xiàn)了這一數(shù)據(jù)泄漏事件。該公司在7月9日前成功聯(lián)系了Level One，第二天，泄漏問題就得到了解決。