国际网络安全咨询公司Hacken在上周发表的一篇博文中指出，Hacken网络风险研究主管Bob Diachenko在本月17日通过Shodan搜索引擎发现了一台因配置错误而公开暴露在互联网上的Buffalo TeraStation NAS网络附加存储器。
Diachenko在分析后发现，未受密码保护的NAS似乎是由总部位于美国马里兰州的Rice Consulting咨询公司负责管理的。根据Rice Consulting官方网站所展示的信息来看，该公司曾在2017年与美国民主党合作（Democratic Party US），为其筹集资金超过432万美元。
NAS包含了有关Rice Consulting客户（过去的、当前的和潜在的）的详细信息，其中一个电子邮件数据库包括了有关Rice Consulting过去数千次筹款活动的详细信息，如姓名、电话号码、电子邮箱地址、地址、公司、合同、会议记录、桌面备份、员工详细信息等。
Diachenko表示，他在NAS上发现的“最重要的资产”是NGP的用户名和密码组合。这里需要说明的是，NGP是美国民主党用于收集选民个人资料的专用数据库。不难想象，这些用户名和密码组合必然可用于登录每一名募捐者创建的NGP账户。遗憾的是，所有这些用户名和密码都被存储在一个没有设置密码的Excel文件中。
更糟糕的是，根据Diachenko所发现的访问日志来看，从2月22日开始，已经有来自多个国家（土耳其、韩国、泰国等）的IP地址连接过这台暴露的NAS。Diachenko认为，这些敏感数据已经遭到了未经授权甚至是恶意攻击者的访问。
Diachenko表示，与Rice Consulting管理团队取得联系并不容易。在发现这台暴露的NAS后，他们立即向Rice Consulting管理团队发送了一封电子邮件，但在经过24小时的等待后并没有收到任何恢复。即使是在第二天通过电话联系Rice Consulting公司办公司，接听电话的人也只是挂断了电话。
暴露的NAS最终在本月18日得到保护，NAS本身和敏感数据已经不再能够被公众访问。同不过，Bob Diachenko也只是收到了来自Rice Consulting的感谢信，并不包含有关事件本身的任何说明。
声明：本文来自黑客视界，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
