- 研究人员发现泄露的数据库包含 4200 万份文件和数十万份个人资料
- 连接到 CitySourced 的存储库暴露了多年的姓名，联系方式，投诉报告和内部记录
- 数据库在披露后被保护，突出显示错误配置云存储的持续风险
一个属于 GovTech 公司 CitySourced 的开放数据库近期被发现存在严重安全漏洞，其中包含数百万份文件，大量个人身份信息（PII）以明文形式暴露。
网络安全研究员 Jeremiah Fowler 指出，该数据库存有约 4200 万份文档及 45 万个 JSON 文件。经分析有限样本后，Fowler 确认数据库中不仅包含投诉或违规报告的图像，还涉及个人的姓名、邮政地址、电子邮件地址、电话号码，以及“数千条从 2016 年至 2026 年的内部记录”。
此类数据对网络犯罪具有极高价值。攻击者可利用这些私人信息定制个性化的钓鱼邮件，或在暗网上进行出售，甚至将其作为勒索软件谈判中的筹码。
CitySourced 及其母公司回应
Fowler 解释称，暴露的存储库中包含多个顶级应用程序目录，名称涵盖 Api, Content, Customers, Data, Developers, FileStorage, json, Product, Public, Support, Widget, temp, Logs 等，档案内还混有 .sdk 和 .exe 文件。
基于数据库和文件命名特征，Fowler 推断这些数据归属于美国公民科技公司 CitySourced。该公司成立于 2009 年，主要开发供居民向市政当局报告当地问题的软件。2019 年，CitySourced 与 Rock Solid Technologies 合并；三年后，该公司被政府技术提供商 Granicus 收购。
尽管 Fowler 强调所有权与运营权可能分离，且无法确定是否有第三方承包商管理该数据库，但在接到报告后，CitySourced 迅速锁定了相关数据库。Granicus 方面表示：“感谢负责任地披露和跟进。我们已审查提供的信息，正在进行内部调查，并采取措施解决此问题。”
数据库安全防护建议
错误配置的数据库仍是导致数据泄露的主要原因之一。部分企业误以为数据安全完全由云提供商负责，或因未察觉配置错误而导致数据广泛暴露，从而面临声誉受损及集体诉讼的风险。
为保护基础设施，企业应通过细分客户环境和内部数据来实施隔离策略，避免将所有数据集中存储于单一位置，以防单个租户泄露引发连锁反应。
此外，存储系统、备份及敏感数据应当加密，并设置严格的访问控制以防止未经授权的访问。租户隔离、访问控制和加密构成了限制数据安全事件影响范围的第一层防御体系。
对于个人用户而言，鉴于近年来频繁的数据泄露事件，应假设网络犯罪分子已掌握部分个人信息。因此，用户对收到的电子邮件应保持警惕和怀疑态度。
