CNCERT：境内超1.78万亿条数据存在泄露风险_互联网新闻

CNCERT发布《2019年中国互联网网络安全报告》，其中专门对我国境内数据库隐患排查及处置情况进行公布，据安全内参分析：

CNCERT针对境内的MongoDB、ElasticSearch、MySQL及Redis等数据库进行排查，发现大量存在数据泄露隐患，共涉及20720个数据表、1330.3TB数据量、1.78万亿余条数据。

其中，因未授权访问漏洞存在泄露风险的数据有1.77万亿余条，因弱口令漏洞存在泄露风险的数据有96亿余条。

存在未授权访问漏洞的数据库中，数据条目超百亿的有34个，超十亿未过百亿的有208个，超一亿未过十亿的有646个，总计888个。

存在未授权访问漏洞的数据库中，IP地址数量按地域排名前三为广东省、北京市、浙江省，主要集中于沿海发达地区和一线城市。

2019年2月以来，境外人员陆续爆料我国境内个人数据泄露事件，并对事件进行持续炒作，其中包括某公司人脸识别数据库泄露事件、某公司公民征信信息泄露事件、某ElasticSearch数据库暴露事件、某数据库存在未授权访问漏洞事件等。以上事件发生后，CNCERT/CC均在第一时间将相关信息报送相关部门，并在相关部门的指导下完成了应急处置。经技术分析，此类事情绝大多数是由于我国境内数据库存在未授权访问漏洞引起的。

01、2019 年我国境内数据泄露典型事件和处置情况

（1）某公司人脸识别数据库泄露事件

2019年2月13日，境外人员发布消息称，我国某公司发生大规模人脸识别数据泄露事件，超过250万人的数据可被获取，680万余条记录泄露，其中包括身份证信息、人脸识别图像及捕捉地点等。

（2）某公司公民征信信息泄露事件

2019年3月2日，境外人员发布消息称，一份名为“天眼黑名单”的数据泄露，其中包括153万余条贷款失信人信息，包含姓名、身份证号码、手机号、家庭地址、公司名称等信息。CNCERT/CC立刻与该消息披露方联系沟通，获悉数据库IP地址，并定位其使用单位，发现该次数据泄露是由于其对MongoDB数据库配置不当导致。

（3）某 ElasticSearch 数据库暴露事件

2019年3月4日，境外人员向CNCERT/CC邮箱发送了中国两个ElasticSearch 数据库暴露的事件信息，针对该事件CNCERT/CC前期已在主管部门的指导下进行处置。

（4）某数据库存在未授权访问漏洞事件

2019年3月9日，CNCERT/CC监测发现位于河南省的某数据库存在未授权访问漏洞，20万余条个人信息暴露在互联网上，无须密码即可访问。

02、2019年我国境内存在泄露隐患的数据库情况

CNCERT/CC分析发现，安全漏洞是导致网络数据库存在数据泄露隐患的主要因素，涉及的数据库（服务）类型主要包括MongoDB、ElasticSearch、MySQL和Redis等，涉及的漏洞类型主要为未授权访问和弱口令漏洞。2019年，CNCERT/CC 对我国境内存在数据泄露隐患的数据库情况的排查结果见表2-1。CNCERT/CC已在相关部门指导下对上述具有数据泄露隐患的数据库开展应急处置工作。