보안되지 않은 Microsoft Bing 서버의 검색 쿼리, 위치 데이터 유출

[아름이]

보안되지 않은 Microsoft Bing 서버의 검색 쿼리, 위치 데이터 유출

노출 된 데이터에는 검색어, 위치 좌표 및 장치 정보가 포함되었지만 개인 데이터는 포함되지 않았습니다.

보안되지 않은 데이터베이스는 위치 좌표, 일반 텍스트의 검색어 등을 포함하여 Microsoft의 Bing 검색 엔진 모바일 애플리케이션 사용자에게 민감한 데이터를 노출했습니다.

이름과 같은 개인 정보는 노출되지 않았지만 Wizcase 연구진은 이러한 검색 쿼리와 위치를 사용자 신원에 연결할 수있을만큼 충분한 데이터를 사용할 수 있다고 주장하여 악의적 인 행위자에게 협박 공격, 피싱 사기 등에 대한 정보를 제공합니다.

데이터는 Microsoft 소유의 6.5TB (테라 바이트) 서버에 보관 된 Microsoft Bing의 모바일 앱 버전과 관련이 있습니다. 연구원들은 서버가 9 월 12 일 문제를 발견하기 이틀 전인 9 월 10 일까지 암호로 보호되었다고 생각합니다. Microsoft는 9 월 13 일 노출 된 데이터에 대해 경고를 받고 9 월 16 일 서버를 보호했습니다.

연구진은 특별히 영향을받은 사용자 수를 계산하지 않았지만 Google Play에서만 Bing 앱이 1,000 만 회 이상 다운로드되었으며 매일 수백만 건의 모바일 검색이 수행되었다고 지적했습니다.

Wizcase의 연구원 인 Chase Williams 는 월요일 게시물에서 "데이터의 양을 기준으로 볼 때 서버가 노출 된 동안 모바일 앱으로 Bing 검색을 수행 한 사람은 누구나 위험에 처해 있다고 추측하는 것이 안전합니다."라고 말했습니다 . "우리는 70 개국 이상에서 검색하는 사람들의 기록을 보았습니다."

그러나 Threatpost가 Microsoft에 논평을 요청했을 때 회사는 노출 된 데이터의 양이 "적은 수준"이라고 주장했습니다.

마이크로 소프트 대변인은“소량의 검색 쿼리 데이터가 노출되는 잘못된 구성을 수정했습니다. "분석 후 우리는 노출 된 데이터가 제한적이고 익명화되었음을 확인했습니다."

일반 텍스트로 된 사용자 검색어 외에도 서버는 검색 실행 시간, Firebase 알림 토큰 (개발자가 특정 기기에 알림을 보낼 수 있음), 기기 모델, 방문한 URL의 일부 목록을 공개했습니다. 검색 결과, 쿠폰 코드가 복사 된시기에 대한 정보가 포함 된 쿠폰 데이터, 운영 체제 데이터 및 고유 ID 번호 (Microsoft 계정, 장치 ID 및 장치 해시의 고유 ID로 보이는 ADID 포함).

연구원들은 또한 앱에서 사용자가 위치 권한을 활성화 한 경우 정확한 위치 데이터 (500 미터 이내)가 노출되었음을 발견했습니다.

“노출 된 좌표는 정확하지 않지만 여전히 사용자가있는 위치의 상대적으로 작은 경계를 제공합니다. "Google지도에 복사하기 만하면 휴대 전화 소유자를 추적하는 데 사용할 수 있습니다."

참고로 Bing 사용자의 개인 정보 (이름 포함)는 노출되지 않았습니다. 그리고 비공개 모드로 검색어를 입력 한 사용자는 사고로부터 안전하다고 연구원들은 말했습니다.

연구원들은 또한 9 월 10 일부터 9 월 12 일까지 그리고 9 월 14 일에 서버가 "야옹 공격"의 표적이되었다고 주장합니다. Meow 공격은 7 월 초에 시작되어 1,000 개의 보안되지 않은 데이터베이스가 영구적으로 삭제 된 지속적인 공격을 말합니다. 연구원 Bob Daichenko 에 따르면이 공격은 "야옹"이라는 단어를 유일한 전화 카드로 남겨 둡니다 . Meow 해커는 또한 최근 잘못 구성되어 열려있는 Mailfire 서버를 표적 으로 삼았습니다.

"9 월 10 일부터 12 일 사이에 서버가 거의 전체 데이터베이스를 삭제 한 Meow 공격의 표적이되었습니다."Wizcase 연구원이 말했습니다. “12 일 서버를 발견했을 때 공격 이후 1 억 개의 기록이 수집되었습니다. 9 월 14 일 서버에 두 번째 Meow 공격이있었습니다.”

Threatpost는이 공격에 대한 추가 의견을 위해 Wizcase와 Microsoft에 모두 연락했습니다.

Meow 해커 외에도이 데이터는 잠재적으로 다른 유형의 해커 및 스 캐머에 노출되어 Bing 모바일 앱 사용자에 대한 다양한 협박 및 피싱 공격으로 이어질 수 있다고 연구원들은 특히 검색어와 관련하여 경고했습니다.

연구원들은“성인용 콘텐츠를 검색하든, 중요한 다른 사람을 속이든, 극단적 인 정치적 견해를 속이든, 사람들이 Bing에서 검색하는 수백 가지의 당황스러운 것들을 검색하든, 일단 해커가 검색어를 갖게되면 그 사람의 콘텐츠를 알아낼 수 있습니다. 서버에서 사용 가능한 모든 세부 정보 덕분에 신원을 쉽게 협박 할 수 있습니다. "

위치 데이터의 노출은 또한 피해자들이 물리적 공격이나 강도에 노출 될 수 있다고 연구원들은 말했습니다.

"사이버 범죄자는 사용자의 일상을 알뿐만 아니라 검색 쿼리를 기반으로 현금 또는 값 비싼 품목이 있는지 여부에 대한 정보도 얻을 수 있습니다."라고 그들은 말했습니다. "예를 들어 값 비싼 물건을 살 곳이나 보관할 길을 검색하는 경우 공격자는 물건을 훔칠 준비가되어있을 수 있습니다."