近日，研究人员在一个配置错误的服务器上发现了存储有超过200GB数据的数据库。据悉，该服务器处于完全无防御的状态，且面向公众开放，任何人都能够公开查询和访问其数据。

研究人员介绍称，该数据库中存储有来自Veeam公司的约4.45亿客户记录，其中包含客户的个人信息，如姓名、电子邮件地址以及居住地/国家等。此外，该服务器上提供的其他详细信息还包括部分营销数据，例如客户类型和组织规模、IP地址、referrer URL以及用户代理等。

Veeam是一家总部位于瑞士的数据管理公司，主要为虚拟、物理和云基础架构提供智能数据管理服务。Veeam约有307,000名客户，其中包括挪威邮轮公司、盖特威克机场、斯堪尼亚、医疗保健和教育机构（几所大学和校区）等。

据悉，安全研究人员Bob Diachenko率先于9月5日就在亚马逊基础设施上发现了这些信息，但是在网上挂了4天后，这些信息都消失了，这说明该公司接收到了Bob Diachenko上报的漏洞信息，并采取了措施保护其MongoDB服务器。

目前，关于这些记录泄露的具体时间尚不能确定，但是根据Bob Diachenko的说法，该服务器的IP地址早在8月31日就已被Shodan索引。

错误配置的MongoDB加剧数据泄露

MongoDB最初是用于从本地网络进行访问的，但是如今，其使用已经超出了这些限制，而管理员却在继续依赖默认设置，很显然，这些默认设置并不适用于进行在线访问。这也就导致了大量错误配置的MongoDB实例的出现。

2015年12月，研究人员Chris Vickery在网上发现错误配置的MongoDB数据库暴露了1.91亿条美国选民的记录。

2016年4月，由于配置错误问题，包括9340万墨西哥选民个人信息的132GB数据库，公开在网上挂了8天。据悉，该数据库存放了墨西哥公民用以办理投票所需有效身份证的全部信息。不仅有市、区信息，还有选民的姓名、住址、身份证号、出生日期、父母姓名、职业等等信息。

2017年，美国共和党电话拉票公司Victory Phones的MongoDB数据库被黑，几十万为政治活动捐款的美国公民数据遭到泄露，被窃文件223GB，共包含约20亿行数据。据悉，遭遇泄露的数据包含16万6046个唯一电子邮箱，同时还包括姓名、邮寄地址、电子邮箱、电话号码、性别和捐款金额等。

2016年底至2017年初，大批MongoDB实例因配置漏洞遭遇攻击。其中，仅2017年年初，就有2.7万个不安全的MongoDB数据库被窃取，并遭遇勒索攻击。而之所以会发生这样的事件，就是因为组织机构将数据库置于公开的网段，并且未设置任何保护措施，例如密码。

而事实上，自从第一次错误配置的MongoDB实例被报道以来，网络犯罪分子已经开始围绕它们建立起了勒索业务。他们会在互联网上搜索开放访问的服务器，这些服务器允许他们导出或删除其中的内容，并留下赎金票据。

最近一起此类事件就是Mongo Lock，其背后的攻击者已经实现了操作自动化。但是研究显示，该自动化操作脚本并不可靠，它虽然能够自动化创建赎金票据，但有时候会忘记修改数据。

官方回应

对于此次泄漏事件，Veeam已经承认称，这些信息是他们营销数据库的一部分，而且这些数据曾在过去很短一段时期内暴露给了第三方。

Veeam在其公开发布的声明中写道，

我们注意到，我们的一个营销数据库中存储有非常多高度敏感的用户记录（例如潜在客户电子邮件地址等），可能已经在过去很短的一段时间内暴露给了第三方。但是现在，我们确保所有的Veeam数据库都是安全的。Veeam公司非常重视数据隐私和安全，目前正在针对此次事件进行全面的调查。