约会应用无法再次保护其客户：6个应用泄漏了数百万条记录

我们最喜欢互联网的一件事是，我们可以在互联网上找到很多信息。奇怪的是，我们最讨厌互联网的一件事就是我们可以在互联网上找到这么多信息。例如，来自WizCase的安全研究人员最近发现，如果六处约会应用程序的用户知道在哪里看，他们可以在没有密码保护且可以从世界任何地方访问的数据库中找到公开的个人详细信息。

五个安全性差的数据库泄漏了数百万条包含个人信息的记录

专家们发现了三个ElasticSearch安装，一个Amazon S3存储桶和一个暴露于Internet且无需任何身份验证即可访问的MongoDB数据库。其中两个供应商位于美国，两个位于韩国，一个在日本运营，它们都运行约会网站和应用程序。以下是服务的名称及其泄漏的数据：

• CatholicSingles.com

S3存储桶仅重17MB，并保持了约5万条记录。大部分配置文件似乎都被禁止，但是最近记录的活动是最近的活动，这表明泄漏的数据最有可能是有效的。它包括姓名，电子邮件地址，电话号码，年龄，性别，职业，账单地址，付款方式等。

• SPYKX.com

SPYKX.com是一家韩国供应商，开发和运行几种不同的服务。其中之一是一个名为Condaq / Kongdak的约会应用程序，由于某种原因，开发人员认为将一些应用程序的用户数据放在不受保护的ElasticSearch服务器上是一个好主意。大约12.3万条记录暴露了600MB的个人详细信息，包括电子邮件地址，明文密码，出生日期，甚至GPS数据。

• 提基

据称，Tiki是“一种新型的约会应用程序”，根据其网站，用户可以控制可能看到的个人信息的类型。考虑到Tiki的开发人员将一些上述信息存储在MongoDB数据库中（可通过简单的浏览器访问），这一说法尤其具有讽刺意味。大约有4000条记录被泄露，其中包括从用户评分和活动日志到姓名，电话号码，约会地点等所有内容。

• 模糊的

Blurry是韩国的约会应用程序，可让用户在视频通话中模糊屏幕。据说它面向的是那些不太愿意互动或对外观不太自信的用户，并且您只能想象这些人在得知某些私人对话被配置不佳的ElasticSearch服务器暴露时会有什么样的感受。 7万条记录中没有任何个人详细信息，但泄漏的消息中充斥着WhatsApp的号码，Instagram的句柄以及其他可能使受害者遭受各种攻击的信息。

• 查林和久恩

另一个配置错误的ElasticSearch数据库属于Charin和Kyuun的开发人员-这两个日语应用程序似乎由同一公司运行。这是迄今为止最大的泄密事件，共有57GB的公开数据和大约1亿条记录向公众开放。令人担忧的是，除了用户ID，移动设备信息和搜索首选项之外，数据库还包含纯文本格式的电子邮件地址和密码。

这已经是一个相当大的泄漏，但是WizCase的调查并没有就此停止。

专家们无法确定另外六个不受保护的数据库的所有者

研究人员发现了另外六个装有数据的不安全数据库。约会服务的用户再次受到影响，但是这次，开发人员似乎对泄漏不负任何责任。

专家们确实设法将数据链接到了多个应用程序-Zhenai，说爱，网易，Love Chat和Companion。他们说，但是，数据库不包含任何个人身份信息，很可能是网络抓取的结果。他们还认为，网络罪犯可以使用其中的信息来识别其他公开可用的配置文件，并有可能访问更敏感的数据。

用户需要注意什么？

约会应用泄露用户数据从来都不是一件有趣的事。尽管我们今天谈论的服务并不像我们几周前讨论的那样利基，但是受影响的个人可能并不一定热衷于全世界，因为他们知道他们正在使用它们。

不幸的是，由于涉及的应用程序太多，我们无法知道有多少人受到泄漏的影响。但是，我们所知道的是，如果您使用了本文中提到的任何服务，则需要比平时更加谨慎。一些数据库中的数据可以为网络犯罪分子提供模仿您和窃取您的在线身份所需的一切。而且，他们可以使用它来查找有关您的更多信息并发起其他攻击。

在某些情况下，基于您正在使用约会应用程序这一事实而进行的勒索尝试并非没有可能，公开的明文密码几乎肯定会用于凭证填充攻击 。