惊喜，惊喜：除了不可靠的服务外，MoviePass还为其客户的数据提供了较差的安全性

MoviePass可以很好地证明并非每个好主意都能带来成功。该公司成立于大约八年前，其业务计划基于一个听起来很棒的概念。订阅者每月支付固定费用，并获得一张特殊的借记卡，只能在与MoviePass合作的电影院使用。他们去看电影院，挑选他们想看的电影和放映时间，他们的借记卡会自动补充足够的钱来支付门票。用户使用该卡并观看电影。

总之，对于那些不时喜欢下沙发的人来说，这是Netflix，对于频繁的电影观众来说，这是一种少花钱的好方法。然而，虽然他们在省钱，但MoviePass正在失去它。

关于MoviePass商业模式可持续性的担忧最初是在服务上线后不久提出的，多年来，用户在可用的订阅计划中进行了一些改变，这些改变本来可以改善公司的财务状况。尽管如此，资产负债表显示MoviePass仍在亏损，而去年该服务甚至暂时停止，因为该公司没有钱支付其合作伙伴。停电一年多后，财务困境仍然严重，而MoviePass的未来看起来并不十分确定。然而，与现金相关的问题不应成为将用户隐私置于风险之中的借口，不幸的是，一位名叫Mossab Hussein的安全研究人员最近发现，MoviePass已经危及不少订户的个人信息。

MoviePass在没有密码的情况下留下了一个充满敏感数据的服务器

Hussein在MoviePass的一个子域中发现了一个数据库，该数据库可以从世界上任何地方访问，并且不受密码保护。后来变得显而易见的是 ，数据库被称为“prod”（最有可能是“生产”的缩写），并且不断添加新的记录使Hussein相信它可以包含真实的MoviePass客户的真实信息。他与TechCrunch的Zack Whittaker 取得了联系，他看了一下并试图弄清楚暴露了什么类型的数据。

不安全的数据库包含超过1.6亿条记录，虽然其中很大一部分由系统日志组成，但也有大量的个人信息。 Whittaker采集了1,000条记录样本，清理了重复记录，发现大约一半的内容包括独特的MoviePass借记卡号码和到期日期。他还发现了记录用户的个人信用卡号，有效期，姓名和邮政信息，并且因为它是一个生产数据库，所以新的条目一直在增加。

显然，未受保护的服务器没有存储任何有效的用户名和密码，但它确实包含与登录尝试失败相关的日志。 Whittaker尝试使用错误的凭据登录，几秒钟后，他输入的详细信息出现在数据库中。记录错误的用户名和密码的事实有点奇怪. Zack Whittaker可以看到他们的事实是可怕的。

MoviePass没有以任何方式保护信息

不幸的是，现在没有密码的数据库是一个相当常见的错误 。后果往往是非常具有破坏性的，但就MoviePass而言，潜在的破坏可能受到一些基本安全机制的限制。可悲的是，这些机制没有得到实施。

如果我们假设记录用户输入的无效密码是一个很好的决定（这本身就是一个有争议的问题），那么这样做的公司必须考虑以安全的方式存储这些细节。正如我们一再说的那样，存储密码的唯一真正安全的方法是对它们进行散列 。然而，MoviePass决定将错误输入的凭证存储在明文中。

没有采取任何措施来保护用户的信用卡和借记卡。实际上，一小部分记录只保留了卡的最后四位数，但在大多数情况下，所有信息都可用于拍摄。不知道是否有人在侯赛因之前设法达到它，但在他的报告中，Zack Whittaker说根据网络威胁情报公司RiskIQ，该数据库在线至少两个月。 TechCrunch的记者要求MoviePass确认或否认这一点，但没有得到回应。

该公司对事件的总体反应远非理想。 Mossab Hussein是第一个试图揭露问题的人。由于泄露信息的敏感性，他在周末直接向MoviePass首席执行官Mitch Lowe写了一封电子邮件，但他从未收到过回复。在Zack Whittaker伸出手之后，数据库被悄然脱机，但该公司决定不发布官方声明，并披露有关泄密的一些重要细节，如暴露信息的确切性质，受影响的用户数量以及预防措施将阻止将来发生类似事件。所有这些事情目前仍然未知，这意味着每个MoviePass用户都应密切关注他们的银行对账单，如果他们发现可疑的话，应迅速采取行动。