躲猫猫的瞬间数据泄露暴露了婴儿的照片和视频

当安全专家告诉您任何人都可能成为数据泄露的受害者时，他们并没有夸张地希望将每个人置于不必要的恐慌状态。来自安全咨询公司Twelve Security的 Dan Ehrlich最近发现了一个相当大的数据库，该数据库表明您甚至不需要知道如何使用电子设备来破坏您的隐私。

有问题的数据库托管在阿里云拥有的服务器上，并且在2019年3月至2020年1月之间收集了约100GB的信息。有很多事情值得担心，但是当Ehrlich发现链接到看起来像婴儿的照片和录像。经过简短的调查，他意识到数据是从Peekaboo Moments泄漏的，该软件是一款移动应用程序，可帮助父母跟踪孩子的成长情况。

Peekaboo Moments暴露了大量的个人数据

Ehrlich与信息安全媒体集团的Jeremy Kirk联系，Jeremy Kirk 试图帮助以负责任的方式披露此事件。两人在暴露的数据库中戳了一下，发现其中包含超过7000万个日志文件，这些日志文件除了包含照片和视频的链接之外，还保存着属于父母和婴儿的各种个人信息。在数据中找到了与“至少” 80万个Peekaboo Moments帐户关联的电子邮件地址，以及使用户将应用程序连接到其Facebook个人资料的API密钥。有了这些信息，黑客就可以访问在马克·扎克伯格的社交网络上共享的信息，并且由于Peekaboo Moments公开了一些自己的API密钥，攻击变得更加容易。

日志还包含使用情况统计信息以及与世界各地婴儿有关的令人担忧的信息量。除了照片和视频，数据库还泄漏了新生儿的出生日期以及体重和身高的信息。 GPS数据也被泄露，这将使攻击者能够准确定位儿童的确切位置。

Peekaboo Moments如何最终陷入困境？

如果您仔细阅读了Peekaboo Moments的Google Play页面上的营销材料，就会给人留下印象，即该应用程序的开发者Bithouse，Inc.充分意识到保持用户数据私密性的重要性。然而，事实却相反。

泄漏的信息被放置在不受保护的Elasticsearch服务器上，任何具有浏览器和Internet连接的人都可以访问该服务器。 Bithouse并非唯一一家犯过此错误的公司，但事实上还有许多其他罪犯并不能真正起到减轻罪魁祸首的作用，特别是当您知道婴儿的安全已备受关注时。根据Dan Ehrlich的说法，配置错误的数据库只是冰山一角。

他对信息安全媒体集团（Information Security Media Group）表示，有关该应用程序的“所有内容”都是“刻薄地做，并且非常不安全”。 Ehrlich并没有涉及太多细节，但是我们可以肯定，至少他的一些批评与以下事实有关：默认情况下，Peekaboo Moments的官方网站（在主页上配有登录表格）会加载在HTTP而非HTTPS下 。

说到该应用程序的网站，如果您转到该网站，则会发现有关Peekaboo Moments首席执行官Jason Liu所写数据泄漏的公告。根据声明，泄漏是由配置错误的日志服务器造成的，该日志服务器保留了用户数据的“很小一部分”。刘为此次泄露事件道歉，并承诺将自己的公司从现在开始做得更好，并试图说服所有人，除了Ehrlich和Kirk外，没有其他人可以访问该数据库。显然，指向儿童照片和视频的链接不再有效，因为Bithouse在收到第一份报告后“很快”保护了泄漏的数据库。

杰里米·柯克（Jeremy Kirk）对事件的描述有些不同。信息安全媒体集团（Information Security Media Group）的报告说，多次与Jason Liu及其公司取得联系的尝试均以失败告终。据柯克说，直到故事传出几小时后，比特豪斯才返回一封电子邮件，说服务器是安全的。

无论如何，Peekaboo Moments的数据泄漏可以证明网络安全事件甚至可以影响我们社会中最无辜和最脆弱的成员。下次您想知道应该使用哪个应用共享孩子的照片时，应该记住这一特殊的违规行为。