功能
- 功能简介
- 更多系统
173-3346-7065
173-3346-7065
据Cybernews报道，全球知名数字身份验证工具提供商OCR Labs近日曝出敏感数据泄露事件，导致大量银行和政府客户面临严重风险。
创办于2018年的OCR Labs是数字身份验证工具的领先提供商，主要提供数字身份验证、客户信息录入、身份欺诈甄别和合规服务；其IDkit工具被多家主流银行、电信公司和政府机构使用于人脸识别身份验证（关联身份证件）。
OCR的商业解决方案提供5项专有技术，包括：身份文件光学字符识别（OCR）技术、文件欺诈风险评估、活体检测、视频欺诈风险评估和人脸匹配技术。
以下为事件梗概：
Cybernews联系了OCR Labs，并帮助后者修复了漏洞。
受数据泄露影响的澳大利亚银行QBANK主要向澳大利亚政府机构工作人员提供服务，Defense Bank（国防银行）主要服务于澳大利亚军队，而MA Money是一家住宅抵押贷款的公司。
该泄密事件还影响了Bloom Money和Admiral Money——两家总部位于英国的金融公司，以及英国顶级招聘机构Reed。
Cybernews指出，黑客利用泄露的数据能够入侵OCR Labs的后端基础设施，进而入侵其客户的基础设施。
公开暴露的“证书宝库”
2023年3月8日，Cybernews研究团队发现OCR实验室的网站idkit.com存在一个可公开访问的环境文件（.env）。
该文件包含数据库凭据，包括主机、端口和用户名、包含简单队列服务（SQS）访问凭据的亚马逊网络服务（AWS）、应用程序令牌和各种API密钥。
在泄露的数据中，研究人员发现了谷歌和Liveness服务的API密钥。Liveness服务用于在数字识别过程确定样本是否真人，从而防止欺骗或帐户持有人冒充。
这些密钥的暴露非常危险，被攻击者获取后可用来查看API的所有数据，并修改和更新相关文件、管道和工作流。
研究人员还偶然发现了Engine v4凭据：虽然他们无法确定这一发现的确切影响，但该凭据与KYC服务有关，该服务负责在开户时验证客户的身份，并定期验证以防止洗钱。暴露其ID和机密可能会危及KYC流程。
用户财务数据面临风险
Cybernews检测到的另一条敏感信息是来自知名跨国数据分析和消费者信用报告公司益博睿（Experian）的API密钥。
益博睿收集了大量个人财务数据，以帮助评估他们的信誉。未授权访问其API可能使攻击者能够获取私人用户数据（如信用评分），并编辑与API关联的所有数据。
泄露的应用程序URL、ID和令牌可能已被攻击者用来劫持OCR Labs客户端应用程序。
AWS和SQS访问凭证的暴露使OCR Labs客户端处于危险之中。泄露此类数据可能会破坏公司的系统运营，阻碍其查看内部服务器通信的能力，并可能使恶意行为者获得进一步的访问权限，从而对客户造成伤害。
暴露的的OAuth端点URL和业务指标令牌等信息可帮助恶意参与者访问企业私密商业信息。
攻击影响范围极广
CyberNews指出，如果恶意行为者使用泄露的数据来接管应用程序实例，在目标系统中横向移动，可能会造成重大损害。
暴露的环境文件中的信息可能会为威胁参与者提供多种攻击选项，例如部署勒索软件以及访问和窃取敏感客户数据（如个人身份信息（PII）、存款、取款和转账）等。
此外，泄露的（个人财务）数据对网络钓鱼者和欺诈者非常有价值，他们可能会利用这个机会冒充经纪人或银行，对企业和个人实施电汇欺诈。
此外，身份盗用和使用被盗客户凭据开设欺诈性银行账户的风险也不容忽视。
在接到Cybernews的配置错误问题通知后，OCR Labs立即采取了所有必要的缓解措施。OCR Labs表示，它遵守了漏洞披露计划（VDP）框架，“已安全地接受，分类和快速修复漏洞”，并已通知所有受影响的客户。
安全建议
为了确保存储数据的安全性，Cybernews研究人员建议企业谨慎行事，避免在环境文件中存储敏感信息，例如登录URL，连接字符串，访问令牌和凭据，建议将它们始终存储在安全和受保护的文件夹中。
对于OCR Labs来说，应采取一些必要的预防措施，包括重置凭据、密码、令牌和API密钥。此外，还应创建随机生成的强唯一密码，同时限制数据库访问，以确保只有其所有者才能读取访问令牌。
最后，专家建议企业尽快实施可靠的验证程序来保护客户端，例如多因素身份验证。
参考链接：https://cybernews.com/security/ocr-labs-exposes-its-systems/ 【来源:GoUpSec】
本地下载
当青岛*测控技术有限公司遇上安企神，测控技术数据安全将迎来哪些新变化？
海*测控技术有限公司是海*微电子有限公司100%控股子公司，是由青岛市政府、山东省政府及行业领军企业共同出资成立的第三方检测平台。旨在集成电路可靠性验证及测试分析领域打造国内一流集成电路检测、分析、设计开发及技术解决方案等集成电路产业共性技术服务平台。海*以海洋装备和高端设备集成电路可靠性验证和测试分析为特色，主要为海...
"聚势谋远：重庆*医药集团与安企神达成战略合作，探索医药+科技融合发展新路径！
重庆*医药集团有限公司成立于2017年8月，是在重庆市*区医药（集团）有限责任公司基础上组建成立的大型医药产业企业。是重庆*经济技术开发（集团）有限公司控股的混合所有制企业和市级重点项目三峡国际健康产业园投资单位，位列全国百强医药流通企业。公司下辖重庆*制药有限公司、*医药科技重庆有限公司、重庆*肿瘤医院等十余家子公司...
聚焦核心数据安全：山东卫禾*股份有限公司携手安企神软件构建防泄密屏障！
项目背景山东卫禾*股份有限公司于2015年注册成立，公司拥有总资产1.5亿元，公司具有齿轮检测中心、三坐标测量仪、全谱直读光谱仪等关键研发设备。运用UGNX7.5、MASTA5.4等研发软件进行研发，具有强大的技术研发能力，拥有31项专利，坚持产学研结合，设有山东卫禾*技术研究院，并不断加强研发平台建设，打造创新型企业...
安全+智造双升级！江阴*电子有限公司携手安企神开启企业防护新时代！
江阴*电子有限公司成立于1989年，是一家电子元器件集成设计和生产服务的领先供应商。产品应用包括数据采集、计算机外围设备和其他电子产品。还进入了汽车电子行业、航空航天行业、工业控制行业、医疗器械行业和消费电子行业，为客户提供更广泛的高附加值产品和服务。随着科技产业的快速发展和市场需求的增加，现已成功转型为一家提供完整解...
福建*医药公司联手安企神软件，成功落地应用程序、网站黑名单设置与USB管控方案！
项目背景福建*医药有限公司前身是福建*工贸责任有限公司，2015年重组后成为中国五百强企业——*医药集团的子公司。 系中国最大的民营医药集团，是在中国医药商业行业处于领先地位的上市公司。公司成立于2015年08月04日，经营范围包括中药饮片、中成药、化学原料药、化学药制剂等。应用需求管控公司电脑安装程序和使用程序，禁...
