Etsy 与 TikTok Shop 重大数据泄露致 160 万客户邮箱信息外流​

网络安全研究团队Cybernews发现，两个未受保护的Azure Blob存储容器发生数据泄露，内含超160万份文件，主要涉及Etsy、Poshmark及TikTok店铺客户信息。泄露数据以美国用户为主，部分波及加拿大与澳大利亚客户。

尽管在线购物已具备较高安全性，数字阴影中仍潜藏风险。研究团队近期发现的两个暴露实例中，存储的HTML格式物流确认邮件包含以下敏感信息：用户全名、家庭住址、电子邮箱、物流订单详情。

研究人员强调：“考虑到Etsy作为全球数百万小微企业的交易平台地位，物流确认邮件数据泄露对其客户隐私与安全构成重大威胁。” 大部分泄露文件来自手工艺品电商平台Etsy，部分数据关联TikTok店铺、二手交易平台Poshmark及刺绣设计平台Embroly。

攻击者可利用泄露信息实施多重恶意活动：

1. 精准钓鱼攻击：冒用Etsy或合作物流商身份，借助真实订单细节提升钓鱼邮件可信度，诱导用户点击恶意链接或泄露财务信息。
2. 社交工程攻击：结合地址与订单信息实施深度伪装，骗取额外敏感数据。
3. 恶意软件传播：制作包含具体商品描述的带毒邮件附件，利用用户信任实施感染。

虽然无法确认暴露实例的具体所有者，但处理记录分析显示：受影响订单主要涉及定制刺绣设计服务，设计师名称与订单明细指向越南地区刺绣服务提供商，证据表明可能为单一实体在多个电商平台开设店铺所致，但存储实例缺乏明确身份标识。

为防止类似事件，研究团队提出六项防护措施：

1. 在云存储环境中实施更严格的安全控制，防止未授权访问
2. 回溯审查访问日志，确认存储桶是否遭非法访问
3. 启用服务器端加密确保静态数据保密性
4. 使用Azure密钥保管库安全管理加密密钥
5. 强制SSL/TLS协议保障数据传输安全
6. 建立定期审计机制，开展员工数据安全培训

研究团队特别警示：“掌握用户全名与地址信息后，攻击者可伪装成可信物流服务商，通过伪造通知迫使受害者执行确认个人信息、支付款项或点击恶意链接等危险操作。此外，精确的订单信息可能被用于投放定制化恶意载荷，极大提升攻击成功率。”

消息来源： cybernews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；