土耳其主流金融应用泄露敏感数据，数百万人面临风险

数百万使用热门金融应用的土耳其用户可能遭遇了私人数据泄露。

Cybernews研究团队发现了一个未受保护的MongoDB数据库，内含超过四百万条敏感财务数据记录。

泄露的数据可追溯至FinansCepte和FinansWebde，这是土耳其使用最广泛的两款金融应用。这两款应用为超过一百万用户提供财务追踪、市场分析和个人投资管理服务。

目前尚不清楚是否有恶意行为者访问过这个暴露的数据库，也不清楚该数据库已公开暴露了多长时间。像这样暴露的数据库是攻击者的金矿，他们持续监控互联网以寻找未受保护的数据库。

因此，如果我们的研究人员找到了该数据库，攻击者很可能也已经发现了。

土耳其金融应用数据样本（图片来自Cybernews）

Cybernews已联系应用背后的公司Pasyonis Medya ve Bilişim Ticaret，但在本文发布时尚未收到回复。

金融应用泄露了哪些数据？

1. 用户名
2. 电子邮箱地址
3. 电话号码
4. 部分支付信息
5. 哈希加密的密码
6. 金融警报设置

数百万用户面临网络攻击风险

暴露财务数据极其危险，使用户容易遭受一系列网络攻击。掌握财务细节后，攻击者可发起高度复杂的钓鱼活动，针对应用用户进行诱骗，以获取更敏感的数据。例如，攻击者可能冒充金融应用发送通知，敦促用户重置密码或保护账户安全，实则窃取凭证并清空账户。

泄露的数据中也包含登录凭证。虽然密码经过哈希加密处理，安全性更高，但仍可能被用于撞库攻击和暴力破解攻击，从而使黑客有机会访问用户在其他多个平台的账户。

访问警报设置则可能让攻击者操纵金融通知，使用户无法察觉真实的市场波动，或在关键时刻向其传递虚假信号。

（图片来自Cybernews）

金融应用正在泄露用户数据

数据库不设密码是非常常见的漏洞，通常归因于人为失误。Cybernews的内部研究也显示了同样的趋势。然而，若未被及时发现，这些“简单的错误”可能会演变成影响数十万人的安全事件。

类似的配置错误是近年来多起影响金融应用的重大数据泄露事件的根源。

2024年，Cybernews发现尼日利亚金融科技公司BestFin（运营iCredit应用）发生数据泄露，暴露了846,000名客户、其紧急联系人信息，甚至包括该应用秘密收集的私人短信。

另一起数据泄露事件影响了乌拉圭数字银行平台Bankingly，导致七家金融机构的数据泄露，暴露了遍布南美和中美洲的近10万人的信息。

---

消息来源： cybernews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；