美国国防部服务器没密码，3TB敏感数据泄露

上周末，安全研究人员Anurag Sen发现美国国防部一台存储了3TB内部军事电子邮件的服务器在线暴露长达两周，该服务器托管在微软的Azure政府云上，供美国国防部客户使用，与其他商业客户物理隔离，可用于共享敏感的政府数据。其中许多数据与美国特种作战司令部（USSOCOM）有关，USSOCOM是美国负责执行特殊军事行动的军事单位。

令人惊讶的是，暴露的服务器由于配置错误没有密码，任何人都可通过互联网访问。

据Anurag Sen透露，暴露数据包含过去几年的大量内部军事电子邮件，其中一些包含敏感的人员信息。其中一个暴露的文件包括一份完整的SF-86问卷，该问卷用于处理机密信息前的个人审查，由寻求安全许可的联邦雇员填写，包含高度敏感的个人和健康信息。

根据Shodan的搜索结果，该邮箱服务器2月8日首次被检测为数据泄露。目前尚不清楚邮箱数据是如何暴露在公共互联网上的，从目前可用信息推测可能是由于人为错误导致的配置错误。

目前尚不清楚除了Sen之外，是否有人在两周的暴露窗口期内发现了可以从互联网访问云服务器的暴露数据。

无独有偶，上周末美国有线电视新闻网报道美国联邦调查局纽约办事处的（用于调查儿童性剥削的）计算机系统也遭黑客入侵，联邦调查局发言人Manali Basu证实，该机构已经控制了“孤立事件”，并继续开展调查。

参考链接：

https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/