OCR Labs数据泄露危及大量银行客户

2023年4月6日作者：GoUpSec

一家人脸识别技术供应商因安全漏洞危及大量金融企业和重要行业、政府用户。

据Cybernews报道，全球知名数字身份验证工具提供商OCR Labs近日曝出敏感数据泄露事件，导致大量银行和政府客户面临严重风险。

创办于2018年的OCR Labs是数字身份验证工具的领先提供商，主要提供数字身份验证、客户信息录入、身份欺诈甄别和合规服务；其IDkit工具被多家主流银行、电信公司和政府机构使用于人脸识别身份验证（关联身份证件）。

OCR的商业解决方案提供5项专有技术，包括：身份文件光学字符识别（OCR）技术、文件欺诈风险评估、活体检测、视频欺诈风险评估和人脸匹配技术。

以下为事件梗概：

总部位于伦敦的OCR Labs是数字身份验证工具的主要提供商之一。其服务被宝马、沃达丰、澳大利亚政府、西太平洋银行、澳新银行、汇丰银行和维珍货币等知名企业使用。
公司系统配置错误将敏感凭据暴露给公众。
数据泄露影响了多个国家的多家金融机构。
使用泄露的数据，黑客能够入侵OCR Labs的后端基础设施，从而渗透到其客户的基础设施。
金融服务是网络犯罪分子的主要目标，因此该数据泄露事件对企业及其客户的威胁极为严重。

Cybernews联系了OCR Labs，并帮助后者修复了漏洞。

受数据泄露影响的澳大利亚银行QBANK主要向澳大利亚政府机构工作人员提供服务，Defense Bank（国防银行）主要服务于澳大利亚军队，而MA Money是一家住宅抵押贷款的公司。

该泄密事件还影响了Bloom Money和Admiral Money——两家总部位于英国的金融公司，以及英国顶级招聘机构Reed。

Cybernews指出，黑客利用泄露的数据能够入侵OCR Labs的后端基础设施，进而入侵其客户的基础设施。

公开暴露的“证书宝库”

2023年3月8日，Cybernews研究团队发现OCR实验室的网站idkit.com存在一个可公开访问的环境文件（.env）。

该文件包含数据库凭据，包括主机、端口和用户名、包含简单队列服务（SQS）访问凭据的亚马逊网络服务（AWS）、应用程序令牌和各种API密钥。

在泄露的数据中，研究人员发现了谷歌和Liveness服务的API密钥。Liveness服务用于在数字识别过程确定样本是否真人，从而防止欺骗或帐户持有人冒充。

这些密钥的暴露非常危险，被攻击者获取后可用来查看API的所有数据，并修改和更新相关文件、管道和工作流。

研究人员还偶然发现了Engine v4凭据：虽然他们无法确定这一发现的确切影响，但该凭据与KYC服务有关，该服务负责在开户时验证客户的身份，并定期验证以防止洗钱。暴露其ID和机密可能会危及KYC流程。