Mondee 安全漏洞暴露飛行行程和未加密的信用卡號碼
概述
Travel giant Mondee（簡稱「Mondee」）的一個安全漏洞暴露了敏感客戶資訊，包括詳細的飛行和酒店行程以及未加密的信用卡號碼。一位名叫 Anurag Sen 的善意安全研究人員在網路上發現了這個資料庫，並與 TechCrunch 分享了詳細訊息，以便警告該公司。 根據 Sen 的說法，此資料庫在沒有密碼的情況下暴露於網際網路上，只需使用網頁瀏覽器以其 IP 位址，任何人都可以存取其中的敏感資料。TechCrunch 發現，此資料庫還可從 Mondee 子公司網站的易於猜測的次級域名存取。大部分資料似乎與 Mondee 子公司 TripPro 有關，該公司是一個旅行代理平臺，供數以萬計的預訂代理商和旅行新創公司使用，可以實現自助預訂飛機票和酒店。 這個資料庫託管在 Oracle 的雲上，當時的大小超過 1.7TB，其中包含客戶的個人資訊，包括姓名、性別、出生日期、家庭位址、航班訊息和護照號碼。 TechCrunch 所看到的一些資料包括完整的客戶乘客姓名記錄（PNR），包括機票和預訂詳情。TechCrunch 在資料庫中也看到了客戶的完整信用卡號碼和到期日期，但這些資料都沒有加密。TechCrunch 證實，暴露的資料與真實的人的訊息相匹配。我們聯絡的一個人證實了他們的航班訊息是準確的，並表示他們是透過一個熱門預訂網站預訂了航班。 資料庫中還包含 Mondee 開發人員生成的非客戶測試資料。據 Shodan，一個搜尋暴露在網路上的伺服器和資料庫的搜尋引擎，此資料庫首次在 7 月底被發現為暴露。當前還不清楚資料庫如何公開並可從網際網路中存取，但資料庫暴露通常是由人為錯誤導致的配置問題。 當 TechCrunch 透過電子郵件聯絡 Mondee 發言人 Karen Gillo 時，她未承認這一事件，也未提供評論。在 TechCrunch 聯絡 Mondee 後不久，資料庫變得無法存取。當前尚不清楚在資料庫從網際網路中可存取的時間內是否有其他人發現了這個暴露的資料庫。TechCrunch 問 Mondee 公司是否具有技術能力（例如日誌）來確保資料庫中的資料是否被存取或外泄。Mondee 並未表示是否打算通知受到此資料暴露影響的客戶。編者評論
Mondee 此次安全漏洞暴露的事件再次凸顯了個人資料保護的重要性。敏感個人資訊，如航班行程和信用卡號碼，應該得到嚴格的保護，並且必須使用加密措施。此次事件中，資料庫中的資料未加密，這是一個嚴重的失職。這種型別的資料泄漏可能導致身份盜竊和金融欺詐等嚴重後果。 作為旅行業龍頭之一，Mondee 應該意識到並督促其子公司 TripPro 等採取更嚴謹的資料保護措施。將客戶的個人資訊和金融資料暴露於無密碼的資料庫中，給予駭客和不懷好意的人犯罪的機會，這是不可接受的。 此外 Mondee 對於這一事件的回應也存在問題。在 TechCrunch 聯絡公司後沒有明確的回應和宣告，同時未確保是否會通知受到影響的客戶，這可能對客戶信任和品牌形象造成負面影響。作為一家大型企業，Mondee 有責任及時回應安全漏洞並與受影響的客戶進行溝通。建議
對於個人和企業，保護敏感資訊的安全至關重要。以下是一些建議： 1. 加固資料保護：開發者和企業應該確保資料庫和系統的安全性，包括使用強大的密碼和加密技術，並確保所有網路存取都是安全的。 2. 監測和修補漏洞：定期進行安全測試和漏洞掃描，及時修復發現的漏洞和問題，以確保系統的安全性。 3. 加固內部培訓：教育員工和開發人員有關資料保護和訊息安全的最佳實踐，提高他們對潛在風險的識別能力和處理方法。 4. 及時回應和通知：對於發現的安全漏洞，企業應該及時回應，進行調查並通知受影響的客戶，以最大程度地減少潛在的損失。 我們希望 Mondee 能夠從這次事件中吸取教訓，加固對資料安全的重視，以保護客戶的個人資訊和信任。同時政府和監管機構也應該提出更加嚴格的資料保護和隱私法規，以確保個人資料得到適當的保護。Cybersecurity-Mondee,安全漏洞,曝光,航班行程,未加密,信用卡號碼
