iRent資安漏洞主因，暫存資料庫為何未阻擋外部連線？

Question

Accepted Answer

iRent 資安漏洞主因：暫存資料庫未適當阻擋外部連線

iRent 此次嚴重的資訊安全漏洞，其核心問題在於內部用於記錄應用程式日誌（Log）的暫存資料庫，未能有效阻擋來自外部的連線存取。這使得具備專業技術能力的外部人士得以利用特定工具與手法，進入該資料庫，進而查詢並竊取近三個月內有異動個人資料的會員資料。受影響的用戶範圍涵蓋了這段期間內曾修改過個人基本資料、付款資訊，乃至於電子郵件認證等資訊的會員，初步估計受影響人數從原先的 14 萬人擴大至超過 40 萬人，暴露了潛在的個資外洩風險。
暫存資料庫安全防護的疏失

此次事件的根本原因，在於 iRent 內部用於記錄應用程式執行過程與相關資訊的暫存資料庫，其安全設定出現了嚴重疏漏。通常，此類用於記錄日誌的資料庫，應被嚴格限制僅供內部系統存取，或至少應設置嚴密的身分驗證與存取權限控管，以防範未經授權的外部訪問。然而，此次事件顯示，該暫存資料庫未被適當阻擋外部連線，形同向外部敞開大門，讓有心人士得以輕易入侵，並進一步查詢到近三個月內所有變更過的會員異動資料。
潛在的資料外洩範圍與規模

由於暫存資料庫的漏洞，駭客得以存取近三個月內所有修改過個人資料的會員資訊。這意味著，任何在這段時間內曾更新過個人基本資料（如姓名、電話、地址）、付款資訊（如信用卡部分號碼），或是進行過電子郵件驗證等操作的用戶，都可能成為資料外洩的對象。iRent 最初估計約有 14 萬用戶可能受影響，但經過進一步盤查後，發現潛在風險擴大至約 40.01 萬名用戶，顯示這次漏洞的影響範圍相當廣泛。
受影響用戶的定義與補償措施

和雲行動服務（iRent 母公司）明確指出，本次資安疑慮的對象，僅限於「近三個月內有異動個人資料」的用戶。若用戶在此期間內僅是單純使用 iRent 服務，但未曾修改過任何個人資料，則不在受影響範圍內。針對確認受影響的用戶，iRent 已主動透過電子郵件通知，並提供時數折抵券作為慰問與補償方案，以降低用戶的實質損失與擔憂。
iRent 的後續補強與調查行動

針對此次嚴重的資安事件，iRent 已採取一系列補強措施，以提升系統安全性。這包括進行主機系統的弱點掃描與滲透掃描，確保系統的穩固性；針對應用程式（App）進行原始碼掃描，查找潛在的安全漏洞；並確保所有客戶交易過程均採用 SSL 安全加密傳輸，以保護敏感資訊；同時也著手進行加殼（Code Obfuscation）處理，增加程式被逆向工程的難度。此外，iRent 已向主管機關提報改善計畫，並協請第三方專業資安單位展開深入調查，以釐清事件全貌並杜絕類似事件再次發生。
金融資料安全性的說明

針對外界關切的金融資料外洩風險，iRent 強調，此次發生資安缺口的暫存資料庫，僅保存了信用卡的部分遮蔽資訊，例如部分卡號。完整的信用卡號碼資訊是直接儲存在銀行端，並未儲存在 iRent 的系統中，因此並不存在外流的風險。截至目前為止，iRent 也表示尚未接獲任何客戶的個人資料遭詐騙或冒用，導致實質損失的案例。

閱讀紀錄

隱藏 →

此記錄會在頁面關閉後消失

iRent資安漏洞主因，暫存資料庫為何未阻擋外部連線？

Loading

你覺得這篇文章有幫助嗎？

有幫助

沒幫助

回報問題

1

0

0

分享給好友