忌賭博 | 美賭博網站資料洩露，說裸奔就裸奔

據美國科技媒體ZDNet報導，美國一個網路賭博集團洩露1.08億條賭博資訊，裡面包括客戶的個人資訊、存款及提款詳情。

網路安全研究人員賈斯汀·潘恩（Justin Paine）說，這些資訊是從ElasticSearch伺服器洩露的，並在網上流傳，不需要密碼就能獲得。

Elasticsearch是一個基於Lucene庫的搜尋引擎。它提供了一個分散式，多租戶能力的全文搜尋引擎，具有HTTPWeb介面和無架構JSON文件。Elasticsearch是用Java開發的，並根據Apache License的條款開源釋出。

企業喜歡用ElasticSearch來改進自有網路App的資料索引和搜尋功能。一般來說這樣的搜尋引擎會裝在內部網路，用來處理公司機密資訊，資訊不會洩露在網上。

上週，Paine發現了一些沒有安全保護和身份驗證的敏感資訊，很明顯這些資訊來自線上投注入口網站。

ElasticSearch處理了大量從多個網路域聚合而來的資訊，這些資訊很可能來自某種聯盟計劃，或者是運營多個博彩門戶的大型公司。

在對伺服器資料中發現的URL進行分析後發現，所有域名都在執行線上賭場，使用者可以對經典紙牌和老虎機下注，還可以投注其他非標準的賭博遊戲。

Paine在漏洞伺服器中發現的一些域名包括kahunacasino.com、azur-casino.com、easybet.com和viproomcasino.net等。經過一番挖掘，Paine認定這些域名全都是由同一實體用來運營網路賭場。

洩露的使用者資料包括許多敏感資訊，如真實姓名、家庭住址、電話號碼、電子郵件地址、出生日期、網站使用者名稱、帳戶餘額、IP地址、瀏覽器和作業系統詳細資訊、上次登入資訊和參與賭博專案的列表。

很少一部分經過編輯的使用者資料被伺服器洩露

總計約有1.08億條記錄曝光，裡面還有押注、獲勝、存款、取款資訊。在存款和取款資訊裡還有支付卡資料。好在ElasticSearch伺服器中支付卡詳情部分被隱去了，並且也沒有公開使用者的完整財務細節。

很少一部分經過編輯的交易資料被伺服器洩露

壞訊息是，任何發現資料庫的人都會知道最近贏得大筆金額的玩家的姓名、家庭住址和電話號碼，並且可能已將這些資訊作為詐騙或勒索計劃的一部分。

截止本文釋出，這些線上入口網站均未對此事做出回覆，但資訊洩露的伺服器已無法訪問。

鑑於上述所有線上賭場網站都沒有回應媒體的評論請求，其母公司也沒有回應，因此不清楚伺服器暴露在網上的時間有多長，究竟有多少使用者受到了影響，安全研究員以外的任何人是否訪問了洩漏的伺服器，以及客戶是否會被告知他們的個人資料已在網際網路上以明目張膽的方式被公開了。

有資料顯示，中國每年由於賭博而流到境外的賭資超過6000億元，境外賭博網路就像“抽水機”一般，每年將上千億的資金從中國內地抽走。

和線下賭博相比，網路賭博有更強的隱蔽性，操作更加便利，一些網路賭博甚至可以進行合法包裝。同時，玩家交易的虛擬籌碼使其在下注時缺少心理壓力，更容易成癮。

賭博性質的網站，安全軟體通常會給出防毒警告，很大程式的影響了使用者體驗性。

博彩運營人員為了防止出現防毒警告，通常會連續購買多個不同的域名。

因此，賭博性質的網站安全問題堪憂，如果在上面註冊個人資訊，甚至完成交易支付，將存在很大的隱私風險。

參考來源：

• 鈦極客
  
• 安全客
  
• zdnet