在当今数字化飞速发展的时代，数据安全已成为企业和个人不可忽视的重要问题。最近，汽车巨头宝马和奔驰相继爆发数据泄露事件，引发了广泛关注和警惕。这些事件不仅暴露了企业的敏感信息，也凸显了在数字化转型过程中面临的安全挑战。
宝马私钥和内部数据等敏感信息暴露
据外媒 TechCrunch 近日报道，汽车巨头宝马的云存储服务器发生配置错误事件，导致私钥和内部数据等敏感信息暴露。
研究人员 Can Yoleri 表示，其在例行扫描时发现宝马开发环境中的微软 Azure 托管存储服务器（也称“存储桶”）被配置为公共而非私有。
Yoleri 补充说，该存储桶中包含“脚本文件，其中包括 Azure 容器访问信息、访问私有存储服务器地址的密钥以及其他云服务的详细信息”。
根据 TechCrunch 了解到的信息，此次暴露的数据包括宝马在中国、欧洲和美国的云服务私钥，以及宝马生产和开发数据库的登录凭证，不过目前尚不清楚具体有多少数据被暴露。
宝马发言人已证实，此次数据泄露影响了基于存储开发环境的微软 Azure 存储桶，并表示没有客户或个人数据因此受到影响。该发言人补充说：“宝马集团已于 2024 年初修复了这一问题，我们将继续与合作伙伴一起监控情况。”
宝马公司不愿给出云存储服务器暴露事件持续了多长时间，也不愿透露被暴露的数据是否已遭恶意访问。根据研究人员 Yoleri 的说法，宝马还未撤销或更改在被暴露的云存储服务器中发现的密码和凭证集。
奔驰源代码意外泄露，暴露内部敏感数据
近日，RedHunt 实验室的研究人员发现，梅赛德斯-奔驰无意中留下了可在线访问的私钥，暴露了内部数据，包括公司的源代码。目前尚不清楚数据泄露是否暴露了客户数据。
2023 年 9 月 29 日，RedHunt Labs 的研究人员在一个属于 Mercedez 员工的公共仓库中发现了一个 GitHub 令牌，该令牌可以访问公司内部的 GitHub 企业服务器。RedHunt Labs 在公告中写道：GitHub 令牌允许'不受限制'和'不受监控'地访问托管在内部 GitHub 企业服务器上的全部源代码。
该事件导致存放大量知识产权的敏感存储库数据泄露。其中，被泄露的信息包括数据库连接字符串、云访问密钥、蓝图、设计文档、SSO 密码、API 密钥和其他敏感内部信息。
源代码泄露可能会导致竞争对手对专有技术进行逆向工程，黑客很可能通过这种方式发现汽车系统中的潜在漏洞。
此外，API 密钥暴露可能会导致未经授权的数据访问、服务中断以及出于恶意目的滥用公司的基础设施。
RedHunt 实验室还提到，如果被暴露的存储库中包含客户数据，则有可能触犯法律，比如违反 GDPR。不过，研究人员尚未验证被暴露文件的内容。
RedHunt 在 TechCrunch 的帮助下，于 2024 年 1 月 22 日向梅赛德斯-奔驰通报了令牌泄露事件，并在两天后撤销了该令牌，阻止了所有持有和滥用令牌者的非法访问。
数据安全是一个永恒的挑战
奔驰和宝马源码泄露事件是对数字化时代企业数据安全挑战的一个提醒，即使是全球知名的汽车制造商，也无法完全摆脱数据泄露和安全漏洞的风险。
随着企业越来越依赖云存储和软件开发工具，他们的数据暴露于更多的潜在风险之中。在奔驰的情况中，GitHub私钥的泄露使得攻击者可以访问企业的核心代码，这直接暴露了公司的技术秘密和商业机密。而宝马的情况则显示了即使是存储在云平台上的数据也可能受到威胁，一旦配置错误，就会导致敏感信息的泄露。
其次，这些事件突显了企业在内部安全管理方面的不足。无论是奔驰还是宝马，都有可能出现员工疏忽或管理失误，导致关键信息的暴露。对内部权限的管理、员工培训和安全意识的提升都是至关重要的，以减少类似事件的发生。
总的来说，奔驰和宝马源码泄露事件是一个警示，提醒我们在数字化时代，数据安全是一个永恒的挑战，需要企业、个人和社会共同努力来应对和解决。
来源：ACSRC
