纽约机场750GB数据遭泄露，包含各类设备密码与员工社会安全号码

安全专家指出，此次大规模数据库泄露事件代表着纽约机场网络完整性的“彻底崩溃”

E安全2月28日讯 几个月以来，不断有报道指出纽约斯图尔特国际机场的内部敏感数据已经被暴露在互联网之上，且未加任何密码保护。其泄露的数据总量已超过750 GB，数据中包含电子邮件、密码与政府文件。MacKeeper公司安全研究人员克里斯·维克里指出，此次泄露事件标志着纽约机场的网络完整性“彻底崩溃”。

这座位于曼哈顿以北40英里的纽约斯图尔特国际机场每年为数十万名乘客提供服务，还定期供军方执行任务。该机场以提供大量面向外国贵宾在内的高端客户的包机航班而闻名。

数据泄露从去年3月就已开始

根据克里斯·维克里所言，截至上周（2月21日）纽约机场的大量敏感数据被恶意人士所随意窃取，且网络入侵至少自去年3月就已经开始。此接入互联网的存储驱动器包含由斯图尔特国际机场所使用的多个服务器备份镜像，但各备份驱动器皆未对其磁盘镜像进行密码保护，意味着任何人皆可访问其内容。

这些文件中包含11个磁盘镜像，其中囊括了高达数百GB的文件与文件夹，其内容则涵盖机场工作人员电子邮箱帐户、敏感人力资源文件、办公室备忘录、工资单数据以及一套疑似财务追踪用途的大型数据库。外加来自美国国土安全部（简称DHS）下辖机构运输安全管理局（简称TSA）的大量函件。

在一篇博文中，克里斯·维克里表示有文章指出斯图尔特国际机场的信息安全服务由一家名为“AVPorts”的私营企业负责。至少根据其官方网站的说法，这家公司具备“无与伦比的机场管理能力、经验与专长”。

克里斯·维克里同时指出，泄露的数据还包含员工社会安全号码（简称SSN）、工资记录单甚至网络密码。事实上，泄露数据中包含大量“仅供官方使用”以及“未经授权公开可能导致民事处罚”标注的文件。

更令人担忧的是，根据报道，这家由纽约与新泽西港务局持有的私营安全管理企业只拥有一名操作人员。克里斯·维克里指出，这名IT技术人员每月只会“两到三次”亲身前往现场。

他写道：“营利性企业往往更重视收入而非坚持最佳实践。AVPorts公司在此次事件中的表现再次证明了这一点。”

“在机场管理领域，每一位员工都需要至少接受一定程度的数据泄露预防性培训。然而在与AVPorts公司的工作人员进行交流时，虽然其态度很好，但却提问称这件事‘能否等到明天再说’。”

纽约机场泄露的数据

纽约机场泄露的政府文件

黑客可以根据泄露的文件关闭机场

通过审查，安全研究发现其中大部分文件属于“机密”级别的机场内部文件，具体包括其它核心基础设施的原理图与各类细节信息。

其它来自国土安全部下辖各机构的文件则被标记为“敏感”但非机密级别内容，具体包括综合性安全计划、筛查协议以及私人飞机乘客的抵达规程。

Krypton Security公司创始人Khalil Sehnaoui与黑客兼安全研究人员Brad "Renderman" Haines对该密码文件以及文件中的网络原理图进行了分析，旨在确定潜在攻击者所能利用的入侵范围。

不过根据两名安全研究人员的证实，其中一个文件包含机场内各类设备与系统的用户名及密码列表，查看者可借此随意访问机场的内部网络。

Sehnaoui指出，“这份密码文件将允许我们全面访问其内部网络中的每一项组件。”

他同时补充称，其中部分密码还涉及由AirIT公司提供的机场乘客接待系统，其允许机场工作人员管理乘客的记录、登机口及登机流程等事务。

上述信息的外泄可能意味着黑客能够篡改登机牌及其它乘客信息。

他表示，“即使是在最为乐观的假设场景下，即没有任何人因此受到伤害，黑客也能够借此将自己升级为头等舱或者打印能够前往任何目的地的登机牌。”

他同时指出，不过一旦落入错误的对象手中，这些信息将可用于向“禁飞”名单上的人员发放有效登机牌——这份政府观察名单旨在防止潜在的恐怖分子正常登机。

Haines表示，“大家可以访问乘客数据库并了解谁将在何时前往哪里，而泄露的乘客数据则包含有乘客姓名以及护照号码等。”

他进一步补充称，这些信息可被用于追踪乘客进出机场的行动。

研究人员们强调称，在更糟糕的情况下，黑客完全可以关闭机场运营，导致乘客滞留在地面之上。

尽管并未公布具体情况，但研究人员们确实对该机场的密码策略提出批评。Haines表示，目前完全可以利用斯图尔特机场泄露的信息推测其它采用同一AirIT系统之机场的密码内容。

数据泄露的原因

此次数据泄露事故被归咎于两大核心原因。其一，机场方面实验性地使用了一款名为“Shadow Protect”的备份软件。其二，使用一款已经被事实证明存在严重安全隐患的，名为Buffalo Terastation的辅助备份设备。

根据外媒报道，此次泄露的文件中包含机场系统内使用的密码列表，一旦被滥用则可能导致恶意人士“不受限制地访问”机场网络。而根据报道，这一结论已经得到两名独立研究人员的证实。

纽约与新泽西港务局在接受采访时表示：“目前还没有迹象表明我们的网络上被安装了直接性违规或者恶意软件。”

“我们将收集备份文件、系统日志、网络示意图以及防火墙配置信息，用以确定代理数据中是否存在持续性风险或者安全漏洞。在检查备份文件之前，我们无法确定其中的具体内容，但我们认为其中应该不会包含乘客个人数据。”

E安全注：本文系E安全独家编译报道，转载请联系授权，并保留出处与链接，不得删减内容。联系方式：① 微信号zhu-geliang ②邮箱[e-mail]

@E安全，最专业的前沿网络安全媒体和产业服务平台，每日提供优质全球网络安全资讯与深度思考，欢迎关注微信公众号「E安全」（EAQapp），或登E安全门户网站www.easyaq.com , 查看更多精彩内容。