研究人员再发现未保护的资料库丛集中国猎人头公司资料全都露

示意图。（CC BY 2.0）Photo by Blogtrepreneur on Flickr（https:[email protected]/29972713206/in/photostream/）

一名安全研究人员Sanyam Jain在网路上发现了公开的ElasticSearch丛集，存放着隶属于中国猎人头公司FMC的数千万笔履历与企业资料，并藉由BleepingComputer联繫了中国，该资料库才在10天之后被保全。

Jain向BleepingComputer透露，此一ElasticSearch丛集是因为配置错误才让资料库曝光，它存放了逾9,000笔的企业联络人资料、超过88万的电子邮件纪录、逾500万的公司纪录、超过2,000万份履历、11万笔的客户纪录、7.3万笔的客户讯息，以及员工日常任务与拨打电话的纪录。

FMC猎人头公司成立于1999年，在北京、上海与广州皆设有办公室，客户以跨国公司及中国大型企业为主，从事工业、服装、网路、房地产、汽车与金融等领域的猎人头服务，标榜有超过63万名候选人。

有趣的是，当Jain在5月20日发现该曝光的资料库时，当天就尝试联繫FMC与中国网路应急中心（CNCERT），因未受到任何回应才通知BleepingComputer，BleepingComputer再于5月23日通知CNCERT，CNCERT则终于在5月30日回覆，且当天就保全了该资料库。而事件中的主角FMC则一直音信杳然。

近来有关资料库因配置错误而允许外人任意存取的事件层出不穷，光是ElasticSearch这半年来就发生了两起类似的事件，包括在去年外洩了8,000万名美国民众资料，今年还让十多万名戒瘾病患的资料曝光。

Elastic则建议管理人员应设置伺服器密码，也应加密通讯，设定基于角色的存取控制，进行IP过滤与稽核，且在正式部署之前最好再三确认配置。