[新聞] 和泰出大包，iRent 用戶個資直接在網路

看板 Car

時間 2023/01/31 17:41:46

留言 131則留言，86人參與討論

推噓 43 ( 55推 12噓 64→ )

討論串 4

原文連結： https://technews.tw/2023/01/31/irent-security/ 原文內容：和泰出大包，iRent 用戶個資直接在網路上「裸奔」台灣和泰集團旗下的共享汽車服務 iRent 出現了大量用戶個資外洩的事件，一名安全研究人員在和泰所擁有的雲伺服器上發現了一個資料庫，這個資料庫並沒有受到加密保護，任何知道 IP 位址的人都可以輕鬆地存取 iRent 用戶的姓名、手機號碼、電子郵件地址、居家住址、自拍照，以及部分信用卡資訊等。此一事件是由外國安全研究人員 Anurag Sen 所發現，他注意到和泰的雲伺服器資料庫可以在無意中訪問，由於這個資料庫並沒有加密，因此網路上的任何人都可以查看 iRent 的所有用戶資料。 Sen 指出，這些被攤在網路上的資料包括了數百萬個部分信用卡號、至少 10 萬個用戶身份證明文件，以及用戶的自拍、簽名、租車的詳細資訊等。在 Sen 披露這個消息後，《TechCrunch》便向和泰汽車發送了幾封電子郵件，其中幾封還包含了資料庫中的詳細資訊，但遲遲等不到和泰汽車的回覆。一直到 1 月 28 日時，《Tec hCrunch》聯繫了數位發展部，而在部長唐鳳的一封電子郵件回覆中提到，這個資料庫已經有進一步的存取控制。且在數位部介入後，和泰汽車才確認已經保護了這個暴露在外的資料庫。值得注意的是，根據 Sen 的調查，iRent 的資料庫洩露可能最早於 2022 年 5 月就開始，目前尚不清楚除了 Sen 之外，是否還有其他人在過去的 9 個月內注意過這個資料庫。心得/說明：(30字以上) 和泰本來還想裝死不回應是駭客去跟政府爆料，和泰才出來意思意思打馬虎眼回應一下但也沒有對外說明客戶資料外洩的情況不止汽車共享連客戶個資也一起共享＊轉錄新聞/情報，必須附上原文及網址連結及心得或意見30字(不含標點符號)＊ --

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 125.228.187.140 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/car/M.1675158108.A.ABD.html

1^F→ dslite: 沒租過01/31 17:43

2^F推 mk203125: 為所欲為XD01/31 17:43

3^F推 EPIRB406: irent是誰做的，基本的加密都不會？01/31 17:44

4^F推 LeeAnAn: 連這個都能護航的就不配當人了01/31 17:46

5^F推 aowen: 不意外01/31 17:47

※ 編輯: KotoriCute (125.228.187.140 臺灣), 01/31/2023 17:48:41

6^F噓 jason0330: …01/31 17:48

7^F推 Ho1liday: 不愧是為所欲為01/31 17:49

8^F→ jason0330: 汽車共享機車共享個資通通共享啦01/31 17:49

9^F→ fcuharden: 笑死。跟賣車一樣為所欲爲01/31 17:50

※ 編輯: KotoriCute (125.228.187.140 臺灣), 01/31/2023 17:51:18

10^F→ korsg: 個資共享笑死xddd 01/31 17:52

11^F推 Lowpapa: 這在國外早就死定了還好台灣是犯罪天堂沒事 01/31 17:52

12^F推 baddaddy: 哇我的資料別人怎麼都知道 01/31 18:05

13^F噓 sam352306: 白爛IT領不到300萬就在弄吧 01/31 18:10

14^F推 lion0208: 這連加密都不是，是資料庫連密碼都沒設定，直接裸 01/31 18:10

15^F推 qwe172839: 難怪和運都知道 lul 01/31 18:10

16^F→ lion0208: 奔在外面給人連… 01/31 18:10

17^F→ Dcpp2015: 連健保局都會賣個資了，還能指望政府重視個資？ 01/31 18:10

18^F→ qwe172839: 這串護航的快打字我們好省力氣黑單 01/31 18:11

19^F→ zone01267: 如果在歐洲 GDPR不知道會罰多少 01/31 18:12

20^F推 agpc: 台灣真是企業跟犯罪天堂，企業成本跟犯罪風險都壓 01/31 18:12

21^F→ agpc: 到最低。 01/31 18:12

22^F→ PPPGGG: 汽機車共享連個資也一起 QAQ 01/31 18:13

23^F→ magician5566: 沒差吧頭優塔新車一出照樣賣爆啦 01/31 18:14

24^F噓 ChiaoY: 重罰0000萬 01/31 18:19

25^F推 baddaddy: http://i.imgur.com/UbtsKew.jpg 01/31 18:21

26^F→ baddaddy: http://i.imgur.com/IYRNKu1.jpg 01/31 18:22

27^F推 MK47: 真正的共享XDDD 01/31 18:23

28^F噓 oppoR20: 寫app跟屎一樣 01/31 18:35

29^F→ oppoR20: 可悲irent 01/31 18:35

30^F推 arcross: T黑也只能囂張一天了坐等明天公布月銷量 01/31 18:38

31^F推 onnie: DB任何人隨便都可以連 01/31 18:46

32^F→ onnie: 我是不大相信使用者個資會加密 01/31 18:46

33^F→ onnie: 各位好自為之... 01/31 18:46

34^F推 kentopsp: 三寶名單 01/31 18:48

35^F推 CTTSAI: 共享資源 01/31 18:50

36^F→ Giganoto: 太苦了，明天空爆他 01/31 18:52

37^F推 andychiu: 在國外公司會賠死,在台灣政府帶頭賣個資,根本沒在怕 01/31 18:55

38^F→ ueiueiuei: 和泰怎麼都知道，因為沒設防啊 01/31 18:56

39^F→ ksk0516: 重罰幾萬？ 01/31 18:56

40^F推 lmc66: 共享的美好 01/31 18:58

41^F推 LiamTiger: 難怪和運真的什麼都知道 01/31 19:09

42^F推 lll156k1529: 不是說和泰都是台大高材生嗎 01/31 19:10

43^F→ lll156k1529: 還是腦袋都拿去算怎麼cost down洗消費者買車美式了 01/31 19:11

44^F推 NEX4036: 連地圖放大縮小都會導致整個畫面重新整理的軟體， 01/31 19:13

45^F→ NEX4036: 別期待太多。 01/31 19:13

46^F推 mathrew: 共享資源沒毛病啊 01/31 19:14

47^F推 iorittn: 真。共享 01/31 19:21

48^F→ lock0308: 和泰工程師懷疑都是學店 01/31 19:24

49^F→ A320: 台大的都商管而已吧資料庫維護的ㄏㄏ 01/31 19:27

50^F→ albertt0226: 業界早就有和X相關的資訊人不錄用的消息 01/31 19:33

51^F推 sdd5426: 台灣軟體人才一流的會去國外的純軟二流的會去IC業 01/31 19:37

52^F→ sdd5426: 的軟韌剩下最三流的才會去車美仕這種系統廠 01/31 19:37

53^F→ Giganoto: 學店文組也不會出這種包吧= = 01/31 19:45

54^F推 crazy81709: 超不專業 01/31 19:50

55^F噓 tccn66: RD:幹啊我每次測試不想設定密碼啊 01/31 19:51

56^F噓 r30385: 難怪和泰都知道嘻嘻☺ 01/31 19:51

57^F推 agpc: 阿泰：公司利潤要最大化，這種不賺錢的成本能省就 01/31 19:51

58^F→ agpc: 省，反正寶島台灣沒人會計較！ 01/31 19:51

59^F推 MTBSsales: 不知道有沒有佛心駭客寫個app,由資料庫撈紀錄警告用 01/31 19:57

60^F推 easonxxxz: 三寶個資外洩 01/31 19:57

61^F→ MTBSsales: 路人某某三寶租用車輛與行駛路段 01/31 19:58

62^F推 johnny9667: 還要等了數位部介入…神經怎麼這麼大條啊 01/31 19:58

63^F→ MTBSsales: 類似WOW的DBM這樣... 01/31 19:59

64^F推 as508114: 在美國會被告到倒在台灣會有河粉護航 01/31 20:24

65^F推 qazwsx6107: 個資也共享耶簽名也共享 01/31 20:34

66^F→ ASKA: 車美仕頂多算貼牌廠吧？... = = 01/31 20:47

67^F推 WayneCSH: 三寶名單快記下來 01/31 21:09

68^F噓 sbsame12455: 租車金額有夠貴....結果資安爛的一蹋糊塗 01/31 21:18

69^F推 yenlon: 政府資安都呵呵了，和泰裝死剛好而已 01/31 21:26

70^F推 kingdomsss: 三寶名單大放送 01/31 21:52

71^F推 mywonderwall: 和運什麼都知道欸 01/31 22:02

72^F推 kengi1112: 消費者是心中最軟的那一塊 01/31 22:03

73^F推 ShibaTatsuya: 共享個資難怪和運什麼都知道 01/31 22:04

74^F推 SakuraHana: 真的有人會在意個資嗎？普通人個資沒什麼用，名人的 01/31 22:10

75^F→ SakuraHana: 個資想藏也藏不了，個資就假議題 01/31 22:10

76^F→ sazabijiang: 年輕人喜歡嘲笑老人上網容易被騙，但其實也沒有 01/31 22:40

77^F→ sazabijiang: 資安意識，不知道個資外洩的嚴重性。 01/31 22:40

78^F→ sazabijiang: 和運註冊時要提供身分證照片，上面有換發日期地點 01/31 22:41

79^F→ sazabijiang: 加上電話、信用卡號等，駭客要冒名或者社交工程的 01/31 22:41

80^F→ sazabijiang: 難度就大為降低，然後再針對認證不嚴謹的網路服務 01/31 22:42

81^F→ sazabijiang: 綁定消費，如果使用者本身又不謹慎，誤點了手機傳 01/31 22:42

82^F→ sazabijiang: 來的縮網址，很容易就讓駭客得手。 01/31 22:42

83^F→ sazabijiang: 光是有你完整信用卡號加CVV/CVC，就可以盜刷了 01/31 22:43

84^F→ modernpkman: 關政府什麼事見鬼了 01/31 22:49

85^F推 steel: 到時候irent賠錢又要從買車的消費者身上挖了 01/31 23:12

86^F推 Trxy: 資料共享笑死 01/31 23:13

87^F推 Chian3675: irent不意外還亂收我兩百多塊操 01/31 23:36

88^F推 qvt: 和運梗圖百看不厭 01/31 23:43

89^F推 ALDNOAH5566: 加密鎖起來就會有老人唉唉叫撈不到資料 01/31 23:56

90^F推 cser945: 信用卡，被盜刷就芭比Q了 01/31 23:57

91^F推 kanehhh: 有錢人都買豐田 02/01 00:15

92^F→ luckystrike5: 台大純軟高材生會去和泰一個月領四萬多? 笑死 02/01 00:46

93^F推 turndown4wat: 扯 02/01 00:48

94^F→ luckystrike5: 和泰都只能撿外商外銀不要的頂大收起來狂操 02/01 00:48

95^F→ luckystrike5: 但和還是能一直成長頂大後段班的人還是屌打學店的 02/01 00:49

96^F噓 lisachen0330: … 02/01 01:11

97^F→ petshopboys: 集體訴訟告和泰 02/01 01:33

98^F噓 liwmewmew: 沒在租車，但整個行為真的夠垃圾，難怪有人被盜刷 02/01 03:57

99^F噓 k5253XLMz: 可憐啊賺飽飽app寫超爛還爆出這種爛事 02/01 04:25

100^F噓 pmes9866: 幹有夠爛 02/01 08:03

101^F推 indoman: 共享 02/01 08:26

102^F→ Arashi0731: 真的屌，這在米國直接被告倒了吧 02/01 08:35

103^F→ MrSmileL: 結合最近某豐被狂盜刷 02/01 08:42

104^F推 keigowei: 真不要以為IT就有資安意識，這案例真的爛透可笑 02/01 09:15

105^F推 MTBSsales: 傻哭瘌蛤哪 02/01 09:15

106^F→ MTBSsales: 是誰啊？不是名人的話不就在自介？ 02/01 09:16

107^F推 jhbgybj123: 2207準備掰掰 02/01 09:20

108^F推 BlacKlonely: X泰：將提高全車系售價提高資安品質 02/01 10:15

109^F→ whizz: 幹它媽的河汰 02/01 11:14

110^F推 takeshi345: irent目前都有馬上處理加密了，現在應該是最安全的X 02/01 12:33

111^F→ takeshi345: D 02/01 12:33

112^F→ sazabijiang: 我高度懷疑所謂的"馬上處理加密"是什麼動作 02/01 14:35

113^F→ sazabijiang: 如果只是開啟資料庫檔案的加密，結果資料庫還是 02/01 14:36

114^F→ sazabijiang: 被連進去，一樣可以查詢到資料。 02/01 14:36

115^F→ sazabijiang: 正確的作法是要把PII資料都加密才寫入資料表，但 02/01 14:37

116^F→ sazabijiang: 這樣整個程式要異動的地方超多。 02/01 14:37

117^F推 icome: 詐騙王國個資外洩怎麼了嗎 02/01 20:05

118^F推 benjamin99: 講個資外洩部會怎麼樣的老實講真的是無知不知道這 02/01 21:32

119^F→ benjamin99: 次的嚴重性；不確定細節，但以目前測試看來和泰很 02/01 21:32

120^F→ benjamin99: 可能還是把密碼不處理直接存在資料庫，加深了很可 02/01 21:32

121^F→ benjamin99: 能使用者帳密完全流出去的疑慮。這樣的意思是你其 02/01 21:32

122^F→ benjamin99: 他用同個密碼註冊的系統或服務都很有可能是不安全 02/01 21:32

123^F→ benjamin99: 的；加上這邊提到內容還有信用卡電話地址等資訊， 02/01 21:32

124^F→ benjamin99: 更擴大了影響的範圍。如果真的有意識要保護的話， 02/01 21:32

125^F→ benjamin99: 其實真的要改其他系統的密碼，然後刪掉 irent 帳號 02/01 21:33

126^F→ benjamin99: 並依照個資法要求 02/01 21:33

127^F→ benjamin99: 和泰確保你的所有資料都是被完整刪除的 02/01 21:33

128^F噓 martinkyuu: 連app都不好用如何期待... 02/02 00:13

129^F推 nitero: 不用賠錢嗎 02/02 13:57

130^F→ vivianleee: 看聲明有說信用卡號都是加密的，完整資料應該只在 02/02 14:00

131^F→ vivianleee: 銀行那 02/02 14:00

‣ 返回看板

‣ 更多 KotoriCute 的文章

完整討論串

留言數	標題	作者	日期
180	[新聞] 和泰出大包，iRent 用戶個資直接在網路	KotoriCute	2023/01/31 17:36:59
133	>> [新聞] 和泰出大包，iRent 用戶個資直接在網路	KotoriCute	2023/01/31 17:41:46
84	Re: [新聞] 和泰出大包，iRent 用戶個資直接在網路	baby79080000	2023/02/01 11:01:28
50	Re: [新聞] 和泰出大包，iRent 用戶個資直接在網路	loserfatotak	2023/02/02 09:17:55