近日，WizCase安全精英团队在扫描仪FBS远程服务器发觉了明显的数据泄漏事情，数以百计的秘密纪录，包含用户名字、账户密码、电子邮件地址、护照号、银行信用卡、交易数据信息等信息很有可能掉入不法分子手上。
环境
Forex，是foreign currency(外汇)和exchange(换取)2个词的合成词，指一种外币兑换另一种贷币的交易全过程，交易原因各种各样，包含金融业、商业服务、貿易和度假旅游。外汇交易交易销售市场的日均交易量超出5亿美元。外汇交易交易关键由金融机构和全世界金融信息服务核心，但因为有互联网技术，现如今平常人可以立即进军外汇交易、证劵和大宗商品现货交易。
在网络上交易的风潮中，用户造成的TB级的商业秘密数据信息也信赖在了外汇交易交易服务平台上。因为金融业交易是外汇交易交易的关键，这种交易数据库查询中拥有的用户数据信息的特性是相对高度灵敏的，也促使线上交易网址变成互联网犯罪分子的一个唯利是图的总体目标。
FBS一家国际在线外汇交易交易服务平台，创立于2009年，在全世界190个我国/地域具有超出40数十万合作方和1600数十万交易员，是全世界关键外汇交易交易服务平台之一。截止到2021年1月，FBS运用在Google Play店铺中的免费下载频次已超出一百万次。
FBS的用户总数诸多，每20秒就会有用户递交一次提现要求，也形成了很大的交易数据信息，殊不知与此对应的则是一个不安全的ElasticSearch网络服务器。科学研究员工在调研时发觉FBS网络服务器处在开启情况，没有密码设置或数据加密，所有人都能够浏览FBS的信息。
泄漏了哪些?
近20TB的信息遭受泄露，包含160万件纪录，全世界的数以百计的FBS用户遭受危害。泄露的信息包含以下几点。
用户基本信息：
- 名字和姓式
- 电子邮件地址
- 联系电话
- 账单详细地址
- 我国
- 时区时间
- IP地址
- 坐标
- 护照号
- 挪动设备模型
- 电脑操作系统
- 发给FBS用户的电子邮箱
- 社交媒体ID，包含GoogleID和FacebookID
- 用户提交供认证的文档，包含本人照片、身份证件、驾驶证、出生医学证明、银行回单、水电气和未编写的银行信用卡
用户详尽信息：
- FBS用户ID
- FBS账号建立日期
- 以base64编号的未数据加密登陆密码
- 重置密码连接
- 登陆历史时间
- 满意度数据信息包含满意度级别、等级積分、奖赏積分、总计储蓄、活跃性日数、活跃性顾客、积累積分和消费积分
及其财务报表：
用户交易信息包含储蓄额度、贷币、支付平台、交易id、帐户id、交易日期、储蓄频次、最终储蓄额度、最终储蓄日期、存款总金额、借贷方、账户余额、上个月账户余额、年利率、税费、总股本和可以用担保金。
每一个数据都能够独立为网络攻击给予有價值的信息，而全部数据结合在一起会促使用户遭遇的风险性越来越更高。
图1.用户提交的护照签证和银行信用卡照片
图2.一位法国用户帐户信息
图3.一位澳洲用户帐户信息
图4.纯文字(base64)登陆密码
图5.一笔50万美元的交易详单
这对FBS以及用户代表着哪些?
FBS以及用户遭遇的首要危害包含:
1. 真实身份偷盗及行骗
所泄露的个人信息信息可以用以跨别的网站的非法行为验证，根据名字、电子邮件地址、实体线详细地址、护照号、驾照号码、身份证号、联系电话、社交媒体ID、银行信用卡、照片、会计纪录这些，可以让不法分子假冒受害人真实身份。
2. 行骗、钓鱼攻击和恶意程序
泄漏的联系电话很有可能被用于对FBS用户启动行骗、垂钓和恶意程序进攻。拥有这种比较敏感的实际数据信息，互联网犯罪分子在电話或电子邮件中规定给予信息时，听起来会更可靠。
3.信用卡诈骗罪
为了更好地进行信用卡消费，FBS规定用户提交银行信用卡/储蓄卡双面的照片。拥有这种照片，不法分子就不会太难运用这种信息开展信用卡诈骗罪。
4. 敲诈勒索
因为可以浏览电子邮件地址、MAC地址、社交媒体id和会计纪录，不法分子可以锁住这些迁移了相对性很多资产的用户开展敲诈勒索。
5. 本人安全性
因为互联网犯罪分子能获得用户在FBS上的会计交易信息，交易关键点很有可能会让犯罪嫌疑人对用户的经营情况有一定的掌握，再再加上具体详细地址和联系电话的泄漏，用户本人或家中很有可能变成执行违法犯罪的总体目标。
6. 间谍主题活动
不法分子可以获取FBS用户的电子邮件地址和联系电话，运用这种信息吸引住用户到他们自己的线上交易服务平台。用以定项和吸引住用户应用他们自己的线上交易服务平台。该网址构造上的源码和信息失窃，也使第三方更非常容易复制FBS网址，随后依据它们的必须开展较小的调节。
7. 账号接手
泄露曝露的重置密码连接。根据浏览该类比较敏感信息，只需网络攻击了解用户的电子邮件地址，她们就可以轻轻松松接手一切FBS用户的账号。除此之外，拥有纯文字登陆密码(用base64编号)，并了解很多人会混合开发器重登陆密码，互联网犯罪分子可以试着在别的网站上应用该登陆密码并接手。
以上未包含用户和机构因FBS系统漏洞而面对的全部风险性。在科学研究工作人员发觉并告之FBS以后，FBS已提升了相对的应对措施来保证网络服务器的安全性。
文中翻譯自：https://securityaffairs.co/wordpress/115925/data-breach/fbs-data-breach.html