外媒：Capital One数据泄露事件比它看起来更复杂

当地时间周一晚上，Capital One及其客户得到了一些非常糟糕的消息。该公司遭遇大规模数据泄露事件，大约1亿美国和加拿大用户的社会安全号码和帐户详细信息遭泄露。纽约州司法部长已经宣布对Capital One的泄露事件展开调查，但更广泛的故事是熟悉的：一家大公司让许多敏感数据丢失，客户承担了大部分风险。

然而随着对该事件的调查越深入，外媒发现的疑点就越多。被指控的黑客Paige Thompson（又称“Erratic”），在数据泄露事件公开的同时被抓获并被起诉，她似乎对覆盖她的踪迹并感兴趣。人们并不确切知道她在获得数据后对数据做了什么，但她不符合大多数诈骗者的情况，他们倾向于尽快在暗网等出售这样的信息。与此同时，最初的漏洞似乎更多的是服务器错误配置，而不是完全是漏洞引起，导致一些人怀疑Thompson是否可能是一个善意的研究人员。

最大的异常是如何首先发现漏洞。根据联邦投诉，攻击分别于2019年3月和4月分阶段进行。但是，Capital One在7月17日才知道这个问题，当时有人向该公司透露他们的私人数据已上传到公共GitHub页面。从那里开始，研究人员可以直接发现它的页面以及数据是如何被获取的。

通常情况下，数据仅在通过多个中介后才被发现，并且很难确切地确定数据的确切时间和方式。例如，调查人员需要花费数年时间才能找到参与Target数据泄露事件的所有人。起诉揭示了一种完全不同的组织形式：一方制造软件，另一方使用它来收集信用卡数据，然后将其卖给另一个使用它进行欺诈的团体。起诉所有这些人意味着以拉脱维亚和东欧为中心的大规模国际努力。相比之下，Thompson在最初提示后不到一个月就被拘留了。

人们不知道为什么Thompson决定在公共GitHub页面上发布数据。她在Twitter上公开描述了她的技术，并且似乎并不羞于分享信息。其余部分信息则来自Thompson维护的Slack房间，Thompson围绕这个漏洞的谈话非常随意。

“我想把它从我的服务器上删除，这就是为什么我要归档所有这些，”Thompson写道。“这都是加密的。不过，我只是不想要它。“涉及攻击的技术细节使其更加复杂。Thompson所做的只是可能的，因为Capital One错误配置了其亚马逊服务器。Thompson早些时候曾在亚马逊工作过，所以她被一些人描述为“内部威胁”。但是发现这种错误配置对于安全研究人员来说是一种常见的消遣方式。这些错误配置是如此常见且如此容易修复，以至于它们通常甚至不被视为泄露。

外媒认为从外部很难区分安全研究与犯罪产业之间的区别。人们也并不不知道为什么她获取这些数据，或者为什么她坚持几个月而没有向Capital One报告这个问题。人们也不知道她是否试图以某种方式报告，或者她是否试图以尚未曝光的方式从数据中获利。