RedDoorz 的运营方在一个旧应用中留下了云密钥——590 万客户数据泄露

运营 RedDoorz 酒店预订网站的新加坡公司 Commeasure 于 2020 年 9 月 19 日从一家美国网络安全公司处获悉客户数据已泄露。近 590 万名东南亚客户的个人数据遭到泄露，其中大部分来自印度尼西亚，约 9,000 名来自新加坡，包括姓名、联系电话、电子邮件、出生日期、加密的账户密码和预订信息。这些数据在一个黑客论坛上被出售。被遮蔽的信用卡号码未被访问。

新加坡个人资料保护委员会（PDPC）认定，黑客很可能利用 Commeasure 于 2015 年创建的 Android 应用程序包（APK）中嵌入的 AWS 访问密钥，进入了该公司的亚马逊云数据库。在代码中嵌入密钥违反了 AWS 的建议，该密钥被错误地标记为“测试密钥”，而该 APK 虽被视为已废弃，却一直可在 Google Play 上下载，直至此次泄露被发现。

由于该 APK 被视为已废弃，它被排除在 Commeasure 于 2019 年 9 月至 12 月委托进行的安全审查和测试之外，也被排除在原本可以阻止该密钥被发现的某个安全工具之外。PDPC 将此归因于对生产环境中 IT 资产清单管理的疏忽，并表示相关审查不够严格。PDPC 在 2021 年 11 月 11 日发布的判决中对 Commeasure 处以 74,000 新元罚款。

约 590 万客户的数据泄露；PDPC 于 2021 年 11 月对 Commeasure 处以 74,000 新元罚款，这是新加坡《个人资料保护法》（PDPA）下规模最大的数据泄露事件

一个 AWS 访问密钥被直接嵌入应用包中，违反了 AWS 自身关于不要将密钥放入代码的建议。

该密钥被错误标记为“测试密钥”，使其看起来无害。

该 APK 被视为已废弃，因此未被纳入 IT 资产清单，并被排除在 2019 年的安全审查之外。

PDPC 认定，定期安全审查对这一暴露风险毫无作用，因为受影响的 APK 从未被纳入其审查范围。

被遗忘的资产仍然是攻击面。如果某个“已废弃”的应用或密钥不在 IT 资产清单中，它就会游离于所有安全审查之外，而攻击者只需找到它一次。

PDPC 在确定 74,000 新元罚款时，考虑了疫情对酒店业造成的困难以及该公司采取的补救措施，该罚款远低于当时生效的 100 万新元上限，也低于 2018 年数据泄露事件中对 SingHealth 和 IHiS 合计处以的 100 万新元罚款。事件发生后，Commeasure 将实时数据库访问限制为白名单 IP 地址，并为开发者工具增加了双重身份验证。截至判决作出时，除一名联合创始人和首席技术官外，所有开发者均已离开该公司。