长亭百川云 - 文章详情

【安全圈】在线PDF工具暴露了数万份用户上传的文件

安全圈

58

2024-07-14

关键词

数据泄露

随着在线文档处理需求的增加,一些看似好用且免费的工具在安全性上可能并不靠谱。据Cyber News消息,两款在线PDF制工具已经暴露了数万份用户上传的文件。

这两款PDF在线工具分别为PDF Pro (pdf-pro.io) 和 Help PDF (help-pdf.com),由同一家英国公司运营,均为用户提供 PDF 转换、压缩、编辑以及签署文档功能。

研究人员发现,暴露的 Amazon S3 存储桶呈开放状态,意味着任何人都能够获取其中的数据。对其进行分析发现,这两款工具已经累计暴露了89062份文件,其中87818 份文件通过 PDF Pro 上传,1244 份文件通过 Help PDF 上传。

这些暴露的文件涉及了大量用户的敏感信息,包括、护照、驾驶执照、证书、合同以及其他一些个人文件和资料。研究人员称,通过访问这些个人文件,网络犯罪分子可以从事各种欺诈活动,例如申请贷款,出租房产或使用受害者的身份进行物品交易,甚至可以更改或伪造合同或许可证等文件,以创建虚假身份、伪造资格或操纵法律协议以谋取利益,从而可能给受害者带来法律问题。

针对暴露的存储桶,Cyber News提出了如下缓解措施:

  • 立即限制对存储桶的公有访问

  • 更改存储桶策略和访问控制列表 (ACL) 以仅将访问权限限制为授权用户或应用程序

  • 确保存储桶中的所有对象都设置为私有或配置了适当的访问控制

  • 在存储桶上启用服务器端加密,以保护静态数据。管理员可以根据自己的要求在 SSE-S3、SSE-KMS 或 SSE-C 之间进行选择

对于用户而言,虽然不少PDF在线工具都会声明会对用户文件保护,包括会加密存储并在用户处理完文件后删除,但显然,其中一些工具仍然会保留用户文件,因此建议用户不要将个人敏感文件上传至网络。

END

阅读推荐

【安全圈】新版 RockYou 文件曝光:含近 100 亿条明文密码   

【安全圈】微软警告称 Windows Hyper-V 零日漏洞正受到利用

【安全圈】替代传统物理密钥,谷歌高级保护计划迎来重大更新!

【安全圈】官方强烈建议升级,GitLab又曝严重的账户接管漏洞 

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握!

好看你就分享 有用就点个赞

**支持「**安全圈」就点个三连吧!

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备 2024055124号-2