汽车制造产业上下游数百家公司数据被暴露

UpGuard Cyber Risk 的安全队伍现在透露，100多家汽车产业链上下游公司的敏感文件已泄露，这些文件放在属于Level One Robotics的一台服务器上，“这是一家主攻自动化流程和装配的工程服务提供商，面向OEM（原始设备制造商）、一级汽车供应商以及我们的最终用户。”此事件中泄露数据的公司包括大众、克莱斯勒、福特、丰田、通用汽车、特斯拉和蒂森克虏伯等。

泄露的157GB数据包含10多年的装配线原理图、工厂平面图及布局、机器人配置及说明文档、身份证件申请表和VPN访问请求表，另外居然还有保密协议，详细表明了泄露信息的敏感性。并非所有客户的所有类型的信息已被发现，但每个客户都包含这些类型的一些数据。另外还包含一些Level One员工的个人详细信息（包括驾照和护照的扫描件）以及Level One的商业数据（包括发票、合同和银行帐户详细资料）。

数据是通过rsync泄露的，这种常用的文件传输协议用于镜像或备份大型数据集。rsync服务器未受到限制，任何IP或用户均可访问，数据集可以下载到连接到rsync端口的任何rsync客户端。敏感数据和受影响企业的数量之多，表明了第三方和第四方供应链网络风险如何影响那些超大公司。制造业的自动化和数字化已经彻底改变了这个行业，但是也给诸多行业带来了一个新的问题，企业组织必须重视这个问题，才能在健康的数字生态系统中蓬勃发展。

发现

2018年7月1日，UpGuardCyber Risk的团队发现那台泄露的rsync服务器，于是开始分析原委。搞清楚这台服务器归谁所有后，就在7月5日开始试图联系LevelOne。7月9日与LevelOne成功接上头后，到7月10日漏洞已立即被堵住。LevelOne对此泄露事件很重视，收到通知后立即关闭了服务器。

rsync是一种广泛使用的用于传输庞大数据的实用工具，尤其是备份数据，或者将文件放在多个地方同步起来。然而，与大多数同类工具一样，如果不采取适当的步骤来限制rsync服务，它可能会被不安全地使用。rsync安全性的详细信息可以在我们的博文（https://www.upguard.com/articles/secure-rsync-in-the-enterprise）中找到，但总的来说，rsync实例应通过IP地址来加以限制，那样只有指定的客户端才能连接，而且应该设置用户访问权限，以便客户端在接收数据集之前必须通过身份验证。如果没有这些措施，任何公众都可以访问rsync。

内容

泄露的信息可以大致分为这三类。

客户数据：装配线和工厂原理图、保密协议、机器人配置、规格、动画和设计图纸、身份证件和VPN访问请求表以及客户联系信息。

员工数据：驾照和护照的扫描件、身份照片（可能用于身份证）、员工姓名和身份证号码。

Level One数据：合同、发票、价格谈判、工作范围和客户协议。

客户数据

Level One Robotics拥有一些大客户，包括通用汽车、福特和特斯拉等知名汽车制造商。泄露的数据包含与Level One有业务往来的100多家公司方面的信息。

Level One数据集中“customers”文件夹的屏幕截图

泄露的数据包含工厂布局和机器人产品的详细CAD图纸。

Level One数据集包含的其中一张原理图经编辑后的屏幕截图

除了原理图外，还有详细说明机器配置、规格和使用的文档以及工作机器人的动画。

泄露的Level One数据中其中一个机器人动画文件的屏幕截图

还有客户联系详细信息（包括客户员工的姓名和职衔），表明了机器人自动化流水线中的关系网。Level One的合同工向其中一些客户请求身份证件和VPN登录信息所用的文档也在rsync泄密事件中泄露了，这是社交工程伎俩看重的一大手段。

还在数据集中发现了波音的身份证件申请表，波音并未出现在Level one的客户名单中。

最后，众多保密协议的全文赫然在列，概述了客户对所处理数据的隐私性和保密性抱有的期望。

特斯拉的一份保密协议表，这只是Level One数据集包含的其中一份。

员工数据

泄露的数据集还包含Level One自己的一些员工的个人身份信息，包括护照、驾照及其他身份信息的扫描件。

泄露的Level One数据中包含的其中一张驾照扫描件经编辑后的屏幕截图

Level One数据集中包含的一张护照扫描件经编辑后的屏幕截图

此外，还有Level One的员工获取访问证件所需的信息，比如他们的姓名、身份证号码和照片。

Level One数据

rsync服务器上泄露的公司数据包含销售信息，比如发票、价格和工作范围。并附有Level One合同工的保险单。其他文件则包含关于客户、项目以及企业文件服务器上通常会有的常见业务文档的说明。

数据集中发现的一份Level One银行文档经编辑后的屏幕截图

还包含Level One的银行信息，包括账户及银行代码以及SWIFT代码。SWIFT代码是一种识别全球特定银行身份的国际银行代码。

影响

汽车制造商和普通意义上的制造商通常希望保留如何确保产品机密性方面的详细信息。工厂布局、自动化工作和机器人规格最终决定了公司的生产潜力。不法分子有可能利用这些文件中的信息，蓄意破坏或以其他方式扰乱生产业务；竞争对手可以利用它们获得不公正的优势。数据集里面有那么多措辞严厉的保密协议，这本身说明了这些合作伙伴在处理这种信息时期望的机密性有多高。

然而可能更令人不安的是涉及以数字方式和物理方式访问许多客户公司的文件。虽然数据集中未发现明文密码，但官方身份识别和VPN登录信息请求表、LevelOne许多客户的联系人以及Level One员工的个人信息和照片，这些信息使得不法分子通过社交工程伎俩访问其中一个保护相对不力的设施容易得多。

但这些只是企业层面的影响。Level One几个员工的个人信息也泄露了，包含护照和驾照的扫描件。这种类型的文件绝不应该公开，这为身份盗窃及其他欺诈活动提供了可趁之机。

最后，发现泄露数据时针对rsync服务器设置的权限表明，这台服务器是可以公开写入的，这意味着谁都有可能篡改里面的文件，比如替换直接存款指令中的银行帐号，或者嵌入恶意软件。我们过去也曾讨论过，这是一大风险。

结语

供应链已成为企业数据隐私中最薄弱的部分。虽然许多公司每年在网络安全上花费数百万美元，仍然有可能因处理其数据的供应商而泄露数据。供应链很复杂，处理公司数据集的第三方和第四方急剧增多。所有这些供应商都有各自的流程和系统来确定数据得到了多有效的保护。企业组织及供应商必须采用标准化的安全地创建和维护资产的部署流程，从而降低数据事件的可能性。如果这种安全性没有做入到流程本身当中，总是会出现配置不当，结果导致数据泄露。它们还要有泄露响应计划，那样果真受影响时，它们可以迅速采取补救措施，就像Level One在此事件中所做的那样。LevelOne Robotics与客户及其他供应商合作，机器人制造和销售流程势必需要这样。虽然这种生态系统有助于提高效率、扩大规模，但是如果某一环面临泄露，也让整条链岌岌可危。