中國驚傳大規模資料外洩，40億筆民眾個資在網際網路裸奔一天

中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起大規模資料外洩事故，引起全球高度關注。

資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。

儘管研究人員發現並檢視資料庫的部分內容，但由於對方很快就察覺，並將資料庫離線，因此研究人員無法確認資料庫的所有者身分，資料庫曝露在網際網路的時間持續多久，是否有其他人未經授權存取，也無從得知。

這批資料裡面有什麼？Cybernews提及持有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。

值得留意的是，光是透過上述的3種資料，就有可能讓攻擊者掌握出民眾的生活型態、消費習慣、借貸與存款的情形等。

另一個為數可觀的資料集也引起研究人員注意，此資料集以簡體中文命名，稱為三因子檢查（three-factor checks），共有逾6.1億筆記錄，包含使用者ID、電話號碼、使用者名稱。

附帶一提的是，與微信有關的還有名為wechatinfo的資料集，約有5.77億筆記錄，研究人員推測此資料集內含中繼資料或是通訊事件記錄，甚至不排除是使用者對話內容。

與支付寶有關的資料集也有2個，其中較大的是zfbkt_db，內含支付寶的卡片與Token資料，這代表攻擊者能用於未經授權付款、挾持帳號，甚至是竊取使用者的身分；另一個資料集則是與支付寶有關的金融資料。

雖然大部分資料與中國民眾有關，但其中一個名為tw_db的資料集相當特別，研究人員推測很有可能與臺灣有關，不過內容為何，他們並未進一步透露。