全世界誰最有錢？他們住在哪裡？手機號是什麼？富豪們買了什麼？想必你跟我一樣好奇。這些信息很值錢，這些信息也很危險。最近，富豪們要瑟瑟發抖了。5月21日據Forbes報導，位列福布斯全球2000強榜單的Hindustan Computers Limited（HCL）在多個子域上託管的可公開訪問的頁面和Web界面暴露了大量的員工和商業信息。

該公司擁有200多名財富500強以及600多名來自福布斯全球2000強名單的重要客戶，這也為其客戶企業帶來機密信息洩露的重大風險。

HCL什麼鬼？

沒錯，上述故事中擔任“坑貨”公司的原型就是HCL（Hindustan Computers Limited）。HCL是一家印度跨國信息技術（IT）服務和諮詢公司，其總部位於北方邦的諾伊達。

其業務涉及多個領域，包括航空航天和國防、汽車、銀行、資本市場、化學和加工業、消費品、能源和公用事業、醫療保健、高科技、工業製造、保險、生命科學、製造業、媒體和娛樂，採礦和自然資源、石油和天然氣、零售、電信、旅遊、運輸、物流和酒店等等。

這意味著什麼？HCL內部存儲了海量行業企業的商業信息及數據。

HCL內部數據遭洩露

OK，到這我想你已經猜到接下來要講什麼了。

根據安全評估公司UpGuard的說法，此次HCL暴露的公共數據“包括新員工的個人信息和明文密碼，客戶基礎設施安裝報告以及管理人員的Web應用程序。”

暴露的HCL人力資源管理系統

據悉，UpGuard的研究團隊在5月1日發現這些被暴露的數據，當時在HCL域上檢測到可免費下載並包含客戶關鍵字的文檔。文檔中包含了其他可公開訪問的頁面以及個人和商業數據。

鑑於包含洩露數據的頁面託管在多個HCL子域上，並且只能通過Web界面訪問，研究人員最終決定在五天后才公開信息的詳細分析結果。

5月6日，UpGuard在進一步分析洩露的信息後發現了一個電子統計表，其用於管理新僱用的共364條人事記錄。

UpGuard研究人員稱，364天記錄中最古老的可以追溯到2013年。而直到2019年仍有超過200條相關記錄在其中，這裡面有54條記錄是2019年5月6日加入的新員工。

暴露的SmartManage報告系統

暴露的數據包括候選人ID、姓名、手機號碼、加入日期、加入地點、招聘人員SAP代碼、招聘人員姓名、創建日期、用戶名、明文密碼、BGV狀態、接受的要約以及候選表格的鏈接。

客戶機密信息“危在旦夕”

正如上面所提，通過員工通行密碼，黑客能夠在HLC的內部系統之間“暢遊”。而最新發現表明這些風險有極大可能會波及到其客戶。

研究人員在其他不需要身份驗證的頁面上發現了更多洩露信息，這些信息中有超過2800名員工的名稱和SAP代碼可以被用於操控HCL內部的SmartManage報告系統查找或執行“停用”命令，以此管理全部客戶的安裝報告及項目數據。

SmartManage報告索引

UpGuard還發掘了一份內部分析報告數據庫，其中列出了超過5700個事件記錄，其中包含了大約18000個條目記錄了每週的客戶報告詳細內容，而最早的安裝報告甚至可以追溯到2016年。

真高冷？還是慌！

對於上述發現，UpGuard向HCL發送了一份通知並詳細說明了洩露數據的性質——兩個可公開訪問的頁面、一個包含子域名的列表，以及向HCL的數據保護官員公開展示其業務信息。

報告發送後尚未得到任何回复。

儘管如此，5月7日UpGuard研究團隊發現其上報的數據洩露通知的一部分內容得到了保護——發送的兩個頁面目前都需要訪問所需的身份驗證，並且相對安全。然而，其他的頁面則仍然沒有被“納入”HCL的保護範圍內。

UpGuard稱：“該研究人員嘗試再次發送了一封電子郵件，其中包含與HCL數據相關的其他洩露數據的頁面信息。截止5月8日晚間，研究人員驗證並確認匿名用戶已經無法訪問這些頁面。 ”

該研究人員表示，雖然HCL沒有與報告數據洩漏的公司建立任何形式的溝通渠道，但UpGuard報告得出的結論是“HCL的此次洩漏事件應該引起商業領袖們的注意，他們很可能因此被淪為下一個受害者“。

HCL似乎準備聯合BleepingComputer發表正式聲明。但外媒核實情況後，截止本文發布前依舊未收到任何回复。