联合国数据泄漏事件：超过10万条环境署工作人员的隐私被泄漏

发布时间：2025-11-04 12:54:58 来源：技术快报 作者：IT科技

最近，联合漏事研究人员披露了一个安全漏洞，国数过万工作攻击者利用这些漏洞，据泄件超境署可以访问10万多条联合国环境规划署(UNEP)的条环私人员工记录。

数据泄漏源于公开的私被Git目录和凭据，这使攻击者可以复制Git存储库并收集与10万多名员工相关的泄漏大量个人身份信息(PII)。

[[377129]]

Git目录公开了WordPress DB和Git凭据

道德黑客与安全研究小组Sakura Samurai最近披漏了他们的联合漏事漏洞发现，这使他们可以访问10万多条联合国环境规划署(UNEP)员工的国数过万工作私人数据。

与BleepingComputer共享的据泄件超境署文件和截图提供了关于这个安全漏洞的性质及其暴漏的所有细节。

Sakura Samurai的条环研究人员杰克逊·亨利，尼克·萨勒，私被约翰·杰克逊和奥布里·科特尔在接触过联合国“脆弱性披露计划”和“信息安全名人堂”后，泄漏着手寻找影响联合国系统的联合漏事任何安全漏洞。

然后，国数过万工作他们在与联合国环境规划署(UNEP)和联合国国际劳工组织(ILO)相关的据泄件超境署域名上发现了暴漏的Git目录(. Git)和Git证书文件(. Git -credentials)。

研究人员能够转储这些Git文件的内容，并使用git-dumper从* .ilo.org和* .unep.org域复制整个存储库。

.git目录的内容包含敏感文件，例如WordPress配置文件(wp-config.php)，这些文件公开了管理员的服务器托管数据库凭据。

在联合国网域的公开.git目录中找到WordPress配置文件

同样，作为数据泄漏的一部分，不同的PHP文件包含了与环境署和联合国劳工组织其他在线系统相关的明文数据库凭据。

此外，可公开访问的.git-credentials文件使研究人员可以使用环境署的源代码库。

超过10万名雇员的数据可能随时被窃取

使用这些凭据，研究人员能够从多个联合国系统中窃取超过10万名员工的私人信息。

该小组获得的数据集公开了联合国工作人员的旅行历史，每行数据集包含：雇员ID，姓名，雇员组，旅行理由，开始和结束日期，批准状态，目的地和停留时间。

研究人员提供的联合国员工旅行记录(超过10万条记录)

同样，研究人员在分析过程中访问的其他联合国数据库也公开了数千名员工的人力资源人口统计数据(国籍、性别、IT技术网薪级)，项目资金来源记录，广义员工记录和就业评估报告。

编辑了7000多名联合国雇员的人力资源统计数据

Sakura Samurai表示：

攻击者可能已经访问过这些数据

研究人员与BleepingComputer分享了一系列电子邮件，表明他们最初于2021年1月4日私下向联合国报告了该漏洞。

联合国信息和通信技术办公室(OICT)最初承认了他们的报告，但之后又回复到：

最终，根据这些研究人员的反馈意见，免费源码下载环境署企业解决方案主管已立即采取措施修补漏洞，并且正在进行对该漏洞的影响评估。

众所周知，联合国多年来一直试图修补其众多的信息技术系统，全球各地的很多情报机构都很可能对侵入联合国系统感兴趣。

在2019年7月发起的一项目的明确的网络攻击活动中，黑客组织入侵了联合国在日内瓦和维也纳办事处的IT系统。在事件发生之后联合国并没有立即公开本次攻击事件，甚至没有向员工披露该事件的性质和受影响范围。直到2020年，联合国IT部门的高级官员才对外证实遭到了非常复杂的网络攻击，预估已经有400GB的数据被泄露。

本文翻译自：

https://www.bleepingcomputer.com/news/security/united-nations-data-breach-exposed-over-100k-unep-staff-records/

相关文章