WizCased的安全研究人员发现了由AMT Games所有的一个ElasticSearch服务器并不安全，它暴露了用户资料、交易和反馈信息

研究人员发现，存储在ElasticSearch服务器中的数据并未加密，服务器也没有密码保护，而AMT Games用该服务器存储了数百万《银河大战》玩家的资料信息、支付记录和反馈信息。

AMT Games Ltd.是一家位于中国流行的手机和浏览器网络游戏开发商，为安卓、iPhone、Steam和网络浏览器开发游戏应用程序。该公司开发的一些受欢迎的游戏包括《银河大战》、《战争英雄：WW2》、《史诗战争TD2》和《战壕突击》。

据研究人员称，不安全的ElasticSearch服务器包含590万份玩家资料、200万笔交易、58.7万条反馈信息，以及交易数据，如价格、购买的物品、购买时间、支付服务提供商，以及在某些情况下买家的IP地址。

研究人员还发现该服务器存储了玩家的资料数据，如玩家ID、用户名、国家、在游戏中花费的总金额，如果用户将Facebook、苹果和谷歌的账户与他们的游戏账户联系起来，这些平台的数据也包含在内。如果恶意者访问到这些暴露的数据，可能有机会通过网路钓鱼活动针对在线游戏玩家，诱骗他们分享私人的信用卡信息。

WizCase警告说：“电子邮件地址和用户与服务问题的具体细节，如交易和开发人员的信息，可以让不良意图者冒充游戏支持，将用户引导到恶意网站，他们的信用卡信息可能在那里被盗。

“有了每个账户各花了多少钱的数据，这些骗子可以瞄准花费最高的用户，其中许多人是儿童，从他们的游戏历史、在游戏中花费的时间、游戏中的朋友圈等来看，成功的机会甚至比其他方式更高。通过这些电子邮件，竞争游戏可以尝试迁移或以广告和电子邮件活动瞄准用户。”

面对又一件公司在不安全的数据库中存储大量数据的事例时，Synopsys CyRC的首席安全策略师Tim Mackey说，由于错误配置的数据库普遍存在，很明显地，一些团队并不具备能力确认自身的生产系统配置安全。有许多潜在的补救措施，但最简单的一个方式，是为配置设置定义一个基于异常的更新模型。

“在这种模式下，对配置数据进行审计级的审查，以创建一套经批准的配置设置和文件。要对这些以前批准的设置进行任何更新，都必须先对更新的变化进行同样的审计级审查，同时，当前的配置总是根据批准的设置进行验证。

他补充说：”虽然有许多技术可以用来实现基于异常情况的更新，但在这种情况下，一个定义明确、自动检查的流程远比实现该流程的技术更重要。“

据comforte AG的产品经理Trevor Morgan说，在线游戏玩家在分享个人数据给游戏开发商时应该谨慎行事，因为任何漏洞、网络攻击或数据泄露都可能导致他们的数据落入恶意行为者手中。

“用户建立的联系——通常使用自身的社交媒体账户凭证来创建游戏账户和个人资料——为威胁者网罗了更大范围的可用信息，使其能够瞄准在游戏中花费更多钱的用户。游戏玩家需要意识到他们直接或通过链接账户提供给游戏的数据类型，他们需要让游戏开发商和托管公司负责保护这些数据。

“另一方面，游戏组织需要更认真地对待数据隐私，在他们的数据基础设施中建立更多的安全，而不仅仅是最低的安全水平。鉴于他们从用户那里收集潜在的有价值的数据，他们的策略应该以数据为中心，并假设威胁者可能会试图获取这些信息，”他说。

 

SiGMA巡演：下一站德国

加入我们的虚拟会议吧，两个小时的会议内容充满了深刻的见解和新的商业机会。这些独特、互动的虚拟小型会议，将每月于不同的国家举行。下个月，我们将抵达德国，加入对话吧。我们将涵盖各种主题，从内容的本地化到监管趋势。现在就注册！