国际金融科技公司 Direct Trading Technologies 泄露超过 30 万敏感数据

国际金融科技公司 Direct Trading Technologies 泄露了超过 30 万交易者的敏感数据和交易活动，使用户面临账户被盗的风险。

10 月 27 日，Cybernews 研究团队发现了一个配置错误的 Web 服务器，其中包含据称属于金融科技公司 Direct Trading Technologies 的备份和开发代码引用。

Direct Trading Technologies (DTT) 是一家国际金融科技公司，提供股票、外汇、贵金属、能源、指数、差价合约 (CFD) 和加密货币的交易平台。此外，DTT 还为金融科技解决方案提供白标服务。

目录列表

虽然主要客户位于沙特阿拉伯，但该公司在英国、立陶宛、阿联酋、科威特、哥伦比亚、土耳其、巴林、黎巴嫩和瓦努阿图共和国均设有办事处。

发现的目录包括多个数据库备份，每个备份都包含有关公司用户和合作伙伴的大量敏感信息。从身份盗窃到交易者账户的接管和兑现，此次泄密事件带来了多种风险。

Cybernews 联系了该公司并告知了调查结果，虽然问题已得到解决，但尚未收到该公司的官方回应。

敏感数据泄露

泄露的数据包括过去六年超过 30 万用户的交易活动，以及姓名、电子邮件地址、公司发送的电子邮件和 IP 地址。

持有公司电子邮件地址的用户（可能是员工）的密码以明文形式暴露，用于访问 DTT 交易平台用户帐户的哈希密码也被泄露，一些客户的家庭住址、电话号码和部分信用卡信息被泄露。

泄露数据的列表包括：

1. 交易账户活动
2. DTT 发送的电子邮件内容
3. 用户 IP 地址、电子邮件、用户名和明文密码
4. 外展电话注意事项
5. 名称
6. 电子邮件地址
7. 电话号码
8. 家庭住址
9. 哈希密码
10. 白标客户的数据库端点和明文凭证（端点受IP白名单保护）
11. KYC 文档的存储位置、文件名、类型、到期日期和其他元数据

虽然KYC文件没有被公开，但泄露的文件的存储位置和其他元数据均已被泄露。

使用白标服务客户的凭据以明文形式公开，数据库位置和协商佣金百分比的详细信息也被详细展示。泄露的数据还包含该公司外展团队对其拨打的电话的内部评论。

转自安全客，原文链接：https://www.anquanke.com/post/id/293006