安全研究人員UpGuard Cyber Risk上周五透露，包括通用汽車、菲亞特克萊斯勒、福特、特斯拉、豐田、蒂森克虜伯和大眾在內的100多家汽車制造商的敏感文件被公布在一個隸屬Level One Robotics可公開訪問的服務器上。

根據UpGuard Cyber Risk的介紹，通過提供工業自動化服務的Level One Robotics進行的曝光，來自rsync，一種用于備份大型數據集的通用文件傳輸協議。《紐約時報》最先報道了這一數據泄露事件。

這名安全研究人員表示，rsync服務器沒有設置限制。這意味著連接到rsync端口的任何rsync客戶端都可以下載此數據。UpGuard Cyber Risk公布了它如何發現數據漏洞的過程，以顯示供應鏈中的一家公司會如何影響具有看似嚴密安全協議的大公司。

也就是說，如果有人知曉這一原理，他們就能獲得汽車制造商嚴密保護的商業機密。目前還不清楚是否有不法分子真的拿到了數據。至少有一個來自一家受影響的汽車制造商的消息人士表示，敏感或專有數據似乎沒有被曝光。

UpGuard也給出了專業建議：rsync實例應受IP地址限制。研究人員還建議設置用戶對rsync的訪問權限，以便客戶端在接收數據集之前必須進行身份驗證。研究人員說，沒有這些措施，rsync就可以被公開訪問。

這一數據泄露事件暴露了157千兆字節的數據，包括10年的裝配線示意圖、工廠平面圖和布局、機器人配置和文檔、ID證件申請表和VPN訪問申請表。泄漏數據中甚至包括特斯拉等公司的敏感保密協議。

一些Level One員工的個人資料也遭到泄漏，包括駕駛執照和護照的掃描件，和Level One業務數據，包括發票、合同與銀行賬戶詳細信息。

該安全團隊于7月1日發現了這一數據泄漏事件。該公司在7月9日前成功聯系了Level One，第二天，泄漏問題就得到了解決。

編譯：福爾摩望