美国国家安全委员会大规模泄露：近万封文件曝光，波及2000家公司

      国家安全委员会（NSC）是美国的一个非营利组织，提供工作场所和安全培训。在其数字平台上，NSC为分布在不同企业、机构和教育机构的近55000名成员提供在线资源。

      然而，该组织的网站在五个月的时间里受到网络攻击。公众可以访问暴露了数千个凭据的网络目录。在一长串泄露的证书中，有大约2000家公司和政府实体的员工，其中包括：

      这些公司可能在平台上持有账户，以获取培训材料或参加国家安全委员会组织的活动。

      该漏洞不仅对NSC系统构成风险，也对使用NSC服务的公司构成风险。泄露的凭据可能被用于凭据填充攻击，这些攻击试图登录公司的互联网连接工具，如VPN门户、人力资源管理平台或公司电子邮件。

      此外，这些凭据可能被用于首次访问公司网络，部署勒索软件，窃取或破坏内部文件，或访问用户数据。

      该漏洞于3月7日被发现，研究人员发现了国家安全委员会网站的一个子域名，该子域名可能用于开发目的。它向公众公开了其web目录的列表，使攻击者能够访问对web服务器操作至关重要的大多数文件。在这些可访问的文件中，研究人员还发现了一个存储用户电子邮件和散列密码的数据库备份。由于物联网搜索引擎于2023年1月31日首次对泄漏进行索引，该数据在5个月内可供公众访问。

      备份总共存储了大约9500个独特的帐户及其凭据，其中近2000个不同的公司电子邮件域属于各个行业的公司。

      拥有公众可访问的开发环境表明开发实践不佳。此类环境应独立于生产环境的域托管，并且必须避免托管实际用户数据。当然，也不应公开访问这些数据。

      由于大量电子邮件被泄露，平台用户可能会经历垃圾邮件和网络钓鱼电子邮件的激增。建议他们从外部验证电子邮件中包含的信息，并在单击链接或打开附件时谨慎行事。