外汇经纪商FBS外汇泄露数百万客户数据，潜在风险巨大

零售外汇及差价合约经纪商FBS错误地配置云数据库之后，意外地泄露了超过20TB的客户敏感数据。

据悉，该数据库包含超过160亿条记录，泄露了数百万客户的个人身份信息（包括姓名、密码、电子邮件地址、护照号码、居民ID、ID验证扫描、信用卡、水电费账单、金融交易记录等）。

海外评论网站WizCase的研究人员发现，Elasticsearch服务器没有任何加密或密码保护即可完全打开。

FBS是一家成立于2009年的俄罗斯外汇经纪商，在全球190个国家/地区拥有超过40万合作伙伴和1600万名交易员。FBS是世界上最受欢迎的在线外汇交易平台之一。截至2021年1月，Android系统的FBS应用在Google Play中的下载次数已超过一100万次。

近年来，随着在线交易变得越来越受青睐，用户在注册开户时需要提供许多个人详细信息，交易平台也有义务对这些客户信息进行加密保护。

作为国际外汇交易商，FBS通过FBS.com和FBS.eu在全球运营，每年利润超过10亿美元。由于金融交易数据的核心性与私密性，使得这些运营平台成为网络犯罪分子的极佳目标。

WizCase首先发现FBS于去年10月使ElasticSearch服务器在网上暴露了出来。WizCase很快联系了该公司，FBS于10月5日对该服务器进行了安全保护。但是，在短短几天内，该服务器就失去了安全保护，泄漏了将近20TB的数据，其中包含超过160亿条记录。 

根据WizCase的说法，其他详细信息包括FBS用户ID，未加密的密码，登录历史记录，会员数据和密码重置链接。

借助这种个人身份信息手段，诈骗者可以在线冒充受害者以进行身份欺诈，或者使用该信息通过后续的网络钓鱼攻击从受害者那里获得更为敏感的详细信息。

通过扫描用户信用卡的两面，网络犯罪分子也可以很容易地进行付款欺诈，同时泄露的密码信息可能会导致帐户托管攻击。

WizCase警告说，那些交易数据可能会导致一些入金数额大的群体被不法分子针对他们的家庭住址进行敲诈勒索。

为了进一步保护交易者个人信息，WizCase建议用户与FBS联系以寻求更多帮助，更改其密码，在其设备上安装反恶意软件，启用双重身份验证，避免在电子邮件中打开可疑链接或附件，并检查他们的帐户是否存在欺诈或异常活动，并使用VPN来在线获取其他隐私和安全性。