Security Affairs 网站披露，为英国多个政府部门提供服务的设施管理和安全公司 MPD FM “遗留”一个开放实例，暴露出大量人员的护照、签证等敏感数据信息。MPD FM 成立于 2003 年，总部位于伦敦，主要为英国国家医疗服务体系（NHS）、英国税务海关总署（HM Revenue&Customs）、英国各行政区和议会、英国零售商 WHSmith 以及其它实体组织提供设施管理和安全服务，目前拥有 500 名员工，号称英国领先的 "设施管理公司"。

近期，Cyber news 安全研究团队发现已关闭的亚马逊简单存储服务（S3）中某个数字数据文件库，向任何有能力扫描打开网络的访问者“开放了”16000 多份敏感文档。研究团队推断暴露的信息属于 MDP FM，目前已联系了 MPD FM ，但截至本文发布前仍未收到回复。

被曝光的文件泄露了包括护照、VISA、国家身份证、驾驶执照、出生证明、审查报告、工作权利检查、工作合同、地址证明、银行对账单等大量敏感隐私信息。

Cyber news 研究小组人员指出攻击者很容易利用暴露的信息进行身份盗窃。例如，恶意攻击者可以冒充受害者创建虚假账户，进行未经授权的交易。威胁攻击者还可以利用员工数据设计出有针对性的电子邮件或发起社会工程攻击，包含民众私生活和职业生活的信息使攻击者能够更容易诱使受害者披露敏感信息或采取危及组织安全的行动。网络安全专家强调，即使看似微不足道的个人信息泄露，经过整理后也会产生破坏性影响。数据被泄露的受害者往往意识不到自己的信息已经泄露，因此不会采取任何行动来减轻后果。

最后，Cyber news 团队建议 MPD FM 或其它处理类似问题的组织立即限制公众访问已暴露的实例，并追溯检查访问日志中是否有任何未经授权的入侵，无论谁在“控制”亚马逊 S3 存储桶，都应使用服务器端加密来保护敏感文件。

文章来源：

https://securityaffairs.com/149440/security/mpd-fm-data-leak.html