英國軟件廠商Logezy關鍵數據庫公網暴露，泄露近800萬條醫護職工敏感信息
責編：gltian ｜2025-04-18 14:00:20vpnMentor網絡安全研究員、Security Discovery聯合創始人Jeremiah Fowler近日曝光了一起大規模數據泄露事件，涉及一家專注于員工數據管理的英國軟件公司Logezy。
根據Fowler的調查結果，此次泄露的數據接近800萬條，總量高達1.1TB，共計7975438個文件，存儲在一個沒有密碼保護、又未加密的數據庫中。
泄露的數據庫中包含大量敏感信息，如工作許可文件、國家保險號碼、證書、電子簽名、工時記錄、用戶照片以及由政府簽發的身份證明文件等。
Fowler在報告中指出：“該數據庫還包含656個目錄項，顯示出這些數據來自多家不同公司，其中多數為醫療服務提供商、招聘機構或臨時用工服務公司。”
泄露數據截圖
Fowler在發現該問題后立即通知了Logezy，隨后該數據庫的訪問權限被限制。不過，仍有多個關鍵問題尚未明確，例如數據庫處于公開狀態的時間有多久、是否已被未授權人員訪問，以及該數據庫是否由Logezy自行管理，或是由第三方承包商負責。一次全面的取證審計或有助于回答這些疑問。
Logezy總部位于英格蘭德比郡，專注于開發用于簡化固定員工與臨時員工管理流程的軟件，功能涵蓋員工排班、薪資發放、賬單處理及員工數據管理等。值得注意的是，盡管Logezy聲稱其服務覆蓋多個行業，但此次數據泄露事件主要涉及醫療行業及其醫護人員。
數據泄露影響廣泛，企業應加強防護
此次數據泄露事件帶來了重大安全風險，尤其是在網絡攻擊日益頻繁的醫療領域中。泄露的信息可能被用于身份盜竊等惡意用途，犯罪分子或許會冒充醫護人員以牟取不當利益。
此外，泄露的登錄憑證與電子簽名也可能被用于非法入侵醫療系統，進一步危及患者的敏感數據。Fowler表示：“眾所周知，醫療數據對網絡犯罪分子具有極高的價值，而從事醫療行業人員的個人身份信息（PII）同樣十分珍貴。”
不僅如此，這些個人信息還可能被用于社交工程攻擊。網絡犯罪分子可利用所掌握的信息，操縱目標人員泄露機密數據或授予系統訪問權限。這也提高了勒索軟件攻擊的風險，這類攻擊可能嚴重擾亂醫療機構的運營。
Fowler并未暗示Logezy存在任何不當行為。他建議，那些懷疑自身信息可能已遭泄露的用戶應密切關注自己的賬戶活動和信用報告，以防發生異常行為。
他還強調，集中式數據存儲的風險正不斷上升，尤其是對于那些處理來自多個機構數據的公司。Fowler總結道，將數據分散存儲于多個安全環境中，并結合高級訪問控制機制和加密技術，或許是更有效預防此類突發性數據泄露的策略。
參考資料：https://hackread.com/uk-software-firm-exposed-healthcare-worker-records/