传统机动车制造商最近麻烦不断。继去年本田勒索软件攻击事件后，奔驰数据泄露、川崎重工、日产数据泄露一开始就陆续被曝光。有关配置错误（使用默认管理员用户名/密码组合：admin/admin）的BitbucketGit服务器在NissanNorthAmerica的信息周一开始在Telegram频道和黑客论坛上流传，该服务器直到周三才下线。据悉，该服务器是日产北美公司开发和使用的移动应用程序和内部工具的源代码，已在网上泄露。瑞士软件工程师蒂利·科特曼(TillieKottmann)本周在接受媒体采访时透露，他从匿名消息来源获悉泄漏事件，并于周一分析了Nissan数据，发现泄漏的Git存储库包含以下源代码：NissanNAMobile应用程序部分日产ASIST诊断工具经销商业务系统/经销商门户日产内部核心移动代码库日产/英菲尼迪NCAR/ICAR服务客户获取和保留工具销售/市场研究工具+数据各种营销工具车辆物流门户车辆互联服务/日产互联等日产发言人向媒体证实了数据泄露事件。“我们知道有关日产机密信息和源代码泄露的报道，我们严肃对待这一事件并正在进行调查，”日产发言人在回复媒体询问的电子邮件中说。这不是瑞士研究员Kottmann第一次在汽车制造商的Git服务器上发现数据泄露。2020年5月，Kottmann发现一个类似错误配置的GitLab服务器泄露了各种梅赛德斯-奔驰应用程序和工具源代码。Kottmann在梅赛德斯-奔驰公司的Git代码托管门户上注册了一个帐户，然后成功下载了580多个Git存储库，其中包含梅赛德斯面包车中车载逻辑单元(OLU)的源代码。（OLU是汽车硬件和软件之间的组件，负责“将汽车连接到云端”。）其他泄露的数据包括RaspberryPi图像、服务器图像、用于管理远程OLU的内部戴姆勒组件、内部文档、代码示例等等虽然泄露的数据看起来无害，但威胁情报公司UndertheBreach在审计泄露的数据后发现了戴姆勒内部系统的密码和API令牌。如果使用不当，这些密码和访问令牌可能会被用来计划和发起针对梅赛德斯-奔驰云服务和内部网络的未来攻击。数据泄露仍然是最大的云安全威胁，配置错误是数据泄露的主要原因。日产和奔驰Git服务器泄露的数据主要是源代码。事实上，源代码也是中国企业在网上曝光和泄露的主要资产之一。一。据数星上周在安全牛上发布的《数字资产暴露面风险报告》数据显示，系统源代码和技术方案占中国企业数据外泄类型的61%（下图）。单位用户最关心的外部数据泄露风险。由于知识共享和知识付费的兴起，越来越多的用户将自己的代码和文档作为经验和工具分享给第三方开源社区和知识付费平台。内部数据泄露很容易成为攻击者和黑客利用的重要渠道。分析发现，在Github和百度文库上分享导致数据泄露的比例高达60%。此外，根据云安全联盟（CSA）2020年10月发布的《云计算11大威胁报告》，数据泄露威胁在2020年调查中继续位居第一，也是最严重的云安全威胁。错误配置和不充分的变更控制是2020年CSA云安全威胁列表的新威胁。根据CSA的说法，错误配置和变更控制不足的主要原因包括：云资源的复杂性使其难以配置；不要指望传统的控制和变更管理方法在云中有效；使用持续扫描错误配置资源的自动化和技术。近年来，越来越多的企业因疏忽或意外的配置和变更，通过云端公开暴露资产和泄露数据。其中，Elasticsearch数据库的多起大规模泄露尤为引人注目。【本文为专栏作者“安妞”原创文章，转载请通过安妞（微信id：gooann-sectv）获得授权】点此查看作者更多好文
