近日,一个被全球主流银行和超过300个政府情报机构使用的“风控数据库”(又称恐怖分子数据库)发生数据泄露,530万条高风险个人信息落入犯罪分子手中并在网上泄露。
全球最大的“黑名单”之一
泄露的数据库名为World-Check,汇总了数以百万的非法分子(高风险人物)和实体信息,例如恐怖分子、洗钱者、不端政客等,供企业验证用户可信度(KYC),尤其是银行等金融机构用来验证其客户的身份,确定潜在客户是否可能与洗钱等金融犯罪有关,或是否受到政府制裁。
World-Check从公开来源(例如官方制裁名单、监管执法名单、政府来源和值得信赖的媒体出版物)汇总数据,以订阅方式提供给全球主流银行和政府情报机构(需要通过严格的审核流程并签署保密协议)。其中包含大量敏感人物信息,例如皇室成员、国家黑客组织成员、宗教人士、受制裁的政府官员和实体等。
World-Check数据库泄露可能会对全球金融业的安全审核程序产生重大影响。毕竟,没有一家银行愿意与洗钱者扯上关系。
被第三方泄露
据The Register报道,上周四黑客组织GhostR宣称对数据库泄露事件负责。负责维护World-Check数据库的伦敦证券交易所集团(LSEG)的发言人后来证实了这一说法。
LSEG发言人表示,数据泄露事件确实发生,但是通过第三方泄露的。
“这不是针对LSEG或我们系统的安全漏洞,”LSEG发言人说道:“此次事件涉及第三方的数据集,其中包含一份World-Check数据文件的副本。该副本是非法从第三方系统中获取的。我们正在与受影响的第三方联络,以确保我们的数据安全,并确保通知任何相关执法机构。”
根据TechCrunch的报道,GhostR声称3月份入侵了一家能够访问World-Check数据库的新加坡公司,但并未透露公司名称及其与World-Check的关系。
1万条泄露数据样本流出
黑客组织GhostR并未透露窃取数据的动机,但在回复The Register的邮件中表示将很快开始泄露数据库。GhostR声称第一次泄露将包含数千人的详细信息,其中包括“皇室成员”。
为验证其说法的真实性,GhostR向The Register提供了1万条被盗数据的样本供查阅核验。据称整个数据库总共包含超过500万条记录。
研究者快速浏览样本后发现,该名单上来自不同国家的大量个人和实体因各种原因被列入其中,包括政治人物、法官、外交官、恐怖分子嫌疑人、洗钱者、毒品大王、网站、企业等。
一些网络犯罪嫌犯也出现在名单上,其中包括本月才进入数据库的国家APT黑客组织成员,一家来自塞浦路斯的间谍软件公司也出现在样本中。
根据GhostR提供的泄露数据样本,World-Check原始数据包括社会安全号码、银行账号、加密货币账户、护照、全名、个人类别(例如有组织犯罪成员或政治人物)、有时还包括具体职务、出生日期和地点(如果已知)、其他已知的别名、性别以及出现在名单上的原因简要说明。
八年前发生过一次泄露
这并不是World-Check数据库第一次发生重大泄露事故。在World-Check还属于汤森路透旗下资产时,其早期版本曾在2016年发生过泄露,当时仅泄露了220万条记录(远远低于本次泄露的530万条)。该数据库当时在网上被公开贩卖,每份副本售价6750美元。汤森路透证实了这一泄密事件,指出泄露的记录“已经过时”,并报道称这些记录在发现后已被第三方删除。
值得注意的是,尽管World-Check数据声称是从可靠来源汇总而来,但过去曾有无辜人士被添加到World-Check名单上。在2016年第一次泄露时,调查发现其数据存在不准确之处,并且将许多人错误地列为恐怖分子。
如何检查个人信息是否在World-Check数据库中
2021年,LSEG(伦敦证券交易集团)以270亿美元收购了金融数据公司Refinitiv,World-Check归LSEG所有。
担心个人信息可能包含在(泄露)数据库中的人可以向LSEG提交查询(https://www.lseg.com/en/risk-intelligence/screening-solutions/world-check-kyc-screening/about/am-i-listed-on-world-check)。伦敦证券交易所网站指出,主体有权索取其所持有的任何个人信息的副本、要求更新个人信息并反对处理其个人信息,并且请求无需支付任何费用。
该网站还指出,LSEG可能并不总是能够满足请求,如无法满足请求将提供解释。