文章总结： 研究人员发现一个未加密的16TBMongoDB数据库泄露了约43亿条专业记录，主要为LinkedIn风格数据。数据库包含9个数据集，其中至少三个数据集暴露了近20亿条包含个人身份信息的记录。这些数据可能被用于AI驱动的社会工程攻击，如鱼叉式钓鱼、CEO欺诈等。数据来源尚不确定，但线索指向某潜在客户开发公司。此类大规模结构化数据对攻击者极具价值，可缩短攻击准备时间，针对高价值目标实施个性化攻击。
综合评分： 86
文章分类： 数据泄露,威胁情报,安全意识,社会工程学,数据安全
研究人员发现未加密的16TB数据库泄露43亿条专业记录
FreeBuf
2025年12月15日 18:31
上海
Part01
16TB开放数据库暴露43亿条专业记录
一个未加密的16TB MongoDB数据库暴露了约43亿条专业记录（主要为LinkedIn风格数据），可能引发大规模AI驱动的社会工程攻击。研究员Bob Diachenko与nexos.ai于2025年11月23日发现该未受保护的数据库，两天后完成修复。目前无法确认此前有哪些人访问过这些数据。
Cybernews团队分析发现，该数据库包含9个数据集，每个数据集名称基本反映了其内容类型：
- intent – 2,054,410,607条文档（604.76 GB）
- profiles – 1,135,462,992条文档（5.85 TB）
- unique_profiles – 732,412,172条文档（5.63 TB）
- unique_profiles – 732,412,172条文档（5.63 TB）
- people – 169,061,357条文档（3.95 TB）
- sitemap – 163,765,524条文档（20.22 GB）
- companies – 17,302,088条文档（72.9 GB）
- company_sitemap – 17,301,617条文档（3.76 GB）
- address_cache – 8,126,667条文档（26.78 GB）
- intent_archive – 2,073,723条文档（620 MB）
Part02
近20亿条个人隐私数据遭泄露
至少三个数据集暴露了近20亿条个人记录，包含姓名、电子邮件、电话号码、LinkedIn链接、职位、雇主、工作经历、教育背景、所在地、技能、语言能力和社交账号等信息。仅”unique_profiles”数据集就包含超过7.32亿条带图片URL的记录。”people”数据集还包含与Apollo.io生态系统关联的画像指标和Apollo ID，但未发现Apollo遭入侵的迹象。
Cybernews报道称：”我们的研究人员确认，特定数据集内的所有记录都是唯一的，但不同数据集之间可能存在重复数据。虽然不同数据集包含不同信息，但其中至少三个数据集（profiles、unique_profiles和people）包含个人身份信息（PII）。”
Part03
数据来源与潜在风险
难以确定这些LinkedIn数据的具体生成时间。时间戳显示记录于2025年收集或更新，但部分数据可能来自多年前，包括威胁行为者2021年宣称的大规模LinkedIn数据泄露事件。
泄露数据的所有者尚未确认。研究人员发现线索指向某潜在客户开发公司——其网站路径”/people”和”/company”与数据集中的sitemap记录匹配。该公司声称可访问超7亿专业人士数据，与泄露的”unique_profiles”数量高度吻合，且在收到通知次日数据库即下线。但研究人员未明确归因，指出该公司本身也可能是数据爬取的受害者。
Part04
大规模结构化数据的攻击价值
此类海量结构化数据极其危险，可支撑鱼叉式钓鱼、CEO欺诈、企业侦察及大规模AI驱动攻击等定向攻击。凭借数十亿条记录，犯罪分子能自动化实施个性化诈骗，缩短攻击准备时间，重点针对包括《财富》500强员工在内的高价值目标。
Cybernews总结道：”大语言模型（LLM）能基于用户画像生成个性化信息。只需额外投入少量精力，攻击者就能向受害者发送数千万封恶意邮件——整个攻击行动只需攻陷一个高价值目标就能获利。”
研究人员解释：”此类大型数据集是恶意行为者的主要目标，它们能基于其他数据泄露事件进行画像增强，构建可搜索的个人数据仓库。经过增强后，这些数据可能还包含密码、设备标识符、其他社交媒体链接等信息。此类数据集极大简化了社会工程和凭证填充攻击。”
参考来源：
Experts found an unsecured 16TB database containing 4.3B professional records
Experts found an unsecured 16TB database containing 4.3B professional records
#
#
#
推荐阅读
#
电台讨论
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：FreeBuf 《研究人员发现未加密的16TB数据库泄露43亿条专业记录》