据外媒报道，安全研究人员发现，中国跨境大卖旗下自营网站gearbest泄露了数百万用户的档案和购物订单。

安全研究员Noam Rotem发现一个名为Elasticsearch的服务器每周泄露了数百万条记录，包括客户数据、订单和付款记录。该服务器未受密码保护，允许任何人搜索数据。

Gearbest是全球250强网站之一，服务于华硕、华为、英特尔和联想等优秀级品牌。

TechCrunch通过其专用安全页面（用来保护数据库）联系了Gearbest，发现该公司既没有保护数据也没有回复他们的评论请求。

Rotem与TechCrunch分享了他的调查结果，并在VPNMentor上发布了他的报告。他说，所泄露的数据包括名称、地址、电话号码、电子邮件地址、客户订单和购买的产品。该数据库还有付款和**信息，包括支出金额和半屏蔽姓名以及电子邮件地址。

在查看了部分数据后，TechCrunch发现数据库确切地显示了客户购买的内容，物品发货的时间和地点。

一些会员专用记录还包括护照号码和其他国家身份证号码。Rotem表示，该网站几乎没有加密证据，在某些情况下根本没有。

“一些遭泄露的订单内容非常‘辣眼’，”罗特姆说。暴露的订单不仅违反了客户隐私，暴露的数据还可能危及世界上言论和表达自由受限地区的客户。例如，一些性玩具和其他私密购买的产品，可能会在那些禁止LGBTQ +关系或婚前性行为的国家里引起法律问题。

像在***联合酋长国和巴基斯坦这样出台了相关严格法律的国家中，甚至可能会被判***。

Rotem还在同一IP地址上发现了一个单独的基于Web的数据库管理系统，允许任何人操纵或破坏Gearbest母公司Globalegrow运行的数据库。

目前尚不清楚服务器的曝光时间。来自互联网扫描站点Binary Edge的数据显示，该数据库于3月7日首次被检测到。

总部位于深圳的Gearbest在欧洲拥有大量业务，在西班牙、波兰、捷克共和国和英国设有仓库，这些国家都适用欧盟数据保护和隐私法。任何违反通用数据保**规（GDPR）的公司都可能被罚款高达其全球收入的4％。

这是Gearbest多年来发生的第二个安全问题。2017年12月，该公司证实，在所谓的“凭证填充物攻击”之后，该公司的账户被攻破。

针对此事，雨果网也与Gearbest网站相关负责人进行确认，对方表示并未造成泄露。

---

免责声明：文章内容不代表本站立场，本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺，仅供读者参考；文章版权归原作者所有！本站作为信息内容发布平台，页面展示内容的目的在于传播更多信息；本站不提供任何相关服务，阁下应知本站所提供的内容不能做为操作依据。市场有风险，投资需谨慎！如本文内容影响到您的合法权益（含文章中内容、图片等），请及时联系本站，我们会及时删除处理。