最初发布于2019年9月3日
严重性：High

类型：ElasticSearch数据库

大小：300mb，占65800条记录S

受影响的国家：美国、加拿大、多个欧洲国家、加勒比国家、南非、刚果民主共和国、澳大利亚、新西兰、，

我们在网站星球的安全研究团队最近发现了过去几个月内网站建设者和设计师服务公司Clover Sites，Inc.的第二起事件。Clover Sites，Inc.是部委品牌的子公司。一位网络安全专家联系他们，最初向他们通报了一次数据泄露，随后该泄露被关闭。不久之后，我们自己的白帽黑客发现了另一个数据泄漏，留下了脆弱的数万名牧师和会众成员。

客户数据泄露3分散数据泄露3教会神职人员全名或客户的其他联系人3客户的直接电话号码3计费电子邮件3计费地址3支付客户信用卡号的最后4位3支付金额、定期付款、计费日期3内部备忘录和记录3客户电子邮件通信3端口、路径，和数据存储信息
服务器IP地址

影响

由于一家教会网站设计公司发生泄漏，我们认为影响将是最小的。然而，由于此次泄密中提供的数据，可以通过多种方式加以利用，例如……

身份盗窃

有记录，包括个人身份信息（PII）、账单详细信息，甚至教会神职人员和志愿者的个人详细信息，任何恶意人士都很容易声称代表该组织。因此，他们可以使用教会或任何附属个人的身份开立财务账户，并为自己的利益募集捐款。

联系信息，包括账单地址、直接电子邮件和电话号码

客户的购买和取消信息

竞争优势

网站设计和/或咨询领域的任何竞争对手都可以轻松地利用这些数据为自己谋利。无论是降低定价、窃取不满意的客户，还是以其他方式向Clover网站的客户推销，这种漏洞都很容易导致他们的公司失去当前和潜在的新业务。营销机构、网页设计专业人士和其他销售相同或类似服务的人现在已经把他们的目标受众的详细信息摆在了银盘上！

关于一位不开心的客户后来取消了他们的服务的注释

CloverSite客户的痛点

关于客户服务错误的内部注释

仇恨犯罪

由于针对宗教组织和在在过去的几年里，人们担心会有另一种情况发生。拥有教会管理人员和账单地址的详细信息——通常与主寺庙的地址不同——因此有人可以轻松地将其用于自己的犯罪计划。

也有一些客户不是基督教会的变体，而是犹太教堂，这导致了一系列最坏的反螨分子可能会利用此次泄漏中提供的数据。

泄漏中包含的一个犹太教堂的数据，记录了逾期付款

状态：Clover Sites，Inc.——根据更好的商业局（BBB）的说法，这是一家未经认证的企业——尚未公开披露我们的团队意识到他们今年经历的两次数据泄漏。尽管就这起数据事件进行了几次尝试并请求置评，但Clover网站在发布时并未回应或置评。

Prevention：防止此类数据泄漏的最简单方法是为云托管数据库实现安全密码。在本例中，ElasticSearch实例由设备搜索引擎Shodan和BinaryEdge编制索引，使其容易受到web用户的攻击。三叶草网站——作为部级品牌旗下的一个品牌——表示它们正在“进行调整，以符合”通用数据保护条例（GDPR）的要求。一旦他们真正合规，我们可能就不会再看到他们客户的数据面临风险。什么是网站星球

Website Planet是网页设计师、开发者、数字营销人员和在线创业者的首要权威。我们为任何人提供有用的工具和资源，从初学者到经验丰富的专业人士，我们为自己的正直和诚实感到自豪。

我们的道德安全研究团队发现并披露了一些最具影响力的数据泄漏，这是我们为整个网络提供的免费社区服务。