一个属于GovTech公司CitySourced的数据库被曝长期暴露在公开网络中，任何知道查找方式的人只需通过浏览器即可访问。该数据库目前已在披露后被锁定保护。
网络安全研究员杰里迈亚·福勒（Jeremiah Fowler）报告称，他发现一个数据库包含约4200万份文件，以及45万个以明文形式存储个人身份信息（PII）的JSON文件。
曝光的记录主要是投诉或违规举报的图片，但在分析了有限样本后，福勒发现该数据库还保存了人们的姓名、邮寄地址、电子邮件地址、电话号码，以及"从2016年到2026年的数千条内部记录"。
这类信息对网络犯罪分子而言是一座金矿。通过了解目标对象的私人信息，他们可以定制个性化的网络钓鱼信息，从而提高攻击成功率。此类数据经常在暗网上被分享和出售，也常被用作勒索软件谈判中的筹码。
CitySourced回应
福勒解释称，这个暴露的数据库包含多个顶级应用目录，名称包括Api、Content、Customers、Data、Developers、FileStorage、json、Product、Public、Support、Widget、temp、Logs等。此外，该存档中似乎还包含多个.sdk和.exe文件——这些文件出现在此处显得颇为异常，可能表明有人试图植入恶意软件。
根据数据库和文件的名称，福勒判断它们属于一家名为CitySourced的美国公司。这是一家美国政府技术（GovTech）公司，开发的软件可供居民向市政当局报告坑洼道路或故障路灯等本地问题。该公司成立于2009年，2019年与Rock Solid Technologies合并。三年后，公司被政府技术服务商Granicus收购。
在报道此类数据库问题时，福勒通常强调所有权和运营权是两个不同的概念，他无法确定是否由第三方承包商负责管理该数据库。不过，在联系CitySourced后，该公司锁定了数据库并对福勒的努力表示感谢：
"再次感谢你负责任的披露以及后续跟进，"CitySourced表示，"Granicus已经审查了你提供的信息，在内部对此事进行了调查，并正采取行动解决该问题。"
如何保护数据库安全
配置错误的数据库仍然是数据泄露的主要原因之一。一些企业并不知道自己需要对所创建数据的安全负责，反而认为这是云服务提供商的职责。另一些企业则根本没有意识到配置存在问题，导致数据被广泛暴露，带来声誉损害甚至集体诉讼的风险。
福勒表示，企业可以通过隔离客户环境与内部数据来保护其基础设施安全。
没有理由把所有鸡蛋放在一个篮子里，这样一旦某个租户遭遇入侵、配置错误或未经授权的访问，其他组织的信息仍能保持安全。
"存储系统、备份和敏感数据都应加密，并防止未经授权的访问，"他补充道，"租户隔离、访问控制和加密构成了良好的第一道防线，可以限制数据安全事件造成的整体影响。"
个人用户应当假设网络犯罪分子已经掌握了关于自己的某些信息。多年来发生的泄露事件数量如此之多，几乎不可能有人的数据——至少是姓名和电子邮件地址——完全保持私密。因此，用户应始终以怀疑态度对待收到的邮件，尤其是未经请求的邮件，以及那些带有链接、附件或极其紧急语气的信息。