作者DennisShen (Dennis)
看板creditcard
标题[新闻] iRent用户信用卡资料恐外泄
时间Tue Jan 31 17:28:04 2023
1.媒体来源
科技新报
2.完整新闻标题
和泰出大包，iRent 用户个资直接在网路上「裸奔」
3.完整新闻内文
台湾和泰集团旗下的共享汽车服务 iRent 出现了大量用户个资外泄的事件，一名安全研
究人员在和泰所拥有的云伺服器上发现了一个资料库，这个资料库并没有受到加密保护，
任何知道 IP 位址的人都可以轻松地存取 iRent 用户的姓名、手机号码、电子邮件地址
、居家住址、自拍照，以及部分信用卡资讯等。
此一事件是由外国安全研究人员 Anurag Sen 所发现，他注意到和泰的云伺服器资料库可
以在无意中访问，由於这个资料库并没有加密，因此网路上的任何人都可以查看 iRent
的所有用户资料。
Sen 指出，这些被摊在网路上的资料包括了数百万个部分信用卡号、至少 10 万个用户身
份证明文件，以及用户的自拍、签名、租车的详细资讯等。
在 Sen 披露这个消息後，《TechCrunch》便向和泰汽车发送了几封电子邮件，其中几封
还包含了资料库中的详细资讯，但迟迟等不到和泰汽车的回覆。一直到 1 月 28 日时，
《TechCrunch》联系了数位发展部，而在部长唐凤的一封电子邮件回覆中提到，这个资料
库已经有进一步的存取控制。且在数位部介入後，和泰汽车才确认已经保护了这个暴露在
外的资料库。
值得注意的是，根据 Sen 的调查，iRent 的资料库泄露可能最早於 2022 年 5 月就开始
，目前尚不清楚除了 Sen 之外，是否还有其他人在过去的 9 个月内注意过这个资料库。
Hotai Motor exposed thousands of iRent customer documents
（首图来源：FlIckr//Tzuhsun Hsu CC BY 2.0）
4.心得
印象中iRent绑永丰卡的回馈不错
不知道跟前阵子那波盗刷有没有关联
有在用的iRent的板友还是多留意一下手机通知Orz...
5.完整新闻连结 (或短网址)
https://technews.tw/2023/01/31/irent-security/
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 60.248.204.6 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/creditcard/M.1675157286.A.487.html
※ 编辑: DennisShen (60.248.204.6 台湾), 01/31/2023 17:30:43
2F：→ frozenmoon : Hotai Motor exposed thousands of iRent customer 01/31 17:54
3F：→ s860355 : 我的大户有绑，今天也是看到15号一笔一元验证，赶 01/31 18:02
4F：→ s860355 : 快进线客服停卡，还好之前有用大咖锁住 01/31 18:02
5F：推 lise1017 : 我早就知道了 而且iRent强制绑卡不给删卡 01/31 18:07
6F：→ lise1017 : 其实不止 这些租车app个资保护都有问题 01/31 18:07
7F：→ rz759 : 怕爆，绿活剪掉後都用和泰卡绑会员在刷 01/31 18:11
8F：→ lise1017 : 其他那些机车租借app 也都很有问题.. 01/31 18:12
9F：→ lise1017 : 寄信给政府过 但政府不重视 没辙 01/31 18:13
10F：→ BlueBird5566: 看那个App烂成这样子，敢用的人，基本上是不怕 01/31 18:15
11F：→ lise1017 : 基本上任何网站与app绑卡後不给删这根本有问题 01/31 18:16
12F：→ lise1017 : 强制消费者保留信用卡个资 01/31 18:17
13F：→ ackes : 所以凶手找到了吗 银行也是很无奈吧 01/31 18:17
14F：推 UCCUplz : wowwwwwww 01/31 18:28
17F：推 dtdon1699 : 信用卡共享 01/31 18:30
18F：推 Danto18 : 这篇可以调查一下? 上面那些永丰被盗刷的板友有人 01/31 19:01
19F：→ Danto18 : 绑过irent吗? 01/31 19:01
21F：推 Athanasius : 个资共享 01/31 19:07
22F：→ hsinyuan0104: 干嘛自首绑过irent,这样银行就解套了,你的求偿对象 01/31 19:08
23F：→ hsinyuan0104: 是irent 01/31 19:08
25F：推 visrenee : irent绑卡要装从My Toyota进去和泰pay删卡 01/31 19:27
26F：→ ackes : 看起来应该是被盗刷的没事了 不用缴付 如果真的是 01/31 19:27
27F：→ ackes : 这篇原因 永丰感觉也很无辜 01/31 19:27
28F：→ rz759 : 等等，怎麽一堆人开始提永丰xDD 01/31 19:46
29F：→ rz759 : 如果这波是和泰的锅，不会只有永丰一堆卡被盗，和 01/31 19:46
30F：→ rz759 : 泰卡、绿活卡、星展eco一堆卡都有回馈... 01/31 19:46
31F：推 jin062900 : 靠 那Yoxi会不会也有事啊 我有签帐卡绑过Yoxi欸 01/31 19:49
32F：→ yjlee0829 : 很久没开App 登入之後竟然不能删卡片资料 气 01/31 19:51
33F：→ rz759 : 真被盗板上早就一堆文唉唉叫了，我Yoxi也绑和泰卡 01/31 19:57
34F：→ rz759 : 刷一年以上了 01/31 19:57
35F：→ Sheng98 : iRent 绑联邦绿卡到现在没收到任何联邦绿卡的刷卡 01/31 20:01
36F：→ Sheng98 : 通知, 不过我 iRent 用在租机车上... 01/31 20:01
37F：→ Sheng98 : 上次用 iRent 租机车都不知道几个月前的事情了 01/31 20:02
38F：嘘 yungfup6 : 这是强迫我们剪有绑的卡吗？ 01/31 21:44
39F：推 Kenhon : 还好之前刚好停掉卡片 01/31 21:51
40F：→ bailan : 就算有绑也是流出卡号啥的，OTP不会跟着流吧 01/31 22:22
41F：推 bhis : 改绑了一张没在用的visa金融卡…不能删真是烦 01/31 23:03
42F：→ Sheng98 : 上面有人说用 My Toyota 进去和泰 Pay 删卡看看 01/31 23:05
43F：推 brokeback : 好像是齁，要租的时候再绑好了，赶快去解绑 01/31 23:08
44F：推 thalesf : 看来上个月卡片莫名奇妙被盗刷可能就是IRent害的。 01/31 23:19
45F：嘘 troyx : 珍惜生命 远离iRent 01/31 23:33
46F：推 hayden218 : 但现在删还有用吗= = 01/31 23:39
47F：推 ZenEmpty : 不不不，依照媒体所说的外泄范围包括手机，mail， 02/01 00:53
48F：→ ZenEmpty : 双证件，住址等等的，光是这些4.2TB个资就不知道能 02/01 00:53
49F：→ ZenEmpty : 测试出多少信用卡密码了 02/01 00:53
50F：→ ZenEmpty : 之前联邦绿点卡刚好是针对共享交通工具的高回馈卡 02/01 00:54
51F：→ ZenEmpty : 别，联邦应该弄清楚是不是替人背锅了... 02/01 00:54
52F：→ ackes : 对 之前联邦也是一波... 02/01 01:02
53F：→ finhisky : opt 验证，关试出信用卡密码什麽事？ 02/01 01:38
54F：推 Kai88 : 依我爬盗刷这串文里板友的分享 发送密码的方式是简 02/01 01:45
55F：→ Kai88 : 讯和email 简讯在知道你的手机号码下被破解的机率高 02/01 01:45
56F：→ Kai88 : email相对难度高一些 但也有板友指出永丰的email 02/01 01:45
57F：→ Kai88 : 并没用ssl通讯加密方式寄送 所以应该差不多 往前翻 02/01 01:45
58F：→ Kai88 : 一下有板友给简讯同步侧录的影片 02/01 01:45
59F：推 Kai88 : tls通讯加密 更正一下 02/01 01:53
60F：→ nakts0123 : 笑死 原来知道电话号码就能读到简讯 02/01 02:44
61F：→ tealee : 删掉看Irent还是在@@ 02/01 03:09
62F：推 yoyo930021 : 流出来的有密码 + email + 信用卡资料 02/01 09:02
63F：→ yoyo930021 : 加上疑似 Email OTP 泄漏 02/01 09:02
64F：→ yoyo930021 : 就是拿上面资料先盗 Email 进去拿 OTP 02/01 09:02
65F：推 pippen2002 : hahaha.... 02/01 09:07
66F：嘘 h3651551 : 舒服 02/01 09:20
67F：推 dahonehsueh : 看到这篇赶紧把YOXI的绑定信用卡删掉 02/01 09:21
68F：推 panjiongkai : 是说卡号都外流了...现在删除榜定有什麽用...? 02/01 10:25
69F：推 wif469djsap : 高调 02/01 10:42
70F：推 SUZUKI5566 : 卡号都外流了，换卡比较实在 02/01 12:17
71F：→ vivianleee : irent目前都紧急加密处理了 应该可以放心一点 02/01 12:36
72F：→ peter012735 : 高调 02/01 13:33
73F：推 atb : iRent密码和信箱密码同一组，然後OTP密码被拦截？ 02/01 14:08
74F：推 lu1626 : 有人知道GoShare 跟 wemo 怎麽删除信用卡？ 02/01 16:33
75F：→ hicoy : 建议是连证件最好都换一换 02/02 00:00
76F：→ hicoy : 有这些资讯连网银都能开了 02/02 00:00
77F：→ Mikami1930 : 信用卡资讯是有遮蔽保护的吧，irent应该没有完整资 02/02 13:46
78F：→ Mikami1930 : 料，看声明说的 02/02 13:46
79F：→ ackes : 请问这是不装的吗 突然好几帖不同人都留言类似的 i 02/02 18:42
80F：→ ackes : p位址还 02/02 18:42
81F：推 ghostwind : 玉山信用卡，有绑irent，昨天下午被国外盗刷46K 06/02 03:16
82F：推 angelo98 : 恩 12/14 15:09