作者DennisShen (Dennis)
看板creditcard
標題[新聞] iRent用戶信用卡資料恐外洩
時間Tue Jan 31 17:28:04 2023
1.媒體來源
科技新報
2.完整新聞標題
和泰出大包，iRent 用戶個資直接在網路上「裸奔」
3.完整新聞內文
台灣和泰集團旗下的共享汽車服務 iRent 出現了大量用戶個資外洩的事件，一名安全研
究人員在和泰所擁有的雲伺服器上發現了一個資料庫，這個資料庫並沒有受到加密保護，
任何知道 IP 位址的人都可以輕鬆地存取 iRent 用戶的姓名、手機號碼、電子郵件地址
、居家住址、自拍照，以及部分信用卡資訊等。
此一事件是由外國安全研究人員 Anurag Sen 所發現，他注意到和泰的雲伺服器資料庫可
以在無意中訪問，由於這個資料庫並沒有加密，因此網路上的任何人都可以查看 iRent
的所有用戶資料。
Sen 指出，這些被攤在網路上的資料包括了數百萬個部分信用卡號、至少 10 萬個用戶身
份證明文件，以及用戶的自拍、簽名、租車的詳細資訊等。
在 Sen 披露這個消息後，《TechCrunch》便向和泰汽車發送了幾封電子郵件，其中幾封
還包含了資料庫中的詳細資訊，但遲遲等不到和泰汽車的回覆。一直到 1 月 28 日時，
《TechCrunch》聯繫了數位發展部，而在部長唐鳳的一封電子郵件回覆中提到，這個資料
庫已經有進一步的存取控制。且在數位部介入後，和泰汽車才確認已經保護了這個暴露在
外的資料庫。
值得注意的是，根據 Sen 的調查，iRent 的資料庫洩露可能最早於 2022 年 5 月就開始
，目前尚不清楚除了 Sen 之外，是否還有其他人在過去的 9 個月內注意過這個資料庫。
Hotai Motor exposed thousands of iRent customer documents
（首圖來源：FlIckr//Tzuhsun Hsu CC BY 2.0）
4.心得
印象中iRent綁永豐卡的回饋不錯
不知道跟前陣子那波盜刷有沒有關聯
有在用的iRent的板友還是多留意一下手機通知Orz...
5.完整新聞連結 (或短網址)
https://technews.tw/2023/01/31/irent-security/
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 60.248.204.6 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/creditcard/M.1675157286.A.487.html
※ 編輯: DennisShen (60.248.204.6 臺灣), 01/31/2023 17:30:43
2F：→ frozenmoon : Hotai Motor exposed thousands of iRent customer 01/31 17:54
3F：→ s860355 : 我的大戶有綁，今天也是看到15號一筆一元驗證，趕 01/31 18:02
4F：→ s860355 : 快進線客服停卡，還好之前有用大咖鎖住 01/31 18:02
5F：推 lise1017 : 我早就知道了 而且iRent強制綁卡不給刪卡 01/31 18:07
6F：→ lise1017 : 其實不止 這些租車app個資保護都有問題 01/31 18:07
7F：→ rz759 : 怕爆，綠活剪掉後都用和泰卡綁會員在刷 01/31 18:11
8F：→ lise1017 : 其他那些機車租借app 也都很有問題.. 01/31 18:12
9F：→ lise1017 : 寄信給政府過 但政府不重視 沒轍 01/31 18:13
10F：→ BlueBird5566: 看那個App爛成這樣子，敢用的人，基本上是不怕 01/31 18:15
11F：→ lise1017 : 基本上任何網站與app綁卡後不給刪這根本有問題 01/31 18:16
12F：→ lise1017 : 強制消費者保留信用卡個資 01/31 18:17
13F：→ ackes : 所以兇手找到了嗎 銀行也是很無奈吧 01/31 18:17
14F：推 UCCUplz : wowwwwwww 01/31 18:28
17F：推 dtdon1699 : 信用卡共享 01/31 18:30
18F：推 Danto18 : 這篇可以調查一下? 上面那些永豐被盜刷的板友有人 01/31 19:01
19F：→ Danto18 : 綁過irent嗎? 01/31 19:01
21F：推 Athanasius : 個資共享 01/31 19:07
22F：→ hsinyuan0104: 幹嘛自首綁過irent,這樣銀行就解套了,你的求償對象 01/31 19:08
23F：→ hsinyuan0104: 是irent 01/31 19:08
25F：推 visrenee : irent綁卡要裝從My Toyota進去和泰pay刪卡 01/31 19:27
26F：→ ackes : 看起來應該是被盜刷的沒事了 不用繳付 如果真的是 01/31 19:27
27F：→ ackes : 這篇原因 永豐感覺也很無辜 01/31 19:27
28F：→ rz759 : 等等，怎麼一堆人開始提永豐xDD 01/31 19:46
29F：→ rz759 : 如果這波是和泰的鍋，不會只有永豐一堆卡被盜，和 01/31 19:46
30F：→ rz759 : 泰卡、綠活卡、星展eco一堆卡都有回饋... 01/31 19:46
31F：推 jin062900 : 靠 那Yoxi會不會也有事啊 我有簽帳卡綁過Yoxi欸 01/31 19:49
32F：→ yjlee0829 : 很久沒開App 登入之後竟然不能刪卡片資料 氣 01/31 19:51
33F：→ rz759 : 真被盜板上早就一堆文唉唉叫了，我Yoxi也綁和泰卡 01/31 19:57
34F：→ rz759 : 刷一年以上了 01/31 19:57
35F：→ Sheng98 : iRent 綁聯邦綠卡到現在沒收到任何聯邦綠卡的刷卡 01/31 20:01
36F：→ Sheng98 : 通知, 不過我 iRent 用在租機車上... 01/31 20:01
37F：→ Sheng98 : 上次用 iRent 租機車都不知道幾個月前的事情了 01/31 20:02
38F：噓 yungfup6 : 這是強迫我們剪有綁的卡嗎？ 01/31 21:44
39F：推 Kenhon : 還好之前剛好停掉卡片 01/31 21:51
40F：→ bailan : 就算有綁也是流出卡號啥的，OTP不會跟著流吧 01/31 22:22
41F：推 bhis : 改綁了一張沒在用的visa金融卡…不能刪真是煩 01/31 23:03
42F：→ Sheng98 : 上面有人說用 My Toyota 進去和泰 Pay 刪卡看看 01/31 23:05
43F：推 brokeback : 好像是齁，要租的時候再綁好了，趕快去解綁 01/31 23:08
44F：推 thalesf : 看來上個月卡片莫名奇妙被盜刷可能就是IRent害的。 01/31 23:19
45F：噓 troyx : 珍惜生命 遠離iRent 01/31 23:33
46F：推 hayden218 : 但現在刪還有用嗎= = 01/31 23:39
47F：推 ZenEmpty : 不不不，依照媒體所說的外洩範圍包括手機，mail， 02/01 00:53
48F：→ ZenEmpty : 雙證件，住址等等的，光是這些4.2TB個資就不知道能 02/01 00:53
49F：→ ZenEmpty : 測試出多少信用卡密碼了 02/01 00:53
50F：→ ZenEmpty : 之前聯邦綠點卡剛好是針對共享交通工具的高回饋卡 02/01 00:54
51F：→ ZenEmpty : 別，聯邦應該弄清楚是不是替人背鍋了... 02/01 00:54
52F：→ ackes : 對 之前聯邦也是一波... 02/01 01:02
53F：→ finhisky : opt 驗證，關試出信用卡密碼什麼事？ 02/01 01:38
54F：推 Kai88 : 依我爬盜刷這串文裡板友的分享 發送密碼的方式是簡 02/01 01:45
55F：→ Kai88 : 訊和email 簡訊在知道你的手機號碼下被破解的機率高 02/01 01:45
56F：→ Kai88 : email相對難度高一些 但也有板友指出永豐的email 02/01 01:45
57F：→ Kai88 : 並沒用ssl通訊加密方式寄送 所以應該差不多 往前翻 02/01 01:45
58F：→ Kai88 : 一下有板友給簡訊同步側錄的影片 02/01 01:45
59F：推 Kai88 : tls通訊加密 更正一下 02/01 01:53
60F：→ nakts0123 : 笑死 原來知道電話號碼就能讀到簡訊 02/01 02:44
61F：→ tealee : 刪掉看Irent還是在@@ 02/01 03:09
62F：推 yoyo930021 : 流出來的有密碼 + email + 信用卡資料 02/01 09:02
63F：→ yoyo930021 : 加上疑似 Email OTP 洩漏 02/01 09:02
64F：→ yoyo930021 : 就是拿上面資料先盜 Email 進去拿 OTP 02/01 09:02
65F：推 pippen2002 : hahaha.... 02/01 09:07
66F：噓 h3651551 : 舒服 02/01 09:20
67F：推 dahonehsueh : 看到這篇趕緊把YOXI的綁定信用卡刪掉 02/01 09:21
68F：推 panjiongkai : 是說卡號都外流了...現在刪除榜定有什麼用...? 02/01 10:25
69F：推 wif469djsap : 高調 02/01 10:42
70F：推 SUZUKI5566 : 卡號都外流了，換卡比較實在 02/01 12:17
71F：→ vivianleee : irent目前都緊急加密處理了 應該可以放心一點 02/01 12:36
72F：→ peter012735 : 高調 02/01 13:33
73F：推 atb : iRent密碼和信箱密碼同一組，然後OTP密碼被攔截？ 02/01 14:08
74F：推 lu1626 : 有人知道GoShare 跟 wemo 怎麼刪除信用卡？ 02/01 16:33
75F：→ hicoy : 建議是連證件最好都換一換 02/02 00:00
76F：→ hicoy : 有這些資訊連網銀都能開了 02/02 00:00
77F：→ Mikami1930 : 信用卡資訊是有遮蔽保護的吧，irent應該沒有完整資 02/02 13:46
78F：→ Mikami1930 : 料，看聲明說的 02/02 13:46
79F：→ ackes : 請問這是不裝的嗎 突然好幾帖不同人都留言類似的 i 02/02 18:42
80F：→ ackes : p位址還 02/02 18:42
81F：推 ghostwind : 玉山信用卡，有綁irent，昨天下午被國外盜刷46K 06/02 03:16
82F：推 angelo98 : 恩 12/14 15:09