伯乐头条专讯:Telegram 聊天机器人出售被盗数据表明该应用程序在阻止恶意代理利用其技术方面存在困难,也凸显了印度公司在保护数据安全方面面临的挑战。被盗客户数据(包括印度最大健康保险公司 Star Health 的医疗报告)可通过 Telegram 上的聊天机器人公开访问,而就在几周前,Telegram 创始人被指控允许该通讯应用程序为犯罪提供便利。
聊天机器人的所谓创建者告诉一位安全研究人员,数百万人的私人详细信息正在出售,可以通过要求聊天机器人泄露来查看样本。这位研究人员向路透社通报了这一问题。
市值超过 40 亿美元的 Star Health 和 Allied Insurance 在给路透社的一份声明中表示,已向当地政府报告了涉嫌未经授权的数据访问。该公司表示,初步评估显示“没有大规模入侵”,并且“敏感的客户数据仍然安全”。
通过使用聊天机器人,路透社能够下载包含姓名、电话号码、地址、税务详细信息、身份证复印件、检测结果和医疗诊断的保单和索赔文件。用户创建聊天机器人的能力被广泛认为帮助总部位于迪拜的 Telegram 成为全球最大的通讯应用程序之一,每月拥有 9 亿活跃用户。
然而,上个月俄罗斯出生的创始人 Pavel Durov 在法国被捕,加大了对 Telegram 内容审核的审查力度,其功能可能被滥用于犯罪目的。Durov 和 Telegram 否认有不当行为,并正在应对批评。
使用 Telegram 聊天机器人出售被盗数据表明该应用程序在防止邪恶代理利用其技术方面存在困难,并凸显了印度公司在保护数据安全方面面临的挑战。
英国安全研究员 Jason Parker 表示,Star Health 聊天机器人带有一条欢迎信息,称它们“由 xenZen 制造”,并且至少从 8 月 6 日开始投入运营。Parker 表示,他在一个在线黑客论坛上冒充潜在买家,一位名为 xenZen 的用户表示,他们制作了聊天机器人,并拥有与 3100 多万 Star Health 客户相关的 7.24 TB 数据。这些数据通过聊天机器人以随机、零碎的方式免费提供,但可以批量出售。
路透社既无法独立核实 xenZen 的说法,也无法确定聊天机器人创建者如何获得这些数据。在给路透社的一封电子邮件中,xenZen 表示他们正在与买家进行讨论,但没有透露买家是谁以及他们感兴趣的原因。
已删除
在测试这些机器人时,路透社下载了 1,500 多个文件,其中一些文件的日期最近可追溯到 2024 年 7 月。欢迎信息写道:“如果这个机器人被删除,请小心,几个小时后将提供另一个机器人。”
这些聊天机器人后来被标记为“SCAM”,并发出警告称,用户已将其报告为可疑机器人。路透社于 9 月 16 日与 Telegram 分享了聊天机器人的详细信息,24 小时内,发言人 Remi Vaughn 表示,它们已被“删除”,并要求在出现更多聊天机器人时通知他们。
“Telegram 上明确禁止分享私人信息,一旦发现就会删除。版主结合使用主动监控、AI 工具和用户报告,每天删除数百万条有害内容。”
此后,出现了新的聊天机器人,提供 Star Health 数据。
Star Health 表示,一名身份不明的人于 8 月 13 日联系了它,声称可以访问其部分数据。该保险公司向其所在泰米尔纳德邦的网络犯罪部门和联邦网络安全机构 CERT-In 报告了此事。
“未经授权获取和传播客户数据是违法的,我们正在积极与执法部门合作,以打击这种犯罪活动。Star Health 向其客户和合作伙伴保证,他们的隐私对我们至关重要,”该公司在声明中表示。
在 8 月 14 日的证券交易所文件中,印度最大的独立健康保险提供商 Star Health 表示,正在调查涉嫌泄露“一些索赔数据”的情况。
CERT-In 和泰米尔纳德邦网络犯罪部门的代表没有回复通过电子邮件提出的置评请求。不知道
Telegram 允许个人或组织在匿名账户后面存储和共享大量数据。它还允许他们创建可定制的聊天机器人,根据用户请求自动提供内容和功能。
两个聊天机器人分发 Star Health 数据。一个以 PDF 格式提供索赔文件。另一项服务允许用户通过一次点击从 3120 万个数据集中请求最多 20 个样本,并提供包括保单号、姓名甚至体重指数在内的详细信息。
向路透社披露的文件包括与投保人 Sandeep TS 一岁女儿在一家医院接受治疗有关的记录喀拉拉邦南部。这些记录包括诊断、验血结果、病史和近 15,000 卢比(179 美元)的账单。
“这听起来令人担忧。你知道这会对我产生什么影响吗?”桑迪普确认了这些文件的真实性。他说 Star Health 没有通知他任何数据泄露。