MacKeeper优化工具数据库有漏洞，1300万笔用户帐密资料全都露

安全研究人员Chris Vickery在网络上以一个另类搜索引擎服务Shodan进行随机搜寻时，意外发现了Mac系统优化工具MacKeeper的数据库，内含1300万名的MacKeeper客户资料，包括使用名称及密码等，而MacKeeper母公司Kromtech则紧急修补了相关漏洞。

Vickery本周一（12/14）透过Reddit询问Kromtech的联系窗口并揭露了此事。Vickery说明，他以Shodan进行搜寻时，发现了4个属于Kromtech的IP，而且允许他公开存取其MongoDB数据库，于是他便下载了含有1300万个MacKeeper账号资料的档案。Vickery并非Mac用户，以前也从没听过MacKeeper或Kromtech。

Kromtech当天即公开回应此事，表示已得知可存取资料储存系统的潜在漏洞，并感谢Chris Vickery没有对外公布任何技术资讯，也已紧急修补相关漏洞。

Kromtech针对储存系统进行分析，发现除了Vickery之外，并没有其他人存取该系统。该系统储存了使用者姓名、产品订单、授权资讯、IP地址、客户账号名称与加密密码等，并未储存使用者的信用卡或付费资讯。

资安业者本身未作好安全的防护让Kromtech脸上无光，Kromtech承诺要进行全面的内部检讨以确定此一意外的规模及部署其他必要的安全措施。

MacKeeper为专为Mac OS X所设计的公用软件，主要用来保护及最佳化Mac系统，但该产品的行销手法经常遭到批评，例如诋毁竞争对手、制造假评论或有一堆的弹出式广告等。至于Shodan则是一可用来搜寻网络装置的搜索引擎，Vickery说他只是以port:27017为关键字进行搜寻就找到了Kromtech的数据库。

今年2月，德国萨尔兰（Saarland）大学的安全研究人员也曾利用Shodan找到网络上的4万个基于Port 27017的MongoDB数据库，Port 27017的预设值是开放的，代表任何人很容易就能存取这些外泄的数据库，致力于隐私保护的Office of Inadequate Security指出，一直到本周末，网络上还是能搜寻到3.6万个开放的数据库。