律商联讯确认法律专业部门数据泄露事件

数据分析巨头律商联讯已确认其法律专业部门遭受数据泄露，此前网络犯罪团伙Fulcrumsec声称对此次攻击负责。

经过调查，律商联讯向媒体表示事件已得到控制，其产品和服务从未受到损害，不过公司被迫引入第三方数字取证团队来处理清理工作。

发言人表示，只有"有限数量的服务器"被访问，其中存储的数据"主要是2020年之前的遗留、已弃用数据"。

这些数据包括客户姓名、用户ID、商务联系信息、使用的产品、包含受访者IP地址的客户调查，以及支持工单。

"受影响的信息不包含社会保障号码、驾驶执照号码或任何其他敏感的个人身份信息；不包含信用卡、银行账户或任何其他金融信息；不包含活跃密码；也不包含客户搜索查询、客户委托人或事务信息，或客户合同，"发言人补充道。

"我们非常认真地对待保护客户信息的责任，并已将此事通知了受影响的当前和以往客户。我们正在继续调查，并与专业网络安全取证公司协调实施了遏制和修复措施。"

律商联讯没有就泄露规模发表评论，不过Fulcrumsec在试图公开羞辱该公司的过程中给出了自己的说法。

根据犯罪分子的清单（声称包含略多于2GB的公司数据），Fulcrumsec声称通过利用易受攻击的React容器从律商联讯AWS实例中窃取了文件，具体是一个未修补的React2Shell漏洞。

该清单声称数据转储包括40万个云用户配置文件，包含完整的个人身份信息，包括姓名、电子邮件和电话号码。这一点尚未得到验证。它还声称超过118个似乎属于美国政府工作人员，包括联邦法官、司法部律师、证券交易委员会工作人员和法院书记员。

Fulcrumsec声称，其他文件中还有17个VPC数据库和超过430个VPC数据库表、536个Redshift表、390万条数据库记录，以及从AWS机密管理器中窃取的53个机密。

该网络犯罪团伙声称泄露了超过2.1万条属于政府机构、保险公司、律师事务所和大学的客户账户记录。

此外，它声称转储中包含的超过30万条记录涉及客户合同，揭示了各个组织为哪些产品付费、相关续订日期和定价层级。

"这是完整的商业关系数据库，"Fulcrumsec写道。"如果你想确切知道Gibson Dunn为Lexis Advance支付了什么，或者证券交易委员会订阅了什么，或者艾伦·麦克阿瑟基金会使用哪个Newsdesk套餐包——这里都有。"

一如既往，犯罪分子的断言应该持保留态度。

Q&A

Q1：律商联讯这次数据泄露事件的影响范围有多大？

A：律商联讯确认只有"有限数量的服务器"被访问，涉及的主要是2020年之前的遗留数据，包括客户姓名、用户ID、商务联系信息等，但不包含社会保障号码、金融信息、活跃密码等敏感信息。

Q2：Fulcrumsec是如何入侵律商联讯系统的？

A：据Fulcrumsec声称，他们通过利用一个未修补的React2Shell漏洞，从律商联讯的AWS实例中窃取了文件。不过犯罪分子的说法需要谨慎对待。

Q3：律商联讯采取了哪些应对措施？

A：律商联讯表示事件已得到控制，引入了第三方数字取证团队处理清理工作，已通知受影响客户，并与专业网络安全取证公司协调实施了遏制和修复措施，同时继续进行调查。