Go-Bus 平台数据泄露事件研判报告

原创

mayfly
mayfly

独眼情报

2026年7月11日 14:51
湖北

在小说阅读器读本章

去阅读

一、执行摘要

2026年7月1日，威胁行为者「HFMTM」在相关地下渠道发布样本，声称完全攻陷国际客运平台 Go-Bus（go-bus.com），并拥有约100万用户及全部司机 roster 的 16GB 关系型数据库（SQL dump）。

截至2026年7月10日，HFMTM 已公开释放全量数据集。此前仅提供样本展示，此后因无买家或谈判破裂，转为免费公开。企业 Go-Bus 至今未发布任何官方声明或事件确认通报。

核心研判：已发现数据已实现全量泄露。泄露内容涵盖用户 PII、密码哈希、完整乘车日志，敏感度极高，身份盗用与针对性诈骗风险显著上升。

二、事件时间线（基于公开监测）

• 2026年7月1日：HFMTM 发布样本并宣称拥有「go-bus.com Full DB (16 GB)」，数据新鲜度约1周。样本包含用户与司机数据结构证明。
• 2026年7月2日：VECERTRadar 发布「CYBER INTELLIGENCE ALERT」，详细描述 16GB SQL 文件、100万用户画像，并给出 SOC 紧急响应建议。
• 2026年7月1日至9日：Go-Bus 官方保持沉默，无任何安全通告或用户通知。
• 2026年7月10日：HFMTM 公开释放完整 16GB 数据集，通过 Telegram 及暗网泄露渠道分发。

三、威胁行为者 HFMTM 画像

HFMTM 为2026年5月底新兴的经济驱动的威胁行为者，采用「样本展示—勒索/出售—无买家则免费公开」的典型勒索-泄露模式。

已知针对实体包括 Allianz、Homzmart、El Araby 及本次 Go-Bus。活动主要通过 Telegram 广播频道与暗网泄露论坛进行，来源地标记为埃及。该行为者快速迭代，短期内针对多个行业，显示具备一定的数据处理与分发能力。

判断：HFMTM 属于 opportunistic 型数据窃取者，重点在于快速变现而非长期 APT 潜伏。置信度较高。

四、泄露数据范围与敏感性详析

根据行为者公开描述及样本特征，泄露数据主要包含：

用户侧（约100万条记录）：

• 电子邮箱、电话号码
• 密码哈希（具体算法未公开，但常见 bcrypt 或类似）
• 完整乘车日志（ride logs）：出发地、目的地、时间、支付记录等

司机侧：

• 个人身份信息
• 其他敏感档案

数据格式：关系型数据库 SQL dump 文件，体积约16GB，包含索引与时间戳（2026年7月2日前后）。

敏感性评估：

• 用户数据可直接用于大规模钓鱼、账号接管（若密码复用）及精准营销诈骗。
• 司机扫描证件属于高价值数据，可能被用于身份冒用、洗钱或跨境诈骗。
• 乘车日志暴露个人出行轨迹，结合其他数据源可构建详细用户画像。

全量泄露研判：行为者明确宣称已公开释放全量数据，而非仅样本或部分子集。样本已验证数据结构真实存在。结论：已发现数据已实现全量泄露。置信度高，但最终完整性仍需企业内部取证确认。