菲律宾政府数据泄露事件或致69GB外籍劳工信息外泄

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年11月6日 09:00
湖北

去阅读

导读

一名未知的操作员似乎在半小时内从菲律宾海外就业管理局窃取了 SQL Server 备份文件。

根据对此次数据泄露事件中使用的跳板服务器的分析，一名身份不明的攻击者成功入侵了菲律宾海外就业管理局的敏感数据库，窃取了近69GB的工人信息、合同及财务记录。

据威胁情报公司 Hunt.io 10月28日对攻击者所使用的新加坡跳板服务器上的日志分析显示，在24分钟内，攻击者复制了27个备份数据库，这些数据库包含海外就业案件管理相关信息，包括资质认证、合同以及出纳和菲律宾土地银行（LandBank）的记录。

Hunt.io 研究负责人埃斯特班·博格斯表示，攻击者使用了权限提升工具，即GodPotato和SeImpersonate，以及Python的Impacket网络库来传输数据，但线索在跳板服务器处中断。

博格斯表示，这台服务器之后被访问过，但具体访问者身份尚不明确。他还提到，尽管 Hunt.io 尚未发现有数据被按宣传的那样出售，但相关信息或许已被发现并清除，不过这种可能性似乎不大。

这已经不是网络安全公司首次发现菲律宾政府数据被盗的证据。今年8月，Hunt.io 发现了另一个威胁行为者的工作区，其中存放着多款工具，且此次被盗的数据量达1.2GB，来源为菲律宾核监管机构和一家海事造船承包商。

虽然 Hunt.io 在部分代码中发现了一些中文片段，但该代码属于第三方软件库；因此，Hunt.io 并未将此次黑客攻击明确归属。不过，该公司表示，网络犯罪分子和国家层面的对手都会从个人身份信息（PII）中获取价值。

“这类农民工的个人可识别信息，再加上合同和支付数据，对于诈骗和身份盗用来说极具利用价值，因此具有商业价值。”博尔赫斯说。“这些数据还能详细描绘出海外侨民群体的情况，这可能会引起国家行为体的兴趣。”

非顶尖水准，亦非业余水平

分析称，亨特安全技术公司（Hunt.io）的研究人员在赫尔辛基的云服务提供商UpCloud有限公司新加坡地址段的服务器上发现了一个开放目录，这是关于针对菲律宾政府的攻击的最新线索。该开放目录包含了此次攻击所用的工具和日志文件，其中包括经过重新命名的GodPotato权限提升库、用于在内存中解包工具的PowerShell加载器，以及完整的Impacket Python环境。

尽管亨特公司将此次事件认定为已发生的数据泄露，但由于缺乏运行时遥测数据，博尔热斯无法回答攻击者将数据转移到了何处。

博尔赫斯表示，不过从工具和攻击者的操作流程来看，这名操作者具备较强的专业能力，但同时也犯下了一些简单的错误。

“有效载荷工程做得没问题，但操作安全方面很糟糕——他们把暂存服务器及其日志完全暴露在外。”他说：“这是那种能把工具搭建得很完善，却在保护自身服务器不被窥探上漫不经心的人。我不会说这是顶尖水平，也算不上业余。”

技术报告：

https://hunt.io/blog/philippine-government-employment-agency-records-stolen

新闻链接：

https://www.darkreading.com/cyberattacks-data-breaches/philippine-migrant-worker-data-69gb-government-breach

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事