一個(gè)包含190萬(wàn)條記錄的秘密恐怖分子觀察名單在互聯(lián)網(wǎng)上曝光,，其中包括機(jī)密的“禁飛”記錄,，該列表可以在沒(méi)有密碼的Elasticsearch集群上訪問(wèn)。

　　數(shù)百萬(wàn)人在禁飛和恐怖觀察名單上暴露

　　今年7月,，安全發(fā)現(xiàn)研究員Bob Diachenko（鮑勃·迪亞琴科）在暴露的Elasticsearch集群中發(fā)現(xiàn)了大量JSON記錄,，這激起了他的興趣。

　　190萬(wàn)條記錄集包含有關(guān)人員的敏感信息,，包括

　　全名

　　TSC監(jiān)視列表ID

　　國(guó)籍

　　性別

　　出生日期

　　護(hù)照詳細(xì)信息

　　發(fā)行國(guó)

　　禁飛狀態(tài)

　　暴露的服務(wù)器已被搜索引擎Censys和ZoomEye編入索引,，這表明迪亞琴科可能不是唯一看到該列表的人：

　　公開(kāi)監(jiān)視列表記錄的摘錄（Bob Diachenko）

　　研究人員透露，鑒于暴露字段的性質(zhì)（例如護(hù)照詳細(xì)信息和“no_fly_indicator”）,，它似乎是禁飛或類似的恐怖分子觀察名單,。

　　此外,，研究人員還注意到一些斜字段，如“標(biāo)簽”,、“提名類型”和“入選指標(biāo)”,，這些都是他無(wú)法立即理解的,。

　　“考慮到數(shù)據(jù)的性質(zhì),，這是唯一有效的猜測(cè)，而且有一個(gè)名為‘TCS_ID’的特定字段,，”Diachenko說(shuō),，這向他表明記錄集的來(lái)源可能是恐怖分子篩查中心 （TSC）。

　　FBI的TSC被多個(gè)聯(lián)邦機(jī)構(gòu)用于管理和共享用于反恐目的的綜合信息,。該機(jī)構(gòu)維護(hù)著名為“恐怖分子篩查數(shù)據(jù)庫(kù)”的機(jī)密觀察名單,，有時(shí)也稱為“禁飛名單”?？紤]到此類數(shù)據(jù)庫(kù)在協(xié)助國(guó)家安全和執(zhí)法任務(wù)方面發(fā)揮的重要作用,，此類數(shù)據(jù)庫(kù)本質(zhì)上被視為高度敏感。構(gòu)成國(guó)家安全風(fēng)險(xiǎn)的恐怖分子或合理的嫌疑人被政府酌情“提名”列入秘密觀察名單,。

　　航空公司和多個(gè)機(jī)構(gòu)（例如國(guó)務(wù)院,、國(guó)防部、運(yùn)輸安全局 （TSA） 和海關(guān)與邊境保護(hù)局 （CBP））參考該列表,，以檢查乘客是否被允許飛行、不允許進(jìn)入美國(guó)或評(píng)估他們對(duì)各種其他活動(dòng)的風(fēng)險(xiǎn),。

　　國(guó)土安全部通知后3周服務(wù)器下線

　　研究人員在7月19日發(fā)現(xiàn)了暴露的數(shù)據(jù)庫(kù),，有趣的是，該數(shù)據(jù)庫(kù)位于中東波斯灣的巴林IP地址而非美國(guó)IP地址的服務(wù)器上,。

　　就在同一天,，他急忙向美國(guó)國(guó)土安全部（DHS）報(bào)告了數(shù)據(jù)泄露事件?！拔以谕惶彀l(fā)現(xiàn)了暴露的數(shù)據(jù)并將其報(bào)告給了國(guó)土安全部,。”“大約三周后,，即2021年8月9日,，暴露的服務(wù)器被關(guān)閉?！薄安磺宄槭裁葱枰@么長(zhǎng)時(shí)間,，我不確定是否有任何未經(jīng)授權(quán)的方訪問(wèn)了它，”迪亞琴科在他的報(bào)告中寫(xiě)道,。

　　研究人員認(rèn)為這次數(shù)據(jù)泄露是嚴(yán)重的,，考慮到監(jiān)視名單可以列出涉嫌非法活動(dòng)但不一定被指控犯有任何罪行的人,。“如果落入壞人之手,，這份名單可能會(huì)被用來(lái)壓迫,、騷擾或迫害名單上的人及其家人?！毖芯咳藛T說(shuō)：“這可能會(huì)給名單上的無(wú)辜者帶來(lái)許多個(gè)人和職業(yè)問(wèn)題,。”人們因拒絕成為線人而被列入禁飛名單的案例并非聞所未聞,。迪亞琴科認(rèn)為,，因此這次泄密可能會(huì)對(duì)這些人和嫌疑人產(chǎn)生負(fù)面影響。

　　“TSC觀察名單極具爭(zhēng)議性,。例如,，美國(guó)公民自由聯(lián)盟多年來(lái)一直反對(duì)在沒(méi)有正當(dāng)程序的情況下使用秘密的政府禁飛名單，”研究人員繼續(xù)說(shuō)道,。請(qǐng)注意,，目前無(wú)法確認(rèn)泄露名單的服務(wù)器屬于美國(guó)政府機(jī)構(gòu)還是第三方實(shí)體。

　　FBI暫時(shí)未對(duì)此事進(jìn)行置評(píng),。