美国国防部周一保护了一个暴露的服务器，该服务器在过去两周内将美国军方的内部电子邮件泄露到开放的互联网上。
暴露的服务器托管在微软的 Azure 政府云上，供国防部客户使用，该云使用与其他商业客户物理隔离的服务器，因此可用于共享敏感但非机密的政府数据。暴露的服务器是内部邮箱系统的一部分，该系统存储了大约 3 TB 的内部军事电子邮件，其中许多与美国特种作战司令部或 USSOCOM 有关，USSOCOM 是负责执行特种军事行动的美国军事单位。
但是配置错误导致服务器没有密码，允许互联网上的任何人仅通过网络浏览器访问内部的敏感邮箱数据，只需知道其 IP 地址即可。
Anurag Sen是一位善意的安全研究员，以发现无意中在线发布的敏感数据而闻名，他在周末发现了暴露的服务器，并向 TechCrunch 提供了详细信息，以便我们提醒美国政府。
该服务器充满了可追溯至多年前的内部军方电子邮件信息，其中一些包含敏感的人事信息。其中一份暴露的文件包括一份完整的 SF-86 问卷，由寻求安全许可的联邦雇员填写，其中包含高度敏感的个人和健康信息，用于在个人获准处理机密信息之前对其进行审查。这些人员调查问卷包含大量关于对外国对手有价值的安全许可持有人的背景信息。 2015 年，疑似中国黑客窃取了数百万政府雇员的敏感背景调查文件，这些政府雇员在美国人事管理局的数据泄露事件中寻求安全许可。
TechCrunch 看到的有限数据似乎都没有机密，这与 USSOCOM 的民用网络一致，因为机密网络无法从互联网访问。
根据 Shodan 上的列表，这是一个搜索暴露系统和数据库的搜索引擎，邮箱服务器于 2 月 8 日首次被检测为溢出数据。目前尚不清楚邮箱数据是如何暴露在公共互联网上的，但很可能由于人为错误导致的错误配置。
TechCrunch 在美国假日周末的周日早上联系了 USSOCOM，但暴露的服务器直到周一下午才得到保护。当通过电子邮件联系到一位五角大楼高级官员时，他们证实他们已将暴露服务器的详细信息传递给美国特种作战司令部。服务器很快就无法访问了。
美国特种作战司令部发言人肯·麦格劳周二在一封电子邮件中表示，周一开始的调查正在进行中。 “我们现在可以确认没有人入侵美国特种作战司令部的信息系统，”麦格劳说。
目前尚不清楚除 Sen 之外是否有人在可从互联网访问云服务器的两周时间段内发现了暴露的数据。 TechCrunch 询问国防部是否有技术能力（例如日志）来检测任何不当访问或数据从数据库中泄露的证据，但发言人没有说。
Zack Whittaker最初在TechCrunch上发布的 敏感美国军方电子邮件在线泄漏
原文： https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/