荷兰 IT 安全咨询公司 Modat 发现全球部署的约 49,000 个访问管理系统 (AMS) 存在令人震惊的安全漏洞。
这些系统旨在通过密码、生物识别和多因素身份验证等身份验证方法来控制建筑物访问，但被发现存在严重的配置错误，导致敏感数据暴露且设施容易受到未经授权的进入。
这一发现意味着对医疗保健、教育、制造业、建筑业、石油工业和政府机构等多个领域的全球安全构成了重大威胁。
访问管理系统通过各种方法对用户进行身份验证，并根据预定的策略授权访问权限。
如果配置不当，这些系统会产生双重威胁：未经授权的物理访问建筑物，以及未经授权的数字访问存储在这些系统中的敏感信息。
Heise Online 的研究人员发现了大量案例，其中员工照片、全名、身份证号码、门禁卡详细信息、生物特征数据、车辆牌照、工作时间表甚至设施访问凭证都完全没有受到保护，潜在攻击者可以访问。
暴露的生物特征数据存在特别令人担忧的漏洞，因为与密码不同，这些信息一旦被泄露就无法更改。
安全专家强调，此类暴露的数据为各种网络威胁创造了广阔的攻击面，包括网络钓鱼活动、身份盗窃、社会工程攻击以及旨在从组织和个人窃取更多敏感信息的专门欺诈计划。
脆弱系统的地理分布呈现出令人担忧的模式，其中欧洲、美国、中东和北非的集中度最高。
研究发现，意大利是受影响最严重的国家，有 16,678 个易受攻击的系统，其次是墨西哥（5,940 个）和越南（5,035 个）。
印度排名第十，约有 1,070 个系统受到攻击。值得注意的是，德国不在受影响最大的十大国家之列。
受影响系统中的身份验证协议显示出一致的错误配置模式，从而产生可利用的安全漏洞。
然而，调查人员发现数千个系统具有默认或不当设置，这些设置会将 API 端点和凭证数据库暴露给未经授权的查询。
对这些易受攻击的系统的连接请求通常会以未加密的格式返回敏感数据，而没有适当的身份验证挑战，从而为即使是不熟练的攻击者提供了简单的利用途径。
只需修改几个配置参数就可以修复许多此类漏洞，但系统管理员对安全最佳实践的普遍误解导致了这一全球性安全漏洞。
分析师刻意避免指出特定的制造商或系统型号，以防止有针对性的攻击，同时受影响的组织努力保护其基础设施。
