一台政府云电子邮件服务器在没有密码的情况下连接到互联网上

美国国防部周一确保了一台被暴露的服务器的安全，该服务器在过去两周内将美国军方的内部邮件泄露到了公开的互联网上。

被曝光的服务器托管在微软为国防部客户提供的Azure政府云上，该云使用的服务器与其他商业客户物理隔离，因此可用于共享敏感但非保密的政府数据。被曝光的服务器是一个内部邮箱系统的一部分，储存了大约三兆字节的内部军事邮件，其中许多与美国特种作战司令部（USSOCOM）有关，USSOCOM是负责开展特殊军事行动的美国军事单位。

但是，一个错误的配置使服务器没有密码，使互联网上的任何人只需知道其IP地址，就可以使用网络浏览器访问里面的敏感邮箱数据。

Anurag Sen是一位善意的安全研究员，以发现无意中在网上公布的敏感数据而闻名，他在周末发现了这台暴露的服务器，并向媒体提供了细节，以便媒体能够提醒美国政府。

这台服务器装满了内部军事电子邮件信息，可以追溯到多年前，其中一些包含敏感的人事信息。其中一个被曝光的文件包括一份完整的SF-86问卷，这些问卷是由寻求安全许可的联邦雇员填写的，包含高度敏感的个人和健康信息，用于在他们被批准处理机密信息之前对个人进行审查。这些人员调查表包含大量对外国对手有价值的安全许可持有人的背景信息。2015年，疑似某国黑客在美国人事管理办公室的一次数据泄露事件中窃取了数百万份寻求安全许可的政府雇员的敏感背景调查文件。

媒体看到的有限数据似乎都不是机密数据，这与USSOCOM的民用网络一致，因为机密网络是无法从互联网上访问的。

根据Shodan的列表显示，一个在网络上抓取暴露的系统和数据库的搜索引擎，该邮箱服务器在2月8日首次被检测到有数据泄漏。目前还不清楚邮箱数据是如何暴露在公共互联网上的，但很可能是由于人为错误造成的错误配置。

在美国周末假期期间，媒体于周日上午联系了USSOCOM，但被暴露的服务器直到周一下午才得到保障。当通过电子邮件联系到五角大楼的一位高级官员时，他确认他们已经将暴露的服务器的细节传递给了USSOCOM。该服务器很快就无法访问了。

USSOCOM发言人Ken McGraw在星期二的一封电子邮件中说，星期一开始的调查正在进行中。McGraw说：“我们目前可以确认，没有人入侵美国特种作战司令部的信息系统”。

目前还不知道，在云服务器可以从互联网上访问的两周时间里，除了参议员之外，是否有其他人发现了这些暴露的数据。媒体询问国防部是否有技术能力，如日志，以检测任何不当访问或数据从数据库流出的证据，但发言人没有说。

大型组织不经意地将内部数据暴露在互联网上并不罕见，但这是一个国防部的电子邮件服务器的事实将使美国官员感到担忧。