Zellis 数据泄露已波及英国航空公司、BBC

“BBC意识到第三方供应商 Zellis 发生了数据泄露事件，并且正在与他们密切合作，因为他们正在紧急调查泄露的程度” BBC 的发言人说。

上周，多家安全公司报告称，威胁行为者正在积极利用Progress MOVEit Transfer文件传输产品中的零日漏洞来窃取组织数据。MOVEit Transfer 是一种托管文件传输，企业使用它通过 SFTP、SCP 和基于 HTTP 的上传安全地传输文件。

该漏洞是一个 SQL 注入漏洞，未经授权的攻击者可利用该漏洞获取对 MOVEit Transfer 数据库的未授权访问权限。

在 MOVEit Transfer Web 应用程序中发现了一个 SQL 注入漏洞，该漏洞可能允许未经身份验证的攻击者获得对 MOVEit Transfer 数据库的未授权访问权限。根据所使用的数据库引擎（MySQL、Microsoft SQL Server 或 Azure SQL），攻击者除了执行更改或删除数据库元素的 SQL 语句外，还可能推断出有关数据库结构和内容的信息。

该漏洞影响所有MOVEit Transfer版本，不影响云版本产品。该公司还分享了此次攻击的妥协指标 (IoC)，并敦促注意到任何指标的客户立即 联系 其安全和 IT 团队。到5月31日，Rapid7专家发现了大约 2,500 个可在互联网上公开访问的 MOVEit Transfer 实例 ，其中很大一部分位于美国。

最新消息，Zellis 在其网站上发表了以下声明：

“我们可以确认我们的一小部分客户受到了这一全球性问题的影响，我们正在积极努力为他们提供支持。Zellis 拥有的所有软件均未受影响。通常我们一旦意识到这一事件，我们会立即采取行动，断开使用 MOVEit 软件的服务器，并聘请专家外部安全事件响应团队协助进行取证分析和持续监控。此外，我们还通知了英国和爱尔兰的 ICO、DPC 和 NCSC。我们在所有服务中都采用了强大的安全流程，它们都将继续正常运行。”

该公司已经向英国和爱尔兰共和国的数据保护监管机构和网络安全机构报告了安全漏洞。