更新：此帖子在 Hacker News 上引起了一些关注 - 请查看讨论线程。在纽约市找到住房很困难。大家都知道这一点。但并不是每个人都知道的是，找到某人的社会安全号码后四位比找一个公寓更容易……我在 Beam Living（黑石投资组合公司）申请租赁。我按照正常流程进行，但（作为一个注重安全的人）我在浏览网页时总是打开网络标签，以确保我不会将敏感信息放入一个脚本小子（或 GLM-5.2）容易破译的网站。当我提交我的社会安全号码时，我想我应该检查一下处理它的 GraphQL（可惜，以前是热点）查询。GraphQL 查询起初，我没有注意到任何重要的地方。但当我去我的主资料时，我看到一个调用 pd-dlcore.beamliving.com/graphql 的请求，负载为：查看完整的 GraphQL 查询 query contact ( $contactId : String !) { contact ( contactId : $contactId ) { ... contactInfo __typename } } fragment contactInfo on ContactDtoModel { incomeVerificationMethod incomeCheckStatus incomeCheckReferenceId creditScore address applicationStatus city companyOrSchool consentDate consentIp country dateOfBirth emailAddress emergencyContact { emergencyContactEmail emergencyContactName emergencyContactPhone emergencyContactRelationship __typename } firstName id identityVerificationSubmittedDate incomeCheckDate isCurrentLeasee jobTitle lastName noSsn occupation pets { birthDay breed id isServiceDog licenseNumber name rabiesExpirationDate weight __typename } postalCode preferredName screeningFeePaid ssnInfo state status { ... applicationStatus __typename } telephone __typename } fragment applicationStatus on StatusDtoModel { applicationProgress { basicInfo { actionRequired __typename } dogsInformation { actionRequired __typename } emergencyContact { actionRequired __typename } identityVerification { actionRequired __typename } incomeVerification { actionRequired __typename } payments { actionRequired __typename } review { actionRequired __typename } __typename } progressDetails { applicationForm { description status __typename } firstMonthRent { description status __typename } identityVerification { description identityVerificationCompletedDate identityVerificationStatus identityVerificationSubmittedDate status __typename } incomeVerification { description status __typename } leaseGuarantee { description status __typename } leaseSigning { description signatureId status __typename } managerReview { managerReview managerReviewDecisionCode status __typename } securityDeposit { description paymentLink securityReplacement __typename } backgroundScreeningCheck { status __typename } creditCheck { status __typename } __typename } guestCardCreated unitReservationFailed __typename } 虽然这并不一定是坏事，但在像这样的 GraphQL 查询中提供用户的电子邮件，而不是仅仅从会话 cookie 中推导出它，始终是一种不好的迹象。显而易见的测试因此我做了显而易见的事情 - 我拿了一个朋友的电子邮件（我知道他也使用过这个服务），然后……砰！他的社会安全号码后四位、出生日期、家庭地址、IP 地址、电话号码等等。影响不仅限于我的申请或我的楼宇。Beam Living 在其社区中使用这个租赁门户：8 Spruce StuyTown Peter Cooper Village Kips Bay Court Parker Towers 任何通过该共享门户申请的人——且其记录仍在系统中——都可以访问其社会安全号码的信息、出生日期、家庭地址、IP 地址、电话号码和其他申请数据，任何知道他们电子邮件地址的人都可以访问。披露与静默修补我立即停止测试，并向 Beam Living 披露了此事。披露过程并不理想 - 我必须发送许多电子邮件，最终与 Beam Living 团队的某个人进行了电话交谈。他们说他们检查过，根本没有问题。我回去尝试再次利用该漏洞，但它已被静默修补。因此我很高兴问题得到解决，但这不是公司（尤其是像黑石这样的巨头公司）应处理披露的方式……披露时间线如下：6 月 14 日：我向 [email protected] 发送电子邮件，报告一个严重的漏洞，暴露申请人和担保人的个人信息，包括社会安全号码后四位、信用评分、出生日期、地址和电话号码。我询问如何负责任地披露此漏洞。6 月 16 日：在没有收到回复后，我进行了跟进，强调了严重性，并再次要求 Beam Living 确认正确的披露渠道或将我与其安全团队联系。我没有收到回应。6 月 23 日：我告诉我的 Beam Living 租赁代理我发现了一个严重的漏洞，通过电子邮件地址暴露了社会安全号码的后四位、出生日期、电话号码、地址和其他申请数据。我请求与正确的团队联系以负责任地披露。