剛剛過去的一周對電信公司而言并不好過。安全研究人員已經(jīng)發(fā)現(xiàn)了AT&T，Sprint和T-Mobile系統(tǒng)的安全漏洞，這些漏洞可能會讓別有用心的人獲取客戶數(shù)據(jù)。

就在昨天，研究者報道了兩個漏洞，導致AT&T和T-Mobile的客戶信息信息易受攻擊。在T-Mobile的案例中，Apple的在線店面與T-Mobile的帳戶驗證API之間的“工程錯誤”允許在線表單上進行無限次嘗試，這將允許黑客使用常用工具來猜測帳戶PIN或者社會安全號碼的最后四位數(shù)，即所謂的暴力破解攻擊。

手機保險公司Asurion及他的AT&T客戶也遇到了類似的問題。在線索賠表將允許任何擁有客戶電話號碼的人訪問表格，也允許他們無限猜測猜測客戶的密碼，使其同樣容易受到暴力破解攻擊。

兩家公司都及時修復了這個允許無限次提交表格的漏洞。

在本周末的另一個例子中，安全研究人員發(fā)現(xiàn)能夠訪問Sprint的內(nèi)部員工帳戶的漏洞。這“得益于”員工設置的容易被猜到的弱密碼和用戶名，加上缺乏雙重身份驗證。據(jù)報道，一旦進入內(nèi)部系統(tǒng)，研究人員就可以訪問Sprint，Boost Mobile和Virgin Mobile的各種客戶帳戶信息。研究人員還報告說，獲得訪問權(quán)限的任何人都可以對客戶帳戶進行更改，并且客戶PIN是可以暴力破解的。Sprint發(fā)言人證實了這個漏洞，并聲稱它不相信任何客戶受到漏洞的影響，發(fā)言人表示他們正在努力解決這個問題。

值得注意的是，這些安全隱患、漏洞不一定會被攻擊者利用。但是這些漏洞允許別有用心的人獲得對系統(tǒng)的訪問權(quán)并訪問的客戶數(shù)據(jù)。這些在國際上數(shù)一數(shù)二的通信運營商的系統(tǒng)必然很復雜：像AT&T，Sprint和T-Mobile這樣的公司必須權(quán)衡提供員工工作的便利性，以及客戶獲取信息的權(quán)限。但考慮到攻擊者可以利用這些公司擁有的大量數(shù)據(jù)所帶來的傷害，很明顯他們需要更積極主動地保護他們的客戶信息。

實際上，即便攻擊者利用了這些漏洞進入系統(tǒng)，也只能通過暴力破解方式獲得用戶的敏感信息。暴力破解所需的大量時間決定了攻擊者很難短時間內(nèi)獲取大量用戶的敏感信息。相較之下，在另一些手握大量用戶的運營商那里，通過支付金錢或者使用權(quán)力就可以批量購買用戶敏感身份信息，恐怕是更大更亟需修補的漏洞