這起發生在英國警察國家法律資料庫（Police National Legal Database，簡稱 PNLD）的資安事件，為我們提供了一個非常典型的教訓：即便使用了頂級的雲端平台，如果權限配置（Configuration）錯誤，依然會導致嚴重的資料外洩。
首先要理解這起事件，我們得先釐清 PNLD 是什麼。它是一個為英國警察與刑事司法機構提供法律資訊與服務的平台，並非儲存犯罪紀錄或受害者機密資料的核心系統。雖然它不含極高度機密的案卷，但這次洩漏的內容包含大量警員、政府人員及司法專業人士的姓名、所屬組織以及工作電子郵件。
對於工程師來說，最需要關注的不是「外洩了什麼」，而是「可能是如何外洩的」。
從技術脈絡來看，PNLD 使用了 Microsoft Power Platform。這是一個低程式碼（Low-code）平台，允許開發者快速構建應用程式與網頁。其中包含一個關鍵組件叫做 Power Pages，它能讓組織快速建立對外的公開網站。而後端儲存資料的地方則稱為 Dataverse，可以將其理解為一個結構化的雲端資料庫。
資安研究機構 VenariX 在分析類似的攻擊案例時發現了一個危險的配置模式。在 Power Pages 的設定中，有一個角色叫做 Anonymous Users（匿名使用者）。如果管理員在設定表格權限時，不小心將 Dataverse 表格的讀取權限賦予了這個匿名角色，那麼任何訪問該網站的人，只要知道正確的路徑，就能在不需要登入的情況下讀取資料。
更糟糕的是，如果該網站啟用了 Web API 或舊版的 OData feed（一種用於資料交換的協定），攻擊者甚至不需要透過前端介面慢慢翻閱，可以直接透過 API 接口大量抓取（Scrape）整個資料庫的內容。
這就是典型的「權限過大」問題。在雲端環境中，許多開發者為了方便測試或快速上線，會將權限開得很大，或者誤以為 API 路徑是隱密的，不需要額外驗證。但對於攻擊者而言，掃描 API 端點是基本操作。
雖然 PNLD 官方尚未正式確認其洩漏路徑是否完全符合上述的 Power Pages 配置錯誤，但從其使用的技術棧以及其他受害者的共同特徵來看，這是一個極高機率的假設。值得注意的是，這次事件中沒有發現勒索軟體、惡意程式或軟體漏洞（Vulnerability）被利用的跡象，這意味著攻擊者可能根本不需要「入侵」系統，而僅僅是利用了「開放的門」直接走進去拿資料。
這次事件對實務開發的影響與啟示在於，我們必須建立嚴格的權限審查機制。針對使用 Power Pages 或類似低程式碼平台的團隊，建議採取以下防護措施：
首先，檢查所有 Dataverse 表格的權限設定，確保 Anonymous Users 角色僅擁有必要的權限（例如僅能提交表單，而不能讀取資料）。
其次，審核 Web API 與 OData feed 的開啟狀態。如果沒有對外提供 API 服務的需求，應將其關閉。
最後，利用 Microsoft 提供的租戶級治理控制（Tenant-level governance control），從全局層面禁止未經認證的使用者讀取 Dataverse 資料，這能提供最後一道防線。
對受害者而言，這次外洩最直接的威脅是精準的社交工程攻擊（Phishing）。當攻擊者掌握了警員的真實姓名、職位與工作郵件，他們可以偽造極其真實的公務郵件來誘騙目標點擊惡意連結或提供密碼。這提醒我們，即便資料庫本身沒有洩漏密碼，個資的外洩依然會成為後續攻擊鏈的起點。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。