一通登入驗證碼簡訊，可能在收件人看到之前就先被陌生人讀走。CSC Telecom 一個未設密碼的 ClickHouse 資料庫對外開放，累積超過 1.25 億則簡訊內容。CSC Telecom SMS leak: how 125M texts were exposed | opnF.sh 事件涉及拉脫維亞、立陶宛與愛沙尼亞三地用戶，從銀行通知、登入驗證碼到醫療檢驗結果全在其中，值得關注的是這並非高明的駭客手法，而是一個設定疏失。
三道失誤疊加，資料庫門就這麼開著
Cybernews 研究人員在 2026 年 9 月 28 日發現 CSC Telecom 拉脫維亞分支所執行的 ClickHouse 資料庫在網際網路上開放存取。文章以郵局比喻說明，這就像每封信都留一份影本，卻把檔案室的門敞開對著街道，沒人需要撬鎖，只要注意到門沒關。文章歸納三道失誤，第一是資料庫可從網際網路觸及且不要求身分驗證，第二是完整保存每則簡訊內容，包含驗證碼、帳戶餘額與地址，連同電話號碼、時間戳與路由資訊，第三是紀錄從 2022 年 10 月保留到 2026 年 9 月，遠超過簡訊送達後實際需要的時間。
即時寫入，驗證碼可能先被讀走
文章指出該資料庫即時更新，新簡訊送出就落進資料庫，因此一組登入驗證碼或密碼重設連結，可能在收件人看到之前就已被讀取。外連文章提到，截至資料庫被發現當天，該服務在 2026 年 9 月已送出超過 300 萬則簡訊。資料庫內也包含拉脫維亞 112 緊急專線發出的訊息，以及 Swedbank、SEB、airBaltic、ERGO 與 Porsche 等單位的簡訊。與 Swedbank 相關的訊息可見帳戶 IBAN、交易金額、剩餘餘額與消費地點。
廠商稱已修補設定，尚無攻擊跡象
引述 Mallory 對該公司回應的整理，CSC Telecom 表示已修正一項存取設定缺陷，且未見遭到攻擊的跡象。文章也強調，目前沒有人證明犯罪者實際讀過這些訊息，但曾收到受影響寄件者簡訊的民眾，被提醒要留意說服力十足的網路釣魚。後續影響已擴散到客戶與監管層面，Swedbank 已停止使用 CSC Telecom，拉脫維亞 CERT.LV 要求該公司進行深入調查，並已將案件轉交執法機關。
開放式 ClickHouse 是老問題，NVD 也有近期紀錄
文章指出開放式 ClickHouse 伺服器是已知問題。2025 年初 DeepSeek 外洩事件同樣源自開放的 ClickHouse 資料庫，ClickHouse 事後說明其 Docker 映像中的預設使用者可能在不設密碼的情況下被建立，並在官方映像中關閉該使用者的網路存取。該篇文章統計，當時有超過 3 萬個 ClickHouse 執行個體可從網際網路觸及。在標準安裝下，管理員必須先變更網路設定，外部才連得進來。若讀者想對照漏洞公告，NVD 上與此元件相關的近期紀錄包括 CVE-2026-116366，CVSS 9.5，屬 CRITICAL 等級，弱點類型 CWE-190，官方摘要提到在特定條件下，具網路存取權的未驗證使用者可在 ClickHouse Server 上執行任意程式碼。另有 CVE-2026-116818，CVSS 8.8，屬 HIGH 等級，弱點類型 CWE-89，涉及 OpenPanel 3.0.0 之前的未驗證 ClickHouse SQL 注入。以及 CVE-2026-68549，CVSS 3.3，屬 LOW 等級，弱點類型 CWE-22，涉及 ClickMigrate 1.0.3 之前的修訂指令路徑穿越問題。以上三筆皆為 NVD 上與此元件相關的近期紀錄，並非這起事件本身被引用的編號，詳細資訊請見附表。
社群反應：醫療簡訊的老爭議又被翻出
社群中，網友 WeirdSysAdmin 從自身經驗出發，表示自己在美國醫療體系工作多年，2005 年前後影響 HIPAA 合規立場的考量之一，正是為何要採購安全的訊息平臺來傳遞醫療資料，甚至為此禁止護理師用簡訊傳送醫療資訊。原作者 GrahamPhisher 追問，當年你們怎麼知道護理師在用簡訊傳醫療資訊。WeirdSysAdmin 回應，通常是有人傳給知道不通報就會出事的對象，或直接傳給主管，他形容大家各做各的，但仍有足夠的人認真看待這件事。這段對話把焦點從單一資料庫設定，拉回組織層面長年存在的習慣問題。
CyberQ 觀點
企業應把資料庫的網路暴露面當成定期檢查項目，確認對外服務是否強制身分驗證，並為日誌與訊息類資料設定保存期限，避免為了方便而無限期留存。使用簡訊驗證碼的服務可縮短驗證碼有效時間，並提醒用戶對任何要求點擊連結或輸入資料的簡訊保持警覺。個人用戶則應假設簡訊內容可能曾被他人看見，遇到可疑訊息時改用官方 App 或官網確認。
CVE 漏洞資料核實
以下為撰文時以 NVD 2.0 API 依元件關鍵字（clickhouse、sms）查得的近期公告紀錄，屬同一元件的關聯漏洞，並非本文事件本身所對應的編號：
| CVE 編號 | CVSS 分數／嚴重度 | 公佈時間（UTC） | 受影響廠商／產品 | 弱點類型 | 官方摘要（原文節錄） | 參考連結 |
|---|---|---|---|---|---|---|
| CVE-2026-68549 | 3.3（LOW） | 2026-11-11T23:17:23 | ， | CWE-22 | ClickMigrate is a database migration tool for ClickHouse with automatic SQL migration management and version tracking. Prior to version 1.0.3, a path traversal vulnerability in the revision command allowed a crafted migration name supplied via the -m argument to escape the intended migrations directory. Under specific conditions, an attacker could cause the tool to create a .sql file in an arbitrary location writable | https://github.com/QueueForge/ClickMigrate/commit/6b1f2c0202630a82252b https://github.com/QueueForge/ClickMigrate/releases/tag/v1.0.3 https://github.com/QueueForge/ClickMigrate/security/advisories/GHSA-vg |
| CVE-2026-116366 | 9.5（CRITICAL） | 2026-10-30T11:17:32 | ， | CWE-190 | An issue has been discovered in ClickHouse Server that, under certain conditions, could allow an unauthenticated user with network access to execute arbitrary code on the ClickHouse Server. | https://clickhouse.com/docs/resources/changelogs/security-changelog https://github.com/ClickHouse/ClickHouse/blob/master/SECURITY.md |
| CVE-2026-116818 | 8.8（HIGH） | 2026-10-27T00:17:16 | ， | CWE-89 | OpenPanel before 3.0.0 contains an unauthenticated ClickHouse SQL injection vulnerability that allows remote attackers to inject SQL through the projectId parameter of the /live/visitors/:projectId WebSocket, which lacks session and project-access checks. Attackers can use UNION or boolean count oracles to read other tenants’ events and profiles, and project members can similarly inject via the cohort.preview timefra | https://github.com/Openpanel-dev/openpanel/commit/35ddc8ebbcd4ed076793 https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-8w https://www.vulncheck.com/advisories/openpanel-before-3.0.0-unauthenti |
核實時間：2026-11-12 01:11 UTC，來源：NIST NVD（services.nvd.nist.gov）、CVE.org。CVSS 分數與嚴重度以官方紀錄為準，若廠商另行公布不同評分，以廠商公告為準。
