Bureau Identity 被曝利用枚举漏洞探测用户在各平台的账号

kingslyj · x · 2026-11-14

安全研究者 @captn3m0 指出，身份服务 Bureau Identity 通过利用 Swiggy、Amazon、Instagram、Flipkart、Ajio、Jeevansaathi 等第三方平台的用户枚举漏洞，判断某手机号是否注册过这些服务的账号，并对外提供 API 查询接口。配图显示其 API 文档中 amazon、flipkart、jeevansaathi 等字段直接返回「Account Found / Account Not Found」枚举值。作者质问这些公司是否知情——这本质上是未经授权把第三方平台的账号注册状态变成了可查询的隐私数据。