大规模1.17TB数据泄露，暴露了一家国内IoT植物生长灯公司的数十亿条记录。Wi-Fi密码、IP地址和设备ID都是被泄露的数据。

网络安全研究员Jeremiah Fowler发现了一个大型、不受保护的数据库，该数据库属于Mars Hydro，一家专门从事物联网生长灯(IoT Grow Lights)和农业软件的公司。

该数据库包含多达27亿条记录，总计1.17TB，暴露了大量敏感信息，包括Wi-Fi网络名称(SSID)、密码、IP地址、设备 ID、电子邮件地址等。

根据Fowler为vpnMentor撰写的博客文章(该公司于2025年2月12日星期三发布之前分享)，在数据库中发现了标有全球物联网设备日志记录、监控和错误记录的文件夹。

样本分析显示，13个文件夹中有超过1亿条记录，不仅包含Wi-Fi网络名称，还包含其对应的密码、IP地址和唯一设备标识符。有趣的是，这些数据似乎还与用于管理这些物联网产品的控制设备（如智能手机）有关，从而揭示了有关操作系统（例如iOS和Android）的信息。

进一步调查显示，该数据库与加州注册的公司LG-LED SOLUTIONS LIMITED有关。泄露的数据中还包含与LG-LED SOLUTIONS、Mars Hydro和Spider Farmer相关的API详细信息和URL，这些公司均涉及农业种植灯、风扇和冷却系统的制造和销售。大量记录被明确标记为“Mars-pro-iot-error”或“SF-iot-error”，表明与这些特定产品线存在关联。

福勒还发现错误日志包含潜在的敏感信息，除了Wi-Fi凭证之外，还包括令牌、应用程序版本、设备类型和IP地址。

发现这一情况后，Fowler立即通知了LG-LED SOLUTIONS和Mars Hydro，数小时内数据库就得到了保护。Mars Hydro是一家总部位于深圳的LED植物生长灯制造商，在英国、美国和澳大利亚设有仓库，该公司向Fowler证实Mars Pro应用程序是其官方产品。

然而，关于数据库的所有权、管理以及暴露时间的问题仍然存在。目前尚不清楚该数据库是由LG-LED SOLUTIONS直接管理还是由第三方承包商管理。Fowler在博客文章中指出，需要进行彻底的法医审计来确定任何未经授权访问的程度。

Mars Pro应用程序和连接设备暴露了大量信息。此类疏忽可能导致滥用，如监视、中间人攻击和操纵。最近报道的Matrix黑客组织就是持续利用暴露的IoT设备进行DDoS僵尸网络攻击的一个典型例子。

此外，研究表明，相当一部分物联网设备(57%)非常脆弱，大部分传输的数据(98%)都未加密。为了降低这些风险，物联网设备制造商和应用程序开发人员必须优先考虑数据保护，避免纯文本记录，使用加密，保护内部云存储，并定期进行安全审计和渗透测试。