浑水-致柠檬水的公开信：惊人的安全漏洞（英文）-2021.5-10页_5mb

文档总结：Muddy Waters Research 与 Lemonade 的公开信

核心内容概述

Muddy Waters Research 发布了一份关于 Lemonade, Inc.（NYSE: LMND）网站安全漏洞的公开信，指出该公司存在严重的数据安全问题。该信件由 Muddy Waters Capital LLC 发出，作为一家投资顾问公司，其核心目的是警示投资者并强调其对 Lemonade 的短仓立场。

主要观点

• 安全漏洞严重：Lemonade 的网站存在一个“Stored Session Fixation Vulnerability”（存储会话固定漏洞），该漏洞允许攻击者在无需用户凭证的情况下访问并修改客户账户。
• 漏洞影响广泛：此漏洞自 2020 年 7 月起存在，可能影响所有 Lemonade 客户及通过 Lemonade API 提交 PII 的第三方合作伙伴。
• 数据暴露风险：Lemonade 的客户敏感信息（PII）已被 Google、Bing 和 Wayback Machine 索引，表明该漏洞可能已被广泛利用。
• 法律与监管风险：该漏洞可能导致 Lemonade 违反 GDPR、加州消费者隐私法案（CCPA）及纽约州金融服务业的网络安全法规，面临重大法律责任。
• 不采取协调披露：Muddy Waters 表示未采用“协调披露”方式通知 Lemonade，认为该公司可能试图借此淡化问题。
• 呼吁立即整改：Muddy Waters 呼吁 Lemonade 立即关闭网站、API 和移动应用，直至漏洞被第三方验证修复，并建议其支付处理方 Stripe 暂停集成以防范进一步风险。

关键信息

• Muddy Waters 的立场：Muddy Waters Capital LLC 对 Lemonade 持有空头仓位，认为其在数据安全方面表现极其不负责任。
• 漏洞等级：该漏洞被认为具有极高风险，CVSS 评分可能为 10，属于关键性安全风险。
• 法律后果：Lemonade 可能因数据泄露违反多项法律，包括 GDPR、CCPA 和纽约州金融服务业法规。
• 用户风险：用户可能面临账户被篡改、PII 被盗用及后续钓鱼攻击的风险。
• 协调披露的批评：Muddy Waters 认为协调披露机制在现实中并不可靠，认为公司往往忽视数据安全责任。
• 公开信目的：公开信旨在向公众和监管机构披露 Lemonade 的安全问题，强调其对客户信任的破坏。

重要声明

• 免责声明：Muddy Waters 的报告仅用于信息目的，不构成投资建议，也不代表任何投资顾问与客户的正式关系。
• 责任限制：Muddy Waters 不对因使用其报告而产生的任何损失承担责任，包括直接或间接损失。
• 版权与使用条款：文档内容受版权保护，未经授权不得复制、分发或修改。
• 管辖权与法律适用：所有争议将依据加州法律解决，且 Muddy Waters 保留对任何违反条款的行为进行追责的权利。

附件说明

文档包含多张图片，展示了漏洞的复现步骤、相关证据及技术细节。这些图像用于说明漏洞的具体表现和影响范围，但未在总结中详细描述。

总结

Muddy Waters Research 通过公开信指出 Lemonade 存在严重的数据安全漏洞，可能导致客户信息泄露和重大法律风险。该信件不仅批评 Lemonade 的数据安全措施，还强调其对客户信任的破坏，并呼吁立即采取行动修复漏洞。同时，Muddy Waters 重申其报告的免责声明和使用条款，以避免法律责任，并强调所有争议将依据加州法律解决。