黑石集团房地产公司泄露社保号、出生日期、地址等敏感信息

# 黑石旗下房地产公司如何因GraphQL授权漏洞泄露社保号、出生日期、地址及其他申请数据 来源：https://alexschapiro.com/security/vulnerability/2026/07/16/beam-living-graphql-data-exposure Beam Living注册与登录界面 **在纽约找房有多难，大家心知肚明。但鲜有人知的是，查到某人社保号后四位，竟比找到一套公寓还要容易...** 我正在Beam Living（https://www.beamliving.com/）——一家黑石旗下投资公司（https://www.blackstone.com/housing/stuytown/）——申请租约。流程看似平常，但作为注重安全的从业者，我习惯在浏览网页时打开网络请求面板，确保自己不会将敏感信息提交给可能被脚本小子（或GLM-5.2）轻易攻破的网站。 当输入社保号时，我决定检查处理该数据的GraphQL查询（唉，这曾经可是热门技术）。 ## GraphQL查询分析 起初未发现异常。但当我进入个人主页时，注意到一条发往`pd-dlcore.beamliving.com/graphql`的请求，其载荷如下： Chrome开发者工具中脱敏的Beam Living GraphQL联系请求 完整GraphQL查询内容如下： ``` query contact($contactId: String!) { contact(contactId: $contactId) { ...contactInfo __typename } } fragment contactInfo on ContactDtoModel { incomeVerificationMethod incomeCheckStatus incomeCheckReferenceId creditScore address applicationStatus city companyOrSchool consentDate consentIp country dateOfBirth emailAddress emergencyContact { emergencyContactEmail emergencyContactName emergencyContactPhone emergencyContactRelationship __typename } firstName id identityVerificationSubmittedDate incomeCheckDate isCurrentLeasee jobTitle lastName noSsn occupation pets { birthDay breed id isServiceDog licenseNumber name rabiesExpirationDate weight __typename } postalCode preferredName screeningFeePaid ssnInfo state status { ...applicationStatus __typename } telephone __typename } fragment applicationStatus on StatusDtoModel { applicationProgress { basicInfo { actionRequired __typename } dogsInformation { actionRequired __typename } emergencyContact { actionRequired __typename } identityVerification { actionRequired __typename } incomeVerification { actionRequired __typename } payments { actionRequired __typename } review { actionRequired __typename } __typename } progressDetails { applicationForm { description status __typename } firstMonthRent { description status __typename } identityVerification { description identityVerificationCompletedDate identityVerificationStatus identityVerificationSubmittedDate status __typename } incomeVerification { description status __typename } leaseGuarantee { description status __typename } leaseSigning { description signatureId status __typename } managerReview { managerReview managerReviewDecisionCode status __typename } securityDeposit { description paymentLink securityReplacement __typename } backgroundScreeningCheck { status __typename } creditCheck { status __typename } __typename } guestCardCreated unitReservationFailed __typename } ``` 虽然直接在GraphQL查询中传入用户邮箱（而非通过会话Cookie推导）未必构成严重问题，但这始终是个危险信号。 ## 常规验证测试 于是我进行了常规测试——使用一位朋友的邮箱（我知道他也在用该服务），结果令人震惊：社保号后四位、出生日期、家庭住址、IP地址、电话号码等信息全部暴露无遗。 脱敏后的Beam Living GraphQL响应显示社保号及申请者字段遭泄露 **该漏洞的影响范围不限于我的申请或所住楼盘。Beam Living将此租赁门户系统应用于旗下所有社区（https://www.beamliving.com/about-us）：** - 8 Spruce - StuyTown - Peter Cooper Village - Kips Bay Court - Parker Towers **所有通过该共享门户提交申请且记录仍保留在系统中的用户，其社保号信息、出生日期、家庭住址、IP地址、电话号码及其他申请数据，均可被任何知道其邮箱地址的人访问。** ## 漏洞披露与静默修复 我立即停止测试并联系Beam Living。披露过程并不顺利——我发送了多封邮件，最终才与Beam Living团队成员通上电话。对方声称已核查并确认不存在问题。当我再次尝试利用漏洞时，发现它已被静默修复。虽然问题得到解决令人欣慰，但企业的处理方式（尤其是黑石这类巨头旗下的公司）本不该如此... 披露时间线如下： - **6月14日**：我通过电子邮件`[email protected]`报告了严重漏洞，该漏洞可暴露申请人及担保人的个人身份信息，包括社保号后四位、信用评分、出生日期、地址及电话号码。我询问如何负责任地披露该漏洞。 - **6月16日**：未收到回复后，我再次跟进，强调漏洞严重性，并要求Beam Living确认正确的披露渠道或联系其安全团队。仍未获回应。 - **6月23日**：我告知Beam Living的租赁代理发现了可通过邮箱地址泄露社保号、出生日期、电话号码、地址等申请数据的严重漏洞，请求对接负责披露的团队。 - **6月24日**：我再次跟进并警告漏洞仍处于活跃状态。租赁代理表示报告已转交团队调查。 - **6月26日至7月8日**：我持续尝试联系相关人员。7月1日和8日，我明确警告我的数据及其他用户数据仍处于暴露状态。 - **7月9日**：经过电话沟通，Beam Living的住户体验团队要求我发送详细信息以便转交技术团队。我随即复测，发现漏洞终于被修复。我提出配合披露工作，并表示计划在给予对方响应时间后公开披露。 - **7月9日之后**：我与Beam Living运营主管取得联系，她非常友善。我向其说明了公开披露漏洞的计划。 **事已至此！我已提醒他们将发表此文，但愿租约不会因此被取消...**