層出不窮的數據泄露

“大概10天前，一位伊朗黑客為發泄對銀行系統的不滿，在私人博客上公布了300萬張銀行卡的卡號和密碼，引起當地民眾對網絡安全的極大擔憂。伊朗央行為此發出緊急通知，要求所有伊朗人盡快修改自己的銀行卡密碼。”這是4月26日鳳凰網環球財經頻道，一篇題為“伊朗網絡遭黑客襲擊 300萬張銀行卡密碼泄露”中的原文。

而在4月26日同天，還有一則引人注目的數據泄漏新聞：VMware確定關于ESX Hypervisor的源代碼已經泄露，并表示“未來也存在源代碼被偷盜的潛在危險”。

回顧近期的IT新聞熱點，我們會發現有關數據泄漏的報道始終居于榜首。VISA數百萬信用卡數據泄露；英特爾前雇員從公司偷走了價值數億美元的英特爾文件。在國內，CSDN泄漏案的風波持久未息，由其衍生出更多泄漏事件如同一地多米諾骨牌，其惡劣影響最終讓CSDN收到了我國落實信息安全等級保護制度以來的首例行政“罰單”。其實CSDN泄漏案僅僅只是國內數據泄漏近況的冰山一角。在今年的“315”報道中曝光了某信用卡中心風險管理部貸款審核員出售客戶個人銀行信息的丑聞，讓人們對銀行業的數據安全也提出了廣泛質疑。

是什么導致數據泄露事件層出不窮？犯罪分子又為何能夠長驅直入呢？

無利不起早。Websense中國區技術經理陳綱在幾年前便指出了數據交易的市場化以及其背后的利息鏈是驅動黑客和有心人士進行數據竊取的關鍵。現在，陳綱表示：“我們看到另一種趨勢，那便是黑客主義，他們可能是黑客，也可能是擁有黑客技術的激進人士，他們為了發泄不滿或滿足個人英雄主義情結而針對企業不斷發起攻擊，得到核心數據正是他們攻擊成功的標志。”

此外，員工的疏忽和違規操作依然是數據泄漏的主要源頭之一。波耐蒙研究所近期的一項調查顯示，在調查中有超過78%的受訪者表示，在過去兩年中企業發生過至少一起數據泄露事件，并歸咎于員工的故意或意外行為。員工選錯郵件列表將機密信息發送給了錯誤的對象；員工使用移動設備存儲企業數據后轉借他人；員工在社交網絡分享中透露某些需要保密的信息；員工出于利益目的監守自盜……。隨著勞動力市場流動性的增強、移動數據承載設備的推廣，IT的消費化趨勢，以及在工作場所使用社交網絡等因素，員工和公司內部人員所構成的數據泄漏威脅會變得越來越普遍。

而說到犯罪分子能夠長驅直入的理由，我們不得不由衷地稱嘆現代威脅的先進與詭計多端。這里有一個案例，日前萬事達卡(MASTER CARD)和維薩(VISA) 發布警告稱，由于一家第三方刷卡交易處理商（Global Payments）的系統被入侵，持卡人的信息可能存在被泄漏的危險。隨后VISA便承認已發現150萬信用卡賬戶存在風險，并且相關數據還會繼續上升。針對這次攻擊事件，VISA全球企業風險官就對媒體表示：“黑客這次的襲擊采用了非常精明的手段，使用了非常先進的工具，他們進入這個系統之后對自己進行了加密，所以別人看不出來他們已經進去了。以前我們一致認為加密是我們自我保護的手段，沒想到也被犯罪分子利用了。”

令人啼笑皆非的是，原本被作為數據安全依托的加密技術，竟然成為了犯罪分子堂而皇之的幫兇，黑客想象力之豐富實在令我們感到可怕。其實靜態防護技術和傳統安全策略日漸失去功能已經不再是新聞。Websense安全分析師在《2012年威脅報告》中就指出：“面對現代威脅環境，傳統的安全防線已經失去了作用，企業只有依靠多點檢測的實時防御方案，深度檢測和分析入站的每一個網頁與電子郵件內容以及出站敏感數據傳送才能有效緩解數據泄露等信息安全風險。”

另外，《Websense 2012年威脅報告》還指出：“三個因素正在成為數據竊取“得力助手”：第一，基于社交網絡生成的各種誘餌，這是當前極富成效的手段；第二，現代惡意軟件在滲入時已具備回避安全檢測的能力；第三，機密數據的泄露方式日益復雜。”