從“巴拿馬文件”看企業信息安全

彭銘楷

當大部分媒介和民眾津津樂道于A國元首擁有多家海外控股公司等談資時，我們還是應該回歸事件的本質，那就是“巴拿馬文件”所觸發的全世界企業對信息安全的擔憂和思考。

2016年4月5日，位于巴拿馬的莫薩克·馮賽卡律師事務所客戶資料遭到外泄，因被揭露的數據中包含各國政要和精英們的海外資產，這個坊間稱之為“巴拿馬文件”的事件一時間甚囂塵上，被全球媒體競相報道。當大部分媒介和民眾津津樂道于A國元首擁有多家海外控股公司、B國首相可能涉嫌逃稅等談資時，我們還是應該透過新聞的表象回歸事件的本質，那就是“巴拿馬文件”所觸發的全世界企業對信息安全的擔憂和思考。特別是律師事務所、企業服務機構、投資公司之類擁有大量客戶數據的機構，它們的行業特性和“易黑”體質，更容易招致黑客的攻擊，一旦 “淪陷”將會給企業帶來巨大的財產和聲譽損害。

其實“巴拿馬文件”只是信息安全事件的冰山一角，它之所以備受關注是因為受害者非富即貴的特殊身份。據調查，僅2015年和2016年第一季度，全球發生的信息外泄事件已不勝枚舉，攻擊范疇涉及企業、銀行、網絡、支付系統，甚至政府平臺，可以說無一幸免。以下，我們通過列舉幾則影響力較大的信息外泄事件以作警醒。然而遺憾的是，我們不得不承認，更多的此類事件可能尚未被發現或報道出來。

即使在我們身邊，也處處存在著信息外泄的威脅。機構為了業務的需要，如分析客戶喜好、服務和產品開發等，往往會收集留存越來越多的個人信息。試想一下你的私人銀行，其幾乎擁有了你和家人的所有信息：聯系方式、家庭狀況、收入來源、工作狀況、消費習慣等等。一旦這些信息被盜，你可否有種被人剝去外衣的不安全感？更何況，接下來的情況可能更糟，黑客們會通過各種手段利用這些信息來進行犯罪：盜取信用卡、盜用身份、詐騙身邊的朋友、公司或合作伙伴……因此，信息安全并不只是一個遙遠的概念，它與我們每個人都息息相關。

有關“巴拿馬文件”中數據外泄的始末，當事人并未透露一二，我們因此也無從知曉。我們所能預見并擔憂的是，“巴拿馬文件”或許在下一秒就會降臨到中港企業身上。到那時，企業該如何應對？企業的IT部門與信息安全團隊要怎樣才可偵查出數據外泄的端倪？如何才能采取有效手段避免客戶信息被盜取？

圍繞上述的疑問，我們嘗試利用一些“巴拿馬文件”中有限的公開數據作技術分析和評估，看能否找出數據外泄的原因。根據我們的調查，莫薩克·馮賽卡律師事務所與客戶之間的日常往來是通過設置電子商務平臺來實現支付、信息傳遞、信息查詢和在線申請等服務的。而此電子商務平臺所連接的內部數據庫就是該律所的核心數據庫，即“所有”客戶的關鍵數據，包括客戶機密或非機密數據。下圖是莫薩克·馮賽卡律師事務所網站服務結構示意圖（見圖1）。

我們從此網站服務結構入手進行分析， 認為黑客有可能利用以下方法竊取數據：

1.通過客戶不經意的行為連接到惡意網站（比如當客戶點擊不明來歷的電子郵件中的網址）。

黑客安裝惡意軟件（malware）至客戶端后，透過“Man-In-the middle”黑客技術，最后利用客戶端竊取大量客戶數據。

2.透過詐騙電子郵件，偽裝成電子商務平臺的客服人員向客戶發送電子郵件。

當客戶打開電子郵件附件， 黑客利用軟件漏洞植入惡意軟件于客戶的手機或計算機， 最后獲得該客戶ID和密碼，直接登錄網站。如果所獲取的ID和密碼并不是普通用戶，而是所謂“超級用戶”，黑客就幾乎可以下載所有客戶的數據。

3.通過已掌握的系統基本信息（如系統軟件的版本等等）或使用系統漏洞測試工具。

黑客可以測試并找出網站或系統漏洞（譬如Zero-Day），然后利用漏洞直接從數據庫（Database）竊取數據。

在我們看來，即使目前全球對于“巴拿馬文件”一類的事件尚未有顯著的解決之道，但對于企業的信息科技安全風險還是能夠通過技術手段，在一定成本的前提下減小到最低。當今科技日新月異，市場環境瞬息萬變，企業的信息安全無時無刻不在受到攻擊和威脅。想要加以有效的應對，我們必須明白一個道理，那就是企業的信息安全風險如果僅僅依賴于IT和信息安全團隊的一己之力是獨木難支的，它需要來自整個企業自上而下的統一“基調”和行動力，包括投放更多的人力和物力；高度重視企業現有IT和信息安全功能；提升基礎設施的建設和經營模式的控制等等。如此，企業才可以通過種種途徑，減少信息安全對公司聲譽帶來的潛在風險。

（作者為甫瀚咨詢公司董事總經理）