2016年數據泄露大趨勢

Amy+Bennett

2016年被標記為大規模數據泄露的年份，趨勢報告發現略讀欺騙和網絡釣魚在這一年興風作浪。

編譯 charles

12月份報道了突發新聞雅虎大規模的數據泄露，此時，大家都在問“又是這樣？他們不是報告過一次泄露了嗎？”事實上，該公司在三個月前報告了創紀錄的5億用戶賬戶的泄露，但是與12月份的泄露事件相比相形見絀，后者影響了10億多的賬戶記錄。

這種破紀錄的泄露事件以一種適當的方式，讓這一年被標記為大規模數據泄露年份。作為安全智能提供商，Risk Based Security（RBS）在其最新發布的2016年數據泄露趨勢報告中指出，“2016年的六次泄露事件已經在‘歷史最大泄露十大排行榜中占有一席之地。”

毫不奇怪的是，經過多次評測，在2016年的數據泄露趨勢報告中，被泄露的記錄數量呈爆炸性增長，從2015年的8.22億到2016年超過42億——“比2013年以前的歷史最大泄露記錄數量多出32億。”

雖然2016年被泄露的記錄數量遠遠高于前一年，但RBS報告發現，事件總數從2015年的4，326起下降到2016年的4，149起。Risk Based Security公司執行副總裁Inga Goddijn對一種指標下降而另一種增長的情況提出了幾個解釋。

一個解釋是攻擊者的攻擊更有針對性。Goddijn說：“使用相當簡單的方法，例如針對W2數據的網絡釣魚攻擊波，我們也發現了許多成功的有針對性的攻擊。網絡釣魚并不是什么新東西，但騙子們改進了他們的方法，而且相當的成功，在工作繁忙的稅收數據準備季節，針對人力資源人員進行攻擊。超過100家公司及其員工成為這類騙局的受害者，導致數據被用于假退稅方案。”

而另一個解釋是，逐年進行計數原本就不容易，不好進行分類。Goddijn說：“今年，有幾起數據竊取是發生在前幾年的，但只是今年才暴露出來。雅虎的兩個事件就是很好的例子。影響了5億條記錄的第一次泄露，起源于至少早在2014年發生的入侵。損害了10億多記錄的第二個事件，據信是由于2013年或者可能更早的入侵所導致的。這類事件讓我們警醒的是，它們在早期沒有被檢測到。事實上，如果第一次事件沒有觸發更深入的調查，雅虎第二次更大的泄露事件可能根本不會被發現。”

網絡釣魚和略讀欺騙越來越多；黑客攻擊仍然最多

在其2015年的報告中，RBS發現黑客攻擊是迄今為止最嚴重的泄露類型，導致了2，540起事件。2016年黑客攻擊事件最多達到了2，213次，在數量上讓步于一些其他類型的泄露事件。

例如，2015年僅在36次事件中出現的網絡釣魚（甚至未排名前10），是2015年 第三類常見的泄露，有203起事件。

Goddijn說：“我們今年的一個主要發現是，如果你去主動尋找漏洞，你很可能會找到它”。

Goddijn說，略讀欺騙是一個很好的例子。RBS的2015年報告指出，氣泵的略讀欺騙攻擊越來越多，影響了能源部門。那一年，略讀欺騙是第二類最常見的泄露，270起事件中出現了這類攻擊。在2016年，略讀欺騙再次成為第二類最常見的泄露，事件增加到482起。

Goddijn說：“幾個州發起了對略讀欺騙活動的調查，派遣調查員到現場檢查氣泵。這對于我們今年發現越來越多的略讀欺騙事件發揮了作用。對氣泵的詳細檢查導致發現了更多的略讀欺騙裝置。顯然，略讀欺騙事件造成的影響與大型網絡入侵事件的影響不可同日而語，但它確實說明了一點——任何擁有有價值數據的企業都可能成為被攻擊的目標。

再次泄露

在2016年，123家公司報告了多起數據泄露事件，其中包括雅虎和Mossack Fonseca。

雖然RBS指出，“總是很難得出明確的結論，為什么一些公司會經歷多起數據丟失事件”，其實是有很多因素在起作用。

RBS在其2015年報告中指出的一個因素是“這些公司似乎沒有從錯誤中吸取教訓”。那一年，有37個政府機構遭受了多起事件。

但是，正如Goddijn指出的，在2016年，也不缺乏這類事件，原因就是某些公司是很容易被攻擊的目標。配置錯誤的數據庫是最好的一個例子。這是一個公認的事實，使用Shodan等搜索引擎，如果沒有上千個也至少能找到數百個開放的、無安全措施的數據庫。把數據虛擬“前門”打開肯定會使其成為容易被攻擊的目標。這就是說，把經歷多次泄露的公司歸結為“簡單目標”是不公平的。一些公司僅因為他們是誰，或者他們擁有的數據而面臨更多的攻擊。當你面對持續的、無情的攻擊時，遲早會有一個或者多個成功的。

（作者Amy Bennett是CIO.com和CSOonline.com的特別項目總編輯。）

原文網址：

http：//www.csoonline.com/article/3161494/data-breach/top-data-breach-trends-in-2016-phishing-skimming-rise-hacking-holds-ground.html