威脅就在身邊 10起備受關(guān)注的數(shù)據(jù)泄露事件

■郝蕾

如今，這個(gè)表面看似風(fēng)平浪靜的網(wǎng)絡(luò)世界，實(shí)際上并不太平。在眾多安全威脅中，數(shù)據(jù)泄露已成為全球范圍高發(fā)的安全事件之一，且這個(gè)趨勢(shì)仍在持續(xù)。僅2017年上半年，就有大量數(shù)據(jù)因直接或間接原因，遭到泄露，其總數(shù)多達(dá)19億條，超過(guò)了2016年全年數(shù)據(jù)泄露的總和（13.7億），且都是由于相同或相似的原因造成。

例如數(shù)據(jù)存儲(chǔ)的安全問(wèn)題，配置錯(cuò)誤導(dǎo)致，缺少實(shí)際的安全解決方案保護(hù)數(shù)據(jù)，或是使用未經(jīng)修補(bǔ)和不再受支持的軟件（且存有可利用的漏洞）。

為了引以為戒，這里我們按嚴(yán)重等級(jí)以及波及范圍為大家選取了10個(gè)數(shù)據(jù)泄露事件，為大家進(jìn)行播報(bào)，我們想說(shuō)的是，發(fā)生在別人身上的都是故事，發(fā)生在自己身上的才是悲劇。如今，網(wǎng)絡(luò)攻擊不再是小打小鬧，它所產(chǎn)生的影響（錢(qián)財(cái)和名譽(yù)）可能讓一家企業(yè)從此走向衰敗。所以，不要等自己遭受損失了才去認(rèn)真面對(duì)身邊的網(wǎng)絡(luò)安全問(wèn)題。

1 鄧白氏（Dun&Bradstreet）

2017年3月，世界著名的商業(yè)信息服務(wù)機(jī)構(gòu)鄧白氏經(jīng)歷了一起嚴(yán)重的數(shù)據(jù)泄露事件，一個(gè)大小為52 GB的數(shù)據(jù)庫(kù)意外在線(xiàn)泄露，包括AT&T、沃爾瑪、Wells Fargo、美國(guó)郵政，甚至美國(guó)國(guó)防部等在內(nèi)的3 300多萬(wàn)員工的信息和聯(lián)系方式等。

經(jīng)分析共發(fā)現(xiàn)33 698 126條記錄，包含詳細(xì)的聯(lián)系方式、職位名稱(chēng)、郵箱地址、電話(huà)號(hào)碼以及雇主信息等。

據(jù)了解，鄧白氏的全球商業(yè)數(shù)據(jù)庫(kù)覆蓋了超過(guò)1億條企業(yè)信息，并通過(guò)鄧白氏特有的內(nèi)部流程對(duì)每天收集的原始數(shù)據(jù)進(jìn)行編輯、核實(shí)，以保證數(shù)據(jù)質(zhì)量。可見(jiàn)，目前商業(yè)網(wǎng)站仍是黑客攻擊的主要目標(biāo)之一。

2 America's JobLink（AJL）系統(tǒng)被黑

2017年3月，一名黑客利用美國(guó)Job Link系統(tǒng)中的漏洞劫持了480萬(wàn)個(gè)帳戶(hù)，導(dǎo)致480萬(wàn)名求職者的個(gè)人信息被泄露。

這些信息中包括了姓名、出生日期和社會(huì)保障號(hào)碼，受影響的用戶(hù)覆蓋阿拉巴馬州、阿肯色州、亞利桑那州、特拉華州、愛(ài)達(dá)荷州、伊利諾伊州、堪薩斯州、緬因州、俄克拉荷馬州和佛蒙特州。

據(jù)悉，被攻擊的是位于美國(guó)堪薩斯州的Job Link系統(tǒng)，而美國(guó)有十個(gè)州使用的是Job Link系統(tǒng)，并且都與愛(ài)達(dá)荷州勞工部IDAHOWORKS職位搜索引擎相連。

Job Link發(fā)布警告稱(chēng)“AJL系統(tǒng)受安全事件影響。2月23日至3月14日，未經(jīng)授權(quán)的用戶(hù)可能訪(fǎng)問(wèn)了十大州AJL系統(tǒng)的個(gè)人求職者賬戶(hù)信息，包括姓名、出生日期和社保號(hào)。”目前，導(dǎo)致數(shù)據(jù)泄露的漏洞已被修復(fù)，據(jù)估算約有17萬(wàn)Idaho賬戶(hù)信息被查看。

3 洲際酒店集團(tuán)（IHG）

2017年4月，洲際酒店集團(tuán)（IHG）在其系統(tǒng)中發(fā)現(xiàn)了惡意軟件，該惡意軟件從信用卡磁條中讀取包括信用卡號(hào)碼、有效期、內(nèi)部驗(yàn)證碼，甚至持卡人姓名等記錄數(shù)據(jù)，導(dǎo)致集團(tuán)位于美國(guó)和波多黎各超過(guò)1 000家旗下酒店受到影響。

據(jù)悉，受影響的品牌包括集團(tuán)旗下的假日酒店、皇冠假日酒店、英迪格酒店和伍德套房酒店。

對(duì)此，洲際酒店集團(tuán)表示，經(jīng)調(diào)查證實(shí)“這款?lèi)阂廛浖脑O(shè)計(jì)意圖是從洲際酒店集團(tuán)旗下酒店的前臺(tái)使用過(guò)的信用卡中獲取支付數(shù)據(jù)，時(shí)間是在2016年9月29日至2016年12月29日”，即這段時(shí)間在美國(guó)入住過(guò)受影響酒店的顧客有可能被盜取支付卡信息。

實(shí)際上，偷取支付卡數(shù)據(jù)的網(wǎng)絡(luò)大盜在過(guò)去幾年中不斷地攻擊大型連鎖酒店。許多案件中，網(wǎng)絡(luò)大盜把惡意軟件植入酒店中的餐廳、酒吧等零售終端設(shè)備。

在過(guò)去兩年中，受惡意軟件侵入的零售終端設(shè)備，成為支付卡數(shù)據(jù)泄露的主要源頭。一旦將惡意軟件植入零售終端設(shè)備，黑客就能遠(yuǎn)程獲取任何一張?jiān)谑浙y機(jī)上刷過(guò)的支付卡的數(shù)據(jù)。

4 Deep Root Analytics選民數(shù)據(jù)泄露

2017年6月份，一家名為Deep Root Analytics的數(shù)據(jù)公司發(fā)生了數(shù)據(jù)泄露，此次事件涉及1.98億名美國(guó)選民的敏感信息，包括姓名、出生日期、住址、電話(huà)號(hào)碼以及選民注冊(cè)細(xì)節(jié)信息。

甚至還包括政治團(tuán)體采用的先進(jìn)情緒分析來(lái)預(yù)測(cè)個(gè)人選民如何處理熱門(mén)問(wèn)題，如槍支所有權(quán)，干細(xì)胞研究和墮胎權(quán)，以及宗教信仰和種族，約占投票總?cè)藬?shù)的61%。

此外，有超過(guò)1.1 TB的隱私資料存儲(chǔ)在亞馬遜云服務(wù)器上，而且沒(méi)有設(shè)置任何保護(hù)密碼，任何能夠連接到互聯(lián)網(wǎng)的人都能訪(fǎng)問(wèn)。

只需前往訪(fǎng)問(wèn)“dra-dw”這一六個(gè)字符組成的Amazon子域名，即可獲取這批為特朗普帶來(lái)選舉勝利的重要數(shù)據(jù)集。

根據(jù)對(duì)內(nèi)容進(jìn)行的檢查，“dra-dw”代表著“Deep Root Analytics數(shù)據(jù)庫(kù)”。事后認(rèn)定此次事故源自一套存在配置錯(cuò)誤的數(shù)據(jù)庫(kù)。

5 威爾遜電信（Verizon Communications）

同樣是2017年6月份，美電信巨頭Verizon的600萬(wàn)用戶(hù)數(shù)據(jù)被泄露，但直到7月Verizon才證實(shí)這一消息，并在一份聲明中稱(chēng)數(shù)據(jù)泄漏是由該公司供應(yīng)商的一名員工造成。

因操作失誤導(dǎo)致外部可進(jìn)入云存儲(chǔ)區(qū)域訪(fǎng)問(wèn)信息，而這些數(shù)據(jù)是在沒(méi)有保護(hù)的亞馬遜S3存儲(chǔ)服務(wù)器上泄漏的，這使得任何有公共鏈接到云的人都可以使用這些數(shù)據(jù)。

網(wǎng)絡(luò)安全公司UpGuard的網(wǎng)絡(luò)風(fēng)險(xiǎn)小組根據(jù)下載樣本中美國(guó)電信運(yùn)營(yíng)商Verizon公司的客戶(hù)姓名、地址、帳戶(hù)信息以及帳戶(hù)個(gè)人身份編號(hào)（簡(jiǎn)稱(chēng)PIN）的具體情況進(jìn)行平均值分析。最終驗(yàn)證了是由于一套云文件存儲(chǔ)庫(kù)存在配置錯(cuò)誤，導(dǎo)致目前該公司已經(jīng)有多達(dá)1 400萬(wàn)（Verizon方面表示只有600萬(wàn)客戶(hù)信息遭到曝光）用戶(hù)數(shù)據(jù)遭到外泄。

6 英國(guó)國(guó)家醫(yī)療服務(wù)體系（NHS）被黑

2017年8月份，匿名黑客組織利用微軟操作系統(tǒng)的弱點(diǎn)攻擊了英國(guó)NHS，且病毒散播至英國(guó)全境，導(dǎo)致32 501條行政數(shù)據(jù)以及120萬(wàn)條病歷記錄被竊取。

期初只是電腦被凍結(jié)了，進(jìn)而發(fā)展到擇期手術(shù)被取消，診所工作被重新安排，醫(yī)院各樓層開(kāi)始出現(xiàn)騷動(dòng)，醫(yī)療近乎癱瘓。可以說(shuō)，此次事件對(duì)整個(gè)醫(yī)學(xué)界都敲響了警鐘。

7 美信用機(jī)構(gòu)Equifax遭入侵

2017年9月份，美知名信用機(jī)構(gòu)Equifax宣布，公司從5月中旬到7月份之間曾被黑客攻擊，約有1.43億名的用戶(hù)數(shù)據(jù)遭到泄露，被黑客竊取的信息包括了社保號(hào)碼、生日、地址、信用卡信息等敏感信息。根據(jù)美國(guó)人口普查局的數(shù)據(jù)顯示，美國(guó)人口為3.23億人，也就是說(shuō)近半數(shù)的美國(guó)人可能因?yàn)镋quifax的數(shù)據(jù)泄露而陷入危險(xiǎn)之中。

此次泄露事件，引起了消費(fèi)者利益維護(hù)者和立法者的憤慨，要求公司對(duì)這一事件作出解釋。此前，Equifax曾表示公司相信黑客是通過(guò)Apache Struts的軟件漏洞入侵了系統(tǒng)。在事后的新聞稿中Equifax宣布，Equifax首席信息官Susan Mauldin和首席信息官David Webb“將離開(kāi)”。

該漏洞的補(bǔ)丁是在3月份提供的，而Equifax則表示其在五月份遭遇黑客攻擊，引起批評(píng)者質(zhì)疑Equifax是否及時(shí)修復(fù)軟件漏洞，對(duì)此Equifax尚未做出澄清。

8 雅虎30億個(gè)用戶(hù)隱私泄露

2017年10月，雅虎宣布公司在2013年黑客入侵事件中共有30億名用戶(hù)的賬號(hào)信息被竊取，這一數(shù)字在2016年12月的初步報(bào)告中還只是10億。這將導(dǎo)致相關(guān)訴訟數(shù)量增加，令本就陷入低谷的雅虎處境更困難。此次事件中，遭到泄露的雅虎用戶(hù)賬號(hào)信息包括用戶(hù)姓名、電子郵件地址、電話(huà)號(hào)碼、出生日期、密碼，以及一些安全問(wèn)題和答案。

對(duì)此，雅虎和調(diào)查方曾表示，“得到國(guó)家資助的黑客”發(fā)動(dòng)了這次攻擊，但并未指明具體是哪個(gè)國(guó)家。

其實(shí)，在該起事件中失竊賬戶(hù)數(shù)量的多少不是最重要的，用戶(hù)隱私才是最大的受害方，而雅虎也因賬戶(hù)被盜事件面臨至少41個(gè)聯(lián)邦或地方法庭的訴訟。

9 優(yōu)步：不僅隱瞞還給了封口費(fèi)

2017年11月，優(yōu)步在聲明中承認(rèn)公司于2016年遭到過(guò)黑客攻擊，并導(dǎo)致數(shù)據(jù)大規(guī)模泄露，包括大約5 700萬(wàn)名乘客和司機(jī)的姓名、電子郵箱地址及電話(huà)號(hào)碼。據(jù)悉，黑客是通過(guò)AWS云服務(wù)對(duì)優(yōu)步的服務(wù)器實(shí)施了攻擊。

據(jù)外媒報(bào)道稱(chēng)，優(yōu)步早在2016年12月就意識(shí)到用戶(hù)信息被盜，但是公司并沒(méi)有向監(jiān)管機(jī)構(gòu)報(bào)告也未通知受影響的用戶(hù)，而是試圖向黑客支付10萬(wàn)美元(約合人民幣66萬(wàn))要求其銷(xiāo)毀信息隱瞞此事，最終導(dǎo)致事件走向復(fù)雜化，給公司造成了法律困境。

10 TIO Networks數(shù)據(jù)泄露

可能有人還不知道TIO Networks，它是一家基于云的多渠道支付和會(huì)計(jì)管理提供商，為北美大型電信、無(wú)線(xiàn)網(wǎng)絡(luò)、有線(xiàn)電視以及公共事業(yè)發(fā)行商提供服務(wù)。

為進(jìn)一步擴(kuò)大業(yè)務(wù)范圍，Paypal 2016年7月份以2.33億美元的價(jià)格收購(gòu)了TIO Networks。幾個(gè)月后，PayPal發(fā)現(xiàn)有黑客訪(fǎng)問(wèn)了為160萬(wàn)用戶(hù)存儲(chǔ)信息的服務(wù)器。出于安全考慮，PayPal于11月10日暫停了TIO Networks的所有業(yè)務(wù)并著手調(diào)查泄露事件。PayPal當(dāng)即聲明，由于TIO Networks系統(tǒng)是獨(dú)立運(yùn)行，因此PayPal用戶(hù)賬戶(hù)并未受到影響。

據(jù)悉，TIO Networks公司已公開(kāi)表達(dá)了歉意，并表示會(huì)加強(qiáng)TIO系統(tǒng)安全性、保護(hù)用戶(hù)信息安全。

在事故調(diào)查的同時(shí)，PayPal已經(jīng)與消費(fèi)者信用報(bào)告機(jī)構(gòu)展開(kāi)合作，為客戶(hù)免費(fèi)提供信用監(jiān)測(cè)成員資格。PayPal正在積極聯(lián)系受到數(shù)據(jù)被盜影響的顧客，并指導(dǎo)他們?nèi)绾蔚怯洬@得免費(fèi)信用監(jiān)測(cè)服務(wù)。

受文章篇幅所限，這里我們只列舉了2017年幾個(gè)重大且影響惡劣的數(shù)據(jù)泄露事件，希望能以此為戒。當(dāng)然，從中我們也不難發(fā)現(xiàn)，很多數(shù)據(jù)泄露的成因都敗在了“疏忽”二字上。然而，數(shù)據(jù)泄露這一安全問(wèn)題仍在年年上演，企業(yè)如何加強(qiáng)對(duì)底層數(shù)據(jù)的管理，防止數(shù)據(jù)泄露事件發(fā)生，不讓用戶(hù)隱私成為最大的犧牲品，才是我們迫切需要深思的問(wèn)題。