盤點(diǎn)2017年十大數(shù)據(jù)泄露事件

數(shù)據(jù)泄露已經(jīng)成為全球最常見的網(wǎng)絡(luò)安全事件之一，而且已經(jīng)有愈演愈烈的趨勢。事實上，在2017年上半年，全球就有19億條記錄被泄或被盜，比去年全年總量（14億）還多。為了展示數(shù)據(jù)泄露威脅的嚴(yán)峻性，亞信安全盤點(diǎn)了2017年全球最值得關(guān)注的10起數(shù)據(jù)外泄事件，這些事件不僅給企業(yè)帶來數(shù)據(jù)資產(chǎn)的嚴(yán)重?fù)p失，還帶來了巨大的社會影響。在數(shù)據(jù)泄露威脅持續(xù)增長的背景下，亞信安全建議企業(yè)部署更有效的安全防護(hù)方案，在技術(shù)與人這兩個方面同時搭建穩(wěn)固的防線。

盤點(diǎn)：2017年值得關(guān)注的十大數(shù)據(jù)泄露事件

一、D＆B高達(dá)52GB的數(shù)據(jù)流露到地下黑色市場

數(shù)據(jù)服務(wù)公司Dun ＆Bradstreet（D＆B）于3月份泄露了一個數(shù)據(jù)量高達(dá)52GB的數(shù)據(jù)庫，據(jù)推測有大約3370萬個電子郵件地址和聯(lián)系信息被泄露。該數(shù)據(jù)庫包含姓名、職位、工作職能、工作電子郵件地址和電話號碼，以及一般的公司信息。據(jù)稱，這些泄露的數(shù)據(jù)已經(jīng)在黑色市場中被出售給大量的公司，帶來深遠(yuǎn)的影響。

二、美國求職網(wǎng)站AJL泄露480萬筆求職者信息

2017年3月，美國求職網(wǎng)站America’s Joblink（AJL）爆發(fā)了一起重大數(shù)據(jù)泄露事件，影響到美國十個州的眾多求職者。在本起事件中，一名黑客利用AJL應(yīng)用程序的一個漏洞竊取了480萬筆求職者的數(shù)據(jù)，暴露的數(shù)據(jù)包括求職者姓名、生日和身份識別號碼。

三、2億美國人的投票數(shù)據(jù)被暴露

2017年6月，美國共和黨全國委員會承包商——營銷公司Deep Root AnalyTIcs托管在AWS S3上的數(shù)據(jù)庫泄露，暴露了超過1．98億美國公民1．1 TB的資料，約占投票人口的61％，泄露的數(shù)據(jù)包含美國選民的個人信息，如姓名、出生日期、家庭住址、電話號碼和選民登記細(xì)節(jié)。

四、1400萬Verizon客戶個人信息泄露

2017年7月，美國電信公司Verizon因為錯誤設(shè)定云服務(wù)器的安全設(shè)置，造成超過1400萬Verizon客戶個人信息外泄到網(wǎng)絡(luò)上，這些數(shù)據(jù)包含用戶的姓名、電話號碼以及可能被用于訪問其Verizon賬戶的PIN碼。

五、黑客竊取Equifax客戶數(shù)百萬筆信用卡和駕照號碼

2017年9月，Equifax稱客戶的敏感信息被竊，包含了數(shù)百萬筆的信用卡和駕照號碼。這些事件最早是在7月發(fā)現(xiàn)的，美國網(wǎng)絡(luò)應(yīng)用一個漏洞導(dǎo)致黑客被允許訪問某些特定文件，從而導(dǎo)致1．43億信用和信息服務(wù)客戶受到影響。

六、雅虎30億帳號或已全部泄露

2017年10月，雅虎發(fā)布公告稱，在2013年的數(shù)據(jù)泄露事件中，有大概30億筆帳號（包含當(dāng)時雅虎所有的用戶）泄露，而不是之前所估計的10億筆，數(shù)據(jù)泄露的影響范圍遠(yuǎn)超過此前的估計。

七、Uber隱瞞5700萬賬戶泄露事件

2017年11月，Uber主動公開了去年發(fā)生了一起嚴(yán)重的數(shù)據(jù)泄露事件，據(jù)悉，黑客通過外部代碼托管網(wǎng)站GitHub獲得了Uber在AWS上的賬號和密碼，從而盜取了5700萬乘客的姓名、電子郵件和電話號碼，以及約60萬名美國司機(jī)的姓名和駕照號碼。為了隱瞞此事件，Uber曾向黑客支付10萬美元封口費(fèi)。

八、趣店數(shù)百萬學(xué)生數(shù)據(jù)或遭泄露

2017年11月，媒體發(fā)布消息稱，趣店百萬學(xué)生的數(shù)據(jù)疑似外泄，泄露的數(shù)據(jù)出包括借款金額、滯納金等金融數(shù)據(jù)外，甚至還包括學(xué)生父母電話、男女朋友電話、學(xué)信網(wǎng)賬號密碼等隱私信息。據(jù)稱，此次數(shù)據(jù)泄露事件有可能是內(nèi)鬼所為，內(nèi)部人員主動泄露這些數(shù)據(jù)以進(jìn)行報復(fù)。

九、14億賬號密碼數(shù)據(jù)庫在reddit論壇被公開

2017年12月，安全人員檢測到國外reddit論壇上公開了一份長期在暗網(wǎng)中心交易的數(shù)據(jù)文件，這些數(shù)據(jù)包含了14億用戶的用戶名和密碼，可能是迄今為止數(shù)據(jù)泄露規(guī)模最大的一次。這些泄露的用戶名和密碼可能導(dǎo)致用戶的賬號被竊取，賬號內(nèi)的個人信息與資產(chǎn)也受到威脅。

十、支付公司TIO Networks 160萬筆客戶賬號受影響

在收購支付公司TIO Networks幾個月后，PayPal發(fā)現(xiàn)TIO網(wǎng)絡(luò)出現(xiàn)未經(jīng)授權(quán)存取數(shù)據(jù)的行為，可能讓客戶面臨信息被竊的風(fēng)險，因此宣布暫停營運(yùn)。這一數(shù)據(jù)泄露事件影響了約160萬筆客戶帳號。

數(shù)據(jù)泄露呈現(xiàn)新態(tài)勢，云端數(shù)據(jù)面臨嚴(yán)重威脅

通過對2017年數(shù)據(jù)泄露事件的分析，亞信安全發(fā)現(xiàn)，導(dǎo)致數(shù)據(jù)泄露的傳統(tǒng)因素依然大面積存在，這包括：沒有對數(shù)據(jù)存儲的安全性進(jìn)行充分關(guān)注，錯誤的安全設(shè)定，缺乏實際保護(hù)數(shù)據(jù)的安全解決方案，以及使用存在未修補(bǔ)漏洞的軟件。其中任何一個環(huán)節(jié)出現(xiàn)問題，都有可能導(dǎo)致企業(yè)珍貴的數(shù)據(jù)資產(chǎn)泄露。

亞信安全技術(shù)總經(jīng)理蔡昇欽表示：“大量的數(shù)據(jù)泄露事件并不是單純的由安全漏洞等技術(shù)問題所引發(fā)，或是純粹的人為錯誤。在很多情況下，數(shù)據(jù)外泄的原因同時涵蓋了技術(shù)疏漏與人為錯誤。因此，在防范數(shù)據(jù)外泄，需要在企業(yè)內(nèi)部開展嚴(yán)格的安全培訓(xùn)，并盡量封鎖所有可能產(chǎn)生的安全漏洞。”

另外，2017年數(shù)據(jù)泄露事件呈現(xiàn)出來的一個突出特征是云端數(shù)據(jù)威脅的擴(kuò)張。隨著云計算商業(yè)模式的成熟，越來越多的企業(yè)將業(yè)務(wù)遷移到云環(huán)境，云數(shù)據(jù)庫也日益普及，這些都對數(shù)據(jù)庫安全環(huán)境產(chǎn)生了重大影響。一旦云平臺出現(xiàn)安全漏洞，或是在遷移過程中沒有充分考慮到安全因素，都有可能導(dǎo)致企業(yè)數(shù)據(jù)成為黑客攻擊的目標(biāo)。

在2017年，商業(yè)流程入侵（Business Process Compromise）對于企業(yè)數(shù)據(jù)的威脅也有增大的趨勢。黑客會直接到地下黑色市場上購買或收集對外公開的數(shù)據(jù)庫，然后再自行篩選出有價值的數(shù)據(jù)（如帳號密碼或身份識別信息）。有了登錄的賬號密碼，黑客就能在網(wǎng)絡(luò)內(nèi)橫向移動，進(jìn)而竊取更多數(shù)據(jù)，或者將數(shù)據(jù)加密以進(jìn)行勒索，甚至是進(jìn)入企業(yè)基礎(chǔ)架構(gòu)系統(tǒng)中植入惡意程序。

打造數(shù)據(jù)安全保護(hù)最佳實踐，未來任重道遠(yuǎn)

針對愈發(fā)迫切的數(shù)據(jù)泄露威脅，亞信安全建議企業(yè)在數(shù)據(jù)保護(hù)的各個環(huán)節(jié)都建立有效的防御能力。企業(yè)應(yīng)該進(jìn)行統(tǒng)一的數(shù)據(jù)安全管理，使數(shù)據(jù)安全策略應(yīng)用和流程策略可以跨越多個數(shù)據(jù)存儲庫，提供對敏感數(shù)據(jù)的可見性，對于可疑事件進(jìn)行警報和報告，并執(zhí)行更加嚴(yán)密的數(shù)據(jù)加密與數(shù)據(jù)脫敏策略。

亞信安全通用安全產(chǎn)品總經(jīng)理童寧表示：“針對云端的數(shù)據(jù)安全威脅，企業(yè)最好打造能夠支持安全策略自適應(yīng)、工作環(huán)境自動感知、實現(xiàn)虛擬化優(yōu)化和軟件定義云架構(gòu)對接的跨越云數(shù)據(jù)中心的統(tǒng)一管理平臺，在數(shù)據(jù)中心和云端實現(xiàn)一致的安全性，簡化云安全的部署和配置，對云環(huán)境實現(xiàn)彈性、動態(tài)的自動化防護(hù)。”

為幫助企業(yè)保護(hù)寶貴的數(shù)據(jù)資產(chǎn)，亞信安全提供了以下最佳安全實踐建議，這包括：

定期修補(bǔ)和更新系統(tǒng)；

對安全防御計劃進(jìn)行調(diào)整，以更好的識別系統(tǒng)的脆弱環(huán)節(jié)；

制定處理數(shù)據(jù)泄露事件的應(yīng)變計劃，包含如何與受影響者溝通；

部署網(wǎng)絡(luò)安全解決方案，如亞信安全服務(wù)器深度安全防護(hù)系統(tǒng)Deep Security，Deep Security可以讓安全策略自由的從內(nèi)部私有云和公有云平臺之間移動，使管理員將能夠快速且高水平的自動追蹤資源，并使其保持最新的安全狀態(tài)。此外，亞信安全深度威脅發(fā)現(xiàn)設(shè)備TDA可以對企業(yè)網(wǎng)絡(luò)安全環(huán)境進(jìn)行智能分析，對于現(xiàn)有的防毒架構(gòu)提升更高層次的管理指標(biāo)，還可以通過威脅管理服務(wù)功能管理TDA 所分析的結(jié)果，實時、有效地掌握企業(yè)網(wǎng)絡(luò)安全狀態(tài)。