建站
咨詢
售后
建站咨詢
新聞中心
安全從業(yè)者從專業(yè)角度出發(fā)票選出14起最嚴重數據安全事件。
目前創(chuàng)新互聯已為1000多家的企業(yè)提供了網站建設、域名、虛擬主機、網站托管、服務器租用、企業(yè)網站設計、吉利網站維護等服務，公司將堅持客戶導向、應用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協力一起成長，共同發(fā)展。
數據安全事故每天都在上演，統(tǒng)計數據分分秒秒在增加記錄條目。但是，重大數據泄露和小型數據安全事故之間的差別在哪里呢?請看下列本世紀最重大數據泄露清單，你會發(fā)現其中關鍵。
該清單未必基于被泄記錄數量，而是根據數據泄露事件對公司、保險公司、用戶或賬戶持有者造成的破壞或風險定出的。某些案例中，口令和其他信息收到加密措施良好保護，因而口令重置就消弭了大部分風險。
1. 雅虎
時間：2013-2014
影響：15億用戶賬戶
2016年9月，在與威瑞森談判收購事宜期間，該曾經的互聯網巨頭宣稱，在2014年時成為了史上最大數據泄露事件受害者，泄露事件有可能是國家支持黑客所為。該攻擊染指了5億用戶的真實姓名、電郵地址、生日和電話號碼等信息。雅虎稱，絕大部分涉事口令都經強壯的bcrypt算法進行了散列加密。
幾個月后，該年12月，隨著2013年另一黑客組織盜走10億賬戶的事件被披露，早前的記錄被刷新。除了姓名、生日、郵箱地址和口令并未像2014年被盜賬戶一樣保護良好，這次事件中，安全問題和答案也沒能保住。
該泄露事件直接造成雅虎拋售價格縮水3.5億美元的估值，最終以44.8億美元被威瑞森收購了其核心互聯網業(yè)務。收購協議要求兩家公司共同承擔數據泄露事件的監(jiān)管和法律責任。收購案并未包含阿里巴巴集團控股的413億美元投資和雅虎日本的93億美元所有者權益。
雅虎成立于1994年，曾被估值1000億美元。收購案后，該公司更名為Altaba。
2. Adult Friend Finder
時間：2016年10月
影響：超4.122億賬戶
FriendFinder Network 包含約炮和成人內容網站，比如 Adult Friend Finder、Penthouse.com、Cams.com、iCams.com和Stripshow.com，約在2016年10月中旬被黑。黑客從6個數據庫中收集到了20年的數據，包含姓名、郵箱地址和口令。
大多數口令僅用SHA-1散列算法加密，意味著99%的口令，在11月14號LeakedSource.com公布了對整個數據集的分析后，都被破解了。
推特賬號1x0123，其他圈子昵稱Revolver(左輪手槍)的研究人員，貼出了取自 Adult Friend Finder 的截屏，顯示本地文件包含漏洞(LFI)被觸發(fā)。該漏洞是在 Adult Friend Finder 所用產品服務器的一個模塊中被發(fā)現的。
AFF副總裁發(fā)表了聲明，稱：“我們確實發(fā)現也修復了通過注入漏洞訪問源代碼的相關功能。”
3. eBay
時間：2014年5月
影響：1.45億用戶
該在線拍賣巨頭報告稱，2014年5月的一場網絡攻擊，致使其全部1.45億用戶的姓名、地址、生日和加密口令被曝光。該公司稱，黑客利用3名公司雇員的憑證侵入公司網絡，在駐留公司網絡內部的229天時間里，獲取到了該用戶數據庫。
該公司請求客戶修改口令，但表示，金融信息，比如信用卡號，是被單獨存儲的，且并未被黑。當時，該公司被批缺乏與其用戶的溝通，口令更新過程也很糟糕。
CEO約翰·多納休稱，該數據泄露事件導致了用戶活動減少，但基本沒有影響其基線——第二季度盈利增長13%，收益增長6%，與分析師與其相符合。
4. 哈特蘭支付系統(tǒng)公司
時間：2008年3月
影響：哈特蘭的數據被黑客經由SQL注入方法安裝了間諜軟件，導致1.34億信用卡信息被曝光。
事發(fā)當時，哈特蘭每月要負責處理17.5萬商戶的1億支付卡交易——多為中小型零售商戶。直到2009年1月，Visa和MasterCard通報哈特蘭其處理賬戶中有可疑交易，數據泄露才被發(fā)現。
造成后果包括哈特蘭被判違反支付卡行業(yè)數據安全標準( PCI DSS )，2009年5月前不準處理主流信用卡供應商的支付。該公司賠付了約1.45億欺詐支付補償金。
聯邦大陪審團在2009年起訴艾爾伯特·岡薩雷斯和2名俄羅斯共犯。岡薩雷斯是古巴裔美國人，被控策劃了這起盜取信用卡借記卡的跨國犯罪活動。2010年他被判在聯邦監(jiān)獄服刑20年。SQL注入漏洞廣為人知，安全分析師數年前就早已警告過零售商。然而，很多面向Web的應用中該漏洞一直持續(xù)，讓SQL注入成為了當時最常見的網站攻擊形式。
5. 塔吉特百貨
時間：2013年12月
影響：1.1億人的信用卡信息和聯系人信息
該數據泄露實際上從感恩節(jié)就開始了，但直到數周后才被發(fā)現。零售巨頭塔吉特最初宣稱，黑客通過第三方暖通空調供應商訪問到其銷售終端(POS)支付卡讀取器，收集了約4000萬信用卡和借記卡號。
然而，2014年1月，該公司提升了估計數字，報告稱有7000萬客戶的個人可識別信息(PII)被泄。其中包括有全名、地址、郵箱和電話號碼。最終估測是，該數據泄露影響到1.1億客戶。
塔吉特CIO于2014年3月辭職，CEO在5月辭職。該公司最近估測，該起數據泄露造成的損失高達1.62億美元。
該公司被認為做出了重大安全改進。但是，前趨勢科技CSO，現 Strategic Cyber Ventures CEO 湯姆·凱勒曼，將一項于2017年5月宣布的和解協議(給了塔吉特180天做出具體安全整改)，描述為“象征性的懲罰”，“代表著過時的安全模式?！薄驗檎囊蠹性谧柚构粽撸皇歉倪M事件響應上。
6. TJX公司
時間：2006年12月
影響：9400萬信用卡暴露
事發(fā)原因眾說紛紜。一個猜測是，某黑客組織利用了脆弱數據加密系統(tǒng)，從邁阿密兩家Marshall商店的無線傳輸中盜取了信用卡數據。另一種說法是，黑客通過店內可電子化申請崗位的查詢機攻入TJX網絡。
艾爾伯特·岡薩雷斯，哈特蘭數據泄露事件中的傳奇黑客頭子，因帶領小弟盜取信用卡而被判入獄20年，另有11名共犯被逮捕。岡薩雷斯曾是hi美國特勤局的線人，犯罪時工資標準是7.5萬美元。政府在其判決備忘中宣稱，涉事公司、銀行和保險商損失了近2億美元。
7. 摩根大通銀行
時間：2014年7月
影響：7600萬家庭和700萬小企業(yè)
2014年夏天，該美國最大銀行，淪為了侵害美國半數家庭和700萬小企業(yè)的數據泄露案受害者。據美國證券交易委員會文件透露，被泄數據包括聯系人信息——姓名、地址、電話號碼和郵箱地址，以及用戶的內部信息。
該銀行稱，客戶資金并未被盜，沒有證據顯示這些受影響客戶的賬戶信息——賬戶號、口令、用戶ID、生日或社會安全號，在攻擊中被泄露。
而且，黑客據稱有能力在該銀行90多臺服務器上獲取到“root”權限，意味著他們可以進行包括轉賬和注銷賬戶在內的各種行動。SANS研究所稱，摩根大通每年的安全開支有2.5億美元。
2015年11月，聯邦政府起訴了4名男子，罪名是摩根大通黑客案和其他金融機構黑客行為。格里·沙龍、約書亞·薩繆爾·艾倫和齊夫·奧蘭斯坦面臨23項指控，包括未授權計算機訪問、身份盜竊、證券欺詐和洗錢等為他們賺取了1億美元的犯罪活動。幫助這3人突破金融機構網絡的第4名黑客至今未被發(fā)現。
沙龍和奧蘭斯坦都是以色列人，在2016年6月拒不認罪。艾倫在去年12月于紐約肯尼迪機場被抓。
8. 美國人事管理局(OPM)
時間：2012-2014
影響：2200萬在職和退休聯邦雇員個人信息
黑客據稱來自中國，自2012年起就進駐了OPM的電腦系統(tǒng)，但直到2014年3月20日才被檢測出來。另一黑客或黑客組織，在2014年5月通過第三方承包商進入OPM，但直到近1年后才被發(fā)現。入侵者滲漏了大量個人數據，包括很多詳細的安全調查信息和指紋數據。
去年，前FBI局長詹姆斯·科米談及所謂SF-86表里所含信息——該表用于執(zhí)行雇員安全調查的背景審查。他說：“我的SF-86表列出了我自18歲起生活過的每一處地方，我的每次海外旅行，我全部的家人及其住址。所以，不僅僅是我個人的身份受影響。我有兄弟姐妹，我有5個孩子。他們的信息都在上面?！?/p>
眾議院監(jiān)督與政府改革委員會在去年秋天發(fā)布了一份報告，報告標題即總結了OPM數據泄露案：《OPM數據泄露：政府是怎么危及我們的國家安全超過一代人以上的》。
9. 索尼 PlayStation Network
時間：2011年4月20日
影響：7700萬 PlayStation Network 賬戶被黑;網站下線1個月，估算損失1.71億美元。
被視為有史以來最糟糕的游戲社區(qū)數據泄露事件。超7700萬受影響賬戶中，1200萬個賬戶的信用卡被破解。黑客得到了賬戶全名、口令、郵箱、家庭地址、購買歷史、信用卡號和PSN/Qriocity登錄憑證。這足以讓每一個優(yōu)秀安全人員驚異：“假若索尼的情況就是這么糟糕，那其他坐擁上千萬用戶數據記錄的跨國公司情況又怎樣呢?”應提醒IT安全從業(yè)者，要在整個公司里持續(xù)發(fā)現并應用安全控制。對客戶而言，則要注意自己交出數據的對象。訪問在線游戲或其他虛擬資產或許不值這個價碼。
2014年，在關于該數據泄露的一場集體訴訟中，索尼同意支付1500萬美元的和解金。
10. Anthem
時間：2015年2月
影響：7880萬客戶和前客戶個人信息被盜
Anthem是美國第二大醫(yī)療保險公司，舊稱WellPoint。網絡攻擊中，該公司當前客戶和前客戶的姓名、地址、社會安全號、生日和雇傭歷史被曝，客戶身份岌岌可危。
《財富》雜志在1月份報道，全國調查結論顯示，某外國政府可能招募黑客執(zhí)行了這一起醫(yī)療行業(yè)歷史上最大型的數據泄露案。據稱，數據泄露在事發(fā)前1年就已開始，起因是Anthem子公司里某用戶點擊了網絡釣魚郵件中的一個鏈接。該數據泄露的總損失尚無法估量，但應該不會少于1億美元。
2016年，Anthem稱，沒有證據表明客戶數據被出售、共享或用于欺詐。據說，信用卡和醫(yī)療信息也沒有被拿走。
11. RSA Security
時間：2011年3月
影響：可能有4000萬雇員記錄被盜
該安全巨頭SecurID身份驗證令牌信息被盜的影響尚在討論之中。作為易安信旗下安全部門，RSA稱，兩個獨立的黑客團伙與某外國政府協作，發(fā)起了針對RSA雇員的網絡釣魚攻擊，假冒該公司雇員信任的人，滲透進公司網絡。
去年7月，易安信報告稱其在修復上至少花費了6600萬美元。RSA高管透露，客戶的網絡沒有遭到入侵。但eIQnetworks的副總裁兼首席安全合規(guī)官并不買賬，稱：“RSA最開始模糊攻擊方法和被盜數據的做法于事無補。后續(xù)對洛克希德馬丁、L3和其他公司的攻擊只不過是時間早晚問題，而這些攻擊據說都或多或少受到RSA數據泄露的影響。除此之外還有心理上的損害。甚至RSA這種久負盛名的安全公司，竟然都會被黑，信心打擊太嚴重。
珍妮弗·巴尤，獨立信息安全顧問間美國史蒂文斯理工學院教授，在2012年就曾公開表示，“該數據泄露是對安全產品行業(yè)的重大打擊，因為RSA簡直就是安全行業(yè)的標桿。他們是典型的安全廠商。這樣的廠商竟然也是脆弱點，可謂石破天驚。我不覺得有人會對此無所謂。”
12. VeriSign
時間：貫穿2010年
影響：未披露信息被盜
安全專家一致認為，VeriSign數據泄露事件中最麻煩的事，不是黑客得到了特權系統(tǒng)和信息的訪問權，而是該公司處理事件的方式——很糟糕。VeriSign從未公布過受到的攻擊。這些安全事件直到2011年才曝光，而且僅是通過一份美國證券交易委員會(SEC)強制的文件歸檔。
VeriSign在SEC季報中掩埋了信息，弄得好像是普通的趣聞似的。
VeriSign稱沒有關鍵系統(tǒng)被攻破，比如DNS服務器或證書服務器，但確實提到：“我們的一小部分計算機和服務器上的信息受到了訪問?！痹摴局两駴]報告是哪些信息被盜，又會對該公司及其客戶造成什么影響。
13. 家得寶
時間：2014年9月
影響：5600萬可信用卡/借記卡信息被盜
該硬件與建筑用品零售商在9月宣布了已懷疑數周的事件——起始于4月或5月，其POS系統(tǒng)遭惡意軟件感染。該公司之后稱，調查結果顯示，有一獨特的定制惡意軟件偽裝成反病毒軟件安裝到其POS系統(tǒng)中。
2016年3月，該公司同意支付至少1950萬美元補償美國客戶，其中有1300萬美元基金用于補償顧客的資費損失，650萬美元投入一年半的持卡人身份防護服務。
和解覆蓋了約4000萬支付卡數據被盜的受害者，以及5200萬郵箱地址被盜的人。這兩種分類有部分重疊。該公司估算，此次數據泄露的稅前開銷約為1.61億美元，包括消費者和解和預期的保險賠償金。
14. Adobe
時間：2013年10月
影響：3800萬用戶記錄
最早在10月初被安全博主布萊恩·克雷布斯報道，花了數周時間查清泄露范圍和內容。該公司最初報告稱，黑客盜取了近300萬加密客戶信用卡記錄，以及數量未知的用戶賬戶登錄數據。
10月末，Adobe稱，攻擊者獲取了3800萬“活躍用戶”的ID和加密口令。但克雷布斯報道稱，就在數天前有份文件被貼到了網上，似乎包含了超過1.5億取自Adobe的用戶名和散列加密口令對。數周的研究過后，最終結論是，除了幾個Adobe產品的源代碼，該次攻擊還暴露了客戶姓名、ID、口令和借記卡/信用卡信息。
2015年8月，Adobe被要求支付110萬美元的訴訟費和未公開數目的用戶賠款，以平息違反《客戶記錄法案》和不正當商業(yè)行為的指控。2016年11月，支付給客戶的賠償金據稱有100萬美元。
【本文是專欄作者“”李少鵬“”的原創(chuàng)文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
戳這里，看該作者更多好文
文章標題：二十一世紀14大數據泄露事件
文章出自：http://www.fisionsoft.com.cn/article/djodhid.html
