半年盤點：2017年10大數據泄露事件

至頂網安全頻道 08月02日 編譯：2017年上半年數據泄露持續加速，根據來自Identity Theft Resource Center和CyberScout的報告，數據泄露事件的數量增加了29%達到791個。今年我們不僅看到了一些熟悉的泄露目標，其中就包括信用卡和社會保障號碼，而且還有一些攻擊是針對第三方數據聚合商和可能為第二波攻擊提供信息的公司。本文中，我們列出了一些重大數據泄露事件，在2017年誤配置或者安全性不夠的雲伺服器（甚至都不明確數據是否真的發生了泄露）導致大規模安全事件數量的增加導致。當我們步入2017年下半年的時候，先來看看上半年發生了哪些重大的數據泄露和安全事件。

10、Arby"s

快餐巨頭Arby"s在今年2月宣布早於安全漏洞的打擊，主要是由於安裝在該公司POS系統上的惡意軟體。Arby"s公司表示，該事件影響到全美3300個地點中的大約1000個，主要是公司門店（特許經營點似乎沒有受到影響）。被盜的信息包括從2015年10月26日到2017年1月19日在門店使用的信用卡和借記卡數據。Arby"s公司表示，他們已經從POS系統中刪除了惡意軟體，並聘請了Mandiant等安全專家調查該事件。

9、OneLogin

OneLogin是一家單一登錄、身份和訪問管理公司，該公司在6月宣布發生數據泄露事件。OneLogin表示，有一個黑客獲得了一組AWS密鑰，這些密鑰允許黑客通過AWS API訪問OneLogin公司基礎設施的多個實例。OneLogin表示，他們已經停止資料庫活動和密鑰，建議客戶除了常規的重設密碼之外，還需要採取其他措施，包括生成新的API密鑰、OAuth令牌、安全證書和憑證，並讓最終用戶更新密碼。

8、電子競技娛樂協會（ESEA）

電子競技娛樂協會（ESEA）曾在去年12月宣布被黑客入侵，隨後視頻遊戲玩家的信息在1月泄露。這次黑客攻擊涉及到的資料庫中包括有150萬訂購了這家視頻遊戲公司遊戲的玩家信息，包括註冊日期、地點、最近一次登錄、用戶名、姓名、電子郵件地址、出生日期、郵政編碼、電話號碼、網站鏈接、Steam ID、Xbox ID和PSN ID。據報告，黑客要求至少支付5萬美元的贖金才能對這次攻擊事件保持沉默。該公司拒絕了這些要求。

7、道瓊斯公司

道瓊斯公司在7月表示，在一台AWS S3伺服器上近220萬名訂閱者的記錄被盜取。道瓊斯公司擁有多個知名出版物，包括華爾街日報、巴倫雜誌和道瓊斯新聞等。有安全研究人員表示，泄露的記錄數量可能會多達400萬訂閱者。雖然還不清楚黑客是否已經訪問了這些記錄，但是任何AWS認證用戶已經可以公開查看這些記錄。該資料庫中包含客戶姓名、道瓊斯內部客戶ID、家庭和公司地址、客戶信用卡的後四位數字、電子郵件地址。

6、世界摔跤協會（WWE）

摔跤迷們的個人信息在7月被泄露，因為一個包含有多達300萬用戶信息的資料庫保存在了一個為受保護的AWS S3伺服器上。雖然還沒有明確證據表明黑客已經訪問了這些數據，但這些數據是以明文形式保存的，沒有用戶名或者密碼，任何訪問該站點的人都可以訪問這些數據。可能泄露的數據包括姓名、教育背景、收入、種族、家庭、電子郵件地址以及使用者子女的年齡範圍。安全研究人員還發現了另一個WWE資料庫的安全性堪憂，其中保存在歐洲摔跤迷們的信息，因此WWE就遷移到了這個安全措施不當的AWS S3伺服器上。

5、America"s JobLink

America"s JobLink在3月宣布有大約480萬個帳戶遭遇黑客入侵影響，求職者們的信息發生泄露。該公司表示，黑客獲得了關於用戶的個人信息，包括全名、出生日期和社會保障號碼。受影響的用戶覆蓋阿拉巴馬州、阿肯色州、亞利桑那州、特拉華州、愛達荷州、伊利諾伊州、堪薩斯州、緬因州、俄克拉荷馬州和佛蒙特州。America"s JobLink公司還表示，2016年10月的一次代碼誤配置導致這次泄露事件的發生，該配置錯誤已經得到了修正。

4、堪薩斯州商務部

堪薩斯州商務部的資料庫遭遇黑客入侵，有超過550萬人的個人信息發生泄露。該資料庫被多個網站用來幫助人們求職，其中包含有超過16個州的人員信息。泄露的數據包括社會保障號碼、以及沒有包含在SSN中85萬個額外帳號的個人信息。

3、Verizon

7月份，有報道稱1400萬Verizon客戶的個人數據發生泄露，這個事件讓遷移數據保護措施到雲中的重要性變得更加突顯出來。該事件最早被研究公司UpGuard發現，涉及到技術提供商Nice Systems，讓Verizon客戶數據在AWS S3存儲實例中沒有得到充分的保護。泄露數據涉及姓名、電話號碼和可能用於訪問Verizon帳戶的PIN。報告並沒有提到黑客是否訪問了這些數據，只是說數據曝光，跳轉到未恰當配置的雲驅動器的簡單URL可訪問這些數據。報告稱，受影響的訂閱帳戶佔到了Verizon公司1.08億總訂閱用戶中的大約10%，主要是那些在過去6個月中調用Verizon客戶服務線的訂閱者。

2、鄧白氏（Dun & Bradstreet）

3月，一個商業企業資料庫的泄露事件引發了人們對第三方廠商風險的關注。鄧白氏公司的一個大約52GB的資料庫發生泄露，有將近3370萬獨有電子郵件地址和聯繫信息曝光。該資料庫中還包含姓名、職稱、工作職能、工作電子郵件、手機號以及常見公司信息。該資料庫彙集了公司及其員工的信息，然後大量或者部分售賣給營銷人員或者其他企業用於有針對性的銷售活動。報道指出，這個泄露的資料庫中包含了AT&T、波音、戴爾、聯邦快遞、IBM和施樂等大公司的數萬名員工信息，此外還有各種政府機構僱員的廣泛記錄，其中就有美國國防部的10萬多僱員。

1、美國共和黨全國委員會承包商

6月，安全研究人員發現有將近2億人的投票信息泄露，主要是由於美國共和黨全國委員會的承包商Deep Robot Analytics誤配置資料庫所導致，這些數據保存在了一個可公開訪問的雲伺服器上，託管在AWS S3中。泄露的1.1TB數據包含超過1.98億美國選民的個人信息，姓名、出生日期、家庭地址、電話號碼、選民登記詳情等。UpGuard表示，這個數據存儲庫「缺乏任何數據訪問保護」，任何可以訪問互聯網的人都可以下載這些數據。雖然還不清楚是否有人不當地使用了這些數據，但是當時的合作夥伴表示，該事件顯示了有徹底雲安全防護措施的重要性。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！