CyberSec-数据泄密报告.pdf

《CyberSec-数据泄密报告.pdf》由会员分享，可在线阅读，更多相关《CyberSec-数据泄密报告.pdf（27页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、360 Computer Emergency Rediness Team, January 2018 文中部分信息直接参考外部文章（见参考），如有侵权或异议请联系 2017 年度安全报告数据泄密 全球重大数据泄密事件回顾 全年泄密数据统计 41G 数据泄露和暗网 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20182 近年来 , 全球各地无论是政府组织 还是知名企业 , 频繁被爆出大规模 数据泄露事件 , 尤 以信息化程度 发达的国家更为严重。2017 年全 年有大量重大泄密的事件发生 , 与 之前的数据 相比 ,

2、 数据隐患并不 令人乐观。 IBM S 和 P I 两家研究机构针对 13 个国家和 419 家公司进行调研并形成 “2017 年数据泄露成本调研: 全球概述”报告。通过调研显示数据 泄露总成本达 到 362 万美元。 威瑞森电信公司 (Verizon) 又发布了一年一度的2017 年的数据泄露调查报告, 对以往的的安全事件和数据泄露进行了分析。这份最新报告 总共分析了 42068 个安全事件以及来自 84 个国家的 1935 个漏洞。2017 年的数据泄露报告是一份“10 周年报”, 统计结果主要基于威瑞森 公司在过去十年里从 65 家不同的组织获得的泄露数据。 在数据泄露原因方面 ,62%

3、 的数据泄露与黑客攻击有关 ;81% 的的数据泄露涉及到撞库或弱口令。 也就是说 , 直到 2017 年 , 人们使用密码的习惯依然不太好 , 绝大部分人并没有养成定 期修改密码的习惯。 2017 年 6 月 2017 年 10 月 2017 DataBreach Investigations Report2017 Poor Internal SecurityPractices Take a Toll 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20183 2017 年 12 月 ,360CERT 通过大量数据调研

4、和成本分析 , 对于含有敏感信息和机密信息的记录 , 发现数据泄露问题变的很严重 , 全年数据泄露 事件的平均规模上升 2%, 财产损失高达上亿。很多企业均遭遇过数据泄露 , 受损数据不等。 2017 年整体数据比 2016 年全年增加了 13%, 其中 , 身份泄密很是堪忧 , 相比去年一年 , 增长了 49%。约 190 亿的数据泄密记录是在过去 一 年期间丢失和被盗 , 相比去年 , 增加了 164%。同时超过 5000 个数据泄密未知和未报告。 在接下来的几年中 , 这很可能会开始改变 , 因为政府 制定了相关的规章 , 提高数据泄密的透明度。 2017 年 12 月 2017 年度安

5、全报告数据泄密 360 Computer Emergency Rediness Team, January 20184 重大数据泄露事件回顾 回顾整个 2017 年 , 产业信息化、数字化、网络化进程加速 , 互联网 + 已然成为一种不 可逆的趋势 , 互联网、云计算、大数据 带来更新式革命 , 然而新趋势下的数据安全状况变得 越发严峻。 针对全年的数据泄露事件 ,360CERT 通过数据泄露指数来 表明数据泄露事件的危害和影响力。 360CERT 梳理了 2017 年全球十大影响力的数据泄露事件, 以此警示各企事业单位关注数据安全防护 , 保护其系统免受或降低 泄密风险。 在 2017 年

6、, 有几个数据泄露评分指数达到 9.0 以上。下面 是一些顶级数据泄露的总结 : 数据泄露指数是由 泄密受损纪录数据、 泄密数据类型以及 风险评估指数构成。 泄密指数是通过以 上三个因素 （权重） 计算而来。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20185 事件一：全球最大管理咨询公司埃森哲大量敏感 数据泄露 泄露纪录：4 台云存储服务器 泄露指数：9.2 分 事件时间：2017 年 10 月 事件回顾：2017 年 9 月 17 日，UpGuard 网络风险研究主 管 Chris Vickery（克里斯维

7、克里）发现不安全的亚马逊 S3 存 储桶，任何人将存储桶网页地址输入浏览器就能公开访问、下载。 9 月 18 日研究人员粗略分析后发现，4 个存储桶（acp- deployment、acpcollector、acp-software 和 acp-ssl）暴露 了埃森哲的内部重要数据，包括云平台凭证和配置文件。 暴露的数据包括 API 数据、身份验证凭证、证书、加密密钥、 客户信息，以及能被攻击者用来攻击埃森哲及其客户的其它更多数 据。如果泄露的数据有效，攻击者可能会利用这些数据对客户发起 攻击。CSTAR（UpGuard 的专有网络风险评分系统）对这起泄 露事件的网络风险评分为 790。这起数

8、据泄露表明，即使最先进、 安全的企业也可能会将重要数据暴露在网上，造成严重后果。 这些数据一旦落入威胁攻击者之手，这些云服务器可能会将 埃森哲及其数千个知名企业客户置于恶意攻击的风险之中，可能会 造成不可估量的经济损失。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20186 事件二：德勤 500 万数据泄漏，竟因员工将 G+ 公开平台当记事本 (28 日更新 ) 泄露纪录：500 万数据 泄露指数：9.2 分 事件时间：2017 年 9 月 事件回顾： 2017 年 9 月 28 日德勤已成待宰鱼肉：关键系 统

9、RDP、VPN 及代理登录细节泄露。 周一：跨国咨询公司德勤遭遇黑客攻击，公司称只是一次小 事故 周二：德勤公司大量 VPN 泄露，其中包括用户名、密码以 及操作细节，这些都被发布在一个 Github 仓库中（内容在不久之 后被删除）。 后经查证，一位德勤员工在大约六个月前将公司代理登录凭 证上传至他的 Google+ 上，这些信息直到刚刚才被删除。通过对 泄露的登录信息分析可知，德勤将一些关键的系统公开在外，并且 开启了远程桌面访问。然而安全起见这些都是应该设置在防火墙后 并开启双因子认证的， 事实上， 德勤往往对他的客户推荐这种做法， 虽然他自己并没有做到。 全球税务与审计公司Delloi

10、tte （德勤） 已经发表了官方公告称， 公司遭受了一次网络攻击，在此次攻击中，攻击者成功窃取了大量 数据，其中包括公司某些客户的私人邮件以及机密文档。 正如其他信息安全专家发现的那样，除此之外还有很多信息 在传播，这些信息可以通过 Shodan 搜索到。利用这些信息，黑 客们可以黑入德勤的内部网络。Google+ 页面上的信息是所有人 都能看到的，所以黑客可以通过 Google 搜索到非常多的信息， 这些信息足以让他对德勤发起一次攻击。 当然了， 此次的Deloitte （德勤） 数据泄露事件并不是第一次， 而且肯定也不是最后一次， 希望其他公司要提高警惕， 千万不要 “事 不关己高高挂起”

11、！ 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20187 事件三、搞事情！影子经纪人响应团队正在为 NSA 泄露工具进行公开众筹 泄密类型：黑客组织 泄密指数：9.2 分 事件时间：2013 年（2017 年 10 月更新数据） 事件回顾：近期影子经纪人正式对外宣布称他们将会提供 一个“月度漏洞披露计划”服务，而这项服务的订阅费为 100 个 ZCASH 币。这也就意味着，如果我们支付了影子经纪人所要求 的月服务费，我们就能够第一时间拿到最新泄漏的漏洞信息。因此 在这个众筹活动中，我们希望能够集中整个安全社区的可

12、用资源， 这样不仅能够尽量避免类似 WannaCry 这样的事件再次发生，而 且这对于那些资金不够的白帽社区来说也是一次订阅最新月度披露 数据的机会。 简而言之，我们的目标就是从利益相关的第三方筹到足够的 资金来订阅影子经纪人每个月披露的漏洞信息。我们希望通过自己 的努力完成以下几个任务： 1. 筹到足够的资金以购买 100 个 ZCASH 币； 2. 从正规合法的虚拟货币交易所购买 100 个 ZCASH 币； 3.通过电子邮件地址将100个ZCASH币转账给影子经纪人 ； 4. 访问影子经纪人每个月公布的泄漏数据，并将其与所有资 助者分享； 5. 对泄漏数据进行分析，确定披露数据的影响程度

13、； 根据影子经纪人所提供的月度披露服务条款，每个月他们给 出的漏洞内容可能与下列几种项目有关： 1.Web浏览器、 路由器和手机漏洞， 以及相应的漏洞利用工具 ； 2. NSA Ops Disk 中的最新资料，包括 Windows 10 的漏 洞以及相应的漏洞利用技术； 3. 被入侵网络中的数据，包括 SWIFT（环球同业银行金融 电讯协会）或核武器计划； 影子经纪人手中可能没有太多额外的数据了，他们很有可能 是在虚张声势，这也有可能是一次明目张胆的欺诈活动。但是我们 可以从公告 MS17-010 中看到，他们不仅很有可能拥有更多强大 的攻击工具，而且还有可能拥有最新版 iOS 的越狱技术以及

14、先进 的 Android 端恶意软件。但这一切都只是我们的猜测，事实到底 如何现在我们也无从得知。我们之前对影子经纪人泄漏的所有数据 进行了分析，而结论就是这个黑客组织绝对是一个可信的威胁，因 此我们认为他们这项月度披露服务的可信度非常高。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 20188 事件四、Equifax 美国征信机构数据泄露 泄密记录：1.5 亿用户 泄密指数：9.6 事件时间：2013 年（2017 年 10 月更新数据） 事件回顾：美国征信机构 Equifax 称它们的数据库遭到了攻 击，将近

15、1.43 亿美国人的个人信息可能被泄露，这几乎是全美人 口的一半。 报道称，网络犯罪者已经接触到了包括姓名、社会安全号码、 出生日期、地址和驾照编号等在内的敏感信息。还有约 20.9 万美 国客户的信用卡卡号泄露。此外，居住在英国和加拿大的人也受到 影响。 Equifax称， 这次信息泄露可能发生在5月中旬到7月之间。 公司称它们于 7 月 29 日制止了此次攻击。 美国有线电视台(CNN)称， 从被泄露信息的广度和类型来看， 此次数据泄露可能是有史以来“最糟糕的”。将近 1.43 亿美国人 的数据库详情的的确确掌握在黑客手中。这些数据可能导致不同层 面的身份欺诈。一旦黑客将这些数据公布出去，

16、就是一场大灾难。 如今指责黑客似乎也无济于事，毕竟还是 Equifax 自己安保工作 不到位才导致这次泄露。 那么黑客到底是通过什么方式获取到数据库的密码的呢？这 些控制面板的确安全性很差，但其他部分是否安全？事实上，这些 控制面板中还储存了一些加密数据，但密钥却放在面板内部。一旦 面板被入侵，加密数据也不再安全。截图表明，这些密钥以及所有 Equifax 子公司的信息都保存妥善，但最后他们还是都被黑了。 Equifax 与执法部门配合展开了调查，并表示将在明年为其 客户提供免费的身份盗窃保护和信用监控。 2017 年度安全报告数据泄密 360 Computer Emergency Redin

17、ess Team, January 20189 事件五、Uber 为 5700 万份数据向黑客买账 泄密纪录：5700 用户 泄密指数：9.3 分 事件时间：2017 年 9 月 事件回顾：去年 Uber 遭遇了大规模的数据泄露，泄露数据 包括 5700 万司机与乘客的信息，而这件事则被当时的 CSO 以向 黑客付款10万美元破财消灾的方式压制了下去。 Uber的CSO （首 席安全官）和他的助理因他们的恶劣行为被解雇。 数据泄露发生在去年十月份， 包括5000万Uber用户的姓名、 邮箱、电话号码和 700 万 Uber 司机的个人信息以及 60 万份美 国司机驾驶证号码。不过 Uber 声

18、称社会保障号、信用卡信息、交 通地理信息等其他数据并未泄露。 黑客攻击过程如下：两个攻击者访问了 Uber 软件工程师的 私有 Github 仓库并用从中拿到的登录凭证登录到了公司用来处理 计算任务的亚马逊 Web 服务账户上，并在这个账户的数据中发现 了乘客和司机的信息。接下来就是已知的勒索过程了。 Uber 此 次 大 规 模 泄 露 事 件 相 比 Yahoo、MySpace、 Target、Anthem、Equifax 等黑客入侵事件来说并不算严重， 但值得我们注意的是他们极端的问题处理方式：隐藏消息，而不是 公之于众。这是 Khosrowshahi 从前辈 Travis Kalani

19、ck 手中继 承 Uber 后最近的一次丑闻。 各州和联邦的法律都有要求公司在敏感数据泄露发生时要通 知用户和政府部门。Uber 表示它有义务通知驾驶证信息被泄露的 司机用户，但可惜当时并没有做到。 Kalanick 在六月时因投资者压力被迫辞掉 CEO 职位，投资 者认为他把公司置于严重的风险中。Uber 同时招聘了国家安全机 构的前法律总顾问 Matt Olsen，希望他能帮助公司重建安全队伍， 还请隶属于 FireEye 公司的 Mandiant 来协助调查这起事件。 Uber 最终声明并没有证据表示此次事件的泄露数据被黑客利 用，并将为信息被泄露的司机提供免费的信息保护监控服务。 20

20、17 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201810 事 件 六、 绝 密 文 件！ 100G ！ 泄 露！ NSA ！ Amazon S3! 泄密纪录： 100G 数据 泄密指数：9.9 分 事件时间：2017 年 9 月 事件回顾：近日， 据外媒报道称， 属于美国国家安全局 （NSA） 的一个高度敏感的硬盘驱动器的内容已经公开在了Amazon Web Services 存储服务器上。 该虚拟磁盘镜像中包含了来自代号为“红色磁盘（Red Disk）”的陆军情报项目的超过 100GB 数据。分析显示，该磁盘 镜像属

21、于美国陆军的情报和安全司令部被称为 INSCOM，它 是隶属美国陆军和国家安全局的一个部门。 据悉，该磁盘镜像保留在非公开的 Amazon Web Services 存储服务器上，但却没有设置密码，这意味着任何发现它的人，都 可以通过政府秘密文件挖掘信息。本次数据泄露事件是由安全公司 UpGuard 的网络风险研究主管 Chris Vickery 于今年 10 月份率 先发现，并随即通报了相关政府机构这一违规行为的存在。随后， 该存储服务器已经得到了保护。 此次泄漏事件是政府机密数据的又一次大曝光。自 2013 年 爱德华 斯诺登（Edward Snowden）披露“棱镜门”以来， 美国国家安

22、全局已经成为头条新闻的常客。今年年初，前 NSA 合 同工 Harold Martin 就曾因在 Booz Allen Hamilton 任职期间盗 取国家文件及数据遭到 20 项刑事指控；6 月份，另一名 NSA 合 同工 Reality Winner，又因涉嫌泄漏 NSA 关于“俄罗斯试图干 扰美国总统选举”的绝密级别（Top Secret level）文件而遭到 逮捕。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201811 事件七、五角大楼 AWS S3 配置错误，意外暴 露 18 亿公民信息 泄密纪录：

23、18 亿用户数据 泄密指数：9.2 分 事件时间：2017 年 11 月 事件回顾：11 月 22 日，据外媒报道称，美国五角大楼意外 暴露了美国国防部的分类数据库，其中包含美国当局在全球社交媒 体平台中收集到的 18 亿用户的个人信息。 此次泄露的数据为架在亚马逊 S3 云存储上的数据库。由于 配置错误导致三台 S3 服务器“可公开下载”，其中一台服务器数 据库中包含了近 18 亿条来自社交媒体和论坛的帖子，据猜测，这 些信息很有可能是国防部从2009年到2017年8月时间内收集的。 美 国 网 络 安 全 公 司 UpGuard 的 安 全 研 究 人 员 Chris Vickery 率先

24、发现了这三个可以公开访问和下载的数据库，并分 别将其命名为“centcom-backup”、“centcom-archive” 以及“pacom-archive”。 美国中央司令部发言人 Josh Jacques 近期证实：“此次泄 露事件由 AWS S3 配置错误导致，其用户可绕过安全协议访问数 据。不过，我们现在已对其进行了保护与监控。一旦发现未授权访 问，我们将采取额外措施，以防网络犯罪分子非法访问。此外，我 们搜集用户社交信息并无他意，仅仅用于政府公共网站的在线课程 策划。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, Ja

25、nuary 201812 事件八、雅虎 30 亿帐号或已全部泄露，政监机 构参与调查 泄密纪录：30 亿账号 泄密指数：9.2 分 事件时间：2013 年（2017 年 10 月更新数据） 事件回顾：早在 2013 年 8 月，雅虎曾发生过一起严重的数 据泄露事件，有超过 10 亿用户的信息遭到外泄。 但在今年 10 月，雅虎对这一事件进行了新的披露：称通过与 威瑞森通信公司（Verizon Communications）的业务合并过程 中获得的新情报证实， 此次网络攻击的影响范围远超过此前的估计， “所有帐户都有可能受到了影响。” 其实，早在 2014 年发生的数据泄露事件导致了至少 5 亿

26、用 户数据泄露。但雅虎在 2016 年 9 月才对外披露了那次泄露事件。 对此，就雅虎公司的两起大规模数据泄露是否应该尽早报告给投资 者一事，美国政府监管机构还进行了调查。 事件九、南非 3000 多万份个人信息遭公布或包 括总统和部长 泄密纪录：3000 万用户信息 泄密指数：9.2 分 事件时间：2017 年 10 月 事件回顾 ： 据称， 该事件为南非史上规模最大的数据泄露事件， 共有 3160 万份用户的个人资料被公之于众，其中包括姓名、身份 证号、年龄、收入、地址、职业以及电话号码等。这些数据来自“拼 图控股”集团旗下的艾达、ER 和房地产 -1 等子公司。南非时报 19 日披露称，

27、祖马总统和财政部长吉加巴、警察部长姆巴鲁拉的 个人信息可能也在其中。 南非的互联网安全专家表示，这些个人信息可能会被人拿 到互联网上兜售。约堡大学互联网安全中心主任索尔姆斯表示， “有这些信息就够了，互联网犯罪分子可以冒充开办信用卡或进 行网上订购等。”此次被黑客公布的数据来源于 Dracore Data Sciences 企业的 GoVault 平台，其公司客户包括南非最大的金 融信贷机构TransUnion。 事件发生后，安全研究人员立即进行搜索调查，发现 GoVault 平台将用户数据发布到了一台完全未经保护的 Web 服 务器上，允许任意用户进行访问。 2017 年度安全报告数据泄密

28、360 Computer Emergency Rediness Team, January 201813 事件十、维基解密公布 CIA 用于追踪泄密者的源 代码 泄密纪录：3 万用户 泄密指数：9.1 分 事件时间：2017 年 7 月 涂鸦工具如何运作？ 涂鸦的编程语言是 C#，它为每个文档都生成随机水印，并 将水印插入文档、将所有经处理的文档保存在导出目录中，并创建 一个日志文件识别插入每个文档中的水印。 这种技术跟“追踪像素”的运作方式一致，后者就是将微小 的像素图像内嵌到邮件中，这样影响人员和活动人员就能追踪有多 说明用户查看了广告。而 CIA 通过将微小的唯一生成的文件插入 “可能被

29、盗”的机密文档中，而文件托管在由 CIA 控制的服务器上。 这样，每次有人查看水印文档时包括泄密者，它都会秘密在后台加 载一个嵌入式文件，在 CIA 服务器上创建一个条目包括访问这些 文件的人员信息如时间戳及其 IP 地址。 仅在微软 Office 产品中起作用 用户手册还指出这款工具旨在针对 Office 离线文档，因此如 果打水印的文档在 OpenOffice 或者 LibreOffice 中打开的话， 水印和 URL 会被暴露给用户。它在微软 Office 2013（Windows 8.164）文档，Office 97 至 2016 （Windows 95 上不起作用） 文档， 以及表单

30、未被锁定、 未加密或不受密码保护的文档中起作用。 然而，由于隐藏的水印是从远程服务器加载的，因此这种技 术应该只有在访问水印文档的用户联网的情况下才起作用。 维基解密指出，最新的涂鸦版本（v1.0 RC1）是在 2016 年 3 月 1 日发布，这说明至少在去年还在使用而且本来应该在 2066 年才解密。更多技术详情可访问用户手册。 截至目前，维基解密发布了 CIA 针对流行硬件和软件的入侵 利用代码“Year Zero”文档、针对 iPhone 和 Mac 的利用代 码“Dark Matter”、“Marble”文档、以及披露了能入侵微软 Windows 并绕过杀毒保护措施的能轻易创建自定义

31、恶意软件的一 个框架即“Grasshopper”文档。 “涂鸦”项目即“斯诺登阻 止器”是一款用于声称将“web beacon（网络信标）”标签嵌入 机密文档中的软件，以便监控机 构追踪泄密者和外国间谍。自 3 月份开始，维基解密已公布 Vault 7 系列中的数千份文档和其它声称 来自 CIA 的机密信息。 CIA 称“涂鸦”是“一款批 量处理工具，用于处理预生成水印 并将这些水印插入由外国情报官 员窃取的文档中”。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201814 事件十一、韩最大加密货币交易所被黑客攻

32、击：3 万客户数据泄露 泄密纪录：3 万用户 泄密指数：9.2 分 事件时间：2017 年 7 月 事件回顾：正当韩国正被对比特币和以太币等加密货币 进行监管立法的时候，却有报道称该国最大的加密货币交易所 Bithumb 遭到了黑客入侵。 据 BBC 报道， 3万名客户数据被泄露， 黑客利用欺骗来的数据窃取用户账户里的资金。BraveNewCoin 则解释了 Bithumb 用户是“语音钓鱼”的受害者，因为有自称该 交易所工作人员的骗子打电话来忽悠他们。 交易所声称受本次事件影响的客户约占总数的 3% 。 据悉，本次泄露发生于 2 月份，原因是一名员工的家用 PC 涉入其中（而不是公司总部的计

33、算机服务器出现了问题）。 Bithumb 表示在 6 月 29 日发现了此事，并于次日向当局进行了 汇报。 作为全球五大比特币交易所之一，Bithumb 去年的比特币交 易量达到了 2 万亿韩元左右（约合 118 亿 RMB），日交易量也 超过了 1.3 万比特币（占全球交易量 10%）。 Bithumb 已承诺初步向每位客户赔偿 10 万韩元（约 86 美 元 / 590 元 RMB），剩余部分将在验证后补足。 事件十二、趣店数百万学生数据泄露，称或遭内 部员工报复 泄密纪录：100 万用户 泄密指数：9.1 分 事件时间：2017 年 11 月 事件回顾：11 月 20 日，有关媒体发布消

34、息称，趣店数据疑 似外泄，十万可买百万学生信息，离职员工称“内鬼”所为。此次 泄露的数据维度极为细致， 除学生借款金额、 滞纳金等金融数据外， 甚至还包括学生父母电话、学信网账号密码等隐私信息。趣店以校 园贷起家，之后退出校园，转向白领市场，提供“现金贷”和消费 分期贷款。2017 年 10 月 19 日，趣店正式登陆美国纳斯达克。 有媒体采访内部员工得知，趣店曾因 9 月的大规模裁员事件 未能合理安排离职员工的抚恤问题，造成此次数据泄露事件有可能 是内鬼所为。此外，多位趣店离职员工表示，早期趣店数据管理存 在巨大安全隐患。 2017 年度安全报告数据泄密 360 Computer Emerg

35、ency Rediness Team, January 201815 综述： 随着网络攻击日趋复杂、日益频发，国内外各行各业的公司 和机构对数据泄漏问题越发担忧。事实上，CDW 的研究显示，在 过去的两年里，每四家机构当中就有一家遭遇过数据泄漏。许多公 司称，这类事故严重威胁了公司邮件、网络和敏感信息的安全。并 且随着远程办公和移动计算的普及，防止数据泄漏也变得愈加复杂 和困难。 针对企业： 第一步就是承认数据泄漏的风险确实存在。认识到这点之后 才能建立有效的防止数据泄漏的计划。 第二步，定义机构的所有数据。这项工作看似艰巨繁杂，但 为防止数据泄漏而做的数据定义并非那么困难。关键在于将机密信

36、息（如社保号）和机密文档（如含有社保账号的文件）明确区分开 来。同时也要明白，任何机构都有自己的关键业务数据，这部分数 据必须加以保护。 第三步，中小企业需要制定移动设备的安全使用政策，考虑 现有的安全保护措施，以及完善移动设备的管理机制。 第四步：把数据保护政策传达给员工。政策要简明实用，明 确哪些数据是机密的，机密数据应如何使用，以及员工应如何使用 移动设备。 针对个人用户： 谨防钓鱼网站、 慎连wifi、 不在社交平台中随意透露个人信息、 慎重参加网络调查、抽奖活动、妥善处理快递单、车票等、及时清 除旧手机的数据信息。 大数据时代， 挖掘个人隐私的方法数不胜数， 即使很简单的信息，多维度

37、凑到一起也能发现你不可告人的秘密。 目前还有没有保护隐私很好的方法，除非你回归原始社会。 针对第三方数据平台： 第三方系统的安全问题是最近一些数据泄露事件的原因， 包 括 Target， JP Morgan 的数据泄露事件，都或多或少与第三方 系统有关。 比如黑客对 Target 的攻击就是从 Target 的空调服 务商入手的，而 JP Morgan 则是通过第三方网站进行的渗透。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201816 数据泄密重要数据统计 数据泄密的流程 数据资源在整个互联网中起着相关重要的

38、作用，这些数据资 源关乎着每个人的财产安全。数据资源隐藏着庞大的经济效益，真 因为这许多黑客痛过定点渗透、外挂木马、钓鱼、伪基站等方式方 法来获取这些数据资源。由于受利益的驱使，除了黑客之外，还有 一部分公司内部人员恶意出售接触到的数据， 从中获取很大的现金。 也有部分公司员工缺乏安全意识把数据存放在不安全的地方，导致 数据被泄露。 数据一旦被泄露，那么就会产生一系列的危害，很多用户由 于缺乏安全意识，不能及时的发现自己的数据泄露，只有当自己的 财产受到损失才能被感知，所以用户感知是越来越慢的。 与往常一样，2017 年全年的 数据泄密事件有各种来源。但是在 一个大数据统计以及记录数据表 明，

39、数据泄密的最大来源是意外丢 失和因疏忽而使信息暴露的数据。 如何泄密？数据利用？数据信封 数据 资源 黑客攻击 金融类直接提现 虚拟物品，如游戏装备洗号 涉及个人信息咋骗、隐私泄密 公司业务数据商业竞争 撞库 木马 内部人员 自身 资源价值由大小（越来越小） 用户感知由小大（越来越大） 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201817 数据泄露的流程整个流程可以分为：拖库、洗库、撞库。入 侵者通过不法手段来入侵有价值的数据系统，然后对数据进行逐层 分离，找到一些金融类的帐户，然后通过入侵支付宝、网银、网游

40、账号获取高额的现金收益。 另一方面也可以将用户的个人信息批量出售获取现金。当数 据一旦被利用，在进行建立人肉数据库，进行撞库。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201818 数据泄露的来源 与往常一样，2017 年全年的数据泄密事件有各种来源。但是 在一个大数据统计以及记录数据表明，数据泄密的最大来源是意外 丢失和因疏忽而使信息暴露的数据。 2017 年全年数据泄露最大的来源是恶意攻击，占总比重的 47%。这导致很大的数据都是被盗的。 在这些事件中 , 有 47% 涉及恶意攻击或犯罪攻击 ,25% 因员

41、 工或承包商疏忽所致 ( 人为因素 ),28% 与系统故障相关 , 包括 IT 故障、业务流程故障等等。 数据泄露的影响因素 A：成本因素。 据悉2017 年数据泄露成本调研全球概述统计有大约 20 个因素对数据泄露成本会有影响。有些因素可以使数据泄露成本下 降，有些因素是会让成本增加。 影响成本下将：如图所示,事件响应团队、 广泛使用加密技术、 员工培训、BCM 参与、参与威胁共享计划及使用安全 分析工具 等因素使得单条受损记录产生的数据泄露单条成本下降了。 影响成本上升：第三方参与、广泛迁移至云端、合规缺陷、 广泛使用移动平台、设备丢失或被盗、急于通知等因素使 得数据 泄露的单条成本 (

42、以负数显示 ) 上升了。 B：丢失的记录数量。 丢失纪录条数越多，数据泄露的成本越高。事件规模越大， 相对应的成本就越高。 C：行业客户流失。 客户流失的越多，数据泄密的成本越高。通告数据表明，影 响客户流失的因素有两方面，一方面是所处的国家，不同国家流失 程度不一样，日本流失最大；另一方面是行业因素，行业更容易出 现客户流失的情况。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201819 数据泄露的类型 由于一直如此 , 在过去的几年里 , 身份盗窃是攻击在 2017 年 这个战术是全年的数据泄露事件中最常用的

43、模式 , 占期间所有事件 的大约四分之三 (74%)。事实上，和 2016 年相比较身份盗窃破坏 的数量继续保持高位，并且导致多条纪录被窃取显示，安全机构和 相关机构没有充分应对这一威胁。 数据泄露涉及行业比重 在行业分布上，金融行业依然首当其冲，24% 的数据泄露事 件和金融机构有关；其次是医疗保健行业 15%；再往后是销售行 业 15% 以及公共部门 12%。其中医疗行业是勒索的重灾区，真可 谓“不给钱就撕票” 这里需要注意，学术界正逐渐“崛起”成为黑客攻击的目标， 比如高校的高新科研部门。犯罪分子已经意识到很多知识产权和商 业机密都是起源于高等院校的学术研究，而且，和入侵政府系统以 及成

44、熟的商业系统相比， 入侵大学的系统和窃取研究机密更加简单。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201820 数据泄露的主要采取的手段 导致数据泄露的主要手段分为技术手段 （黑客入侵、 软件漏洞、 恶意木马）、非技术手段（内部人员泄密、非有意识泄密）。 组织出现其他数据泄露事件的可能性 360CERT 对以往的的安全事件和数据泄露进行了分析，分 析指出在调查的几万个安全事件中，内部威胁占 25%，75% 是外 部攻击导致。 在外部攻击中，51% 的网络攻击涉及到有组织有计划的犯罪 集团。18% 的外部攻击涉

45、及国家背景。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201821 41G 密码泄露和暗网 2017 年 12 月 5 日，一位名为 tomasvanagas 的用户在 reddit 论坛上公开了一份高达 41GB 的数据泄密文件 (“社工库”)， 文件包含了 14 亿条明文性质的互联网用户密码记录。近几年大大 小小的数据泄密事件频发，而这可能是迄今为止被公开的最大的一 次数据泄密文件，而且从这份数据的完整性来看，数据整理者做得 较为完整和专业。在万物互联的大安全时代里，需要互联网用户， 信息安全行业和相关受影

46、响的公司实体对数据泄密事件有足够清醒 的认识和作为。 在 41G 的文件中，整理者提供了完整的数据和专业的操作说 明，文件操作日期显示文档作者在 11 月 29 日作了最后一次更新。 文档主要信息如下： 、README 说明文件一方面对数据文件作了较为详细， 专业的介绍， 同时也提供了“比特币”和“Dogecoin”币捐赠地 址（1NrNf6E3rTuDDGeUdU2CMpGNyrQAeB7dNT，DFq kJHnb5t5Y6e4mbXTiS9aEhspFkzxkPU），此举可能是为了 保证“收钱”的匿名性。 、数据文件包含了 14 亿条记录（1,400,553,869），全部 是明文密码。

47、、此次 14 亿条用户密码信息不全是未公开的数据泄露，而 是包含了此前 252 起数据泄露事件的合集。数据导入日志显示， 整理者从 2017 年 8 月 7 日开始到 2017 年 11 月 9 日分批进行了 252 次数据导入。大部分导入为数字编号，一部分导入有很清楚 的数据源，其中疑似包括 Anti Public Combo List，Exploit.in， MySpace，Linkedin，YouPorn，Last.FM 和部分国内公司实 体等在内的的用户隐私数据。 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January

48、 201822 、从密码长度分布图观察，密码长度为 9 的最多，数据量 为 380304432，三亿 8 千万条。 排名百分比注解域名 119.49% 213.47% 38.38% 48.01%mail.ru 53.94% 63.14%yandex.ru 72.06%rambler.ru 81.71% 91.18% 101.15%hotmail.fr 111.07%web.de 120.94% 130.90% 140.90%gmx.de 150.81%bk.ru 160.72%list.ru 170.70%hotmail.co.uk 180.68%inbox.ru 190.66%yahoo.f

49、r 200.63%yahoo.co.uk 2017 年度安全报告数据泄密 360 Computer Emergency Rediness Team, January 201823 、最长用密码 top100 12345678910 123456123456789qwerty111111password12345678abc1231234567homelesspapassword1 11121314151617181920 123123000000123456789012345iloveyou1q2w3e4r5tqwertyuiop1234123321123456a 21222324252627282930 monkeydragon1236666666543211qaz2wsx121212123qwea123456qwe123 31323334353637383940 tinkletarget123gwe