盤點21世紀以來最臭名昭著的15起數據安全事件

 

随着互聯網的普及，人們的生(shēng)活也越來越數字化。例如智能家居，聯網的醫療設備，網絡購物(wù)，網銀轉賬等。但技術是把雙刃劍，爲我(wǒ)們帶來方便的同時，也給我(wǒ)們帶來了潛藏的安全威脅。特别是有關人們隐私數據的洩露，也愈發嚴重。從個人到企業再到政府機構，數據安全俨然已經成爲了我(wǒ)們的重中(zhōng)之重。下(xià)面我(wǒ)将爲大(dà)家列舉出二十一(yī)世紀以來，最臭名昭著的15起數據安全事件。注：以下(xià)列舉事件并不一(yī)定是基于數量，而可能基于損害程度等進行綜合評估篩選。
1. Yahoo

日期： 2013-14年

影響：15億用戶賬戶

在2016年9月，曾經的互聯網巨頭雅虎在談判中(zhōng)向Verizon推銷他們時宣布，自己可能是2014年“得到國家資(zī)助的黑客攻擊”事件中(zhōng)，史上最大(dà)數據洩露的受害者。這次洩露事件導緻至少5億用戶的用戶名、電(diàn)郵地址、電(diàn)話(huà)号碼、出生(shēng)日期、密碼遭到洩露。雅虎表示，對其中(zhōng)所涉及的“絕大(dà)多數”密碼，已經使用了強大(dà)的bcrypt算法進行了加密。

而在短短的幾個月後，也就是十二月份，雅虎又(yòu)稱它們發現了新的安全漏洞，該漏洞可追溯至2013年8月，并造成至少10億用戶的姓名、電(diàn)郵和密碼被盜。其中(zhōng)涉及用戶的用戶名、電(diàn)郵地址、電(diàn)話(huà)号碼、出生(shēng)日期、密碼，甚至還包括加密的問題及答案。

由于雅虎的違約行爲，Verizon與雅虎修訂了收購協議并将價格下(xià)調了3.5億美元。Verizon最終爲雅虎的核心互聯網業務支付了44.8億美元。該協議要求兩家公司從違約行爲中(zhōng)分(fēn)擔監管和法律責任。此次出售并未包括阿裏巴巴集團報告的投資(zī)額433億美元，雅虎日本的股份總價爲93億美元。

雅虎成立于1994年，曾被估值爲1000億美元。銷售後，雅虎公司将更名爲Altaba。
2. Adult Friend Finder

日期：2016年10月

影響：超過4.122億賬戶

2016年10月中(zhōng)旬，成人約會和娛樂公司Friend Finder Network遭遇大(dà)規模數據洩密事件，導緻4.12億帳号信息洩露。FriendFinder包括休閑連線和成人内容網站，如Adult Friend Finder，Penthouse.com，Cams.com，iCams.com和Stripshow.com。

黑客竊取了六個數據庫中(zhōng)，保存了近20年的數據。其中(zhōng)包括用戶名，電(diàn)子郵件地址和密碼。大(dà)多數密碼僅受弱SHA-1散列算法的保護。LeakedSource.com在11月14日發布了對整個數據集的分(fēn)析，LeakedSource表示，該網站已經可以從數據庫中(zhōng)提取99%的密碼。

CSO Online的Steve Ragan在當時報告：“根據一(yī)個名爲1×0123的研究人員(yuán)Adult Friend Finder的截圖顯示，一(yī)個本地文件包含（LFI）漏洞被觸發。他表示，Adult Friend Finder生(shēng)産服務器上的模塊中(zhōng)發現的漏洞被“利用”。

AFF副總裁戴安娜·巴盧（Diana Ballou）發表聲明說：“我(wǒ)們确實發現并修複了，具有通過注入漏洞訪問源代碼能力的相關漏洞。
3. eBay

日期：2014年5月

影響：1.45億用戶受損

2014年5月，全球最大(dà)的網絡交易平台之一(yī)eBay發布報告稱，稱數據庫遭黑客攻擊，至少1.45億用戶的個人資(zī)料及密碼外(wài)洩。其中(zhōng)包括公開(kāi)名稱，地址，出生(shēng)日期和加密密碼，但被盜取的文件夾不含财務資(zī)料。該公司表示，黑客是通過三名公司員(yuán)工(gōng)的憑證進入到公司網絡的，并保持了長達229天的内部訪問權限，在此期間他們能夠進入到用戶數據庫。

eBay要求其客戶及時更改密碼，同時表示财務信息（如信用卡号）是分(fēn)開(kāi)存儲的，并沒有被洩露。首席執行官John Donahue表示，違規行爲導緻用戶活動下(xià)降，但總體(tǐ)影響不會太大(dà) – 其第二季度收入增長13％，收益增長6％，符合分(fēn)析師的預期。
4. Heartland Payment Systems

日期：2008年3月

影響：SQL注入漏洞導緻1.34億張信用卡數據洩露，并導緻Heartland的數據系統被安裝間諜軟件。

在違約發生(shēng)時，Heartland正每月爲175,000家商(shāng)戶（大(dà)多數中(zhōng)小(xiǎo)型零售商(shāng)）處理1億張支付卡交易。直到2009年1月Visa和萬事達，才通過Heartland中(zhōng)收到的可疑交易才最終發現了該問題。

其後果是，Heartland被判定爲不符合支付卡行業數據安全标準（PCI DSS），并且在2009年5月之前不允許處理主要信用卡提供商(shāng)的付款。該公司還爲此支付了約1.45億美元的欺詐付款賠償金。

聯邦陪審團于2009年起訴了Albert Gonzalez和兩名未命名的俄羅斯共犯。Albert是古巴裔美國人，他被指控策劃了信用卡和借記卡竊取的國際行動。2010年3月，他在聯邦監獄被判處20年有期徒刑。 。
5. Target Stores

日期：2013年12月

影響：信用卡/借記卡信/聯系信息洩露，達1.1億人受損。

這個漏洞實際上在感恩節之前就有了，但直到幾個星期後才被發現。該零售商(shāng)巨頭最初宣布，黑客已通過第三方HVAC供應商(shāng)進入其銷售點（POS）支付卡讀卡器，并收集了約4000萬張信用卡和借記卡号碼。

然而到2014年1月，該公司又(yòu)報告稱，其7000萬客戶的個人身份信息（PII）已經被洩露。其中(zhōng)包括客戶全名，地址，電(diàn)子郵件和電(diàn)話(huà)号碼。最終估計受影響的客戶，達到了1.1億。

Target的CIO也因此于2014年3月引咎辭職，其CEO也于5月辭職。該公司的違約成本估計爲1.62億美元。
6. TJX Companies, Inc.

日期：2006年12月

影響：9400萬張信用卡被曝光。

2007年1月，零售商(shāng)The TJX Companies聲稱它的客戶交易系統遭到了黑客攻擊。2003年至2006年12月期間多次遭到了入侵，黑客訪問了9400萬個客戶賬戶。後來發現，有人利用竊取的信息實施了案值800萬美元的禮品卡欺詐案和僞造信用卡欺詐案。2008年夏天，11個人因與該事件有關的指控而被判有罪，這也是美國司法部有史以來提起公訴的最嚴重的黑客破壞和身份失竊案。

TJX估計洩密帶來的損失爲2.56億美元。這包括修複計算機系統以及爲應對訴訟、調查、罰款及更多事項而支付的成本。這還包括因造成的損失而賠錢給維薩公司（4100萬美元）和萬士達卡公司（2400萬美元）。
7. JP Morgan Chase

日期：2014年7月

影響：7600萬家庭和700萬企業受影響。

2014年夏天，美國最大(dà)的銀行摩根大(dà)通(Jp Morgan Chase)遭到黑客攻擊。這起事件共造成7600萬賬戶信息被洩，損害了美國近一(yī)半以上的家庭，同時還對700萬企業造成了影響。根據向證券交易委員(yuán)會提交的文件，這些數據包括聯系人信息 – 姓名，地址，電(diàn)話(huà)号碼和電(diàn)子郵件地址以及用戶的内部信息。

但是摩根大(dà)通表示，目前還沒有證據顯示客戶的賬戶信息，包括賬戶号碼、密碼、用戶名、生(shēng)日和社會安全号碼在此次攻擊中(zhōng)被竊取。

不過，有黑客聲稱他們能夠獲取到90多家銀行服務器的“root”權限，這意味着他們可以采取任何行動，包括轉移資(zī)金和關閉賬戶。根據SANS研究所的統計顯示，摩根大(dà)通每年爲安全方面支出的費(fèi)用，高達2.5億美元。

2015年11月，聯邦當局起訴了涉嫌參與摩根大(dà)通黑客事件的四名男子Gery Shalon，Joshua Samuel Aaron和Ziv Orenstein，他們共面臨23項指控，其中(zhōng)包括未經授權計算機訪問，身份盜用，證券和電(diàn)彙詐騙以及洗錢等，估計非法獲利達1億美元。而第四位黑客的身份至今還未确定。

Shalon和Orenstein都是以色列人，他們于2016年6月承認了其罪行。Aaron則在去(qù)年十二月份，在紐約的JFK機場被捕。
8. 美國人事管理局 (OPM)

日期：2012-14年

影響：2200萬當前和前聯邦雇員(yuán)的個人信息

美國人事管理局的網絡被黑客入侵，約有2200萬人的敏感信息（包括社會保險号碼）被竊取。人事管理局在發現它的内部數據庫底遭到攻擊後便申請了法律調查，發現其現任、前任與潛在聯邦雇員(yuán)及合同工(gōng)的信息均受到了威脅。簡而言之，如果在2000年及之後填寫了SF-86,SF-85及SF-85P問卷的雇員(yuán)，均有很高可能性遭受威脅；而在2000年之前參與背景審查的員(yuán)工(gōng)，也有一(yī)定可能受到波及，但概率較小(xiǎo)。

據《紐約時報》稱，來自中(zhōng)國的黑客從2012年開(kāi)始就進入到了OPM系統，但到2014年3月20日才被發現。第二個黑客或團體(tǐ)在2014年5月通過第三方承包商(shāng)獲得了OPM許可，但直到近一(yī)年後才被發現。其中(zhōng)遭竊取的個人資(zī)料 – 包括詳細的安全許可信息和指紋數據。

去(qù)年，聯邦調查局前主任詹姆斯·科米（James Comey）談到了所謂的SF-86表格，表示其用于對員(yuán)工(gōng)安全許可進行背景調查。“我(wǒ)的SF-86列出了自18歲以來我(wǒ)所居住的每一(yī)個地方，我(wǒ)曾到過的所有國外(wài)旅行，以及我(wǒ)所有家人，他們的住址等信息。”所以這不僅僅是我(wǒ)的身份受到影響。我(wǒ)有兄弟(dì)姐妹和五個孩子，他們的信息也都在那裏。

内部監督和政府改革委員(yuán)會去(qù)年秋天發布的一(yī)份報告總結了其所稱的損害：“OPM數據洩露：政府如何危及我(wǒ)們的國家安全一(yī)代以上”。
9. Sony’s PlayStation Network

日期：2011年4月20日

影響：7700萬PlayStation網絡帳戶被黑客入侵；估計損失達1.71億美元，同時被迫關閉網絡近一(yī)個月。

這被認爲是最糟糕的遊戲社區數據洩露事件。 在受影響的7700萬個帳戶中(zhōng)，有1200萬個未加密的信用卡号碼。公司确信黑客獲取了用戶的全名，密碼，電(diàn)子郵件，家庭地址，購買曆史記錄，信用卡号碼和PSN/Qriocity登錄名和密碼等信息。此外(wài)，用戶在PSN平台上提交過的信用卡信息，除信用卡背面的安全碼外(wài)，包括用戶信用卡号碼和有效期等數據也遭到了黑客的盜取。

2009年1月時，Heartland支付系統公司曾丢失1億用戶帳戶信息。而此次7700萬信用卡資(zī)料洩露，也使索尼事件将成爲近兩年最大(dà)消費(fèi)者金融數據洩露案。
10. Anthem

日期：2015年2月

影響：導緻近8000萬條個人醫療數據洩露。

美國第二大(dà)醫療保險公司Anthem稱遭遇黑客攻擊，客戶的姓名，地址，社會安全号碼，出生(shēng)日期和就業曆史等信息遭到洩露。

加利福尼亞保險專員(yuán)Dave Jones在對媒體(tǐ)的聲明中(zhōng)表示，“我(wǒ)們的聯合檢查組高度證實，某國政府發起了Anthem網絡攻擊。另據加利福尼亞保險部1月6日率先對外(wài)發布了一(yī)份調查聲明顯示，Anthem公司已經爲此次數據洩露付出了沉重的成本代價，其中(zhōng)包括250萬美元聘請專家顧問、1億1500萬美元進行安全設備改進、3100萬美元的受影響機構和個人的初期通報，以及爲受影響用戶提供的1億1200萬美元信用保護。

Anthem在2016年表示，沒有證據表明會員(yuán)的數據已經被出售，共享或使用。信用卡和醫療信息也均爲被利用。
11. RSA Security

日期：2011年3月

影響：可能有4000萬員(yuán)工(gōng)記錄被盜。

2011年3月，EMC公司旗下(xià)安全部門RSA遭到安全攻擊。攻擊者向RSA雇員(yuán)發送包含了Excel文件附件的郵件，該附件利用了一(yī)個新的Adobe Flash零日漏洞（CVE-2011-0609），觸發後在受害機器上安裝Poison Ivy RAT遠程控制木馬。因此，攻擊者獲得了RSA公司内部網絡的訪問權，進而從網絡搜集更高權限的賬号，最終獲得了RSA的Secur ID令牌産品的相關數據。Secure ID令牌是RSA公司的一(yī)次性密鑰認證産品，有數百萬企業員(yuán)工(gōng)使用。它提供不斷變化的六位數動态密碼，與常規密碼一(yī)同使用，實現雙密碼認證。

兩個月後，美國國防巨頭洛克希德馬丁、諾思羅普格魯曼和L-3 Communications接連遭黑客攻擊，攻擊方法如出一(yī)轍，都是使用克隆的RSA SecurID令牌。有業内人士稱，RSA此次遭遇攻擊并不是一(yī)個小(xiǎo)問題， 截至2009年底，約有4000萬個RSA令牌被用于企業和政府網絡中(zhōng)。除了硬件令牌，約2.5億部智能手機在使用軟件模拟令牌。現在，RSA Security 宣布替換大(dà)約4000萬SecurID令牌。
12. Stuxnet

日期：2010年的某個時間，最早始于2005年

影響：伊朗核設施遭到破壞，并成爲了針對電(diàn)網，供水或公共交通系統的現實入侵和服務中(zhōng)斷的經典案例。

2010年9月，伊朗政府宣布，大(dà)約3萬個網絡終端感染“震網”，病毒攻擊目标直指核設施。分(fēn)析人士在猜測病毒研發者具有國家背景的同時，更認爲這預示着網絡戰已發展到以破壞硬件爲目的的新階段。伊朗政府指責美國和以色列是“震網”的幕後主使。整個攻擊過程如同科幻電(diàn)影：由于被病毒感染，監控錄像被篡改。監控人員(yuán)看到的是正常畫面，而實際上離(lí)心機在失控情況下(xià)不斷加速而最終損毀。位于納坦茲的約8000台離(lí)心機中(zhōng)有1000台在2009年底和2010年初被換掉。俄羅斯常駐北(běi)約代表羅戈津稱，病毒給伊朗布什爾核電(diàn)站造成嚴重影響，導緻放(fàng)射性物(wù)質洩漏，危害不亞于切爾諾貝利核電(diàn)站事故。

“震網”無須通過互聯網便可傳播，隻要目标計算機使用微軟系統，“震網”便會僞裝RealTek與JMicron兩大(dà)公司的數字簽名，順利繞過安全檢測，自動找尋及攻擊工(gōng)業控制系統軟件，以控制設施冷卻系統或渦輪機運作，甚至讓設備失控自毀，而工(gōng)作人員(yuán)卻毫不知(zhī)情。由此，“震網”成爲第一(yī)個專門攻擊物(wù)理世界基礎設施的蠕蟲病毒。可以說，“震網”也是有史以來最高端的蠕蟲病毒，是首個超級網絡武器。
13. VeriSign

日期：2010全年

影響：未披露的信息被盜

2011年秋季，全球最大(dà)SSL證書(shū)發布機構VeriSign，在呈交給美國證管會(SEC)的文件中(zhōng)承認2010年曾多次被黑。據稱2010年時，VeriSign曾經數度遭黑客成功入侵到企業内網，并且取得小(xiǎo)部分(fēn)計算機與服務器的訪問權限。

安全專家一(yī)緻認爲，相較于黑客的攻擊行爲，最令人不安的是公司的處理方式。VeriSign此前從未公布過被攻擊的情況。”

VeriSign表示，沒有諸如DNS服務器或證書(shū)服務器等關鍵系統受到威脅，但同時表示，“少部分(fēn)計算機和服務器上的信息被竊取。還沒有報告被盜的信息是什麽，以及它對公司或客戶将帶來怎樣的影響。
14. Home Depot

日期：2014年9月

影響：5600萬客戶的信用卡/借記卡信息被盜。

2014年9月，北(běi)美最大(dà)家居用品連鎖零售集團Home Depot宣布，從今年的4、5月份開(kāi)始，其POS系統就已經被惡意軟件感染。

2016年3月，該公司同意支付1950萬美金賠償。包括支付1300萬美金消費(fèi)者損失，提供650萬美金個人身份保護服務。并同意在兩年内提升數據安全，增設“首席信息安全官”職位。該公司已爲此洩漏花費(fèi)1.52億美金，律師費(fèi)支出就高達870萬美金。

該解決方案涉及約4000支付卡數據被盜的用戶，以及5200萬電(diàn)子郵件地址被竊取的用戶（兩組數據有重疊）。該公司估計違約的稅前費(fèi)用爲1.61億美元，包括消費(fèi)者結算和預期保險收益。
15. Adobe

日期：2013年10月

影響：3800萬用戶記錄。

Adobe公司曾在10月初透露，黑客竊取了該公司290萬客戶的信息，包括他們的姓名、用戶識别碼和加密密碼以及支付卡号，另外(wài)黑客還獲得了Adobe Acrobat以及ColdFusion和ColdFusion Builder的源代碼。

而後過了不久Adobe又(yòu)表示，黑客訪問了存儲在一(yī)個獨立數據庫中(zhōng)的數量不詳的Adobe ID和加密密碼，Adobe表示該數據庫被盜的帳号約爲3800萬，遠遠超出了月初的報道，而且該公司旗下(xià)最受歡迎的軟件——Photoshop的部分(fēn)源代碼也被竊取。同時，黑客也竊取了客戶的名稱、借記卡和信用卡信息。另外(wài)據Krebs的報道稱，似乎還有更多的用戶信息遭洩露，可能超過1.5億。

2015年8月，一(yī)項協議要求Adobe向用戶支付110萬美元違約款，已對其行和客戶進行賠償。在2016年11月，Adobe已支付給客戶的款額爲100萬美元。