分類: 資料外洩/個資外洩

不要成為資料外洩的受害者：任命資訊安全長（CISO）以免太遲

趨勢科技 TrendMicro


CISO

沒有人知道未來會出現什麼，但我可以很有把握的說，2014將被稱為「資料外洩的一年」。不過除了相互指責、推卸責任及無可避免的媒體報導外，還可以看到另一個有趣的現象：幾間被駭的公司在當時都沒有資訊安全長（CISO）。

沒有辦法可以保證你不會出現在2015年的資料外洩事件頭條上，但有個專職的網路安全專家來直接向董事會報告已經成為認真看待安全防護的組織所必不可少的事情。對於仍然缺乏此一職位的公司來說，現在就該採取行動，在2015年過去之前。

代價高昂的錯誤

現實是今日我們所要面對的不再只是待在自己家裡開發惡意程式的壞份子 — 網路犯罪有組織、資源充足並且反應迅速。黑帽駭客知道我們的弱點，準備充分地去利用任何安全間隙，好竊取我們最敏感的資料 — 無論是客戶的個人識別資訊或敏感的智慧財產。

在過去一年，有許多成功的外洩事件利用複雜的針對性攻擊技術來感染零售商的端點銷售（PoS）系統，使用著新「記憶體擷取程式」變種，像是Soraya和Backoff。令人沮喪的是，許多外洩事件是可以避免的。

想想可能產生的龐大損失，組織應該要盡可能地去降低風險 — 透過專門的資訊安全長來集中運作。

Ponemon Institute的最新資料顯示，在2014年發生資料外洩事件的平均成本為350萬美元，比前一年高出15%。而且不只是這些公司們所必須面對的可能產業或監管機構罰款、法律訴訟、甚至是調查和補救處理的費用。更令人擔心的是潛在負面消息會迫使客戶切換到競爭對手，而且對名聲的打擊也會影響到股票價格。

輸入資訊安全長

在其報告中，Ponemon指出資訊安全長是除了事件回應和危機管理計畫等之外的重要預防措施。資訊安全長可以幫助識別資訊安全風險所在，並向董事會闡明以使它們了解，好讓關鍵投資可以順利進行。

零售商Target一直都缺少資訊安全長，一直到最近這起事件發生，他們也被建議如此做。在2013年的資料外洩事件是該產業有史以來最嚴重的一次，超過4000萬筆卡號和7000萬筆客戶記錄外洩。該公司現在已經委派了資訊安全長，但代價是什麼？

下面是一些發生資料外洩事件卻沒有資訊安全長的主要組織：  繼續閱讀

備受覬覦的醫療資料

趨勢科技 TrendMicro

DLP 0224

從報導中得知有8000萬筆Anthem保險公司客戶和員工的個人資料被竊。初步報告顯示外洩資料包括姓名、出生日期、社會安全號碼、地址和包含收入在內的工作資料。

這些都是可以被用來進行身份竊盜的有用資料。

確切外洩的數量還在統計中，不過Anthem也說可能遠超過數百萬筆。

從造成身份竊盜風險的角度來看，這起事件潛在的外洩數量及被竊資料類型已經讓它成為美國有史以上最嚴重的資料外洩事件。

但有兩點讓這件事件顯得更加嚴重，讓我們必須更加提高警覺。

  1. 這起事件的目標是醫療保健機構手上的資料，顯示攻擊者已經認知到這個環境是個人資料的主要礦脈。在美國，我們習慣會毫不猶疑地將關鍵的個人資料交給醫療保健機構。而且還不止如此，我們不僅給出個人資料，還包括家庭資料。如果目的是為了進行身份竊盜，沒有比這更好的目標了。
  2. 這起攻擊針對了藍十字藍盾協會內最大的營利性醫療保健公司，也是美國第二大的醫療保險公司。這並不是一般的駭客活動，而是擁有大量資源的組織化攻擊。Anthem是個大角色。種種的跡象顯示這是起複雜的攻擊，顯示這次的目標遭受到主力攻擊。就算是大傢伙也被扳倒了。而且，如果這樣規模的組織也成為了受害者，那整個產業都該擔心了。

在近一年前，美國聯邦調查局警告說醫療保健產業也岌岌可危。看到今日這起事件，我們可以了解這警告是有原因的。我們也知道攻擊成功後會產生什麼後果。更重要的是，我們看到了這是整個產業所要面對的風險 — 跟大小或複雜度無關。

醫療保健機構在去年就該聽從美國聯邦調查局的警告，並且要建置能夠偵測入侵發生跡象的對應方案，而不只是防止入侵的防護方案。在我們撰寫這篇文章時，很有可能還有其他醫療保健機構的網路遭受入侵，資料被取走。而真正的問題是，我們需要過多久才會知道。

醫療保健產業可以從去年零售業的資料外洩事件中所學到的教訓是要能夠廣泛而快速的協同合作以及共享資訊。我們知道攻擊者會共享資訊。而當醫療保健產業也有資訊分享和分析中心時，可以做到更多的事情。

歐巴馬政府最近呼籲要進行更多立法來提高網路安全防禦系統和資料外洩事件通知。由於醫療保健是個監管嚴格的產業，這起最新事件顯示出針對醫療保健資料加強安全性的行動有多麼重要。

這可能是第一起的大規模醫療資料外洩事件。但它不會是最後一次。我們有機會避免重蹈零售業的覆轍，只要醫療保健產業可以快速地行動，並且和政府及私人單位共同合作。想瞭解更多資訊，請點入這裡。

 

＠原文出處：Healthcare Data in the Cross-Hairs作者：Christopher Budd

 
 

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚

◎ 歡迎加入趨勢科技社群網站
  

美國第二大醫療保險公司 Anthem資料外洩事件：你該知道什麼?

趨勢科技 TrendMicro

美國第二大的醫療保險公司Anthem 公開自己發生嚴重的資料外洩事件。

這起外洩事件可能影響多達8000萬名現在和過去的客戶及員工。Anthem仍在進行調查以確認究竟有多少人及誰遭受到影響。

DLP

底下是一些你需要知道的重要資訊以瞭解情況。

  1. 如果你現在或曾經是Anthem的客戶或員工，那就可能受到影響。Anthem在完成調查前還無法確定有誰受到影響。這代表曾是他們客戶或員工的人都可能被影響。
  2. 被竊了足以用來進行身份竊盜的資料。Anthem表示被取走的資料包括姓名、出生日期、會員編號/社會安全號碼、地址、電話號碼、電子郵件地址和工作資訊。這些資料足夠用來進行身份竊盜。
  3. 醫療資訊和信用卡/記帳卡資訊沒有被竊。Anthem已經確認個人醫療資料沒有被竊。他們也確認了信用卡和記帳卡資訊沒有被竊。
  4. Anthem將會聯繫所有受到影響的人。根據他們所發表的資料，Anthem將會透過傳統郵件通知每個受此資料外洩事件影響的人。
  5. Anthem會提供信用監控/身份竊盜防護服務給所有受到影響的人。Anthem也承諾會提供信用監控/身份竊盜防護服務給所有受到此次資料外洩事件影響的人。相關資訊也將會透過傳統郵件提供。
  6. Anthem設立單一平台來提供此次資料外洩事件的相關資訊。Anthem設立了一個特別的專用網站來提供此事件的相關資訊。這個網站包括有誰受到影響以及正在進行什麼的資訊。因為一切還是發展中，你應該到此網站查看最新資訊。網址在：https://www.anthemfacts.com/。

繼續閱讀

當你的個資流入黑市…

趨勢科技 TrendMicro

個人資料的供給、需求和成本

 

查看資料圖表：個人資料的全球黑市

 

資料貨幣化不再只限於信用卡詐騙。身份竊盜經過長時間的演變也跟上了科技的腳步。今天的地下經濟會買賣你的線上資料 — 電子郵件、社群媒體、線上遊戲和網路銀行帳號登入憑證等等，就跟一般商家買賣貨物、商品和服務一樣。對於駭客來說，網路帳號就像是一口可以深掘的井。而對於受害者來說，影響並不僅僅只是失去金錢或變得不便。丟失個人資料會造成一輩子的影響，因為資料不會過期，可以無限地重複使用和在地下交易。

誰負責保護資料？當然，資料擁有者或是我們信任去擁有我們個人資料的公司應該要保證其安全，他們需要遵循一定的規則和標準。但是我們也有責任去保證自己的資料安全。我們在給出資料時要認真了解對象是誰。畢竟，如果我們沒有給出去，它也不會落在別人手裡。

除了遵守安全的上網習慣外，使用可信賴而有效的安全解決方案也有助於強化你的設備和系統安全，並且要隨時保持更新。同時要記住網路犯罪份子總是在尋找著漏洞攻擊。想想看你在網路上給出資訊所可能造成的影響，那麼花在仔細檢查誰能夠看到你個人資料以及保護你的設備和系統不中毒所花費的時間也是值得的。

網路犯罪地下經濟系列（CUES）可以幫助你更加了解當自己成為網路犯罪受害者時會發生什麼事，同時也讓人一窺中國、俄羅斯和巴西地下市場以及網路犯罪分子想要偷竊並販賣的資料類型。想要看看更加直覺的詳細資料，閱讀互動式的報告 – 「遭竊個人資料的全球黑市」，可以看到交易個人資料的不同國際黑市，哪些類型的資料可以買賣，它們的價值以及你可以做的事情。

 

＠原文出處：The Supply, Demand, and Cost of Your Data

回顧（及前瞻）PoS惡意軟體

趨勢科技 TrendMicro

2014年是PoS（銷售終端）威脅倍受矚目的一年。沒錯，PoS威脅已經存在多年了。但去年一月的Target資料外洩事件讓普羅大眾注意到此種威脅。

IOE POS 刷卡 信用卡 網路購物

2014：PoS惡意軟體的一年

雖然Target資料外洩事件可能是2014年第一起和銷售終端有關的攻擊，但很快地我們就清楚地知道這並非最後一起。到去年第三季為止，出現了六個PoS記憶體擷取惡意軟體，這跟2011年到2013年間所發現的變種總數一樣。

更讓人感興趣的是，這些新變種不是借用早期版本的功能，就是直接從舊版PoS記憶體擷取惡意軟體家族演進而來。例如，BackOff是Alina的前身。BackOff據報導曾被用在針對Dairy Queen和UPS的攻擊中。

但它們並非唯一在2014年活躍的變種。備受矚目的Home Depot外洩事件跟一個被稱為BlackPoS的知名PoS惡意軟體家族有關。這也是用在Target資料外洩事件中的惡意軟體家族。PoS惡意軟體還出沒在美國的感恩節周末，這是有名的購物假期。另一個被稱為LusyPoS的銷售終端惡意軟體則出現在俄羅斯地下論壇。

 

在地下世界的PoS相關活動

由於PoS記憶體擷取程式漸漸地被大量做為快速賺錢的工具，開發套件也開始在網路犯罪地下世界浮出檯面。其中一個是VSkimmer，在2013年出現用來打造PoS記憶體擷取程式的工具。

透過記憶體擷取程式竊取信用卡資料後，多數詐騙份子接著會在論壇上批次出售偷來的信用卡資料。交易都是使用比特幣、西聯匯款、MoneyGram、Ukash或WebMoney等完成，因為這些方式提供買賣雙方便利性和匿名性。

就跟一般產業一樣，供需問題會大大的影響地下世界。不同的信用卡根據需求和供給狀況而在地下卡片市場有著不同的單位價格。一次性大量購買信用卡資料通常都有折扣，在某些例子中甚至可以拿到高達66％的折價。

一個有意思的發現是Discover和美國運通（AMEX）卡的單價比Visa和MasterCard卡高。這是因為AMEX和Discover卡的資料跟較通用的Visa和MasterCard卡比起來更難看到；少見的資料價格較高。不過並沒有明確原因顯示出AMEX和Discover卡資料會比Visa和MasterCard卡資料來的更有利可圖。

擴大目標

PoS攻擊也在2014年擴大其目標範圍。詐騙份子走出了購物中心，開始攻擊像機場、地鐵站和停車場等新目標。

資安公司Census的研究人員展示關於針對機場旅客的PoS攻擊資料。Census將PoS的定義延伸到機場的自助登機服務站、無線網路服務站、行李定位服務站等。研究人員可以發動簡易的攻擊以從這些自助服務機台擷取旅客的資料。資安公司IntelCrawler談論到一個稱為「d4re| DEV1|」（daredevil）的PoS惡意軟體，它的目標是大眾運輸系統的車站。該惡意軟體具備遠端管理、遠端更新、記憶體擷取和鍵盤側錄等功能。

停車場也成為詐騙份子竊取付費資訊的熱門目標。一家美國的停車場管理廠商有17座停車場的付費處理系統受到入侵。另一家泊車服務公司Park’N Fly也發生資料外洩事件，被竊走的資料出現詐騙事件裡。另一家服務onestopparking.com也成為Target和Home Depot資料外洩事件幕後網路犯罪集團的受害者。

 

PoS攻擊的未來

那PoS攻擊的未來會是什麼？ 繼續閱讀