資料外洩/個資外洩 - 資安趨勢部落格

雲端讓資料外洩的機率和成本越來越高

2014 年 07 月 09 日2014 年 07 月 09 日趨勢科技 TrendMicro

資料外洩一直是企業必須面對的一項風險。一位不滿的員工，或者單純的檔案櫃沒有上鎖，就能造成敏感資料外洩，導致高昂的財務、信譽與法律損失。

IT 不斷演化的結果為網路犯罪者帶來許許多多的攻擊管道
儘管如此，隨著 IT 逐漸成為企業各單位的營運核心，這類事件發生的頻率和嚴重程度只會不斷擴大。現在，光是利用網站平台的一個小小漏洞 (如 Adobe Flash)，駭客就能取得寶貴的資訊，掌握登入資訊，或者找出供應鏈上的弱點。近年來的一些大型資料外洩事件包括：

美國 Target 連鎖超市的銷售櫃台系統 (POS) 去年冬天遭網路犯罪者透過一位維護 Target 基礎架構的 HVAC 承包商的人員入侵。
2012 年 LinkedIn 社群網站因網路遭駭客入侵而洩漏超過 6 百萬筆未使用加料雜湊值的密碼 (Unsulted Password)。
可口可樂 (Coca-Cola) 因多部筆記型電腦失竊而遭到突襲，導致 74,000 多筆現職與離職員工資料外洩。

上述資料外洩事件的原因，從 PC 實體安全措施不足到企業網路弱點不等，顯示今日科技化企業在防範攻擊方面所面臨的挑戰涵蓋範圍廣泛。除此之外，雲端運算正逐漸融入 IT 系統當中，使得網路安全工作變得更加複雜，即使雲端現已增加了新的功能來減少 IT 流程與成本，情況依然相同。

根據 IDC 估計，未來六年雲端相關技術將占網際網路及通訊資產支出的 90%。儘管雲端正快速崛起，但它仍舊是多數企業最頭痛的安全問題。

雲端如何導致資料外洩
為何雲端和資料外洩的風險息息相關？基本上，使用某種雲端服務，不論是偏向消費導向 (如 Dropbox) 或是屬於專業人士工具 (如 Adobe Creative Cloud) 或者是企業自動化平台，IT 部門至少必須將一部分的掌控權交給第三方供應商。

JumpCloud 共同創辦人 Rajat Bhargava 告訴紐約時報記者：「毫無爭議地，當您不擁有該網路時，基本上就等於對外開放，而且您無法掌控其軟體。基本上，相較於將資料儲存在企業內部，雲端就是較不安全。」

企業的安全也越來越受制於員工，因為員工會使用一些普遍缺乏安全機制的雲端應用程式與工作流程，進而危及企業敏感資料。例如，2014 年 Ponemon Institute 研究機構發表的「雲端加密趨勢」(Trends in Cloud Encryption) 研究報告指出，雖然幾乎所有受訪者都計劃將公司資訊移轉到雲端，但他們的作法卻很隨便：

59% 的受訪者表示他們在基礎架構服務 (IaaS) 和平台服務 (PaaS) 上存放的資料皆未經過加密。同樣的數字對軟體服務 (SaaS) 而言則是 45%。
26% 的 IaaS/PaaS 資料與 39% 的 SaaS 資料已經過加密，其他資料安全機制則分別涵蓋 15% 與 16% 的應用程式資訊。
19% 的受訪者視 SaaS 安全為客戶和供應商的共同責任。此數字在 IaaS/PaaS 方面則有所不同，僅有 22% 認為供應商須負起完全的責任，這類雲端的安全 (如果稱得上安全的話) 基本上還是靠使用者自己來保障。

如同該機構的研究發現，當企業必須承擔雲端安全的責任時，許多企業做的並不夠。未加密的資料根本就是招人覬覦，一旦失竊，資料便立即可用。想到這點，就不難理解為何雲端能大幅提高動輒數百萬美元的大型資料外洩事件發生風險。

使用雲端可能提高大型資料外洩的發生機率
Ponemon Institute 另一份由 Netskope 贊助的報告提出了一項所謂的「雲端加乘效應」，隨著企業使用越來越多的雲端服務，企業暴露在資安事件的風險就越高。基本上，每增加 1% 的雲端服務，資料外洩的機率就上升 3%。

Netskope 創辦人暨執行長 Sanjay Beri 指出：「想像一下，若資料外洩的機率會因為您使用雲端而增加三倍的話，這就是企業 IT 人員將面臨的挑戰，而他們也開始意識到自己必須調整安全措施來因應。」繼續閱讀

失竊信用卡,竊取帳號價格下滑,因 ”供應量增加 ”:再訪俄羅斯地下世界

2014 年 06 月 05 日2014 年 06 月 09 日趨勢科技 TrendMicro

俄羅斯地下世界從2014年就開始（以有組織的方式）存在，用來作為買賣和資訊交流的平台。一些著名的俄羅斯地下中心包括zloy.org、DaMaGeLab和XaKePoK.NeT。這些論壇最初主要是用來交換資料，但其作為市場的作用已經變得更加突出。

今日俄羅斯地下世界的許多部分都已經高度的專業化。找對人的網路犯罪份子不再需要去自己建立所有的攻擊工具，相反地，他可以和買家購買特定產品及服務。例如，你可以看到各種專注在檔案加密，DDoS攻擊，流量重導或是將網路流量金錢化的團體。各團體可以專注在自己最擅長的項目上，製造更好、更先進的產品。

今日在俄羅斯地下經濟中最暢銷的產品或許是網路流量和各種流量相關產品。包含了流量偵測系統（TDS），流量重導和按安裝付費（PPI）等服務。買來的網路流量不僅會增加網路犯罪受害者人數；也可以用來收集潛在目標攻擊受害者的資訊。

就跟其他經濟一樣，俄羅斯地下市場也遵循著供需法則。地下市場的商品價格已經全面的下跌。這就是因為這些產品的供應量增加 – 例如，竊來的美國信用卡被大量的提供；結果就是造成價格下降。證據就在下表內的失竊信用卡價格：(以下幣值為美金)

圖一、失竊信用卡價格繼續閱讀

詐騙集團為何知道我的名字 ? 從手機簡訊小額詐騙談,提供個人資料前問自己的四個問題

2014 年 05 月 28 日2014 年 06 月 12 日趨勢科技 TrendMicro

如果你還不擔心資料外洩的問題，那麼你應該要開始擔心了。手機詐騙簡訊猖獗，根據165專線統計，4月至今案例已累計到292件,一個月左右時間案件數就成長了 5 倍以上。刑事警察局統計，今年光是一月到四月，簡訊詐騙件數高達 497 件，詐騙金額 315 萬元，遠超過去年整年總和。很多受害人因為收到如下標記有自己姓名的簡訊,而不疑有他的按下詐騙連結因而損失數千元不等:

「劉○○先生,你的露天商品已經送達門市..」、「許○○這是你那晚沒來的照片，我被整慘了…」、「謝○○我在墾丁拍的照片，你覺得哪張最好看?」、「林○○這是上次同學聚會的照片，大家都有來」、「何○○這是上次聚會的照片，你好好笑」…(看手機詐騙簡訊一覽表)

“到底詐騙集團怎麼知道我的名字?”

一旦你的資料被竊取，就等於是開放給所有的網路詐騙集團。除了你在網路上填寫的個資外洩外,以下這個健保卡詐騙事件,也讓很多人一不小心就奉上自己的真實個資:

詐騙集團也會利用語音詐騙方式來竊取民眾提供個人資料，或進行轉匯款行為。其手法為，撥打民眾手機，並撥放語音：「這裡是中央健康保險局，為辦理換新健保卡作業，請按分機號碼 9 ，辦理個人資料登錄。」只要民眾按 9 ，電話改由專人接聽，以核對個人資料為由，要求被騙民眾說出自己的姓名、電話、生日、身分證字號等，一不小心個人資料便被套走。
《資料來源》全民健康保險雙月刊第96期

提供個人資料前請問自己四個問題：

除了必填的欄位,選填欄位有必要填嗎？如果任何欄位是選填的，那麼就不要填。畢竟駭客們沒辦法偷走你沒提供的資料。
提供資料之前先想一下，從這網站所能得到的，是否值得用個人資料去交換。
如果它值得，考慮一下是否需要提供你全部（與真實）的個人資料。可以考慮換成提供假的資料。
如果牽扯到錢時，要特別小心的提供你的資料。

由趨勢科技 Trend Micro 貼文。

你不會把你的月收入告訴旁邊的人，但為何要告訴網路市調/會員公司？

基本原則是，每個上網的人，包括你、我和讀者們，都要對自己的資料負責。太多網站要求過多你可能不希望他們知道的資料。網路論壇是否真的需要知道你賺多少錢，從事哪個行業或是什麼時候生日？你的真實資料這麼寶貴，是不應該隨便交出去的，尤其是這些資料可以用在行銷或廣告目的上。

現在有這麼多分享的方法，讓事情保持私密變得日益困難。網站和各種服務往往會要求填寫個人資料並追踪使用者的上網習慣，以提供更「個性化」的體驗。除了特定群組間的分享方式外，上網分享幾乎已經成為與公眾分享的代名詞。不論一個帳號的隱私級別為何，貼在網路上的任何東西遲早都會向大眾公開。

在你該做些什麼來保護你的隱私秘密？中,我們建議助使用者：

避免在社群媒體上過度分享。
不要在你不信任的網站上使用網路銀行或購物。
追踪你的資料，無論它是在雲端或在你其中一個設備裡。

@原文出處: Should You Start Lying Online?

趨勢科技PC-cillin 2014雲端版獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛！
即刻免費下載

@延伸閱讀

脆弱的密碼就像鋪張紅毯歡迎身份竊盜入門

密碼提示問題如何設定才不會被猜中？

脆弱的密碼就像鋪張紅毯歡迎身份竊盜入門

eBay遭駭1億4千萬用戶個資恐外洩！五個問題請教 eBay…

2014 年 05 月 23 日2014 年 05 月 23 日趨勢科技 TrendMicro

這幾天的大新聞 eBay用戶帳密資料庫遭駭1億4千萬用戶個資恐外洩,eBay於5月21日在官方部落格緊急發布公告坦言:「該資料庫在二月底和三月初受駭，範圍包括 eBay的客戶姓名、加密過的密碼、電子郵件地址、實際地址、電話號碼和出生日期」這些用戶資料都有可能外洩，報導推測恐超過了去年12月美國第二大連鎖商店 Target 遭駭所影響的1.1億客戶，eBay遭駭事件將成為美國史上最大宗資料外洩事件。

eBay目前是說並沒有看到有詐騙事件出現。而且eBay也說此起資料外洩事件並不會影響到PayPal帳號：據他們所說，這些都儲存在分開的系統上。

如果你是eBay客戶，這首先代表的是你要變更密碼了。隨著像這樣的資料外洩事件接二連三的出現，很重要的一點是要在每個網站上都使用獨特的密碼。這也是像趨勢科技PC-cillin 2014雲端版內建的<密碼管理 e 指通>這樣的密碼管理工具可以幫上忙的地方。

除了變更密碼，此一事件也再次顯示出你可能需要看看即時身份竊盜監控。跟其他我們見過的資料外洩事件不同，這次包括了實際地址、電話號碼和出生日期，能夠讓惡意份子更容易去竊取你的身份。只是變更密碼並無法保護你免於此種威脅。

在2014年初，趨勢科技的技術長Raimund Genes預測每個月都會出現一起大規模的資料外洩事件。這之後出現了Target和Nieman Marcus資料外洩事件，所以很不幸地，這預測看起來相當正確。

關於此事件的其他觀點，可以參考以下這篇文章提出了給eBay的五個問題，而且可以同樣地適用於任何廠商。

——————————————————————————————

趨勢科技全球安全研究副總裁 Rik Ferguson

如果你正在製作高知名度的資料外洩事件列表，你現在有個新名字可以加進列表裡了：eBay。在他們網站新聞中心的一篇文章裡，eBay在一定程度上確認了資料外洩的規模，雖然標題上看不出來。

「該資料庫在二月底和三月初受駭，範圍包括eBay的客戶姓名、加密過的密碼、電子郵件地址、實際地址、電話號碼和出生日期」

雖然調查還在進行中，目前的文章顯示eBay大致確認只有一個資料庫遭到未經授權的存取，至少文章內的用詞是這樣的意思。現在，如果你是個eBay使用者，你將會需要變更你的密碼。如果你在其他網站上也用了一樣的密碼，那你也要在那些網站上變更密碼（是的，再一次地）。不幸的是，變更名字或地址就沒那麼容易了，所以這些部分所受到的危害還是沒有改變。

eBay，我有一些問題要問你（是的，我很生氣，這些都是我託付給你的資料）

1 – 如果所有的敏感資料都存放在單一的資料庫上，為什麼沒有加密。事實上，為什麼沒有跨多個資料庫的加密？我有些惱怒的注意到，「所有的PayPal金融資料都是加密的」，還在執行兩層式的系統嗎？

2 – 如果你要告訴我，它是加密的，但攻擊者取得了資料庫的登入憑證，那為什麼這些重要的系統沒有使用雙因子身份認證？

3 – 為什麼只靠被駭的登入憑證就可以存取企業網路？再一次，多因子認證呢？

4 – 為什麼具備eBay這樣資源的組織需要花上三個月來發現資料被不當存取過，更不用說還被竊走？入侵外洩偵測系統在哪裡？

5 – 我的密碼是怎樣「加密」的？我想要細節。我想知道是用哪種演算法以及是如何加料（Salted）的。我想知道我的密碼會被暴力破解的實際機率，這樣我才能準確的評估我的受害程度，並提供實用的建議給別人。

額外的加分題

– 一開始的帳號被駭是怎麼發生的，你要如何確保這不會再發生？

有效的安全性已經不再是想要去設計出可以永久阻絕攻擊的架構了，這只是痴人說夢而已。如果他們想進入，他們就會做到。有效的安全性是接受可能被駭的現實，將系統和流程整合以讓你可以及時發現和反應，關鍵是，你要讓攻擊者極難帶走他們原本想要的目標。你又是怎麼做的呢？

你在新聞聲明結尾中提到：「相同的密碼絕對不要在不同網站或帳號上使用」。我同意。我要以此來結束我的「聲明」。

敏感資料，尤其是你被信任而持有的資料，都應該要加密，沒有例外。

噢！還有，如果你送出提供連結來讓我點入以變更密碼的電子郵件。那你就永遠地從我進行聖誕購物的選擇中除名了。