看到有關資料外洩事件的最新消息，抱持一定程度的質疑相當重要。因為，這類重大新聞固然吸睛，但不一定能呈現事情的全貌。反之，歷經十年時間所蒐集的數據，卻能讓我們從中找出一些重要脈絡，分辨事實和迷思，釐清到底是誰在竊取我們的資料，以及背後的動機。
這就是趨勢科技最新一份報告的作法：跟著資料循線追查：解構資料外洩事件及破除迷思 (Follow the Data: Dissecting Data Breaches and Debunking Myths)，這份報告是根據美國民間公益團體 Privacy Rights Clearinghouse (隱私權情報交換所，簡稱 PRC) 於 2005 至 2015 年間所蒐集的公開揭露資料分析撰寫而成。我們希望趨勢科技的客戶在掌握這份資訊之後能更懂得如何防範資料外洩。
內賊和外賊
主流媒體上所播報的網路攻擊與資料外洩事件，大多將焦點放在駭客、惡意程式作者、暗中活動的國家級駭客，以及到處肆虐的網路犯罪集團。但這並非全貌。過去十年來，資料外洩的原因還包括：
|
|
PageFair證實其在萬聖節週末遭受駭客攻擊，501個使用其免費分析服務的未公布網站受到影響，它們的訪客可能遭受惡意軟體攻擊。駭客成功地侵入這家成立三年的愛爾蘭新創公司，將惡意的JavaScript程式碼注入使用其核心服務的網站。
也就是說，在上周末GMT標準時間的11:52PM到1:15AM之間，從Windows電腦訪問受影響網站的使用者都可能面臨風險，不過只有當這些訪客點入一個偽裝成Adobe Flash更新的連結時才會真正受到影響。
在週日，11月1日，執行長Sean Blanchfield透過一篇部落格文章說明此一事件，解釋這起駭客事件是如何發生及為了解決該事件所造成損害而進行的措施。他寫道：「此次攻擊很複雜且特別針對PageFair，但是駭客有辦法存取我們的系統是不能接受的。我們立刻確認了此一事件，但仍然花了超過80分鐘來將其完全停止。在此期間，連上這些信任我們之網站主(Publisher)網站的訪客都成為了這些駭客的目標。」
駭客透過魚叉式網路釣魚（Phishing）攻擊來取得一個關鍵電子郵件帳號，將提供分析用Javascript標籤的內容傳遞網路(CDN)服務的PageFair帳戶進行密碼重置以加以劫持。「他們修改了CDN設定，所以並非提供PageFair的JavaScript，而是提供惡意的JavaScript」。這惡意的有害JavaScript會提示訪客安裝一個假的Adobe Flash更新程式，看起來是針對Windows平台的殭屍網路木馬程式。儘管許多病毒掃描程式可以防止這個檔案執行，但其他可能不能正確地加以偵測。“ 繼續閱讀
今年 10 月 13 日，美國和英國執法單位對惡名昭彰的 DRIDEX殭屍網路採取行動，希望能終止這項知名的網路銀行威脅。美國賓夕法尼亞州西區律師 David J. Hickton 稱這次的行動為「技術性中斷及打擊全世界最惡劣的惡意程式威脅之一。」
【延伸閱讀】FBI和趨勢科技合作,讓銀行惡意軟體 DRIDEX 停擺
英國國家打擊犯罪局 (National Crime Agency，簡稱 NCA) 則稱此行動為「一項針對 Dridex 各版本及其幕後集團永久、持續的打擊行動，這些集團都躲藏在世界上難以發現的角落。」
雖然這項行動已經將 DRIDEX 擊倒，這離消滅它還很遠。在 DRIDEX 遭到破獲之後，趨勢科技估計受害使用者的數量已經降到破獲之前的 24%。這是根據 DRIDEX 感染數量在破獲前一星期和破獲後一星期的比較結果。
在深入觀察這項數據之後，我們發現受害者的分布情況也出現些許變化。尤其，美國的受害者數量大幅下降，從原本的將近 30% 降至不到 14%。
圖 1：受害者分布 (破獲前)台灣也列入其中 繼續閱讀
只有密碼能放心嗎？
登入社群網站及網路購物等網站時，大多數必須輸入帳號/密碼。帳號/密碼機制可用來證明存取該網站的是本人，防止其他人擅自登入。如果將各個網站比喻為住家，帳號/密碼就像是住家的鑰匙。
但是，即使採用帳號/密碼進行認證，若被惡意的第三者發現帳號/密碼，或是遭到盜取時，就可能會被盜用身份而非法登入。就像是家裡的鑰匙被偷走而遭到入侵一樣。
近年來，採用兩步驟驗證的網際網路服務持續增加。 繼續閱讀
在這些日子裡，資料外洩事件來得是如此快速，有時對產業來說重要的是要後退一步並且調整呼吸。很難想像我們已經記錄這些事件有十年了。有鑑於此，趨勢科技決定利用非營利機構 – 美國隱私權資訊交流中心（PRC）所整理的美國資料外洩紀錄並加以分析以提供讓企業能夠更好地保護自己的見解。「這有跟著資料走」兩部曲的報告，能夠在談到過去10年的關鍵資料外洩趨勢時，可以區分迷思跟現實。
這份報告清楚地指出，如果你身在醫療、教育、政府、零售或金融業，那就是這段期間最被針對的產業。事實上，這五個產業佔了自2005年以來公開披露的入侵外洩事件總數超過80%。
最常見被竊的資料類型是個人身份資訊（PII）；醫療、金融、教育和支付卡資料及身分憑證。這些都很容易換錢，成為了利潤豐厚的目標。醫療和教育資料是被竊的大宗，因為它們含有PII。
產業對產業
「跟著資料走：依產業分析資料外洩」是我們報告的第二部，根據產業別來看一些關鍵趨勢。這五大行業出現最多公開披露的資料外洩事件或許並不令人感到驚訝。畢竟，他們儲存了部分最有價值的個人和財務資料 – 所以永遠都會是網路犯罪分子的主要目標。而且他們是被高度監管的產業，因此也更有可能會去回報任何發生的事件。
讓我們來一一簡單介紹，從資料外洩最嚴重的產業開始看下來。
醫療（27%）：從2010年的一次大爆發顯示網路犯罪分子已經發現醫療資料獲利豐厚而防禦薄弱。有意思的是，資料遺失或遭竊佔了資料外洩的三分之二，也在2010年後顯著升高。這可能是因為回報更好或是竊盜增加。駭客入侵佔不到10%。
教育（16.8%）：不尋常地，教育產業的資料外洩事件在下降，也許駭客們轉換到更有利可圖的產業（如醫療）。駭客或惡意軟體（34.2%）、意外洩漏（28.9%）和遺失/遭竊（31.4%）是最大宗的原因。 繼續閱讀