分析十年來的資料外洩事件-零售業

如果對網路安全掉以輕心，最終可能會付出更加昂貴的代價。在Target資料外洩一例中，資訊長Beth Jacobs在三個月後就被迫辭職。

隨便瀏覽一下過去幾年的新聞頭條，可能會覺得資料外洩事件幾乎都發生在零售業。似乎從2013年12月發生一起重大事件 – 駭客竊取了7000萬筆的Target資料外洩客戶資料之後，攻擊就如同滾雪球一般越來越多，直到現在。但這並不完全是故事的全部。

最新的趨勢科技研究告訴了我們，雖然零售業是金融卡片資料外洩事件最大的受害者，但整體來說，醫療保健、教育和政府部門在過去十年間發生更多起事件。如果我們想要阻止壞蛋們，就必須仔細地研究一下原因。

來到記憶體擷取程式（RAM scraper）

趨勢科技兩份新的跟著資料走報告是根據非營利性的隱私權資料交流中心十年來所整理的資料編製而成。這是無價的真相和數目寶庫，讓我們可以用來找出一些最重要的模式和產業發展趨勢。所以你可能會很驚訝地發現，在2005年到2015年間，只有12.5%的資料外洩事件發生在零售業。這跟發生在醫療機構的26.9%相去甚遠，零售業甚至也比教育界（16.8%）和政府單位（15.9%）狀況要佳。不過或許是因為產業性質的關係，零售業也不令人驚訝的佔金融卡片資料外洩最大宗（47.8%）。

這些是資料所告訴我們的歷史趨勢。它還告訴我們這產業所披露的資料外洩事件在2008年和2010年間增加了一倍以上，此後仍繼續維持在很高的數量。為什麼呢？因為端點銷售（PoS）記憶體擷取程式在2007/8年開始發展。這也是為什麼在這段期間「駭客入侵或惡意軟體」成為最常見的資料外洩類型，佔全部事件的47.6%。PoS記憶體擷取程式讓駭客能夠在網路的匿名掩護下經由遠端發動，用來竊取受感染PoS機台的磁條資料。一旦成功，駭客就可以用這偷來的資料複製信用卡或簽帳金融卡，最後還可以用來進行身份詐騙或在地下網路賣給詐騙分子。

值得注意的是，駭客和惡意軟體事件自2005年以來因為PoS記憶體擷取程式的成功呈現出顯著的成長。但這並非全部。我們的資料還顯示可攜式設備遺失（12.5%）和內部威脅（12.5%）也是常見的資料外洩方式 – 後者在這期間也呈現上升的趨勢，因為員工會在店裡安裝側錄機器來竊取卡片資料。

學到的教訓

如果Target資料外洩資料外洩可以告訴我們些什麼，那就是積極投資在網路安全的預防措施上會比在攻擊過後進行要來得便宜和有效得多。這零售業巨頭在幾份法定檔案中說明自己在2013年花費6100萬美元在資料外洩相關開支上，次年還追加了1.91億美元，雖然部分費用會由保險賠償。這還沒有算上損失客戶的潛在成本，以及難以量化卻同樣具破壞性的對品牌價值及信譽的打擊。它是對在大型零售商工作的資訊長們的警訊：如果對網路安全掉以輕心，最終可能會付出更加昂貴的代價。在Target資料外洩一例中，資訊長Beth Jacobs在三個月後就被迫辭職。

POS記憶體擷取惡意軟體可以在短時間內提供龐大的信用卡詳細資料，因此仍是駭客們的熱門首選。這是新EMV卡也不會解決的問題。因此，零售商的IT主管必須採用最佳實作來提高安全性，包括：