臨近年末，忙碌了一年就這樣接近了尾聲。此時此刻，相信絕大多數的人與筆者一樣，忙著盤點過去一年間的得與失，規劃未來新一年。回望過去一年，安全圈里還真的發生不少大事要事。

在今天的文章里，我們為大家按嚴重等級以及影響規模，整理了一份發生在2017年的重大數據泄露事件報告。

如今，這個表面看似風平浪靜的網絡世界，實際上并不太平。在眾多安全威脅中，數據泄露已成為全球范圍高發的安全事件之一，且這個趨勢仍在持續。

僅今年上半年，就有大量數據因直接或間接原因，遭到泄露，其總數多達19億條，超過了2016年全年數據泄露的總和（13.7億），且都是由于相同或相似的原因造成。

例如數據存儲的安全問題，配置錯誤導致，缺少實際的安全解決方案保護數據，或是使用未經修補和不再受支持的軟件（且存有可利用的漏洞）。

為了引以為戒，這里我們按嚴重等級以及波及范圍為大家選取了10個數據泄露事件，為大家進行播報，我們想說的是，發生在別人身上的都是故事，發生在自己身上的才是悲劇。

如今，網絡攻擊不再是小打小鬧，它所產生的影響（錢財和名譽）可能讓一家企業從此走向衰敗。所以，不要等自己遭受損失了才去認真面對身邊的網絡安全問題。

Dun&Bradstreet（鄧白氏）

今年3月，世界著名的商業信息服務機構Dun&Bradstreet（鄧白氏）經歷了一起嚴重的數據泄露事件，一個大小為52GB的數據庫意外在線泄露，包括AT＆T、沃爾瑪、Wells Fargo、美國郵政，甚至美國國防部等在內的3300多萬員工的信息和聯系方式等。

經分析共發現33698126條記錄，包含詳細的聯系方式、職位名稱、郵箱地址、電話號碼以及雇主信息等。

據了解，鄧白氏的全球商業數據庫覆蓋了超過1億條企業信息，并通過鄧白氏特有的內部流程對每天收集的原始數據進行編輯、核實，以保證數據質量。可見，目前商業網站仍是黑客攻擊的主要目標之一。

America's JobLink（AJL）系統被黑

同樣是今年3月，一名黑客利用美國Job Link系統中的漏洞劫持了480萬個帳戶，導致480萬名求職者的個人信息被泄露。

這些信息中包括了姓名、出生日期和社會保障號碼，受影響的用戶覆蓋阿拉巴馬州、阿肯色州、亞利桑那州、特拉華州、愛達荷州、伊利諾伊州、堪薩斯州、緬因州、俄克拉荷馬州和佛蒙特州。

據悉，被攻擊的是位于美國堪薩斯州的Job Link系統，而美國有十個州使用的是Job Link系統，并且都與愛達荷州勞工部IDAHOWORKS職位搜索引擎相連。

Job Link發布警告稱“AJL系統受安全事件影響。2月23日至3月14日，未經授權的用戶可能訪問了十大州AJL系統的個人求職者賬戶信息，包括姓名、出生日期和社保號。”目前，導致數據泄露的漏洞已被修復，據估算約有17萬Idaho賬戶信息被查看。

洲際酒店集團（IHG）

今年4月，洲際酒店集團（IHG）在其系統中發現了惡意軟件，該惡意軟件從信用卡磁條中讀取包括信用卡號碼、有效期、內部驗證碼，甚至持卡人姓名等記錄數據，導致集團位于美國和波多黎各超過1000家旗下酒店受到影響。

據悉，受影響的品牌包括集團旗下的假日酒店、皇冠假日酒店、英迪格酒店和伍德套房酒店。

對此，洲際酒店集團表示，經調查證實“這款惡意軟件的設計意圖是從洲際酒店集團旗下酒店的前臺使用過的信用卡中獲取支付數據，時間是在2016年9月29日至2016年12月29日”，即這段時間在美國入住過受影響酒店的顧客有可能被盜取支付卡信息。

實際上，偷取支付卡數據的網絡大盜在過去幾年中不斷地攻擊大型連鎖酒店。許多案件中，網絡大盜把惡意軟件植入酒店中的餐廳、酒吧等零售終端設備。

在過去兩年中，受惡意軟件侵入的零售終端設備，成為支付卡數據泄露的主要源頭。一旦將惡意軟件植入零售終端設備，黑客就能遠程獲取任何一張在收銀機上刷過的支付卡的數據。

Deep Root Analytics選民數據泄露

今年6月份，一家名為Deep Root Analytics的數據公司發生了數據泄露，此次事件涉及1.98億名美國選民的敏感信息，包括姓名、出生日期、住址、電話號碼以及選民注冊細節信息。

甚至還包括政治團體采用的先進情緒分析來預測個人選民如何處理熱門問題，如槍支所有權，干細胞研究和墮胎權，以及宗教信仰和種族，約占投票總人數的61％。

此外，有超過1.1TB的隱私資料存儲在亞馬遜云服務器上，而且沒有設置任何保護密碼，任何能夠連接到互聯網的人都能訪問。

只需前往訪問“dra-dw”這一六個字符組成的Amazon子域名，即可獲取這批為特朗普帶來選舉勝利的重要數據集。

根據對內容進行的檢查，“dra-dw”代表著“Deep Root Analytics數據庫”。事后認定此次事故源自一套存在配置錯誤的數據庫。

Verizon Communications（威爾遜電信）

同樣是6月份，美電信巨頭Verizon的600萬用戶數據被泄露，但直到7月Verizon才證實這一消息，并在一份聲明中稱數據泄漏是由該公司供應商的一名員工造成。

因操作失誤導致外部可進入云存儲區域訪問信息，而這些數據是在沒有保護的亞馬遜S3存儲服務器上泄漏的，這使得任何有公共鏈接到云的人都可以使用這些數據。

網絡安全公司UpGuard的網絡風險小組根據下載樣本中美國電信運營商Verizon公司的客戶姓名、地址、帳戶信息以及帳戶個人身份編號（簡稱PIN）的具體情況進行平均值分析。

最終驗證了是由于一套云文件存儲庫存在配置錯誤，導致目前該公司已經有多達1400萬（Verizon方面表示只有600萬客戶信息遭到曝光）用戶數據遭到外泄。

英國國家醫療服務體系（NHS）被黑

今年8月份，匿名黑客組織利用微軟操作系統的弱點攻擊了英國NHS，且病毒散播至英國全境，導致32501條行政數據以及120萬條病歷記錄被竊取。

期初只是電腦被凍結了，進而發展到擇期手術被取消，診所工作被重新安排，醫院各樓層開始出現騷動，醫療近乎癱瘓。可以說，此次事件對整個醫學界都敲響了警鐘。

美信用機構Equifax遭入侵

今年9月份，美知名信用機構Equifax宣布，公司從5月中旬到7月份之間曾被黑客攻擊，約有1.43億名的用戶數據遭到泄露，被黑客竊取的信息包括了社保號碼、生日、地址、信用卡信息等敏感信息。

根據美國人口普查局的數據顯示，美國人口為3.23億人，也就是說近半數的美國人可能因為Equifax的數據泄露而陷入危險之中。

在事后的新聞稿中Equifax宣布，Equifax首席信息官Susan Mauldin和首席信息官David Webb“將離開”。

此次泄露事件，引起了消費者利益維護者和立法者的憤慨，要求公司對這一事件作出解釋。此前，Equifax曾表示公司相信黑客是通過Apache Struts的軟件漏洞入侵了系統。

該漏洞的補丁是在3月份提供的，而Equifax則表示其在五月份遭遇黑客攻擊，引起批評者質疑Equifax是否及時修復軟件漏洞，對此Equifax尚未做出澄清。

雅虎30億個用戶隱私泄露

[[214190]]

今年10月，雅虎宣布公司在2013年黑客入侵事件中共有30億名用戶的賬號信息被竊取，這一數字在2016年12月的初步報告中還只是10億。

這將導致相關訴訟數量增加，令本就陷入低谷的雅虎處境更困難。此次事件中，遭到泄露的雅虎用戶賬號信息包括用戶姓名、電子郵件地址、電話號碼、出生日期、密碼，以及一些安全問題和答案。

對此，雅虎和調查方曾表示，“得到國家資助的黑客”發動了這次攻擊，但并未指明具體是哪個國家。

其實，在改起事件中失竊賬戶數量的多少不是最重要的，用戶隱私才是最大的受害方，而雅虎也因賬戶被盜事件面臨至少41個聯邦或地方法庭的訴訟。

優步：不僅隱瞞還給了封口費？

今年11月，優步在聲明中承認公司于2016年遭到過黑客攻擊，并導致數據大規模泄露，包括大約5700萬名乘客和司機的姓名、電子郵箱地址及電話號碼。據悉，黑客是通過AWS云服務對優步的服務器實施了攻擊。

據外媒報道稱，優步早在2016年12月就意識到用戶信息被盜，但是公司并沒有向監管機構報告也未通知受影響的用戶，而是試圖向黑客支付10萬美元（約合人民幣66萬）要求其銷毀信息隱瞞此事，最終導致事件走向復雜化，給公司造成了法律困境。

TIO Networks數據泄露

可能有人還不知道TIO Networks，它是一家基于云的多渠道支付和會計管理提供商，為北美大型電信、無線網絡、有線電視以及公共事業發行商提供服務。

為進一步擴大業務范圍，Paypal去年7月份以2.33億美元的價格收購了TIO Networks。

幾個月后，PayPal發現有黑客訪問了為160萬用戶存儲信息的服務器。出于安全考慮，PayPal于11月10日暫停了TIO Networks的所有業務并著手調查泄露事件。

PayPal當即聲明，由于TIO Networks系統是獨立運行，因此PayPal用戶賬戶并未受到影響。

據悉，TIO Networks公司已公開表達了歉意，并表示會加強TIO系統安全性、保護用戶信息安全。

在事故調查的同時，PayPal已經與消費者信用報告機構展開合作，為客戶免費提供信用監測成員資格。PayPal正在積極聯系受到數據被盜影響的顧客，并指導他們如何登記獲得免費信用監測服務。

受文章篇幅所限，這里我們只列舉了今年幾個重大且影響惡劣的數據泄露事件，希望能以此為戒。當然，從中我們也不難發現，很多數據泄露的成因都敗在了“疏忽”二字上。

然而，數據泄露這一安全問題仍在年年上演，企業如何加強對底層數據的管理，防止數據泄露事件發生，不讓用戶隱私成為最大的犧牲品，才是我們迫切需要深思的問題。