半年盘点：2017年10大数据泄露事件

至顶网安全频道 08月02日 编译：2017年上半年数据泄露持续加速，根据来自Identity Theft Resource Center和CyberScout的报告，数据泄露事件的数量增加了29%达到791个。今年我们不仅看到了一些熟悉的泄露目标，其中就包括信用卡和社会保障号码，而且还有一些攻击是针对第三方数据聚合商和可能为第二波攻击提供信息的公司。本文中，我们列出了一些重大数据泄露事件，在2017年误配置或者安全性不够的云服务器（甚至都不明确数据是否真的发生了泄露）导致大规模安全事件数量的增加导致。当我们步入2017年下半年的时候，先来看看上半年发生了哪些重大的数据泄露和安全事件。

class="fancybox_content" href="/uploads/images/2017/177/lik6gjthnxUTI.jpg?rand=121"

10、Arby's

快餐巨头Arby's在今年2月宣布早于安全漏洞的打击，主要是由于安装在该公司POS系统上的恶意软件。Arby's公司表示，该事件影响到全美3300个地点中的大约1000个，主要是公司门店（特许经营点似乎没有受到影响）。被盗的信息包括从2015年10月26日到2017年1月19日在门店使用的信用卡和借记卡数据。Arby's公司表示，他们已经从POS系统中删除了恶意软件，并聘请了Mandiant等安全专家调查该事件。

9、OneLogin

OneLogin是一家单一登录、身份和访问管理公司，该公司在6月宣布发生数据泄露事件。OneLogin表示，有一个黑客获得了一组AWS密钥，这些密钥允许黑客通过AWS API访问OneLogin公司基础设施的多个实例。OneLogin表示，他们已经停止数据库活动和密钥，建议客户除了常规的重设密码之外，还需要采取其他措施，包括生成新的API密钥、OAuth令牌、安全证书和凭证，并让较终用户更新密码。

8、电子竞技娱乐协会（ESEA）

电子竞技娱乐协会（ESEA）曾在去年12月宣布被黑客入侵，随后视频游戏玩家的信息在1月泄露。这次黑客攻击涉及到的数据库中包括有150万订购了这家视频游戏公司游戏的玩家信息，包括注册日期、地点、较近一次登录、用户名、姓名、电子邮件地址、出生日期、邮政编码、电话号码、网站链接、Steam ID、Xbox ID和PSN ID。据报告，黑客要求至少支付5万美元的赎金才能对这次攻击事件保持沉默。该公司拒绝了这些要求。

7、道琼斯公司

道琼斯公司在7月表示，在一台AWS S3服务器上近220万名订阅者的记录被盗取。道琼斯公司拥有多个知名出版物，包括华尔街日报、巴伦杂志和道琼斯新闻等。有安全研究人员表示，泄露的记录数量可能会多达400万订阅者。虽然还不清楚黑客是否已经访问了这些记录，但是任何AWS认证用户已经可以公开查看这些记录。该数据库中包含客户姓名、道琼斯内部客户ID、家庭和公司地址、客户信用卡的后四位数字、电子邮件地址。

6、世界摔跤协会（WWE）

摔跤迷们的个人信息在7月被泄露，因为一个包含有多达300万用户信息的数据库保存在了一个为受保护的AWS S3服务器上。虽然还没有明确证据表明黑客已经访问了这些数据，但这些数据是以明文形式保存的，没有用户名或者密码，任何访问该站点的人都可以访问这些数据。可能泄露的数据包括姓名、教育背景、收入、种族、家庭、电子邮件地址以及使用者子女的年龄范围。安全研究人员还发现了另一个WWE数据库的安全性堪忧，其中保存在欧洲摔跤迷们的信息，因此WWE就迁移到了这个安全措施不当的AWS S3服务器上。

5、America's JobLink

America's JobLink在3月宣布有大约480万个帐户遭遇黑客入侵影响，求职者们的信息发生泄露。该公司表示，黑客获得了关于用户的个人信息，包括全名、出生日期和社会保障号码。受影响的用户覆盖阿拉巴马州、阿肯色州、亚利桑那州、特拉华州、爱达荷州、伊利诺伊州、堪萨斯州、缅因州、俄克拉荷马州和佛蒙特州。America's JobLink公司还表示，2016年10月的一次代码误配置导致这次泄露事件的发生，该配置错误已经得到了修正。

4、堪萨斯州商务部

堪萨斯州商务部的数据库遭遇黑客入侵，有超过550万人的个人信息发生泄露。该数据库被多个网站用来帮助人们求职，其中包含有超过16个州的人员信息。泄露的数据包括社会保障号码、以及没有包含在SSN中85万个额外帐号的个人信息。

3、Verizon

7月份，有报道称1400万Verizon客户的个人数据发生泄露，这个事件让迁移数据保护措施到云中的重要性变得更加突显出来。该事件较早被研究公司UpGuard发现，涉及到技术提供商Nice Systems，让Verizon客户数据在AWS S3存储实例中没有得到充分的保护。泄露数据涉及姓名、电话号码和可能用于访问Verizon帐户的PIN。报告并没有提到黑客是否访问了这些数据，只是说数据曝光，跳转到未恰当配置的云驱动器的简单URL可访问这些数据。报告称，受影响的订阅帐户占到了Verizon公司1.08亿总订阅用户中的大约10%，主要是那些在过去6个月中调用Verizon客户服务线的订阅者。

2、邓白氏（Dun & Bradstreet）

3月，一个商业企业数据库的泄露事件引发了人们对第三方厂商风险的关注。邓白氏公司的一个大约52GB的数据库发生泄露，有将近3370万独有电子邮件地址和联系信息曝光。该数据库中还包含姓名、职称、工作职能、工作电子邮件、手机号以及常见公司信息。该数据库汇集了公司及其员工的信息，然后大量或者部分售卖给营销人员或者其他企业用于有针对性的销售活动。报道指出，这个泄露的数据库中包含了AT&T、波音、戴尔、联邦快递、IBM和施乐等大公司的数万名员工信息，此外还有各种政府机构雇员的广泛记录，其中就有美国国防部的10万多雇员。

1、美国共和党全国委员会承包商

6月，安全研究人员发现有将近2亿人的投票信息泄露，主要是由于美国共和党全国委员会的承包商Deep Robot Analytics误配置数据库所导致，这些数据保存在了一个可公开访问的云服务器上，托管在AWS S3中。泄露的1.1TB数据包含超过1.98亿美国选民的个人信息，姓名、出生日期、家庭地址、电话号码、选民登记详情等。UpGuard表示，这个数据存储库“缺乏任何数据访问保护”，任何可以访问互联网的人都可以下载这些数据。虽然还不清楚是否有人不当地使用了这些数据，但是当时的合作伙伴表示，该事件显示了有彻底云安全防护措施的重要性。