2015年网络信息安全大事件个人信息泄露依旧泛滥

/反序列化/(虫洞)/未授权访问//--/(寄生兽)//重定向/(疯怪)/在这一连串的漏洞中,有系统级的如,也有协议级的,如和。有应用性质的如,还有“长老级”的漏洞,如重定向。但无论哪种,均未造成如去年心脏出血漏洞那种级别的影响或损失。原因不外乎,整个业内在各个环节对安全工作的加强,以及应急能力的提升和漏洞提交机制的完善。但不可忽视的是,地下黑市对流行软件漏洞和零日漏洞的交易极大的危害着全球上网人的利益,甚至是国家和社会安全。

四、信息泄露汹涌依旧年数量最大的四起信息泄露事件分别为,美国人事管理局()万政府雇员及申请人信息泄露;美国第二大医疗保险公司万客户及员工信息泄露;面向全球的婚外恋网站万用户信息泄露;意大利间谍软件公司被黑,包含多个零日漏洞、入侵工具和大量工作邮件及客户名单的数据被传到网上任意下载。这四起信息泄露事件的影响面各有不同,上升到国与国之间网络战争的政治影响,主要事关客户个人保险号和病历,则主要为隐私和道德问题,已有两人因此事而自杀。的影响主要在于工程化的漏洞和后门代码公开,等于把网络武器交到不法人员的手中,轻易地提高了整个地下黑产的平均技术水平。下面是年全球影响比较大的信息泄露事件,时间为事件披露的月份,非事件发生时间:年年底,铁道部官方网站(.cn)13万用户信息泄露,包括身份证、登录口令等,据调查分析应是撞库所至; 年1月,俄罗斯约会网站,万用户名和电子邮件地址被盗;2月,优步()披露,5万名优步司机的个人信息被不知名的第三方人士获取,包括社保码、司机相片、车辆登记号等信息;3月,医保提供商蓝十字披露,万客户的医疗和财务数据泄露;3月,牙齿医疗机构约15万病人信息泄露,包括姓名、住址、出生日期、电话和社保码;4月,补天平台披露,遍布19个省份的社保系统相关信息泄露达.4万条,其中包括个人身份证、社保参保信息、财务、薪酬、房屋等敏感信息;4月,美国大学16万学生个人信息泄露,包括出生日期、家庭住址、电话、个人成绩;5月,全球知名成人约会网站万用户信息泄露,包括电子邮件、IP、甚至是性偏好信息;5月,手机监听软件制造商约40万用户信息泄露,包括电子邮件、短信、照片、付款记录和跟踪数据;5月,美国国税局超过10万名纳税人的财务信息泄露;7月,内衣制造商客户订单数据库被黑,约90万网络和电话用户信息泄露,包括地址、电话和信用卡后四位数字;7月,酒店披露8.5万信息卡和借记卡信息在年泄露,包括银行卡号、姓名、验证码和卡终止日期等信息。;8月,在线票务销售平台大麦网余万用户账户密码泄露并在黑产论坛公开售卖;8月,英国电信运营商Wareho约万在线用户个人信息泄露,其中包括姓名、地址、出生日期和加密的信用卡数据;10月,音乐众筹网站超过的文档资料泄露,包括万个用户的电子邮件地址;10月,为美国移动电话服务公司T-提供数据服务的遭到黑客入侵,导致T-的万用户个人信息泄露,包括用户姓名、出生日期、地址、社会安全号、ID号码等;10月,美股券商,万客户的姓名及地址信息泄露;10月,英国电信运营商万用户信息泄露,包括电子邮件、名字和电话号码,以及数万银行账户信息;10月,美国网络券商史考特超过万客户的联系人信息被攻击者获取,泄露的信息为客户姓名与地址;10月,乌云平台曝光网易用户数据库“疑似泄露”,数量近5亿条。

虽然至今没有证据证明这个数字,但许多普通网民纷纷表示自己的邮箱被登录篡改,甚至由于用网易邮箱注册苹果账户,而导致手机网络犯罪分子锁住,也是一个不争的事实;11月,喜达屋集团旗下54家酒店发现窃取信用卡信息的恶意软件,包括客户名称、信用卡号码、信用卡安全码和到期日期等信息泄露,泄露数量尚未公布;11月,香港早教电子设备公司伟易达()万用户和万儿童的个人信息泄露,包括登录密码、IP地址、照片、聊天记录姓名、性别等;12月,英国快餐连锁店65万顾客信息泄露,包括姓名、出生日期、电子邮件和电话号码。值得注意的是,与年相比,国内信息泄露事件的曝光度有上升的趋势。五、攻击层出不穷28自年就开始活动的28黑客组织,不断利用零日漏洞攻击北约和美国国防机构,这是一个技术高超的以收集国防和地理政治情报的网络间谍活动小组,技术人员分析该小组由俄罗斯政府支持。1717攻击过美国国防承包商、法律事务所、政府机构,以及科技公司和矿产企业。这个黑客小组主要通过鱼叉式钓鱼的手段实施初始攻击,并通过微软产品的技术文档网站作为攻击平台。

反病毒厂商卡巴斯基今年也遭遇攻击,其使用的攻击程序被称为2.0,它利用了三个微软的零日漏洞,是继震网蠕虫后最受关注的恶意程序之一,大多数出现在工控系统中。黑客活动组织在过去五年内大量地、高调地进行地缘政治活动。他们在多个国家部署了高级的数据挖掘工具和监视工具,主要目标是菲律宾、马来西亚、柬埔寨、印度尼西亚、越难、新加坡、缅甸、尼泊尔等国的政府高层机构、民间和军事组织。沙虫一个名为沙虫小队的黑客组织利用操作系统中的零日漏洞“沙虫”,制作文件实施攻击。沙虫实施攻击的目标主要有五大类:政府、学院、北约、能源机构和电信运营商,受攻击对象遍及欧洲甚至还有美国。

图拉图拉是一个高度复杂的网络间谍组织,有可能背后为俄罗斯政府支持。十几年来,进行着目标为政府机构、大使馆和军队的网络间谍活动。全世界四十多个国家,都是其活动目标,包括哈萨克斯坦、中国、越南和美国,尤其是东、中欧国家。极为高端的是,图拉劫持合法用户的通信卫星IP地址,然后用来盗取数据,以隐藏他们的命令控制服务器。方程小组卡巴斯基实验室公布的研究报告称,希捷、东芝、西部数据等知名硬盘厂商制造的十几个品牌的硬盘的固件中都被一个名为“方程小组”的黑客组织(疑为美国国家安全局支持)植入了间谍软件。

该小组的活动可追溯到年,甚至可能始于年,它用多种间谍软件感染了30多个国家和地区成千上万的电脑系统。主要目标国包括伊朗、俄罗斯、阿富汗、中国等,涉及政府、军事、金融、能源、媒体等机构。海莲花“天眼实验室”发布的报告,首次披露一起针对中国的国家级黑客攻击细节。该境外黑客组织被命名为“海莲花()”,自年4月起,“海莲花”针对中国的海事机构、海域建设部门、科研院所和航运企业,使用木马病毒攻陷和控制政府人员、外包商、行业专家等目标人群的电脑,甚至操纵电脑自动发送相关情报,很明显是一个有国外政府支持的行动。攻击趋势近年来愈演愈烈,反映出国家之间在网络空间层面上的搏弈。

六、安全事故引发重视国内影响最大的一起安全事故则是X事件。今年9月17日,网上消息曝光非官方下载的苹果开发环境中包含恶意代码,会自动向编译的应用注入信息窃取和远程控制功能。经确认,包括微信、网易云音乐、高德地图、滴滴出行、铁路,甚至一些银行的手机应用均受影响。上超过个应用被感染。国内另外两起影响较大的安全事故,一是今年5月的携程网由于员工错误操作导致长达十几个小时的宕机,大量用户无法访问网站,直接损失达数千万元。

二为9月1日阿里云服务器预装的安全产品云盾“安骑士”升级触发,将所有新启动的可执行文件都当成了恶意文件进行隔离,部分用户的线上服务受到严重影响,并无法进行运维工作。安全事故往往是由于安全管理的松懈疏忽或流程问题而导致的,随着互联网的普及和深入,庞大系统的稳定运行变得越来越重要,运维工作也是整个安全保障工作中重要的组成部分。七、政策法规蓄势待发国内《年网络安全七大趋势》一文中曾“大胆预见,年有可能看到立法草案的出台”。年6月底,十二届全国人大常委会第十五次会议24日审议了《网络安全法(草案)》,并于7月初向社会公开征求意见。《草案》的重要内容主要包括,确定了网络安全工作基本原则、将个人信息保护纳入正轨和网络产品和服务的安全保障,还规定了重大突发事件时政府可采取临时措施限制网络。

可以预计,当《草案》成为正式法规发布后,其他相关的安全规定、条例也会相继出台。其他一些影响面较大的与安全政策相关的事件:6月,《中国互联网协会漏洞信息披露和处置自律公约》在京签署,公约提出漏洞信息披露的“客观、适时、适度”三原则;6月,国务院办公厅发布《关于运用大数据加强对市场主体服务和监管的若干意见》。加大网络和信息安全技术研发和资金投入,建立健全信息安全保障体系,采取必要的管理和技术手段,切实保护国信息安全以及公民、法人和其他组织信息安全;7月,新的国家安全法实施。新法要求建设网络与信息安全保障体系,提升网络与信息安全保护能力,实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控;8月,人大正式通过中华人民共和国刑法修正案(九)。明确了网络服务提供者履行信息网络安全管理的义务,加大了对信息网络犯罪的刑罚力度,进一步加强了对公民个人信息的保护,对增加编造和传播虚假信息犯罪设立了明确条文;9月,国务院印发《促进大数据发展行动纲要》,在网络和大数据安全方面要求,在涉及国家安全稳定的领域采用安全可靠的产品和服务,到年,实现关键部门的关键设备安全可靠;11月,工商总局印发《关于加强网络市场监管的意见》,全面加强网络市场监管。

推进“依法管网”、“以网管网”、“信用管网”和“协同管网”。国际5月,美国商务部工业与安全局公布《瓦森纳协定》的修改草案,新规则规定美国企业或个人向境外厂商报告漏洞情况是一种出口行为,需预先申请政府许可,否则将被视为非法;6月,美国国会今年6月通过《美国自由法案》,11月国家安全局正式停止对公众的大规模监听公众电话数据的行动;10月,欧盟法院宣布与“美国-欧盟安全港协议”有关的“/号欧盟决定”无效。欧盟成员国数据监管机构可以依此禁止美国公司收集、存储其国民的个人数据;10月,美国国会参议院通过《网络安全信息共享法案》,允许公司和政府分享黑客攻击信息,之前众议院也通过了这个法案,最终等到美国总统奥巴马签署后,将成为正式法律;11月,英国政府公布新版《调查权法草案》,要求互联网公司和手机制造商能永久地拦截和收集通过其网络传播的个人数据,并赋予其协助安全机构和警察调查国家安全相关事项的权利。八、国家网络空间安全体系建设迫在眉睫今年6月,美国人事管理办公室被黑客渗透,万人信息泄露,美国国家情报总监克拉珀竟然公开表示,将中国确定为入侵事件的首要嫌疑对象。美媒甚至报道,奥巴马政府正在研究一系列针对中国的“前所未有的”经济制裁,制裁对象主要为“通过网络盗窃美国贸易机密信息中获益的中国企业和个人”。

但最终在12月中国两国的首次网络安全对话上,双方确认将事件定义为非国家支持的攻击。今年9月,习近平主席访美,与网络议题相关的领域达成六点共识。包括网络安全审查、商业领域加强信息通讯技术网络安全的一般措施、恶意网络活动提供信息及协助、反对网络窃取知识产权、制定和推动国际社会网络空间国家行为准则,以及建立两国打击网络犯罪及相关事项高级别联合对话机制。就在当月,美国网络司令部的两份合同及订单草案显示,美国网络司令部将把4.6亿美元的扩展网络攻击能力职责外包给国防承包商。美国一直视我国为其网络安全最大的对手,其国防部在7月份针对国外发起的网络攻击发布了一个新型战略,中国是其战略目标之一。

美国现在已经组建了数万人的网军,研发了上千种网络战武器。整个网络的作战体系已经完成,随时可发动网络战争。而目前,我国的网络安全问题依旧突出。如安全意识的缺乏,网络对抗能力较弱,包括法律、经费和人才等网络安全方面的基础不牢,关键信息基础设施安全防护能力较差等。虽然与美国达成了一定程度上的共识,但背后的网络安全能力较量仍然继续,并且形势非常严峻,构建“打防管控”一体化的网络安全综合防控体系迫在眉睫!通览全篇“年网络安全大事记”,可以用四句话来概括:巨头布局企业安全,新兴初创跃跃欲试。

漏洞黑市激流暗涌,大潮来临国家驱动年度大事就记录到这里,明年见!本文由:网上赚钱提供,转载请注明出处,谢谢。


上一篇:2015年网络信息安全大事件个人信息泄露依旧泛滥
下一篇:31分类信息赚钱术