半年盤點：2018年10大(dà)數據洩露事件

 信息管理對員(yuán)工(gōng)和消費(fèi)者來說都非常重要，因爲未經授權的數據洩露可能會導緻身份盜用。

雖然信息洩露的程度可能會有所不同，并且數據可能因内部威脅、黑客攻擊和員(yuán)工(gōng)疏忽而丢失，但所有數據洩露都包含了可能會被盜竊者輕易讀取的個人身份信息。

根據Identity Theft Resource Center和其他來源的信息，2018年上半年發生(shēng)的10起最大(dà)數據洩露事件中(zhōng)有近1.82億條記錄遭到洩露。

最大(dà)的6起數據洩露事件中(zhōng)有5起影響了私營企業，2起影響到政府機構，1起涉及到金融服務機構，還有2起分(fēn)别影響到醫療機構和教育機構。

下(xià)面就讓我(wǒ)們來看看2018年(迄今爲止)最大(dà)的10起數據洩露事件是如何發生(shēng)的。

10. 美國賓夕法尼亞州教育部

洩露的記錄數量：360000

美國賓夕法尼亞州教育部數據庫的數據洩露事件，可能洩露了包括包括英聯邦現有和之前教師的社會保障号碼等個人信息。

這一(yī)事件從2月的一(yī)個下(xià)午開(kāi)始持續了30分(fēn)鍾，這是由州長行政辦公室的一(yī)名員(yuán)工(gōng)的錯誤引起的。

在該事件中(zhōng)，登錄教師信息管理系統的用戶可以查看現有和之前教師的個人信息。該數據庫是教師們申請認證、申請部門審查、學校驗證教師證書(shū)的一(yī)個渠道。

賓夕法尼亞州教育部和行政辦公室向受影響的個人緻信信件，稱提供一(yī)年的免費(fèi)信用監測服務。

9. 美國佛羅裏達虛拟學校(Florida Virtual School)

洩露的記錄數量：368000

美國最大(dà)的國營虛拟學校在3月披露了兩起重大(dà)數據洩露事件，以及涉及到内容确切性質。

該學校表示，在其中(zhōng)一(yī)起數據洩露事件中(zhōng)，超過368000名在佛羅裏達虛拟學校修讀課程的學生(shēng)個人信息在網上處于無保護狀态近兩年事件，使他們面臨潛在身份被盜竊的風險。

根據該學校稱，未經授權的個人還得到了在學校與佛羅裏達州萊昂郡學區之間轉移的數據，包括萊昂郡學區1800多名教師的社會保障号碼、地址、電(diàn)話(huà)号碼、配偶姓名、個人聯系信息和緊急聯系人等。

不過萊昂郡學校官方表示，佛羅裏達虛拟學校爲這次數據被盜取事件負全責，因爲黑客從一(yī)台意外(wài)打開(kāi)的服務器獲取了他們所有的數據。

8. 美國醫療公司LifeBridge Health

洩露的記錄數量：538000

LifeBridge Health受到惡意軟件攻擊的攻擊，可能導緻患者的私人信息暴露超過一(yī)年的時間。

該公司稱，他們在3月就發現了這一(yī)漏洞，服務器上的惡意軟件感染了LifeBridge Potomac Professional的EHR(電(diàn)子健康記錄)和LifeBridge Health患者登記和計費(fèi)系統。

然而接下(xià)來的調查發現，黑客在2016年9月首次獲得了對EHR和服務器的訪問權限,，洩露的數據包括人口統計信息、出生(shēng)日期、病史、臨床和治療信息、保險數據、以及部分(fēn)患者的社會保障号碼。

LifeBridge說他們已經緻信了患者，并建立了一(yī)個呼叫中(zhōng)心來回答相關問題。

7. 美國加州發展服務部

洩露的記錄數量：582000

美國加州發展服務部在4月表示，在2月11日薩克拉門托的一(yī)座建築物(wù)中(zhōng)發現了機密信息。

盜竊者洗劫了文件，損壞并偷走了國家财産，并引發火(huǒ)災，消防噴頭讓許多記錄無迹可尋。

盜竊者可以看到約582000名客戶的信息，以及區域中(zhōng)心15000名員(yuán)工(gōng)、服務提供商(shāng)、求職者、參與該部門計劃的未成年人家長。

發展服務部方面表示，沒有證據顯示個人和健康信息被洩露，但是他們正在通知(zhī)客戶和公衆持充分(fēn)謹慎态度。

6. 旅遊預訂網站Orbitz

洩露的記錄數量：880,000

旅遊預訂網站Orbitz表示，3月他們發現潛在的安全洩露事件可能已經導緻與支付卡相關的信息洩露。該事件涉及較舊(jiù)的旅行預訂平台，有人在2017年10月至2017年12月期間訪問了該平台上的信息。

攻擊者可能訪問過例如客戶全名、出生(shēng)日期、電(diàn)話(huà)号碼、電(diàn)子郵件地址、帳單地址等個人信息，但Orbitz沒有任何直接證據表明，這些該信息是攻擊者通過Orbitz網站竊取的。

這家Expedia旗下(xià)的公司表示，目前Orbitz.com網站并未受到影響。Orbitz稱，已将此事件通知(zhī)了客戶和業務合作夥伴，并提供了一(yī)年的免費(fèi)信用監控服務。

5. SunTrust

洩露的記錄數量：150萬

SunTrust在4月宣布，一(yī)名前員(yuán)工(gōng)可能試圖竊取和共享約150萬客戶的數據，包括姓名、地址、電(diàn)話(huà)号碼和帳戶餘額。

據報道，這位前SunTrust員(yuán)工(gōng)試圖打印信息并共享給犯罪第三方，盡管在任何可能受影響的賬戶上都沒有發現任何欺詐活動。

SunTrust當時表示，PIN碼、用戶ID、密碼和駕照等身份信息并不存在風險，正在與專家和執法部門合作，并持續向所有現有客戶和新客戶提供免費(fèi)身份保護。

4. Jason's Deli

洩露的記錄數量：340萬

Jason's Deli于1月份披露，犯罪分(fēn)子已于2017年6月8日至12月29日期間在該公司不同餐廳的多個POS終端上部署了搶占RAM的惡意軟件。

具體(tǐ)來說，犯罪分(fēn)子獲得的支付卡信息是來自支付卡的磁條全軌數據。此類信息因發卡機構而異，完整的追蹤數據會包括持卡人姓名、信用卡或借記卡卡号、到期日期、持卡人驗證數字和服務代碼。

與靜态數據塊被非法複制并一(yī)次性被盜的情況不同，犯罪分(fēn)子對Jason's Deli使用的是占用RAM資(zī)源的惡意軟件，在數月期間發生(shēng)的交易進行數據拷貝。

3. Saks和Lord&Taylor

洩露的記錄數量：500萬

根據網絡安全研究公司Gemini Advisory的4月報告，一(yī)夥小(xiǎo)有名氣的網絡犯罪分(fēn)子從Saks Fifth Avenue和Lord&Taylor的客戶那裏盜取了信用卡和借記卡号碼，他們似乎是使用植入商(shāng)店(diàn)收銀系統的軟件竊取這些信息的。

Gemini Advisory表示，一(yī)群名爲Fin7或JokerStash的講俄語的黑客，宣布了他們已經獲得500萬個被盜卡号碼的緩存，并提供個其中(zhōng)12.5萬條記錄可立即出售。研究人員(yuán)确定，從2017年5月到2018年3月，Saks和Lord&Taylor商(shāng)店(diàn)的卡号似乎都被使用過。

雖然目前尚不清楚該商(shāng)店(diàn)的結賬系統究竟是如何被安裝了惡意軟件，但Gemini表示最有可能通過發送給Hudson's Bay員(yuán)工(gōng)的網絡釣魚電(diàn)子郵件。

2. Sacramento Bee

洩露的記錄數量：1940萬

1月份，一(yī)位匿名黑客在第三方計算機服務器上進入了Sacramento Bee的兩個數據庫，并要求後者以支付比特币的方式贖回這些數據。

這次入侵讓Sacramento Bee的一(yī)個數據庫發生(shēng)洩露，其中(zhōng)包含來自美國加州州務卿的選民登記數據，而另一(yī)個數據庫包含了在2017年之前激活數字賬戶的訂閱用戶聯系信息。Sacramento Bee沒有支付贖金，并删除了數據庫以防止進一(yī)步的攻擊。

這個選民數據庫包括1940萬選民的聯系信息(地址和電(diàn)話(huà)号碼)、黨派關系、出生(shēng)日期和出生(shēng)地點。另一(yī)個訂閱用戶數據庫則包括53000名當前和前Sacramento Bee用戶的姓名、地址、電(diàn)子郵件地址和電(diàn)話(huà)号碼。

1. Under Armour

洩露的記錄數量：1.5億

Under Armour在3月份表示，MyFitnessPal飲食和健身應用上1.5億個賬戶數據遭遇有史以來最規模的黑客攻擊。

據該公司稱，被盜數據包括MyFitnessPal移動應用和網站的帳戶用戶名、電(diàn)子郵件地址和加密密碼;社會保障号碼、駕照号碼和支付卡數據沒有受到影響。

Under Armour沒有提供詳細信息解釋黑客如何進入其網絡或提取數據而沒有被察覺。Under Armour表示，将要求MyFitnessPal用戶更改其密碼，并敦促用戶立即行動起來。 Under Armour在第一(yī)次得知(zhī)此事的4天後開(kāi)始通知(zhī)用戶。