2015重大資安事件回顧

 

 

 

 

影響上億人的2015 年重大事件

 受駭App數量眾多，潛在受駭使用者可能超過1億  山寨Xcode暗中搞鬼，感染4千App淪陷數億用戶

 事件摘要  駭客偽造蘋果開發工具Xcode，挖出無人知曉的感染途徑，從開發工具源頭下毒，一舉感染數十熱門App，一夕之間，驚爆數億用戶遭毒手，連微信、百度、騰訊、滴滴打車都淪陷。這是第一起影響全球的開發工具偽造事件，也是蘋果App Store首次的大規模App遭駭事件。

 

2015年最大網站個資外洩事件

 3,700萬名偷情者曝光  Ashley Madison

 事件摘要  2015年7月，專門提供婚外情及一夜情交友平臺的Ashley Madison傳出遭駭客入侵，外洩了3,700萬名會員個資。駭客集團The Impact Team要求其母公司永遠關閉Ashley Madison與Established Men兩個網站，否則便要公布所竊取的所有機密資料與客戶資訊，包含客戶姓名、個人檔案、信用卡資料、性偏好，以及企業文件與電子郵件等。駭客後來公開了40GB文件，包括Ashley Madison會員個資和網站程式碼。

 誰入侵  The Impact Team

 何時入侵  2015年7月12日揭露，未透露何時入侵

 如何入侵  未揭露。專家分析外洩資料後推估，因會員使用大量容易破解的弱密碼，而網站原始碼也內含資料庫金鑰與AWS權杖而易遭駭。

 如何發現遭駭  駭客占用該網站Twitter帳號對外公開

 主要影響  遭駭資料為有意偷情者的個資，外洩身份恐造成家庭失和、臉面無光等情況，據外煤報導甚至包括數百位美國政府部門官員，甚至傳出2起自殺案件。

 

美國政府史上最大駭客攻擊事件

 2,570萬名美國人受害  美國人事管理局OPM

 事件摘要   2015年6月，美國人事管理局（OPM）證實遭駭外洩了420萬筆前任與現任員工個人資料，外洩的員工資訊包括名字、生日、社會安全碼與家中地址。後來更發現另一起相關但不同的攻擊事件，導致2,150萬筆民眾個資也外洩。受害人數達2,570萬人。外洩資料包括了使用者名稱及密碼、社會安全碼、教育資訊、心理健康資訊、就職記錄、財務記錄及犯罪紀錄等，更包括了110萬名民眾的指紋資訊。美國人事管理局局長Katherine Archuleta在第二起遭駭事件曝光隔天也因此而下臺。

 誰入侵  未揭露

 何時入侵  2015年4月發現聯邦公務員資料系統遭駭，5月發現2,150萬名民眾背景調查資料庫也被入侵。遭駭343天後才發現

 如何入侵  駭客竊取雇員憑證後，暗中植入後門

 如何發現遭駭  在內網發現了匿名SSL流量和加密工具

 主要影響  外洩公務員個資包括了從事機密或情報工作者的身份，外洩民眾個資則恐成為後續詐騙的參考資料，110萬筆外洩指紋資訊更是無法變更的個人特徵。

 

美國第二大醫療保險業者個資外洩事件

 7,880萬人陸續受害  Anthem

 事件摘要   2015年2月，美國第二大健康醫療保險業者Anthem坦承遭到駭客入侵，造成7,880萬筆的資料外洩。駭客存取了Anthem保險新舊客戶的姓名、生日、社交安全碼、地址、電話號碼、電子郵件地址、工作資訊與收入資料等。根據Anthem內部人員外流資訊，這起龐大資料外洩事件，賠償金額可能達到1億美元。

 誰入侵  Deep Panda

 何時入侵  潛入9個月，2015年1月29日才發現

 如何入侵  推測駭客透過水坑式攻擊（Watering Hole）暗中植入惡意程式，竊取管理者密碼。

 如何發現遭駭  系統管理員發現有身份不明的合法帳號查詢內部資料庫

 主要影響  入侵Anthem醫療保險公司的駭客推測和入侵美國阿拉斯加州最大保險公司Premera Blue Cross都是同一個駭客集團Deep Panda所為，兩起事件合計影響近億美國民眾，約占美國人口的三成

 

美國阿拉斯加最大保險業者個資外洩事件

 1,100萬人陸續受害  Premera

 事件摘要   2015年1月，美國阿拉斯加最大保險業者美Premera醫療保險集團坦言，2014年中旗下多家保險公司客戶資料外洩，造成1,100萬名顧客個資外洩，包括了姓名、電話、地址、生日、社交安全碼、電子郵件地址、健康資訊與財務資料等。但沒有包括信用卡資料。另外Premera也強調，外洩資料都經過加密，駭客也沒有竄改現有資料庫的內容。

 誰入侵  Deep Panda

 何時入侵  2014年5月5日入侵，到2015年1月29日發現

 如何入侵  推測透過釣魚信件，引誘員工開啟問題網站來下載惡意程式

 如何發現遭駭  未透露

 主要影響  入侵Premera的駭客推測和入侵美國第二大醫療保險公司Anthem都是同一個駭客集團Deep Panda所為，兩起事件合計影響近億美國民眾，約占美國人口的三成。

 

服務30國的義大利間諜軟體商遭駭

 400GB機密資料外洩  Hacking Team

 事件摘要   2015年7月，專門協助各國政府執行監控任務並開發間諜軟體的義大利公司Hacking Team遭駭，外洩了400GB內部機密資料，內有該公司長期蒐集如微軟、Adobe或是其他系統的零時差漏洞，也有與各國政府往來電子郵件，也包括了美國、歐洲或聯合國所列的黑名單國家或極權國家，其中也有來自臺灣詢價往來郵件。

 誰入侵  未透露

 何時入侵  未透露

 如何入侵  該公司一名工程師的電腦上網時，遭駭客竊取權限，而進入內部系統。

 如何發現遭駭  駭客入侵Hacking Team的Twitter帳號，更名為Hacked Team（遭駭團隊）

 主要影響  外洩資料包括了多項零時差漏洞，成了其他駭客發動攻擊的強大數位軍火庫，也促使微軟、Adobe等公司緊急修補被公開的零時差漏洞。多國政府向Hacking Team購買監控工具的交易因此曝光，也造成了各國內政局不安。

 

美國政府報稅服務驗證機制失守

 33.4萬美國人受害  美國國稅局IRS

 事件摘要   2015年5月，美國報稅季剛過，美國國稅局證實，犯罪集團從其他管道取得被害者個人資訊，包括社會安全碼、住址及生日，利用這些資訊騙過稅單申請服務的身份驗證程序，嘗試申請了61.5萬人的稅單謄本，成功竊取其中33.4萬名美國民眾的完整稅務資料和收入資料。駭客利用這些遭竊稅單申請了15,000筆退稅，恐騙走約5千萬美元退稅。

 誰入侵  未揭露

 何時入侵  2015年2月～5月

 如何入侵  犯罪集團從各種管道取得被害者個資，包括社會安全碼、住址及生日，並用這些資訊騙過了美國國稅局「稅單申請」系統的多重身份驗證程序。

 如何發現遭駭  駭客申請大量退稅單，IRS資訊部門調查DDoS攻擊時發現。

 主要影響  大量美國民眾個人完整收入和稅務資料遭竊，恐成為被勒索的資訊。美國政府也遭騙走近5千萬美元（約臺幣15億元）公款。

 

全球性兒童個資大規模外洩事件

 637萬名兒童受害  VTech

 事件摘要  2015年11月，兒童電子學習產品製造商VTech（偉易達）證實遭到駭客入侵資料庫，外洩了Learning Lodge程式市集和Kid Connect兒童用聊天軟體的使用者資料，包括多達485萬名父母親用戶，以及637萬名兒童個資檔案，受害兒童遍及美、加、英、法、德、澳、中國及香港等14個國家。外洩資料包括帳戶密碼、姓名、電子郵件、地址，駭客宣稱還取得190GB的兒童照片和親子通訊資料。英國在當年12月15日逮捕了入侵嫌犯。

 誰入侵  1名21歲年輕駭客

 何時入侵  2015年11月14日開始，到25日確認遭駭為止

 如何入侵  未透露。

 如何發現遭駭  VTech於11月23日接獲記者查證受駭情況後，展開內部調查，25日證實內部資料庫從14日就出現了可疑存取行為而確定遭駭。

 主要影響  少見的全球性兒童個資外洩事件，大量兒童照片遭竊恐讓這些兒童成為綁架對象。另外遭竊帳號密碼流傳上網後，慣用相同密碼的家長可能遭駭更多資料。

 

全球第四大電信業者跨國委外業務出包

 1,500萬人個資外洩  T-Mobile

 事件摘要  2015年10月，來自德國的全球第四大電信業者T-Mobile證實用戶資料外洩。但並非是T-Mobile內部系統遭駭而外洩資料，而是委外承包T-Mobile信用卡付費業務的英國SI業者Experian遭駭，導致在2013年9月1日之後申請T-Mobile美國付費服務的使用者個資遭竊，受害人數高達1,500萬名，外洩的資料包含社會安全碼、生日、駕照或護照號碼與其他資訊，但並未包含金融卡或銀行資訊。委外廠商Experian也無其他資料庫遭駭。

 誰入侵  未揭露

 何時入侵  2013年9月1日～2015年9月16日

 如何入侵  未透露

 如何發現遭駭  Experian於2015年9月15日發現內部伺服器上T-Mobile資料庫出現非法存取行為，遂通知T-Mobile告知用戶資料遭竊。

 主要影響  T-Mobile執行長決定全面檢視委外關係，強化委外公司的安全稽核。Experian不僅要負責後續賠償和個資保護服務的所有支出，也可能損失了合作數年的老客戶。受害民眾所外洩的個資，恐成為駭客進行更多詐騙之用。

 

全美最大網路證券商遭駭事件

 460萬名顧客受害  Scottrade

 事件摘要  2015年10月，美國規模最大的網路券商Scottrade對外證實遭到駭客入侵，攻擊行動介於2013年底到2014年初，導致在2014年2月前申請帳號的顧客資料外洩，影響人數達460萬名顧客，遭竊資料包括了客戶名稱、地址、社會安全碼、電子郵件帳號與其他客戶機密資料。但Scottrade強調密碼已經加密不易破解。Scottrade在美國擁有逾500家分行，其中6家分行專為華人服務之外，因此也影響了不少華人顧客。

 誰入侵  未透露

 何時入侵  長達數個月，在2013年底到2014年初間

 如何入侵  Scottrade在2014年曾大規模進行系統整合，導致無法提供完成Log記錄來追查詳細受駭過程。推測駭客透過社交工程誘騙員工下載惡意程式來入侵

 如何發現遭駭   2015年8月26日，Scottrade接獲美國執法機構FBI的通知，才知道包括該公司在內的多家金融服務業者都遭到駭客入侵。

 主要影響  Scottrade證券交易平臺的安全性受到質疑，恐影響下單業績，也連帶影響其他金融服務的交易。外洩的個資恐成為駭客進行更多詐騙之用。

 

知名Mac筆電優化工具出包

 1,300萬人帳密曝光  MacKeeper

 事件摘要  2015年12月初，資安人員Chris Vickery向媒體爆料，他透過Shodan特殊搜尋引擎，找到了Mac筆電知名優化工具MacKeeper的MongoDB資料庫，允許他存取超過1,300萬名用戶的帳號和密碼。MacKeeper母公司是資安業者Kromtech於爆料當天也公開道歉並緊急修補漏洞。Kromtech追查僅Vickery下載資料，並無其他人存取。該資料庫內有使用者姓名、產品訂單、授權資訊、IP位址、客戶帳號名稱與加密密碼等。

 誰入侵  Chris Vickery

 何時入侵  於2015年12月初取得，12月14日對外公開

 如何入侵  資安專家以port:27017為關鍵字進行搜尋，就找到了MacKeeper的資料庫。

 如何發現遭駭  資安專家透過媒體詢問業者聯絡窗口時，Kromtech才得知自家產品的用戶資料庫曝光。

 主要影響  資安業者自己沒有做好應有安全防護，讓Kromtech臉面無光。另一方面也凸顯網路搜尋引擎的威力，只要稍有設定不慎，整個資料庫內容都公開了。

 

資料庫配置錯誤曝光個資

 1.9億名美國選民受害  美國選民資料庫

 事件摘要  2015年12月下旬，資安研究員Chris Vickery發現更多敏感資料庫曝光，這次搜尋到一個因配置錯誤而曝光的資料庫，內有191,337,174筆的美國選民資訊，包括了姓名、電話、地址、電子郵件、性別、政黨、投票狀態或登記日期等，連他自己的真實個資都在其中。但是無人出面認領持有該資料庫。後來，NationBuilder執行長坦承，曝光資料庫內有部分資料，與他們免費提供給候選人的選民資料相符，證實了資料庫的有效性。

 誰入侵  無法判斷

 何時入侵  至少從12月20日發現，直到12月底關閉前都可公開存取。

 如何入侵  因資料庫配置錯誤，導致開放了網路存取權限，搜尋引擎爬蟲程式找到並索引了這個選民資料庫而曝光。

 如何發現遭駭  資安人員上網使用特定資料庫搜尋引擎時發現才通知爆料網站公開。

 主要影響  直接證實了活動平臺和候選人間的黑箱交易，即使沒有獲利，或曾獲使用者同意（沒看說明就同意的用戶居多），活動平臺的確會將個資轉做他用。

 

全球知名連鎖飯店POS系統遭駭

 4,500家飯店遭殃  希爾頓飯店

 事件摘要  2015年11月，在喜達屋集團出面承認北美54家旗下飯店POS遭駭後，希爾頓集團也主動出面揭露，全面清查旗下飯店，發現自家POS也感染了惡意程式。希爾頓沒有透露確切受駭飯店，僅表示影響遍及希爾頓集團旗下全球飯店，這包括了97個國家的4,500家飯店，以及部分飯店內部餐廳或禮品商店的POS系統。凡是在17周惡意程式感染期間，到希爾頓旗下飯店刷卡的顧客，信用卡資料都可能遭竊，包括持卡人姓名、卡片號碼、安全碼、卡片到期日期，但不包括其他的個人資料。

 誰入侵  未揭露

 何時入侵  2014年11月18日至12月5日，及2015年4月21日至7月27日

 如何入侵  未透露

 如何發現遭駭  希爾頓集團自行清查旗下飯店後，發現自家POS感染惡意程式。

 主要影響  不到2個月，連續三家知名跨國連鎖飯店POS遭駭，除了喜達屋集團、希爾頓集團，還包括了凱悅飯店。飯店業POS成了惡意程式攻擊的新目標，不只反映出飯店資安防護出現缺口，也讓飯店成了個資外洩的高風險場所。