美国大型广电集团遭攻击背后， *** 勒索正演变为全球性安全风险
近年来，勒索软件攻击成为全球范围内增长速度最快的 *** 安全威胁之一，其攻击对象既包括各类企业与组织，也包含个体 *** 用户，且二者的数量都在迅速增加。阿里云安全勒索9月月度报告显示，据不完全统计2021年光上半年就至少发生了1200多起勒索软件攻击事件，接近2020年已知公布的事件数量。
另一方面，勒索攻击正在APT（高级可持续威胁）化，在众多勒索软件攻击事件中，有将近70%的勒索团伙采用双重勒索策略，以数据封锁威胁受害者支付巨额赎金，勒索攻击已成为当前不容忽视的 *** 安全挑战。
本次遭受攻击的Sinclair集团，旗下业务包括185家电视台，涵盖21个区域 体育 *** 品牌，在美国家庭电视频道市场占比近40%，2020年收入达59亿美元。值得注意的是，这已经是今年其第二次遭受 *** 攻击，今年7月，Sinclair就曾因计算机系统遭到入侵要求其电视台更改所有的密码。
所谓勒索软件，主要是指利用系统漏洞获取相应权限，获取计算机控制权并对关键数据或文件进行加密，并由此向用户索取赎金的 *** 攻击方式。这些攻击往往通过带有恶意链接的电子邮件、不安全的软件下载以及组织内的文件共享平台等渠道传播，以较为隐蔽的方式感染设备，在完成对文件的加密后，受害者通常会收到一封要求使用比特币等虚拟货币支付赎金的提示或邮件，如果不在期限内支付，文件可能会被永久封锁。
举例而言，其可能通过动态计算的方式，随机读取当前时刻设备CPU的温度等动态数据作为构成解锁密码的某一字段，这种缺乏解码样本的加密手段在大部分情况下是不可逆的，因而从技术角度破解难度较高。
正因如此，大部分企业在遭到攻击时不得不选择缴纳赎金以恢复数据。据 *** 安全服务提供商ThycoticCentrify最新发布的调查报告显示，83%的勒索软件受害者认为在受到攻击后支付赎金是唯一的选择，且有一半受访者表示，其公司因勒索软件造成了收入损失和名誉损失，42%的受访者承认他们因攻击而失去了客户。
但屈从于勒索者不仅可能并不能解锁文件，反而会给企业带来额外的风险。美国联邦调查局就曾多次强调，其并不支持企业向勒索软件付款，这种行为不仅容易引发攻击者的二次勒索，也面临资助犯罪活动的潜在指控。
去年10月，美国财政部外国资产控制办公室 (OFAC) 发布了一份咨询报告，指出向勒索软件支付赎金的用户面临违反法规的风险，并可能遭到起诉或制裁。此外，为受害者提供勒索软件付款方式或渠道的公司还面临违反金融犯罪执法 *** （FinCEN）法规，并未履行相关监管义务的风险。
而在我国，根据《 *** 安全法》第二十一条规定：“ *** 产品、服务的提供者……发现其 *** 产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”；第二十五条规定：“ *** 运营者应当制定 *** 安全事件应急预案，及时处置系统漏洞、计算机病毒、 *** 攻击、 *** 侵入等安全风险；在发生危害 *** 安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。”
上海申伦律师事务所律师夏海龙表示，受勒索软件攻击而被要挟付款的对象也是受害者，目前我国尚未有法律法规明确要求禁止支付赎金。但企业在面临勒索软件威胁时有义务向有关部门进行报告，并未及时提交安全漏洞或选择隐瞒涉嫌违法。
但另一方面，一般情况下勒索病毒不会对设备文件内容进行窃取，因而遭到攻击的企业通常可以免于数据泄露的指控，其主要需解决的是业务数据丢失情况下的用户赔偿问题。曲子龙指出，当前主要的勒索软件通常只是利用漏洞获取系统权限，从而进行数据封锁，而窃取数据则意味着其需要在设备上运行分析软件读取数据内容，这对只需要提供解锁密码就能获取巨额赎金的攻击者来说是得不偿失的。此外，数据在传输过程中还可能增加自身被追踪暴露的风险，因而大部分情况下勒索者都不会主动窃取封锁文件的内容。
ThycoticCentrify的报告显示，自从新冠肺炎疫情在全球蔓延以来，勒索攻击的案件数量和勒索金额都在迅速提升。而攻击频率上升的重要原因是Window系统MSHTML引擎漏洞等重大漏洞被披露以及勒索病毒的新变种不断出现，其大规模流行给各国 *** 的正常运行带来极大的安全隐患。今年5月7日，美国输油管道公司Colonial Pipeline遭受勒索软件攻击，导致其东海岸液体燃料被迫停止运营。
近日，美国、法国、德国、日本等30余个国家代表承诺将共同打击软件勒索行为，并加强金融系统使其免于遭受攻击的风险。美国金融犯罪执法 *** 局(FinCEN)在最新一份报告中表示，其追踪了2021年上半年价值52亿美元的比特币交易，这些交易很可能与勒索软件支付有关，且勒索者开始要求以更难追踪的虚拟货币，例如门罗币来支付赎金。
而此前中国境内遭受的大规模勒索软件攻击，较为著名的是2017年的“永恒之蓝”事件。事件的起因是黑客团体“影子经纪人”(Shadow Brokers)泄露了一份包含了多个Windows远程漏洞利用工具的文档，致使美国、英国、俄罗斯、中国等多国企业、 *** 机构和高校遭受勒索病毒袭击，多地电力系统、通讯系统、能源企业等基础设施受到波及。
今年8月29日，中国国家互联网应急中心（CNCERT）发布《勒索软件防范指南》，旨在勒索软件攻击愈发频繁的当下为企业和用户提供防范指引。《指南》提出，企业在防范时应注意做好资产梳理与分级分类管理，备份重要数据和系统，定期评估安全风险等工作。
“对于企业和个人用户而言，防范勒索病毒和防范常规病毒的方式基本是一致的，主要还是做好对来源不明邮件和问题网站的防范，以及对数据的常态化备份。”曲子龙指出，加强 *** 系统内的权限管理，采用 *** 分段、身份验证等方式进行访问权限精细化控制，也是有效遏制勒索病毒的进一步扩散的关键措施。
更多内容请下载21 财经 APP
全球爆发勒索病毒 什么是“勒索病毒”
WannaCry（想哭，又叫Wanna Decryptor），一种“蠕虫式”的勒索病毒软件，大小3.3MB，由不法分子利用NSA（National Security Agency，美国国家安全局）泄露的危险漏洞“EternalBlue”（永恒之蓝）进行传播 。
该恶意软件会扫描电脑上的TCP 445端口(Server Message Block/ *** B)，以类似于蠕虫病毒的方式传播，攻击主机并加密主机上存储的文件，然后要求以比特币的形式支付赎金。勒索金额为300至600美元。
2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 传播速度或更快。截止2017年5月15日，WannaCry造成至少有150个国家受到 *** 攻击，已经影响到金融，能源，医疗等行业，造成严重的危机管理问题。中国部分Window操作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。
2017年置美国于危险之中的那些黑客事件？
12月26日报道美国有线电视新闻网网站12月18日发表题为《2017年置我们于危险之中的那些黑客事件》的报道，盘点了2017年发生的一些重大黑客事件：
伊奎法克斯泄密事件
今年7月，有 *** 犯罪分子渗透进美国更大的征信企业之一伊奎法克斯公司，窃取了1.45亿人的个人信息。此案被视为有史以来最严重的黑客事件之一，因为有太多敏感信息被曝光，公民的社会保险号也在其中。
伊奎法克斯公司直到两个月后才披露此事。案件的影响恐怕会持续好几年，因为被盗数据可以用来实施身份盗用犯罪。
伊奎法克斯泄密案发生后，人们开始担心中介机构掌握的大量消费者信息数据是否安全。从公共记录、邮件地址到出生日期，中介机构掌握了各种个人信息。
伊奎法克斯之类的公司会把信息出售给银行、房东、雇主等客户，买了信息的人会更加了解你。
雅虎事件
雅虎的母公司美国威瑞森电信公司今年8月宣布，全球30亿雅虎账户早在2013年就全部遭到入侵——受害规模是最初估测结果的三倍。
前雅虎首席执行官玛丽萨·迈耶11月在美国国会表示，雅虎直到2016年才发现入侵事件，当时声称受影响账户为10亿个。
到目前为止，雅虎仍然不清楚究竟谁是罪魁祸首。
*** 工具外泄
今年4月，一个名为“影子经纪人”的匿名组织发布了一批黑客工具，据信这批工具来自美国国家安全局。
黑客可以利用这些工具入侵多种Windows服务器和操作系统，包括Windows7和Windows8系统。
美国微软公司表示早在今年3月就发布了针对相关安全漏洞的补丁，但许多公司没有及时更新。随后，“影子经纪人”发布的工具被用来制造多起国际重大黑客事件，比如“想哭”勒索事件。
“想哭”勒索软件
“想哭”勒索软件利用了从美国国安局泄露出来的部分工具，传播到150多个国家。“想哭”在今年5月瞄准了使用过时Windows软件的公司，锁住了它们的电脑系统。
“想哭”背后的黑客要求这些公司为解锁文件支付赎金，超过30万台机器受到影响，包括医疗和汽车在内的无数行业都未能幸免。
而且此事影响到了人命：有英国医院因为电脑被锁定，被迫暂时关闭。有病人告诉记者，他的癌症手术只能推迟。
“诺特佩蒂亚”病毒
今年6月，“诺特佩蒂亚”电脑病毒瞄准了使用中毒财税软件的乌克兰公司。多家大型跨国企业中招，包括美国联邦快递公司、英国WPP广告公司、俄罗斯石油公司和丹麦马士基航运有限公司。
“诺特佩蒂亚”的传播方式还利用了“影子经纪人”泄露出来的安全漏洞。
美国联邦快递9月表示，病毒已造成3亿美元损失，旗下 *** 国际快递公司被迫暂停业务。
“坏兔子”勒索软件
另一个造成很大骚动的勒索软件是“坏兔子”。“坏兔子”利用新闻媒体网站弹出的Adobe Flash软件安装请求来渗透用户电脑，而那些新闻媒体网站已经被黑客入侵了。
这轮勒索风潮发生在10月，主要冲击了俄罗斯，但有专家发现乌克兰、土耳其和德国也出现了受害者。
这件事提醒我们，用户一定不要通过广告弹出窗口或者不属于软件公司的网站来下载软件。
选民信息泄露
今年6月，有电脑安全研究人员发现，一家美国共和党数据公司在选择亚马逊云存储服务的安全设置时出了错，导致近2亿选民信息被泄露。
这是亚马逊服务器不够安全所导致的最新一起重大泄密事件。服务器的默认选项是安全的，但 *** 安全师克里斯·维克里经常发现有公司设置错误。
美国威瑞森电信公司和美国国防部同样有存储在亚马逊服务器里的信息被曝光。
优步隐瞒黑客案
2016年，有黑客窃取了5700万优步用户的数据，美国优步公司随后支付10万美元平息此事。直到今年11月，该案才被新任优步首席执行官达拉·霍斯劳沙希披露出来。优步公司眼下正面临议员的质询。三位联邦参议员推动制定相关法案，很可能导致那些故意掩盖数据入侵事件的高管面临牢狱之灾。
报道称，此类事件，2018年会更多。美国趋势科技公司副总裁农尼霍芬认为，针对物联网的攻击活动将持续影响民航、制造、汽车等行业，因为这些行业越来越依靠所谓的智能技术。
“我们的手提电脑和手机所面临的 *** 安全挑战，这些行业同样要面对，但它们同时与真实世界的真实物体联系在一起。如果有人入侵我的手提电脑，我的数据就会受到威胁。但如果有人入侵一台自动机械臂，受威胁的就成了整条生产线。”
报道表示，今年的各种入侵事件恐怕将最终改变消费者的行为。事实证明，社会保险号与生日恐怕不是安全识别身份的更佳方式，犯罪分子以较低的价格买卖这些数字，而地址、电邮、密码之类的个人信息也被买来买去。
数据安全有哪些案例？
“大数据时代，在充分挖掘和发挥大数据价值同时，解决好数据安全与个人信息保护等问题刻不容缓。”中国互联网协会副秘书长石现升在贵阳参会时指出。
员工监守自盗数亿条用户信息
今年初，公安部破获了一起特大窃取贩卖公民个人信息案。
被窃取的用户信息主要涉及交通、物流、医疗、社交和银行等领域数亿条，随后这些用户个人信息被通过各种方式在 *** 黑市进行贩卖。警方发现，幕后主要犯罪嫌疑人是发生信息泄漏的这家公司员工。
业内数据安全专家评价称，这起案件泄露数亿条公民个人信息，其中主要问题，就在于内部数据安全管理缺陷。
国外情况也不容乐观。2016年9月22日，全球互联网巨头雅虎证实，在2014年至少有5亿用户的账户信息被人窃取。窃取的内容涉及用户姓名、电子邮箱、 *** 号码、出生日期和部分登陆密码。
企业数据信息泄露后，很容易被不法分子用于 *** 黑灰产运作牟利，内中危害轻则窃财重则取命，去年8月，山东高考生徐玉玉被电信诈骗9900元学费致死案等数据安全事件，就可见一斑。
去年7月，微软Window10也因未遵守欧盟“安全港”法规，过度搜集用户数据而遭到法国数据保护监管机构CNIL的发函警告。
上海社会科学院互联网研究中心发布的《报告》指出，随着数据资源商业价值凸显，针对数据的攻击、窃取、滥用和劫持等活动持续泛滥，并呈现出产业化、高科技化和跨国化等特性，对国家和数据生态治理水平，以及组织的数据安全能力都提出了全新挑战。
当前，重要商业网站海量用户数据是企业核心资产，也是民间黑客甚至国家级攻击的重要对象，重点企业数据安全管理更是面临严峻压力。
企业、组织机构等如何提升自身数据安全能力？
企业机构亟待提升数据安全管理能力
“大数据安全威胁渗透在数据生产、流通和消费等大数据产业的各个环节，包括数据源、大数据加工平台和大数据分析服务等环节的各类主体都是威胁源。”上海社科院信息所主任惠志斌向记者分析称，大数据安全事件风险成因复杂交织，既有外部攻击，也有内部泄密，既有技术漏洞，也有管理缺陷，既有新技术新模式触发的新风险，也有传统安全问题的持续触发。
5月27日，中国互联网协会副秘书长石现升称，互联网日益成为经济社会运行基础， *** 数据安全意识、能力和保护手段正面临新挑战。
今年6月1日即将施行的《 *** 安全法》针对企业机构泄露数据的相关问题，重点做了强调。法案要求各类组织应切实承担保障数据安全的责任，即保密性、完整性和可用性。另外需保障个人对其个人信息的安全可控。
石现升介绍，实际早在2015年国务院就发布过《促进大数据发展行动纲要》，就明确要“健全大数据安全保障体系”、“强化安全支撑，提升基础设施关键设备安全可靠水平”。
“目前，很多企业和机构还并不知道该如何提升自己的数据安全管理能力，也不知道依据什么标准作为衡量。”一位业内人士分析称，问题的症结在于国内数据安全管理尚处起步阶段，很多企业机构都没有设立数据安全评估体系，或者没有完整的评估参考标准。
“大数据安全能力成熟度模型”已提国标申请
数博会期间，记者从“大数据安全产业实践高峰论坛”上了解到，为解决此问题，全国信息安全标准化技术委员会等职能部门与数据安全领域的标准化专家学者和产业代表企业协同，着手制定一套用于组织机构数据安全能力的评估标准——《大数据安全能力成熟度模型》，该标准是基于阿里巴巴提出的数据安全成熟度模型（Data Security Maturity Model, D *** M）进行制订。
阿里巴巴集团安全部总监郑斌介绍D *** M。
作为此标准项目的牵头起草方，阿里巴巴集团安全部总监郑斌介绍说，该标准是阿里巴巴基于自身数据安全管理实践经验成果D *** M拟定初稿，旨在与同行业分享阿里经验，提升行业整体安全能力。
“互联网用户的信息安全从来都不是某一家公司企业的事。”郑斌称，《大数据安全能力成熟度模型》的制订还由中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心、公安三所、清华大学和阿里云计算有限公司等业内权威数据安全机构、学术单位企业等共同合作提出意见。
0条大神的评论