數據洩露

數據洩露指的是個人或組織的私有、機密資訊被有意或無意地發布到危險環境中。這類事件通常與黑客攻擊、有組織犯罪、政治運動、國際競爭有關；也有因為員工疏忽、違規使用或處置存儲介質導致的數據洩露。小到如員工將列印的少量內部使用的材料遺失在公共運輸工具上的意外，嚴重如算機黑客組織攻破政府防火牆，竊取目標軍事、政治機密的事故均時有發生。常見的被洩露數據一般包括金融資訊（如信用卡帳戶、銀行資訊）、個人健康數據、個人識別資訊、商業機密與智慧財產權（及其細節）。

對一個組織而言，發生數據洩露可能導致嚴重的直接或間接損失。發生數據洩露後，組織的聲譽將受到嚴重影響，被洩露數據也可能被用於犯罪活動，而該組織也需要付出時間和經濟成本進行事故調查與善後處理。

根據非盈利消費者權益組織Privacy Rights Clearinghouse的報告，在美國，僅2005年一月到2008年四月期間，總計227,052,199條包含敏感資訊的數據能夠確定遭到洩露。鑑於嚴峻的數據安全形勢，許多國家的司法管轄實體（如各國司法部、立法機關）通過了要求公司通告消費者並採取措施減輕消費者損失的數據洩露處理相關法律法規。

## 數據洩露的定義

一起數據洩露事件可能包含多起事故或疏忽：數據存儲設備的丟失或失竊（如未加密磁碟、筆記型電腦的丟失）、敏感數據被上傳至網際網路、設備未使用合適的資訊安全保護措施即連接至網際網路、使用個人或未加密的組織郵箱傳輸不適宜公開的資訊或採購了植入惡意程序或硬體的設備。ISO/IEC 27040標準將數據洩露定義為一種造成意外、非法數據損毀、丟失、修改，未經授權的披露或訪問受保護的數據傳輸、存儲等數據處理過程的安全問題。

## 信任與隱私

某一環境是否是可信任的環境並不是一成不變的：如果在一名處於可信環境的員工離職後仍能訪問該可信環境中的數據，那麼該員工便可能成為數據洩露事件的突破口，而該「可信環境」也就不再「可信」。在分布式系統中，當信任網絡中的某一節點遭入侵，上述情況也有可能發生。對此，在保護數據時使用數據分級策略可以有效降低數據洩露的風險。數據分級後，數據管理者可以根據數據的重要性調整安全策略來保護更加重要的數據。

大多數公開報導的事件中，個人資訊（如身份證號碼）是最常遭到洩露的數據；由於公眾缺乏對洩露公司商業機密、敏感的合作資訊、合同細節或是政府數據可能造成何種損失的認知，此類數據洩露事件一般並不會見諸報端。更何況公開這樣的嚴重事故本身可能會造成比丟失數據更嚴重的損害。

## 內部與外部的威脅

在引發數據洩露事件的各種原因中，最常見的組織內員工工作疏忽或蓄意破壞。波耐蒙研究所（Ponemon Institute）報告稱「大約37%的數據洩露由人為因素引發」 Privacy Rights Clearinghouse（PRC）報告顯示，從2005年一月到2018年12月供發生洩露事件9000多起，主要原因為組織內部攻擊、員工丟失或遭竊便攜設備、組織中電腦感染病毒、向錯誤收件人發送電子郵件等。這充分證明人為因素是導致數據洩露的重要原因。

能夠引發數據洩露的外部原因則包括個人或團體網路犯罪者（即黑客與黑客組織）、政府特工等。

## 後果

儘管數據洩露可能導致身份盜竊等嚴重後果，大多數可能導致數據洩露的事件並沒有對相關方產生長遠影響：大多數安全事件在數據遭非法訪問前就被遏止，有些硬體盜竊事件的嫌疑人只對偷竊的硬體感興趣或無法破譯硬體上的安全措施。儘管如此，當此類事件發生後，大多數責任方會向受影響的客戶（或是受害者）提供諸如更換信用卡的額外安全服務。

然而，一起成功發生的數據洩露事件仍能造成嚴重損害：2013年目標百貨數據洩露事件披露後，該公司當年第四季度的盈利大約縮水40%，次年報告中，該公司聲稱數據洩露事件總共對其造成2.9億美元的經濟損失。網際網路犯罪平均每年對能源和公共事業公司造成1280萬美元的損失。在醫療領域，僅2014、15兩年，數據洩露問題就導致了62億美元的損失；僅波蘭一國，超過2500萬人的醫保數據遭竊，600萬人的身份資訊洩露，其居民為此增加支出達560億美元。

網際網路領域的數據洩露事件造成的損失則更為嚴重：2016年雅虎爆出數據洩露事件後，Verizon公司隨即要求重新就收購雅虎進行談判，最終，這起事件導致雅虎的收購價格降低了3.2億美元。

<image>

隨著數字時代的發展，數據量指數級增長，數據洩露也越來越頻繁地發生。防止敏感數據洩露已經成為許多企業在安全領域的重點工作。為保障數據、財務安全，各方在防止數據洩露方面投入巨大：文獻指出，從2017年到2021年，全球已在網際網路安全領域花費超過1萬億美元。

## 嚴重數據洩露事故列表

自2005年以來，世界上發生過的嚴重數據洩露事故有：

### 2005年

- 2月，ChoicePoint洩露163,000條客戶記錄
- 11月，波音洩露161,000條雇員的資訊
- 12月24日，Ameriprise Financial有筆記型電腦被盜，損失260,000條客戶記錄

### 2006年

- 2月，安永洩露38,000條雇員資訊。
- 5月，美國退伍軍人事務部，洩露28,600,000條退役、預備役和現役軍人資訊
- 5月，安永洩露Hotels.com網站234,000條客戶資訊。
- 8月4日，AOL在其網站上走泄了該公司約65.8萬匿名使用者在3個月期間所進行的2000萬份左右的搜索資訊，相當於同期搜索量的0.3％以上。
- 12月，波音洩露382,000條雇員的資訊（同年四月亦洩露3600名雇員的資訊）

### 2007年

- 埃森哲洩露俄亥俄州和康乃狄克州數據。
- 3月29日，TJ Maxx洩露4500萬銀行帳號。
- 8月，CGI集團洩露283,000名紐約退休雇員的個人資訊。
- 9月，The Gap洩露了800,000份求職申請。
- 11月20日，英國稅務海關總署洩露超過2600萬條兒童福利相關數據。
- 12月，Memorial Blood Center洩露268,000名獻血者數據。
- 12月，田納西州戴維森縣選舉委員會遭到闖入,投票人名冊被盜，洩露337,000名投票人的姓名、地址、SSN
- 12月25日，D. A. Davidson & Co. 洩露192,000名客戶的姓名、帳戶、社會安全號碼（SSN）、地址和生日

### 2008年

- 1月，通用電氣金融集團確認存儲於鐵山公司的一卷存有650,000名客戶、150,000條SSN和信用卡資訊的磁帶丟失，傑西潘尼零售公司在受影響的230個零售商之列。
- 1月，新澤西州公司Horizon Blue Cross and Blue Shield洩露其300,000名會員的資訊。
- 2月，Lifeblood洩露 321,000名獻血者個人資訊。
- 8月24日，美國國家金融服務公司員工小雷內·雷波洛（Rene L.Rebollo Jr.）被發現竊取並銷售了250萬客戶包括SSN在內的個人資訊。
- 11月18日，英國國家黨成員列表洩露

### 2009年

- 1月，Heartland Payment Systems （HPS）宣布其處理系統遭到黑客入侵，估計有650家金融服務公司的1億張信用卡資訊遭竊。
- 12月， RockYou! 的密碼資料庫遭攻破，3200萬使用者名稱及其明文儲存的密碼被洩露

### 2010年

- 切爾西·曼寧在2010年中公布了大量軍隊機密數據。

### 2011年

- 4月，索尼旗下PlayStation Network服務數次遭入侵，預計7700萬使用者的資訊遭到洩露，損失超過10億美元。
- 3月, RSA安全公司SecurID令牌系統的鑰匙種子倉庫出現漏洞，其兩步驗證使用的鑰匙種子失竊，使得攻擊者能夠複製RSA的硬體令牌類產品並對使用此類產品的使用者發動攻擊。
- 6月, 花旗集團對外公布其信用卡作業系統發生數據洩露，據估計，有21萬（1%）使用者帳戶受到影響。

### 2012年

- 8月，連線雜誌資深編輯馬特·霍南（Mat Honan）撰文稱「黑客在一小時內摧毀了我的全部數字生活」。攻擊者獲取了他的蘋果、推特、Gmail帳戶密碼，控制了他的推特並抹除了他所有電子設備上的所有消息、文件，連他為自己18個月大的女兒拍的照片也沒有放過。這一起攻擊事件是由於攻擊者對亞馬遜的技術支持人員發動社會工程學攻擊獲取到他蘋果帳戶密碼恢復系統用到的資訊導致的。根據他的經歷，馬特就「為什麼密碼無法保護使用者安全」撰文。
- 10月，美聯邦執法部門帶證據聯繫南卡羅來納州稅務局，稱有三位公民的身份識別資訊失竊。隨後爆出實際上共約有360萬SSN與38.7萬信用卡資訊遭竊。

### 2013年

- 10月, Adobe公布其資料庫遭到入侵，約1.3億使用者記錄遭竊。
- 11-12月，目標百貨宣布該公司7000萬信用/儲蓄卡帳戶資訊洩露。
- 愛德華·斯諾登在2013年公布了一系列美國國家安全局及其駐其他國家的分支機構的機密檔案。

### 2014年

- 8月，蘋果iCloud服務爆出將近200位知名人士的照片遭竊並被公開在4chan網站上。蘋果稱，調查顯示此次攻擊「對特定目標的使用者名稱、密碼與安全問題具有極高針對性」。此次事件後蘋果通過加裝兩步驗證增強了iCloud的安全措施。參見：2014年8月名人照片洩露事件
- 9月，家得寶發生數據洩露事件，5600萬信用卡號遭竊。
- 10月，史泰博發生數據洩露事件，116萬銀行卡資訊遭竊。
- 11月，索尼影業發生數據洩露事件，其員工的個人資訊、家庭資訊、高管薪資、未發布的電影副本等資訊遭到洩露。黑客宣稱他們獲取了超過100TB數據。參見：索尼影業遭黑客攻擊事件

### 2015年

- 2月，偉彭醫療洩露接近8000萬條包括姓名、SSN、生日等個人資訊。
- 6月，美國聯邦政府人事管理局洩露2210萬現、前任聯邦雇員的個人資訊。參見：美國聯邦人事管理局資料外洩案
- 7月，Ashley Madison網站洩露其3700萬使用者的資訊。黑客威脅該網站及其附屬網站永久關閉，否則將公開其使用者的姓名。
- 10月，英國電信運營商TalkTalk被一群15歲黑客入侵並竊取400使用者資料。

### 2016年

- 2月，15歲的英國黑客凱恩·甘博（Kane Gamble）公布了超過2萬名FBI雇員包括姓名、職務、電話號碼、郵箱在內的個人詳細資訊。法院判決稱凱恩涉嫌「有政治目的的網路恐怖主義行動」。
- 3月，菲律賓選舉委員會網站被黑客組織「菲律賓匿名者」入侵並惡意修改，隨後黑客組織LulzSec Pilipinas將整個委員會資料庫上傳至Facebook。
- 9月，雅虎報告稱5億2014年以前的使用者帳戶被「政府支持的黑客組織」竊取。不久後，2017年10月雅虎被爆出其全部30億帳戶被洩露。

### 2017年

- 7月，Equifax被爆洩露1.455億條使用者消費記錄。
- 10月，韓國宣稱朝鮮黑客竊取了235GB美韓機密軍事檔案。

### 2018年

- 3月，英國諮詢公司劍橋分析公司在未經Facebook使用者同意的情況下獲取數百萬Facebook使用者的個人數據，這些數據主要用於政治廣告。參見：FaceBook-劍橋分析數據醜聞
- 3月，谷歌發現一個可能導致50萬使用者數據洩露的漏洞，但在修復漏洞時，谷歌並沒有將漏洞存在的事實告知使用者，直到六個月後華爾街日報就此作出報導。
- 3月29日，Under Armour公布旗下MyFitnessPal服務約1.5億使用者的姓名、郵箱帳號和哈希後密碼發生洩露。
- 4月1日，奢侈品牌薩克斯第五大道與Lord & Taylor爆出洩露其在北美約500萬使用者的信用卡資訊。
- 7月，新加坡醫療服務部門SingHealth被爆出洩露包括總理李顯龍在內約150萬使用者的醫療資訊。參見：2018SingHealth數據洩露事件
- 8月1日，Reddit宣布其伺服器遭到入侵，黑客繞過兩步驗證系統登錄了其員工帳戶，但Reddit拒絕披露受影響的使用者數目。
- 9月7日，英國航空發生數據洩露，38萬使用者包括銀行資訊詳情在內的記錄遭竊。
- 10月19日，美國醫療保險和醫療補助服務中心洩露7.5萬人的個人資訊。
- 12月3日，Quora報告了一起影響1億使用者的數據洩露事件。

### 2019年

- 7月16日，保加利亞國稅局發生數據洩露事件。
- 7月17日，提供帳單和保險數據處理的醫療保健供應商Medico Inc.洩露了近14,000個文檔。
- 7月25日，美國民主黨參議院競選委員會在配置錯誤的Amazon S3存儲桶中公開了大約620萬個電子郵件地址。
- 9月，市場分析公司Novestrat的伺服器由於漏洞遭到利用洩露了厄瓜多全國共計1700萬公民及已故者的全名，日期，出生地，教育水平，電話號碼和國民身份證號碼。

### 2020年

- 7月7日，在線寫作網站Wattpad遭到ShinyHunters攻擊，2700萬包括經過哈希的密碼在內的使用者數據上架暗網遭到售賣。
- 12月，由SolarWinds, 微軟和VMWare公司產品中的漏洞導致的嚴重數據洩漏事件導致美國聯邦政府多個部門數據遭到黑客竊取。參見：2020美國聯邦政府數據洩露事件

### 2021年

- 3月12日，微軟Exchange郵件伺服器漏洞導致約3000個英國郵件伺服器有數據洩露風險。

### 2022年

- 6月，黑客公開售賣據稱來自超星學習通app的1.7億條高校學生數據，其中包含姓名、手機號、性別、學校、學號和郵箱等個人資訊。
- 6月30日上午8時，一位帳號名叫「ChinaDan」的使用者在網上以10比特幣（時價約合20萬美元）的價格出售上海國家警察資料庫（SHGA.gov.cn）的洩露，據稱該數據包括十億多的中國居民資訊和刑事案件記錄。