資料外洩

**資料泄露**指的是個人或組織的私有、機密資訊被有意或無意地發布到危險環境中。這類事件通常與駭客攻擊、有組織犯罪、政治運動、國際競爭有關；也有因為員工疏忽、違規使用或處置儲存媒介導致的資料泄露。小到如員工將列印的少量內部使用的材料遺失在公共運輸工具上的意外，嚴重如算機駭客組織攻破政府防火牆，竊取目標軍事、政治機密的事故均時有發生。常見的被泄露資料一般包括金融資訊（如信用卡帳戶、銀行資訊）、個人健康資料、個人辨識資訊、商業機密與智慧財產權（及其細節）。

對一個組織而言，發生資料泄露可能導致嚴重的直接或間接損失。發生資料泄露後，組織的聲譽將受到嚴重影響，被泄露資料也可能被用於犯罪活動，而該組織也需要付出時間和經濟成本進行事故調查與善後處理。

根據非盈利消費者權益組織 Privacy Rights Clearinghouse 的報告，在美國，僅 2005 年一月到 2008 年四月期間，總計 227,052,199 條包含敏感資訊的資料能夠確定遭到泄露。鑑於嚴峻的資料安全形勢，許多國家的司法管轄實體（如各國司法部、立法機關）通過了要求公司通告消費者並採取措施減輕消費者損失的資料泄露處理相關法律法規。

## 資料泄露的定義

一起資料泄露事件可能包含多起事故或疏忽：資料儲存裝置的遺失或失竊（如未加密磁碟、筆記型電腦的遺失）、敏感資料被上傳至網際網路、裝置未使用合適的資訊安全保護措施即連接至網際網路、使用個人或未加密的組織電子信箱傳輸不適宜公開的資訊或採購了植入惡意程式或硬體的裝置。ISO/IEC 27040 標準將資料泄露定義為_一種造成意外、非法資料損毀、遺失、修改，未經授權的披露或存取受保護的資料傳輸、儲存等資料處理過程的安全問題_。

## 信任與隱私

某一環境是否是可信任的環境並不是一成不變的：如果在一名處於可信環境的員工離職後仍能存取該可信環境中的資料，那麼該員工便可能成為資料泄露事件的突破口，而該「可信環境」也就不再「可信」。在分散式系統中，當信任網路中的某一節點遭入侵，上述情況也有可能發生。對此，在保護資料時使用資料分級策略可以有效降低資料泄露的風險。資料分級後，資料管理者可以根據資料的重要性調整安全策略來保護更加重要的資料。

大多數公開報導的事件中，個人資訊（如身分證號碼）是最常遭到泄露的資料；由於公眾缺乏對泄露公司商業機密、敏感的合作資訊、合同細節或是政府資料可能造成何種損失的認知，此類資料泄露事件一般並不會見諸報端。更何況公開這樣的嚴重事故本身可能會造成比遺失資料更嚴重的損害。

## 內部與外部的威脅

在引發資料泄露事件的各種原因中，最常見的組織內員工工作疏忽或蓄意破壞。波耐蒙研究所（Ponemon Institute）報告稱「大約 37% 的資料泄露由人為因素引發」 Privacy Rights Clearinghouse（PRC）報告顯示，從 2005 年一月到 2018 年 12 月供發生泄露事件 9000 多起，主要原因為組織內部攻擊、員工遺失或遭竊可攜式裝置、組織中電腦感染病毒、向錯誤收件人傳送電子郵件等。這充分證明人為因素是導致資料泄露的重要原因。 

能夠引發資料泄露的外部原因則包括個人或團體網路犯罪者（即駭客與駭客組織）、政府特工等。

## 後果

儘管資料泄露可能導致身分盜竊等嚴重後果，大多數可能導致資料泄露的事件並沒有對相關方產生長遠影響：大多數安全事件在資料遭非法存取前就被遏止，有些硬體盜竊事件的嫌疑人只對偷竊的硬體感興趣或無法破譯硬體上的安全措施。儘管如此，當此類事件發生後，大多數責任方會向受影響的客戶（或是受害者）提供諸如更換信用卡的額外安全服務。

然而，一起成功發生的資料泄露事件仍能造成嚴重損害：2013 年目標百貨資料泄露事件披露後，該公司當年第四季度的盈利大約縮水 40%，次年報告中，該公司聲稱資料泄露事件總共對其造成 2.9 億美元的經濟損失。網際網路犯罪平均每年對能源和公共事業公司造成 1280 萬美元的損失。在醫療領域，僅 2014、15 兩年，資料泄露問題就導致了 62 億美元的損失；僅波蘭一國，超過 2500 萬人的醫保資料遭竊，600 萬人的身分資訊泄露，其居民為此增加支出達 560 億美元。

網際網路領域的資料泄露事件造成的損失則更為嚴重：2016 年雅虎爆出資料泄露事件後，Verizon 公司隨即要求重新就收購雅虎進行談判，最終，這起事件導致雅虎的收購價格降低了 3.2 億美元。

隨著數字時代的發展，資料量指數級增長，資料泄露也越來越頻繁地發生。防止敏感資料泄露已經成為許多企業在安全領域的重點工作。 為保障資料、財務安全，各方在防止資料泄露方面投入巨大：文獻指出，從 2017 年到 2021 年，全球已在網際網路安全領域花費超過 1 萬億美元。

## 嚴重資料泄露事故列表

自 2005 年以來，世界上發生過的嚴重資料泄露事故有：

### 2005 年

* 2 月，ChoicePoint 泄露 163,000 條客戶記錄
* 11 月，波音泄露 161,000 條雇員的資訊
* 12 月 24 日，Ameriprise Financial 有筆記型電腦被盜，損失 260,000 條客戶記錄

### 2006 年

* 2 月，安永泄露 38,000 條雇員資訊。
* 5 月，美國退伍軍人事務部，泄露 28,600,000 條退役、預備役和現役軍人資訊
* 5 月，安永泄露 Hotels.com 網站 234,000 條客戶資訊。
* 8 月 4 日，AOL 在其網站上走泄了該公司約 65.8 萬匿名使用者在 3 個月期間所進行的 2000 萬份左右的搜尋資訊，相當於同期搜尋量的 0.3％以上。
* 12 月，波音泄露 382,000 條雇員的資訊（同年四月亦泄露 3600 名雇員的資訊）

### 2007 年

* * 埃森哲泄露俄亥俄州和康乃狄克州資料。
* 3 月 29 日，TJ Maxx 泄露 4500 萬銀行帳號。
* 8 月，CGI 集團泄露 283,000 名紐約退休雇員的個人資訊。
* 9 月，The Gap 泄露了 800,000 份求職申請。
* 11 月 20 日，英國稅務海關總署泄露超過 2600 萬條兒童福利相關資料。
* 12 月，Memorial Blood Center 泄露 268,000 名獻血者資料。
* 12 月，田納西州戴維森縣選舉委員會遭到闖入，投票人名冊被盜，泄露 337,000 名投票人的姓名、位址、SSN
* 12 月 25 日，D. A. Davidson & Co. 泄露 192,000 名客戶的姓名、帳戶、社會安全號碼（SSN）、位址和生日

### 2008 年

* 1 月，奇異金融集團確認儲存於鐵山公司的一卷存有 650,000 名客戶、150,000 條 SSN 和信用卡資訊的磁帶遺失，傑西潘尼零售公司在受影響的 230 個零售商之列。
* 1 月，新澤西州公司 Horizon Blue Cross and Blue Shield 泄露其 300,000 名會員的資訊。
* 2 月，Lifeblood 泄露 321,000 名獻血者個人資訊。
* 8 月 24 日，美國國家金融服務公司員工小雷內・雷波洛（Rene L.Rebollo Jr.）被發現竊取並銷售了 250 萬客戶包括 SSN 在內的個人資訊。
* 11 月 18 日，英國國家黨成員列表泄露

### 2009 年

* 1 月，Heartland Payment Systems （HPS）宣布其處理系統遭到駭客入侵，估計有 650 家金融服務公司的 1 億張信用卡資訊遭竊。
* 12 月， RockYou! 的密碼資料庫遭攻破，3200 萬使用者名稱及其明文儲存的密碼被泄露

### 2010 年

* 切爾西・曼寧在 2010 年中公布了大量軍隊機密資料。

### 2011 年

* 4 月，索尼旗下 PlayStation Network 服務數次遭入侵，預計 7700 萬使用者的資訊遭到泄露，損失超過 10 億美元。
* 3 月，RSA 安全公司 SecurID 權杖系統的鑰匙種子倉庫出現漏洞，其兩步驗證使用的鑰匙種子失竊，使得攻擊者能夠複製 RSA 的硬體權杖類產品並對使用此類產品的使用者發動攻擊。
* 6 月，花旗集團對外公布其信用卡作業系統發生資料泄露，據估計，有 21 萬（1%）使用者帳戶受到影響。

### 2012 年

* 8 月， 連線雜誌資深編輯馬特・霍南（Mat Honan）撰文稱「駭客在一小時內摧毀了我的全部數字生活」。攻擊者取得了他的蘋果、推特、Gmail 帳戶密碼，控制了他的推特並抹除了他所有電子裝置上的所有訊息、檔案，連他為自己 18 個月大的女兒拍的相片也沒有放過。這一起攻擊事件是由於攻擊者對亞馬遜的技術支援人員發動社會工程學攻擊取得到他蘋果帳戶密碼恢復系統用到的資訊導致的。 根據他的經歷，馬特就「為什麼密碼無法保護使用者安全」撰文。
* 10 月，美聯邦執法部門帶證據聯絡南卡羅來納州稅務局，稱有三位公民的身分辨識資訊失竊。 隨後爆出實際上共約有 360 萬 SSN 與 38.7 萬信用卡資訊遭竊。

### 2013 年

* 10 月，Adobe 公布其資料庫遭到入侵，約 1.3 億使用者記錄遭竊。
* 11-12 月，目標百貨宣布該公司 7000 萬信用 / 儲蓄卡帳戶資訊泄露。
* 愛德華・史諾登在 2013 年公布了一系列美國國家安全局及其駐其他國家的分支機構的機密檔案。

### 2014 年

* 8 月，蘋果 iCloud 服務爆出將近 200 位知名人士的相片遭竊並被公開在 4chan 網站上。蘋果稱，調查顯示此次攻擊「對特定目標的使用者名稱、密碼與安全問題具有極高針對性」。 此次事件後蘋果通過加裝兩步驗證增強了 iCloud 的安全措施。參見：2014 年 8 月名人相片泄露事件
* 9 月，家得寶發生資料泄露事件，5600 萬信用卡號遭竊。
* 10 月，史泰博發生資料泄露事件，116 萬銀行卡資訊遭竊。
* 11 月， 索尼影業發生資料泄露事件，其員工的個人資訊、家庭資訊、高管薪資、未發布的電影副本等資訊遭到泄露。駭客宣稱他們取得了超過 100TB 資料。參見：索尼影業遭駭客攻擊事件

### 2015 年

* 2 月，偉彭醫療泄露接近 8000 萬條包括姓名、SSN、生日等個人資訊。
* 6 月，美國聯邦政府人事管理局泄露 2210 萬現、前任聯邦雇員的個人資訊。參見：美國聯邦人事管理局資料外洩案
* 7 月，Ashley Madison 網站泄露其 3700 萬使用者的資訊。駭客威脅該網站及其附屬網站永久關閉，否則將公開其使用者的姓名。
* 10 月，英國電信業者 TalkTalk 被一群 15 歲駭客入侵並竊取 400 使用者資料。

### 2016 年

* 2 月，15 歲的英國駭客凱恩・甘博（Kane Gamble）公布了超過 2 萬名 FBI 雇員包括姓名、職務、電話號碼、電子信箱在內的個人詳細資訊。法院判決稱凱恩涉嫌「有政治目的的網路恐怖主義行動」。
* 3 月，菲律賓選舉委員會網站被駭客組織「菲律賓匿名者」入侵並惡意修改，隨後駭客組織 LulzSec Pilipinas 將整個委員會資料庫上傳至 Facebook。
* 9 月，雅虎報告稱 5 億 2014 年以前的使用者帳戶被「政府支援的駭客組織」竊取。不久後，2017 年 10 月雅虎被爆出其全部 30 億帳戶被泄露。

### 2017 年

* 7 月，Equifax 被爆泄露 1.455 億條使用者消費記錄。
* 10 月，韓國宣稱朝鮮駭客竊取了 235GB 美韓機密軍事檔案。

### 2018 年

* 3 月，英國諮詢公司劍橋分析公司在未經 Facebook 使用者同意的情況下取得數百萬 Facebook 使用者的個人資料，這些資料主要用於政治廣告。參見：FaceBook - 劍橋分析資料醜聞
* 3 月，Google 發現一個可能導致 50 萬使用者資料泄露的漏洞，但在修復漏洞時，Google 並沒有將漏洞存在的事實告知使用者，直到六個月後華爾街日報就此作出報導。
* 3 月 29 日，Under Armour 公布旗下 MyFitnessPal 服務約 1.5 億使用者的姓名、電子信箱帳號和雜湊後密碼發生泄露。
* 4 月 1 日，奢侈品牌薩克斯第五大道與 Lord & Taylor 爆出泄露其在北美約 500 萬使用者的信用卡資訊。
* 7 月，新加坡醫療服務部門 SingHealth 被爆出泄露包括總理李顯龍在內約 150 萬使用者的醫療資訊。參見：2018SingHealth 資料泄露事件
* 8 月 1 日，Reddit 宣布其伺服器遭到入侵，駭客繞過兩步驗證系統登入了其員工帳戶，但 Reddit 拒絕披露受影響的使用者數目。
* 9 月 7 日，英國航空發生資料泄露，38 萬使用者包括銀行資訊詳情在內的記錄遭竊。
* 10 月 19 日，美國醫療保險和醫療補助服務中心泄露 7.5 萬人的個人資訊。
* 12 月 3 日，Quora 報告了一起影響 1 億使用者的資料泄露事件。

### 2019 年

* 7 月 16 日，保加利亞國稅局發生資料泄露事件。
* 7 月 17 日，提供帳單和保險資料處理的醫療保健供應商 Medico Inc. 泄露了近 14,000 個文件。
* 7 月 25 日，美國民主黨參議院競選委員會在組態錯誤的 Amazon S3 儲存桶中公開了大約 620 萬個電子郵件位址。
* 9 月，市場分析公司 Novestrat 的伺服器由於漏洞遭到利用泄露了厄瓜多全國共計 1700 萬公民及已故者的全名，日期，出生地，教育水平，電話號碼和國民身分證號碼。

### 2020 年

* 7 月 7 日，線上寫作網站 Wattpad 遭到 ShinyHunters 攻擊，2700 萬包括經過雜湊的密碼在內的使用者資料上架暗網遭到售賣。
* 12 月，由 SolarWinds, 微軟和 VMWare 公司產品中的漏洞導致的嚴重資料泄漏事件導致美國聯邦政府多個部門資料遭到駭客竊取。參見：2020 美國聯邦政府資料泄露事件

### 2021 年

* 3 月 12 日，微軟 Exchange 郵件伺服器漏洞導致約 3000 個英國郵件伺服器有資料泄露風險。

### 2022 年

* 6 月，駭客公開售賣據稱來自超星學習通 app 的 1.7 億條高校學生資料，其中包含姓名、手機號、性別、學校、學號和電子信箱等個人資訊。
* 6 月 30 日上午 8 時，一位帳號名叫「ChinaDan」的使用者在網上以 10 比特幣（時價約合 20 萬美元）的價格出售上海國家警察資料庫（SHGA.gov.cn）的泄露，據稱該資料包括十億多的中國居民資訊和刑事案件記錄。

## 另見

* 完全披露 (電腦安全)

## 參考資料