本篇文章我們來回顧一下 2019年初發生的一些災難性的泄露等案例，從中吸取經驗教訓：

[[259236]]

1. 澳大利亞維多利亞州政府3萬名雇員個人信息外泄

據ABC 1月1日報道，不知名政黨下載了部分維多利亞州政府名錄后，3萬名維多利亞州公務員工作詳情數據遭竊。這個給政府員工使用的名錄包含工作電郵、職稱以及工作電話號碼。

受此次數據泄露事件影響的員工通過郵件被告知，在通訊錄上的員工的電話號碼可能也已外泄。

工作人員被告知稱，此次數據泄露事件并未影響銀行及財務信息。總理府表示已將該泄露事件移交警方、澳大利亞網絡安全中心和維多利亞州信息專員辦公室調查。 該部門的發言人聲明道，“為防止再次發生此類數據泄露事件，政府將妥善處理所有調查所得。”

2. 萬豪酒店5億客戶數據泄漏

酒店連鎖巨頭喜達屋母公司萬豪國際酒店表示，經過取證和分析團隊縝密調查后發現，因其大數據泄露事件影響到的客戶數量從5億減少到了3.83億，其中有超過500萬個未加密的護照號碼和大約860萬個加密信用卡號碼被盜 。盡管萬豪新披露的這些數據較之前有所降低，但該事件仍是十分重大的個人數據泄露事件之一。萬豪表示，喜達屋集團自2014年以來一直在受到黑客攻擊。萬豪已提出，如果受影響的客人能夠證明自己是數據泄露事件的受害者，他們將支付辦理新護照的費用，這可能會讓萬豪公司損失5.77億美元。

3. 10多款ios應用被發現與安全惡意軟件有染

北京時間1月6日消息，安全研究人員表示，他們已經發現逾10款iPhone應用秘密向與Android惡意件Golduck有關的服務器傳輸數據。

Golduck是在逾一年前被發現的。當時，Appthority發現Golduck會感染谷歌Play中的經典和復刻游戲，在游戲中嵌入后門代碼，使惡意代碼秘密感染設備。當時，這一惡意代碼感染了逾1000萬名用戶，它使黑客能以高權限運行惡意命令，例如，在用戶的手機上發送付費短信牟利。現在，研究人員稱，與Golduck通信的iPhone應用也存在風險。

4. 德國IT安全機構回應數百名政客私人信息泄漏事件

據Associated Press 1月6日報道，德國IT安全機構于1月5日對數百名政客私人信息泄露進行了回應，此前議員們指責該機構未能及時通知他們。德國IT安全機構承認，一名議員曾在12月初就其私人電子郵件和社交媒體賬戶上的可疑活動與機構聯系，但機構當時認為他的經歷是一次偶然。

多達1000名德國政界人士和名人遭信息泄露，內容包括私人地址、手機號碼、聊天記錄和信用卡號碼。有關部門仍在調查是誰竊取并公布了這些信息，信息遭泄露的人員不包括極右翼政黨德國新選擇黨議員。

5. TLS 1.2 協議現漏洞，近3000網站受影響

雷鋒網2月12日消息，Citrix發現SSL 3.0協議的后續版本TLS 1.2協議存在漏洞，該漏洞允許黑客濫用Citrix的交付控制器(ADC)網絡設備來解密TLS流量。

Tripwire漏洞挖掘研究小組的計算機安全研究員克雷格•楊(Craig Yang)稱：“TLS 1.2存在漏洞的原因主要是由于其繼續支持一種過時已久的加密方法：密碼塊鏈接(cipher block-chaining, CBC)，該漏洞允許類似SSL POODLE的攻擊行為。此外，該漏洞允許中間人攻擊用戶的加密Web。”

6. 印度國有天然氣公司再次泄漏了數百萬客戶的敏感信息

外媒報道稱，由于網絡安全措施不到位，印度國有天然氣公司(Indane)又一次暴露了數以百萬計的 Aadhaar 生物識別數據庫信息。問題出在Indane面向經銷商和渠道商的網站上，部分內容已被谷歌編入索引，因此所有人都能繞過登陸頁面獲得訪問權限。作為 Aadhaar 的監管機構，印度UIDAI會立即駁斥有關數據泄露的報道，稱相關報道為‘假新聞’，并威脅向警方報案或提起訴訟。不過，此前經手過 Aadhaar暴露事件的法國安全研究員羅伯特還是將這件事捅到了外媒，其預計受影響總人數或超過 670 萬。遺憾的是，盡管外媒向Indane和UIDAI發起詢問，但截至發稿時仍未收到任何答復。

7. 俄羅斯50多家大型企業遭到未知攻擊者勒索

3月2日，Rostelecom-Solar的網絡安全專家記錄到針對俄羅斯企業的大規模網絡攻擊。攻擊使用物聯網設備，尤其是路由器，偽裝成歐尚、馬格尼特、斯拉夫尼奧夫等50多家知名公司發送釣魚電子郵件，對公司人員進行勒索攻擊。追蹤被黑的網絡設備要比服務器困難得多，且使用物聯網設備的攻擊更簡單，對入侵者來說更安全。專家表示，任何能夠發送電子郵件的設備，如調制解調器、路由器、網絡存儲、智能家居生態系統和其他小工具，都可以被用于網絡釣魚攻擊。

8. 伊朗黑客組織攻擊澳大利亞議會和英國議會

3月2日，洛杉磯網絡安全公司Resecurity稱，2月初在澳大利亞議會中的網絡攻擊，是伊朗黑客組織IRIDIUM的“多年網絡間諜行動”的一部分，并且2017年對英國議會的網絡攻擊也是該組織所為。此外，該組織目標包括澳大利亞、加拿大、新西蘭、英國和美國的政府、外交和軍事組織。在兩次事件中，黑客都使用了暴力攻擊獲得議員的個人數據，總共竊取了包括姓名、電子郵件、出生日期的數千條記錄。據研究人員表示，該黑客組織的真正目的是從事“戰略信息收集”。

9. 2019“兩會事件”，信息安全圈有哪些聲音?

3月5日，十三屆全國人大二次會議開幕，國家領導人發表了關于政府工作的報告。在報告中，他三提“信息”，涉及到信息技術發展、信息基礎設施建設和個人信息保護。同時安全圈相關人士也紛紛建言獻策，分別涉及到個人信息保護、相關法律法規制定、網絡安全大腦建設、智能汽車網絡安全、人工智能安全風險、成立國家大數據管理中心等熱點話題。

10. 英特爾CPU再現高危漏洞 得到官方證實可泄漏私密數據

鳳凰網科技訊 北京時間3月6日消息，美國伍斯特理工學院研究人員在英特爾處理器中發現另外一個被稱作Spoiler的高危漏洞，與之前被發現的Spectre相似，Spoiler會泄露用戶的私密數據。雖然Spoiler也依賴于預測執行技術，現有封殺Spectre漏洞的解決方案對它卻無能為力。無論是對英特爾還是其客戶來說，Spoiler的存在都不是個好消息。

研究論文明確指出，“Spoiler不是Spectre攻擊。Spoiler的根本原因是英特爾內存子系統實現中地址預測技術的一處缺陷。現有的Spectre補丁對Spoiler無效。”

11. 華為決定起訴美國政府 稱其涉嫌入侵華為服務器

華為在深圳總部宣布，正起訴美國政府，并要求對禁止使用公司設備的政策進行合憲性審查，這是華為在美國市場持續戰斗中的新進展。該訴訟指控國會去年以國防開支計劃的一部分違憲地捆綁對華為實施的懲罰。國會通過立法阻止中國制造的電信設備在聯邦網絡中使用的規定，阻止了主要政府承包商使用華為設備，該措施主要針對華為和中興，以及其他一些中國公司。同時，華為在發布會上向外界透露，有證據表明美國政府涉嫌入侵華為服務器。

近年來，卡巴斯基實驗室也被美國政府認為其存在潛在的間諜活動為由而受到阻攔，該公司也曾提起了類似華為的訴訟，但尚未成功。不過華為要求法院裁定美國目前的政策違憲，這與卡巴斯基的案例并不相同。

12. 委內瑞拉全國停電，馬杜羅稱再度遭受美國“網絡攻擊”

3月10日，據今日俄羅斯報道，委內瑞拉總統尼古拉斯·馬杜羅(Nicholas Maduro)表示，該國電力系統已成為新一輪“網絡攻擊”的目標。

委內瑞拉政府指責美國“蓄意破壞”，而美國官員則將停電歸咎于委內瑞拉國內腐敗和管理不善。