中国数据泄露事件曝光十亿条记录

立即使用 CyberHoot 保护您的业务！！！

注册领取优惠

一位政府开发人员在一个热门论坛上发布了一篇博客文章，其中包含了上海警方数据库的登录信息，中国因此遭遇了史上最大规模的数据泄露事件之一。这并不令人意外，因为 去年 82% 的违规行为 部分原因是人为错误。这包括： 钓鱼、使用被盗凭证、错误配置和简单错误。

威胁者成功获取了这些数据，并在暗网上发布了23TB的数据进行出售。此次泄露的数据总计涉及约XNUMX亿中国公民的个人信息。

数据泄露

中国亿万富翁、币安首席执行官赵长鹏本周早些时候表示，币安的威胁情报团队在暗网上发现了10亿条待售记录。他随后分享了一位政府开发人员在中国软件开发网络（CSDN）上发表的博客文章，其中意外包含了上海警方数据库的凭证：

数据泄露中的信息包括大量 非公开个人信息（NPII） 这可能会危及多达十亿中国公民的安全。泄露的数据包括中国公民的姓名、地址、出生地、身份证号码、电话号码、健康记录和犯罪记录。 这又是为什么公司必须认真对待员工网络安全培训的另一个例子。

这些数据被发布到黑客们买卖信息的热门网站“Breach Forums”。据悉，这些个人数据是由一位名为“ChinaDan”的匿名黑客发布的。 Threatpost帖子中，“ChinaDan”声称自己从阿里巴巴的云存储服务器下载了这些数据。黑客要求以10比特币（约合200,000万美元）的价格赎回全部数据。

Keeper Security 首席技术官兼联合创始人 Craig Lurey 分享了他对数据泄露的反应：

这是未能实施基本密码管理和机密管理的灾难性失败的最终结果。数据库凭证之类的机密信息绝不应该被硬编码到源代码中，而这正是此次数据泄露的根本原因。

值得注意的是，许多密码管理器允许组织建立严格、审慎的 基于角色的访问控制 (RBAC)以及对基础设施的特权访问，以保护敏感数据和秘密。

这是什么意思？

此次数据泄露表明，即使是拥有安全许可的政府雇员也可能犯下造成灾难性后果的错误。显然，拥有这种级别安全许可的人可以访问此类数据库，而普通公司的普通员工只能访问其公司和客户信息。这并不意味着普通员工不会构成风险，而是意味着 任何人 可能会犯错，使公司面临风险。务必确保您的员工接受过正确的密码安全培训，了解如何处理关键信息，以及日常工作中其他可能危及公司或客户数据安全的方面。

此次泄密事件的要点：

1. 由于开发最佳实践通常会阻止将密码硬编码到数据库和应用程序配置文件中，因此政府开发人员似乎并未接受过安全编码培训，例如 CyberHoot 的 OWASP 十大安全最佳实践。如果您的公司开发软件，请让开发人员接受安全编码实践培训。
2. 即使你的公司不开发软件，这个凭证错误也凸显了强大的 密码卫生 以及 多因素认证 像包含1亿中国公民信息的数据库这样的关键资产。未经MFA（多边身份验证），任何人都不应该访问如此大量的数据。

继续阅读以了解所有公司必须在其网络安全计划中纳入的最低基本网络安全措施。

CyberHoot 的最低基本网络安全建议

以下建议将帮助您和您的企业应对日常可能面临的各种威胁。 通过聘请 CyberHoot 的 vCISO 程序开发服务可以获得以下列出的所有建议。

1. 用政策和程序来管理员工。你至少需要制定密码策略、可接受使用策略、信息处理策略以及书面信息安全计划 (WISP)。
2. 培训员工如何发现和避免 网络钓鱼攻击. 采用 CyberHoot 等学习管理系统来教导员工他们需要的技能，使他们更加自信、高效和安全。
3. 使用网络钓鱼攻击测试员工的实践经验。CyberHoot 的网络钓鱼测试允许企业使用可信的网络钓鱼攻击来测试员工，并对未通过测试的员工进行补救性网络钓鱼培训。
4. 部署关键网络安全技术，包括 双因素认证 在所有关键账户上。启用垃圾邮件过滤、验证备份并部署 DNS 保护。 杀毒软件以及所有端点上的反恶意软件。
5. 在现代的在家办公时代，请确保通过验证个人设备的安全性（修补、防病毒、DNS 保护）或完全禁止其使用来管理连接到网络的个人设备。
6. 如果您过去两年没有进行过第三方风险评估，现在就应该进行一次。在组织中建立风险管理框架对于利用有限的时间和金钱应对最严重的风险至关重要。
7. 购买网络安全保险，在灾难性故障情况下为您提供保障。网络安全保险与汽车、火灾、洪水或人寿保险一样，在您最需要的时候为您提供保障。

除了网络保险之外，以上所有建议都已融入 CyberHoot 的产品和虚拟首席信息安全官服务中。借助 CyberHoot，您可以管理、培训、评估和测试您的员工。访问 CyberHoot.com 立即注册我们的服务。至少注册我们的月度课程，继续学习。 网络安全通讯 掌握最新的网络安全更新。

要了解有关中国数据泄露的更多信息，请观看这段 3 分钟的短片：

来源: 

安全世界

其他读物：

Outlook“自动发现”功能泄露密码

数据泄漏网络库术语

泄漏软件网络库术语