中国数据泄露事件曝光十亿条记录

12 年 2022 月 XNUMX 日 | 博客, 黏

立即使用 CyberHoot 保护您的业务！！！

中国遭遇了有史以来规模最大的数据泄露事件之一，起因是一位政府开发人员在热门论坛上发布了一篇博文，其中包含了上海警方数据库的登录凭证。这并不令人意外，因为去年82%的数据泄露事件都与人为错误有关，例如网络钓鱼、使用被盗凭证、配置错误和一些简单的失误。

威胁者成功获取了这些数据，并在暗网上发布了23TB的数据进行出售。此次泄露的数据总计涉及约XNUMX亿中国公民的个人信息。

数据泄露

中国亿万富翁、币安首席执行官赵长鹏本周早些时候表示，币安的威胁情报团队在暗网上发现了10亿条待售记录。他随后分享了一位政府开发人员在中国软件开发网络（CSDN）上发表的博客文章，其中意外包含了上海警方数据库的凭证：

中国警方数据泄露

此次数据泄露事件包含大量非公开个人信息（NPII），可能危及多达十亿中国公民的安全。泄露的数据包括中国公民的姓名、地址、出生地、身份证号码、电话号码、健康记录和犯罪记录。这再次凸显了企业必须认真对待员工网络安全培训的重要性。

这些数据被发布在了黑客信息买卖网站 Breach Forums 上。据Threatpost报道，发布这些数据的是一位名为“ChinaDan”的匿名黑客。在帖子中，“ChinaDan”声称这些数据是从阿里巴巴托管的云存储服务器下载的。该黑客为整套数据索要 10 个比特币，约合 200,000 万美元。

Keeper Security 首席技术官兼联合创始人 Craig Lurey 分享了他对数据泄露的反应：

这是未能实施基本密码管理和机密管理的灾难性失败的最终结果。数据库凭证之类的机密信息绝不应该被硬编码到源代码中，而这正是此次数据泄露的根本原因。

值得注意的是，许多密码管理器允许组织建立严格的、经过深思熟虑的基于角色的访问控制 (RBAC)，以及对基础设施的特权访问，以保护敏感数据和秘密。

这是什么意思？

这次数据泄露事件表明，即使是拥有安全许可的政府雇员也可能犯下造成灾难性后果的错误。显然，拥有这种级别许可的人员可以访问此类数据库，而普通公司的普通员工只能访问公司和客户信息。但这并不意味着普通员工不会构成风险，而是意味着任何人都可能犯错，使公司面临风险。因此，确保员工接受有关正确密码管理、如何处理关键信息以及其他可能导致公司或客户数据泄露的日常工作方面的培训至关重要。

此次泄密事件的要点：

由于开发最佳实践通常会阻止将密码硬编码到数据库和应用程序配置文件中，因此政府开发人员似乎并未接受过安全编码培训，例如 CyberHoot 的 OWASP 十大安全最佳实践。如果您的公司开发软件，请让开发人员接受安全编码实践培训。
即使你的公司不开发软件，这个凭证错误也凸显了强大的密码卫生和多因素认证像包含1亿中国公民信息的数据库这样的关键资产。未经MFA（多边身份验证），任何人都不应该访问如此大量的数据。

继续阅读以了解所有公司必须在其网络安全计划中纳入的最低基本网络安全措施。

CyberHoot 的最低基本网络安全建议

以下建议将帮助您和您的企业应对日常工作中可能面临的各种威胁，确保安全。所有建议均可通过聘请 CyberHoot 的虚拟首席信息安全官 (vCISO) 项目开发服务获得。

用政策和程序来管理员工。你至少需要制定密码策略、可接受使用策略、信息处理策略以及书面信息安全计划 (WISP)。
培训员工如何发现和避免网络钓鱼攻击. 采用 CyberHoot 等学习管理系统来教导员工他们需要的技能，使他们更加自信、高效和安全。
使用网络钓鱼攻击测试员工的实践经验。CyberHoot 的网络钓鱼测试允许企业使用可信的网络钓鱼攻击来测试员工，并对未通过测试的员工进行补救性网络钓鱼培训。
部署关键网络安全技术，包括双因素认证在所有关键账户上。启用垃圾邮件过滤、验证备份并部署 DNS 保护。杀毒软件以及所有端点上的反恶意软件。
在现代的在家办公时代，请确保通过验证个人设备的安全性（修补、防病毒、DNS 保护）或完全禁止其使用来管理连接到网络的个人设备。
如果您过去两年没有进行过第三方风险评估，现在就应该进行一次。在组织中建立风险管理框架对于利用有限的时间和金钱应对最严重的风险至关重要。
购买网络安全保险，在灾难性故障情况下为您提供保障。网络安全保险与汽车、火灾、洪水或人寿保险一样，在您最需要的时候为您提供保障。

除了网络保险之外，以上所有建议都已集成到 CyberHoot 的产品和虚拟首席信息安全官 (CIO) 服务中。借助 CyberHoot，您可以管理、培训、评估和测试您的员工。立即访问CyberHoot.com并注册我们的服务。至少，您可以订阅我们每月发布的网络安全新闻简报，持续学习最新的网络安全动态。