【自保大法】遇到數據洩露點算好？
數據洩露經常發生，幾乎每天都聽到相關事故。無論是甚麼行業、部門、地方，受害組織的規模從小型企業，至國際大企業都不能倖免。IBM 估計，2021 年美國公司的數據洩露平均成本為 424 萬美元，當涉及遙距工作，損失平均更增加了 107 萬美元。這篇文章將講解如何檢查自己的資料有否遭外洩及數據外洩的風險等問題。
企業遭遇數據外洩事故，其成本可包括以數百萬美元修復受損系統、執行網絡取證、改善防禦和支付法律費用，還涉及受數據洩露影響的個人客戶流失所致的損失。對於個人而言，損失可能就會變得個人化，損失或可能是工資、儲蓄和投資資金。
數據洩露是如何發生的？
根據 IBM，網絡攻擊者闖入公司網絡的最常見的初始攻擊手段，多數是利用外洩的憑證，這種方法佔了 20%。這些憑據可能包括線上洩露的帳戶用戶名和密碼，可能在單獨的事故中被盜；或是從暴力攻擊獲得，例如以自動劇本嘗試不同的組合，來破解易於猜測的密碼。
其他潛在的攻擊方法包括：
Magecart 攻擊：British Airways 和 Ticketmaster 等公司都曾遇過這些攻擊，即惡意代碼被悄悄加入電子支付頁面，以偷取信用卡資料。
在網站 Domain 和表單加入的惡意代碼：相同的策略可用於從客戶和訪問者那裡獲取數據資料，直接在受害者到訪正常網站時竊取數據。
商業電郵件詐騙 (BEC) ：BEC 詐騙是攻擊者偽裝成公司員工、承包商或服務提供商。他們鎖定電子郵件的來往或聯繫客戶服務的過程作攻擊，欺騙他們交出個人資料或將發票支付到錯誤的銀行帳戶。
內部威脅：例如員工受網絡犯罪分子的引誘，將數據資料售出。曾有一名俄羅斯國民因試圖招募美國公司員工，在其僱主的網絡上安裝惡意軟件而被捕。
疏忽：不安全的伺服器，如配置錯誤而長期開放或暴露，是數據暴露和洩露的主要原因。資料也可能因此被員工意外洩露。
垃圾郵件和網絡釣魚攻擊：在個人層面上，網絡犯罪分子會嘗試通過垃圾郵件、網絡釣魚域等方式獲取受害者 PII 包括姓名、實際地址、電子郵件地址、工作經歷、電話號碼、性別以及護照等的文件副本，都可用於進行身份盜用。
當攻擊者在裡面時會發生什麼事？
攻擊者可能首先進行監視，從網絡中找出最有價值的資源在哪裡，或者發現潛在的途徑，跳入其他系統。Verizon 指出，71% 的數據事故是從「錢」出發策動。攻擊者可能會部署勒索軟件，來勒索受害者以重新獲得對網絡的存取權限。在「雙重勒索」中，黑客組織可能首先竊取機密資料，然後威脅要在網上洩露數據。
另外，有些人可能會偷走他們知識產權設計，並抹去他們的痕跡。還有些攻擊者可能會測試他們的接入點，並透過暗網將之出售給其他網絡攻擊者。在某些情況下，網絡入侵是出於想破壞一間公司的服務並損害其聲譽。一些不法分子下載數據後在網上免費發布至 PasteBin 等。
什麼是暗網？
互聯網可以分為三層：明網（clear web）、深網（deep web）和暗網（dark web）。
明網：明網即是我們大多數人每天使用的互聯網。
深網：深網需要特定的瀏覽器才能訪問，通常需要 Tor 網絡和 VPN。網站使用 .onion 地址進行索引，整個網絡是基於安全和匿名原則運作，使用者有法律上的考慮，如規避審查或非法操作。
暗網：暗網則是與犯罪活動相關的區域，這可能包括出售數據、非法產品、毒品、武器和其他非法材料。
數據洩露對您有何影響？
個人資料如果牽涉數據洩漏事故中，也可能在網上暴露、被盜或洩露，例如：
Securitas：1 月研究人員披露了屬於該安全公司的不安全 AWS 存儲桶，並在網上洩出。當中機場員工記錄和 PII 被洩露。
上海國家警察 (SHGA) 數據庫：7 月有報導稱，上海國家警察局收集的涉及約 10 億中國公民的數據被發現在暗網上出售。
Robinhood：2021 年的一宗事故導致大約 500 萬人的個人資料和電子郵件地址被盜。
Facebook：一個包含 5.53 億 Facebook 用戶資訊的數據轉儲在收集兩年後，於 2021 年在線發布。
Volkswagen、Audi：去年，兩家公司承認數據洩露事件影響了 330 萬客戶和感興趣的買家。
身份盜竊是指有人在未經許可使用個人資料冒充受害人，作欺詐和犯罪行為，可能包括與稅務有關的欺詐、開設信貸額度和貸款、醫療欺詐，以及線上進行欺詐性購買。這些情況可能會影響信用評分，令受害人需負上貸款或承擔財務責任。更麻煩的是，由於網絡犯罪是全球性發生，執法部門也很難起訴肇事者。
我如何知道我是否參與了數據洩露？
可使用 Have I Been Pwned，由安全專家 Troy Hunt 運營，可用於找出你受哪些數據洩露事故影響，以及你的數據被洩露的程度。
密碼管理器
如果您使用密碼管理器，例如 1Password、Keeper 或 Dashlane，這些管理器會提供洩露監控服務，當密碼出現在數據洩露時會發出提醒。
如果遭遇數據洩露應怎樣做？
這取決於數據洩露的嚴重性和類型。如果 PII 已經以某種形式在網上洩露，如姓名和電子郵件地址等，在這種情況下是無能為力。但是，如果帳戶詳細信息被洩露，無論如何都應立即更改密碼。此外，在不同平台和服務中重複使用密碼組合，也應該立即更改。
啟用兩因素身份驗證 (2FA) 能為帳戶提供多一層安全保護，因此如果憑據被洩露，攻擊者還需要取得電子郵件帳戶或手機，才能獲取存取帳戶所需的驗證碼。如果信用卡的詳細資料、銀行帳戶或其他財務相關的服務遭到入侵，請立即致電服務提供商，或者凍結信用卡，還必須通知銀行或金融服務提供商，以便他們留意可疑和欺詐性交易。
