沃通SSL证书
菲律宾选举委员会网站被攻击，5500万选民数据泄露引热议
2016-08-13
菲律宾竞选委员会(COMELEC)的整个数据库被攻击,所有注册的选民的数据都遭到泄露,犯罪分子很有可能利用这些信息进行诈骗。最初的报告低估了数据泄露的影响,而我们的调查显示其中有很多敏感个人身份信息(PII)——包括数量巨大的护照信息和指纹数据 。
继COMELEC网站3月27日被一组黑客攻击,另一组黑客在网上发布了COMELEC的整个数据库。在这一天,他们加了三个数据库的镜像链接供大家下载。菲律宾有5500万登记选民,此事件可能会成为历史上最大的政府相关的数据泄露,超过了OPM在2015年泄露2000万选民的指纹和社会安全号码(SSN)等PII 。
选举压力
随着5月9日即将举行的菲律宾全国大选来临,这一事件使COMELEC的自动投票系统(AVS)产生了很不好的影响。 在一份声明中,COMELEC的发言人希门尼斯詹姆斯承认网站的安全性不高。不过,他指出,AVS现在运行在更安全的网络上,近期不会受到黑客影响。希门尼斯对AVS的安全性表示放心,表面会保证选举期间的顺利。
然而有些陈述和我们的调查结果不符。 COMELEC官员称,数据库中没有存储敏感信息。然而,我们的研究表明,PII包括指纹数据在内的大量记录都被泄露。包括COMELEC管理员帐户和COMELEC一些官员名单。
根据我们的调查,数据库中包括130万条海外菲律宾选民的记录,其中包括护照号码和到期日期。令人震惊的是,这些数据都是纯文本格式供大家使用。有趣的是,我们还发现了多达1580万条指纹记录,来自从2010年以来选举竞选公职人民的名单。
被泄露的数据是文件名为VOTESOBTAINED的参选候选人的所有文件。根据文件名可知,其中反映了候选人获得的选票数。 COMELEC网站 也显示实际选举期间的实时投票计数。尽管COMELEC声称,这个函数将使用不同的网站来完成,我们还是可以推测如果篡改数据会影响选票计数。
注册公民面临风险
不管是否影响选举,被泄露的选民信息问题更为严重。报告指出,虽然一些数据进行了加密,还有很多数据就原封不动的在那里供坏人使用。
网络犯罪分子可以使用从数据泄露收集到的信息进行敲诈。参考之前的数据泄露案件,被盗数据被用来访问受害者的银行账户,收集更多受害人的联系人信息来进行网络钓鱼或BEC,勒索敲诈等等。
数据分类和防范数据泄露
数据泄露事件是受关注的头条新闻,会影响各行各业 。我们的研究数据表明:数据泄露最先影响的三大行业是政府部门,零售业和金融业。
近期安全事故突出了保障安全性迫在眉睫,而且鉴于对用户的影响,进行数据分类很重要。趋势科技首席技术官Raimund Genes说:“公司聘请数据保护官员很有必要,但即使如此,仍不能完全保证系统和数据的安全 。例如,在德国,至少有一个数据保护官员是法律要求的,但在其他国家并不是。有些公司甚至可能会认为他们并不需要一个数据保护专员 。”
机构和公司是敏感数据的所有者,他们无时不刻面临被盗风险。因此,拥有重要的数据时,灌输安全心态应该是必不可少的。鉴于COMELEC的情况,企业和组织应实行数据分类。数据分类是为了隔离不同敏感程度的数据,并对不同类别运用恰当的保护:
高敏感度数据:如选民数据库,必须是保密的并受访问限制的。高敏感度数据被盗时,可能会损害很多人的利益。
中等敏感度数据:这种数据通常仅用于内部人员访问。该COMELEC泄漏没有这种数据,但其实还有其他很多公司电子邮件和文件泄露的例子。
低敏感度数据:这些数据通常是公开的,且不受限制。 此案例中包括候选列表和他们的信息。这种数据类型不是很重要。
数据分类后,下一步就是各自采取不同的保护措施。方法取决于如何存储数据,以及谁可以访问他们。敏感的数据需要存储在一个单独的或隔离的网络环境中,且需要执行更高级别的安全检查。
这里有其他的方法来预防数据泄露:
定期修补系统和网络 :定期打补丁,进行系统更新,可以防止网络罪犯利用漏洞偷取数据。
培训和实施:员工必须接受培训以应对威胁,应该了解社会工程的策略,并知道遇到各种具体情况如何处理。
落实安全措施 :创建一个能够发现并解决网络威胁的流程。定期进行安全审计,以确保连接到网络上所有的系统都安全。
建立突发事件应对方案 :在数据泄漏的情况下,适当的应急计划必须付诸行动。包括公关等措施来减轻损害,并使用策略将事件公布于众以减少混乱。
相关阅读：
