資料外洩是指資訊在系統擁有者不知情或未授權的情況下遭人竊取或存取的事件。
目錄
當有人在您不知情或未給予授權的情況下，從您的系統竊取了資訊，那麼您就發生了資料外洩。資料外洩不限對象，所有大大小小的企業和系統都可能發生，而被竊取的資料有可能是敏感、專屬或機密的資訊，例如：信用卡卡號、客戶資料、商業機密，或是涉及國家安全事務。
資料外洩的後續影響有可能損害企業的商譽，因為客戶會覺得企業「背叛了他們的信任」。此外，受害的企業及其客戶也可能蒙受財務損失，如果失竊的資訊包含相關記錄的話。
資料外洩是如何發生
絕大多數的資料外洩都是因為駭客入侵或惡意程式攻擊所引起，以下是一些最常見的資料外洩類型：
- 內賊外洩：資料遭受信任或擁有權限的人員竊取。
- 支付卡詐騙：支付卡的資料遭人用實體盜卡裝置竊取。
- 遺失或失竊：隨身碟、筆記型電腦、辦公室電腦、檔案以及其他實體財產遺失或失竊。
- 非預期揭露：因為錯誤或疏失而讓敏感資料曝光。
- 不明原因：在少數案例當中，實際的外洩原因無法確定或未被公開。
資料外洩的階段
研究
駭客在選定了目標之後，就會試圖尋找漏洞來攻擊員工、系統，或網路。駭客需要很長的時間來進行研究，而且有時可能需要長期追蹤員工的社群媒體帳號，以了解其公司內部的基礎架構。
攻擊
一旦找到了攻擊目標的弱點，駭客就會經由網路攻擊或社交工程攻擊來試圖突破目標的防線。
在網路攻擊中，駭客會試圖利用目標基礎架構的弱點來加以入侵。這些弱點包括但不限於：SQL 資料隱碼攻擊 (SQL Injection)、漏洞攻擊，和/或連線階段挾持。
在社交工程攻擊中，駭客會利用社交工程技巧來試圖滲透目標網路，比方說，發送一封精心製作的電子郵件給某位員工，並且針對該員工來量身打造，以便吸引其注意力。這是一種專門騙取資訊的網路釣魚郵件，會誘騙收件人提供自己的個人資料，或是隨附一個惡意程式附件，一旦下載就會自己執行。
將資料外傳
一旦進入到網路內部，駭客就能自由竊取企業網路上的資料，這些資料可被用於勒索或網路宣傳。此外，駭客蒐集到的資訊，還可用來對受害企業的基礎架構發動更具破壞性的攻擊。
資料外洩所帶來的後果
不論任何規模的企業，資料外洩都可能帶來嚴重的後果，絕非單純只有財務損失。發生資料外洩之後，企業通常會面臨法律調查、商譽損失，以及長期的營運中斷。災難的代價通常包括：昂貴的事件回應、客戶補救措施，以及更嚴格的法規監督。
資料外洩的常見後果包括：
- 財務損失：事件回應、法律行動、罰鍰、客戶賠償等等相關的費用很可能迅速攀升。
- 商譽損失： 喪失客戶信任以及媒體的負面新聞很可能造成品牌商譽與市場占有率損失。
- 法規懲罰：違反 GDPR 或 HIPAA 這類法律將導致鉅額罰鍰和制裁。
- 法律責任：企業可能面臨來自受到資料外洩影響的客戶、員工或合作夥伴所發起的訴訟。
- 營運中斷：關鍵系統可能停機，導致生產力和服務供應停擺。
- 更嚴格的資安審查：發生外洩的企業通常將面臨更多來自監理機關、投資人以及客戶的監督。
- 智慧財產損失：資料外洩期間遭到竊取的商業機密或專屬資料，很可能損害企業的長期競爭力。
防範資料外洩
針對企業
- 確實修補系統與網路：IT 系統管理員應確實修補、更新網路內的所有系統，並定期執行網路資安稽核，以防止駭客攻擊未修補或過時的軟體當中的漏洞。
- 教育與強制落實：教育員工有關威脅的資訊、訓練員工留意社交工程技巧，實施或強制落實如何如何應對威脅的指導原則。
- 建置資安措施：建立一套流程來發掘您網路內的漏洞，並且解決威脅。定期執行資安稽核、建置網路入侵防護，確保所有連上您企業網路的系統都已正確盤點。
- 擬定應變計畫：制定一套有效的災難復原計畫，為避免萬一發生資料外洩時手忙腳亂，請事先準備好聯絡窗口、資訊揭露策略、實際的防範步驟等等。確定您的員工了解這項計畫，這樣員工在遇到資料外洩時才能確實採取行動。
針對員工
- 保留您的銀行帳單：資料外洩的第一個跡象往往就是帳單上出現奇怪的費用。
- 別相信您看到的一切：社交工程詐騙最喜歡找上容易受騙的人，請隨時保持懷疑與警戒。
- 留意您在社群媒體上分享的內容：千萬不要分享過頭，可能的話，切勿在您的個人檔案上透露太多關於自己的資訊。
- 保護您的所有裝置：這些裝置包括筆電、行動裝置以及穿戴式裝置。務必使用資安軟體來保護它們，並隨時保持軟體更新。
- 保護您的帳號：每個帳號都使用不同的電子郵件地址與密碼，您也可以選擇使用密碼管理軟體來將這項程序自動化。
- 不要開啟陌生人寄來的電子郵件：只要是不確定，就請直接刪除看似可疑的電子郵件，切勿開啟。在開啟任何附件之前，請務必先確認寄件人的身分以及電子郵件的內容。
近期的資料外洩案例
AT&T 資料外洩
2024 年 7 月，AT&T 發生了一起包括電話號碼、通話與文字簡訊記錄、互動細節，以及通話時間等資訊遭到外洩的事件。
總共約有 1.1 億名 AT&T 的客戶收到有關這起資料外洩事件的通知。受影響資料甚至延伸至其他使用 AT&T 網路的電信業者客戶。
7 月 29 日，AT&T 支付了大約 37 萬美元給一名駭客來刪除一些客戶資料。
根據美國聯邦通訊委員會 (Federal Communications Commission，簡稱 FCC) 的資料，AT&T 在 2024 年 10 月同意支付 1,300 萬美元來解決 2023 年 1 月某雲端廠商發生的資料外洩事件，該事件影響了 890 萬名 AT&T 的無線客戶。
如需進一步資訊，請參閱 AT&T 資料外洩來了解所有相關細節。
Ticketmaster 資料外洩
2024 年 5 月，Ticketmaster 發生了一起影響 5.6 億名使用者的超大型資料外洩事件。ShinyHunters 駭客集團宣稱入侵了 Ticketmaster 的系統並竊取了一大批 (1.3 TB) 的客戶資料，包括：姓名、地址、電話號碼、訂單歷史記錄，以及部分的付款資料。
2024 年 7 月，這批資料的樣本出現在暗網的論壇上。
如需進一步資訊，請參閱 Ticketmaster 資料外洩來了解所有相關細節。
23andMe 資料外洩
2023 年 10 月，熱門的 DNA 檢測與親子鑑定公司 23andMe 因遭遇登入憑證填充 (credential stuffing) 攻擊而發生了一起嚴重的資料外洩。在這類網路攻擊中，駭客會利用其他資料外洩事件當中失竊的使用者名稱和密碼來入侵帳號。登入憑證填充攻擊利用的是使用者在不同網站上重複使用相同密碼的現象，因此是一種常見而危險的威脅。很不幸地，這起事件暴露了 400 萬名客戶的資料，引起了有關敏感基因資訊外洩的嚴重安全疑慮。
如需進一步資訊，請參閱 23andMe 資料外洩來了解所有相關細節。
「資料外洩」與「資料洩露」有何不同
雖然「資料外洩」(data breach) 和「資料洩露」(data leak) 一詞經常被交互使用，但它們的意義卻不盡相同。資料外洩是指未經授權的個人在未經使用者同意的情況下查看或取得機密、敏感或受保護的資訊。資料洩露則是因為組態設定錯誤或人為疏失而導致資料意外曝光。
防範資料外洩的祕訣
及早發現自己遇到了資料外洩，對於降低資料外洩的衝擊至關重要。以下是一些您的資訊可能已經遭到外洩的跡象：
- 來自企業的通知：發生資料外洩的企業有義務必須通知受影響的個人，請留意任何有關資料外洩的通知，並遵照通知內的建議步驟執行。
- 帳戶異常活動：監控您的金融帳戶是否出現任何可疑或未經授權的交易或活動，包括以您的名義開立的新帳戶，或是變更您的帳戶資訊。
- 網路釣魚郵件：對於不請自來的訊息，或要求提供個人資訊的電子郵件，請抱持懷疑態度。
若您已經成為資料外洩的受害者該如何處理
若您懷疑自己的資料已經在某個資料外洩事件當中遭到外洩，請依照以下步驟執行：
- 變更您的密碼：立即更新所有受影響網路帳號的密碼，並使用高強度、非重複的密碼。請考慮使用密碼管理軟體來安全地儲存您的密碼。
- 啟用雙重認證：啟用雙重認證，為您的帳戶增加一道額外的防護。
- 聯絡相關機構：如果資料外洩事件影響到您的金融帳戶，請立即通知您的銀行或信用卡發卡銀行，讓他們協助您保護帳戶安全。
- 監控您的帳戶： 經常檢視您的信用報告和對帳單上是否有任何詐騙跡象。
- 考慮採用信用監控服務：這些服務可協助您留意您的信用記錄是否有任何不尋常的變動，或是任何與您個人資訊相關的詐騙活動。
- 隨時掌握最新消息：追蹤有關資料外洩的新聞，隨時掌握任何進一步的發展與潛在風險。
請記住，隨時保持警戒並主動採取防範措施，可有助於降低資料外洩的衝擊。
哪裡可以取得有關防範資料外洩的協助？
透過單一平台，更快速地制止惡意攻擊並掌握您的資安風險。透過全方位防範、偵測和回應能力，並搭載人工智慧、領先的威脅研究和情報，落實全面資安管理。
Trend Vision One™ 支援多元混合 IT 環境，自動化並協調工作流程，提供專業的資安服務，讓您能夠簡化並整合資安營運。