此條目介紹的是翻譯為Data breach的名詞。關於對應Data exfiltration的名詞，請見「數據外洩」。
資料洩露指的是個人或組織的私有、機密資訊被有意或無意地發布到危險環境中。這類事件通常與駭客攻擊、有組織犯罪、政治運動、國際競爭有關；也有因為員工疏忽、違規使用或處置儲存媒介導致的資料洩露。小到如員工將列印的少量內部使用的材料遺失在公共運輸工具上的意外，嚴重如算機駭客組織攻破政府防火牆，竊取目標軍事、政治機密的事故[1]均時有發生。常見的被洩露資料一般包括金融資訊（如信用卡帳戶、銀行資訊）、個人健康資料、個人辨識資訊、商業機密與智慧財產權（及其細節）。[2]
對一個組織而言，發生資料洩露可能導致嚴重的直接或間接損失。發生資料洩露後，組織的聲譽將受到嚴重影響，被洩露資料也可能被用於犯罪活動，而該組織也需要付出時間和經濟成本進行事故調查與善後處理。
根據非盈利消費者權益組織Privacy Rights Clearinghouse的報告，在美國，僅2005年一月到2008年四月期間，總計227,052,199條包含敏感資訊的資料能夠確定遭到洩露。鑑於嚴峻的資料安全形勢，許多國家的司法管轄實體（如各國司法部、立法機關）通過了要求公司通告消費者並採取措施減輕消費者損失的資料洩露處理相關法律法規。
資料洩露的定義
一起資料洩露事件可能包含多起事故或疏忽：資料儲存裝置的遺失或失竊（如未加密磁碟、筆記型電腦的遺失）、敏感資料被上傳至網際網路、裝置未使用合適的資訊安全保護措施即連接至網際網路、使用個人或未加密的組織電子信箱傳輸不適宜公開的資訊或採購了植入惡意程式或硬體的裝置。ISO/IEC 27040標準將資料洩露定義為一種造成意外、非法資料損毀、遺失、修改，未經授權的披露或訪問受保護的資料傳輸、儲存等資料處理過程的安全問題。[3]
信任與隱私
某一環境是否是可信任的環境並不是一成不變的：如果在一名處於可信環境的員工離職後仍能訪問該可信環境中的資料，那麼該員工便可能成為資料洩露事件的突破口，而該「可信環境」也就不再「可信」。在分散式系統中，當信任網路中的某一節點遭入侵，上述情況也有可能發生。對此，在保護資料時使用資料分級策略可以有效降低資料洩露的風險。資料分級後，資料管理者可以根據資料的重要性調整安全策略來保護更加重要的資料。
大多數公開報道的事件中，個人資訊（如身分證號碼）是最常遭到洩露的資料；由於公眾缺乏對洩露公司商業機密、敏感的合作資訊、合同細節或是政府資料可能造成何種損失的認知，此類資料洩露事件一般並不會見諸報端。更何況公開這樣的嚴重事故本身可能會造成比遺失資料更嚴重的損害。[4]
內部與外部的威脅
在引發資料洩露事件的各種原因中，最常見的組織內員工工作疏忽或蓄意破壞。波耐蒙研究所（Ponemon Institute）報告稱「大約37%的資料洩露由人為因素引發」 Privacy Rights Clearinghouse（PRC）報告顯示，從2005年一月到2018年12月供發生洩露事件9000多起，主要原因為組織內部攻擊、員工遺失或遭竊可攜式裝置、組織中電腦感染病毒、向錯誤收件人傳送電子郵件等。這充分證明人為因素是導致資料洩露的重要原因。 [5]
能夠引發資料洩露的外部原因則包括個人或團體網路犯罪者（即駭客與駭客組織）、政府特工等。
後果
儘管資料洩露可能導致身分盜竊等嚴重後果，大多數可能導致資料洩露的事件並沒有對相關方產生長遠影響：大多數安全事件在資料遭非法訪問前就被遏止，有些硬體盜竊事件的嫌疑人只對偷竊的硬體感興趣或無法破譯硬體上的安全措施。儘管如此，當此類事件發生後，大多數責任方會向受影響的客戶（或是受害者）提供諸如更換信用卡的額外安全服務。
然而，一起成功發生的資料洩露事件仍能造成嚴重損害：2013年目標百貨資料洩露事件披露後，該公司當年第四季度的盈利大約縮水40%，次年報告中，該公司聲稱資料洩露事件總共對其造成2.9億美元的經濟損失。[6][7]網際網路犯罪平均每年對能源和公共事業公司造成1280萬美元的損失[8]。在醫療領域，僅2014、15兩年，資料洩露問題就導致了62億美元的損失；[9]僅波蘭一國，超過2500萬人的醫保資料遭竊，600萬人的身分資訊洩露，其居民為此增加支出達560億美元[10]。
網際網路領域的資料洩露事件造成的損失則更為嚴重：2016年雅虎爆出資料洩露事件後，Verizon公司隨即要求重新就收購雅虎進行談判，最終，這起事件導致雅虎的收購價格降低了3.2億美元。[11]
隨著數字時代的發展，資料量指數級增長，資料洩露也越來越頻繁地發生。防止敏感資料洩露已經成為許多企業在安全領域的重點工作。[13] 為保障資料、財務安全，各方在防止資料洩露方面投入巨大：文獻指出，從2017年到2021年，全球已在網際網路安全領域花費超過1萬億美元。
嚴重資料洩露事故列表
自2005年以來，世界上發生過的嚴重資料洩露事故有：
- 2月，ChoicePoint洩露163,000條客戶記錄
- 11月，波音洩露161,000條雇員的資訊
- 12月24日，Ameriprise Financial有筆記型電腦被盜，損失260,000條客戶記錄
- 埃森哲洩露俄亥俄州和康乃狄克州資料。
- 3月29日，TJ Maxx洩露4500萬銀行帳號。[17]
- 8月，CGI集團洩露283,000名紐約退休雇員的個人資訊。
- 9月，The Gap洩露了800,000份求職申請。
- 11月20日，英國稅務海關總署洩露超過2600萬條兒童福利相關資料。
- 12月，Memorial Blood Center洩露268,000名獻血者資料。
- 12月，田納西州戴維森縣選舉委員會遭到闖入,投票人名冊被盜，洩露337,000名投票人的姓名、位址、SSN[18]
- 12月25日，D. A. Davidson & Co. 洩露192,000名客戶的姓名、帳戶、社會安全號碼（SSN）、位址和生日[19]
- 1月，Heartland Payment Systems （HPS）宣布其處理系統遭到駭客入侵，估計有650家金融服務公司的1億張信用卡資訊遭竊。[23]
- 12月， RockYou! 的密碼資料庫遭攻破，3200萬使用者名稱及其明文儲存的密碼被洩露
- 切爾西·曼寧在2010年中公布了大量軍隊機密資料。
- 8月， 連線雜誌資深編輯馬特·霍南（Mat Honan）撰文稱「駭客在一小時內摧毀了我的全部數字生活」。攻擊者取得了他的蘋果、推特、Gmail帳戶密碼，控制了他的推特並抹除了他所有電子裝置上的所有訊息、檔案，連他為自己18個月大的女兒拍的相片也沒有放過。[27]這一起攻擊事件是由於攻擊者對亞馬遜的技術支援人員發動社會工程學攻擊取得到他蘋果帳戶密碼恢復系統用到的資訊導致的。[28] 根據他的經歷，馬特就「為什麼密碼無法保護使用者安全」撰文。[29]
- 10月，美聯邦執法部門帶證據聯絡南卡羅來納州稅務局，稱有三位公民的身分辨識資訊失竊。[30] 隨後爆出實際上共約有360萬SSN與38.7萬信用卡資訊遭竊。[31]
- 8月，蘋果iCloud服務爆出將近200位知名人士的相片遭竊並被公開在4chan網站上。蘋果稱，調查顯示此次攻擊「對特定目標的使用者名稱、密碼與安全問題具有極高針對性」。[34] 此次事件後蘋果通過加裝兩步驗證增強了iCloud的安全措施。[35]參見：2014年8月名人相片洩露事件
- 9月，家得寶發生資料洩露事件，5600萬信用卡號遭竊。[36][37]
- 10月，史泰博發生資料洩露事件，116萬銀行卡資訊遭竊。[38]
- 11月， 索尼影業發生資料洩露事件，其員工的個人資訊、家庭資訊、高管薪資、未發布的電影副本等資訊遭到洩露。駭客宣稱他們取得了超過100TB資料。[39]參見：索尼影業遭駭客攻擊事件
- 2月，偉彭醫療洩露接近8000萬條包括姓名、SSN、生日等個人資訊。[40]
- 6月，美國聯邦政府人事管理局洩露2210萬現、前任聯邦雇員的個人資訊。參見：美國聯邦人事管理局資料外洩案
- 7月，Ashley Madison網站洩露其3700萬使用者的資訊。駭客威脅該網站及其附屬網站永久關閉，否則將公開其使用者的姓名。[41]
- 10月，英國電信業者TalkTalk被一群15歲駭客入侵並竊取400使用者資料。[42]
- 3月，英國諮詢公司劍橋分析公司在未經Facebook使用者同意的情況下取得數百萬Facebook使用者的個人資料，這些資料主要用於政治廣告[51]。參見：FaceBook-劍橋分析資料醜聞
- 3月，谷歌發現一個可能導致50萬使用者資料洩露的漏洞，但在修復漏洞時，谷歌並沒有將漏洞存在的事實告知使用者，直到六個月後華爾街日報就此作出報道。[52]
- 3月29日，Under Armour公布旗下MyFitnessPal服務約1.5億使用者的姓名、電子信箱帳號和雜湊後密碼發生洩露。[53]
- 4月1日，奢侈品牌薩克斯第五大道與Lord & Taylor爆出洩露其在北美約500萬使用者的信用卡資訊。[54]
- 7月，新加坡醫療服務部門SingHealth被爆出洩露包括總理李顯龍在內約150萬使用者的醫療資訊。參見：2018SingHealth資料洩露事件
- 8月1日，Reddit宣布其伺服器遭到入侵，駭客繞過兩步驗證系統登入了其員工帳戶，但Reddit拒絕披露受影響的使用者數目。[55]
- 9月7日，英國航空發生資料洩露，38萬使用者包括銀行資訊詳情在內的記錄遭竊。[56][57]
- 10月19日，美國醫療保險和醫療補助服務中心洩露7.5萬人的個人資訊。[58]
- 12月3日，Quora報告了一起影響1億使用者的資料洩露事件。[59]
- 7月7日，線上寫作網站Wattpad遭到ShinyHunters攻擊，2700萬包括經過雜湊的密碼在內的使用者資料上架暗網遭到售賣。[64]
- 12月，由SolarWinds, 微軟和VMWare公司產品中的漏洞導致的嚴重資料洩漏事件導致美國聯邦政府多個部門資料遭到駭客竊取。參見：2020美國聯邦政府資料洩露事件
另見
- 完全披露 (電腦安全)
參考資料
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
