2018年已过大半，在过去的8个月里，全球各地深受数据泄露事件的困扰，已造成数以万计的损失。据《2018数据泄露损失研究》评估显示，遭遇数据泄露事件的公司企业平均要损失386万美元，同比去年增加了6.4%。

根据全球各地频发的数据泄露事件，ITPUB整理了2018年上半年度国内外影响最大的数据泄露事件，希望以此引起大家对数据安全的重视。

泄密指数：★★★★★

泄密数量：10亿条

事件时间：2018年1月3日

事件回顾：

印度10亿公民身份数据库Aadhaar被曝遭网络攻击，该数据库除了名字、电话号码、邮箱地址等之外还有指纹、虹膜纪录等极度敏感的信息。

泄密指数：★★★☆☆

泄密数量：超过8700万条

事件时间：2018年3月17日

事件回顾：

今年3月，一家名为Cambridge Analytica的数据分析公司通过一个应用程序收集了5000万Facebook用户的个人信息，该应用程序详细描述了用户的个性、社交网络以及在平台上的参与度。4月，该公司通知了在其平台上的8700万名用户，他们的数据已经遭到泄露。

不幸的是，随着对Facebook应用程序更深入的审查，6月27日，安全研究员Inti DeCeukelaire透露了另一个名为Nametests.com的应用程序，它已经暴露了超过1.2亿用户的信息。

泄密指数： ★★☆☆☆

泄密数量：3700万条

事件时间：2018年4月2日

事件回顾：

4月2日，安全研究员DylanHoulihan公开了他在2017年8月向Panera Bread报告的一个漏洞。该漏洞导致Panerabread.com以明文泄露客户记录。在此后的八个月里，Houlihan每个月都会检查一次这个漏洞，直到最终向Krebs披露。随后，Krebs在他的博客上公布了这些细节。尽管该公司最初试图淡化此次数据泄露事件的严重程度，并表示受到影响的客户不到1万人，但据信真实数字高达3700万。

泄密指数：★★★★☆

泄密数量：1.5亿条

事件时间：2018年5月25日

事件回顾：

3月25日，美国著名运动装备品牌Under Armour称有1.5亿MyFitnessPal用户数据被泄露了，MyFitnessPal是一款营养主题应用，以跟踪用户每天消耗的卡路里、设置运动目标、集成来自其他运动设备的数据、分享运动成果到社交平台而受到广大欢迎。

据该公司称，此次数据泄露事件影响到的用户数据包括用户名、邮箱地址、和加密的密码，但并没有涉及到用户的社会安全号码（Social Security numbers）、驾驶证号、和银行卡号等隐私信息。

泄密指数：★★★★☆

泄密数量：超过9200万条

事件时间：2018年6月4日

事件回顾：

6月4日，MyHeritage的安全管理员收到一位研究人员发来的消息称，其在该公司外部的一个私有服务器上发现了一份名为《myheritage》的文件，里面包含了9228万个MyHeritage帐号的电子邮件地址和加密密码。在检查文件后，MyHeritage的安全管理员确认该资产包含了在2017年10月26日之前已注册MyHeritage的所有用户的电子邮箱地址。

随后该公司发布的一份声明称，由于MyHeritage依赖第三方服务提供商来处理会员的付款，黑客破解了密码机制，获得哈希密码，但不包含支付信息。服务商将家谱和DNA数据存储在与存储电子邮箱地址的服务器不同的服务器上。

泄密指数：★★☆☆☆

泄密数量：超过2700万条

事件时间：2018年6月3日

事件回顾：

5月31日，美国票务巨头Ticketfly遭遇黑客攻击勒索，导致音乐会和体育赛事票务网站遭到破坏，并离线和中断一周。据报道，此次攻击事件背后的黑客先是警告Ticketfly存在一个漏洞，并要求其支付赎金。当遭到该公司的拒绝后，黑客劫持了Ticketfly网站，替换了它的主页。

据黑客IsHaKdZ表示，他手中拥有完整的数据库，里面包含2700万个Ticketfly账户相关信息（如姓名、家庭住址、电子邮箱地址和电话号码等，涉及员工和用户）。

泄密指数：★★☆☆☆

泄密数量：1950万条

事件时间：2018年6月7日

事件回顾：

今年2月，一名匿名攻击者截获了由SacramentoBee拥有并运营的两个数据库。其中一个IT资产包含加利福尼亚州州务卿提供的加州选民登记数据，而另一个则存储了用户为订阅该报刊而提供的联系信息。在截获了这些资源之后，攻击者要求支付赎金以换取重新获得对数据的访问权限。Sacramento Bee最终拒绝了这一要求，并删除了数据库，以防止在将来这些数据库在被利用来进行其他更多的攻击。

根据Sacramento Bee的说法，这起黑客攻击事件共暴露了5.3万名订阅者的联系信息以及1940万加州选民的个人数据。

泄密指数：★★☆☆☆

泄密数量：800 万条

事件时间：2018年6月14日

事件回顾：

6月14日凌晨，国内著名网站弹幕视频网站 AcFun（A 站）在官网发布《关于AcFun 受黑客攻击致用户数据外泄的公告》称，该网站曾遭遇黑客攻击，近千万条用户数据已发生外泄，其中包括用户ID、昵称以及加密存储的密码等数据均遭泄露。

其实早在今年3月份，暗网论坛中就有人公开出售 AcFun 的一手用户数据，数量高达800万条，而价格仅为12000元，平均1元能买到800条。而在AcFun发布此次数据泄露公告之前，暗网中也早有人兜售其 Shell 和内网权限，主要卖点就是数据量大以及日流量高。

泄密指数：★★★★★

泄密数量：10亿条

事件时间：2018年6月19日

事件回顾：

6月19日，一位用户在暗网上开始兜售圆通10亿条快递数据，该用户表示售卖的数据为2014年下旬的数据，数据信息包括寄（收）件人姓名，电话，地址等信息，10亿条数据已经经过去重处理，数据重复率低于20%，并以1比特币打包出售。

并且该用户还支持用户对数据真实性进行验货，但验货费用为0.01比特币（约合431.98元），验货数据量为100万条。此验货数据是从10亿条数据里随机抽选的，每条数据完全不同，也就是说用户只要花430元人民币即可购买到100万条圆通快递的个人用户信息，而10亿条数据则需要43197元人民币。

泄密指数：★★★★★

泄密数量：5亿条

事件时间：2018年8月28日

事件回顾：

华住旗下多个连锁酒店信息数据在暗网出售，受到影响的包括汉庭、桔子、全季、宜必思、海友等多家酒店，泄露数据总数更是近5亿！

从网络上流传的截图可以看出，黑客在出售的数据信息如下：

1. 华住官网注册资料，包括姓名、手机号、邮箱、身份证号、登录密码等，共53 G，大约1.23亿条记录；

2. 酒店入住登记身份信息，包括姓名、身份证号、家庭住址、生日、内部ID号，共22.3 G，约1.3亿人身份证信息；

3. 酒店开房记录，包括内部ID账号，同房间关联号、姓名、卡号、手机号、邮箱、入住时间、离开时间、酒店ID账号、房间号、消费金额等，共66.2 G，约2.4 亿条记录；

据研究人员表示，此次泄露的原因是华住公司程序员将数据库连接方式及密码上传到GitHub导致的。而数据库信息是20天前传到了Github上，而黑客拖库是在14天前，黑客很可能是利用此信息实施攻击并拖库。（转载自微信公众号ITPUB）

信息化时代的今天，面对层出不穷的数据泄露事件，国家、企事业单位都应提高对数据安全的重视。面对如此严峻的数据安全形势，如何有效地保障数据安全成为了众多企业的当务之急。从数据泄露的途径分析，数据泄漏主要分为三种：窃密、泄密和失密

内部人员泄密：由于内部员工安全意识薄弱，数据安全分级不明确，操作失误，部分涉密人员无意中泄露数据；部分员工因情绪化报复、利益收买等主动泄露数据。

失密：

权限失控失密：由于帐号生命周期管理不善，权限划分及认证鉴别方式失控，导致人员对数据的密级访问权限不对等，高密级数据流向低权限帐号，涉密数据流向无权限帐号等。

数据维护及处置失密：不安全的加密方式或明文存储、公开的存储位置、管理密钥或存储介质丢失、未完全擦除报废，存储数据发生泄露。

信息发布失密：合作渠道商管理不善数据交互泄露，发布信息审核不当涉及密级数据泄露，信息数据流入未授权、竞争关系的第三方。

   汉领信息，深耕数据安全细分方向，聚焦数据核心安全。作为一家专注于数据中心安全与智能领域的综合解决方案提供商，在数据安全防护措施上有哪些成熟的小建议呢？

M1 预防性措施：

• 安全访问控制

• 身份鉴别（强口令认证）

• 权限分离

• 多因素认证MFA

• 安全策略配置

• 数据分级

• 数据脱敏

• 数据加密

• 安全意识培训

对数据的访问，进行帐号权限的划分，三权分立，知其所需，通过完善接入安全，固定接入的终端设备、应用接口，将非法接入拒之门外，同时采用多因素认证(MFA)方式和强口令认证，周期性修改口令，防止弱口令和权限泄露；数据相关的系统更改不安全的默认配置，进行加固操作；对数据根据重要程度和敏感级别进行分级，划分访问权限；存储和传输数据时，进行敏感数据脱敏和加密处理，同时对内部员工进行安全培训，提供保障数据安全意识。

M2 检测性措施：

• 准入控制

• 漏洞检测/修复

• 安全行为审计

• IDS/IPS/FW

对系统内数据的访问，通过管理权限检测、网络分层（网络层、应用层）控制检测、物理控制做到准入安全；及时检测系统存在的漏洞，进行补丁升级修复或风险规避；对数据访问行为进行记录，通过审计来不断调整权限和发现违规事件；通过入侵检测发现恶意访问事件，进行及时告警。

M3 威慑性措施：

• 防扫描

• WAF/数据库防火墙

• 阻断告警

通过WEB和数据库防火墙功能，来保障数据安全访问，及时阻断已知的恶意攻击，同时结合告警反馈和防扫描技术来达到对恶意攻击者的威慑。

M4 恢复性措施：

• 数据备份

• 异地灾备

通过数据备份、异地灾备，可以在数据遭受勒索病毒加密、入侵破坏后，快速恢复业务应用。

    在此，汉领信息的IAM身份认证与访问安全管理系统专业的WEB  SSO、帐号自动周期改密码、业务安全审计功能和NGDAP下一代数据库应用防御系统独有的网络防火墙、准入防火墙、行为防火墙和白名单建模业务防火墙模块有效结合，将有效完善数据安全防护手段，防止数据泄露事件。