18 vi phạm dữ liệu lớn nhất của thế kỷ 21 (P1)
Các vụ vi phạm dữ liệu xảy ra hàng ngày, ở rất nhiều nơi cùng một lúc với số lượng không đếm xuể. CSO đã biên soạn một danh sách 18 vụ vi phạm lớn nhất hoặc quan trọng nhất của thế kỷ 21. Để tìm hiểu rõ hơn về 18 phạm vi dữ liệu lớn nhất của thế kỷ 21 xem ngay chia sẻ củaBizfly Cloud ngay nhé.
Danh sách này không dựa trên số lượng vụ xâm phạm, mà dựa trên mức độ rủi ro hoặc thiệt hại do vi phạm gây ra cho các công ty, công ty bảo hiểm, người dùng hoặc chủ tài khoản. Trong một số trường hợp, mật khẩu và thông tin luôn được bảo vệ tốt bằng mã hóa, do đó, việc đặt lại mật khẩu đã loại bỏ phần lớn các rủi ro.
1. Yahoo
Ngày: 2013-2014
Tác động: 3 tỷ tài khoản người dùng
Chi tiết: Vào tháng 9 năm 2016, gã khổng lồ thống trị Internet một thời trong khoảng thời gian đàm phán được Verizon mua lại, đã tuyên bố họ là nạn nhân của vụ vi phạm dữ liệu lớn nhất trong lịch sử, có khả năng là do một nhân tố tấn công được nhà nước bảo trợ năm 2014. Cuộc tấn công đã xâm phạm đến: tên thật, địa chỉ email, ngày sinh và số điện thoại của 500 triệu người dùng. Công ty cho biết "đại đa số" các mật khẩu liên quan đã được băm bằng thuật toán bcrypt mạnh mẽ.
Một vài tháng sau, vào tháng 12, kỷ lục này đã bị soán ngôi bởi một vi phạm vào năm 2013, bởi một nhóm tin tặc khác đã xâm phạm 1 tỷ tài khoản. Bên cạnh tên, ngày sinh, địa chỉ email và mật khẩu không được bảo vệ tốt trong năm 2014, các câu hỏi và câu trả lời bảo mật cũng bị xâm phạm. Vào tháng 10 năm 2017, Yahoo đã cho biết rằng trên thực tế có tất cả 3 tỷ tài khoản người dùng đã bị xâm phạm.
Các vi phạm đã giảm đi 350 triệu đô la giá trị của Yahoo. Verizon cuối cùng đã trả 4,48 tỷ đô la cho phần kinh doanh Internet cốt lõi của Yahoo. Hai công ty sẽ chia sẻ các khoản nợ và pháp lý từ các vi phạm. Việc bán không bao gồm khoản đầu tư được báo cáo vào Tập đoàn Alibaba trị giá 41,3 tỷ USD và quyền sở hữu tại Yahoo Nhật Bản là 9,3 tỷ USD.
Yahoo, được thành lập vào năm 1994, đã từng được định giá 100 tỷ đô la. Sau khi bán, công ty đổi tên thành Altaba, Inc.
2. Marriott International
Ngày: 2014-18
Tác động: 500 triệu khách hàng
Chi tiết: Vào tháng 11 năm 2018, Marriott International tuyên bố rằng những kẻ tấn công mạng đã đánh cắp dữ liệu của khoảng 500 triệu khách hàng. Vi phạm thực sự xảy ra trên các hệ thống hỗ trợ các thương hiệu khách sạn Starwood bắt đầu từ năm 2014. Những kẻ tấn công vẫn ở trong hệ thống sau khi Marriott mua lại Starwood vào năm 2016 và không được phát hiện cho đến tháng 9 năm 2018.
Đối với một số nạn nhân, chỉ có tên và thông tin liên lạc bị xâm phạm. Những kẻ tấn công đã xâm phạm vào các thông tin liên lạc, số hộ chiếu, số Starwood Preferred Guest, thông tin du lịch và thông tin cá nhân khác. Marriott cho rằng số thẻ tín dụng và ngày hết hạn của hơn 100 triệu khách hàng đã bị đánh cắp, mặc dù công ty không chắc chắn liệu những kẻ tấn công có thể giải mã được số thẻ tín dụng hay không.
Vi phạm cuối cùng được quy cho một nhóm tình báo Trung Quốc đang tìm cách thu thập dữ liệu về công dân Mỹ, theo một bài báo của New York Times. Nếu đúng, đây sẽ là vụ vi phạm dữ liệu cá nhân lớn nhất được thực hiện bởi một quốc gia.
3. Adult Friend Finder
Ngày: tháng 10 năm 2016
Tác động: Hơn 412,2 triệu tài khoản
Chi tiết: Mạng FriendSense, bao gồm các trang web nội dung người lớn và nội dung thông thường như Adult Friend Finder, Penthouse.com, fou.com, iCams.com và Stripshow.com, đã bị xâm phạm vào giữa tháng 10 năm 2016. Tin tặc đã thu thập 20 năm dữ liệu trên sáu cơ sở dữ liệu bao gồm tên, địa chỉ email và mật khẩu.
Hầu hết các mật khẩu chỉ được bảo vệ bởi thuật toán băm SHA-1 yếu, điều đó có nghĩa là 99% trong số chúng đã bị bẻ khóa vào thời điểm LeakedSource.com công bố phân tích toàn bộ dữ liệu vào ngày 14 tháng 11.
Phó chủ tịch AFF Diana Ballou đã đưa ra một tuyên bố rằng, chúng tôi đã xác định và khắc phục một lỗ hổng có liên quan đến khả năng truy cập mã nguồn thông qua một lỗ hổng injection.
4. eBay
Ngày: tháng 5 năm 2014
Tác động: 145 triệu người dùng bị xâm phạm
Chi tiết: Người khổng lồ đấu giá trực tuyến này đã báo cáo một cuộc tấn công mạng vào tháng 5 năm 2014 nhằm vào tên, địa chỉ, ngày sinh và mật khẩu được mã hóa của tất cả 145 triệu người dùng của mình. Công ty cho biết tin tặc đã xâm nhập vào mạng công ty bằng thông tin xác thực của ba nhân viên công ty và đã hoàn thành quyền truy cập trong 229 ngày, trong thời gian đó họ có thể truy cập vào cơ sở dữ liệu người dùng.
Khách hàng đã được yêu cầu thay đổi mật khẩu, các thông tin tài chính, như số thẻ tín dụng, được lưu trữ riêng và không bị xâm phạm. Công ty đã bị chỉ trích vào thời điểm đó vì không tiến hành thông báo cho người dùng và chưa thực hiện tốt quá trình gia hạn mật khẩu.
Giám đốc điều hành John Donahue cho biết vi phạm dẫn đến sự suy giảm hoạt động của người dùng, nhưng ít ảnh hưởng đến doanh thu, doanh thu quý 2 của hãng tăng 13% và thu nhập tăng 6%, phù hợp với kỳ vọng của các nhà phân tích.
5. Equachus
Ngày: 29 tháng 7 năm 2017
Tác động: Thông tin cá nhân (bao gồm Số An sinh Xã hội, ngày sinh, địa chỉ, số giấy phép lái xe...) của 143 triệu người tiêu dùng; 209.000 người dùng có dữ liệu thẻ tín dụng bị lộ.
Chi tiết: Equachus, một trong những văn phòng tín dụng lớn nhất ở Hoa Kỳ, cho biết vào ngày 7 tháng 9 năm 2017 một lỗ hổng ứng dụng trên một trong các trang web của họ đã dẫn đến vi phạm dữ liệu làm lộ khoảng 147,9 triệu người dùng. Vi phạm được phát hiện vào ngày 29 tháng 7, nhưng công ty nói rằng nó có thể đã bắt đầu vào giữa tháng Năm.
6. Hệ thống thanh toán Heartland
Ngày: tháng 3 năm 2008
Tác động: 134 triệu thẻ tín dụng bị lộ vì phần mềm gián điệp được cài đặt trên hệ thống dữ liệu của Heartland thông qua SQL injection.
Chi tiết: Tại thời điểm vi phạm, Heartland đang xử lý 100 triệu giao dịch thẻ thanh toán mỗi tháng cho 175.000 thương nhân - hầu hết là các nhà bán lẻ vừa và nhỏ. Cho đến tháng 1 năm 2009, vi phạm bị phát hiện khi Visa và MasterCard thông báo cho Heartland về các giao dịch đáng ngờ từ các tài khoản mà họ đã xử lý.
Heartland bị coi là không tuân thủ Payment Card Industry Data Security Standard (PCI DSS) và không được phép xử lý các khoản thanh toán của các nhà cung cấp thẻ tín dụng lớn cho đến tháng 5 năm 2009. Công ty cũng đã trả khoảng 145 triệu đô la bồi thường cho các khoản thanh toán gian lận.
Một bồi thẩm đoàn liên bang đã truy tố Albert Gonzalez và hai đồng phạm người Nga giấu tên vào năm 2009. Gonzalez, người Mỹ gốc Cuba, bị cáo buộc đã chủ mưu hoạt động quốc tế lấy trộm thẻ tín dụng và thẻ ghi nợ. Vào tháng 3 năm 2010, anh ta bị kết án 20 năm tù. Lỗ hổng SQL injection đã được các nhà phân tích bảo mật cảnh báo các nhà bán lẻ trong vài năm. Tuy nhiên, SQL injection vẫn trở thành hình thức tấn công phổ biến nhất đối với các trang web tại thời điểm đó.
7. Target Stores
Ngày: tháng 12 năm 2013
Tác động: Thông tin thẻ tín dụng/thẻ ghi nợ và/hoặc thông tin liên lạc của tối đa 110 triệu người bị xâm phạm.
Chi tiết: Vi phạm thực sự bắt đầu trước Lễ Tạ ơn, nhưng không được phát hiện cho đến vài tuần sau đó. Gã khổng lồ bán lẻ ban đầu tuyên bố rằng các tin tặc đã có được quyền truy cập thông qua một người bán hàng HVAC của bên thứ ba cho các đầu đọc thẻ thanh toán tại điểm bán hàng (POS) và đã thu được khoảng 40 triệu số thẻ tín dụng và thẻ ghi nợ.
Tuy nhiên, đến tháng 1/2014, công ty đã tăng ước tính đó, báo cáo rằng thông tin nhận dạng cá nhân (PII) của 70 triệu khách hàng đã bị xâm phạm, bao gồm tên đầy đủ, địa chỉ, địa chỉ email và số điện thoại. Ước tính cuối cùng là vi phạm ảnh hưởng đến 110 triệu khách hàng.
Target CIO đã từ chức vào tháng 3 năm 2014 và CEO đã từ chức vào tháng Năm. Công ty ước tính chi phí vi phạm là 162 triệu đô la.
Công ty đã cải thiện an ninh đáng kể. Tuy nhiên, một thỏa thuận được công bố vào tháng 5 năm 2017 đã cho Target 180 ngày để cải thiện bảo mật bởi Tom Kellermann, CEO của Strategic Cyber Ventures và cựu CSO của Trend Micro. Công ty cần tập trung vào việc ngăn chặn những kẻ tấn công và cải thiện phản ứng sự cố.
8. TJX Companies, Inc
Ngày: tháng 12 năm 2006
Tác động: 94 triệu thẻ tín dụng.
Chi tiết: Một nhóm người dùng cho rằng tin tặc đã lợi dụng hệ thống mã hóa dữ liệu yếu và đánh cắp dữ liệu thẻ tín dụng trong quá trình chuyển không dây giữa hai cửa hàng của Marshall ở Miami, Fla. Nhóm khác lại cho rằng tin tặc đã xâm nhập vào mạng TJX thông qua các ki-ốt xin việc điện tử trong cửa hàng.
Albert Gonzalez, huyền thoại hack và thủ lĩnh của vụ vi phạm Heartland, đã bị kết án vào năm 2010 vì cầm đầu băng nhóm trộm cắp thẻ tín dụng, và bị kết án 20 năm tù, 11 người khác đồng phạm bị bắt. Anh ta đã làm việc như một người cung cấp thông tin được trả lương cho Cơ quan Mật vụ Hoa Kỳ, với mức lương 75.000 đô la vào thời điểm gây tội. Chính phủ tuyên bố trong bản ghi nhớ tuyên án rằng: các công ty, ngân hàng và công ty bảo hiểm đã mất gần 200 triệu đô la.
9. Uber
Ngày: Cuối năm 2016
Tác động: Thông tin cá nhân của 57 triệu người dùng Uber và 600.000 tài xế bị lộ.
Chi tiết: Phạm vi vi phạm của Uber đủ lớn để được đưa vào danh sách này và nhưng lại không phải là phần tồi tệ nhất của vụ hack. Cách Uber xử lý vi phạm mới là một mớ hỗn độn lớn và nó là bài học cho các công ty khác khi gặp tình huống tương tự.
Vào cuối năm 2016, hai tin tặc đã lấy được thông tin bao gồm tên, địa chỉ email và số điện thoại di động của 57 người dùng cùng số giấy phép lái xe của 600.000 tài xế Uber. Theo chúng tôi biết, không có dữ liệu nào khác như số thẻ tín dụng hoặc số An sinh xã hội bị đánh cắp. Các tin tặc đã truy cập vào tài khoản Uberit GitHub, và tìm thấy thông tin đăng nhập tên người dùng và mật khẩu vào tài khoản UberS AWS. Đây là những thông tin không bao giờ nên có trên GitHub.
Đây mới là phần tồi tệ của cuộc vi phạm: Một năm sau đó, Uber đã khiến vi phạm trở nên công khai. Điều tồi tệ hơn là họ đã trả cho các tin tặc 100.000 đô la để phá hủy dữ liệu mà không có cách nào để xác minh rằng chính các tin tặc đó là tội phạm tấn công, Uber chỉ coi đây là một khoản phí bug bounty của người dùng. Uber đã sa thải CSO và đổ lỗi cho anh ta.
Vi phạm được cho là đã khiến Uber phải trả giá đắt về cả danh tiếng và tiền bạc. Vào thời điểm vi phạm được công bố, công ty đang đàm phán để bán cổ phần cho Softbank. Ban đầu, định giá Uber là 68 tỷ USD. Vào thời điểm thỏa thuận đóng cửa vào tháng 12, định giá của nó đã giảm xuống còn 48 tỷ đô la. Không phải tất cả sự sụt giảm này là do vi phạm, nhưng các nhà phân tích thấy vi phạm là một yếu tố quan trọng trong việc giảm giá này.
Theo Bizfly Cloud chia sẻ
