【安防大数据】我们的信息如何被窃取?

时间: 2019-01-21 17:00:31 编辑: 瘦弱的小瑞 来源: 标签: 大数据资讯 安防隐私

随着移动互联网的发展,移动互联网的安全问题也日益凸显。网络软件使用权限和隐私问题一直是用户关注的焦点,恶意程序、各类钓鱼和欺诈层出不穷,黑客攻击和大规模的个人信息泄露事件频发。我们的信息是如何被悄然窃取的?用户要如何规范自身的线上行为,确保个人信息安全?

如何营造干净、清洁的互联网环境?化解这些问题,需要用户、软件开发商、平台运营方、相关监管部门共同参与,善意配合,积极推动。同时,网络信息安全的立法须尽快跟上,相关部门也应加大对网络刑事犯罪打击的执法力度,切实保障网络用户的合法权益。


2019年春运即将开始,12306等抢票平台基本上处于数据高速运转、超载服务状态。随着12306巨量的信息资源不断涌入,形成了庞大的用户数据库,有网友爆料,60万个12306账号和410万条联系人数据在暗网低价出售。

 

在网友上传的一张交易截图中,卖家声称掌握了12306中60万个账户信息以及这些信息人的关联关系。卖家以两份Excel表格形式出售用户隐私,其中账号表包含的数据有ID、手机号、用户名、明文密码、姓名、身份证号、邮箱、问题及其答案,另一张表格则含有账号姓名和身份证。

 

为了证明其兜售信息的真实性,卖家特意展示出50个用户的详细账号信息,及两名用户的常用联系人。而另一张上传的截图显示,随意选取50个账户中的一个进行登录,12306官网即刻显现出其常用联系人的姓名、身份证、部分手机号和旅客类型。

 

随后,有媒体尝试拨打被公开信息人的电话,有4人确认了账号、密码、身份证号的真实性。部分号码是空号或者错号,接听机主的姓名、账号、身份证号等信息与被披露的信息并不一致。

 

针对此事,中国铁路总公司官方微博回应称网传消息不实,12306网站未发生信息泄露事件。业内专业人士分析,由于12306数据量远远大于400万,这些数据可能是官网以前泄露的,或者是第三方泄露,比如一些热门的抢票软件。

 

随着移动互联网的发展,网络软件使用权限和隐私问题一直是用户关注的焦点,信息数据在无形的流量中游走,成为各大互联网巨头争抢的“法宝”,大数据是王道,流量即变现。然而,个体隐私信息的泄露、窃取和贩卖也正在野蛮生长,甚至生成了惊人的黑色产业链。

 

我们的信息如何被悄然窃取?作为用户,如何规范自身的线上行为,确保个人信息安全?如何营造干净、清洁的互联网环境?化解这些问题,需要用户、软件开发商、平台运营方、相关监管部门共同参与,善意配合,积极推动。

 


信息泄露的第一道防线多处“破围”

 

在PC端和移动端还未普及之前,个人信息如银行密码、身份证号、家庭地址等,泄露的规模和速度呈分散式小口径。而互联网出现以后,与用户身份认定、金融信息、生活服务等数据紧密绑定,个人隐私信息泄露呈几何倍增加。

 

用户隐私泄露,首先归因于线上用户诸多不良习惯。作为个人的隐私信息,没有主动泄露一说,要么是被用户无意识流出,要么是被不法分子刻意窃取。

 

企鹅智酷通发布《中国网民个人隐私状况调查报告》,报告指出:以“几个密码通用于大多数账号”的中国网民占比达到50.8%。对自己拥有的所有账号都采取同一套密码的人占14.9%。在信息泄露时,接近六成人选择仅修改泄露平台的密码。

 

用户对于个人密码的通用是大环境影响,越来越多的服务平台锁定用户的专属信息,“游客登录”方式逐渐淘汰。20多岁的李女士接受中国妇女报·中国女网记者采访时表示,“常用的密码有两三个,其他密码虽然不一样,但构造相同,方便记忆。”

 

被问及是否更倾向于采用指纹登录代替密码登录时,李女士坦言不会过多使用指纹输入方式,“一是指纹不安全,害怕别人在自己无意识的情况下进行操作,二是针对一些付款指令,指纹操作太快,很容易出错。”

 

其次,《2018数字消费者洞察报告》显示,在与新企业进行交易时,94%的中国大陆消费者对企业共享其个人数据持开放态度,以获得更便捷的服务或消费体验。

 

百度董事长李彦宏曾在公开场合表示,中国用户在个人隐私方面更加开放,一定程度上愿用隐私换取方便和效率。虽然说法较为武断,不能作为真实的调研性结论,但也说明了众多网民在进行线上服务交易时仍处于被动地位。

 


我们的信息如何被窃取?

 

App的附加信息错综复杂,留痕操作导致信息泄露成大概率事件。美剧《你》中,男主人公偷窥女主在Facebook、twitter的隐私信息,通过女主晒出的照片定位,社交关系,顺藤搜索出了女主的成长经历、家庭情况、情感状况、消费习惯以及家庭住址和工作单位,并根据这些信息对女主进行跟踪,设计偶遇陷阱。该剧旨在表现,信息爆炸时代来临后,个人信息的窃取轻而易举,热门社交软件中大量隐私的泄露将威胁用户人身财产安全。

 

据《App个人信息泄露情况调查报告》称,读取位置信息权限和访问联系人权限是安装和使用手机App时最常出现的情况,分别占86.8%和62.3%。受访者被要求读取通话记录权限(47.5%)、读取短信记录权限(39.3%)、打开摄像头权限(39.3%)、话筒录音权限(24.6%)的比例也相对较高。

 

南都个人信息保护研究中心负责人娜迪娅表示,软件商应该区分核心功能信息和非核心功能信息,地图App的核心功能就是定位,但如果这个App的衍生服务不涉及定位导航,仍需要强行开启用户的位置信息,这是不合理的,用户在授权时应当谨慎选择。

 

“目前,黑客攻击造成的信息泄露,是线上个人信息被窃取的主要方式之一。另外就是内部工作人员的刻意泄露,客观上由于系统管理漏洞导致,主观上则是涉及信息的窃取、贩卖。”娜迪娅介绍。

 

娜迪娅强调,“撞库”现象近年来也越发严重。根据之前描述的“用户账户密码同一或相似”问题,一旦黑客方获悉了用户的一个登录密码,就会用这些“料”尝试批量登录其他网站,连带搜寻用户其他的个人网上信息,造成用户信息大量被窃取。

 

例如,在国内多起盗刷银行卡案件中,骗子先通过在网上买来的受害人银行卡账号、身份证号码等信息,再用软件“撞库”,相匹配的银行卡账号和密码就会显示出来,之后通过用电商平台给买家充话费等手段,将钱一笔一笔从银行卡中转移出来。

 

娜迪娅给出建议,在进行网上交易活动时,尽量不要给出精确的个人信息,更不要使用单一的账户密码。并且,一般大型的互联网公司,技术能力较强,对用户信息的监管能力要优于小企业,用户在选择同质化服务时,需要考虑到这一点。



在网络安全和数据隐私方面,几乎有无数的方案需要考虑。虽然网络攻击和漏洞通常以相同的方式被提及,但实际上存在许多不同类型的威胁,即以各种方式访问和攻击系统。除此之外,它们都在不断发展,以便在试图阻止它们方面领先一步。

因此人们要记住,“了解你的敌人是关键”。从网络钓鱼、鱼叉式网络钓鱼和捕鲸,勒索软件和恶意软件到blastware和DDoS,越来越难以控制威胁,特别是因为只要找到一个问题的解决方案,就会弹出另一个版本。网络安全不仅仅是组织的时间和资源问题。它也可能是成本之一。事实上,根据调研机构Gartner公司的说法,2018年网络安全将使企业损失960亿美元。

此外,组织不得不响应越来越多的客户对其数据价值增长压力的认识,不仅要保护其免受恶意攻击,还要负责任地使用它,而不是像剑桥分析这样的组织一样数据泄露,被指控犯罪。

当然,在数据保护方面,客户并不是唯一施加压力的人。GDPR法规已经改变了所有部门的消费者数据最佳实践。把权力牢牢地放在它所属的地方,掌握在消费者手中。

加强监管,例如GDPR,促进更好地处理、收集、存储和处理个人数据,以及提高对各种网络威胁的认识,这是值得欢迎的。然而,由于如此关注上面列出的一些大问题,组织越来越多地关注一些严重的安全和数字隐私漏洞。

那么,人们经常被忽视的关键领域是什么?

1.采用自携设备(BYOD)

人们的工作方式正在迅速发展,这在很大程度上取决于技术的进步。在很多方面,这是一个非常积极的事情,因为员工可以随时随地工作。然而,使用个人智能手机、平板电脑和笔记本电脑开展业务确实会增加数据丢失的风险-无论是通过人为错误还是为网络犯罪分子提供方式。

Ovum公司的一项研究发现,79%的员工发现自携设备(BYOD)使他们能够更好地完成工作,但近18%的员工声称他们的企业IT部门不知道他们使用自己的设备工作。

2.云计算

云计算使用方便,并且越来越受欢迎,并且通常被认为是安全的。然而,这并非总是如此。在公共云中,所有数据都存储在提供商的网络中,因此可以进行攻击。即使是私有云,对于外部世界并不开放,数据存储在专用网络中,仍然不是绝对可靠的。

由于公共云和私有云基本上都是的集中式系统,因此有人通过软件攻击或恶意攻击相对容易。

3.语音和视频

许多组织也没有考虑电信和越来越多的视频因素如何影响他们的总体网络安全战略。当然,任何企业都必须进行有效的沟通,从同事之间的非正式谈话到机密的客户讨论。然而,语音和视频与其他系统一样容易受到攻击。

在VoIP方面尤其如此。通过IP进行的每次通信,其中包括语音,对黑客和开放攻击都具有潜在的价值。例如,这不是组织在使用Skype时会考虑的事情,但语音和视频应该与其他任何安全和数据风险一样受到关注。

4.人员

人们往往是安全链中的薄弱环节。这并不总是恶意的行为,但人为错误是网络攻击和数据泄露的重要原因。IBM公司2016年网络安全情报指数发现,超过60%的企业违规行为是由组织内部的员工或其他人造成的。其中超过30%是偶然的。

一些简单的事情可能会产生巨大的问题,例如将信息发送到错误的电子邮件地址,丢失手机或笔记本电脑或使用默认密码。然后还有员工故意造成安全攻击或泄漏数据的情况。

幸运的是,组织可以采取一些关键步骤来帮助确保减轻网络安全和数据隐私威胁。

5.创造安全文化

强大的企业安全感是保护组织免受攻击和数据泄露的重要部分。每位员工都应了解相关的风险和威胁,以及他们在减轻这些风险和威胁方面可以发挥的作用。

6.控制权

数字安全和隐私应该是企业的自动权利,但很遗憾它们不是。但是,组织可以采取立场并收回控制权,让他们享受私密而安全的数字生活。

其解决方案是可用的,例如Siccura可以使企业通过集中管理系统控制所有数据,同步所有业务电子邮件帐户,跟踪所有业务通信和数据并加密所有文件。

 


声明:大数据观察网部分信息来自网络转载,若无意中有侵犯您权益的信息,请联系我们,我们会在第一时间删除!