僅 180 天！黑客活動令全球 2.46 億筆資料外洩或被盜

用戶的資料當然十分有價值，早前我們都有就相關範疇作出了很多報導，究竟現時最新的數據外洩趨勢又是如何？今天數碼保安公司 Gemalto 便發表了 2015 年首六個月的外洩水平指數 (Breach Level Index，簡稱 BLI) 報告。報告指出今年上半年全球合共發生了 888 宗數據外洩事故，涉及 2.46 億項紀錄。

今年上半年的數據外洩事故數量較 2014 年上半年增加了 10%，但失竊數據紀錄的數量則下跌 41%，原因很可能是今年零售業發生的超大型數據外洩事故較去年同期為少。

雖然受影響的紀錄數量減少，但大規模數據外洩事故仍然使大量個人資訊及身份曝光。2015 年上半年發生的最大宗外洩事故是一宗針對 Anthem 保險公司的身份盜竊攻擊，令 7,880 萬項數據紀錄外洩，佔 2015 年首六個月內失竊數據紀錄總數近三分之一 (32%) ，而事件的外洩水平指數得分亦高達 10，屬「嚴重」級別。在這段期間的其他重大外洩事故還包括美國聯邦人事管理辦公室外洩 2,100 萬項紀錄(BLI: 9.7)；土耳其人口和公民事務總局失竊 5,000 萬項紀錄 (BLI: 9.3) ；以及俄羅斯 Topface 外洩 2,000 萬項紀錄 (BLI: 9.2) 。事實上，最嚴重的 10 宗個案已佔據所有外洩紀錄的 81.4%。

整體來看，攻擊技術高超的黑客使大量數據紀錄外洩，從而獲得豐厚回報。竊取了大量極寶貴數據組的網絡罪犯仍然逍遙法外。例如在 2015 年上半年的醫療數據外洩事故平均涉及 450,000 項數據紀錄，較去年同期上升 200%。.

按源頭區分的數據外洩事故

在數據外洩事故中，國家資助的攻擊數目僅佔其中 2%，但所涉及的數據紀錄則佔整體外洩數據的 41% 之多，原因是 Anthem 保險公司及美國聯邦人事管理辦公室兩宗個案均外洩了極多數據。雖然 2014 年上半年的十大數據外洩事故均不是由國家資助攻擊引起，但這類攻擊在今年卻佔據了十大事故中的三個席位，包括頭兩位事故。

與此同時，惡意外來者是 2015 年上半年數據外洩事故的主要源頭，佔 546 宗，即是 62%；而這類事故在去年上半年僅佔 465 宗，也就是 58%。惡意外來者涉及的外洩數據紀錄為整體的 46% (或 1.16 億項)，較 2014 年的 71.8% (或 2.98 億項) 少。

按種類區分的數據外洩事故

身份盜竊仍然是數據外洩的主要類別，涉及 2015 年上半年所有外洩紀錄的 75%，至於宗數亦略多於數據外洩事故總數量的一半 (53%) 。在十大數據外洩事故中心有五宗屬於身份盜竊事故，包括被介定為「災難性」的排行榜首三位事故，但較去年同期的十佔七為少。

按行業區分的數據外洩事故

在各個行業之中，政府及醫療保健業界分別佔外洩數據紀錄數量的三分之二 (分別為 31% 及 34%) 。然而，醫療保健事故只佔今年事故總數的 21%，較去年同期的 29% 為低。零售業的外洩數據紀錄大幅減少，僅佔整體的 4%，遠低於去年同期的 38%。若按地區分類，美國就排頭位，佔總外洩事故數量的四分之三 (76%) ，以及全部受影響數據紀錄約一半 (49%) 。土耳其則涉及整體外洩數據紀錄的 26%，其中當地人口和公民事務總局的事故就被惡意外來者竊取了 5,000 萬項數據紀錄。

與 2014 年上半年的 1% 相比，用以保護外洩數據的加密水平輕微上升至 4%。這些加密措施能夠顯著減少數據外洩的影響。

雖然數據外洩個案數目有升有跌，但整體情況仍然清楚反映外洩事故並非『會否』發生的問題，而是『何時』發生的問題。外洩水平指數的數據顯示，一旦其周邊防禦被攻破，大部分企業皆無法保護其數據。雖然為數據加密的企業日益增加，但它們的加密程度不足以減低這類攻擊的規模。企業真正須要做的，是以數據為重的態度來看待數碼威脅，且應採用更有效的身份及存取控制技術，包括多重種份認證和強勁加密作為第一步措施，使竊賊縱使盜去敏感資料亦得物無所用。

據市場調研機構 Forrester Research 指出，網絡罪犯的技巧日益高超，使傳統周邊保安控制失效。網上威脅不斷演變，企業需要新的防禦措施才能應付，其中包括廣泛運用數據加密技術。日後企業將會把加密動態及靜態數據當作常規。這個以數據為重的保安方式能夠更有效應付日益猖獗的網絡罪犯。企業為數據加密能夠令罪犯獲得敏感數據後無法獲利，因而放棄入侵其網絡並轉而攻擊其他防護較差的目標。因此，對於負責保護企業數據安全和私隱的保安及風險行政人員來說，加密將成為他們的策略性根基。

外洩水平指數提供綜合全球數據外洩事故的中央數據庫，並根據失竊的數據類別及紀錄被竊數量、外洩源頭，以及數據有否加密等多方面因素計算事故的嚴重程度。外洩水平指數為每宗外洩事故評分，提供外洩事故的比較清單，分辨出輕微滋擾與真正嚴重的大型事故。