關(guān)注安全漏洞的模式和趨勢,有助于讓消費者和企業(yè)意識到保護個(gè)人身份信息的重要性。
數據泄露可能涉及到方方面面,包括社保號碼、信用卡號、受保護的健康信息、用戶(hù)名等等。竊取數據的方式也是五花八門(mén),包括內部竊取、外部黑客入侵、再到員工疏忽等等。
根據身份盜竊資源中心(Identity Theft Resource Center)和美國衛生與公眾服務(wù)部(U.S. Department of Health and Human Services)收集的信息顯示,2019年十大數據泄露事件中共有超過(guò)1.37億條記錄被泄露。
十大數據泄露事件中,有6個(gè)涉及到醫療機構,2個(gè)涉及到攻擊政府機構,1個(gè)入侵了銀行,1個(gè)攻擊教育機構。下面讓我們來(lái)看看完整名單:
10、美國俄勒岡州公共服務(wù)部
泄露記錄數量:645,000
黑客針對美國俄勒岡州公共服務(wù)部發(fā)起了一次電子郵件網(wǎng)絡(luò )釣魚(yú)攻擊,導致該機構的客戶(hù)社保號碼和個(gè)人健康信息被泄露。
2019年1月8日俄勒岡州公共服務(wù)部的9名員工打開(kāi)了他們收到的網(wǎng)絡(luò )釣魚(yú)電子郵件,然后單擊網(wǎng)絡(luò )鏈接,從而導致發(fā)件人可以入侵他們的電子郵件帳戶(hù)。該機構找到了受影響的帳戶(hù),并于1月28日停止對這些帳戶(hù)的訪(fǎng)問(wèn),并在廣泛調查之后,在6月最終確定了受影響用戶(hù)的數量。
該機構稱(chēng),泄露的客戶(hù)信息包括姓名、地址、出生日期、社保號碼、病例編號、個(gè)人健康信息、以及該機構各項目正在使用的其他信息。大多數被泄露的客戶(hù)信息被放在了電子郵件附件中,公共服務(wù)部為受影響的個(gè)人提供身份竊取保護和監視服務(wù)。
9、華盛頓大學(xué)醫學(xué)系統(UW Medicine)
泄露記錄數量:973,024
UW Medicine網(wǎng)站服務(wù)器上的一個(gè)“內部人為錯誤”,導致從2018年12月4日開(kāi)始可以在互聯(lián)網(wǎng)上搜索到并讀取某些內部受保護的文件,其中包括患者姓名、病歷編號、病情描述、共享患者信息的目的、共享方信息。
這些文件描述了患者病歷中哪些部分被共享,而涉及實(shí)際的健康信息。在某些情況下,UW Medicine文件中包含了執行實(shí)驗室測試的名稱(chēng)(但不包括結果),以及涉及到某種健康狀況的研究主題。
UW Medicine于2018年12月26日在發(fā)現漏洞之后立即進(jìn)行了修復,然后與谷歌合作刪除了文件已保存的版本,阻止這些文件出現在搜索結果中。截止2019年1月10日,所有已保存的文件已從Google服務(wù)器中完全刪除,這些數據泄漏事件在2月20日對外公開(kāi)。
8、佐治亞理工學(xué)院
泄露記錄數量:130萬(wàn)
佐治亞理工學(xué)院的Web應用遭遇了未經(jīng)授權的入侵,導致現有和前教職員工、學(xué)生、學(xué)生申請的個(gè)人信息。該學(xué)校進(jìn)行了徹底的調查以確定從數據庫中到底泄露了哪些信息,其中可能包括姓名、地址、社保號碼和出生日期。
佐治亞理工學(xué)院在3月下旬發(fā)現的一系列跡象表明,黑客發(fā)現了通過(guò)學(xué)校Web服務(wù)器將查詢(xún)請求發(fā)送到內部數據庫的方法。結果該學(xué)校表示,黑客可能已經(jīng)在2018年12月14日至2019年3月22日之間訪(fǎng)問(wèn)了數據庫。
佐治亞理工學(xué)院在4月2日公開(kāi)了這次泄露事件,并為那些社保號碼可能遭到泄露的個(gè)人提供信用監控和身份盜竊保護服務(wù)。佐治亞理工學(xué)院表示,可以通過(guò)檢查自己的信用報告以及信用卡、銀行和其他財務(wù)報表中是否出現了未經(jīng)授權的操作,來(lái)主動(dòng)監控是否存在欺詐和身份盜用的可能性。
7、Inmediata Health Group
泄露記錄數量:157萬(wàn)
Inmediata Health Group在1月發(fā)現,由于網(wǎng)頁(yè)設置允許搜索引擎索引用于業(yè)務(wù)運營(yíng)的內部網(wǎng)頁(yè),導致可以在線(xiàn)查看某些電子健康信息。這次數據泄漏可能涉及的信息包括患者姓名、地址、出生日期、性別、社保號碼和醫療索賠信息。
這家位于波多黎各圣胡安的健康信息系統提供商表示,在意識到數據泄漏后已經(jīng)立即停用了網(wǎng)站,并聘請了獨立數字取證公司來(lái)協(xié)助調查。Inmediata表示,還沒(méi)有證據表明有任何公開(kāi)文件被復制、保存、被濫用。
Inmediata于4月22日公開(kāi)了此次事件,并于同一天開(kāi)始向可能受影響的個(gè)人郵寄通知信。10天后,密歇根州總檢察長(cháng)辦公室稱(chēng),已經(jīng)有兩個(gè)人聯(lián)系了該機構,他們收到了Inmediata關(guān)于這次泄露事件的多封信件,并且其中有些信件被誤寄給其他人了。
6、Clinical Pathology Laboratories
泄露記錄數量:220萬(wàn)
Clinical Pathology Laboratories在5月的時(shí)候收到通知,稱(chēng)美國醫學(xué)館(AMCA)數據庫在一次數據安全事件中受到影響,該數據庫中包含了某些CPL患者的信息。AMCA是臨床病理實(shí)驗室和其他醫療保健公司使用的一家外部收集機構。
但是在收到AMCA最初通知的時(shí)候,Clinical Pathology Laboratories表示,他們缺少足夠的信息找出可能受影響的患者,或者確認可能與該事件有關(guān)的患者信息的性質(zhì)。因此,Clinical Pathology Laboratories直到7月才向患者公開(kāi)這次泄露事件。
最終Clinical Pathology Laboratories表示,這些數據泄露事件可能涉及的信息包括姓名、地址、電話(huà)號碼、出生日期、服務(wù)日期、余額信息、治療信息。Clinical Pathology Laboratories表示,這次受到影響的患者大概有220萬(wàn),其中約有34,500患者的信用卡或者銀行信息可能也被泄露了。
5、美國聯(lián)邦緊急事務(wù)管理局(FEMA)
泄露記錄數量:230萬(wàn)
美國勞工部監察長(cháng)辦公室(OIG)在3月表示,FEMA違反了1974年隱私法和國土安全部政策,透露了哈維、艾爾瑪和瑪麗亞颶風(fēng)以及2017年加州野火幸存者的敏感個(gè)人身份信息,遠遠驗證這些幸存者是否符合過(guò)渡住房援助計劃所需條件的范圍。
除了在避難登機手續過(guò)程中用來(lái)確認資格的信息之外,FEMA還向承包方透露了某些不不要的個(gè)人信息,以及20多種不是必須提供的信息,包括申請人的地址(街道地址、城市名稱(chēng)、郵政編碼)、金融機構名稱(chēng)、電子資金轉帳號碼和銀行轉帳號碼。
此前該援助計劃要求提供申請人銀行名稱(chēng)和帳號等信息,但是現在不需要了。OIG表示,FEMA并沒(méi)有只提供所需的數據,加大了災難幸存者遭遇身份盜用和信息欺詐的風(fēng)險。
4、Dominion National
泄露記錄數量:296萬(wàn)
Dominion National證實(shí),早在2010年8月25日開(kāi)始可能就有未經(jīng)授權的黑客入侵了某些計算機服務(wù)器,這次事件可能泄露的信息包括姓名、地址、電子郵件地址、出生日期、社保號碼、會(huì )員ID號、群組號、訂閱用戶(hù)數、銀行帳戶(hù)、路由號以及納稅人識別號。
這家總部位于弗吉尼亞州阿靈頓的牙科和視力保險公是在2019年4月24日的一次內部調查過(guò)程中發(fā)現了這一數據泄露情況,并在2019年6月21日對外公開(kāi)。Dominion National表示已經(jīng)快速清理了受影響的服務(wù)器,并部署了增強的監控和警報軟件。
Dominion National表示,沒(méi)有證據表明任何信息被訪(fǎng)問(wèn)、獲取或濫用。該公司提供了一項為期兩年的ID Experts MyIDCare會(huì )員服務(wù),為那些可能受到影響的個(gè)人提供信用監控和欺詐防護服務(wù)。
3、LabCorp
泄露記錄數量:770萬(wàn)
有數百萬(wàn)的LabCorp客戶(hù)把自己的數據保存在美國醫療收集局(AMCA)的網(wǎng)上支付頁(yè)面,而該機構在2018年8月1日至2019年3月30日期間遭到黑客入侵。AMCA是LabCorp和其他醫療保健公司所使用的一家外部收集機構。
泄露的信息可能包括姓名、出生日期、地址、電話(huà)、服務(wù)日期、提供者、余額信息、消費者提供給AMCA的信用卡或銀行帳戶(hù)信息。該機構為信用卡或者銀行帳戶(hù)信息可能已經(jīng)被讀取的20萬(wàn)消費者提供為期24個(gè)月的身份保護和信用監控服務(wù)。
作為對此次事件的回應,LabCorp不再向AMCA提出新的收集請求,并阻止AMCA繼續處理涉及LabCorp消費者的未決收款請求。LabCorp沒(méi)有向AMCA提供過(guò)訂購測試、實(shí)驗室結果、診斷信息等,AMCA方面表示,并未保存或者維護LabCorp客戶(hù)的社保號碼或者保險身份信息。
2、Quest Diagnostics
泄露記錄數量:1190萬(wàn)
Quest Diagnostics在6月表示,帳單收集供應商的在線(xiàn)支付頁(yè)面可能存在數據泄露問(wèn)題,導致患者的財務(wù)和醫療信息被泄露。
根據美國證券交易委員會(huì )(SEC)的文件顯示,這家位于紐約的臨床實(shí)驗室提供商表示,未經(jīng)授權的黑客在2018年8月1日至2019年3月30日期間訪(fǎng)問(wèn)了美國醫療收集局(AMCA)系統,該系統中包含AMC從Quest Diagnostics和其他機構收到的信息,這些信息是由AMCA提供給Quest的。
根據Quest提交的信息顯示,AMCA受影響系統中保存的信息包括醫療信息、財務(wù)信息(例如信用卡號和銀行帳戶(hù)信息)、以及其他個(gè)人信息(例如社保號碼)。Quest稱(chēng),實(shí)驗室測試信息并未提供給AMCA,因此未受此次事件的影響。
1、Capital One
泄露記錄數量:1.06億
Capital One在7月份透露,黑客已經(jīng)竊取了美國和加拿大約1.06億信用卡申請人和客戶(hù)的個(gè)人信息。
這家總部位于弗吉尼亞州麥克萊恩的金融服務(wù)業(yè)巨頭表示,此次事件涉及100萬(wàn)個(gè)加拿大客戶(hù)社保號碼、14萬(wàn)美國客戶(hù)的社保號碼以及80,000個(gè)關(guān)聯(lián)銀行帳戶(hù)號碼,黑客竊取了在2005年至2019年初期間申請Capital One信用卡的客戶(hù)的姓名、地址、郵編、電話(huà)號碼、電子郵件地址、出生日期和收入等信息。
最終,前亞馬遜網(wǎng)絡(luò )服務(wù)人員Paige Thompson被指控竊取了Capital One信用卡申請人和客戶(hù)的個(gè)人信息,以及其他30多家公司的數據。據稱(chēng),他利用防火墻配置漏洞入侵Capital One在A(yíng)WS存儲空間中保存的文件夾或數據桶。