最佳法寶｜近14萬本港個人資料外洩　Akamai破解零售業兩大網安難題

本港零售業接連發生兩宗嚴重個人資料外洩事故，分別涉及本地珠寶連鎖企業 My Jewelry 及日本跨國時裝品牌 Adastria，波及近 14 萬客戶及員工。無獨有偶，兩宗事故均涉及高權限帳號管理不善、未能有效監控及偵測異常行為兩大問題，企業應如何透過先進的網絡安全方案自保？

零售業數碼轉型後的痛點

個人資料私隱專員公署上周公布的兩宗資料外洩事件，涉及分別涉及本地珠寶連鎖企業 My Jewelry（愛飾）與母公司光雅，以及日本跨國時裝企業 Adastria，其旗下品牌包括 niko and…、LOWRYS FARM 等，前者外洩了 7.9 萬名客戶與員工資料，包括身分證部分號碼，後者則外洩了近 6 萬名客戶及訂單資料。

兩宗事件的成因近似，皆涉及高權限帳戶管理不當、未有啟用多重身分驗證。Adastria 資料外洩案中，因管理員帳戶的密碼強度極低，只有簡單的 6 位數字組合，且兩年來從未更改，使黑客容易利用該帳戶從海外 IP 登入其客戶關係及電商平台。

至於 My Jewelry 則被黑客透過暴力破解，取得一個屬於已離職員工但閒置超過 13 年的高權限系統管理員帳戶，並橫向移動植入木馬，最終遭盜取和刪除大量個人資料。

兩間公司在事發後，均未有有效監控及偵測異常行為，反映缺少即時偵測異常登入、權限提升或植入惡意程式的能力，令黑客有足夠時間滲透，亦無法即時阻止數據被盜取與刪除。

事實上，很多零售企業經過數碼轉型後，將客戶資料集中於 CRM（客戶關係管理）系統及數碼平台，但就如同上述兩間公司，針對的安全策略一旦有所不足，便很容易成為黑客的目標。

Akamai 強而有力的保護

面對零售業常見的網絡安全挑戰，Akamai Technologies 的解決方案正正能給予企業強而有力的保護。Akamai 的零信任架構（Zero Trust）強化了身分驗證機制，要求所有使用者通過多重身分驗證（MFA），確保只有真實且受信任的用戶才能存取系統，同時限制高權限帳戶的存取、監控帳戶異常行為，減低因弱密碼帶來的風險，亦避免長期閒置帳戶成為攻擊點。

面對暴力破解，Akamai 的 Web 應用和 API 防護（WAAP）解決方案亦能派上用場。該方案可有效防止跨站腳本攻擊（XSS）、SQL 注入、分布式阻斷服務攻擊（DDoS）、憑證填充（Credential Stuffing）和自動化機器人攻擊（bot attacks）等多種複雜攻擊，此技術特別適用於電商平台和客戶關係管理系統，保護敏感的客戶購買資料和個人信息不被未授權存取和濫用。

作為全球內容傳遞網絡（CDN）的龍頭，Akamai 擁有全球威脅情報網絡，能持續監測世界各地的威脅行為，包括可疑 IP 地址和惡意網站，協助企業提早偵測並封鎖潛在攻擊路徑。配合端點偵測與回應（EDR）技術，更可實現對企業內部異常活動的持續監控，將攻擊早早截斷。

透過採用 Akamai 的綜合解決方案，企業能從多個關鍵層面強化防禦，補完現有不足。但當然，單單只有技術層面並不足夠，企業亦必須聯手合作，結合並妥善執行內部安全制度，才能將網絡安全防禦產品發揮到最大保障效果。