Browsing: PII

    勒索軟件攻擊毫無疑問是最常見的網絡攻擊之一,一般來說不法分子會將數據加密,並要求受害人如要獲得解密密鑰,必須支付贖金,他們還會竊取數據,並威脅在未收到贖款時將之公諸於世,甚至還會發動雙重勒索攻擊。任何被盜的數據都可能對勒索軟件團體有用,但根據網絡安全公司 Rapid7 的研究人員對 161 宗已披露的勒索軟件事件作分析,當中某些數據被認為比其他數據更有價值,究竟是哪些呢? 根據 Rapid7 報告,金融服務行業是最有可能暴露客戶數據的行業,82% 的事件涉及勒索軟件團體存取數據,並威脅要公開這些數據,因為不法分子深知金融機構最重視的是聲譽,竊取和發布敏感的客戶資料會嚴重破壞消費者對他們的信任。因此有些商業機構的主管可能認為支付贖金,是避免數據洩露事故進一步受損害。 在針對金融服務公司的勒索軟件攻擊中,洩露最多的檔案是員工個人身份資料 (Personally Identifiable Information, PII) 和與人力資源相關的數據,佔受害者的 59%。透過針對這些資料,攻擊者可能會破壞員工對其僱主的信任,特別是如果他們認為其個人資料最終會被網絡犯罪分子公開發布及存取,並被用於欺詐和其他網絡罪案。 另一個常發現自己成為勒索軟件團體目標的行業是醫療及製藥業。他們的內部財務和會計數據是勒索軟件攻擊中最常洩露的數據,佔 71% 事件。客戶和病人的資料也經常因勒索軟件攻擊中被洩露,研究人員估算佔 58%…

    社交媒體平台 Clubhouse 洩露的 38 億個電話號碼的數據資料,據報道指,被一名威脅行為者連同在去年 4 月洩露的 5.33 億 Facebook 個人資料結合,並將這批個人身份信息 (Personal Identifiable Information, PII) 出售給地下市場上出價最高的人。 Threatpost 報道指 Clubhouse 洩露的…

    比 Spotify 更具彈性,真係好方便! 黑客盜取個人資訊後,要甩手套現,以往所需時間以星期為單位。Trend Micro 最近發現黑客將盜取資料雲端化成 Cloud of Log,加快交易流程之餘,更提供先進分析與篩選工具,方便網絡罪犯揀選訊息日後犯案,令人防不勝防。 雲端化為罪犯換來速度。以往黑客盜取資料、轉賣並犯案的過程,以星期為單位。雲端化後大大縮減至以天、甚至小時為單位,研究團隊以 Garage Sale 與 Online Shopping 比喻雲端化的高效率。「黑客的交易時間等於企業的應變時間,以往企業有平均十天去發現資料被竊取、評估損失、擬定對策、通知受影響客戶與執法機構等,黑客將贓物雲端化令防守難度劇增。」 數據化年代,Ransomware、Botnets、Keylogger 等竊取個人資料的攻擊變成主流,黑客每次盜取的訊息量劇增,掌握的個人資訊亦以 TB 計,偷竊資訊內容涵蓋…

    網絡安全事故頻頻發生,香港企業當然不可能獨善其身,特別是雲技術興起,重要數據或敏感資料未必會只儲存在內部伺服器,被攻擊的層面自然大增。為了減低風險,現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過,面對層出不窮的攻擊手法及難以防備的人為疏忽,企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說,這類保險概念在香港屬起步階段,但在歐洲地區卻歷史悠久,遠在上世紀七十年代已有相關保險,因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟,不單只保障企業,個人一樣受保,例如經常拿著電腦到不同地方工作的自由工作者,保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險,主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇,但網絡安全保險就相對陌生。盧子頴解析,網絡安全保障範疇不難理解,當發生黑客入侵或資料外洩,善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障,主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後,企業必須聘請專家去證明這是否一宗網絡安全事故,進行調查及鑑證,分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報,便有可能需向法律顧問諮詢意。除此之外,為免外洩的客戶資料被黑客用作申請信用卡或借貸,企業或有需要採用信貸監控服務,而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業,這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額,例如過往的交易紀錄等,但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞,又或受到勒索軟件攻擊,待專家取證後,企業便可以修復系統及復原數據,涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱,導致客戶在名譽或金錢上出現損失,對方便有可能入禀追討賠償。 除了上述四項保障,盧子頴說因應市場需求,部分保險公司還會提供一些額外的保障,例如贖金索償,當企業遭受勒索軟件攻擊,有需要繳付贖金以取回解鎖方法,這些贖金便會獲得賠償。「另外,近年因外判商失誤造成損失的個案大增,所以亦有保險公司提供這類保障,例如一些業務涉及電子交易的企業,會委托外判商提供及管理網上交易平台,如證實導致資料外洩的失誤是出在對方身上,投保人便可獲得保障,而保險公司則保留向外判商追討損失的權利。」 事實上,網絡安全保險的保障範圍可以很全面,不過,盧子頴強調與其他保險產品一樣,投保的概念並非為了賺錢,而是減少損失。不過,是否所有企業也需要投保?他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information(PII),而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料?如需管有這些敏感資料,受黑客攻擊的風險便會增加,企業管理者應認真考慮投保,特別是全球各地都開始為保障個人私隱立法,歐盟通過的 GDPR…