網(wǎng)絡(luò)犯罪分子根據(jù)兩個(gè)條件選擇目標(biāo) - 最大影響和最大利潤。金融機(jī)構(gòu)完美地滿足了這些條件，因?yàn)樗鼈兇鎯?chǔ)了非常有價(jià)值的數(shù)據(jù)，并且它們的數(shù)字化轉(zhuǎn)型努力為網(wǎng)絡(luò)攻擊者訪問這些數(shù)據(jù)創(chuàng)造了更多機(jī)會(huì)。這就是為什么金融部門成為網(wǎng)絡(luò)犯罪分子不成比例的目標(biāo)，僅次于醫(yī)療保健。

除了實(shí)施特定于金融服務(wù)的數(shù)據(jù)保護(hù)解決方案外，減少數(shù)據(jù)泄露的最佳方法之一是從他人的錯(cuò)誤中學(xué)習(xí)。為了支持這項(xiàng)工作，我們列出了金融行業(yè)中 10 大數(shù)據(jù)泄露事件，按影響程度排名。此列表會(huì)定期更新，以包括美國、英國、澳大利亞、中國等主要國家/地區(qū)的 2022 年重要事件。

金融領(lǐng)域的 10 大數(shù)據(jù)泄露事件

每條記錄都包含導(dǎo)致數(shù)據(jù)泄露的關(guān)鍵錯(cuò)誤的摘要，以幫助您避免重蹈覆轍。

第一次美國金融公司數(shù)據(jù)泄露

日期：?2019 年 5 月

影響：?8.85 億信用卡申請(qǐng)

數(shù)據(jù)泄露是如何發(fā)生的？

超過 8.85 億條與房地產(chǎn)交易相關(guān)的財(cái)務(wù)和個(gè)人記錄因常見的網(wǎng)站設(shè)計(jì)錯(cuò)誤而暴露。

此錯(cuò)誤在FIrst American Financial Corp網(wǎng)站上被稱為“業(yè)務(wù)邏輯缺陷” 。這是指指向敏感信息的網(wǎng)頁鏈接不受用于驗(yàn)證用戶訪問權(quán)限的身份驗(yàn)證策略的保護(hù)。

此次曝光并非由黑客發(fā)起，促成敏感數(shù)據(jù)訪問的漏洞是由內(nèi)部錯(cuò)誤引起的——這一事件被稱為數(shù)據(jù)泄露。

盡管數(shù)據(jù)泄露和數(shù)據(jù)泄露是兩個(gè)不同的事件，但它們都有相同的潛在結(jié)果——敏感的客戶信息落入網(wǎng)絡(luò)犯罪分子手中。

哪些數(shù)據(jù)被泄露？

以下數(shù)據(jù)在 First American Corp 數(shù)據(jù)泄露事件中遭到破壞：

• 名稱
• 電子郵件地址
• 成交代理和買家的電話號(hào)碼

有了這些信息，就有可能進(jìn)行廣泛的網(wǎng)絡(luò)犯罪，包括：

• 身份盜竊
• 勒索軟件攻擊
• 惡意軟件注入

從這次違規(guī)中吸取教訓(xùn)

可以從 First American Financial Corp 違規(guī)事件中吸取以下教訓(xùn)：

• 實(shí)施代碼審查政策——在發(fā)布任何代碼之前，應(yīng)該由質(zhì)量控制官審查。
• 監(jiān)控?cái)?shù)據(jù)泄漏 -數(shù)據(jù)泄漏檢測(cè)解決方案將在網(wǎng)絡(luò)犯罪分子發(fā)現(xiàn)之前檢測(cè)并關(guān)閉所有內(nèi)部或第三方數(shù)據(jù)泄漏。

Equifax 數(shù)據(jù)泄露

日期：?2017 年 9 月

影響：?1.47 億客戶

數(shù)據(jù)泄露是如何發(fā)生的？

Equifax數(shù)據(jù)泄露事件簡(jiǎn)直就是一場(chǎng)災(zāi)難。一系列可怕的網(wǎng)絡(luò)安全實(shí)踐使網(wǎng)絡(luò)犯罪分子幾乎太容易造成安全漏洞。

有四個(gè)主要缺陷促成了安全漏洞。

1. 該公司未能為其開源開發(fā)框架 Apache Struts修補(bǔ)一個(gè)眾所周知的漏洞 (?CVE-2017-5638 )。在漏洞發(fā)生時(shí)，CVE-2017-5638 的補(bǔ)丁已經(jīng)發(fā)布了 6 個(gè)月。
2. Equifax未能對(duì)其生態(tài)系統(tǒng)進(jìn)行細(xì)分，因此攻擊者能夠在通過門戶網(wǎng)站漏洞獲得訪問權(quán)限后無縫訪問多個(gè)服務(wù)器。
3. 黑客發(fā)現(xiàn)了以純文本形式排序的用戶名和密碼，這些用戶名和密碼用于提升權(quán)限以實(shí)現(xiàn)更深入的訪問。
4. 由于 Equifax 未能為其內(nèi)部工具之一更新加密證書，黑客能夠在數(shù)月內(nèi)不被發(fā)現(xiàn)地竊取數(shù)據(jù)。

最重要的是，在 Equifax 最終公布違規(guī)行為之前已經(jīng)過去了一個(gè)多月。在此期間，高管出售公司股票，引發(fā)內(nèi)幕交易指控。

哪些數(shù)據(jù)被泄露？

超過 40% 的美國人口可能受到 Equifax 數(shù)據(jù)泄露的影響。

以下數(shù)據(jù)被泄露：

• 名稱
• 出生日期
• 社會(huì)安全號(hào)碼
• 駕駛執(zhí)照號(hào)碼
• 信用卡號(hào)碼

由于個(gè)人身份信息 (PII)和被泄露的財(cái)務(wù)信息的高度敏感性，Equifax 被罰款 7 億美元。

從這次違規(guī)中吸取教訓(xùn)

金融服務(wù)公司和小企業(yè)可以從這次違規(guī)中吸取許多重要的教訓(xùn)。

• 保持所有軟件更新——如果 Equifax 修補(bǔ)了其開發(fā)漏洞，則本可以完全避免這種網(wǎng)絡(luò)攻擊。信息安全團(tuán)隊(duì)?wèi)?yīng)定期參考CVE 數(shù)據(jù)庫，以隨時(shí)了解最新的軟件暴露情況。使用攻擊面監(jiān)控解決方案可以自動(dòng)發(fā)現(xiàn)現(xiàn)有的甚至潛在的軟件漏洞。
• 細(xì)分您的生態(tài)系統(tǒng) - 細(xì)分您的生態(tài)系統(tǒng)以混淆對(duì)所有敏感資源的訪問。這項(xiàng)工作從創(chuàng)建數(shù)字足跡開始。一旦確定了通往敏感資源的所有路徑，零信任架構(gòu)將進(jìn)一步減少惡意訪問。
• 監(jiān)控第三方 -供應(yīng)商風(fēng)險(xiǎn)管理平臺(tái)將通過未修補(bǔ)的漏洞揭示任何面臨網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)的第三方服務(wù)。
• 實(shí)施及時(shí)的數(shù)據(jù)泄露通知政策——及時(shí)的數(shù)據(jù)泄露通知是金融法規(guī)的一項(xiàng)嚴(yán)格要求。不遵守可能會(huì)導(dǎo)致高額罰款甚至監(jiān)禁。

Heartland 支付系統(tǒng)數(shù)據(jù)泄露

日期：?2008 年 1 月

影響：?1.3 億個(gè)借記卡和信用卡號(hào)

數(shù)據(jù)泄露是如何發(fā)生的？

2008 年 1 月，俄羅斯黑客通過Heartland網(wǎng)站上的網(wǎng)絡(luò)表單注入惡意軟件，導(dǎo)致 1.3 億個(gè)信用卡和借記卡號(hào)碼組成。

網(wǎng)絡(luò)攻擊者使用 SQL 注入攻擊來訪問公司的公司網(wǎng)絡(luò)。他們花了將近 6 個(gè)月的時(shí)間試圖訪問處理信用卡數(shù)據(jù)的資源。

在成功避開反病毒防御后，俄羅斯威脅行動(dòng)者安裝了嗅探器軟件來攔截傳輸中的信用卡數(shù)據(jù)。

阿爾伯特岡薩雷斯和兩名身份不明的伙伴一起被指控犯有襲擊罪。岡薩雷斯被判處 20 年監(jiān)禁。

為了糾正其下降的網(wǎng)絡(luò)彈性聲譽(yù)，Heartland 對(duì)其網(wǎng)絡(luò)安全進(jìn)行了重大升級(jí)，并大膽向其所有客戶發(fā)出了以下數(shù)據(jù)泄露令：

“Heartland Payment Systems 對(duì)其支付處理技術(shù)的安全性非常有信心，以至于在 1 月 12 日，它宣布為其用戶提供新的違約保證。保修計(jì)劃將補(bǔ)償商家因涉及 Heartland Secure 信用卡支付處理系統(tǒng)的數(shù)據(jù)泄露而產(chǎn)生的費(fèi)用?！辈迦雸?bào)價(jià)？

具有諷刺意味的是，在該公告發(fā)布后，網(wǎng)絡(luò)犯罪分子闖入了公司的工資辦公室并偷走了 11 臺(tái)計(jì)算機(jī)，導(dǎo)致個(gè)人身份信息泄露，影響了 2,200 人。

哪些數(shù)據(jù)被泄露？

以下數(shù)據(jù)在 Heartland 數(shù)據(jù)泄露事件中遭到破壞：

• 信用卡號(hào)碼
• 卡有效期
• 持卡人姓名

從這次違規(guī)中吸取教訓(xùn)

可以從 Heartland Payment Systems 漏洞中汲取以下教訓(xùn)。

• 合規(guī)性還不夠 - Heartland 在事件發(fā)生時(shí)符合 PCI DSS，但不足以防止數(shù)據(jù)泄露。合規(guī)性不應(yīng)與安全性相混淆。除了監(jiān)管框架外，組織還必須實(shí)施額外的網(wǎng)絡(luò)安全系統(tǒng)，專門解決促進(jìn)數(shù)據(jù)泄露的漏洞。
• 實(shí)施內(nèi)部安全協(xié)議——如果威脅行為者能夠帶著裝有敏感資源的設(shè)備離開，那么外層安全防御將毫無用處。確保還保護(hù)所有實(shí)物庫存。
• 保護(hù)所有第三方系統(tǒng) - 與 Heartland 合作處理其付款的所有企業(yè)都受到此違規(guī)行為的影響。該事件突出了供應(yīng)商風(fēng)險(xiǎn)管理的重要性，以防止易受攻擊的第三方變成攻擊媒介。

第一資本數(shù)據(jù)泄露

日期：?2019 年 3 月

影響：?1億張信用卡申請(qǐng)

數(shù)據(jù)泄露是如何發(fā)生的？

前亞馬遜網(wǎng)絡(luò)服務(wù)軟件工程師 Paige A. Thompson 非法訪問了存儲(chǔ) Capital One 數(shù)據(jù)的 AWS 服務(wù)器之一，并竊取了可追溯到 2005 年的 1 億張信用卡申請(qǐng)。

FBI 很快就確定了襲擊者的身份，因?yàn)闇丈瓫]有試圖混淆她與事件的聯(lián)系。

當(dāng)她在GitHub 上發(fā)布被盜數(shù)據(jù)時(shí)使用了她的全名，甚至在社交媒體上公開吹噓該漏洞。

一位 GitHub 用戶向Captial One發(fā)送了一封電子郵件，通知他們數(shù)據(jù)轉(zhuǎn)儲(chǔ)被盜。

哪些數(shù)據(jù)被泄露？

Captial One 數(shù)據(jù)泄露影響了美國約 1 億人和加拿大超過 600 萬人。

以下類型的敏感數(shù)據(jù)被盜：

• 社會(huì)安全號(hào)碼（約 140,000 條記錄）
• 加拿大社會(huì)保險(xiǎn)號(hào)碼（約 100 萬條記錄）
• 銀行帳號(hào) (80,000)

受損數(shù)據(jù)的規(guī)模將此事件歸類為金融服務(wù)行業(yè)中最具破壞性的數(shù)據(jù)泄露事件之一。

從這次違規(guī)中吸取教訓(xùn)

可以從第一資本數(shù)據(jù)泄露事件中吸取以下教訓(xùn)：

• 保護(hù)所有云技術(shù) - 如果 Capital One 使用攻擊面監(jiān)控解決方案確保其向云存儲(chǔ)過渡，則可能不會(huì)發(fā)生這種違規(guī)行為。這將突出任何增加數(shù)據(jù)泄露風(fēng)險(xiǎn)的數(shù)據(jù)安全漏洞。
• 保護(hù)所有防火墻配置 - 錯(cuò)誤配置的 Web 應(yīng)用程序防火墻使這種破壞成為可能。這種不安全的配置可以通過攻擊面監(jiān)控軟件快速發(fā)現(xiàn)和解決。

摩根大通數(shù)據(jù)泄露

日期：?2014 年 10 月

影響：?8300 萬個(gè)賬戶

數(shù)據(jù)泄露是如何發(fā)生的？

據(jù)稱位于巴西的網(wǎng)絡(luò)攻擊者成功侵入了摩根大通的外圍，獲得了最高級(jí)別的管理權(quán)限，并獲得了對(duì)其 90 多臺(tái)服務(wù)器的 root 訪問權(quán)限。

令人驚訝的是，沒有利用可用的帳戶權(quán)限來竊取財(cái)務(wù)信息，而是僅竊取了客戶聯(lián)系信息。這個(gè)非常不合時(shí)宜的結(jié)果表明，攻擊的目的只是竊取特定的客戶詳細(xì)信息——可能用于未來的有針對(duì)性的網(wǎng)絡(luò)攻擊。

哪些數(shù)據(jù)被泄露？

以下數(shù)據(jù)在摩根大通數(shù)據(jù)泄露事件中遭到破壞：

• 摩根大通員工的內(nèi)部登錄詳細(xì)信息
• 客戶名稱
• 電子郵件地址
• 電話號(hào)碼

從這次違規(guī)中吸取教訓(xùn)

調(diào)查顯示，這種破壞是由一個(gè)非?；镜陌踩┒丛斐傻摹?br> 當(dāng)摩根大通的安全團(tuán)隊(duì)升級(jí)其網(wǎng)絡(luò)服務(wù)器之一時(shí)，他們未能實(shí)施多重身份驗(yàn)證 (MFA)。

這一事件表明，即使是最復(fù)雜的金融機(jī)構(gòu)也容易受到網(wǎng)絡(luò)安全衛(wèi)生基本失誤的影響。為了檢測(cè)通過手動(dòng)過程而被忽視的暴露，應(yīng)始終通過攻擊面監(jiān)控解決方案來支持人工。

益博睿數(shù)據(jù)泄露

日期：?2020 年 8 月

影響：?2400 萬客戶

數(shù)據(jù)泄露是如何發(fā)生的？

自稱是 Experian 一位客戶的代表的威脅行為者說服 Experian 南非辦事處的一名工作人員放棄敏感的內(nèi)部數(shù)據(jù)。

Experian聲稱提供的信息不是高度敏感的，而是在正常業(yè)務(wù)過程中經(jīng)常交換的數(shù)據(jù)。

據(jù)參與調(diào)查的當(dāng)局之一南非銀行業(yè)風(fēng)險(xiǎn)信息中心 (SABRIC) 稱，2400 萬客戶和近 80 萬家企業(yè)受到了此次違規(guī)行為的影響。

哪些數(shù)據(jù)被泄露？

以下客戶信息已披露給威脅參與者：

• 手機(jī)號(hào)碼
• 家庭電話號(hào)碼
• 工號(hào)
• 電子郵件地址
• 住宅地址
• 工作地點(diǎn)
• 工作地址
• 職稱
• 工作開始日期

根據(jù) Experian 的說法，攻擊者打算使用被盜數(shù)據(jù)為保險(xiǎn)和信用相關(guān)服務(wù)創(chuàng)造營銷線索。

從這次違規(guī)中吸取教訓(xùn)

在工作場(chǎng)所實(shí)施網(wǎng)絡(luò)威脅培訓(xùn)

目標(biāo) Experian 員工幾乎沒有理由質(zhì)疑威脅者電話的真實(shí)性。他們提供了 Experian 要求其客戶提供的所有相關(guān)識(shí)別信息——姓名、姓氏和 RSA ID 號(hào)。

這表明現(xiàn)代社會(huì)工程活動(dòng)的復(fù)雜性以及應(yīng)對(duì)這種網(wǎng)絡(luò)威脅的毫無準(zhǔn)備的員工。

人永遠(yuǎn)是網(wǎng)絡(luò)安全計(jì)劃中最薄弱的環(huán)節(jié)。為了保護(hù)安全控制投資，金融服務(wù)必須在工作場(chǎng)所實(shí)施網(wǎng)絡(luò)威脅意識(shí)培訓(xùn)。

該培訓(xùn)應(yīng)涵蓋如何識(shí)別 Linkedin 上的欺詐性查詢，因?yàn)檫@是社會(huì)工程活動(dòng)日益增長的攻擊媒介。

實(shí)施數(shù)據(jù)泄漏檢測(cè)解決方案

2021 年 10 月 24 日，Experian發(fā)現(xiàn)犯罪論壇上有一個(gè)暗網(wǎng)帖子，其中包含此違規(guī)行為的一些數(shù)據(jù)。在執(zhí)法部門的支持下，該活動(dòng)被攔截并刪除了數(shù)據(jù)。

盡管此類數(shù)據(jù)泄漏仍未被發(fā)現(xiàn)，但數(shù)據(jù)泄露受害者及其受影響的客戶面臨持續(xù)數(shù)據(jù)泄露的風(fēng)險(xiǎn)增加。

通過實(shí)施數(shù)據(jù)泄漏檢測(cè)解決方案，可以立即檢測(cè)并關(guān)閉此類事件，而無需浪費(fèi)時(shí)間等待外部安全援助。

阻止數(shù)據(jù)泄露

日期：?2022 年 4 月

影響：?820 萬員工

數(shù)據(jù)泄露是如何發(fā)生的？

一名 Square（現(xiàn)稱為Block）員工未經(jīng)許可下載了詳細(xì)說明客戶信息的報(bào)告。據(jù)估計(jì)，報(bào)告中包括了大約 820 萬當(dāng)前和以前的客戶。

哪些數(shù)據(jù)被泄露？

該報(bào)告包括以下信息。

• 全名
• 經(jīng)紀(jì)帳號(hào)
• 經(jīng)紀(jì)投資組合價(jià)值
• 經(jīng)紀(jì)投資組合持股
• 一個(gè)交易日的股票交易活動(dòng)

Block 表示，密碼、社會(huì)保險(xiǎn)號(hào)和支付卡信息等敏感信息并未在此次泄露中受到損害。

從這次違規(guī)中吸取教訓(xùn)

在管理日常任務(wù)中包含的流程時(shí)，內(nèi)部威脅導(dǎo)致了此漏洞。由于不需要升級(jí)權(quán)限，因此使用傳統(tǒng)的內(nèi)部威脅監(jiān)控策略很難檢測(cè)到此事件。

在員工允許的流程范圍內(nèi)檢測(cè)潛在的惡意行為需要一種具有高度針對(duì)性和定制化的方法。

Desjardins 集團(tuán)數(shù)據(jù)泄露

日期：?2019 年 6 月

影響：?420 萬客戶

數(shù)據(jù)泄露是如何發(fā)生的？

加拿大最大的信用合作社Desjardins的一名心懷不滿的員工未經(jīng)授權(quán)訪問了 420 萬會(huì)員的數(shù)據(jù)，意圖對(duì)公司造成傷害。

調(diào)查縮小了對(duì)單一來源的暴露范圍，揭示了負(fù)責(zé)的員工。

事件發(fā)生 6 個(gè)月后，據(jù)透露，該違規(guī)行為還影響了 Desjardin 會(huì)員群之外的 1.8 名信用卡持有人。

這一更新可能導(dǎo)致估計(jì)損失成本大幅增加，從 7000 萬美元增加到 1.08 億美元。

造成損害成本上升的另一個(gè)原因是 Equifax 將 5 年的免費(fèi)信用監(jiān)控納入受害者的補(bǔ)償方案中。

Equifax 也遭受了數(shù)據(jù)泄露，但影響要大得多（見上文）。

哪些數(shù)據(jù)被泄露？

惡意員工訪問了以下成員數(shù)據(jù)：

• 社會(huì)安全號(hào)碼
• 名稱
• 電子郵件地址
• 交易記錄

Desjardins 保證不會(huì)在違規(guī)行為中訪問任何信用卡、借記卡或支付卡號(hào)碼、密碼或 PIN 碼。

從這次違規(guī)中吸取教訓(xùn)

此漏洞的獨(dú)特之處在于它不是網(wǎng)絡(luò)攻擊的結(jié)果，而是內(nèi)部威脅。

這類網(wǎng)絡(luò)風(fēng)險(xiǎn)最難攔截，因?yàn)樗麄兊膼阂庑袨楹苋菀妆徽`認(rèn)為是合法的日常任務(wù)。

內(nèi)部安全團(tuán)隊(duì)也很難對(duì)內(nèi)部威脅保持警惕，因?yàn)樗麄兊娘L(fēng)險(xiǎn)管理任務(wù)已經(jīng)超出了他們的帶寬。

從這些見解以及導(dǎo)致海灘的關(guān)鍵事件中，可以吸取以下教訓(xùn)：

• 保護(hù)所有特權(quán)訪問 - Desjardins 惡意內(nèi)部人員不應(yīng)該對(duì)大型個(gè)人數(shù)據(jù)資源進(jìn)行如此自由和不受監(jiān)控的訪問。通過保護(hù)所有特權(quán)訪問管理，可以防止此類未經(jīng)授權(quán)的訪問。
• 簡(jiǎn)化供應(yīng)商風(fēng)險(xiǎn)管理 - 有效的供應(yīng)商風(fēng)險(xiǎn)管理實(shí)踐，例如供應(yīng)商分層，保護(hù)安全團(tuán)隊(duì)免受超載，為內(nèi)部威脅監(jiān)控創(chuàng)造足夠的帶寬。
• 尋找員工不滿的跡象——定期的內(nèi)部服務(wù)器或一對(duì)一可以在員工不滿升級(jí)為內(nèi)部威脅之前突出他們的不滿。

西太平洋銀行數(shù)據(jù)泄露

日期：?2013 年 6 月

影響：?98,000 名客戶

數(shù)據(jù)泄露是如何發(fā)生的？

此次數(shù)據(jù)泄露是通過 PayID 發(fā)生的——PayID 是 Westpac 的第三方提供商，用于通過手機(jī)號(hào)碼或電子郵件地址促進(jìn)銀行之間的轉(zhuǎn)賬。

PayID 就像電話簿一樣運(yùn)作。通過 PayID 查找功能，任何人都可以通過搜索電話號(hào)碼或電子郵件地址來確認(rèn)帳戶持有人的詳細(xì)信息。

此漏洞使黑客有可能執(zhí)行枚舉攻擊——當(dāng)使用蠻力技術(shù)確認(rèn)或猜測(cè)數(shù)據(jù)庫中的有效記錄時(shí)。

攻擊結(jié)束后，黑客發(fā)現(xiàn)了 98,000 名西太平洋銀行客戶的銀行詳細(xì)信息。

哪些數(shù)據(jù)被泄露？

枚舉攻擊暴露了以下類型的客戶數(shù)據(jù)：

• 全名
• 電子郵件地址
• 電話號(hào)碼
• 帳戶信息

有了這些細(xì)節(jié)，網(wǎng)絡(luò)犯罪分子就可以通過廣泛的網(wǎng)絡(luò)釣魚攻擊不斷重新定位受害者。

從這次違規(guī)中吸取教訓(xùn)

僅僅因?yàn)檎澲艘粋€(gè)平臺(tái)，并不意味著它可以抵抗網(wǎng)絡(luò)。

盡管存在潛在安全風(fēng)險(xiǎn)的警告，澳大利亞政府還是批準(zhǔn)了其新支付平臺(tái) (NPP)，向公眾保證在開發(fā) PayID 時(shí)“廣泛考慮”了欺詐和安全問題。

具有諷刺意味的是，在此聲明之后發(fā)生的數(shù)據(jù)泄露事件表明，政府解決方案容易受到與所有第三方軟件相同的網(wǎng)絡(luò)威脅，包括暴力攻擊等過時(shí)的技術(shù)。

為防止此類事件發(fā)生，應(yīng)實(shí)施解決暴力攻擊的安全控制。

下面列出了一些示例。

• 限制登錄嘗試 - 限制來自單個(gè) IP 地址的錯(cuò)誤登錄嘗試。
• 使用設(shè)備 cookie -設(shè)備 cookie將阻止來自特定瀏覽器的惡意登錄嘗試。
• 阻止可疑登錄 - 在一定次數(shù)的錯(cuò)誤嘗試后阻止登錄功能。
• 不要透露正確的憑據(jù) - 防止登錄字段確認(rèn)哪些特定詳細(xì)信息是正確的。
• 使用驗(yàn)證碼 - 選擇每次錯(cuò)誤登錄嘗試都會(huì)變得越來越難和更耗時(shí)的驗(yàn)證碼。

Radius Financial Group 數(shù)據(jù)泄露

日期：?2022 年 2 月

影響：?16,000 名客戶

數(shù)據(jù)泄露是如何發(fā)生的？

當(dāng)未經(jīng)授權(quán)的一方訪問其服務(wù)器并竊取與 16,000 名客戶有關(guān)的私人數(shù)據(jù)時(shí)，抵押貸款機(jī)構(gòu) Radius Financial Group成為數(shù)據(jù)泄露的受害者。

哪些數(shù)據(jù)被泄露？

受損數(shù)據(jù)可能包含以下信息：

• 姓名/個(gè)人信息
• 財(cái)務(wù)帳號(hào)
• 信用卡/借記卡號(hào)碼
• 帳戶安全碼
• 訪問代碼
• 密碼
• 針號(hào)

從這次違規(guī)中吸取教訓(xùn)

這一違規(guī)行為凸顯了根據(jù)PCI DSS 法規(guī)制定的安全標(biāo)準(zhǔn)對(duì)所有信用卡數(shù)據(jù)實(shí)施加密的重要性。