美大學遭駭客入侵 30萬筆師生資料外洩

美大學遭駭客入侵 30萬筆師生資料外洩

西北佛羅里達州立學院(NWFSC , Northwest Florida State College)日前證實，將近30萬筆學生、教職員的資料遭到駭客竊取，被竊資料除了個人基本資料外，也包含銀行與帳號等財務資訊。

NWFSC於10/8對外表示，3,200位現任與退休的員工個人資料被竊，被竊的資料包括姓名、生日、社會安全密碼，以及存款銀行與帳戶號碼…等，在進一步調查後，NWFSC發現問題比原先預估的更加嚴重，於是10/10再度公布，約7.6萬名仍在學與畢業學生的個人身分資訊遭竊取，另外，全佛羅里達州內，至少20萬名有資格申請「光明前途(Bright Futures)」獎學金的學生資料，包括姓名、社會安全號碼、生日、種族和性別等也遭竊取。

繼10月初傳出全球數十所大學遭駭客攻擊，因而導致120萬筆學生資料外洩後，不到一個禮拜的時間，又有NWFSC遭到駭客攻擊，聯邦當局認為事關重大，已經與當地警方合作展開調查。

根據調查結果，這些資料是在5/21至9/24間外洩，該起事件之所以曝光是因為有員工反映有人企圖非法使用自身的銀行帳戶，校方於是通知所有教職員檢查個人帳戶並採取相對應的保護措施，隨後越來越多員工發現自己的帳戶出現問題，如：有些員工存款帳戶的資金被盜領，或是收到以他們名字申請的信用卡消費帳單。

NWFSC院長Ty Handy表示，該駭客組織入侵了某一台伺服器，並存取其中一個包含許多檔案的資料夾，雖然單一檔案中沒有完整個人資料，但駭客從不同檔案拼湊出完整資訊以做進一步運用，因此Ty Handy推測，這應該是由多名駭客共同策動的專業攻擊。

在NWFSC對外發表公告的前一個星期，也就是10月初，駭客組織Anonymous的分支GhostShell，其首領DeadMellox透過PasteBin宣告一項名為「西風計畫(Project WestWind)」的攻擊行動，並宣稱已經入侵全球至少五十所大學的資料庫，同時公開120萬筆資料給大眾下載。GhostShell指出，此次行動的目的是想呼籲大眾關注教育問題，同時列舉學費、教育政策、畢業生就業不確定性等相關問題。

雖然兩起事件僅間隔一個星期，但根據目前的調查，NWFSC資料外洩事件與GhostShell攻擊並沒有直接關聯，資料監測服務公司PwnedList則表示，GhostShell言過其實，事實上，僅有超過1.3萬筆的資料遭存取。

此外，GhostShell也宣稱，他們竊取的資料比較沒有機密性，但他們入侵時發現很多伺服器早就隱藏惡意軟體，換言之，早就有其他駭客為了財務目的而入侵系統。稍早之前，包括史丹佛大學、劍橋大學、密西根大學、紐約大學、普林斯頓大學和哈佛大學等知名學校，也爆發遭受駭客攻擊的新聞。

而同樣位於美國佛羅里達州的坦帕大學(University of Tampa)在今年三月時就曾爆發資料外洩問題。該大學把學生資料存在伺服器上卻未經任何保護，因此透過網路就可搜尋到甫要入學的近7千名學生資料，而且包含2.27萬筆個人紀錄的兩個資料庫也疑似遭到存取。教育機構接二連三的資料外洩事件，所突顯的安全保護問題也值得關注。

轉載自《資安人科技網》

網路購書後被詐騙 賽門鐵克：應提防小而準的外洩事件

網路購書後被詐騙 賽門鐵克：應提防小而準的外洩事件


上周又傳出消費者在網路書店消費後，接到詐騙電話的新聞，根據警方指出，其中某新成立的網路書店在短短三個月內造成了24名網友受害，損失金額達80多萬元，同時在另一家網路書店平台發生的詐騙案則造成單筆48萬元的損失。同樣近期在其他網路書店也有消費者反映購物後接獲詐騙電話。

儘管這幾年下來，在政府及165反詐騙專線的宣導下，民眾對於詐騙電話的警覺心已有提升。但部分受害者在接到詐騙電話當下，仍然因為歹徒握有詳細消費明細，而一時誤入詐騙集團圈套。然而與過去不同的是，個資法正式上路後，企業難再以我們也是受害者自居，除了須面對消費者群起在臉書上對店家的質疑，還必須面對執法機構的審視。甚至可能須面對團體訴訟的壓力。資安專家也提醒，已經有越來越多「公益團體」為了辦個資外洩侵權的團體訴訟案件而設立，因此企業面臨了不同於以往的高度風險，必須思考避險的機制。

儘管目前調查結果還未出爐，究竟是平台業者或其它供應鏈出問題還不得而知。但從越來越多的詐騙新聞，可以看出不只是知名網購業者，二線電子商務業者也都遭殃。根據賽門鐵克網路安全報告顯示，2012年資料外洩事件的平均資料外洩筆數為64萬筆，比起去年131萬筆有明顯降低。其中可能原因是大型企業受到去年大規模惡意網路攻擊影響已開始重視資料庫的保護，或者駭客不再只鎖定大型企業，轉而瞄準同樣具有價值的資料儲存場所。因此，賽門鐵克提醒企業必須提防小而準的資料外洩事件。

轉載自《資安人科技網》

美國伯靈頓市府系統遭駭 市民與員工個資外洩

美國伯靈頓市府系統遭駭 市民與員工個資外洩


美國伯靈頓(Burlington)市的市府付費系統驚傳駭客入侵，竊走該市府於美國銀行的帳戶資料，及至少40萬美元的存款，雖然，美國銀行已經將該帳戶凍結，但駭客很可能拿被竊走的資料做進一步運用。

本次事件影響範圍包括參與伯靈頓市府電子轉帳計畫的員工，以及使用該市自動轉帳服務的居民。當地官員Bryan Harrison表示，由於駭客入侵了市府的公用事業付費系統，因此所有使用自動轉帳服務的用戶個人資料，包括姓名、銀行帳戶、銀行代碼等資訊，也都可能已經被駭客竊走。

該事件原本可能更加嚴重，因為帳戶中的金額遠高於駭客所竊取的數目，Bryan Harrison認為，也許是因為還來不及竊取所有的錢就被發現之故。一家東海岸銀行於10/11發現一系列來自柏靈頓市府帳戶的可疑轉帳交易，轉出對象為該東海岸銀行的企業或個人帳戶，而且在2天之內至少有3筆巨額轉帳交易，於是與柏靈頓市府聯繫，確認是否將該帳戶的存款轉到其他數個帳戶，也因此發現這次的資安事件。

相較其他網路攻擊事件來說，該事件被竊取的金額並不驚人，但因為用戶的個人資料也遭竊取，因此駭客很可能再做進一步的攻擊。Bryan Harrison指出，截至目前為止，還無法確切得知資料外洩的規模，不過美國特勤局(U.S. Secret Service)和相關法律機構已經開始展開調查。

為了避免影響進一步擴大，Bryan Harrison表示，已經提醒所有用戶盡快和銀行聯繫或是先將帳戶關閉，所有使用市府電子轉帳帳戶的員工，也被要求先關閉原本的帳戶，並重新開立新的帳戶，另外，市府也要求員工通知信用卡公司，以避免個資被拿來做其他使用，導致更大的損失。

在該起攻擊事件發生前幾日，RSA曾經發佈警告指出，透過監控地下論壇內容的方式，偵測到一個網路犯罪集團計畫使用名為Gozi的木馬程式，展開大規模網路攻擊行動，而且可能聯合100個駭客共同參與，預計鎖定至少30家美國銀行的網路帳戶竊取金錢。

在RSA的警告發佈後，其他資安專家也陸續表示發現即將攻擊美國銀行帳戶的資訊，而在RSA發表警訊之前兩週內，包含美國銀行、摩根大通銀行、花旗銀行、Wells Fargo等數家銀行，都同時遭遇阻斷式攻擊（DDoS）。

雖然沒有證據指出伯靈頓市攻擊事件與RSA發布的警告有關，然而，駭客鎖定特定組織、銀行單位展開目標式攻擊越來越氾濫，近一年來，有許多地方政府、銀行、小型企業也曾遭遇類似的攻擊，根據FBI統計，美國政府和企業在近幾年遭受網路攻擊的損失達數億美元。伯靈頓市的外洩事件和RSA預期將發生的大規模攻擊行動，對銀行組織來說無疑是項重要的資安警訊。

轉載自《資安人科技網》