信息來(lái)源：51CTO

3月1日消息，荷蘭電子票務(wù)平臺(tái)Ticketcounter發(fā)生數(shù)據(jù)泄露事件，由于使用不安全的開(kāi)發(fā)服務(wù)器，導(dǎo)致190萬(wàn)條用戶(hù)郵件信息被盜。

Ticketcounter是荷蘭的一個(gè)電子票務(wù)平臺(tái)，向用戶(hù)提供動(dòng)物園、公園、博物館和活動(dòng)等在線票務(wù)服務(wù)。

190萬(wàn)用戶(hù)信息被盜

2月21日，一名攻擊者在黑客論壇上發(fā)帖，稱(chēng)要出售被盜的Ticketcounter數(shù)據(jù)庫(kù)，但帖子很快被發(fā)布者刪除。

起初人們認(rèn)為刪帖是為了逃避荷蘭警方的監(jiān)視。但攻擊者向媒體表示，他們并不懼怕執(zhí)法部門(mén)，刪帖是因?yàn)榇蛩闼较鲁鍪邸?

據(jù)媒體報(bào)道，被盜的數(shù)據(jù)庫(kù)包括姓名、郵件地址、電話(huà)號(hào)碼、IP地址和哈希密碼信息。該公司向媒體證實(shí)了這一數(shù)據(jù)泄露事件。

被盜的數(shù)據(jù)庫(kù)信息，來(lái)源：Bleepingcomputer

Ticketcounter首席執(zhí)行官Sjoerd Bakker稱(chēng)，他們做了一個(gè)匿名化過(guò)程測(cè)試，將一個(gè)假數(shù)據(jù)庫(kù)復(fù)制到微軟Azure服務(wù)器。但是，在復(fù)制數(shù)據(jù)庫(kù)后，它并沒(méi)有運(yùn)行相應(yīng)的安全保護(hù)措施，攻擊者能夠直接下載它。

Bakker表示，攻擊者在宣稱(chēng)出售數(shù)據(jù)庫(kù)后不久，聯(lián)系了Ticketcounter要求支付7個(gè)比特幣(約合33.7萬(wàn)美元)贖回?cái)?shù)據(jù)。攻擊者警告，如果Ticketcounter拒絕付款就會(huì)通知其所有合作伙伴，公開(kāi)此次數(shù)據(jù)泄露。

實(shí)際上，Ticketcounter已經(jīng)先行一步通知了客戶(hù)關(guān)于數(shù)據(jù)泄露的消息，但由于實(shí)際購(gòu)票用戶(hù)是Ticketcounter客戶(hù)的客戶(hù)，因此已經(jīng)建議各客戶(hù)自行向受影響用戶(hù)通知數(shù)據(jù)泄露。

Bakker稱(chēng)，Ticketcounter為客戶(hù)提供各種資源包，以方便他們通知用戶(hù)。這些資源包括查找小工具、常見(jiàn)問(wèn)題解答和電子郵件模板。

勒索未遂，數(shù)據(jù)庫(kù)被公開(kāi)

由于Ticketcounter沒(méi)有支付贖金，攻擊者3月1日在黑客論壇上公開(kāi)了數(shù)據(jù)庫(kù)。

攻擊者在黑客論壇公布信息，來(lái)源：Bleepingcomputer

攻擊者已經(jīng)將公開(kāi)的數(shù)據(jù)庫(kù)提供給Have I Been Pwned(注：Troy Hunt創(chuàng)建的可以檢測(cè)個(gè)人信息泄露的工具)，并添加到數(shù)據(jù)泄露查詢(xún)服務(wù)中。

擔(dān)心信息已被泄露的用戶(hù)可以在Have I Been Pwned網(wǎng)頁(yè)輸入郵件地址，查詢(xún)它是否在被泄露的數(shù)據(jù)中。

Have I Been Pwned可以顯示用戶(hù)賬戶(hù)是否被泄露，但要確定具體哪個(gè)網(wǎng)站的賬戶(hù)被泄露則有點(diǎn)困難。

Have I Been Pwned網(wǎng)站截圖

由于受影響的用戶(hù)并不是Ticketcounter的直接客戶(hù)，因此大多數(shù)用戶(hù)需要等待具體場(chǎng)館方或活動(dòng)方公布數(shù)據(jù)泄露詳細(xì)信息。

出于信息安全考慮，我們建議不要在多個(gè)網(wǎng)站使用相同的密碼。這樣一個(gè)網(wǎng)站的密碼被泄露，也不會(huì)影響其他網(wǎng)站的使用。鑒于數(shù)據(jù)庫(kù)已經(jīng)公開(kāi)，用戶(hù)也應(yīng)該小心釣魚(yú)郵件竊取更多敏感信息。

前車(chē)之鑒，企業(yè)因泄露用戶(hù)信息被處罰

據(jù)了解，自2018年5月歐盟出臺(tái)《通用數(shù)據(jù)保護(hù)條例》(GDPR)后，有公司因?yàn)樾孤队脩?hù)隱私信息被處罰。

2018年12月，德國(guó)開(kāi)出了首例違反GDPR的罰單。德國(guó)聊天社交平臺(tái)Knuddels.de因泄露用戶(hù)賬號(hào)和密碼信息，被德國(guó)數(shù)據(jù)保護(hù)機(jī)構(gòu)處罰2萬(wàn)歐元。

Knuddels.de頁(yè)面，來(lái)源：T-Online

據(jù)媒體報(bào)道，Knuddels.de網(wǎng)站于2018年7月受到黑客襲擊，導(dǎo)致約33萬(wàn)位用戶(hù)的電子郵件地址、密碼、姓名和居住地信息泄露。

經(jīng)調(diào)查發(fā)現(xiàn)，Knuddels.de平臺(tái)以純文本形式存儲(chǔ)用戶(hù)密碼，沒(méi)有采取任何加密措施。據(jù)此，德國(guó)數(shù)據(jù)保護(hù)機(jī)構(gòu)認(rèn)為Knuddels.de違反了GDPR第32條規(guī)定的數(shù)據(jù)安全義務(wù)，并在此基礎(chǔ)上依據(jù)GDPR第83條第4款對(duì)其處以罰款。

雖然有前車(chē)之鑒，但目前尚不清楚Ticketcounter 是否也會(huì)被執(zhí)法機(jī)構(gòu)做出處罰。