随着一场透心凉心飞扬的球赛在莫斯科草场上流下无法释怀的眼泪，2018上半年已结束了。

但更可怕的却是2018上半年令人震惊的大规模数据泄露事件。对于信息安全来说，六个月的时间已经足够长，因此出现大量的数据泄露事件，也不足为奇。

下面将汇总2018年至今被披露的十起规模较大的数据泄露事件以及其它泄露事件。

10

Saks和 Lord & Taylor

泄露数据500万条

披露日期：2018年4月3日

3月底，安全公司Gemini Advisory偶然发现了一个来自JokerStash黑客集团发布的公告，宣称已出售有关500万张被盗信用卡和借记卡的数据。在各种金融机构的协助下，Gemini Advisory公司对这些交易进行了追踪，并最终将这些交易归因于Saks Fifth Avenue和Lord＆Taylor的系统入侵。两家百货公司的共同所有者Hudson Bay在了解到这一事件之后，采取了补救措施。但对于Bernadette Beekman来说，这还远远不够，他于2018年4月代表在2017年3月至2018年3月的黑客入侵期间在Lord＆Taylor商店使用支付卡消费的所有客户提起了集体诉讼。在她的诉讼中，Beekman称Lord＆Taylor“未能遵守安全标准，并在用于保护其客户的财务信息和其他隐私信息的安全措施上‘偷工减料’，而原本这些安全措施本可以防止或减轻安全漏洞所带来的影响。”

09

PumpUp

泄露数据600万条

披露日期：2018年5月31日

5月31日，ZDNet报道称，安全研究员Oliver Hough联系他们说发现了一台暴露在互联网上的后端服务器，并且没有得到密码。该服务器属于健身应用程序PumpUp，它使得任何能够找到它的人都能访问大量的敏感用户数据，包括用户输入的健康信息、照片以及用户之间发送的私人消息。暴露的数据还包含Facebook访问令牌，在某些情况下还包含未加密的信用卡数据，如卡号、到期日期和信用卡验证值。

当ZDNet与PumpUp取得联系时，该公司并没有做出回应，但它确实悄悄地对服务器实施了保护措施。目前尚不清楚该资产在受到保护之前，已经暴露了多长的时间。

08

Sacramento Bee

泄露数据1950万条

披露日期：2018年6月7日

今年2月，一名匿名攻击者截获了Sacramento Bee拥有并运营的两个数据库。其中一个IT资产包含加利福尼亚州州务卿提供的加州选民登记数据，而另一个则存储了用户为订阅该报刊而提供的联系信息。在截获了这些资源之后，攻击者要求支付赎金以换取重新获得对数据的访问权限。Sacramento Bee最终拒绝了这一要求，并删除了数据库，以防止在将来这些数据库在被利用来进行其他更多的攻击。

根据Sacramento Bee的说法，这起黑客攻击事件共暴露了5.3万名订阅者的联系信息以及1940万加州选民的个人数据。

07

Ticketfly

泄露数据超过2700万条

披露日期：2018年6月7日

5月31日，Ticketfly遭遇了一次攻击，导致音乐会和体育赛事票务网站遭到破坏，并离线和中断一周。据报道，此次攻击事件背后的黑客先是警告Ticketfly存在一个漏洞，并要求其支付赎金。当遭到该公司的拒绝后，劫持Ticketfly网站，替换了它的主页，用一个包含2700万个Ticketfly账户相关信息（如姓名、家庭住址、电子邮箱地址和电话号码等，涉及员工和用户）的页面。

06

Panera

泄露数据3700万条

披露日期：2018年4月2日

4月2日，安全研究员Dylan Houlihan联系了调查信息安全记者Brian Krebs，向他讲述了他在2017年8月向Panera Bread报告的一个漏洞。该漏洞导致Panerabread.com以明文泄露客户记录，这些数据可以通过自动化工具进行抓取和索引。Houlihan试图向Panera Bread报告这个漏洞，但他告诉Krebs，他的报告被驳回了。在此后的八个月里，Houlihan每个月都会检查一次这个漏洞，直到最终向Krebs披露。随后，Krebs在他的博客上公布这些细节。Krebs 报告发布后，Panera Bread暂时关闭了起网站。

尽管该公司最初试图淡化此次数据泄露事件的严重程度，并表示受到影响的客户不到1万人，但据信真实数字高达3700万。

05

Facebook

泄露数据至少8700万条

（包括但不限于）

披露日期：2018年3月17日

谁能忘记2018年3月令人震撼的Facebook数据泄露丑闻？当时，有报道称，一家名为Cambridge Analytica的数据分析公司通过一个应用程序收集了5000万Facebook用户的个人信息，该应用程序详细描述了用户的个性、社交网络以及在平台上的参与度。尽管Cambridge Analytica公司声称它只拥有3000万用户的信息，但经过Facebook的确认，最初的估计实际上很低。今年 4月，该公司通知了在其平台上的8700万名用户，他们的数据已经遭到泄露。

6月27日，安全研究员Inti De Ceukelaire透露另一个名为Nametests.com应用程序，它已经暴露了超过1.2亿用户的信息。

04

MyHeritage

泄露数据超过9200万条

披露日期：2018年6月4日

一名安全研究员于6月4日联系了在线家谱平台MyHeritage的首席信息安全官，并透露他们在私人服务器上找到了一个标有“myheritage”的文件。在检查文件后，MyHeritage的官员确认该资产包含了在2017年10月26日之前已注册MyHeritage的所有用户的电子邮箱地址。该公司发布的一份声明称，由于MyHeritage依赖第三方服务提供商来处理会员的付款，因此它也包含了他们的哈希密码，但不包含支付信息。由于该服务将家谱和DNA数据存储在与存储电子邮箱地址的服务器不同的服务器上，MyHeritage表示没有理由相信这些信息已经被暴露或受到损坏。

03

Exactis

泄露数据超过4亿条

披露日期：2018年6月26日

安全研究员Vinny Troia在2018年6月发现，总部位于佛罗里达州的市场营销和数据聚合公司Exactis已将一个数据库暴露在可公开访问的服务器上。该数据库包含2TB的信息，其中包括数亿美国人和企业的详细信息。在撰写本文时，Exactis尚未确认受此事件影响的确切人数，但Troia表示他能够找到近3.4亿条个人记录。他还向Wired证实，此事件暴露了消费者的电子邮箱地址、实际地址、电话号码以及一系列的其他个人信息，在某些情况下包括极其敏感的细节，如孩子的姓名和性别。

02

Under Armour

泄露数据5亿条

披露日期：2018年5月25日

3月25日，Under Armour获悉有人未经授权访问了MyFitnessPal平台，这是一个用于跟踪用户饮食和锻炼情况的平台。美国全国广播公司财经频道（CNBC）在当时报道说，负责此次黑客入侵的犯罪分子访问了用户的用户名、电子邮件地址和哈希密码。但没有暴露用户的付款信息，因为Under Armour对这些数据进行了分别处理。同时，它也没有损害社会安全号码或驾驶执照号码，因为服装制造商表示它并不会收集此类数据。

据信，超过1.5亿MyFitnessPal用户的信息在数据泄露中受到了损害。

01

Aadhaar

泄露数据11亿条

披露日期：2018年1月3日

今年1月份，论坛报业集团（Tribune News Service）的记者为WhatsApp上匿名卖家提供的一项出售登录凭证的服务支付了500卢比。通过这项服务，记者可以输入任何一个Aadhaar号码（一个12位的唯一标识符，每个印度公民会使用到它）检索印度唯一身份识别管理局（UIDAI）存储的关于被查询公民的诸多类型的信息。这些数据包括姓名、住址、照片、电话号码和电子邮箱地址。在向卖家额外支付300卢比的费用后，任何人都可以通过该软件打印某个Aadhaar号码归属者的身份证。

据信，这起数据泄露事件已经损害了在印度注册的11亿公民的个人信息。

2018上半年其它数据泄露事件

■ 千万条信息泄露，顺丰员工200万元卖用户信息

北京商报讯，用户隐私保护成为近年来快递行业最重要的问题之一，《快递暂行条例》指出，经营快递业务的企业及其从业人员不得出售、泄露或者非法提供快递服务过程中知悉的用户信息。近日，湖北荆州中级人民法院公布了一起涉及公民信息泄露的案件，此案涉及顺丰快递代理商和多名顺丰员工。此案涉嫌被泄露的公民个人信息达千万余条，涉及金额高达200余万元。

■ 美国土安全部超过24万员工的个人数据被泄

美国国土安全部（DHS）于美国当地时间2018年1月3日发表声明称，其下属监察长办公室（OIG）2014年遭遇一起数据泄露事件，其案件管理系统逾24.7万DHS员工和未知数量的其它相关人员的个人信息受到影响。

■ 俄罗斯1400万大学毕业生敏感信息泄露

俄罗斯技术社区网站Habrahabr上，一名昵称为NoraQ的用户（黑客）2018年1月29日发文称，1400万名俄罗斯大学毕业生信息泄露。俄罗斯总人口数量约为1.46亿，即十分之一俄罗斯人的信息泄露。

■ 第一所公立虚拟大学近37万师生信息遭泄露

佛罗里达虚拟学校（Florida Virtual School，简称FLVS），成立于1997年，是全美第一所也是最大的一所公立虚拟学校。该校于2000年通过州立法认可后成为完全独立的教育实体，从而具备招收全日制在线学生的资质，专为中小学生提供在线远程教育。据多家外媒报道，FLVS似乎成为了数据泄露事件的最新受害者，近37万名师生的个人敏感信息可能已经遭到了外泄。

■ 美国数据技术公司 LocalBlox信息泄露

网络安全公司 UpGuard发布报告指出，美国数据技术公司 LocalBlox 收集社交网站的用户数据，分析后进行出售，但由于该公司亚马逊 AWS S3 存储库可公开访问，致4800万个人数据暴露在网上。

■ 美共和党电话拉票公司MongoDB数据库被黑

美国共和党电话拉票公司Victory Phones的MongoDB数据库被黑，几十万为政治活动捐款的美国公民数据遭到泄露。被窃文件223GB，共包含约20亿行数据。

■ 南非再次遭遇数据泄露

2017 年的时候，南非遭遇了一起大规模的数据泄露事故。然而转眼间，这个国家又发生了一起数据泄露，导致 93.4 万人的个人记录在网络上被曝光。本次曝出的数据，涵盖了国民身份证号码、电子邮件地址、全名、以及明文密码。从分析来看，这些密码似乎与交通罚款相关的在线系统有关。

■ 遭黑客攻击 “A站”千万条用户信息外泄

AcFun弹幕视频网（以下简称“A站”）发布公告称，该网站受到黑客攻击，近千万条用户数据遭泄露。随后，有网友陆续晒出从今年3月到6月不同时期，暗网兜售A站用户数据的信息及价目表。针对此次泄露事件，A站已经搜集相关证据并报警。

■ 英特尔处理器“Meltdown”和“Spectre漏洞

英特尔处理器中曝“Meltdown”（熔断）和“Spectre” （幽灵）两大新型漏洞，包括AMD、ARM、英特尔系统和处理器在内，几乎近20年发售的所有设备都受到影响，受影响的设备包括手机、电脑、服务器以及云计算产品。这些漏洞允许恶意程序从其它程序的内存空间中窃取信息，这意味着包括密码、帐户信息、加密密钥乃至其它一切在理论上可存储于内存中的信息均可能因此外泄。

■ 苹果 iOS iBoot源码泄露

开源代码分享网站 GitHub（软件项目托管平台）上有人共享了 iPhone 操作系统的核心组件源码，泄露的代码属于 iOS 安全系统的重要组成部分——iBoot。iBoot 相当于是 Windows 电脑的 BIOS 系统。此次 iBoot 源码泄露可能让数以亿计的 iOS 设备面临安全威胁。iOS 与 MacOS 系统开发者 Jonathan Levin 表示，这是 iOS 历史上最严重的一次泄漏事件。

网络信息安全事件无小事，小到一个城市的医保系统，大到全球化的上市企业，一旦发生问题，会面临安全漏洞或攻击、丢失或泄露内部文件及客户数据、使员工数据信息处于危险境地、遭受DDos攻击、损失大量财产、使知识产权或商业秘密处于危险边缘、感染病毒成为黑客攻击目标等等，这不仅严重影响企业业务的运行，还会对企业的声誉带来重大的损失。

这二十起网络安全事件对下半年各行业都是很好的警醒，特别是在用户隐私泄露、网络中断、系统故障等方面让我们清醒地意识到，潜在的安全事件随时都可能威胁企业的业务系统的安全。

由此看来，数据泄露对于企业的确是十分昂贵的。部署防泄密平台，不仅是对企业加强数据安全防范，更是对数据本身的保护，也是对企业未来发展未雨绸缪的规划。

防泄密平台，包含了文件透明加解密、内部文件流转、密级管控、离线管理、文件外发管理等功能，是一套从源头上保障数据安全和使用安全的系统。做到重要部门的数据，只能在本部门内员工之间交互，其他部门人员无权限访问，有效防止数据被越权访问，避免造成泄密行为发生，保障企业数据安全。