什麼是資料外洩？

資料外洩的定義是什麼？

資料外洩(Data Breach)是一種網路安全事件，導致未經授權的一方暴露、外滲或損壞敏感、機密、私人或受保護的資料。資料外洩非常嚴重，因為它們可能會對個人（即身分盜竊和經濟損失）和企業或機構（即聲譽損害、法律後果和經濟處罰）造成嚴重影響。

資料外洩一詞經常被錯誤地與網路攻擊 一詞互換使用。資料外洩和網路攻擊之間最明顯的區別是，資料外洩指的是導致敏感資訊洩露的特定類型安全事件。重要的是，資料外洩通常指數位資料，涵蓋實體媒體上的資料，例如紙本文件、隨身碟、筆記型電腦、行動裝置和外部硬碟。網路攻擊可能導致資料外洩，但也包括其他惡意活動，例如分散式阻斷服務 (DDoS) 攻擊。

所有企業或機構，不論其類型和規模為何，都面臨著資料外洩的風險，從小型企業到大公司，從醫院到學校，從政府到個人。資料外洩通常針對的資訊包括：

• 財務資訊（例如銀行帳戶資訊、信用卡號）
• 個人健康資訊 (PHI,Protected Health Information)（例如病歷、實驗室檢驗結果）
• 個人可識別資訊 (PII,Personally Identifiable Information)（例如身份證號碼、駕駛執照號碼）
• 商業機密（例如原始碼、公式）
• 其他機密資訊（例如客戶資訊、法律文件）。

發生資料外洩時，資訊可以被複製或傳輸而不會損壞來源資料。資料外洩還可能導致因盜竊或勒索軟體而無法存取資料。在某些情況下，有可能僅僅是為了報復行為或試圖造成災難性破壞而破壞資料。

導致資料外洩的原因為何？

瞭解資料外洩的原因有助於企業或機構最佳化其安全措施並降低與敏感資訊相關的風險。資料外洩的常見原因如下。

網路攻擊

• 駭客攻擊(入侵)－網路犯罪分子使用複雜的技術，利用軟體或硬體中的漏洞進行有針對性的攻擊
• 惡意軟體(程式)－在受害者系統上安裝惡意軟體（例如病毒、蠕蟲、木馬和勒索軟體），以竊取資料、監視使用者操作或取得電腦控制權
• 中間人 (MitM,Man in the Middle) 攻擊－攻擊者秘密攔截並可能修改兩方之間的通訊，讓雙方誤以為他們正在直接交流
• 網路釣魚－欺騙性的社交工程策略，用於透過冒充電子通訊或網站上的合法實體來獲取敏感資料（例如認證、個人資料和財務資訊）
• 勒索軟體－對企業或機構資料進行加密並隨後要求付費才能解密的惡意軟體
• SQL 注入攻擊－透過 Web 表單輸入欄位將惡意 SQL 程式碼插入資料庫，以操縱或竊取應用程式中的資料

內部人員威脅

• 意外洩漏－授權使用者因資料處理不當而無意中洩露敏感資訊，例如將資料傳送給錯誤的收件者或錯誤設定資料庫
• 不當處置－不當處置含有敏感資料的硬體（例如舊電腦和磁碟機）和列印文件
• 裝置遺失－無意中遺失筆記型電腦、智慧型手機、外部儲存裝置、文件、檔案或任何含有敏感資訊的實體媒體
• 惡意內部人員－授權使用者出於個人利益、報復或其他不良動機，故意竊取或洩漏資料

實物竊盜

• 設備遭竊－竊取含有敏感資訊的筆記型電腦、智慧型手機、外部硬碟或其他裝置遭竊
• 實體文件－竊取文件、檔案或任何包含機密資訊的實體媒體(載體)
• 未經授權的出入－未經適當授權，出入儲存敏感資訊的設施或區域

不良的安全實務

• 安全措施不足－缺乏全面的安全解決方案，例如反惡意軟體和防毒軟體、防火牆、入侵偵測和防護系統(IDS,Intrusion Detection System / IPS,Intrusion Prevention System)
• 缺乏加密－未對資料加密，使攻擊者在獲得存取權限後容易讀取資訊
• 存取控制不足－未根據使用者角色限制資料存取，並允許過多的人非必要存取敏感資訊
• 雲端儲存設定錯誤－雲端儲存設定配置錯誤，導致敏感資訊遭到未授權存取
• 未更新的系統－未能更新和修補軟體和系統，導致已知漏洞未解決
• 弱式(強度過弱)密碼－使用容易猜到的密碼或預設密碼

認證被盜(帳號密碼外洩)

• 認證竊取－透過網路釣魚、惡意軟體或社交工程攻擊竊取使用者名稱和密碼
• 破解密碼攻擊－使用暴力攻擊、字典攻擊或認證填充攻擊來破解弱式密碼

資料外洩的目標是什麼？

在資料外洩中，攻擊者會針對各種敏感且有價值的資訊。目標資料的具體性質通常取決於攻擊者的動機。資料外洩目標的常見資料類型包括以下幾種。

公司資訊

企業間諜活動、競爭優勢、勒索或破壞公司聲譽和財務狀況的目標

• 商業計畫
• 客戶資料庫
• 財務報告
• 內部通訊
• 併購詳細資訊
• 戰略計畫
• 商業機密

教育記錄

包括身分盜竊和學術欺詐等多種原因的目標

• 學術資訊
• 貸款資訊
• 研究資料
• 學生記錄

財務資訊

金融欺詐或在暗網上出售資訊的目標

• 銀行帳戶詳細資訊
• 信用卡號碼
• 財務報表

政府和軍事資訊

敵對國家或恐怖組織從事間諜活動的目標

下列相關資訊：

• 機密行動(任務)
• 基礎設施
• 軍事計畫
• 國家安全
• 公共安全

健康資訊

用於保險詐欺、獲取處方藥，甚至勒索的目標

• 保險詳細資訊
• 醫療資訊
• 患者病史
• 治療資料

智慧財產權和商業機密

競爭對手或國家為獲得優勢的目標

• 配方
• 製造計畫
• 專利
• 食譜
• 研發資訊
• 戰略計畫

登入憑證

試圖未經授權存取系統以便進一步利用，或透過認證填充攻擊入侵其他帳戶的目標

• 驗證權杖(驗證碼或金鑰)
• 密碼
• 使用者名稱

個人可識別資訊 (PII)

進行身分盜用、詐欺和其他惡意活動的目標

• 地址
• 生日
• 身分證字號
• 姓名
• 其它證件號碼

當企業或機構遭遇資料外洩時會發生什麼？

在資料外洩期間，未經授權的個人可以透過多種方式存取機密、敏感或受保護的資訊。事件的順序通常如下。

1. 入侵
   資料外洩通常始於攻擊者發現目標企業或機構中的漏洞。這可能是軟體瑕疵、安全措施不充分、認證外洩，甚至是實體安全漏洞。該漏洞被利用來存取目標企業或機構的網路或系統。
2. 安裝
   一旦進入系統內部，攻擊者可能會安裝惡意軟體或工具來維持存取、收集更多資訊或掩蓋其行蹤。攻擊者通常會使用惡意軟體來幫助他們在受侵入的系統或網路內橫向移動，以找到更有價值的資料儲存庫。
3. 發現和外滲
   在獲得必要的存取權限後，攻擊者可以識別有價值的資料，例如個人資訊、智慧財產權、財務資料或公司機密。然後，他們從企業或機構的網路中擷取這些資料，並透過外滲將資料傳輸到他們控制的位置。
   
   網路攻擊者使用多種策略來竊取資料，通常會部署多種方法大幅提高成功機會，同時儘量減少被偵測到的風險。用於加速擷取和避免檢測的常見滲透策略包括：
   • 自動化工具和腳本，在網路使用率較低時自動傳輸
   • 資料壓縮和加密，將檔案大小降至最低並遮蔽內容
   • 資料走私 (data smuggling) 和隱寫技術將敏感資料隱藏在其他檔案（例如影像或影片）中
   • 使用 DNS（網域名稱系統）查詢和回應進行 DNS 通道攻擊
   • 即時通訊和社群媒體服務
   • 使用 USB（通用序列匯流排）或其他抽取式媒體進行實體移除
   • 使用安全通訊協定（例如 HTTPS（超文字安全傳輸通訊協定）、FTP（檔案傳輸通訊協定）或 VPN（虛擬私人網路）），以混合到合法流量中

資料外洩的成本

資料外洩可能會導致硬成本和軟成本。也就是說，資料外洩可能帶來金錢上的損失或更難量化的成本，例如商譽損害或失去商機。

在大多數情況下，這兩種損壞都會發生。例如，勒索軟體攻擊是常見的資料外洩事件，可能會導致企業或機構支付高額贖金以恢復對其資料存取權限，並且當資料外洩的消息傳出後，其品牌也會受到損害。

此外，還有許多與資料外洩相關的其他成本，包括：

• 影響生產和供應鏈的營運中斷
• 識別、遏止、評估和補救外洩，以及進行必要的稽核、通知並改變流程和技術，以防止未來事件發生
• 由於對企業或機構保護敏感資訊的能力感到擔心而失去客戶

與資料外洩相關的其他業務費用包括：

• 律師費
• 法律違規罰款
• 客戶通知
• 上市公司股價下跌
• 保費增加
• 智慧財產權損失
• 公關應對成本及費用

最終，資料外洩的成本取決於組織的規模和類型以及外洩的原因。

為什麼會發生資料外洩

資料外洩的動機包括：

• 財務－竊取錢財或有價值的資產以將之出售
• 地緣政治－對目標政治人物或政府造成損害或干擾
• 個人－對真實或感知到的負面行為進行報復
• 搏取惡名－展現技術實力（例如，破解高知名度的系統）

對網路犯罪分子而言，主要動機是財務利益。例如，他們經常在暗網上出售或交易透過資料外洩竊取的敏感資訊。此資訊還可用於：

• 申請政府福利。
• 提交虛假納稅申報表以獲得退款。
• 產生偽造文件（例如駕駛執照、護照）。
• 開立並使用新的信用卡。
• 從銀行或投資帳戶提取資金。

資料外洩是如何發生的

資料外洩可以透過多種方式發生。以下是常見的攻擊途徑。

有針對性的資料外洩攻擊集中在特定個人或企業機構以取得敏感資訊。策略包括：

• 意外資料外洩或暴露
• 讀卡機和銷售點入侵
• 分散式阻斷服務 (DDoS) 攻擊
• 人為錯誤
• 裝置(設備)遺失或遭竊
• 惡意內部人員
• 惡意軟體(程式)
• 猜測密碼
• 網路釣魚攻擊
• 實體安全漏洞
• 勒索軟體
• 記錄按鍵動作
• 社交工程
• 魚叉式網路釣魚
• SQL（結構化查詢語言）注入
• 認證遭竊或外洩
• 漏洞利用

無論採用何種攻擊途徑，網路犯罪分子通常都會遵循類似的攻擊模式來成功實施資料外洩。資料外洩計畫的關鍵步驟包括：

1. 觀察潛在目標。
   網路犯罪分子開始攻擊過程時，會先尋找目標，然後識別技術漏洞（例如薄弱的安全系統、開放連接埠或可存取的通訊協定）。在其他情況下，他們會計劃針對大群體（即，網路釣魚攻擊）或擁有系統特權存取權限的個人（即，魚叉式網路釣魚）的社交工程活動。
2. 執行安全漏洞。
   攻擊者成功完成安全漏洞，並取得對系統和網路的存取權限。
3. 安全存取。
   如果目標系統未提供所需的存取權限，網路犯罪分子就會利用跨網路的橫向移動和權限升級來存取和入侵其他系統和使用者帳戶。
4. 完成資料外洩。
   一旦識別出所需的敏感資料，攻擊者就會將之轉移出去以用於不良目的，例如在黑市或暗網上出售或勒索贖金。

資料外洩的例子

資料外洩的途徑有很多。以下是幾個成功的資料外洩例子。

在一次針對零售商的攻擊中，網路犯罪分子透過收銀機獲取了敏感資料。由於使用弱加密來保護網路，攻擊者得以破解無線網路，然後從商店的收銀機移動至後端系統。此次資料外洩事件導致超過 25 萬筆客戶記錄遭到外洩。

在另一起事件中，數十億人的姓名、出生日期、電子郵件地址和密碼被洩露。在此情況下，網路犯罪分子利用該企業或機構所使用的 Cookie 系統中的漏洞。

在另一個例子中，企業的網路監控系統被用作攻擊向量。攻擊者利用這個系統秘密地向客戶散發惡意軟體(程式)，然後滲透客戶的系統以獲取敏感資料。

另一個企業因網路犯罪分子在暗網上購買的員工密碼而受到攻擊。這個單一密碼被用來入侵網路並發動勒索軟體攻擊，導致該企業損失數百萬美元。

由於企業或機構用於加密使用者密碼的雜湊程序出現問題，迫使數億使用者必須更改密碼以修復漏洞。

不安全的直接物件參照 (IDOR,Insecure Direct Object Reference) 曝露了近十億份敏感文件。該網站設計錯誤，使原本只應該給特定個人的連結變成公開連結，導致曝露這些文件。

資料外洩預防

有效的資料外洩預防計畫是使用由技術和流程組成的多層防護來建構的。以下是資料外洩保護防護策略的一些組成部分。

教育訓練

資料外洩的主要原因是從人員入手的攻擊。由於人類固有的弱點，他們普遍被認為是資料外洩預防策略中最薄弱的一環。

為了解決這個問題，安全訓練是必不可少的。員工需要接受培訓以識別和避免攻擊（例如網路釣魚攻擊），並學習處理敏感資料，以防止意外的資料外洩和洩漏。

端點威脅偵測與回應

端點偵測與回應 (EDR,Endpoint Detection and Response)，又稱為端點威脅偵測與回應 (ETDR,Endpoint Threat Detection & Response)，為端點安全提供整合解決方案。EDR 透過將端點資料的即時連續監控和收集結合基於規則的自動回應和分析功能，來識別和中和 (neutralize) 網路攻擊，幫助防止資料外洩。

身分與存取管理 (IAM)

身分與存取管理 (IAM,Identity and Access Management)解決方案提供防止資料外洩的強大防禦。IAM 解決方案的功能包括強式密碼原則、密碼管理工具、雙重因子驗證 (2FA) 或多因子驗證 (MFA,Multi-Factor Authentication)、單一登入 (SSO,Single Sign-On) 和角色型存取控制(RBAC)。這些技術和流程可協助組織防止攻擊者試圖利用被盜取或外洩的認證進行資料外洩。

事件應變計畫

準備工作是防止資料外洩的最佳防禦措施之一。事件應變計畫提供有關如何在已確認或可疑事件之前、期間和之後處理資料外洩行為的詳細說明。

事件應變計畫包括角色和職責的解釋以及每個階段的逐步流程。

事件應變計畫已被證明是資料外洩防護計畫中的有效工具。它可以加快解決和恢復的時間，同時降低資料外洩的成本。

多因子驗證 (MFA)

使用多因子驗證 (MFA,Multi-Factor Authentication) 有助於克服使用者和密碼的固有弱點。使用 MFA，使用者在帳戶登入時必須經過多步驟的流程，而不僅僅是輸入使用者名稱和密碼。

MFA 要求使用者完成額外的步驟來驗證其身分。例如，使用者可能會被要求輸入透過電子郵件或簡訊傳送的驗證碼、回答秘密問題或執行生物辨識掃描（例如指紋、臉部、視網膜）。

滲透測試

滲透測試又稱為 Pen Testing 或道德駭客 (ethical hacking)，透過模擬網路攻擊來測試系統並識別任何可利用的漏洞，有助於防止資料外洩。滲透測試人員使用與網路犯罪分子相同的工具、技術和流程來模擬可能導致資料外洩的真實攻擊。

軟體更新和安全性修補程式

應該在軟體和作業系統 (OS) 更新和修補程式可用時立即安裝。這些更新通常包括修復可能導致資料外洩的漏洞之修補程式。

強式密碼

使用強式密碼可以消除常見的網路攻擊向量。網路犯罪分子知道人們經常使用弱式密碼，因此經常發動攻擊（例如密碼噴灑攻擊）以利用這些弱點。強式密碼結合要求使用者經常更改密碼，並對服務和應用程式使用不同密碼的原則，可以有效防護資料外洩攻擊。

零信任架構安全方法

零信任架構(Zero Trust)安全方法假設任何使用者或系統（即便位於網路內部）都不應該被信任。零信任架構安全方法的關鍵組成部分包括：

• 對任何試圖存取網路或網路資源的使用者或系統進行持續身分驗證、授權和驗證
• 最小權限存取，僅允許任務或角色所需的最小存取權限
• 全面監控所有網路活動

減緩資料外洩

當發現資料外洩時，迅速而全面的反應至關重要。以下是五個需要遵循的關鍵步驟：

1. 將資料外洩的影響降至最低。
   透過隔離受影響的系統或網路，並鎖定任何已被入侵的帳戶（包括用於存取資料的帳戶）來阻止資料外洩的擴散。這可以阻止額外資訊的暴露並限制攻擊者在網路間的橫向移動。
2. 進行評估。
   識別攻擊的原因，以確定是否有與初始入侵相關的其他風險，例如被入侵的使用者或系統帳戶，或潛伏的惡意軟體。
3. 還原系統並修補漏洞。
   使用乾淨的備份，在某些情況下，使用新的系統來重建和還原受影響的系統。此時，應進行任何可用的安全性更新來修復導致資料外洩的漏洞。
4. 通知受影響方。
   一旦確定了資料外洩的規模和範圍，就必須通知受影響的各方。根據企業或機構的類型和外洩的資訊，這可能包括通知高階主管和員工、通知所有客戶並發布公開聲明。
5. 記錄經驗教訓。
   為幫助防止日後發生資料外洩，記錄從資料外洩中獲得的資訊和知識非常重要。這些資訊應用於更新現有系統和實務，同時也應予以保存以供將來參考。

做好準備工作以減少資料外洩風險

資料外洩普遍被認為是最常見且代價最昂貴的網路安全事件類型之一。不論企業或機構規模大小以及其地理位置為何，資料外洩都會對其造成廣泛的損害，導致財務和實體損害。

防止資料外洩的最佳防禦措施是做好準備。這包括建立強大的技術和基於流程的防禦措施，以確保及早發現和回應。

事實證明，擁有強大資料外洩防護系統和回應計畫的企業或機構可以更快地恢復，且損失較為有限。

除了實作適合的工具和流程之外，測試所有系統也很重要。這種主動方法可以在發生資料外洩之前識別漏洞。採取措施識別和修復漏洞，以及制定和實施回應計畫，對於保護敏感資訊免遭資料外洩大有幫助。

資料外洩常見問答集

以下是有關資料外洩的一些常見問題的解答。

資料外洩的定義是什麼？

資料外洩是一種安全事件，是指機密、受保護或敏感資訊在未經授權的情況下被存取、披露或使用。

資料外洩的例子是什麼？

最重要且最常被引用的一個資料外洩事件，是一家主要的信用報告機構遭到駭客入侵。這次資料外洩事件於 2017 年 9 月首次通報，洩漏約 1.47 億人的個人資訊。

攻擊者利用了該信用評等機構所使用的 Apache Struts 網頁應用框架中的一個漏洞，該框架被用於其一個線上申訴系統。這個漏洞早已廣為人知，並且在資料外洩事件發生前幾個月就已經有可用的修補程式。然而，該信用報告機構未能及時套用必要的更新和修補程式。

攻擊者利用該漏洞，未經授權存取該公司的系統。此資料外洩暴露了高度敏感的資訊，包括身分證號碼、出生日期、地址，有時還包括駕照號碼。

該信用報告機構因處理資料外洩事件的方式而遭到各方批評，包括延遲揭露、應對措施不足以及對消費者的整體影響。此次資料外洩事件導致公司內部多名高層辭職、大量訴訟以及嚴格的監管審查。

該公司還面臨聯邦機構、州檢察長和國際監管機構的調查。做為與聯邦貿易委員會 (FTC)、消費者金融保護局 (CFPB) 和全美各州檢察長達成的全球和解協議的一部分，該公司同意支付高達 7 億美元的賠償。此外，該公司的聲譽也受到重大打擊，影響客戶的信任，並導致公眾對其做法的審查。

這次資料外洩事件證明及時軟體更新和修補程式、全面的漏洞管理以及強大網路安全策略的重要性。另外也凸顯未能保護敏感資料的深遠後果。

遭遇資料外洩與被駭客攻擊(入侵)是否一樣？

遭遇資料外洩和被駭客攻擊是相關的概念，但並不相同。區別在於事件的本質和所涉及的方法。值得注意的是，雖然所有導致未經授權的資料存取的駭客事件都可以被視為資料外洩，但並非所有資料外洩都是駭客攻擊的結果。

企業或機構應如何應對資料外洩？

對資料外洩的回應通常分為五個核心階段。

1. 即時回應

• 偵測與識別－識別安全事件已發生
• 遏止－隔離受影響的系統、撤銷存取認證或暫時關閉某些服務，以防止進一步未經授權的存取或資料遺失
• 評估－確定哪些資料外洩、受影響的人數以及資料外洩的潛在後果

2. 調查與補救

• 根除－從受影響的系統中移除攻擊者使用的惡意軟體(程式)或未經授權的工具
• 恢復－從資料外洩的影響中恢復，包括從備份中恢復遺失的資料以及恢復安全的系統運作
• 補救措施－修復導致資料外洩的漏洞，包括修補軟體、更改安全通訊協定、增強網路安全或升級系統，以彌補安全漏洞並加強企業或機構對日後攻擊的防禦能力
• 取證分析－瞭解資料外洩是如何發生的、哪些漏洞被利用、是否已完全遏制資料外洩

3. 法律和法規遵循

• 通知－遵守要求企業或機構將資料外洩事件通知受影響個人、監管機構（有時還包括公眾）的各種法律和規章
• 監管行動－根據司法管轄範圍和資料外洩的嚴重程度，企業或機構可能面臨監管機構的調查、稽核和處罰

4. 聲譽管理與溝通

• 與利害關係人溝通－透過有效的溝通和透明的資料外洩處理方式，減少對客戶、投資者和公眾之間信任和信心的損害
• 公共關係－參與公共關係工作來管理後果，包括新聞稿、媒體簡報和客服支援，以解決有關資料外洩的疑慮和問題

5. 長期預防與經驗教訓

• 安全增強－審查和改進安全實務，包括採用新技術、改變政策和增加安全培訓
• 持續改進－定期檢視安全實務以適應不斷演變的威脅
• 持續保持警惕－持續監控系統以主動識別可疑活動

企業或機構可以採取哪些措施來防止資料外洩？

進行風險評估
定期進行風險評估，以識別組織 IT 基礎架構和資料處理流程中可能導致資料外洩的漏洞。風險評估也有助於根據最大的漏洞區域來優先安排安全措施。

部署安全軟體
全面的安全解決方案對於防止資料外洩至關重要。防毒和防惡意軟體、防火牆和網路分段、入侵偵測系統 (IDS)、入侵防禦系統 (IPS) 和資料外洩防護 (DLP) 技術等安全解決方案可防止資料外洩。

加密敏感資料
在傳輸過程中和靜態時加密敏感資料，使未經授權的使用者無法讀取這些資料，即使資料在外洩期間被攔截。

實作強有力的存取控制
透過使用強大的身分驗證方法（例如多因子驗證(MFA)）限制僅授權使用者才能存取敏感系統和資料，以防止資料外洩。採用角色型存取控制(RBAC) 也可以根據使用者在企業或機構中的角色來限制對資訊的存取，將帳戶遭入侵的潛在影響降至最低。

安全的實體存取
控制對儲存敏感資料的設施之實體存取，以防止資料外洩。這些控制措施包括安全鎖、門禁卡和監控系統，以防止未經授權的實體存取資料儲存區域。

監控和稽核網路活動
持續監控網路活動，以發現可能有安全漏洞的異常或未經授權的行為。定期稽核安全實務和日誌有助於在導致資料遺失之前，檢測到潛在的安全事件。

第三方風險管理
評估和管理有權存取您企業或機構資料的第三方供應商和服務供應商的安全實務。在合約中執行嚴格的安全條款，並定期對第三方進行安全評估。