全世界超过1/4的数据泄露都起源于公司“内部人员”的电脑台位，而且还不仅仅是单纯误点了可疑链接那么简单。不过，管理员们对这样的情况应该已经习以为常了。
威瑞森最近的一份《数据泄露调查报告》(DBIR)显示，全年28%的攻击都是内部人所致，主要是求财、找情报，或者就是一时疏忽或误操作了。
报告还称，约50%的数据泄露是犯罪团伙所为，而1/10的数据泄露背后有国家支持黑客组织的影子。经济利益毫不令人意外地继续稳坐网络犯罪的头号动机交椅。
医疗行业是员工误用类内部人威胁风险尤其高的行业，比如医院职工出于好奇或单纯好玩而读取患者档案。
威瑞森指出，公司企业面临的外部攻击数量在增加，而且越来越多的外部攻击是有组织犯罪。
2017年勒索软件攻击堪称激增，相比去年，勒索软件攻击事件增长了一倍有余。
勒索软件在700多起数据泄露事件中现身，恶意软件相关数据泄露中39%都出现了勒索软件的身影，占比是去年DBIR的2倍。威瑞森的分析显示，攻击如今正转向业务关键系统，加密文件服务器或数据库，造成更多的破坏，索要更多的赎金。
公司企业被社会工程方法成功攻击的可能性，比被实际漏洞利用攻破的可能性高3倍，更加凸显了员工网络安全教育的必要性。
DBIR报告还指出，针对财务和人力资源部门的社会工程和假冒攻击有大幅增长趋势。2017年共报告了近1500起事件和近400起经证实的数据泄露。这些攻击中，黑客试图通过假冒公司CEO来说服财务部门转账。
各垂直行业的人力资源(HR)部门也是黑客的目标。黑客会从HR部门套取员工薪资和纳税数据，以便进行税费诈骗和退税转移。
相比去年，针对HR部门的财务主管假冒攻击增加了近2倍，2017年DBIR中分析了61起案例，而今年的DBIR则分析了170起。其中88起事件就是特别以HR员工为目标的——为了获取个人数据以提交虚假纳税申报。
信息没脱敏、邮件发错地址或Web服务配置错误之类的小失误，是近1/5的数据泄露的主要原因。超过20%的人每年至少会被网络钓鱼攻击钓中一次。
拒绝服务攻击也是老问题了。DDoS攻击可能影响到任何人，且常用于掩护正在进行的其他数据泄露行动。但只要部署了恰当的DDoS缓解策略，此类攻击也不是不可控的。
大部分攻击都是外部人所为：27%牵涉内部人员；2%涉及合作伙伴；2%与多个合作伙伴有关。有组织犯罪团伙依然占据了DBIR所分析攻击事件的半壁江山。
超过2/3(68%)的数据泄露在事发后几个月或更长时间才被发现。
今年的DBIR对65个国家的5.3万起安全事件和2216起数据泄露进行了分析。其结论来自于过去12个月里威瑞森和大量第三方贡献者对现实世界真实数据泄露的分析。
DBIR常规贡献者包括美国特情局、英国密许康德雷亚律师事务所( Mishcon de Reya )、英国保险商邱博(Chubb)和爱尔兰报告及信息安全服务( IRISS CERT )等。
行业细分风险概况
今年的报告突出了各行业面临的最大威胁，并提出了响应的风险缓解建议：
- 教育行业：
谋求个人信息用于身份欺诈的社会工程攻击风险很高。高敏感度的研究也面临风险，其中20%是出于情报窃取动机。11%的攻击则是恶作剧类型而非为了牟利。
- 金融保险业：
安装在ATM机上的支付卡信息刮取器依然盛行；但通过恶意软件或硬件指示ATM吐钞的攻击案例持续上升。DDoS攻击也是金融保险业的一大威胁。
- 医疗行业：
内部威胁高于外部威胁的唯一一个行业。人为失误是医疗行业风险的主要原因。
- 公共事业：
网络间谍仍是公共事业领域的一大顾虑，43%的数据泄露是出于谍报目的。但国家机密并非唯一的目标；个人数据也在黑客视线内。
报告阅读：
https://www.verizonenterprise.com/verizon-insights-lab/dbir/
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
