2020年，新冠肺炎疫情肆虐全球，催化各行业加速数字化转型。数据的价值进一步凸显，数据泄露事件继续高频发生。企业面临巨大的资产和声誉损失，公众深受隐私暴露和骚扰及欺诈的困扰。安全419联合涂画信息梳理了2020年全球范围内发生的重大数据泄露事件，并根据当前形势给出了切实可行的安全建议，以期为数据安全建设尽绵薄之力。
【国内时间轴】2000年1月3日，中国电信2亿多条用户信息被出售。中国裁判文书网公布的《陈、陈亚华、蒋福干等侵犯公民个人信息罪二审刑事裁定书》显示，2013年至2016年9月27日，被告人陈亚华从100号信息服务有限公司数据库中获取不同行业、地区的手机号码信息，提供给被告人陈、陈使用。2008年3月19日，微博5.38亿用户数据在暗网出售。有用户近日发现微博5.38亿条用户信息在暗网出售，其中1.72亿条为基本账户信息，价格为0.177比特币。涉及的账号信息包括用户ID、账号发布的微博数量、粉丝数量、关注人数、性别、地理位置等。对此，微博安全总监罗世珍回应称:“泄露的手机号是19年通过通讯录上传接口暴力匹配的，其余公开信息都是网上抓的。“4月16日，青岛胶州市中心医院6000余人名单泄露胶州政务网上当地市民反应。出入胶州市中心医院的数千人名单在微信朋友圈流传，涉及相关人员个人信息，严重影响其个人生活，被传感染新冠肺炎。根据网上文件，胶州市12个街道和乡镇列出了患者，包括他们的姓名、电话号码、身份证号码、详细的居住地址和治疗类型，涉及6685人。4月22日，多地数千名大学生隐私被泄露。4月24日，浙江某银行因泄露客户信息被罚款30万。4月27日，哔哩哔哩知名UPmaster“党妹”的数百G视频资料被盗。5月6日，中信银行非法泄露脱口秀艺人个人隐私。5月7日，5000多万条个人信息在5月20日的“暗网”中被倒卖。6月8日，郑州某民办高校近两万名学生信息被泄露。6月20日，蔡英文选举的秘密计划被黑客攻击泄露。7月1日，四川某装修公司花240万元购买业主信息。8月13日，6000多条“珍爱”账号信息被盗出售。9月7日，40万“内鬼”在童渊被泄露。破获一起侵犯公民个人信息案，涉案数据800多万条。12月2日，近20万团伙开发注册软件牟利被判刑。12月7日，一男子泄露成都某确诊女孩隐私信息，被警方处罚。12月14日，央视曝光简历信息，招聘平台成为简历信息泄露源头。12月21日，购买进口白虾的人信息被泄露【国外时间线】1月20日，路由器和物联网设备密码被泄露。一个黑客组织在一个流行的黑客论坛上公布了一份覆盖超过51.5万台服务器、家用路由器和物联网智能设备的远程登录凭据列表，其中包括每台设备的IP地址，以及Telnet服务的用户名和密码。1月30日，化妆品巨头雅诗兰黛泄露了4.4亿封邮件记录。一名安全研究员发现了暴露的数据库。他在数据库中找到了用户的邮箱，确定来源后立即尝试与雅诗兰黛取得联系。此次泄露共涉及440，336，852条记录，包括大量审计日志和电子邮件地址。2月11日，以色列640万选民的数据被泄露。以色列总理内塔尼亚胡领导的利库德集团开发的选举应用程序的配置错误，可能会潜在地暴露和破坏近650万以色列公民的个人数据。以色列媒体证实了这一事件，但尚不清楚被曝光的服务器和数据在被发现和公开披露之前是否被未经授权的人访问过。2月21日，米高梅酒店倾倒1060万旅客信息的数据被泄露。2月底，万豪国际又曝光了520万用户的数据。3月4日，国泰空泄露940万乘客信息。罚款500万港币。3月23日，英国一家安保公司泄露了50亿份安保记录。4月11日，麦哲伦健康遭到勒索软件攻击，数据泄露。4月14日，50万ZOOM用户凭据泄露。4月23日，2.67亿条脸书账户信息在暗网出售。2008年5月6日，超过100亿条敏感用户记录从成人网站泄露。0，000的账户信息在暗网被卖了。5月8日，4400万巴基斯坦移动用户的详细信息在网上泄露。5月19日，英国廉价航空空公司easyJet的数据泄露面临180亿英镑的巨额诉讼。5月26日，泰国移动运营商AIS云泄露83亿条上网记录。6月8日，WordPress数百万网站被盗。6月10日，印度BellTroX公司向客户提供黑客服务，7年间入侵了超过1万个电子邮件账户。6月19日，谷歌浏览器大规模泄露用户安全信息。6月22日，甲骨文公司泄露数字。100亿网络数据记录2008年7月16日多名美国名人和政客的推特账号被黑2008年7月25日任天堂泄露大量内部游戏和设备信息2008年8月8日英特尔20GB内部数据泄露2008年8月18日美国葡萄酒巨头白富门被盗超1TB数据2008年8月19日游戏硬件厂商Razer在线商店泄露大量用户数据2008年8月20日Gabriel。美国AI公司被曝泄露近260万医疗数据。8月25日，Freepik网站用户数据泄露，830万用户受到影响。9月10日，SK海力士和LG电子的大量机密信息被泄露。9月21日，美国金融犯罪执法网络局FinCEN的机密文件被泄露。10月15日，网上书店Barnes Noble被黑。2008年10月16日消费者邮箱和购买记录泄露2008年10月30日希腊电信巨头用户信息泄露2008年10月31日美国安泰人寿用户信息泄露2008年10月31日阿里旗下电商平台Lazada 110亿账户信息被黑客入侵2008年11月4日瑞典保险巨头Folksam data向谷歌泄露100万瑞典人信息，11月10日Facebook11泄露酒店客人个人数据，11月25日西班牙Prestige软件泄露， 基督教信仰应用Pray.com 12月4日泄露用户个人数据，巴西卫生部官网存在严重漏洞，2.43亿巴西人个人信息12月8日泄露，意大利国防巨头Leonardo S.p.A10GB机密数据12月泄露。 9月9日，富士康约1200台服务器面临常规业务文件和报表数据泄露；2000年12月16日，全球4500万张医学影像和照片在网上曝光；2000年12月22日，英国能源公司数据泄露，整个客户数据库受损【防数据泄露刻不容缓】。在这些真实生动的案例背后，大众被迫遭受隐私暴露、骚扰欺诈、商业数据资产流失、品牌信誉崩塌，有的甚至更为严重。防止数据泄露，保护数据安全迫在眉睫。涂画信息产品总监陈彬做了如下分析:在全球疫情中，安全管理松懈，攻击激增。对于几乎所有企业来说，2020年都将是充满挑战的一年。新冠肺炎病毒的猖獗传播引发了一场健康危机，导致了全球经济的毁灭。许多恶意行为者利用混乱的局势来攻击网络安全，并通过出售各种私人数据来获利。因此，与往年相比，今年数据泄露和监管罚款的频率和严重程度更高。随着社会对数据安全的日益重视，如何保证数据安全将成为企业的重要任务之一。内部滥用和泄密明显增加，内部管理起着关键作用。根据IBM和Ponemon Institute的《2020年数据泄露成本报告》，52%的数据泄露是由恶意外来者造成的，另外25%是由系统故障和攻击造成的，23%是由人为错误造成的。客户的个人身份信息占所有数据泄露的80%，是最常丢失或被盗的记录类型。由于PII的敏感性，它是最有价值的数据类型，也是受数据保护法规保护最频繁的数据类型。医疗、金融等关键信息基础设施单位是重要的保护对象。近年来，医疗、酒店、公共部门、零售、金融等行业频繁发生数据泄露事件，造成相关企业严重的声誉损失和经济损失。作为企业，应该重点保护好自己的机密数据和用户的隐私数据。事实证明，在某些行业，员工疏忽是数据泄露的一大原因。例如，位居榜首的是娱乐行业，其中34%的数据泄露是由粗心的员工造成的，其次是公共和消费产品领域，其中人为错误占数据泄露的28%。在医疗保健领域，尽管有严格的规定，但员工疏忽占所有数据泄露的27%。另一方面，在交通运输领域，只有13%的数据泄露是由人为错误造成的，而在零售和科技行业，这一比例高达17%。披露的违法成本太低，个人、企业、国家监管部门都要重视。面对新冠肺炎疫情造成的困难，恶意行为者总是在寻找机会来获利，所以我们必须重视网络安全。同时，虽然数据保护机构由于目前的情况表现出了宽容，但当他们发现他们完全无视数据保护要求时，他们没有实施令人垂涎的惩罚。这一现象表明，许多企业仍然将数据安全视为事后考虑。如今，数据安全已经成为企业运营的关键部分，不容忽视。无论是国内还是国外，都出台了保障数据安全的法律法规。尤其是2020年国内数据安全法和个人信息保护法的相继颁布，为我们的信息保护注入了一剂强心针，提升了安全管理，让企业和个人远离了数据泄露带来的巨大成本。当国家监管趋严时，要用法律来夯实保护公民个人信息的安全防线；当数据泄露频繁发生时，数据安全形势面临着内忧外患、防护效率低下等多重挑战。建议采取相关有效措施防止数据泄露:①从安全需求角度看，随着社会的快速发展，数据的安全性越来越受到重视，不法分子的攻击手段也层出不穷。带有权威和枷锁的传统数据保护产品的性能逐渐不能满足企业的需求。此外，在数据保护体系建设之前，要进行数据治理，对数据进行分类分级，对企业数据资产进行完整梳理，对重要数据和敏感数据采取适当合理的管理和安全保护措施，规范数据资产的管理和保护，保障数据安全，促进数据共享。基于上述数据安全需求，具备智能内容识别能力的DLP产品应运而生。②从法律监管的角度，《网络安全法》规定，未经被收集人同意，不得向他人提供个人信息。《数据安全管理办法》还规定了数据使用、存储、传输等方面的防泄密措施。因此，DLP产品不仅可以满足企业自身的数据安全需求，还可以为行业合规管理和审计提供内控相关证据，提供基于合规审计的信息，帮助企业轻松满足审查、行业标准和数据安全监管的要求。③从产品用户体验来看，传统的磁盘加密和文件加密产品都是从源头上采取一刀切的方式来防止数据泄露。这种方式虽然安全性高，但会在一定程度上改变用户原有的操作习惯，影响业务效率，用户体验也不是很友好。而DLP产品可以通过内容深度识别，在多种场景下进行智能防护。对于用户来说，这种保护的存在是潜移默化的，也就是根本不改变原有的操作习惯，提升用户体验。④从企业IT管理的角度来看，大部分公司缺乏对敏感和机密数据的管控和审计能力，以保证公司的敏感和机密数据遵循统一的策略，保证共享开放过程中的数据安全。需要部署数据安全保护措施，防止敏感数据泄露对公司造成严重影响。DLP产品可以有效支持企业的IT管理，帮助内部网络标准化，降低IT管理人员的工作量和复杂性，从而优化IT环境。同时结合企业相关规章制度，满足数据安全管理的要求。
