全球公開數據安全事件形勢分析

以下基于《安全內參》平臺收錄的全球范圍內公開的數據安全重大新聞事件展 開全球數據安全形勢分析。

一、 事件類型

2023 年 1 月~12 月，《安全內參》共收錄全球政企機構重大數據安全新聞事件 246 起， 平均每月 20.5 起，其中，數據泄露事件為 166 起，占比 67.4%，泄露數據超過 51.8TB，共 計 103.8 億條。 數據安全事件主要包含數據泄露、數據破壞和數據篡改三大類型。其中，數據泄露問題 已經逐漸成為核心痛點。從過去 3 年間，在全球所有公開的重大數據安全事件中，數據泄露 事件的占比從 41.2%一路增長到 67.5%，而數據破壞事件的比例則從 42.0%下降到 11.4%。

造成數據泄露事件占比持續攀升的原因主要有兩個方面：首先，全球化的地下黑產數據 交易活動日趨頻繁和成熟，竊取和非法販賣數據不僅有利可圖，而且回報豐厚，從而推動了 數據泄露事件的持續高發。其次，數據泄露事件往往會給社會治安造成嚴重影響，因此也日 益受到媒體的關注。“附錄 2 2023 年全球數據泄露事件泄露數據排行榜”，給出了 2023 年全 球公開數據安全事件中，數據泄露數量最多的 10 個安全事件。

特別值得關注的是，勒索事件在所有數據安全事件中占比高達 27.2%，而且越來越多的 勒索團伙開始從加密勒索轉向數據勒索。傳統的勒索組織主要通過加密數據的方式向受害者 勒索贖金。2020 年以后，部分定向勒索組織開始采用加密勒索與數據勒索相結合的方式進 行雙重勒索，即勒索團伙在加密數據之前，先將大量商業機密數據竊取出來，如果受害者不 肯支付贖金，勒索者不但不會向受害者提供解碼密鑰，還會威脅公開其竊取的商業機密數據。

但 2023 年的情況顯示，已經有越來越多的勒索活動完全放棄了加密數據的傳統攻擊方 式，而是轉為單純的以竊取機密數據并威脅公開的方式進行數據勒索。2023 年，全球贖金 最高的 10起勒索組織攻擊事件， 平均勒索贖金高達 2397 萬美元，其中 7 起事件都是單純的數據勒索事件。按照某些勒索團 伙的說法，放棄加密數據的攻擊方式，可以盡可能的減小勒索活動對社會面的影響，即在不 直接影響生產的情況下完成勒索。數據勒索帶來的巨大收益很有可能會吸引越來越多的黑產 團伙參與其中。

二、 行業分布

2023 年 1 月~12 月，全球政企機構重大數據安全公開事件中，18.6%為政府機構；其次 是制造業，占比 15.9%為；生活服務行業排第三，占比 11.8%。

制造業的數據安全問題應當引起特別的關注。傳統制造業企業很少產生數據，也很少收 集、存儲和計算數據。但智能制造技術的持續發展，使得部分制造業企業的生產過程全面數 字化。特別是智能汽車、智慧安防、智能家居、可穿戴設備等新型聯網工業品的普及，使得 相關制造業企業逐步轉型成為重要的數據收集者和數據運營者，并且這些數據中往往包含大 量的用戶個人信息，數據一旦泄露，會嚴重危害公共安全。

三、 事發原因

從 2023 年 1 月~2023 年 12 月，政企機構重大數據安全事件發生的原因來看，將近八成 安全事件是由于外部攻擊導致的，但也有 8.0%的重大數據安全事件是由于政企機構存在內 鬼。 存在漏洞是數據安全事件發生的重要原因之一。如果網絡應用或系統存在安全漏洞，攻 擊者可以通過注入惡意代碼、反序列化、權限繞過等方式利用漏洞獲取用戶敏感信息，或通 過發起拒絕服務攻擊超負荷消耗系統資源，使其無法正常運行或提供服務，對企業造成嚴重 影響。

內鬼作案也是數據安全事件發生的重要途徑。我們不僅要防外也要防內，做好數據操作 的審計，防止非授權信息讀取，防止越權的敏感信息讀取，包括一些過度的數據讀取其實也 是一種泄露，比如：在辦一些業務的時候本來只用知道該用戶的姓名、性別及年齡，但是在 相關資料上還能看到其聯系方式、工作單位等信息，這樣的過度讀取或者暴露個人信息的行 為也不合適。

從攻擊者目的來看，60.2%的外部威脅目的為數據竊取；其次為數據破壞， 占比 11.4%。 綜合數據安全事件類型與發生原因來看，72.7%的數據泄露事件由外部威脅導致。外部 威脅（外部攻擊）是造成數據泄露、數據破壞與數據篡改的最主要原因。 可見，外部威脅是數據安全事件發生的最大威脅。

四、 事件影響

根據數據的敏感度，我們把政企機構泄露的信息劃分為以下幾個類型： 1）個人信息：公民個人身份、賬號卡號及行為信息等數據，主要包括：姓名、身份證、 性別、婚姻狀況、固定資產、電話、地址、郵箱、賬號、密碼、工作、出行、防疫、保險信 息等。本節包括實名信息（如姓名、電話、身份證、銀行卡、家庭住址等信息）、賬號密碼 （如：各類網站登陸賬號密碼、游戲賬號密碼、電子郵箱賬號密碼等）、行為數據、保單信 息、人臉指紋等個人信息。 2）商業機密：企業經營活動中的商業機密信息，主要包括：客戶信息、員工信息、投 資人信息、經銷商信息、業務合同、工程項目、內部報告、研究成果、核心數據庫數據等。 3）政府機密：有關政府部門的內部機密信息，主要包括：郵件、會議、重大項目、重 要文件、國家事務決策文件等信息。 4）軟件源代碼：企業開發的軟件或網站系統平臺的源代碼，一般屬于企業的核心研發 機密。

5）用戶數據：用戶使用互聯網軟件或服務時，產生或存儲的個人信息以外的其他數據。 從 2023 年 1 月~2023 年 12 月全球重大數據安全事件發生的主要類型來看，44.1%的事 件涉及個人信息；26.8%的事件涉及商業機密；9.1%的事件涉及政府機密。具體分布如下圖 所示。

從安全事件泄露數據的數據包大小來看，商業機密類信息泄露數據規模最大，至少有超 過 41586.5GB 的數據被泄露，占比 78.9%；個人信息緊隨其后，有 8365GB 的個人信息被泄 露，占比 15.9%；政府機密排名第三，占比 6.4%。

從安全事件泄露數據的數據條數來看，全球范圍內，僅數據泄露大事件提及到的被泄露 的個人信息便有 99.3 億條；政府機密 11.0 億條；商業機密 2.5 億條。