陳根： 防不住的數據盜竊，是網絡時代的安全風暴_風聞

文/陳根

當前，網絡安全已成為備受關注的一大熱點話題。隨着網絡系統日益互聯，網絡引發的威脅激增。這些威脅包括主要針對關鍵基礎設施的網絡威脅，以及網絡犯罪分子使用勒索軟件敲詐個人或以阻斷敏感信息相威脅等等，美國馬里蘭大學A.JamesClark工程學院的科學家們對網絡攻擊的研究顯示，所有連接到網絡的計算機平均起來大約每39秒就會受到一次攻擊。

近來，黑客組織Lapsus$更是活躍在各大科技巨頭的網站：竊取英偉達近1TB的數據、泄露三星近190GB的機密數據、公佈微軟Bing和Cortana源碼等等，儘管世界各地的企業都在部署新的網絡安全工具來抵禦這些頑固的攻擊者，但網絡犯罪分子仍在夜以繼日地尋找新的和改進的方法來繞過這些工具，感染軟件和硬件。數字時代的幕布下，黑客攻擊和網絡安全是一場無盡的戰爭。 

黑客組織Lapsus$

先來看看近日頻繁出沒的黑客組織Lapsus$。具體來看，Lapsus$是一個數據勒索黑客組織，他們不會在受害者的設備上安裝勒索軟件，**但是他們通過破壞公司系統，竊取源代碼、客户名單、數據庫和其他有價值的數據。**然後，他們試圖以贖金勒索受害者，要求不公開泄露數據。

在過去的幾個月裏，Lapsus$已經披露了大量針對大公司的網絡攻擊，其中就包括已證實的針對英偉達、三星、沃達豐（Vodafone）、知名遊戲廠商育碧（Ubisoft）和在線商務平台Mercado Libre的網絡攻擊。

**其中，英偉達則是Lapsus$**成功攻擊的第一家科技巨頭。2月26日，英國《每日電訊報》最先報道了英偉達被黑的消息，之後英偉達承認在2月23日遭到了黑客攻擊。黑客組織Lapsus$聲稱對此次攻擊負責，還表示已擁有1TB的英偉達專有數據，並上傳了員工的郵箱和密碼。

隨後**，Lapsus$就在Telegram羣裏泄露了一個名為****“integdev_gpu_drv.rar”**的文件，接近20GB，不過下載地址已經被封。但是已經下載到數據的網友對內容進行分析，發現了許多重要數據。

比如，英偉達將發佈的40系列顯卡中的旗艦代號AD102，具有384位總線、顯存24GB，二級緩存來到了96MB。英偉達的超分辨率技術DLSS的頭文件也遭到泄露。Lapsus$還掌握了7.1萬名英偉達員工的電子郵件和密碼，這使得英偉達被迫在內部要求員工更新密碼。

**對於此，**竊取英偉達1TB數據的Lapsus$則提出一項要求：必須在美國時間3月4日（北京時間5日下午4點）結束前，完全開源Windows、macOS、Linux系統的GPU驅動，否則就把機密數據公之於眾。

同樣遭遇數據盜竊的還有三星**，據BleepingComputer報道，Lapsus$還公佈了大量三星的機密數據。**其中包括：三星TrustZone環境中安裝的每個受信任小程序 (TA) 的源代碼，用於硬件加密、二進制加密、訪問控制等；所有生物特徵解鎖操作的算法；所有最新三星設備的引導加載程序源代碼；來自高通的機密源代碼；三星激活服務器的源代碼；用於授權和驗證三星賬户的技術的完整源代碼。

Lapsus$將竊取數據拆分為三個壓縮文件，這些文件增加了近 190GB，並以torrent形式提供，其中包括400多項內容。Lapsus$還表示，將提供更多服務器以提高下載速度。

不僅如此，近日，彭博社爆出消息，2021年年中，Meta和蘋果曾被黑客騙取用户數據，包括家庭住址、電話號碼以及IP地址等信息。而騙取Meta和蘋果用户數據的黑客，正是Lapsus$。

據悉，巨頭們被騙，是因為黑客披上了執法人員的馬甲。黑客先是攻擊執法部門的電子郵件，向蘋果、Meta、Snap等公司發出緊急數據請求，再配上讓人無法拒絕的“等不了法官的命令，因為遇到了生死攸關的緊急問題”話術，順利將用户數據騙到手。

通常來説，執法部門向科技公司索要數據用於刑事調查是常規操作，這需要法院的傳票和搜查令，但涉及到嚴重人身傷害或死亡的緊急情況，則可以豁免。“緊急情況”由此成了黑客攻破科技巨頭的一大漏洞。

更令人大跌眼鏡的是，調查發現，黑客組織Lapsus$中，7名成員都是未成年人，其頭目是英國一名16歲的少年，代號White，患有自閉症。據BBC，這名少年已經通過黑客行動積累了1400萬美元財產。而當前，在Telegram上，Lapsus$的訂閲人數更是超過45000人。

網絡時代的安全風暴

面對黑客攻擊，巨頭們顯得也有些無可奈何。

**面對****Lapsus$****的數據盜竊，****英偉達嘗試過遠程加密數據，切斷Lapsus$內網等自救方式，只是最後因為Lapsus$有備份，並沒成功。**幾天後，Lapsus$轉移陣地，跟粉絲説：“別看英偉達了，進來看三星”。他們黑了三星的源代碼，甚至連和三星合作的高通都沒能躲過去。

蘋果則表示，在接到緊急數據請求後，他們可能會聯繫提出請求的執法人員，要求他們證明這個請求是合法的，“前提是它是從請求機構的官方電子郵件發送的。”Meta也在其官網寫道：“根據情況，我們可以自願向執法部門披露信息，如果我們有善意的理由相信該事項涉及嚴重人身傷害或死亡的緊迫風險的話。”

**然而，黑客組織Lapsus$偽造的緊急請求看起來卻是****相當合規。**據彭博社獲悉，黑客通過破壞執法部門的電子郵件系統，可能找到了一些合法的請求文件，並照着樣式偽造了假文件和假簽名。規範的文件、從官方郵箱發送、配上緊急的口吻，這次蘋果和Meta就這樣進入了Lapsus$的圈套。

**實際上，Lapsus$黑客組織的數據勒索也只是眾多黑客組織發起的網絡攻擊之一。**近年來，隨着網絡系統日益互聯，網絡引發的威脅激增，並造成眾大的損失。比如，2007年，熊貓燒香病毒肆虐中國網絡；2008年，Conficker蠕蟲病毒感染數千萬台電腦；2010年，百度遭史上最嚴重的黑客襲擊；2014年，索尼影業遭襲導致董事長下台；2015年，美國政府遭襲，僱員資料外泄。

美國馬里蘭大學A.JamesClark工程學院的科學家們對網絡攻擊的研究顯示，所有連接到網絡的計算機平均起來大約每39秒就會受到一次攻擊。

據美國媒體報道，美國國會、政府大多數部門、企業和大學等，是黑客攻擊的主要目標。事實上，任何與互聯網有聯繫、有值得破壞和竊取的信息的組織，都可能成為黑客攻擊的對象，而這將對國家政治安全帶來嚴重威脅。

此外，歐洲和美國一系列網絡主權的宣言和行動，也凸顯了網絡安全挑戰在全球範圍內正在發生的深刻變化。

顯然，通過互聯網進行的信息竊取和信息破壞活動，已成為網絡時代網絡安全面臨的一個新威脅。**可以説，對於網絡安全的攻防已經****成為互聯網戰場的持久戰。**而發動網絡攻擊的主體，除了黑客個人或組織，還有屬於國家的間諜機構，網絡攻擊的對象，則包括政府部門、軍事單位等權力要害部門，以及重要企業、科研機構、社會組織等民間性質的單位。

守住網絡安全

與頻繁受到網絡攻擊相反，現階段**，我們的網絡系統依舊脆弱，大數據安全依舊是全球性問題，並且是接下來長期存在着的****一種挑戰。**

一方面，數據經濟發展特性使得數據在不同主體間的流通和加工成為不可避免的趨勢，由此也打破了數據安全管理邊界，弱化了管理主體風險控制能力。

另一方面，隨着數據資源商業價值的凸顯，針對數據的攻擊、竊取、濫用、劫持等活動持續氾濫，並呈現出產業化、高科技化和跨國化等特性，對國家的數據生態治理水平和組織的數據安全管理能力提出全新挑戰。

網絡安全是一個龐大的系統工程，構建這個系統則需要以全球的深度連接為基礎。**面對網絡時代的安全風暴，從技術角度來看，**只有在綜合的技術運用下，理解信息泄露及其中的關聯，弄清黑客如何入侵系統，攻擊的路徑是什麼，又是哪個環節出現了問題。找出這些關聯，或者從因果關係圖譜角度進行分析，增加分析端的可解釋性，才有可能做到安全系統的突破。

對抗網絡安全的風險還需要擁有智慧的動態防禦能力，網絡安全的本質是攻防之間的對抗。在傳統的攻防模式中，主動權往往掌握在網絡攻擊一方的手中，安全防禦力量只能被動接招。

但在未來的安全生態之下，各成員之間通過數據與技術互通、信息共享，實現彼此激發，自動升級安全防禦能力甚至一定程度的預判威脅能力。

此外，面對網絡安全的風暴，還需要****全社會參與和協作。隨着信息技術的創新發展，互聯網已經從簡單的娛樂、消費與信息交換工具，轉向具有更復雜的思想表達與政治參與功能，網絡已經滲入社會和生產的方方面面，而網絡安全自然也涉及到社會生活和生產的方方面面。

“網絡安全人人有責”並非一句口號，而是應對網絡安全防線過長、網絡安全威脅主體多樣化的有力保障。政府、企業、技術社羣、公民、組織等既擔負應盡的責任，更要形成合力，相互配合。

最後**，還應完善國際治理**。面對網絡安全這一複雜的全球性挑戰，國際社會既要堅持聯合國框架下基於規則的國際治理體系，秉承尊重主權、和平解決爭端等《聯合國憲章》的精神，通過共商實現共治；同時還要積極創新，通過協商處置一些新出現的具體事件，探索國際法原則在網絡空間的落地實施，探索真正適應技術發展、利於享受技術紅利的新國際治理框架。

守住網絡安全，就是網絡時代下的勝利。