三大網絡安全威脅持續頻發

2022年上半年，全球重大網絡安全事件頻發，勒索軟件、數據泄露、黑客攻擊等層出不窮，且變得更具危害性。

隨着技術的不斷進步，網絡攻擊者的攻擊成本不斷降低，同時攻擊方式更加先進，美國《福布斯》網站在近日的報道中列出了2023年值得警惕的三大網絡安全威脅：網絡釣魚、惡意軟件、供應鏈攻擊。

◎本報記者 劉 霞

【今日視點】

人們永遠不能否認互聯網帶來的福祉，它使人們的生活變得更輕鬆、更簡單。但網絡世界也充滿了各種類型的威脅。2022年上半年，全球重大網絡安全事件頻發，勒索軟件、數據泄露、黑客攻擊等層出不窮，且變得更具危害性，比如今年1月份，美國布勞沃德公共衞生系統公佈了一起大規模數據泄露事件，超過130萬人受影響。

隨着技術的不斷進步，網絡攻擊者的攻擊成本不斷降低，同時攻擊方式更加先進，美國《福布斯》雙週刊網站在近日的報道中，列出了2023年值得警惕的三大網絡安全威脅：網絡釣魚、惡意軟件、供應鏈攻擊。

更多組織遭遇網絡釣魚

網絡釣魚仍然是全球面臨的重大網絡安全威脅之一。

網絡釣魚指通過大量發送聲稱來自於銀行或其他知名機構的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息的一種攻擊方式，其唯一目的是竊取個人或組織數據，包括登錄憑據和信用卡卡號等。

今年人們在媒體上看到的大多數成功的網絡攻擊，都是從網絡釣魚開始的。比如，美國《紐約時報》在今年9月份援引優步發言人的話報道稱，一名黑客入侵了該公司一名員工的辦公通訊應用程序，並利用它向優步員工發送消息，這名員工被説服交出了一個密碼，讓黑客得以進入優步內部系統。

今年3月底，有黑客組織偽裝成政府執法部門向互聯網公司套取用户數據，以發送虛假法庭傳票的方式獲取目標特許數據。數據勒索團伙成功入侵了微軟、英偉達、蘋果等巨頭內網竊取數據，包括用户的基本信息，如家庭住址、電話號碼、IP地址等。

今年4月，電子郵件營銷公司MailChimp披露其遭到黑客攻擊，黑客利用內部客户支持和賬户管理工具竊取用户數據，並進行網絡釣魚攻擊。

美國的一項研究顯示，與前一年相比，2021年有更多組織至少遭遇了一次基於電子郵件的網絡釣魚攻擊。這一趨勢預計將在2023年繼續。

軟件勒索事態惡化

惡意軟件是以惡意意圖編寫的軟件的統稱，包括病毒軟件、勒索軟件和間諜軟件。惡意軟件威脅可能會導致計算機系統、服務器或公司網絡中斷，還可能導致私人信息泄露。

目前，世界上最流行的惡意軟件攻擊類型之一就是勒索軟件攻擊。攻擊者獲得對信息或系統的未經授權訪問，或完全剝奪用户對信息的訪問權限，直到公司或用户向黑客支付一定金額的錢，才能恢復對數據的訪問或解密。

例如今年1月，美國新墨西哥州最大的縣就受到勒索軟件攻擊的影響，導致多個公共事業部門和政府辦公室系統下線，此次勒索軟件攻擊還致使監獄系統下線。今年2月底，全球芯片製造巨頭英偉達被曝遭到勒索軟件攻擊，入侵者成功訪問並在線泄露了員工私密信息及登錄數據，黑客向英偉達索取100萬美元的贖金和一定比例的未指明費用。

除了對系統的訪問被阻止外，實施惡意軟件攻擊的犯罪者還可能在網上發佈機密數據。比如今年3月，國際黑客組織“匿名者”宣佈，他們成功入侵了全球最大食品製造商雀巢公司的網絡，並披露了10吉字節的敏感數據，包括公司電子郵件、密碼和與商業客户相關的數據。相關數據顯示，2020年全球超過1000家公司因未向勒索軟件要求低頭而遭到數據泄露。

瑞士網絡安全公司Acronis此前發佈警告説：“勒索軟件事態正在惡化，甚至比我們預期的還要嚴重，預計到2023年，全球勒索軟件損失將超過300億美元。”

供應鏈攻擊呈爆發增長

《福布斯》雙週刊網站在報道中指出，許多公司花費時間和金錢來保護外圍和內部系統，但很少關注第三方——包括供應商、合作伙伴、承包商和服務提供商的網絡安全，網絡供應鏈攻擊因此趁虛而入。

供應鏈攻擊指的是對於供應鏈所發動的網絡攻擊。攻擊者會將供應鏈作為攻擊對象，先攻擊供應鏈中安全防護相對薄弱的企業，再利用供應鏈之間的相互連接，如軟件供應、開源應用等，將風險擴大至上下游企業，產生攻擊漣漪效應和巨大的破壞性。供應鏈攻擊的手段包括：利用第三方應用程序、利用開放源代碼庫中包含的漏洞等等。供應鏈攻擊往往牽涉到更多的企業，且更具破壞性，甚至會給整個行業帶來巨大的影響。

近年來，供應鏈攻擊事件呈現爆發增長的態勢，歐洲網絡和信息安全局發佈的《供應鏈攻擊的威脅分析》報告指出，和2020年相比，2021年供應鏈攻擊已經顯著提升。以色列一項研究表明，與2020年相比，2021年軟件供應鏈攻擊增長了300%以上，這一趨勢預計還會持續增加。