探索中国CIO人才现状 | 第四季调研报告
Target泄漏事故内部报告:两年后浮出水面 意义何在?
2015-09-24  来源:techtarget

就在2013年Target数据泄漏的几天后,该零售商从电信巨头Verizon请了一名安全顾问来执行公司安全漏洞的内部调查。现在,调查出的漏洞已由一份内部报告公开出来……

Target数据泄漏事故因其影响范围之广(超过1亿的用户信用卡、卡号、户主、地址、邮件地址以及电话统统曝光)而成为信息安全史上的一座里程碑。虽然最初的入侵点是一个为攻击者所入侵的第三方HVAC供应商,但Target数据泄漏报告显示,一旦攻击者获得企业网络的访问权,将没有什么能够真正阻止他们通过网络并获取未经授权的访问。

新的报告揭示Target原有许多安全漏洞,包括使用较弱的及默认的密码,这些密码存储在多个服务器的一个文件中。根据报告的说法,一经接入,Verizon的安全顾问得以进入内部网络,甚至作为系统管理员在网络中自由移动。一周内,Verizon顾问能破解Target547,470个密码。

Verizon根据密码长度、基本单词、数字和大小写字母对公司的密码复杂度进行了排列,令人震惊的是,许多人共享相同的密码。根据报告显示,有4312人使用“Jan3009#”;3834人使用“sto$res1”;3762人使用 “train#5”等等。那些没有使用相同密码,不过却包含相同的基词:8670个密码使用“target";3050个密码使用 “summer”;3840个密码使用“train"。使用相同单词、符号和数字的密码越多,破解多个密码就越容易。

Verizon顾问指出Target的系统运行在过时的Web服务器软件上,要不就是缺少重要的安全补丁

根据报告显示,在接下来14年2月进行的外部渗透测试中,修复并未完全解决漏洞,不过之后修复过程有了重大改进。Target做出积极的改变,保护公司的基础设施,检测并封堵外部威胁。为了应对13的数据泄漏事故,Target实施了额外的网络安全措施,成立“网络融合中心”以应对潜在的攻击和风险。

目前,Target对该报告的真实性未置一辞。

在Target泄漏事故中,被偷的信用卡估计价值4亿美元。此外,Target为客户集体诉讼赔付1000万美元,并为信用卡和万事达卡的重启问题搭上更多。