Tag: 资料泄露

（■宜家加拿大公司证实，可能有约9.5万名顾客个人资料外泄。星报资料图片）   【加拿大都市网】宜家加拿大公司(IKEA Canada)证实，可能有大约9.5万名顾客的个人资料遭外泄，该公司已向加拿大私隐专员报告此事。 该公司在发给CP24的声明中表示，在今年3月1日至3日，该公司一名员工使用IKEA顾客数据库进行“一般搜索”，在结果中出现了顾客的个人信息。不过该公司强调，外泄的信息没有包括顾客的银行信息或其他财务信息。 该公司在声明中表示，“IKEA极度重视顾客的个人信息安全。作为预防性手段，我们已向加拿大私隐专员办公室通告了此次事件，并通知了所有受影响的顾客。我们也检讨及更新了内部程序，以防止类似事件再度发生。目前不需要顾客采取任何行动。” 在给受影响顾客的通报信中，IKEA加拿大分公司表示外泄的数据，可能包括顾客姓名、电邮地址、电话号码和邮编。此外，属于顾客的IKEA家庭积分卡号码(Family loyalty program number)也可能被曝露。

【加拿大都市网】杜咸区教育局，无意中将大约800名未有接种疫苗，或不愿申报疫苗接种状况的员工名单，透过电子邮件传给近400人；杜咸区教育局发现后随即作出道歉。 杜咸区教育局于1月5日发出1封有关快速病毒检测的“常规电子邮件”时，连同私隐资料一起寄出。 该教育局表示，该些私隐资料，主要是大约800名未有接种疫苗，或不愿申报疫苗接种状况的员工名单。 杜咸区教育局表示，当意识到出现错误，已立即采取行动回收这封电子邮件；且强调，“事件不应该发生”，并承诺“将尽一切可能确保日后不会再发生”。 该教育局表示，已为涉及安全文件的员工提供额外培训，及审查处理敏感资料的做法。 杜咸区教育局的员工，必须申报疫苗接种状况，若果未有接种疫苗的员工，必须参与快速检测计划，及可以继续上班。 （图片：CTV） T02  

facebook近期爆出个人资料外泄，全球逾5亿用户资料遭上传至黑客论坛，现在连微软旗下专为职场人士设立的社交网站平台LinkedIn也传出私隐疑虑，约5亿名用户资料被放到黑客网站上拍卖。 网路安全新闻和研究网站Cyber News报道，有恶意人士窃取5亿名LinkedIn会员的公开资料，并且将这些数据放到黑客论坛上拍卖，包含用户ID、姓名、电子信箱、电话号码、性别、工作单位及其他社交媒体个人档案的连结等。 LinkedIn于8日发表官方声明表示，的确有会员资料被拿去拍卖的情形，但那些数据实际上是由许多网站和公司汇集而成，包括用户在LinkedIn公开让大家检视的个人资料。 LinkedIn强调，这不算是资料外泄事件，因为没有发现私密帐户数据被外泄，不过官方也警告，任意窃取或滥用会员数据都违反其服务条款，一经发现公司将会追究法律责任。 2003年创立的LinkedIn为人才社交网站，在2016年以262亿美元的价格卖给了微软，该平台有来自150个国家的6.75亿名注册用户，意味着此次遭黑客兜售的会员资料，约占LinkedIn总会员数的3/4。

一项针对加拿大税务局(Canada Revenue Agency，简称CRA) 泄露民众资料的集体诉讼，于8月24日在温哥华入禀联邦法院。兴讼者指超过14,500名申请新冠紧急救助的国民资料，因CRA数据被黑客攻击而被盗，令受害入在疫情期间遭受双重打击。CRA应对此负责并向受害者提供赔偿。 加拿大广播公司(CBC)报道，集体诉讼请求指，联邦政府和CRA的一连串失误，导致CRA数据库在今年3月中旬至8月中旬期间，3次遭黑客攻击。但是直到8月15日CBC就此作出报道，公众才首次得知此事。国库局 (The Treasury Board)和CRA于8月17日召开记者会，证实曾经受黑客攻击。 文件指由于联邦政府迟迟未能发现遭黑客攻击，导致受害人数不断增加。大多数受害人都是近期曾经申请加拿大紧急援助金(Canadian Emergency Relief Benefit，CERB)和加拿大学生紧急援助金(Canadian Emergency Student Benefit，CESB)的国民。这两项福利金每项每月最多可以领取2,000元。 文件指14,500位国民的个人资料和银行信息被盗，包括他们的社保(SIN)号码，家庭住址、银行账户详细资料及税务资料等。黑客并使用这些信息假冒受害人身份，更改其住址和指定福利金直接存款的银行户口信息，令本应由受害人领取的福利金被转到黑客指定的户口中。黑客还使用盗来的个人信息假冒受害人去申请紧急救助金。受害人就上述损失向政府提出索偿。 当局未向法庭提交答辩 CRA和联邦政府还没有就该集体索偿行动向法庭提交答辩。CRA早前表示，这些网上攻击行动是由于一些软件的安全漏洞而造成。CRA直到8月7日才首次意识到被黑客攻击。本月24日入禀温哥华联邦法院的集体诉讼文件指，政府和CRA疏忽导致民众个人资料被盗。 “CRA的行为值得谴责”入禀状称，“其行为显示出对受害人权益的无情蔑视。蓄意违反了正常的行为标准，理应受到惩罚”，且令受害人在疫情期间的处境雪上加霜。他们的紧急援助金申请因事件调查而被冻结，加重经济负担；还要终身对抗因身份被盗而带来的困扰和损失。 如果集体诉讼请被法院接纳，诉讼将代表所有14,500名受害人向政府提出索偿，包括他们信用评级受损带来的损失；监视信用情况而带来的持续花费，以及由此造成的心理痛苦、压力和焦虑。不过法院尚未就这一诉讼请求确定开庭日期，所有的指控未经法庭证实。

■入侵Capital One盗亿人资料 美国跨性别女黑客落网 　　(星岛日报报道)美国第七大商业银行、主要信用卡发行商“第一资本”（Capital One）金融公司的信用卡应用程式和帐户被黑客入侵，估计美国和加拿大有一亿零六百万人申请信用卡的个人资料被盗取。联邦调查局（FBI）周一拘捕一名涉案的跨性别女黑客，控告她不正当使用电脑及诈骗罪名。这名女黑客是华盛顿州的一名软件工程师，曾任职网络巨企亚马逊。 　　被捕的三十三岁女子名叫汤普森（Paige Thompson），网名“erratic”，自称跨性别，她曾经在亚马逊公司担任网络服务工程师。汤普森周一在西雅图地方法院提堂，法官下令继续把她还柙看管，周四再出庭，到时再决定是否批准她保释。若罪名成立，她最多可判监五年及罚款二十五万美元。 　　这是美国近年其中一宗最大规模的黑客入侵事件，第一资本发表声明承认电脑系统失守，行政总裁费尔班克向受影响的客户道歉。初步估计，美国有大约一亿人受到影响，加拿大也有六百万人。 　　主要信用卡发行商 　　检方称，汤普森利用第一资本系统防火墙的漏洞，通过攻击该银行租借的云计算服务器进入数据库。据报亚马逊正是第一资本的云端服务供应商，CNN说，汤普森曾在美国代码存放网站和开源社区Github上放出她窃取的数据。被盗取的数据主要是二〇〇五年至二〇一九年初期间，个人客户以及小型企业在申请信用卡时提交的各项资料，其中包括约十四万个社会安全号码和约八万个银行帐户号码，以及一部分用户的信用评分和交易记录，信用卡帐户号码或登入验证则未受威胁。第一资本答应为受影响的客户提供免费信贷监察服务。 　　当局接到举报后，FBI介入调查，并掌握线索于本周一突击搜查汤普森的寓所，取走一批电子装置。探员在屋内搜获一批关于第一资本和其他机构的档案文件，不排除她也试图把那些机构列作攻击目标。  　　总部设在密歇根州麦克莱恩市的第一资本于周一证实，其系统于七月十九日被入侵，公司已即时采取行动，向执法部门求助及追查到施袭者的身分。根据FBI提供的资料，事发前两天，有客户曾发电到邮到该银行，事后向联调局举报，声称在微软集团的旗下的GitHub原码网站内发现自己的个人资料，才知道资料外泄。据称汤普森曾在网上吹嘘盗取有关数据，促成FBI迅速锁定疑犯。 　　FBI指出，大约一个月前，一个名叫“erratic”的Twitter用户直接向第一资本发出讯息，警告会把该公司客户的个人资料包括姓名、出生日期和社会保障号码公诸于世。erratic在其中一段讯息中写道：“我基本上已穿上了一套炸弹背心，（粗言秽语）向第一资本投弹，然后承认。”第一资本表示，那些外泄资料被人作诈骗用途的可能性不大，但会继续进行调查。

■■德信集团总裁卡米尔，周四在记者会讲述事件经过。加通社 以魁省为基地的金融机构德信集团（Desjardins Group)周四在记者会上讲述事情经过：一位前员工将近290万名客户（即逾40%客户）的资料，恶意泄露给集团以外的人士，包括270万名个人用户及17.3万个商业客户。 德信集团表示，个人用户被泄露的资料，包括姓名、出生日期、社会保险号码（Social Insurance Number）、地址、电话号码、电邮地址以及银行资料等，但密码、安全问题和个人识别号码等则未被泄露出去。被泄露的商业客户信息则包括公司名称、地址、电话号码及东主名字等。 集团还表示，这一漏洞最早于去年12月被发现，一名员工未经授权非法使用了内部数据，造成这一后果。该员工已经被解雇，不过，德信集团并未透露该员工的身份。 警曾拘留男疑犯 并未落案 集团称，这一影响到其4成客户的事件，并非网络攻击的结果，其电脑系统亦未受到外界攻击。 集团总裁兼行政总裁卡米尔（Guy Cormier），周四在记者会上对事件的发生表示遗憾，称这种情况完全不可接受，是一种恶意违法行为。集团将尽一切努力确保此类事件不再发生。目前德信正与警方合作，并将采取更多安全措施。他表示，自去年12月发现“非正常情况”后，公司就报了警。今年5月底，警方称该机构部分客户受到影响，6月14日又证实更大量客户牵涉其中。 魁省拉瓦尔(Laval)警方称，曾拘留一名男性嫌犯，但后来未再羁押，也没有落案检控。 对于那些资料遭泄露的客户，德信集团将提供一年免费信用监控计划和身份盗窃保险。 本报综合报道

手提电话电讯公司Freedom Mobile周二证实，由3月底到4月底曾发生资料外泄，但表示受影响人数不如外间估计逾百万那么多，只有15,000客户受影响。 据加通社报道，网站vpnMentor研究员早前披露，总部设在卡加利，网络覆蓋安省、亚省和卑诗省的Freedom Mobile，资料出现外泄，曾在4月17日、18日及23日通知该公司，但直至4月24日才得到该公司回应。 称新外判公司出问题 vpnMentor根据假设，黑客可以接触Freedom客户数据库的未加密资料，指有150万客户受影响。不过，Freedom在一份声明中表示，150万客户受影响的假设是不正确。该公司称，他们的调查证实外泄在3月25日开始，受影响的资料是由一间新外判机构Apptium Technologies处理。Apptium Technologies是被聘用作为提高零售客户支援的效率。 Freedom在声明称：“只是这间第三方机构出现保安外泄，Freedom Mobile或(其母公司)Shaw Communications的内部系统没有受到影响。”声明称，外泄影响范围包括17间零售店，在直至4月15日开户或更改户口，或在4月16日更改原先已开户口的客户。更称问题已在4月23日前得到修复。 Freedom表示至周二止，仍未有证据显示有任何资料遭到非法使用，又表示会进行全面影响的调查。被问到为何不早些公布，Freedom解释他们需要时间与第三方机构证实细节。 综合报道 图片来源：Pixabay

■亚马逊对资料泄露以及员工受贿现象进行调查。路透社资料图片   9月份时，《华尔街日报》曾报道称，亚马逊已经对资料泄露以及员工受贿现象进行调查。知情人士表示，自此之后，公司相继在美国和印度解雇了一些员工，据称这部分员工以不正当手段获取了内部资料，并将资料交由这些为人所不齿的商家使用。 近几周时间里，亚马逊删除了几千个可疑的评价，限制商家在其网站上获取顾客资料并扼杀一些能让实际产品价格高于搜索结果的技术。 一位亚马逊发言人表示公司正在积极追查那些试图在网站上伤害卖家利益的人，他们会利用包括机器学习在内的工具在卑劣行为发生之前就将其遮罩。 不论你位于世界何地，亚马逊希望能将你想要的一切送到你的家门口。但是这家电商巨头在建立全球帝国的过程中面临不少挑战。华尔街日报的Karan Deep Singh缕清了一些基础性问题。“如果有坏人试图滥用我们的系统，我们会很快采取行动，包括停用其商家帐号、删除评价、拒付资金、采取法律措施并与执法部门合作。”她补充道。 然而，对于恶劣行为的严厉打击并未阻止部分商家中伤其同行。最近有一连串商家反映称竞争对手会恶意将其产品标注为假货或侵犯版权，促使亚马逊暂时将产品从网站上下架，直到网站完成评估。 知情人士表示，卖家也会在黑市上购买亚马逊的批发商帐号，从而获取商品列表情况。亚马逊的Vendor Central系统旨在让所有批发商可以编辑产品列表，从而确保产品能够准确进行行销。但是一些卖家会滥用其帐号来篡改竞争对手的产品页面，比如说将图片更换为与产品无关的事物。 知情人士透露，一些中国企业会将批发商的帐号以1.5万美元的价格出售或是最多以每月1500美元出租。 根据电商数据公司Marketplace Pulse的资料统计，大约有三百万个商家会在亚马逊上出售产品。据Adobe Analytics统计，今年，美国购物者网上购物花费的金额高达1241亿美元，同比去年高出15%。该分析预测，大约有一半的花费是在亚马逊上进行的。 卖家之间的竞争在全是重要节日的季节又进一步加剧了，导致Vendor Central平台出现攻击事件。 亚马逊上的一位卖家Ankit Jain表示店里最受欢迎的美人鱼亮片抱枕在11月中旬被误归为成人产品，这就意味着它不会再出现在亚马逊的大多数搜索结果中。Jain表示他已经成功劝说亚马逊将其归为正确的产品类别。 Jain如今在印度已经安排了自己的团队，每隔三分钟时间就会监控自己的产品列表，在其产品受到攻击时，他们就可以立刻向亚马逊汇报。他估计这种错误归类让其在早期的节日季节销售中损失近20%。 7月，《华尔街日报》曾报道为了智胜亚马逊的自动系统，卖家会采取多种方式。该系统主要是在搜索结果中为五亿产品进行排名。卖家通常采用的策略包括利用过于积极或消极的评价来攻击对手的产品列表并且反复点击产品链结，试图让亚马逊的算法将其排在搜索结果前面。 目前，亚马逊正在印度调查内部人员受贿事宜，据悉员工资料泄露主要是发生在印度。在印度以及中国担任客户支援岗位的一些亚马逊员工表示他们之前能够在内部数据库中搜索资料，包括特定的的产品情况或是流行关键字，如今这一能力已经被严格限制。印度的一些员工也不再能使用其USB下载这类资料。

图片来源：国泰官网 10月25日，国泰航空公司公开表示，该公司发现若干资讯系统曾被未获授权取览，里面有约940万乘客的资料。外泄信息，包括乘客姓名、国籍、出生日期、电话号码、电邮、地址、护照号码、身分证号码，以及过往的飞行记录资料等。 此外，有403张已逾期的信用卡号码曾被不当取览；另有27张无安全码的信用卡号码曾被不当取览。每位受影响的乘客被不当取览的资料有所不同。 这是在国泰航空进行资讯安保检测过程中发现的情况。国泰航空方面表示，受影响的资讯系统与国泰航空的航班运作系统为两个完全独立的系统，此次事件不会对国泰航空的航班安全构成任何影响。 快报提醒 如果你是国泰航空会员，建立马上修改重要账号的密码，比如支付宝、网银。 国泰航空：已向香港警方报警 杭州办事处还未收到乘客相关投诉 快报记者第一时间联系了国泰航空杭州办事处并了解到，国泰航空已就事件通知香港警察，并正知会各有关当局。至于此次泄露个人资料是否有杭州乘客，工作人员表示：“目前为止，我们没有收到杭州这边客人来问相关事情。” 国泰航空方面表示，目前尚无证据显示有任何外泄个资曾被不当动用。而国泰航空行政总裁何杲在公告中表示：“我们对因此事件为乘客带来的忧虑深表歉意。我们已即时采取行动阻止事件发展，及由一家行业领先的网络安全公司协助下展开全面调查，同时进一步加强我们的资讯系统保安措施。” 乘客如何确认自己是否收到影响？ 订过国泰航空机票的乘客，如何确认自己是否受到影响？ 国泰称，正在通过不同途径联系受影响的乘客，并向他们提供保障个人资料的建议及步骤。 如果你没有收到国泰的通知，但认为可能受此次事件影响，可通过以下途径与国泰航空联络—— 国泰航空为处理事件设立了专属网站（infosecurity.cathaypacific.com），你可以在线递交查询表格，国泰将检查你的个人信息是否被未获授权访问，并会通过电子邮件向你确认。 你也可以在这个专属网站上自行查询，获得有关事件的资讯及保障个人资料的建议。 此外，国泰航空为处理事件设立的顾客专线，将于10月25日香港时间12:30起启用，中国大陆的免费客户服务热线为4001202436；如果用电邮的方式，可发送至infosecurity@cathaypacific.com。 以防个人信息被利用 建议马上修改重要账号密码 更重要的是，如果你是国泰航空会员，担心自己的信息泄露并被非法利用，建立马上修改重要账号的密码，比如支付宝、网银。 若被不法分子获得这批数据，对方可拿其中的用户名、密码，去批量尝试登陆支付宝、网银等，如果你当初注册的相关用户名、密码相同且未曾修改，就会中招。 来源：河南都市频道