4006-555-883

几乎所有网络安全公司都在泄露敏感数据

发布时间:2020-09-09 17:18:00

  网络安全公司是网络空间最安全的公司吗?这个问题似乎有些多余,谁会请一个经常被人劫道殴打的镖局呢?



  前不久SANS在线安全教育平台的数据泄露也许只是一个“意外”,但下面这个报告也许会惊掉你的下巴。根据ImmuniWeb的一项新研究,几乎所有网络安全公司都在线暴露了包括PII(个人隐私信息)和密码在内的敏感数据。员工安全意识薄弱是造成这种糟糕局面的主要原因。


  报告调查了全球398个顶级安全供应商,然后检索了暗网、深网网站,包括黑客论坛和市场、WhatsApp群组、公共代码存储库以及社交网络等。


  报告声称,已发现经过验证的(来自网络安全公司的)敏感数据泄露事件超过63.1万次,其中这些“事件”中有17%具有重大风险。这意味着泄露数据包括使用纯文本密码的登录名,或者包括最近和/或唯一的数据泄漏(例如PII和财务记录)。


  图表1:网络安全公司敏感数据泄露全球统计,泄露事件数量前三名分别为美国、英国和加拿大,中国排名15


  总体而言,研究表明,PII和公司数据占所有泄露事件的一半(50%),其中账户凭据占30%,备份和转储占15%。


  同样令人担忧的是,泄露的密码中有29%是“弱密码”,即密码的字符数少于8个,没有大写字母,没有数字和特殊字符。接受调查的网络安全公司中,有41%的员工已在不同的被入侵系统上重复使用了密码,这使他们供职的企业面临进一步的潜在入侵风险。


  图表2:全球顶级网络安全公司员工最常用的弱密码


  该报告还显示,超过5100个账户出现在成人内容网站的数据泄露中,这意味着不少网络安全公司的员工堂而皇之地使用工作电子邮件在“P站”上进行了注册。


  总体而言,报告中研究的网络安全公司中有 97%被发现有敏感数据在线暴露,一些数据可以追溯到2012年,不过让人略感欣慰的是大多数事件的风险被分类为低(25%)或中(49%)。


  低风险是指“在组织中,其IT资产或员工在数据泄漏、样本或转储中没有附带敏感或机密信息的情况”,而中度风险可能包括加密密码或“中等”敏感数据,例如源代码或内部文档。


  除了数据泄露外,全球顶级网络安全公司自身的安全合规和web安全现状也让人揪心:

  超过一半的公司(63%)的主要网站未能满足这些PCI DSS要求,这意味着他们使用的是易受攻击或过时的软件(包括JS库和框架)或者没有启用WAF。

  191个网络安全公司网站(占48%)不符合GDPR要求,原因是软件易受攻击,缺少明显可见的隐私政策或Cookie包含PII或可追溯标识符时缺少cookie免责声明。

  最后,有91家网络安全公司网站发现了279个XSS漏洞,截至报告发表之日,已报告的漏洞中仍有26%尚未修复。

  ImmuniWeb首席执行官Ilia Kolochenko警告说:

  网络安全供应商这样的第三方越来越多地成为网络攻击的目标。


  2020年,攻击者也许不必花费高昂的零日漏洞费用,而是找到几个“狗洞”打开的网络安全供应商,轻松获得特权账户,并迅速攻破目标企业最薄弱的环节。


  【参考来源:安全牛】

最新发布
1
2月15日起施行!国家密码管理局等十三部门修订发布《网络安全审查办法》
2
近七成公众担心账号和个人信息泄露,维护网络安全任重道远
3
14.3亿!这家公司将面临比薇娅还高的罚款
4
形势将更严峻!DigiCert发布2022年度八大安全预测
5
频遭网络诈骗,是因为他们还不知道这个……
6
松下集团发生数据泄露 及时部署SSL证书保障信息安全
7
CA/B 论坛年终会议 | 新要求新前景 S/MIME证书和代码签名更新在即
8
All in 安全 电商之痛应当如何化解
9
CA/B三季度信息汇总:效率与安全并重
10
震惊!欧盟健康码疑遭泄露 天威诚信证书管理系统助力私钥安全
相关推荐
规范“人脸识别”,为盗刷者戴上“紧箍咒”
《贵州省人力资源社会保障厅关于推动落实〈电子劳动合同订立指引〉有关工作的通知》政策解读
震惊!欧盟健康码疑遭泄露 天威诚信证书管理系统助力私钥安全
CA/B三季度信息汇总:效率与安全并重
企业数字化转型,数据安全是关键!
不知道如何“不见面”招投标?天威诚信来帮你!
频遭网络诈骗,是因为他们还不知道这个……
形势将更严峻!DigiCert发布2022年度八大安全预测
《网络安全审查办法(修订草案征求意见稿)》解读
2月15日起施行!国家密码管理局等十三部门修订发布《网络安全审查办法》