Ing. Calogero Bono
日本厂商Iris Ohyama确认,其网店Iris Plaza所用的一项外部云服务遭到未授权访问。公司表示,约770万人的数据可能已被泄露。事件于10月28日发现,10月29日对外通报,网站随即暂停。它之所以值得关注,是因为它说明第三方云服务商可能成为电商平台最薄弱的环节。
在进入事实之前,先了解几个术语。 外部云服务是由第三方服务商而非企业自己管理的存储服务。哈希与加密是避免以明文保存密码的方法,但安全性取决于所选的具体方式。撞库攻击是指用泄露的邮箱和密码尝试登录其他服务。钓鱼是通过虚假邮件、电话或网站诱骗他人交出数据。勒索软件是索要赎金的攻击,目前这起事件中并未出现赎金要求。
Iris Ohyama到底发生了什么?
据BleepingComputer报道,公司在Iris Plaza的一项外部云服务中发现了一个可疑文件。它随即暂停了网店及相关系统,之后确认存在第三方未授权访问。
首次通报于10月29日发布。一周后,更详细的说明随之发布,TechRadar对此有所报道。公司已通知日本个人信息保护委员会和警方。
被入侵的云端存放了哪些数据?
据报道,涉及约580万名会员及已离开的会员,以及190万名非会员。对于会员而言,数据可能包括姓名、地址、电话、邮箱、性别、出生日期和密码。据TechRadar称,非会员的数据仅包括姓名、地址、电话和邮箱。
每个人的数据情况各不相同。例如,已离开的会员并未保留密码。公司称,信用卡数据不在涉事云服务之中。
加密后的密码就安全了吗?
并非完全安全。部分用户的密码经过了加密,但Iris Ohyama没有说明使用的是哪种方法。如果保护强度较弱,有人可能尝试离线破解,TechRadar对此也有所指出。
真正的风险在于那些在其他服务上使用相同密码的人。公司建议用户同时更改其他服务上的密码。这与Chainalysis所关注的问题类似,即密码哈希的安全性。
网店目前还能正常运营吗?
Iris Plaza的网站仍处于停摆状态,The Register报道称,公司尚未说明何时恢复上线。发货速度变慢,取消订单的客户可能需要在收货时拒收包裹。
Iris Plaza在乐天、雅虎购物和auPAY Market上的店铺仍在运营,目前尚未受到影响。Iris Tech Service的网站也已暂停。
需要了解的局限
数据是否真的被复制仍有待确认。据The Register报道,公司仍在调查,尚未确定入侵的完整范围。目前不清楚涉及哪家云服务商,攻击者又是如何进入系统的。没有任何团体宣称对此负责,也未出现赎金要求,截至11月5日也没有滥用相关数据的报告。这些数字未来仍可能发生变化。
这对数字化从业者意味着什么
如果你经营电商,应当把云服务商视为自身安全边界的一部分。请询问谁能访问客户数据,以及这些数据会保存多久。以本次事件为例,即便是已离开的会员和无账户的买家,其数据仍被存档。如果你处理个人数据,最好提前准备好中小企业的数据泄露与GDPR通报流程。网店停摆数日,损失的不只是销售额,还有品牌形象,因此也值得准备备用的销售渠道。
我们的看法
这起事件暴露了一个常见误区,即认为只要数据交由服务商保管就是安全的。对客户的责任仍然在企业自己身上。另外,公司没有说明密码是如何受到保护的,而这恰恰是客户最需要知道的细节。更清晰的沟通可以降低风险。与Smartbox遭攻击一案相似,客户如今只能自己猜测该怎么做。
常见问题
信用卡数据被盗了吗?
据公司称没有。Iris Ohyama表示,支付信息并未保存在涉事云服务中。但姓名、联系方式及其他个人信息仍存在风险。
有多少人受影响?
据公司称最多达770万人,其中约580万为会员及已离开的会员,另有190万为非会员。最终数字尚未确定。
是谁攻击了Iris Ohyama?
目前尚不清楚。公司告诉BleepingComputer,它没有收到任何直接联系或赎金要求。也没有团体宣称对攻击负责。
受影响的客户应该怎么做?
如果你在其他地方也使用同一密码,请立即更改。公司还提醒,要警惕模仿其身份的邮件、电话和虚假网站。不要点击通过短信收到的链接。
为什么云服务商会构成风险?
因为客户数据存放在你的系统之外。一旦服务商或其访问通道遭到入侵,影响就会落在客户企业身上。因此需要严格的访问控制,并尽量减少留存的数据。
Iris Plaza调查中值得关注的几点
接下来几周将揭示数据是否真的外泄,以及产业链中是哪一环先出了问题。
- 查看公司是否公开说明云服务商身份及密码保护方式。
- 关注Iris Plaza的重新开放日期以及是否向客户发出个别通知。
- 核查相关数据是否出现在犯罪论坛或钓鱼活动中。
来源
- techradar.com, Another huge data breach hits a major Japanese company — Iris Ohyama attack exposes info of 7.7 million customers
- theregister.com, Japanese homeware giant pulls online store after cloud breach puts 7.7M records at risk
- bleepingcomputer.com, Iris Ohyama data cloud breach exposes info of 7.7 million customers
