大規模金融網絡罪案、國家相關的間諜活動成為網絡保安大敵 《報告》對資料竊匪及其動機提出新見解 「了解敵人、知己知彼」是有效防衛及回應的關鍵 Verizon 發表的《2013 年資料外洩調查報告》（Verizon 2013 Data Breach Investigations Report）顯示，大規模的金融網絡罪案，以及與國家相關的間諜活動是 2012 年網絡保安威脅的兩大元兇。《報告》顯示全部資料外洩個案中，75%主要因金錢利益而干犯的網絡罪行所致；與國家相關的間諜活動則佔第二位，與 20% 的資料外洩個案有關，當中包括旨在竊取機密資訊、交易秘密、技術資源等知識財產，還有關乎國家和經濟利益的網絡威脅。 《2013年資料外洩調查報告》亦發現，涉及黑客主義者（hacktivist）─ 因為意識形態動機，甚或純為尋求樂趣而從事網絡攻擊的人士的個案比例維持平穩，但被盜資料的數量卻有所下降。究其原因，是很多黑客主義者轉而採用分散式阻斷服務（distributed denial of service, DDoS）等其他方式，旨在阻礙系統或令其癱瘓，損害受襲方的業務和運作，同樣可以造成鉅大的成本損失。 《資料外洩調查報告》系列首席作者（Principal author of the Data Breach Investigations Report series）Wade Baker表示：「今時今日，資料外洩的威脅無孔不入，任何機構都無一倖免。雖然我們現在有工具應付網絡罪行，但重點其實是如何選擇合適的工具，並且要使用得宜。」 「換言之，即是要『知己知彼』：知道對手的動機和方法，並做好相應的防禦工作，而且絕不鬆懈。」 2012 年，資料外洩肆虐多個行業：37% 的個案對金融機構造成影響，24% 個案的受害者是零售商和食肆。兩成的網絡入侵個案涉及製造、運輸、公用事業等行業，亦有兩成個案肆虐資訊與專業服務公司。綜觀全部網絡攻擊，38% 在大型機構發生，肇事地點涉及全球 27 個國家。 Wade Baker 稱：「整體而言，我們見到林林總總的大規模資料外洩與其他網絡攻擊，在 2012 年最為惹人注目。」 2013 年是 Verizon 第六年發佈《資料外洩調查報告》，今年的《報告》涵蓋 621 宗已確認的資料外洩個案，以及超過 47,000 項保安問題匯報。此項調查計劃已歷時九年，至今已錄得逾 2,500 宗資料外洩個案，涉及 12 億項資料記錄受到牽連。Verizon 獲得全球十八間機構攜手合作，向本年的《報告》提供資料並協助分析。 Verizon Enterprise Solutions 首席平台主任（Chief Platform Officer）David Small 表示：「今年，為我們提供調查資料的合作夥伴數量增加超過三倍，深信《2013 年資料外洩調查報告》乃 Verizon 歷來對網絡保安情況最為完整的研究。一如既往，我們發表《資料外洩調查報告》旨在令全球更加警惕網絡罪案，幫助保安業界增強實力，對抗網絡罪行，同時協助政府機關和私營機構建構合適的保安計劃。」 《2013 年資料外洩調查報告》其他主要研究結果 外來攻擊依然是資料外洩的主要元兇：92% 個案由外部施襲所致，14% 由內部人士干犯。外來攻擊來自於有組織罪行、激進團體、機構的前僱員、獨行黑客，甚至由外國政府資助的組織所發動。業務夥伴與大約1%的資料外洩個案有關，情況與去年《報告》的結果一致。 就攻擊方法而言，黑客入侵是引起資料外洩的最主要方式。事實上，52% 資料外洩個案與黑客入侵有關。76% 網絡入侵個案經由防護力疲弱或被竊取的核實資料（用戶名稱／密碼）乘虛而入；四成個案涉及惡意程式（用來侵害資料的軟件、程式碼或編碼）；35% 由實質性攻擊引起（側錄自動櫃員機卡資料）；29% 個案以社交策略進行入侵（例如網絡釣魚）。 在 2012 年，涉及網絡釣魚等社交策略的資料外洩個案比例多出四倍。《報告》發現，情況與有目標的間諜活動廣泛採取社交策略作為攻擊手段有直接關係。 另外，資料外洩至發現（compromise-to-discovery）的時間線仍未能縮短，依然只能以月數和年數來計量。最後，大部分的資料外洩個案仍然是由第三方發現的（69%）。 http://www.verizonenterprise.com/DBIR/2013/ 《2013 年資料外洩調查報告》完整版本已上傳至作下載用途。一如以往，今年的《報告》亦提供多項建議，給不同規模的機構採納應用，以協助保障業務安全。 Verizon 完善保安解決方案保障企業安全 Verizon 經由雲端技術或實地支援，提供穩健可靠的管理保安和顧問服務，包括管治、風險與合規解決方案；身分與存取管理解決方案；跟進調查；資料保護服務；威脅管理服務，以及漏洞管理服務，透過雲端或設於逾 50 個國家的公司內協助機構保護其核心資產：資料。如欲獲取更多資料，請瀏覽 http://www.verizonenterprise.com/solutions/security/。 如欲得知環球頂尖保安研究人員對保安的最新見解和分析，請瀏覽securityblog.verizonbusiness.com 中的「Verizon 保安網誌」（Verizon Security Blog）。
