Verizon发布了《2014年度数据泄露调查报告》，报告中回顾了63737起赛博安全事件和1367起已经确认的数据泄漏事件。报告数据显示：由于数据库原因产生的信息泄漏高达25%。

赛博一词源于希腊语，意指在掌控或管治方面是很有技能的人、动物和任何东西。美国东西方研究所与莫斯科国立大学情报安全学院成立的联合工作小组在一份报告中指出，赛博是“信息”超集的一个子集，人们可以从这一“信息子集”中获得“利益”和“好处”。

2014年国内外都发生了哪些信息泄漏事件？这些事件的背后的深层技术原因是什么？ 

【2014.1 国内】 春运第一天12306爆用户信息泄露漏洞 

2014年铁路春运售票第一天，在经历了早上宕机1小时之后，12306铁路客户服务中心网站再次爆发用户账号串号的问题，大量用户身份证等信息遭泄露。 

下午15时左右，开始有网友在微博上反映，登陆自己帐号后可以看到他人的姓名、身份证号码、手机号码等信息。 

下午17时34分，新版12306网站出现用户资料大量泄露的漏洞，并表明危害等级为高。 

造成此次串号的原因可能有以下原因： 

1、访问流量过大，导致其账号体系出现异常； 

2、12306网站新版的代码不稳定，存在bug，系统有漏洞； 

3、12306网站的新版和旧版后台出现了兼容性问题； 

4、订票系统的PC版和移动版出现兼容性问题； 

5、session（会话）重复生成，非全局唯一； 

6、session未及时删除。 

来源：腾讯科技http://tech.qq.com/a/20131228/005361.htm 

【2014.1金融银行】 韩2000万信用卡信息泄露 引发“销户潮” 

人民网首尔1月21日电，韩国发生史上最大规模的信用卡个人信息泄露事件，KB国民卡、乐天卡及NH农协卡公司社长于20日全部引咎辞职。 

8日，KB国民卡、乐天卡及NH农协卡公司的一亿多条用户个人信息被泄露，三家公司社长于当日举行记者会，就此次事件公开表示了歉意。据韩联社报道，这是迄今为止韩国国内金融行业最大规模的个人信息泄露事件。报道称，信用评级公司职员朴某等在受信用卡公司委托开发电脑程序的过程中，非法收集和泄露上述信用卡公司的1.04亿条用户个人信息，韩国检方已对案犯予以拘留起诉。 

但14日，韩国检察机关与信用卡业界又表示，此次大量泄露的信息中，除了姓名、电话号码、住所、公司名等个人信息以外，还包含身份证号码、贷款交易内容、信用卡认可免税书等5391件敏感的信用信息，占全部泄露信息的一半以上。信用信息作为可以了解顾客的消费模式及习惯的信息，很容易被金融欺诈电话或强制贷款所利用。 

来源：人民网 韩国频道http://korea.people.com.cn/205155/205166/8518347.html

【2014.2互联网金融】支付宝前员工贩卖20G用户资料 一条可卖数十元 

网易财经报道“支付宝闹内鬼20G用户信息被盗卖”。支付宝方面已南都记者证实了此事，并表示，泄露的信息主要为交易数据。此则消息引发了用户对于信息安全问题的关注，也令网络信息贩卖产业链浮现。中国电子企业协会信息化促进发展中心主任林韩在接受南都记者采访时表示，用户安全信息盗取和贩卖已经形成一个非常完整的产业链，且市场需求大。一条价值较高的用户信息甚至可以被卖至数十元。此次支付宝信息泄露中，超过20G的海量用户信息，被支付宝员工在后台下载并有偿出售给电商公司、数据公司。 

一二线电商企业本身有完善的用户数据库，需要进行严格的数据监控，防止数据泄露至黑色交易链。此类信息贩卖产业，有的甚至采取公司的运作方式，从互联网上购买个人或单位信息，转卖他人获利；通过网上购买公民户籍、住房、车辆等个人信息为他人提供婚恋、追债、手机定位等服务项目从中获利；通过网上购买信息推销产品；利用自身特殊身份盗窃、骗取公民、企业信息转卖获利。 

来源：网易财经http://money.163.com/14/0106/07/9HSULLOE002526O3.html 

【2014.3酒店】 2000万开房信息泄露案开庭 

据《法制晚报》报道，“2000万开房信息泄露事件”首例诉讼在上海浦东法院第一次开庭审理。原告王金龙起诉汉庭星空（上海）酒店管理有限公司和浙江慧达驿站网络有限公司，并要求赔偿20万元。“开房数据泄露”事件爆发后，隐私权受到严重侵害，还饱受推销广告、短信的骚扰。实名认证的新浪微博账户@股社区 发布了一个名为“查开房”的网址。只需输入姓名或身份证号，即可查询到包括身份证号、生日、地址、手机号、邮箱、公司、登记日期等真实信息。 

来源：南方周末 http://www.infzm.com/content/98180 

【2014.5 移动互联网】 小米陷“泄密”门 业内称违法成本低是根源 

小米论坛“被脱裤”，可能影响小米移动云等敏感信息，或导致用户资料大量泄漏。随后，乌云平台再度曝出小米的另一漏洞，称“小米科技某安全漏洞影响88W+360W数据”，漏洞或导致用户资料大量泄漏。随后，小米公司官方回应确认，有部分2012年8月前注册的论坛账号信息被非法获取。 

广州金鹏律师事务所詹朝霞律师则直言，违法成本低，法律监管缺失是“泄密”事件再三出现的根源。他指出，各类服务提供商，基于提供服务所采集的用户信息数据，具有严格保密的法律义务；但类似的规定散见于国家工商总局发布的《网络交易管理办法》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》等，相关法律法规不少，却没有设置任何对应的处罚措施，违法成本极低。 

来源：网易财经 http://money.163.com/14/0515/16/9SA4177900254TFQ.html 

【2014.6政府】棱镜门事件再发酵 

国际在线消息：由人民出版社出版的《美国是如何监视中国的-美国全球监听行动纪录》一书20日在中国正式发行。该书披露，中国国内网络安全权威技术部门检测发现，美国思科公司的路由器存在严重的预置式“后门”。 

受到美国国安局信息监视项目-"棱镜"监控的主要有10类信息：电邮、即时消息、视频、照片、存储数据、语音聊天、文件传输、视频会议、登录时间和社交网络资料的细节都被政府监控。通过棱镜项目，国安局甚至可以实时监控一个人正在进行的网络搜索内容。 

来源：中华网新闻 http://news.china.com/zh_cn/focus/usljm/ 

【2014.11公安】软件商“侵”车管所系统“删违”万余条 

2014年11月12日，江苏连云港检察院披露，一位多地公安车管系统软件供应商竟变身“黑客”，勾结“黄牛”，在车管所软件系统植入程序，专门代人删除交通违章记录达1.4万余条。截止到案发，公安机关查明李某共计非法删除14000余条交通违章记录，涉案金额1800余万元。三年时间，李某非法敛财650余万元，王某、张某非法获利300余万元。 

截止到案发，公安机关查明李某共计非法删除14000余条交通违章记录，涉案金额1800余万元。三年时间，李某非法敛财650余万元，王某、张某非法获利300余万元。 

李某利用为连云港、宿迁、南京等市车管所软件系统提供运维技术支持的便利条件，躲避现场监管，将事先编好的删除程序输入，通过修改公安内网服务器的网络配置，避开公安内网报警体系，从互联网远程侵入公安网络系统，非法删除车辆违章记录上万条获利。 

截止到案发，公安机关查明李某共计非法删除14000余条交通违章记录，涉案金额1800余万元。三年时间，李某非法敛财650余万元，王某、张某非法获利300余万元。 

来源：网易新闻 http://news.163.com/14/1113/03/AATBCR8J00014AED.html

【2014.12教育】国内130万考研用户信息遭泄漏 正被黑产利用 

乌云网站报道《国内考研130W报名信息泄漏事件》的漏洞，并表示该漏洞导致泄露的信息正在被黑产利用。出售的用户信息截止到2014年11月份的130W考研用户，而且数据已经被多次专卖，经过与卖家了解，数据泄漏了考研用户的姓名、手机、座机、身份证、住址、邮编、学校、专业等敏感数据，并且表明已经不是第一手数据了。 

来源：乌云网http://www.wooyun.org/bugs/wooyun-2014-084759 

【2014.12电力】土耳其黑客入侵本国电力系统，怒删贫困地区巨额债务账单 

土耳其黑客组织RedHack宣布：他们入侵了电力管理系统，撤销了Soma地区需要付给电力公司的150万土耳其币的账单（约合65万美元）。 

除了抹去了巨额的债务记录，RedHack小组似乎意犹未尽，还放出了该电力管理系统数据库的用户名和密码，RedHack也上传了一个关于此次事件的记录视频，即漫游电力管理系统网站及删除债务数据的细节。 

来源：风云网络 有视频http://www.05112.com/zixun/hkdt/2014/1125/17041.html 

安华金和数据库安全专家分析，2014年Verizon数据泄漏调查报告和全年的数据安全事件，可以发现以下几种数据泄漏原因： 

以上事件，不难发现，大多数企业的安全管理和防护都无法跟上网络犯罪的脚步，入侵只需要数分钟或数小时，而企业发现和识别攻击则需要数周甚至数月。 

使用失窃账户密码依然是非法获取信息的最主要途径，三分之二的数据泄露都与漏洞或失窃密码有关，这进一步凸显了两步认证的必要性。 

虽然外部攻击远超过内部攻击，但是内部攻击有抬头趋势，尤其是与知识产权有关的内部攻击。 

总体来讲，Version报告发现病毒是第二重要的赛博安全事件，占20%，紧随其后的是内部人员权限滥用（占18%）和物理盗窃/损失（占14%），在数据泄露中，对网页应用程序的攻击导致了35%的数据泄露。 

内部人员的滥用数据库存储的有价值信息导致数据资产丢失。 

安华金和建议从以下几点措施来实现数据的安全防护： 

措施一：保护核心数据安全，建议使用数据库风险评估工具，定期对数据库进行安全风险检查，发现数据库使用中的安全隐患，及时人工进行加固； 

措施二：安全管理员要了解本单位数据库中的敏感信息，采取有针对性的安全防御措施，对数据库中的敏感字段进行加密存储，即使整库丢失也不会泄密； 

措施三：通过网络上的虚拟补丁技术对数据库漏洞的攻击特征进行识别，及时拦截来自外网的黑客数据库攻击； 

措施四：运维人员对数据库中的敏感数据修改，一定要记入审计记录，如果出现非法篡改行为可以通过事后追责定责； 

措施五：对从数据库批量导出数据的行为、整表删除、不带条件的更新等恶意行为及时中断数据库操作，防止数据库非法操作行为的发生； 

措施六：在应用系统上线前，要对应用和数据库进行安全风险评估测试，及时发现并修复存在的安全隐患，如：SQL注入点、后门程序、缓冲区溢出漏洞等。