Amazon 前工程師駭進第一資本,上億銀行用戶個資外洩

作者 | 發布日期 2019 年 07 月 30 日 16:21 | 分類 Fintech , 資訊安全 , 雲端 follow us in feedly


駭客利用防火牆漏洞進入第一資本(Capital One)銀行系統,盜取了 1 億名用戶資料,這也是 2017 年美國三大信貸機構易速傳真(Equifax)被駭之後最大規模的金融機構資安事件。

第一資本是美國最積極擁抱科技的銀行之一,在財星 500 大企業中,位列 98 名,也是全美第二大汽車金融機構。第一資本 CEO Richard D. Fairabank 表示,這次事件發生在今年 3 月,共有兩次攻擊,駭客竊取了 1 億名美國用戶與 600 萬加拿大用戶資料,竊取的資訊包括姓名、住址、電話、生日、所得證明、信用分數與交易紀錄。此外,約有 14 萬人社會安全號碼被盜取,同時有 8 萬人銀行帳號外洩。

根據彭博報導,這名來自西雅圖的駭客是一位 33 歲的女性,Paige A. Thompson,昨日被逮捕,檢方求刑 5 年監禁,同時還要支付 25 萬美元罰金。Thompson 曾任職於 Amazon 的雲端服務 AWS,擔任系統工程師,受害的 Capital One 則是少數不使用私有雲,而採用 AWS 公有雲的銀行,因此也引發 AWS 對本案件的關注。

AWS 發言人指出,根據目前調查的內容,以及犯人供稱,駭入原因與 AWS 服務無關,而是因為第一資本的防火牆設定失誤。犯人甚至還在今年初,就把她發現的防火牆漏洞貼至 GitHub。FBI 調查員則指出,Thompson 雖然使用 VPN 和 Tor 瀏覽器等加密管道攻擊,然而她自己卻在 Twitter 和 Slack 貼文,討論整起事件,甚至還有網友留言「拜託別被抓。」

根據 FBI 探員的報告說明,第一資本甚至在 6 月中收到匿名信件,告知他們有人正在竊取用戶資料,並且還提供 Paige Thompson 的 GitHub 貼文訊息,而引起第一資本關注。

回顧上一次金融機構大規模洩密案,易速傳真(Equifax)在 2017 年被駭了 1 億 4 千萬用戶資料,相當於半數美國人口,隨後易速傳真與聯邦交易委員會達成協議,並在這個月公告,受害用戶將可提出補償申請,依個資外洩程度不同,每人最高將可獲賠 20,000 美元。

TechCrunch 則指出,易速傳真被駭事件後,執法單位等了兩年才讓他們開始賠償,讓易速傳真有時間先填補漏洞,其次緩解事件爆發時股價重挫的財務危機,更糟的是,從易速傳真事件爆發到第一資本事件,美國國會與監管機關並沒有積極作為,改善這些銀行的資訊安全措施,而真正受懲罰的,是駭客被罰了 25 萬美元,而所有用戶資料依然暴露在風險中。

(首圖來源:pixabay

延伸閱讀:

關鍵字: , , ,