摩根大通数据泄漏因双因素身份验证漏洞

　　摩根大通安全团队没有在旗下含有超过8千3百万数据的系统里实施附加认证保障措施，结果是今年夏天出现的数据泄漏，极大地冲击了该金融巨头。

　　记者了解到，摩根大通系统出事后，安全厂商FireEye旗下的数字安全公司Mandiant进驻摩根大通， Mandiant现正协助调查，同时为摩根大通提供应急响应服务。摩根大通此前聘请了专用的安全团队，团队成员是摩根大通安全运营中心的雇员。

　　纽约时报在周二的报道中援引一来源不明的调查消息称，该安全团队未能在访问含敏感数据的数据库服务器上实施双因素身份验证。双因素身份验证为一项二次身份验证措施，用于在用户访问敏感资源时处理用户的授权。

　　据报道，攻击者去年春天窃取了一员工的帐户资料，继而通过该员工的个人电脑进入摩根大通电脑系统。八月，入侵者在访问公司内部网络时被发现。摩根大通表示，此次疏忽影响到700万企业和7千6百万个家庭。曝光的数据包括顾客的电子邮件地址、物理地址和电话号码。数百名小企业老板亦受到影响。摩根大通仍在进行内部评估，以图改进潜在技术、流程和策略。

　　纽约时报的报道称，犯罪分子获得了90多个银行服务器的高级别访问权，但在移除敏感财务数据和其他客户信息前被识破。

　　最初有关泄漏事件的报告指，俄罗斯政府可能与此次事件有染，原因是华盛顿和莫斯科之间的关系趋向恶化。但解决方案提供商的安全专家表示，最大可能的罪魁祸首是经济犯罪动机。至少有一个攻击IP地址源于巴西。

　　解决方案提供商告诉记者，在摩根大通泄漏事件中被盗的数据可能引发网络钓鱼攻击潮。网络钓鱼活动可以巧妙地用这些数据来作为诱饵，将银行客户骗到攻击网站上，继而骗他们提供其他详细信息。安全专家表示，截至目前为止还没有证据表明这些数据已经在网络钓鱼活动或者其他欺诈活动中被使用。

　　Ponemon Institute最近的研究发现，越来越多的企业正在加入基于短信服务（SMS）的双因素认证，同时采用一次性密码提供关键系统的额外安全措施。该报告发现，企业面临的一个最大挑战是正确地执行双因素认证。

　　据IDC的资料显示，身份和访问管理技术市场从2011年的40亿美元上升到2013年的4亿8千万美元，增幅超过20％。Duo网络安全公司做销售多因素身份验证解决方案的生意。Jon Oberheide是Duo的共同创始人和首席技术官。他表示，加强安全性的双因素身份验证方法可能是一个比增加网络安全设备更具成本效益的选择。Oberheide指，许多备受关注的数据泄露事件均是由于用户名和密码被盗而引起的。额外的认证措施解决的是预防问题而不是检测问题，其目的是增加网络罪犯分子利用被盗的登陆资料访问敏感服务器的难度。

　　Oberheide表示，“在这些重大泄漏事件中，相关企业多数将重点放在昂贵的恢复和事故响应安全技术上；预防并未消失。事实上，在大多数或大或小的数据泄露事件中，一些诸如通过网络钓鱼等简单的攻击技术从员工那窃取登陆资料的方法，往往是攻击者进入受害者网络的初始入口点。一些诸如强度认证（Strong authentication）的简单技术可以提供有效的预防性防御，同时亦不会陷入典型的“以深度防御为幌子的大笔花费”陷阱。”