京國貿(mào)LINE FRIENDS minini全國首展。新京報記者 白金蕾 攝

“冬天就是要和所有毛茸茸的公仔打卡合照。”北京國貿(mào)LINE FRIENDS minini全國首展前，一位顧客抱住成員布尼尼說。展覽未撤，LINE（日本通訊應(yīng)用程序）背后企業(yè)卻再陷“數(shù)據(jù)安全門”。

近日，LINE母公司LY Corporation（以下簡稱LY）公告披露，內(nèi)部系統(tǒng)于10月9日遭遇未經(jīng)授權(quán)第三方訪問，已經(jīng)或可能泄露44萬余條信息。

國內(nèi)外企業(yè)信息泄露事件多發(fā)。11月30日，公安部表示，2023年第三季度共辦理網(wǎng)絡(luò)和數(shù)據(jù)安全行政執(zhí)法案件1.4萬起，其中，網(wǎng)絡(luò)運(yùn)營者不履行網(wǎng)絡(luò)安全保護(hù)義務(wù)案件占86%。

對此，接受新京報貝殼財經(jīng)采訪的網(wǎng)絡(luò)安全專家表示，企業(yè)不能只防范網(wǎng)絡(luò)安全大門風(fēng)險，也要從安全設(shè)備利用、員工安全意識培養(yǎng)等方面建構(gòu)內(nèi)部安全網(wǎng)。

44萬余條信息深陷暴露風(fēng)險，LY網(wǎng)絡(luò)權(quán)限和人員管理存在不足

據(jù)LY統(tǒng)計(jì)，截至11月27日，已經(jīng)或可能外泄44萬余條信息。其中，302569條屬于用戶信息，86105條來自合作伙伴信息，51353條與員工及其他人員有關(guān)。

據(jù)公告，本次信息泄露事件可溯源為LY與其關(guān)聯(lián)的韓國NAVER Cloud（NAVER旗下的云和信息技術(shù)服務(wù)公司，以下簡稱NAVER Cloud）公司所共用的人事信息處理系統(tǒng)。該系統(tǒng)身份驗(yàn)證相通，導(dǎo)致原LINE公司系統(tǒng)可以通過網(wǎng)絡(luò)途徑訪問。在LY和NAVER Cloud共同外包商的員工個人電腦感染惡意軟件后，第三方未經(jīng)授權(quán)經(jīng)由NAVER Cloud系統(tǒng)訪問并存取LY系統(tǒng)數(shù)據(jù)。

官網(wǎng)顯示，LY是一家主營搜索引擎、門戶網(wǎng)站和電子商務(wù)業(yè)務(wù)的日本科技公司。2023年10月，LY由LINE公司和Yahoo Japan（日本搜索引擎）公司等合并組成。LINE由韓國NAVER（韓國ICT企業(yè)）在日子公司NHN Japan推出，2013年又以LINE公司名義獨(dú)立運(yùn)營，2019年并入Yahoo Japan母公司Z Holdings（日本軟銀集團(tuán)子公司）。

“它們可能采用接口形式進(jìn)行數(shù)據(jù)交互和傳輸，使整個網(wǎng)絡(luò)變成一個局域網(wǎng)，外包員工電腦所中的病毒能夠觸達(dá)系統(tǒng)每個服務(wù)器和網(wǎng)站。”網(wǎng)絡(luò)安全研究專家、北京漢華飛天信安科技有限公司總經(jīng)理彭根向貝殼財經(jīng)解釋。他表示，企業(yè)內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)邊界不清，將留下病毒滲透和黑客橫向擴(kuò)展的隱患。

他認(rèn)為LY信息泄露事件暴露出兩個網(wǎng)絡(luò)權(quán)限方面的問題：一是傳統(tǒng)網(wǎng)絡(luò)安全邊界劃分不清晰，“兩邊員工都能訪問系統(tǒng)，但分屬不同公司”；二是在數(shù)據(jù)安全層面，對個人返回數(shù)據(jù)權(quán)限控制不足，可返回數(shù)據(jù)數(shù)量過多，“可能一次返回1萬條數(shù)據(jù)，查詢次數(shù)多，數(shù)據(jù)也就全給推走了”。

“該事件也表明，企業(yè)對外包商等第三方人員的管理存在疏忽。”安恒信息技術(shù)股份有限公司首席技術(shù)官劉博補(bǔ)充道。

關(guān)于LY本次數(shù)據(jù)安全風(fēng)險能否采取事前檢測，劉博認(rèn)為，難以從技術(shù)層面規(guī)避管理制度疏忽造成的安全漏洞，但從數(shù)據(jù)安全體系出發(fā)，企業(yè)管理人員配合技術(shù)人員進(jìn)行深度數(shù)據(jù)安全分析、評估，依然存在風(fēng)險檢測可能性。

彭根也認(rèn)為，檢測技術(shù)不難實(shí)現(xiàn)，企業(yè)檢測能力和防范意識更重要。“網(wǎng)絡(luò)是否互通，員工機(jī)器是否具備讀取所有數(shù)據(jù)的權(quán)限，現(xiàn)有技術(shù)都能檢測出來。”他說。

“惡意軟件、第三方訪問和網(wǎng)絡(luò)共享導(dǎo)致的泄露，是企業(yè)數(shù)據(jù)泄露常見形式之一。”劉博在采訪中提出，“還有網(wǎng)絡(luò)攻擊、內(nèi)部人員失誤、社交工程、物理安全漏洞等其他形式”。

LY公告稱，目前已采取阻斷從NAVER Cloud訪問內(nèi)部系統(tǒng)的措施，未來也將和NAVER Cloud分割人事信息管理系統(tǒng)。劉博認(rèn)為，即便如此仍存在二次泄露可能。“攻擊者也許在LY系統(tǒng)留下后門或其他隱藏訪問通道，以便未來再次訪問并獲取信息。此外，如果員工處理敏感信息時仍然存在疏忽或失誤，也可能導(dǎo)致二次泄露。”他說。彭根則認(rèn)為，二次泄露風(fēng)險是否存在需要綜合評估，“與企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)有關(guān)，可能存在其他相似的系統(tǒng)關(guān)聯(lián)性漏洞”。

2021年，LINE曾被曝信息泄露傳聞。當(dāng)年10月18日，時任LINE母公司Z Holdings的報告證實(shí)韓國數(shù)據(jù)中心儲存了部分LINE數(shù)據(jù)，但截至公告發(fā)表之日，LINE公司確認(rèn)已按計(jì)劃實(shí)施數(shù)據(jù)遷移。

數(shù)據(jù)泄露事件應(yīng)對效率影響成本，企業(yè)數(shù)據(jù)安全不能只守大門

Ponemon Institute（信息資產(chǎn)和IT基礎(chǔ)設(shè)施安全問題研究機(jī)構(gòu)）研究表明，企業(yè)應(yīng)對數(shù)據(jù)泄露事件的響應(yīng)速度和效率將影響總體成本。

劉博解釋，企業(yè)數(shù)據(jù)泄露影響時間、經(jīng)濟(jì)、聲譽(yù)、法律等成本，隨著事件發(fā)酵，后續(xù)各類成本也越高，嚴(yán)重還可能導(dǎo)致企業(yè)破產(chǎn)倒閉。“發(fā)現(xiàn)越快、處理越及時、效率越高，成本往往越可控。”彭根說。劉博提出，企業(yè)需要建立有效的應(yīng)急響應(yīng)計(jì)劃，并提高員工應(yīng)急響應(yīng)能力。

LY并未公布此次損失和處理成本。Ponemon Institute和IBM Security調(diào)研去年3月至今年3月涉及數(shù)據(jù)泄露的553家組織后得出，2023年數(shù)據(jù)泄露平均成本高達(dá)445萬美元。

根據(jù)公告的時間線梳理，10月9日，外包員工電腦感染惡意軟件，第三方未經(jīng)授權(quán)，通過NAVER Cloud系統(tǒng)訪問并存取LY內(nèi)部系統(tǒng)數(shù)據(jù)。10月17日，LY資安團(tuán)隊(duì)檢測到這一可疑記錄，并于27日下了最終判定。11月27日，LY公開數(shù)據(jù)泄露調(diào)查和統(tǒng)計(jì)結(jié)果。

“縱觀近年全球數(shù)據(jù)泄露事件，LY本次的反應(yīng)速度和效率較快，但從數(shù)據(jù)泄露的影響和后果看，又遠(yuǎn)遠(yuǎn)不夠。”劉博總結(jié)。

“不太好評估效率好壞，但至少證明有人查看日志信息，內(nèi)部存在一定的網(wǎng)絡(luò)信息安全管理。”彭根說。“好多企業(yè)可能數(shù)據(jù)被偷完了都還不知道。”

公告顯示，截至目前，LY尚未收到包括濫用用戶或合作伙伴信息在內(nèi)的二次損害報告。LY表示，將繼續(xù)跟進(jìn)調(diào)查并采取必要措施。據(jù)NHK報道，11月28日，日本總務(wù)大臣鈴木淳司表示，將根據(jù)LINE雅虎公司提交的事件原因等詳細(xì)報告，要求其采取行動，切實(shí)防止同類事態(tài)再次發(fā)生。

“大家的網(wǎng)絡(luò)安全意識停留在‘把大門守好’層面，內(nèi)部安全防范措施較少。”彭根說。他認(rèn)為，雖然大部分企業(yè)購置許多安全設(shè)備，卻只發(fā)揮它們在VPN、防火墻和入侵檢測等方面的作用，可能不知道“核心交換設(shè)備具有劃分網(wǎng)絡(luò)邊界的功能，防火墻也是隔離網(wǎng)絡(luò)邊界的產(chǎn)品”。他提出，用好這些設(shè)備將促使企業(yè)網(wǎng)絡(luò)安全防范能力呈指數(shù)級增長。

劉博認(rèn)為，企業(yè)可以從加強(qiáng)系統(tǒng)身份驗(yàn)證、加密敏感數(shù)據(jù)、定期進(jìn)行安全審計(jì)等方面提升數(shù)據(jù)安全管理能力，也應(yīng)該注重培訓(xùn)員工安全意識，還需要關(guān)注安全領(lǐng)域最新動態(tài)和威脅，及時更新安全策略和措施。

《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》規(guī)定，公共通信和信息服務(wù)等行業(yè)具有維護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的義務(wù)，《網(wǎng)絡(luò)安全法》《個人信息保護(hù)法》《數(shù)據(jù)安全法》對企業(yè)數(shù)據(jù)安全義務(wù)亦有規(guī)定。

新京報貝殼財經(jīng)見習(xí)記者 韋英姿 記者 羅亦丹 白金蕾

編輯 王進(jìn)雨

校對 趙琳

咕嚕網(wǎng)編譯】 日本第一社交應(yīng)用Line（連我）的最新安卓版新增了類似于Skype的電話直播功能，位于哥倫比亞、日本、墨西哥、秘魯、菲律賓、西班牙、泰國和美國的Line用戶現(xiàn)在可以用這款應(yīng)用直接撥打電話，只不過在此之前需要先將帳號與自己的手機(jī)號碼綁定。

撥打手機(jī)號碼的費(fèi)用從每分鐘人民幣0.39元到0.85元不等，而撥打固話的費(fèi)用則為0.18元/分鐘。

目前iOS版本尚未更新，將新功能首先植入安卓平臺已經(jīng)是Line公司的慣例了。之前的Line商城也是首先登陸安卓，兩個月后才登陸了iOS平臺。

Line公司最早在上個月底公布了這項(xiàng)功能。去年12月，Line的母公司Naver以1760萬美元收購了來電提醒與短信防火墻應(yīng)用Whoscall，之后在1月發(fā)布了一個改良版。相信推出電話直撥功能會在這些地區(qū)讓Skype感到巨大壓力。

目前微信和QQ均已支持語音實(shí)時通話功能，那么騰訊是否會更進(jìn)一步，為其加入電話直撥功能呢？

據(jù)新華網(wǎng)去年6月的一篇報道表示：“在我國，PC到PC端的通話是沒有障礙的，但從PC到手機(jī)或者固話的通話服務(wù)必須獲得相關(guān)運(yùn)營牌照，而目前我國尚未頒發(fā)一張此類牌照。從政策上來說，國內(nèi)明令禁止除電信運(yùn)營商之外的第三方服務(wù)提供電話端之間的IP數(shù)據(jù)傳輸。”也就是說，互聯(lián)網(wǎng)公司要想碰這塊蛋糕的話，將面臨來自于政策規(guī)定和運(yùn)營商的多重阻礙，很可能會落得個吃力不討好的下場，因此短時間內(nèi)應(yīng)該不會有什么變化。

那么，新興互聯(lián)網(wǎng)產(chǎn)品與傳統(tǒng)運(yùn)營商服務(wù)結(jié)合能碰撞出怎樣的火花呢？且看Line在未來的發(fā)展便可以略知一二。