Shopify数据泄露说明了内部威胁的危险

Shopify最近发生的一起数据泄露事件影响了近200家Merchange，这起事件被归因于内部人士。

这起事件不是由于技术漏洞造成的，而是因为两名流氓支持团队员工参与了一个获取客户交易记录和敏感数据的计划。

Shopify对这起事件进行了调查，发现此次入侵影响到200家Shopify商家。联邦调查局也得知了调查结果。

我们立即终止了这些人对我们Shopify网络的访问，并将事件提交给执法部门。该公司在一份声明中表示，我们目前正在与联邦调查局(FBI)和其他国际机构合作，调查这些犯罪行为。

到目前为止，还没有证据表明这些数据可能被滥用了。

可能让大家松了一口气的是，完整的支付卡卡号、敏感的个人和财务信息等敏感信息并没有因为这一事件而曝光。

声明承认，暴露的数据包括基本联系信息，如电子邮件、姓名和地址，以及订单详细信息，如购买的产品和服务。

Shopify正在继续对这起事件进行调查，并与受影响的商家及其客户保持联系。

该公司表示，我们对平台滥用采取零容忍态度，并将采取行动维护社区的信心和我们产品的完整性。

简单地说，我们致力于保护我们的平台、我们的商家和他们的客户。我们将继续努力工作，每天都能赢得您的信任。

尽管“内部威胁”一词有负面含义，但有些内部威胁是无意的，只是被利用了。

例如，2020年7月，由于毫无戒心的员工通过社会工程战术被剥削，发生了大规模的推特数据事件。

攻击者利用有权使用这些工具的员工的凭证，锁定了130个Twitter账户，最终从45个账户开始发推文，访问了36个DM收件箱，并下载了Twitter上声明的7个Twitter数据。

内部威胁监控软件公司Code42与BleepingComputer分享了对数据外泄事件的见解，称所有检测到的文件泄露中有45%涉及业务文件或源代码，这是高价值的数据。

平均而言，一名普通员工每天会导致20次文件泄露事件。数字不会说谎。我们发现，仅在过去的30天里，就有数百万份文件被曝光，他们在一份报告中继续写道。

例如，根据Code42的数据，超过三分之一的周末文件曝光事件都是通过移动媒体发生的，对于在家工作的员工来说，这是一个令人惊讶(也是可疑的)媒介选择。

最近，随着数据安全成为隐私权立法要求的首要问题，越来越多的关于知名组织受到内部威胁的报道如雨后春笋般涌现。

上个月，一名俄罗斯人试图招募特斯拉子公司的一名员工进行敲诈勒索，以说服他在公司的计算机网络上部署一种未知的恶意软件。

今年早些时候，Roblox的一名员工被贿赂，这样攻击者就可以访问超过1亿用户的信息。