Verizon：67%失竊由認證竊取、失誤及社交攻擊引起

Verizon 2020數據失竊調查報告顯示，近9成 (86%) 調查的失竊事件為錢財所驅使。七成失竊個案仍然由外部人員造成，有組織犯罪佔當中的55%。認證竊取 (Credential theft) 及社交攻擊 (Social Attack) 如網絡釣魚 (Phishing) 及商業電郵損害等渠道，涵蓋大部分失竊個案 (逾67%)。Verizon Business行政總裁Tami Erwin表示：「遙距工作在全球疫情大流行期間急劇增加，自雲端至員工電腦的端對端全面安全保護成為當務之急。」

• 涉及認證竊取的個案中，37% 屬於盜取密碼或利用容易破解的密碼來犯罪
• 25% 個案涉及網絡釣魚
• 22%個案涉及人為錯誤

報告亦指出，涉及網絡應用程式的失竊個案按年錄得兩倍增長，高達43%，當中超過80%個案使用盜取得來的認證。隨著重要的商業流程逐漸移至雲端，此趨勢令人憂慮。涉及勒索軟件 (Ransomware) 個案亦輕微上升，佔惡意程式 (Malware) 事故的27% (去年為24%)。另外，18%的受調查組織稱去年至少封堵一個勒索軟件。

Verizon Business行政總裁Tami Erwin表示：「遙距工作在全球疫情大流行期間急劇增加，自雲端至員工電腦的端對端全面安全保護成為當務之急。網絡釣魚騙局已變得越來越高明及危險，為免系統受到攻擊，我們呼籲所有企業繼續為員工提供培訓。」

網絡攻擊模式模式使企業具備「防衛優勢」

報告重申，常見的網絡攻擊模式可讓企業提前鎖定不法份子意圖竊取的目標。數據失竊渠道通常涉及威脅行為（例如錯誤、惡意程式、硬件、駭客攻擊等），有助預測不法分子的最終目標，從而阻截攻擊。企業因而具備「防衛優勢」，得以更有效掌握安全防衛的關鍵之處。

小型企業難以獨善其身

越來越多中小企使用雲端及網絡為本的應用程式及工具，令它們成為網絡攻擊者的頭號目標。報告更發現：

• 網絡釣魚是小型企業的最大威脅，佔失竊個案超過30%。其次是利用盜取的認證（27%）及密碼生成器（16%）。
• 攻擊者的目標是認證、個人資料及其他內部的商業相關資料，例如醫療記錄、內部機密或付款資料等。
• 超過20%的攻擊個案針對網絡應用程式，並涉及利用盜取的認證。

網絡焦點下的行業

報告涵蓋16個行業的詳細分析。結果顯示儘管網絡保安仍然是一個跨行業的挑戰，但不同行業情況迥異。舉例而言，製造業中23%惡意程式事故涉及勒索軟件，而公共部門的比例則為61%，教育服務行業更高達80%。33%的公共部門失竊個案涉及失誤，製造業中卻僅佔失竊個案的12%。更多重點包括：

• 製造業：外部人員出於金錢誘因而利用惡意程式，例如密碼生成器、應用程式資料採集器等來取得專有資料，佔製造業失竊個案29%。
• 零售業：99%零售業事故均出於金錢誘因，獲取付款資料及個人認證亦是主要誘因。網絡應用程式已代替銷售點裝置，成為零售業數據失竊的主要來源。
• 金融及保險業：30%的行業失竊個案由網絡應用程式攻擊引起，主要是外部人員利用盗取的認證取得儲存於雲端的敏感資料。行業轉向網上服務是關鍵因素。
• 教育服務：行業中的勒索軟件攻擊個案今年上升一倍，約佔惡意軟件攻擊的80%，去年則為45%，社交工程攻擊則佔事故總數27%。
• 醫療保健業：基本人為失誤佔行業失竊個案的31%，外部人員失竊則佔51% (去年為42%)，略高於48%的內部人員失竊 (去年為59%)，繼續是各行業中最多內部人員失竊的行業，箇中原因是較易取得認證。
• 公共部門：勒索軟件佔惡意程式事故的61%。33%失竊個案源於內部人員的疏忽。然而，企業在識別失竊方面有明顯進步。過去一年內未被發現的事故只有6%，而去年報告則為47%。這與法定匯報要求有關。

區域趨勢

協助提供資料的81個受訪機構亦指出，不同區域的網絡安全狀況存在各種異同。舉例而言，出於金錢誘因的個案佔北美洲個案的91%，但在歐洲、中東及非洲地區只佔70%，在亞太區則佔63%。其他重要調查結果包括：

• 北美洲：最常見的手法是盗取認證，佔駭客入侵失竊個案超過79%。另外，33%失竊個案與網絡釣魚或假托 (pretexting) 有關。
• 歐洲、中東及非洲：拒絕服務攻擊 (Denial of Service，DoS) 佔惡意程式事故的80%。另外，40%失竊個案涉及網絡應用程式、利用盗取認證和已知漏洞等駭客攻擊組合。最後，14%的失竊個案與網絡間諜有關。
• 亞太區：63%失竊個案出於金錢誘因，而網絡釣魚攻擊比例甚高，佔超過28%。

《Verizon數據失竊調查報告》領銜作者Alex Pinto表示：「網絡保安事故的新聞報導大多認為間諜或惡意攻擊是網絡罪行的主要誘因，但我們的數據顯示此非事實。金錢誘因繼續驅使有組織犯罪活動利用系統漏洞或人為錯誤。好消息是企業已有不少方法保護自身，包括追蹤網絡攻擊的常見模式，改變網絡安全的遊戲規則，讓全球企業重掌控制權。」