关于“信息安全”典型案件

涉及“信息安全”的典型案例

1、统计局CPI数据泄露事件5人被立案侦查

在北京市检察机关2011年“举报宣传周”活动新闻发布会上，市检反渎职侵权局局长张华伟披露，北京检方已介入CPI数据泄露一案。目前，包括国家统计局办公室一名秘书在内的5名相关人员，均已被立案侦查。

新闻发布会上，记者提问国家宏观经济数据（CPI数据)被泄露一案的最新进展，市检反渎职侵权局局长张华伟就此介绍称，对于媒体披露的国家统计数据泄露问题，目前泄露国家秘密的问题比较突出。对于这起案件，检察机关已会同国家保密部门进行调查，目前已经立案5件，涉及5人。

张华伟随后解释称，由于涉案的5人分别来自不同部门，因此立了5个案子。这其中，包括国家统计局新闻发言人盛来运此前披露的“国家统计局办公室一秘书涉嫌泄露国家秘密案”。

有媒体称，今年3、4月份，国家统计局办公室一名秘书与央行研究局宏观经济研究处一副研究员因涉嫌数据泄密被有关部门带走调查。而今年6月8日，路透社再次抢先发布我国经济数据，预测中国5月份CPI较上年同期上涨5.4%，将追平3月份创下的32个月高位；彭博社也发布经济学家对宏观数据的预测值称，5月份的中国CPI同比涨幅为5.5%，这与国家统计局官方发布的中国5月CPI相关数据一致。

据统计，2008年以来，路透社已累计7次精准地“蒙对”了我国的月度CPI数据。

提前泄露的数据信息，可能意味着可观的经济利益多位业界分析人士在接受媒体采访时都认为，对一些经济机构来说，提前掌握宏观经济数据，有利于提前采取行动规避风险或谋取利益，尤其是一些和CPI联系紧密的金融产品，受CPI数据影响极大，提前获知CPI数据尤为重要。另外，从宏观层面上来说，国家宏观经济数据屡屡提前泄露，还会影响国家的经济安全。

2、雷诺陷“电动车泄密门”

环球网2011年1月7日消息报道，雷诺日前因怀疑旗舰电动车型开发项目泄密，对包括一名管理委员会成员在内的三名高管展开了调查，这三名嫌疑人目前已经被停职处理。消息人士透露，内部调查还在继续，但公司在未来几天内就有可能做出决定。如果查证这三名高管泄漏电动车研发机密，将被很快辞退。

法国工业部长贝松（Eric Besson）表示，这是一起性质十分严重的泄密事件，代表了整个法国工业所面临的工业间谍以及经济情报的风险。

据内部人士透露，涉案人员中级别最高的是高级工程部门副总裁米歇尔.巴瑟扎德

（Michel Balthazard)以及前面提到的一位管理委员会成员。巴瑟扎德于1980年加入雷诺，曾在车身设计部门工作，后晋升为公司D/E产品项目以及新Laguna项目高管，并在2006年成为副总裁。

据悉，雷诺计划成为全球几大汽车市场上电动车销最大的企业，与其合作伙伴日产在电动车项目上共计投资约53亿美元。2015-2016年前，雷诺计划将其电动车年产能提升到20万辆。2011年，雷诺将在欧洲推出三款电动车，分别是Fluence、Kangoo和Twizy。

3、香港医院银行政府部门泄密门事件

据《南方都市报》报道，2008年5月以来，香港连续爆出泄密事件：先是医管局下属医院陆续发现病人资料遗失，共涉及1.6万名病人。紧接着老牌汇丰银行观塘分行在装修时，服务器被偷，近16万名客户的资料失窃。日前，“泄密事件”再升级，香港入境处机密文件竟也被人上载到网上，部分被拒入境旅客黑名单一览无余……谁是“泄密门”幕后黑手？

1.6万名病人资料丢了

早在4月底，香港卫生署下属的屯门儿童体重智力测验中心及联合医院就发生两宗遗失病人资料事件，涉及到700多病人。由于此事涉及范围不大，并未引起多大反响。在病人的声讨下，香港个人资料私隐专员公署联络香港医管局及卫生署，索取关于泄露病人资料的详情、现有保安措施等信息。不料，此次医院遗失病人资料事件还只是“冰山一角”。

5月5日，香港医管局行政总裁苏利民介绍，2007年全港共有5家医院发生9宗病人资料遗失事件，涉及到6000名病人，这9家医院遗失病人资料，有的是放置不当被人偷窃，有的则是不小心遗失。话音刚落，当晚，私隐专员公署接到威尔士亲王医院报告，称该院一名在病理化验室工作的女职员，5月1日乘的士时丢失了USB存储器，里面存有1.6万名病人资料，包括病人名字、身份证号码以及病理检查项目。据说，没有检验结果记录。

此事立刻轰动了全港。在舆论的压力下，威尔士医院检讨了管理漏洞，香港医管局行政总裁苏利民则公开向市民道歉。

银行16万储户资料失窃

老牌汇丰银行遗失客户资料事件，更是让港人忧心忡忡。4月26日，该行观塘分行在装修期间服务器被人偷走，遗失有近16万客户资料，警方已将此案列为盗窃案展开调查。

案件被揭发后，汇丰拒绝透露涉及的客户数量以及资料性质，也没有通知受影响的客户，只强调客户资料外泄的可能性很小。汇丰银行的做法激起了舆论反弹，“如果歹人利用个人信息敲诈怎么办？”香港市民王小姐担心。香港金管局要求银行采取补救措施，并提交详细报告。

日前，汇丰亚太区主席郑海泉已就遗失客户资料事件道歉，表示会检讨银行的保安措施，不过他仍强调，遗失的电脑服务器有多重保密措施，相信被利用来敲诈的机会很小。

香港消委会总干事刘燕卿认为，既然银行已声明储户密码没有外泄，客户就不必恐慌了，不过从安全角度考虑，客户可修改银行密码。

被拒入境者名单曝光

最新一宗泄密事件发生在香港入境处，“连环泄密事件”终于蔓延到政府部门。5月5日，不知何人、通过何种途径，将香港入境处文件下载并传播到网上。

记者看到，这十几个档案文件不少标有“confidential（机密）”，其中有一个文件中记录着一孟加拉国人被香港入境处列入“监视名单”，该档案文件记载了该孟加拉国人的全名、旅游证件号码及出生日期，这些资料文件还包括此人在2005年被入境处拒绝入境的原因（包括怀疑此人到香港准备做黑工或企图非法居留）。类似的文件中还涉及到一名姓孙的港人和一名姓董的台湾旅客，资料中包括两人的出生日期、护照和身份证号码。

记者发现，外泄的文件除了泄露过境者的隐私，有的记录了出入境处的管理上的失误，如办事人员记错入境者性别等。

记者采访了解到，香港入境处并非唯一泄密的政府部门，香港警方、民航处都曾发生过机密资料被上传网络事件：其中包括连议员都无法拿到的警察内部《程序手册》，还有警长内部升级考试的练习题及答案，甚至连民航处高官的出生日期等私隐也被泄露。

接连出现的泄密事件让不少港人忧心，他们担心自己的隐私也可能丢失，被不法分子利用，更怀疑“连环泄密事件”背后是否有人操纵。

目前，警方已将医院及银行泄密事件列入盗窃案展开调查。“病人、储户资料丢失案除了案发时间有偶然的接近性外，其他似无关联。”一分析人士说。

关于政府部门泄密案，香港警方商业罪案科已展开调查，初步怀疑一款名为FOXY的软件可能是“盗取”机密信息的工具。具体情形是：入境处有今年3月才入职的员工，为适应工作向老同事借往年档案来研究。怀疑有新员工涉嫌违反保安守则，把上述档案文件带回家，而家中电脑装有FOXY软件，导致这些机密文件无意中被“泄密”。

有电脑专家向记者演示了“机密外泄”过程：打开FOXY共享软件，在搜索栏输入“入境处”字眼，即可显示十几个怀疑与入境处落马洲管制站有关的文件可以共享。专家介绍，FOXY属点对点软件，类似BT下载软件，只要正确输入搜寻字眼，软件便会连接网络上所有用家的共享档案，搜寻有该字眼的档案供人下载，同时也上传档案，因此，也很难找到谁是传播源头。据悉，上述情形在香港娱乐圈“艳照门”事件中也曾发生，令警方头疼不已。

4、史上著名数据泄露案件系列

1）史上最大密钥失窃泄密事件

TJX公司是TJ Maxx、Marshalls和A.J.Wright等的母公司，它在2007年1月份承认它的IT系统已经被世界上有史以来最大的黑客攻击渗透，对数百万人构成了影响。

据估计，这件数据泄露事件造成的损失总额达到了10亿美元以上，并且对整个商业和IT社区造成了广泛深远的影响，令许多公司重新评价它们自己的安全策略。

当在去年12月中旬首次检测到入侵的时候，TJX公司聘请General Dynamics公司和IBM公司对数据泄露事件进行了监控和评估，加强其系统的安全性并进行了几项安全升级。

TJX公司现在仍在处理事件带来的后遗症，最近又拿出650万美元来换得受数据泄露事件影响的客户提出的集体诉讼的和解。

它还面临着来自银行和金融机构的许多诉讼，此次数据泄露事件造成的大部分损失都是来自那些金融机构。

据最新报道称，在上个月提出的一起诉讼声称TJX公司之前就得到警告，被告知它在2004年的时候就一直没有遵守信用卡行业标准，但是最终未能解决问题。

泄露过程描述：最初，人们认为黑客们获得了4570万人的信用卡信息，但是这个受影响人数最终扩大到9400万人。

安全顾问公司IPLocks的首席技术官Adrian Lane说："他们曾经告诉我他们已经重新评估了他们的无线终端。但是我们没有听说他们做了些什么，因为我们相信还有两个安全服务网络隐患小组也被卷了进来。"

如果TJX公司之前采取措施遵守安全标准的话，也许这起有史以来最大的数据泄露事件是可以避免的。事实上这次事件中的黑客也都是非常狡猾的，最后的原因仍在调查之中，现在暂时将对公司应负责任和控制的终审搁置了起来。

2）州政府实习生丢失了磁带

2007年6月初，俄亥俄州一位22岁的实习生在别人的命令下将一盒存储磁带带回了家，磁带中储存着正在进行之中的俄亥俄州行政知识系统（OAKS）计划的资料。显然，职员们通常都会将磁带带回家中以便安全保管。

6月10日，保管磁带的任务轮到了实习生的头上。

据俄亥俄州总检察长办公室的报告称，那天晚上，磁带被某人从那位实习生的汽车上偷走了。后来，所有人都大吃一惊，因为他们获知Accenture公司的一位员工、OAKS计划的一位顾问曾经将康涅狄格州的另一个类似工程的敏感数据拷贝到俄亥俄州的OAKS工程中时，事情变得更富戏剧性了。

总检察长Thomas P.Charles是记录这起数据泄露事故时是这样写的：

虽然OAKS是一项1.58亿美元的工程，俄亥俄州州政府是一个拥有520亿美元资产的巨型机构，但是OAKS工程管理员没有将保存在被偷的备份磁带上的数据加密并在两年前就授权许多实习生可以将磁带带回家。这种行为不仅违反了IT安全的基本信条，而且也违反了常识。

OAKS工程被偷的磁带上包括康涅狄格州所有政府机关的银行往来帐数据和其他财务信息。据俄亥俄州总检察长称，它还包括受此事件影响的1194732名人员、下属、员工和企

业的社会保险号、医疗、工资单和其他资料。

俄亥俄州总检察长对OAKS工程团队提出了一些建议，包括彻底调查管理政策、IT政策、承包商安全和紧急事件通知等。

这是一起很坏的数据泄露事件，反映出许多问题。也就是说，OAKS工程数据泄露事件是其他大型政府事业单位的典型代表，这个事件反映出许多与IT无关的问题。Accenture 承包商的行为是令人遗憾的，但是似乎在这类事故中非常典型。

3）丢失在飞机上的非加密光盘

在2006年2月底，各大报刊开始报道安全软件厂商McAfee公司丢失了其数千名现有员工和前员工的个人数据。那些数据包括社会保障号、工资单数据以及股票期权等资料。

显然，在几个月之前，负责审计McAfee公司帐目的德勤会计师事务所的一位员工在搭飞机的过程中将一张光盘连同其他一些音乐CD一起遗忘了飞机座位的袋子中。

那张未加密的光盘上保存了McAfee公司在2005年5月之前聘用的所有美国和加拿大员工的资料。总共大约有9290人。

这里的问题很清楚：客户将敏感数据托付给承包商并委以信任，但是承包商拿到未加密的数据之后，在处理那些数据时表现得异常马虎。

让人觉得讽刺的是，该事件中的德勤会计师事务所和McAfee公司都是通过告诉别人如何处理敏感数据而生存的公司。虽然这起数据泄露事件最后没有引起重大损失，但是疏忽大意仍是一个很坏的习惯，同时也说明这两家公司都不象他们自己吹嘘得那样专业。