Schools say US teachers’ retirement fund was breached by MOVEit hackers
Background
兩所美國學校確認非營利組織 TIAA（Teachers Insurance and Annuity Association of America）因遭受針對 MOVEit 檔案傳輸工具的大規模駭客攻擊而遭受資料洩露。佛蒙特州的 Middlebury College 和康涅狄格州的 Trinity College 均發布了安全通知，證實它們在 TIAA 發生的安全事件中遭受了資料洩露。據悉，TIAA 在全球超過 50 個國家管理著 1.3 萬億美元的資產，服務於 15000 多個機構的超過 500 萬名在職和退休員工。
Details
兩份安全通知都證實，TIAA 受到了駭客在 Progress Software 開發的企業檔案傳輸工具 MOVEit Transfer 中廣泛利用漏洞的影響。根據 Emsisoft 威脅分析師 Brett Callow 的說法，當前已有超過 160 個受害者，包括美國衛生與人類服務部（HHS）和西門子能源。其中只有 12 個受害者證實了受影響人數，已經超過 1600 萬人。
Trinity College 表示其將 TIAA 作為養老金計劃的記錄儲存者，該學院的系統未受到 MOVEit 駭客攻擊的影響，但“與 Trinity 共享學生員工資料的 TIAA 已經宣布其檔案可能受到影響。” Trinity 表示他們與 TIAA 共用社會保險號碼和出生日期等敏感訊息。Middlebury College 也表示 TIAA 通知他們個人身份訊息已因此次網路攻擊而外泄。雖然還不確保有哪些資料被存取到，但 Middlebury 表示已經通知可能受影響的學院“學生、教職員工”。Middlebury 還證實，他們還受到了對 National Student Clearinghouse 的 MOVEit 攻擊的影響，結果導致學生資料被曝光。而 TIAA 通知受影響的學校其安全事故後，該組織尚未公開承認此事。對於一個對該組織保持沉默的推特使用者的質疑，TIAA 回答稱其辦公室已關閉。至今，TIAA 尚未回應 TechCrunch 的提問。當前還不清楚有多少組織因為對 TIAA 的網路攻擊而受到影響。TIAA 尚未出現在與俄羅斯 Clopransomeware 駭客組織有關的暗網洩露網站上，後者聲稱對 MOVEit 的持續駭客攻擊負責。
Analysis
此次事件涉及的是美國的退休金體系，這引起了人們對於個人敏感訊息和金融資產安全的擔憂。退休金是每位老年人不可或缺的生活依靠，它承載著人們對未來的期望和安心感。然而這次事件的發生提醒我們，即使是看似強大和值得信任的金融機構和組織也有可能受到駭客攻擊。這警告我們需要更加注重資料安全和訊息保護，並將其視為珍貴財產的一部分。
該事件還凸顯了企業的供應鏈安全問題。就像這次 TIAA 的情況一樣，僅僅因為其中一個供應商受到攻擊，就會導致多個組織和機構受到影響。因此維護供應鏈中的每個環節的安全至關重要，這需要各方共同努力，包括企業、政府和個人。
Protecting Personal Data and Financial Assets
對於受到此次事件影響的個人和組織，保護個人敏感訊息和金融資產的安全至關重要。以下是一些建議：
- 定期監控和更新系統：組織應該建立監控機制，定期檢查和更新系統，以防止漏洞的出現。
- 加固密碼保護：使用強大的密碼以及多因素取證，並定期更換密碼，以減少駭客破解的風險。
- 加固人員培訓：教育員工識別釣魚郵件和惡意連結的能力，減少人為失誤導致的風險。
- 加密敏感資料：對儲存和傳輸的資料進行加密，以防止未授權的存取。
- 緊急應對計劃：準備應對網路攻擊和資料洩露的應急計劃，以最大程度減少損失。
最重要的是，我們需要擺脫對數位服務和網路的依賴，推動數位權力和控制權回歸個人。實施更加嚴格的資料隱私和保護法規，以加固個人資料所有權和隱私保護，是維護公眾利益的必要之舉。
延伸閱讀
- Change Healthcare 駭客使用被盜憑證入侵 - 聯合健康集團 CEO 表示沒有多重因素認證
- 醫療資訊科技公司遭勒索軟體入侵，患者敏感資料外洩
- Roku 宣布第二次安全事件後，57.6 萬使用者帳戶遭入侵
- 加拿大安大略省教師新面孔！印度金融科技公司 Perfios 成為獨角獸
- 美國政府監察機構入侵聯邦機構進行雲安全壓力測試
- 聯邦政府入侵 LockBit，LockBit 反制。下一步該怎麼辦？
- AnyDesk 遭入侵後重設密碼並撤銷證書
- 深度贗品在戰爭中的應用：俄羅斯入侵烏克蘭引發新的擔憂
- 蘋果科幻劇《入侵》將在經過兩季後最終體現結局
- Snap 與教育科技公司 Insipirit 合作，將其擴增實境技術引入 50 所美國學校
