近日，美國消費者信用報告機構TransUnion就資料洩露一事發表聲明，稱有黑客團隊利用授權客戶的憑證非法通路了該公司位于南非的伺服器并竊取大量客戶資訊。目前TransUnion已組織網絡安全專家展開調查，拒絕了黑客的勒索要求，并承諾将為受影響的客戶免費提供其他身份保護産品的年度訂閱服務。
TransUnion釋出聲明
公開資料顯示，TransUnion與Experian和Equifax一起被稱為美國信貸機構“三巨頭”。TransUnion的客戶包括近七萬家企業，收集并彙總了來自30多個國家超過10億個體消費者的相關資訊，2019年其總資産高達71億美元。
據報道，一個來自巴西的黑客組織N4aughtysecTU聲稱其破壞了安全性較差的TransUnionSFTP伺服器，成功竊取5400萬條消費者的個人資訊，總量高達4TB（一種電子儲存機關，1TB = 1000GB），其中大部分客戶來自南非。被竊取的客戶資訊包括電話号碼、郵箱位址、身份證号、家庭住址以及消費者信用評分等。
當地時間3月11日，黑客組織向TransUnion發出警告，以洩露個人資訊和攻擊客戶為由威脅其在七天内支付約2.23億南非蘭特（南非貨币）或價值約1500萬美元的比特币。
TransUnion遭遇資料洩露并被勒索一事很快得到了證明。3月19日，TransUnion發表聲明，稱黑客團隊利用授權客戶的憑證非法通路了南非分部的伺服器并竊取客戶資訊，TransUnion在攻擊發生後第一時間暫停了通路功能，聯系監管部門，并成立網絡安全專家小組展開調查。目前被暫停的相關功能已經恢複。
面對黑客團隊的勒索要求，TransUnion表示拒絕接受。公開聲明顯示，TransUnion認為該事件隻影響了持有有限南非業務資料的孤立伺服器，非洲以外的客戶未受到波及。作為補償，TransUnion承諾将為受影響的客戶免費提供身份保護産品TrueIdentity的年度訂閱服務，在調查期間設立專門網站通報事件進展。
據悉，TransUnion的強硬态度也促使黑客團隊轉變了政策——他們計劃為被竊取個人資訊的客戶提供購買“保險”的機會，如果小型企業願意支付10萬美元，大型企業支付100萬美元，黑客團隊便承諾不洩露特定客戶的個人資訊。
值得注意的是，黑客組織N4aughtysecTU曾向媒體透露，TransUnion系統的安全防線十分薄弱，使用的密碼為極易破解的“Password”，這為黑客的暴力破解提供了機會。NordVPN公司曾在去年的一份報告中将“Password”列為2021年第五大常見的密碼，僅需不到一秒的時間便可破解。
NordVPN報告中羅列的常見密碼
事實上，這已經不是美國信貸機構“三巨頭”在南非遭遇的第一次重大資料洩露事件。2020年8月，有不法分子冒充客戶對Experian南非分部實施詐騙，導緻多達2400萬條南非使用者的個人資訊被洩露，相關嫌疑人在一年後被逮捕。
“保證我們持有的資訊得到安全保護是TransUnion的首要任務。”TransUnion南非首席執行官LeeNaik在聲明中強調，盡管他們知道目前的情況令人不安，TransUnion南非分部依然緻力于幫助任何個人資訊可能受到影響的人。
編譯/綜合：南都見習記者 樊文揚