Experian遭黑，造成T-Mobile1500万用户数据泄露

 

Experian周四宣称一个包含T-Mobile客户信息的服务器被入侵，造成约1500万个人信息暴露。

 

Experian为T-Mobile处理信贷申请，黑客入侵并获得可识别客户的信息，包括从2013年9月1日至2015年9月16日的需要付费服务或设备融资的新申请者。

 

该公司宣称被盗数据包括姓名、地址、出生日期、带有社会安全号码且或含有类似驾照或护照号码的ID号的加密字段，以及T-Mobile在信用评估中使用的其他类型信息。支付卡或银行信息没有被盗，但是Experian说加密信息可能已泄露。

 

Experian声称这是一件在有限时间内的独立事件，并且没有证据显示被盗数据已经被不当使用。然而，暴露的数据构成了高风险的身份盗用，建议所有在2013年9月1日至2015年9月16日的T-Mobile USA后付费服务的申请者，都加入免费的身份分辨服务。

 

而T-Mobile的安全或系统尚未被入侵，该事件将影响运营商，T-Mobile的CEO - - John Legere已经发布了一份在线声明，称他 “对于数据泄露非常生气。”并且本公司将重新考虑和Experian的关系。

 

无线运营商在Q&A页面标记处Experian已对此次数据被盗承担了全部责任，并且已经开始通知可能受到影响的个人。该公司也开始采取措施来缓解问题，比如通过评估他们的Web应用防火墙的性能、增强加密秘钥的安全性、限制访问服务器的授权以及对受影响的服务器增加额外的监控，除此之外还联系了美国和国际执法和网络犯罪部门。

 

这个行业的安全专家一致认为此次事件应该为无线运营商和他们的合作伙伴敲响警钟，让他们明白应时刻把焦点放在改善客户数据的防护。

 

Tripwire的IT安全和风险策略主管 - - TimErlin指出一项事实，该缺陷不会影响所有Experian的用户，但与此次事件相关的细节在两家公司未来的公告中可能会有所改变。

 

Erlin告诉SecurityWeek：“因为没有信用卡数据被盗所以此事件的风险很容易被低估，但是泄露的个人信息类型很可能导致身份盗窃。这使用户身份被盗后，修复起来既难又贵。虽然这对于受影响的人不是个好消息，但Experian的其他客户事实上没有显示被盗用，这表明他们的数据是用分开的方式保存的，这限制了数据暴露。入侵已经是事实，但限制危害也是全面保护策略的一个重要部分。”

 

Tripwire的高级安全分析师，Ken Westin补充说道：“无线运营商因其存储着有价值的客户信息一直以来都是黑客的一个热门目标。而网络罪犯把目标锁定为比运营商本身更易成为目标的业务合作伙伴，对此就不应感到奇怪了。对于运营商与其业务合作伙伴，这该是一个警钟，去防范在特定行业中密集发生的这些常见攻击类型。”

 

根据文件安全公司FinalCode的CEO同时也是数据损失预防专家Gord Boyce指出Experian丢失的用户信息可能被用来与其他来源的数据结合，进行复杂的攻击。

Boyce说：“向隐私数据受损的受害者提供信贷监控成为了司空见惯，但其他攻击可能发生在监控时期之外。虽然参考Experian对一些数据的加密使用，但这种公开披露也表明了个人的识别信息已经的确被暴露了。T-Mobile和Experian的关系也表明追踪并审计敏感信息的用途、在其生命周期和处理供应链中规定数据的不同形式，都是非常重要的。”

原文链接：http://www.securityweek.com/experian-hack-exposes-data-15-million-t-mobile-consumers