---
url: 'https://www.corbado.com/zh/blog/data-breaches-australia'
title: '澳大利亚 15 起最大规模的数据泄露事件 [2026年]'
description: '在澳大利亚，重大数据泄露事件日益加剧了撞库攻击的威胁，而通行密钥（passkey）可以提供针对这些网络安全威胁的保护。'
lang: 'zh'
author: 'Vincent Delitz'
date: '2026-05-20T15:51:58.758Z'
lastModified: '2026-05-20T15:54:15.767Z'
keywords: '澳大利亚数据泄露, 澳大利亚2024年最大数据泄露, 澳大利亚网络攻击, 澳大利亚用户数据泄露, 澳大利亚撞库攻击, 澳大利亚数据黑客'
category: 'Passkeys Strategy'
---
# 澳大利亚 15 起最大规模的数据泄露事件 [2026年]
## Key Facts
- 在 **2024 年第一季度**，澳大利亚的数据泄露率较上一季度激增了 388%，共有 180 万个账户受损，在全球遭泄露最多的国家中排名第 15 位。
- 自 2004 年以来，约有 **3700 万个澳大利亚电子邮件标识符**被泄露，相当于平均每分钟有 13 个账户受损。
- **Latitude Financial 数据泄露事件**（2023 年 3 月）暴露了 1400 万人的记录，远远超过其最初报告的 32.8 万受影响客户的估计。
- **撞库攻击**将从一次泄露中窃取的凭据武器化，用于攻击不相关的平台，即使是未遭泄露的组织也面临严重的账户接管风险。
- 一项 **Cloudflare 调查**发现，41% 的澳大利亚企业在过去一年中至少遭受过一次数据泄露，其中 33% 报告了 11 次或更多的数据泄露事件。
## 1. 简介：为什么数据泄露对所有组织都是一种风险？
在我们生活的这个互联世界中，网络安全的重要性从未如此明显。随着数字技术的发展，网络犯罪分子的策略也在不断演变，导致全球范围内数据泄露事件激增。在**受网络攻击上升影响最严重的国家中，澳大利亚**就是其中之一，近年来见证了一系列重大的数据泄露事件，影响了数百万人。这些泄露事件不仅暴露了敏感信息，还凸显了迫切需要先进的安全解决方案来保护用户数据。
澳大利亚成为全球网络安全领导者的道路充满了挑战和进步。该国已采取积极措施来改善网络安全，包括《**2023-2030 年国家网络安全战略**》等倡议，设立了专门的**网络安全部长**，并实施了“基本八项（Essential Eight）”框架。然而，尽管做出了这些努力，数据泄露的频率和规模仍在不断升级。
本篇博客文章概述了澳大利亚发生的最大规模的数据泄露事件（按受影响用户数量计算），探讨了使该国成为网络犯罪分子诱人目标的因素，并解释了为什么即使是**未遭泄露的组织如今也面临威胁**。
我们从不同来源（例如 [Webber Insurance](https://www.webberinsurance.com.au/data-breaches-list)、[Cyber Daily](https://www.cyberdaily.au/)、[OAIC 关于 2023 年 7 月至 12 月法定数据泄露报告](https://www.oaic.gov.au/privacy/notifiable-data-breaches/notifiable-data-breaches-publications/notifiable-data-breaches-report-july-to-december-2023)）收集了最大规模数据泄露事件的数据，特别重点关注了 2024 年，并讨论了这些泄露事件对个人和企业的影响。
## 2. 为什么澳大利亚成为数据泄露如此具有吸引力的目标？
澳大利亚的数据泄露事件急剧增加，特别是在 **2024 年第一季度，惊人地有 180 万个用户账户遭到入侵**。这表示与 2023 年最后一个季度相比，惊人地**增长了 388%**，将澳大利亚推至全球受损程度第 15 高的国家。
自 2004 年以来，大约有 3700 万个独立的澳大利亚电子邮件标识符遭到泄露，这相当于平均每分钟有 13 个账户被入侵。总而言之，这些泄露事件已导致澳大利亚共有 4.16 亿条个人记录被暴露，其中包括 9700 万个密码（详情请参阅[此处](https://www.insurancebusinessmag.com/au/news/cyber/data-breach-tsunami-hits-australia-486903.aspx)和[此处](https://www.ebminsurance.com.au/resources/news/no-more-data-breach)）。
有几个因素促成了澳大利亚成为网络犯罪分子的首选目标：
1. **不断增长的数字经济和高连通性**：澳大利亚拥有快速增长的数字经济。这种广泛的数字普及创造了一个庞大的潜在目标池，从个人用户到大型企业皆在其中。此外，澳大利亚高度的连通性、精通技术的人口以及先进的数字基础设施，使其成为网络犯罪分子眼中利润丰厚的目标。
_摘自 2023 年 7 月至 12 月法定数据泄露报告_
2. **黑市对个人数据支付创纪录的金额**：个人数据在黑市上的价值飙升，使得澳大利亚丰富的数字信息非常令人垂涎。网络犯罪分子尤其被金融数据、[医疗保健](https://www.corbado.com/passkeys-for-healthcare)记录以及[政府](https://www.corbado.com/passkeys-for-public-sector)数据库所吸引。
3. **网络安全就绪性方面的挑战**：尽管在网络安全方面进行了大量投资，但许多澳大利亚组织在全面实施和维护安全措施方面仍面临挑战。Cloudflare 的一项调查显示，41% 的澳大利亚企业在过去一年中至少经历过一次数据泄露，其中 33% 的企业报告在同一时期内发生了 11 次或以上的泄露事件。这表明，虽然意识正在提高，但有效网络安全战略的执行仍然不一致，导致许多组织容易受到攻击。
_摘自 2023 年 7 月至 12 月法定数据泄露报告_
4. **战略重要性和创新中心**：澳大利亚在亚太地区的战略重要性，加上其作为创新中心的声誉，也使其成为网络间谍和国家支持的攻击的目标。作为测试和采用新技术的领导者，澳大利亚经常发现自己处于那些试图在尖端数字系统完全安全之前破坏或利用它们的人的视线中。
5. **政府增加对网络安全的关注**：澳大利亚[政府](https://www.corbado.com/passkeys-for-public-sector)对网络安全的关注（以《2023-2030 年国家网络安全战略》和任命专门的网络安全部长等倡议为例）带来了好处，但也带来了风险。虽然这些努力旨在加强国家防御，但它们也吸引了复杂的攻击者的注意力，这些人试图挑战和规避新的安全措施。
澳大利亚数据泄露事件的激增凸显了保持良好网络安全态势的必要性。由于该国努力在 2030 年前成为该领域的领导者，它必须解决现有的漏洞，并在其倡议的基础上建立一个更具弹性的数字环境。像通行密钥（passkeys）这样的解决方案提供了抗网络钓鱼的多因素身份验证（MFA），代表了在保护用户数据和增强整体网络安全方面迈出的关键一步。此外，诸如[暗网监控](https://nordstellar.com/dark-web-monitoring/)和共享网络威胁情报等战斗努力将帮助该国为潜在攻击做好准备并减少数据泄露的影响。通过投资新技术，澳大利亚不仅可以抵御网络威胁，还可以成为网络安全的全球领导者。
## 3. 澳大利亚近期著名的数据泄露事件
在下文中，您将找到澳大利亚最大规模的数据泄露事件列表。数据泄露事件根据受影响客户账户的数量降序排列。该列表重点关注总部位于澳大利亚的公司，而不是涉及澳大利亚公民数据的跨国公司。
### 3.1 Canva 数据泄露事件
| **日期** | 2019 年 5 月 |
| ---------------------- | -------------------------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 全球 1.37 亿 |
| **泄露数据** | - 用户名
- 真实姓名
- 电子邮件地址
- 国家/地区数据
- 加密密码
- 部分支付数据 |
2019 年 5 月，澳大利亚科技独角兽 Canva 遭遇重大数据泄露事件，导致全球 1.37 亿用户的个人信息遭到破坏。此次泄露事件是由一名化名为“Gnosticplayers”的黑客精心策划的，该黑客设法渗透了 Canva 的系统并访问了敏感的用户数据。该攻击在进行过程中被 Canva 的安全团队发现，但在被制止时，黑客已经窃取了大量数据。
有趣的是，该黑客并未采取在暗网论坛上出售被盗数据的通常做法，而是直接联系了媒体机构 ZDNet，夸耀此次泄露事件。这种公开披露的行为在网络犯罪世界中并不常见，网络犯罪分子通常保持匿名以逃避执法部门的追捕。
泄露事件发生后，Canva 迅速通知了受影响的用户，敦促那些密码被解密的用户立即重置密码。此外，该公司对在过去六个月内未更新密码的账户实施了强制性密码重置。
### 3.2 Latitude 数据泄露事件
| **日期** | 2023 年 3 月 |
| ---------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 1400 万 |
| **泄露数据** | - 全名
- 实际地址
- 电子邮件地址
- 电话号码
- 出生日期
- 驾驶执照号码
- 护照号码 |
2023 年 3 月，Latitude Financial，一家著名的澳大利亚个人贷款和[金融服务](https://www.corbado.com/passkeys-for-banking)提供商，经历了该国近代史上最重大的数据泄露事件之一。最初，Latitude 报告称约有 328,000 名客户受到影响。然而，随着调查的展开，情况变得清晰，此次泄露事件危及了澳大利亚和新西兰超过 1400 万个人的个人信息。
此次泄露事件发生在一名网络犯罪分子使用被盗的一组员工凭据访问 Latitude 的系统时。这种未经授权的访问使攻击者能够窃取大量敏感的客户数据，包括姓名、联系信息和身份详细信息（如驾驶执照和护照号码）。此次泄露事件尤为令人担忧，因为许多遭破坏的数据可以追溯到 2005 年，这引发了人们的疑问：为什么这些旧记录在强制保留期之后仍然被存储着。
澳大利亚[政府](https://www.corbado.com/passkeys-for-public-sector)的应对措施是考虑采取更强有力的举措，包括扩大联邦网络机构干预私营部门数据泄露事件的权力。Latitude 目前正因其对泄露事件的处理方式而受到调查，人们对其安全实践以及公司是否采取了足够的措施来防止此类攻击提出了质疑。
### 3.3 MediSecure 数据泄露事件
| **日期** | 2024 年 5 月 |
| ---------------------- | --------------------------------------------------------------------- |
| **受影响客户** | 1290 万 |
| **泄露数据** | - 姓名
- 地址
- 健康信息（例如处方） |
2024 年 5 月，澳大利亚处方递送服务领域的关键参与者 MediSecure 遭遇重大数据泄露，暴露了 1290 万人的个人信息。MediSecure 是仅有的两家促进医生向药房进行电子和纸质处方传输的服务机构之一，它成为勒索软件攻击的目标，该攻击破坏了包含敏感患者数据的大型数据库。泄露的数据包括与 2023 年 11 月之前填写的处方相关联的姓名、地址和健康信息。
该攻击产生了严重的后果，不仅对健康数据被暴露的个人而言，对作为一家公司的 MediSecure 也是如此。在泄露事件发生后，MediSecure 被迫进入破产管理程序（administration），在此过程中，外部管理人接管了陷入财务困境的公司，以尝试重组其运营并管理债权人的还款。这一事件凸显了[医疗保健](https://www.corbado.com/passkeys-for-healthcare) IT 系统中的关键漏洞，以及此类泄露事件可能对消费者和企业造成的毁灭性影响。
澳大利亚政府以及各个监管机构迅速介入，以处理泄露事件的余波。他们的应对措施包括努力减轻对受影响个人的影响，并确保在其他[医疗保健](https://www.corbado.com/passkeys-for-healthcare)系统中解决类似的漏洞。
### 3.4 Optus 数据泄露事件
| **日期** | 2022 年 9 月 |
| ---------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 980 万 |
| **泄露数据** | - 姓名
- 出生日期
- 地址
- 电话号码
- 护照信息
- 驾驶执照号码
- 政府 ID 号码
- 医疗记录和 Medicare 卡 ID |
2022 年 9 月发生的 Optus 数据泄露事件影响了近 980 万客户——相当于该国总人口的近 40%。作为澳大利亚第二大电信提供商，Optus 成为一次复杂的网络攻击的目标，据报道该攻击是由一个有国家背景支持的组织策划的。攻击者访问了 Optus 的内部网络，并窃取了大量敏感个人信息，包括姓名、出生日期、地址以及身份识别号码，如护照、驾驶执照和 Medicare 卡 ID。
据信，此次泄露是通过一个不安全的 API 端点实现的，这使得攻击者能够绕过身份验证措施直接获取数据。Optus 系统中的这一漏洞引发了人们对现有网络安全措施是否充分的严重质疑，特别是对于处理大量个人数据的公司而言。
泄露事件发生后，攻击者在在线论坛上发布了被盗数据的样本，并勒索 150 万澳元的加密货币。然而，在执法部门的压力下，可能也由于害怕进一步的后果，该黑客仅在几天后就撤回了勒索要求，并声称已删除了被盗数据，在最初发布勒索要求的同一个论坛上发表了道歉声明。
Optus 泄露事件引发了对澳大利亚网络安全基础设施的广泛批评，并在 2023 年 4 月促成了一起涉及 120 万受影响客户的集体诉讼。
### 3.5 Medibank 数据泄露事件
| **日期** | 2022 年 12 月 |
| ---------------------- | ----------------------------------------------------------------------------------------------- |
| **受影响客户** | 970 万 |
| **泄露数据** | - 姓名
- 出生日期
- 护照号码
- 医疗索赔数据
- 医疗记录 |
2022 年 12 月，澳大利亚最大的健康[保险](https://www.corbado.com/passkeys-for-insurance)提供商之一 Medibank 遭到重大数据泄露事件的攻击，该事件危及了 970 万客户的个人信息。此次泄露事件据信是由总部设在俄罗斯的臭名昭著的 REvil 勒索软件组织策划的，涉及窃取高度敏感的数据，包括医疗记录和索赔信息。
当 REvil 在一个暗网博客上发布 6GB 的原始数据样本并伴随着 1000 万美元的赎金要求时，这一事件浮出水面。这些数据的发布充当了严厉的警告，表明攻击者掌握着数量大得多的敏感信息。尽管面临巨大的压力，Medibank 采取了坚定的立场，拒绝支付赎金，这一决定受到了网络安全专家和公众的赞扬与审视。
在 Medibank 拒绝满足赎金要求之后，被盗数据据报道在暗网上被完全公开。然而，迄今为止，还没有确诊的身份盗窃或金融欺诈案件被直接与此次泄露相关联。作为对攻击的回应，Medibank 敦促其客户保持警惕，特别是在信用检查和网络钓鱼尝试方面，同时还投入大量资源以增强其网络安全防御能力。
此次泄露事件引发了多项调查，其中包括澳大利亚信息专员办公室（OAIC）对 Medibank 数据处理做法的一项重大调查。如果被发现在网络安全措施方面存在疏忽，Medibank 可能会面临严厉的处罚——高达 [21.5 万亿（！）美元](https://www.dentons.com/en/insights/articles/2024/june/14/are-we-heading-for-a-21-5-trillion-penalty-order-for-a-data-breach-in-australia)。
此次泄露事件不仅突出了医疗保健领域处理敏感数据相关的风险，而且还强调了未能实施充分网络安全保护的组织可能面临的后果。
### 3.6 Qantas 数据泄露事件
| **日期** | 2025 年 6 月 |
| ---------------------- | -------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 600 万 |
| **泄露数据** | - 全名
- 电子邮件地址
- 电话号码
- 出生日期
- 常旅客号码 |
2025 年 6 月，澳大利亚最大的[航空公司](https://www.corbado.com/passkeys-for-airlines)澳洲航空（Qantas）经历了重大的数据泄露事件，可能影响了多达 600 万客户。该泄露事件是通过针对澳洲航空位于马尼拉的呼叫中心的复杂社会工程学攻击发生的，凸显了可以通过高级[呼叫中心软件](https://www.techimply.com/software/call-center-software-india)减轻的漏洞。一名网络犯罪分子冒充公司员工，未经授权访问了第三方客户服务平台，并窃取了敏感客户信息，包括姓名、电子邮件地址、电话号码、出生日期和常旅客号码。
澳洲航空迅速通知了受影响的客户，确认财务细节、护照数据和账户密码没有遭到破坏。此次泄露引发了对将关键客户服务职能外包的安全性担忧，并促使澳洲航空审查并加强了其安全措施。首席执行官 Vanessa Hudson 公开道歉，承担了责任，并承诺进行全面改进以防止未来再次发生。
### 3.7 Early Settler 数据泄露事件
| **日期** | 2024 年 8 月 |
| ---------------------- | ------------------------------------------------------------------------------------------- |
| **受影响客户** | 110 万 |
| **泄露数据** | - 全名
- 电子邮件地址
- 电话号码
- 地址
- 出生日期 |
2024 年 8 月，澳大利亚著名家具和家居用品零售商 Early Settler 遭遇重大数据泄露，导致 110 万客户的个人信息被曝光。
该泄露事件是在发现针对 Early Settlers 客户数据库的未授权访问后被察觉的，尽管泄露的具体方法尚未公开。该公司迅速通知了受影响的客户，并敦促他们警惕潜在的网络钓鱼企图以及其他形式的身份欺诈，这些欺诈行为可能由泄露的信息导致。
作为对泄露事件的回应，Early Settlers 承诺加强其网络安全措施以防止未来发生类似事件，并向客户保证他们正在采取一切必要步骤来保护他们的数据。
### 3.8 Clubs NSW 数据泄露事件
| **日期** | 2024 年 5 月 |
| ---------------------- | --------------------------------------------------------------------- |
| **受影响客户** | 100 万 |
| **泄露数据** | 全名 电子邮件地址 会员详情 电话号码 地址 |
2024 年 5 月，代表澳大利亚新南威尔士州注册俱乐部的最高机构 Clubs NSW 遭遇数据泄露，危及了约 100 万名会员的个人信息。此次泄露涉及对敏感数据的未授权访问，其中包括全名、电子邮件地址、会员详细信息、电话号码和实际地址。
由于会员信息的曝光，此次泄露引起了极大的关注，因为这些信息可能被用于网络钓鱼攻击、身份盗窃及其他恶意活动。在发现泄露事件后，Clubs NSW 迅速通知了受影响的会员，并建议他们对可能利用受损信息进行的欺诈性通信保持警惕。
攻击的确切方法尚未披露，但它凸显了处理大量个人和会员数据的组织所存在的漏洞。这一事件也引起了对加强协会和基于会员制的组织内网络安全实践必要性的关注，这些组织在数据保护方面的优先级可能并不总是像大型企业那样严格。
作为对泄露事件的回应，Clubs NSW 采取了措施加强其安全基础设施，并与网络安全专家合作以防止未来再次发生类似事件。
### 3.9 ProctorU 数据泄露事件
| **日期** | 2020 年 7 月 |
| ---------------------- | --------------- |
| **受影响客户** | 444,000 |
| **泄露数据** | 电子邮件地址 |
2020 年 7 月，远程学生广泛使用的在线监考服务 ProctorU 卷入了一起重大数据泄露事件，暴露了 444,000 名用户的电子邮件地址。此次泄露是影响 18 家公司并总共危及惊人的 3.86 亿条记录的大规模数据泄露的一部分。
尽管泄露事件非常严重，但 ProctorU 报告称，没有财务信息或其他敏感的个人数据受到损害。然而，电子邮件地址的曝光，尤其是那些与著名教育机构相关的电子邮件地址，引发了关于潜在网络钓鱼攻击以及针对受影响用户的其他恶意活动的担忧。
这一事件凸显了在远程学习时代变得日益重要的在线服务中存在的漏洞。
### 3.10 Tangerine Telecom 数据泄露事件
| **日期** | 2024 年 2 月 |
| ---------------------- | --------------------------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 232,000 |
| **泄露数据** | - 全名
- 出生日期
- 手机号码
- 电子邮件地址
- 邮政地址
- Tangerine 账号 |
2024 年 2 月，澳大利亚知名的[电信](https://www.corbado.com/passkeys-for-telecom)提供商 Tangerine Telecom 经历了数据泄露事件，暴露了 232,000 名客户的个人信息。被泄露的数据包括全名、出生日期、手机号码、电子邮件地址、邮政地址和 Tangerine 账号。由于暴露信息的详细性质，此次泄露引发了严重担忧，这些信息可能被用于身份盗窃和有针对性的网络钓鱼攻击。
此次泄露事件是在检测到对 Tangerine 客户数据库的未授权访问时发现的。尽管该公司迅速采取行动遏制泄露并通知受影响的客户，但该事件凸显了处理大量敏感客户数据的[电信](https://www.corbado.com/passkeys-for-telecom)公司在安全措施方面存在的漏洞。
泄露事件发生后，Tangerine [Telecom](https://www.corbado.com/passkeys-for-telecom) 向客户保证，没有财务信息或密码被泄露，但暴露的数据仍足以造成潜在的危害。该公司敦促其客户对可疑通信保持警惕，并监控其账户是否有任何异常活动。
### 3.11 澳大利亚国立大学（ANU）数据泄露事件
| **日期** | 2018 年 11 月 |
| ---------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **受影响客户** | 200,000 |
| **泄露数据** | - 姓名
- 地址
- 电话号码
- 出生日期
- 紧急联系人详情
- 税号
- 工资单信息
- 银行账户详细信息
- 学生学习成绩 |
2018 年 11 月，澳大利亚国立大学（ANU）遭受了高度复杂的网络攻击，危及了约 200,000 人的敏感个人信息。此次泄露事件是澳大利亚历史上最复杂的事件之一，潜伏了近六个月未被发现，使得攻击者能够访问长达 19 年的数据。
攻击者使用了一系列四次鱼叉式网络钓鱼活动来渗透 ANU 的网络。最初的泄露发生在一级高级职员在不知情的情况下打开了一封恶意电子邮件时，这为攻击者提供了他们进一步深入大学系统所需的凭据。一旦进入内部，攻击者获得了对 ANU 企业系统域（ESD）的访问权限，该域存储着大学最敏感的记录，包括个人详细信息、税号、工资信息，甚至学生学习成绩。
攻击者通过一丝不苟地掩盖行踪展示了高水平的复杂性。他们立即删除了访问日志以清除任何活动证据，并使用了旨在匿名化在线活动的软件 Tor 来隐藏他们的位置。这种级别的操作安全显著推迟了对泄露事件的检测。
为了进一步扩大访问权限，攻击者利用受损员工的电子邮件账户发出了第二轮网络钓鱼电子邮件，邀请其他高级大学成员参加一个虚假活动。这扩大了攻击的范围并增加了潜在的损害。
尽管此次泄露事件严重，但没有证实被盗数据被利用的证据。然而，该事件促使 ANU 投入数百万美元升级其网络安全基础设施，以防范未来的数据泄露。
### 3.12 Service NSW 数据泄露事件
| **日期** | 2020 年 4 月 |
| ---------------------- | ------------------------------------------------------------------------------------------------- |
| **受影响客户** | 104,000 |
| **泄露数据** | 未披露的具体类型，但包含来自 500 万份文件中的敏感个人信息。 |
2020 年 4 月，负责为居民提供各种服务的新南威尔士州政府机构 Service NSW 经历了重大数据泄露事件，暴露了 104,000 人的个人信息。此次泄露是由一系列网络钓鱼攻击发起的，这些攻击成功破坏了 47 个员工电子邮件账户。攻击者获得了约 500 万份文件的访问权限，其中 10% 包含敏感个人数据。
由于访问的数据量巨大且涉及信息的敏感性质，此次泄露事件尤为令人担忧。尽管未完全披露暴露的具体数据类型，但泄露的数据可能包括个人详细信息，如姓名、地址、联系信息以及其他可能的关键身份识别信息。
造成泄露成功的其中一个主要因素是遭破坏的账户缺少多因素身份验证（MFA）。没有这层额外的安全保护，攻击者便能轻松获得并维持对电子邮件账户的访问权限，从而在网络中横向移动以收集大量敏感数据。
作为对泄露事件的回应，Service NSW 对其安全实践进行了全面审查，并开始实施更强的安全措施，包括在其系统中全面部署 MFA。
### 3.13 Hey You 数据泄露事件
| **日期** | 2024 年 6 月 |
| ---------------------- | --------------------------------------------------------------------------------------------------- |
| **受影响客户** | 100,000 |
| **泄露数据** | - 全名
- 电子邮件地址
- 电话号码
- 送货地址
- 订单历史记录 |
2024 年 6 月，广受欢迎的澳大利亚食品和饮料点餐应用程序 Hey You 发生了数据泄露事件，暴露了约 100,000 名客户的个人信息。该泄露事件危及了敏感的客户数据，包括全名、电子邮件地址、电话号码、送货地址和订单历史记录。这些数据的暴露带来了显著的风险，特别是在潜在的身份盗窃和网络钓鱼攻击方面。
此次泄露是在发现对 Hey You 数据库未经授权的访问时被察觉的。虽然 Hey You 向客户保证没有[支付](https://www.corbado.com/passkeys-for-payment)或财务信息遭到破坏，但此次泄露仍然强调了保护即使是看似不那么重要的数据的重要性。像订单历史和送货地址这样的信息，当与其他个人数据结合时，就可被网络犯罪分子用于各种恶意目的。
为了应对此次泄露事件，Hey You 实施了额外的安全措施以防止未来类似事件的发生，并与网络安全专家密切合作以加强其数据保护协议。该公司还建议客户防范任何异常通信，并监控他们的账户是否有未授权活动的迹象。
### 3.14 Telstra 数据泄露事件
| **日期** | 2024 年 4 月 |
| ---------------------- | ------------------------------------------------- |
| **受影响客户** | 47,000 |
| **泄露数据** | - 姓名
- 电子邮件地址
- 电话号码 |
2024 年 4 月，澳大利亚最大的电信提供商之一 Telstra 披露了一起数据泄露事件，暴露了约 47,000 名客户的个人信息。泄露的数据包括姓名、电子邮件地址和电话号码。当一个包含这些信息的数据集发布在黑客论坛上时，该泄露事件被公开，引发了对暴露数据被潜在滥用的担忧。
尽管据报道该数据集包含大量虚拟数据，但真实的客户信息的暴露依然带来了严峻风险，特别是有关身份盗窃和有针对性的网络钓鱼诈骗。虽然 Telstra 澄清该泄露并非由于对其系统受到直接网络攻击所致，但该事件突出了在保护客户数据免受未授权访问和分发方面面临的持续挑战。
作为对此次泄露事件的回应，Telstra 采取措施评估暴露的范围，并努力安抚客户，更加敏感的信息（如财务细节）没有遭到损害。
此外，Telstra 面向消费者引入了通行密钥作为抗网络钓鱼的 MFA 方式。
### 3.15 Sumo 数据泄露事件
| **日期** | 2024 年 5 月 |
| ---------------------- | ---------------------------------------------------------------------------------------------------- |
| **受影响客户** | 40,000 |
| **泄露数据** | - 全名
- 电子邮件地址
- 电话号码
- 账单地址
- 账户详细信息 |
2024 年 5 月，澳大利亚[能源](https://www.corbado.com/passkeys-for-energy)和电信提供商 Sumo 发生了数据泄露事件，危及了大约 40,000 名客户的个人信息。此次泄露涉及对敏感客户数据的未授权访问，包括全名、电子邮件地址、电话号码、账单地址和账户详情。这些信息可能会被用于身份盗窃、网络钓鱼计划以及其他恶意活动。
当在 Sumo 的系统中检测到异常活动时，发现了泄露事件，促成了立即的调查。尽管没有报告称信用卡详情等财务信息属于遭破坏的数据，但暴露的信息仍然足以使受影响的客户处于风险之中。Sumo 建议其客户保持警惕，特别是关于意外的通信，并监控他们的账户以发现任何异常活动。
为了应对此次泄露事件，Sumo 实施了增强的安全措施，并与网络安全专家密切协作以加强其防御能力，防止未来发生攻击。
## 4. 日益增长的撞库威胁：为什么它对所有公司都很重要
我们已经看到，许多企业遭到入侵，而且几乎每个澳大利亚人的数据都可能是某次泄露事件的一部分。现在让我们重点关注由这种数据泄露事件造成的威胁，即使被入侵的组织立即更改了所有密码。排在第一位的担忧大概就是撞库（credential stuffing）攻击。
### 4.1 什么是撞库攻击？
撞库攻击是一种网络攻击类型，黑客使用自动化工具尝试大量的用户名和密码组合（这些组合通常来源于以前的数据泄露事件），以获得对用户账户的未授权访问。与尝试随机组合的暴力破解攻击不同，撞库攻击依赖于许多人在多个网站上重复使用密码这一事实。这使得攻击者可以通过使用在一次泄露中受损的登录凭据来攻击其他平台上的账户，从而更容易地入侵账户。
_摘自 2023 年 7 月至 12 月法定数据泄露报告_
### 4.2 数据泄露与撞库攻击之间的联系
数据泄露是撞库攻击的主要推动力。当一家公司的数据库遭到破坏时，被盗用的凭据——通常包括用户名、电子邮件地址和密码——可能会在暗网论坛上出售或共享。网络犯罪分子随后会使用这些凭据对其他服务发起撞库攻击，他们知道有相当大比例的用户在不同的网站上重复使用密码。
例如，如果用户的电子邮件和密码在某个社交媒体网站的泄露事件中被曝光，攻击者可能会使用相同的凭据尝试访问该用户的[银行](https://www.corbado.com/passkeys-for-banking)、购物或电子邮件账户。这可能会导致重大的经济损失、身份盗窃和对敏感信息的未授权访问，甚至对于那些没有直接遭遇数据泄露的公司也是如此。
### 4.3 为什么撞库攻击对所有公司都是一个令人担忧的问题
**即使您的公司没有经历过数据泄露，您仍然面临由撞库引起的泄露风险**。使用来自其他泄露事件凭据的攻击者可能将您的用户账户作为目标，潜在地获取访问敏感数据的权限，进行欺诈性交易，或危及您的系统。这不仅构成了安全威胁，而且还损害了您的品牌声誉，并可能因欺诈和客户流失而导致财务损失。
根据**澳大利亚的法定数据泄露计划**，如果个人数据遭到破坏，公司必须通知个人。然而，撞库攻击的影响不仅仅是通知用户。公司必须积极主动地通过实施更强的安全措施来预防这些攻击，例如多因素身份验证（MFA）、监控可疑的登录尝试，并使用能在受损凭据被利用之前检测到它们的工具。
### 4.4 防范撞库攻击
对于个人而言，像 [Have I Been Pwned](https://haveibeenpwned.com/) 这样的工具允许用户检查他们的电子邮件地址是否卷入了任何数据泄露事件，从而帮助他们采取步骤保护自己。公司也可以使用类似资源，如 [HudsonRock](https://www.hudsonrock.com/)，它允许企业检查他们的域名是否与遭泄露的账户相关联，从而提供潜在撞库攻击的早期预警信号。
## 5. 澳大利亚面临撞库带来的重大威胁
不幸的是，澳大利亚是全球人均数据泄露率最高的国家之一。如上所述，对近期泄露事件的分析表明，即使是该国一些最大、最受信任的组织也成为了网络攻击的受害者。敏感数据的广泛暴露大大增加了撞库攻击的风险，特别是对于那些习惯在多个平台上重复使用密码的用户。
鉴于在大型机构中发生的大规模数据泄露事件，包括电信提供商、[金融服务](https://www.corbado.com/passkeys-for-banking)和教育机构，极有可能有大量澳大利亚用户的凭据正在暗网上流通。这些受损的凭据可以被网络犯罪分子利用以获得对各个账户的未授权访问权限，对个人和企业构成严峻威胁。
此外，澳大利亚先进的电子政务基础设施使公民能够在线与政府服务进行交互，这已成为攻击者具有吸引力的目标。政府平台内部高度的数字化使其成为撞库攻击的首要目标，进一步强调了在澳大利亚所有部门实施强大网络安全措施的必要性。
## 6. 通行密钥如何帮助防止数据泄露和撞库攻击
通行密钥（passkeys）是解决通常导致数据泄露和撞库攻击漏洞的绝佳解决方案。它们结合使用了存储在用户设备上的私钥和存储在服务器上的公钥。即使黑客获取了用户的公钥或破坏了服务器，如果没有存储在用户设备（在 TPM 或安全飞地中）上的相应私钥，他们也无法登录。
通行密钥还可有效防止撞库攻击。由于通行密钥不涉及可在多个网站上重复使用的密码，因此撞库的整个前提便不复存在。即使黑客从另一个被泄露的网站获取了登录信息，也不能将其用于访问由通行密钥保护的账户。这在像澳大利亚这样的国家尤为关键，因为高数据泄露率意味着暗网上存在着大量潜在的受损凭据。
让我们看看如何通过推广通行密钥来防止数据泄露和撞库攻击。因此，我们建议分为四个阶段进行：
1. **阶段：引入通行密钥**
在最初的阶段，将通行密钥集成到您的产品中，并主动在账户设置中提供通行密钥的创建选项，如果用户已经使用传统登录方式成功登录的话（另请参见自动升级为通行密钥）。
2. **阶段：让您的用户将通行密钥作为主要身份验证方法**
应用“通行密钥优先”的思维方式，鼓励尽可能多地使用通行密钥登录，并将其作为主要的身份验证方式。传统的身份验证方式仍将提供，但不进行积极推广。
3. **阶段：仅在通行密钥降级和恢复时提供其他身份验证选项**\
只有在不支持通行密钥的设备上、当没有可用的通行密钥时或用户取消了通行密钥登录流程时，您才可以使用现有的身份验证方法。
4. **阶段：通过从您的系统中移除密码来提高整体安全性**\
如果您拥有足够高的通行密钥采用率，您可以开始移除密码，以进一步提高安全性，并使泄露的凭据彻底无效。
## 7. 结论
由于澳大利亚面临日益增多的数据泄露事件，撞库的威胁已成为组织和个人极为关注的问题。各行各业敏感信息的广泛暴露凸显了迫切需要更强大的网络安全措施。凭借先进的安全特性，通行密钥为这些挑战提供了充满希望的解决方案，有效缓解了与基于传统密码的系统相关的风险。通过拥抱通行密钥等创新技术，澳大利亚可以加强针对网络威胁的防御，保护公民和企业的数字身份。在我们向前迈进的过程中，组织和个人在这个不断发展的数字环境中保持警惕并采取保护数据的最佳实践至关重要。
## 常见问题（FAQ）
### 按受影响用户数量计算，澳大利亚历史上最大规模的数据泄露事件是什么？
2019 年 5 月的 Canva 数据泄露事件在数量上是最大的，导致全球 1.37 亿个用户账户受损，包括加密密码和部分支付数据。这名被称为“Gnosticplayers”的攻击者在行动中途被发现，但在被制止之前，其已经窃取了大量数据。
### 其他公司的数据泄露事件如何使我的组织面临撞库攻击的风险？
撞库攻击利用从一次泄露中窃取的用户名和密码组合，尝试登录完全不同的平台，利用人们在不同网站上重复使用密码的普遍习惯。即使您的组织从未直接遭到入侵，攻击者也可以利用从无关泄露事件中获取并在暗网论坛上出售的凭据，以此为目标攻击您的用户账户。
### 发生数据泄露后，澳大利亚公司负有哪些法律义务？
根据澳大利亚的法定数据泄露（Notifiable Data Breaches）计划，当个人的个人数据受到损害时，公司必须通知受影响的个人。疏忽的安全实践后果可能非常严重：Medibank 泄露事件的调查提出了高达 21.5 万亿美元罚款的可能性，说明了网络安全措施不足所带来的巨大财务风险。
### 为什么医疗保健和金融组织在澳大利亚的数据泄露事件中成为特别目标？
医疗保健和金融组织掌握的数据在黑市上能卖出高价，包括医疗记录、政府身份证和财务详细信息。2024 年 5 月的 MediSecure 勒索软件攻击暴露了 1290 万澳大利亚人的健康信息，并在财务上造成了毁灭性的打击，以至于该公司随后被迫进入破产管理程序。