Medibank 数据泄露是如何发生的以及如何避免？

1. 简介#

2022 年 10 月，澳大利亚最大的私人健康保险公司之一 Medibank 遭遇了数据泄露，暴露了 970 万客户的敏感个人和医疗信息。这起事件展示了未能实施基本网络安全措施的严重后果。了解泄露是如何发生的以及被利用的安全漏洞，对于防止未来发生类似攻击至关重要。

这就是为什么这篇博文将涵盖这些主要问题：

• 促成 Medibank 泄露的漏洞有哪些？
• 哪些对策本可以防止 Medibank 泄露？

2. Medibank 数据泄露是如何发生的？#

Medibank 数据泄露并不是复杂黑客方法的结果。相反，它是由于一系列可预防的安全错误而发生的。这些疏忽使得网络犯罪分子进入 Medibank 的网络，窃取大量敏感信息，然后索要赎金。

2.1 被盗的凭据和不安全的入口点#

攻击始于 Medibank 签约的第三方 IT 提供商在个人设备上存储了 Medibank 的管理员级别登录凭据。该设备感染了恶意软件，允许攻击者获取用户凭据。由于当时 Medibank 的远程访问系统不需要多因素身份验证，攻击者可以使用这些被盗的凭据登录公司的网络，伪装成授权用户。

2.2 数据窃取和 Medibank 的延迟响应#

一旦进入 Medibank 的系统，犯罪分子就安装了一个脚本来搜索和提取敏感的客户信息。他们压缩了这些数据，并通过内置后门将其传出网络。尽管公司的安全工具标记了可疑活动，但这些警报并未得到应有的紧急跟进。当 Medibank 的安全团队最终采取行动并关闭攻击者的访问权限时，已经有 200 GB 的个人数据被盗。

2.3 勒索要求和数据泄露#

被盗信息包括：

• 姓名
• 出生日期
• 护照详细信息
• Medicare 号码

在掌握这些数据后，攻击者索要 1000 万美元的赎金，以停止将其公之于众。Medibank 拒绝支付，认为这样做会助长进一步的攻击，因此作为回应，犯罪分子开始在暗网上泄露部分数据，给公司带来了额外的压力。

3. Medibank 安全中的关键漏洞#

Medibank 泄露事件显示了该组织网络安全防御中的几个严重弱点。由于未能实施这些基本的安全控制，Medibank 为攻击者创造了利用特权访问、在内部系统中横向移动以及窃取敏感数据的机会。以下是促成该事件的关键漏洞：

3.1 缺乏凭据保护#

Medibank 未能保护特权凭据，使得攻击者能够绕过初始安全措施，因为系统内部没有部署 2FA/MFA 来进一步验证登录。

3.2 缺乏最小特权原则 (POLP)#

黑客在暗网上购买的员工账户拥有超出执行日常任务所需的权限，增加了高特权账户受到攻击的风险。这使得攻击者可以直接访问关键数据。

3.3 网络分段不足#

缺乏网络分段使得攻击者更容易定位和提取敏感数据。如果没有隔离区或强大的访问控制，攻击者就可以访问数据库而不会遇到重大障碍。

3.4 延迟发现后门#

尽管最终发现了违规行为，但 Medibank 迟缓的响应使得攻击者在关闭网络攻击之前就已经下载了大量数据。

4. 如何才能防止 Medibank 泄露？#

以下四种策略本可以减轻甚至防止 Medibank 数据泄露：

4.1 实施网络威胁意识培训#

教导员工如何识别网络钓鱼企图和凭据盗窃可以降低初始妥协的风险，因为网络钓鱼仍然是凭据盗窃最常见的方法之一。

4.2 执行最小特权原则 (POLP)#

POLP 将对敏感系统和数据的访问限制为仅限于需要它们的人员。通过执行 POLP，Medibank 本可以减缓攻击者的速度，或者完全阻止他们访问关键数据库。

4.3 使用多因素身份验证 (MFA)#

MFA 通过在密码之外要求额外的验证步骤来增加一层额外的安全保障。根据微软的说法，MFA 可以防止高达 98% 的账户受损尝试。自适应 MFA 可根据风险因素调整要求，提供更强的保护。

4.4 实施强大的网络分段#

网络分段将敏感数据隔离到安全区域中，使攻击者更难以定位和访问。为了增加安全性，跳板机可以控制对这些区域的连接请求，从而降低未经授权访问的风险。

5. 结论#

Medibank 数据泄露事件凸显了在当今数字环境中采取强大网络安全措施的迫切需求。通过实施凭据保护、MFA、POLP 和网络分段等基本安全实践，组织可以显著降低遭受类似攻击的风险。

此事件严厉地提醒我们，保护敏感的客户数据不仅是一项法律义务，也是在数字时代维持信任的基本方面。

关于 Corbado

Corbado 是面向大规模运行 consumer 身份验证的 CIAM 团队的Passkey Intelligence Platform。我们让你看到 IDP 日志和通用 analytics 工具看不到的内容：哪些设备、操作系统版本、浏览器和 credential manager 支持 passkey，为什么注册没有转化为登录，WebAuthn 流程在哪里失败，以及什么时候操作系统或浏览器更新会悄悄破坏登录 — 而且无需替换 Okta、Auth0、Ping、Cognito 或你自有的 IDP。两款产品：Corbado Observe 提供 针对 passkey 及任何其他登录方式的 observability。Corbado Connect 提供 内置 analytics 的 managed passkey（与你的 IDP 并存）。VicRoads 通过 Corbado 为 500 万以上用户运行 passkey（passkey 激活率 +80%）。 与 Passkey 专家交谈 →

常见问题解答#

攻击者最初是如何进入 Medibank 网络的？#

攻击者从感染了恶意软件的第三方 IT 提供商的个人设备上获取了 Medibank 管理员凭据。由于当时 Medibank 的远程访问系统缺乏多因素身份验证，被盗的凭据足以让他们作为授权用户登录。

为什么 Medibank 泄露事件在攻击者进入网络后造成如此大的破坏？#

两个关键弱点放大了破坏程度：受损账户拥有超出日常任务所需的过度特权，违反了最小特权原则；此外，网络分段不足意味着攻击者可以自由移动，寻找并提取敏感数据库，而没有遇到重大障碍。

哪些安全控制措施能够最有效地防止 Medibank 数据泄露？#

在所有远程接入点强制执行多因素身份验证 (MFA) 是最关键的缺失控制措施，因为微软的数据表明 MFA 可阻止高达 98% 的账户入侵尝试。即使凭据被盗，将 MFA 与最小特权原则和强大的网络分段相结合，也能阻止或显著限制攻击。

为什么在遭受像 Medibank 这样的数据泄露后，组织应避免支付赎金？#

Medibank 拒绝支付 1000 万美元的赎金，是因为该公司认为付款会鼓励针对他们和其他人的进一步攻击。尽管拒绝支付导致数据在暗网上泄露，但这一立场符合更广泛的安全指导原则，即支付赎金并不能保证数据被删除，反而会激励重复攻击。