C級行政人員成網絡罪犯新寵 受襲機會比高級人員高愈12倍

報告指出C級行政人員日成為社交工程攻擊資料外洩的主要目標。Verizon最新發布的《數據失竊調查報告2019》指出，C級行政人員能夠存取企業最敏感的資料，因而成為社交工程攻擊的主要目標。高級行政人員成為社交事故目標的機會較其他員工高出12倍。相比2018年，今年高級行政人員成為社交資料外洩攻擊對象的機率增加了9倍，主要的犯罪動機仍然是謀取金錢。涉及金融詐騙的社交工程攻擊 (佔所有數據失竊個案的12%) 是本年報告的重點，強調企業各階層員工都必須意識到網絡罪案所帶來的潛在影響。

Verizon Global Enterprise總裁George Fischer表示：「企業愈常利用邊緣應用程式來提供寶貴的見解和經驗，以瞬間收集及分析供應鏈數據、視頻和其他一般是個人資料的關鍵數據，這就改變了應用程式利用安全網絡功能的方式。企業部署這些新應用及架構時，必須把網絡安全視為重中之重。」

他續指：「要降低網絡風險，技術性IT衛生及網絡安全是基本措施。企業須先了解網絡風險及威脅的情況，以便制定及實施穩健的計畫，防範網絡罪案發生。所謂『知識就是力量』，Verizon的《數據失竊調查報告》為各規模的企業提供全面的網絡威脅形勢概覽，助企業迅速制定有效的防禦策略。」

高級行政人員擁有至高無上的審批權以及存取關鍵系統的特權，故此，只要成功向他們發動詐騙攻擊，便可獲取相當可觀的利益。高級行政人員在緊迫的時間及受壓的情況下，往往迅速點擊及查閱每一封電郵 (或委託助理代為管理電郵)，致使可疑電郵更易傳送至攻擊對象。商業電郵詐騙等社交攻擊之所以愈見成功 (報告所分析的370宗事故或248宗經證實的外洩個案)，正正與營商環境受壓以及缺乏網絡罪案風險教育有關。

今年的報告還發現，企業員工日漸利用符合經濟效益的雲解決方案來分享及儲存資訊，使企業承受額外的安全風險。分析指，目前網絡罪犯轉移集中利用盜用的驗證碼入侵雲端電郵帳戶。此外，在雲環境發生錯誤的事故錄得按年增長。配置錯誤 (其他錯誤) 引致大量大規模的雲檔案儲存外洩，按該報告的數據顯示實為至少6,000萬宗事故，佔因錯誤導致數據外洩個案的21%。

Verizon安全服務行政總監Bryan Sartin 表示：「隨著企業邁向嶄新的數碼工作模式，大多數未能察覺他們有可能招致新的網絡安全風險。企業必須透過網絡偵測工具及最新的網絡威脅統計數據，了解每天的網絡安全情況。網絡安全實為靈活及精明的策略性資產，可持續為企業帶來效益，並對企業的盈利造成影響。」

《數據失竊調查報告》根據數據作出深入全面的網絡威脅面貌分析，2019年報告的主要調查結果包括：

美國聯邦調查局互聯網詐騙投訴中心 (Internet Crime Complaint Center， IC3) 提供新分析：該中心為商業電郵詐騙及電腦數據外洩所帶來的影響提供深入獨到的分析。報告指出，企業就商業電郵詐騙可採取的補救措施。當互聯網詐騙投訴中心的資產恢復團隊針對商業電郵詐騙作出相應行動，並與通知行合作，使半數被入侵的美國商業電郵用戶可追討或凍結99%被騙的金錢，只有9%未能討回任何金錢損失。針對人力資源人員的攻擊較去年下降：針對人力資源人員的攻擊較去年減少六倍，與W-2稅務表格詐騙有關的個案則近乎零。網絡罪犯開始從晶片密碼付款技術獲利：相比網頁應用程式詐騙，涉及支付卡詐騙的數據外洩個案減少。勒索軟件攻擊情況仍然嚴重：今年發現有近24%與惡意程式相關的個案。隨著勒索軟件已成為常見的惡意程式，除非攻擊目標明確，否則不常在特定的媒介被提及。媒體大肆炒作的加密挖礦攻擊幾乎不存在：這些類型的攻擊不在十大惡意程式之列，只佔整體事故的2%左右。大多數攻擊仍是來自外部人士：外部人士仍是攻擊的主要來源，佔數據失竊個案的69%，而企業內部人士則佔34%。

Bryan Sartin 稱：「誠然，即使攻擊目標及位置有變，但罪犯的犯罪手法最終維持不變。不論業務規模大小，企業當務之急是把業務安全及客戶數據防護放在首位。即便是基本安全措施及一般常識，也有助防止網絡罪案。」

各行業發現如下：

教育服務：網絡罪犯的犯案動機顯然傾向與金錢有關 (80%)。人為錯誤佔所有失竊個案的35％，另有近四分之一的事故因網頁應用程式攻擊所致，當中大多數歸因於使用存取雲端電郵所需的盜用驗證碼醫療保健：這繼續是唯一一個內部威脅 (60%) 較外部威脅 (42%) 大的行業。醫療數據失竊的機會較其他資料高出18倍，實在不足為奇。至於內部威脅方面，因醫生和護士等專業醫護人員而導致資料外洩的數量比其他員工多達14倍。製造業：在這個行業中，以騙財為目標的網絡攻擊連續第二年成為數據外洩的主因，數量超過網絡間諜活動，而今年的比率更為顯著 (68%)。公共部門：網絡間諜活動數量錄得增長，然而，有近47%的數據失竊個案在首次攻擊的數年後才被發現。零售：自2015年以來，銷售時點情報系統外洩事件已減少十分之一，而網頁應用程式的數據失竊個案則高出13倍。