大難臨頭：電腦黑客入侵 穩住陣腳有幾招
- Author, 馬克·沃德（ Mark Ward）
- Role, BBC科技事務記者
面對日益頻繁、手段日益高超的網絡黑客攻擊，普通用戶和企業機構網管在不斷更新防毒知識和軟件，網絡安全公司也在不斷提升防禦技能水平。雖然造成的傷害和損失實實在在，毫不虛擬，但網絡黑客襲擊攻防戰發生在常人看不見的戰線，對於這種虛擬空間的隔空搏鬥具體過程如何，大部分人沒有概念。
BBC獲准旁聽了網絡安全公司Forcepoint的一次模擬實戰演練......
場景設置
零售眼睛店Blink Wink公司總部遭釣魚式電郵襲擊。郵件貌似正常，公司員工未起疑心，點擊了郵件裏的惡意鏈接。那是二個月前。現在，星期二，定時炸彈爆炸了。
星期二上午 8:30
Blink Wink 技術部門IT管理員托尼·劉易斯像往常一樣到公司上班，第一件事是清理公司電郵帳戶收件箱裏的垃圾郵件和廣告郵件。突然，他的視線停在一封郵件上，胃裏一陣痙攣。
郵件裏列出了某人姓名，信用卡信息和電郵地址，下面是一行字：「我還有更多這類東西。我們很快會跟你們聯繫，告訴你們我們要什麼。」
托尼真心希望這只是個惡作劇，但也不敢掉以輕心，當即拿起電話通知公司安全部門負責人 道格拉斯·休斯。電話線那頭，道格拉斯很不高興，因為他正在紐約休假，當地時間是凌晨3:30。
他嘟噥說：「你可別涮我。」托尼把那封電郵轉發過去。
「這張信用卡核實過嗎？ 」道格拉斯的聲音睡意全無，明顯緊張起來。「這人是我們的客戶嗎？」
「我還不清楚。」
「那，我們什麼時候收到這個的？」
「嗯......看來郵件是昨天收到的，我下班後不久，所以我今天早上才看到。」
「也就是說已經過去12個小時了？」
「嗯，是的。」托尼的聲音怯生生。
星期二下午 13:30
托尼通知道格拉斯：「我們收到了第二封郵件。他們索要贖金15000英鎊，要Litecoin密碼貨幣支付。英國夏令時今天晚上22:00前必須付贖金，否則他們就把我們的客戶資料全部刪除。」
「什麼？」道格拉斯大叫，「我還以為他們只拿到一個人的資料。」
「嗯，不是這樣。他們說他們掌握了所有客戶的資料。」
道格拉斯一身冷汗，立刻給公司律師格雷絲·博爾頓打電話求助。她的耳機出了故障，線路也不好，聲音時斷時續。
她說：「很明顯，這會構成洩露行為。因此，不要對那封郵件做出回應。我需要查一查現有的法律條文，以便對我們現在的處境心中有數。」
道格拉斯問：「報警呢？或者報告歐盟信息專員？還是通用數據保護規範(GDPR)辦公室？這事我們該向誰通報啊？」他在紐約的浪漫假日顯然泡湯了。
星期二下午 15:30
事態開始失控。黑客在一個公開的文字和信息源分享網站上公布了Blink Wink公司一批客戶的姓名和信用卡號碼。
道格拉斯現在已經核實了這些數據的真實性。
托尼問：「我們把網站關閉行嗎？那樣可以控制風險。」
格雷絲插嘴：「等等，在那之前我們先得通知誰？我們的數據洩露政策怎麼規定的？」
道格拉斯：「我以為那是法律部門管的事。」
格雷絲：「你不是數據安全保護負責人嗎？」
「不對，我不是......」
「天哪，難道是我？「道格拉斯絶望地喊道。「不管怎麼說，我們假如撤網，只會把注意力全部吸引到我們自己身上來，對嗎？我不敢確定這是正確的做法。「
格雷絲：」我也不確定。「
Blink Wink公司公關部負責人，桑德拉·埃利斯也加入了電話討論。
她語氣肯定地說：「情況很不妙。我們沒有保護好客戶的私人信息數據。我們會為此挨揍的。」
她提醒大家，公司眼下正在做隱形眼鏡「買一送一」促銷。
「我們此時此刻正在設法吸引大家到這個網站來。他們的信息也被盜了嗎？」
道格拉斯：「很有可能。我們必須關閉網站，至少部分關閉。然後，還得決定要不要付贖金。」
星期二下午 17:00
桑德拉·埃利斯起草了一份公開聲明，但建議等媒體追問時再發佈。
她說：「我們就說出了個事故，然後隨機應變。」
道格拉斯：「不是事故，是信息洩露。」
格雷絲：「不行，不能用『信息洩露』這個詞，至少現在還不能用。」她現在考慮的是法律方面的影響。
托尼突然闖進電話會議：「我們找到一些病毒軟件！我們看到一封被自動送進消毒郵箱的郵件，還有附件。我們還檢查了，估計就是它。」
道格拉斯：「你沒點開它吧？」他覺得事情越來越糟糕。
「嗯......我是想那那可能會加快進展......」
道格拉斯罵了句粗話，退出電話會，去吩咐保安技術員檢查是否造成了更多損害。
格雷絲把話題轉到如何通知信息專員辦公室。
她說：「我們可以通過電話或者在網上通報。但我們得說明採取了什麼措施來化解問題。」
托尼：「本來我們去年就要裝最新的黑客襲擊監測軟件，但管那事的人走了，還沒找到頂替他的。所以，這事兒就擱一邊了。」
格雷絲吼道：「這事我們不能告訴信息專員辦公室。我們要是無法展示自己有足夠的控制機制，那就麻煩了。網絡保險公司那些人可能會拒絶付保險賠償。」
過了一會兒，道格拉斯說出了真相，這次釣魚式黑客攻擊是一次模擬真實事件的演練。不過，他透露說，二個月前確實發生過這樣的事，有一封釣魚郵件，鏈接到一個模仿公司雲服務供應商的登錄頁面。
他說：「他們就是這樣進來的。」
「從現在開始，我們的工作要改進。這種事還會發生，而且只會越來越嚴重。」
圖像來源，Getty Images
應該怎麼做？
模擬演習結束。總結教訓，虛構的Blink Wink公司能怎麼提高警惕、提升網絡安全防衛呢？
Forcepoint首席科學家理查德·福特說：「反應遲緩使Blink Wink處於劣勢。遇到這種情況得迅速行動，否則對方就控制了事態進展
「對數據洩露方面的法律規定不熟悉，也使這家公司防守軟弱。很明顯，他們沒有制訂針對數據洩露的政策，職責不清，也不知道該如何應對。」
理查德說，這家公司本來應該做到的包括：
- 制訂一份數據洩露應對計劃，明確列出行動的具體步驟；
- 員工按計劃模擬演練；
- 明確各人的職責，遇到數據洩露情況時能夠各司其職；
- 經常更新和重發這份計劃，確保高層管理人員熟悉計劃；
- 通知第三方和供應商；
- 收集證據，以便向信息專員辦公室陳述事件的處理過程；
- 通知公司的網絡保險商尋求建議和幫助；
- 擬定客戶聲明，說明公司將如何幫助客戶處理相關損害；
- 拒付勒索贖金——付了錢也未必能確保數據安然無恙。
網絡專家特洛伊·亨特建議網絡黑客攻擊受害公司採取下列行動：
- 確定勒索來自何方/何人；
- 隔離中毒設備（下線）；
- 評估多少電腦中毒；
- 通過備份恢復丟失的數據；
- 通知客戶他們的信息失竊並被洩露；
- 制訂計劃，確保將來不再發生此類事件。
