新加坡的数据保护监管机构对零售商Courts处以17.8万新元罚款，此前一起泄露事件影响了近100万名客户和员工。Courts数据泄露罚款新加坡案的裁决指出了一个安全团队常常忽视的细节：攻击者很可能是通过那些原本用于在主系统故障时维持业务运行的服务器进入的。
这起案件提醒人们，公司最薄弱的环节并不总是最显眼的那个。它也为那些详细信息存于零售商数据库中的人提供了实用教训。
攻击者如何通过备份服务器进入
据《海峡时报》报道，攻击者最可能在大约2022年9月21日侵入了Courts的网络。入口并非该零售商的主要系统，而是那些旨在主系统故障时充当后备的服务器。
这一点很重要，因为备份和灾难恢复基础设施往往处于后台。它可能不会像生产系统那样获得相同的补丁、监控或访问控制，但它通常保存着相同的敏感数据副本，并连接到相同的内部网络。对攻击者来说，一台被忽视的备用服务器可能比戒备森严的前门更容易进入。
本报道可获得的源材料较为简短，因此诸如所利用的具体漏洞等细节未在此涵盖。清楚的是这一模式：为韧性而设计的基础设施，如果未按与其他所有系统相同的标准加以保护，就可能成为负担。
谁受到影响以及哪些数据被暴露
据报道，这起泄露影响了近100万名客户和员工。这一规模使其成为新加坡的一起重大案件，涉及的对象既包括在该零售商购物的消费者，也包括为其工作的人。
我们掌握的摘要并未逐项列出所涉数据的每一类别，因此我们不会妄加推测。一般而言，零售记录通常包含联系方式和账户信息，员工记录则可能包含额外的个人信息。如果你曾是Courts的客户或员工，最稳妥的做法是留意公司的官方通知，并对任何涉及你账户的意外信息保持警惕。
这并非Courts首次出现在新加坡的执法记录中。此前的搜索结果显示了2020年10月因未能保护个人数据而被处以的9，000新元罚款。新的17.8万新元罚款要大得多，不过现有材料并未完整说明该金额是如何确定的。
罚款对监管机构期望的说明
根据监管机构公布的决定清单，该罚款是因未能采取合理的安全安排来保护个人数据而处以的。“合理的安全安排”这一表述是关键标准。它并不要求完美，但它确实期望各组织对所有保存个人数据的系统负责，而不仅仅是那些显而易见的系统。
新加坡的框架允许处以高额罚款。搜索结果中引用的法律评论指出，《个人数据保护法》规定的最高罚款为100万新元或组织年营业额的10%，以较高者为准。相对于这一上限，17.8万新元远低于最高值，但它仍表明，当安全漏洞导致大规模数据暴露时，监管机构将采取行动。
其他地方的监管机构也基于类似原则采取行动，且往往涉及大得多的金额。关于欧洲执法如何展开的背景，请参阅我们对荷兰数据保护局对Uber处以8.25亿欧元罚款的报道，以及正在进行的爱尔兰最高法院就LinkedIn 3.1亿欧元罚款的上诉。司法管辖区和金额各不相同，但传达的基本信息是一致的：组织有责任保护其收集的数据。
这对你意味着什么
你无法审计零售商的备份服务器。然而，如果你的详细信息被暴露，你可以限制损害。像这样的泄露很少随着头条新闻的结束而结束。被盗的个人数据可能在原始事件发生很久之后，在钓鱼活动和账户接管尝试中再次出现。
需要防范的主要风险包括：
- 定向钓鱼： 提及真实购买或账户的信息可能看起来很有说服力。
- 凭据重用： 如果你在其他地方使用了相同的密码，一次泄露可能解锁多个账户。
- 冒名顶替： 被暴露的联系方式可能被用来冒充零售商或快递服务。
请注意，强大的账户保护并非万灵药。我们关于D1R勒索软件如何绕过ARM的双因素认证的报道表明，攻击者会不断适应，因此结合多种习惯比依赖单一措施更有效。
零售数据泄露后该做什么
- 更改重复使用的密码。 为每个账户设置唯一的密码，最好存储在密码管理器中。
- 开启双因素认证。 尽可能优先使用身份验证器应用或硬件密钥，而非短信。
- 对意外信息保持怀疑。 不要点击关于订单、退款或账户问题的电子邮件或短信中的链接。直接访问零售商的官方网站或应用。
- 查看官方通知。 留意来自公司或监管机构的 communication，而不是依赖第三方信息。
- 监控你的账户。 查看银行和信用卡账单中是否有陌生交易，并及时报告任何可疑情况。
要点
Courts数据泄露罚款新加坡案表明，韧性系统值得与生产系统同等重视安全问题，监管机构期望组织保护每一个保存个人数据的系统。对个人而言，在任何零售泄露之后，实际应对措施都是一样的：使用唯一密码，启用双因素认证，并对钓鱼保持警惕。关于数据保护失误如何被处罚的更广泛背景，请阅读我们对年中欧盟和英国隐私裁决以及荷兰数据保护局对Uber罚款的报道。
