最近，威瑞森电信公司（Verizon）又发布了一年一度的《2023数据泄露调查报告》，对以往的安全事件和数据泄露进行了分析。

威瑞森是美国著名的通信公司，相当于美国版的“中国移动”。每年他们都会发布一份具有相当高参考意义的数据泄露报告，今年也不例外。

事实上，在过去的几年中，威瑞森电信公司就发生过多起数据泄漏事件。最近一次是在2021年5月，约5800万威瑞森客户的个人信息在黑客攻击中被盗取，包括名字、地址、账号信息等。此前，威瑞森电信公司还曾遭受过多起数据泄漏事件，其中最严重的一起发生在2017年，黑客盗取了约1.4亿威瑞森客户的个人信息。

 

2023年06月27日的数据泄露报告是一份“10周年报”，统计结果主要基于威瑞森公司在过去十年里从65家不同的组织获得的泄露数据。这份最新报告总共分析了42068个安全事件以及来自84个国家的1935个漏洞。

报告表示，在调查的几万个安全事件中，内部威胁占25%，75%是外部攻击导致。在外部攻击中，51% 的网络攻击涉及到有组织有计划的犯罪集团。18%的外部攻击涉及国家背景。

 

作为网络安全业界最权威的报告之一，Verizon 2023年数据泄露调查报告(DBIR)揭示了安全行业的关键趋势和挑战。其中最值得业界反思的一点是：尽管企业的网络安全支出有所增加，但网络安全的发展速度并未跟上攻击者的步伐，数据泄漏（损失）不但没有缓解，反而更加严重。

2022和2023年的数据泄露报告统计数据表明，网络安全行业在“人的因素”方面还有更多工作要做。

攻击者正在大量利用被盗凭据、特权滥用、人为错误、精心策划的社会工程、商业电子邮件欺诈(BEC)。因此，企业需要采取行动打造强大的防御基线，而不能仅仅依靠安全培训，

 

我们来看看DBIR 2023年数据泄露报告的十大发现具体是什么：

一、83%的数据泄露行为是由寻求经济利益的外部攻击者发起的。金融服务和制造业是攻击者的首选，因为这些企业必须按时交付产品和服务以留住客户并生存。针对人员的社会工程攻击组合是最常见的初始攻击策略。

二、84%的数据泄漏利用了社会工程和BEC策略，将人员作为攻击媒介。74%的数据泄露始于人为错误、社会工程或滥用。

三、五分之一的数据泄露(19%)来自内部。内部攻击是CISO的噩梦，因为识别和阻止此类数据泄漏行为非常难。

四、一些供应商正在探索或收购公司以加强平台对内部威胁的防御能力。

五、系统入侵、基本Web应用程序攻击和社会工程学是主要的攻击策略。基本Web应用程序攻击、网络钓鱼和BEC基本都是出于经济动机。

 

六、Web应用程序攻击持续增长。这表示企业需要更有效地采用基于零信任的Web应用安全和跨企业安全网络访问。

七、高经验值攻击者经常使用系统入侵这种攻击策略，他们主要以系统入侵为目标，使用各种技术（包括网络钓鱼、窃取凭据、后门和漏洞）来策划攻击，遍历组织的环境和节点，并用勒索软件感染网络及系统。

八 、社会工程攻击的复杂性正在快速增长。BEC（商业电子邮件欺诈）在整个事件数据集中几乎翻了一番，占社会工程事件的50%以上。相比之下，2022年DBIR报告发现社会工程攻击仅涉及25%的数据泄漏事件。

七、2023年95%的数据泄漏都是经济驱动的，而不是媒体炒作的国家间谍活动。趋势数据显示，经济利益正在成为企业间谍活动或前雇员报复攻击的主要动机。

八、过去两年中，勒索软件攻击导致的平均损失增加了一倍多，达到2.6万美元，其中95%的事件造成的损失在1-225万美元之间。在五年内，勒索软件的平均赎金收入增加了两倍。

九、超过32%的Log4j漏洞扫描发生在漏洞披露后的30天内。这表明企业必须更快地响应新威胁，在发现高危漏洞时优先修补和更新系统，包括应用所有软件和系统安全补丁。

十、74%的金融和保险行业数据泄漏事件涉及个人数据泄露——大幅领先于其它所有行业。教育服务行业的个人数据泄漏占比为56%，仅次于金融行业。