跨境电商平台Pandabuy泄露1700万条用户数据

近日，因大规模销售假货案而登上新闻热搜的中国跨境电商平台Pandabuy遭遇黑客二次勒索，黑客在数据泄露论坛以4万美元的价格出售包含1700万条用户数据的“Pandabuy的完整数据库”。Pandabuy曾支付赎金试图阻止，但黑客再次勒索。

Pandabuy是一个帮助全球用户从中国主要电商平台（如天猫、淘宝、京东）购买商品并进行国际配送的一站式跨境电商服务平台。公司仅仅成立2年后就拿到国内绝大部分卖家都羡慕的爆单量和营收，相关数据显示去年Pandabuy营业额就突破了40亿元。

支付赎金也会被再次勒索

据外媒报道，Pandabuy 称为阻止被盗数据泄露支付过赎金，但黑客又再次对其进行勒索。

Pandabuy发言人承认，曾向黑客支付了一笔未公开金额的赎金，试图阻止数据泄露，但黑客可能已将数据共享给其他人，公司决定不再与其合作。

数据泄露的后果

根据目前的公开信息，Pandabuy已经承认在数据泄露事件中支付了（部分）黑客赎金，并确认修复了漏洞，但仍可能面临ICO的调查和处罚。根据《通用数据保护条例》（GDPR），如果跨境电商网站Pandabuy泄露了1700万条（包含大量欧盟用户的）个人数据，不排除其英国总部可能面临严重处罚。GDPR对企业数据泄露事件的处罚分为两级：

一级罚款：最高可达870万英镑，或全球年营业额的2%，以较高者为准。这通常适用于较轻微的违规行为，例如记录保存不当或未及时通知信息专员办公室（ICO）等。

二级罚款：最高可达1750万英镑，或全球年营业额的4%，以较高者为准。这适用于更严重的违规行为，包括违反数据处理的核心原则，未能获得适当的用户同意，或未能实施适当的安全措施。

根据Enforcementtracker的不完全统计，GDPR生效以来，处罚案例数量最多的三种违规类型分别是：

• 数据处理的法律依据不充分
• 确保信息安全的技术和组织措施不充分
• 不遵守一般的数据处理原则

除了违规罚款，Pandabuy还将面临用户数据被竞争对手获取的商业风险和用户起诉的法律风险。

自1989年首次出现以来，勒索软件经历了三十多年的发展，已经成为全球网络空间安全面临的重大威胁和挑战。全球的政府公共部门、教育医疗机构、金融机构、机关单位、商业组织等重点行业都曾遭到勒索组织的攻击。

遭遇勒索攻击后，为了减少影响，选择支付赎金的机构不在少数，知名机构的妥协也容易让更多的潜在受害者效仿。

即使支付赎金也不能阻止泄露

早前美国健康保险巨头联合健康集团（UnitedHealth）正式确认，今年2月子公司Change Healthcare遭遇的勒索软件攻击，已导致大量美国人的私人医疗健康数据被窃取。

此前据媒体报道，这家健康科技巨头在3月支付了2200万美元给一家名为ALPHV的俄罗斯犯罪团伙。然而，该团伙随后消失，没有按照约定将部分赎金分给负责窃取数据的附属机构。

越来越多的企业组织选择拒绝支付赎金，原因一是受害者逐渐有能力抵御勒索攻击，能够在不需要解密密钥的情况下恢复业务正常运行；第二，受害者也发现就算支付了赎金，被盗数据仍旧会被泄露甚至是二次交易。

我们都知道数据是具有可复制性的，就算企业组织支付了高额赎金，也无法保证数据的安全性。因为，我们无法让黑客守信。

重点行业应着重防范勒索攻击

政府、国企、金融等这些机构更容易受到勒索攻击的“特殊关注”，因为与其他机构相比，数据机密程度较高并特殊，更容易缴纳赎金。而被勒索病毒入侵后，数据会被加密，如果黑客获取的是明文（未加密）数据则直接造成数据泄露，影响较大且无法挽回。

黑客组织通常利用网络“钓鱼”邮件、软件和应用漏洞以及向网站植入恶意代码等方式，非法获取受害者设备的访问权限并进行数据加密，使受害者网络系统瘫痪，无法正常使用，以此威胁勒索赎金。

安全可信国密改造从SSL证书开始

从技术层面来看，国密SSL证书和使用RSA算法的SSL证书都是采用自主可控密码技术保护数据机密性、完整性，实现HTTPS网站加密传输，都可以很好地防止数据在传输过程中被窃取或篡改，确保通信主体身份真实性、完整性。

需要说明的是，无论采用哪种算法，SSL证书必须由通过国际WebTrust认证的CA机构颁发，才能被操作系统和浏览器信任。

在如今网络安全越来越受关注的今天，网站安装SSL安全证书已然成了一种趋势。国密证书在确保密码算法这一关键环节的自主可控，保障我国信息安全基础设施的安全可信。

国密SSL证书提供的HTTPS信息传输加密与网站身份认证功能，确保了用户信息在网络传输过程中的保密性、完整性、真实性及不可篡改性，进一步提高了企业网站的信息安全系数，为用户个人信息又增加了一层安全保障。

此外，为方便用户选择和使用，数安时代本着兼顾国密算法合规和全球通用性的原则，立足全行业服务经验，深度整合第三方安全产品，为国密改造用户提供SM2+RSA双算法证书解决方案，同时致力于通过更简单、更便捷的本地化服务持续助力国密SM2证书的推广普及，以及在众多行业的合规应用。