Vimeo数据泄露事件与委托信任的危险

4月底，仅次于YouTube的第二大视频托管、分享和流媒体服务Vimeo公开证实，该公司遭遇了一次数据泄露事件，影响了约11.9万名用户和客户。

然而，和往常一样，关键在于细节。一个名为ShinyHunters的勒索软件组织声称对此负责，该组织在攻破分析公司Anodot的防线后，威胁要在暗网上泄露Vimeo的数据。Anodot是一家提供实时异常检测服务的分析公司。

Anodot的产品需要直接访问其客户的云数据源，如Snowflake、BigQuery、S3和Kinesis，以便在数据源层面监控指标。

4月4日，Anodot报告了一次大范围服务中断，其数据采集器在Snowflake、S3和Kinesis上全部宕机。起初看起来像是一次服务可用性故障，实际上却是一次主动入侵。ShinyHunters已经进入了Anodot的环境，并且据他们自己声称，他们已经潜伏了足够长的时间，摸清了关联客户的环境。

他们窃取了Anodot用于读取客户云数据的OAuth令牌和API密钥，然后直接登录到这些客户的云环境中。

数十家公司因此受到了连锁反应的影响，其中包括Rockstar Games。ShinyHunters声称，在Rockstar Games拒绝支付赎金后，他们已在暗网上曝光了该公司的内部分析和报告数据。

至于Vimeo，该公司证实用户元数据遭到泄露，包括技术信息、视频标题、视频元信息以及客户电子邮箱地址，但明确强调视频内容、密码和支付信息并未泄露。

ShinyHunters 还在同一泄露网站上列出了 Zara、ADT、Udemy、Hims & Hers、Adidas、CarGurus、Crunchyroll 以及数十家其他公司，据称均通过 Anodot 这一攻击向量遭到入侵。

日益增长的 B2B 风险模式

这远非孤立事件，也谈不上什么新鲜事；它反映的是攻击者的一种策略，这种策略已悄然成为 B2B 数据服务的主要风险模式之一。无论以何种标准衡量，凡是需要特权访问客户云环境的供应商，都是高价值目标。

一旦攻击者获得供应商的凭证，他们实际上就拿到了一张通行证，可以通往数量可能无限的下游环境。每一个与该供应商建立了联邦信任关系的客户，都可能因此暴露于供应商环境中的弱点之下。

事实上，任何数据仓库查询——从异常检测、可观测性、BI 和反向 ETL 到客户数据平台、安全扫描和营销分析——都处在同样的架构瞄准镜之下。这种情况和风险绝非 Anodot 独有。

对于安全团队来说，关键问题不在于一家供应商纸面上看起来安不安全。诚然，认证、审计、渗透测试和其他评估流程能让人对安全成熟度有一个重要了解，但它们不一定能反映当可信第三方被入侵时风险如何传播。

在这些环境中，风险敞口的大小，往往不仅取决于供应商自身的安全态势，也同样取决于架构依赖关系和访问设计。

安全负责人面临的核心难题，就是云原生基础设施、SaaS交付模式和API驱动集成的快速增长。可以说，这大大增加了在企业环境中运营的第三方服务数量。

例如，许多分析、可观测性、AI、安全和运营平台需要与客户环境保持持续连接才能正常运行，通常通过API、OAuth授权许可、服务账户或云身份角色实现。

在许多组织中，这些集成是随着时间一点点堆叠起来的，使得内部系统与外部供应商之间的信任关系变得越来越复杂。

虽然这些架构提高了运营可见性和自动化程度，但它们也可能形成绕过客户自身安全防线的间接攻击路径。这正是Anodot及其众多客户一直在头疼的问题。

缓解策略

如前所述，这已经是一个被广泛认识的攻击途径，因此，安全和基础设施团队正在重新评估信任在云和数据环境中是如何被授予的，特别是在供应商保持持续或特权访问的情况下。

可选方案包括尽可能减少长期有效的访问权限并限制第三方权限的范围。此外，那些希望在供应商被攻破时减少连带影响的企业，正越来越多地采用短期凭证和由客户掌控的访问撤销机制等架构方法。

在其他领域，各组织正在减少在第三方环境中对客户数据的不必要留存，限制数据泄露时可能泄露的信息量。从整体数据保护和隐私的角度来看，无论受害方实际上是如何被入侵的，这都是一个非常明智的做法。

在实践中，许多IT和安全领导者现在评估供应商时，不仅仅依据合规认证或审计状态，而是依据在互连环境中访问权限是如何被构建、监控、限制和撤销的。

这反映出人们日益认识到，安全暴露面越来越多地由信任架构和依赖管理所决定，而不仅仅是由边界防御或端点保护所决定。

从根本上重新思考信任模型

缓解策略固然重要，但最持久的保护来自于选择那些架构从一开始就不会制造问题的供应商。Anodot 数据泄露事件很好地说明了高风险模式的具体表现：一个嵌入客户环境之中的供应商，持有长期有效的凭证，并成为下游所有人的单点故障。

风险较低的替代方案则完全反转了这种模式。不是供应商主动接入你的云环境，而是数据从供应商向外流向你。供应商通过 API 或受管理的交付管道提供结构化数据；由你来使用。

没有进入你数据仓库的 OAuth 授权，没有你云环境中的服务账户，也没有供应商对你基础设施维持的持久会话。如果该供应商被入侵，攻击者得到的是供应商自己的环境。他们得不到通往你环境的万能钥匙。

对于在安全领域数据密集型环节运营的团队——威胁情报、数字风险防护、欺诈检测及类似职能——这一区分日益重要，因为外部数据源的数量和多样性天然会带来较大的第三方风险敞口。

对于这些团队来说，值得向每个数据供应商提出的问题很简单：你的产品是否需要以任何方式接入我的环境，还是数据只从你那边单向流到我这边？这个答案决定了你的风险影响范围，而这是任何合规证书都做不到的。

我们推荐了最佳加密软件。

本文作为TechRadar Pro Perspectives的一部分制作，这是我们展示当今科技行业顶尖人才的栏目。