亚马逊前工程师因 2019 年 Capital One 网络攻击事件而被定罪
一名前亚马逊网络服务(AWS)工程师因入侵客户的云存储系统并窃取跟2019年Capital One大规模违规事件有关的数据而被认定有罪。美国西雅图地区法院周五判定Paige Thompson犯有七项计算机和电信欺诈罪，这将使其最高可被判处20年的监禁。 Thompson在网上的名字是Erratic，他因在2019年7月实施Capital One黑客攻击而被捕。该漏洞是有史以来最大的漏洞之一，其曝光了美国和加拿大超过1亿人的姓名、出生日期、社保号码、电子邮件地址和电话号码。此后，Capital One因涉嫌未能确保用户数据安全而被罚款8000万美元并跟受影响的客户达成了1.9亿美元的和解。 美国司法部的一份新闻稿指出，汤普森开发了一种工具，其可扫描AWS的错误配置账户，然后利用这些账户进入Capital One和其他几十个AWS客户的系统。检察官还称，Thompson“劫持”了公司的服务器一安装加密货币挖掘软件，然后将任何收入转移到她的个人加密货币钱包。后来，她还在网上论坛和信息中“吹嘘”她的不当行为。 当时，由于Thompson在网上对她在Capital One攻击事件中的角色表现出不同寻常的坦诚，所以人们对Thompson是道德黑客还是安全研究员存在一些争议–她将客户的敏感数据发布在一个公开的GitHub页面上并在Twitter和Slack上分享漏洞的细节。今年早些时候，美司法部明确表示，它不会根据《计算机欺诈和滥用法》起诉安全研究人员。但美国检察官显然不相信Thompson的行为属于这一例外。 美国检察官Nick Brown在一份声明中说道：“她远不是一个试图帮助公司解决计算机安全问题的有道德的黑客，而是利用错误来窃取有价值的数据并试图使自己致富。”据悉，Thompson的判刑听证会将于2022年9月15日举行。 转自 cnBeta，原文链接：https://www.cnbeta.com/articles/tech/1282357.htm 封面来源于网络，如有侵权请联系删除
外媒：Capital One 数据泄露事件比它看起来更复杂
当地时间周一晚上，Capital One及其客户得到了一些非常糟糕的消息。该公司遭遇大规模数据泄露事件，大约1亿美国和加拿大用户的社会安全号码和帐户详细信息遭泄露。纽约州司法部长已经宣布对Capital One的泄露事件展开调查，但更广泛的故事是熟悉的：一家大公司让许多敏感数据丢失，客户承担了大部分风险。 然而随着对该事件的调查越深入，外媒发现的疑点就越多。被指控的黑客Paige Thompson（又称“Erratic”），在数据泄露事件公开的同时被抓获并被起诉，她似乎对覆盖她的踪迹并感兴趣。人们并不确切知道她在获得数据后对数据做了什么，但她不符合大多数诈骗者的情况，他们倾向于尽快在暗网等出售这样的信息。与此同时，最初的漏洞似乎更多的是服务器错误配置，而不是完全是漏洞引起，导致一些人怀疑Thompson是否可能是一个善意的研究人员。 最大的异常是如何首先发现漏洞。根据联邦投诉，攻击分别于2019年3月和4月分阶段进行。但是，Capital One在7月17日才知道这个问题，当时有人向该公司透露他们的私人数据已上传到公共GitHub页面。从那里开始，研究人员可以直接发现它的页面以及数据是如何被获取的。 通常情况下，数据仅在通过多个中介后才被发现，并且很难确切地确定数据的确切时间和方式。例如，调查人员需要花费数年时间才能找到参与Target数据泄露事件的所有人。起诉揭示了一种完全不同的组织形式：一方制造软件，另一方使用它来收集信用卡数据，然后将其卖给另一个使用它进行欺诈的团体。起诉所有这些人意味着以拉脱维亚和东欧为中心的大规模国际努力。相比之下，Thompson在最初提示后不到一个月就被拘留了。 人们不知道为什么Thompson决定在公共GitHub页面上发布数据。她在Twitter上公开描述了她的技术，并且似乎并不羞于分享信息。其余部分信息则来自Thompson维护的Slack房间，Thompson围绕这个漏洞的谈话非常随意。 “我想把它从我的服务器上删除，这就是为什么我要归档所有这些，”Thompson写道。“这都是加密的。不过，我只是不想要它。“涉及攻击的技术细节使其更加复杂。Thompson所做的只是可能的，因为Capital One错误配置了其亚马逊服务器。Thompson早些时候曾在亚马逊工作过，所以她被一些人描述为“内部威胁”。但是发现这种错误配置对于安全研究人员来说是一种常见的消遣方式。这些错误配置是如此常见且如此容易修复，以至于它们通常甚至不被视为泄露。 外媒认为从外部很难区分安全研究与犯罪产业之间的区别。人们也并不不知道为什么她获取这些数据，或者为什么她坚持几个月而没有向Capital One报告这个问题。人们也不知道她是否试图以某种方式报告，或者她是否试图以尚未曝光的方式从数据中获利。 （稿源：cnBeta，封面源自网络。）
纽约司法部长宣布调查 Capital One 泄露事件并将提供“救济”
据外媒报道，当地时间7月30日，纽约州司法部长Letitia James在Twitter发文宣布，她将和她的团队对Capital One的泄露事件展开“立即”调查。另外她还表示，她对这些黑客攻击的频率感到沮丧，称其变成了家常便饭。 James希望自己在完成调查后拥有足够信息和能力为Capital one的纽约受害者提供“救济”。目前还不清楚她所表达的具体意思，但她可能会为受害者争取某种形式的赔偿。 据悉，最近的Capital One黑客攻击事件曝光了1亿多名美国和加拿大用户的信息，即如果曾在2005年至现在申请过Capital One信用卡就可能存在数据被盗的风险。泄露的信息则有地址、姓名、电子邮件、电话号码甚至社会保障号和信用评分等。 相关阅读：美国银行第一资本遭黑客入侵：逾1亿用户信息泄露 （稿源：cnBeta，封面源自网络。）