97％ 的网络安全公司在暗网上泄露了数据

安全公司ImmuniWeb在一份有关今年全球网络安全行业在暗网暴露数据的最新报告中，发现97%的领先的网络安全公司都发生了数据泄露或其他安全事件，而平均而言，每个网络安全公司会暴露4,000多个被盗凭证和其他敏感数据。

研究发现：

1. 97%的公司在暗网上发生了数据泄露和其他安全事件。
2. 共发现631512起经核实的安全事件，超过25%（或160529）属于高或严重风险级别事件，其中包含高度敏感的信息，例如明文凭证或PII，包括财务或类似数据。因此，平均每个网络安全公司有1586份被窃取的凭证和其他敏感数据被曝光。在ImmuniWeb的研究中还发现了超过100万个未经证实的事件（1027395），这里面只有159462个被认为是低风险的。
3. 29%的被盗密码是弱密码。研究显示，29%的被盗密码很弱，只有不到8个字符，或者没有大写字母、数字或其他特殊字符。162家公司的约40名员工在不同的违规情况下重复使用相同的密码增加了网络犯罪分子重复使用密码攻击的风险。
4. 色情网站和成人交友网站上使用了专业电子邮件，第三方违规行为占有很大比例，ImmuniWeb的研究发现，5121份证书从被黑客入侵的色情网站或成人交友网站上被窃取。
5. 63%的网络安全公司的网站不符合PCI DSS要求，这意味着它们使用易受攻击或过时的软件（包括JS库和框架）或在阻止模式下没有Web应用程序防火墙（WAF）。
6. 48%的网络安全公司的网站不符合GDPR要求。他们缺乏明显的隐私政策，当cookie包含PII或可追踪标识符时，缺少cookie免责声明。
7. 91家公司存在可利用的网站安全漏洞，其中26%仍未修补。这一发现来自ImmuniWeb，指的是Open Bug Bounty项目中公开可用的数据。

这项研究是使用ImmuniWeb的免费在线域安全测试来进行的，该测试结合了专有的OSINT技术和机器学习，对暗网进行分类。398家领先的网络安全公司接受了测试。

美国的网络安全公司遭受的风险最高，严重，其次是英国和加拿大，再次是爱尔兰，日本，德国，以色列，捷克共和国，俄罗斯和斯洛伐克。

在接受测试的398家网络安全公司中，只有瑞士，葡萄牙和意大利的公司没有遭受任何高风险或重大风险事件，而比利时，葡萄牙和法国的公司经过验证的事件数量最少。

ImmuniWeb首席执行官兼创始人Ilia Kolochenko对这项研究发表了评论：

“如今，网络犯罪分子通过针对可信赖的第三方而不是追逐最终受害者，努力实现利润最大化和被捕的风险最小化。例如，大型金融机构通常拥有强大的技术，法证和法律资源，可以及时发现并调查，经常成功地起诉大多数入侵者。

“相反，他们的第三方，从律师事务所到IT公司，通常缺乏对快速增长的针对性攻击和APT做出反应所需的内部专业知识和预算。最终，那些攻击者逍遥法外。在2020年，人们无需花费很多时间，而是找到几个不受保护的第三方，迅速破解最他们薄弱的环节。”

“对于当今的任何网络安全和合规计划来说，数据，IT和数字资产的整体可见性和清单都是必不可少的。机器学习和AI等现代技术可以极大地简化和加速从异常检测到错误的大量繁重任务。但是，我们要通过不断监视深网、暗网以及Surface Web中无数的资源（包括公共代码存储库和粘贴网站），在不久的将来，这种环境可能会变得更加复杂。”

完整的研究结果可以在这里查看。

稿件与封面来源：The Hacker News，译者：芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理，

转载请注明“转自 HackerNews.cc ” 并附上原文链接。