英国《连线》(Wired UK)杂志引述网络安全专家消息称,巴拿马莫萨克丰塞卡律师事务所的电脑系统保安过时,且充斥着安全漏洞。" A, I0 e7 g( `1 o+ o& r
' c' ?4 X7 i6 o: c0 ]8 ]1 x
一名专家称,该律师行“惊人地”置网络保安于不顾,例如律师行自2009年以来就没再更新Outlook Web Access登录、自2013年以来就没再更新客户登录入门网。
d/ B( k' S! i' i) O; K U- t4 p" ]' o% ~ L, b# b! U
专家称,律师行的客户入门网易遭受DROWN攻击。安全漏洞DROWN是一个典型的跨协定攻击(cross protocol attack),黑客通过SSL v2协定漏洞去攻击采用TLS协定的安全连结。黑客可破解加密传输,读取机密流量、密码、信用卡号码或金融等资料。* a8 h, f! C5 b* n, _! @
$ S5 ~0 _: a5 O f6 A$ T
SSL v2协定和TLS协定是一种网络加密协定,是网页浏览和安全使用互联网服务的必要保安措施。
/ B. v" F/ |2 ~7 a* i: ]$ j" `3 u- T" H) i% I- J
律师行官网称,其客户信息入门网提供“安全线上账户”,让客户“可随时随地获取公司信息”。然而,其客户信息入门网采用的Drupal内容管理系统有至少25个安全漏洞。
2 W* y; {8 ?% f9 I, ~
& U! F$ B' U, f 一个匿名消息人士说:“这显示了他们设置服务器的方式,以及他们设置网站的方式,并不是最安全的做法。”2 p4 p: k/ w5 l, G& n
" s8 K; r9 \0 b. O) x3 I0 N
英国萨里大学电脑安全专家艾伦·伍德沃德(Alan Woodward)说,莫萨克丰塞卡律师事务所官网的前端看起来“极其”过时。“我无法理解这一点。以Outlook Web Access为例,如果你定期更新你的Exchange服务器,这自然会更新。”! k# Z) p6 e8 O7 X
: w6 m. f, F% S. W+ _5 k: F 他也说:“他们似乎陷入一种时间隧道。他们使用这种过时的技术通信,如果我是他们的客户,我会很担心。”4 `) W Y1 D; l0 u* `
5 H' r0 f, i9 n/ C( [* D5 b8 ?
隐私专家克里斯托弗·索戈扬(Christopher Soghoian)指出,律师行的电子邮件没有加密。
: P7 g* G1 h+ P% W5 m" M
9 k- {8 m! Y& _2 M 伦敦大学学院信息安全研究主任安吉拉·萨瑟(Angela Sasse)说:“鉴于他们所处的行业,我很惊讶他们没有想过更好地对电子邮件加密。对于风险和这些服务极易被攻击的认知显然并不存在。”+ H S8 U1 a& z a3 _$ a3 e0 A1 v
) V( \& e" R9 u( w2 d% [: x 莫萨克丰塞卡律师事务所创办人之一拉蒙·丰塞卡(Ramon Fonseca)6日接受路透社专访时承认,律师行文件外泄,是外国黑客所为。律师行正在对可能的安全漏洞进行调查。. D3 Y4 b- q' N$ w( z. [9 ~2 G
$ D+ H, |& f A g% ]- u 律师行在一份发给客户的电子邮件中承认,电子邮件服务器遭到“未授权侵入”。
3 q6 y$ X* j8 r/ e9 c8 O& f/ B
- x! p9 I! U, f' O6 m 不过,专家对于什么人入侵了律师行服务器没有一致看法。
2 l' F, f3 F3 `/ x: P% E' _2 Q) x! }
英国肯特大学计算机系高级讲师埃克·博伊滕(Eerke Boiten)认为可能是内鬼入侵了服务器。“我们知道是非常多的数据,是一点一点流出来的。一个拥有足够权限的局内人可以看到所有数据,但没有足够权限可以快速地将数据抄录在一片光盘里。”5 I2 m9 q8 v3 c! H _1 X) J
/ J% A1 X i8 ], S2 R1 r 伍德沃德则认为,律师行服务器的漏洞让任何人都可以对其进行扫描和截取数据。他不排除黑客入侵可能是国家所为的可能性。: Z: {- O/ X L3 C2 H i: L/ E
' [" m* ]8 g( b) U) L b
他说:“若要打*,我打*可能是有外部黑客凑巧入侵服务器,被他们所看到的数据所震撼和将之泄漏出去,但我也打*有可能是厌倦了避税的国家所为。”
! M$ a9 ^5 ~* i5 L1 e* }; F5 R( Q4 N
率先获得这批数据的德国《南德意志报》称,他们与泄密者在2014年年底通过加密通信进行沟通,泄密者警告他们是“冒着生命危险”分享莫萨克丰塞卡律师事务所的数据。被问及他们有多少数据时,他们回应称“比你见过的还要多”。
6 M( G! Y: }( g h6 [. {& y/ w4 D- j
这批数据容量高达2.6太字节(Terabyte),在将近一年时间内一点一点地流传出去。这批数据共有1150万份文件,详细记录了21万4488家离岸公司的情况,包括电邮、合同、文件扫描和文字本。若以文档类别区分,有480万份电邮、300万份数据库文件、210万份PDF文件、110万份图像、 32万零166份文本文件(text file)和2242份其他格式文件。所有文件分门别类存放在以离岸公司名称命名的文件夹里# p3 \/ h8 m7 G& l) r7 |
1 j- ?: ]. ^& Q! i, J" a8 m |