不付赎金就公开个资！GDPR反成勒索攻击Ransomhack的威胁武器

保加利亚资安厂商Tad Group揭露了新型态的勒索攻击Ransomhack，骇客这次并非以加密档案当作威胁，而是窃取企业服务器中的个人资料，并且威胁企业缴交赎金，否则公开这些资料，使企业受到欧盟最严格个资法GDPR的巨额罚款处罚。Tad Group提到，这个攻击瞄准中大型企业，并要求支付价值1,000美元到20,000美元不等的加密货币作为赎金。

5月25日上线GDPR，目的用于保护欧盟居民个人隐私权，但没想到却被骇客用来作为威胁企业的武器。Tad Group创办人Ivan Todorov警告，受害者是中型以及大型的保加利亚公司，被要求以无法追踪来源的加密货币支付赎金，赎金从1,000美元到20,000美元不等。由于GDPR规定，触法将被处以企业全球年度营业额的4％或是高达2,000万欧元的罚锾，对企业来说是个沉重的压力。

前些时日肆虐一时的勒索软件Ransomware，已让企业与政府单位头大，像是WannaCry蠕虫为会主动感染电脑，以RSA 2048加密方法加密180种电脑档案格式，并更改副档名为WNCRY加密档，受害者被威胁，需要在时间内支付赎金才能取得解密金钥，超过时限金钥就会被骇客撕票。而Ransomhack则是骇客窃取企业的使用者个人资料，并威胁暴露这些资料以获取赎金。

不过尴尬的是，在企业被窃取使用者个人资料后，有义务于72小时内向主管机关通报资料泄漏，对这些被骇的保加利亚企业来说，主管机关就是个人资料保护委员会，该委员会将评估违规程度施以适当的裁罚，也就是说，即使企业缴交罚金企图息事宁人，但最后还可能会因为没有通报主管机关而被加重处罚。

Tad Group提到，这些被骇的保加利亚企业都采取了相对应的措施以因应GDPR，包括制定个人资料储存规范或是安全政策等，但是却忽略了可能来自网络攻击所造成的资料外泄，该资安厂商提到，企业可以借由渗透测试，来对企业进行针对性的网络攻击模拟，以骇客使用的入侵技术测试企业的资安强度，并即时修补发现的漏洞。