北美公用事业账单入口网站系统Click2Gov二度被骇客锁定

在2017年与2018年曾经遭到骇客锁定的公用事业账单入口网站系统Click2Gov，近日再度传出又被骇客攻击，受害者为8个采用Click2Gov系统的美国城市，骇客盗走了超过2万张的支付卡资讯。

Click2Gov是由CentralSquare（原为Superion）所开发的自助式公用事业账单支付入口网站，估计在北美的安装数量介于600到6,000之间。

然而，Click2Gov平台在2017年到2018年之间就曾遭到骇客锁定，当时骇客借由开采Click2Gov的安全漏洞盗走了30万张的支付卡资讯。此次资安业者Gemini Advisory是在暗网中看到骇客又开始销售自Click2Gov盗出的支付卡资讯，才知道Click2Gov受到第二波攻击。

根据Gemini Advisory的分析，第二波攻击始于今年8月，骇客从8个城市的Click2Gov平台再度偷走2万张支付卡资讯，在被骇客锁定的这8个城市当中，有2个已经修补了当初的漏洞，有6个还含有原本的漏洞，当中还有些城市的Click2Gov平台在这两波攻击中都受害。

其实CentralSquare去年就修补了骇客在首波攻击中所利用的Click2Gov安全漏洞，只是用户未能确实修补，同时CentralSquare也向媒体证实Click2Gov含有另一新漏洞，亦已被关闭。

CentralSquare表示，只有手动输入支付卡资讯的Click2Gov用户才会受到相关攻击的影响，仰赖自动支付账单机制的用户则能幸免于难；此外，只有由各城市自行部署的Click2Gov系统才含有相关漏洞，云端代管服务则相对安全。

Gemini Advisory指出，骇客在第一波的Click2Gov攻击中尝到了甜头，估计光是在暗网中销售支付卡资讯，就替他们带进190万美元的不法所得，才使得骇客食髓知味，发动第二波的攻击，他们已通知被攻击的城市，部分城市则是直接撤下Click2Gov系统以进行修复。