IBM《资料外泄成本报告》：外泄凭证与云端配置错误为最大的攻击媒介

IBM近日公布了从2019年8月到2020年4月的《资料外泄成本报告》（Cost of a Data Breach Report），该报告搜集了在这期间来自17个国家、17个产业的524起资料外泄事件，显示有52%的资料外泄事件源自于恶意攻击，在恶意攻击中，骇客主要利用的三大媒介依序是外泄凭证（19%）、云端配置错误（19%），以及第三方软件的安全漏洞（16%）。

今年每起资料外泄事件的平均成本为386万美元，相关的成本计算了业务的流失、企业的侦测及回应行动，以及通知执法/监管机构与受害者等。

该报告向来都会分析资料外泄的原因，通常归类为恶意攻击、系统故障及人为疏失等三大类，而今年特别就恶意攻击的媒介进行细分。

整体而言，在524起资料外泄事件中，有52%来自恶意攻击，25%肇因于系统故障，而有23%属于人为疏失，上述事件所带来的平均成本分别是427万美元、338万美元与333万美元，显示出恶意攻击的资料外泄事件所导致的成本最高。

而在恶意攻击中，有19%是利用外泄凭证，19%源自云端的错误配置，16%是开采了第三方软件的安全漏洞，还有14%是透过网钓攻击。其中，使用已泄露的凭证进行攻击不只是骇客最常用的手法，也替企业带来最高的成本，相关攻击所招致的成本大约为475万美元，居次的则是开采第三方软件漏洞的450万美元。

另一方面，基于恶意攻击的资料外泄事件中，有53%起源于财务动机，有13%是由国家级骇客所发动，另外13%则是单纯的骇客行为。