近日，美国互联网金融服务公司罗宾汉（Robinhood）就其于11月3日发生的网络攻击事件发表公开声明，称目前攻击已被遏制，共计700万用户数据遭到泄露，并将联合外部安全公司对此事展开调查。罗宾汉的公告显示，由于社保账号、银行账号等信息并未泄露，暂未发现用户因此遭遇经济损失。
据了解，罗宾汉是一家提供在线投资服务和交易平台的互联网金融服务公司，其凭借线上投资交易的免佣金模式而逐渐壮大。去年5月，罗宾汉的注册账户超过五百万，2019年与2020年的总营收分别达到2.78亿美元和9.59亿美元，是美国第二大金融科技初创公司。
据报道，当地时间11月3日深夜，黑客利用罗宾汉客服人员的内部权限访问了公司的信息系统，导致约500万用户的电子邮件地址及200万用户的姓名遭到泄露，其中约310名用户的出生日期、邮政编码等更多个人信息被泄露，另有约10人的账户余额、投资组合和电话号码等被泄露。
公开声明显示，泄露事件发生后，罗宾汉通知了受影响的相关用户。在攻击得到遏制后，黑客团队以公开获取信息为由对罗宾汉实施勒索，公司随即联络执法部门，并与外部安全公司曼迪安特（Mandiant）共同展开调查。然而，罗宾汉发言人拒绝向媒体透露其是否履行了勒索要求。
“作为一家将安全放在首位的公司，我们对用户负有保持透明公开和诚信的义务。”罗宾汉首席安全官迦勒·司马（Caleb Sima）表示，他们将对此展开认真审查，并带领整个罗宾汉社区高度关注这一事件。
多方就此事强调，泄露的用户数据很容易被犯罪分子利用——黑客除了窃取如用户余额、交易记录等敏感数据外，还能注销账户、添加受信任设备及阻止部分会话访问账户。事实上，罗宾汉等金融公司通常有内部系统供员工更改客户账户从而解决服务问题，而黑客此次正是窃取员工身份利用了这一内部系统。
曼迪安特高级副总裁兼首席技术官查尔斯·卡马卡尔（Charles Carmakal）在一份声明中透露，曼迪安特已在最近多起网络安全事件中观察到了这个黑客团队，并预计其将在未来几个月内继续勒索其他组织。
南都·隐私护卫队梳理发现，此事件堪称罗宾汉有史以来最大的安全事故之一。去年10月，罗宾汉遭到网络攻击，近2000个用户账户被黑客接管，清算用户投资并提取余额，当时曾有用户指责该公司在防止此类攻击行为发生方面行动过于迟缓。
黑莓（BlackBerry）高级副总裁兼首席信息安全官约翰·麦克卢格（John McClurg）就此事发表评论，称利用以预防为先的人工智能驱动技术可以使组织在数据泄露和勒索攻击发生之前就进行阻止。“通过在开发阶段阻止网络攻击者，组织能提高反应灵活性并确保用户与员工的数据安全。”
据悉，该事件曝光后，罗宾汉的股价下跌了约3%，此前的上涨局面被一举扭转。
编译/综合：南都个人信息保护课题组研究员 樊文扬
