2019年，是信息技术发展过程中里程碑式的一年。新兴热点技术人工智能、5G在与持续热点技术大数据、云计算等快速交叉融合后，已经在自动驾驶、智慧城市、智能制造、健康医疗等领域开始走向应用。作为信息社会中的个体，大多数普通人对技术的快速发展感到惊喜，对技术给未来社会带来的改变充满期待。但是，就像阳光的照耀下一定会存在阴影一样，信息技术飞速发展过程中伴随的安全问题，也像一个巨大的阴影，挥之不去。

2019年，从工控基础设施攻击、个人信息泄露到政府、知名企业遭受勒索软件威胁，各类安全事件仍频繁发生，令人防不胜防，值得警醒。

工业控制系统攻击

3月，委内瑞拉电力系统遭到大规模网络攻击，国家电力干线也反复遭到电磁攻击。该国最重要的古里水电站遭到恶意破坏，这座水电站供应委内瑞拉80%的电力，导致全国23个州中的21个州停电，历时6天。挪威最大的工业制造公司Norsk Hydro的工控系统遭受攻击，造成多条生产线关闭。Norsk Hydro是全球最大铝制品生产商，此次攻击引发全球铝制品交易市场震荡。

6月，全球最大飞机零件供应商之一ASCO的生产系统被黑客攻击破坏，造成系统瘫痪，德国、美国、加拿大、比利时的工厂被迫关闭，上千名工人停工。伊朗军事系统受到美国发动的网络攻击，部分军事指挥、控制系统和导弹控制系统受到破坏，国家安全受到严重威胁。

10月，全球最大的助听器制造商Demant公司的制造设施遭黑客攻击，直接经济损失高达9500万美元。世界最大云服务商亚马逊云平台Amazon Web Services（AWS）遭到黑客DDoS攻击，服务中断达8小时之久。

点评：工业基础设施安全关系到国计民生，一直是工控领域关心和研究的重点。随着工业信息化的持续推进，工业设备网络连接、协调化生产日益呈现出加速发展的趋势。工业生产装备、各类传感设备、工业控制系统等极易成为黑客攻击的对象，造成基础制造行业瘫痪、生产停滞、运营中断等严重后果。未来，随着工业系统的智能化、网络化持续推进，工控领域的信息安全将成为国与国网络攻防对抗的主战场。

用户信息泄露

1月，澳大利亚维多利亚州政府3万多名公务员工作数据被盗，不法分子可能会利用盗窃的邮件、电话号码等信息对政府公务员进行网络钓鱼攻击、垃圾邮件攻击等。

3月，Facebook数亿用户密码在数据库内以明文形式存储，其内部员工具有访问这些用户密码的权限。这一技术漏洞将可能导致大约2亿到6亿用户账号信息被泄露。环球易购旗下跨境电商网站Gearbest有数百万用户信息和订单泄露，包括用户姓名、地址、电话号码、邮件及订单产品信息等。

7月，美国第一资本银行金融公司顾客个人基本信息被窃取。据该公司披露，大约有1亿美国用户个人信息被窃取。被窃取数据包括2005年至2019年初信用卡申请者的基本个人信息（主要为信用评分、支付历史以及部分交易数据）、大约14万个美国用户的社会安全号码以及8万个关联银行账号。俄罗斯联邦安全局服务器遭到黑客入侵，7.5TB数据被盗，包括俄罗斯有关社交网络用户登录信息等重要数据。

9月，总部位于马来西亚的马印航空公司服务器被黑客攻击，导致数百万名乘客的护照信息、住址和电话等个人信息外泄。

10月，美国知名图形图像和排版软件生产商Adobe旗下一处数据库被发现未采取安全措施，任何人皆可通过网络对其进行访问。这一漏洞导致750万Adobe 用户信息泄露。

点评：信息社会，用户数据的重要性不言而喻，但用户个人信息泄露的事件仍频繁发生。若想有效抑制对用户个人信息的侵害，在加强安全技术研究的同时，更需要提高公民网络安全意识、健全安全管理制度。2019年3月5日，十三届全国人大二次会议开幕，李克强总理在政府工作报告中提出“整治侵犯公民个人信息等突出问题”，而在上一年的政府工作报告中也曾提出“整治电信网络诈骗、侵犯公民个人信息、网络传销等突出问题”。由此可见，我国对公民个人信息的保护已经上升到国家意志高度。

勒索软件攻击

5月，美国佛罗里达州里维埃拉市政府遭到黑客勒索，在向黑客支付60万美元赎金后，市政工作才得以恢复正常。

8月，勒索病毒通过垃圾邮件在国内多地政府和企业传播。据腾讯安全御见威胁情报中心消息，湖北、山东等地的医疗、电力系统均遭到勒索病毒攻击，攻击者会留下勒索说明文档，要求联系指定邮箱购买解密工具。

10月，全球知名电子商务企业Pitney Bowes遭受勒索软件攻击，攻击者破坏了公司系统数据，超九成全球500强企业电子商务业务受到影响。法国最大商业电视台M6 Group遭到勒索软件破坏，电视台电话、邮件、办公等业务被攻击中断。南非约翰内斯堡市受到网络勒索攻击，黑客组织将恶意软件植入了与该市有关的所有电子服务和计费统计系统中，并向市政府勒索赎金。

11月，加拿大Nunavut地区政府网络遭到勒索软件攻击，所有电子信息服务瘫痪。据加拿大广播公司（CBC）报道，勒索具体内容如下：“您的网络已被渗透，全部文件已被强大的算法进行了加密。我们可以为您提供解密软件。如果您一直未进入链接取得密钥，您的数据将被完全删除。”墨西哥国有石油公司Pemex的系统被勒索软件感染。黑客向Pemex提出565比特币的勒索金额，并威胁“我们还收集了所有的私人敏感数据。如果拒绝付款，我们会将这些数据传播给其他人，这可能会损害您的商誉”。虽然这场攻击最终被及时消除，但也给该石油公司的运营造成了不良影响。

点评：在经济利益驱动下，勒索软件攻击屡见不鲜，2019年依然是勒索软件攻击事件高发的一年。其攻击是“交互式”的，攻击黑客会主动搜寻和监测目标，并根据情况调整策略，受害者不交钱不罢休。增强系统的强壮性、提高用户的安全意识始终是防范此类安全事件的重点。

2019年即将过去，又一个崭新的十年正在向我们走来。即将到来的十年，注定是人类科技历史上不平凡的十年。5G和人工智能这两个“引信”已经点燃，信息技术“核爆”即将发生：未来十年信息技术领域的成果和创新将远远超过过去一百年的总和。

回望2019年，国内外发生的信息安全事件令人忧心忡忡。信息技术是把双刃剑，其中的安全问题随着社会信息化的推进影响越来越大。小到个人，信息技术在带来工作、生活种种便利的同时，个人信息的保护已经成为每个人都必须要面对的问题；大到国家，信息安全关系到国计民生、社会稳定和经济发展，关系到国家安全和政权稳定，是国家安全的核心部分。

未来的十年是从信息时代跨入智能时代的十年，这一过程中的信息安全问题，将从个人、国家这样的组织层面上升到整个人类社会的层面。历史的车轮滚滚向前，不可阻挡，信息安全“道阻且长，行则将至”。

（转载自《保密工作》杂志2019年第12期）