（原标题：全球最大信息泄露背后：企业与黑客的尖端博弈）

　　12月14日，美国知名互联网公司雅虎发布声明，称公司曾于2013年遭遇黑客袭击，超过10亿用户的信息已泄露。

　　在大数据时代下，用户的个人信息几乎被互联网公司所掌握，然而稍有不慎，就导致大量的个人隐私被泄露。近日，多家媒体先后报道用户信息泄露背后的产业链，只要提供所查询的姓名和身份证号后，不用千元便可买到包括开房记录、乘机、网吧记录等信息在内的个人信息。

　　事实上，信息泄露事件频发主要源于企业或政府部门数据库存在安全漏洞，导致黑客或内部员工有机可乘，其中黑客是主要因素。根据360互联网安全中心发布的《2015年中国网站安全报告》显示，在2015年国内外十大网站安全事件中，有7宗涉及黑客攻击。

　　美团点评信息安全中心安全负责人陈伟告诉时代周报记者，美团对所有数据进行分级保护，数据级别越高，相应的保护措施越严格，并通过数据加密措施保障数据一旦泄露之后也不能被正常使用。

　　而京东安全团队成员向时代周报记者表示，由于越来越多的交易在互联网上发生，这吸引了很多黑客的关注，黑客与安全体系的博弈会一直继续下去。“针对撞库攻击，京东有着完善的风控策略，通过大数据甄别风险行为和账户，登录接口使用安全的验证码，并且会对登录日志进行实时分析，第一时间避免撞库攻击带来危害。”

　　企业信息安全日益重视

　　事实证明，互联网企业对信息安全的投入不计成本，但效果仍然值得商榷。12月14日，美国知名互联网公司雅虎发布声明，称公司曾于2013年遭遇黑客袭击，超过10亿用户的信息已泄露。

　　这是全球有史以来最大规模的信息泄露事件。此前雅虎曾发表声明称，公司在2014年曾遭遇黑客攻击，导致至少5亿用户的信息被盗窃，包括用户姓名、电子邮箱、电话号码、出生日期和部分登录密码外流。而国内也在最近发现多起信息泄露事件。

　　而从信息泄露事件的成因来看，黑客依然是主角。根据360互联网安全中心发布的《2015年中国网站安全报告》显示，在2015年国内外十大网站安全事件中，有7宗涉及黑客攻击。

　　日前盈世科技联合奇虎360发布的《2016中国企业邮箱安全性研究报告》显示，黑客偏好于盗取企业邮箱，以便对该企业的更多邮箱用户实施欺诈，以盗取该企业更多用户的邮箱。于安全意识较强的用户来说，比对邮箱后缀是最重要的防骗手段之一，但如果攻击者是使用企业内部邮箱欺诈内部员工，可信度和成功率都会大幅提高。

　　据京东安全团队介绍，针对撞库攻击，京东有着完善的风控策略，通过大数据甄别风险行为和账户，登录接口使用安全的验证码，并且会对登录日志进行实时分析，第一时间避免撞库攻击带来危害。

　　“对于漏洞问题，京东安全部门严格管理和执行安全开发流程，并在业务上线前对业务进行安全测试，包括黑盒渗透测试以及白盒代码审计，并且通过对外的漏洞接报平台，第一时间获取漏洞信息和威胁情报信息，并迅速完成修复，保护京东业务不受漏洞影响。”京东安全团队成员向时代周报记者表示。

　　据时代周报记者了解，美团点评早在2013年就建立了独立的安全团队来负责公司的安全业务，目前负责安全方向的员工在100人左右，随着业务扩大团队也在发展中。

　　“目前团队根据工作职责分为几个组，分别为安全攻防、安全运维、安全运营、安全开发和业务安全，各组间在对抗入侵、风险控制、自身安全性评估方面互相配合砥砺前行。”美团点评业务安全中心高级技术经理刁士涵告诉时代周报记者。

　　刁士涵表示，风控是一个系统工程，要想达到好的风控结果，除了风控系统本身的建设外，还有很多其他方面需要建设，比如业务系统的设计、促销系统的设计、违规追责处理、业务运营人员的培训、核查运营等。只有各个方面都补齐，才能得到一个良好的最终结果。

　　“美团点评的风控体系，除了在规则平台、验证平台、基础数据建设等核心风控模块不断完善外，还参与了对上下游的业务系统改进、人员培训、规则制定和事后的核查运营违规处理等，并对这些功能建立了相应的支撑系统。”刁士涵向时代周报记者表示。

　　抓住“内鬼”

　　从目前已发的用户泄密事件来看，内部员工泄密也是主要原因之一。

　　今年9月，澎湃新闻报道称，某国有大行员工将以20-50元每条的价格，将800余条包含姓名、身份证号码、银行卡内金额、手机号在内的储户信息卖给他的上线、同在银行工作的张某。而张某则以50元一条的价格从多家银行员工处购买储户信息，再以每条120-180元不等的价格转卖，1400多条储户信息被他出售。

　　经过层层贩卖后，企业信息泄露已形成一条完整的产业链。内部员工作为信息的掌握者，如何防止被滥用是阻止信息泄露的关键。京东方面相关负责人向时代周报记者表示，京东一贯高度重视用户信息安全和资料保护，有最严格的公司政策和规定，绝不允许任何人以任何方式泄露用户信息，这是公司的“红线”，一旦发现按最高限处理。

　　”京东具有严格的权限管理制度，建立了强大的系统审计、预警功能，一旦出现违规操作，系统能立刻捕获信息，达到有效的监控及迅速止损。其次是公司会定期向员工进行培训，不断宣导相关法律和规定，持续强化员工的法律法规意识。”上述负责人向时代周报记者表示，京东在员工入职时就会有相应的信息安全教育课程，在入职第一天就会让员工了解信息安全对京东的重要性、相关管理规则，规范员工严谨的信息安全习惯。

　　美团点评信息安全中心安全负责人陈伟向时代周报记者表示，美团对所有数据进行分级保护，数据级别越高，相应的保护措施越严格，并通过数据加密措施保障数据一旦泄露之后也不能被正常使用。“在内网安全审计方面，我们从流量、终端、操作日志等多方面都做了动态感知，由统一的安全态势管理平台分析，对异常行为进行报警、阻断等防护，并对内部事件追踪、回溯方面持续发挥着作用。”