美國通信巨頭T-Mobile五年遭遇八起數據泄露

1月19日，電信運營商T-Mobile US在提交給美國證券交易委員會（SEC）的報告中披露，其近期遭遇的網絡安全事件造成3700萬用戶個人信息遭泄露。 

該公司坦陳，被泄客戶數據包括客戶姓名、賬單地址、電子郵箱、電話號碼、出生日期、T-Mobile賬戶號和賬戶訂閱條目數與套餐功能等信息。 

不過，T-Mobile在一份聲明中堅稱，客戶支付卡信息（PCI）、社會保障號/報稅號碼、駕駛證或其他政府證件號碼、密碼/PIN及其他財務賬號信息并未暴露。 

通過API獲取數據 

T-Mobile聲稱，黑客在1月5日通過一個應用程序編程接口（API）未經授權就獲取到了這些數據。不過，黑客從受影響API檢索數據的時間始于2022年11月25日左右。 

外部網絡安全專家對這起數據泄露事件展開了調查，在發現惡意活動的一天之內就追蹤到其源頭，并阻止了惡意活動。 

T-Mobile表示：“我們的調查仍在繼續，但目前惡意活動已被完全控制，且并無證據顯示惡意黑客能夠破壞我們的系統或網絡。” 

該公司稱，已將此事件通告相關聯邦機構，同時還在與司法機構合作，并補充道：“此外，我們還根據適用的州及聯邦要求通知了信息可能被惡意黑客獲取的客戶。” 

T-Mobile稱公司可能會因此事件付出大筆費用，但仍無法預測此事件未來對客戶行為的全部影響，“包括客戶行為的變化是否會對公司運營結果持續產生負面影響，我們目前預計不會對公司運營產生重大影響。” 

2021年，這家電信公司開始持續投入重金與外部網絡安全專家合作，試圖增強網絡安全能力，并轉變其網絡安全方法。“截至目前，我們已取得了長足進步，而且客戶數據保護依舊是我們的工作重心。我們將繼續加大投入，增強我們的網絡安全計劃。” 

T-Mobile不是第一次發生安全事件

這起事件并非T-Mobile的首起重大網絡安全事件。自2018年以來，T-Mobile已經發生過其他7起大型數據泄露了。2018年8月，該公司3%的客戶數據被泄。攻擊者滲漏了客戶姓名、賬單郵編、電話號碼、電子郵箱、賬戶號碼和賬戶類型（預付或后付費）等個人數據。

2019年11月，該公司披露稱，數量不詳的預付費客戶賬戶信息遭到未授權第三方訪問。2020年3月，T-Mobile宣稱，電子郵件供應商被黑導致其部分客戶的個人信息和財務信息遭泄露。同年12月，該公司再遭數據泄露，暴露了客戶的專有網絡信息（CPNI），包括電話號碼和通話記錄。

2021年2月，T-Mobile再曝數據泄露，稱數量不明的T-Mobile客戶受到SIM交換攻擊影響。這家電信巨頭曾警告稱，2021年8月的一次數據泄露事件暴露了公司大約7700萬名當前、曾經和潛在客戶的信息，這些信息包含客戶姓名、出生日期、美國社會保障號碼（SSN）和駕照/身份證。 

然而，T-Mobile的磨難并沒有就此終結。2022年4月的另一起事件中，黑客組織Lapsus$成功染指該公司內部工具，實施了SIM交換攻擊。

最后，2022年7月，T-Mobile被迫向2021年8月數據泄露的受影響客戶支付了3.5億美元，并同意在2023年投資1.5億美元升級其網絡安全。