澳医保基金公司Medibank发生大规模数据泄露

12月2日，据The Hacker News报道，黑客再次在暗网公布Medibank用户敏感数据，这已经是黑客连续数次公布盗窃数据。作为澳大利亚最大的个人医保基金公司，Medibank在10月遭遇重大勒索攻击，970万用户敏感信息遭窃取。

在连续数起大规模勒索攻击事件发生后，澳大利亚政府通过了一项法案，将对数据泄露公司的处罚提高到5000万澳元。

这起发生在10月的勒索软件事件“余韵悠长”，在Medibank拒绝支付高额勒索赎金后，黑客开始陆续在暗网公开用户信息。

黑客最新披露的数据集以六个ZIP存档文件的形式上传，包括医疗保险赔付信息。但Medibank表示，大部分数据是零散的，与客户姓名和联系方式没有关联，被盗的个人数据本身不足以用来进行身份和财务欺诈。

The Hacker News表示，攻击Medibank的组织疑似位于俄罗斯，且很可能与REvil勒索组织有关，该组织于今年5月卷土重来。

此次黑客再度公布信息，恰逢澳大利亚信息委员会办公室（OAIC）宣布对Medibank的涉事数据处理实践进行调查。

频遭网络攻击，澳大利亚提高罚款额度

过去两个月，澳大利亚的大型企业和关键基础设施频频遭遇网络攻击，除了Medibank，澳大利亚第二大电信供应商澳都斯（Optus）也遭遇网络攻击，1000万名客户的账户受影响。零售公司伍尔沃斯（Woolworths）的打折购物网站也遭攻击，数百万客户个人信息泄露。

路透社此前曾报道，澳大利亚政府11月4日发布的一份报告显示，上个财年，澳大利亚境内的网络攻击数量激增，“平均每七分钟一次”。

这些大型数据泄露事件促使澳大利亚政府通过新的法案。11月30日，澳大利亚政府通过了一项法案《2022年隐私立法修正案（执行和其他措施）法案》，显著增加了对遭受严重数据泄露或反复数据泄露公司的处罚。

新法案规定，最高罚款从目前的222万澳元提高到5000万澳元，相当于一家实体企业在相关时期调整后营业额的30%，或者通过滥用信息获利的三倍，以两者中最高者为准。

司法部长马克·德雷福斯（Mark Dreyfus）在一份声明中表示：“最近几个月发生的重大隐私泄露事件表明，现有的安全措施已经过时和不足。这些改革清楚地向企业表明，对重大数据泄露的惩罚不能再被视为经营成本。”

参考链接：

https://thehackernews.com/2022/12/hackers-leak-another-set-of-medibank.html

https://thehackernews.com/2022/11/australia-passes-bill-to-fine-companies.html