駭客透過空調供應商入侵 Target，盜走 4,000 萬張卡片

在 2013 年假期購物季，零售商 Target 遭遇了史上規模最大的資料外洩事件之一。攻擊者並非直接突破 Target 自身的防禦，而是從一家為 Target 提供暖氣與空調系統服務的第三方供應商竊取憑證。透過該供應商的存取權限，攻擊者進入了 Target 的網路。

進入內部後，攻擊者在 Target 的銷售點（POS）系統上安裝惡意軟體，竊取了約 4,000 萬名客戶的信用卡與簽帳卡卡號，以及約 7,000 萬人的個人資訊（姓名、地址、電子郵件）。儘管 Target 的安全工具已標記出這次入侵，但這些警示並未被處理，導致外洩事件數週未被發現。

後果十分嚴重。Target 支付了 1,850 萬美元的多州和解金及 1,000 萬美元的集體訴訟和解金，在補救措施上花費數億美元，銷售與聲譽也受到損害。執行長 Gregg Steinhafel 於 2014 年辭職。這起外洩事件成為網路安全領域的標誌性案例——鮮明地展示了供應鏈中的薄弱環節，以及被忽視的安全警示，如何可能暴露數千萬名客戶的資料。

在 4,000 萬張卡片及 7,000 萬名客戶的資料被竊後，這起外洩事件使 Target 付出 1,850 萬美元與 1,000 萬美元的和解金、數億美元的補救費用，以及執行長的職位。

攻擊者透過一家第三方暖通空調（HVAC）供應商被竊取的憑證進入 Target 的網路，利用了供應鏈中的薄弱環節。

進入內部後，他們在銷售點系統上安裝惡意軟體，竊取了 4,000 萬個卡號及 7,000 萬名客戶的資料。

Target 的安全工具標記出這次入侵，但警示未被處理，因此外洩事件數週未被發現。

這起外洩事件使 Target 在和解金與補救措施上花費數億美元，損害了其銷售與聲譽，並導致執行長辭職。

你的安全性取決於最薄弱的供應商。Target 是透過一家暖通空調（HVAC）供應商的憑證被入侵的，而其警示被忽視了。無人處理的警示等於沒有警示。

Target 外洩事件是史上規模最大的事件之一，也是網路安全領域的標誌性案例，透過第三方供應商的憑證與被忽視的警示，暴露了數千萬名客戶的資料。這起事件使 Target 在和解金與補救措施上花費數億美元，損害了其假期銷售與聲譽，並導致執行長辭職。教訓歷久彌新：一家公司的安全性延伸至每一個能存取其網路的供應商，而安全工具若其產生的警示被忽視便毫無價值——你未處理的外洩事件，正是毀掉你的那一起。