美国运通在第三方供应商发生数据泄露后通知客户

美国运通数据泄露事件更新

主要信息

在3月5日上午1133更新的信息中，编辑指出此事件是由于第三方商户处理器的黑客攻击所致。根据美国运通在马萨诸塞州提交的数据泄露通知，一个“由多个商家使用的第三方服务供应商遭到了未授权系统访问。”

美国运通随后告知客户，虽然某些账户信息可能已被暴露，但坚称这起事件并未影响美国运通所有或控制的系统。美国运通在声明中表示：“事件发生在商户或商户处理器上，并非针对美国运通或其服务供应商的攻击，部分媒体对此进行了错误报道。由于客户数据受到影响，美国运通已向马萨诸塞州机构和受影响的客户提供了事件通知。”

对于第三方提供商需要更多的审查

Claude Mandy，Symmetry Systems的数据安全首席专员，表示此次数据泄露最令人失望的方面是缺乏细节尤其是关于事件如何被发现和泄露范围的线索。尽管未来希望能有更多细节提供，Mandy指出，这一事件显示了支付行业内类似的第三方安全问题。

Mandy解释道：“服务提供商通常缺乏足够的日志记录和监控能力，来确定哪些数据被泄露，更不用说判断泄露是否发生了。”因此，这类泄露大多数靠支付公司如美国运通使用的高级欺诈分析能力来识别，从而提醒他们网络中哪些商户和服务供应商存在高发的欺诈活动。我们预计，各类组织将越来越多地投资现代数据安全能力，以帮助检测和响应对敏感数据的未授权访问，并主动降低数据风险。

Pathlock的首席执行官Piyush Pandey补充说，在过去几年中，他的团队注意到第三方数据泄露事件显著增加。在这个例子中，Pandey表示涉及多个方，即我们所称的“nth party”风险。

Pandey提到：“这使得组织在入驻时更加重视对第三方的审查，以最小化访问风险。”他还表示，组织必须确保他们与其业务往来的第三方合作伙伴也经过访问风险评估。在标准的第三方合同中，应明确规定泄露响应责任。同时，对第三方仅提供必要的数据应成为最佳实践。

Cyware的董事Emily Phelps指出，第三方金融数据泄露现象广泛，部分原因在于金融数据的内在价值及其复杂的供应链。

Phelps解释道：“威胁行为者利用可能未配备与大型机构相当的安全控制的第三方供应商。”

Eureka Security的联合创始人兼首席执行官Liat Hayun补充说，近期影响美国运通客户的数据泄露事件发生在类似事件发生几周之后，显示出组织必须逼迫其服务提供商承担数据安全责任的紧迫需求。

“以往泄露事件的教训凸显了强大访问控制的重要性，因为此次事件很可能源于未经授权的系统访问，”Hayun表示。“尽管映射敏感数据的接入点可能很复杂，但这是组织必须优先考虑的安全措施，以符合其整体商业目标和合规要求。”