英特爾財報是如何“被盜”的?發布程序暗藏漏洞URL被猜出
英特爾公司上週因為敏感財務信息洩露被迫提前發布了第四季度財報,洩露原因是網站遭黑客入侵。今天,英特爾公佈了更多細節,承認問題源自公司財報發布程序中的薄弱環節。這個事件凸顯出了其他公司也會面臨的一個潛在漏洞:企業在發佈公告時只會對普通URL地址(統一資源定位器)進行少量變更,而且易於猜測。
英特爾稱,公司網絡並未遭到入侵,“我們已經調整了發布程序以預防日後再發生此類事件”。
英特爾原本計劃在上週四股市收盤後發布第四季度財報,但是卻在收盤前幾分鐘提前發布了財報。這份意外強勁的財報推動英特爾股價在周四常規交易的最後幾分鐘實現大漲。
英特爾CFO喬治·戴維斯(George Davis)表示,在發現網站“被黑”後,公司提前發布了財報。這次黑客入侵導致一份包含財報詳情的信息圖表在公司以外傳播。英特爾當時稱,公司正在調查這一事情,並未表示可能是自主發布程序導致了這一泄露。英特爾隨後披露,這些信息是“無意間被公開訪問的”,早於“第三方訪問”。
這份信息圖表是英特爾準備發布的文件,包含了添加的URL地址。它並未發佈在英特爾的投資者網站,說明它沒有鏈接,儘管它對所有猜到URL地址的人可見。英特爾在發布每個季度財報時都使用十分類似的URL地址,使得外部人很容易猜到。
美國網絡安全專家布魯斯·施耐爾(Bruce Schneier)稱,英特爾最初對於信息洩露是黑客入侵的解釋“站不住腳”,因為是該公司自身的處理方式使得其他人易於訪問這部分信息。不過他指出,法院此前曾經裁定,猜測未發布信息的URL地址違反了計算機欺詐和濫用法,相當於“動動門把手”看看其他人是不是沒鎖門。