勒索攻擊下，受害者的及時知情權(quán)似乎正在被剝奪。

Domino(達美樂)在給客戶的電子郵件中說：公司在2021年3月24日發(fā)生了一次信息安全事件，相關系統(tǒng)遭到了黑客的攻擊。我們迅速采取行動遏制了違規(guī)行為，并聘請了外部機構(gòu)進行影響評估。

盡管達美樂沒有明確表示哪些數(shù)據(jù)的詳細信息被泄露，但它重申，與客戶的財務信息有關的任何數(shù)據(jù)都沒有受到損害。因為該公司原本就不會存儲用戶的詳細財務信息，例如完整的信用卡號、CVV、密碼等。

[[401963]]

目前，達美樂已經(jīng)向有關當局進行了事件上報，并且向網(wǎng)絡犯罪小組提出了投訴，及雇用了一家全球法證機構(gòu)來調(diào)查安全問題。

有趣的是，攻擊事件發(fā)生在3月24日，而4月份相關數(shù)據(jù)已經(jīng)在暗網(wǎng)上進行銷售，此后，達美樂才開始通知客戶。此次受影響的主要是1.8億來自印度的客戶，泄露數(shù)據(jù)包括郵件地址、手機號碼以及客戶的經(jīng)度和緯度信息，并且黑客表示將很快公開付款細節(jié)和員工檔案。

回顧近期發(fā)生的眾多勒索攻擊事件，可以發(fā)現(xiàn)不同企業(yè)的不同應對反應：

1. 是否支付贖金

目前國際上的聲音更多表示：建議不支付贖金，否則會進一步助長勒索犯罪團伙的氣焰，而高額贖金將刺激更多惡意分子成為勒索軟件服務的加盟者。但是，以Colonial勒索事件為例，由于基礎設施被勒索，巨大的潛在威脅和破壞性使得Colonial Pipeline 在5月7日就向Darkside支付了近 500 萬美元贖金。因此，受害者的利益權(quán)衡導致了贖金是否支付問題的搖擺。

2. 多久通知受影響的用戶

勒索攻擊往往伴隨著數(shù)據(jù)泄露，而泄露的數(shù)據(jù)一般會被公布在勒索軟件運營商的專用站點上或是在暗網(wǎng)上進行批量售賣。敏感信息泄露將為受影響的用戶帶來可能的攻擊風險。而用戶是否能擁有知情權(quán)?以及是否可以及時擁有知情權(quán)?目前大多數(shù)受到勒索攻擊的企業(yè)會選擇“內(nèi)部處理”，而從發(fā)現(xiàn)網(wǎng)絡攻擊到告知用戶，這一過程需要30-60天不等，甚至有些客戶無法得知相關訊息。

根據(jù)Palo Alto Networks的數(shù)據(jù)，2020年的平均勒索贖金為312493美元，比上年增長171%，其中勢必還有許多未被披露的勒索攻擊事件，或是隱瞞了支付贖金行為的企業(yè)。在勒索盛行下，國家層面打擊勒索犯罪的行為持續(xù)進行，與此同時，企業(yè)也應該為其客戶的信息安全做好“事前”的安全保護，以及“事后”的及時通知。