SEC数据泄露事故可导致非法股票交易

“我们EDGAR系统的测试文件组件中的软件漏洞被攻击者利用，并导致对非公开信息的访问，尽管漏洞在被发现后及时修复，”Clayton在声明中称，“我们认为这次入侵并没有导致对个人身份信息的未经授权访问、危及委员会的运作或者导致系统性风险。”

Tripwire公司首席安全研究员Travis Smith表示，SEC成为攻击目标并不令人感到奇怪。

SEC是非常有价值的目标，因为他们存储着非公开信息，这可用于利用股票市场—并不是利用技术方面，而是利用非公开信息成功投资股票市场，通过合法交易，他们可躲过执法部门的侦查，毕竟执法部门通常试图会在黑市寻找销售盗窃信息的人员。

虽然该机构已经知道2016年SEC数据泄漏事故，但从未向公众披露；该事件的扩大影响直到今年8月才被发现，而这是在攻击发生一年多后。

在SEC的声明中，他们对这次数据泄露事故可能导致潜在内幕交易的承认部分为1400字，而超过4000字在说明SEC“如何专注于识别和管理网络安全风险”。

“我认识到即使费尽全力加强网络安全也无法解决企业面临的所有网络风险，”Clayton表示，“这个严峻的现实使得充分的披露没有那么重要。恶意攻击和入侵活动是持续和不断变化的，在某些情况下，他们可成功攻击最强大的机构甚至SEC本身。除了评估之外，网络安全工作还必须包括预防、缓解和恢复等。”

（图片来源于网络）

风险管理公司Prevalent第三方战略高级主管Brad Keller表示：“这表明，SEC像大多数公司一样，并不完全了解在其不同数据库中信息如何被使用。这也进一步说明，他们不能完全了解真正需要保护的信息。”

电子支付提供商Viewpost公司首席安全官Chris Pierson表示，SEC数据泄露事故意义特别重大，因为SEC的企业财务部门“率先提出公共实体披露重大网络安全风险的要求”。

“对于美国金融体系和市场来说，这是分水岭事件，”Pierson称，“鉴于SEC的保密工作，我们不可能知道2016年5月数据泄露事故程度，但如果这些私有文件都是通过EDGAR进行控制，它们都可能是被瞄准和渗透的信息。“

（图片来源于网络）

信息安全初创公司首席技术官兼联合创始人Ben Johnson称，SEC数据泄露事故发生在一年多以前以及SEC没有披露该事故的事实非常令人不安。

“对于任何数据泄露事故，通常很难弄清楚哪些信息被读取和渗透。尽管迄今为止技术细节很少，可能没有人知道SEC内哪些信息被访问，”Johnson称，“再加上难以关联多个事件，这意味着，从纯粹网络和数字取证的角度来看，非常难以证明特定交易与SEC数据泄露事故有关。这通常需要通过将多种情报拼凑，以推测意图、因果关系或相关性。”