來源：溫哥華港灣

加拿大近年最大規(guī)模個人信息泄露事件，終于迎來賠償結(jié)果。

2020年疫情初期，大批加拿大人突然發(fā)現(xiàn)自己的CRA（加拿大稅務(wù)局）賬戶被盜：郵箱被改、銀行信息被篡改，甚至有人名下莫名其妙“申請”了多筆CERB緊急補助。

短短幾周內(nèi)，超過4.7萬名加拿大人的政府賬戶遭黑客入侵，大量敏感資料外泄。

時隔數(shù)年，這起震驚全國的網(wǎng)絡(luò)安全事件終于落幕——聯(lián)邦政府已同意支付870萬加元，與受害者達(dá)成集體訴訟和解，部分受害者最高可獲得5,000加元賠償。

這場被稱為加拿大史上最嚴(yán)重之一的政府賬戶入侵事件，也再次暴露出疫情期間聯(lián)邦線上系統(tǒng)的巨大安全漏洞。

疫情期間爆發(fā)大規(guī)模賬戶入侵

事情發(fā)生在2020年夏天。當(dāng)時正值疫情封鎖，大量加拿大人通過CRA和Service Canada在線申請CERB等疫情補貼。就在全國最依賴政府線上服務(wù)的時候，黑客卻盯上了這些賬戶。

根據(jù)法院文件，黑客主要使用一種名為“憑證填充”（credential stuffing）的攻擊方式。簡單來說，就是利用其他網(wǎng)站過去泄露的用戶名和密碼組合，大規(guī)模嘗試登錄CRA賬戶。

由于很多人習(xí)慣多個網(wǎng)站使用同一密碼，大量賬戶因此被成功破解。

更嚴(yán)重的是，當(dāng)時CRA部分驗證機制存在漏洞。原本用于保護(hù)賬戶的二次驗證程序，竟被黑客繞過。執(zhí)法部門甚至在2020年8月6日就向CRA發(fā)出警告，稱暗網(wǎng)上已經(jīng)有人公開兜售這種入侵方法。

CRA隨后在數(shù)天內(nèi)緊急修復(fù)漏洞，并一度關(guān)閉線上服務(wù)。

大量受害者：補貼被盜、身份被冒用

但那時，損失已經(jīng)造成。

大量受害者發(fā)現(xiàn)，自己的銀行直存信息被更改，本應(yīng)發(fā)給自己的CERB補貼被轉(zhuǎn)入陌生賬戶；還有人名下被冒名申請多筆疫情福利。

被盜的信息包括社保號碼、住址、電話號碼、銀行賬戶等高度敏感資料。

來自BC省Clinton的Todd Sweet成為本案主要原告之一。他在2020年7月收到“賬戶郵箱被修改”的通知后，登錄CRA才發(fā)現(xiàn)，自己的直接存款資料已經(jīng)被篡改，名下甚至被遞交了4份CERB申請。

隨著越來越多加拿大人在網(wǎng)上發(fā)聲，類似案例迅速曝光，全國輿論嘩然。

集體訴訟展開：政府被指安全措施不足

集體訴訟隨后展開。原告方指控聯(lián)邦政府及CRA未能提供足夠安全措施，導(dǎo)致黑客能夠長期利用系統(tǒng)漏洞盜取個人信息并騙取政府補貼。

雖然聯(lián)邦政府最終選擇和解，但仍明確表示：“不承認(rèn)存在任何過錯或責(zé)任?！?/p>

根據(jù)最新獲批的和解協(xié)議，總賠償金額為870萬加元，其中約600萬專門用于補償在2020年6月26日至8月18日期間，因“憑證填充”攻擊而被入侵賬戶的受害者。

賠償標(biāo)準(zhǔn)公布：最高可領(lǐng)$5000

賠償標(biāo)準(zhǔn)也正式公布：

如果個人信息曾被非法查閱，受害者可按每小時20加元計算處理相關(guān)問題所耗費的時間，最多可申報4小時，也就是最高80加元；

如果黑客利用個人信息冒名申請CERB，或盜走原本屬于受害者的補貼，受害者最高可獲200加元補償；

此外，若因身份盜用產(chǎn)生實際經(jīng)濟(jì)損失，例如信用監(jiān)控費用、銀行卡更換費用、相關(guān)法律支出等，還可進(jìn)一步申報，最高賠償額度可達(dá)5,000加元。

賠償申請將由KPMG負(fù)責(zé)處理，目前已設(shè)立專門登記系統(tǒng)供受害者申請。

部分受害者不滿：賠償遠(yuǎn)遠(yuǎn)不夠

值得注意的是，法院文件顯示雖然只有不到1%的受害者正式反對和解方案，但不少人認(rèn)為賠償金額遠(yuǎn)遠(yuǎn)不足。

聯(lián)邦法院法官Southcott也承認(rèn)，對于那些因身份盜用而遭受嚴(yán)重精神壓力、財務(wù)損失甚至健康問題的人來說，這筆賠償“可能完全不夠”。

但法庭認(rèn)為，從整體角度來看，該方案仍屬于“合理范圍”。

法院同時表示，不滿意賠償方案的受害者，仍可選擇退出集體訴訟，自行向政府提起個人訴訟。

而如果最終賠償金仍有剩余，聯(lián)邦政府承諾，將把余額捐給加拿大隱私與信息訪問委員會，用于支持隱私保護(hù)及信息安全研究。

非常值得關(guān)注的是，過去幾年從CRA賬戶被盜，到各類銀行、電信數(shù)據(jù)泄露事件，加拿大民眾已越來越頻繁地成為網(wǎng)絡(luò)犯罪目標(biāo)。要知道，很多黑客甚至不需要“高科技破解”，只要用戶長期重復(fù)使用密碼、缺乏雙重驗證，就可能輕易得手。

因此政府提醒廣大民眾，在政府加強防范措施的同時，大家也要務(wù)必隨時保護(hù)好個人信息。