千万别汇款！UC、斯坦福等六所大学学生及申请者信息被黑客盗取并邮件敲诈！

美国当地时间4月2号，斯坦福大学发布公告称：黑客通过大学使用的 Accellion 第三方传输文件漏洞，窃取社区成员信息，导致数据泄漏，数据包括社会安全号码，地址，电子邮件，家庭成员和财务信息。

加州大学系统也在周三发布了一份声明称：网络攻击针对的是第三方供应商Accellion中的一个漏洞，勒索软件团体可能已经窃取并发布了他们的个人数据以及全国数百所其他学校，政府机构和公司的个人数据。

在最近的一次更新中，臭名昭著的Cl0p勒索软件组织声称可以访问据称属于美国六所顶尖大学的学生和教职员工的财务文件和护照信息。

该小组于3月29日开始在网上发布涉嫌被盗的数据。这些大学包括：

叶史瓦大学

斯坦福大学

迈阿密大学

马里兰大学

科罗拉多大学博尔德分校

加州大学默塞德分校

Cl0p勒索软件和勒索帮派泄露的记录包括截图，这些截图显示了联邦税收文件，要求减免学费的文书工作，护理委员会的申请，护照和税收摘要文件。这意味着超多人受到了影响，因为泄露的数据快照暴露了敏感信息，其中包括：

相片

出生日期

住家地址

护照号码

移民身份

个人名字

社会安全号码

另一方面，专家看到了该小组发布的其他屏幕截图，包括个人名单及其社会保险号，退休文件以及2019/2020年福利调整要求。

不仅如此，泄漏的数据似乎还包括针对雇员的晚期注册福利申请表以及UCPath Blue Shield健康储蓄计划的注册请求。 

目前任何一所大学都没有证实他们的网络基础设施是否遭到破坏，或者Cl0p勒索软件帮派要求提供任何勒索资金以勒索数据。

据称为马里兰大学的记录

据称为叶史瓦大学记录

据称为斯坦福大学的记录

值得注意的是，对于Cl0p勒索软件组织而言，这并非稀奇，因为它们已经与针对各种企业的一系列网络攻击相关联，但是针对教育系统的这样大规模的攻击实属罕见。

Clop是使用“双重勒索”策略的众多网络犯罪组织之一，勒索软件首先部署在受感染的计算机上，然后威胁者扬言将公司或敏感的被盗数据集发布到泄漏站点上，除非勒索要求被满足。

斯坦福大学发言人没有证实该信息的准确性，并表示：“受攻击的主要是医学院，我们正在调查此事件，并将此事件报告给了执法部门。我们正在努力确定个人数据是否受到影响，我们将通知所有受影响的个人。”

但美媒报道，已经核实了该数据一部分是真实的。

UC系统的官员说：“我们知道这次攻击背后的黑客已经在网上发布了部分学生个人信息的屏幕截图，如果我们认为一些人的数据会被泄露，我们将及时通知加州大学社区成员。”

UC系统发言人还补充说，这些黑客最近一直在发送大规模的威胁性电子邮件，威胁要公开个人信息。许多加州系统的学生以及申请者最近都收到了类似的邮件。黑客正在“试图用恐吓的方式让人们给他们汇款。”

北京时间3月30日，据悉很多今年申请了UC系统以及已经在UCLA和伯克利就读的部分学生确实收到了类似的威胁邮件。大概意思就是“如果不汇款，你的个人信息就会被我们公开。”

我们可以推测黑客应该至少掌握了许多UC系统申请者和学生的邮件地址。至于到底掌握了多少个人信息，我们不得而知。但是从校方的态度来看，这次信息泄露的程度和范围还是比较严重的。校方已经承认了存储信息的第三方平台在几个月前曾经被黑客非法入侵过。

威胁邮件截图

纽约耶什瓦大学最近也表示：许多学生和雇员的SSN（社会安全号码）和财务信息被盗，有些已经在网上发布。在12月和1月，黑客利用了已有20年历史的Accellion文件传输服务中的漏洞获得了许多大学的内部数据。但是，许多大学表示，他们在最近被勒索以后才意识到了数据泄露。

马里兰大学的工作人员和学生的私人信息被大规模泄露。许多信息已经在网上被公开发布。该校表示，一个名为Clop的黑客组织于12月非法获得了Accellion的访问权。

科罗拉多大学和迈阿密大学同样报告说，许多内部文件和个人信息在一月份被非法窃取，其中包括学生个人信息以及一些研究数据。

Accellion在三月份发布了一份声明，称已修复“所有已知”漏洞，未发现任何新漏洞。但是，这一切并没有办法挽回许多大学已经被窃取的学生数据。

在上周的公告中，加州大学戴维斯分校，科罗拉多大学和迈阿密大学建议学生和教职员工向信用报告机构发布欺诈警报，并冻结其信用报告。

斯坦福大学将为受影响的个人提供身份盗窃保护服务，社区成员应向斯坦福大学的隐私权办公室举报可疑的身份盗窃行为。

据悉，近几个月来，美国的网络敲诈已经攻击了多家组织。此前，美国一个最大学区的计算机系统遭到黑客攻击，该团伙对学区的数据进行加密并要求4000万美金的赎金，否则他们将删除文件，并将学生的个人信息公开到网络。

在过去几年，通过黑客攻击进行网络敲诈的形式在美国比较泛滥。根据网络安全公司Palo Alto Networks的数据显示，支付给黑客团伙的平均赎金从2019年的115,000美元增加到2020年的312,000美元，几乎翻了三倍。

在此提醒中国学生：如果收到类似的敲诈邮件，请及时和学校联系，不要被敲诈邮件恐吓到，更不要支付任何赎金。