全球最具影响力的有线电视公司HBO，以一场大规模的数据泄露事件拉开了8月的序幕。这场泄露中，从敏感内部文件到未发行的完整剧集，统统被黑客搜刮一空。之后不久，另外的独立事件中，两集《权力的游戏》过早放出。8月18日，黑客组织OurMine劫持了HBO主推特账户，以及几个HBO节目的推特账户。对于HBO，这简直是地狱般的几个星期。
HBO这充斥着数据泄露与黑客事件的困难时期，也再次提醒了我们：当今时代，无论哪家公司，想保护好自己的东西有多么困难。虽然有些模糊不清，但这些攻击实际上是4起独立的事件，每一起都有其特别的经验教训——包括“供应链问题、内鬼、无意识内部员工、被盗账户“。这一系列问题凸显出HBO这样的大企业所面临的挑战。
不安感
HBO的麻烦其实从6月末就开始了，当时黑客 Mr. Smith 放出了HBO尚未发行的4部剧集，包括计划到明年才推出的《Barry》，以及《权力的游戏》未发行剧集的剧本。黑客称，共握有1.5 TB的HBO数据，从更多剧集到财报到其他敏感文档，应有尽有。
一周后，同一批黑客发出勒索通告，要求数百万美元的止损费，还附带一张证明他们手握信息和剧集的文件目录截图，其中包括剧集《抑制热情》和《不安感》。
情况略有点令人迷惑。这两起被热炒的黑客泄露事件中间，有一集《权力的游戏》在正式播放前2天被泄露。但不像人们以为的是 Mr. Smith 的杰作，而是4个印度人从星空集团印度公司( Star India )的合作伙伴Prime Focus Technologies偷渡出来的——Star India 负责在印度播出HBO节目。
尽管不是黑客入侵系统的传统攻击，Star India劫案代表着娱乐产业等行业中越来越常见的一种灾祸：不那么内部的内部人作案。无论HBO把自己防护得多么严实，它都无法置喙 Star India 的数据保护策略，对 Prime Focus Technologies 的做法就更没有发言权了。
跨国IT安全公司ESET高级安全研究员史蒂芬·科布称：“今天的商业模型加剧了内部人威胁，因为可称为内部人的变多了很多。一部电影的制作过程涉及到数千人，其中大部分人实际上并非派拉蒙或索尼或随便哪个片头片尾中出现的公司的员工。能接触到高价值产权的人太多了。”
HBO并非遭此厄运的唯一一家；Netflix最近就面对并拒绝了一次勒索——黑客从第三方制作工作室偷出了新一季的《女子监狱》。而不道德员工偷渡产权的容易性，让该问题愈加严重。
福特说：“观察内部人知识产权泄露事件，你会发现：以前需要将又大又沉的东西实际搬运出去，至于电影，那就是一筒胶片；而现在，仅仅需要传输一份文件即可。”
总而言之，Mr. Smith 黑客事件和《权力的游戏》初始泄露，就已经构成了娱乐产业近期历史上最重大安全失误之一。但要记得，这还仅仅是第1周。接下来，还发生了另外2起规模没那么大，但依然具有破坏性且令人尴尬的黑客事件。
8月16日，HBO自乱阵脚。这次事件与 Mr. Smith 或 Star India 无关，HBO北欧和HBO西班牙将本周日的《权力的游戏》播放了1小时——足够转录到BT网站供下载。
HBO欧洲发言人汤姆·尼尔森在声明中称：“该失误似乎源于第三方供应商，一经发现我们便移除了这一集。”关键词：第三方。
最后，或者说，最近，就是OurMine黑客事件了。该组织引发的伤害最小，只留了条消息：“嗨~OurMine来了，我们只是在测试你们的安全，HBO团队请联系我们升级安全。”HBO在1小时之内就拿回了该账户的控制权。
HBO发言人杰夫·卡森称：“对我们社交媒体账户的侵权行为马上就被发现并矫正了。”
但是，OurMine事件，除了雪上加霜，还显露出了两种不同类型的安全威胁。
首先，遭攻击的公司更容易吸引其他黑客的注意。比如说，索尼，2014年那次灾难性黑客事件后的2个月里，又遭到了20次黑客攻击。任何高调黑客事件都会触发模仿犯罪，遭攻击的公司会突然陷入聚光灯下，成为众矢之的。人们会想，这种大工作室也会防护不周。
更实际的层面上，OurMine推特劫持事件，提供了凭证窃取的典型案例。凭证窃取是一种很普遍的攻击，可导致的伤害远比社交媒体曝光要严重得多。
安全公司Malwarebytes首席恶意软件情报分析师杰罗姆·塞古拉说：“鱼叉式网络钓鱼攻击越来越常见，只要对目标进行适当侦察，这种攻击方式可成为获取电邮账户、云存储，甚或社交媒体主页凭证的最快途径。”目前尚不清楚OurMine到底有没有使用该方法，但看起来鱼叉式网络钓鱼是个很可能的路线。
最小化损害
若说HBO这几周的阴云密布之下还有什么太阳的金边散出，那可能就是这些事件阐明了公司需要抵御多少攻击，以及在攻击确实发生时应怎样应对。
佛瑞斯特研究公司安全分析师杰夫·波拉德称：“像HBO这样数字公司面对的，是一个不断扩张的攻击界面。复杂度、各种应用、第三方合作伙伴、社交媒体，其中任何一个都可以成为攻击者登堂入室的途径。”
正如HBO领会到的，同时抵御所有这些威胁，至少要建立一种有助于最小化损害的思维。
从防御的立场出发，就是要能够全程保护好你的数据，无论你数据流向哪里；以及理解该数据最终是怎么脱离你的控制的。在安全上，大多数时候我们关注的是入站流量，我们基本是以威胁为中心。但向外看，无论数据在哪儿都做好防护，是我们应该做好的一个范式转移。
否则，缺乏关于 Mr. Smith 黑客事件更多详细信息的情况下，可采取的最佳措施，同时也是最简单的那些。
大多数时候，此类事件中学到的教训就是，最基础的安全原则和安全卫生往往没被遵从。比如说，即便是采用双因子身份验证这么一步，都能预先阻止掉潜在的推特账户劫持。
最后，HBO黑客事件已证实没有3年前的索尼数据泄露事件那么严重。个人电子邮件并未被公开，目前泄露的剧集似乎也对收视率无甚影响。这糟糕透顶的8月，并没有如最初看起来的那样演变成灾难性的。
不过，还有2周在等着我们，天知道还会发生什么样的事情。
相关阅读
索尼影业就是被这两款工具黑的
索尼、雅虎、AOL 他们皆因电子邮件而付出惨重代价
