【曝】美国多城市数据泄露，供应商背锅！

针对广泛使用的支付处理器ATFS的勒索软件攻击引发了加利福尼亚和华盛顿众多城市和机构的数据泄露通知。

华盛顿和美国其他州的许多城市和机构都使用自动资金转帐服务（AFTS）作为付款处理程序和地址验证服务。由于数据用于计费和验证客户和居民的种类繁多，因此这种攻击可能会产生巨大而广泛的影响。

该攻击发生在2月3日左右，当时一个名为“古巴勒索软件”的网络犯罪团伙偷走了未加密的文件并部署了勒索软件。

此后，网络攻击已严重打击了AFTS的业务运营，使其网站不可用并影响了付款处理。如下所示，当访问他们的网站时，会收到一条消息，提示人们：“由于技术问题，AFTS网站和所有相关的付款处理网站不可用”。

自动资金转帐服务（AFTS）网站

在黑客开始在其数据泄漏站点上出售AFTS的被盗数据之后，外媒发现该攻击是由名为“ Cuba Ransomware”的网络犯罪活动进行的。像其他人工操纵的勒索软件一样，古巴勒索将破坏网络，在服务器中缓慢传播，同时窃取网络凭据和未加密的文件，最后通过部署勒索软件来加密设备来结束攻击。

根据数据泄漏页面，该古巴帮派声称窃取了“财务文件，与银行雇员的往来信件，帐户变动，资产负债表和税务文件”。

AFTS的古巴勒索软件数据泄漏页面

如果勒索软件帮派找不到数据的购买者，他们可能会免费发布数据，从而使其他威胁行为者可以使用该数据。

受影响的城市和机构

由于据称古巴勒索软件行动窃取了许多潜在数据，使用AFTS作为其付款处理程序或地址验证服务的城市已开始披露潜在的数据泄露事件。

暴露的潜在数据因城市或机构而异，但可能包括名称，地址，电话号码，车牌号，VIN编号，信用卡信息，扫描的纸质支票和账单明细。 

在下面，我们列出了发布数据泄露通知的城市和机构，并且将来可能还会发布更多信息。

加州汽车部门

西雅图的自动转帐服务公司（AFTS）在2月初是勒索软件攻击的受害者，这可能已经破坏了DMV向AFTS提供的信息，包括加利福尼亚州最近20个月的车辆登记记录，其中包含姓名，地址，车牌号和车辆识别号（VIN）。AFTS无法访问DMV客户的社会安全号码，生日，选民登记，移民身份或驾照信息，因此该数据不会受到损害。

[数据泄露通知]：

https://www.dmv.ca.gov/portal/security-breach-at-address-verification-company-may-compromise-dmv-information/

华盛顿州柯克兰市

AFTS数据库中存储的信息限于满足公用事业计费和纸质支票付款的付款处理所必需的数据。

目前，我们不知道是否已访问或滥用了属于任何Kirkland公用事业客户的任何个人信息。但是，AFTS目前正在进行调查，以确定勒索软件参与者可能已经访问了哪些个人信息（如果有的话），并将在信息出现时通知柯克兰。我们可以确认ATFS的数据库不包含我们客户的任何社会保险号，出生日期，驾照号，州ID号或信用卡号。

[数据泄露通知]：

https://www.kirklandwa.gov/Government/Departments/Finance-and-Administration/Customer-Accounts/Utility-Billing/AFTS-FAQ

华盛顿州林伍德市

林伍德市与AFTS签订合同，将我们的印刷版公用事业声明邮寄给客户。邮件对帐单中包含的信息包括客户名称，地址和公用事业帐号。存储在AFTS数据库中的Lynnwood信息仅限于满足水电费单打印和邮寄所需的数据。付款方式由不受此事件影响的其他供应商处理。

[数据泄露通知]：

https://content.govdelivery.com/accounts/WALYNNWOOD/bulletins/2c24c24

华盛顿州门罗市

AFTS数据库中存储的信息仅限于满足公用事业计费和纸质支票付款处理所必需的数据。电子支付由不受事件影响的其他供应商处理。AFTS数据库中可能违反的信息可能包括以下个人信息：水电费账单号，名称，地址和账单金额。另外，对于通过邮寄纸质支票支付水电费的居民或企业，其纸质支票的扫描副本也存储在AFTS服务器上，其中包括银行帐户和路由信息。目前尚不清楚这些扫描的支票副本是否已从网络中非法提取。该数据库不包含社会安全号码，出生日期，驾照号码，州ID号或任何其他个人身份信息（PII）。该数据库不包含任何居民或商业信用卡信息。

[数据泄露通知]：

http://monroewa.gov/CivicAlerts.aspx?AID=3766

华盛顿州雷蒙德市

个人信息可能已经暴露，包括公用事业客户的姓名和地址。雷德蒙德市政府正在与AFTS密切合作，以确定违规的程度以及该市的任何信息是否受到损害。

[数据泄露通知]：

https://content.govdelivery.com/bulletins/gd/WAREDMOND-2c02060?wgt_ref=WAREDMOND_WIDGET_2

华盛顿州西雅图市

西雅图市最近获悉，少数市政部门使用的第三方公用事业计费供应商自动资金转账服务公司（AFTS）是勒索软件攻击的受害者。市政府部门使用此供应商提供商业账单，打印和邮寄服务。 

[数据泄露通知]：

https://thescoop.seattle.gov/2021/02/18/thid-party-vendor-incident/

莱克伍德水区

AFTS数据库中存储的信息限于完成纸质支票付款的计费和付款处理所必需的数据。电子支付由不受事件影响的其他供应商处理。AFTS数据库中的违规信息可能包括以下个人信息：水费账单号码，姓名，地址和账单金额。另外，对于通过邮寄纸质支票支付水电费的居民或企业，其纸质支票的扫描副本也存储在AFTS服务器上，其中包括银行帐户和路由信息。目前尚不清楚这些扫描的支票副本是否已从网络中非法提取。

[数据泄露通知]：

https://www.lakewoodwater.org/lwd/page/afts-data-breach-notice-customers

埃弗里特港

我们没有任何迹象表明埃弗里特港的客户信息已遭到破坏，但我们想让您立即意识到您的个人和/或信用信息可能遭受的风险。

[数据泄露通知]：

https://www.portofeverett.com/marina/afts_questions.php

随着越来越多的城市，机构和组织披露数据泄露事件，我们将在后续更新上面的列表。