第一资本数据泄露 (Capital One)：为什么把系统搬上云之后，出问题的反而是自己配的那道防火墙？

# 商业复盘备忘录：第一资本数据泄露 (Capital One)

> 为什么把系统搬上云之后，出问题的反而是自己配的那道防火墙？
> 周期: 2019 - 2021 | 行业: 金融与科技
> 巅峰: 美国主要的信用卡发行银行之一，较早把核心业务迁往公有云，是金融行业云化转型的标杆案例
> 终局: 因云上防火墙配置错误导致约 1.06 亿客户的申请资料被获取，被监管处以巨额罚款并与用户达成集体诉讼和解，云安全治理成为行业议题

## 核心概览
云厂商负责云的安全，配置的责任永远在客户自己手里。巅峰期美国主要的信用卡发行银行之一，较早把核心业务迁往公有云，是金融行业云化转型的标杆案例；终局是因云上防火墙配置错误导致约 1.06 亿客户的申请资料被获取，被监管处以巨额罚款并与用户达成集体诉讼和解，云安全治理成为行业议题。

## 社区公投头号死因
1. [产品技术] 云上中间层组件配置存在缺陷 (1,805 票)
2. [组织管理] 对云配置缺少持续核查 (1,516 票)
3. [外部合规] 权限设置过于宽泛 (1,227 票)

## 可执行教训
### 云厂商负责云的安全，配置的责任永远是客户的
> 责任共担模型里，出事的那一半通常是自己那一半。

- ✅ 推荐做 (DOs):
  - 对云上权限与配置做独立的持续审计
  - 按最小权限原则收紧服务账号与角色
- ❌ 绝不能做 (DON'Ts):
  - 不要把平台能力当作自身安全水平
  - 不要让敏感数据无限期沉淀在同一位置

## 救亡方案
### 先收紧权限与配置审计，再谈业务上云进度 — 良略编辑部
干预时点: 2019 年 7 月确认云上数据被越权读取时
- 必须断腕:
  - 立即修复配置缺陷并重置相关凭证与角色
  - 停止在配置审计缺失的情况下扩大云上数据范围
  - 停止由业务团队自行管理云账号权限
- 破局动作:
  - 对所有云资源配置做独立持续审计并告警
  - 按最小权限原则重建服务账号与角色体系
  - 对历史敏感数据做分级清理与加密存储
- 预期结果: 配置缺陷在造成大规模泄露前被发现，公司在云化转型中建立起可被验证的安全治理能力。

## 社区见解
### 上云移走的是机房，不是责任。 — 良略编辑部 (工程师)
云平台把物理安全与底层可用性包了下来，但应用怎么配、权限给多大、数据存哪里，这些仍然由客户自己决定。这次泄露的入口就是一个中间层组件的配置缺陷：它不该能读到那些数据。而在数据高度集中、历史资料长期保留的情况下，一个越权读取就等于上亿条记录。
- 如果重来一次的纠偏招式 云上的安全水平，等于自己配置与审计的水平。

---
来源: 良略 · https://www.lianglue.com/c/capital-one-breach