290万Adobe用户数据与部分产品源代码泄漏

昨日Adobe在其官方博客上承认有290万Adobe用户个人资料被“黑”后泄漏。根据Adobe首席安全官Brad Arkin透露，黑客取得了顾客的加密数据，包括密码以及付款数据等等。

但更让安全专家担忧的是却是一同失窃的Adobe Acrobat和ColdFusion等Adobe公司产品的源代码，因为Acrobat Reader这样的产品的全球装机量数以亿计，源代码泄漏的安全隐患远较用户数据泄漏严重。

Adobe首席安全观Brad Arkin在官博上这样写道：

我们的调查显示攻击者获取了Adobe用户ID和被加密的密码。我们相信攻击者从我们的系统中拿走了一些与290万Adobe用户有关的信息。包括用户名、被加密的信用卡/借记卡号、失效日期，以及其他一些与用户订单有关的信息。但我们相信黑客没有拿到解密的信用卡/借记卡号。

国外媒体GigaOM认为这可能是两年前RSA安全令牌被盗事件以来最为严重的信息安全事件。但Adobe的产品源码泄露波及的范围要广得多，因为Flash技术和用于PDF文件浏览的Acrobat Reader几乎无所不在。

最先发现Adobe源码泄露的信息安全公司Hold Security和krebsonsecurity公司的Brian Krebs发布声明透露了更多细节：

在一个黑客服务器上我们发现了超过40GB的加密文档，看上去文档中有 Acrobat Reader、Acrobat Publisher和ColdFusion等Adobe公司产品的源代码。有迹象显示对Adobe数据的攻击始于今年8月，但也可能更早。目前还不清楚黑客如何取得源代码，以及是否对源码进行分析或者用于恶意用途。但可以明确的是，这些数据已经被未授权用户浏览和访问过。

web安全公司OpenDNS的首席技术官Dan Hubbard表示：

Adobe的源码泄露不仅仅是数据泄漏那么简单，对于黑客来说拥有产品源码的话查找软件漏洞会容易得多，不再需要进行大量的黑箱测试。

另外一位与Adobe有合作关系的匿名安全专家则表示：

黑客将能发现产品中的漏洞并开发定制化的恶意软件私下使用，甚至公众都不知道。然后他们还能将源代码卖到中国等市场用于开发山寨软件。

众所周知，Adobe公司的一些明星产品如Flash和Acrobat装机量极大，长期以来都是黑客攻击的首要目标。加之最近Adobe强制推行Creative Cloud云服务，导致大量桌面版用户的软件版本升级停滞且无法获得补丁更新。这些都为黑客实施攻击（例如零日攻击）创造了有力条件。