與SolarWinds事件類似，Accleion入侵同樣給供應鏈漏洞敲響警鐘。

　　新西蘭儲備銀行行長Adrian Orr表示，Accellion在遭遇黑客攻擊后并未第一時間上報。

　　近期網絡犯罪組織FIN11針對美國軟件公司Accellion旗下文件共享產品FTA的大規模網絡攻擊，已導致美國華盛頓州審計署、新西蘭儲備銀行、澳大利亞證券和投資委員會、新加坡電信巨頭Singtel等近百家政企機構敏感數據泄露。該事件再次引發了安全專家對供應鏈攻擊的擔憂，其中撲朔迷離的響應過程也暴露出及時防御供應鏈攻擊的現實難度。

　　已經有不少受影響客戶披露了被攻擊時間表，并強調軟件補丁沒能像Accellion宣稱的那樣及時發布到位。有安全專家提到，專為客戶處理敏感信息的律師事務所Jones Day已經確認受到影響。換而言之，即使從未使用Accellion軟件產品的組織，同樣可能遭受此次事件的殃及。

　　FTI 咨詢公司網絡安全負責人Anthony J. Ferrante表示，種種實際影響很可能在受害者群體中引發復雜的反應，最終掀起一大波相互指責、相互推諉的法庭群戰大戲。曾多次在此類企業訴訟中擔任專家證人的Ferrante認為，“一切只是開始，后面的嘴炮大戰將不可避免?！?/p>

　　Title

　　撲朔迷離的漏洞響應時間線

　　位于美國加州的Accellion公司在1月12號發布的博文上提到，他們于去年（2020年）12月中旬首次發現File Transfer Appliance（FTA）軟件中存在安全漏洞。這款軟件已經擁有20年歷史，專門用于共享大型文檔。Accellion表示，“官方已經修復了漏洞，并在72小時內向近50家受影響客戶發布了補丁包?！?/p>

　　在今年2月1日發布的更新中，Accellion又強調他們已經于去年12月23日將漏洞消息通報給“所有FTA客戶?！?/p>

　　Accellion公司還提到，“事件的開端是對Accellion FTA產品發動的一波有組織攻擊，這輪攻勢一直持續到2021年1月?！?/p>

　　但一部分受到攻擊影響的客戶，卻給出了完全不同的時間線索。

　　美國華盛頓州審計署報告稱，攻擊者可能已經通過FTA工具訪問到超過100萬失業救濟申請者的個人數據。在2月1日的新聞稿中，審計署稱“事件的實際上報時間為1月12日?！?/p>

　　審計署發言人Kathleen Cooper在聲明中強調，Accellion在“接下來的幾周內”才陸續披露更多相關消息，審計署方面也是據此得出上述結論。

　　新西蘭中央銀行報告稱，本輪攻擊導致部分文件失竊。新西蘭儲備銀行在此次違規事件的專項網站上指出，Accellion雖然在去年12月20日就發布了軟件補丁，但并沒有立即提醒客戶的安全團隊安裝這些補丁。

　　新西蘭儲備銀行行長Adrian Orr在2月9日的聲明中表示，“Accellion并未在5天之內及時對全球客戶可能因攻擊受到的影響予以通報，也未強調已經存在相關補丁程序可用于阻止事件影響。”

　　鑒于調查工作仍在繼續，該銀行一位發言人拒絕做出進一步評論。

　　大型企業新加坡電信有限公司報告稱，本輪入侵事件持續達數周，黑客成功竊取到大量數據，包括來自129000名個人客戶與23家企業（涵蓋供應商與企業客戶）的信息。

　　上周三，新加坡電信表示他們在12月27日之前就已經為Accellion軟件安裝了一系列補丁。但到今年1月23日，“Accellion緊急通知又發現了新的漏洞，因此之前12月安裝的補丁起不到保護作用。”在之后嘗試繼續更新軟件后，新加坡電信的系統中出現了“異常警報”，最終證明確實存在這一安全漏洞。

　　Title

　　漏洞曝光就宣布淘汰，老舊產品該如何保障業務連續性？

　　Accellion公司一位發言人在聲明中表示，他們正與外部調查人員合作，共同評估初始黑客攻擊活動與新近發現的漏洞。該公司還強調，他們將幫助客戶在4月30日之前使用Kiteworks這一相對較新的產品替換掉原有FTA軟件，之后也不再提供FTA續訂許可證。

　　網絡專家們認為，這種直接淘汰舊有工具的行為，往往代表軟件供應商早已悄悄叫停了更新投入。

　　Accellion公司在今年2月1日表示，他們過去三年以來一直鼓勵客戶們改用Kiteworks，并宣稱這款新工具擁有“最新的安全架構、嚴密的安全開發流程。”但新加坡電信在違規披露網站上提到，Accellion公司直到今年1月28號才明確公布FTA的“終止”日期。

　　Accellion公司發言人拒絕評論以上客戶言論，也沒有就正式終止FTA一事做出回應。官方僅表示，“在評估完成之后，我們將分享更多信息?！?/p>

　　安全專家們指出，繼去年得克薩斯州軟件供應商SolarWInds黑客事件影響到至少9家聯邦政府機構與100多家私營企業之后，本次事件的曝光徹底激怒了安全審查業界。

　　負責企業安全狀況評估的網絡廠商SercurityScorecard有限公司總顧問Sachin Bansal認為，針對Accellion的此次攻擊活動“相當于迷你版的SolarWinds事件?！?/p>

　　標準普爾全球市場情報部門451 Research信息安全研究主管Scott Crawford則認為，管理與安全團隊應該就軟件升級時間表做好協調，避免業務中斷并盡可能降低風險。

　　Crawford總結道，“如今，企業已經高度依賴于第三方供應商。如果不立即給予高度關注，未來一定會鬧出更大的麻煩?！?/p>