SEC新規 美公司揭露更多中國黑客攻擊

據彭博社報導，杜邦在上述時期向聯邦證券交易委員會（SEC）提交的10-K報告中，並未將上述網攻列為嚴重的威脅，儘管兩名美國情報官員已將這項攻擊視為工業間諜的成功案例。

不過，SEC已於去年10月發出新規定，上市公司未來不能再隱匿這些攻擊事件的細節。未來三個月在各大公司發布10-K報告時，投資者將能看到更多公司承認受到網攻。

專精於反制網絡工業間諜案的弗吉尼亞網路安全公司Mandiant Corp.首席安全官貝傑特林區(Richard Bejtlich)表示，財富100強中的22家公司曾因安全問題而與該公司有往來。該公司推測，在財富500強大公司中，出現嚴重網絡洩漏的比率遠遠高於20%。

谷歌2010年退出中國時指出，退出原因是該公司遭受來自中國黑客的網絡攻擊，這種公開指控在美國企業中甚是少見。谷歌表示，至少其他34家大公司受到類似攻擊，僅英特爾和Adobe系統站出來，但卻只提供了很少的細節。

美國反情報機構前主管布瑞納(Joel Brenner)表示，過去10年中，超過2,000家美國公司、研究性質大學、網絡供應商和政府機構受到了來自中國黑客的攻擊。另一份報導指出，俄國和其他國家也涉及此類攻擊。而受到攻擊的公司涉及領域包括航太、半導體、生物製藥和生物技術等領域。

SEC的新規則要求公司在描述「危險級別」時不得用空洞、一般性的語言來描述，不過一些人擔心，提供更細節信息的披露可能被黑客所利用，而不利於投資者評估。

例如，在用戶個人信息和信用卡號碼遭竊的情況下，那些受到更嚴重攻擊的公司通常選擇沉默，僅會公佈那些法律上要求公佈的部分。索尼、花旗和EMC等公司的這類信息遭到入侵，都成了2011年的頭條新聞。行業專家表示，公司在私下場合對相關議題也諱莫如深。

另一方面，中國黑客的一個重要目標是大石油和天然氣公司。從2009年起，至少6家歐美主要的能源公司遭到來自中國黑客的入侵，其中包括埃克森美孚、皇家殼牌、康菲石油和英國石油等。

據悉，黑客竊取了一些探測資料和電腦化了的地形圖，入侵者可能獲得一些石油儲備的質量和易開採程度等機密和有價值的信息。相關安全公司均拒絕透露受影響客戶的名字和受影響程度。

去年12月，世界石油大會在多哈(Doha)給出了一個令人恐懼的可能：在一項協調的攻擊中，黑客能夠獲得由計算機控製石油管道的閥門的控制權，這可能導致人員傷亡、無法控制的大火和高昂的法庭費用。

兩名安全官員表示，在過去5年中，網絡間諜洗劫了製藥、美容、芯片和礦業公司。竊取的這些公司頂級產品包括藍圖、製造技術和化學成分等等資料。這些官員表示，很多時候，黑客入侵的影響很難由公司獨立評估。

相關影響的程度與入侵者是否有能力使用、傳播和復制相關產品有關。這些不確定性可能導致公司的律師建議避免公佈相關的信息。

公司在報告網絡攻擊事件方面的「保守」，在2011年RSA安全公司遭入侵後浮出水面。在這項攻擊中，來自中國的黑客入侵了RSA的網絡，並竊取了與SecurID有關的關鍵性的技術，這項技術被廣泛用於包括銀行、國防承包商和政府機構在內的網絡安全防禦上。

在RSA母公司EMC的2011年3月17日8-K報告中，該公司告訴投資者這一攻擊不會對公司造成實質影響，也不會影響公司的財務結果。批評人士(包括國會議員)表示，公司將規避SEC的有關規定，只公布非常有限的信息。

洛杉磯Lightmark資本投資公司的基金經理人伊登．陳(Eden Chen)表示，現在的投資人主要考慮的都是短期的投資，比如一個季度，不會超過一年。這樣的情況下，網絡攻擊導致的相關的問題還不會出現實質影響，這也是投資者沒有更大力度施壓公司披露相關信息的一個原因。不過如果考慮長期，比如10年的投資，則這些信息的披露是非常重要的。

（責任編輯:張東光）