数据泄露频发，信任代价高昂：第三方应用的安全隐患

我们的核心使命众所周知，那就是确保软件及其开发过程的安全性；从生产之初就将安全理念融入其中。我们的愿景是为软件开发树立新标杆，让开发人员掌握相应的技能与知识，从而能够在编写代码的过程中识别漏洞，并在问题发生前将其修复。

基于此，你可能会认为我们看到全球各地公司遭受数据泄露、网络攻击和代码漏洞利用时会感到高兴——毕竟这些事件确实凸显了各行各业对我们服务的需求。但事实是，这令人倍感沮丧。显而易见，整个行业在不断重复犯同样的错误，因为大多数安全教育根本不足以降低风险并阻止这些泄露事件。

最近的数据泄露受害者是Ticketmaster。如果你是成千上万受影响的客户之一，你一定收到过通知你更改密码的邮件。没人会想到仅仅因为买张演唱会或体育赛事的门票，个人数据就会遭到侵害，但现实就是如此。

这对所有人来说都是一场灾难；不仅损害了 Ticketmaster 的声誉，更是一次极其糟糕的客户体验。但问题在于：这并不完全是他们的错。

该公司使用了 Inbenta Technologies 提供的第三方客户支持应用程序。Ticketmaster 英国分公司发现该产品包含恶意代码，导致其全球 5% 的客户数据遭到泄露。

黑客究竟是如何利用这个系统的？他们篡改了一行 JavaScript 代码，而这行代码正是 Inbenta Technologies 为 Ticketmaster 的需求所定制的。据 Inbenta 称，该代码被用于其设计初衷之外的页面；如果他们早知道这一点，本可以将其识别为安全漏洞。

该漏洞本质上是一个文件上传/存储库的安全问题，只需一次入侵，所有加载了相同代码的站点都会受到影响。攻击者可以修改代码来收集并重定向个人数据，这仅仅是开始。这是一个简单的漏洞，却具有深远的破坏潜力，我们正致力于通过一系列平台内培训课程来帮助开发人员抵御此类威胁。

当然，企业在运营中几乎不可能完全不依赖第三方应用程序。然而，你无法控制他们构建软件的方式，也几乎无法洞察其代码的安全强度。这变成了一种信任博弈。如果你的第三方合作伙伴在安全编码实践上疏于管理，你可能就在自己的公司里打开了泄露的大门。

那么，解决方案是什么？简单来说：我们都必须做得更好。我们必须摒弃将安全视为企业创新绊脚石的陈旧观念。

为开发团队提供正确的工具和知识以拥抱安全、从源头阻断不良代码，其实比你想象的要容易。我们很高兴看到全球许多大型且知名的金融、电信、零售和科技公司采用了这种新方法，但安全教育不应只是财富 100 强企业的专属。任何拥有开发人员的企业都需要实施培训，以帮助团队实现安全编码。

我与我们的首席技术官 Matias Madou 最近共同撰写了一份白皮书，展示了在组织内建立安全文化的好处。我们详细阐述了为何这是释放创新活力、保持敏捷性并降低不安全代码所带来财务影响的关键。

你将在其中找到以下建议：

* 如何让安全培训与开发人员的工作相关且引人入胜

* 如何教导开发人员识别并修复自身代码中的问题

* 如何帮助开发人员构建安全的代码。

我诚邀你下载这份资源，并利用它在你的组织中倡导安全理念，提升团队技能，走在树立更高代码标准的前沿。

我们必须摒弃将安全视为企业创新绊脚石的陈旧观念。