不把安全當回事 被利用傳播NotPetya的會計公司面臨刑事訴訟

ME.Doc，烏克蘭會計軟體公司，用老舊FTP軟體更新客戶軟體，導致被用於傳播NotPetya惡意軟體，目前可能面臨玩忽職守罪的刑事指控。

烏克蘭國家網路警察部隊負責人謝爾蓋·德米杜克接受美聯社採訪稱，該公司屢次無視員工和安全專家報告的IT基礎設施安全問題。

他們知道這事兒。多家反病毒公司都告知過他們。對此玩忽職守之事，涉案人員將負刑事責任。

ME.Doc的員工，也曾向公司經理報告過該公司基礎設施中的不安全因素，但被無視了。

該公司FTP更新機制中的漏洞，是被安全分析師喬納森·尼克爾斯用Shodan聯網設備搜索引擎發現的。在博客中，尼克爾斯宣稱，NotPetya感染ME.Doc太容易了，三腳貓都能做到。

該公司對NotPetya攻擊的響應也被詬病前後不一，自相矛盾。先是回復承認負有責任，后又收回前言，將指責該公司的報告描述為「明顯錯誤的」。然後又承認正與烏克蘭警方合作。

在一份聲明中，該公司稱已聯繫烏克蘭執法部門，幫助搜查攻擊源，查明攻擊機制，並確定消除影響的步驟措施。

該公司還請了網路巨頭思科公司的安全專家入駐，進行內部調查和網路取證。

雖然該惡意軟體主要影響的是烏克蘭的公司企業，除烏克蘭外，歐華律師事務所和丹麥航運巨頭馬士基航運集團，也是NotPetya受害者。

不過，儘管使用了NSA漏洞利用程序自傳播，NotPetya並沒有像5月的WannaCry勒索軟體大爆發一樣感染那麼多公司和PC。

對於此次惡意軟體爆發，烏克蘭認為其鄰國俄羅斯該為此負責。

烏克蘭政府宣稱，自親俄的總統遭抗議下台後，這位體量巨大的鄰居就一直在對其進行網路攻擊。俄羅斯還在2014年3月控制了烏克蘭的克里米亞地區，並支持東烏克蘭分裂主義分子叛亂。