第三方供应商遭勒索软件攻击，中国银行和星展银行11,200名客户受影响

供应链遭攻击，银行受牵连

据新加坡相关媒体报道，新加坡金融管理局(MAS)和网络安全局(CSA)正在联合调查今年4月初针对Toppan Next Tech公司的一起勒索软件攻击，该公司是一家负责为新加坡星展银行和中国银行(新加坡分行)打印客户对账单和信件的供应商。虽然两家银行的系统没有被攻破，但对第三方供应商的攻击使得银行的客户信息遭泄漏。

据星展银行证实，针对其印刷供应商~TNT的勒索软件攻击导致8200份客户对账单泄露。与此同时，中国银行(新加坡分行)发布通知，约3000名客户受到影响，该行的纸质信函是由TNT打印和分发的。

虽然这次攻击没有暴露账户登录凭证、账户余额或财富持有情况等敏感信息，但这一事件仍足以让客户感到不安。

星展银行表示，被泄露的文件主要与星展银行Vickers账户和Cashline贷款有关。虽然姓名、地址和股权等个人信息可能已经泄露，但客户可以放心，因为密码、身份证号码或存款余额等敏感数据并不在泄露之列。

据TNT公司的初步审查显示，受影响的星展银行客户对账单主要是自2024年12月至2025年2月期间。尽管供应商的系统被入侵，但星展银行坚称其自身的信息基础设施仍是安全的。

“客户的存款和资金不受影响，”该银行保证，并补充说，“没有证据表明发生了任何未经授权的交易。”

星展银行新加坡地区主管Lim Him Chuan表示：“客户个人信息的保密性对我们来说至关重要，我们深知事态的严重性。为了保护客户资金安全，我们已经停止了与TNT公司的所有打印工作，并加强了监控措施，监测任何可能受影响账户上的异常活动，我们对客户造成的焦虑深感抱歉。”星展银行表示，事件调查仍在进行中，目前尚不清楚网络犯罪分子是否成功破解了被窃取的加密文件。

中国银行表示，客户姓名、地址，以及某些客户的贷款账号被泄露了。中国银行在一份声明中写道：“您的账户仍然安全且运行完全正常。”

两家银行都建议客户采取额外的预防措施，例如警惕网络钓鱼、避免多个账户共用密码并及时更新密码、定期监测自己的账户动态等。

银行客户如何确保账户安全？

• 不要与任何不请自来的信件、电子邮件或短信产生互动(点击、下载、扫码或回复等)。请记住，没有银行会通过短信发送可点击的链接。

• 永远不要与他人分享你的个人银行账户登录凭证，银行永远不会在电话、邮件或短信中要求你提供敏感信息。

• 一定要与官方核实关于你银行账户的任何异常情况的通知。检查最近账户活动和信用卡对账单，是否存在任何未经授权的交易。

外包/第三方服务往往是薄弱环节

星展银行和中国银行此次数据泄露事件是一个残酷的提醒，即使是最受信任的供应商也可能在某些时候“掉链子”，成为危及整个网络安全防线的薄弱环节。银行在保护自己的系统上投入了大量资金，但它们的外包合作伙伴往往没有那么严密的安全防护，很容易成为网络攻击目标。过度依赖第三方提供商提供关键服务是一场冒险，你不知道什么时候可能受到牵连。金融机构必须对IT供应商提出更严格的网络安全要求，包括实时监控、安全培训和应急演练等。

网络罪犯分子越来越多地瞄准各类第三方商业服务提供商，这些小目标通常更容易被拿下，供应链往往是通往“钓大鱼”的最佳跳板，业内很多相关研究也证实了这一点。2024 年，Cybernews 还揭露了数字银行和电子政务公司Nearsoft的一起数据泄漏事件，该事件导致葡萄牙银行的敏感数据泄漏。还有2023年的OCR实验室灾难，供应商系统设置中的一个小错误泄漏了六大金融机构的私人数据，受影响的银行包括QBANK, Defence Bank, Bloom Money, Admiral Money, MA Money 和Reed。

金融监管对金融安全风险的影响

新加坡严格的《个人数据保护法》(PDPA及其附属法规)意味着，如果证实TNT公司存在安全管理疏忽，毫无疑问应承担直接责任，将面临多重追责处罚。然而，星展银行和中国银行(新加坡分行)也不能免除自身

的责任，即使数据泄漏是由第三方供应商间接导致的。与信息科技外包相关的金融法规明确规定，金融机构应妥善管理好外包风险，其中一个主要风险就是处理客户数据。如果调查发现星展银行和中国银行(新加坡分行)在供应商风险管理方面存在漏洞，这起事件可能会对它们造成法律、财务和声誉等方面的诸多影响 。

结论：为供应链安全再次敲响警钟

此次数据泄漏事件提醒我们，企业网络安全能力建设的高度和强度取决于“短板”，不论是内部自身或外部第三方供应商的薄弱环节，都有可能被攻击者利用。虽然新加坡金融业普遍拥有强大的网络安全防御系统，但星展银行和新加坡其他大型金融机构并非首次遭遇网络攻击，处理敏感客户数据的外部供应商仍然是所有金融机构应重视的安全风险。金融机构必须将第三方网络安全视为自身网络安全的延伸，否则将面临反复出现的泄漏事件和严厉的监管处罚，此外，还可能导致客户流失。

*消息综合来源：

星展银行官方声明：

https://www.dbs.com/newsroom/DBS_made_aware_of_ransomware_attack_at_printing_vendor_Toppans_systems_affecting_mainly_statements_related_to_DBS_Vickers_accounts

更多相关信息：

https://cybernews.com/security/dbs-bank-china-printing-vendor-attack/

https://dailysecurityreview.com/security-spotlight/singapore-banks-suffer-ransomware-attack-dbs-and-bank-of-china-affected/

https://sbr.com.sg/financial-services/news/ransomware-attack-exposes-customer-data-dbs-bank-china-singapore

原文始发于微信公众号（超安全）：第三方供应商遭勒索软件攻击，中国银行和星展银行11,200名客户受影响