不，网络犯罪分子在夏季也不会休息。
根据Check Point Research的数据，7月期间西班牙平均每家组织每天收到约300次网络攻击，每周超过2,000次。通常受此类行动影响最大的是公共机构，但企业并非免疫，正如我们最近在Tulotero.es案例中所见。作为Play Primitiva、La Quiniela、Euromillones及国家其他官方投注的主要在线服务之一，Tulotero.es也未能幸免。
Tulotero.es承认，在7月13日至15日期间遭受了对部分用户敏感数据的未授权访问，影响了其用户基础的2%（据OCU称约10万人）。具体而言，此次攻击涉及身份证（正反面）照片和用于身份验证的自拍安全性。该公司表示，密码、银行数据或支付方式等其他关键数据未受影响。
TuLotero于7月14日检测到未授权访问，并于次日彻底阻止。7月17日，公司向AEPD通报漏洞并向安全部队投诉。确定受影响账户后，已通过电子邮件单独通知相关用户。据TuLotero说明，访问仅限于一个用于验证身份的隔离内部服务。
TuLotero未公开详细说明确定受影响账户的具体标准。
这对Tulotero可能产生什么后果
处罚
AEPD的调查可能导致罚款，关键在于TuLotero是否采取了适当措施并履行了通知义务。
若AEPD认定TuLotero违反了安全性、通知或漏洞沟通相关义务，GDPR规定可处以高达1000万欧元或全球年营业额2%的罚款。若发现更严重违规（如违反数据处理基本原则），上限可达2000万欧元或全球年营业额的4%。
最终金额将取决于多种因素，包括严重性、受影响人数、持续时间、预防措施、合作情况及先例等。
声誉损害
Tulotero.es还需面对事件对形象的负面声誉影响。该企业高度依赖信任，业务涉及金钱游戏、成年验证、收款及欺诈预防，不同于传统电商。
数据泄露可能导致用户流失、新用户获取减少，以及未来身份验证流程中用户疑虑增加。
为什么Tulotero.es要求用户提供身份证和自拍？
值得注意的是，受影响数据（身份证副本、自拍）并非在线购物常规要求，而是Tulotero.es的特殊情况。
依法平台必须验证参与者身份、成年状态及奖金领取人。尽管法律要求进行此类检查，但使用证件照片和自拍识别属于公司自主选择的技术方法。
Tulotero安全漏洞对受影响者面临的风险
目前主要风险是身份冒用。犯罪分子持有身份证照片和验证自拍，可能试图开设账户、申请贷款、签订合同或策划更具迷惑性的网络钓鱼活动。
又一轮夏季高发攻击
Check Point Research研究指出，夏季网络攻击普遍且稳定：西班牙企业和组织日均近300次攻击与去年七月相似（+1%），政府、消费品与服务及金融服务行业受影响最大。
所遭受的攻击类型多种多样。
近日INCIBE发布声明，警告注意通过WhatsApp发送的欺诈性消息活动。网络犯罪分子冒充酒店身份，声称需确认预订并附上链接，诱骗用户访问欺诈网站以窃取个人信息和支付数据。
这与TuLotero案例不同：后者是系统未授权访问，前者是利用身份冒用直接欺骗客户。潜在攻击手段多样。
总之，从这个案例中我们能吸取什么教训？
鉴于网络犯罪持续活跃，本案例带来以下几点启示：
对企业而言：系统隔离并不能消除风险
该事件发生于验证身份的内部隔离服务。任何存储敏感文档的系统均需强化控制，即使未直连核心平台。企业应反思所需信息及保留时长：存储越多、越久，泄露潜在影响越大。
快速响应可减少损害，但沟通至关重要。 TuLotero虽封锁访问、通报AEPD、提交投诉并单独通知用户，但缺乏易于获取的官方公告，易引发疑虑。
建议启用持续更新的公开页面说明以下内容：
- 发生了什么以及发生时间。
- 哪些信息被泄露。
- 哪些人受到影响。
- 企业采取了哪些措施。
- 用户应当做什么。
- 用户可以在哪里解决疑问。
用户（甚至）应更加谨慎
受影响者应警惕索要验证码、个人数据或付款的电话、邮件或短信。同时检查可能的服务订阅、融资申请或不明交易，举报任何欺诈行为。
总体而言应保持警惕。如今数字服务安全性已大幅提升，但网络犯罪分子仍不断试图超越安全措施。
图片：ChatGPT