美国金融服务业近日爆发一场严重的数据安全危机。据最新披露的消息，由于第三方供应商SitusAMC遭遇网络攻击，华尔街三大巨头——摩根大通（JPMorgan Chase）、花旗集团（Citi）和摩根士丹利（Morgan Stanley）均面临大规模客户数据泄露的风险。

此次事件再次暴露了金融行业供应链安全的脆弱性，即便是在防御最为严密的顶级银行，其数据防线也可能因下游供应商的失守而崩塌。

供应链遭受重创：按揭数据巨头遭渗透

此次危机的源头并非银行自身的系统漏洞，而是来自其共同的合作伙伴——SitusAMC。这是一家总部位于纽约的金融服务公司，拥有约5000名员工，专门为数百家金融机构提供贷款发放、服务和合规支持。由于其业务涉及住宅抵押贷款处理，SitusAMC掌握着海量的敏感个人信息，包括社会安全号码（SSN）、详细的财务账户信息以及就业记录等。

根据SitusAMC发布的公告，公司于11月12日首次发现违规行为，并于11月22日正式确认攻击者入侵了其系统。与其遭遇勒索软件攻击并被加密数据的常见模式不同，此次攻击的性质被定性为单纯的“数据遭窃”。攻击者并未部署加密恶意软件，而是专注于窃取高价值信息。SitusAMC承认，被盗数据不仅包含其自身的会计记录和法律协议等企业信息，更关键的是，“与部分客户的最终用户相关的特定数据”也受到了波及。

华尔街震动：三大行紧急评估损失

据《纽约时报》援引五位知情人士的消息，摩根大通、花旗和摩根士丹利已收到SitusAMC关于潜在客户数据暴露的通知。面对这一突发状况，各方反应谨慎。摩根大通方面拒绝置评，而花旗和摩根士丹利尚未对询问作出回应。

联邦调查局（FBI）已迅速介入调查。FBI局长卡什·帕特尔向媒体透露，局方正在与受影响的机构密切合作以评估违规程度。帕特尔强调，目前的调查尚未发现此次违规对银行服务造成任何运营层面的影响，但这并未减轻市场对数据隐私泄露的担忧。

SitusAMC方面表示，事件已得到控制，服务保持全面运行。作为补救措施，公司已实施了一系列强化手段，包括重置凭证、禁用远程访问工具、更新防火墙规则以及增强整体安全设置。然而，具体的受影响机构数量及最终客户规模仍在取证调查中，公司尚未给出明确的时间表。

GoUpSec观察：第三方风险已成金融业最大软肋

此次事件并非孤立个案，而是金融行业面临的广泛威胁缩影。随着金融机构数字化转型的深入，对外部技术和服务供应商的依赖日益加深，这种依赖关系正转化为攻击者的首选突破口。

根据Venminder发布的《2025年第三方风险管理状况》调查报告，第三方违规事件呈现加速上升趋势。2024年，第三方引发的数据泄露占总数的30%，同比激增15%。更为惊人的是，近半数（49%）的受访组织在过去一年中经历过与第三方相关的网络安全事件。

监管机构已敏锐察觉到这一系统性风险。美国金融业监管局（FINRA）在2024年上半年观察到与供应商相关的网络攻击大幅增加，攻击者频繁利用第三方提供商使用的系统管理工具和技术产品中的漏洞。包括微软、Snowflake和Dropbox在内的知名科技公司在2024年均发生了影响广泛的数据违规事件，波及大量金融服务公司。

监管收紧：外包不再是免责牌

面对日益严峻的供应链安全形势，监管层正在收紧合规要求。纽约州金融服务部（NY DFS）早在10月就发布指导意见，明确强调受监管实体在将业务外包给服务提供商时，仍需对网络安全承担全部责任。

与此同时，美国证券交易委员会在2024年修订了S-P法规（Regulation S-P），强制要求金融公司的事件响应计划必须包含针对服务提供商的书面监督政策。这意味着，金融机构不仅要管好自己的门，还必须通过尽职调查和持续监控，确保其供应商的安全防线同样坚固。FINRA也多次提醒成员公司，必须建立并维护一套监管系统，对第三方供应商执行的任何活动或职能进行有效监督。

此次SitusAMC事件无疑给整个金融行业敲响了警钟：在高度互联的金融生态系统中，任何一个不起眼的第三方环节失守，都可能引发一场波及全行业的“大地震”。

破局之道：第三方风险管理（TPRM）最佳实践

面对拥有核心数据访问权的供应商，传统的“问卷式”管理已失效。金融机构需转向更具侵略性的防御策略：

1. 从“入职审查”转向“全生命周期监控”

痛点：大多数银行只在签约时审查供应商，签约后便放松警惕。

策略：利用外部评级工具（例如BitSight、SecurityScorecard），对核心供应商的安全态势进行7x24小时持续监控。一旦供应商出现异常端口开放或凭证泄露（如暗网情报），立即触发预警，而不是等供应商发公告。

2. 数据最小化与“特权访问管理”（PAM）

痛点：供应商往往获得了超出其业务需求的“过度权限”。

策略：去标识化：在发送给SitusAMC这类处理商之前，尽可能对非必要字段（如SSN）进行掩码或令牌化处理。

Just-in-Time访问：不给长期有效的VPN通道，仅在需要处理业务时开启临时访问权限，并进行全流量录屏审计。

3. “死亡开关”与退出策略

痛点：深度绑定导致“大而不能倒”，银行不敢切断与问题供应商的连接。

策略：制定明确的供应商退出计划。如果在合同中规定了严重违规条款，银行应具备迅速切断数据接口并切换到备用服务商（或转为内部处理）的能力。

4. 联合演练

策略：不要只在内部搞红蓝对抗。邀请关键供应商参与年度事件响应演练，测试双方在发生违规时的沟通机制、数据取证配合度以及公关口径的一致性。

声明：本文来自GoUpSec，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。