2023年11月，网络某知名安全论坛上有人贴出一张截图：一个未加防护的漏洞Elasticsearch数据库，IP直接暴露在公网，信息泄露里面躺着超过200万条用户记录，网络包括手机号、漏洞邮箱、信息泄露甚至部分明文密码。网络发帖人只留了一句话——“又捡到一个”。漏洞底下跟帖的信息泄露人没几个惊讶的，像是网络看到路边又倒了一棵共享单车。

这种事太频繁了。漏洞频繁到安全圈的信息泄露人已经懒得当新闻转。但对企业来说，网络一次这样的漏洞泄露可能意味着灭顶之灾。我跟踪过几个案例，信息泄露发现一个规律：大多数泄露不是被高手用0day打穿的，而是自己把门敞着，等人路过。

漏洞从哪来？往往是最不起眼的地方

去年某电商平台被拖库，起因是一个测试环境的API接口忘了下线。那个接口没有鉴权，URL里带个用户ID就能返回完整订单信息。攻击者没用什么复杂工具，写了个循环脚本，一晚上跑出几百万条数据。安全团队第二天才发现，日志里全是异常请求，但没人看。

这不是技术能力问题，是流程问题。开发、测试、运维三拨人各管一段，测试环境谁负责关？没人说得清。上线检查清单里也没有“关停测试接口”这一项。漏洞就在这种缝隙里长出来。

更常见的是配置错误。S3存储桶权限设成public、Redis没设密码、MongoDB监听0.0.0.0还不开认证。Shodan上搜一下，这类实例一抓一大把。有些是开发图省事，有些是默认配置就没改过。攻击者根本不需要“攻”，直接“连”就行。

信息泄露的链条比想象中长

一次泄露很少是单点事件。我复盘过一个案例：某小公司用GitLab做代码托管，服务器被入侵后，攻击者拿到了代码仓库权限。代码里硬编码了数据库密码。数据库里存着用户表。用户表里密码用MD5存，没加盐。MD5一撞库，一半密码直接出来。攻击者用这些密码去撞其他网站，又拿到一批账号。

链条上每一环都不致命，串起来就要命。很多公司觉得自己“没什么值得黑的”，但你的用户数据对撞库的人来说就是资产。你不在乎，别人在乎。

还有个细节容易被忽略：泄露发生后，很多公司第一反应是删日志、重启服务，而不是保留现场。等安全团队介入，攻击路径已经断了。我见过一个运维，发现入侵后直接格盘重装，理由是“先恢复业务”。结果连攻击者怎么进来的都不知道，同样的事两周后又来一遍。

个人能做什么？别用同一个密码

从用户角度，你控制不了企业怎么存数据。但你能控制自己的密码习惯。我自己的做法是：重要账号用独立密码，全部交给密码管理器生成。不重复用密码，撞库就撞不到你头上。另外，别在莫名其妙的小网站填真实手机号和邮箱，那些站可能明天就挂了，数据却留在某个没密码的数据库里。

企业这边，说句不好听的，大部分泄露不是防不住，是根本没防。安全预算砍了又砍，等出事再招人，晚了。我见过一个CTO，出事前觉得安全团队是成本中心，出事后连夜打电话找渗透测试。这种故事每年都在重演。

网络漏洞信息泄露这事，说到底是个概率游戏。你暴露的面越大，被扫到的概率越高。而大部分暴露，本可以不发生。