国家信息泄露案例

2019年3月，信息泄露某省公安厅内部数据库被拖库。案例不是信息泄露黑客电影里那种敲键盘十秒攻破防火墙的桥段——攻击者用了一个月，靠钓鱼邮件拿到运维人员的案例VPN账号，凌晨三点登录，信息泄露把230万条公民身份信息分批导出。案例整个过程触发了两次告警，信息泄露第一次被值班人员当成误报点了“忽略”，案例第二次在数据流出的信息泄露第27天，因为存储节点异常才被真正注意到。案例

我后来跟一个做等保测评的信息泄露朋友聊起这事。他说这类案子最让人后背发凉的案例不是技术漏洞，是信息泄露人的惯性。“一个系统上线三年没出过事，案例运维就会觉得第四年也不会出事。信息泄露告警邮件堆到几百封未读，跟垃圾邮件没区别。”

数据在流动，但没人知道它去了哪

同年11月，某部委下属研究院的一份内部报告出现在境外论坛上。文件不算绝密，但标注了“内部资料”。追踪下来，泄露路径让人哭笑不得：研究员把文件发到个人邮箱方便周末在家改，邮箱密码跟某购物网站相同，那家购物网站两年前被撞库，账号密码早就在黑产库里流通。

这里有个细节：研究院的内网其实禁止外发邮件，但只禁了办公电脑的邮件客户端，网页版邮箱没封。安全策略做了半套，等于没做。

我翻过那几年公开的泄露案例，发现一个规律——真正靠“攻破系统”得手的不到三成。剩下七成，要么是内部人员主动卖数据，要么是账号密码泄露被撞库，要么是外包开发留的后门没人清。某地社保系统甚至出现过外包程序员离职后，用还在有效期内的测试账号继续访问数据库长达八个月的情况。

“合规”和“安全”是两件事

很多单位每年花几十万做等保测评，报告拿了一摞，该泄露还是泄露。测评查的是“有没有做”，不查“做得对不对”。防火墙买了，策略配了没有？日志存了，有人看没有？应急演练做了，真出事能跑通没有？

2020年某银行的数据泄露更典型。他们刚通过等保四级测评，三个月后就有客户信息被挂到暗网出售。查下来，问题出在一个2016年上线的老业务系统，早就不用了，但数据库没下线，里面存着120万条历史客户资料。测评的时候，这个系统根本不在资产清单里。

说句不好听的，不少单位的安全建设就是买设备、填表格、应付检查。真正该做的资产梳理、权限回收、日志审计，费时费力又不“出成绩”，排期永远往后拖。

普通人能做什么

国家层面的泄露，个人基本无能为力。但有些事可以降低被波及的概率。不同平台用不同密码，这件事说了十年，真正做到的人不到两成。手机号、身份证号这些改不了的，尽量别在非必要场景重复提交。收到“系统升级请点击链接”的短信，直接删，别赌。

还有一点：别觉得“我的数据不值钱”。单条信息确实不值钱，但撞库的人要的是你所有平台的通行证。一个身份证号加上一个常用密码，能撬开的东西比你想的多。

写这些不是制造焦虑。数据泄露已经是一种常态化的基础设施风险，跟交通事故一样，不会消失，只能管理。真正该追问的是：每次出事后，除了发通报、抓几个人，系统到底改了没有？