外网数据库

上个月，外网一家做跨境电商的数据创业公司数据库被拖库了。黑客把包含用户手机号、外网家庭住址、数据购买记录在内的外网两百多万条数据挂在了暗网交易市场，标价三个比特币。数据老板凌晨三点给我打电话，外网声音发颤：“对方说只要给钱，数据数据就删。外网”

我问他：“你确定对方会删？数据”电话那头沉默了。

外网数据库就是外网这么个东西——它不在你公司防火墙后面，不在你机房的数据机柜里，而是外网托管在某个你甚至不知道名字的第三方服务商那里。可能在新加坡，数据可能在法兰克福，外网也可能在弗吉尼亚某个地下防空洞改装的机房。你的业务系统连着它，你的客户数据躺在它里面，但你连它长什么样都没见过。

我见过太多团队把“上云”等同于“安全”。去年有家做在线教育的公司，把所有用户学习记录都存在一个公开的AWS S3存储桶里，因为配置失误，任何人拿到链接就能下载。发现的时候，数据已经被某搜索引擎索引了三个月。你猜怎么着？他们连日志都没开，根本不知道谁下载过。

外网数据库的可怕之处不在于“外”，而在于“网”。它是活的，有生命周期的。今天你用的那个数据库实例，可能三个月前还属于另一家公司，上面跑着完全不同的业务。云服务商的资源池是共享的，底层硬件、虚拟化层、存储引擎，每一层都可能存在你无法感知的邻居。侧信道攻击、冷启动攻击、虚拟化逃逸——这些词听着像科幻片，但安全研究员每年都能在主流云平台找到新的漏洞变种。

有个做金融科技的朋友跟我说过一句话，我记到现在：“当你把数据放到外网数据库那一刻，你就得默认它已经公开了。”话有点极端，但逻辑没错。你得假设数据库随时可能被攻破，所以核心数据必须加密，而且密钥绝对不能和数据库放在同一个云账号下。他说他们公司每季度做一次“假设数据库泄露”演练——真的把生产环境的数据导出一份放到公网上，然后看内部响应速度。

这听起来有点自虐，但确实管用。

另一个被忽视的点是备份。大部分公司只做增量备份，不做全量冷备，而且备份文件和主数据库放在同一个云区域。去年某云厂商某个可用区故障四个小时，所有依赖那个区域的客户全懵了——主库挂了，备份库也起不来，因为备份就放在同一栋楼里。外网数据库的“外”不是无限远的，它还是物理世界的一部分，会有断电、有光缆挖断、有火灾。

我见过最离谱的一次，是某公司把所有数据库密码明文存在GitHub私有仓库里，然后某天某个开发者的个人令牌泄露，整个仓库被机器人克隆走了。那家公司数据库里存着几百万条医疗健康数据——按法规这种数据泄露是要上报监管部门的，但他们选择不声张，自己悄悄改密码。结果三个月后，数据出现在一个境外论坛上。

所以你看，问题从来不在“外网”本身，而在使用外网数据库的人有没有一种“它随时会炸”的自觉。真正的防御不是买更贵的防火墙，而是改变操作习惯：定期轮换密钥、最小权限访问、异地冷备、定期做数据泄露演练。你得把数据库当成一个随时可能背叛你的伙伴，而不是一个可以托付终身的保险箱。

那家被拖库的跨境电商公司最后没付比特币。数据被泄露出去后，他们的用户流失了四成，因为竞争对手拿这些数据做了精准营销，把老客户全挖走了。老板后来跟我说：“早知道当初就该花点钱做好加密。”我没接话。这种事，说再多都没用，疼过一次就记住了。