内容摘要：2017年11月，美国征信巨头Equifax被曝出1.43亿美国用户的姓名、社保号、出生日期和驾照信息全部泄露。这个数字意味着什么？差不多每两个美国人里就有一个中招。更讽刺的是，Equifax在漏洞被

2017年11月，互联美国征信巨头Equifax被曝出1.43亿美国用户的网重姓名、社保号、数据出生日期和驾照信息全部泄露。资源这个数字意味着什么？泄露差不多每两个美国人里就有一个中招。更讽刺的案例是，Equifax在漏洞被利用的互联两个多月里，其安全团队居然毫无察觉——直到黑客在暗网上叫卖数据，网重他们才后知后觉地启动了调查。数据

这家公司当时使用的资源Apache Struts框架存在一个已知漏洞，而补丁早在3月份就发布了。泄露Equifax的案例安全人员收到了修补通知，但负责此事的互联那位工程师不知何故把邮件晾在了一边。就这一个疏忽，网重让黑客像逛超市一样在数据库里翻了个底朝天。数据事后调查发现，攻击者通过一个Web应用漏洞进入了系统，然后在内网里横向移动了76天，期间访问了多台服务器，甚至拿到了数据库管理员的明文密码。

这种事儿不是孤例。2020年，Twitter遭遇了史上最严重的“鱼叉式钓鱼”攻击。黑客没有用什么高深的技术，而是给员工发私信，冒充Twitter的IT管理员，说要帮他们解决VPN问题。结果有员工真信了，在钓鱼网站上输入了自己的凭证。黑客随即用这些凭证登录内部管理工具，直接接管了包括奥巴马、马斯克、比尔·盖茨在内的130多个知名账号，发了条“给我打比特币，我双倍奉还”的骗局推文。整个过程从发私信到控制账号，不到24小时。

我有个在安全公司干过的朋友说过一句糙话：“多数数据泄露不是撞库撞出来的，是人懒出来的。”这话糙理不糙。Equifax的教训是补丁没人打，Twitter的教训是双因素认证形同虚设。但更普遍的情况是——企业把大量敏感数据堆在同一台服务器上，连基本的分区隔离都不做。一旦某个低权限账号被攻破，黑客就能像打开水龙头一样，把核心数据全放出来。

再看2021年LinkedIn那次，7亿条用户数据被扒出来挂在暗网上卖，标价5000美元。这数据怎么来的？黑客利用的是LinkedIn的API接口漏洞，通过爬虫程序批量抓取公开页面上的用户信息，再结合其他泄露数据库里的密码进行匹配。说白了，人家压根没黑进系统，就是光明正大地“捡”走了你主动公开的资料。这提醒我们一个残酷的事实：你填在社交平台上的每一行职业经历、每一条教育背景，都可能成为黑客拼图里的一块。

数据泄露的代价不光是钱。2018年万豪酒店泄露5亿客户数据后，股价当天跌了5.6%，但更深远的影响是——那些被泄露的护照号码和信用卡信息，会在暗网上被反复倒卖多年。你换了新卡、换了新手机号，但你的护照号是固定的，永远改不掉。这种长期风险，远比一次性的赔偿金要可怕得多。

说到底，安全防线最薄弱的环节永远是人。技术手段再强，架不住有人把密码写在便利贴上贴在显示器边框。我见过某金融机构的安全主管，自己办公室的门禁卡就挂在工位隔板上，谁路过都能顺手拿走。这种态度下，再贵的防火墙都是摆设。数据泄露这事儿，真不是靠买几台设备就能解决的——它得从每个员工日常的每个小动作抓起。