盘点「亿级」数据泄露事件，数据泄露事件频发原因

没有销毁数据导致数据泄漏事故频发

近年来，随着信息技术的飞速发展，数据已经成为现代企业不可或缺的发展资源。然而，随之而来的数据泄露危机，给个人、企业甚至整个社会带来了巨大的风险。

截至2024年上半年，一些最严重的数据泄露事件已经窃取、暴露了至少10亿条记录，而且这一数字仍在不断攀升。这些触目惊心的数字时刻提醒人们，数据泄露威胁是无法避免的。重要的是，组织是否有足够强大的网络安全措施和灾难恢复框架来缓解恶意活动的影响。

回顾近年来威胁到「基础服务」和「关键业务」的一些最严重的数据泄露事件，旨在提高人们对数据泄露毁灭性后果的认识。

CAM4数据泄露

时间：2020年3月

泄露记录数：108.8亿条记录

2020年3月，热门成人流媒体直播平台CAM4遭遇数据泄露，起因是内部人员错误配置Elasticsearch，且公司内部有人在没有任何密码保护的情况下将数据库放到了网上，使得任何拥有IP地址的人都能轻易获取这些数据。最终，近110亿条记录泄露，成为迄今为止报告的最大数据泄露事件。

据悉，被泄露的敏感用户信息包括姓名、电子邮件地址、密码散列、性别和性取向、用户名、聊天记录和IP地址等信息。其中，许多暴露的电子邮件都与云存储服务有关，如果黑客对这些用户成功发起网络钓鱼攻击，他们就可以更深入地获取个人照片和敏感业务信息。

如此大规模的网络攻击也凸显了世界各地组织对强大网络安全措施日益增长的需求，以便他们可以减轻潜在的数据泄露威胁。

雅虎数据泄露

时间：2017年10月

泄露记录数：30亿个账户

雅虎在2013年经历了一次数据泄露，但直到2016年12月14日，雅虎在谈判将自身出售给Verizon时才首次报告了该事件，并透露其网络上的10亿个账户受到了影响。当时，雅虎要求所有受影响的用户更改密码，重新输入未加密的安全问题和答案，以便重新加密。

然而，到2017年10月，收购活动完成后，雅虎再次将泄露记录数更改为30亿个账户。据报道，黑客窃取了用户的姓名、出生日期、电话号码和密码，这些信息虽都经过了安全加密，但极易破解。此外，黑客还获得了用于重置丢失密码的安全问题和备份电子邮件地址。

最终，美国司法部（DoJ）指控了包括两名俄罗斯情报官员在内的四人参与了2017年的泄密事件。

阿里巴巴数据泄露

时间：2022年7月

泄露记录数：11亿用户数据

2022年，中国电商巨头阿里巴巴遭遇了大规模数据泄露，导致客户数据外泄。泄露的敏感信息包括姓名、身份证号码、电话号码、地址，甚至犯罪记录。据悉，总共有超过23TB的数据从阿里巴巴的云托管服务器（阿里云）中被泄露出来，被称为史上最大的数据泄露事件之一，相关开发者及其雇主被判处三年监禁。

而这并不是阿里巴巴的第一次数据泄露事件，因为就在一年前，第三方开发者曾泄露了阿里巴巴的购物网站淘宝上抓取的用户数据。同样超过10亿用户被曝光。

First American金融公司数据泄露

时间：2019年5月

泄露记录数：8.85亿用户数据

2019年5月，美国金融服务公司First American发生了一起网络安全事件，原因是其用于存储消费者数据的专有EaglePro应用程序存在漏洞，允许公众在不需要任何身份验证的情况下查看敏感信息。由于这次数据泄露，数以亿计的客户记录被曝光。

据悉，该公司网站上存储的文件包括银行账号、银行对账单、抵押贷款记录、税务文件、电汇收据和社会保险号。其中一些信息甚至最早可以追溯到2003年，没有任何保护措施。

喜达屋（万豪）数据泄露

时间：2018年11月

泄露记录数：5亿****客人信息

2018年11月，跨国酒店公司万豪国际发布通知称，黑客窃取了约5亿客户的个人信息。攻击者早在2014年就未经授权访问了喜达屋系统，并在2016年万豪集团收购喜达屋后仍然留在该系统中。然而，这一发现直到2018年才发现。

被曝光的信息包括姓名、联系信息、护照号码、喜达屋贵宾客人号码、旅行信息和其他个人信息。万豪集团认为，超过1亿客户的信用卡和借记卡号码，以及到期日等财务信息被盗，尽管该公司不确定攻击者是否能够解密信用卡号码。

最终，万豪因未能达到《欧盟通用数据保护条例》（GDPR）标准而被罚款2380万美元。

数据泄露事件频发原因 是多种因素共同作用的结果，涉及技术、人为和管理等多个层面。

技术防护不足‌：系统或网络存在未修补的漏洞、配置缺陷，或缺乏必要的加密措施，使得外部攻击者容易通过网络钓鱼、SQL注入等技术手段非法获取数据。‌

人为心理因素‌：内部人员的无知、侥幸、盲从、炫耀或冷漠等心理可能导致无意或故意的泄密。例如，对保密规定一知半解而随意拍照留存敏感信息，或因侥幸心理违规操作。‌

管理机制不完善‌：权限分配不当（如普通员工可访问敏感数据）、第三方供应链安全审计缺失、以及缺乏有效的日志监控和应急响应流程，都会扩大泄露隐患。‌

这些因素相互交织，使得数据泄露事件呈现高发态势。当敏感或机密数据在被废弃或不再需要时，数据销毁是信息安全管理中至关重要的一环。即使数据被删除或设备被丢弃，如果没有彻底销毁，仍可能通过技术手段恢复。数据销毁确保这些信息无法被恶意利用，避免泄露给竞争对手或黑客。

许多行业（如金融、医疗、政府）有严格的数据保护法规（如GDPR等），要求企业必须妥善处理敏感数据。数据销毁是满足这些法规的必要步骤，避免法律风险和罚款。

个人隐私数据（如身份证号、银行账户、医疗记录）一旦泄露，可能对个人造成严重危害。数据销毁确保这些信息不会被滥用或用于身份盗窃等犯罪活动。

数据泄露事件频发，不是 “运气问题”，而是 “重视与否” 的问题。当每一次泄露都可能让企业付出 “百万级罚款 + 品牌破产” 的代价，选择专业数据处置服务，就不是 “成本支出”，而是 “保命投资”—— 它守护的不仅是一份数据，更是企业的生命线、客户的信任、行业的未来。在数据泄露频发的今天，只有筑牢 “全周期安全防线”，才能让数据真正成为驱动发展的 “资产”，而非引爆危机的 “导火索”！