文章总结： 英国大型水务机构因安全控制措施不成熟导致数据泄露被罚近千万元，攻击者通过钓鱼邮件入侵后潜伏20个月，窃取63万用户数据并试图部署勒索软件。监管机构指出其存在监控不足、漏洞修复滞后、使用老旧系统等缺陷，建议关键基础设施加强访问控制、漏洞管理和持续监控。 综合评分： 72 文章分类： 数据泄露,政策法规,安全建设,漏洞分析,应急响应

大型水务关基机构因数据泄露被罚近千万元：攻击者曾在内网潜伏近两年

安全内参编译 安全内参编译

安全内参

2026年5月13日 17:55 北京

在小说阅读器读本章

去阅读

关注我们

带你读懂网络安全

英国监管单位警告称，该机构内部安全控制措施很不成熟，导致攻击者曾在内网潜伏达20个月，试图大规模传播勒索软件，并窃取了超60万名用户数据。

前情回顾·网络安全合规执法

• 最大罚单！头部车企因违规出售用户数据被罚近9000万
• 知名打车应用因跨境传输数据违规被罚8亿元
• 员工未授权访问客户数据超2年，银行巨头被罚超2.5亿元
• 网络安全执法常态化！2025年美国隐私违规罚款突破230亿元

安全内参5月13日消息，英国隐私监管机构日前宣布，对一家大型供水企业处以近百万英镑罚款。调查发现，这家公用服务公司长期未修复企业网络中的安全漏洞，导致一次勒索软件入侵事件泄露了超过63.3万名客户、员工和承包商的个人信息。

英国信息专员办公室（ICO）周一表示，在调查一起2022年的网络攻击事件后，决定对南斯塔福德郡水务水公司及其母公司南斯塔福德郡集团处以963900英镑（约合人民币885.4万元）罚款。此次攻击导致姓名、出生日期、联系方式、支付信息、在线账户凭证，以及部分健康相关信息遭到泄露。

罚款通知指出，此次数据泄露事件可追溯至2020年9月的一次网络钓鱼攻击。当时，恶意软件被植入公司的企业网络。

ICO负责监管事务的临时执行主任Ian Hulme表示：“客户无法选择由哪家水务公司为其提供服务。他们必须共享个人信息，并完全信任服务提供商。这家公用事业公司未能采取业界早已确立、广泛认可且行之有效的控制措施来保护其计算机网络。等到系统出现性能问题或收到勒索信息后，才发现已经遭到入侵，这是不可接受的。”

攻击者曾内网潜伏达20个月

此次入侵在长达20个月内一直未被发现。直到2022年7月，系统性能问题触发内部调查后，事件才浮出水面。随后，取证人员发现，攻击者曾试图在整个网络环境中部署勒索软件。ICO表示，尽管南斯塔福德郡水务公司属于英国关键基础设施行业，但其并未建立成熟的网络安全控制体系。

此次罚款出台之际，西方网络安全机构正担忧关键基础设施系统同时面临勒索软件组织和国家级黑客的威胁。监管机构表示，在部分被盗数据随后被发布到网上之前，攻击者已获取并窃取了633887名现任及前任客户、员工和承包商的个人信息。

根据ICO的罚款通知，调查人员发现，这家公用事业公司的安全体系存在多项缺陷，包括监控覆盖不足、特权访问管理薄弱、使用不受支持的遗留系统，以及漏洞管理措施不到位。

通知指出，在最初的网络钓鱼攻击得手后，攻击者长期维持对网络的未授权访问，在多个系统之间横向移动，并在2022年试图部署勒索软件之前收集了大量凭证信息。

监管机构表示，即便在事件发生一年后，南斯塔福德郡水务公司网络中纳入集中式安全监控的部分仍然占比极低。调查人员还发现，公司无法提供证据证明，其在与此次入侵相关的关键时期内，持续对整个网络进行漏洞扫描。

该机构内部系统老旧严重漏洞长期不修

ICO表示，多个系统在补丁发布多年后仍然存在已知漏洞。其中，两台域控制器仍然受到ZeroLogon漏洞影响。ZeroLogon是一个于2020年披露的严重权限提升漏洞。

ICO还发现，部分系统运行在已停止支持的软件平台上，包括Windows Server 2003，而该系统早已无法从微软获得安全更新。

ICO的通知并未显示攻击者直接入侵运营技术系统或水处理系统。南斯塔福德郡水务公司此前表示，此次事件影响的是企业IT系统，并未干扰供水水质或运营服务。

公开报道将此次事件中的勒索及数据泄露阶段与Cl0p勒索软件组织联系在一起。不过，ICO的通知并未直接点名该组织，也未确认Cl0p是否实施了最初的网络钓鱼攻击、是否从其他攻击者手中获取访问权限，或是在攻击后期才介入。

ICO表示，南斯塔福德郡水务公司此后已实施多项额外安全改进措施，包括加强监控能力、强化访问控制，以及推进更全面的漏洞修复工作。

参考资料：bleepingcomputer.com

推荐阅读

• 网安智库平台长期招聘兼职研究员
• 欢迎加入“安全内参热点讨论群”

点击下方卡片关注我们，

带你一起读懂网络安全 ↓

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全内参 安全内参编译 安全内参编译《大型水务关基机构因数据泄露被罚近千万元：攻击者曾在内网潜伏近两年》