从25万到880万亿人数据泄露事件背后的共同问题——合法访问、第三方服务与敏感数据治理

原创

何威风
何威风

河南等级保护测评

2026年10月7日 06:00
河南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

近期发生的两起数据泄露事件，发生在完全不同的场景：一起涉及丹麦中央人口登记系统，攻击者利用一家企业原本合法拥有的系统访问权限，大规模获取居民个人信息；另一起则发生在美国医疗健康领域，两家医疗相关机构分别遭遇网络攻击，超过25万人受到影响。前者涉及国家级人口登记数据，后者涉及个人身份信息和医疗健康信息，但如果把两个事件放在一起观察，会发现它们实际上指向同一个越来越突出的网络安全问题：数据泄露已经不再只是“黑客攻破系统”的问题，合法访问、第三方服务、人员账户和业务系统本身，正在成为敏感数据暴露的重要入口。

丹麦中央个人登记系统（CPR）建立于1968年，是丹麦国家级人口登记系统，目前保存着约1100万人的信息，其中不仅包括在世居民，也包括已经移居国外以及已经去世的人员。近期发生的数据泄露事件中，约880万人受到影响。攻击者并不是简单地从互联网直接攻破CPR核心系统，而是利用了一家丹麦企业原本合法拥有的CPR访问权限，获取并导出了大量个人信息。这意味着攻击者利用的并不是一个传统意义上的“非法账户”，而是一个本身具有合法业务用途的访问通道。

按照丹麦相关规定，具有合法利益的私营企业可以访问CPR，在特定业务场景下获取个人信息；企业也可以依据相关数据保护法律提出信息获取请求。这种机制本身具有合理的业务需求，但也意味着，一旦拥有合法访问权限的企业自身账户、系统或者网络环境遭到攻击，攻击者就可能借助这个合法身份进入原本受到严格保护的数据环境。此次事件中，攻击者正是利用这种合法访问关系获取了大量人员信息，受影响的数据包括姓名、地址以及CPR号码，而CPR号码在功能上相当于美国社会安全号码这样的重要个人身份标识。

这起事件最值得关注的地方，因此并不是“880万人数据泄露”这个数字本身，而是攻击者没有必要直接攻破国家人口登记系统，只需要找到一个能够合法访问它的组织，就可能绕过传统意义上的外围防御进入数据获取链条。这实际上改变了传统的数据安全思维。过去很多组织关注的是“谁能够从互联网攻击我的系统”，而今天更加需要关注的是：“谁本来就有权访问我的数据？这些访问权限为什么存在？访问范围有多大？访问行为是否符合业务需要？如果这个合作方被攻破，我的数据会不会随之暴露？”

事件是在9月底出现异常行为之后被发现的。人口登记机构于周五接到系统异常行为通知，并在随后调查中确认，大约880万人的姓名、地址和CPR号码被攻击者访问和窃取。发现事件后，相关机构立即终止了涉事私营企业的访问权限，并向丹麦数据保护机构报告，同时启动调查，并与警方及其他有关部门开展协作。对于选择姓名和地址保护的人群，该事件不涉及其相关信息。相关机构同时提醒公众警惕以此次事件为背景的诈骗通信，例如要求提供个人信息、密码或其他敏感数据的可疑联系。

如果说丹麦事件体现的是“合法访问权限被滥用”，那么美国医疗领域的两起事件则更加直接地体现了“人员账户成为敏感数据入口”的问题。新泽西州Clover Health Investments和得克萨斯州AngMar Management Services近期分别披露数据泄露事件，两起事件合计影响超过25万人，而且两起事件均发生在2026年7月。Clover Health的事件中，攻击者通过社会工程手段攻陷了三名非管理岗位医疗保险计划员工的账户，进而窃取个人身份信息和受保护健康信息。

Clover Health随后披露，潜在受影响的信息包括姓名、出生日期、保险标识符以及账户识别号码。公司在9月向美国卫生与公众服务部报告，确认受影响人数为138,677人。这个案例尤其值得注意，因为攻击者并不是首先攻击一个复杂的医疗数据库，而是通过社会工程攻击普通员工账户。这说明在医疗机构这样的高价值数据环境中，一个普通业务人员的身份凭据，同样可能成为进入敏感数据环境的重要入口。

另一家位于得克萨斯州Mansfield的AngMar Management Services，则是在7月中旬发现系统存在可疑活动，并在9月初确认攻击者已经窃取患者个人信息和受保护健康信息。AngMar为家庭健康护理和临终关怀机构提供业务运营、管理以及支持网络管理服务，因此其掌握的数据本身就具有很高的敏感性。此次事件涉及的信息范围非常广，包括姓名、出生日期、社会安全号码、诊断信息、病史、健康保险信息、患者ID、医疗服务提供者信息、处方信息以及服务日期等。

AngMar的事件还涉及勒索组织Interlock。该组织在8月份将AngMar列入其基于Tor的泄露网站，并声称已经窃取超过700GB的数据。9月16日，AngMar向美国卫生与公众服务部报告受影响人数为126,196人。也就是说，仅这一家医疗相关服务机构，就涉及超过12.6万人的高度敏感健康和身份信息。

把丹麦CPR事件与美国医疗行业的两起事件放在一起，会发现三者存在一个非常明显的共同点：数据泄露的风险边界已经从“核心数据库本身”扩展到了整个数据访问链条。丹麦事件中，攻击者利用的是第三方企业合法获得的访问权限；Clover Health事件中，攻击者利用的是员工账户；AngMar事件中，则是医疗服务支持体系中的系统和网络环境遭到入侵。攻击者真正寻找的，不一定是组织最核心、最复杂的数据库，而是能够通向敏感数据的身份、账户、接口、第三方系统和业务连接关系。

这也说明，传统的“网络边界安全”思维正在受到越来越大的挑战。如果组织认为只要核心数据中心部署了防火墙、入侵防御、WAF、数据库审计和安全监测平台，数据就安全了，那么这种认识已经越来越不充分。因为真正的数据流动可能发生在核心系统之外：业务合作伙伴可以访问数据，外包机构可以访问数据，运维人员可以访问系统，员工账户可以访问业务平台，API可以调用数据，云平台可以处理数据，第三方软件可以连接数据。数据安全的边界实际上已经随着业务关系不断向组织外部延伸。

因此，数据安全治理首先应该重新审视“合法访问”这个概念。合法访问并不等于安全访问。一个账号有合法权限，只能证明组织曾经允许它访问某些数据，不能证明这个账号在任何时间、任何地点、任何行为模式下访问这些数据都是合理的。真正成熟的访问控制应该进一步回答：谁在访问、为什么访问、访问什么、访问多少、从哪里访问、什么时候访问、以什么方式访问、是否符合正常业务行为。

特别是在涉及人口、医疗、金融等高敏感数据的场景下，更应该坚持最小权限原则和必要性原则。企业为什么需要访问某个人的数据？为什么需要访问完整信息？为什么需要长期访问？为什么一个业务账号能够批量查询？为什么一个普通员工账户能够接触大量敏感数据？这些问题不能仅仅由“系统已经授权”来回答。权限的合法性只是第一道门，权限使用的合理性、必要性和可审计性才是更深层的安全控制。

与此同时，第三方风险也需要从传统的“供应商管理”升级到“数据访问关系管理”。很多组织在第三方管理中习惯于签署保密协议、安全责任书和数据处理协议，然后认为第三方安全管理已经完成。但丹麦事件说明，真正危险的可能恰恰是一个已经通过合同和业务流程获得合法授权的第三方。如果第三方自身安全能力不足，攻击者就可能利用它成为进入核心数据环境的跳板。因此，组织不仅要审查第三方有没有制度，还应该了解第三方实际上能够访问什么数据、具有什么权限、采用什么认证机制、是否具备多因素认证、是否记录访问日志、是否能够发现异常批量访问，以及发生安全事件以后能否迅速切断其访问能力。

医疗行业的两个案例则进一步说明，人员身份已经成为数据安全体系中的重要安全边界。社会工程攻击能够直接绕过很多传统技术防护，因为攻击者攻击的不是服务器漏洞，而是人的信任关系。一个员工点击恶意链接、泄露认证信息或者在攻击者诱导下完成某项操作，都可能让攻击者获得一个“合法身份”。因此，网络安全培训不能再停留在每年组织一次培训、员工签字确认“我接受过培训”这种形式上，而应该真正建立从培训、模拟演练、异常行为发现到事件复盘的持续机制。

这也意味着，身份安全与数据安全不能割裂。过去很多组织把账号管理看成基础运维工作，把数据安全看成数据部门工作，把第三方管理看成采购部门工作，把员工培训看成人力资源部门工作，最后形成多个相互独立的管理体系。但实际攻击不会按照组织架构来进行。攻击者可能先通过社会工程获取员工账户，再利用账户进入业务系统，再通过业务权限访问数据库，最后通过第三方系统或者合法接口大量导出数据。因此，身份、权限、系统、数据、第三方和人员实际上构成了一条完整的安全链条。

两个事件还提醒我们，数据安全治理不能只关注“数据有没有泄露”，还必须关注数据泄露以后还能不能控制影响范围。如果一个普通账户被攻陷，就可以批量读取几十万人的敏感信息，说明权限粒度可能存在问题；如果一个第三方企业的访问权限被攻击者利用，就能够获取数百万人的身份信息，说明第三方访问边界和数据调用范围可能需要重新审视；如果攻击者能够一次性窃取数百GB数据，则说明组织可能还需要进一步加强异常数据访问检测、批量导出控制、数据防泄漏以及数据访问行为分析。

因此，真正的数据安全能力应该形成一个完整的闭环：数据识别、数据分类分级、访问授权、身份认证、最小权限、访问审计、异常行为检测、数据导出控制、第三方管理、事件发现、权限快速撤销和事件响应。其中任何一个环节失效，都可能成为攻击者扩大影响范围的突破口。

更值得注意的是，这三起事件涉及的数据都不是普通信息。丹麦事件涉及姓名、地址和国家级个人身份号码；Clover Health涉及出生日期、保险标识符和账户信息；AngMar则涉及社会安全号码、诊断信息、病史、保险信息、处方以及医疗服务记录。对于这类数据而言，泄露造成的影响并不仅仅是“个人信息被公开”，还可能进一步引发身份盗用、精准诈骗、社会工程攻击、医疗隐私侵害以及长期持续的个人风险。因此，数据安全的目标不能简单理解为“防止数据库被黑”，而应该是防止敏感数据被未经授权地访问、使用、复制、导出和扩散。

从网络安全治理角度看，这些事件最终反映的其实是一个非常朴素的问题：组织到底知道自己的数据在哪里，又是谁可以接触这些数据？如果连数据通过哪些系统、哪些人员、哪些第三方、哪些接口流动都无法准确回答，那么所谓的数据安全体系很可能只是建立在制度和产品之上的“纸面安全”。

真正成熟的数据安全治理，应当从“保护系统”进一步转向“保护数据及其整个访问关系”。既要保护核心数据库，也要保护能够进入数据库的账号、接口、业务系统和第三方；既要防范外部攻击，也要控制合法访问被滥用；既要关注技术漏洞，也要关注社会工程和人员风险；既要建立权限审批，也要持续验证权限是否仍然必要；既要记录访问日志，也要真正分析异常访问行为。

数据安全最危险的状态，并不是组织没有安全控制，而是组织认为“已经授权，所以安全；已经签约，所以安全；已经部署产品，所以安全；已经完成合规，所以安全”。这几起事件恰恰说明，真正的安全必须建立在持续验证之上：谁可以访问、为什么可以访问、访问是否必要、行为是否正常、第三方是否可靠、异常是否能够发现、权限是否能够立即撤销、泄露以后影响是否能够控制。

归根到底，网络安全和数据安全追求的不是一套看起来完整的制度、一张看起来漂亮的合规清单，而是一种能够在真实环境中持续发挥作用的能力。权限不是永久的，第三方不是天然可信的，员工账户不是绝对安全的，合法访问也可能成为攻击入口。只有把身份、权限、人员、系统、数据、第三方和运营真正连接起来，建立从授权到使用、从监测到处置、从事件到复盘的全过程闭环，才能真正降低大规模数据泄露事件发生的概率和影响范围。