一个月内两家美国联邦机构被攻破，大量敏感数据外泄

Hacks of 2 federal agencies in a month have spilled a bonanza of sensitive data — arstechnica.com · 2 小时前 · 🔒 安全

美国国防部正在通知 200 多万名现役与退役军人，其包含敏感个人信息的人事档案在一次持续数月的网络入侵中被窃取，这是近几个月里第二起暴露敏感政府人事信息的重大事件。据一份被贴到 Reddit 的通知信，泄露字段包括社会安全号码、姓名、地址、性别、种族和职业专长，其中职业专长一类对外国情报机构尤具价值，可被用来识别高价值军事人员。黑客自去年 10 月起进入由国防人力数据中心（Defense Manpower Data Center）运营的系统，该中心负责汇总国防部人事档案；五角大楼表示此次事件波及 280 万名在世个人的记录，系统被访问的时间跨度长达数月，说明入侵者在被发现前拥有较长的驻留窗口。上个月，勒索组织 ShinyHunters 声称入侵 FBI 系统并窃取数千名现任或前任雇员的记录，路透社报道称其中职位涉及调查中国或俄罗斯的方向。两起事件叠加，意味着犯罪团伙与外国对手在短时间内获得了可用于勒索、钓鱼和情报筛选的批量素材，而受影响人群的身份信息几乎无法像密码那样更换，善后成本将被拉长到数年乃至终身。

核心信息

泄露规模与字段：五角大楼向 200 多万名现役和退役军人发出通知，称其人事档案在一次长达数月的网络入侵中被盗，受影响的在世个人记录达 280 万条；一份被贴到 Reddit 的通知信显示，泄露内容涵盖社会安全号码、姓名、地址、性别、种族以及职业专长，其中社会安全号码一旦泄露便无法更换，受影响者将长期暴露在身份盗用与精准钓鱼的风险之下。
攻击路径与时间线：入侵自去年 10 月开始，黑客得以访问国防人力数据中心（Defense Manpower Data Center）运营的系统，该中心专门汇总国防部的人事档案；系统被持续访问数月才被发现，说明攻击者在网络内部拥有较长的驻留窗口，也暴露出把全系统人事记录集中存储所带来的单点风险。
职业专长的情报价值：记录中的职业专长字段对国外情报机构尤为敏感，因为把它与姓名、地址、性别、种族等信息交叉比对，可以筛选出具备特定技能的高价值军事人员，从而为招募、跟踪或定向施压提供线索，这也是人事数据区别于一般个人信息的核心风险所在。
同月第二起事件：勒索组织 ShinyHunters 声称入侵 FBI 系统并窃取数千名现任或前任雇员的记录，路透社报道称其中的职位信息涉及调查中国或俄罗斯的相关岗位；两起事件接连发生，使犯罪团伙与外国对手在短时间内获得了可用于勒索、钓鱼和情报分析的大量敏感素材。

💡 为什么值得读: 它用两起接连发生的真实入侵说明，集中存放的人事数据一旦失守会怎样变成情报素材，也提醒每个组织重新审视自己手里那些被当成普通档案的身份信息。

✍️ 小编看法: 小编看法：这两起事件的共同点不在攻击手法，而在于被拿走的东西恰好是情报机构最想要的那类素材。社会安全号码、住址、种族和职业专长放在一起，就不再是普通的个人信息，而是一份可以按技能、地域和岗位做交叉筛选的名单；对手不需要攻破任何新系统，只要把这份名单与公开信息比对，就能圈出值得关注的人。更被忽略的是代价的时间尺度：密码可以重置，住址可以搬迁，但社会安全号码几乎伴随终身，这意味着受影响的 280 万人要在未来很多年里持续面对身份盗用、冒充与定向钓鱼的风险，而机构往往只提供一段时间的信用监测服务就算完成善后。从防御角度看，问题也不止于边界防护。国防人力数据中心这类把全系统人事记录集中到一处的架构，本身就是高价值目标，一旦被进入，横向移动的收益极大；值得追问的是权限分级、字段级加密和访问审计是否跟得上。另一个容易被轻视的变量是动机：勒索组织声称的攻击，可能同时具备经济与地缘双重用途，数据既能在勒索市场变现，也能被转手卖给愿意出价的一方。接下来值得观察的是取证结论能否公开、是否存在外国对手参与，以及监管层面会不会推动人事数据的去集中化与最小化留存。对企业读者的启示同样直接：凡是把身份信息与职务画像捆在一起存储的系统，都应被视为高风险资产，而不是普通的人力资源数据库。

🏷️ data breach, Pentagon, cybersecurity, government