数据泄露（Data Breach）
概述
数据泄露（Data Breach）是指组织或个人所持有的个人信息、金融信息、商业秘密、认证凭据等数据，因黑客攻击、内部人员行为、配置错误、物理失窃等原因，被未获授权的主体访问、复制或公开的安全事件。它已不只是单纯的黑客事件，而是被视为会直接影响企业信誉、合规状况、股价与用户安全的经营风险。GDPR、CCPA、韩国《个人信息保护法》等规定，符合一定条件的泄露属于强制申报事项，因此数据泄露既是技术问题，也是法律与声誉问题。
主要内容
定义与范围
数据泄露的核心是“机密性（Confidentiality）受侵害”，但同时也常伴随完整性（数据篡改、勒索软件）与可用性（服务中断）受侵害的情况。比泄露数据的规模更重要的是数据的敏感度与可再识别性。即便是看似普通的电子邮件地址列表，若与其他泄露信息结合，也会成为账户盗用或网络钓鱼攻击的素材。
主要类型
- 外部攻击型：网络钓鱼、凭据窃取、漏洞利用、供应链攻击、零日漏洞利用
- 内部威胁型：离职人员带走数据、权限滥用、误操作导致对外共享
- 配置错误型：公有云存储（S3 存储桶等）暴露、访问控制设置错误
- 物理泄露型：笔记本电脑、USB、文件丢失及失窃
- 第三方经手型：合作企业、SaaS 供应商被入侵导致的连锁泄露
攻击链
典型流程为：侦察 → 初始入侵（网络钓鱼、漏洞） → 权限提升 → 横向移动 → 数据收集与窃取（Exfiltration） → 勒索、出售。近来不再是窃取后即收手，而是与勒索软件结合形成“双重勒索（Double Extortion）”，数据还会在暗网市场与 Telegram 频道中被拆分出售。
影响与损失
- 个人：账户盗用、金融诈骗、垃圾信息与钓鱼激增、身份盗用
- 企业：罚款与诉讼、恢复成本、客户流失、股价下跌、高管责任争议
- 社会：大规模认证凭据泄露时，会因“撞库攻击（credential stuffing）”导致多项服务连锁受害
根据 IBM 与 Ponemon 的年度报告，全球平均泄露成本被统计为数百万美元规模，且从发现到遏制所需时间越长，成本越会急剧上升。
检测与响应
标准响应流程遵循 NIST 及各国监管机构的指南。
1. 检测与确认：通过 SIEM、EDR、DLP、异常行为分析掌握影响范围
2. 遏制：切断泄露路径、注销账户与密钥、隔离受侵主机
3. 根除与恢复：修补漏洞、验证备份、恢复正常服务
4. 申报与告知：在法定期限内向监管机构及信息主体通知
5. 事后改进：取证报告、防止再犯对策、强化监控
法律监管
GDPR 要求在 72 小时内申报，并在风险较高时通知信息主体，违反时可处以最高相当于全球营业额 4% 或 2000 万欧元的罚款。美国各州法律与行业监管（HIPAA、GLBA）并行存在，韩国则依据《个人信息保护法》执行泄露通知与申报义务及罚款制度。2024 年以后，欧盟的 NIS2、DORA 等针对供应链与金融领域的监管有所加强。
预防原则
零信任、最小权限、多因素认证（MFA）、加密（存储与传输）、密钥管理、机密信息管理、定期渗透测试、员工安全意识培训、第三方安全评估是基本支柱。此外，还强调以数据最小收集原则，从源头缩小“泄露时的损失规模”。
最新趋势
- 供应链集中攻击：SaaS 与身份提供商被入侵，导致众多客户企业同时受影响的案例增多
- 以凭据为中心的攻击：针对密码重用与会话令牌窃取的信息窃取器（infostealer）恶意软件扩散
- 监管强化与责任扩大：申报期限缩短、CISO 个人责任、集体诉讼增加
- AI 的双面性：AI 一方面助力异常行为检测与响应自动化，另一方面又通过生成钓鱼语句、分析漏洞、深度伪造，使社会工程攻击更加精密
- 抗量子密码（PQC）讨论：为应对“先收集、后解密（Harvest Now, Decrypt Later）”威胁而制定迁移计划
- 数据主权与跨境传输：各国监管差异使跨国企业的合规复杂性上升
相关主题
- [[勒索软件]]
- [[零信任]]
- [[个人信息保护法]]
- [[网络钓鱼]]
- [[网络安全]]
- [[GDPR]]