文章总结： 塔塔电子因RDP暴露及弱密码等基础失误遭窃取630GB苹果与特斯拉机密，属纯数据勒索。建议企业紧急排查公网暴露面、强制全域MFA、实施内网微隔离与数据物理隔离，部署DLP及外发流量监控，并开展穿透式供应商审计以阻断供应链风险。 综合评分： 91 文章分类： 数据泄露,供应链安全,威胁情报

---

塔塔电子数据泄露事件分析报告

原创

Torjan Torjan

SecNewsAI攻防

2026年7月13日 19:15 广东

在小说阅读器读本章

去阅读

SECURITY BRIEF2026.07.13

塔塔电子数据泄露事件 · 深度分析报告

威胁检测工程视角 · MITRE ATT&CK 映射 · 供应链防御

ANALYSIS

苹果史上最严重供应链泄露 · 630GB 机密文件遭暗网公开

供应链安全数据泄露

EDITOR’S NOTE

攻击路径无任何高级漏洞

苹果史上最严重的供应链数据泄露 —— iPhone 18 Pro 主板图纸、A20 Pro 芯片手册、特斯拉 Model Y/3 图纸全部曝光。攻击路径无任何高级漏洞：RDP 公网开放 + 弱密码 + 无 MFA + 无网络分段 + 无 DLP 监控，五个基础失误叠加致命。

01

PART

事件概要

INCIDENT OVERVIEW

项目

内容

受害者

塔塔电子（Tata Electronics）— 苹果在印度核心代工厂，占印度 iPhone 产量约 1/3；同时为特斯拉供应商

攻击组织

World Leaks（前身 Hunters International，再前身 Hive 勒索软件团伙）

攻击类型

纯数据勒索 Data-Only Extortion — 不加密、只窃取

泄露规模

204,341 个文件，总计约 630 GB

泄露内容

iPhone 18 Pro/Pro Max 主板设计图纸、A20 Pro 芯片手册、C2 基带文档、供应商映射清单、特斯拉 Model Y/Model 3 图纸、员工护照扫描件、SAP 数据、邮件往来

公开时间

2026 年 6 月 10 日起在暗网公开传播

初始入侵

2026 年 5 月（推测）

发现确认

2026 年 6 月 22 日塔塔电子发布正式声明

政府介入

2026 年 7 月 2 日印度 CERT-In 启动刑事调查

02

PART

攻击时间线

TIMELINE

2026 年 5 月 — World Leaks 通过公开端口扫描发现塔塔暴露的 RDP 端口，弱密码爆破成功（admin / Tata@2025），获得运维账号权限。在内网潜伏扫描识别 Apple、Tesla 敏感目录，开始批量数据外传，持续数日超 630GB，全程无告警。

2026 年 6 月 10 日 — World Leaks 在暗网泄露站首次发布塔塔数据，向塔塔电子发出赎金要求，塔塔内部开始向霍苏尔工厂员工通报事件。

2026 年 6 月 22 — 23 日 — World Leaks 向路透社提供泄露证据，事件引爆国际媒体。塔塔电子发布正式声明确认事件，苹果启动全面调查分析。

2026 年 6 月 25 日 — 7 月 2 日 — AppleInsider 证实泄露数据包含 iPhone 18 Pro 主板图纸和 A20 Pro 数据手册。印度 CERT-In 正式启动刑事调查。

关键发现 从初始入侵到暗网公开仅约 40 天。攻击者未使用任何零日漏洞，完全依赖基础安全配置缺失。

03

PART

攻击技战术深度分析

MITRE ATT&CK MAPPING

3.1 初始访问（Initial Access）

ATT&CK ID

技术名称

本次事件中的应用

T1133

外部远程服务

公网开放 RDP 端口（3389），未做 IP 白名单限制

T1078

有效账户

弱密码字典暴力破解运维账号：admin / Tata@2025

T1190

利用公网应用

公网暴露的 SonarQube 9.9.8 代码分析平台泄露系统信息

3.4 凭据访问（Credential Access）

ATT&CK ID

技术名称

说明

T1110

暴力破解

针对 RDP 管理端口进行弱密码字典爆破

T1003.001

LSASS 转储

从 Windows 域控制器提取凭证用于横向移动

T1552

不安全凭据

从配置文件、脚本中提取明文凭据

3.5 横向移动（Lateral Movement）

ATT&CK ID

技术名称

说明

T1021.001

远程桌面 RDP

使用窃取的凭证在内网 RDP 跳板

T1021.002

SMB 管理共享

利用 PsExec/WMI 远程执行命令

T1021.003

WinRM

通过 Windows 远程管理进行横向移动

T1021.004

SSH

移动到 Unix/Linux 制造控制系统

T1570

横向工具传输

在内网机器间传输数据提取工具

横向移动关键失败点 塔塔内网未做网络分段，产线网、办公网、存储网同属一个大网段，横向移动无任何阻隔。

3.7 数据收集与窃取（Collection & Exfiltration）

ATT&CK ID

技术名称

说明

T1005

本地系统数据

从本地文件服务器收集文档

T1039

网络共享数据

从共享文件服务器拷贝数据

T1560

存档收集数据

将 20 万文件打包为压缩存档

T1041

C2 通道外传

通过 Tor 代理通道实现隐蔽外传

T1530

云存储数据

如目标有云存储访问权限则同步窃取

数据窃取关键失败点 苹果与塔塔、特斯拉数据混存同一存储池，无独立分区和权限隔离；630GB 外传持续数日，DLP 和流量监控全未触发。

04

PART

World Leaks 攻击组织画像

THREAT ACTOR PROFILE

组织沿革

Hive → Hunters International → World Leaks2023 年至今的三代演化

World Leaks 是 Hunters International 的直接转型——2025 年 1 月开始运营，放弃文件加密、专注纯数据勒索。此前 Hunters 活跃 18 个月声称 55 起成功攻击、325 万条个人记录泄露。其再前身 Hive 于 2023 年 1 月被国际执法行动瓦解，源代码和基础设施被继承。

特征维度

详情

运营模型

勒索即服务（EaaS），加盟商模式，提供定制化数据提取工具

初始访问

首选 VPN/RDP 认证凭据利用；次选 SonicWall/Fortinet 边界设备漏洞

武器库

定制化 Rootkit（OVERSTEP）、SOCKSv5 代理 + Tor 通讯、专有数据提取工具

勒索策略

首创 Insider Platform 记者平台，在受害者公开回应前 24 小时向记者提前泄露数据

赎金支付

仅收门罗币（XMR）或比特币（BTC），不接受议价

知名受害者

耐克（2026.1, 1.4TB）、戴尔（2025.7, 1.3TB）、瑞银集团、洛杉矶市政府、塔塔电子

行业焦点

医疗保健、制造业、信息技术、零售酒店、房地产与建筑工程

CVE 编号

影响产品

CVSS

说明

CVE-2021-20035

SonicWall SMA 100

6.5

操作系统命令注入

CVE-2021-20038

SonicWall SMA 100

9.8

栈缓冲区溢出

CVE-2024-38475

Apache HTTP Server

9.1

Improper escaping

CVE-2025-32819

SonicWall SMA 100

8.8

认证绕过

05

PART

供应链企业防御建议与检测规则

DEFENSE RECOMMENDATIONS

排查公网暴露面

关闭不必要的 RDP/SSH/VPN 公网端口，对所有远程访问实施 IP 白名单或堡垒机接入，下线或加固 SonarQube、Jenkins、GitLab 等开发平台。

强制全域 MFA

所有远程访问通道（VPN、RDP、Web 门户）强制 MFA，所有管理员账号强制 MFA 无例外，定期抽检 MFA 开启率并纳入供应商考核。

内网微隔离与网络分段

产线网、办公网、存储网、开发网相互隔离，实施零信任网络访问（ZTNA），关键服务器部署 east-west 流量监控。

客户数据强制隔离

不同客户数据使用独立存储分区或独立租户，客户数据与自有业务数据物理/逻辑隔离，批量导出需双人审批。

外发流量监控与 DLP

部署出站流量异常检测（大于 100MB/h 告警），敏感文件外发自动阻断/告警，实施 TLS 解密或 TLS 指纹检测。

Sigma 检测规则 本报告配套 5 条 Sigma 规则：RDP 爆破检测（T1110）、非 MFA 远程登录告警（T1078/T1133）、PsExec 横向移动检测（T1021.002）、大文件外传检测（T1041/T1560）、PowerShell 隐蔽执行检测（T1059.001），可直接部署至 Splunk 或 Microsoft Sentinel。

供应商安全审计评分卡（总分 100 分）：身份与远程访问安全 30 分（一票否决：MFA 未强制开启）、客户数据隔离安全 30 分（一票否决：数据混存）、内网与勒索防护 20 分（一票否决：无网络安全域隔离）、应急与持续管控 20 分（一票否决：逾期未上报或违规转包）。

06

PART

IOC 清单（基于公开情报）

INDICATORS OF COMPROMISE

6.1 已知 World Leaks 基础设施

类型

标识

来源

暗网泄露站

worldleaksartrjm3c6vasllvgacbi5u3mgzkluehrzhk2jz4taufuid.onion

[18]

通讯协议

TOR + SOCKSv5 代理

[15]

赎金字样

仅接受 BTC 或 XMR，不接受议价

[18]

恶意软件

OVERSTEP Rootkit（针对 SonicWall SMA 100）

[14]

关联团伙

Hunters International（前身）、Hive（前前身）、Secp0（合作）

[14][15][16]

6.2 已知利用的边界设备版本

设备/软件

易受攻击版本

来源

SonicWall SMA 100

所有版本（EOL 设备尤其）

[14]

Fortinet FortiOS

7.0.x 及更早版本

[14]

Apache HTTP Server

未修补 CVE-2024-38475 版本

[14]

07

PART

总结与行动路线图

SUMMARY & ROADMAP

教训一：公开攻击面管理缺失是最致命的短板

没有 0day，没有高级漏洞。仅仅因为 RDP 端口对公网开放 + 弱密码 + 无 MFA + 无网络分段 + 无 DLP 监控，五个基础安全失误叠加造成苹果史上最严重的供应链数据泄露。

教训二：不加密、只勒索是当前最危险的攻击趋势

World Leaks 代表的新一代勒索团伙彻底放弃加密，传统基于勒索软件特征的防御完全失效。防御方必须转向数据防泄露（DLP）和异常流量检测。

教训三：供应链安全不是供应商自己的事

一个一级供应商的失守，万亿市值公司的核心知识产权面临不可逆的损失。客户必须做到穿透式审计——现场抽测 MFA 开启率、实地检查存储隔离、主动扫描公网暴露面。

防御行动优先级：第 1 周 P0 紧急——公网攻击面排查、全域 MFA 部署、网络分段与数据隔离。第 2-4 周 P1——DLP 部署、供应商现场审计、合同安全条款更新、事件响应计划更新。第 1-3 个月 P2——零信任架构落地、供应链安全常态化监控、年度红蓝对抗演练、安全水印与溯源机制部署。

CLOSING

攻击者不需要零日漏洞，只需要你犯五个基础错误。而最危险的，是犯了错误却没人告诉你。

08

PART

信息来源与参考链接

REFERENCES

编号

来源

标题

发布日期

[1]

环球网/新浪财经

财经观察:”果链”泄密事件暴露”印度制造”哪些短板

2026-07-13

[2]

新华社

印度政府:正调查苹果手机信息泄露事件

2026-07-04

[3]

环球网科技

苹果印度核心供应商遭网络攻击,iPhone 18 Pro 机密文件现身暗网

2026-06-30

[4]

安全 zone

塔塔电子数据泄露,苹果和特斯拉机密供应链信息遭暴露

2026-06

[5]

IT之家

苹果代工厂塔塔电子被黑,iPhone 18 Pro 与 A20 Pro 资料确认泄露

2026-06-25

[6]

证券时报

苹果大量机密文件遭泄露,iPhone 18 Pro 实拍图流入暗网

2026-06-29

[7]

安全内参

印度代工巨头塔塔电子超 630GB 数据泄露:涉特斯拉、苹果

2026-06-24

[8]

TechTimes

iPhone 18 Pro Leak: India Opens Criminal Probe

2026-07-05

[9]

新浪财经深度

苹果史上最严重供应链泄露事件始末:630GB 机密文件如何被”顺手摘走”

2026-07-07

[10]

六方云

印度塔塔电子遭 World Leaks 勒索软件组织攻击事件分析报告

2026-06-30

[11]

CSDN

供应链安全审计实战教程:第三方风险管理 SOP 与检测清单

2026-07

[12]

网易

印度苹果代工厂遭遇网络泄密事故,国内制造厂商如何筑牢数据安全

2026-07

[13]

Dev.to

Tata Electronics Breach: Supply Chain RCE & Data Exfiltration TTPs

2026-06

[14]

BlackPoint Cyber

World Leaks Threat Profile (PDF)

2025-12

[15]

Halcyon

World Leaks Threat Group

2025-10

[16]

CN-SEC

Hunters International 重塑品牌为 World Leaks

2025-07

[17]

Cybercory

Ransomware Gang Hunters International Shuts Down

2025-07-08

[18]

RansomLook

Worldleaks 暗网泄露站监控

持续更新

[19]

Foley

加强供应链网络安全的 5 大策略

2026-06

[20]

Shields Stream

Supply Chain Attacks: Mitigating 7 Key Emerging Risks

2026

我是 Torjan，如：热衷于网络安全和项目管理分享

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见

赞

在看

收藏

THANKS FOR READING

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：SecNewsAI攻防 Torjan Torjan《塔塔电子数据泄露事件分析报告》