2026-10-22 14:03:16 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

密码 · 123456 撬走了 · 880 万人的身份库

原创

咸鱼翻身日记
咸鱼翻身日记

企业安全指南

2026年10月18日 17:14
浙江

去阅读

数据安全周刊 2026.10.16

密码 · 123456 撬走了 · 880 万人的身份库

过去一周数据安全重大事件复盘（2026.10.09 至 10.16）

DOODLE

没有零日漏洞，也没有免杀——撬开国家身份库的，是一家两人的公司和三个弱口令

数据安全事件复盘

EDITOR'S NOTE

2026 年第 1 周

过去一周，数据安全领域的新闻密度高得反常。丹麦的国家人口登记库被拖走了约 880 万条记录；美国一起医疗数据泄露的总人数被刷新到近 2000 万；日本零售、餐饮、汽车的会员数据一茬接一茬地往外漏；一家云服务商被勒索，495 家企业跟着一起断线。但如果把这些事件摊开来看，会发现一件更让人不安的事：它们几乎没有一件是靠高深技术打进去的。

PART

880 万丹麦人：一把“合法钥匙”和三个 123456

DENMARK · CPR REGISTER

丹麦中央人口登记系统（CPR）是丹麦公共服务体系的地基：姓名、住址，以及那个10 位数的 CPR 号码——就医、办税、开户、身份核验，全都靠它。10 月 5 日，丹麦官方公开通报：有未授权方滥用一家丹麦企业的合法查询权限，访问了约 880 万条登记记录，约占 CPR 系统 1100 万条记录的八成。需要说明的是，CPR 里还登记着已移居国外者与已故者，所以 880 万不等于 880 万名现居丹麦的居民（丹麦总人口约 590 万）。

—— 一把合法钥匙，打开的可能是整个国家的身份库

随后一周，丹麦媒体《政治报》挖出的细节才是真正扎心的部分：

涉事公司 Pays ApS 位于欧登塞，只有两名雇员，却持有查询 CPR 的合法权限
至少三个账号的密码是“123456”，其中一个是管理员账号
一名匿名者向媒体声称，自己是拿一名前员工的密码进来的
据丹麦 TV 2 获得的文件，系统在约 10 天内出现了约 1400 万次自动查询；而这批异常访问直到一张异常高昂的账单引起管理人员注意，才被发现

官方尚未公开确认密码细节与具体入侵路径，上述部分信息来自媒体报道与匿名者自述。但不管最终调查结论如何，一个事实已经成立：攻击者全程用的是“合法权限”，走的也是“正常通道”。传统入侵会留下痕迹——异常外联、陌生进程、恶意样本。而一个拿着合法账号、在权限范围内批量取数的脚本，每一单次操作看上去都“合规”。

当查询权限下放给成百上千家小企业时，整体安全水位就取决于最弱的那一家。 权限越分散，越需要统一的安全基线兜底——密码强度、查询配额、异常行为告警，一个都不能只写进合同里。

PART

2000 万美国患者：被遗忘的那两台旧服务器

USA · ORACLE HEALTH

如果说丹麦事件是“权限失控”，美国这起就是“历史遗留”。10 月 2 日，德克萨斯州总检察长办公室披露：Oracle Health（原 Cerner）在 2025 年遭遇的入侵，可能影响近 2000 万人，其中约 300 万是德州居民。这个数字远远超过此前公开的任何一次统计——2025 年 8 月时，公开确认的受影响人数还只有约 1.4 万人。CNET、彭博社在 10 月 6 日前后跟进报道。

2025 年 1 月 22 日之后：攻击者用窃取的客户凭据登录了尚未迁移到 Oracle Cloud 的遗留 Cerner 服务器
2025 年 2 月 20 日：Oracle 发现异常，启动调查并联系联邦执法部门
2025 年 3 月：首次对外通报，部分医院收到勒索要求，媒体随后报道 FBI 介入
2026 年 10 月 2 日：德州总检察长披露近 2000 万人的规模

Oracle 的说法是：受影响的是两台已淘汰的旧服务器，Oracle Cloud Infrastructure 与客户云环境并未被攻破。至少 29 家医疗系统已公开承认受影响，外界估计最多可能涉及 80 家。泄露的数据包括姓名、社会保障号、病历号、主治医生姓名、诊断信息、处方与用药明细、检验结果，乃至医学影像。

—— 等着迁移的旧系统，往往是最没人管的系统

攻击用的是有效凭据，不是漏洞。 账号是真的，登录是合法的，所以没有爆破告警，也没有漏洞特征可查。一个账号，就够。

“等着迁移”的系统，往往是最没人管的系统。 收购完成、云迁移排期已定，那两台旧服务器就进入了一种尴尬状态：业务上还在跑，心理上已经“退休”。结果它们先被打穿了。迁移计划不是免检牌，而是风险敞口的计时器。

PART

495 家企业一起陪葬：云厂商也会倒下

JAPAN · IDC FRONTIER

10 月 7 日，软银旗下 IDC Frontier 披露：IDCF Cloud 遭到勒索软件攻击。处置动作不小——公司关停了东日本 Region 1 的数据中心集群，并禁用了所有区域的管理控制台访问权限。受影响的是约 495 家企业和地方政府。截至目前，IDC Frontier 尚未公布入侵途径。流传的一则客户侧消息称攻击者“7 分钟内进入基础设施、删除了数十万份快照”——这个说法尚未得到独立证实。

你的云厂商出事，就是你在出事。 很多企业的备份就放在同一家云、同一个区域的另一个可用区，甚至同一个账号下。控制台被封、快照被删的那一刻，这些“备份”和主数据一起消失。灾备方案的价值不在“有没有”，而在“多久能跑起来”。

PART

86,000 台防火墙的账号正在流通

FORTIBLEED · PATCH LIST

本周还有一条没有“爆发点”、但一直在扩大的消息。FortiBleed——针对暴露在互联网上的 Fortinet 防火墙与 VPN 的凭据窃取活动——研究机构 SOCRadar 把受影响设备数从 3 万台上调至86,000 台以上、横跨 194 个国家。研究员 Kevin Beaumont 估计，这批数据大约覆盖了互联网暴露面上一半的 Fortinet 防火墙。FBI 与特勤局已就此发出警告。

—— 保护网络的那台设备，自己成了最值得攻击的目标

手法并不新鲜：自动化脚本 + 撞库 + 从旧泄露里拿来从未轮换过的密码。但拿到防火墙权限之后的事情很严重——保护网络的那台设备，自己成了最值得攻击的目标。已有报告称这些访问权被转卖给 INC、Lynx 等勒索团伙。

组件

编号 / 严重度

处置状态

Cisco SD-WAN Manager

CVE-2026-76504 CVSS 9.8

暂无补丁，先做访问控制

Atlassian 自管产品

CVE-2026-21589 CVSS 9.3

已发布补丁

Veeam Backup 12

CVE-2025-64393 CVSS 9.4

已发布更新

Citrix NetScaler

CVE-2026-88779 在野利用

已发布更新

CISA 给受影响组织的建议很朴素，但每一条都该今天就做：结束所有活动会话并重置凭据、启用抗钓鱼的 MFA、审查登录日志、限制管理界面从互联网可达。

PART

国内：执法已经查到“接口层”

CHINA · ENFORCEMENT

国内这一周没有出现量级惊人的泄露事件，但监管的落点在往下沉。10 月 15 日，深圳网信部门通报了4 起个人信息保护执法案例，四家企业的违法行为分别是：

未采取防范网络攻击的技术措施，且未履行法定程序出境个人信息
信息系统接口存在泄露风险，系统存在任意文件读取漏洞，未按规定留存网络日志
接口存在泄露风险，MySQL 数据库未做去标识化、加密和备份
内部管理制度虚置，存在未授权访问漏洞，网络日志留存不完整

四家均被责令改正并警告。注意这些措辞：接口、任意文件读取、未授权访问、数据库未加密、日志留存不完整。这不是在查隐私政策有没有写清楚，而是在查代码和系统配置。合规检查的颗粒度，已经从“制度文本”下沉到了“接口层”。同期，工信部通报了 17 款存在侵害用户权益行为的 APP 及 SDK；82 款违法违规移动应用名单也在本周被媒体集中转载，医疗、出行、金融理财类小程序占比突出。

PART

AI 这一周：攻防两边都在换武器

AI · THREAT LANDSCAPE

攻击方这边，本周有三条动向值得记下：

对韩国金融机构的攻击被溯源到名为 ARTEX 的工具包，外泄目录中出现了 Claude Code 的会话历史与中文提示词。韩国金融委员会 10 月 14 日通报：共 16 家金融机构遭利用 AI 的攻击，约 10 万条个人信息泄露
出现同时针对员工和AI 邮件助手的钓鱼活动：恶意邮件把传统话术和藏在 HTML 注释、隐藏文本里的提示注入捆在一起
Check Point 数据显示，2026 年 9 月全球网络攻击同比+48%，勒索 +53%；同时每 39 条企业 GenAI 提示中，就有 1 条存在敏感数据高暴露风险

防守方这边，行业共识正在收敛到一个点上：AI Agent 应该被视为“一级身份”。给它们独立的、可验证的身份，短时效凭据，最小权限，能随时一键停掉。一句话概括这一周：攻击者已经开始用 Agent 干活，而很多企业的 Agent 还没有“工牌”。

PART

这一周留下的三句话

THREE TAKEAWAYS

入口比边界重要

丹麦的合法查询权限、Oracle 的遗留服务器凭据、Fortinet 的泄露密码——三起事件，三种入口，共同点是“门是开的”。真正决定安全水位的，往往不是墙有多高，而是谁手上有钥匙、钥匙多久换一次。

“合法”不等于“正常”

只校验权限、不校验行为的系统，挡不住一个拿着合法账号的批量取数脚本。行为基线、查询配额、批量导出审批，这些看起来“不够技术”的措施，恰恰是这一周最缺的东西。

把恢复能力当成一等公民

云厂商会倒，旧系统会留，凭据会泄露。与其假设不被打进来，不如假设一定会被打进来——然后把“多久能恢复、恢复后数据完不完整”当成可度量的指标去演练。

CLOSING

技术没有变得更强，是入口变得更软了。防线要跟着数据和权限走，而不是跟着网络边界走。