一个自称“ChimeraZ”的威胁行为者据称泄露了一个与 Portalia 相关的 2.8 GB 数据库，Portalia 是一家法国伞形雇佣公司。据报道，这些文件包含超过 22,000 份薪资文件和个人记录。Portalia 数据泄露薪资记录事件提醒我们，一个雇佣中介机构内部储存着多少敏感信息，以及当这些信息外泄时法国劳动者拥有哪些权利。

以下细节来自初步报道。Portalia 自身对该事件的说明、其原因和完整范围尚未在我们可获得的材料中得到证实，因此请将这些数字视为报道中的主张，而非已确认的结论。

ChimeraZ 从 Portalia 泄露了什么

据报道，此次泄露的是一个由使用 ChimeraZ 名称的威胁行为者发布的 2.8 GB 数据库。该数据集被描述为包含超过 22,000 份属于 Portalia 的薪资文件和个人记录，Portalia 是一家伞形雇佣公司。

伞形雇佣公司（在法国通常称为 portage salarial 公司）充当独立专业人士和顾问的正式雇主。它们处理合同、发票、薪资和社会分摊金。这一角色意味着它们通常持有大多数雇主只能看到一部分的文件：身份信息、银行信息、税务标识和薪资历史。

报道并未给出逐字段的完整清单，我们也不会去猜测。可以确定的是，这类薪资和个人记录通常处于劳动者财务身份的核心位置，这就是为什么即使每个细节尚未确认，此次泄露也值得关注。

为什么薪资数据对欺诈者如此有价值

一张工资单可能包含数量惊人的信息。根据文件不同，它可能显示全名、地址、雇主、收入、社会保障信息和银行账户信息。这些信息加在一起，为欺诈者提供了构建可信骗局的素材。

风险可分为几个实际类别：

  • 定向网络钓鱼： 知道你的雇主、收入和合同历史的人可以写出一封看起来合法的信息，例如来自税务局或伞形公司本身的虚假通知。
  • 身份欺诈： 税务标识和个人信息可以支持以你的名义开设账户或申请信贷的尝试。
  • 银行欺诈： 仅凭银行信息通常无法直接盗取资金，但它们有助于犯罪分子冒充银行或设置未经授权的直接扣款。
  • 长期有效： 与密码不同，你的薪资历史和身份信息无法重置。泄露的薪资数据可能被反复利用多年。

这也是为什么中介机构的泄露事件影响巨大。招聘和雇佣平台集中了大量人员的数据，这种模式在未受保护的数据库暴露了与超过 500 万条职位列表相关的招聘数据时也曾出现。

GDPR 与 CNIL：Portalia 对受影响劳动者的义务

由于 Portalia 在法国运营，欧盟《通用数据保护条例》适用，CNIL（法国国家信息与自由委员会）作为国家数据保护机构。根据 GDPR，遭遇个人数据泄露的组织通常必须毫不拖延地通知监管机构，并在可能的情况下于知悉后 72 小时内完成。如果泄露可能导致对个人造成高风险，还必须直接告知这些个人。

受影响的人还拥有可以行使的权利：

  • 访问权： 你可以要求 Portalia 确认是否持有你的数据并提供副本。
  • 知情权： 你可以询问发生了什么、涉及哪些数据以及公司正在采取什么措施。
  • 删除权和限制处理权： 在适用的情况下，你可以要求删除或限制处理不再需要的数据。
  • 投诉权： 如果你认为你的数据未得到妥善保护或回应不充分，可以向 CNIL 提出投诉。

Portalia 是否已通知 CNIL 或个人尚未在我们查阅的报道中得到确认。劳动者不应等到收到信件才采取行动。

这对你意味着什么

如果你曾在 Portalia 工作过，或以自由职业者或顾问身份与其签订过合同，在听到其他消息之前，应假设你的记录可能在泄露范围内。如果你与该公司没有关联，这则报道仍然是检查有多少组织持有你的薪资数据的有用参考。

法国近期经历了大量事件。暗网监控数据记录了两年内法国超过 1.45 亿次数据暴露，政府系统也未能幸免，正如影响 1200 万个账户的 ANTS 泄露事件所显示的。来自多次泄露的数据可以被整合，因此薪资泄露可能使此前的暴露更加危险。

受影响员工现在可以采取的步骤

  1. 以书面形式联系 Portalia。 提交 GDPR 访问请求，询问你的记录是否涉及其中、哪些字段被暴露以及提供了哪些保护措施。
  2. 关注你的银行账户。 检查对账单中是否有不熟悉的扣款，并考虑向银行咨询额外的监控措施。
  3. 设置欺诈警报。 使用银行提供的警报工具，以及在可用情况下的信用或身份监控服务。
  4. 对信息保持怀疑。 将关于薪资、税务或合同的意外电子邮件、短信或电话视为可疑。直接访问官方网站，而不是点击链接。
  5. 保护你的账户。 对电子邮件、银行和税务账户使用唯一密码和双重身份验证，因为电子邮件访问权限让欺诈者可以重置其他登录凭证。
  6. 考虑向 CNIL 投诉。 如果你未收到充分回应，可以升级处理。

底线

Portalia 数据泄露薪资记录事件，如果报道的数字属实，表明一个雇佣中介机构如何成为数千名劳动者的单点故障。检查你是否受到影响，发送你的 GDPR 访问请求，并今天就开启欺诈警报。如需了解这些事件之间关联的更广泛背景，请阅读我们对法国数据暴露趋势和 ANTS 泄露事件的报道。