FBI表示正在处理一起涉及员工敏感数据的大规模数据泄露事件，并誓言追查其认为应负责的黑客。FBI数据泄露ShinyHunters声称已引发广泛报道，但有必要将FBI所说的话与涉嫌攻击者所说的话区分开来。本文将对此进行梳理，然后探讨该事件对集中式数据库的启示，以及VPN能为你做什么、不能为你做什么。

FBI目前确认了什么

据NPR报道，FBI表示正在处理一起大规模数据泄露事件，并致力于追查其认为应对此负责的黑客。NPR的摘要没有详细说明入侵是如何发生的、有多少人受到影响，或攻击者是谁。

其他媒体补充了部分情况，不过其中很多内容来自声称的攻击者，而非FBI。Politico报道称，FBI表示正在调查一起疑似黑客攻击，此前一个名为ShinyHunters的网络犯罪团伙声称已入侵其系统。路透社报道称，样本数据似乎包括FBI员工的姓名、地址和工作任务。路透社随后报道了该团伙声称窃取了FBI工作人员的精神科和医疗记录。《The Register》报道称，该团伙声称窃取了超过2 TB的员工数据。

这些都是声称，而我们审阅过的公开报道并未独立核实其规模或内容。在FBI另行说明之前，应将具体数字和数据类别视为未经证实。

ShinyHunters是谁，以及他们如何运作

路透社将ShinyHunters描述为一个臭名昭著的黑客团伙。《The Register》报道称，该团伙表示此次攻击并非出于经济动机，而是希望联邦调查局以某种方式作出回应。一位发言人还对该媒体表示：“这是一场游戏，这就是我们生活的世界。”

这种表述很重要。针对执法机构自身员工的入侵，与典型的勒索驱动事件相比，风险性质不同。当公开宣称的目标是施压或羞辱，而非获取赎金时，被盗数据可能会被公开或用于针对个人，而没有任何谈判窗口。再次强调，这些都是该团伙自己的说法，属于二手报道，应谨慎看待。

据BBC报道，英国国家网络安全中心前负责人Ciaran Martin教授对BBC表示，如果得到证实，这一声称“严重到了极点”。

为什么集中式数据库仍是攻击目标

更广泛的教训并不取决于最终归咎于谁。组织将敏感记录集中存储在少数系统中，因为这样效率高：人事档案、地址、工作任务、医疗信息。这种效率也创造了一个单一的“大奖”。一次成功的入侵可以同时暴露数千人，而这些人对系统的防御程度没有任何发言权。

对于敏感机构的员工来说，担忧不仅仅是身份盗用。姓名与地址和工作任务配对，可能助长骚扰、网络钓鱼或社会工程攻击。这就是为什么此类泄露被视为不仅仅是一起普通的隐私事件。

联邦机构一直在就其他地方的大规模攻击发出类似警告。我们对影响超过500个组织的Medusa勒索软件最新情况的报道显示，FBI、CISA和HHS一直在敦促组织认真对待此类威胁。美国、英国和荷兰机构关于伊朗Telegram控制的间谍软件的另一份联合警告提醒人们，针对个人的定向监控是一个并行的担忧。

泄露发生后，VPN能保护什么、不能保护什么

VPN会加密你的设备与VPN服务器之间的互联网流量，并向你访问的网站隐藏你的IP地址。这在公共Wi-Fi上很有用，也能限制你的互联网服务提供商所能看到的内容。

VPN无法做到的是撤销他人所持有数据库的泄露。如果你的数据存储在某个组织的服务器上，而这些服务器已被攻破，那么你的连接方式无关紧要。VPN也无法阻止网络钓鱼邮件、防止他人利用泄露信息冒充你，或在密码被重复使用时保护你的账户。

这对你意味着什么

大多数读者并非FBI员工，因此你与此事件的直接关联可能很低。但实际启示仍然适用。每一个持有你数据的组织都可能发生泄露，而你只能控制自己这一侧的部分：你的凭据有多强、你对意外信息有多警惕，以及你交出了多少个人信息。

如果你是现任或前任联邦雇员或承包商，请关注你所在机构的官方通信以获取指引，并对任何联系你、声称与调查有关的人保持警惕。

可操作的建议

  • 使用密码管理器，并为每个账户设置唯一密码。
  • 开启多因素认证，最好使用身份验证器应用或硬件密钥。
  • 对提及个人细节的未经请求的电子邮件、电话或短信保持怀疑；攻击者会利用泄露信息让自己显得可信。
  • 少分享：限制向不需要这些信息的服务提供个人信息。
  • 将VPN用于它擅长的事情，例如在不信任的网络上保护流量，但不要把它当作防泄露的保护措施。
  • 在根据流传的关于此事件的数字采取行动之前，等待官方确认。

FBI数据泄露ShinyHunters声称仍在发展中，随着调查继续，细节可能会变化。现在就审视你自己的暴露情况和安全习惯，不要等到下一条头条让它变得紧迫。