新斯科舍省电力公司遭黑客攻击：一次点击致91.5万名客户信息曝光
2025年4月，新斯科舍省电力公司的一名员工点击了一个恶意弹窗。就是这短短一瞬间，根据加拿大隐私专员的调查结果，约91.5万名现任及前任客户的个人数据因此遭到泄露。此次事件是一个深刻的警示：即便是大型关键基础设施提供商，也无法对社会工程学攻击免疫；而你的个人数据，只与掌握它的机构中最薄弱的一环一样安全。
哪些数据遭到泄露
此次数据泄露事件波及的信息范围相当广泛。受影响的客户可能有以下数据遭到曝光：
- 全名
- 电话号码
- 电子邮件地址
- 邮寄地址
- 出生日期
- 客户账户历史记录，包括付款记录、账单历史和信用记录
- 银行账号
- 驾驶证号码
- 社会保险号码（SIN）
这绝非轻微的数据泄露。银行账号、社会保险号码和驾驶证号码的组合，几乎为不法分子实施身份欺诈或以他人名义开设虚假账户提供了所需的一切条件。令人深思的是，这些数据竟存储在一家公用事业公司的系统中——而大多数人与这类公司打交道，不过是为了维持正常的日常用电。这再次表明，我们的敏感信息已广泛分散于各类我们平时几乎不会多加留意的机构之中。
一个弹窗如何攻破电力公司的防线
此次攻击所使用的手段，并非来自国家级黑客组织部署的复杂恶意软件，而是一个恶意弹窗——这种东西，大多数人在网页浏览时都曾见过。一名员工点击了它，仅此而已，便足以为攻击者打开进入新斯科舍省电力公司系统的大门。
这是最基本形式的社会工程学攻击。攻击者并非每次都需要突破防火墙或绕过加密机制。通常，最便捷的路径恰恰是人这个变量。一个逼真的弹窗、一个伪造的登录提示，或一封精心制作的钓鱼邮件，能在瞬间绕过层层技术安全防护。
大型机构在边界安全上投入巨资，但用户行为依然是最难以管控的变量之一。无论预算多少、专业水平多高，任何IT部门都无法保证每一位员工在每一次面对威胁时都能做出正确判断。这并非对新斯科舍省电力公司员工的批评，而是此类攻击运作方式的客观现实。这些攻击本就是为了以假乱真而设计的，专门利用人们短暂放松警惕的那一刻。
这对你意味着什么
如果你是新斯科舍省电力公司的现任或前任客户，请认真对待以下建议：
密切监控你的账户。 检查银行对账单和信用报告，留意任何异常活动。在加拿大，你可以向Equifax和TransUnion申请免费信用报告。
警惕钓鱼攻击。 由于你的电子邮件地址、姓名和账户历史可能已落入攻击者手中，你或许会成为高度个性化钓鱼邮件的目标。对任何要求你点击链接或提供信息的消息保持怀疑，即使其看似来自可信来源。
在所有可用的地方启用多因素认证（MFA）。 MFA为你的账户增加了第二层验证，即便攻击者获取了你的密码，也将大大增加其入侵账户的难度。
考虑申请信用冻结。 如果你担心身份欺诈，可向加拿大信用机构申请信用冻结，在未经你明确授权的情况下，阻止他人以你的名义开设新账户。
今后践行数据最小化原则。 仔细考量你向任何服务分享的个人信息，只提供严格必要的内容。
此外，有一个更宏观的层面值得我们思考：你无法控制每一家机构如何存储或保护你的数据。公用事业公司、保险公司、零售商和医疗机构，都掌握着你个人信息的一部分。其中任何一家发生数据泄露，后果最终都会落到你身上。这正是为什么建立多层次的个人隐私保护至关重要——这并不能阻止某家公司被攻击，但减少你的整体信息暴露，可以在数据泄露发生时将损害降到最低。
认真对待你自己的隐私安全
新斯科舍省电力公司的数据泄露事件，是一个审视自身数字习惯的好时机。使用hide.me这样的VPN，可以加密你的网络流量并隐藏你的IP地址，有助于保护你的网络活动不被监视或拦截——尤其是在公共或不安全的网络环境中，恶意弹窗和钓鱼跳转更为常见。VPN无法阻止公用事业公司遭受黑客攻击，但它是更广泛隐私保护策略中切实可行的一环。
将VPN与每个账户专属的强密码、尽可能开启的多因素认证，以及对不明消息保持健康的警惕心相结合，你便能在很大程度上抵御此类数据泄露所带来的下游风险。
企业将持续成为攻击目标。员工有时也难免点错。问题在于，当这一切发生时，你是否已做好充分准备。
