2017年，关于Equifax的数据数据库被攻破，1.43亿美国人的泄露姓名、社保号、关于出生日期被拖走。数据那是泄露我第一次意识到，数据泄露不是关于科幻电影里的桥段，而是数据随时可能砸到自己头上的砖头。事后调查发现，泄露漏洞出在一个早已公开的关于Apache Struts框架缺陷上——官方补丁在3月就发布了，Equifax的数据IT部门拖到7月才修补。四个月，泄露足够黑客把数据库翻个底朝天。关于

这案子最讽刺的数据地方在于，Equifax本身就是泄露做信用评估的，手里握着全美最敏感的个人金融数据。它们靠收集信息赚钱，却连自家系统的基本卫生都没做好。事后CEO Richard Smith引咎辞职，但1.43亿人的信息已经像泼出去的水，收不回来了。我有个朋友当时正好在申请房贷，他说那段时间每隔几天就收到一封“您的信用报告可能受影响”的邮件，搞得他连信用卡都不敢刷。

数据泄露的套路其实很老套，但每次总有人中招。2018年万豪酒店泄露5亿客户数据，原因是它收购的喜达屋集团预订系统被入侵了整整四年。四年啊，黑客像住在系统里的幽灵，每天看着全球旅客的护照号码、信用卡信息进进出出。万豪直到2018年才在内部安全审计中发现异常，还是因为一个第三方工具报错才顺藤摸瓜摸出来的。你说这些大公司缺钱吗？缺技术吗？都不是，缺的是把安全当回事的态度。

更让我觉得荒谬的是，有些泄露根本不用黑客出手。2019年，某云服务商的存储桶配置错误，导致数百万条医疗记录在公网上裸奔，任何人都能用浏览器直接下载。没有暴力破解，没有钓鱼邮件，纯粹是管理员点错了权限设置。那个存储桶的名字还挺好记，我至今记得——因为它在安全圈被当成了反面教材的标本。

数据泄露的后果从来不是“改个密码”就能了结的。2015年，美国人事管理办公室（OPM）泄露了约2200万人的背景调查信息，包括指纹和部分人的安全审查档案。那些人是联邦雇员、军事情报人员，他们的身份信息落到了外国情报机构手里，意味着以后他们出国、交友、甚至在网上发言，都可能被盯上。这种伤害是隐形的，但比银行卡被盗刷严重得多。

说实话，我见过太多公司把数据安全当成合规问题，而不是生存问题。他们花钱买安全设备，请人做渗透测试，只是为了应付审计报告。可真正的安全不是买来的，是日常习惯堆出来的——及时打补丁、限制内部权限、对异常访问保持敏感。Equifax的教训摆在那儿，补丁不及时打，再贵的防火墙也挡不住内部懒散。

数据泄露这件事，说到底就是一场猫鼠游戏，但老鼠往往不是技术高手，而是那些对风险视而不见的管理者。黑客只需要找到一个漏洞，而防守方得堵住所有洞口。这活儿不性感，也不容易出成绩，但一旦出了事，代价就是几亿人的信任崩塌。下次你收到“您的数据可能受影响”的通知时，不妨想想，这背后大概率不是一次高明的攻击，而是一次普通的疏忽——只不过疏忽的代价，得由所有人一起扛。