匈牙利政府近日以慘痛的教訓(xùn)發(fā)現(xiàn)，國(guó)家安全最大的威脅，或許正是本國(guó)官員自己選擇的密碼。

調(diào)查機(jī)構(gòu)Bellingcat的一項(xiàng)調(diào)查揭露，近800組匈牙利政府電子郵件與密碼配對(duì)信息已在各類(lèi)數(shù)據(jù)泄露轉(zhuǎn)儲(chǔ)文件中廣泛流傳，涉及幾乎所有主要政府部門(mén)，從國(guó)防部、外交部到財(cái)政部，無(wú)一幸免。

這次事件看起來(lái)并非有人強(qiáng)行入侵，而更像是官員們自己把門(mén)敞開(kāi)了。弱密碼、在不該重復(fù)使用的地方反復(fù)使用，最終流落到它們注定會(huì)去的地方。

國(guó)防部的數(shù)據(jù)尤為值得關(guān)注。Bellingcat統(tǒng)計(jì)，與國(guó)防部員工相關(guān)的泄露記錄約有120條，其中包括2023年北約電子學(xué)習(xí)平臺(tái)遭遇數(shù)據(jù)泄露后波及的電子郵件、密碼和電話號(hào)碼。大部分泄露集中爆發(fā)于2021年，但相關(guān)數(shù)據(jù)一直持續(xù)出現(xiàn)至2026年，部分信息竊取日志顯示，其中一些計(jì)算機(jī)可能確實(shí)遭到了主動(dòng)感染，而非僅僅是被舊有泄露事件牽連。

再來(lái)看那些密碼。一位任職于"信息安全"崗位的上校，使用"FrankLampard"（英格蘭前足球運(yùn)動(dòng)員弗蘭克·蘭帕德的名字）作為密碼，似乎認(rèn)為一位退役球星完全可以勝任守護(hù)國(guó)家機(jī)密的重任。某區(qū)級(jí)主管的密碼是"123456aA"，而另一位與匈牙利北約代表團(tuán)相關(guān)的高級(jí)官員，密碼的含義翻譯成中文就是"可愛(ài)"。

類(lèi)似情況還不止于此。一位準(zhǔn)將用基于自己姓名的簡(jiǎn)短昵稱(chēng)注冊(cè)了一個(gè)電影節(jié)賬號(hào)。其他案例中，則充斥著姓名、簡(jiǎn)單數(shù)字組合，以及那些看起來(lái)只設(shè)置過(guò)一次、此后從未更改過(guò)的密碼。

報(bào)告中還專(zhuān)門(mén)提到一個(gè)例子——"linkedinlinkedin"這個(gè)密碼，似乎是在領(lǐng)英（LinkedIn）早年數(shù)據(jù)泄露事件中被波及，之后卻依然繼續(xù)沿用，若說(shuō)這至少體現(xiàn)了一種"一以貫之"的精神，倒也不假。

調(diào)查分析顯示，官員們習(xí)慣使用政府郵箱地址注冊(cè)各類(lèi)第三方服務(wù)，并在這些服務(wù)上重復(fù)使用相同密碼。一旦這些第三方平臺(tái)遭遇數(shù)據(jù)泄露，相關(guān)憑證便會(huì)流入慣常的數(shù)據(jù)交易渠道。

Bellingcat還發(fā)現(xiàn)了與數(shù)十臺(tái)設(shè)備相關(guān)聯(lián)的信息竊取程序日志，部分日志的時(shí)間甚至距今不到一個(gè)月。這表明，此次事件并非僅僅是陳年舊泄露數(shù)據(jù)在市面上流轉(zhuǎn)，至少有部分設(shè)備可能正在遭受更為主動(dòng)的滲透攻擊。

此次事件對(duì)匈牙利政府發(fā)出了嚴(yán)峻警示。當(dāng)與核心政府職能相關(guān)的賬號(hào)憑證，和普通人被泄露的購(gòu)物賬號(hào)、社交媒體密碼混雜在同一個(gè)泄露數(shù)據(jù)集里時(shí)，外界不禁要對(duì)相關(guān)機(jī)構(gòu)究竟有多認(rèn)真地對(duì)待基本網(wǎng)絡(luò)安全規(guī)范產(chǎn)生疑問(wèn)。

這一切的發(fā)生，并不需要什么高超的黑客技術(shù)或零日漏洞，只需幾個(gè)糟糕的密碼、一些隨意的重復(fù)使用，再加上互聯(lián)網(wǎng)最擅長(zhǎng)的那件事：把一切都記住。

Q&A

Q1：Bellingcat是如何發(fā)現(xiàn)匈牙利政府賬號(hào)泄露的？

A：Bellingcat通過(guò)分析在互聯(lián)網(wǎng)上流傳的數(shù)據(jù)泄露轉(zhuǎn)儲(chǔ)文件，發(fā)現(xiàn)了近800組匈牙利政府電子郵件與密碼配對(duì)信息。這些數(shù)據(jù)涉及幾乎所有主要政府部門(mén)，包括國(guó)防部、外交部和財(cái)政部。調(diào)查還發(fā)現(xiàn)了與數(shù)十臺(tái)設(shè)備相關(guān)的信息竊取程序日志，部分日志時(shí)間甚至距今不超過(guò)一個(gè)月，說(shuō)明問(wèn)題并非僅來(lái)自歷史舊數(shù)據(jù)。

Q2：匈牙利國(guó)防部的密碼泄露具體有多嚴(yán)重？

A：根據(jù)Bellingcat的調(diào)查，與匈牙利國(guó)防部員工相關(guān)的泄露記錄約有120條，涉及電子郵件、密碼和電話號(hào)碼。其中包括2023年北約電子學(xué)習(xí)平臺(tái)數(shù)據(jù)泄露事件的波及影響。泄露高峰集中在2021年，但相關(guān)數(shù)據(jù)持續(xù)出現(xiàn)至2026年。部分信息竊取日志還顯示，某些設(shè)備可能遭到了主動(dòng)感染，而不僅僅是受歷史舊泄露事件牽連。

Q3：官員為什么會(huì)導(dǎo)致政府賬號(hào)密碼外泄？

A：主要原因有兩點(diǎn)：一是使用極弱的密碼，例如"FrankLampard""123456aA"或意為"可愛(ài)"的單詞，極易被破解；二是用政府郵箱注冊(cè)第三方平臺(tái)（如領(lǐng)英等），并在多個(gè)平臺(tái)上重復(fù)使用相同密碼。一旦這些第三方平臺(tái)遭遇數(shù)據(jù)泄露，政府賬號(hào)的憑證也隨之暴露，最終流入數(shù)據(jù)交易渠道。