安全事故与漏洞
Capital One、Equifax、Log4Shell、Heartbleed、XZ——把公开披露的入侵与漏洞拆解为成因、影响、初步应对与防范，提炼出至今仍然适用的经验。
7pay 盗刷事件（2019）：官方原因评估与账户保护
7pay 在2019年7月遭遇未授权访问。8月1日官方公告认为，使用非法取得的凭据列表进行攻击的可能性较高；截至7月31日17时认定808人、38,615,473日元的未授权充值及使用损失。当时未发现重置功能是直接原因的案例。本文区分这一评估与一般性的认证、恢复和通知措…
Benesse 个人信息泄露事件（2014）— 内部作案为何无法被拦下，以及最小权限式防御
一名外包关联公司的派遣系统工程师，利用正规授予的数据库访问权，批量复制客户数据，转存到私人智能手机，再卖给名单商。监控软件封堵了向 USB 存储的写入，却没有封堵向智能手机的传输（MTP）。最多约 3,504 万条记录外泄。防御之道：收窄权限（最小权限 /…
Capcom 勒索软件事件（2020）—— 一台旧 VPN 设备为何成为入口，以及对双重勒索的防御
入口是一台旧备用 VPN 设备——在新设备替换后，它仍留在北美子公司里继续运行。攻击者借此侵入内网、窃取数据，再用勒索软件加密系统（双重勒索）。最多约 39 万人份的个人信息可能泄露（不含信用卡数据）。Capcom 拒绝付款，从备份恢复，并透明披露。要在你的…
Coincheck NEM 被盗事件（2018）——约 5.3 亿美元如何被盗，与密钥管理的防御
据报道，入口是针对员工的鱼叉式钓鱼／恶意软件，借此窃取了联网热钱包的私钥；随后约 5.23 亿 XEM（当时约 5.3 亿美元）在一次转账中被转出。核心失误在于把巨额、可即时动用的余额放在联网钱包中且未启用多重签名，因此单个被盗的私钥就动走了几乎全部。防…
KADOKAWA / Niconico 勒索软件事件（2024）—— 为何被害蔓延全公司，以及网络分段与 BCP
入侵口据说是窃取员工凭据的钓鱼；由此攻击者侵入内网、运行勒索软件，使集团众多服务（包括 Niconico）停摆数月，约 25 万人的个人信息泄露。据报道与分析，被害蔓延全公司的背景是重要度迥异的系统同处一张网络、分段不足。要在你的环境里防御：按重要度分…
宅ふぁいる便（Takufile-bin）信息泄露事件（2019）— 明文保存密码为何致命，以及哈希化防御
服务器漏洞被利用导致未授权访问，约 481 万条记录（姓名、邮箱、登录密码、出生日期，含已退会客户）外泄。决定性失误在于登录密码未加密、以明文保存。一旦泄露即可直接使用，在人们重用密码的其他网站上可被用于账户接管。防御之道是把密码以单向加盐哈希…
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit…
Capital One 数据泄露事件（2019）— SSRF 如何导致 1 亿人信息外泄及防御之道
起点只是一个 SSRF。攻击由此连锁：元数据服务端点 → 权限过大的 IAM 临时密钥 → S3 整体复制，最终约 1 亿 600 万人信息外泄。每一步本可被拦下。在你的环境中，用 IMDSv2、IAM 最小权限和出站目标白名单来杜绝重演。
Codecov 篡改事件（2021）——CI 工具被篡改导致机密信息外泄的原因与防御
根源在于『在 CI 中信任并执行的工具（curl|bash 的 Bash Uploader）在上游被篡改』。由于自己的代码毫发无损，约两个月都没能察觉，CI 的机密信息因此外泄。检测靠的是校验和比对。在你的 CI 中，可用取得物的完整性校验、机密的最小权限、轮换、egress 监控…
Equifax 信息泄露事件（2017）——未打补丁的 Apache Struts 导致 1.47 亿人泄露的原因与防御
原因是已经发布修复补丁的已知 CVE（CVSS 10.0）没有被应用到公开系统上。监控设备因证书失效导致长达 76 天都没察觉数据外带，使损失扩大。在你的环境里，要用资产盘点、补丁 SLA、机器监控、检测健全性来防止重演。
Heartbleed（CVE-2014-0160）——OpenSSL 漏洞导致服务器内存泄露
OpenSSL 的内存越界读取，可能泄露私钥乃至会话的事件。根源是返回的内存比请求长度更多的实现错误。教训是按已泄露处理（重新签发证书、彻底更换密钥与机密），监控被广泛使用的基础库，并重视内存安全。
Log4Shell（CVE-2021-44228）——日志库漏洞，以及为何难以迅速确认自己是否在用
Log4j 的漏洞（CVSS 10.0）。核心问题在于经由间接依赖（传递性依赖），在不知不觉中正在使用它。日志输出这一被动处理成了攻击通道。SBOM 与依赖的机器化监控、迅速打补丁、对后续 CVE 的追踪，都是教训所在。
XZ Utils 后门（CVE-2024-3094）——受信任的共同维护者发起的供应链攻击
压缩库 xz 中被一名受信任的维护者植入了后门，这是一起供应链攻击。一名技术人员注意到登录变慢，在它进入稳定版之前发现了它。被瞄准的不是代码，而是『人与信任』。教训是：把依赖最小化、固定版本、提高可复现性、追查异常、支援维护者。