我们阅读真实、公开的事故，不是把新闻重播一遍，而是以 「你要如何防住它」 的视角来解读。本文基于 公开记录（企业公告、监管机构、可信报道）。出处列于文末；不含任何攻击操作手法，也不含任何个人的可识别信息。
- 目标
- 某教育服务的客户数据（姓名、住址、出生日期、电话号码等）
- 发现
- 2014 年 6—7 月（因其他公司的垃圾邮件涌向客户而暴露；7 月 9 日公开）
- 模式
- 外包关联公司的派遣工程师所为的内部作案：正规 DB 访问 → 批量抽取 → 转存到私人智能手机 → 卖给名单商
- 规模
- 最多约 3,504 万条记录（当时日本最大级别的个人信息泄露之一）
- 根本原因
- 对内部人员的过度权限 ＋ 外带通道的空子（USB 被封堵，但智能手机 / MTP 未封堵）＋ 对大批量访问检测不足 ＋ 对承包商 / 再承包商管理松懈
- 真正的对策
- 最小权限 / need-to-know；封死每一条外带通道的 DLP；对大批量访问的检测＋审计日志；对承包商与再承包商的管理与监督
究竟发生了什么（用平实的话说）
大多数安全控制都假设攻击来自外部。但在这里把数据带走的人，是一个 拥有正规授予访问权的内部人员。Benesse 把客户数据库的运维托付给了一家 关联公司（承包商），而在那里工作的一名 派遣系统工程师，用为工作而授予的权限，批量抽取了客户数据。
决定性的缺口在于 外带通道。企业的数据外带控制，往往能覆盖到「封堵向 USB 存储的写入」这一步，但 向智能手机的传输（一种叫 MTP 的方式） 却容易被忽视。这里也是如此：USB 写入被封堵了，但 向私人智能手机的传输却畅通无阻。 被抽取的数据卖给了 名单商，进一步扩散开来。这不是从外部被攻破，而是 一起内部作案，正规权限与一条被遗忘的通道恰好凑到了一起。
内部作案挡不住在『外墙』之外
防火墙和入侵检测针对的是从外部打进来的攻击。但拥有正规权限的内部人员，早已在那道墙的『内侧』。所以防御内部作案需要另一条轴线——收窄权限、在每一条通道上封死外带、检测大批量访问，并把监督延伸到承包商。「我们信任这个人」不构成不去收窄权限的理由。
攻击链条也是一张防御地图
这是一条 每一步都有拦截点 的链条。请把它当作 在哪里本可以将其斩断 来读，而不是当作操作手法。
1. 内部人员被授予过度权限
正规访问能触及的客户数据，远超实际所需。
拦截点：最小权限 / need-to-know；职责分离；定期复核访问范围
2. 大批量数据被带到个人设备
USB 被封堵了，但智能手机传输（MTP）没有。
拦截点：封死每一条通道的 DLP（USB / 智能手机-MTP / 云 / 打印）；检测大批量外带
3. 承包商 / 再承包商处的盲区
运维被外包出去，对现场实态的监督难以到位。
拦截点：对承包商 / 再承包商的可视化；合同与技术控制双管齐下；定期审计
4. 卖给名单商，进一步扩散
被抽取的数据被卖出，以难以追踪的方式扩散开。
拦截点：日志监控与早期检测；从设计上让大批量外带无从下手
已公开的时间线
2014-06
客户开始收到其他公司的直邮；怀疑发生泄露的咨询激增。2014-07-09
Benesse 公开泄露事件（最初描述为可能影响最多约 2,070 万条记录）。2014-07-17
东京警方逮捕了这名外包关联公司的派遣系统工程师；据报道他承认抽取数据并卖给名单商。2014-09-10
泄露规模被确定为最多约 3,504 万条记录。Benesse 宣布向受影响客户发放礼券（¥500），并推出约 200 亿日元规模的赔偿 / 防范方案。2014–2015
高管引咎负责；METI 发出整改命令。该案成为推动日本个人信息保护法修订（收紧对名单商的规则）的动因之一。2016
这名前派遣员工被定罪（监禁刑与罚金）。
根本原因是层层失守，而非某一个人的恶意
把这件事归结为「有个坏人」，等于埋下重演的种子。实际上，多个本应拦下内部作案的层，同时都很薄弱。
失守的布局
- 承包商的员工拥有 远超实际所需的数据触及权限
- 外带控制存在 空子（USB 被封堵，智能手机 / MTP 敞开）
- 对大批量查看和外带的 检测 / 告警 很薄弱
- 监督几乎无法触及 承包商 / 再承包商 的现场实态
守得住的布局
- 最小权限 / need-to-know 把可触及的数据限定在必需范围内
- 封死每一条通道的 DLP（USB / 智能手机 / 云 / 打印）
- 针对大批量访问 / 外带的 检测与告警，外加审计日志
- 对承包商与再承包商的 可视化与审计（合同＋技术）
事后的代价，远远盖过事前的设计投入
Benesse 向受影响客户作了赔偿（礼券；约 200 亿日元规模的计提），高管引咎负责，监管机构发出命令。该案还助推了日本个人信息保护法的修订。信任崩塌、赔偿与监管应对的成本，远远超过事前收窄权限、封死通道的投入。要按你所持有的个人信息量来设计内部控制——在事故 之前，而不是之后。
你要如何防住这一切
无论你把外部攻击的防御做得多硬，拥有正规权限的内部人员 都在墙内。以下按优先级排列，适用于任何规模：
把权限收窄到最小（最小权限 / need-to-know）
包括运维人员和承包商在内，把对生产数据的访问收窄到 工作所需的最小限度。设计好授权（谁可以访问什么），并把最小权限的原则普遍应用到密钥与账户上。定期复核权限。
封死每一条外带通道（DLP）
不只是 USB 存储——也要把 智能手机传输（MTP）、云上传、邮件附件和打印 都盘点清楚并封死。不要满足于「我们封了 USB」。哪怕只留一条通道敞开，那就会成为窟窿。
检测大批量访问与大批量外带
把「一个人在短时间内查看 / 导出了大量客户数据」标记出来，并能够 告警、要求审批，或暂停。保留「谁、在何时、访问了多少」的审计日志。即便无法阻止，缩短发现所需的时间也能缩小损失。
把监督延伸到承包商与再承包商
外包不是责任的转移。把握再承包的范围与实态，用合同（保密、审计权）与技术（权限、DLP、日志）双管齐下地管理。把你的组织安全底线也应用到承包商身上。
这与本站的构建之道相通之处
究其核心，这起事件让一个拥有正规权限的内部人员，通过一条被遗忘的外带通道，触及了超出所需的数据。 这恰是本站自身原则的镜像——最小权限、把爆炸半径压到最小，以及假定每一条通道都存在来防御。 只提防外部攻击，却忽视访问控制和内部外带，同样的窟窿就会张开。「收窄权限、封死每一条通道、检测大批量访问、把管理延伸到承包商」，是任何人在任何规模都能落地的防御。
出处（公开记录）
本文的事实基于以下公开信息。不含任何攻击操作手法，也不含任何个人的可识别信息——只讲 防御的教训。
- Benesse Holdings / Benesse Corporation 官方公告（关于个人信息泄露的通知 / 客户中心，2014—）— benesse.co.jp
- 日本 METI，关于个人信息保护应对的披露（2014）— meti.go.jp
- 个人信息保护委员会（及其前身机构），相关资料与关于修订保护法的讨论（2014—2015）— ppc.go.jp
延伸阅读
- 实务：中型到大型组织的安全底线（团队规模的地基——也要应用到承包商身上）
- 实务：SSH 密钥的最小权限（最小权限原则的实例）· 认证与授权的区别
- 术语：IDOR 是什么（访问控制缺陷——读取超出你权限的数据）
FAQ
QBenesse 事件的根本原因是什么？
不是外部攻击，而是内部作案。一名外包关联公司的派遣系统工程师，利用正规授予的数据库访问权批量复制了客户数据。而且监控软件封堵了向 USB 存储的写入，却没有封堵向私人智能手机的传输（MTP）。过度的权限、外带通道的空子，以及对承包商 / 再承包商管理的松懈，几种因素叠加到了一起。
Q只要做好外部攻击的防御，就万事大吉了吗？
不能。这是一起由拥有正规访问权的内部人员所为的事件。防火墙和入侵检测针对的是「从外部打进来的攻击」；内部作案需要另一条轴线的对策：①把权限收窄到最小（最小权限 / need-to-know）；②检测大批量的查看 / 外带；③封死每一条外带通道；④把监督延伸到承包商与再承包商。这四点才是关键。
Q中小规模的组织或个人开发也能从中学到东西吗？
能：①不要给运维人员或承包商过于宽泛的生产数据访问权；②把可以把数据复制出去的每一条通道（USB、智能手机、云、打印）都盘点清楚并封死；③保留「谁、在何时、访问了多少」的日志，并对大批量访问告警；④把握外包与再承包的范围和实态。团队越小，越容易掉进『因为信任对方』而从不收窄权限的陷阱。