安全指南

2026年四起政府数据泄露事件（美国国防部、伊利诺伊州、拉脱维亚、法国税务局）：公民可以做什么

对比2026年四起政府数据泄露事件（美国国防部DMDC、伊利诺伊州DHS、拉脱维亚CSDD、法国DGFiP）：各自如何被入侵，以及公民如何保护账户。

发布于 2026-09-30 更新于 2026-10-04 最后核实 2026-09-30 6 分钟阅读

本页目录

适用对象：收到或可能收到国家或地方政府机构数据泄露通知的人及其家人。也适用于管理政府系统或为政府提供服务的公司工作人员。本文依据各机构自己的通知、常见问题解答和政府新闻稿，并结合引用官员说法的新闻报道，比较四起案例。本文不涉及攻击技术。

首先：如果政府机构向你发出泄露通知

如果你搜索过其中某起事件，你可能想知道自己是否受影响，以及该怎么做。以下步骤基于各机构自己告诉公众的内容。

不要使用通知中的号码或链接，请访问机构的官方网站核实

法国DGFiP在其常见问题解答中表示，其通知“不包含通往你税务空间的直接链接，也不索要任何机密信息”。拉脱维亚CSDD请人们在其官方门户e.csdd.lv上核实信息，并在其网站上设立了专门的事件板块。

换言之，正规机构正在减少让你通过通知中的链接进行操作。请通过你自己输入的官方网站，或你自己查找的总机电话进行核实。

查明哪些信息泄露了，并阻止每个号码被滥用

泄露的内容决定了你该做什么。如果你的社会安全号码涉及其中，请在Equifax、Experian和TransUnion冻结信用（依据美国联邦贸易委员会的说明，此服务免费，并会持续有效直至你解除），并申请IRS IP PIN，这是一个六位数字，可防止他人使用你的社会安全号码报税，且每年更换。

在法国的案例中，涉及税务识别号和收入详情，DGFiP建议你在impots.gouv.fr的个人空间中查看FICOBA（银行账户登记册）里以你名义开立的账户，如有你未开设的账户请予以关注。

加固税务和福利账户的登录

DGFiP表示，在本次事件中impots.gouv.fr的密码未被盗取。其个人空间已采用两步验证，即输入密码后向邮箱发送六位数验证码，其常见问题解答称，如果收到你并未请求的验证码，应尽快更改密码。

实际要点是：谁控制了接收验证码的电子邮箱，谁就可能进入你的税务账户。请为该邮箱设置高强度密码并启用双重验证（参见什么是双重验证？）。

挂断自称是该机构的来电，并自行回拨

美国联邦贸易委员会称“政府机构绝不会通过电话、电子邮件、短信或社交媒体私信向你索要钱财或个人信息”，并警告来电显示可能被伪造。DGFiP重申，税务机关从不通过电子邮件、短信或电话索取机密信息；CSDD也请人们特别留意看似来自CSDD的电子邮件和短信。

知道你的地址、收入、车牌号或军职的来电者，并不能证明其身份（参见什么是网络钓鱼？）。

行使查阅权，了解泄露了什么

如果没有收到通知，或通知内容含糊，你有权利请求获取自己的数据。在欧盟，有《通用数据保护条例》第15条（法国CNIL表示该条适用于公共行政部门，免费，并要求在一个月内答复）；在美国，有《1974年隐私法》；在日本，有《个人信息保护法》第76条。CSDD表示，其事件板块说明了客户获取受影响数据信息的程序。

正规机构联系的迹象（来自各机构自己的声明）

通知中没有直接通往你账户的链接（DGFiP）
告知你在官方网站或应用程序上核实（CSDD、DGFiP）
从不索要密码、验证码或银行卡号
同样的信息出现在官方网站的通知或常见问题解答中

诈骗的迹象

来电或短信要求你**“确认”某个号码、验证码或密码**
引用你的地址或收入以显得可信
要求付款、礼品卡或加密货币
制造紧迫感或威胁：“今天”“否则将被逮捕”

按国家查询渠道（请自行访问）

美国：通过FTC（consumer.ftc.gov）和IRS（irs.gov）办理信用冻结和IP PIN。在ReportFraud.ftc.gov举报诈骗。
法国：impots.gouv.fr上的通知和常见问题解答；DGFiP的常见问题解答列出的咨询电话为0809 401 401。如需防诈骗帮助，请访问17Cyber.gouv.fr；举报请访问cybermalveillance.gouv.fr。
拉脱维亚：e.csdd.lv以及CSDD网站上的事件板块。
伊利诺伊州：IDHS表示，个别通知中包含咨询免费电话。

2026年四起案例概览

基于各机构的通知、常见问题解答和政府新闻稿，以及引用官员说法的新闻报道。数字仅为机构或官员给出的数字。

机构（国家）	公布/通知时间	泄露内容（机构的说法）	涉及人数（机构/官员）	入侵途径（机构的说法）
国防人力数据中心（DMDC）（美国国防部）	通知日期为2026年9月18日（据报道）	包括社会安全号码在内的未加密个人数据	276万名在世人员和294,000名已故人员（一名五角大楼官员）	文件共享系统的一个漏洞
伊利诺伊州人类服务部（IDHS）（美国）	2026年1月2日	内部规划地图中的客户数据	约32,401人和约672,616人，分为两组	地图网站的隐私设置错误
道路交通安全局（CSDD）（拉脱维亚）	2026年8月13日（人数于8月18日公布）	可追溯至2008年的历史缴费收据数据	约120万人（CSDD）	CSDD维护的一个网络应用存在漏洞（交通部委员会结论）
公共财政总局（DGFiP）（法国）	2026年8月14日	税务识别号、收入相关细节等	共678,000名个人和企业（政府新闻稿）	冒用一名工作人员和一名授权第三方的凭证

3种途径

四起案例的入侵方式：错误设置、存在漏洞的系统、冒用凭证

2008年起

CSDD受影响的缴费收据数据可追溯的时间（据该局）

不包括

用户登录密码（DGFiP和CSDD都表示不在被盗数据之中）

未知

谁查看过IDHS的地图（机构表示该地图网站无法识别查看者）

1. 错误设置

IDHS：内部地图被留在外部地图网站上并可公开查看，无法识别查看者

2. 存在漏洞的系统

DMDC：文件共享系统 / CSDD：其维护的网络应用

3. 冒用凭证

DGFiP：一名工作人员和一名授权第三方的身份凭证。访问被切断；数据被盗的结论是后来确定的

↓ 无论通过哪种途径入侵，传达给公民的都是

知道你的地址、号码、收入、车辆或军职的“机构”联系

而且因为是政府机构，你无法直接停止使用该服务

公民确实拥有的四种工具

核查官方网站 / 保护税务和福利账户（IP PIN、信用冻结、接收验证码的邮箱）/ 自行回拨 / 查阅权

三种入侵途径，各自被发现的方式不同，留下的问题也不同。传达给公民的结果相同：自称是该机构的人发出的可信联系。

2026年1月2日
伊利诺伊州DHS发布媒体通知，内容是可被公开查看的内部地图（称其于2025年9月22日发现此问题）。
7月16日
DMDC发现文件共享系统存在漏洞（据通知的报道）。
8月12–13日
一名恶意行为者声称非法访问了DGFiP的系统；DGFiP表示数据被盗的结论是在此期间确定的。
8月13日
CSDD宣布遭受网络攻击。
8月14日
法国经济和财政部就DGFiP发布新闻稿（678,000人）。
8月18日
CSDD表示，120万人的个人数据已被获取。
9月18日
DMDC向受影响人员发出通知（据报道）。同日，拉脱维亚交通部发布其对CSDD事件的评估。
9月下旬
一名五角大楼官员向新闻媒体提供了DMDC泄露事件的受影响人数。

各机构的说法

基于各机构的通知、常见问题解答、政府新闻稿，以及引用官员说法的新闻报道。机构所使用的承包商和供应商，以及相关个人，均不具名。

美国国防部：国防人力数据中心（DMDC）

事件内容（通知，据报道）: 2026年7月16日，DMDC发现文件共享系统存在安全漏洞。通知称，在2025年10月至2026年7月16日期间，少数未经授权的用户访问了一台服务器上的文件，该服务器包含未加密的个人信息
数据: 社会安全号码，以及至少一项其他信息（姓名、出生日期、联系方式、性别、种族或军人人事信息，如专业岗位）。因人而异
涉及人数: 一名五角大楼官员告诉新闻媒体，276万名在世人员和294,000名已故人员受到影响
应对: 已修补漏洞并恢复系统。据通知，没有迹象表明信息被滥用。提供12个月的免费信用监控

伊利诺伊州人类服务部（IDHS）

事件内容: 2025年9月22日，IDHS发现其工作人员在地图网站上创建的内部规划地图因隐私设置错误而可被公开查看。这些地图本用于内部，用于决定在哪里开设新的地方办事处等决策
涉及对象和时间: 约32,401名康复服务部客户（公开可访问时间为2021年4月至2025年9月），以及约672,616名医疗补助和医疗保险储蓄计划受益人（2022年1月至2025年9月）
数据: 第一组：姓名、地址、案件编号、案件状态、转介来源等。第二组：地址、案件编号、人口统计信息以及医疗援助计划名称，不包括受益人姓名
应对: 2025年9月22日至26日期间更改了所有地图的设置，并采取政策，禁止在公共地图网站上放置客户级数据。机构表示该地图网站无法识别是谁查看了地图，且其未发现任何滥用情况

拉脱维亚：道路交通安全局（CSDD）

事件内容（8月13日）: 称其在一个周末遭受了复杂的网络攻击；攻击者部分访问了IT系统，并获取了CSDD服务的历史缴费收据数据。该局与CERT.LV共同制止了攻击，并通知了包括数据国家监察局在内的主管部门。表示客户的用户名和密码未受影响
范围（8月18日）: 120万人的个人数据，来自可追溯至2008年的收据：个人身份号码或公司注册号、姓名或公司名称、付款金额和日期、车辆注册号以及地址（并非在所有情况下都完整）。据报道，电话号码和电子邮件地址未被泄露
评估（9月18日）: 交通部委员会认定，CSDD维护的一个网络应用中的漏洞导致了最初的访问。委员会将范围估计为约115万名个人和最多20万个法人实体，并建议（其中包括）审查数据保存期限，以及改进与外包服务的合同和监管
其后: 线下服务和e-CSDD服务照常提供

法国：公共财政总局（DGFiP，税务机关）

事件内容: 一名恶意行为者于2026年8月12日和13日声称实施了数据窃取。据政府新闻稿，6月和7月的非法访问依赖于冒用一名DGFiP工作人员和一名授权第三方的凭证。DGFiP在发现时切断了访问，但当时的检查未能显示数据已被取走，该局表示
涉及人数: 共678,000名个人和企业（新闻稿）。之后的常见问题解答给出的数字是个人略超过350,000人，企业略超过250,000家
数据（个人）: 税务识别号、民事身份、邮政、电话和电子邮件联系方式、税务状况（家庭状况、被抚养人、股份数量、参考应税收入、预扣税率），以及通过impots.gouv.fr交换的消息列表。对于不足250人，还包括消息内容（附件未被查看）。地籍数据中的房产地址和面积也被查看
应对: 切断了所使用的工作人员账户的访问，并预防性地切断了对敏感系统的访问。已将此事提交CNIL并提出投诉。加强了受影响人员税务账户的保护，并在未来几个月密切监测地址或银行账户的变更。该局表示，impots.gouv.fr的个人和企业空间以及密码未被入侵

如何理解这些数字

DMDC的数字是一名五角大楼官员提供给新闻媒体的；本站在核查时未能找到美国国防部公开的通知页面。CSDD于8月18日宣布涉及120万人，而交通部9月18日的评估给出的数字是约115万名个人和最多20万个法人实体。

DGFiP在其常见问题解答中将新闻稿中的678,000人拆分为个人和企业。本文不按事件的“严重程度”对四起案例排序。此外，DGFiP还报告称，8月17日发现一处仅包含公开数据的空置房产门户存在技术漏洞。

本站观点：当你无法停止使用该机构时，你的工具是法律权利，以及阻止滥用的措施

当私营服务泄露你的数据时，大多数人会考虑关闭账户。但对于税务局、福利机构、驾驶和车辆登记，或军人人事记录，你无法这样做。而且这四起案例涉及多年的记录（CSDD的收据可追溯至2008年，IDHS的地图可追溯至2021年），甚至包括已经去世的人的记录（DMDC事件中有294,000名已故人员）。

因此，公民一方真正有效的做法不是换一家服务商，而是两种工具。一是权利：行使查阅权，了解持有的数据和泄露的数据。二是在泄露的号码可能被滥用的任何地方（新的信贷、报税、税务账户）采取阻止滥用的措施：IP PIN、信用冻结，以及用于接收验证码的受保护邮箱。

正如IDHS案例所示，某些泄露无从得知谁看过数据。在本站看来，等到发现滥用证据时就已经太晚了。

本站关于同年相关案例的文章

其他政府和公共机构的案例已在各自的文章中详细介绍，因此此处不再重复。

法国身份证和驾照申请网站（ANTS / France Titres）：办理中的材料人员名单，以及如何识别虚假ANTS消息 → France Titres（ANTS）泄露事件
英国公司注册处（Companies House）：一个漏洞使已登录用户能够看到其他公司董事的详细信息 → Companies House WebFiling漏洞
日本数字厅（GSS）：通过VPN漏洞侵入政府工作人员使用的共享工作环境 → 数字厅泄露事件以及如何防御VPN
澳大利亚政府：一个AI代理访问了统计门户上的非公开文件，且通知被发送到了一个公共邮箱 → AI代理未经授权访问案例

面向管理政府系统或为政府承包商工作的人：针对每种入侵途径的第一步

1. 错误设置：列出每项外部服务的共享范围

IDHS案例发生在一个地图网站上，这类外部服务很少被当作信息系统来管理。该机构的解决办法是制定政策，禁止将客户级数据放到公共地图网站上。

第一步是列出员工使用的外部SaaS工具（地图、表单、共享表格、文件共享），并找出设置为**“任何拥有链接的人”或“公开”**的内容。对于此类服务，你可能永远无法得知谁查看过数据，因此预防是唯一的选择。

2. 存在漏洞的系统：你的文件共享中保存着多少年的未加密数据？

DMDC案例涉及文件共享系统；CSDD案例涉及该局维护的一个网络应用。一般而言，仅靠修补速度是不够的。

请梳理人们无法更改的号码（如社会安全号码）是否以未加密形式存放在文件共享位置，以及那里保存了多少年的记录。这正是交通部委员会建议CSDD审查数据保存期限的依据。如何防御边缘设备和软件，参见如何防御你的VPN。

3. 冒用凭证：对员工和授权第三方采用同样的标准

在DGFiP案例中，政府表示，被冒用的不仅有一名工作人员的凭证，还有一名授权第三方的凭证。政府系统中有一些并非员工的账户：承包商，以及代表公民办事的专业人士。第一步是要求非员工账户与员工账户一样使用抗钓鱼的多因素认证（通行密钥或FIDO2安全密钥），并将每个账户能看到的内容限制在工作所需的范围内（参见什么是通行密钥？）。

分别检查“访问已被切断”和“未被取走任何数据”

DGFiP表示，在发现并切断非法访问时，它还无法确认数据是否已被取走。一般而言，停用账户与查明该账户读取并发送出去了多少记录是两项不同的工作。对于后者，请记录每个账户每天查询的记录数量，并在超过正常值的倍数时发出警报，优先针对最敏感的数据。

如果你受到影响：最近的危险是跟在通知之后的“机构”联系

在四起案例中，都有只有你自己应该知道的细节泄露：地址、身份号码、收入、车牌号、军职。这些足以制作令人信服的电话、短信和电子邮件。

如果有人以“赔偿”“税款退还”或“更新登记信息”为名索要验证码、密码或银行信息，请挂断，并拨打你自己在该机构官方网站上查到的号码回拨。DGFiP的常见问题解答建议，如果你怀疑是诈骗，请保留证据（消息、网站地址、截图）。

资料来源（公开记录）

本文的事实基于下列官方通知和公开记录，以及引用官员说法的新闻报道。数字仅为机构、政府或官员给出的数字；未使用媒体估计或关于未披露原因的猜测。承包商和供应商仅以角色描述。

伊利诺伊州人类服务部，《伊利诺伊州人类服务部媒体通知——涉及受保护健康信息的事件》（2026年1月2日）— idhs.prezly.com
CSDD，《CSDD saskārusies ar kiberdrošības incidentu》（2026年8月13日，拉脱维亚官方公报Latvijas Vēstnesis发布的官方公告）— lvportals.lv
CSDD，《CSDD mājaslapā izveidota vienota sadaļa par kiberdrošības incidentu》（2026年8月21日）— lvportals.lv
拉脱维亚交通部，《Pabeigts CSDD kiberincidenta izvērtējums》（2026年9月18日）— lvportals.lv
拉脱维亚公共广播机构LSM（英文）：CSDD 8月18日的公告（120万人，收据可追溯至2008年）— eng.lsm.lv / 临时董事会选举（8月20日）— eng.lsm.lv
DGFiP，《Vol de données suite à des accès illégitimes au système d'information de la DGFiP》（2026年8月14日，9月14日更新）— impots.gouv.fr / 个人常见问题解答（2026年8月24日）— impots.gouv.fr（PDF） / 企业常见问题解答— impots.gouv.fr（PDF） / 《Fuites de données : comment réagir ?》— impots.gouv.fr（PDF）
法国经济和财政部，第953号新闻稿，《Accès illégitimes au système d'information de la Direction générale des Finances publiques》（2026年8月14日）— presse.economie.gouv.fr
DGFiP，《FAQ : Réussir l'authentification en deux étapes》— impots.gouv.fr（PDF）
CNIL，《Le droit d'accès : connaître les données qu'un organisme détient sur vous》— cnil.fr
新闻报道（DMDC通知的内容，以及一名五角大楼官员给出的数字）：Military Times（2026年9月24日）— militarytimes.com / Federal News Network — federalnewsnetwork.com / Stars and Stripes（2026年9月29日）— stripes.com
美国联邦贸易委员会，《What To Know About Credit Freezes and Fraud Alerts》— consumer.ftc.gov / 《How To Avoid a Government Impersonation Scam》— consumer.ftc.gov
美国国税局（IRS），《Get an identity protection PIN》— irs.gov
美国司法部隐私与公民自由办公室，《Privacy Act of 1974》— justice.gov
日本，《个人信息保护法》（第76条，请求披露的权利）— e-Gov（日文）

更新记录

2026-09-30：首次发布。依据IDHS通知、CSDD和拉脱维亚交通部的公告、DGFiP的通知和常见问题解答以及法国财政部的新闻稿、关于DMDC通知和一名五角大楼官员数字的新闻报道，以及FTC、IRS、CNIL和美国司法部的公开指引。如果机构发布更多信息（例如DMDC官方通知页面），我们将进行更新。

FAQ

Q2026年有哪些重大政府数据泄露事件？

根据各机构的声明和官员的说法，包括：美国国防部国防人力数据中心（DMDC），其中包含社会安全号码在内的未加密人员记录，通过文件共享系统的漏洞被访问，一名五角大楼官员给出的人数为276万名在世人员和294,000名已故人员；伊利诺伊州人类服务部（IDHS），因地图网站的隐私设置错误，内部地图中包含的客户数据可被公开查看，涉及两组人员，分别约为32,401人和约672,616人；拉脱维亚道路交通安全局（CSDD），被取走可追溯至2008年的历史缴费收据数据，该局称有120万人受影响；法国税务机关（DGFiP），利用冒用的一名工作人员和一名授权第三方的凭证，提取了共计678,000名个人和企业的数据。

Q当政府机构泄露公民数据时，公民可以做什么？

你无法停止使用税务局或福利机构，因此应专注于泄露之后仍然有效的措施。（1）通过机构的官方网站或你自己查找的号码核实任何通知，而不是使用通知中的号码或链接。（2）保护税务和福利账户的登录：在美国，设置IRS IP PIN并在三大征信机构冻结信用；在法国，保护接收impots.gouv.fr两步验证码的电子邮箱。（3）不要回应自称是该机构的电话、短信或电子邮件；挂断，并拨打你自己查到的号码。（4）行使查阅权，了解该机构持有的关于你的信息。

QDGFiP泄露事件之后，我需要更改impots.gouv.fr的密码吗？

根据DGFiP的常见问题解答，impots.gouv.fr的个人和企业空间未被入侵，密码也不在被盗数据之列，因此无需更改（但你可以随时更改）。税务机关表示，从不通过电子邮件、短信或电话索取机密信息，并要求人们始终自行访问impots.gouv.fr登录，而不是点击链接。如果你收到了你并未请求的验证码，该常见问题解答建议你尽快更改密码。

Q我收到了国防部DMDC的通知，应该怎么办？

根据新闻报道，DMDC的通知提供12个月的免费信用监控。如果你使用信中的注册网站，请先将其与信件本身核对，再输入任何信息。由于涉及社会安全号码，本站建议在Equifax、Experian和TransUnion冻结信用（依据美国联邦贸易委员会的说明，此服务免费），并申请IRS身份保护PIN，这是一个六位数字，可防止他人使用你的社会安全号码提交报税。IRS绝不会主动联系你索要IP PIN。

Q我可以向政府机构询问它持有我的哪些数据吗？

在许多国家可以，这是一项权利。在欧盟（包括法国和拉脱维亚），《通用数据保护条例》第15条赋予查阅权；法国数据保护机构CNIL表示，该权利适用于公共行政部门，且免费，并要求在一个月内答复。在美国，《1974年隐私法》允许你查阅并获取联邦机构记录系统中关于你的记录。在日本，《个人信息保护法》第76条允许你向行政机关负责人请求披露。