01 · 案例库总览
本节选取8个公开可查的标志性案例，覆盖漏洞未修补、凭证攻击、配置失误、供应链单点、内鬼倒卖、瞒报迟报等典型根因类型。所有事实均来自公司官方披露、监管机构通报或司法文书，数据以披露口径为准：
| 时间 | 事件 | 根因类型 | 影响/代价（披露口径） |
|---|---|---|---|
| 2017 | Equifax数据泄露 | 漏洞未修补+资产失管 | 约1.47亿美国消费者；FTC和解最高约7亿美元 |
| 2018（披露） | 万豪喜达屋泄露 | 收购尽调缺失+驻留长达4年 | 约3.83亿独立客人；英国ICO罚款1,840万英镑 |
| 2016（2017披露） | 雅虎30亿账户泄露 | Cookie伪造攻击+迟报 | 约30亿账户；3,500万美元SEC罚款（2018年，对Altaba）+1.175亿美元集体和解 |
| 2019 | Capital One泄露 | SSRF+云配置失误 | 约1亿人（美国）+600万（加拿大）；OCC罚款8,000万美元 |
| 2023 | MOVEit批量泄露 | 文件传输软件0day（供应链单点） | 受影响组织超2,600家、涉及个人约9,000万（IAPP统计） |
| 2024 | Change Healthcare勒索 | 凭证明文+网络隔离缺失 | 全美医疗支付中断数周；约1.9亿人信息可能受影响 |
| 2023 | MGM Resorts勒索 | 帮助台社工+ALPHV勒索 | 核心系统中断约10天；披露事件影响约1亿美元 |
| 2016（2022定罪） | Uber数据泄露瞒报案 | 瞒报+支付封口费 | 5,700万用户；1.48亿美元州总检察长和解；前安全负责人被判刑责 |
| 2020（国内） | 圆通"内鬼"泄露 | 内部账号有偿租借 | 约40万条个人信息被倒卖；嫌疑人被抓获（公开报道） |
02 · 深度复盘A：MOVEit批量泄露（2023）
2.1 事实时间线（公开披露口径）
- 2023年5月31日：软件厂商Progress发布安全公告，确认MOVEit Transfer存在SQL注入漏洞（CVE-2023-34362，CVSS评分9.8），并发布补丁；微软同日将其关联至勒索组织Cl0p（其自称"Lace Tempest"）。
- 2023年6月上旬：美国网络安全与基础设施安全局（CISA）发布联合网络安全咨询（#StopRansomware/AA23-158A）；受影响的政府、金融、医疗、教育机构陆续自行披露。
- 后续数月：国际隐私专业人士协会（IAPP）持续跟踪统计：受影响组织超过2,600家，涉及个人约9,000万；美国多个州检察长办公室与联邦机构介入；Progress及多家受影响机构面临集体诉讼。
2.2 根因与放大机制
技术根因是一个文件传输软件中的SQL注入0day，但事件规模由三重放大机制决定：①产品属性——MOVEit是"数据管道"而非普通应用，天然集中存放大量敏感文件；②供应链传导——一家供应商的漏洞经由其数千家客户的下游网络指数级扩散（第2页"报告对象矩阵"无法覆盖下游通知链）；③模式切换——Cl0p采用纯数据勒索模式：不加密、只窃取并威胁公开，使"有备份就没事"的传统认知完全失效。
2.3 教训（转译为本课题能力项）
- 边缘组件清单化：文件传输、网关、中间件等"非核心系统"必须纳入资产清单与漏洞管理，KEV目录入列即触发72小时处置（第6页基线）。
- 外发监测假设"已发生"：面向互联网的文件传输通道默认假设会被利用，部署DLP/NDR监测批量外发（第3页）。
- 供应商事件义务预案：采购合同应约定供应商漏洞通报时限与协作义务；自身预案应预置"供应商漏洞波及我"场景（第5页场景库）。
- 下游通知链压力测试：一旦作为下游受害方被波及，需同时履行对用户的告知义务并向上游追偿，影响评估能力决定通知质量（第3页四维模型）。
03 · 深度复盘B：Change Healthcare勒索事件（2024）
3.1 事实时间线（公开披露口径）
- 2024年2月21日：联合健康集团（UnitedHealth Group）旗下Change Healthcare（全美最大的医疗理赔与支付清算平台之一）遭遇ALPHV/BlackCat勒索攻击，随即全网下线，全美医疗处方、理赔与支付大面积中断。
- 2024年2—3月：美国国会、卫生与公众服务部（HHS）介入；医院系统启动应急手工流程；据公开报道（Wired等），联合健康支付了约2,200万美元赎金，但勒索基础设施随后被执法行动接管，支付细节由首席执行官在国会听证中证实。
- 2024年4—5月：出现"二次勒索"——另一团伙RansomHub宣称持有部分数据并要求联合健康"为已删除的数据再付一次钱"。
- 2025年1月：联合健康披露：约1.9亿人的个人信息可能受到影响（"可能波及美国绝大多数人口"），成为美国历史上规模最大的健康数据事件之一。
3.2 根因分析
美国国会听证与监管调查披露的要点包括：①凭证明文暴露——攻击者通过一个未启用多因素认证、缺乏有效管理的远程访问服务进入；②关键系统间隔离不足——单一入口可横向触及清算核心；③备份与生产环境关联——恢复过程复杂化，中断延长至数周；④供应商集中度风险——一家企业的安全事件演变为全国医疗体系的系统性事件。
3.3 教训
- MFA无豁免区：所有远程访问、第三方接入、服务账号的MFA覆盖率应为100%（第6页基线）。
- 网络分段决定爆炸半径：第5页遏制清单中的"备份隔离保护"与微隔离策略，是防止单点入侵演化为系统性中断的结构性防线（衔接子课题05零信任）。
- 支付不等于结束：二次勒索证明"付款换删除"没有履约保障；支付决策必须置于"泄露已发生"的完整响应框架内（第6页决策树）。
- 民生级业务连续性：关键服务需预置手工降级流程并演练——数字系统全停时，组织要有"回到纸面"的能力。
04 · 深度复盘C：Equifax（2017）
4.1 事实要点（官方披露与国会调查报告口径）
- 2017年3月：Apache Struts发布CVE-2017-5638补丁；5—7月：攻击者利用该漏洞（因未及时修补）入侵Equifax系统，窃取约1.47亿美国消费者的姓名、社保号、出生日期、地址及部分驾照信息；9月7日：Equifax公开披露。
- 2019年：与美国联邦贸易委员会（FTC）、消费者金融保护局（CFPB）及各州达成和解，和解金额至少5.75亿美元、最高约7亿美元；美国国会后续调查报告指出其根本问题包括"不知道自己暴露了哪些系统"（资产失管）、补丁流程失效、证书过期导致流量监测中断等。
4.2 教训
- 补丁SLA是生死线：KEV级漏洞（在野利用）应设72小时内修复的硬指标（第6页基线）。
- 资产清单是补丁的前提："不知道系统存在"导致补丁流程从未触达——资产发现自动化（第4页日志覆盖同理）是数据安全的第一性投资。
- 加密与密钥管理：泄露数据的大规模扩散与其以明文/弱保护形态存储密切相关——加密与密钥管理（子课题01/05）在泄露场景下的价值直接可量化。
- 监测证书与工具自身健康：证书过期导致监测中断数月而未察觉——安全工具自身的可用性应纳入监控（"监控监控者"）。
05 · 其他标志性案例速览
5.1 万豪喜达屋（2018年披露）
初始披露影响约5亿客人，2019年修正为约3.83亿独立客人，含约525万个未加密护照号码与大量加密支付卡数据；入侵最早可追溯至2014年（喜达屋被收购前）。英国ICO于2019年7月开出约9,900万英镑罚款意向，经企业陈述后于2020年10月确定为1,840万英镑。教训：并购尽调必须覆盖目标方的安全事件史与入侵驻留排查（"买入"的不仅是资产还有未被发现的入侵）；处罚金额与"主动披露+配合整改"强相关（对照第2页万豪罚款调整案例）。
5.2 雅虎（2016年发生、2017年披露）
2013—2014年约30亿账户的数据（姓名、邮箱、电话、出生日期、部分哈希密码）被窃取，2016年即知情但迟至2017年才随并购尽调披露。后果：收购价格下调3.5亿美元；美国SEC对Altaba（雅虎前身实体）处以3,500万美元罚款（2018年4月，首例网络安全披露执法）；2020年1.175亿美元集体和解获批。教训：迟报的代价由"罚金+估值损失+和解"三重构成；事件披露已成为证券监管事项（对照第2页SEC 8-K Item 1.05规则）。
5.3 Capital One（2019年7月）
前云服务商员工利用服务器端请求伪造（SSRF）结合云元数据服务漏洞，窃取约1亿（美国）+600万（加拿大）个人的申请数据（含约14万个社保号）。后续：行为人被美国联邦法院定罪（2022年）；货币监理署（OCC）对Capital One处以8,000万美元罚款（2020年，认定其风控与云迁移管理失职）；1.9亿美元集体和解（2022年获批）。教训：云配置与IAM策略是新的泄露面，"上了云不等于安全了"；云审计日志（第4页日志基线）是云环境唯一可靠的追溯凭据。
5.4 Uber数据泄露瞒报案（2016年发生、2022年定罪）
2016年约5,700万用户与60万司机信息泄露后，公司未依法披露，反而向攻击者支付10万美元"封口费"并要求签署保密协议；2017年新任管理层披露后，公司2018年与50个州及特区达成1.48亿美元和解。2022年10月，前安全负责人Joe Sullivan被美国联邦陪审团裁定两项罪名成立（妨碍司法与隐瞒重罪），2023年5月判处三年缓刑、200小时社区服务及5万美元罚金。教训：个人瞒报的刑事风险真实存在——"公司罚钱、个人担责"的双罚格局是本课题反复强调高管介入响应（NIST 800-61r3的Govern功能）的最强论据。
5.5 MGM Resorts（美高梅，2023年9月）
社会工程团伙Scattered Spider（UNC3944）通过致电帮助台、冒充员工完成身份验证并重置凭证进入内网，勾结ALPHV/BlackCat勒索软件加密核心系统，老虎机、房卡与预订系统瘫痪约十天；公司在2024年8月的公开披露中将事件影响估计为约1亿美元。同期凯撒娱乐（Caesars）遭同一团伙入侵，据报道支付了约1,500万美元赎金。教训：①帮助台是社工第一入口——身份核验流程（回拨验证、多因子核验）必须制度化；②身份系统与核心业务网络的隔离决定爆炸半径（衔接子课题05零信任）；③快速、定量的公开披露比含糊其辞更能稳住监管与投资者预期。
06 · 国内案例：内鬼泄露与执法视角
6.1 圆通"内鬼"事件（2020年公开报道）
2020年媒体公开报道：圆通快递内部员工将查询账号有偿租借给外部人员，导致约40万条快递个人信息（面单数据）被批量导出并倒卖；警方介入并抓获相关犯罪嫌疑人。该案是"内部账号治理"的教科书级反面案例：账号共享、权限超期、查询行为无审计、无量级告警。对照本课题：第4页数据库审计"高危行为清单"（批量读取、账号异常）与UEBA"权限突增"规则，正是为在倒卖发生之前发现异常而设计。
6.2 网传泄露与"查无实据"的处置纪律（2022年）
2022年6月，网传某学习平台约1.7亿条用户数据在境外渠道售卖；涉事企业公开回应称"到目前为止还未发现明确的用户信息泄露证据"，并已向公安机关报案。该事件的价值不在定论而在流程示范：面对泄露指控，组织的正确动作是启动内部排查（审计日志回溯）+公开回应+报案+配合调查四件套——既不能像Uber那样掩盖，也不能在证据不足时盲目承认或否认。第3页"真伪验证四步法"即为此类场景的方法工具。
6.3 滴滴案（2022年处罚通报）：执法视角的泄露治理
国家网信办2022年7月21日通报，认定滴滴全球股份有限公司存在16项违法事实（含违法处理个人信息647.09亿条、危害国家数据安全等），处80.26亿元罚款。对泄露治理的启示：①执法审查的材料基础是日志与台账——没有数据处理活动记录，合规主张无从举证；②规模即风险——海量个人信息的处理者适用最严审查；③"数据安全审查"可以事后启动——泄露溯源与合规留痕是组织在审查程序中唯一能"自救"的筹码。
07 · 横向教训聚类
| 根因聚类 | 对应案例 | 防御能力锚点（本课题章节） |
|---|---|---|
| 漏洞与补丁失效 | Equifax、MOVEit | KEV优先SLA、边缘组件清单化（第6页） |
| 凭证与远程访问失守 | Change Healthcare | MFA全覆盖、密码喷洒检测、零信任接入（子课题05） |
| 配置与云失误 | Capital One | 云审计日志、IAM最小权限、配置基线核查（第4页） |
| 供应链单点传导 | MOVEit | 供应商义务条款、下游通知预案（第5页） |
| 内部人员倒卖 | 圆通 | 账号治理、UEBA、水印定责（第4页） |
| 瞒报迟报放大损失 | Uber、雅虎、万豪（对比） | 法定动作对齐表、Govern功能、高管问责机制（第5页） |
| 并购引入历史入侵 | 万豪、雅虎 | 并购安全尽调清单、驻留排查（第8页路线图） |
08 · 组织自查清单
- 我们能否在2小时内回答"哪些系统对外传输数据、由什么软件承载"？（Equifax/MOVEit教训）
- KEV目录入列漏洞是否72小时内修复？是否有例外审批与到期提醒？
- 所有远程访问与第三方接入是否100%启用MFA？（Change Healthcare教训）
- 备份是否独立身份域+不可变保留+上季度完成过恢复演练？
- 内部账号是否存在共享、超期授权、无量级告警的查询账号？（圆通教训）
- 并购/供应商合同是否包含安全事件通报与协作条款？（万豪/MOVEit教训）
- 是否预置了"供应商漏洞波及我"与"我被列入勒索泄露站"两个场景？（第5页场景库）
- 事件披露决策是否有法务前置与高管参与机制，杜绝"先瞒后补"？（Uber教训）
本节参考来源（第7页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
Progress官方安全公告与CVE-2023-34362；CISA AA23-158A联合咨询；IAPP MOVEit事件跟踪统计（受影响组织超2,600家、涉及个人约9,000万）：CISA、IAPP。
Change Healthcare事件：UnitedHealth Group官方披露与国会听证材料；HHS OCR披露记录；赎金支付公开报道（Wired等）。
Equifax事件：FTC/CFPB 2019年和解公告（至少5.75亿、最高约7亿美元）；美国众议院监督与政府改革委员会2018年调查报告。
万豪案：Marriott官方披露（2019年1月修正口径约3.83亿独立客人）；英国ICO 2020年10月最终决定（1,840万英镑）：ICO官网。
雅虎案：SEC 2018年执法（3,500万美元，Altaba/Yahoo）；集体和解（1.175亿美元，2020年获批）；Verizon收购价格调整公开披露。
Capital One案：OCC 2020年8,000万美元处罚公告；美国司法部起诉与定罪公开信息（2022年）。
Uber案：2018年50州1.48亿美元和解；美国加州北区联邦法院Joe Sullivan案判决（2022年定罪、2023年5月量刑）。
MGM Resorts公开披露（SEC EDGAR系统，2024年8月8-K文件）：sec.gov；Scattered Spider/UNC3944公开研究（Mandiant/Google Cloud博客）。