图片来源：安adolu via Getty Images 由Joe Tidy世界服务网络记者发表 4 小时前网络黑客们说，他们入侵了联邦调查局（FBI）
图片来源：安adolu via Getty Images 由 Joe Tidy世界服务网络 correspondent发表 4小时前 FBI的黑客声称，他们拥有数千名特工敏感的医疗数据。 BBC News已经看到被盗的"适合工作"医疗检查样本，其中包含血液和尿液测试结果，以及医生的注释，提到了如"牡蛎和香蕉过敏"这样的情况。 这些记录包括特工的全名和地址，以及对医疗问题的参考，包括"尿液中有血"和"高胆固醇"。专家们说，这次黑客攻击（FBI正在调查）可能会使特工们对诈骗、敲诈和针对性的攻击感到脆弱，也会帮助犯罪者冒充执法人员。 "这张名单将数千名特工与他们的医疗和身体记录相映射," Cato Networks威胁情报副总裁Etay Maor说。 "如果被盗，密码可以重置，但医疗记录不能，所以一旦数据泄露，它就永远处于被破坏的状态。这个永久性，应用于整个工作人员，是这个泄露的严重性。" FBI没有对请求置评。然而，在周三，它承认了
…
【业州愚公解读】
一个自称 ShinyHunters 的犯罪集团宣称入侵联邦调查局系统，取得数千名特勤人员的「适任工作」体检数据。BBC 检视了部分样本，内含血液与尿液检验结果、医生注记（例如「贝类与香蕉过敏」），以及全名、住址、电话、警徽编号、职称与配偶信息；纪录涉及数千人，包含副局长层级。联调局本周三承认遭骇并称正「积极调查」。耐人寻味的是勒赎条件：不是钱，而是要求撤回联调局五月发布的一份公告，该集团称那份公告「冒犯了他们」。
我的看法是，这起事件的意义几乎不在「联调局被骇」，而在勒赎的动机已经换了。过去十年勒索软件的逻辑很单纯——加密数据、索取赎金。这次的筹码是名誉与面子：他们要的是官方低头。资安专家马尔的说法值得记住：密码被偷可以重设，医疗纪录不能，一旦外流就是永久性的。当赎金不是钱，防御方就没有「付钱了事」的选项，只剩下承受与公开。
常见的误解有三个。第一是把它当成单一机构的技术疏失；真正的问题是体检数据这种「无可重置」的个资，为何能以可批量外泄的形式集中存放。第二是看到「联调局」三个字就以为受害者只是特勤人员；这批数据同时包含家属与住址，会被卷入的是整个家庭，且足以支撑冒充执法人员的诈骗。第三是以为没有金钱损失就没有损失——名誉型勒赎的破坏力往往更持久。
对华语读者，这里有一条可操作的线索：你的服务商是否帮你保管「不可更换」的数据。这类数据一旦外泄，补救成本远高于防护成本。企业该问的是加密与分区存放，而不是「我们会不会被骇」。
后续该观察：联调局是否公布入侵途径、该集团是否释出完整数据集、以及是否出现利用这些身分信息冒充执法者的诈骗案件。
撰文：业州愚公
以下为原文节录，仅供导读。完整报道与著作权均属原媒体与原作者所有，请点击下方链接前往原始出处阅读。
前往原文 / Original Source →
编辑评论 / Editor's Note
近年来，网络犯罪越来越猖獗，多个机构和组织都成为黑客的攻击目标。这次的事件中，网络犯罪者窃取了美国联邦调查局特工的血液和尿液检测结果，引发了对个人隐私和机构安全的关注。网络安全专家警告，类似的攻击可能会在未来继续发生，各个机构必须加强网络安全措施以防止类似的事件。