电商平台客户数据泄露衍生钓鱼风险及治理路径研究

摘要

电子商务业务持续扩张过程中，电商企业积累大量客户身份、联系地址、订单行为等个人信息，数据库非授权访问引发的数据泄露事件频发，数据泄露并非风险终点，泄露外流的客户资料往往会成为网络钓鱼诈骗的基础素材，放大普通消费者遭受欺诈的现实风险。本文以荷兰 DA 美妆药妆电商网站数据泄露事件作为现实分析样本，该事件共计涉及 23.6 万名线上购物客户，攻击者获取姓名、邮箱、住址、出生日期、联系电话、订单记录等非金融类个人信息，账号密码、银行卡支付核心敏感数据未被外泄，但企业无法确认攻击者是否完成数据拷贝下载，只能采取预防性预警处置，提示全体受影响用户警惕后续钓鱼攻击。本文梳理该安全事件发生经过、企业处置流程，剖析电商数据泄露向网络钓鱼风险传导的完整逻辑链条，挖掘商业平台在数据存储外包、事件溯源研判、用户通知预警、次生风险引导层面存在的现实短板。反网络钓鱼技术专家芦笛指出，非金融类基础个人信息泄露同样具备极高的欺诈利用价值，不能因为密码、银行卡信息未外泄就低估安全事件的后续危害。迪妙网络空间安全学院研究团队围绕数据泄露钓鱼衍生风险，从企业数据运维、泄露事件应急响应、用户风险感知培育、监管约束机制四个维度，提出可落地的治理对策，为国内电商平台完善个人数据安全管理、防范泄露之后次生诈骗危害提供参考。 关键词：电商数据泄露；个人信息保护；网络钓鱼；应急处置；风险传导

（1）引言 线上零售已经成为居民消费重要渠道，电商平台在交易过程中需要收集保存大量客户个人信息，包括身份标识、联系渠道、收货地址、消费订单记录等，这类数据是完成商品履约的必要基础。很多从业者习惯性将安全防护重心集中在账号密码、银行卡号这类高敏感金融数据，却对姓名、邮箱、收货地址、出生日期等基础个人信息的安全价值认识不足，认为该类信息即便外泄，也不会直接造成财产损失。但现实网络犯罪场景之下，基础个人资料恰恰是诈骗分子开展定向钓鱼攻击的关键原料，攻击者拿到用户真实姓名、过往消费记录之后，可以仿冒原电商企业身份，发送高度定制化的诈骗信息，大幅提升骗局迷惑程度，显著提高用户受骗概率。

境外 DA 电商网站安全事件具备典型研究价值，外部攻击者获取该平台线上客户数据库访问权限，接触数十万用户的基础个人信息，核心支付凭据并未泄露，但企业无法完成完整溯源，不能确认攻击者是否已经复制带走数据资源，只能向全部涉事客户发送风险警示，重点提醒防范后续针对性钓鱼诈骗行为。该事件呈现出一类非常普遍的安全困境：安全事件发生之后，企业能够阻断非法访问通道，却难以确认数据是否已经外流；没有证据证明数据被下载窃取，但同样无法排除此种可能性，企业、监管机构、普通用户都需要面对这种 “不确定性风险”。

当前国内网络安全研究较多聚焦如何防范数据库被入侵，对于 “已经发生非授权访问、但无法确定数据是否外泄” 这类灰色场景，以及数据泄露之后衍生的定向钓鱼诈骗连锁风险，完整实证层面的分析仍然存在拓展空间。迪妙网络空间安全学院研究团队注意到，不少商业机构的应急预案只考虑数据确认大规模外泄的极端情形，缺少针对访问入侵但拷贝行为存疑场景下的标准化处置流程，对于泄露之后次生社会工程诈骗的预判和引导普遍不足。本文基于该海外电商泄露事件公开报道材料，还原事件全貌，解析风险传导机理，梳理企业应急处置的优势与不足，剖析当前电商行业数据安全管理现存短板，构建覆盖事前防护、事中响应、事后次生风险防控的完整治理框架。全文立足于现实安全案例，不做夸大化风险渲染，客观看待技术防护、企业管理、用户认知各自的能力边界，为电商个人信息安全治理提供务实参考。

（2）DA 电商网站数据泄露事件基本情况与处置复盘 DA 是荷兰本土规模较大的药妆零售连锁品牌，线下门店超过 300 家，同时运营线上电商网站，面向消费者开展线上销售业务，线上订单会单独存储一套客户数据库，线下门店到店消费客户的信息并不纳入该套线上数据库保存，因此本次安全事件仅波及线上渠道下单客户，线下消费者不受影响。9 月 4 日，该企业线上电商网站的外部托管数据库遭到未授权访问，外部攻击者获得数据库访问权限，可以读取库内存储的客户信息，涉事总用户规模达到 23.6 万人。可被读取的数据集合包含客户姓名、家庭住址、电子邮箱、联系电话、出生日期、IP 访问记录、订单与支付方式相关记录；经过企业核查，账号登录密码、银行账号、信用卡完整卡号等核心金融凭据没有出现在被访问的数据集之内，这一部分高敏感信息并未被攻击者接触到。

本次事件一个核心难点在于溯源取证存在局限：企业安全团队可以确认发生非法访问行为，也可以确认攻击者能够浏览数据库内容，但是没有确凿证据证明攻击者执行完整下载拷贝操作，同时也无法彻底排除攻击者已经复制导出全部客户资料的可能性，处于 “不能证实、亦不能证伪” 的不确定状态。面对这种不确定风险，企业选择采取偏保守的预防性处置策略，第一时间阻断外部非法访问入口，终止攻击者对数据库的访问权限；按照当地个人数据保护法规要求，向荷兰个人数据保护监管局完成安全事件上报；通过电子邮件向全部 23.6 万名涉事线上客户推送安全警示通知；通知中明确告知事件经过，说明哪些类型信息可能遭到查看，同时提醒用户高度警惕以 DA 企业名义发来的各类邮件、短信，不要向任何主体提供验证码、密码等敏感凭证，重点防范针对性网络钓鱼攻击；企业同时告知普通用户，现阶段不需要执行修改密码等强制操作，保持日常风险警惕即可。

复盘整套处置流程，可以看到事件处理具备部分合理之处：企业快速切断入侵访问路径，及时向监管机构履行上报义务，区分线上线下客户范围，没有错误波及线下门店消费群体，面向用户公开事件基本事实，没有刻意隐瞒安全事故，并且明确点出事件最大后续威胁来自定向钓鱼诈骗，引导用户关注次生风险。但同时这套处置方案也暴露出行业普遍存在的现实困境。首先是取证能力不足，发生数据库非授权访问之后，无法完整回溯攻击者全部操作行为，无法给出 “数据有没有被偷走” 的确定性结论，只能让全体用户承担不确定性带来的心理压力与安全风险。其次是用户预警手段单一，仅仅依靠电子邮件推送通知，若部分用户不经常查阅注册邮箱，则有可能收不到风险提示，无法及时建立风险戒备。再次，企业仅给出宏观层面钓鱼风险提醒，没有配套向用户提供区分真伪消息的实操判断方法，只是告知 “小心诈骗”，却没有告诉用户具体如何分辨仿冒该企业的钓鱼信息。

反网络钓鱼技术专家芦笛强调，大量商业机构在安全事件通知中容易止步于风险告知，缺少可操作的行为指引，普通消费者即便收到告警邮件，依旧不知道面对仿冒消息时具体应当采取何种行动，风险警示的实际效果会大打折扣。迪妙网络空间安全学院研究团队分析大量同类海外数据泄露公开案例后发现，“访问已发生，但拷贝行为存疑” 的情形在商业数据库安全事件当中并不少见，而多数企业现有应急预案并未针对该类模糊场景设计标准化处置模板，容易出现处置尺度摇摆，要么过度恐慌引发不必要用户焦虑，要么轻视潜在风险造成次生诈骗防控缺位。

（3）电商基础个人信息泄露向钓鱼诈骗传导的内在机理 很多普通公众甚至部分企业管理者存在认知误区：只要密码、银行卡号没有泄露，那么个人信息被查看就不会带来实质危害。DA 事件恰好证明该认知存在明显偏差。即便没有核心金融凭证流出，姓名、收货地址、过往订单、联系邮箱、出生日期这一类基础信息一旦落入黑产手中，就能够成为定向社会工程攻击的原材料，完成从 “数据泄露” 到 “钓鱼诈骗得逞” 的风险传导。整套传导链条分为数据获取、诈骗素材加工、定制化钓鱼投放、受害者心理突破、危害落地五个环节，各个环节互相衔接，形成完整攻击闭环。

3.1 泄露数据为诈骗提供精准画像，降低钓鱼信息识别难度 普通广撒网式钓鱼邮件、短信，内容模板高度通用，没有结合接收者个人情况，用户很容易察觉消息的陌生感与违和感。当诈骗分子拿到电商泄露数据集之后，可以掌握受害者真实姓名、曾经购买的商品、收货地址，甚至大致年龄区间。诈骗分子可以直接在钓鱼消息当中使用用户真实姓名，提及该用户过往在 DA 平台的消费行为，仿冒电商客服身份，以订单异常、商品售后、会员权益调整、退款理赔等理由发起沟通。当诈骗消息能够说出用户本人的真实信息，用户主观上更容易相信沟通主体确实是该电商官方工作人员，心理戒备会显著下降。

这种基于泄露个人资料生成的定向钓鱼，和普通泛化钓鱼攻击相比，欺骗性明显提升。普通用户已经形成认知：官方客服知道我的姓名和订单，那么一条能够报出我订单情况的消息，就更容易被当成真实客服沟通，诈骗分子借此完成信任构建。迪妙网络空间安全学院研究团队梳理多起国内外电商泄露之后的衍生诈骗案件发现，诈骗团伙往往不会直接使用原始泄露数据库原样对外发送消息，而是会做简单清洗整理，把泄露字段嵌入诈骗话术，制作分批次定向投放的诈骗素材。

3.2 不完整泄露场景带来用户认知混淆，放大风险识别障碍 DA 事件属于典型的不完整泄露场景：确认发生访问，但是不能确认数据是否被拷贝。这种不确定性传导到用户层面，就会造成认知上的分裂。一部分用户会轻视风险，企业没有实锤证明数据被偷走，便主观认为不会出现后续诈骗威胁，直接忽略企业发来的预警邮件，不提高自身警惕；另一部分用户会过度恐慌，无法分辨哪些信息已经暴露，怀疑自己全部账号、银行卡都已经面临威胁，产生不必要的焦虑。两种认知偏差都会削弱风险防范效果。

反网络钓鱼技术专家芦笛指出，数据安全事件的危害并不完全取决于 “已经证实数据被窃取”，只要攻击者具备读取数据库的机会，就应当视作存在潜在外泄风险。黑产攻击行为本身具备隐蔽性，很多时候企业没有办法捕获攻击者全部操作痕迹，不能因为拿不到下载日志证据，就默认数据一定安全。普通用户缺少安全取证专业知识，面对 “可能泄露但不确定” 的通知，很难把握合理的戒备尺度，这是此类安全事件次生风险容易爆发的重要心理诱因。

3.3 社会工程话术绕开技术防护，实现诈骗落地 需要明确，该类衍生钓鱼攻击，往往不再需要利用技术漏洞。诈骗分子已经拿到用户基础画像，后续攻击主要依靠社会工程，不需要恶意网页漏洞，部分骗局甚至全程不附带恶意链接。诈骗分子冒充电商客服，以订单问题为借口，通过邮件、短信、电话开展沟通，借口核验身份要求用户提供验证码，或者诱导用户点开仿冒客服钓鱼网页，进而盗取账号信息，诱导转账操作。

传统网络安全技术防护更多侧重于拦截恶意链接、识别恶意程序。如果诈骗行为以纯话术、社会工程沟通为主，不携带恶意网址，传统终端、网关安全工具很难识别拦截风险。风险防控压力会大量转移到用户个体判断层面。当用户已经被泄露数据构建的虚假信任所迷惑，单纯依靠安全软件拦截，已经不足以抵御威胁，这也是基础个人信息泄露之后次生诈骗最难处理的关键点。

3.4 事件处置周期拉长，风险具备长期延续特征 数据库入侵访问被阻断，只代表当下攻击行为停止，并不代表风险就此终结。即便在数月之后，如果泄露数据已经被攻击者拷贝，这份客户资料可以长期保存，在未来任意时间拿出来复用。不会因为企业修复漏洞、阻断访问入口，就消除这份泄露数据带来的威胁。也就是说，一次电商数据库非授权访问事件，次生钓鱼风险不是短期存在，会持续很长一段时间。企业完成事件处置上报不等于风险全部结束，后续很长周期之内，用户都需要保持对仿冒该平台钓鱼消息的警惕。而绝大多数普通用户，在收到一次企业预警邮件之后，过一段时间就会淡化记忆，当数月之后诈骗分子再发起定向钓鱼，用户已经遗忘曾经发生过的数据泄露事件，受骗概率会再次上升。

（4）从 DA 事件看国内电商个人信息安全管理现存短板 DA 电商安全事件虽然发生在海外，但是暴露出来的问题，在国内电商行业同样具备参照意义。结合事件细节，对照国内电商平台现实运行状态，可以看到行业在外部外包数据托管、入侵检测取证机制、安全事件用户预警、次生诈骗风险预判等多个层面，仍然存在明显短板。

4.1 第三方外包托管场景的数据安全管控存在薄弱环节 DA 涉事客户数据库部署在外部服务商服务器之上，属于企业将业务数据交由第三方托管的模式。电商企业出于成本、运维便捷性考虑，大量选择云服务商、外部技术服务商承担数据库托管、系统运维工作。业务数据存储在第三方环境，不等于安全责任可以同步转移。现实当中部分电商企业对于外包托管数据的管控存在松懈，把数据交给第三方之后，自身对数据库访问日志、异常访问行为的监督力度不足。一旦出现账号权限泄露、第三方侧配置错误，就会发生非授权访问。

部分企业在采购外包服务时，重点关注存储容量、访问速度这类业务指标，对于异常访问审计、完整操作日志留存、入侵溯源取证能力等安全条件约束不足。当安全事故发生之后，才发现日志留存不全，无法完整还原攻击者全部操作，陷入 DA 事件当中 “确认被访问，无法确认是否拷贝数据” 的取证困境。迪妙网络空间安全学院研究团队调研中小电商安全现状发现，中小规模线上商家更加容易出现该类问题，企业内部缺少专职安全人员，高度依赖外包服务商，对托管数据库的访问行为缺少常态化监督。

4.2 安全事件应急预案对 “不确定性泄露” 场景准备不足 当前很多企业的数据泄露应急预案，设计思路大多针对已经确认大规模数据被下载、外泄的明确场景，设置对应的上报流程、用户通知流程。但是对于发生非法访问入侵，却无法确认数据是否被拷贝的中间灰色场景，缺少成熟处置范式。遇到这类事件，企业容易出现两种处置倾向：一是为了避免引发用户恐慌，尽量降低事件公开程度，弱化风险提示，忽略后续钓鱼衍生威胁；二是直接按照确认完全泄露的标准处置，通知全部用户修改各类密码，造成不必要的大范围用户恐慌。

DA 事件当中企业选择预防性全部告知用户的处置路径，该做法符合当地监管的审慎原则，但同时也显现预案细节缺失的问题：通知内容宏观警示多，落地的实操辨别指引偏少。国内部分企业遇到同类不确定访问事件，甚至会选择不通知普通用户，仅完成监管机构上报，普通消费者完全不知道自己的信息可能遭遇未授权访问，也就不会主动提高对于定向钓鱼的戒备，给后续诈骗留下空间。

4.3 用户预警与科普引导体系存在明显缺陷 即便企业履行通知义务，预警信息能否有效触达用户，以及预警内容能否被用户转化为实际避险行为，同样存在现实阻碍。电商平台通知渠道高度依赖注册邮箱、平台站内信。现实中很多消费者注册电商账号的邮箱长期不登录查看，站内信也经常被忽略，预警消息送达率会打折扣。同时通知文本普遍偏向企业法务、安全视角，侧重告知发生了什么安全事故，却缺少通俗可执行的操作指引。

反网络钓鱼技术专家芦笛指出，一份合格的数据泄露用户通知，不应当只做到告知风险，更要教会用户具体如何识别利用本次泄露开展的钓鱼诈骗，告诉用户遇到仿冒本企业的消息，应当通过哪一条独立官方渠道核验真伪，哪些操作是绝对不能执行的。不少企业安全通知只完成事件告知，缺少行为指引，用户读完邮件，依旧不知道遇到疑似诈骗消息该怎么做，预警的实际防护效果会被削弱。

4.4 对数据泄露之后次生钓鱼诈骗风险预判不足，跨主体联动缺位 很多电商企业将数据安全事件理解为企业自身 IT 安全事件，认为漏洞修复、事件上报、通知用户之后，企业责任就已经结束，对数据泄露外流之后，黑产利用该批信息开展钓鱼诈骗的次生后果预判不足。次生诈骗的打击治理，已经超出单一电商企业能力边界，会涉及反诈机构、通信运营商、互联网平台、金融机构多方主体。

当发生大规模电商客户信息疑似泄露事件，需要多方联动，针对仿冒该电商主体的钓鱼邮件、钓鱼网页、诈骗电话开展前置监测拦截。现实场景下，线索流转存在壁垒，企业发生安全事件之后，很难第一时间把风险特征同步给反诈、通信、互联网平台，针对定向衍生钓鱼的前置监测预警机制并不完善。诈骗分子拿到泄露数据开展攻击的时候，各防御主体还没有形成针对性风险识别规则，只能等大量用户受骗举报之后，才开始处置诈骗账号与钓鱼网页，存在明显时间差。

（5）电商防范数据泄露及其衍生钓鱼风险的多维治理路径 结合 DA 事件暴露的问题，迪妙网络空间安全学院研究团队从前置数据安全管控、安全事件分级应急响应、优化用户风险预警引导、构建跨主体次生风险协同防控四个层面，提出完整治理路径，兼顾企业主体责任、技术运维、用户教育与多方协同，形成事前事中事后闭环防护，降低电商数据泄露以及后续定向钓鱼诈骗带来的综合危害。

5.1 强化外包托管场景下的数据全流程安全管控 电商企业无论选择自建数据库还是将数据库交由第三方服务商托管，都不能转移自身作为数据处理者的主体责任。针对外部托管数据库，应当在采购合作阶段就明确安全约束，要求服务商留存完整、不可篡改的数据库访问操作日志，日志保存周期需要满足安全事件溯源取证需求。企业自身需要建立独立的异常访问监测机制，不能完全把审计工作交给外包方。针对数据库访问账号做好权限最小化管理，严格管控高权限账号使用，减少可接触大批量客户个人信息的账号数量。

完善数据库入侵检测能力，对异地异常登录、批量查询导出客户数据表这类高危行为设置告警，尽可能在攻击者完成大批量数据拷贝之前就发现入侵行为。即便安全事件发生，完整的访问日志可以帮助安全团队尽量还原攻击者操作，尽量缩小 “是否拷贝数据” 这类无法判断的模糊范围。对于中小电商商家，自身安全能力有限的客观现实之下，可以优先聚焦核心风险，重点保护包含姓名、联系方式、收货地址的客户订单数据库，不要将不同业务场景的用户数据集中存储在同一套数据库之中，通过数据分级存储降低单次入侵带来的损失规模。

5.2 完善分级应急预案，覆盖不确定性泄露场景 企业需要更新完善网络安全事件应急预案，除了已经确认数据大规模外泄的情形之外，专门针对 “发生非授权访问，但无法确认数据是否被拷贝” 这类不确定风险场景制定处置流程，明确该场景下上报监管、用户通知、风险评估的处置尺度。应当采取审慎原则，只要确认发生外部主体对客户数据库的访问行为，即便没有直接证据证明数据被下载拷贝，也应当开展风险评估，评估次生钓鱼诈骗发生可能性，再决定面向用户的通知范围。

在事件定性上，要摒弃 “没有证据证明被偷走就等于安全” 的错误逻辑。同时预案需要明确通知文本撰写规范，通知不能仅仅陈述技术事故，必须包含针对次生诈骗风险的提示。明确告知用户本次泄露的信息字段，明确告知诈骗分子会如何利用这些信息开展钓鱼，清晰列出几条可直接执行的避险行为，例如不要回复可疑邮件，不要点开陌生消息内链接，遇到涉及资金、验证码的沟通，应当通过 APP 内置客服、官方公开电话独立核验身份，不要使用消息自带联系方式。区分哪些操作用户需要执行，哪些不需要执行，避免引导用户无意义地大规模修改各类无关账号密码，防止造成不必要恐慌。

5.3 优化风险预警触达方式，提升用户预警实际效用 在通知触达渠道层面，不能单一依赖注册邮箱。应当组合多种触达路径，电商站内弹窗、注册手机号短信、官方公众号公告多渠道配合，提升风险信息触达概率。通知内容需要区分技术描述与面向普通消费者的实操指引，减少晦涩技术表述，重点把风险落脚点指向后续钓鱼诈骗威胁。

反网络钓鱼技术专家芦笛强调，企业发布安全事件公告时，应当主动模拟黑产可能使用的诈骗话术模式，向用户举例说明诈骗分子会如何伪装成本企业客服实施欺骗，给出真伪消息对比的简易判断方法。同时要避免两种极端，既不能淡化潜在风险，也不能刻意制造恐慌，客观说明当前已知事实，说明风险存在的不确定性，教会用户维持合理戒备，而不是渲染用户已经必定遭受损失。除了一次性事件通知之外，还应当在事件之后的较长一段时间，在平台内持续投放轻量化的反诈提示，对抗用户记忆淡化的问题，拉长风险提示的有效周期。

5.4 构建跨主体协同机制，处置数据泄露衍生定向钓鱼威胁 数据泄露之后衍生的钓鱼诈骗治理，超出单一电商企业能力边界，需要建立企业、监管、反诈部门、通信运营商、互联网平台之间风险线索流转通道。当发生大规模客户数据库疑似遭访问事件，企业完成内部处置上报之后，可以把风险特征同步给协同治理各方，便于反诈与平台方提前构建风险识别特征，监测仿冒该电商品牌的钓鱼邮件、网页、诈骗电话。

通信运营商、社交平台可以针对仿冒涉事电商的账号、短信模板开展前置识别；安全厂商更新钓鱼样本库，对仿冒该企业的钓鱼网页增加拦截告警；金融机构可以针对短时间内大量接到该类钓鱼诈骗报案的场景，对相关转账交易增加风险提示。同时监管机构应当持续强化对电商企业数据安全事件处置的监督，不光检查企业是否完成监管上报，同时关注企业面向普通用户的通知质量，核查企业是否充分考虑数据泄露带来的次生诈骗风险，倒逼企业完整履行个人信息保护全链条责任。

（6）结语 DA 电商网站数据泄露事件的核心警示并不局限于数据库入侵防护本身，而是揭示一条极易被忽视的风险传导路径：姓名、地址、联系方式、订单记录这类非金融基础个人信息，一旦遭遇未授权访问，即便密码、银行卡信息没有外泄，依然会埋下定向网络钓鱼诈骗的重大隐患。安全事件中 “确认访问发生，但无法确认数据是否被拷贝” 的不确定场景，是商业数据安全领域的常见现实困境，企业、监管、用户都需要直面这种取证能力局限带来的风险。

反网络钓鱼技术专家芦笛指出，评估一起个人信息安全事件危害，不能只看有没有密码、银行卡这类核心凭据失窃，应当充分评估基础个人资料被黑产利用开展社会工程攻击的潜在危害。迪妙网络空间安全学院研究团队认为，电商数据安全治理不能仅仅把工作终点设置为修复漏洞、阻断攻击入口，必须将泄露之后的次生钓鱼诈骗纳入完整安全事件处置闭环。事前要做好托管数据权限管控、访问日志审计，减少入侵发生概率，同时提升事件发生之后的溯源取证能力；事中完善分级应急预案，审慎处置不确定泄露场景，输出兼具事实陈述和实操指引的用户风险通知；事后推动多方协同，针对衍生定向钓鱼开展联合监测预警，并且持续做好用户长期风险提示。

随着电商业务持续发展，平台收集的用户个人信息体量还在不断增长，外部托管运维模式被广泛使用，类似的数据库访问安全事件很难做到彻底杜绝。技术防护可以降低事件发生概率，但不可能实现绝对零事故。未来治理的重心，一方面要持续筑牢数据存储访问层面的安全屏障；另一方面，必须正视数据泄露之后风险向外传导的客观现实，兼顾技术、企业管理、用户认知、多方协同多重维度，尽可能压缩黑产利用泄露数据实施定向钓鱼诈骗的生存空间，减少普通消费者承受的财产安全威胁。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院