泰国总理身份证照片外传，谁为数据泄露事件负责？

在当今数字化时代，一切事务均可在线上渠道办理，个人信息和交易记录都以电子形式存储。公众原本相信政府机构、私营企业以及大型组织会妥善保护个人隐私，但接连发生的数据泄露事件正在动摇掉这份信任。

大型数据库汇总数据显示，全球约有500亿条登录凭证泄露，其中包括密码和登录信息。仅在泰国，泄露的登录信息约2亿条，涉及3万个政府网络系统和3.5万个私营部门系统。这些数据大多来自老旧系统，这类系统缺乏运维，导致外泄的数据长期流通于暗网。

近期，泰国证券存管中心（TSD）发生证券账户信息泄露，受影响用户超20万人；泰国陆路运输厅数据库同样遭到泄露，大量公民的驾驶证照片、身份证资料外流，包括总理阿努廷在内的多位官员的身份证照片、车辆登记信息在社交媒体上流传开来。

数据是如何泄露的？

关于车辆登记数据可能源自陆路运输厅的问题，交通部副部长西里蓬在检查了该厅信息系统后透露，发现来自三个机构的可疑IP地址表现出异常的搜索行为。

初步调查显示，这并非数据黑客攻击事件。相反，此次活动源自同一IP地址、同一地点，并且涉及使用同一用户帐户进行两次登录。外泄的数据、照片文件和陆路运输厅厅内部原始存档存在出入。

陆路运输厅允许63家政府机构及合作机构接入API（应用程序编程接口），这些数据访问权限用于维护公共秩序，例如配合国家警察局核查犯罪记录、办理营运驾驶证，或在边境关卡排查可疑车辆。该数据通道省去纸质申请流程，原先耗时45天的业务，现在只需1天即可完成。

本次信息泄露起因是，拥有API接入权限机构的工作人员账号密码遭盗用。诱因分为两种，工作人员的个人账户被黑客入侵，或者员工调岗离职后，机构没有及时注销其访问权限。

政府升级数据安全性

8月11日，泰国总理府发言人拉查达通报，内阁会议批准国家网络安全委员会提出的防范账号登录凭证泄露处理方案，推出多因素身份验证（MFA）措施，例如使用数字身份系统ThaID，或其他高安全等级的核验方式。此举旨在强化政府机构的个人信息防护能力，抵御网络风险，增加公众、企业及投资者的信任，推动泰国网络安全标准接轨国际水准。

内阁同时准许国家网络安全委员会依据2019年《网络安全法》开展工作，督促公私机构落实委员会决议。该法案授权国家网络安全委员会统筹对接公私部门、快速处置网络安全险情。

总理府发言人表示，内阁还批准了通过国家网络安全委员会提出的三项措施：

强制重置密码：要求300余个政府部门公职人员立即更改登录密码，阻断不法分子利用外泄账号密码入侵系统；

清查政府系统：各部委及下属机构排查超3万个信息系统；发现老旧、废弃闲置系统，须在15天之内永久关闭后端访问入口。此前许多机构仅关停网页前端，遗留的后端接口形成安全漏洞；

多因素身份核验机制：全部政务系统实施多因素身份核验MFA机制。

为响应内阁决议，泰国个人数据保护委员会于8月12日推进大规模网络安全升级举措，联动全国超3，700家公私机构的数据保护专员网络，加快重置相关系统的账号与密码。同时督促各方实施多因素身份验证（MFA）机制，降低非法入侵盗取资料的风险。

委员会搭建起数据“上游-中游-下游”工作框架，完善常态化防护机制，以提升政企双方的数据安全标准。

处在数据上游、掌管核心系统和数据库的陆路运输厅、行政厅开展排查整改，关停高危访问通道。陆路运输厅已暂停涉事API接口接入权限，行政厅关停闲置系统的访问入口，规避公民个人信息风险。针对中游及下游环节，即非法获取、使用、外泄信息的外部不法人员，网络犯罪调查总局正在加紧调查案件。

公众应该怎么做？

数据泄露事件凸显了日益严重的个人信息安全危机，其影响范围也越来越广。一旦源头发生数据泄露，信息往往会流入暗网进行交易。暗网运作体系复杂，不法分子伪装IP地址跨越多个国家，通过难以追踪的渠道完成交易。即便官方封禁相关IP，黑客与买家也可以使用其他方式绕过封锁，获取泄露的资料。

当不法分子购入公众的个人信息后，便会实施电信诈骗。不法分子能准确报出受害者姓名、身份证号码、交易记录等资料，使其误以为来电人员是公职人员。后续再通过施压、恐吓等方法，诱骗受害者转账、泄露账号密码或下载恶意软件，最终盗取受害者的资金。

现有网络安全系统并非万无一失，泄露信息极易落入不法分子手中。公众需提高自身防范意识，独居人士和老年人最容易受害。

接到陌生来电时务必警惕，您的姓名、住址、身份证号、手机号可能已经外泄，自己和身边人随时会成为骗子的目标。即便对方报出准确个人资料，也绝不能轻信对方是公职人员。

修改密码是最有效的自保手段，应当定期更换密码。切忌使用身份证号码、出生日期、手机号充当密码，这类数字极易被骗子破译；密码设置需要复杂难猜，各个账号不要共用同一组密码。

核查金融平台的身份验证方式。银行除证件核验之外，还配备短信验证码、人脸识别、私密问题等校验。出于安全考量，所有可用的软件账号务必开启双重身份认证。

做好个人信息管控，注册账号时仅提交必填信息。面对安全性存疑的网站和服务，优先使用和主金融账号无关的备用手机号、邮箱进行登记。

当数据泄露造成损害时，公民可依据《个人数据保护法》维权，或提起集体诉讼。集体诉讼是指多名信息泄露受害人提起消费者集体民事诉讼，索要实际损失赔偿以及惩罚性赔偿金，适用于机构存在重大疏忽的情形。

数据泄露事件表明，数字化世界中不存在百分百安全的系统，相关部门的疏忽会助长诈骗分子的气焰，公众需做好第一道自我防护。政府应加强数据保护，持续检修和升级网络系统安全，使其符合国际安全标准。