索尼 So-net 泄露 258 万用户数据：供应商攻击的又一次演示

索尼网络通信披露，So-net 会员数据库被入侵，超过 258 万名现任及前任客户的个人数据被拿走，另有 54401 名用户的邮箱密码泄露。

这周的同一主题重复了四次

PwC 确认学习记录通过供应商站点被攻破；澳大利亚多家度假公园在预订软件商 RMS Cloud 出事之后，向客户发出诈骗邮件预警；Gheist 行动用窃取的 GitHub token 扫荡开发者仓库；一家证书颁发机构的中间 CA 被污染，导致 Terraform、Cilium、cert-manager、Vault、Argo CD、Crossplane 集体发版更换信任库。

共同点很清楚

攻击者不再硬撬前门。他们去打你的供应商、你的开源依赖、你的 CI 流水线、你的证书链——那些你默认信任、从不审查的环节。

第三方风险管理的实操清单

第一，把所有能接触用户数据的外部供应商列出来，标注它们各自能碰到哪些字段。第二，在合同里写明泄露通知时限，别等到新闻爆出来你才知道。第三，准备一套面向终端用户的沟通模板——受害者收到的钓鱼邮件往往比官方通知更早到，速度就是信任。第四，定期检查你依赖的 SaaS 的公开安全公告，别只看自己家的监控面板。

对个人的提醒

任何声称来自你常用服务的邮件，要求点链接改密码或者补填银行卡，一律从官网入口进，不要点邮件里的链接。这条建议十年没变过，因为攻击手法也没怎么变。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

供应商攻击这周重复了四次，共同点很清楚：打的是你默认信任从不审查的环节。合同里写明泄露通知时限这条最容易被忽略，受害者收到的钓鱼邮件往往比官方通知到得还早。

一周内四起都指向同一个入口：供应商。甲方边界防护再厚，乙方一个管理后台被拿下就等于绕过所有防线。给供应商开账号时必须限定到具体数据范围，能只读别给写，能短期别给长期。

258 万用户数据加 5.4 万邮箱密码，供应商这条链又中招了。想问的是这类事件里普通用户除了改密码还能做什么，邮箱一旦泄露，后续钓鱼邮件几乎是必然的。企业侧我理解要收紧第三方权限，但甲方到底怎么审供应商的访问范围，有没有能落地的检查清单。