TechCrunch 6月3日盘点了2026年至今破坏性最大的网络攻击和数据泄露。名单里最扎眼的，不是某一条新闻有多大，而是攻击目标已经变了：社保数据库、水务电力、学校平台、开源工具链、执法监控系统、护照和驾照文件，全都被放进了同一张风险图里。
这说明一件事。网络安全风险正在从“丢了多少数据”，变成“服务还能不能跑、身份还能不能信”。如果还只把安全预算当成边界防火墙的费用，企业低估的会是停摆、合规和信任这三笔账。
政府数据库和关键基础设施，已经不是后台事故
最敏感的一起事件还在诉讼和调查中。举报人称，Elon Musk主导的美国“政府效率部”（DOGE）人员曾把美国社保数据库的 live copy 上传到不安全的第三方服务器。美国社会保障署在法庭文件里说，尚不确定服务器上到底存放了哪些数据。
这件事不能直接写成已经坐实的“超级泄露”。但它至少说明，政府内部流程、外部承包和政治目标混在一起时，公民数据会变成难追责、难止损的高风险资产。
| 类别 | 代表事件 | 真正外溢的影响 | 仍需保留的判断 |
|---|---|---|---|
| 政府数据 | DOGE被指上传社保数据库副本 | 可能触及数字身份和公民权益 | 数据范围尚未查清 |
| 关键基础设施 | 欧洲和美国水务、电力设施遭威胁或攻击 | 可能直接影响供水供电 | 多数归因仍是“被指/相关” |
| 执法系统 | FBI监控系统被入侵 | 可能暴露监听目标电话号码 | 细节尚未完全公开 |
欧洲和美国的水务、电力也在承压。波兰能源电网、瑞典热电厂、挪威水坝和波兰水处理设施先后遭攻击或威胁，其中多起被归因于或被认为与俄罗斯相关。美国也警告，伊朗相关黑客可能盯上防护较弱的私营水务设施。
这类事件放在一起看，结论很直白：公共服务不是抽象概念。电网、水厂、监控系统一旦出事，出问题的不是一份日志，而是现实里的停电、停水和安全披露。
语音钓鱼和供应链投毒，把企业风险往外推
教育科技公司 Instructure 是一个典型样本。ShinyHunters 通过语音钓鱼拿到系统访问权限，窃取了 Canvas 平台上超过 3000 万名学生和员工的私人数据。公司没有支付赎金后，黑客再次入侵，还篡改了学校登录页面，时间正撞上美国学校的期末考试。
这类攻击的杀伤力不只在数据量。对学校来说，课程、作业、考试都压在同一个平台上，平台一停，教学秩序就会跟着乱。ShinyHunters 还被关联到 Charter 约 4000 万条记录、Carnival 至少 600 万条客户记录等事件，说明低技术门槛的社工手法，依然能击穿大型组织的身份验证流程。
供应链攻击则更隐蔽。Aqua Security 的 Trivy、Bitwarden、Checkmarx 以及多个开源项目今年都遭到投毒，恶意版本可以窃取密码、凭据和敏感令牌，再继续影响依赖这些工具的下游企业，包括 OpenAI 和 Vercel。
| 攻击路径 | 典型后果 | 更该警惕的人 |
|---|---|---|
| 语音钓鱼 | 直接拿到系统权限，随后窃取大量用户数据 | 安全团队、客服和一线运维 |
| 供应链投毒 | 开发工具本身被污染，风险顺着更新和依赖包扩散 | 开发团队、平台工程、采购团队 |
和传统入侵相比，这两条路更麻烦。前者绕过的是人的判断，后者绕过的是软件信任链。一个打进账号，一个打进工具箱。
身份文件泄露，正在拖累 KYC 和年龄验证
护照、驾照等政府签发身份文件，也在变成新的集中风险。酒店入住系统、汇款 App、监狱电话服务商和英国签证服务等多个服务，都暴露了超过 200 万人的个人证件材料。
这对合规团队最麻烦。KYC、年龄验证和封闭社区准入都在要求用户上传更多证件，但证件扫描件一旦泄露，验证系统本身就会被反过来削弱。被盗的护照和驾照不只可用于冒名开户，也会让平台原本依赖的“实名”信任变得更脆。
对科技与安全行业读者，最该盯的是三件事：高权限账号有没有收紧，第三方接入有没有清点，开源依赖有没有做供应链审计。
对关注数据合规和基础设施风险的企业管理者，更现实的是四个动作：能不收证件就别收；必须收的，尽量缩短留存期；采购 SaaS 和验证服务时，把审计权、隔离要求和应急停摆预案写进合同；核心系统别只靠单点登录和单层防护撑着。
名单里这些词本来不该放在一起。社保、水电、考试、护照一旦同框，说明安全问题已经从后台，走到前台了。