高盛客户数据泄露，锅却在会计师

高盛的客户数据出事了，但被捅穿的不是高盛的网络。

据 Financial Times 报道并经客户通知确认，EY（安永）一个支撑其税务服务的平台发生数据泄露，暴露了 高盛 财富管理部门和 Man Group 客户的个人与财务信息。几乎同一时间，丹麦数字事务大臣宣布，该国人口登记数据库被黑客通过一家拥有合法登记访问权限的第三方公司攻破，880 万人的姓名、地址和 CPR 号码（丹麦个人识别号）被访问。

两起事件隔着一个大洲，剧本却几乎一样：数据的主人没丢数据，丢数据的是替他们保管数据的人。

这不是偶然。当越来越多机构把税务、合规、登记这类敏感职能外包给专业服务商，攻击者的最优解早已改变——与其硬啃银行的核心系统，不如去敲那些『有钥匙、但门没那么厚』的邻居。

⚠️ 两起泄露，同一个剧本

先看 EY 这条线。

泄露的信息属于 高盛 财富管理条线的客户和 Man Group 的客户，内容是个人与财务数据——在税务场景下，这几乎等于一个客户的完整财务画像：收入结构、资产配置、跨境安排。关键是，事发的平台是支撑 EY 税务服务的系统，不是两家金融机构自己的网络。换句话说，客户出于税务合规的目的把数据交给顾问，顾问的数据库出了问题。

再看丹麦这条线，规模更大、也更刺眼。

黑客攻入的是丹麦人口登记数据库——按丹麦媒体的说法，这个库保存着与丹麦有连接的『每一个人的基本所有身份信息』，无论在世、离世还是早已迁居海外。880 万人，对一个约 590 万人口的国家意味着什么，不难算：这不是一次『部分用户受影响』的泄露，这是整个国家的身份底座被打穿了一次。

而攻击路径同样耐人寻味：黑客不是攻破了登记系统本身，而是通过一家拥有合法登记访问权限的第三方公司进入的。这家公司为什么有权限、权限有多大、有没有被有效监控，目前公开信息有限，但『合法访问权成为攻击入口』这一点已经足够说明问题。

两件事放在一起，是一个正在成型的攻击范式：攻击者不再追逐数据，而是追逐访问数据的权利。

🔗 合法访问权，是最大的后门

过去十年，企业安全投入的重心是『把边界修厚』——防火墙、EDR、零信任、多因素认证。这套打法对直接攻击确实越来越有效，于是攻击曲线发生了迁移：既然正门难进，那就找持有合法钥匙的人。

这个逻辑在供应链攻击研究里不是新命题，但在数据泄露场景下被低估了。软件供应链攻击偷的是代码和更新通道，而『受信任第三方』泄露偷的是更朴素的东西——访问权本身。税务顾问、登记代理、审计机构、托管服务商，这些角色的商业模式就建立在『被授权接触敏感数据』之上。

下表把两起事件的关键要素并排看，会发现结构高度同构：

结构同构意味着防御也必须是同构的。欧盟的 DORA（数字运营韧性法案）和 NIS2 已经把『关键第三方服务商』纳入监管射程，丹麦这类国家级登记系统更是首当其冲。而在金融行业，监管对外包和云服务的集中度要求也在收紧——逻辑只有一个：当一家服务商出事会波及几十家机构，它就不再是『别人的风险』，而是系统性风险。

一个完整的第三方泄露链条，大致长这样：

注意链条的起点和终点：数据是机构客户交出去的，锅最终也是机构客户背的。高盛 和 Man Group 的客户通知里恐怕都要回答同一个问题——你们为什么把我的数据放在那里，放之前审过吗？

📊 责任怎么算，牌子砸在谁头上

第三方泄露最拧巴的地方在于责任与品牌的错位。

从合同和监管的角度看，EY 作为数据处理者，泄露责任在它；从客户感知的角度看，收到通知的是 高盛 的客户，头条上挂的是 高盛 和 Man Group 的名字。数据托管方担责，品牌方受伤——这个错位会直接改变机构的采购行为。

据多位接近大型财富管理机构的人士透露，过去两年机构尽调问卷里关于『服务商数据驻留、权限管理、泄露通知时限』的条目明显变多，有的机构甚至开始要求对顾问方的关键系统做现场评估。这在以前是不可想象的：四大会计师事务所的税务系统，客户方凭什么去审计？现在不一样了，数据出的事，都是自己的事。

把市面上承接敏感数据外包的服务商放到一个坐标系里看，行业的分化其实已经开始：

右上象限的玩家会越做越大——监管在替它们清场。而左下角的『传统登记代理』们，正是这两起事件里被击穿的那类角色：手里有合法权限，安全投入却和十年前没什么区别。丹麦那家被渗透的第三方公司，大概率就落在这个象限。

更深层的问题是披露机制。丹麦数字事务大臣周一对外宣布，但黑客实际进入的时间点、发现的时间点、为何延迟披露，公开信息并不完整。泄露通知的『时间差』正在成为公众信任的又一消耗点——尤其在身份信息 national scale 泄露的场景下，居民需要第一时间知道该防什么：精准诈骗、钓鱼、账户盗用。信息披露每慢一天，攻击者的窗口期就多一天。

🛠️ 谁来堵这个洞

对机构而言，问题的本质可以概括成几对矛盾：

这几条里，最值得强调的是第一条。丹麦事件里，攻击入口是『合法访问权』——这意味着传统的边界检测大概率完全失效：登录凭证是真的、访问路径是合规的、数据读取在其权限范围内。唯一的破局点是对行为做监控：这家第三方公司平时每个月查几千条记录，突然某天批量拉取几十万条，异常立刻可见。如果登记系统侧有基线告警，880 万人的代价本可能止步于几千条。

对 EY 事件的后续，值得盯三件事：泄露的确切规模与数据类型范围、是否涉及后续欺诈活动、以及 高盛 等受影响机构是否会重新评估与顾问方的数据合作条款。每一次大型第三方泄露之后，都会有一轮供应商合同的重新议价——这几乎是行业规律。

💡 小结

EY 税务平台和丹麦人口登记这两起泄露，隔空互为注脚：数据的安全水位，正在由链条上最薄弱的那个受信节点决定。机构安全的『优秀』，已经不能只看自己的城墙，还要看合作伙伴的门锁。可以预见，第三方风险管理会从合规附件变成采购硬门槛，拥有合法访问权的服务商将迎来一轮强制性的安全洗牌。下一次头条，未必还是四大会计师事务所——但剧本大概率还是这一个。