4,109名英国议员、欧洲议会议员、法国国民议会议员和参议员以及美国政治工作人员的电子邮件地址和其他敏感信息已被泄露到非法买卖数据的暗网市场上。我们搜索了来自英国议会、欧洲议会和法国议会的2,280个官方政府电子邮件地址在暗网上的情况。我们发现大约40%的邮箱地址已被曝光，连同密码、出生日期等信息。

2024年9月，我们将这项调查扩大，以检查有多少美国政治工作人员的电子邮件地址出现在暗网上。（我们没有包括美国政治家的电子邮件地址，因为它们并不总是公开的。）我们搜索了超过16,000名工作人员的电子邮件地址。

英国议员的情况最糟，超过三分之二（68%）的已检查电子邮件地址出现在暗网上，其次是近一半（44%）的欧盟议员和大约20%的美国政治工作人员。法国国民议会议员和参议员的安全性最好，只有18%的已搜索电子邮件地址出现在黑客交易中。

这些电子邮件在政府网站上公开，但出现在暗网上，这本身并不是安全问题。这也不是英国、欧洲、法国议会或美国国会遭到黑客攻击的证据。相反，这表明政客和工作人员使用他们的官方电子邮件地址在第三方网站上建立账户（后来遭到黑客攻击或遭到入侵），将他们自己和他们受托保管的信息置于不必要的风险之中。

更令人担忧的是，这些电子邮件地址与所有研究地区的 2,545 个纯文本密码相匹配。如果政客或工作人员重复使用其中一个暴露的密码来保护他们的官方电子邮件帐户，也可能面临风险。

我们已经看到，一个被入侵的电子邮件账户就能造成多大的破坏。2016 年美国总统大选期间，希拉里·克林顿的幕僚长遭遇网络钓鱼攻击，电子邮件被曝光，泄露了令人尴尬的消息，引发了各种 猜测的讨论。想象一下，如果攻击者能够访问这些政客和工作人员的官方电子邮件账户的一小部分，他们会造成多大的混乱。

这些议员、欧洲议会议员、众议员和参议员中，许多人都身居要职，包括委员会负责人、政府部长和高级反对派领导人，他们能够接触高度敏感的信息。更糟糕的是，他们中的一些人目前或曾经在负责监督和执行国家（和国际）数字战略的委员会任职。许多工作人员为同样身居要职的政客服务，他们也能接触敏感信息。

虽然我们不会发布任何可识别的数据以避免个人面临风险，但我们可以透露，我们的调查显示，民选政治家及其工作人员经常使用他们的官方电子邮件注册 LinkedIn、Adobe、Dropbox、Dailymotion、请愿网站、新闻服务等服务，甚至在少数情况下注册约会网站。

下面，我们将分享调查的全部结果，这种对网络安全的松懈态度可能导致什么后果，以及政客、他们的工作人员和其他所有人可以采取哪些措施来提高他们的网络安全。

政客和工作人员的数据被泄露

---

在我们的调查中，我们不幸地发现政客的电子邮件中包含各种敏感信息，包括他们的出生日期、住址和社交媒体账户。这些信息加在一起，为攻击者提供了大量细节，使他们能够进行令人信服的网络钓鱼攻击。

	搜索的电子邮件地址数量	被泄露的电子邮件地址数量	泄露的密码数量	以明文形式暴露的密码数量
欧洲议会	705	309	161	27
英国议会	650	443	216	30
法国议会	925	166	320	137
美国政界工作人员	16,543	3,191	2,975	1,848

法国政客的表现优于其他民选官员

---

如前所述，我们搜索的法国政客的电子邮件中只有 18% 出现在暗网交易所中。然而，这些泄露事件的分布并不均匀。在法国参议院，我们搜索的 348 名参议员（33%）的电子邮件中有 115 名被泄露，而国民议会议员的 577 名中只有 51 名（约 9%）被泄露。

如果一位法国政治家的信息被泄露，他们的信息平均出现在7.8次泄露中。如果这个数字看起来很高，那无疑是因为法国有一位政治家的电子邮件地址遭受的泄露次数最多（137次），并且有最多的密码以明文形式暴露（133次）。

法国也是最坏情况实际发生的一个例子。2023 年 11 月，记者发现一名攻击者窃取了一名议会成员电子邮件地址的用户名和密码，并在暗网上出售其官方收件箱的访问权限。这个故事最令人惊讶的方面可能是要价仅为 150 美元（138 欧元）。

在巴黎奥运会开幕前一个多月，这些结果凸显了人们对政客网络安全实践的担忧，一次漏洞就可能对国家安全造成严重威胁。

大多数英国政客的信息被泄露

---

根据我们的调查结果，英国议员幸运地没有遭受过涉及账户接管的重大丑闻，尽管68%的搜索邮箱地址在暗网上被发现，其中包括政府和反对党中的高级人物。议员们的邮箱地址总共在暗网上被曝光了2,110次，其中最受攻击的议员经历了多达30次的数据泄露。他们也反复出现，平均每位被泄露的议员的信息出现在4.7次数据泄露事件中。

英国曾多次成为国家支持的网络攻击的目标，包括来自俄罗斯的攻击。2023年12月，英国政府指责俄罗斯对英国学者、政界人士和政策制定者进行了“多年的网络攻击”。英方声称，俄罗斯联邦安全局（FSB）试图通过网络钓鱼手段窃取这些人的私人邮件信息。

随着英国即将举行的大选，新当选的议员必须认真对待个人及国家的网络安全，并严格遵守官方账户的安全流程和协议。

欧盟也是目标

---

虽然欧洲议会议员遭受的数据泄露次数少于他们的英国同行，但我们搜索的近一半电子邮件地址在暗网上出现。在309名被曝光的欧洲议会议员中，有92人卷入了10次或更多的数据泄露事件。布鲁塞尔的政治家们的电子邮件地址被曝光了2,311次，还有161个明文密码。这是一个红色警报，因为欧洲议会越来越成为复杂攻击的目标，并承认其准备不足。

当Politico询问欧洲议会和即将到来的选举的安全性时，一位不愿透露姓名的工作人员（由于问题的敏感性）说：“我们几乎是赤裸裸地暴露在外，如果有人想黑我们，比如任何威胁行为者或其他国家行为者，他们都可以得逞”。

数千名美国政客的幕僚被泄露

---

我们对美国政客的工作人员进行了与欧洲政客相同的暗网监控（我们没有包括政客本人，因为他们的电子邮件地址并不总是公开的）。这些工作人员可以接触到大量的敏感信息，其中一些人还持有安全许可，可以访问机密信息。

尽管我们搜索的大约20%的16,543个电子邮件地址出现在了暗网上，但这仍然意味着有3,191名美国众议员和参议员的工作人员账户处于风险之中。我们还发现了1,848个与这些电子邮件地址一起出现的明文密码，这代表了大量可能被攻破的账户。

近300名国会工作人员的资料在超过10次的数据泄露中被曝光，其中一人在暗网上被发现有31个明文密码（这是我们在美国政治工作人员中找到的最多数量）。至少，这些被攻破的账户可以为攻击者提供大量用于说服性的社会工程攻击的信息。

这令人担忧，因为华盛顿特区过去十多年来一直是全球攻击者的主要目标之一。今年早些时候，未知的攻击者试图通过声称来自白宫和参议院多数党领袖查克·舒默的短信来钓鱼数十名参议员。2023年，《华盛顿邮报》报道了越南国家行为者试图通过X（前身为推特）上分享的恶意链接来破坏国会设备。2018年，被称为“奇幻熊”的俄罗斯黑客被指控试图获取至少三名国会议员候选人的消息和电子邮件。当然，在2016年的总统大选期间，希拉里·克林顿的竞选负责人约翰·波德斯塔的电子邮件也被黑客入侵。

鉴于如此多的美国政治工作人员的登录信息在暗网上可获得，加上他们面临的攻击数量，很可能至少有一些账户已经被攻破。随着美国进入另一个争议性的选举周期，美国政治工作人员的网络安全实践已经成为国家安全问题。

网络安全就是国家安全

---

在我们的调查中，受影响的政治人物通常是因为服务提供商（如LinkedIn或Adobe）的数据泄露而暴露了个人信息。即使接管其中一个账户不会让攻击者（或外国政府）接触到国家机密，也可能泄露该政治人物的私人通信或其他敏感数据。攻击者随后可以利用这些信息来钓鱼或勒索这些政治人物。

而这还是最好的情况。如果一个被攻破的政治人物在一个官方账户上重复使用了一个在暗网上暴露的密码（并且没有使用双因素认证），这可能会让攻击者进入政府系统。

遗憾的是，只要犯一次错误就足以使你的在线信息面临风险。而对于政府而言，只需要一组被黑或泄露的登录凭证就能暴露机密秘密。

简单的步骤可以让我们更加安全

---

互联网创造了一个几乎无法解决的困境：几乎不可能在日常生活中不在线，但在线维护自己的安全也同样困难。政客们也和我们其他人一样是人，他们也会犯错。有时，即使你做了一切正确的事情，你的信息仍然可能出现在黑客数据库中。

显然，大型公司也应该承担很大一部分责任。正如不断发生的数据泄露事件所显示的，他们必须更好地保护收集的账户信息。然而，政府官员，尤其是有权访问敏感政府信息的立法者，必须比普通人拥有更强大的威胁模型。这适用于任何公众人物——无论是学者、记者、企业高管等。

首先，任何人都不应该使用他们的职业电子邮件来创建在线账户，特别是那些有权访问机密信息的政府官员。你的电子邮件地址是你的在线身份，允许大型科技公司、广告商，有时甚至是恶意攻击者跟踪你在互联网上的活动。使用官方政府电子邮件地址创建账户就像每次走进房间时大喊：“我是有价值的目标”。

以下是每个人，尤其是政客和任何其他受到公众关注的人，如果认真提高账户安全性应该采取的一些简单步骤：

• 使用电子邮件别名 – 电子邮件别名可以隐藏帐户的所有者（至少在别名被泄露时）。您还可以轻松删除明显已泄露或落入不当之手的别名，而不会影响您的真实电子邮件地址或其他别名。
• 使用密码管理器 – 密码管理器可能无法防止服务以明文形式泄露密码，但它可以确保您的每个帐户都受到强大、随机、唯一的密码的保护。一个好的密码管理器还应该使共享和管理密码变得容易，从而降低您通过写下密码而泄露密码的可能性。
• 使用暗网监控服务 – 即使您做对了所有事情，但一家粗心大意的公司的数据泄露仍会将您的信息暴露在网上。但如果您有暗网监控服务，您的信息被检测到时，您就会收到通知，让您在攻击者使用之前更改您的电子邮件地址（或理想情况下，您的电子邮件别名）和密码。

来源公众号：独眼情报