科技
百万护照信息泄露：一次"低级错误"引发的数据安全危机
你住酒店时，有没有想过一个问题：你的护照信息和驾照扫描件，到底被存在哪里？
大多数人的答案是"酒店系统里"，但仅此而已。没人会多想一层：这些数据是谁在保管？有没有加密？访问权限设置对了吗？
2026年5月，安全研究人员发现了一家酒店入住系统供应商的重大失误——他们把存放客户敏感信息的云存储桶，设置成了"公开访问"模式。
结果就是：任何一个人，只要知道这个 bucket 的地址，不需要密码，就能下载数百万份护照和驾照的扫描件。
一场"云上裸奔"是怎么发生的
这次事件的核心问题，用大白话说就是：该加锁的地方，没加锁。
涉事的酒店入住系统供应商，将客户提交的身份证件扫描件存在了云存储服务（很可能是 AWS S3 或类似服务）上。根据安全行业通行的"最小权限原则"，存放敏感文件的存储桶应该设置为"私有"，只有经过授权的应用和员工才能访问。
但这家供应商的操作是：把存储桶设置成了"公开"。
这意味着，任何人只要拿到文件的直接链接，就能像下载普通图片一样，把这些护照、驾照扫描件一台一台地 down 下来。
安全研究人员用了"一个链接扫天下"来形容这种漏洞的危害程度——不需要黑进任何系统，不需要盗取任何账号，只要拼出正确的 URL 格式，就能批量拉取数据。
据报道，涉及的数据量在百万级别，影响范围覆盖使用该系统的多家酒店。
为什么这个问题比你想象的更严重
护照和驾照扫描件，是身份认证的"黄金材料"。
有了这些文件，攻击者可以：
- 冒充身份申请信用卡或贷款，受害者信用记录一夜清零
- 伪造身份证明，开设银行账户或注册公司
- 进行定向诈骗，利用详细的身份信息让受害者毫无防备
- 转售数据，在地下黑市上，这类数据集价格极高
和密码泄露不同，密码泄露了你还可以改。护照号、驾照号这些东西，一旦泄露，几乎无法撤回。你不可能为了防止被冒用就去换一本新护照。
这就是为什么安全圈把这类漏洞称为"高危"——它的影响是长期且不可逆的。
为什么这类"低级错误"频频发生
很多人会问：这种错误这么基础，为什么还能发生？
答案很残酷：云时代，配置错误的代价被低估了。
传统服务器时代，不开机、不配置网络，外部根本访问不到数据。但云存储不同——它是"默认开放"的。如果不主动去收紧权限，数据就会处于可公开访问的状态。
很多中小型 SaaS 服务商，优先考虑的是"功能跑起来"，安全配置往往被当作"之后再做"的事情。
还有一些公司，会用同一套云存储服务存放不同类型的数据——公开的产品图片和私密的身份证扫描件，躺在同一个 bucket 里。一旦 bucket 配置出了问题，连带影响的就是所有数据。
此外，还有一个普遍现象：企业往往不清楚自己有哪些数据存在云上，以及这些数据的访问权限是什么。
根据云安全机构的调查，约 70% 的云存储泄露事件，本质上都不是被"黑客入侵"，而是自己的"配置疏忽"。
怎么知道自己有没有受影响
如果你在近两年内住过酒店，并且被要求扫描或上传了护照、驾照等证件，以下几点可以帮助你判断风险：
第一，查看是否收到酒店或相关方的数据泄露通知。 根据各地数据保护法规（如 GDPR、个保法），企业有义务在发现数据泄露后通知受影响用户。
第二，关注你的信用报告。 定期查询自己的信用记录，看是否有不明的新账户或贷款申请。虽然这不能防止被盗用，但可以帮你尽早发现异常。
第三，对可疑邮件和电话保持警惕。 有了详细身份信息的诈骗者，往往能说出你的姓名、住址、入住日期，让人很难怀疑。
企业应该如何避免类似问题
如果你是相关行业从业者，以下是几个基本操作：
一、存储桶永远不要默认公开。 存放用户敏感文件的云存储，权限必须精确到应用和人员级别，绝不接受"以后再收紧"。
二、敏感数据分类管理。 产品图片和身份证扫描件，不应该存在同一个服务里，应该按数据敏感级别分开存储。
三、定期做云安全审计。 很多云服务商提供安全检查工具，可以自动发现配置过松的存储桶。
四、加密存储。 即使 bucket 不小心配置错误，加密也能在很大程度上保护数据不被直接利用。
五、最小权限原则。 每个云资源、每个员工账户，只给完成工作必需的最小权限，不多给。
一个值得思考的问题
这次事件最让人不安的地方，不是攻击者技术多高超，而是：一个配置错误，百万人的敏感数据就成了"裸奔"状态。
这背后反映的是一个更深层的信任问题：我们把最私密的个人信息，交给了一个又一个不了解、不透明的系统。
你去住酒店，是因为信任这家酒店。但酒店用的是第三方入住系统，系统的数据存在云服务商那里——这条信任链很长，长到没人知道尽头在哪里。
作为个人，我们很难去审查每一家接触过我们数据的公司。但作为企业，特别是处理大量敏感个人数据的企业，安全不是"可选配置"，而是基本义务。
一次配置错误，毁掉的是百万人的身份安全。
参考来源：TechCrunch 2026年5月15日报道