美国最大的 10 起数据泄露事件 [2026]

1. 简介：为什么数据泄露对美国组织是一种风险？#

过去几年，美国的数据泄露事件有所增加，成为组织、个人和政府机构关注的焦点。仅 2024 年，报告的事件数量就达到了 3,158 起，影响了超过 13.5 亿人。考虑到 2021 年仅记录了 1,862 起泄露事件，这是一个令人担忧的增长。诸如金融服务、医疗保健和专业服务等行业受到了特别严重的打击，突显了它们的脆弱性以及对网络犯罪分子的吸引力。医疗保健领域的泄露事件已被证明尤为严重和持久。2023 年，高达 725 起与医疗保健相关的数据泄露事件暴露了超过 1.33 亿条记录，其中最大的一起事件就影响了 1130 万人。到 2024 年 4 月，仅仅 54 起医疗保健泄露事件就影响了超过 1500 万名患者。

在本博客中，我们分析了美国历史上十大最严重的数据泄露事件，揭示了它们是如何发生的、其影响以及组织必须吸取哪些教训来防范未来的威胁。

2. 为什么美国是数据泄露的热门目标？#

作为世界上最大经济体的美国，由于以下几个明显特征，成为网络犯罪分子的热门目标：

2.1 最大的经济体和数据量#

美国是全球最大的经济体，也是技术、金融、医疗保健和零售等行业的全球中心，每个行业都生成和存储大量敏感数据。这些庞大的数据存储库构成了寻求经济利益、宝贵知识产权或用于身份盗窃和欺诈的个人信息的攻击者的有利可图的目标。

2.2 大公司和政府机构的存在#

作为全球经济强国，美国拥有许多财富 500 强公司、跨国公司以及负责基础设施和国家安全的关键政府机构。这些组织管理着包含敏感客户、员工和运营数据的庞大数据库。此类信息的关键性质增加了违规的可能性和严重性，放大了网络事件可能造成的损害。

2.3 法规拼凑#

美国各州和行业之间分散的监管格局导致网络安全标准不一致，造成数据保护和执行方面存在潜在漏洞。与具有统一且严格的网络安全法规的国家相比，这种拼凑的方法降低了网络犯罪分子的门槛，使他们更容易识别和利用漏洞。

综合来看，这些因素使美国处于一个特别脆弱且吸引网络威胁的环境，必须采取主动的网络安全措施。

3. 美国最大的数据泄露事件#

在下文中，您将看到美国最大数据泄露事件的列表。这些数据泄露事件按受影响帐户数量降序排列。

3.1 雅虎数据泄露事件 (2013–2016)#

在 2013 年至 2016 年的一系列网络攻击中，雅虎遭遇了至今仍是美国历史上规模最大的数据泄露事件，约 30 亿个用户账户被入侵。被盗信息包括姓名、电子邮件地址、电话号码、出生日期、哈希密码（使用被认为不安全的 MD5 算法）以及未加密的安全问题和答案。此次泄露事件与国家支持的行为者有关，人们怀疑是俄罗斯特工所为。

影响巨大：雅虎的声誉受到严重损害，并且由于此事，Verizon 在 2017 年收购雅虎的价格直接打折了 3.5 亿美元。批评的焦点在于雅虎延迟公开披露以及过时的安全做法，特别是使用了薄弱的密码哈希算法并且未能正确加密关键的安全数据。

防范方法：

• 为密码和敏感信息使用更强的加密标准（如 bcrypt）
• 建立快速的违规通知协议
• 采用多重身份验证（例如通行密钥）来减轻凭据盗窃的影响

3.2 National Public Data (NPD) 泄露事件 (2024)#

2024 年 3 月，大型数据经纪商 National Public Data (NPD) 遭遇了美国历史上最大的泄露事件之一，暴露了约 13 亿个人的敏感信息。一个配置错误的数据库允许对高度详细的个人记录进行未经授权的访问，包括全名、物理地址、出生日期、社会安全号码、电话号码和电子邮件地址。该泄露事件导致近 29 亿条数据记录受到牵连。

暴露的数据造成了严重的身份盗窃和欺诈风险，导致 NPD 的运营在几个月内崩溃。调查显示，该公司缺乏基本的安全措施，例如适当的数据库访问控制和定期的漏洞评估。这一事件重新引发了公众关于对在没有足够安全义务的情况下处理大量个人信息的数据经纪人进行监管和监督的辩论。

防范方法：

• 对敏感数据库实施严格的访问控制和身份验证机制
• 定期审核和测试系统中的漏洞和配置错误
• 对静态和动态的个人信息进行加密以尽量减少暴露风险

3.3 Real Estate Wealth Network 数据泄露事件 (2023)#

2023 年 9 月，房地产数据聚合商 Real Estate Wealth Network (REWN) 因未受保护的数据库在没有身份验证的情况下暴露在互联网上而遭受大规模泄露。约 15 亿条数据记录被访问，包括姓名、家庭住址、所有权记录、电话号码和与财产相关的敏感细节，涉及知名公众人物和名人。

此次泄露事件因高知名度个人的房地产持有情况被曝光而引起了媒体的极大关注，引发了对人身安全和针对性攻击的担忧。专家批评 REWN 未能实施基本的网络安全协议，例如数据库身份验证、加密和访问日志记录。

防范方法：

• 要求对所有数据库进行身份验证，甚至是那些包含公开来源数据的数据库
• 定期进行渗透测试和安全审核
• 持续监控暴露的资产以及早发现配置错误

3.4 Facebook 数据泄露事件 (2019/2021)#

2019 年，网络犯罪分子利用 Facebook 的联系人导入功能，抓取了 106 个国家/地区约 5.33 亿用户的个人信息。尽管 Facebook 在当年晚些时候限制了大规模数据抓取，但该编译数据集于 2021 年 4 月再次公开出现，当时它被发布在黑客论坛上供免费访问。

与攻击者直接访问内部系统的传统漏洞不同，此事件涉及使用可用的平台功能进行大规模自动数据收集。泄露的数据集包括姓名、电话号码、电子邮件地址和位置信息，给钓鱼、SIM 卡交换攻击和其他形式的身份剥削带来了严重风险。Facebook 因低估被抓取数据的影响及其对披露的缓慢反应而面临广泛批评。

防范方法：

• 通过更严格的 API 和功能访问控制来限制数据暴露
• 使用自动检测工具监控异常抓取行为
• 发生大规模数据抓取时主动通知用户和监管机构

3.5 领英数据泄露事件 (2021)#

2021 年 6 月，领英（LinkedIn）经历了一起重大数据抓取事件，暴露了约 7 亿用户的信息（约占当时其用户群的 92%）。攻击者利用领英 API 系统性地收集公开的个人资料信息，包括姓名、电子邮件、电话号码、地理位置数据和工作经历。被抓取的数据集后来在暗网论坛上出售。

虽然领英声称没有泄露隐私数据并且信息是公开可见的，但网络安全专家强调，数据的体量和汇集仍然对目标钓鱼、社会工程学和身份盗窃具有很大风险。该事件突显了抓取“公共”数据和在进行大规模汇集时严重侵犯隐私之间的模糊界限。

防范方法：

• 在 API 上实施速率限制和 CAPTCHA 保护措施以阻止自动抓取
• 增强异常检测系统以识别大规模数据收集
• 教育用户在他们的个人资料上限制公开可见的信息

3.6 Exactis 数据泄露事件 (2018)#

2018 年 6 月，美国数据聚合和营销公司 Exactis 意外暴露了一个包含约 3.4 亿个人和企业记录的数据库。一名安全研究人员发现了这一漏洞，他发现该数据库无需任何密码保护即可在线访问。暴露的数据包括姓名、家庭住址、电话号码、电子邮件地址以及非常详细的个人特征，如兴趣、习惯和财务信息。

尽管没有确认恶意行为者在数据受到保护之前访问过这些数据，但泄露信息的广度和粒度带来了身份盗窃、钓鱼和其他针对性攻击的高风险。该事件引起了人们对数据经纪商在很大程度上不受监管的做法的关注，并推动了美国加强数据隐私立法的呼声。

防范方法：

• 始终要求对数据库访问进行身份验证
• 限制收集和存储的敏感个人信息的数量
• 定期进行审核和安全审查，确保采取适当的数据保护措施

3.7 First American Financial Corporation 数据泄露事件 (2019)#

2019 年 5 月，First American Financial Corporation，美国最大的所有权保险和结算服务提供商之一，因网站漏洞暴露了约 8.85 亿份敏感记录。由于访问控制不当，任何拥有有效文档 URL 链接的人都可以通过简单地修改 URL 中的数字来查看其他不相关的文档，而无需身份验证。

泄露的文件包括关键的财务和个人信息，如社会安全号码、银行帐户详细信息、抵押贷款记录和税务文件，使客户面临严重的欺诈和身份盗窃风险。鉴于房地产交易记录的高度敏感性，此次泄露事件尤为令人担忧，它也突显了整个金融部门在 Web 应用程序安全实践方面存在重大差距。

防范方法：

• 实施强大的访问控制和文档存储库的身份验证检查
• 在公开发布应用程序之前进行彻底的安全测试（例如渗透测试）
• 监控和审核应用程序访问模式，以便尽早发现异常行为

3.8 Ticketmaster 数据泄露事件 (2024)#

2024 年 5 月，世界上最大的票务公司之一 Ticketmaster 遭受了一次大规模数据泄露，影响了全球约 5.6 亿客户，其中很大一部分在美国。据报道，攻击者通过受损的第三方云存储环境获得了未经授权的访问权限，暴露了客户姓名、家庭和电子邮件地址、电话号码，以及在某些情况下的部分付款卡详情。

此次泄露再次引发了对第三方供应商风险和云安全的担忧，特别是对于处理金融交易的大规模消费者平台。这也引发了对该公司遵守 PCI DSS 和 GDPR 等现代数据保护标准的质疑。事件发生后，Ticketmaster 面临多起集体诉讼和监管调查。

防范方法：

• 加强供应商风险管理并定期审查第三方提供商
• 加密所有存储的客户信息，尤其是与付款相关的数据
• 对云环境实施零信任访问模型以限制攻击面

3.9 MySpace 数据泄露事件 (2016)#

2016 年 5 月，一名被称为“Peace”的黑客在暗网上列出了大量待售的 MySpace 用户数据，包含约 4.27 亿个帐户。虽然这些数据似乎源于 2013 年或更早发生的违规行为，但直到数年后才被发现。暴露的记录包括用户名、电子邮件地址和受未加盐 SHA-1 哈希算法较弱保护的密码，使得它们极易被破解。

尽管在违规事件浮出水面时 MySpace 的受欢迎程度已经下降，但该事件仍然构成了风险，因为许多用户跨多个平台重复使用密码。因此，MySpace 泄露的凭据可用于对其他服务进行撞库攻击。该事件强调了对强密码哈希实践和及时泄露检测的迫切需要。

防范方法：

• 使用现代、安全的密码哈希算法，如 bcrypt 或 Argon2
• 定期轮换加密实践并弃用过时的算法
• 监控凭据泄漏情况并提醒用户在泄露后及时重置密码

3.10 摩根大通数据泄露事件 (2014)#

2014 年，摩根大通（JPMorgan Chase）披露了美国金融领域遭受的最重大泄露事件之一，影响了约 7600 万户家庭和 700 万家小型企业。攻击者通过受感染的员工帐户获得访问权限，利用了该银行网络基础设施的漏洞。虽然没有窃取诸如帐号、密码或社会安全号码等财务信息，但攻击者确实获取了姓名、地址、电子邮件地址和电话号码。

此次违规事件引起了极大的关注，因为该银行在美国经济中扮演着至关重要的角色，并在整个金融服务行业对网络安全准备情况发出了警报。它导致了更加严格的监管审查，并促使许多金融机构重新评估其网络安全框架，特别是在员工帐户保护和网络分段方面。

防范方法：

• 对所有内部和外部帐户实施多重身份验证 (MFA)
• 实施强大的网络分段，在妥协的情况下限制横向移动
• 针对员工访问管理定期测试和更新安全协议

4. 美国数据泄露趋势#

在研究了截至 2025 年美国发生的最大数据泄露事件之后，我们注意到这些违规事件中反复出现的一些观察结果：

4.1 基本的配置错误与复杂的网络攻击一样成问题#

在许多最大的数据泄露事件中，一个共同点是，它们不是高度复杂的攻击的结果，而是基本配置错误和被忽视的漏洞所致。没有密码保护的开放数据库、薄弱的访问控制以及未正确保护的 API 屡次让攻击者轻易侵入。在 National Public Data 和 Real Estate Wealth Network 泄露事件等案例中，简单地扫描互联网上的不安全系统就足以访问数十亿条记录。这突显出，如果投资于基本的网络安全防范措施，如访问控制、适当的加密和系统强化，将可以防止这些事件的发生。

4.2 个人信息是首要目标#

另一个值得注意的趋势是对敏感个人信息的持续攻击和暴露。实际上在所有违规行为中，数据集都包括姓名、地址、出生日期、电子邮件地址、电话号码，以及在最严重情况下的社会安全号码。暴露个人详细信息的广度大大增加了身份盗窃、钓鱼攻击和金融欺诈的风险。例如，实施强大的密码策略和访问控制对于非营利组织的欺诈预防至关重要。组织，甚至那些金融或医疗保健等受监管行业之外的组织，需要采用最高安全标准来处理收集到的个人数据，因为其对攻击者的价值始终很高。

4.3 密码保护和加密薄弱#

糟糕的密码管理实践和过时的加密保护措施进一步加剧了几起违规事件的后果。在雅虎和 MySpace 等事件中，密码要么是使用诸如 MD5 和 SHA-1 等薄弱的哈希算法存储的，要么没有充分加盐，使得密码一旦被盗便极易被破解。这让攻击者可以通过凭据填充（撞库）在其他服务中重复使用密码，从而显著扩大了影响范围。即使在密码被盗的情况下，强健的加密方法和现代加密标准也能极大地限制用户和公司面临的下游风险。

4.4 API 漏洞利用和大规模数据抓取#

数据泄露战术的一个重要演变是越来越依赖 API 漏洞利用和数据抓取，而不是传统的黑客技术。像领英和 Facebook 等泄露事件表明，攻击者越来越多地利用安全性差的 API 或面向公众的功能来收集海量用户数据。虽然公司往往通过强调数据的公开性来淡化抓取行为，但抓取信息的汇总和组合可以构建强大且危险的数据库。这一趋势强调了组织有必要在所有 API 和公共接口上采用严格的速率限制、监控和身份验证控制，以与后端系统相同的严谨程度来对待它们。

5. 结论#

美国历史上最大的数据泄露事件揭示了一个清晰且一致的模式：大多数事件都是可以避免的。许多违规行为并非源于高度先进的网络攻击，而是源于基本错误：未受保护的数据库、过时的加密标准、不充分的 API 保护，以及低估了个人信息的价值。这些失误使攻击者能够相对轻易地访问大量敏感数据，将个人暴露在身份盗窃、金融欺诈和针对性攻击等风险中。

对于各种规模和行业的组织而言，网络安全基础不容忽视的教训是明确的。保护个人数据不仅需要强大的技术措施，还需要对系统配置、加密标准、供应商风险管理和漏洞检测采取主动的方法。随着收集的数据量呈指数级增长，保护数据的责任也随之增加。

关于 Corbado

Corbado 是面向大规模运行 consumer 身份验证的 CIAM 团队的Passkey Intelligence Platform。我们让你看到 IDP 日志和通用 analytics 工具看不到的内容：哪些设备、操作系统版本、浏览器和 credential manager 支持 passkey，为什么注册没有转化为登录，WebAuthn 流程在哪里失败，以及什么时候操作系统或浏览器更新会悄悄破坏登录 — 而且无需替换 Okta、Auth0、Ping、Cognito 或你自有的 IDP。两款产品：Corbado Observe 提供 针对 passkey 及任何其他登录方式的 observability。Corbado Connect 提供 内置 analytics 的 managed passkey（与你的 IDP 并存）。VicRoads 通过 Corbado 为 500 万以上用户运行 passkey（passkey 激活率 +80%）。 与 Passkey 专家交谈 →

常见问题解答#

为什么在 2013-2016 年数据泄露期间雅虎的安全措施被认为是不充分的？#

雅虎使用 MD5 这种加密较弱的算法来存储密码，并且完全未对安全问题和答案进行加密。该泄露事件与据信是俄罗斯特工的国家支持行为者有关。尽管泄露事件在几年前就已经发生，但雅虎因延迟公开披露（直到 2016 年才透露全面情况）而面临严厉批评。

National Public Data 是如何在没有复杂网络攻击的情况下泄露数十亿条记录的？#

2024 年 3 月，National Public Data 配置错误的数据库允许在没有任何身份验证的情况下进行未经授权的访问。该公司缺乏基本的安全措施，包括适当的数据库访问控制和定期的漏洞评估。该泄露事件导致近 29 亿条数据记录受损，并直接导致 NPD 在几个月内停止运营。

为什么即使抓取的数据在技术上是公开的，API 抓取也被认为是严重的数据泄露风险？#

正如领英泄露事件（7 亿用户，约占其用户群的 92%）和 Facebook 泄露事件（5.33 亿用户）所表明的那样，攻击者利用安全性差的 API 大规模收集数据。汇总单独的公开数据点会创建详细的个人资料，从而实现大规模的钓鱼、SIM 卡交换和身份盗窃。

哪些密码哈希失败加剧了雅虎和 MySpace 泄露事件的下游影响？#

雅虎使用 MD5 哈希，而 MySpace 使用未加盐的 SHA-1，两者都是加密薄弱的标准。这些方法使被盗凭据很容易被破解，使攻击者能够在用户重复使用密码的其他平台上进行撞库攻击。像 bcrypt 或 Argon2 这样的现代算法将显着降低这种下游风险。

分散的美国监管格局如何增加组织遭受数据泄露的脆弱性？#

美国各州和行业层面法规的拼凑造成了网络安全标准的不一致，在数据保护和执行方面留下了空白。与具有统一严格法规的国家相比，这种方法降低了网络犯罪分子识别和利用漏洞的门槛。像 NPD 和 Exactis 这样的数据经纪商在承担极少安全义务的情况下运作，尽管他们掌握着数十亿条敏感的个人记录。