印度最大核电站库丹库拉姆，近1.9万份绝密文件被黑客挂到暗网上公开叫卖。设计图纸、供应商名单、员工资料，全泄露了。运营方云淡风轻地说“无风险”。一个把国家安全绑在承包商服务器上的国家，却连自己的核电站都守不住。
 
7月中旬，一个名叫“World Leaks”的勒索软件组织，在暗网上公开了与印度最大核电站相关的大量文件缓存。这些文件总计近1.9万份，14.3吉字节，最早可追溯到2016年。
 
泄露的文件包括什么？工程各阶段的设计图纸、供应商和供货商详细信息、员工资料、采购记录、保险单、会议和检查记录、设备审查记录、印度与俄罗斯工程师的联合检查记录。
 
文件涉及核电站的控制、冷却和通风系统等关键工程蓝图。甚至包括印度核电公司与承包商之间详细的技术规格和设计方案。
 
这不是什么“通用服务设施”的普通文件。这是核电站的“操作手册”和“建筑图纸”。一个黑客组织只要顺着这份图纸，就能摸清核电站的每一根血管、每一条神经。
 
找到供应商，就是找到供应链的薄弱环节。绘出支持系统地图，就能在关键时刻精准打击。
 
这次数据泄露的源头，指向了核电站的承包商之一，印度信实基建有限公司。信实基建在2018年赢得合同，负责为核电站的3号和4号机组设计和建造基础设施。这两个机组仍在建设中，计划2027年投入运营。
 
信实基建把数据托管在第三方印度数据中心服务提供商Yotta的服务器上。Yotta在5月29日就发现了服务器上的可疑活动，立即终止了操作。
 
可直到6月底，信实基建才告知Yotta发生了数据泄露。从发现异常到正式通报，整整拖了一个月。
 
更让人后背发凉的是这不是库丹库拉姆核电站第一次出网络安全问题。2019年，与朝鲜黑客组织“拉撒路集团”有关的恶意软件，就曾感染过核电站的行政网络。
 
面对如此严重的数据泄露，印度官方什么反应？运营方印度核电有限公司的回应是，外泄文件仅与承包商建造的通用服务设施相关，不涉及核电站安全和安保系统，因此无需担忧。
 
可专家的判断完全不同。美国非政府组织“核威胁倡议”高级主任表示，这次数据泄露可能对电站安全构成“严重”风险。
 
独立网络安全研究员指出，从理论上讲，根据泄露文件可以绘制出核电站相关支持系统地图，识别供应商并找到供应链薄弱环节。核电站项目内部消息人士承认，这起事件在高层中引发了“绝对骚动”。
 
问题的关键，从来不只是技术漏洞。核电站的核心数据，为什么要存放在承包商的第三方服务器上？信实基建作为承包商，其数据安全标准是否达到了核设施应有的水平？政府监管部门有没有定期审查承包商的网络安全状况？
 
从5月29日发现异常到6月底才通报，整整一个月的信息真空，监管机构在哪里？
 
关键基础设施运维外包后，政府监管如何穿透企业数据孤岛？当一个核电站的核心数据存放在承包商租用的第三方服务器上时，国家安全就已经不再掌握在自己手里。供应商成了最脆弱的侧翼。这个教训，对全球基建外包模式都有警示意义。
 
印度在遭受数据泄露最多的国家中排名第三。在对印度204家组织的调查中，约73%“不知道自己是否曾遭受攻击”，57%缺乏网络安全习惯。
 
当国家安全依附于民企防火墙时，需要建立强制性的“核设施网络卫生标准”与连带追责制度。否则，下次泄露的就不只是图纸了。
 
有些门，一旦打开就再也关不上了。核电站的设计图纸一旦被公开，就等于把自家的保险柜密码贴在了大街上。印度这次丢的不只是数据，是核安全的底牌。
 
印度核电站把核心图纸交给承包商存放在第三方服务器上，结果被黑客一锅端。你觉得这种“公私责任错配”的模式，在全球还有多少核电站正在用？

参考资料：涉近1.9万份文件！印度最大核电站大规模数据泄露——新华网