Capita搞砸1.5万人养老金门户，35分钟泄露138人隐私

一份价值2.39亿英镑的合同，上线4个月就搞出数据泄露。英国公务员养老金系统（CSPS）的数字化改造，正在变成一场教科书级的翻车现场。

3月30日，138名公务员的年度福利报表（ABS）在系统里"串门"了——有人收到了别人的报表，有人自己的信息被陌生人看到。整个过程只持续了35分钟，但足够让1.5百万用户的信任账户透支。

运营方Capita的回应堪称经典：先暂停功能，再启动调查，最后留下一句"修复期间ABS功能保持离线"。这套组合拳打得行云流水，仿佛演练过无数次。

2.39亿英镑买了个什么

2023年11月，Capita拿下这份肥差。合同内容很清晰：建门户，管运营，让150万现任和退休公务员能在线查养老金。14个月后系统上线，然后噩梦开始。

登录报错、功能失灵、页面残留占位符文本——用户遭遇的是一套未完工就交付的半成品。英国公共账目委员会（Public Accounts Committee）的评语毫不留情：这套系统"无法处理工作量、无法应对流量、连占位符都没清干净"。

Capita的解决方案？找微软。不是修底层架构，而是上聊天机器人。官方建议用户"稍等片刻"，让AI来救场。这个决定的效果，从后续发展看，大概相当于用创可贴贴骨折。

内阁办公室被迫启动应急支援，抽调150名公务员手动处理积压 correspondence。而Capita的解释是：前任管理员留下了8.6万件积压案例，比预期多得多。

公共与商业服务工会（PCS）的说法更直接：这是场"fiasco"（惨败），8500名新退休公务员的养老金发放被延迟。原定6月底清完积压，但工会明确表示"越来越怀疑"这个目标。

35分钟的窗口期，暴露了什么

数据泄露的技术细节Capita语焉不详。只知道ABS生成功能在那35分钟里"准确性"出了问题——一个模糊的表述，掩盖了138份报表在错误账户间流转的事实。

PCS秘书长Fran Heathcote的表态像一记重锤：「这是对成员养老金管理信心的又一次重创。」

信息专员办公室（ICO）已收到报告，正在评估。内阁办公室的措辞保持官僚腔调："极其重视"，"必要时考虑进一步行动"。但PCS的潜台词更刺耳：工党政府上台时承诺"一代人最大规模的内部化浪潮"，而Capita的每一次失败都在为外包模式敲响丧钟。

Heathcote的原话被截断在"br"——从上下文推断，她要说的是"bring the service back in-house"（将服务收回内部运营）。这个未完成的句子，恰好成了整个事件的最佳注脚。

外包模式的系统性困境

Capita不是新手。这家外包巨头处理过英国 countless 政府项目，从军方招募到电视执照费。但CSPS项目暴露的 pattern 过于熟悉：低价中标、过度承诺、交付缩水、危机响应滞后。

2.39亿英镑的标价在政府采购里不算天价，但换算成单用户成本——约160英镑——买到的却是聊天机器人补丁和150名临时公务员的手动救火。这个ROI（投资回报率）计算，任何产品经理看了都会失眠。

更深层的问题在于数据架构的设计。ABS报表的生成逻辑为何会在35分钟内出现交叉污染？是缓存机制缺陷、会话管理漏洞，还是数据库查询条件错误？Capita没有公开技术复盘，但"立即暂停"和"保持离线"的措辞暗示：问题可能根植于核心模块，而非表面配置。

英国政府的数字化项目有个 recurring theme：把复杂系统外包给承诺"一站式解决"的供应商，然后在交付后发现集成点比预期多十倍，边缘案例比测试用例多一百倍。CSPS的遗留积压、用户规模波动、历史数据迁移——这些在招标阶段被低估或模糊处理的变量，最终都变成了上线后的火药桶。

Capita的辩护策略是强调"继承问题"：8.6万件积压不是我们的锅。但这个论点有个漏洞——如果前置评估没能识别出这个风险量级，要么是尽职调查失职，要么是投标策略性地选择性失明。无论哪种，都不构成对用户的有效交代。

信任重建的成本

138人是个小数字，放在150万用户基数里几乎可以四舍五入。但数据泄露的心理冲击从来不是线性计算的——每个受影响者背后是一个具体场景：某人发现报表上的地址陌生，某人被配偶追问为什么养老金数额"对不上"，某人在周末晚上刷新页面时看到别人的全名和福利细节。

这些场景不会出现在Capita的事故报告里，但会出现在社交媒体、工会投诉信、以及下次选举的选民记忆里。

内阁办公室承诺的"进一步行动"会是什么？合同罚款、服务范围缩减、还是提前终止？英国政府有先例：2019年，Capita丢失国防部招募数据后，合同被大幅重组。但CSPS项目的特殊性在于替代方案——把150万用户的养老金管理"内部化"，需要重建一支数百人的专业团队，时间成本以年计。

PCS的"内部化"呼声因此显得既合理又遥远。合理是因为外包模式的失败已累积到临界点；遥远是因为任何政府都难以在任期内消化这种转型。Heathcote那句被截断的话，或许正是这个困境的隐喻——方向明确，终点模糊。

Capita的ABS功能至今离线。对于那138名用户，以及8500名被延迟发放养老金的退休者，"修复中"三个字的分量，大概比任何审计报告都重。

当一家外包商需要微软聊天机器人和150名临时公务员来填补系统漏洞时，这个模式本身是不是已经变成了需要被"修复"的对象？