苹果资料风波还没结束，印度最大核电站又有近1.9万份文件外泄

哈喽，今天小李又来唠点国际事。

这两起事件都指向同一个勒索软件组织——World Leaks。

这不是“核泄漏”，但同样不能当成普通公司丢了几份表格。核设施的图纸、设备供应商、通风冷却系统和人员访问关系，一旦被别有用心者系统整理，可能成为寻找安全薄弱点的拼图。

库丹库拉姆核电站位于印度南部泰米尔纳德邦，是印度现有核电站中规模最大的一座。

已经投入商业运行的1号和2号机组装机容量合计2000兆瓦，3号和4号机组仍在建设，规划装机容量同样为2000兆瓦。信实基础设施公司2018年获得合同，负责3号、4号机组部分常规基础设施的设计和建设。

也就是说，数据不是直接从核电站反应堆主控系统中被盗走的，而是从承包商信实基础设施使用的第三方服务器中流出。信实集团承认发生了“部分数据泄露”，并表示涉事服务器由印度数据中心服务商Yotta托管，相关情况已报告政府。

这一区别很重要。把它说成黑客已经控制印度核反应堆，显然没有事实依据；但因为泄露源头是承包商，就认为事情无关紧要，同样站不住脚。

现代核电项目从来不是一家公司关起门来完成的。运营方、设计单位、建设承包商、设备制造商、保险机构和数据服务商，共同组成一条很长的供应链。核心控制网络可以保持隔离，但只要外围承包商的服务器防护薄弱，攻击者仍然可能从侧面收集工程信息。

城堡的大门没有被撞开，不等于周围的道路、仓库位置和守卫交接表可以随便公开。

印度核电有限公司随后回应称，公开数据只与常规“电厂辅助设施”有关，不涉及核安全或核安保系统。印度部长吉滕德拉·辛格也表示，没有敏感核数据泄露，因此暂时没有立即开展全面审查的必要。

这番表态在技术层面并非全无依据。反应堆保护系统、核材料管理系统与普通工程辅助设施，安全等级确实不同。没有证据表明核电站正在运行的1号、2号机组因此失去控制，更不能把一次网络数据泄露直接推演成核事故即将发生。

但“没有触及核心系统”和“没有安全风险”，中间仍隔着很长一段距离。

核威胁倡议组织高级主管尼古拉斯·罗斯认为，这批数据可能对核电站安全构成严重风险。不法分子理论上可以利用图纸绘制辅助系统结构，查找供应商，判断哪些人员能够进入项目，以及这些访问权限可能触及哪些设备。

我的判断是，真正值得警惕的不是某一张图纸，而是大量零散信息被组合起来之后产生的效果。

单独一份通风图纸未必危险，一份供应商名单也未必属于最高机密。但攻击者如果同时掌握设施布局、设备型号、承包商名称、验收记录和人员权限，就可能判断哪里依赖单一供应商，哪个辅助系统缺乏备份，哪些企业更容易遭到网络钓鱼或内部渗透。

网络安全里最怕的往往不是一把万能钥匙，而是一大串看似普通、最后却能拼出完整路线的线索。

Yotta表示，其系统在5月29日发现信实基础设施服务器存在可疑活动，当时已经终止相关行为，并阻止了疑似勒索软件运行。但直到6月底，信实基础设施才向Yotta提到外部攻击者声称掌握泄露数据。

在我看来，这条时间线暴露了比技术漏洞更麻烦的问题：重大基础设施的数据安全事故，谁负责发现、谁负责上报、谁负责向公众解释，似乎并没有形成足够清晰、快速的机制。

印度计算机应急响应小组已经介入调查，印度核电有限公司也在与信实集团沟通。但印度核电有限公司一名高级官员被媒体引述称，由于泄露发生在信实方面，而不是核电站运营系统，运营方当时尚未准备提交警方初步报案。

从行政责任上看，这种解释可以理解；从关键基础设施安全角度看，却显得有些机械。

攻击者恰恰不会按照组织架构图行动。他们不会在意服务器属于运营方、承包商还是数据中心，只会寻找防护最薄弱、资料最集中、最容易下手的一环。倘若各方都认为“问题不发生在我的系统，所以主要责任不在我”，供应链安全就容易陷入无人真正兜底的状态。

更何况，这不是库丹库拉姆核电站第一次与网络安全事件产生联系。2019年，该核电站行政网络中曾发现恶意软件。印度方面当时表示，受影响的是行政网络，关键内部系统保持隔离，核电站运行没有受到影响。

两起事件的性质并不相同，但它们共同提醒印度：隔离核心控制网络只是第一道防线，承包商管理、数据分级、第三方服务器、员工权限和事故披露制度同样属于核安全体系。

库丹库拉姆事件之所以格外引人关注，还因为World Leaks此前刚刚攻击过塔塔电子。

World Leaks曾向路透社声称，他们向塔塔方面索要150万美元赎金，因对方没有回应，才公开相关数据。

企业拒绝向犯罪团伙付款，本身未必是错误决定。真正的问题在于，塔塔是否及时隔离系统、通知客户、保存证据并评估供应链风险。如果只剩下“付钱”或“公开”两个选项，说明安全防线早在勒索信出现之前就已经失守。

印度正在扩大核电规模，也希望成为全球电子制造和高端供应链的重要节点。这些目标并没有问题。问题在于，一个国家越想承接高价值制造、能源和基础设施项目，就越不能把网络安全当成出了事故之后才处理的附属工作。

技术合作建立在设备、资金和市场之上，更建立在信任之上。一次泄露可以被解释成偶发攻击，两次相近时间发生的大规模事件，就会让外界开始怀疑企业内部控制、第三方管理和监管响应是否存在系统性短板。

库丹库拉姆事件最应该引发的，不是对某个民族的嘲笑，更不是把数据泄露夸大成核灾难，而是对关键基础设施供应链安全的认真追问。

真正成熟的技术强国，不只是能够建造反应堆、组装智能手机，也要有能力管理权限、保护图纸、审查承包商，并在事故发生后迅速、透明地说明情况。

这些工作听起来远不如“核能雄心”或“制造业崛起”响亮，却决定了雄心究竟能走多远。