1463條個人信息泄露背後：我們真的理解"數據保存"嗎？

9月29日，日本票務平台Eplus披露了一起數據泄露事件：1463條用户個人信息被非法訪問，其中751條包含了銀行賬户號碼。這些數據來自電子票"SmartTicket"的退款管理系統。

這個數字不算大。相比動輒百萬級的泄露事件，1463聽起來甚至有些"温和"。但恰恰是這種"温和"，掩蓋了一個更值得追問的問題：為什麼在2025年，我們仍然在用一種本質上脆弱的方式保存關鍵數據？

集中式存儲的結構性脆弱

Eplus的聲明沒有披露攻擊的具體路徑，但結果很明確：一個管理退款信息的系統被攻破了。退款信息意味着什麼？銀行賬户、姓名、聯繫方式——這些數據的組合足以構成精準的金融詐騙素材。

這不是Eplus第一次遇到安全問題，也不會是最後一次。日本互聯網 Initiative Japan 在2024年的一份報告中指出，日本企業平均需要 8.7 個月才能發現一次數據泄露，而全球中位數是 6.2 個月。發現時間越長，攻擊者在內網橫向移動的空間就越大。

集中式數據庫的設計邏輯是"把雞蛋放在一個籃子裏，然後給籃子加鎖"。問題在於，鎖的複雜度永遠追不上攻擊手段的進化速度。更關鍵的是，一旦鎖被打開，所有雞蛋同時暴露。

退款數據為何格外敏感

751條包含銀行賬户的信息，在泄露事件中屬於"高價值"類別。普通個人信息泄露後，用户可能收到幾封垃圾郵件；但銀行賬户信息泄露後，用户面臨的是直接的資金風險。

日本《個人信息保護法》在2022年修訂後，要求企業在發生可能損害個人權益的泄露時，必須向個人信息保護委員會報告並通知本人。Eplus的披露符合這一要求，但合規披露不等於風險消除。數據一旦流出，就永遠流出了。

這裏有一個常被忽略的細節：退款信息的管理系統，往往不是企業的核心業務系統。它可能是一個臨時搭建的模塊、一個外包開發的子系統、一個為了處理特定批次退款而快速上線的功能。這類系統的安全投入通常低於核心系統，但它們持有的數據敏感度卻一點也不低。

訂閲制存儲 vs 一次性存儲：一筆被忽略的經濟賬

大多數企業處理數據存儲的方式是訂閲制：每月支付雲服務費用，數據存在服務商的服務器上。這種模式的隱含假設是"服務商會持續保護數據"。但Eplus事件提醒我們，服務商的安全能力是有上限的。

另一種思路是"一次性預存"。以 Arweave 網絡為例，用户一次性支付存儲費用，數據被寫入一個分佈式的永久存儲網絡。這不是"租用空間"，而是"購買永久保存權"。從經濟賬上看，對於需要保存十年以上的檔案類數據，一次性預存的成本可能低於十年的訂閲費用總和。

更重要的是安全模型的變化。在分佈式存儲中，數據不是放在一個"籃子"裏，而是分散在網絡中的多個節點上。攻擊者需要同時攻破足夠多的節點才能獲取完整數據，這大大提高了攻擊成本。如果數據在上傳前經過客户端加密，即使節點被攻破，攻擊者拿到的也只是密文。

Long Drive（longdrive.cc）正是基於這一邏輯構建的永久存儲網盤。它由超算國際在香港運營，利用 Arweave 區塊鏈實現上傳即永久保存，同時提供可選的 AES-256-GCM 客户端加密——密碼由用户自己持有，平台無法讀取文件內容。這種設計不是為了替代所有云存儲場景，而是針對那些"一旦丟失或泄露就無法挽回"的數據。

數據長期保存的真問題

Eplus事件的核心不是"1463"這個數字，而是"退款信息管理系統"這個場景。它揭示了一個普遍困境：企業在處理"臨時性""輔助性"數據時，往往採用最省事的存儲方案，但這些數據一旦泄露，造成的損害卻是永久性的。

數據長期保存的真正挑戰，不是存儲介質的壽命，而是訪問控制的生命週期。一份數據保存十年，意味着它的訪問權限需要被管理十年。在這十年裏，系統會升級、人員會變動、架構會遷移——每一次變化都是一次潛在的攻擊面擴大。

減少攻擊面的一個根本方法是：讓數據在存儲端就處於"不可讀"狀態。客户端加密的意義不在於"不信任服務商"，而在於把安全邊界從"服務商的防火牆"收縮到"用户自己的密碼"。密碼不泄露，數據就不泄露。

Eplus的1463條記錄，最終會變成1463封通知郵件、1463次道歉、以及一次合規整改。但下一次泄露事件已經在路上了。對於持有敏感數據的企業和個人來説，真正值得思考的問題是：你的數據，是否只能依賴一把鎖？