摘要
数字化公共身份登记系统是现代社会政务服务、金融核验与社会保障业务运行的底层基础设施，第三方机构合法授权访问机制能够提升公共数据社会化利用效率，但同时衍生出授权被恶意滥用的新型安全威胁。本文以丹麦中央人口登记系统（CPR）大规模数据泄露事件作为核心研究样本，梳理事件完整发生脉络，剖析攻击者借助合作企业合法查询权限实施批量数据窃取的攻击路径，结合同期丹麦技术大学身份管理系统遭定向网络攻击的配套安全事件，解析公共身份数据集泄露之后驱动大规模网络钓鱼、身份欺诈的内在逻辑。研究发现，传统安全防护更多聚焦抵御外部黑客直接入侵数据库，却普遍忽视受信任第三方权限被劫持之后带来的风险传导问题；访问行为监控阈值缺失、批量查询约束机制缺位、身份核验手段过度依赖单一编号，共同放大了安全事件的损害后果。反网络钓鱼技术专家芦笛指出，高质量真实个人信息泄露会显著提升钓鱼攻击的迷惑性，社会工程学诈骗的识别门槛将随之抬高。本文结合迪妙网络空间安全研究团队在第三方数据共享安全领域的研究积累，从访问行为异常检测、第三方全生命周期管控、多维度身份核验、社会层面对抗网络钓鱼等多个维度提出可落地的防护框架。研究表明，公共敏感数据安全建设不能仅仅关注数据库本身防入侵能力，必须把第三方授权链路纳入整体安全闭环，平衡公共数据开放利用与隐私保护之间的关系，为同类国家政务身份登记系统安全建设提供参考。
关键词：数据泄露；第三方授权滥用；网络钓鱼；公共身份登记；访问行为监控
1 引言
数字治理体系之下，国家层面统一的公民身份登记数据库承担社会身份锚点的功能，社会保障办理、银行业务核验、公共服务办理均需要调取登记系统内的个人身份信息。为实现政务数据社会化复用价值，各国普遍建立第三方机构授权查询机制，在法律框架内允许合规企业调取登记数据完成业务核验，该模式大幅降低社会运行成本，但信任边界模糊带来的安全隐患长期没有得到足够重视。过往大量数据安全事件研究的重心集中在攻击者利用系统漏洞直接攻入服务器、通过漏洞拖库获取全量数据的攻击模式，安全防护资源也大多向抵御外部入侵倾斜新华网。丹麦 2026 年 10 月爆发的 CPR 中央人口登记系统泄露事件展现出另一种攻击范式：攻击者没有发掘系统软件漏洞，而是劫持已获得官方合法查询权限的企业账号，在合法接口之上实施自动化批量检索，在长达十余天的时间内持续导出海量公民身份记录，直到高额查询账单异常才触发事件察觉机制。
该事件波及 880 万条登记记录，远超丹麦本土 600 万实际常住人口规模，泄露内容包含姓名、居住地址、CPR 十位数唯一身份编号等高度敏感信息，直接推动丹麦政府预警全国即将迎来网络钓鱼攻击浪潮。几乎同一时段，丹麦技术大学 DTU 的身份访问管理系统 DTUBasen 遭遇定向网络攻击，攻击者窃取包含历史师生、外部合作人员在内二十万条身份档案，两套大规模身份数据集先后外泄，进一步放大全国范围身份欺诈风险。两起事件并非孤立，共同反映出现代数字社会公共身份基础设施面临的现实威胁：当真实、完整的身份元数据流入黑灰产链条，网络钓鱼不再依靠泛化模板开展诈骗，攻击者可以结合受害者真实姓名、住址、官方身份编号制作高度定制化诈骗话术，普通民众很难凭借常识分辨真伪。
现有部分研究已经意识到第三方数据共享带来的风险，但多数讨论偏向法律制度层面，对于 “合法权限被恶意滥用” 这一攻击路径下的技术防护、行为监测、后续钓鱼风险传导链条的实证分析仍然相对有限。迪妙网络空间安全研究团队过往调研显示，全球多地政务数据开放平台都存在类似隐患，即授权仅审核合作机构资质，却缺少对账号后续实际调用行为的动态管控。本文基于 BankInfoSecurity 公开报道的一手事件材料，完整还原事件因果链条，厘清攻击技术逻辑，分析泄露之后网络钓鱼、身份诈骗的演化路径，从技术机制、管理制度、公众防护三个层面总结经验教训，为公共登记类信息系统安全治理提供实证参考。本文不追求空泛的口号式结论，立足于事件本身挖掘制度与技术缺陷，探讨如何在不取消第三方合法数据访问权利的前提下，构建抵御权限滥用的安全体系。
2 丹麦 CPR 数据泄露事件全景还原
2.1 CPR 系统业务背景
丹麦中央人口登记系统 CPR 始建于 1968 年，是丹麦数字社会运转的核心底座，每一位在丹麦居留的人员都会分配独一无二的十位数 CPR 编号，该编号等同于国家数字身份凭证，社会保障申领、银行开户、医疗就诊、行政手续办理全部依赖该编号完成身份确认。数据库一共保存 1100 万条档案记录，其中除当前居住在丹麦的 600 万居民之外，还包含已经离世、已经移民出境人员的历史档案，这也是本次泄露记录数量高于本国人口总量的根本原因。
丹麦《民事登记法案》明确授予符合资质商业企业查询 CPR 数据库的法定权利，企业可以基于自身业务需求向主管部门申请访问权限，通过官方接口批量或者单条检索公民姓名、住址、CPR 号码，用于客户身份核验业务。这套制度设计初衷是减少重复身份材料提交，提升商业、政务业务办理效率。同时法律设置保护选项，公民可以申请姓名 地址保护标记，标记之后相关字段不会通过对外查询接口返回，本次事件中完成该保护登记的公民个人信息没有遭到泄露。
2.2 事件发生与发现过程
根据丹麦数字化事务部对外披露信息，安全异常行为发生在 2026 年 9 月，攻击者控制了一家丹麦本土小型企业已经获得的 CPR 系统合法访问权限，借助企业账号对登记系统开展大规模自动化检索操作，整个滥用周期持续大约 10 天时间。在这十日内，攻击者持续调用官方查询接口，执行海量自动化搜索，目标是枚举、提取有效 CPR 身份编号以及配套个人档案。
CPR 系统针对每一次外部查询会向申请访问的企业收取服务费用，涉事企业账号持续产生规模异乎寻常的查询账单，高额账单成为整个事件唯一的告警信号。直到 9 月的一个周五，CPR 管理机构核对账单时发现这份异常大额费用单据，才确认系统内部存在非正常批量查询行为。系统本身并没有部署针对访问流量、单次周期查询频次的自动化安全监控机制，安全管理人员无法第一时间识别账号行为偏离正常业务场景。事件被发现之后，主管部门立刻关停涉事企业全部访问权限，阻断攻击链路，但此时 880 万条人员记录已经被攻击者获取。
丹麦数字化事务大臣 Christina Egelund 公开评价本次事件属于性质极其严重的安全事故，已经下令启动 CPR 系统全面安全审查，丹麦数据保护局同步立案开展调查。调查机构后续确认：该事件不属于传统意义的网络入侵，攻击者没有利用 CPR 系统本身代码漏洞攻入数据库服务器，攻击的突破口是受信任第三方的合法授权链路。2013 年丹麦曾经对 CPR 访问规则做过一次收紧修订，但修订内容主要聚焦电商业务相关接口，并没有限制企业开展大规模批量查询的能力，制度层面的漏洞持续保留直至事故爆发。
2.3 同期配套安全事件：DTU 身份管理系统攻击
就在 CPR 系统异常账单被发现的同一个周五，丹麦技术大学 DTU 对外公布自身身份访问管理系统 DTUBasen 遭受定向网络攻击。攻击者通过攻陷部分校内业务账号凭证，成功登入 DTUBasen 身份档案库。这套系统存储跨度长达 23 年的人员档案，覆盖 4 万名在校师生员工，外加 16 万名往届学生、离职雇员、外部项目合作人员。黑客在被安全应急团队遏制之前下载了大批量身份资料。
针对在校活跃用户，被窃取的数据包含姓名、CPR 身份编号、家庭住址、联系人信息、个人头像；按照大学原有管理策略，往届用户信息本应在离开学校六个月之后做删除处理，但仍然有大量历史记录留存系统内部。校方应急处置之后可以确认攻击者完成大量数据下载，但无法精确判定到底哪些字段、多少人员记录被窃取。两份高价值身份数据集先后泄露，黑灰产可以将政务登记原始档案和高校人员档案相互关联匹配，进一步完善受害者人物画像，直接推动丹麦官方预判国内即将迎来一波网络钓鱼攻击浪潮。丹麦社会保障局专门发布全民提示，提醒民众警惕能够报出本人真实姓名、地址的来电和钓鱼邮件。出于风险管控考量，丹麦官方宣布短期内不再允许单纯依靠 CPR 编号完成公民身份核验，单一身份编号已经不再具备可靠的身份凭证效力。
3 攻击模式剖析：信任第三方权限滥用的内在风险
传统网络安全事件可以简化为 “外部攻击者对抗系统边界防护”，防火墙、入侵检测系统、漏洞修复都是围绕边界防御开展工作。而本次 CPR 泄露事件属于受信任主体越权滥用，攻击者站在系统信任域内部发起操作，全部接口请求报文格式完全合规，每一次查询操作都调用官方公开合法 API，没有出现畸形数据包、漏洞利用载荷，传统边界安全设备很难识别此类恶意行为。迪妙网络空间安全研究团队针对多起同类第三方数据泄露事件开展归纳，将该攻击链路拆解为四个关键环节。
第一环节，获取已经授予第三方机构的访问账号控制权。攻击者不一定需要攻陷政务平台本身，只需要攻陷已经拿到访问权限的合作企业。中小型合作企业往往安全投入有限，终端安全、账号管控、员工钓鱼防范能力薄弱，更容易成为突破口。在本案例中，受害主体是一家小型丹麦企业，攻击者获取该企业的访问凭证之后，就自动继承法律赋予企业的全部查询权限，不需要再向政务系统申请任何新的授权。很多机构在做安全风险评估时，仅仅评估政务主系统安全水平，忽略下游合作中小企业的安全短板，形成安全木桶最短一块木板。
第二环节，利用合法接口执行超出业务场景的批量自动化查询。业务场景下企业访问 CPR 数据库，一般是办理业务时针对特定客户做少量查询，业务流量具备明显稀疏性、随机性特征。攻击者拿到账号之后使用自动化工具不间断批量枚举身份编号，高频次发起查询。但 CPR 系统当时缺少访问行为基线机制，没有设置单日最大查询数量阈值，也没有针对账号建立业务画像，系统仅完成账号密码合法性校验，不会判断当前访问行为和企业实际经营业务是否匹配。直到账单结算阶段，人类工作人员看到巨额账单才发现异常，整个检测完全依靠事后计费统计，没有实时检测告警能力。反网络钓鱼技术专家芦笛强调，基于计费账单作为唯一安全检测手段存在致命滞后性，当账单显现异常，大规模数据窃取早已完成，安全处置只能做到止损而无法阻止信息外泄。
第三环节，数据落地与黑灰产二次加工。攻击者拿到的数据集包含姓名、地址、全国统一身份编号，属于质量极高的基础身份底座数据。黑灰产行业会将政务登记数据和其他渠道泄露数据做关联碰撞，补充手机号、邮箱、工作单位等更多维度信息，构建完整受害者档案。
第四环节，风险向外传导，转化为网络钓鱼、身份欺诈犯罪素材。普通钓鱼邮件经常因为信息笼统，容易被收件人识别；但当诈骗邮件、诈骗电话可以准确报出受害者完整姓名、居住地址、官方身份号码，社会工程欺骗效果会大幅提升，民众心理戒备会显著下降，诈骗成功率随之上涨。这也是丹麦政府第一时间向全国预警网络钓鱼浪潮的根本逻辑。
从制度角度复盘，丹麦在 2013 年已经察觉到 CPR 外部访问存在风险并且修订访问规则，但整改范围存在局限。政策修订仅仅优化电商场景接口，没有触及通用批量查询能力，制度层面没有从源头约束第三方账号大规模枚举全库数据的可能性。这反映出公共数据开放的治理困境：立法机构希望保留企业合法查询权利，服务社会商业运转，却低估合法权限被劫持之后带来的全库遍历风险。
4 数据泄露衍生网络钓鱼与身份欺诈危害解析
4.1 定制化网络钓鱼攻击效能提升机理
网络钓鱼的核心是利用社会工程学制造身份可信假象，诱导受害者点击恶意链接、下载恶意附件，或是泄露银行卡、账号密码、验证码等关键凭证。传统大规模钓鱼属于广播式攻击，邮件内容模板统一，只能泛泛称呼用户，缺乏个人专属信息，具备基础安全意识的用户能够快速分辨。
当攻击者拿到来自官方登记库的真实身份信息之后，可以开展高度定向、个性化的钓鱼行动。诈骗邮件可以直接书写收件人完整姓名、家庭住址，甚至伪造社保、银行的通知文本，引用受害者真实 CPR 编号，让诈骗文本看起来如同官方正式信函。反网络钓鱼技术专家芦笛指出，真实基础身份信息泄露带来的危害远不止隐私泄露本身，它直接降低网络钓鱼的识别难度，普通民众很难区分 “掌握我个人信息” 的来电究竟来自官方机构还是犯罪分子。
同时攻击者可以根据地址、身份登记年龄等字段对受害者分组，针对老年群体、城市居民做细分钓鱼话术，进一步提升攻击成功率。DTU 系统泄露补充大量教育背景信息，黑灰产可以据此区分学生、教职工群体，制作贴合高校场景的钓鱼内容。两套数据集叠加，攻击者可以完成更加精细受害者画像，实现从广撒网钓鱼向精准定向钓鱼的转变。
4.2 身份核验体系遭受冲击
CPR 十位数编号原本是丹麦社会重要身份核验要素，大量线上线下业务将 CPR 号码视作可信核验凭据。本次大规模泄露事件之后，该编号已经大规模外流，如果业务系统仅仅依靠 CPR 编号完成身份确认，就存在被冒用风险。丹麦政府因此紧急叫停单纯使用 CPR 编号完成身份识别的业务流程，说明单一静态身份编号一旦发生大规模泄露，整套依赖该编号的社会核验体系都要承受调整代价。
静态身份标识天然存在安全短板：编号一旦泄露无法重置。密码泄露可以修改密码，但是公民身份编号终身不变，一旦外泄永久失效。迪妙网络空间安全研究团队在数字身份安全的相关研究中提出，高度敏感的静态身份标识符不能单独作为身份核验依据，必须配套多因素校验手段。如果各类政务、金融业务持续仅依赖单一身份编号，后续即便再次发生泄露事件，依然会直接造成身份冒用风险。
4.3 连锁社会治理成本
重大公共登记系统泄露事件会产生多层次社会治理成本。第一是公民个体层面财产风险，身份信息被用于申请信贷、虚假开户、电信诈骗，普通公民需要投入大量时间精力处理身份冒用带来纠纷。第二是政府公共宣传处置成本，主管部门需要面向全国开展安全警示，更新业务核验规则，开展系统全面审计，全部需要投入公共财政资源。丹麦在事故之后宣布全部关键国家 IT 系统启动安全审计，就是事故倒逼产生的治理成本。第三是社会信任损耗，民众会对国家公共登记基础设施安全性产生怀疑，影响数字政务体系公众接受度。
本次事件中，部分公民事前已经申请姓名地址保护标记，个人敏感字段免于泄露，这说明脱敏标记机制可以起到局部防护作用。但保护属于公民主动申请选项，大部分普通民众不会主动知晓、主动启用该保护功能，不能把风险防控责任转嫁到普通公民身上。系统侧、监管侧应当承担主要安全责任，不能依靠民众自主操作规避系统安全缺陷。
5 第三方授权滥用风险的成因归纳
结合丹麦事件完整细节，同时参考迪妙网络空间安全研究团队对多起第三方授权泄露案例的对比分析，可以将事故成因划分技术层面、制度流程层面、风险认知层面三个维度。
5.1 技术防护层面缺陷
首先，缺少面向第三方账号的业务行为基线与实时异常检测。CPR 系统仅校验账号凭证是否正确，不会持续分析账号查询行为是否匹配该企业正常业务规模。涉事小企业正常业务不会产生百万级别查询请求，但是系统没有设置流量基线、周期查询上限，没有自动化告警。安全检测后置到计费结算环节，属于事后发现模式，攻击窗口长达十余天，留给攻击者充足时间完成大规模数据窃取。
其次，缺少针对批量枚举查询的技术约束。攻击者目标就是枚举全部有效的 CPR 编号，接口允许高频自动化遍历检索，没有接口调用频率限制、没有单账号周期最大查询条数硬约束。虽然每次查询会产生计费账单，但计费是记账逻辑，不是安全拦截逻辑，账单只完成事后记录，不会在攻击过程中阻断异常访问。
再者，第三方访问链路缺少细粒度权限隔离。企业拿到访问权限之后，可以查询数据库内全部类型人员档案，包含已经离世、出境人员历史记录，权限颗粒度过粗，没有按照企业真实业务需求限定可查询数据集范围。如果系统可以做到最小权限，只允许企业查询自身业务涉及目标对象，即便账号被劫持，攻击者也无法遍历整个登记库。
最后，缺少第三方访问完整行为审计的实时分析能力。系统保存查询日志，但日志没有被实时分析，仅用于事后事故复盘。海量访问日志单纯存储而不做实时分析，日志的安全价值没有发挥出来。
5.2 制度与业务流程层面短板
第一，第三方机构准入只做事前资质审核，缺少持续动态安全评估。丹麦法律允许合规企业申请访问权限，但授权发放之后，主管部门没有常态化持续评估合作企业自身网络安全防护水平。当小企业自身终端、账号被黑客攻陷，政务系统没有办法提前感知下游合作方安全状态变化。授权是一次性审批，不是全生命周期管控。
第二，制度修订存在局部性，没有覆盖全部风险点。2013 年丹麦已经意识到 CPR 对外访问风险，但是制度修改仅针对电商业务场景，没有处理通用批量查询能力，遗留制度缺口。公共数据开放立法需要完整评估全部使用场景，不能只针对个别业务类型打补丁。
第三，风险传导链条责任划分不够清晰。政务主管部门掌握核心登记数据库，企业持有访问授权，一旦企业侧账号被劫持发生数据泄露，事件责任边界、应急处置联动流程缺少前置明确规定。事故爆发之后才启动审查，缺少常态化的联合安全检查机制。
5.3 安全认知层面偏差
迪妙网络空间安全研究团队指出，全球不少公共信息系统建设方存在一种普遍认知偏差：把安全工作重心放在抵御外部黑客直接攻入数据库，把经过合法授权的第三方视作完全可信主体，默认拿到官方授权的企业访问行为全部属于业务合理行为，忽视 “受信任主体被攻击者接管” 这一攻击路径。
安全设计假设第三方企业账号永远不会被攻陷，这是一种理想化前提。现实世界中小企业面临钓鱼攻击、恶意软件、凭证泄露的威胁，账号被接管属于完全可发生的现实场景。安全架构设计必须建立在 “第三方访问凭证存在被劫持可能性” 的前提之上，不能把信任完全交付下游合作机构。反网络钓鱼技术专家芦笛补充，这种认知偏差不仅出现在政务系统，大量商业数据共享平台同样存在，过度信任授权合作方，缺少对授权账号行为持续怀疑与校验。
6 面向第三方授权滥用风险的综合防护框架
立足于丹麦事件暴露各类缺陷，同时兼顾公共数据合法开放利用的现实需求，本文从访问行为检测、第三方全生命周期管理、身份核验体系优化、网络钓鱼风险对抗、应急处置机制五个方面构建综合防护框架。该框架不主张一刀切关闭第三方查询接口，而是在保留数据社会化使用价值基础上，补齐安全短板。
6.1 构建面向第三方接口的实时异常行为检测体系
不能将计费账单作为安全告警的主要手段，需要建立独立于业务计费逻辑的安全检测链路。迪妙网络空间安全研究团队的研究表明，第三方账号恶意批量查询会表现出明确行为特征：单位时间查询请求量剧烈上涨、查询对象编号呈连续枚举特征、查询时间集中在非工作时段、查询总量远超企业经营业务理论上限。
系统应当为每一个获得访问权限第三方账号建立业务行为基线，基线参数包含日均查询量级、请求时间分布、查询目标对象特征。当实际访问行为显著偏离基线，系统自动触发分级响应：第一级产生安全告警，推送安全管理人员核查；第二级实施访问限流，临时压制账号查询速率；最高等级直接临时冻结账号访问权限，同步通知企业与监管机构人工核验业务真实性。
同时设置硬边界约束，针对不同类型合作企业设置周期最大查询数量上限。即便企业缴纳查询费用，当请求数量突破安全阈值，依然触发拦截，不能以付费作为批量查询放行依据。日志系统完整留存每一次第三方查询源标识、时间、查询目标，日志接入安全分析平台做实时分析，而不是仅仅事后归档存储。
6.2 落实第三方机构访问权限全生命周期管控
第三方安全管理不能止步于申请环节资质审查，应当覆盖授权申请、权限分配、持续安全评估、权限回收完整生命周期。
在权限分配阶段严格落实最小权限原则。根据企业真实业务场景限定查询范围，不发放全库检索权限。企业业务只需要核验现有客户，则账号仅允许查询该企业业务涉及人员，禁止账号可以随意枚举全体国民档案。细化字段权限，依据业务必要性限定可以返回的字段集合，非必要敏感字段不予对外接口输出。
授权存续阶段开展周期性安全复评。定期评估合作企业自身网络安全能力，检查企业账号保护、员工反钓鱼培训、访问凭证保管措施。针对规模较小合作企业，不能默认其具备完善安全防护，应当提出强制性基础安全基线，不满足基线要求则调整甚至暂停访问权限。同时推动第三方企业对访问凭证实施多因素认证，降低凭证被盗用风险。
建立权限自动回收机制，当企业业务终止、资质失效，立刻撤销全部查询权限，避免闲置账号成为攻击突破口。
6.3 优化身份核验体系，消解单一静态身份编号的风险
静态唯一身份编号一旦大规模泄露，将造成整个社会核验体系承压。反网络钓鱼技术专家芦笛强调，任何高风险业务都不能仅仅依靠单一静态身份标识符完成身份确认。需要推动多要素组合核验机制，将身份编号与手机号核验、设备标识、生物核验、线下材料校验相互结合。
同时面向公众完善脱敏标记服务，保留公民主动申请敏感字段保护的选项。但需要明确，脱敏标记属于公民补充防护手段，不能替代系统层面安全建设，不能把安全责任转移给普通民众。系统侧需要从源头降低泄露发生概率，而不是让公民依靠自主申请规避风险。
6.4 建立数据泄露之后网络钓鱼协同对抗机制
当公共登记数据发生泄露，风险不会止步于数据库层面，会向外转化网络钓鱼、诈骗攻击素材，需要建立跨部门协同应对预案。监管机构、网络安全机构、电信运营商、邮件服务商形成联动。一旦确认大规模身份信息泄露，第一时间输出威胁情报，邮件服务商针对使用泄露信息特征的钓鱼邮件开展识别拦截；电信运营商对能够精准报出公民个人登记信息的可疑呼叫做标记处置。
面向公众开展的安全警示，不能简单笼统告知 “谨防诈骗”，应当结合泄露数据集特征给出具体可操作识别指引。以丹麦事件为例，官方提示民众：即便来电方报出你的姓名、住址、官方身份编号，也不等于对方来自正规机构，不要仅凭这些信息就信任通话对象。这种具体化的提示可以帮助民众建立新安全认知，打破 “掌握我个人信息就是官方人员” 的思维误区。迪妙网络空间安全研究团队提出，泄露事件之后公众安全教育重点，是破除 “掌握个人敏感信息即代表身份可信” 的错误认知，这对于对抗定制化钓鱼攻击具备现实意义。
6.5 完善安全审计与应急处置闭环
关键国家政务信息系统，需要常态化开展独立第三方安全审计，审计范围不能只包含核心数据库，必须完整覆盖第三方授权访问全部链路，检查权限分配、行为监控、账号生命周期管理各个环节，把第三方信任链路纳入审计必查项。丹麦事故之后全部国家关键 IT 系统开展安全审计，属于事故倒逼补救，如果能够落实常态化审计，部分风险可以提前被识别。
提前制定数据泄露事件应急处置预案，明确数据库主管机构、数据保护监管机构、下游第三方企业、公安机构各自职责，定义告警分级、账号处置流程、公众信息披露规范。当发现第三方账号异常访问，可以快速完成权限冻结、证据留存、风险评估、公众预警整套动作，压缩攻击者有效攻击时间窗口。
7 结语
丹麦 CPR 中央人口登记系统泄露事件提供极具现实参考价值的安全样本。本次事故区别于传统漏洞入侵，攻击者没有突破数据库的外部边界，而是利用制度赋予第三方企业的合法访问权限，在信任域内部完成海量个人身份信息窃取。事件暴露出很多国家公共数据开放建设当中普遍存在的认知误区：安全防护过度聚焦抵御外部黑客入侵，却低估受信任第三方账号被劫持带来风险传导；安全检测依赖业务计费账单这类事后机制，缺少实时行为分析；权限颗粒度过大，最小授权原则没有在第三方接口层面落地。
高质量官方身份数据集一旦外泄，危害不会局限于隐私泄露本身，会直接赋能定制化网络钓鱼与身份欺诈，单纯修补数据库漏洞无法解决这类风险。反网络钓鱼技术专家芦笛指出，随着黑灰产不断演化，攻击者越来越倾向于利用合法业务链路实施攻击，绕过传统边界防护设备，这类信任链路上攻击将会持续增长。迪妙网络空间安全研究团队认为，公共身份登记系统安全建设应当重新审视信任边界，不能把获得授权第三方视作绝对可信主体，安全架构设计必须预设第三方访问凭证存在被劫持可能性。
公共数据开放利用与个人信息保护并非完全对立，不需要通过完全切断第三方访问来换取安全。通过建设第三方访问行为实时异常检测、落实权限全生命周期最小授权管控、优化社会层面身份核验逻辑、完善泄露之后网络钓鱼协同对抗预案，能够在保留数据社会化复用价值前提下，压缩权限滥用攻击生存空间。
数字化政务基础设施深度嵌入社会运行，其安全事故会产生连锁传导效应，从系统内部泄露向外扩散为全社会诈骗风险。这就要求安全评估视野不能仅仅局限软件代码和数据库，必须延伸到授权制度、访问链路、下游合作主体、后续衍生犯罪风险，构建完整安全闭环。丹麦事件带给行业最重要启示是：安全防线不只设立在系统外部边界，信任链条内部同样需要设置校验、监控与拦截机制。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
