3月18日，一名黑客潛入了美國最大校園信息系統(tǒng)之一的員工賬戶。18分鐘后被發(fā)現(xiàn)踢出，但已經(jīng)足夠讓1100萬學(xué)生的家長收到一封措辭謹(jǐn)慎的道歉信。

這是Infinite Campus的劇本——全美45個州、超過2000個學(xué)區(qū)用的學(xué)生信息系統(tǒng)（SIS，Student Information System）。從成績查詢到午餐賬戶，家長每天打開的頁面背后，這次站著一個叫ShinyHunters的黑客團伙。

他們專挑Salesforce賬戶下手，手法像流水線：釣魚郵件拿到憑證，Aura組件漏洞橫向移動，最后把數(shù)據(jù)打包上架暗網(wǎng)拍賣。

18分鐘的窗口期，黑客拿走了什么

Infinite Campus在通知信里試圖淡化損失：「獲取的主要是教職員工姓名和聯(lián)系方式，這些信息在學(xué)校官網(wǎng)上也能找到?！?/p>

但安全團隊的時間線暴露了緊張感。3月18日，異常登錄觸發(fā)警報；IT部門介入，18分鐘后強制下線入侵者。ShinyHunters的動作更快——在被踢出之前，他們已經(jīng)完成了數(shù)據(jù)抓取。

公司強調(diào)「客戶信息未被針對性竊取」，卻同時承認(rèn)「部分?jǐn)?shù)據(jù)可能涉及家長」。這種措辭的微妙差異，讀過數(shù)據(jù)泄露通知的人都知道意味著什么。

更麻煩的是后續(xù)。ShinyHunters把Infinite Campus掛上了自己的數(shù)據(jù)泄露網(wǎng)站，配圖是一張教室空鏡。這不是炫耀，是標(biāo)價前的展示。

ShinyHunters的「Salesforce狩獵季」

這個團伙今年格外活躍。3月初，他們公開認(rèn)領(lǐng)針對Salesforce Aura組件的大規(guī)模攻擊，警告「更多案例即將披露」。Infinite Campus是其中一塊拼圖。

他們的商業(yè)模式很直接：入侵、勒索、拍賣。哈佛和賓大超過百萬條個人信息被泄露后上架；拉斯維加斯一家頂級酒店被索要150萬美元贖金。Infinite Campus的回應(yīng)是拒絕談判——「不會與未授權(quán)行為者接觸」。

但拒絕付錢不等于沒有代價。公司關(guān)閉了部分面向客戶的服務(wù)，限制無IP地址用戶的訪問。家長登錄查成績時可能遇到的卡頓，就是這次攻擊的余波。

一個值得玩味的細(xì)節(jié)：Infinite Campus在通知信里沒提ShinyHunters的名字，只說是「一個以攻擊數(shù)百家公司Salesforce賬戶聞名的組織」。這種回避反而成了確認(rèn)。

校園軟件的供應(yīng)鏈困境

學(xué)生信息系統(tǒng)是教育數(shù)字化的基礎(chǔ)設(shè)施，卻長期活在安全聚光燈之外。Infinite Campus服務(wù)1100萬學(xué)生，意味著可能有數(shù)千萬家長的聯(lián)系方式流經(jīng)這個平臺。

這次泄露的規(guī)模其實難以精確統(tǒng)計。公司說「大多數(shù)」數(shù)據(jù)是公開信息，但「大多數(shù)」是多少百分比？家長數(shù)據(jù)涉及多少州？通知信里沒有數(shù)字。

更深層的問題在于架構(gòu)。Salesforce作為客戶關(guān)系管理（CRM，Customer Relationship Management）平臺，被無數(shù)企業(yè)用來存儲敏感數(shù)據(jù)，但它的Aura組件漏洞今年才被大規(guī)模利用。安全補丁的傳遞鏈條太長——Salesforce更新、企業(yè)IT部署、最終用戶感知，每個環(huán)節(jié)都有延遲。

ShinyHunters顯然算準(zhǔn)了這個時間差。

當(dāng)勒索成為常態(tài)，拒絕談判是不是最優(yōu)解

Infinite Campus的強硬姿態(tài)在道德上站得住腳，但技術(shù)上未必?zé)o害。拒絕支付贖金意味著數(shù)據(jù)可能被公開拍賣，而教育數(shù)據(jù)的買家用途更難預(yù)測——精準(zhǔn)詐騙、身份盜竊、甚至針對未成年人的社交工程。

公司采取的技術(shù)補救措施也帶著妥協(xié)感。限制無IP地址訪問，本質(zhì)是犧牲用戶體驗換取安全邊界。那些用公共網(wǎng)絡(luò)登錄的家長，現(xiàn)在可能需要多走一步驗證流程。

這引出一個行業(yè)層面的尷尬：當(dāng)K-12教育的數(shù)字化依賴少數(shù)幾家SIS供應(yīng)商，單點故障就會輻射整個生態(tài)系統(tǒng)。1100萬學(xué)生背后，是2000個學(xué)區(qū)各自不同的安全預(yù)算和響應(yīng)能力。

ShinyHunters的下一個目標(biāo)會是誰？他們在3月的預(yù)警里說「更多攻擊即將到來」。Infinite Campus的18分鐘窗口，會不會成為其他校園軟件的參照標(biāo)準(zhǔn)——還是反面教材？