匈牙利國(guó)防部一位上校，把國(guó)家機(jī)密托付給了切爾西傳奇球星弗蘭克·蘭帕德。

不是暗號(hào)，不是代號(hào)，是他的真實(shí)密碼——"FrankLampard"。這位負(fù)責(zé)"信息安全"的軍官，似乎認(rèn)為2005年歐冠決賽的絕殺功臣，足以擔(dān)當(dāng)起守護(hù)北約機(jī)密的重任。

Bellingcat的調(diào)查報(bào)告讀起來像一份荒誕的田野筆記。近800組匈牙利政府郵箱密碼組合，散落在暗網(wǎng)的數(shù)據(jù)垃圾場(chǎng)里，橫跨國(guó)防、外交、財(cái)政等幾乎所有核心部門。這不是什么高級(jí)持續(xù)性威脅（APT），沒有零日漏洞，沒有國(guó)家級(jí)的攻擊鏈條。只是有人把鑰匙留在了門墊下面，而互聯(lián)網(wǎng)從不忘記。

120條國(guó)防記錄與一場(chǎng)三年前的北約泄露

國(guó)防部的數(shù)據(jù)值得單獨(dú)拎出來看。Bellingcat統(tǒng)計(jì)出約120條涉及國(guó)防人員的泄露記錄，其中一部分可以追溯到2023年北約電子學(xué)習(xí)平臺(tái)的入侵事件——那次泄露波及了郵箱、密碼和電話號(hào)碼。但時(shí)間線比想象中更混亂：大部分?jǐn)?shù)據(jù) spike 出現(xiàn)在2021年，卻持續(xù)有新記錄標(biāo)注到2026年，而某些竊取日志顯示，部分設(shè)備可能真的被感染了，不只是被動(dòng)卷入舊泄露的漣漪。

密碼的創(chuàng)造力則呈現(xiàn)出另一種光譜。一位地區(qū)總監(jiān)選擇了"123456aA"，在復(fù)雜度要求面前做了最低限度的妥協(xié)。另一位北約代表團(tuán)的高級(jí)官員，密碼翻譯成英文是"cute"——可愛。一位準(zhǔn)將用自己的名字縮寫注冊(cè)了某個(gè)電影節(jié)賬號(hào)，而"linkedinlinkedin"這個(gè)案例則展示了另一種忠誠：它顯然來自早年領(lǐng)英的數(shù)據(jù)泄露，卻被原封不動(dòng)地保留了下來，仿佛一種對(duì)歷史的不舍。

模式很清晰。官員們用政府郵箱注冊(cè)各類第三方服務(wù)，然后重復(fù)使用同一套密碼。一旦這些網(wǎng)站被攻破，憑證就流入了它們最終的歸宿——那些按GB計(jì)價(jià)的泄露數(shù)據(jù)庫。

竊取日志里的新信號(hào)

Bellingcat還發(fā)現(xiàn)了數(shù)十臺(tái)機(jī)器關(guān)聯(lián)的竊取日志，部分時(shí)間戳顯示為上月。這意味著事情不止于陳年舊賬。某些設(shè)備可能正被更主動(dòng)地滲透，而不只是躺在歷史泄露的歸檔里。

信息竊取器（infostealer）的運(yùn)作方式值得產(chǎn)品經(jīng)理們琢磨：它不像勒索軟件那樣高調(diào)鎖屏，而是安靜地抽走瀏覽器保存的密碼、Cookie、自動(dòng)填充的表單。用戶往往毫無察覺，直到某天發(fā)現(xiàn)自己的憑證出現(xiàn)在某個(gè) Telegram 頻道里打包出售。

匈牙利政府收到的警告足夠直白。當(dāng)涉及核心國(guó)家職能的憑證，與無數(shù)被攻破的購物網(wǎng)站、社交賬號(hào)混在一起流通時(shí)，這本身就在提問：基礎(chǔ)的安全衛(wèi)生究竟被重視到了什么程度？

沒有零日，只有零意識(shí)

整個(gè)事件最刺眼的細(xì)節(jié)，是它完全不需要"技術(shù)"來完成。沒有漏洞利用鏈，沒有供應(yīng)鏈投毒，沒有釣魚郵件的精密社工。只是密碼太弱，復(fù)用太多，而互聯(lián)網(wǎng)的記憶太好。

弗蘭克·蘭帕德大概不會(huì)想到，自己的名字會(huì)以這種方式出現(xiàn)在北約的安全簡(jiǎn)報(bào)里。這位以遠(yuǎn)射和鐵人出勤著稱的中場(chǎng)，職業(yè)生涯零紅牌，卻在退役多年后，意外成為了一起跨國(guó)安全事件的"守門人"。

報(bào)告的最后，Bellingcat留下了一個(gè)未被回答的問題：當(dāng)這些憑證被批量驗(yàn)證、分類、標(biāo)價(jià)出售時(shí)，有多少已經(jīng)被用于實(shí)際入侵？而匈牙利的情報(bào)機(jī)構(gòu)，又是在調(diào)查發(fā)布后多久才拿到完整清單的？