2026年，欧洲两家主流运营商在七周内接连爆发大规模客户数据泄露：荷兰最大移动运营商Odido约650万客户 records 被 ShinyHunters 团伙窃取并分批挂上暗网，手段竟是一通冒充员工的电话骗过IT服务台、绕过多因素认证（MFA）；法国SFR（Altice旗下）210万光纤客户数据因内部网管工具NOVA的合法账号被滥用而外泄。本文以运维视角复盘两起事件的时间线、攻击链根因与处置得失，回答一个尖锐问题：当网络域的安全越修越硬，攻击者为何集体转向IT支撑域的“人”与“后台工具”？运营商的真正软肋，可能不在核心网，而在服务台的座机和OSS的登录框。
先把两起事件的核心事实摆在一张表里——数据均来自官方披露与多方媒体报道的交叉印证：
| 维度 | Odido（荷兰） | SFR（法国） |
|---|---|---|
| 归属 | 荷兰最大移动运营商（原T-Mobile NL/BEN） | 法国三大运营商之一，Altice旗下 |
| 入侵窗口 | 2026年2月7-8日 | 2026年7月2日被安全团队发现 |
| 攻击入口 | 电话语音钓鱼（vishing）骗倒IT服务台，窃取SSO凭证 | 内部光纤管理/分析工具NOVA的合法账号被攻陷 |
| 关键绕过 | 绕过MFA多因素认证 | 使用合法用户身份，无需绕过 |
| 受影响系统 | Salesforce客户联络系统（CRM） | OSS侧光纤连接管理工具 |
| 波及规模 | 官方披露约620万客户；团伙宣称2100万条（掺水后被证实约650万人） | 210万条客户记录（SFR Fibre与RED by SFR） |
| 泄露字段 | 姓名、地址、电话、邮箱、IBAN银行账号、护照/驾照号、出生日期、客服内部备注 | 邮政地址、邮箱、电话号码（官方称不含密码与银行信息） |
| 勒索金额 | 低七位数（荷兰媒体报道约100万欧元），限期2月26日 | 未见公开勒索信息，疑似直接售卖/利用 |
| 数据去向 | 2月27日起在暗网分批公开，每批约100万条 | 据报道已在黑客论坛流传 |
| 监管动作 | 上报荷兰数据保护局，HIBP于2月26日收录 | 通报法国CNIL，并向检察机关刑事立案 |
| 后续 | 2026年5月拒绝集体赔偿；7月警方点名本土嫌疑人 | 立即封禁受影响系统，部署新安全措施 |
两个案例放在一起看，共同点刺眼得很：都不是打穿了网络，都是“合法身份”进了“合法系统”。Odido的攻击者拿着骗来的真凭证登录真CRM；SFR的攻击者直接用被攻陷的内部工具账号干活。防火墙、IPS、信令面加密——这些运营商砸了几十亿建起来的城墙，在这两起事件里一发子弹都没挡住。
timeline
title Odido 数据泄露事件时间线（2026）
2月7-8日 : 攻击者vishing致电IT服务台 : 冒充员工骗取SSO凭证 : 绕过MFA进入Salesforce客服系统
2月中旬 : Odido确认入侵并披露620万客户受影响 : 启动取证与监管上报
2月24日 : ShinyHunters在暗网勒索门户挂出 Odido条目 : 索要低七位数赎金 限期26日 : 宣称握有2100万条记录含明文密码
2月26日 : Have I Been Pwned收录泄露库 : 客户可自查
2月27日起 : 累计约200万条记录分两批公开 : 含31.7万+37.1万独立邮箱
3月1日 : 全量数据Dump上暗网 : 荷兰媒体称史上最严重数据外泄
5月 : Odido排除赔偿可能 : 集体诉讼涌动
7月12日 : 荷兰警方点名一名荷语区嫌疑人
这条时间线里有三个运维必须盯住的细节：
第一，服务台是新的边界。 据多家安全媒体报道，ShinyHunters的手法是打电话给IT帮助台，冒充内部员工“重置凭证”，社工话术拿到了SSO登录凭据，并且说服了MFA流程——要么是诱导用户批准推送确认，要么是服务台代为重置了MFA注册。这套打法在2025-2026年的Salesforce系列攻击中已被ShinyHunters复用过（同期受害的还有CarGurus、Panera Bread等，据socradar统计）， telecom只是排队名单上的一环。
第二，勒索定价是“算过的”。 100万欧元左右的要价，对一个650万用户的运营商来说低得离谱——这是刻意压价，赌的就是运营商“快速了结”的心态。而Odido的应对（拒绝谈判）在道义上正确，代价是数据全量公开。这里没有双赢，只有止损策略的选择题。
第三，“宣称2100万条”是掺水的。 团伙宣称从800万客户手里拿到2100万条记录、含明文密码和源代码；事后第三方分析（含Have I Been Pwned口径）证实有效记录约650万人份，Spectrum（Charter）同期被宣称4200万条的泄露也被证实掺重后仅490万——勒索信上的数字，默认打三折。这对运营商公关口径管理同样重要：既不夸大恐慌，也不低估真实危害。
真正致命的是泄露字段的质量：IBAN银行账号+护照号+出生日期+客服内部备注，这是一个“精准诈骗全家桶”。客服备注意味着攻击者知道谁投诉过、谁申请过分期、谁家里有宽带故障——后续针对荷兰Odido用户的定向诈骗邮件和电话，素材全部齐备。这也是为什么Odido官方通报里反复强调防范钓鱼：数据一旦出域，危害周期是按年算的。
如果说Odido栽在CRM和服务台，SFR的案例则更让网优和传输工程师脊背发凉——被打的是OSS侧的光纤运维工具。
据Light Reading、The Local及法国多家媒体交叉还原：7月2日，SFR安全团队发现内部用于光纤连接管理和分析的工具NOVA被异常访问——攻击者攻陷了一个合法用户账号。该工具里躺着的，是光纤用户的基础档案：地址、联系方式、装机信息。SFR的处置算是教科书速度：立即封禁受影响系统访问、通报CNIL、向检察机关提起刑事控告，并对外确认密码与银行支付数据不在泄露范围内。但210万条记录的外流已成事实。
为什么OSS工具会成为跳板？干了十几年运维的人都懂：
Odido打的是BSS前台，SFR打的是OSS后台，两枪命中同一个要害：运营商IT支撑域的身份与访问治理（IAM）。网络域有信令加密、有SBA服务化鉴权、有网元隔离；而支撑域的登录框后面，往往只是一个LDAP和一张多年没梳理过的权限表。
把两起事件的教训翻译成能落地的东西，我按投入产出比排序：
1. 服务台身份核验流程重造（当周可做）。 任何凭证重置、MFA重注册请求，必须走“回拨预留号码+工单系统双重确认”，禁止凭来电号码和工号就操作。Odido的教训明明白白：一通电话的成本，换来650万人的数据。建议把“服务台社工测试”纳入季度红队科目。
2. 全面切换抗钓鱼MFA（一个季度）。 推送确认式MFA可被“疲劳轰炸”诱导，短信OTP可被SIM卡劫持——而运营商恰恰自己就是发SIM卡的，攻击者对此门儿清。FIDO2/通行密钥（Passkey）这类绑定硬件的方案，应优先覆盖IT服务台、系统管理员、OSS/BSS特权账号三类人群。
3. OSS工具账号大清查（一个季度）。 对照HR系统做账号-在职映射，清掉共享账号、僵尸账号；NOVA式的运维工具逐个过一遍：谁有权限、谁在用、最后一次审计是什么时候。
4. 特权访问最小化+会话录制（半年）。 BSS/OSS的查询类操作按“最小必要字段”授权，客服系统默认不展示IBAN、证件号全文（脱敏显示+按需解锁+留痕）。Odido泄露里最伤的是客服备注和证件号——这些字段本可以不进CRM的明文层。
5. 数据最小化与留存策略（半年）。 GDPR之下，护照号留存多久、前客户数据保留几年，都是负资产。泄露规模与留存数据量成正比——这是最朴素的减损逻辑。
6. 出域检测与暗网监控（持续）。 Odido从被入侵（2月7-8日）到发现并披露用了约一周，靠的是异常访问监测；而真正的泄露确认，很大程度来自HIBP和暗网情报。运营商应有自己的暗网监控管线，把“自家数据出现在勒索门户”做成一条自动告警。
7. 剧本演练：数据泄露≠断网，响应动作完全不同（常态化）。 断网剧本的核心是业务恢复，泄露剧本的核心是取证保全、监管时限（GDPR要求72小时内上报）、客户通告与反诈骗联动。两套剧本不能混用——这次法国SFR从发现到通报CNIL再到刑事立案的链路走得顺畅，说明其泄露剧本是练过的。
2026年这两起事件，加上此前AT&T 1.76亿条旧账在暗网重新流通、Charter Spectrum 490万条确认泄露，勾勒出一个让通信人不舒服的趋势：攻击者对运营商的兴趣，正从“搞断你的网”转向“搞走你的人”。断网是可用性攻击，有SLA压力但也有明确恢复路径；数据窃取是机密性攻击，一次得手、终身变现，且危害顺着精准诈骗无限延伸到千万用户身上。
对运营商管理层，这意味着安全预算的重心需要动一动：过去十年大头给了网络域的DPI、抗D、信令安全，下一个周期该给支撑域的身份治理、服务台流程和数据分级了。对一线工程师，这意味着两件具体的事：管好你手里那些OSS工具的账号密码，别再用共享账号；以及，接服务台电话时多问一句——在现代攻击者眼里，你的座机和你的核心网，一样值钱。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。