# 一通电话骗倒IT服务台：Odido 650万人数据被扒光，法国SFR跟着沦陷——2026运营商数据泄露双复盘 ## 概述 2026年，欧洲两家主流运营商在七周内接连爆发大规模客户数据泄露：荷兰最大移动运营商**Odido**约650万客户 records 被 ShinyHunters 团伙窃取并分批挂上暗网，手段竟是一通冒充员工的电话骗过IT服务台、绕过多因素认证（MFA）；法国**SFR**（Altice旗下）210万光纤客户数据因内部网管工具NOVA的合法账号被滥用而外泄。本文以运维视角复盘两起事件的时间线、攻击链根因与处置得失，回答一个尖锐问题：当网络域的安全越修越硬，攻击者为何集体转向IT支撑域的“人”与“后台工具”？运营商的真正软肋，可能不在核心网，而在服务台的座机和OSS的登录框。 --- ## 一、两起事件的速览：一个共性，两种入口 先把两起事件的核心事实摆在一张表里——数据均来自官方披露与多方媒体报道的交叉印证： | 维度 | Odido（荷兰） | SFR（法国） | |---|---|---| | 归属 | 荷兰最大移动运营商（原T-Mobile NL/BEN） | 法国三大运营商之一，Altice旗下 | | 入侵窗口 | 2026年2月7-8日 | 2026年7月2日被安全团队发现 | | 攻击入口 | 电话语音钓鱼（vishing）骗倒IT服务台，窃取SSO凭证 | 内部光纤管理/分析工具NOVA的合法账号被攻陷 | | 关键绕过 | 绕过MFA多因素认证 | 使用合法用户身份，无需绕过 | | 受影响系统 | Salesforce客户联络系统（CRM） | OSS侧光纤连接管理工具 | | 波及规模 | 官方披露约620万客户；团伙宣称2100万条（掺水后被证实约650万人） | 210万条客户记录（SFR Fibre与RED by SFR） | | 泄露字段 | 姓名、地址、电话、邮箱、**IBAN银行账号、护照/驾照号、出生日期、客服内部备注** | 邮政地址、邮箱、电话号码（官方称不含密码与银行信息） | | 勒索金额 | 低七位数（荷兰媒体报道约100万欧元），限期2月26日 | 未见公开勒索信息，疑似直接售卖/利用 | | 数据去向 | 2月27日起在暗网分批公开，每批约100万条 | 据报道已在黑客论坛流传 | | 监管动作 | 上报荷兰数据保护局，HIBP于2月26日收录 | 通报法国CNIL，并向检察机关刑事立案 | | 后续 | 2026年5月拒绝集体赔偿；7月警方点名本土嫌疑人 | 立即封禁受影响系统，部署新安全措施 | 两个案例放在一起看，共同点刺眼得很：**都不是打穿了网络，都是“合法身份”进了“合法系统”**。Odido的攻击者拿着骗来的真凭证登录真CRM；SFR的攻击者直接用被攻陷的内部工具账号干活。防火墙、IPS、信令面加密——这些运营商砸了几十亿建起来的城墙，在这两起事件里一发子弹都没挡住。 ## 二、Odido事件全时间线：三周勒索 standoff 的完整链路 ```mermaid timeline title Odido 数据泄露事件时间线（2026） 2月7-8日 : 攻击者vishing致电IT服务台 : 冒充员工骗取SSO凭证 : 绕过MFA进入Salesforce客服系统 2月中旬 : Odido确认入侵并披露620万客户受影响 : 启动取证与监管上报 2月24日 : ShinyHunters在暗网勒索门户挂出 Odido条目 : 索要低七位数赎金 限期26日 : 宣称握有2100万条记录含明文密码 2月26日 : Have I Been Pwned收录泄露库 : 客户可自查 2月27日起 : 累计约200万条记录分两批公开 : 含31.7万+37.1万独立邮箱 3月1日 : 全量数据Dump上暗网 : 荷兰媒体称史上最严重数据外泄 5月 : Odido排除赔偿可能 : 集体诉讼涌动 7月12日 : 荷兰警方点名一名荷语区嫌疑人 ``` 这条时间线里有三个运维必须盯住的细节： **第一，服务台是新的边界。** 据多家安全媒体报道，ShinyHunters的手法是打电话给IT帮助台，冒充内部员工“重置凭证”，社工话术拿到了SSO登录凭据，并且**说服了MFA流程**——要么是诱导用户批准推送确认，要么是服务台代为重置了MFA注册。这套打法在2025-2026年的Salesforce系列攻击中已被ShinyHunters复用过（同期受害的还有CarGurus、Panera Bread等，据socradar统计）， telecom只是排队名单上的一环。 **第二，勒索定价是“算过的”。** 100万欧元左右的要价，对一个650万用户的运营商来说低得离谱——这是刻意压价，赌的就是运营商“快速了结”的心态。而Odido的应对（拒绝谈判）在道义上正确，代价是数据全量公开。这里没有双赢，只有止损策略的选择题。 **第三，“宣称2100万条”是掺水的。** 团伙宣称从800万客户手里拿到2100万条记录、含明文密码和源代码；事后第三方分析（含Have I Been Pwned口径）证实有效记录约650万人份，Spectrum（Charter）同期被宣称4200万条的泄露也被证实掺重后仅490万——**勒索信上的数字，默认打三折**。这对运营商公关口径管理同样重要：既不夸大恐慌，也不低估真实危害。 真正致命的是泄露字段的质量：IBAN银行账号+护照号+出生日期+**客服内部备注**，这是一个“精准诈骗全家桶”。客服备注意味着攻击者知道谁投诉过、谁申请过分期、谁家里有宽带故障——后续针对荷兰Odido用户的定向诈骗邮件和电话，素材全部齐备。这也是为什么Odido官方通报里反复强调防范钓鱼：数据一旦出域，危害周期是按年算的。 ## 三、SFR事件：OSS工具成为跳板，被忽视的“第二攻击面” 如果说Odido栽在CRM和服务台，SFR的案例则更让网优和传输工程师脊背发凉——**被打的是OSS侧的光纤运维工具**。 据Light Reading、The Local及法国多家媒体交叉还原：7月2日，SFR安全团队发现内部用于**光纤连接管理和分析的工具NOVA**被异常访问——攻击者攻陷了一个合法用户账号。该工具里躺着的，是光纤用户的基础档案：地址、联系方式、装机信息。SFR的处置算是教科书速度：立即封禁受影响系统访问、通报CNIL、向检察机关提起刑事控告，并对外确认密码与银行支付数据不在泄露范围内。但210万条记录的外流已成事实。 为什么OSS工具会成为跳板？干了十几年运维的人都懂： - **账号体系“古董化”**：NOVA这类专业工具往往建成于十年前，本地账号、共享账号、离职不回收的现象在各家运营商网络里并不罕见； - **权限模型“一锅炖”**：工具后台常将“查询用户档案”与“操作光路”的权限混在一起，拿到账号等于拿到半个资源目录； - **访问“内网即安全”**：这些系统默认只有内网可达，于是常年不打补丁、不上审计，恰恰忘了运营商内网早就不“干净”——盐台风（Salt Typhoon）事件已经证明，国家级攻击者能在运营商内网潜伏两年。 Odido打的是BSS前台，SFR打的是OSS后台，两枪命中同一个要害：**运营商IT支撑域的身份与访问治理（IAM）**。网络域有信令加密、有SBA服务化鉴权、有网元隔离；而支撑域的登录框后面，往往只是一个LDAP和一张多年没梳理过的权限表。 ## 四、运维视角的整改清单：七件事，按优先级排 把两起事件的教训翻译成能落地的东西，我按投入产出比排序： **1. 服务台身份核验流程重造（当周可做）。** 任何凭证重置、MFA重注册请求，必须走“回拨预留号码+工单系统双重确认”，禁止凭来电号码和工号就操作。Odido的教训明明白白：一通电话的成本，换来650万人的数据。建议把“服务台社工测试”纳入季度红队科目。 **2. 全面切换抗钓鱼MFA（一个季度）。** 推送确认式MFA可被“疲劳轰炸”诱导，短信OTP可被SIM卡劫持——而运营商恰恰自己就是发SIM卡的，攻击者对此门儿清。FIDO2/通行密钥（Passkey）这类绑定硬件的方案，应优先覆盖IT服务台、系统管理员、OSS/BSS特权账号三类人群。 **3. OSS工具账号大清查（一个季度）。** 对照HR系统做账号-在职映射，清掉共享账号、僵尸账号；NOVA式的运维工具逐个过一遍：谁有权限、谁在用、最后一次审计是什么时候。 **4. 特权访问最小化+会话录制（半年）。** BSS/OSS的查询类操作按“最小必要字段”授权，客服系统默认不展示IBAN、证件号全文（脱敏显示+按需解锁+留痕）。Odido泄露里最伤的是客服备注和证件号——这些字段本可以不进CRM的明文层。 **5. 数据最小化与留存策略（半年）。** GDPR之下，护照号留存多久、前客户数据保留几年，都是负资产。泄露规模与留存数据量成正比——这是最朴素的减损逻辑。 **6. 出域检测与暗网监控（持续）。** Odido从被入侵（2月7-8日）到发现并披露用了约一周，靠的是异常访问监测；而真正的泄露确认，很大程度来自HIBP和暗网情报。运营商应有自己的暗网监控管线，把“自家数据出现在勒索门户”做成一条自动告警。 **7. 剧本演练：数据泄露≠断网，响应动作完全不同（常态化）。** 断网剧本的核心是业务恢复，泄露剧本的核心是取证保全、监管时限（GDPR要求72小时内上报）、客户通告与反诈骗联动。两套剧本不能混用——这次法国SFR从发现到通报CNIL再到刑事立案的链路走得顺畅，说明其泄露剧本是练过的。 ## 五、写在最后：城墙越修越高，城门却开着 2026年这两起事件，加上此前AT&T 1.76亿条旧账在暗网重新流通、Charter Spectrum 490万条确认泄露，勾勒出一个让通信人不舒服的趋势：**攻击者对运营商的兴趣，正从“搞断你的网”转向“搞走你的人”**。断网是可用性攻击，有SLA压力但也有明确恢复路径；数据窃取是机密性攻击，一次得手、终身变现，且危害顺着精准诈骗无限延伸到千万用户身上。 对运营商管理层，这意味着安全预算的重心需要动一动：过去十年大头给了网络域的DPI、抗D、信令安全，下一个周期该给支撑域的身份治理、服务台流程和数据分级了。对一线工程师，这意味着两件具体的事：管好你手里那些OSS工具的账号密码，别再用共享账号；以及，接服务台电话时多问一句——**在现代攻击者眼里，你的座机和你的核心网，一样值钱。** --- ## 参考来源 1. [Eurobites: France's SFR falls prey to cyberattack – report — Light Reading](https://www.lightreading.com/security/eurobites-france-s-sfr-falls-prey-to-cyberattack-report) — SFR事件首发报道：NOVA工具、泄露字段、CNIL通报 2. [1 Million Records from Dutch Telco Odido Published Online After Extortion Attempt — Cyber Security News](https://cybersecuritynews.com/odido-data-breach/) — Odido泄露数据字段明细、分批公开节奏、HIBP收录 3. [ShinyHunters claims Odido breach, threatens to leak 21 million records — Cyber Insider](https://cyberinsider.com/shinyhunters-claims-odido-breach-threatens-to-leak-21-million-records/) — 勒索谈判、宣称记录数与赎金要求 4. [Dutch Police Name Local Suspect in Odido Breach — Tech Times](https://www.techtimes.com/articles/320226/20260712/dutch-police-name-local-suspect-odido-breach-that-exposed-65-million-people.htm) — vishing绕过MFA细节、7月警方点名嫌疑人 5. [Odido Telecom Breach: 6.2M Customers, Salesforce, and No Compensation — Safeguard.sh](https://safeguard.sh/resources/blog/odido-telecom-data-breach-shinyhunters-may-2026) — 620万官方口径、赔偿决定与集体索赔 6. [Major Cyber Attacks February 2026 — SOCRadar](https://socradar.io/blog/major-cyber-attacks-february-2026/) — ShinyHunters同期攻击潮背景 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。