导航|地址|刷新
休斯顿城市学院遭勒索攻击，83.2万学生电邮地址与学业记录全泄露_手机网易网




















网易网易号



0







休斯顿城市学院遭勒索攻击，83.2万学生电邮地址与学业记录全泄露


硅屿手记
2026-07-29 20:47·北京

0


很多人觉得学生数据不值钱——邮箱里塞满作业通知，成绩单又不能直接提现，有什么好偷的？但地下黑产早就给这些「学术资产」标好了价码。一个真实的学生身份，附上生日、住址和完整的修课记录，在黑市上能卖到普通信用卡信息的数倍。因为利用这些信息申请的贷款、开立的银行账户、甚至伪造的学历背景，几年内都不会被发现。而攻击者最清楚这一点。

2026年6月曝光的休斯顿城市学院数据泄露事件，正是一堂血腥的实践课。该学院遭到臭名昭著的 ShinyHunters 组织入侵，约83.2万份独一无二的学生及校友电子邮箱地址被窃，连带一波高度敏感的隐私数据被拖走。整个事件源于一次针对教育机构的「付钱或泄露」勒索，但学校没付赎金，于是全部数据被直接扔到了地下论坛上。



打开网易新闻 查看精彩图片

被扒光的「学生档案」远超你的想象

泄露的数据集不只是邮箱和姓名。根据公开的样本分析，每条记录都像一个微型人事卷宗：全名、个人邮箱、电话号码、实住地址、出生日期、性别，甚至包括了国籍身份。这还只是基础层。真正让安全人员后背发凉的是学业记录遭到了整体搬空——选课历史、学期成绩、毕业状态，全部归档在泄露包里。

这些信息拼在一起，足以让一个素不相识的攻击者完整冒充这名学生。试想一下，一个五年前毕业、已进入职场的人，突然发现自己名下多了一笔助学贷款，或有人用他的学历在海外申请了工作签证——溯源就会发现，所有材料上的学籍细节完全正确，因为源头就是学校的官方数据库。这不是「可能发生」，而是此类泄露案的标准后续剧本。

数据的具体结构对攻击者极其友好：邮箱地址作为唯一主键，关联所有个人信息，天然适合批量导入钓鱼工具。安全研究员反复强调，学术邮箱账号因为经常被学生用来注册各类第三方服务（从求职平台到论文网站），一旦一个密码撞库成功，往往意味着整条线上身份同步失守。

ShinyHunters：专盯教育界的数据屠杀机器

这次攻击的幕后推手 ShinyHunters 已经不是第一次在教育界犯案。这个组织过去几年横扫过多个在线学习平台、SaaS 服务商和企业数据库，惯用手法极其固定：先扫描暴露在公网上的配置错误的数据库，再尝试弱口令或已经泄露的凭证登入。一旦取得入口，他们就大肆拖取完整表结构，而不是像传统勒索软件那样加密文件。

他们真正的武器不是加密，是公开羞辱。ShinyHunters 运营着自己的泄露站点和暗网频道，每一次当事机构拒绝支付勒索金，他们便会准时上架数据，附上嘲讽声明。这种策略把压力点从业务中断转移到声誉崩塌和监管罚款上——教育机构如果数据保护不力，在美国面临的《家庭教育权利与隐私法案》（FERPA）处罚可以高达按人数计算的罚金，83.2万条记录足以造成毁灭性财务打击。

更致命的是，ShinyHunters 把完整数据开放给整个犯罪网络，而不是私下转手。这意味着同一份学生信息会被数十个不同团伙反复利用：A组拿去发精准钓鱼邮件，B组做身份盗窃，C组批量注册金融账户。受害学生往往同时遭遇多线程诈骗，防不胜防。

教育系统为什么成了软靶子？

休斯顿城市学院的案例并不是孤例，而是一个持续扩大的裂口的缩影。高等院校大多运行在多个年代的信息系统上，招生、选课、校友捐赠、校内支付各自成一套，接口老旧，IT治理高度分散。加上网络安全预算常年垫底，许多学校的安全团队甚至凑不出一名专职威胁应对工程师。

这种环境最突出的漏洞就是「凭据乐园」：教职员工、学生、外包商共享着大量弱口令，很多初始密码至今仍是生日加学号的组合。一旦攻击者拿到一个边缘系统的登录权限，横向移动几乎畅通无阻。此次事件中，攻击路径就疑似起于未被加固的远程服务端口，随后一路提权直捣核心学生信息系统。

还有一个容易被忽视的放大因素——教育机构的数据生命周期特别长。一个学生的档案从入学建立，到留作校友联系，往往会保存数十年，其间不断追加缴费记录、住宿信息、纪律处分等敏感字段。这些沉睡在备份磁带和老旧服务器里的数据，长期缺乏审计，一旦被整包拖走，连学校自己都未必能说清到底泄露了多少历史组件。

现在立刻要做的五件事

对于83.2万条记录中可能躺着自己信息的读者，指望学校通知不如先自救。综合一线应急响应人员的建议，以下行动优先级最高：

1. 换掉所有关联密码，用管理器生成独立乱码。不要试图「把旧密码改个数字」，攻击者会用脚本尝试最常见的变形。密码管理器生成的16位随机字符串是目前性价比最高的防线。

2. 给每个能开多因素认证的账号绑上验证器。哪怕是短信验证也比单一密码强。特别注意那些用edu邮箱注册的第三方服务——很多图片库、学术工具网站默认不开启二次验证，需要一个个手动检查。

3. 假装自己一定会被钓鱼，读邮件时多点一次发呆。泄露后几个月内，针对edu域名的精钓鱼邮件会大量出现，发信人可能冒充学校财务处、教授甚至同班同学。

4. 把金融账户挂上交易监控提醒。设置单笔消费超过1美元的实时通知，不开玩笑。身份盗窃团伙会先用小额测试验证卡片活跃度，然后迅速消费。一旦在凌晨收到一笔本不属于自己的交易，第一时间冻结账户。

5. 准备一个「被冒充」应对预案。如果发现自己学籍信息出现在陌生贷款申请上，立即向当事人征信机构申请欺诈标记，同时向学校注册办公室索取官方数据泄露通知文件，作为后续司法举证的基础材料。

数据已经流进下水道，但别让污水跟着你一辈子

值得记住的是，ShinyHunters 所公开的不是一堆冷冰冰的表格，而是一条条具备长期变现价值的身份根。这些根一旦埋下，几年后仍可能发芽——当某个学生想买第一辆车、申请出国进修，却发现信用记录早已被非法透支，根源就埋在2026年这次毫不留情的拖库里。

对于拥有类似数据规模的教育机构来说，休斯顿城市学院的遭遇是一面放大镜。有人以为只要不交赎金就算赢了，结果所有学生成了变相支付的筹码。在「付钱保声誉」和「拒绝勒索承担舆论暴雷」两难中，真正有效的出路只有一条：在上游就把踩点的入侵者拦在门外，而不是等他们掏出整库整库的数据，才想起该堵漏。

安全业界有句话很刺耳但准确——没有一个系统是突然被攻破的，只是防御者突然意识到它一直没修。83.2万条记录被泼到开放的网路上，这是一次对所有人开卷的测试：现在就开始行动，别等到自己也出现在下一批泄露名单上。








特别声明：本文为网易自媒体平台“网易号”作者上传并发布，仅代表该作者观点。网易仅提供信息发布平台。






打开网易新闻体验更佳




热搜

《蜘蛛侠：崭新之日》好看吗

视频丨国防部：菲方非法图谋不可能得逞

龚宝冬遇难 西南政法大学官网变黑白

男孩被奶奶责怪负气离家5天后被找到

杨振宁遗孀翁帆赴新疆喀什看望老兵

老师午休散步猝死 家属工亡诉求被驳





热门跟贴




打开APP发贴

0条跟贴








相关推荐




中国小孩在斯里兰卡上学，教室虽然简陋，却收到了无比热情的欢迎

重庆视点1跟贴









勒索组织声称窃取57万客户信息，芯片大厂Analog Devices确认内部系统遭入侵

报错免疫体









打死都想不通他一开始不动，以为他怂了不敢跳，最后竟上去嗨跳

搞笑热血青年1跟贴









印度网红报道天文台学生抗议涨粉75万，他奖励了自己一台苹果手机

车马点兵V131跟贴









俩黑客还没成年，就搞得英国交通鸡飞狗跳，损失上百亿！最后却栽在了一份外卖上

英国那些事儿45跟贴









持AK-47连开三枪驱散学生示威者？印度一警员做法引争议

车马点兵V1跟贴









微软AI发布网络安全模型MAI-Cyber-1-Flash，漏洞检测性能提升并降低50%成本

界面新闻









美国网络诈骗年损失或达1500亿美元，FBI数据仅为冰山一角

算力游侠









明尼苏达州超30个水系统遭黑客协同攻击，水厂一度离线

碳基打工人









索赔80万美元：被解雇EMT称救护车内摄像头秘密录像患者

体坛观察猿









急救员因遮挡救护车后舱摄像头被开除，起诉雇主索赔80万美元

星河漫山野









生命的最后几小时，他们把他的病房变成了重金属演唱会现场

山月不知2









帕特里克·马霍姆斯父亲因脚环疼痛求免戴，医生称脚踝已肿胀

体坛观察猿









这种乱象真该好好整治一下了！

小鱼有事说6跟贴









“蜘蛛侠”把头伸进课桌洞睡觉 只留个身子在外面 网友：我以为谁的书包呢

天目看看









女老师被家长投诉在学校里拍短视频 大跳热舞视频流出

天目看看7806跟贴









如此学校和老师，太可怕，他们岂能教育出个人来？

旅途的美食故事









Health-ISAC警告：ShinyHunters正通过“钓员工”疯狂盗窃医疗数据

爬虫饲养员









因为父亲是杀人犯外孙女在学校受欺负外婆把老师说的低头认错

海韵影视剧1跟贴









非法倒卖数百万条公民信息 7人获刑

云上凉山











回到顶部回到首页



------
导航页 打开网址