ITRC中期报告：2026上半年数据泄露通知超4.71亿份已超去年全年，AI辅助攻击与内部威胁激增

身份盗窃资源中心（ITRC）发布的2026年中期报告显示，美国数据泄露态势持续恶化：上半年共记录1,803起数据泄露事件，高于2025年同期的1,732起，向消费者发出的受害者通知超过4.71亿份，仅半年就已超过2025年全年2.975亿份的记录。ITRC总裁詹姆斯·李表示数据泄露数量持续攀升，目前看不到放缓迹象，若下半年维持同等频率，全年总数将超过去年的3,321起。

巨型泄露事件成为推高数据的主因。教育平台Canvas在5月期末考试期间遭网络攻击，波及全美数千所学校，估计造成2.75亿份受害者通知，占上半年总量的58%；Under Armour泄露估计影响7,200万人。此外供应链攻击仅以38起初始事件就触发了2.806亿份通知，波及206个实体，凸显第三方生态的脆弱性。

人工智能正在扩大攻击面。IBM基于602家全球机构的研究显示，2025年3月至2026年2月期间四分之一的恶意泄露事件由AI驱动，同比上升56%，这些事件主要通过深度伪造冒充和AI恶意软件实施，平均成本约600万美元，比全球平均水平高出100万美元。企业层面，93%的上市公司审计委员会将网络安全列为三大优先事项，78%的全球企业计划未来12个月增加网络安全预算。

报告特别警示恶意内部人员事件的历史性激增：2026年上半年记录21起，而2025年全年仅3起，此前的纪录从未超过每年3起。增长部分源于被裁员工离职前窃取企业数据，另一重要因素是FBI预警过的朝鲜骗局——利用盗取身份、AI生成简历和深度伪造面试视频安排远程IT人员渗透美国企业，报告称这是推动内部攻击最核心的结构性因素。

与此同时，泄露通知的透明度显著下滑：2026年上半年仅有24%的通知说明事件发生经过，而2021年这一比例高达93%。李指出各州法规不统一导致通知内容差异巨大，居住地决定能否收到提醒以及看到多少信息。ITRC建议消费者冻结信用报告并改用通行密钥，企业则应采用零信任架构和实施最小权限访问控制。