Comcast Xfinity数据泄露1.175亿美元和解获最终批准：2023年Citrix漏洞影响约3600万客户

美国宾夕法尼亚东区联邦法院法官近日正式批准Comcast旗下Xfinity就2023年10月数据泄露事件达成的1.175亿美元集体诉讼和解。2023年10月中旬，攻击者利用当时已公开披露的Citrix Bleed漏洞侵入Xfinity系统，公司于12月披露该事件，约有3600万客户收到通知，被暴露的数据包括用户名、哈希密码、姓名、联系信息、出生日期、社保号后四位以及安全问题和答案。

原告在诉讼中指控Comcast未及时修补已公开的漏洞、未能妥善保护客户个人信息，违反了合理安全义务。Comcast否认过错，但同意设立1.175亿美元和解基金，并额外提供三年期信用监控、暗网监控和100万美元身份盗窃保险服务，以帮助受影响客户降低后续风险。

根据和解方案，受影响客户可选择提交无需证明的统一现金赔付约50美元，也可申请最高1万美元的实际损失与时间损失补偿。索赔截止日期为2026年9月14日，和解管理员已开放官方索赔网站供客户提交申请。

该案是近年来规模最大的数据泄露和解之一，反映了美国司法实践对企业数据安全责任的持续追索。案件名为Hasson v. Comcast，审理法院为美国宾夕法尼亚东区联邦法院，和解基金规模与覆盖客户数量使其成为观察美国数据泄露诉讼走向的重要样本。

对于企业而言，该案的核心教训在于漏洞修补的时效性：Citrix Bleed漏洞在2023年10月已公开披露，Comcast在修补完成前被攻击者利用，由此引发的集体诉讼与巨额和解费用凸显了关键基础设施类企业对已知漏洞处置不当的合规风险。