比利时14.8万公民数据遭无鉴权暴露：逾4万IBAN与5.2万邮箱关联存储，支付与身份信息成欺诈温床

暗网数据泄露情报周报（8月14日发布）披露，一个面向比利时消费者的营销数据库被发现在互联网上无鉴权、无加密地暴露，共涉及148,251条记录、81MB数据量。泄露方帖子标题为“148k Belgian Citizens EXPOSED — 40k IBANs — 52k Emails — Full PII — No Auth”，直接点明其性质：无需任何认证即可访问的完整个人信息库。

统计显示，该数据库包含43,234个唯一电话号码、52,688个唯一邮箱地址、40,455个唯一IBAN（国际银行账号）、22,022个邮编、26,042个街道名称、2,884个城市以及100余个BIC银行代码，另有超过132,000个订单UID。记录字段涵盖姓名、性别、完整邮寄地址、电话、邮箱、IBAN、BIC和出生日期，将公民身份信息、联系方式与银行账户数据高度关联在同一存储中。

这种数据组合的危险性在于：IBAN与姓名、地址、出生日期的关联可直接用于税务身份冒用、伪造支付指令和银行身份验证绕过；结合邮箱与电话，攻击者可实施精准钓鱼和账号接管攻击。事件同时暴露了企业在营销数据治理上的典型缺陷——消费者数据库长期在线存储且未设置访问控制，成为暗网叫卖的现成“肥肉”。

此类无鉴权数据库暴露在欧盟GDPR框架下构成严重的数据安全义务违反（第32条安全措施要求），涉事企业可能面临监管调查与高额罚款。事件再次警示：营销数据库同样承载高度敏感的个人与金融信息，任何未经加密和访问控制的存储都是对数据主体权利的系统性风险，企业应定期开展暴露面排查并落实最小权限访问。