二零二二年春节前夕，一家南方大型制造业企业筹备了一场隆重的年度晚宴。行政部委托了一家活动策划公司开发了一套年会抽奖系统，用于现场大屏滚动抽奖，活跃气氛。这个看似简单的内部活动工具，谁也没有想到后来会演变成一场令人措手不及的安全事件，直接影响到公司高层的个人信息安全和商业决策保密。
抽奖系统需要提前录入员工的姓名、部门和工号，以便现场快速匹配中奖信息。行政人员在整理数据时，顺手将公司高管层的手机号码和内部邮箱一并导入了系统，理由是万一领导中奖了方便现场核对身份，通知领奖。活动结束后，这套抽奖系统被活动策划公司留存在了他们的演示服务器上，说是留着以后做案例展示用。策划公司的一名技术人员离职后，将服务器上存储的客户数据全部拷贝了出来，其中包括这家企业的全部员工信息。他把这套数据打包出售给了多家数据中介，几经倒手后流入了黑产市场，被各路不法分子趁机利用。
一年后，企业几位高管陆续收到了来源不明的骚扰电话和钓鱼短信。其中一位副总裁收到了一条自称是某投资机构合伙人的微信好友申请，对方准确说出了他在公司的职位和最近的行程安排，意图打探公司在东南亚的产能扩张计划。这位副总裁觉得事情不对劲，立即将情况报告给了信息安全部门。安全团队顺藤摸瓜，经过深入调查，最终发现信息源头正是那套早已被人遗忘的年会抽奖系统。策划公司离职的技术人员将数据打包出售后，数据经历了多次转手，最终落入了专门从事商业情报搜集的不法组织手中。这些信息被用于精准诈骗和商业刺探，影响了数十名高管的工作和生活，其中有人因此更换了手机号码和社交账号，有人不得不调整出行计划。
这起事件暴露出企业内部活动中的常见安全管理盲区。企业在日常办公中通常有严格的安全制度，文件流转需要审批、外部系统需要安全评估、人员权限需要严格控制。但到了年会、团建、庆典这类非正式场景中，安全意识和管控措施往往降到最低。临时引入的外部软件和服务，很少经过信息安全部门的评估和审查。活动结束后数据是否被妥善删除，外包方是否有能力保护好这些数据，企业往往不再过问。就拿这次事件来说，抽奖系统里存的表面上不过是员工姓名和手机号，似乎算不上什么机密。但如果企业正在筹划重大的收购重组或者有重要的战略调整，出席人员名单、高管的人脉关系网，本身就是极为敏感的竞争情报。更不用说高管层的联系方式和内部沟通习惯，这些东西对竞争对手来说价值极高，可以用来策划针对性的社交工程攻击。
更深层次的风险在于，很多企业把员工个人信息和商业保密完全割裂开来，认为员工手机号、邮箱等属于个人信息而非商业秘密，不需要纳入保密管理的范畴。但实际上，高管的个人联系方式和日常行踪信息，往往是从事情报搜集活动的重要突破口。一旦攻击者掌握了高管的通信方式，就能顺势开展精准钓鱼、冒充身份甚至社交工程攻击。这类攻击的成功率远高于普通的网络钓鱼手段，因为攻击者在沟通中能够准确说出大量的个人信息和业务背景，让人难以产生怀疑。从我的工作经验来看，通过个人信息泄露入手的高管钓鱼事件，近年来呈现明显的上升趋势，已经成为商业间谍活动的重要手法。
从这个案例中，企业需要有所警觉。任何涉及员工信息的收集系统，无论看起来多么临时、多么不重要，都需要纳入数据安全管理的范围。对外包开发的应用程序，合同中必须明确数据删除条款和违约责任，活动结束后服务商应当书面确认所有数据已经彻底清除，并且接受企业的抽查核实。数据安全管理不能只覆盖核心业务系统，那些看似边缘的、临时的数据收集环节同样需要纳入管控视野。在数字化办公越来越普及的今天，安全的边界不应该只在正式业务场景中存在，那些看似轻松的团建活动、节日庆典、员工福利，同样需要被纳入企业的全面风险管理视野。一次年会的抽奖系统，看起来和商业秘密八竿子打不着，但数据泄露的连锁反应一旦启动，谁也无法预料最终会波及到哪里，会带来什么样的后果。北京企密安在为企业提供保密咨询时，经常强调一个安全管理的颗粒度决定了最终防护的实际效果。越是平时容易被忽视的角落，往往越是泄密事件的高发地带。只有建立起全面、细致的安全管控体系，不放过任何一个看似微不足道的环节，才能让企业在日益复杂的网络安全环境中行稳致远。
