大多数防范数据泄露的建议，包括我们自己的防止数据泄露指南，都侧重于将攻击者挡在企业网络之外。使用更强的凭证、抵御网络钓鱼、修补系统、审核供应商，这些都是这一做法的关键组成部分。它们都是必不可少的措施，但不能是您唯一的数据泄露防护策略：如果攻击者成功入侵您的网络，这些措施将无法为您提供支持。
获取访问权限与窃取数据是两回事。攻击者入侵了一个收件箱、一台笔记本电脑或一个供应商连接，还并没有窃取任何东西。他们只是获得了一个立足点，而从立足点到数据离开企业之间所发生的过程，是大多数中小企业安全指南完全跳过的一个阶段，因为这不仅仅是保护您的网络安全，还要察觉到数据正被转移到网络之外。
这个阶段称为数据外泄，通常持续数天，甚至可能在数月内都未被察觉。之所以可行，是因为所用的工具和渠道对任何不专门留意的人来说都显得完全平常。泄露通知往往来得很晚，不是因为组织对最初遭入侵疏于防范，而是因为攻击者在企业网络内一直未被发现。
数据外泄阶段：从访问到窃取之间发生了什么
攻击者获得初步访问权限后——无论是通过网络钓鱼电子邮件、被盗凭证还是已泄露的供应商连接——很少会直接开始窃取数据。立即行动可能会在他们找到任何值得窃取的东西之前触发警报，因此更常见的模式是按兵不动。
攻击者会花时间摸清环境，包括：
- 财务记录存储在何处
- 评估哪些 SaaS 工具包含客户数据
- 找出访问权限最广的帐户
- 探查是否已部署任何活动监控。
这个侦察阶段可能很缓慢。一些攻击者会在数小时内行动，尤其是在机会主义的勒索软件案中，速度比隐蔽性更重要。另一些攻击者，尤其是在围绕长期数据窃取或间谍活动展开的案件中，会潜伏数周或数月，充分学习正常的活动模式，以便融入其中。
无论如何，等到攻击者开始向外转移数据时，他们通常已经清楚知道自己想要什么，以及利用哪个帐户或系统能在不触发警报的情况下将其带走。
数据外泄的表现形式
恶意数据外泄难以发现，因为它看起来就像日常活动。IT 管理员不会去留意比平常稍大的文件传输，也不会注意文件夹被同步到不该去的地方。
大量或异常的数据传输
这是最直接的数据外泄形式。例如，某个帐户可能突然从一个平时只是偶尔访问的文件服务器或数据库中拉取数 GB 的数据，或者从 CRM 或 HR 平台批量导出数据。
在以 SaaS 为主的环境中，数据外泄往往通过平台自身的导出功能进行：批量下载 CSV、导出客户记录的 PDF，或者对根本没有导出按钮的仪表板连续截图。
典型的情况可能是这样：一个已泄露的 HR 帐户在数周内被用来分批小量导出员工记录，而不是进行一次明显的大批量下载。每次单独的导出本身看起来都平淡无奇，完全在 HR 平台认为该角色的人会做的事情范围之内。
只有跨周的模式——同一个帐户在不寻常的时间间隔导出类似数据——才能揭示正在发生的事情，而只有主动寻找这种模式的企业才能看到它。
收件箱泄露
攻击者入侵企业电子邮件邮箱后，可以设置一条规则，将每封消息或每封匹配特定关键词的消息静默复制到外部地址，这样即便最初的网络钓鱼电子邮件早已被遗忘，他们也能持续获取敏感往来邮件。
云存储空间泄露
个人云存储空间是另一条常见途径。员工已泄露的笔记本电脑，或者一个可访问公司文件的已泄露帐户，都可能被用来将文档复制到个人的 Dropbox、Google Drive 或类似服务中，这种传输往往与正常的文件备份看起来一模一样，除非有人去检查数据最终去了哪里。
为什么数据外泄难以发现？
关于数据外泄，一个令人不安的事实是：它通常根本不需要任何恶意软件（新窗口）。攻击者使用已泄露的帐户导出报告、转发一些电子邮件或将文件上传到云端硬盘，所用的工具和权限与合法员工每天使用的完全相同。
没有可疑的可执行文件可供杀毒软件标记，也没有异常进程可供端点检测捕获，因为这项活动在技术上没有任何异常。它只在特定情境下才显得不对劲，而情境恰恰是大多数中小企业安全工具无法评估的东西。
这就是为什么以边界为重点的防御，无论实施得多么完善，都无法单独发挥作用。企业可以在入口处把每件事都做对：强制使用强凭证、培训员工防范网络钓鱼、修补每个系统，但仍然无从得知一个已泄露的帐户正在稳步将文件转移到外部目的地，因为这种活动从一开始就设计得不会引人怀疑。
安全研究人员有时将此称为“living off the land”，即“就地取材”：利用目标自身合法的软件、云集成和管理工具，而不是使用任何会被杀毒产品认定为非法的工具。
文件同步客户端、内置导出功能或标准电子邮件规则本身并不是恶意工具。这就是为什么依赖它们的攻击者能长期活动而不触发任何旨在捕获恶意软件的机制。
企业应该监控什么
及早发现数据外泄，关键在于留意少数特定信号，而不是大范围扫描可疑活动。
流量和导出
异常的数据传输量或传输目的地最值得密切关注。您的组织应留意出站流量激增、来自不常进行此类操作的系统的批量导出，以及任何流向您不认识的目的地的传输。
NCSC 的数据安全指南（新窗口）明确建议记录对敏感数据的访问，并监控异常查询或批量导出企图，正是因为这种模式表明某些行为已超出正常使用范围。
电子邮件转发规则
电子邮件转发规则值得直接审查，尤其是对于曾涉及疑似网络钓鱼事件的任何帐户。一条将消息静默转发到陌生地址的规则可能数月无人察觉，而一旦知道要查什么，这是最容易检查的事项之一。
异常登录
来自意外位置或时间的登录活动是一个值得认真对待的信号。凌晨 3 点来自企业没有任何业务存在的国家的登录本身并不能证明什么，但若与大约同一时间的数据传输相互印证，这个详细信息就能确认一起安全事件。
工作时间之外的管理员帐户活动值得特别审视，因为管理员帐户通常对系统的触及范围最广，也正是因此成为首选目标。
这些帐户在深夜、周末或已知实际管理员不在办公室的时段出现活动，是帐户而非仅仅是设备已泄露的较可靠指标之一。
及早检测如何改变您的法律处境
根据欧盟 GDPR 和英国 GDPR，第 33 条（新窗口）规定，组织一旦得知发生了影响个人数据的泄露事件，须在 72 小时内通知相关监管机构，即英国的 ICO（新窗口） 或每个欧盟成员国的国家数据保护机构。
这一要求在所有司法辖区实质上相同：对您的组织而言，计时从知悉之时开始，而不是从泄露实际发生之时开始。这就是为什么全面的数据外泄监控对合规如此重要，而不仅仅是为了安全。
通过转发规则审计、传输监控或异常登录警报及早发现数据外泄的企业，可以主动进行通知，按照自己的时间安排，并对被窃取的内容有相当清晰的了解。
而数周或数月后才发现泄露的企业——往往是因为客户投诉或被窃数据出现在犯罪论坛上——只能被动地、在压力下进行通知，通常对泄露范围了解不完整，还要面对监管机构的质问：为什么这么久才发现。
这种差异不仅影响您的声誉，还会影响整个事件如何被评估，以及监管机构愿意给予多大的宽容度。
被外泄的企业数据会怎样？
Proton 的数据泄露观察站追踪泄露事件发生后在暗网上出现的内容，其规律有助于我们认清数据外泄的真正目标。
根据2026 年数据泄露观察站更新，在被追踪的泄露事件中，近九成出现姓名和电子邮件地址，约四分之三出现电话号码和实际地址等联系人详情，近一半泄露了密码。
更敏感的类别——政府签发的身份证件、健康记录以及其他个人身份信息——出现在略多于三分之一的泄露事件中，而直接财务信息的占比更小，约为二十分之一。
中小企业占观察站所追踪泄露事件的大多数，并且在涉及最敏感数据类别的事件中所占比例尤其高。
这种组合——频繁成为目标加上敏感数据高暴露率——与本文所描述的数据外泄类型相符：在较小组织的系统中长期发生的攻击往往收益更大，因为没有人知道数据正在被泄露，攻击者可以拿走一切。
限制攻击者能触及的范围
数据外泄监控能在数据外流时将其捕获，但问题的严重程度早在之前就已决定，取决于一个已泄露的帐户最初能触及什么。与入侵权限仅严格限定于特定角色所需的帐户相比，获得权限宽泛、不受限制的帐户访问权限的攻击者能从更多的系统中提取数据。
每个帐户使用独立凭证，并将访问权限限制在角色真正需要的范围内，能直接缩小数据外泄面。如果一个已泄露的营销帐户只能访问营销系统，那么最坏的情况在设计上就已被限定，而无需依赖攻击者的克制或监控系统能否及时抓到他们。
这与在基于凭证的泄露事件中限制影响范围的一般遏制逻辑相同：被泄露的帐户应只能泄露其本来就被合法允许接触的内容。
像 Proton Pass for Business 这样的企业密码管理器让这种权限范围划定切实可行，因为它消除了在各工具间重复使用同一套宽泛凭证的诱惑——人们之所以这样做，仅仅是因为手动管理独立凭证难以扩展。
当每个帐户都拥有自己的凭证，并根据角色实际需要审查访问权限时，单个已泄露的帐户就不再是一条通往整个组织数据的路径，最坏也只会成为一起得到控制的事件。
Proton Pass for Business 可为您的企业提供以下支持：
- 可自定义的团队策略，帮助您通过密码要求、强制双因素身份验证（2FA）和已撤销的数据共享规则来执行您的密码策略
- 使用日志，让您可以查看网络内的活动，并有我们高级高安全防护计划 Proton Sentinel 的额外支持
- 按角色、项目或访问级别组织的群组，简化访问管理，确保每位团队成员仅能访问其所需内容。
使用 企业密码管理器阻止基于凭证的数据外泄。
