2025年的最大供應鏈黑客攻擊：媒體曝光600萬條記錄從 Oracle Cloud 泄露。Oracle 對此矢口否認，但已經有客戶驗證了公開樣本的真實性。

黑客 Rose87168在 BreachForm 上叫賣這份數據。包括600萬用戶的身份認證數據與加密密碼，涉及到14萬個域名。并且還在服務器上留下到此一游的文本文件。

距離數據發布在暗網論壇上已經過去一周了，根據歐盟 GDPR 的規定，數據泄漏的72小時如果沒有及時披露與通知，可能面臨年營收百分比的巨額罰款。

GPT 估算 Oracle 企業客戶數量在數萬量級，這讓人懷疑這次是不是所有客戶的身份認證數據庫都被一鍋端了。如果是，那又是云計算歷史上的史無前例的驚天故障，考慮到他們還有很多政企客戶，這下樂子大了。

據 CloudSEK 驗證，login.us2.oraclecloud.com 是生產 SSO 服務器，還在跑 Oracle Fusion Middleware 11g —— 16年前發布的軟件版本，現在早就 EOL 了，而且有一個重大安全漏洞 CVE-2021-35587。（不是哥們這是你自家的軟件啊，你自己還在跑過時漏洞版本也不給自己打補丁的嗎？）

我的朋友瑞典馬工一直主張深度上云，擁抱云廠商的身份認證基礎設施 IAM / RAM。我相信這次事故會給他好好再上一課 —— 云廠商提供的認證基礎設施并非是什么無條件可靠的信任根，它一樣會掛會泄漏。

上次阿里云 IAM/OSS 循環依賴導致的全球大故障已經體現了依賴云上的認證體系存在額外的可用性安全風險。這次 Oracle 史無前例的事故告訴我們，依賴云廠商的認證基礎設施 —— 連機密性也保不住了。

在國內的數據庫圈，很多老 DBA 喜歡把 Oracle 捧上天，這其實是一件相當滑稽的事情。引用昨天陸奇老師的一句評論：在硅谷，人們最看不起的公司是 Oracle，They are selling garbage。

世界是一個巨大的草臺班子，有些東西看著光鮮亮麗，其實底下是一灘爛泥。

來源：非法加馮