← 返回事件分析列表
分析日期：2026-11-02分類：威脅研究原始來源：VULONE標籤：影響力操作資料外洩DeepChinaCIIC個資新疆與西藏議題

1. 事件概述

2026-10-24，威脅情資團隊 Vulone 發現一個在公開網路上可自由存取的資料庫平台，標題為「民族外宣重点人物信息库」（Key Figures Information Database for Ethnic External Propaganda）。Vulone 在 2026-10-31 發布調查報告，開宗明義指出：本案沒有入侵、沒有漏洞利用、沒有繞過驗證——平台本身以明文 HTTP 部署在公開網路上，後端資料查詢與試算表匯出介面完全免驗證，任何人連上就能取用。因為在 Vulone 擷取資料當下伺服器仍然活著且無需驗證，報告刻意不公開 IP 位址與具體介面路徑。

資料庫共有 2,618 筆檔案，扣除測試資料後為 2,580 筆真人紀錄，橫跨 103 個國家、1,550 個組織。收錄對象從維吾爾活動人士、西藏與人權議題學者、華府智庫研究人員、各國政要與經濟學家，到親北京的外國評論者與自媒體，都被放進同一套追蹤架構。Vulone 點名的公眾人物例子包括 IMF 總裁 Kristalina Georgieva、前美國財政部長 Lawrence Summers、前歐盟外交與安全政策高級代表 Josep Borrell、聯合國人權事務高級專員 Volker Türk 等現任或前任高層。平台前端 JavaScript 中寫死的 Webpack Module Federation 建置路徑，指向了內部生產環境，Vulone 據此確認這套系統是「DeepChina」運作中的組成部分（歸屬爭議見第 4 節）。

2. 時間線

日期事件
2022 年DeepChina 於 Substack 上線，對外自稱「菁英學術倡議」；其國內版為「道中華」（依 Collective Study 的文件研究）
2025-04-26Collective Study 發布 Issue 04 研究，依黨政宣傳文件與官方資料指出 DeepChina／道中華是國家民族事務委員會旗下國家級官媒的宣傳品牌，由民族畫報社創建、受統戰部體系指揮，任務包含對民族議題發動「輿論戰與認知戰」
2026-10-24Vulone 研究團隊發現「民族外宣重点人物信息库」平台未設防公開存取，並進行擷取與分析
2026-10-31Vulone 發布調查報告；報告註明擷取當下伺服器仍在線且免驗證，因此不公開位址與路徑。截至 2026-11-01 本篇查核時，尚無其他媒體或研究機構跟進報導或獨立驗證，也無公開資訊顯示平台是否已下線

3. 技術分析

3.1 暴露方式：沒鎖的門，不是被撬開的門

平台部署於公開網路，使用明文 HTTP（報告指出 443 埠關閉），登入工作階段與資料庫查詢全程明文傳輸。後端的資料檢索與試算表匯出路由完全未驗證。換句話說，風險不是來自高明的攻擊，而是含有敏感個資與內部作業註記的作戰系統，在架設時就沒有放進任何存取控制。Vulone 取得資料的過程不涉及任何入侵行為，這也是本案與典型「資料外洩」的區別：比較接近資料庫裸奔（exposed database）事件，只是裸奔的內容本身是一套影響力操作的作業系統。

3.2 資料結構：22 欄的作戰型 CRM

每位被收錄者有 22 個作業欄位，分三組：

  1. 身分與憑據：法定姓名、在地化中文名、國籍、性別、出生日期。
  2. 機構錨點：所屬組織、職稱、領域、分類、學位、主修、簡介。
  3. 可直接行動的聯絡個資：個人與機構電郵、直撥手機、市話、經核實的實體街道地址、社群媒體帳號。

資料另以 388 個標籤分類（例如「新疆相关」、「西藏」、「人权」），並維護一個 190 人的高優先子集，配有量身訂製的中文名與即時社群帳號——Vulone 據此研判這批人是操作者正在主動經營（worked）的對象。收錄重心明顯偏向形塑國際輿論的學術與政策機構：批評北京民族政策的人權活動者與學者、各國智庫的中國研究社群、政要與經濟學家、調查記者，以及立場親北京的外國評論者與自媒體，同列一庫、同一套欄位——監控對象與可合作對象不分家，是這套 CRM 最值得注意的設計。

3.3 個資風險：集中化本身就是傷害

即使不談資料的政治用途，把 2,580 人的手機、市話、地址、生日與個人電郵集中成一份可匯出的清單，本身就讓每一位被收錄者暴露在第三方收割、肉搜（doxing）與針對性釣魚的風險之下。Vulone 表示其保留的證據已安全隔離，僅供威脅情資與受害者通知之用，完整技術證據與個別紀錄查證只提供給受影響當事人與經授權的法律實體（聯絡：contact@vulone.com）。

3.4 歷史對照：2020 年振華數據 OKIDB

這不是第一次出現這類「重點人物資料庫」。2020 年 9 月，深圳振華數據的「海外重點信息資料庫」（OKIDB）被揭露：約 240 萬人、65 萬個機構的檔案，資料由外洩管道輾轉交給學者 Christopher Balding，澳洲資安公司 Internet 2.0 復原了約 25 萬筆（約一成）；媒體聯盟於 2020-09-14 公開報導，其中包含約 2,900 名臺灣人。振華方面當時否認報導，稱資料皆為公開來源的整合、公司是民營企業。兩案相同點：都是以「重點人物」為單位、為影響力與情資目的建立的大型人物資料庫，且收錄大量公開人物。不同點必須分清：OKIDB 是民營公司的彙整資料庫、資料經外洩曝光，規模達百萬級；本案是外宣作業系統本身未設防被發現，規模 2,580 筆但欄位含非公開性質的直撥聯絡方式，且帶有正在使用的高優先經營子集。兩者是不同系統、不同營運者，只能作類型對照，不能互相證明。

4. 歸因與證據限制

  1. 核心事實為 Vulone 單一來源：資料庫的存在、2,580 筆規模、22 欄結構、190 人子集、388 標籤、HTTP 明文部署等，全部來自 Vulone 2026-10-31 的單一報告；截至 2026-11-01，沒有第二個獨立來源驗證，也沒有當事機構的回應。本篇所有相關數字都應讀作「Vulone 的發現與說法」。
  2. 系統歸屬兩說並存（本案最大的未定點）：
    • Vulone 的技術鏈：前端 JS 的 Webpack Module Federation 路徑指向內部生產環境，確認系統屬 DeepChina 的運作組成；Vulone 進一步主張 DeepChina 直接受中國互聯網新聞中心（CIIC）管轄，CIIC 營運 china.org.cn 與 china.com.cn，是國務院新聞辦公室與中國外文出版發行事業局體系下的外宣樞紐。
    • Collective Study 的文件鏈：依黨政宣傳文件、期刊與官方資料，DeepChina 與道中華是國家民族事務委員會（民委）旗下國家級官媒的「宣傳品牌」，由 1953 年成立、直屬民委的民族畫報社創建；民委受中共中央統戰部直接領導，其公開任務文件明言要就民族議題發動輿論戰與認知戰。
    • 兩條鏈指向不同的主管體系（國新辦／外文局 vs 統戰部／民委）。可能的解釋包括品牌歸屬與技術營運分屬不同單位，但目前沒有公開證據能證實任何一種調和說法；本篇並列兩說，不替讀者選邊。
  3. 「作戰型 CRM、主動施壓」的定性是 Vulone 的研判：其依據是欄位設計（直撥聯絡方式＋高優先子集＋中文名訂製）與標籤體系，這個推論有結構證據支持，但資料庫實際被如何使用、是否曾用於施壓或接觸行動，報告沒有提出個案證據，本篇不把研判寫成已發生的事實。
  4. 平台現況未知：Vulone 僅表示擷取當下（2026 年 10 月下旬）伺服器仍在線；之後是否下線、是否改設驗證，至本篇查核時無公開資訊。本篇不嘗試連線驗證——該平台含 2,580 名真人的聯絡個資，自行取得或散布都不適當。
  5. 與臺灣的關係要精確：Vulone 本案報告沒有指出資料庫中有臺灣人紀錄；「約 2,900 名臺灣人」是 2020 年 OKIDB 的數字，不要混入本案。與臺灣較直接的關聯在 DeepChina 的議題設定：Collective Study 指出其「敏感議題」包含反駁所謂「臺獨」勢力的臺灣南島起源論述——這是外宣議題設定的層面，不是本案資料庫收錄臺灣人的證據。

本工作坊的判讀：這起事件的資安成分其實很單純——一套系統沒鎖門。真正的份量在它讓外界罕見地看見影響力操作的後台長什麼樣子：不是只有殭屍帳號和水軍，國家級外宣機構同時維護著結構化的人物 CRM，把批評者、決策菁英和友好聲音放進同一套 22 欄架構裡經營。對防守方的提醒也很實際：你的公開聯絡足跡（個人手機、電郵、地址）一旦被這種系統收割，風險不是「被看見」，而是被放進一份可匯出、可轉手、可拿來精準釣魚的清單。

5. 防守建議

  1. 盤點自己的公開聯絡足跡：學術、政策、媒體與人權領域工作者的個人手機、個人電郵與住址若曾公開（名片、會議手冊、個人頁面），應假設可能已被彙整；公開場合改用機構總機、職務電郵與聯絡表單，把私人管道與公開管道分開。
  2. 對「精準得不尋常」的接觸提高警覺：這類 CRM 的用途之一是主動接觸與邀稿。Collective Study 曾記錄有北美學者被逕自加入 DeepChina 的郵寄名單、且無法退訂；收到來自不明「學術倡議」的邀稿、邀訪或索取背書時，先查證對方組織的實際歸屬再回應。
  3. 被收錄者的釣魚風險：名單外流或被第三方收割後，最可能的次生攻擊是針對性釣魚與冒名聯繫；對以私下管道寄來、內容精準對應個人背景的郵件與訊息，應以第二管道核實寄件人身分。
  4. 系統架設方的通則（本案的資安教訓）：任何含個資的內部系統不得以免驗證介面暴露於公開網路，更不應以明文 HTTP 傳輸工作階段與查詢；資料匯出功能屬於高權限操作，必須驗證、授權並留稽核紀錄。這是本案最不需要情報背景就能學到的一課。

6. 原始來源與參考

← 返回事件分析列表