史上最大数据泄露事件通常不是一次“密码被偷”那么简单。它们会把邮箱、手机号、出生日期、身份证明、医疗记录、社交资料甚至金融信息推到黑市和诈骗链条里。

下面这 10 个案例值得记住，不是为了制造恐慌，而是为了看清一个事实：数据一旦大规模外泄，真正的影响往往会持续多年。IBM 的年度报告也持续提醒，数据泄露成本、响应时间和个人影响都不是短期问题。［1］

如果你想先了解基础概念，可以读数字隐私保护完全指南（2026）和什么是数据泄漏？别只担心密码，真正麻烦的是身份拼图。

关键要点

最大的数据泄露往往影响数亿到数十亿账号。

邮箱、手机号、姓名、生日和密码哈希组合在一起，足以支撑长期诈骗。

医疗、金融和身份类数据比普通账号资料更难“换掉”。

普通人最该做的是密码去重、开启 2FA、监控邮箱和冻结高风险账户。

一次泄露不一定马上出事，但会提高未来钓鱼、撞库和身份盗用概率。

史上最大数据泄露事件：先看 10 个大型案例

下表不是严格排名，而是按公开数据泄露数据库、可视化资料和监管披露整理的代表性大型案例；具体规模会随公司公告、监管文件和诉讼材料更新而变化。［4］［5］［6］［7］

事件	公开时间	影响规模	主要暴露信息	普通人风险
Yahoo	2016-2017	约 30 亿账号	邮箱、生日、安全问题等	撞库、账户接管
Aadhaar 相关暴露	2018 起多次报道	涉及超十亿居民身份生态	身份号码、人口统计信息	身份盗用、诈骗
First American	2019	约 8.85 亿文件	房产、交易、财务文件	金融诈骗
Facebook 数据集	2021	超 5 亿用户资料	电话、姓名、位置等	短信诈骗、社工
LinkedIn 抓取数据	2021	数亿公开资料	职业资料、邮箱等	商务钓鱼
Equifax	2017	约 1.47 亿美国消费者	SSN、生日、地址等	身份盗用
Marriott Starwood	2018	约 3.39 亿客人记录	护照、旅行、联系信息	旅行身份诈骗
Adult Friend Finder	2016	数亿账号	邮箱、密码哈希、敏感偏好	勒索、撞库
Change Healthcare	2024	大量医疗支付相关数据	医疗、保险、支付资料	医疗诈骗
National Public Data	2024	大规模背景调查数据	姓名、地址、SSN 等	身份盗用

不同来源对规模口径会有差异，尤其是“泄露”“抓取”“暴露配置错误”和“已确认受影响人数”经常被混在一起。本文更关注这些事件能给个人防护带来什么教训。［4］［5］

为什么这些事件会影响这么久？

密码可以改，手机号可以换，邮箱可以迁移，但很多身份数据改不了。

这就是大型泄露的长期风险：

骗子可以把多个来源的数据拼成完整身份画像；
旧密码可以拿去撞库其他网站；
医疗和保险信息可用于更精准的电话诈骗；
职业资料可用于冒充同事、供应商或招聘方；
生日、地址、手机号会反复出现在“验证身份”的问答里。

Verizon DBIR 多年都把人为因素、凭据滥用和社会工程列为数据泄露的重要路径。［2］这意味着泄露后的第二波攻击，常常不是技术入侵，而是更像真的钓鱼和冒充。

这些大型案例有什么共同点？

数据越集中，出事越痛

大型平台、信用机构、医疗支付网络和身份数据库都有一个共同问题：它们聚合了很多人很难更换的信息。一旦被攻破，受害者通常没有真正的“退出按钮”。

旧数据不会过期得那么快

很多人会说“那是几年前泄露的，应该没事了吧”。不一定。旧邮箱、旧手机号、旧密码格式、旧地址，仍然能帮攻击者判断你是谁、你用过什么服务、你可能信任什么话术。

被抓取的数据也有杀伤力

不是所有大事件都来自传统意义上的“服务器被黑”。公开资料被大规模抓取、错误配置导致文件暴露、第三方供应链出问题，也会造成类似后果。

如果你的信息在泄露事件里，该先做什么？

先改重复使用的密码：尤其是邮箱、银行、社交平台、云盘和购物平台。
开启双重验证：优先用验证器 App 或安全密钥，少依赖短信。
检查邮箱转发规则和登录设备：攻击者可能先控制邮箱，再接管其他账号。
警惕“知道你很多信息”的电话和短信：信息说得准，不代表对方可信。
监控金融和医保账户：医疗和身份类泄露尤其要长期留意。
必要时冻结信用或身份相关服务：不同国家和地区机制不同，按当地官方渠道处理。

你也可以参考怎么防止数据泄露？个人和小团队都该做的 9 件事。

怎么判断一条“泄露通知”是真的？

真正的官方通知通常不会要求你在短信里输入密码、验证码或银行卡信息。更稳的做法是：

不点短信里的登录链接；
自己打开官方网站或 App；
查看公司官网安全公告；
对照监管机构或主流媒体报道；
密码修改只在你自己输入的网址里完成。

FTC 也提醒消费者，诈骗者会借数据泄露、账号异常等理由诱导你点击链接或交出信息。［3］

未来最该防的不是“单次泄露”

更现实的风险是“泄露叠加”。你的邮箱来自 A 事件，手机号来自 B 事件，职业资料来自 C 平台，家庭地址来自 D 数据库。攻击者不需要一次拿到全部，只要会拼图。

所以，个人防护的核心不是幻想自己永远不被泄露，而是降低泄露后的连锁反应：

每个重要账号用不同密码；
关键账号开 2FA；
少把手机号当万能登录凭据；
对外公开资料少写不必要细节；
不把身份证件、合同、病历照片长期堆在云盘和聊天记录里。

总结

史上最大数据泄露事件提醒我们：大平台也会失手，普通人只能尽量降低后续损害。
邮箱和密码泄露会导致撞库；身份、医疗和金融资料泄露影响更久。
收到泄露通知后，先从邮箱、金融、社交和云盘这些关键账号改起。
不要相信“知道你姓名和地址的人就一定可信”。
最稳的策略是密码唯一、2FA、少公开资料和持续监控。

常见问题（FAQ）

最大的数据泄露一定是最危险的吗？

不一定。影响人数多不代表每个人风险最高。身份证明、医疗、金融数据泄露，哪怕人数少，也可能更严重。

邮箱泄露严重吗？

严重。邮箱是很多账号的恢复入口，一旦搭配旧密码或钓鱼邮件，风险会明显升高。

密码哈希泄露是不是没事？

不能这么想。弱哈希、旧算法、弱密码和重复密码都会让攻击者有机会破解或撞库。

我应该定期查泄露数据库吗？

可以，但更重要的是不要重复使用密码，并给关键账号开启双重验证。

数据泄露后骗子为什么能说出我的真实信息？

因为他们可能从多个泄露源、公开资料和数据经纪渠道拼接信息。说得准不代表合法或可信。

公司说数据被“抓取”不是“泄露”，我还要担心吗？

要看数据类型。如果包含手机号、邮箱、位置、职业和社交关系，同样可能被用于钓鱼和社工。

VPN 能防止数据泄露吗？

VPN 能保护你的网络连接和 IP 暴露面，但不能阻止某个平台自己的数据库被攻破。

免责声明

本文仅供一般网络安全教育参考。不同数据泄露事件的影响规模可能随监管披露、诉讼文件和公司公告更新而变化，请以官方公告和监管文件为准。

《史上最大数据泄露事件有哪些10 个案例和普通人该做什么（2026）》由 AethoVPN 编辑团队发布；VPN 无法完成该任务。

来源

IBM, Cost of a Data Breach Report: https://www.ibm.com/reports/data-breach
Verizon, Data Breach Investigations Report: https://www.verizon.com/business/resources/reports/dbir/
FTC, How to recognize and avoid phishing scams: https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
Privacy Rights Clearinghouse, Data Breach Chronology: https://privacyrights.org/data-breaches
Information is Beautiful, World's Biggest Data Breaches & Hacks: https://informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
U.S. House Committee on Oversight, Equifax data breach report: https://oversight.house.gov/report/the-equifax-data-breach/
HHS OCR, Breach Portal: https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf

Sources checked 2026 年 5 月 8 日。

延伸阅读：

史上最大数据泄露事件有哪些？10 个案例和普通人该做什么（2026）