史上最大數據外洩事件通常不是一次「密碼被偷」那麼簡單。它們會把電郵、手機號碼、出生日期、身份證明、醫療記錄、社交資料甚至金融資訊推到黑市和詐騙鏈條裏。

下面這 10 個案例值得記住，不是為了製造恐慌，而是為了看清一個事實：數據一旦大規模外洩，真正影響往往會持續多年。IBM 的年度報告也持續提醒，數據外洩成本、回應時間和個人影響都不是短期問題。［1］

如果你想先了解基礎概念，可以讀數碼私隱保護完全指南（2026）和甚麼是數據外洩？別只擔心密碼，真正麻煩的是身份拼圖。

關鍵要點

最大的數據外洩往往影響數億到數十億帳戶。

電郵、手機號碼、姓名、生日和密碼雜湊組合在一起，足以支撐長期詐騙。

醫療、金融和身份類數據比普通帳戶資料更難「換掉」。

普通人最該做的是密碼去重、開啟 2FA、監控電郵和凍結高風險帳戶。

一次外洩不一定馬上出事，但會提高未來釣魚、撞庫和身份盜用概率。

史上最大數據外洩事件：先看 10 個大型案例

下表不是嚴格排名，而是按公開數據外洩資料庫、可視化資料和監管披露整理的代表性大型案例；具體規模會隨公司公告、監管文件和訴訟材料更新而變化。［4］［5］［6］［7］

事件	公開時間	影響規模	主要暴露資訊	普通人風險
Yahoo	2016-2017	約 30 億帳戶	電郵、生日、安全問題等	撞庫、帳戶接管
Aadhaar 相關暴露	2018 起多次報道	涉及超十億居民身份生態	身份號碼、人口統計資訊	身份盜用、詐騙
First American	2019	約 8.85 億份檔案	房產、交易、財務檔案	金融詐騙
Facebook 數據集	2021	超 5 億用戶資料	電話、姓名、位置等	短訊詐騙、社工
LinkedIn 抓取數據	2021	數億公開資料	職業資料、電郵等	商務釣魚
Equifax	2017	約 1.47 億美國消費者	SSN、生日、地址等	身份盜用
Marriott Starwood	2018	約 3.39 億住客記錄	護照、旅行、聯絡資訊	旅行身份詐騙
Adult Friend Finder	2016	數億帳戶	電郵、密碼雜湊、敏感偏好	勒索、撞庫
Change Healthcare	2024	大量醫療支付相關數據	醫療、保險、支付資料	醫療詐騙
National Public Data	2024	大規模背景調查數據	姓名、地址、SSN 等	身份盜用

不同來源對規模口徑會有差異，尤其是「外洩」「抓取」「暴露配置錯誤」和「已確認受影響人數」經常被混在一起。本文更關注這些事件能給個人防護帶來甚麼教訓。［4］［5］

為甚麼這些事件會影響這麼久？

密碼可以改，手機號碼可以換，電郵可以遷移，但很多身份數據改不了。

這就是大型外洩的長期風險：

騙子可以把多個來源的數據拼成完整身份畫像；
舊密碼可以拿去撞庫其他網站；
醫療和保險資訊可用於更精準的電話詐騙；
職業資料可用於冒充同事、供應商或招聘方；
生日、地址、手機號碼會反覆出現在「驗證身份」問答裏。

Verizon DBIR 多年都把人為因素、憑據濫用和社會工程列為數據外洩的重要路徑。［2］這意味着外洩後的第二波攻擊，常常不是技術入侵，而是更像真的釣魚和冒充。

這些大型案例有甚麼共同點？

數據越集中，出事越痛

大型平台、信用機構、醫療支付網絡和身份資料庫都有一個共同問題：它們聚合了很多人很難更換的資訊。一旦被攻破，受害者通常沒有真正的「退出按鈕」。

舊數據不會那麼快過期

很多人會說「那是幾年前外洩的，應該沒事了吧」。不一定。舊電郵、舊手機號碼、舊密碼格式、舊地址，仍然能幫攻擊者判斷你是誰、你用過甚麼服務、你可能信任甚麼話術。

被抓取的數據也有殺傷力

不是所有大事件都來自傳統意義上的「伺服器被黑」。公開資料被大規模抓取、錯誤配置導致檔案暴露、第三方供應鏈出問題，也會造成類似後果。

如果你的資訊在外洩事件裏，該先做甚麼？

先改重複使用的密碼：尤其是電郵、銀行、社交平台、雲端硬碟和購物平台。
開啟雙重驗證：優先用認證器 App 或安全密鑰，少依賴短訊。
檢查電郵轉寄規則和登入裝置：攻擊者可能先控制電郵，再接管其他帳戶。
警惕「知道你很多資訊」的電話和短訊：資訊說得準，不代表對方可信。
監控金融和醫保帳戶：醫療和身份類外洩尤其要長期留意。
必要時凍結信用或身份相關服務：不同國家和地區機制不同，按當地官方渠道處理。

你也可以參考怎樣防止數據外洩？個人和小團隊都該做的 9 件事。

怎樣判斷一條「外洩通知」是真的？

真正的官方通知通常不會要求你在短訊裏輸入密碼、驗證碼或銀行卡資料。更穩的做法是：

不點短訊裏的登入連結；
自己打開官方網站或 App；
查看公司官網安全公告；
對照監管機構或主流媒體報道；
密碼修改只在你自己輸入的網址裏完成。

FTC 也提醒消費者，騙子會借數據外洩、帳戶異常等理由誘導你點擊連結或交出資料。［3］

未來最該防的不是「單次外洩」

更現實的風險是「外洩疊加」。你的電郵來自 A 事件，手機號碼來自 B 事件，職業資料來自 C 平台，家庭地址來自 D 資料庫。攻擊者不需要一次拿到全部，只要會拼圖。

所以，個人防護的核心不是幻想自己永遠不被外洩，而是降低外洩後的連鎖反應：

每個重要帳戶用不同密碼；
關鍵帳戶開 2FA；
少把手機號碼當萬能登入憑據；
對外公開資料少寫不必要細節；
不把身份證件、合約、病歷照片長期堆在雲端硬碟和聊天記錄裏。

總結

史上最大數據外洩事件提醒我們：大平台也會失手，普通人只能盡量降低後續損害。
電郵和密碼外洩會導致撞庫；身份、醫療和金融資料外洩影響更久。
收到外洩通知後，先從電郵、金融、社交和雲端硬碟這些關鍵帳戶改起。
不要相信「知道你姓名和地址的人就一定可信」。
最穩的策略是密碼唯一、2FA、少公開資料和持續監控。

常見問題（FAQ）

最大的數據外洩一定是最危險的嗎？

不一定。影響人數多不代表每個人風險最高。身份證明、醫療、金融數據外洩，哪怕人數少，也可能更嚴重。

電郵外洩嚴重嗎？

嚴重。電郵是很多帳戶的恢復入口，一旦搭配舊密碼或釣魚電郵，風險會明顯升高。

密碼雜湊外洩是不是沒事？

不能這樣想。弱雜湊、舊算法、弱密碼和重複密碼都會讓攻擊者有機會破解或撞庫。

我應該定期查外洩資料庫嗎？

可以，但更重要的是不要重複使用密碼，並給關鍵帳戶開啟雙重驗證。

數據外洩後騙子為甚麼能說出我的真實資訊？

因為他們可能從多個外洩源、公開資料和數據經紀渠道拼接資訊。說得準不代表合法或可信。

公司說數據被「抓取」不是「外洩」，我還要擔心嗎？

要看數據類型。如果包含手機號碼、電郵、位置、職業和社交關係，同樣可能被用於釣魚和社工。

VPN 能防止數據外洩嗎？

VPN 能保護你的網絡連線和 IP 暴露面，但不能阻止某个平台自己的資料庫被攻破。

免責聲明

本文僅供一般網絡安全教育參考。不同數據外洩事件的影響規模可能隨監管披露、訴訟文件和公司公告更新而變化，請以官方公告和監管文件為準。

《史上最大數據外洩事件有哪些10 個案例和普通人該做甚麼（2026）》由 AethoVPN 編輯團隊發布；VPN 無法完成該任務。

來源

IBM, Cost of a Data Breach Report: https://www.ibm.com/reports/data-breach
Verizon, Data Breach Investigations Report: https://www.verizon.com/business/resources/reports/dbir/
FTC, How to recognize and avoid phishing scams: https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
Privacy Rights Clearinghouse, Data Breach Chronology: https://privacyrights.org/data-breaches
Information is Beautiful, World's Biggest Data Breaches & Hacks: https://informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/
U.S. House Committee on Oversight, Equifax data breach report: https://oversight.house.gov/report/the-equifax-data-breach/
HHS OCR, Breach Portal: https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf

Sources checked 2026 年 5 月 8 日。

延伸閱讀：

史上最大數據外洩事件有哪些？10 個案例和普通人該做甚麼（2026）