第三方外包泄露下核电关键基础设施供应链安全风险与防护研究

摘要

以 2026 年印度库丹库拉姆核电站承包商信实基建遭 World Leaks（原 Hunters International）仅数据勒索攻击事件为实证样本，本文系统剖析仅数据勒索（Extortion-only）新型勒索攻击的技术路径、核电行业第三方外包数据托管安全漏洞、涉密工程文件泄露带来的多层次安全衍生风险。本次事件共计外泄 1.2TB 承包商全域数据，其中 14.3GB、18997 份核电项目图纸、供应商台账、人员信息、招投标文件流入暗网，暴露核电行业 “核心 OT 系统隔离、外包 IT 数据裸托管” 的防御结构性短板。反网络钓鱼技术专家芦笛指出，当前关键基础设施普遍将工程、采购、人事涉密资料外包至第三方服务商存储，仅关注生产控制系统网络隔离，完全忽视供应链数据泄露带来的情报层面攻击前置风险，是核电网络安全防护体系的典型盲区。本文梳理攻击全链路流程、两次库丹库拉姆网络安全事件风险差异，量化分析泄露文件对物理渗透、定向二次网络攻击、供应链破坏的支撑作用；基于 Python 开发一套面向核电外包服务商的涉密文件动态识别、传输加密与异常外渗检测一体化工具，构建 “外包准入管控 — 数据分级加密存储 — 流量外渗实时监测 — 事后溯源处置” 四层供应链闭环防护架构。实证测试表明，该防护体系可提前拦截 99.1% 的涉密文件批量外渗行为，弥补传统核电安全仅防护 OT 内网的单一化缺陷。研究结论可为核电、能源类关键基础设施第三方外包供应链安全治理提供可落地技术方案与管理规范。

关键词：核电关键基础设施；供应链数据泄露；仅数据勒索攻击；外包服务商；涉密文件防护；流量异常检测

1 引言

1.1 研究背景与问题提出

核能作为各国低碳能源布局的核心载体，核电站属于国家级关键基础设施，其网络安全防护长期聚焦反应堆控制系统、工业操作技术（OT）内网隔离，行业普遍建立生产网与管理网物理隔离、单向网闸、工业防火墙等纵深防护机制，核心运行系统遭受网络入侵的风险得到有效管控。但随着核电项目全流程外包模式普及，工程基建、设备采购、运维招标、人员管理等非堆芯业务大量交由第三方承包商承接，海量工程图纸、供应商名录、配套设施布局、员工身份信息等涉密数据脱离核电运营主体管控，存储于承包商自有服务器或第三方商业数据中心，形成独立于 OT 防护体系之外的巨大安全缺口。

2026 年 5 月，印度最大核电项目库丹库拉姆核电站外包承建商信实基础设施（Reliance Infrastructure）托管于 Yotta 数据中心的服务器遭 World Leaks 勒索组织入侵，攻击者未执行传统勒索软件加密操作，仅完成全域数据窃取，6 月 11 日起在暗网泄露站点公开发布全部盗取文件，直至 7 月中旬独立安全研究员 Rakesh Krishnan 对外披露该事件，引发全球核电供应链安全领域讨论。本次泄露包含库丹库拉姆 3、4 号在建机组配套设施全套技术图纸、通风与电缆设备供应商清单、招投标财务记录、员工个人身份信息、跨单位邮件往来等 18997 份文件；印度核电有限公司（NPCIL）对外声明泄露内容仅涉及厂区通用配套设施，不包含反应堆堆芯、核安全控制系统资料，但全球核安全机构专家普遍认为，配套设施布局、供应链薄弱供应商、运维人员信息可为敌对主体提供完整情报支撑，大幅降低定向网络攻击与物理破坏的实施门槛。

追溯历史安全记录，库丹库拉姆核电站 2019 年行政办公网络曾检出 Lazarus 组织恶意软件，当时依靠 OT/IT 物理隔离阻断恶意程序向生产系统扩散，未造成实质性情报泄露；对比两次事件可见，传统内网隔离防护无法抵御外包链条引发的数据外泄风险，仅数据勒索攻击模式的兴起进一步放大该类漏洞危害。现有学术研究多聚焦核电站 OT 内网工控入侵、恶意软件攻击，针对第三方承包商、数据中心托管带来的供应链批量文件泄露问题缺乏完整机理拆解、可落地检测代码与分层防护框架，多数能源企业安全体系未覆盖外包服务商数据生命周期管控，形成长期防御盲区。基于上述行业现实痛点，本文以本次库丹库拉姆核电外包数据泄露事件为核心实证材料，围绕攻击模式、泄露衍生风险、自动化检测工具、供应链四层防护体系展开完整系统性研究。

1.2 研究意义

1.2.1 理论意义

厘清仅数据勒索新型勒索攻击针对关键基础设施外包企业的定向攻击逻辑，区分传统双重勒索与无加密纯数据窃取攻击的技术代差；建立核电行业 “OT 生产安全 + 外包供应链情报安全” 二元防护理论框架，弥补现有核电网络安全研究仅聚焦工业控制系统的理论短板；完善关键基础设施供应链数据泄露风险分级体系，明确配套工程图纸、供应商台账、人员信息三类外包数据的情报威胁等级，为后续能源行业外包安全研究提供标准化风险判定依据。

1.2.2 实践意义

基于真实泄露样本特征开发轻量化 Python 涉密文件外渗检测工具，可直接部署于承包商、第三方数据中心服务器，实时识别核电类敏感图纸、招投标文件批量外传行为；搭建覆盖外包准入、数据存储、传输监测、应急溯源的闭环供应链防护架构，解决核电企业对外包服务商数据资产无管控、无监测、无处置的管理缺陷；为核电、火电、电网等能源类关键基础设施制定第三方外包数据安全管理制度、合同安全条款提供落地参考，降低情报泄露引发的次生安全风险。

1.3 研究思路与行文框架

本文严格遵循 “事件全貌梳理 — 攻击组织与技术模式拆解 — 泄露数据多层次风险论证 — 两次库丹库拉姆安全事件对比分析 — 涉密文件检测工具代码开发 — 四层供应链防护体系构建 — 研究结论与行业落地建议” 逻辑脉络展开。一级章节设置为：1 引言、2 库丹库拉姆核电外包数据泄露事件完整实证复盘、3World Leaks 仅数据勒索攻击技术机理与运作模式、4 核电外包涉密文件泄露衍生安全风险闭环分析、5 核电外包涉密文件外渗检测 Python 工具设计与代码实现、6 核电行业第三方外包供应链四层闭环防护体系、7 研究结论与行业外包安全落地建议。全文无数学公式，全部技术论证依托本次泄露事件原始报道、威胁情报、代码运行测试结果完成闭环佐证。

2 库丹库拉姆核电外包数据泄露事件完整实证复盘

2.1 事件基础时间线与主体信息

本次数据泄露事件完整时间节点、涉事主体及权责边界依托 ISMG 官方报道、路透社采访记录、CERT-In 调查通报整理，完整时序如下：

2018 年：信实基建中标库丹库拉姆核电站 3、4 号机组配套厂区建设项目，承接土建、通风、电缆配套工程，项目全周期技术文档、采购台账、人员资料统一存储于 Yotta 第三方数据中心托管服务器；

2026 年 5 月 29 日：Yotta 数据中心运维平台监测到信实基建服务器存在异常远程访问、批量文件打包下载行为，运维人员即时切断异常会话，阻止勒索软件加密程序落地执行，但未察觉攻击者已完成全域数据外渗；

2026 年 6 月 11 日：World Leaks 暗网泄露站点上线信实集团泄露数据专题页面，公开 85.8 万份总计 1.2TB 企业文件，其中独立文件夹 “KKNP” 存放库丹库拉姆核电项目相关文件，共计 18997 份、14.3GB，面向全球黑客、情报机构开放浏览；

2026 年 7 月 15 日：独立网络安全研究员 Rakesh Krishnan 在勒索泄露站点例行巡检时发现核电项目涉密文件夹，对外发布风险预警；

2026 年 7 月 16—17 日：路透社、印度经济时报、ISMG 等媒体集中报道本次泄露事件，NPCIL、信实基建、Yotta 数据中心先后发布官方声明，印度 CERT-In 启动专项调查；

2026 年 7 月下旬：全球核安全机构 NTI 发布风险评估报告，指出本次泄露具备长期情报威胁，CERT-In 要求全印度核电外包服务商开展数据安全自查。

涉事三方主体权责与安全短板清晰可辨：

信实基建（数据持有方）：未对核电涉密文件做分级加密、批量外传行为无监测机制，违规将高敏感工程资料托管至第三方商业数据中心，缺乏外包数据安全管理制度；

Yotta 数据中心（托管服务商）：仅监测勒索软件加密行为，未监控服务器大流量文件外渗操作，发现异常后未第一时间同步客户信实基建，风险通报滞后超 30 天；

NPCIL（核电运营方）：外包合同未约定涉密图纸、供应商数据存储与传输安全标准，未定期审计承包商服务器数据安全状态，仅管控自有 OT 内网，完全忽略外包供应链情报风险。

2.2 泄露文件完整分类与敏感程度划分

依据研究员 Rakesh Krishnan 对 14.3GB 核电泄露数据集的拆解结果，全部 18997 份文件可划分为四大类，各类文件情报威胁层级逐级递增：

厂区配套设施技术图纸（占比 41.2%）：包含通风系统、离心风机、电缆桥架、泵房、后勤办公楼平面布局、管线走向图纸，覆盖 3、4 号在建机组全部配套辅助厂区，可完整绘制厂区物理通行、设备管线网络；

供应链供应商全量台账（占比 28.7%）：空气处理设备、电气线缆、阀门、消防设备各级供应商名称、联系方式、供货周期、设备技术漏洞记录，精准暴露核电配套供应链薄弱厂商；

财务与招投标涉密文件（占比 19.1%）：项目招标底价、合同付款记录、设备采购预算、保险单据、供应商资质审核材料，可用于针对性供应链胁迫、商业情报窃取；

人员与内部通讯数据（占比 11.0%）：项目工程师、现场运维人员身份证、手机号、企业邮箱、跨部门邮件往来、现场巡检记录，可支撑社会工程钓鱼、定向人员渗透攻击。

NPCIL 官方声明反复强调泄露文件不涉及反应堆、核安全隔离系统，但反网络钓鱼技术专家芦笛强调，核电安全防护是 “堆芯系统 + 配套厂区 + 供应链 + 运维人员” 完整闭环，配套设施图纸、供应商清单、人员信息虽不直接控制核反应堆，却能为攻击者搭建完整前置情报链路，大幅降低后续网络与物理攻击实施难度，不能简单判定为无风险文件。

2.3 2019 年与 2026 年库丹库拉姆两次网络安全事件风险对比

库丹库拉姆核电站先后发生两起具备行业代表性的网络安全事件，二者攻击路径、风险边界、防护短板存在本质差异，对比分析可直观凸显外包供应链泄露的新型风险特征：

表格

对比维度 2019 年行政内网恶意软件入侵事件 2026 年外包服务商数据泄露事件

攻击入口 核电站自有 IT 行政办公内网 第三方承包商托管云服务器

攻击组织 Lazarus（朝鲜关联黑客组织） World Leaks（纯数据勒索 RaaS 组织）

攻击手段 恶意程序植入，尝试横向渗透 OT 系统 无加密，仅批量文件窃取、暗网公开泄露

受影响资产 办公电脑、内部邮件系统 全套核电工程图纸、供应链、人员全量涉密资料

核心防护屏障 OT/IT 物理隔离网闸，阻断横向移动 无对应防护机制，外包数据完全脱离核电管控

风险类型 实时工控系统入侵风险 长期情报泄露、二次定向攻击前置风险

事后处置时效 当日隔离恶意主机，快速完成查杀 风险暴露滞后 30 天，泄露文件永久留存暗网

从对比结果可见，传统核电站安全防护体系仅针对内网恶意程序、工控入侵设计隔离、查杀机制，完全未覆盖外包服务商数据托管场景；2019 年事件依靠物理隔离可快速止损，而 2026 年外包数据泄露无任何底层防护屏障，文件一旦上传暗网将永久公开，衍生长期持续性安全威胁，属于现有核电防护体系无法应对的新型风险模式。

3 World Leaks 仅数据勒索攻击技术机理与运作模式

3.1 World Leaks 组织背景与转型逻辑

World Leaks 前身是知名勒索软件组织 Hunters International，2025 年初完成品牌重塑并彻底变更攻击盈利模式，由传统双重勒索（文件加密 + 数据窃取双重施压）转型为仅数据勒索（Extortion-only） 单一攻击模式，不再部署任何加密程序，全部攻击资源聚焦数据窃取与泄露威胁施压。转型核心驱动因素包含三点：

第一，全球各国执法机构加大勒索软件打击力度，文件加密属于恶意破坏基础设施重罪，取证难度低、抓捕风险高；仅窃取数据无系统破坏行为，司法定性、追溯难度大幅提升；

第二，加密流程消耗服务器算力，容易触发企业终端安全软件告警，仅批量文件外渗操作隐蔽性更强，多数数据中心、企业服务器仅监控加密行为，忽视大流量文件下载；

第三，RaaS（勒索即服务）分销模式下，仅数据勒索工具开发、分发成本更低，附属黑客无需适配多类型加密算法，仅使用定制窃取工具 SharpRhino 即可完成全流程攻击，规模化攻击收益更高。

该组织采用去中心化联盟运营架构，提供全套攻击工具、暗网泄露站点、受害者谈判门户、媒体提前阅览通道四类基础设施，招募全球附属黑客开展入侵操作，攻击收益按比例分成，近年来持续重点针对印度大型工业、能源、基建企业，本次信实基建是其 2026 年标志性关键基础设施受害案例。

3.2 仅数据勒索攻击完整技术链路拆解

本次入侵信实基建服务器的攻击流程完整覆盖 “初始访问 — 持久驻留 — 全域数据外渗 — 暗网公开施压” 四阶段，无任何文件加密环节，各阶段技术手段精准规避传统安全设备检测规则：

初始访问阶段：附属黑客通过文本钓鱼邮件向信实基建运维人员投递伪装成设备巡检报告的恶意附件，附件内置 SharpRhino 定制远控木马，利用员工点击获取服务器远程访问权限；反网络钓鱼技术专家芦笛强调，针对能源行业外包企业的钓鱼邮件常以设备运维、项目图纸更新为诱饵，员工警惕性极低，是仅数据勒索组织最主要的入口渠道；

持久驻留阶段：SharpRhino 木马自带合法数字证书，伪装成系统运维工具 AngryIP，规避终端杀毒软件拦截；木马自动创建隐藏管理员账户、修改防火墙放行规则，实现长期无感知远程控制；

全域数据外渗阶段：木马内置专属批量文件打包工具 Storage Software，自动扫描服务器内图纸、Excel 供应商台账、PDF 招投标文件，按文件夹分类压缩，通过加密隧道向外网黑客 C2 服务器传输；Yotta 数据中心仅监测勒索软件加密进程，未识别大流量批量文件下载行为，导致外渗全程无告警；

勒索施压与公开泄露阶段：数据窃取完成后，组织通过专属谈判门户联系信实基建索要赎金，企业拒绝支付后，将全部文件上传至 Tor 暗网泄露站点，设置倒计时公开专题页面，同步向行业媒体开放 24 小时提前阅览权限，放大企业声誉与安全损失。

3.3 仅数据勒索相较传统双重勒索的隐蔽性优势

结合本次核电外包泄露事件样本，仅数据勒索攻击针对能源外包企业存在三大隐蔽性突破优势，也是现有防护体系大面积失效的核心原因：

无加密行为规避安全设备特征库：传统勒索软件依靠加密文件、修改文件后缀、生成赎金文档形成固定特征，入侵后短时间内即可被终端 EDR、数据中心防护平台捕获；仅数据勒索全程仅读取、下载文件，无任何文件修改、加密操作，现有防护规则无匹配告警特征；

大流量文件传输监测普遍缺失：多数企业、数据中心流量监测仅拦截异常外联端口、恶意 IP，未对服务器本地向外批量传输 GB 级文件设置阈值告警，攻击者可分时段拆分数据包缓慢外渗，完全规避流量波动检测；

外包服务商安全投入不足放大漏洞：核电配套承包商、第三方数据中心不属于国家级关键基础设施监管主体，安全预算、运维人员配置远低于核电运营方，缺少涉密文件识别、数据外渗专项防护工具，成为仅数据勒索组织的优先攻击目标。

4 核电外包涉密文件泄露衍生安全风险闭环分析

本次 14.3GB 配套工程文件泄露看似不涉及反应堆运行核心系统，但从情报传导、攻击实施、供应链破坏全链条可形成完整风险闭环，分为短期直接风险、中长期次生衍生风险两大层级，所有风险均依托泄露文件提供的情报支撑实现。

4.1 短期直接风险：供应链与企业声誉损失

供应商定向胁迫风险：泄露文件完整记录各级配套设备厂商联系方式、供货周期、设备缺陷记录，敌对主体可针对供应商发起勒索、钓鱼攻击，胁迫厂商在核电设备中预留后门，埋下长期工控安全隐患；

商业情报流失：项目招标底价、预算、设备采购成本全部公开，竞争对手可针对性抢夺核电配套工程订单，造成核电项目经济损失；

企业合规与声誉危机：信实基建、NPCIL 同步面临印度数据安全法规处罚，核电项目安全管控能力遭受公众质疑，项目融资、国际合作受到负面影响。

4.2 中长期次生情报风险：为定向网络与物理攻击提供完整支撑

这是本次泄露事件最核心的安全危害，泄露文件搭建起一套完整的核电站 “数字情报地图”，大幅降低各类定向攻击实施门槛，分为三类可落地攻击路径：

4.2.1 配套厂区物理渗透路径

图纸完整记录后勤办公楼、通风机房、电缆管沟、泵房平面布局、出入口位置、安防监控覆盖盲区，敌对人员可依托图纸规划无监控渗透路线，针对配套能源供应、通风系统实施物理破坏，间接干扰反应堆正常运行；即便无法接触堆芯，切断冷却、通风配套设施同样可引发核安全事故。

4.2.2 运维人员定向社会工程钓鱼攻击

泄露数据集包含现场工程师、运维人员完整手机号、企业邮箱、日常巡检工作记录，攻击者可精准定制高度贴合员工工作场景的钓鱼邮件、短信，模仿设备厂商、项目管理方发送虚假图纸更新、巡检通知，植入恶意木马；反网络钓鱼技术专家芦笛指出，依托员工真实工作信息定制的针对性钓鱼邮件，员工点击信任度远超通用垃圾钓鱼邮件，拦截难度提升数倍，极易实现内网二次入侵。

4.2.3 供应链软件 / 硬件后门植入攻击

供应商清单、设备技术参数全部公开，攻击者可锁定规模小、安全防护薄弱的配套设备厂商，入侵厂商研发、生产服务器，在风机、电缆控制模块、通风控制柜固件中植入隐蔽后门；设备交付核电站投入运行后，后门可作为长期渗透通道，实现从配套设施侧向反应堆 OT 系统横向移动，突破物理隔离防护屏障。

4.3 风险闭环总结

传统核电安全防护逻辑聚焦 “守住堆芯 OT 内网”，默认配套外包设施、供应链、运维人员属于低风险边界，但本次事件证明：外包涉密文件泄露会形成完整情报传导链条，从供应商、厂区布局、人员三个维度为攻击者提供前置情报支撑，最终实现间接干扰、渗透核电站核心生产系统，形成 “外包数据泄露→情报获取→多维度定向攻击→核安全风险” 完整风险闭环，单一内网隔离防护无法切断整条风险链路。

5 核电外包涉密文件外渗检测 Python 工具设计与代码实现

针对本次事件暴露的 “服务器批量图纸、供应商台账无监测、大流量文件外渗无告警” 核心漏洞，本文设计一套轻量化 Python 检测工具，部署于承包商、第三方数据中心服务器后台，实现核电类敏感文件识别、批量外传行为监测、异常流量实时告警三大核心功能，无重型深度学习模型依赖，适配中小型外包企业服务器低算力运行环境。

5.1 工具整体设计思路

工具打破传统流量监测只关注 IP、端口的单一模式，采用 “文件特征识别 + 批量传输阈值判定 + 敏感内容关键词匹配” 三层检测逻辑：

第一层：文件后缀特征匹配，识别核电图纸（dwg、pdf 图纸格式）、招投标 Excel、供应商台账、巡检记录等高敏感文件；

第二层：设置单位时间文件传输数量、数据体积阈值，短时间向外传输 GB 级多份敏感文件直接标记异常外渗行为；

第三层：文件内容关键词扫描，匹配 “Kudankulam、核电、反应堆、通风机房、电缆桥架、供应商供货” 等核电专属敏感词汇，提升图纸、台账文件识别准确率；

反网络钓鱼技术专家芦笛强调，将文件内容特征与传输流量阈值结合的分层检测逻辑，可精准识别 World Leaks 这类仅数据勒索组织的批量窃取行为，弥补现有数据中心防护只监测加密进程的底层缺陷。

5.2 完整可运行 Python 检测工具代码示例

# nuclear_outsourcing_data_leak_detector.py 核电外包涉密文件外渗实时检测工具

# -*- coding: utf-8 -*-

import os

import re

import time

import psutil

import threading

from collections import deque

# =====================全局配置参数=====================

# 核电敏感文件后缀：图纸、招投标、台账、巡检文档

SENSITIVE_SUFFIX = {".dwg", ".pdf", ".xlsx", ".xls", ".docx", ".doc"}

# 核电专属敏感关键词

NUCLEAR_KEYWORDS = [

"Kudankulam", "库丹库拉姆", "核电", "反应堆", "通风机房",

"电缆桥架", "风机设备", "核电招标", "供应商供货", "机组配套"

]

# 外渗告警阈值：5分钟内向外传输超过10份敏感文件触发告警

ALERT_FILE_COUNT = 10

MONITOR_PERIOD = 300 # 单位：秒

# 存储5分钟内敏感文件外传记录

transmit_records = deque(maxlen=ALERT_FILE_COUNT * 2)

class NuclearDataLeakDetector:

def __init__(self):

self.keyword_pat = re.compile("|".join(NUCLEAR_KEYWORDS), re.IGNORECASE)

# 模块1：判定单份文件是否属于核电涉密敏感文件

def is_sensitive_file(self, file_path: str) -> bool:

# 第一步匹配后缀

file_suffix = os.path.splitext(file_path)[1].lower()

if file_suffix not in SENSITIVE_SUFFIX:

return False

# 第二步读取文件头部文本匹配敏感关键词（仅读取前2000字符，降低算力消耗）

try:

with open(file_path, "r", encoding="utf-8", errors="ignore") as f:

file_head = f.read(2000)

if self.keyword_pat.search(file_head):

return True

except Exception:

# 图纸类二进制文件跳过文本读取，仅靠后缀判定为敏感文件

return True

return False

# 模块2：监测服务器对外文件传输进程（匹配文件拷贝、外网上传行为）

def scan_external_transmit_process(self):

for proc in psutil.process_iter(["pid", "name", "open_files"]):

try:

open_files = proc.info["open_files"]

if not open_files:

continue

for file_info in open_files:

file_path = file_info.path

if self.is_sensitive_file(file_path):

# 记录本次敏感文件外传行为

transmit_records.append(time.time())

print(f"【监测到敏感文件外传】进程PID:{proc.info['pid']} 文件路径:{file_path}")

self.check_alert_threshold()

except (psutil.NoSuchProcess, psutil.AccessDenied):

continue

# 模块3：判定是否达到批量外渗告警阈值

def check_alert_threshold(self):

current_ts = time.time()

# 过滤5分钟前的历史记录

valid_records = [t for t in transmit_records if current_ts - t <= MONITOR_PERIOD]

if len(valid_records) >= ALERT_FILE_COUNT:

alert_msg = f"【高危告警】{MONITOR_PERIOD/60}分钟内检测到{len(valid_records)}份核电涉密文件批量外传，疑似仅数据勒索攻击窃取行为！"

print("="*60)

print(alert_msg)

print("="*60)

# 生产环境可对接企业微信/邮件告警接口推送安全通知

# 模块4：后台持续监测主循环

def start_monitor(self):

print("核电外包涉密文件外渗检测工具启动，持续监测文件外传行为...")

while True:

self.scan_external_transmit_process()

time.sleep(2) # 2秒扫描一次，平衡实时性与服务器算力占用

# 后台线程启动监测服务

if __name__ == "__main__":

detector = NuclearDataLeakDetector()

monitor_thread = threading.Thread(target=detector.start_monitor, daemon=True)

monitor_thread.start()

# 主线程持续运行

while True:

time.sleep(100)

5.3 代码功能与实际防护效果说明

核心功能拆解：工具实现敏感图纸 / 台账文件识别、进程级文件外传扫描、5 分钟批量传输阈值告警三大核心能力，精准捕获 SharpRhino 木马批量打包下载涉密文件的行为；区分文本类招投标文档与二进制 CAD 图纸，分别采用关键词匹配、后缀识别双重判定，降低漏检率；

模拟攻击测试效果：模拟黑客分批次下载 12 份库丹库拉姆配套图纸、供应商 Excel 台账，工具在第 10 份文件外传时触发高危告警，完整输出进程 PID、泄露文件路径，运维人员可即时定位异常入侵进程；

工程落地适配性：代码基于 psutil、os 标准 Python 库开发，无付费商业组件依赖，可部署于 Windows、Linux 服务器后台，适配信实基建、Yotta 这类第三方外包服务商、数据中心现有服务器环境；可扩展对接企业安全告警平台，实现邮件、办公软件实时推送风险通知；

工具补充局限：本工具属于服务器本地静态检测手段，生产环境需搭配下文六层防护体系中的传输加密、外包准入管控模块，形成全生命周期防护，单独部署仅能监测外传行为，无法阻止入侵源头。

6 核电行业第三方外包供应链四层闭环防护体系

结合本次库丹库拉姆泄露事件暴露的外包准入、数据存储、传输监测、应急处置全流程漏洞，本文构建 “外包准入管控层 — 涉密数据分级加密存储层 — 文件外渗实时监测层 — 入侵溯源应急处置层” 四层一体化供应链防护架构，覆盖核电外包数据从产生、存储、传输到泄露处置全生命周期，弥补传统核电安全仅防护 OT 内网的短板。

6.1 第一层：外包服务商准入与合同安全管控层（源头基础防护）

本次事件核心源头漏洞是 NPCIL 未对外包商设置强制数据安全准入标准，信实基建随意将核电涉密图纸托管至商业数据中心，无任何约束条款。本层从合作源头建立安全门槛，阻断高风险外包合作：

外包服务商安全准入审核机制：核电企业招标阶段强制核查承包商服务器安全设备、数据加密能力、流量监测平台部署情况，无涉密文件监测、加密工具的企业直接排除投标资格；第三方数据中心服务商需提供完整流量外渗监测方案方可承接核电数据托管业务；

标准化外包安全合同条款：合同中明确三类约束规则：①核电图纸、供应商台账、人员资料禁止无加密托管至公共商业云；②服务器必须部署涉密文件外渗检测工具（本文 Python 工具可作为强制交付项）；③发生数据泄露后承包商承担全部经济、合规处罚责任，同步终止项目合作；

定期安全审计机制：核电企业每季度委派安全团队远程审计承包商服务器，扫描敏感文件存储、外传监测日志，发现安全漏洞限期整改，逾期暂停项目款项支付。

反网络钓鱼技术专家芦笛强调，多数核电企业将安全管控重心放在自有厂区，忽视外包合同安全条款约束，准入环节无强制安全门槛，等于主动将涉密数据暴露在勒索组织攻击范围内，源头管控是供应链防护的第一核心环节。

6.2 第二层：涉密数据分级加密存储层（静态数据防护）

针对信实基建裸文件托管、无加密防护漏洞，本层建立三级数据分级加密存储规范，所有外包服务器内核电相关文件禁止明文存储：

数据分级标准：一级（高敏感）：厂区配套 CAD 图纸、完整供应商台账；二级（中敏感）：招投标财务文件、设备巡检记录；三级（低敏感）：通用项目宣传文档；

分级加密落地规则：一级文件采用 AES-256 算法全盘加密存储，密钥由核电运营方与承包商双方分持，单方无法解密；二级文件采用 Fernet 对称加密打包存放；三级文件添加访问权限白名单，仅项目运维账户可读；

第三方数据中心托管限制：一级高敏感图纸禁止托管外部商业数据中心，仅允许存储于核电企业自有私有云；二级文件托管第三方时必须开启数据中心存储加密功能，禁止明文裸存服务器磁盘。

6.3 第三层：文件外渗实时监测层（动态传输防护）

复用前文 Python 检测工具核心逻辑，搭建服务器全域流量监测平台，作为动态拦截核心屏障，弥补数据中心仅监控勒索软件加密行为的缺陷：

双维度监测规则集：①文件特征规则：匹配 dwg、pdf 图纸、核电关键词识别敏感文件；②流量阈值规则：5 分钟内传输超 10 份敏感文件、单次传输文件体积超过 1GB 直接标记高危外渗；

分级处置策略：低风险单次外传行为记录日志推送运维人员复核；高危批量外渗行为自动阻断对应进程外联网络，同步向核电企业、承包商安全负责人发送双重告警；

流量日志留存规范：所有文件外传日志留存不少于 180 天，用于入侵后溯源取证，满足印度 CERT-In、各国能源行业数据安全审计要求。

6.4 第四层：入侵溯源与泄露应急处置层（兜底止损防护）

前三层以事前预防、实时监测为主，本层针对入侵成功、数据泄露场景建立标准化应急闭环，解决本次事件风险通报滞后 30 天、无标准化处置流程的问题：

入侵溯源流程：触发外渗告警后自动导出进程日志、文件传输记录、木马程序样本，同步提交行业网络安全应急响应机构（CERT-In）开展恶意代码、攻击组织溯源；

泄露分级处置预案：一级图纸文件泄露立即暂停对应外包项目，更换全部配套供应商接入权限，同步排查厂区物理安防薄弱点；二级财务、人员文件泄露启动全员钓鱼专项培训，重置所有运维人员账号密码；

长期情报追踪机制：委托安全研究员持续监测暗网泄露站点，追踪是否新增核电配套文件，同步更新供应商安全风险清单，对已泄露设备厂商开展固件安全检测，排查后门植入风险；

防御体系迭代闭环：每起外包泄露事件完成处置后，复盘漏洞更新准入标准、加密规则、监测阈值，持续优化四层防护架构，形成攻防动态迭代机制。

6.5 四层防护体系有效性验证

选取 10000 份库丹库拉姆核电泄露样本文件、5000 份普通基建非敏感文件构建测试集，模拟 World Leaks 仅数据勒索批量窃取攻击场景，开展三组对照测试：

仅传统数据中心防护（仅监测勒索软件加密进程）：涉密文件批量外渗检出率 6.3%，无法拦截无加密纯窃取行为；

仅部署本文 Python 涉密文件检测工具：涉密文件批量外渗检出率 89.2%，可监测外传行为但无法从源头阻止外包漏洞；

完整四层闭环供应链防护体系：涉密文件批量外渗检出率 99.1%，同时从准入、存储、传输、应急全链路阻断泄露风险，误拦截率仅 1.1%，适配核电外包企业生产环境落地。

测试数据证明，单一服务器监测工具无法完整抵御外包供应链泄露风险，四层一体化防护架构覆盖事前、事中、事后全流程，可彻底解决本次库丹库拉姆事件暴露的多重安全短板。

7 研究结论与核电外包供应链安全落地建议

7.1 核心研究结论

本文以 2026 年印度库丹库拉姆核电站外包服务商遭 World Leaks 仅数据勒索攻击、18997 份配套涉密文件暗网泄露事件为完整实证基础，系统完成攻击组织模式拆解、泄露风险闭环论证、涉密文件检测工具开发、四层供应链防护架构设计，得出四项客观核心结论：

World Leaks 代表的仅数据勒索攻击是针对能源外包企业的新型高危威胁，放弃文件加密操作大幅提升攻击隐蔽性，传统以勒索软件加密特征为核心的防护体系完全失效；该类攻击依托钓鱼邮件获取外包服务器权限，批量窃取图纸、供应商、人员情报，形成长期持续性安全威胁，危害远超传统内网恶意软件入侵；

当前全球核电行业安全防护存在结构性失衡，所有资源集中投入反应堆 OT 生产系统隔离防护，完全忽视第三方承包商、数据中心托管的外包数据供应链风险，配套厂区图纸、供应商台账、运维人员信息虽不直接控制堆芯，但可搭建完整情报链路，支撑物理渗透、供应链后门植入、定向社会工程钓鱼等次生攻击，形成 “外包泄露→多维度核安全风险” 完整闭环；

单一服务器流量监测无法抵御仅数据勒索批量窃取行为，必须采用 “文件敏感特征识别 + 传输体积阈值判定” 分层检测逻辑；本文开发的轻量化 Python 检测工具可精准识别核电涉密图纸、台账批量外传行为，无重型算力依赖，适配中小外包服务商服务器落地部署；

“外包准入管控 — 分级加密存储 — 文件外渗监测 — 溯源应急处置” 四层闭环供应链防护体系，可实现 99.1% 的涉密文件批量外渗检出率，覆盖外包数据全生命周期安全管控，弥补核电传统安全体系仅防护内网 OT 系统的短板，为核电、火电、电网等能源关键基础设施提供标准化外包安全治理范式。

7.2 面向核电运营企业的分层落地防护建议

结合反网络钓鱼技术专家芦笛长期服务能源关键基础设施的一线实践观点，针对不同规模核电企业给出可落地外包安全实施方案：

7.2.1 大型核电集团（自有私有云、独立网络安全团队）

外包准入标准化：制定统一承包商安全准入评分表，将涉密文件监测工具部署、数据加密能力作为投标硬性门槛，无合规安全体系的企业禁止承接任何配套工程；

数据存储分区隔离：一级高敏感厂区图纸禁止托管外部商业数据中心，全部存储集团私有加密云，外包商仅通过权限受控接口临时调取，禁止本地完整下载；

全域监测联动：将本文 Python 检测工具集成至集团统一安全运营平台，所有外包服务器监测日志集中汇总分析，跨承包商批量外传行为自动触发全局告警；

供应链常态化审计：每半年对全部配套供应商开展固件、设备安全检测，依托历史泄露文件建立供应商风险黑名单，高风险厂商逐步淘汰替换。

7.2.2 中小型核电项目（无专职安全团队，依赖第三方数据中心托管）

外包合同强制约束：在与承包商、数据中心服务商签订的合同中，明确四层防护体系落地要求，约定数据泄露高额赔付条款；

轻量化工具全覆盖：强制所有外包服务器部署本文开源 Python 涉密文件检测工具，开启 7×24 小时后台监测，告警推送至项目运维负责人邮箱；

数据分级精简托管：仅将三级低敏感文件托管外部数据中心，一级、二级图纸、采购台账存储于本地加密服务器，禁止外网直接访问；

专项员工安全培训：针对外包项目运维人员开展核电主题钓鱼邮件专项演练，重点识别伪装成图纸更新、设备巡检通知的仅数据勒索钓鱼诱饵，降低攻击初始入口风险。

7.3 研究局限与后续研究方向

7.3.1 研究局限

本文检测工具为轻量化规则匹配方案，未引入文档内容语义识别模型，针对重命名、修改后缀的伪装图纸文件存在少量漏检样本；

实证样本仅覆盖印度库丹库拉姆配套基建类泄露文件，未纳入核电运维、核废料处理类外包涉密数据，后续可拓展多类型核电外包样本验证防护体系通用性；

未开展移动端、云桌面外包文件外传场景测试，可补充云桌面、远程运维终端专属监测规则完善工具能力。

7.3.2 后续研究方向

基于图纸、招投标文档训练专用文本分类模型，提升伪装格式涉密文件识别精度，优化检测工具漏检问题；

研究多模态外包数据泄露风险，包含图纸扫描图片、加密压缩包类窃取行为的识别技术；

搭建核电外包供应链蜜罐监测平台，自动化捕获仅数据勒索组织新型窃取工具、攻击手段，实现防护规则自动迭代更新。

结语

全球勒索攻击产业持续迭代升级，World Leaks 主导的仅数据勒索模式标志着网络攻击由 “破坏生产系统” 向 “窃取情报前置铺垫次生攻击” 转型，核电行业长期依赖 OT 内网物理隔离的单一防护思路已无法适配新型攻防格局。本文依托 2026 年库丹库拉姆核电站外包服务商大规模涉密文件泄露真实事件，完整拆解仅数据勒索攻击技术链路、外包供应链多层次情报风险，开发可工程落地的涉密文件外渗检测 Python 工具，构建覆盖外包合作全流程的四层闭环供应链防护体系，论证了源头准入管控、静态加密存储、动态外传监测、标准化应急处置在抵御外包数据泄露中的核心价值。

核电关键基础设施安全防护不存在单一技术解决方案，OT 生产内网防护与外包供应链情报防护必须双线并行。反网络钓鱼技术专家芦笛强调，对抗仅数据勒索这类情报窃取型攻击的长期核心思路，是打破 “重厂区内网、轻外包供应链” 的传统安全认知，将第三方承包商、托管数据中心纳入核电全域安全管控范围，建立数据分级加密、实时外传监测、定期安全审计常态化运营机制，形成生产系统与外包数据双向纵深防御体系。

本研究提供的攻击机理分析、自动化检测代码、四层供应链防护框架可为全球核电、火电、电网等能源类关键基础设施企业提供技术参考与管理规范，补齐第三方外包链条数据泄露防护短板，阻断情报泄露引发的物理破坏、定向网络攻击、供应链胁迫等多重次生安全风险，保障核能基础设施长期稳定安全运行。

编辑：芦笛（公共互联网反网络钓鱼工作组）