135个政府电子邮箱账户暴露出更广泛的安全问题
尼泊尔国家网络安全中心加入追踪凭证泄露情况的服务 Have I Been Pwned 后，发现至少135个使用尼泊尔政府域名 nepal.gov.np 的电子邮箱账户出现在外部数据泄露事件中。受影响地址包括与总理办公室以及内政部、财政部和外交部相关的账户。
目录
这一发现与其他事件相互印证：学生和教师文件遭到泄露、政府门户网站遇袭、电子采购受到干扰，以及勒索软件事件导致股票交易中断。2026年10月公布的相关事件描述了一种数字化行政体系，其安全漏洞可能影响个人隐私，也可能妨碍人们获取基本服务。
这些事件涉及不同问题。电子邮箱地址出现在泄露数据中，本身并不能证明有人进入了政府网络。网站下线也不代表其记录遭到窃取。不过，凭证泄露、访问控制薄弱以及对共享基础设施的依赖，可能相互叠加，为进入更敏感的系统打开通道。
尼泊尔正将护照、身份核验、税务、银行和社会保障服务接入数字平台，但民众仍反映排队、身份证延迟办理和服务器无法访问等问题。因此，核心问题不只是阻止黑客：政府必须保护人们按要求提交的信息，同时确保某个环节发生故障时服务仍可使用。
电子邮箱账户发现意味着什么
据国家网络安全中心主任 Raj Kumar Maharjan 介绍，尼泊尔成为加入 Have I Been Pwned 的第47个政府实体。借助这一合作，该中心可以识别在其他地方发生的数据泄露事件中暴露的政府邮箱地址，而不必只依赖本国网络中的证据。
Maharjan 表示，该中心将通知受影响部门并要求更改密码。他解释了这一监测服务如何改变应对方式：
通过这一门户，本中心现在可以准确获知哪些电子邮箱地址遭到泄露，以及泄露源自何处。这使我们能够实时提醒相关官员，立即强制重置密码，并防止损失进一步扩大。
135这个数字不应被解读为已有135个政府邮箱遭到入侵的确切数量。公开报道没有说明有多少账户仍存在风险、泄露的密码是否仍然有效，或有多少账户启用了额外的身份验证保护。
网络安全专家 Mona Nyachhyon 警告说，官方账户遭到入侵可能威胁内部网络和机密通信。攻击者若控制了真实的政府邮箱，也能让欺诈请求看起来可信，尤其是在收件人认得该邮箱地址的情况下。
另有报道称，与农业发展银行相关的凭证经由能够从受感染设备窃取信息的恶意软件遭到泄露。此类窃取可能发生在用于访问服务的电脑上，无须攻击者直接攻破该服务的中央服务器。
公民文件和公共门户面临不同威胁
据报道，大学拨款委员会的在线系统泄露了教授和学生的公民身份证明文件、学历证书、银行账户详情和永久账号（PAN）记录。据称，由于缺少访问控制，仅修改网址就能访问这些文件。
访问控制是用来判断某人是否有权查看特定记录的检查机制。文件不能仅仅因为网址难以猜到就被视为受到保护。每次有人请求访问时，服务器都必须核实其权限。
还有报道称，政府云门户的公共应用程序编程接口遭到未经授权的访问。接口通常称为 API，可供软件系统交换信息或执行操作。据称，被指与 ForceAnon 网络有关的 PSy404 和 AnoNagoSt 团体利用这一访问权限发布了消息和图片。
其他被报道的事件还包括 Midnight Ops Nepal 披露水文与气象局等系统存在漏洞，以及据称由 FunkSec 入侵部委管理面板。据称，预算和市政文件曾被挂出出售。
这些说法需要分别评估。通过公共接口发布内容证明存在控制失效，但不能据此认定政府云上托管的所有数据库都遭到访问。对于被挂出出售的文件，也需要核实其真实性、范围和来源，才能评估实际泄露程度。
已报道的攻击与政府行动时间线
相关报道描述的是跨越数年的多起事件，并非一次协同攻击。这一时间线也表明，专门网络安全中心的成立并未终止服务中断。
- 2024年1月1日：据报道，分布式拒绝服务攻击导致公共服务网站和应用程序中断，影响持续数周。
- 2024年1月23日：内阁决定成立国家网络安全中心，该中心于当年春季晚些时候开始运作。
- 2024年12月：据报，甘达基省、蓝毗尼省和巴格马蒂省的政府门户网站遭到攻击。
- 2025年2月：有报道描述科西省21个子域名遭到攻击。
- 2025年3月：据称，“你好，政府”投诉平台的数据库遭到入侵并被挂出出售。
- 2025年4月：据称，警方用于出具报告的约200万份公民身份记录从尼泊尔警察网站被窃取并挂出出售。
- 2026年5月13日：据报道，公布的《尼泊尔政府事务分配规则》修正案将主要技术机构划归总理办公室。
- 2026年9月：据称，勒索软件攻击导致为72家证券经纪公司提供服务的系统中断，股票交易暂停一天。
- 2026年10月初：据报道，Pathao Nepal 承认发生了一起涉及用户名、电子邮箱地址和电话号码的信息泄露事件。
据称约200万份警方记录遭窃，是报道中规模最大的泄露事件之一。这个数字来自报道中的说法，并非经独立核实的受影响人数。相关报道没有提供经核实的去重记录数量，也没有公布完整的损失评估。
电子采购让公共支出安全问题浮出水面
据报道，电子政府采购系统（简称 e-GP）遭到入侵，关系到公共合同的完整性以及机密信息的安全。公共采购监测办公室运营着这一平台，用于数十亿卢比政府项目的招标。
据报道，调查人员发现，未经授权的用户可以查看竞争对手的机密投标金额，还能在提交截止时间之后修改数字。相关报道描述了黑客、中间人和承包商之间涉嫌串通的情况，其中包括加密货币付款和伪造的采购网站。
据报道，尼泊尔警方中央调查局逮捕了20余人，其中包括一名前部长、建筑业人士和技术员工，并已将案件提交法院审理。逮捕和起诉并不等于定罪。报道没有提供最终判决，无法据此确认每名被告的责任。
据称，出于安全考虑，电子投标已暂停，必要采购改回密封纸质投标。相关报道没有给出经确认的恢复日期。
这里与文件泄露之间的区别至关重要。有人看到本不该看到的投标内容，意味着保密性失效；有人修改投标本身，则意味着完整性失效。无论哪种保护失效，本应提高采购透明度的数字系统都可能反而让特定投标人获得未公开的优势。
单一服务商可能让整个市场陷入中断
据称，2026年9月的一起勒索软件事件袭击了一家私人数据中心，该中心托管着72家经纪公司的交易管理系统。据报道，尼泊尔证券交易所的交易服务整整一天无法使用。原始报道还称，受影响设施托管着政府信息。
勒索软件通常会阻止用户访问系统或数据，往往通过加密文件实现，并以此索要赎金。报道没有确认攻击所用的技术手段、信息是否也遭到窃取，或是否支付了赎金。
报道中更明确的后果是运营中断：一家托管服务商发生故障，影响扩散至数十家经纪公司，投资者因此无法交易。这体现了集中风险，即多个机构依赖同一家供应商或同一套基础设施。
Pathao Nepal 的披露则涉及另一类私营部门信息泄露。据报道，姓名、电子邮箱地址和电话号码于2026年10月初泄露。报道提到有数千名用户受影响，但没有提供经核实的确切人数。
此前的报道还提及 Vianet 和 Foodmandu 的客户信息泄露、涉及银行 ATM 系统的攻击，以及针对 NIC Asia Bank 的 SWIFT 系统的一次未遂攻击。这些事件的范围和结果各不相同，但表明安全挑战不只存在于政府网站，也涉及人们用于通信、购物、出行和金融服务的平台。
国家身份认证系统的容量问题波及多项服务
国家身份认证系统说明，即使没有已确认的网络攻击，服务也可能发生故障。据报道，当生物识别系统接近约2000万条记录的容量时，技术压力导致身份验证服务中断数周。
据称，包括护照、税务、交通和银行服务在内的16个以上机构受到影响。这个数字描述的是系统所面临的容量压力，并非经核实的生物识别信息泄露人数。
相关报道对法国供应商的企业身份说法不一。原始报道称供应商从 Idemia 转为 IN Groupe，另一篇报道则继续将 IDEMIA 称为当前名称。具体的合同和支持安排尚未得到确认。运营层面的问题则是一致的：多项服务依赖同一身份验证平台，该平台无法使用时，这些服务也受到影响。
共享身份服务可以减少重复核验和手续，但如果服务停止响应时各机构无法通过安全的替代方案继续办理，它也会成为单点故障。因此，除了防范入侵者，容量规划、恢复安排和明确供应商责任同样重要。
隐私方面的后果也需要同等审慎地对待。指纹属于生物识别信息；公民身份号码和出生日期属于身份信息，并非生物识别信息。密码可以更换，指纹却无法轻易更换。此类信息一旦泄露，可能长期增加他人冒名行骗和实施针对性欺诈的风险。
政府防御能力有所提升，但仍有局限
据报道，在电子邮箱泄露事件被曝光前的四个月内，国家网络安全中心审计了近40个政府系统。该中心还使用国际电信联盟提供的监测工具 CTM360，追踪涉及政府信息的非法交易。
政府新购置的信息安全事件管理系统（SIEM）会收集并分析政府网络中的活动日志。这类工具有助于工作人员识别可疑模式，但其效果取决于监测范围以及团队调查警报的速度。
尼泊尔语报道中被认定为信息技术与电子治理办公室信息官员的 Prakash Duwadi 表示，托管政府门户的网站可能同时面临7000至8000次攻击尝试。他估计，学生或儿童进行的基础测试占攻击尝试的10%至20%。报道没有说明这一数据的统计时段或计算方法。
Duwadi 还表示，有时工作人员在无法确保系统安全的情况下会断开系统连接。因此，服务器中断可能是出于保护目的，并不一定意味着攻击者已控制系统。无论如何，民众都会失去服务访问权限，因此准确的服务通知和恢复流程必不可少。
Maharjan 认为，超过90%的网络事件与人为行为和社会工程有关。这是他个人的评估，并非有记录支持的全国统计结论。他还警告，借助人工智能快速开发应用程序，可能导致开发人员忽视加密和安全方面的漏洞。
据报道，钓鱼信息曾冒充副警察总监 Manoj Kumar KC、总理办公室和其他警官的名义，威胁要提起诉讼，迫使收件人回复或披露信息。这些案例显示，恐惧心理和官方权威可能被用作欺诈手段。
隐私权需要切实落实
尼泊尔宪法第28条保护隐私。《隐私法》（2075年，即2018年）也规定了公共机构持有个人信息时应履行的责任。原始报道及随附分析指出，第29条规定的刑罚最高为三年监禁；第31条涉及赔偿；第32条涉及部门处分。
这些规定并不能证明每一起被报道的技术故障都符合刑事犯罪或获得赔偿的条件。责任必须根据相关行为、适用法律条文和证据来认定。关于上述事件所产生的处罚或赔偿，公开报道提供的细节很少。
行政责任也在发生变化。据报道，2026年5月13日公布的修正案将网络安全中心、数据管理中心和信息技术部划归总理办公室。2026年3月27日通过的一项内阁议程要求在三个月内成立信息技术与电子治理办公室，但据称相关报道发布时，机构调查仍未完成。
最终的组织架构和汇报层级仍未确定。机构调整本身并不能明确谁必须通知受影响民众、谁有权批准恢复遭入侵的服务，或谁负责核实供应商已修复安全漏洞。
下一步在于测试、采购和披露
原始分析提议，从软件采购之初就纳入安全责任，包括加密、持续更新、维护，以及依据质量和成本进行选择，而不是把软件视为交付即完成的采购项目。这些是提议，并非已确认的新政府要求。
分析还主张，在面向公众开放服务之前，必须进行漏洞评估和渗透测试。这些测试用于发现弱点并尝试进行受控入侵。完成测试并不等于修复测试发现的问题：要有可信的上线决定，就必须证明严重缺陷已修复并经过复查。
网络安全专家 Naresh Lamgade 表示，软件开发过程中往往忽视安全，私人研究人员也不愿报告漏洞。设立明确的报告渠道并制定处理流程，有助于将漏洞发现转化为修复行动，而不是让研究人员不确定该如何联系相关机构。
其他提议措施包括为政府邮箱和管理账户启用额外身份验证、定期审计数据中心、发生泄露后通知受影响民众，以及设立独立的数据保护监管机构。报道没有给出这些措施经确认的实施日期。
眼下仍有一些具体问题没有答案：有多少泄露账户已得到保护，涉嫌被窃的数据集是否经过验证，电子投标何时恢复，以及身份服务将如何避免再次出现容量中断。公开回应这些问题，才能让公众依据实际成效，而不是上线服务的数量，评估恢复情况。
要点
- 尼泊尔加入 Have I Been Pwned 后，发现至少135个政府邮箱账户出现在外部数据泄露事件中。
- 据报道，泄露事件涉及大学文件和约200万份警方报告中的公民身份记录；后者的数量尚未核实。
- 据报道，电子采购案件中有20余人被捕；目前没有公布最终法院判决结果。
- 据称，2026年9月的一起勒索软件事件导致为72家经纪公司提供服务的系统中断，股票交易暂停一天。
- 据报道，国家身份认证系统的容量问题导致16个以上机构的身份验证服务中断数周。
- 安全监测和测试有所加强，但泄露通知、责任认定以及多项服务的恢复日期仍未解决。
