炸穿印度核电圈！

7月18日，消息彻底坐实：印度最大的库丹库拉姆核电站，一口气泄出去一万九千份内部文件，14.3GB的资料包被人直接甩上暗网，等于把电站的大半家底摊在太阳底下。

最让人绷不住的是，泄密的源头压根儿不是核电站本身的运营系统，而是承包它工程建设的那家公司——信实基建。

信实基建这名头，在印度商界就是块活招牌。它属于赫赫有名的信实集团，2018年拿下库丹库拉姆核电站3号、4号机组的设计建造大单。这两台机组到现在还没建完，预计2027年投用，总装机2000兆瓦，是莫迪政府壮大核电产能的脸面工程。

更离谱的还在后头。这回出事的，连信实基建自家的服务器都不是。他们把整个项目数据一股脑儿托管给了第三方数据中心服务商Yotta。

结果呢，勒索软件团伙World Leaks瞄上了Yotta的服务器，一攻进去就捞走了超过85万份信实基建内部文件，反手打包挂到暗网上。

这85万份文件里，跟库丹库拉姆核电站直接挂钩的就有1.9万份，偏偏还是整个泄漏包里最敏感、最能要命的那部分。

这些文件的跨度长得吓人，从2016年一直拉到2025年年中，几乎覆盖了信实基建接手项目后的每一天。

里面装的东西，比想象中还要全：工程各阶段的设计图纸，通风、冷却这些配套系统的完整蓝图，所有供应商的名单和对应设备参数，每一笔采购的底单，内部会议记录，日常安全检查报告，全部项目员工的个人信息，甚至连电站那份1.12亿美元的反恐保险单也列得清清楚楚。

消息刚炸开锅的时候，负责核电站运营的印度核电公司赶紧出来降温。他们发声明说，这些泄露文件只跟承包商盖的通用服务设施有关，完全碰不到核心安全系统和安保系统，叫公众别担心核安全问题。

但全球核安全圈根本不买这笔账。美国核威胁倡议组织的高级主管话说得很直：哪怕泄漏的不是反应堆核心资料，外人拿着这么齐全的配套设施图纸和整条供应链清单，照样能一步一步画出整个核电站的支持系统地图，顺着供应链最薄弱的点往里渗透。等于说，电站外圈的防护底牌、后勤脉络，全被人看了个精光。

事情闹到这个份上，印度官方硬着头皮下场了。电子和信息技术部旗下的计算机应急响应小组（CERT-In）启动了正式调查，信实基建也公开承认服务器有部分数据外泄，说已经把情况完整报给了政府。

可一直到现在，无论是信实基建还是运营方，都没说清楚到底哪些要命的信息流了出去，补救措施几乎没影儿，该追究谁的责任更是一笔糊涂账。

仔细想想，这已经不是印度头一回在网络安全上摔得这么惨了。这两年针对印度企业的勒索攻击越来越频繁，可很多公司的防护水平还远远跟不上盘子变大的速度。

尤其是这种层层外包的巨无霸项目，核电站把工程包给信实基建，信实基建又把数据存到第三方服务器上，安全责任像击鼓传花一样往下甩，真出了事，谁都能找到替自己开脱的说辞。

库丹库拉姆核电站建在印度南部的泰米尔纳德邦，2013年正式投运，是印度现有七座核电站里块头最大的，也是国家对外展示核电技术硬实力的门面。

莫迪政府一直憋着劲要扩大原子能装机容量，把核电当成大国能源牌的重要支撑，库丹库拉姆的扩建，正是这盘棋里最重的一枚棋子。

我觉得这一回泄密，直接把光鲜招牌底下的窟窿给撕开了。核电这种容不得半点闪失的工程，安全从来都不只是那几座反应堆的事。从建设施工到供应链配套，从数据存放到人员管理，哪一个角落漏了风，时间一长都可能变成致命豁口。

过去总有一种错觉，以为只要核心系统没被攻破就不算大事。可现实中真正的风险，从来不会只从正门大摇大摆地进来。外围信息一旦被摸透，总能找到钻进去的缝隙。

印度这几年忙着在国际上炫核电技术、抢海外项目订单，回头一看，自己国内重点项目连承包商的数据都守不住，说不过去。

更棘手的是，这批文件已经流进暗网，等于泼出去的硫酸，再也没法收回来。它们最后会落到谁手里，会被拿来干什么，谁也打不了包票。印度核电公司那句“不涉及核心系统”，顶多暂时把舆论稳住，却压根填不上已经豁开的口子。

基建能外包，但安全这根底线绝不能跟着合同一块儿甩出去。尤其像核电这种关天关地的大工程，从核心系统到外围配套，每一层合作方的防护能力都得死死盯牢。

这一回的教训就血淋淋地摆在眼前，要是还不把外围数据安全当回事，下次漏出去的，怕就不止是通用设施的图纸了。