文件落入第三方手中
外部人员引用或展示了原本仅限少数人员访问的材料。
更新于
信息泄露应对 / 暴露评估信息泄露需要准确还原事件链
BLACKFILE 协助查明哪些信息已披露、初始来源可能出现于何处、经哪些渠道传播、谁具有已证实的访问权限，以及哪些后果需要优先控制。
我们结合时间线重建、文件与通信分析、公司关联、数字痕迹及内部流程，区分已证实情况与推测。
初始阶段请勿发送机密文件与个人数据。简述事件性质、大致时间与涉及国家即可。
- EXPOSURE POINT
- ACCESS WINDOW
- DISTRIBUTION PATH
- ACTOR CONTEXT
- MATERIAL IMPACT
- REPEAT RISK
首次证实材料在受控环境之外出现。
受保护材料 - 访问点 - 传递渠道 - 外部出现 - 后果 - 控制措施
02 / 最初数小时
泄露后最危险的错误，是在保全事件原貌前仓促行动
仓促删除通信、大范围更改访问权限、公开指控或未经协调开展询问，可能破坏时间顺序、惊动潜在参与者，并使后续核查更困难。
首先需要确定事件边界：哪些材料已离开受控环境、谁在何时拥有访问权限、首次外部出现记录于何处，以及已经采取了哪些行动。
初始阶段旨在保全事实、限制进一步传播，并避免将工作假设转化为无依据的指控。
记录材料在何处、以何种形式出现在受控环境之外。
03 / 应用情景01 02 03 04 05 06
当信息已离开受控范围，或出现被使用的迹象时
通信或录音公开出现
通信片段被发布、提供给记者或交易对手，或被用于冲突。
竞争对手掌握内部信息
对方行为表明其了解交易条件、谈判立场、计划或内部决定。
同一团队反复发生泄露
事件发生于不同时期，但与同一部门、承包商、渠道或访问流程有关。
泄露被用于施压
材料伴随公开威胁、要求、声誉压力或试图改变客户决定的行为。
实际披露范围不明
已知有一个片段被公开，但不清楚还有哪些材料可能被获取，以及由谁持有。
信息泄露应对
先保全事件原貌，再核查关联并确定实际行动路径。
04 / 核查对象01 02 03 04 05 06
从首次外部出现到可能的传播路径
核查范围取决于材料性质、法律环境、可获得日志、客户文件及原始信息的保存情况。每项结论分别注明证实程度。
事件边界
- 哪些信息已披露
- 发现的材料是完整内容还是片段
- 材料可能何时离开受控环境
- 哪些部门、承包商与系统同材料相关
访问时间窗口
- 谁拥有合法访问权限
- 何时授予或更改访问权限
- 哪些流程生成了副本
- 是否存在外部工作空间与承包商
传播渠道
- 企业邮箱与工作空间
- 即时通信工具与云存储
- 文件转发
- 打印件与实物副本
- 外部发布与再次传播
参与者背景
- 已证实的工作关系
- 利益冲突
- 角色与访问权限变更
- 与外部主体的联系
- 与泄露时期重合的事件
后果
- 谈判与商业风险
- 声誉影响
- 法律与监管义务
- 再次发布的威胁
- 对关联人员与项目的风险
实际限制
- 日志或原始文件缺失
- 较晚发现
- 多次复制
- 司法管辖冲突
- 无法可靠归属个别行为
05 / 信息泄露链条重建
不能凭单一匹配认定来源
时间、访问权限、内容、渠道与外部背景相互印证才具有实际价值。单一关联或冲突不能证明参与。
文章
具体披露了什么
已核实已将公开片段与内部文件版本比对：结构、措辞与内部标注一致。
红色仅标示已证实的重要节点或重大风险。
06 / 交付成果01 02 03 04 05 06
清晰的事件全貌与后续决策计划
已披露信息图谱
列明已证实披露的材料及其相关版本、渠道与时期。
事件时间线
梳理访问、复制、外部出现、发布及发现后行动的顺序。
访问与传播图
列明人员、角色、系统、承包商与外部节点，并注明证实程度。
后果矩阵
评估商业、法律、声誉与运营风险及其紧迫性。
信息缺口与限制
说明未能证实的事项、缺失数据，以及现有材料不能支持的结论。
后续行动选项
供与客户法律、信息技术、企业管理及危机团队讨论的情景。
BLACKFILE 不替代律师、网络安全专家、监管机构或执法机关。我们建立经核查的分析基础，为后续行动协调提供支持。
时间轴 / 核实
每项结论均单独标注其证实程度。
07 / 服务对象
适用于信息披露会影响决策、资本与信任的组织和私人机构
公司与国际集团
泄露影响多个司法管辖区的交易、计划、人员或合作关系。
08 / 任务示例LR-01根据常见任务编写的综合示例 LR-02根据常见任务编写的综合示例 LR-03根据常见任务编写的综合示例
工作如何因泄露性质而变化
谈判材料
正在讨论的交易条件被未参与正式信息交换的一方获知。工作围绕访问时间窗口、文件版本与通信顺序展开。
- 01在内部范围商定条件
- 02向限定人员传递材料
- 03第三方首次表现出知情迹象
- 04比对访问时间窗口与文件版本
内部通信
通信片段公开出现，需要区分原始材料、经编辑版本与再次传播的版本。
- 受控环境中的原始通信
- 经过修改的公开片段
- 衍生版本再次发布
- 将每个版本与原件核对
反复披露
多个事件发生于不同时期。核查比较参与者、流程、承包商与访问点，不预设存在同一来源。
- 事件 A：时期、材料、访问范围
- 事件 B：时期、材料、访问范围
- 事件 C：时期、材料、访问范围
- 流程与承包商的交集
09 / 工作模式
先保全事实，再核查关联并确定实际行动路径
10 / 项目形式01 02建议的服务方式 03
费用取决于披露规模、渠道数量与原始数据保存情况
初步范围界定
4 000 €起
通常在收到商定材料后 24-48 小时
快速界定事件范围，并确定下一阶段。
包含内容
- 界定事件范围
- 初步时间线
- 渠道与访问权限概览
- 初步风险图
- 评估下一阶段是否有必要
深入事件重建
8 000-25 000 €
通常从 3-7 个工作日起，取决于工作量与司法管辖区
全面重建事件，提供访问图、后果分析与行动情景。
包含内容
- 多层次时间线
- 访问与传播图
- 分析相关参与者与流程
- 后果评估
- 再次发生的风险
- 结构清晰的报告与工作情景
跨国或危机项目
单独报价
分阶段模式与关键决策
多家公司或多个国家、复杂参与者网络，以及与客户专业人员的协调。
包含内容
- 多家公司或多个国家
- 与法律及技术专业人员协调
- 复杂参与者网络
- 分阶段模式
- 定期更新与关键决策
具体费用在初步评估后确定。每阶段开始前商定内容、预算与完成标准。
11 / 受理边界
调查事件不能成为非法访问或无依据指控的理由
BLACKFILE 不非法访问设备、账户、银行或政府系统，不安装恶意软件，不将推测当作已证实事实，也不向疑似参与者施压。
工作以客户合法提供的材料、允许使用的来源及获授权专业人员的行动为基础。如需数字取证或履行强制通知义务，由客户相应专业人员参与。
- 权限合法性
- 原始材料的完整保存
- 敏感数据最小化
- 区分事实与假设
- 保密
- 不保证确定责任归属
- 成果的实际价值
12 / 相关业务领域
13 / 常见问题
核查开始前需要了解的问题
不能。能否确定来源，取决于原始材料和日志的保存情况、发现时间、副本数量及可获得的合法来源。最终材料中分别注明每项结论的证实程度。
不需要。初步评估仅需总体描述、已披露信息的性质、大致时期及已采取行动。敏感材料仅在约定安全渠道后要求提供。
在具备合法权限的前提下，技术部分可由专业人员按商定项目安排执行。BLACKFILE 将其结果与时间线、公司关系及背景分析整合。
可以与客户法律团队商定材料形式。具体证据的可采性由适用法律及获授权律师判断。
保全可获得的证实材料，通过协调的技术措施限制进一步传播，并联系内部法律与信息技术团队。在事实核查前不要公开指控。
客户、团队组成、材料与项目进展信息不公开。仅直接参与任务的人员获得访问权限。
14 / 初步评估
请描述泄露迹象，我们将协助确定第一个安全步骤。
请勿附上已泄露文件、个人数据或疑似参与者信息。初始阶段提供总体背景即可。