Pay Tel 暴露至少 30 万份证件：监狱通信服务的数据风险被摆到台前

Pay Tel 暴露的不是一个普通云盘。

安全公司 UpGuard 发现，一个由 Pay Tel 管理、托管在 Microsoft Azure 上的云存储服务器没有设置密码。里面至少有 30 万份驾照扫描件及其他政府身份证件。注意，这里不是“30 万人确认受影响”，而是至少 30 万份证件材料曾处在公开可访问状态。

更麻烦的是，Pay Tel 做的是监狱通信服务。用户上传证件和头像，是为了和被关押的亲友保持联系。证件、通信、财务记录、照片位置放到一起，风险就不只是身份盗用，还包括关系暴露和住址定位。

暴露了什么，什么时候修复

UpGuard 称，研究人员在确认服务器由 Pay Tel 管理后，于 5 月 7 日通知公司，并在数日后继续跟进。服务器随后被加固。

目前能确认的是：相关文件曾在网上公开可访问。原报道没有说已有证据表明数据被黑客下载、出售或滥用。

这点要分清。公开可访问已经是严重安全事故，但不能替代“已被攻击者拿走”的证据。

Pay Tel 的服务包括为美国多地监狱提供通信设备和平板，帮助囚犯接收通话、信息或相关服务。用户开通服务时提交身份证明，本来是身份验证的一部分。

问题在于，这类验证材料一旦被长期集中保存，又碰上访问控制失误，后果会比一般账户资料泄露更重。

为什么监狱通信服务更敏感

普通社交应用泄露聊天记录，已经很糟。监狱通信服务还多一层现实约束：很多家属没有太多选择。

如果亲友被关押，家属要保持联系，往往只能使用指定服务。换平台、换账号、放弃使用，都不是轻松选项。

这就是 Pay Tel 事件更值得警惕的地方。它同时握着三类信息：谁在联系谁、说了什么、联系者可能在哪里。单独看，每一类都敏感；合在一起，就能拼出关系图谱。

对关注隐私安全的读者，这件事提醒的是一个老问题：云存储配置错误仍然是高发风险，不需要高明黑客，也可能把敏感资料直接摆到公网。

对监狱系统、采购方和监管机构，动作应该更具体：新采购或续约前，至少要把数据保留期限、云存储访问控制、第三方审计、事件通知流程列进审查项。只看通话费率和覆盖范围，会漏掉真正的安全成本。

对家属用户，能做的事有限，但不是没有。留意身份盗用预警、异常信贷申请、陌生催收或与 Pay Tel 相关的通知邮件。没有收到通知，不等于没有风险。

Pay Tel 没有回应，接下来只看三件事

Pay Tel 尚未回应媒体询问，也没有公开承认这起安全事件。现在还不清楚，公司是否会通知受影响个人，或是否会按美国各州数据泄露通知法向州检察长等监管方报告。

这里不能替 Pay Tel 下结论。美国各州通知规则不同，触发条件也会看数据类型、暴露方式、是否构成泄露等因素。外部现在看不清公司会怎么处理。

但有三个变量值得盯住：

• Pay Tel 是否正式确认暴露数据范围，尤其是证件、通信材料和照片位置；
• 是否通知用户与监管机构，以及通知中如何描述风险；
• 监狱系统和采购方是否要求第三方安全审计，或暂停、延后相关采购与续约。

还有一个背景不能忽略。原报道提到，Pay Tel 在 2025 年 6 月曾遭勒索软件攻击。加上这次云存储公开暴露，这是两年内第二起已知安全事件。

一次事故可以被解释为失误。连续出现安全事件，至少说明外部有理由重新评估它的数据治理能力。

监狱通信本来是一条很窄的联系通道。家属为这条通道交出证件、照片和支付信息，代价已经不低。如果服务商连最基本的访问控制都守不住，风险就被转嫁给了最难退出的人。