导语（太长；不读/TL;DR）：
第一次听说，勒索软件组织盯上了会展中心。里边有很大的油水吗？
近日，据海外媒体报道，勒索软件组织对美国布法罗会展中心实施了网络攻击，并声称窃取了包含大量个人隐私在内的46GB核心数据。
会展场馆的网络安全，稳妥吗？
第一次听说会展中心遭到黑客攻击并被勒索
网络安全对于线下瞬时聚集的大型活动，比如演唱会、体育赛事、会议展览、发布会等是致命的，信息泄露、或者观众参会者进不去（门禁出了问题），都会引发灾难。
但真是第一次听说有黑客盯上了会展中心的。
根据外媒报道，勒索软件组织Akira5月22日在其暗网泄露网站上，将美国纽约州的布法罗会展中心（Buffalo Convention Center）列为了最新的攻击目标。
该黑客组织声称，他们已经从该会展中心的服务器中成功窃取了46GB的数据。这些数据中包含的敏感信息有：
员工的个人档案： 包含护照复印件、驾驶执照以及个人隐私记录；
客户与合作伙伴信息： 涉及会展中心客户、供应商的协议和相关资料，共涉及约1.8万人的个人数据。
布法罗会展中心由当地的目的地营销机构——布法罗尼亚加拉会议旅游局（Visit Buffalo Niagara）负责日常运营。
目前，会展中心官方尚未对此次网络袭击的细节以及是否会支付赎金做出公开回应，估计是毫无准备，慌了。
我们把这起罕见的网络攻击事件简单列个表：
发生时间：2026年5月底，6月1日被曝光
受害者： 美国布法罗尼亚加拉会展中心（Buffalo Niagara Convention Center）。“布法罗”有时被译为：水牛城。
黑客组织： 臭名昭著的勒索软件组织Akira（全球已勒索超2.5亿美元）。
威胁手段： 勒索组织声称已经窃取了该会展中心46GB的核心机密数据，如果限期不交赎金，将在暗网上公开。
泄漏内容： 员工的个人信息（护照、驾照）、合作商与客户信息（涉及180,000 人的个人隐私数据）、合同与商业协议、财务数据等。
网络安全专家对此指出，会展中心、体育场馆以及目的地推广机构（DMO/CVB），由于日常运营中需要收集和存储大量差旅人员、参展商及参会者的个人可识别信息（PII），可能成为国际勒索软件组织眼中的目标。
对中国会展场馆的警示
由于中美的会展运营模式、技术生态以及支付习惯有着极大的差异，虽然说这种事不太可能发生在我们头上，但仍值得客观分析，看看哪些风险真正跟我们有关，哪些其实我们可以“天然免疫”。
对比美国布法罗会展中心被盗取的大量支付和个人数据，国内会展场馆在以下两个维度上具有极高的安全防火墙：
· 移动支付降低了信用卡欺诈风险：
在美国，信用卡支付是绝对的主流，会展中心系统里往往留存着大量参会者、观众、展商（都叫访客）、工作人员、会展中心员工的信用卡号、有效期及安全码。一旦被黑客窃取，容易发生金融欺诈。
而在中国，无论是展商、观众、做搭建搞灯光音响的服务商还是外包人员如保洁，还是场馆自己的员工，都不用信用卡。外国人来中国参会参展，确实会在会议中心、博览中心使用信用卡。
我们绝大多数的日常支付和交易，都是通过微信支付、支付宝等移动支付完成。这些资金流直接走微信/支付宝的金融级安全通道，场馆自身的服务器里根本不掌握、也不留存任何用户的底层账户和密码。
因此，这种因数据库泄露导致的直接信用卡欺诈风险，在国内可以说基本木有。
· 场馆与参会者数据天然隔离：
在美国，部分会展中心（美国那儿，99.99%的会展中心都叫“会议中心”）会深度参与甚至代为主办方运营注册与闸机门禁系统。
但在国内，会展活动的注册、购票、人脸识别和门禁系统，几乎都是由主办方（Organizers）或者其委托的第三方会展科技公司来搭建和运营的。
嗯，有些场馆也做（或者联合举办）自办展。
曾经有会展中心强迫主办方用会展中心自己的闸机，但遭到猛烈反对。
参会参展人员以及志愿者工作人员的数据，都存储在主办方或技术商那里，会展中心（Venue）本身并不掌握、也无权调阅这些数据。
因此，即便国内某个场馆的内部网络被侵入，黑客也无法通过场馆拿到参会参展观展人员的隐私数据。
既然参会者数据不在场馆手里，那这是否意味着国内场馆就没事了？
并非如此。
我们依然需要面对以下两个层面的真实风险：
· 场馆内部员工与长期供应商的“人社数据”安全：
虽然场馆没有参会者观众数据，但场馆依然拥有本单位员工、大量临时劳务派遣人员、以及长期合作的驻场服务商和搭建商的个人信息，包括身份证号、银行卡号（用于发工资和结算）、社保记录、车牌号、手机号等。
这些数据如果被黑客利用，谁知道会搞出什么来，黑客、电诈太强了。
· 场馆运营技术（OT）系统的网络安全：
这可能是国内智慧场馆建设中容易被忽视的盲区。
如果场馆的弱电系统、智能照明、新风系统、现场Wi-Fi或者是大屏幕播放系统没有做好网络隔离，一旦遭到网络攻击导致停摆或出丑、舆情，这些将直接导致现场活动无法正常举行（比如开幕式大屏黑屏、全场断网）。
这种对物理运营的破坏，其损失不亚于数据泄露。
你一定记得国内好几次出现了会议论坛的大屏上出现了高清不雅视频！
国内的会展场馆和主办方及其授权的技术服务商，可以做以下几个动作做好防范：
· 做好“内外网的物理隔离”：
场馆的日常办公网络（用于存储员工/外包人员档案和财务数据以及众多的招投标文件、采购）与场馆的设备控制网络（大屏、门禁、Wi-Fi）必须进行彻底的物理或逻辑隔离，防止黑客通过一封钓鱼邮件就感染了全馆的运行系统。
· 在《主场服务合同》中界定数据边界：
场馆与主办方、技术服务商签署合同的时候，必须白纸黑字地明确数据安全责任，比如应明确规定：主办方的注册与门禁数据必须走独立的物理通道，场馆不承担数据存储责任，以此规避法律连带风险。
· 定期进行必要的“网络卫生（Cyber Hygiene）大扫除”：
比如定期强制员工修改弱密码，对离职员工的系统账号及时注销，对财务系统和员工人社数据进行本地离线备份，防止被勒索软件“一锅端”。
现在很火的龙虾，如果要用，一定不能用公司电脑。
会展业是建立在“安全与信任”基础上的行业，说一千道一万，安全是第一。
说回到本文开头，你觉得布法罗会展中心会交赎金呢还是会被美帝国有关部门及时破案？
来源：本文首发于“会展BEN”公众号，并同步发布在“会展BEN”官网（www.hz-ben.com）及多个主流媒体平台。未经许可，任何机构和个人禁止转载。
作者：许锋（锋哥）| 会展BEN主理人，会展三新展负责人
公众号：会展BEN（ID：HZBEN2020）
会展BEN
往期阅读
联系我们
品牌推广 | 培训合作 | 商务咨询 | 转载开白 | 行业交流群请在公众号后台回复“合作”。
会展BEN公众号已开通留言评论功能，欢迎来撩…
