印度塔塔电子（Tata Electronics）的一个工厂机房，成了苹果近年来最不愿意看到的安全噩梦。

6月中旬，勒索组织"World Leaks"在暗网上陆续放出超过20万份文件，总规模约630GB。这些文件来自塔塔电子——苹果在印度的核心代工与零部件供应商，承担着印度约三分之一的iPhone产量。路透社随后确认了泄露数据的真实性。

泄露的不只是新iPhone长什么样

如果这只是一批外观谍照，苹果的公关团队大概不会太紧张。但这次泄露的内容远比谍照致命。

六份文件将iPhone 18 Pro的数百个零部件与具体供应商一一对应。主板上的芯片是谁家的，电池是谁供的，摄像模组来自哪条产线，这些苹果从不公开的供应链依赖关系，现在完整地躺在暗网上。

除此之外，泄露数据还包括A20 Pro芯片（代号Borneo）的数据手册、iPhone 18 Pro主板设计图纸（Siemens NX格式）、C2自研基带的技术文档、跌落测试照片和视频，以及带"Confidential"水印的苹果内部质量检测标准文件。

更麻烦的是，这些数据并不只属于苹果一家。泄露文件中同时出现了特斯拉Model 3改款（Project Highland）的工程图纸、台积电的产品可靠性测试报告（标注"TSMC Secret"），以及高通的电源管理芯片机密文档。此外还有员工护照扫描件、加密证书和密钥文件、跨越数年的系统日志。

World Leaks是谁？印度网络安全公司Skeletos指出，这个组织"可能是Hunter’s International勒索团伙的改名或延续"。它的攻击手法强调静默渗透和长期窃取数据，而非传统勒索软件那种先加密系统再索要赎金的模式。此前它已声称对戴尔（约1.3TB）和耐克（约1.4TB）的入侵负责。

供应链分散化的安全悖论

这件事最令人不安的，不是苹果被黑了——攻击者并没有直接攻破苹果的系统。他们只是攻破了一家供应商。

但问题恰恰在这里。苹果近年大力推动供应链多元化，将产能从中国向印度转移。Counterpoint数据显示，印度2026年预计将生产全球26%的iPhone，而四年前这个数字只有6%。产能每转移一个百分点，就意味着更多的核心数据、更多的产线细节、更多的质量检测文件被复制到了新的地理节点上。

"在现代制造供应链中，这种区别正在变得越来越小。"一位安全研究员评价道。攻击者不需要攻破库比蒂诺的总部，只需要找到链条上最薄弱的那个环节。

每多开一个制造节点，就多了一个可以被攻破的口子。苹果用四年时间把印度产能从6%拉到26%，省下来的那些供应链时间成本，最后以安全债的形式一次性还了回来。

苹果在做什么

事件曝光后，苹果的反应速度很快。泄露视频出现在社交媒体上不到24小时，苹果就动用DMCA（数字千年版权法）投诉，从X（Twitter）、微博等平台批量下架相关内容，相关爆料账号被封禁。

但DMCA只能删公开平台上的帖子，暗网上的原始文件纹丝不动。主板图纸、芯片规格、供应商清单——这些真正的秘密，一旦流出就永远失去了秘密属性。

苹果安全团队已前往印度，与塔塔联合推进内部审查。塔塔则限制了敏感系统的远程访问权限，聘请全球咨询公司进行取证审计，并向印度计算机应急响应小组（CERT-In）报告了事件。

更坏的消息

同期的另一件事让苹果的安全处境更加尴尬。安全研究人员Tyler Murphy公开披露，iCloud+的"隐藏我的邮件"（Hide My Email）功能存在漏洞，可以100%将匿名生成的转发地址逆向追溯到用户的真实Apple ID邮箱。这个漏洞在2025年6月就被上报给苹果，但修复一拖再拖，研究人员最终选择公开。

对于一向以隐私和安全为品牌核心的苹果来说，接连两起安全事件——一起暴露了它对供应链合作伙伴的控制力有限，另一起暴露了它对自己产品安全漏洞的响应迟缓——正在从不同方向敲打同一面墙。

参考来源：

• Reuters: Apple concerned about iPhone 18 Pro data leak from Tata
• MacRumors: Apple ‘Concerned’ Over iPhone 18 Pro Data Leak