Origin泄露范围再扩大：60名客户的完整银行账号被访问

Origin Energy在2026年8月21日完成对7月数据泄露事件的主要范围复核：约90万名现任及前客户的资料遭到未经授权访问，其中约60人涉及完整银行账号，约100人涉及身份证件号码，约1.5万人涉及政府优惠计划或项目编号；Origin官方事件时间线 还显示，逐客户复核已基本完成，进一步的个别通知仍在发送。

这不意味着90万人的银行和证件资料全部暴露。多数客户涉及姓名、地址、出生日期、联系电话、账户资料、信用卡后四位或银行账号后三位；只有较小范围涉及完整银行账号、身份证件号码或政府优惠计划编号，实际风险取决于通知列出的具体字段。

8月21日复核把高风险字段单独列出

最新结果首次清楚区分了三类金融和身份数据：不完整的付款资料、完整银行账号以及身份证件号码。身份证件部分仅涉及号码，没有证件、卡片或文件的扫描件；政府优惠计划部分同样是号码，不包括卡片或文件扫描件。

约60人、约100人和约1.5万人均属于约90万名受影响者中的特定数据类别，不能直接相加后视为彼此完全独立的群体。官方材料没有说明这些类别是否存在重叠，因此判断个人风险时，应以Origin发出的个别通知为准。

逐客户复核接近完成，并不等于所有后续风险已经消失。被访问的数据可以与其他来源的信息组合，用于更有针对性的冒充来电、短信、邮件或身份核验尝试；数据敏感度越高，越需要尽快处理。

完整账号推翻了早期较低风险判断

7月22日的初步判断认为，受影响资料不包括客户信用卡或银行资料；随后公开的字段主要是信用卡后四位、银行分行代码及账号后三位。到8月21日，复核把约60人的完整银行账号单独列出，因此变化主要发生在数据种类和敏感程度，而不是总体受影响人数再次大幅上升。

账号末几位与完整银行账号不是同一风险等级。不完整数字本身不能用于购物或直接进入账户，但可能提高冒充银行、Origin或政府机构的信息可信度；完整账号则需要银行进一步评估直接扣款、收款资料和其他账户保护措施。

ABC对复核结果的报道 写明，Origin当时没有发现客户资料已被公开泄露或发布到互联网，并向受影响客户提供身份监控以及12个月的免费信用监控；刑事调查仍在进行。

“遭到访问”“被公开发布”和“已经造成账户损失”是三个不同状态。现阶段可以确定的是数据曾被未经授权访问，而不是所有相关客户都已经遭遇转账、账户接管或身份盗用。

三类受影响者的行动优先级不同

仅涉及姓名、地址、出生日期、电话或Origin账户资料：首要风险是冒充诈骗。不要使用可疑邮件或短信中的链接、电话号码处理通知，也不要向主动联系者提供密码、验证码、证件资料或银行信息；应自行进入Origin、银行或政府机构的官方网站或应用核实。

这类资料可能被用来制造“对方知道我的个人信息，所以一定是真的”的错觉。客户应特别留意未经请求的密码重置邮件、登录验证码、退款通知、欠费警告，以及要求再次确认出生日期或住址的电话。

涉及身份证件号码：应先保存个别通知，确认受影响的证件类型，再联系相应州、领地或联邦签发机构了解保护或更换安排。同时监控陌生的信用申请、贷款、账户注册及身份验证活动，仅修改Origin账户密码不足以处理身份冒用风险。

涉及完整银行账号：优先通过银行官网、官方应用或银行卡上的联系方式联系欺诈与安全团队，说明账号出现在数据泄露通知中。客户可按照银行评估决定是否限制或更换账户，并检查交易、直接扣款授权、收款资料及银行联系方式是否出现未经授权的变更。

澳大利亚网络安全中心的数据泄露指南 建议先确认实际受影响的信息类别，通过官方渠道核实通知；身份资料受影响时保护个人身份，金融资料受影响时立即联系银行，并持续检查未经授权的交易、自动扣款和账户资料变更。

个别通知比总体人数更能说明风险

约90万是事件总体规模，不代表每名客户面对相同后果。个别通知会列出该客户实际被访问的数据、适用的处理措施和可用支持，收到更新后应通过Origin官方网站或官方联系方式核实真伪。

如果通知只列出联系方式、信用卡后四位或银行账号后三位，客户不应自行认定完整银行账号也已暴露。反过来，通知明确列出完整账号或身份证件号码的人，也不应因为相关人数较少而降低处理优先级。

若当前收到的材料没有列明具体字段，可先监控账户和可疑通信，并直接向Origin核实，不必在缺少信息时自行假定证件或完整银行账号已经暴露。风险判断的核心是个人通知中的数据类别，而不是自己在约90万名受影响者中所占的比例。

复核接近完成，刑事调查仍未结束

截至8月21日，Origin已基本完成逐客户的数据范围复核，并开始把高风险字段从一般联系资料和不完整金融数字中分离出来。接下来的工作包括完成个别通知、继续提供身份与信用支持，并配合仍在进行的刑事调查。

事件目前仍有两个关键变量：被访问资料是否会在其他渠道出现，以及这些资料是否会被用于诈骗、身份冒用或未经授权的金融活动。在后续调查或监测出现新结果前，客户需要依据自己的字段清单采取措施，而不能只根据总体人数判断风险。