员工目录系统

攻击面很可能指向员工目录系统或第三方服务商。

员工目录系统（Employee Directory）是政府机构内部用于存储和查询人员信息的平台，通常包含姓名、职位、部门、联系方式等字段。

员工目录系统往往由IT部门或第三方承包商维护，通过内网或VPN访问，但也可能暴露在公网或存在API接口。

由于目录数据被视为低敏感度，其访问控制常较宽松，例如允许批量导出或缺乏细粒度权限。

攻击者倾向于选择防护薄弱但数据密度高的边缘系统，而非直接攻破核心数据库。

政府机构需要重新评估员工目录系统的访问控制策略，对批量查询和导出行为实施更严格的审计。