---

前言：四幕“信息安全戏剧”，点燃你的警觉

在信息化高速发展的今天，安全事件不再是“黑客只在电视里出现”的遥远故事，而是每一天可能发生在我们身边的真实剧本。下面，我以头脑风暴的方式，挑选了四起典型且兼具警示意义的案例，帮助大家在戏剧化的叙事中感受“危机”与“救赎”的张力，进而认识到信息安全并非高深莫测的技术专利，而是每一位职工的日常职责。

案例	时间	关键要素	安全洞察
1. Zeabur 环境变量泄露，API 金钥失守	2026‑08‑31	开发者在 GitHub 公开仓库误提交 .env 文件，导致 612 GB 内部数据与 API 密钥外泄	最小权限原则、代码审计、Secrets 管理
2. APT24 入侵台湾广告供应链，植入恶意代码	2026‑08‑27	通过供应链的第三方广告平台渗透，利用 WebShell 进行持久化	供应链安全、零信任访问、异常行为检测
3. Google Gemini Omni 1.1 Flash 生成伪造视频	2026‑09‑01	大模型生成“深度伪造”短视频，被不法分子用于诈骗宣传，导致公众信任危机	内容可信度验证、AI 生成物溯源、防篡改技术
4. Microsoft 365 验证异常，Exchange 与 Teams 大面积失效	2026‑09‑01	大规模身份认证服务挂掉，导致内部邮件、协作平台瘫痪，业务中断超 8 小时	身份与访问管理（IAM）、灾备与容错、监控预警

接下来，让我们逐案剖析，抽丝剥茧，找出每一次安全失守背后的根本原因，以及我们能从中学到的防护真经。

---

案例一：Zeabur 环境变量泄露，API 金钥失守

背景概述

Zeabur 是一家专注于云原生平台的创新型企业，凭借灵活的容器部署和无服务器计算，吸引了大量创业团队的青睐。2026 年 8 月底，一位开发者在将项目代码同步至公开的 GitHub 仓库时，不慎将包含 API 金钥、数据库账号、云服务凭证 的 .env 文件一起提交。结果，这些敏感信息被搜索引擎抓取，短短数小时内就被安全团队和安全研究员抓取，导致 612 GB 的内部业务数据和关键凭证被公开。

关键漏洞

1. 缺乏 Secrets 管理机制：没有使用统一的 Secret 管理平台（如 HashiCorp Vault）来存储凭证，导致凭证以明文形式硬编码在代码中。
2. 代码审计与 CI/CD 防护缺失：提交前未经过自动化的敏感信息扫描，CI 流水线也未加入 git‑secret、truffleHog 等工具。
3. 权限分配过宽：泄露的 API 金钥具备 全局读写 权限，能够直接访问业务核心数据库与支付系统。

影响与后果

• 业务中断：攻击者利用泄露的金钥对系统进行恶意调用，导致部分租户的服务出现异常。
• 品牌声誉受损：媒体曝光后，客户对 Zeabur 的安全能力产生怀疑，新增签约率下降 15%。
• 合规罚款：根据《个人信息保护法》（PIPL）和《网络安全法》相关条款，因泄露个人数据被处以 200 万元人民币的监管罚款。

防御要点

• 最小权限原则：为每个金钥分配最小必要权限，使用 短期令牌 来代替长期凭证。
• 自动化安全检测：在代码提交前，引入 Git 钩子（pre‑commit）和 CI 阶段的 Secrets 扫描。
• Secrets 管理平台：集中管理、轮转并审计所有凭证的使用情况，避免明文存储。
• 安全培训：定期对研发人员进行安全编码与 Secrets 管理培训，让“金钥不随代码”成为根深蒂固的习惯。

---

案例二：APT24 入侵台湾广告供应链，植入恶意代码

背景概述

2026 年 8 月底，中国的高级持续性威胁组织 APT24 通过渗透台湾一家大型广告供应链平台，向多个合作媒体网站注入后门 WebShell。该平台负责为广告客户提供内容分发服务，拥有上千万访客的流量入口。攻击者利用 供应链攻击 的路径，从供应商的更新包中植入恶意代码，随后在受感染站点上部署 信息窃取 与 勒索 脚本。

关键漏洞

1. 第三方组件信任链缺失：平台在引入第三方广告插件时，仅做了功能测试，未进行代码审计或签名校验。
2. 缺乏细粒度的访问控制：内部开发者账号拥有跨系统的写入权限，导致恶意代码能够直接写入生产环境。
3. 监控与日志不完整：异常文件写入未触发告警，安全信息与事件管理（SIEM）系统的规则未覆盖 WebShell 行为。

影响与后果

• 用户信息泄露：数十万用户的浏览记录、IP 地址以及登录凭证被窃取。
• 业务链路受阻：受感染的广告页面加载异常，导致广告主投放费用下降 30%。
• 法律责任：依据《网络安全法》第四十条，平台需在 30 天内向主管部门报告，未及时报告导致额外 50 万元处罚。

防御要点

• 供应链安全：对所有第三方库、插件实施 SBOM（软件材料清单） 管理，使用 代码签名 与 完整性校验。
• 零信任架构：对内部账号实施最小化访问权限，使用 IAM 与 动态授权，防止横向移动。
• 行为分析：部署基于机器学习的异常文件写入检测，实时告警 WebShell 行为。
• 供应商安全评估：与合作伙伴签订 安全协定（SLA），明确定义安全审计频次与合规要求。

---

案例三：Google Gemini Omni 1.1 Flash 生成伪造视频

背景概述

Google 于 2026 年 9 月发布全新大模型 Gemini Omni 1.1 Flash，具备 “视频续写” 能力，可在 40 秒的短片中自动生成前后镜头，并可 指定首尾帧。此技术在影视制作、营销创意领域备受追捧，却被不法分子利用来制造 深度伪造（DeepFake） 视频，用于诱骗投资、冒充官员发布指令，甚至在社交平台上散布假消息，引发公众恐慌。

关键漏洞

1. 生成内容缺乏可追溯性：模型输出未嵌入 数字水印 或 区块链哈希，导致内容真假难以辨别。
2. 平台监管不严：对生成式 AI 的使用场景缺乏细粒度的使用政策，未对敏感人物、金融信息等进行内容过滤。
3. 用户身份验证松散：部分用户通过第三方 OAuth 登录，未进行二次身份验证，导致被黑客劫持帐号用于恶意生成。

影响与后果

• 金融诈骗：伪造的 CEO 视频向投资者兜售虚假项目，导致受害者累计损失约 1.2 亿元人民币。
• 舆情危机：假冒政府官员发布的紧急通知在社交媒体上快速扩散，导致交通拥堵、报警热线爆满。
• 信任危机：公众对 AI 生成内容的信任度下降 25%，对合法企业的营销活动产生抵触。

防御要点

• AI 生成物溯源：要求平台在每一次生成后嵌入可验证的 数字签名，并提供 验证工具 供第三方审计。
• 内容审查与过滤：对涉及 政治人物、金融信息、公共安全 等敏感主题进行强制审查，使用 自然语言审计模型 检测潜在风险。
• 多因素身份验证（MFA）：对使用生成式 AI 的账号开启 MFA，防止帐号被盗后滥用。
• 公众教育：开展 “AI 伪造内容辨识” 培训，提高员工与公众对深度伪造的认知与辨别能力。

---

案例四：Microsoft 365 验证异常，Exchange 与 Teams 大面积失效

背景概述

2026 年 9 月 1 日，全球超过 2000 万 Microsoft 365 用户经历了 身份验证服务（Azure AD） 的大规模异常，导致 Exchange Online、Teams、SharePoint 等关键协作平台出现登录失败、邮件延迟、会议中断等情况。经过初步调查，事故源自 身份服务的单点故障 与 密码散列同步错误，使得大量用户的访问令牌失效。

关键漏洞

1. 单点故障（SPOF）缺乏冗余：身份验证服务的关键组件缺少跨区域自动故障转移（Failover）机制。
2. 密码散列同步失误：在一次全量同步任务中，旧版散列算法与新系统不兼容，导致用户凭证被错误标记为失效。
3. 监控告警阈值设置不当：系统未能在错误率上升到 5% 之前触发预警，导致故障蔓延。

影响与后果

• 业务停摆：金融、医疗、电商等行业的客户因无法访问邮件与会议系统，业务处理延误，造成直接经济损失约 5,000 万元人民币。
• 合规风险：部分受监管行业（如金融）因无法及时提交报表，面临监管机构的处罚与审计。
• 用户信任流失：事件后，Microsoft 365 的用户满意度指数下降 12%，部分企业开始评估迁移至自建云平台。

防御要点

• 多活（Active‑Active）架构：在不同地理区域部署身份验证实例，实现自动容灾切换。
• 灰度发布与回滚机制：在大规模密码同步或系统升级时，采用灰度发布，实时监控关键指标并具备快速回滚能力。
• 细粒度监控：设置 异常登录率 与 服务可用性 的多级阈值，利用 自动化运维（AIOps） 进行异常根因定位。
• 业务连续性（BCP）演练：定期开展身份验证故障的模拟演练，确保关键业务部门掌握应急操作流程。

---

跨案例的共同教训：安全不是技术的独角戏，而是全员的合奏

从以上四起案例可以看出，技术漏洞、流程缺失、权限滥用、监控不到位，往往是导致安全事故的根本原因。而这些因素的背后，隐藏的是 人 的行为——无论是研发人员的疏忽、运维团队的失误，还是高管对安全投入的轻视。

“千里之堤，毁于蚁孔。”
——《左传·僖公二十三年》

正是因为每一个细微的“蚁孔”，才可能酿成不堪设想的“洪水”。因此，我们必须把信息安全的责任感从“技术部门的事”转移到每一位员工的日常工作中，让安全文化深入血脉。

---

机器人化、具身智能化、智能化融合的时代背景

1. 机器人化（Robotics）驱动的业务自动化

随着 协作机器人（Cobots） 与 工业机器人 在生产、物流、客服等场景的大规模部署，企业的业务流程正被 机器 替代或辅助。机器人通过 API 与后台系统交互，一旦凭证泄露、接口未加签名，就会成为黑客入侵的突破口。“机器调用的每一次请求，都可能是一次潜在的攻击向量。”

2. 具身智能（Embodied AI）带来的新型交互

具身智能体（如具备感知、移动能力的服务机器人）能够 实时感知 环境、自然语言 交互，并执行任务。这类系统往往集成 摄像头、麦克风、传感器，涉及 隐私数据 与 实时控制指令。若缺乏 端到端加密 与 身份鉴别，攻击者可以伪造指令导致物理损害或泄露个人信息。

3. 泛在智能化（Ubiquitous AI）与大模型的落地

生成式大模型（如 Gemini、ChatGPT）已渗透到 内容生成、代码补全、决策支持 等业务环节。模型本身的 “幻觉”、“数据泄露” 与 “模型中毒” 风险，使得企业在使用时必须构建 可信的 AI 供应链，包括 模型审计、数据溯源、使用策略。

综上，在机器人化、具身智能化与智能化深度融合的环境中，信息安全的攻击面日益多元、边界日趋模糊。仅凭技术防线已难以完全防御，“人–机协同的安全治理” 成为唯一可行之路。

---

号召：加入信息安全意识培训，成为“安全卫士”

为帮助全体员工在新技术浪潮中保持清醒、增强防护，我们特别策划了 《全员信息安全意识提升计划》（以下简称“计划”），计划内容包括：

模块	时长	目标	关键学习点
基础篇：信息安全概念与常见威胁	1 小时	了解密码学、身份管理、网络防护的基本概念	密码强度、钓鱼识别、社交工程防御
进阶篇：AI 生成内容的风险与防控	2 小时	掌握深度伪造、模型幻觉、数据泄露的防护技巧	数字水印、AI 生成物审计、可信 AI 使用策略
实战篇：机器人与具身智能的安全实践	1.5 小时	学会审计机器人 API、加密传输、硬件防护	API 签名、零信任访问、硬件安全模块（HSM）
案例研讨：从真实事故中学习	2 小时	通过剖析前文四大案例，提炼组织防护要点	现场演练、CTF（Capture The Flag）模拟、思维导图复盘
评估篇：个人安全能力测评	0.5 小时	检验学习成效，生成个人安全报告	多项选择题、情景模拟、即时反馈

参与方式与激励机制

1. 线上+线下双轨：提供 Zoom 直播、内部 LMS 课程以及现场工作坊，确保不同岗位的员工均能便利参与。
2. 积分制奖励：每完成一个模块，即可获得 安全积分，累计 10 分可兑换 公司品牌周边 或 电子阅读券。
3. 安全大使计划：表现优秀的学员将被评为 “安全大使”，获得 内部安全项目优先参与权 与 年度安全创新奖。
4. 透明反馈：所有培训结束后，将在公司内部平台公布 课堂满意度 与 知识掌握率，并根据反馈持续优化课程。

“知之者不如好之者，好之者不如乐之者。”
——《论语·雍也》

我们希望每一位同事不仅 知 安全，更 爱 安全、 乐 安全。只有这样，安全防线才能像细胞一样自我复制、不断进化。

---

实施路径：从“意识”到“行动”

1. 治理层承诺
   高层在公司年度工作会议上明确 信息安全是业务持续的根基，将安全 KPI 纳入部门绩效。

2. 制度建设

   • 完善《信息安全管理制度》与《数据分类分级规范》。
   • 将 安全审计 与 系统上线审批 强制绑定，未经授权的工具（如外部 AI 平台）必须经过 信息安全部 审核。

3. 技术赋能

   • 部署 IAM 与 Zero‑Trust 框架，实现细粒度访问控制。
   • 引入 SIEM、UEBA（用户与实体行为分析）平台，实时监控异常行为。
   • 为所有 机器人、具身智能体 添加 硬件根信任 与 安全启动（Secure Boot）机制。

4. 文化浸润

   • 每月开展 安全微课（5 分钟），配合 安全海报 与 桌面壁纸，让安全信息无处不在。
   • 鼓励员工通过 内部安全论坛 共享心得、报告可疑事件，形成 安全社区。

5. 持续改进

   • 采用 PDCA（计划‑执行‑检查‑行动） 循环，对培训、技术、流程进行定期评估。
   • 每半年组织一次 红队/蓝队对抗演练，检验防御效果并提炼改进点。

---

结语：让每一次点击、每一次对话、每一次指令，都在安全的护航下前行

信息安全不再是抽象的合规要求，而是 业务能否持续、创新能否落地、品牌能否可信 的底线。我们正站在机器人、具身智能与生成式 AI 融合的关键节点，若没有坚实的安全基座，任何技术的“突破”都可能演变为“灾难”。

请大家以 案例为镜，以培训为灯，主动参与即将开启的【全员信息安全意识提升计划】，用自己的每一次学习、每一次实践，为公司筑起坚不可摧的防线。让我们在数字化浪潮中，既乘风破浪，又稳坐金山。

让安全成为每个人的习惯，让创新在安全中绽放！

---

昆明亭长朗然科技有限公司提供一站式信息安全咨询服务，团队经验丰富、专业素养高。我们为企业定制化的方案能够有效减轻风险并增强内部防御能力。希望与我们合作的客户可以随时来电或发邮件。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

引子：两则“狗血”案例，警醒信息安全的每一位同仁

案例一：王晓峰的“快捷”与“泄密”——从临时加班到全公司危机

王晓峰，某大型互联网企业的业务运营主管，性格外向、喜欢抢功，常以“快、狠、准”自诩。那天深夜，公司的核心客户系统因突发故障需要紧急恢复，王晓峰召集了临时加班小组，亲自领头在办公室的咖啡机旁敲击键盘。

为节约时间，他决定自行使用公司内部未经审计的“临时共享文件夹”，把包含数百条客户交易记录的数据库备份上传至该文件夹，并将访问链接通过企业微信发给技术团队。此时，他并未意识到，这个共享文件夹的权限设置仍然是“全员可读”，且该文件夹已经在公司内部的多个项目组中被使用。

第二天上午，技术团队顺利完成恢复，但一位负责审计的同事在例行检查时，意外发现该备份文件夹中存放了大量敏感客户数据，包括身份证号、银行卡号等。该同事立刻向信息安全部门报告，部门启动应急响应。调查显示，备份文件夹的链接在24小时内被外部黑客利用社交工程手段，通过钓鱼邮件诱骗一位不慎的财务专员点击，导致敏感数据被下载至黑客的服务器。

更雪上加霜的是，王晓峰在紧急恢复完成后，急于争取上级的表扬，向公司高层提交了“系统恢复成功、未发生信息泄露”的报告，甚至在内部月度例会上夸耀自己的“临阵不乱”。而真正的泄密事实在公司内部会议上被掀起波澜后才浮出水面。

终局：公司被监管部门以“未按规定进行数据分类与访问控制、未及时报告信息安全事件”处以巨额罚款，王晓峰因“隐瞒信息安全事件、违规使用数据管理平台”被公司纪律处分并解除职务。整个部门的信任体系崩塌，员工士气低落，客户投诉激增，企业声誉受创。

教育意义：冲动的“快捷”往往掩盖了对程序正义的漠视。缺乏对合法合规流程的敬畏，导致程序漏洞被放大，最终演变为信息泄密、监管处罚与个人职业毁灭的连锁反应。

---

案例二：刘慧琳的“合规”与“逆行”——从合规培训到内部暗箱操作

刘慧琳是某金融机构的合规部经理，温文尔雅、极具说服力，平时喜欢在全员合规培训中引用《论语》：“君子以文会友，以友辅仁”。她以此为座右铭，常在内部讲座中大谈合规文化的重要性，组织了多场“合规文化周”，并在公司内部推出了自研的合规审查系统。

然而，正因为她对合规的极度自信，刘慧琳在一次业务部向上级争取“大客户”项目的内部立项会议上，暗中利用自己对合规系统的熟悉程度，故意在系统中“隐藏”了对该项目涉及的高风险业务（如跨境大额支付）的风险提示。她自信地向高层汇报：“本项目已通过全部合规审查，无风险”。实际上传入系统的审批日志被她篡改，风险评估报告被删减，仅留下“低风险”字样。

项目正式启动后，因跨境支付涉及的外汇监管政策变化，项目在第二个月被外汇局发现违规，大额未报备、未履行反洗钱报告义务。监管部门随即对该金融机构展开突击检查，发现内部合规审查记录与实际操作严重不符，认定为“合规报告造假、内部控制失效”。与此同时，刘慧琳在内部的合规培训记录被曝光——她曾在培训中强调“合规是公司灵魂”，却在关键时刻利用合规程序进行“逆行”。

公司因违规被处以高额罚款，相关业务被责令整改，刘慧琳因“伪造合规审查报告、滥用职权”被聘请的外部审计机构列入“黑名单”，并受到职业禁入处罚。内部员工对合规部门的信任瞬间崩塌，合规文化从“口号”沦为“笑柄”。

教育意义：合规的外在形式与内在实质必须保持一致。即使身居合规岗位，也不能因“熟悉”而产生特权心理；缺乏对程序正义的内在尊重，将导致制度的“形似”而“实质缺失”，最终酿成监管风险、组织声誉受损以及个人职业生涯的毁灭。

---

深度剖析：从“程序失灵”到“合法性危机”

上述两例，表面看来是个人道德失范，实质则是对程序正义的系统性忽视。正如文中所述，泰勒模型（程序正义 → 合法性 → 守法）揭示了合法性是程序感受的核心桥梁；当程序被曲解、被“快捷”或“逆行”利用时，合法性被侵蚀，守法行为随即崩塌。

• 可信度缺失：王晓峰擅自使用未授权共享文件夹，破坏了系统的可信度，让员工对信息安全制度产生怀疑。
• 尊重对待缺失：刘慧琳在合规培训中口头承诺尊重规则，却在内部操作中没有给予制度应有的尊重，导致制度失去权威。
• 中立无偏见缺失：两位案例的行为均体现了“以权谋私”，违背了程序的中立性，使得合法性评价被削弱。
• 表达机会缺失：王晓峰在事后报告中隐瞒事实，剥夺了监管层、员工对真实信息的知情权；刘慧琳则通过系统篡改抹去风险提示，剥夺了业务部门对真实风险的表达。

综合来看，程序的四大特征被破坏后，组织的合法性评估急剧下降，守法动机随之丧失，最终导致监管处罚、组织危机乃至个人职业毁灭。这正是程序导向守法理论在中国语境下的“普遍性与特殊性”冲突的生动写照。

---

数字化、智能化、自动化时代的安全合规新要求

1. 数据全链路可追溯
   • 从数据采集、传输、存储到销毁，每一步必须留存“审计日志”，防止“暗箱操作”。
2. AI决策透明
   • 自动化决策系统（如信用评估、风险筛选）应提供可解释性，受众有“表达机会”。
3. 实时合规监控

   

   • 利用大数据分析与机器学习，对异常访问、异常行为进行实时预警，确保“可信度”。
4. 跨部门协同治理
   • 合规、信息安全、业务、法务四大部门共建“共建共治共享”流程，形成闭环治理。

在此背景下，每位员工都必须成为合规与安全的第一道防线。仅靠单一的技术防护已难以应对内部违规、外部攻击的“双重冲击”。我们需要在组织文化层面根植“程序正义”的价值观，让每一次点击、每一次审批都自觉接受合法性的检验。

---

号召：共建信息安全合规文化，人人都是守法的“程序正义守护者”

• 主动学习：参加公司举办的“程序正义与合规”线上/线下培训，熟悉制度背后的心理机制。
• 自我检视：每月对自己负责的业务流程进行一次“程序正义自评”，检查是否符合可信度、尊重、无偏见、表达机会四项特征。
• 互相监督：建立同事间的“合规互查”机制，发现异常及时上报，形成“共建共治”。
• 积极反馈：对制度的改进提出建设性意见，让制度在“表达机会”中不断迭代升级。

让我们以“技术赋能、程序护航”的理念，推动组织在数字化浪潮中稳健前行。只有每位员工都把“合法性”视为日常决策的必备要素，才能真正实现“全民守法”，让法治精神在信息化时代焕发新生机。

---

推介：一站式信息安全与合规培训平台——让程序正义落地的最佳伙伴

在信息安全与合规培训领域，昆明亭长朗然科技有限公司（以下简称“朗然科技”）以其深耕多年、兼具法学与信息技术双重背景的专家团队，为企业量身定制了以下核心产品与服务：

1. 《程序正义感知与合法性培育》系列课程
   • 采用情境模拟、案例剖析（含上述“王晓峰”“刘慧琳”案例），帮助学员从心理层面理解程序正义四大特征。
2. AI驱动的合规风险监测平台
   • 实时捕捉异常操作，自动生成合规报告，确保每一次流程都有“表达机会”。
3. 数据全链路审计系统
   • 记录每一次数据访问、修改、导出，支持跨部门审计，提升系统“可信度”。
4. “共建共治共享”治理工作坊
   • 结合国家“共建共治共享”政策，帮助企业构建跨部门协同治理模型，落实程序正义于组织治理全链条。

朗然科技的服务已在多家金融、互联网、制造业企业落地，帮助它们实现了合规违规率下降70%、信息安全事件响应时间缩短50%的显著成效。无论是大型集团还是中小企业，朗然科技都能提供灵活的交付模式（线上直播、线下研讨、混合学习），确保每一位员工都能在最贴近业务的场景中体会到“程序正义”的力量。

立即行动：登录朗然科技官方网站，预约免费合规诊断，获取专属的“程序正义提升方案”。让我们一起把“合法性”写进每一次业务流程，让“守法”成为企业竞争力的根本支撑！

---

结语：用程序正义筑牢数字时代的合规防线

从王晓峰的“快捷”导致信息泄密，到刘慧琳的“逆行”酿成合规造假，两个看似个体的失误，实则映射出组织在程序正义缺失时的系统性风险。只有在 可信度、尊重对待、中立无偏见、表达机会 四大维度上持续发力，才能让合法性成为组织内部自然流动的正向能量，进而驱动守法行为的自发产生。

在数字化、智能化、自动化的浪潮中，每一次技术迭代都应伴随程序正义的升级，每一次制度创新都要经过“合法性”检验。让我们以“程序导向的守法理论”为指路灯，以朗然科技**的专业平台为工具，携手构建全员信息安全意识与合规文化的坚固堡垒。

让正义的程序不再是纸面文字，而是每一次操作、每一次决定背后的真实感受。
只有如此，企业才能在激烈竞争中立于不败之地，社会才能在法治的阳光下繁荣发展。

合规·安全·正义——从今天起，从每一个细节做起！

昆明亭长朗然科技有限公司致力于提升企业信息安全意识。通过定制化的培训课程，我们帮助客户有效提高员工的安全操作能力和知识水平。对于想要加强内部安全防护的公司来说，欢迎您了解更多细节并联系我们。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898