EUROPOL 网络犯罪中心调查员在追踪欧洲超市连锁数据泄露攻击时发现，子分配机制导致 whois 记录出现多重身份与地址，使法律送达无法落地，凸显现行 IP 资源登记体系在归属溯源上的结构性缺陷。
案例溯源：从 SQL 注入到法律送达困境
2016 年 9 月，EC3 接到通报：某欧洲大型超市连锁遭 SQL 注入攻击，数百万客户敏感数据外泄。日志指向单一 IP 地址，调查员本指望在 RIR 的 whois 库中几分钟内锁定 ISP 物理地址并送达法律文书。实际查询显示，该 IP 隶属某 /24 前缀，由 ISP A 在 RIPE 数据库登记分配给 ISP B。随后数小时跨库比对发现，ISP B 关联三名自然人、五个实体地址（英国三处、塞尔维亚一处、伯利兹一处）及三个电话号码（美国、瑞典、英国各一），无法确认送达对象。
子分配链条模糊责任主体
问题核心在于子分配层级切断了资源持有者与使用者的直接对应关系。RIR 仅记录初始分配给 ISP A 的记录，后续 ISP A 再分配给 ISP B、甚至更下层的转移均不在 RIR 强制校验范围。RIPE 数据库虽存有分配链，但缺乏强制更新机制，导致物理地址、联系人、电话等关键字段在多级转手中失真。各 RIR 社区长期讨论 whois 准确性，但现行政策未强制要求下游分配同步回写或定期核验，使取证端面对“同一前缀对应多重身份”的混乱局面。
政策缺口与执法成本
Mounier 在 RIPE 73 全会与 AAWG 指出，公共安全机构协同向各 RIR 政策会议提交立场：whois 不准确直接推高执法成本，若无法在合理时间内定位责任主体，证据链易断裂。原文未给出具体数据量化当前不准确比例，但案例表明单次取证耗时从预期“几分钟”膨胀至“数小时”仍无果。各 RIR 社区虽认同问题，尚未形成统一的强制校验与追责标准，导致子分配链条上的信息衰减无人兜底。
对网络工程师而言，该案例揭示：在配置 IP 资源分配层级时，若不在运维流程中嵌入 whois 信息强制同步与定期核验机制，子分配链条将成为取证黑洞；建议在自动化部署管道中加入注册数据一致性校验，压缩法律送达的查证窗口。
原文: APNIC Blog（2016-11-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog