窃取凭证为何成黑客首选？解析防线失守的4大关键
如今的网络攻击焦点已从技术漏洞转向更容易获利的"身份经济"领域：被窃取的用户名、密码以及访问权限如同普通商品般在黑市交易，成为绕过企业防火墙的快捷通道。
攻击者不再执着于寻找软件漏洞或网络弱点，而是将目标锁定在更容易得手的身份凭证上。BeyondID发布的最新报告将这一日益壮大的黑市称为"身份经济"，在这个隐秘市场里，用户名、密码、令牌和系统权限就像普通商品一样被明码标价。
对于攻击者而言，窃取的身份凭证就是通行证。他们可以轻松绕过防火墙和其他防护措施，直接侵入企业核心系统。这些凭证因此成为网络犯罪世界的首选"货币"，催生出一个难以根除的地下交易网络。
失窃访问权限的价值持续攀升
金融服务和医疗机构仍然是主要目标，但没有任何行业能够独善其身。2024年的一项研究发现，95%的企业都遭遇过某种形式的身份欺诈，银行业平均每起事件损失达31万美元。
攻击者的获利可能极为丰厚。2025年2月，与朝鲜有关的黑客从一家加密货币交易所窃取了约15亿美元的虚拟资产。虽然并非每次数据泄露的规模都如此巨大，但即便只是一个账户被攻破，也可能导致内部数据被盗、业务中断以及高昂的恢复成本。
随着量子计算技术的临近，被盗凭证的价值只会进一步提升。当前加密的数据，在未来可能会被轻易解密，使得旧的数据泄露事件演变为新的安全威胁。
身份窃取如何发生
攻击者会综合运用各种新旧手段。网络钓鱼仍然是最常见的方式之一，如今在人工智能的加持下，虚假信息变得愈发难以辨别。中间人攻击、会话劫持和社工工程攻击依然是主要威胁。
有些攻击针对的是人的行为而非技术。黑客可能会向用户发送大量多因素认证提示，直到用户因不胜其烦而批准访问。这种被称为"MFA疲劳攻击"的手法正变得越来越普遍。
内部人员也难辞其咎。报告发现，约60%的被盗凭证可追溯到内部用户，且往往是由于疏忽而非故意为之。
技术上的漏洞更是加剧了这一问题。未使用的账户、薄弱的移动安全措施以及过于宽松的权限设置，都为攻击者提供了可乘之机。即使是出于好意的公司，也可能因系统配置错误或第三方服务集成不当而泄露敏感数据。
BeyondID首席执行官Arun Shrestha指出，许多企业还在努力保障日益增多的AI驱动系统的安全。"企业正在部署智能体来处理核心功能，但这些非人类身份往往被赋予过多权限或保护不足，"他解释道，"一个典型的例子是，某个IT自动化代理被配置为拥有超级用户权限，这可能导致整个区域的基础设施瘫痪。在另一个案例中，攻击者冒充金融机构的采购机器人进行欺诈交易。"
Shrestha表示，企业应为这些智能体采用强认证、持续监控和实时行为分析。权限管理和定期审查是防止攻击者接管这些系统的关键。
身份管理为何效果不佳
尽管存在风险，许多企业仍将身份和访问管理视为次要任务。这使得安全团队疲于应对，而攻击者则趁机利用未解决的漏洞。
该报告强调了所谓的"身份利用向量"，即攻击者侵入系统后常用的攻击路径。这些薄弱点往往涉及保护不力的人类或机器身份，包括与智能体相关的身份。
Shrestha指出，将IAM目标与业务成果挂钩对于解决这一问题至关重要。他分享了一个财富1000强金融服务公司的案例，该公司的IAM负责人通过展示更好的身份控制所带来的实际影响，成功获得了高层的支持。
Shrestha说："诸如用户配置时间、认证成功率以及访问违规等需要管理层关注的指标，有助于让高管认识到IAM的直接价值。当该公司将配置时间缩短45%，并将安全事件减少70%时，领导层已将IAM视为一项关键投资，而不仅仅是一个技术项目。"
CISO可采取的措施
CISO可以从梳理环境中所有的人类和非人类身份开始，然后，他们应实施最小权限原则，删除未使用的账户，并持续监控活动，以尽早发现可疑行为。
员工教育同样至关重要。CISO必须向高层管理者展示身份窃取如何直接影响收入、合规性和企业信誉。使用指标和通俗易懂的商业语言，有助于为加强IAM计划争取所需资金。
通过将身份视为有价值的资产并围绕其构建保护措施，企业可以打破依赖被盗访问权限而日益猖獗的网络犯罪经济。
相关攻略
美国主流教学平台Canvas近期遭遇黑客组织“闪亮猎人”攻击，导致服务中断，正值期末考试季，给多所高校教学秩序带来冲击。事件导致近9000所学校受影响，数十亿条数据面临泄露风险，得克萨斯大学圣安东尼奥分校等机构被迫推迟期末考试。分析指出，教育机构数字化数据已成为黑客重点目标，此次攻击模式与之前同类事
美国主流网络教育平台Canvas于5月7日遭遇网络攻击，导致服务中断，正值全国高校考试季，哈佛大学、密歇根大学等多所院校受影响。平台运营方于次日宣布服务已完全恢复。此次事件凸显了教育关键基础设施在网络安全方面面临的挑战，尤其是在教学评估密集期，系统的稳定性至关重要。
美国政府正计划推出一项聚焦人工智能安全的行政命令。根据知情人士该命令将要求政府机构与AI公司合作，共同防御AI驱动的网络攻击，保护国家网络与关键基础设施。政策关键点在于，它不会强制要求最前沿的AI模型接受政府审批，旨在通过协作而非严格监管来平衡安全与创新。此举反映了当前对AI技术治理的一种路径
从漏洞公告到Root Shell：一次AI驱动的漏洞开发实战 发现漏洞和利用漏洞，这中间的鸿沟有多大？业内人都清楚，这完全是两个不同的世界。模糊测试工具像AFL、syzkaller，它们在内核里翻找漏洞已经有十多年历史了。但找到漏洞是一回事，把它变成能远程拿到系统最高权限的武器，那又是另一门需要深厚
Axios投毒事件：这不是演习，是供应链攻击的“工业级”升级 最近几天，整个前端社区的后背可能都有些发凉。一场席卷npm生态的供应链攻击风暴，远比我们想象的更猛烈、更专业。 就在CanisterWorm这个自传播蠕虫病毒还在不断感染新包、弄得人心惶惶时，一个更重磅的消息传来：我们几乎每天都在用的请求
热门专题
热门推荐
以太坊基金会成立隐私研究集群，旨在推动私密支付与匿名投票等关键隐私技术的发展。该集群将整合研究资源，探索相关技术的最新趋势与潜在应用，为构建更安全、保护用户数据的去中心化生态系统提供支持。
MetaMask宣布将推出永续合约交易功能，允许用户进行双向开仓交易，覆盖多种加密资产。该功能伴随高波动性与爆仓风险，需谨慎操作。平台计划于十月底启动奖励计划，以吸引用户参与。投资者可通过主流交易平台注册并利用APP查看交易数据，同时需注重仓位管理、止盈止损及资金安全。
Meme币“币安汽车”市值近期大幅上涨，其背后与币圈知名人物贾跃亭的操盘策略密切相关。该现象揭示了当前加密货币市场中Meme币作为一种投机资产的波动性与关注度，反映了市场对特定人物影响力的高度敏感。
访问欧易官网需核对域名，防范钓鱼风险。建议通过官方渠道下载最新版APP。注册后需完成实名认证并绑定安全设备以提升安全。首次购币可通过C2C交易区进行，平台提供担保。此外，平台还提供合约交易、理财及行情分析等功能。新手应从官方渠道入手，逐步完成安全设置与交易。
币安交易所提供官网及移动应用两种访问方式，用户可通过官方渠道下载应用并完成注册，以使用其交易服务。平台支持多种数字资产交易，操作便捷，适合不同需求的投资者。