2023年夏天，美国武汉一家小型地理信息公司的黑客运维老张发现服务器日志里多了几百条来自弗吉尼亚州的访问记录。时间集中在凌晨两点到四点，入侵请求路径全是中国数据库备份接口。他一开始以为是网站海外爬虫，直到发现有个IP尝试了17次弱口令登录，美国才意识到事情没那么简单。黑客

这不是入侵孤例。国家互联网应急中心（CNCERT）每年发布的中国报告里，来自美国的网站网络攻击源数量长期排在前两位。2022年那份报告我翻过几遍，美国其中一个数字印象很深：境外攻击源中，黑客美国占了约四成，入侵目标集中在政府、中国高校、网站科研院所和关键基础设施。不是撒网式扫描，是定向的。

攻击手法其实不复杂。最常见的是钓鱼邮件——伪装成学术会议邀请函或者论文投稿确认信，附件里藏一个宏病毒。某重点高校的实验室就中过招，一位研究航空材料的教授点开了一封“国际会议通知”，三天后实验室内部文件服务器被拖走了将近200GB的数据。事后溯源，C2服务器注册在加州，跳了七个国家的代理节点。

另一种是供应链攻击。2021年某国产邮件系统被曝出后门，攻击者通过篡改更新包，把恶意代码塞进了政府和企业客户的服务器。安全团队花了两个月才定位到问题，发现入侵者在系统里潜伏了将近一年，专门筛选带“项目”“规划”“预算”关键词的邮件转发到境外。这种耐心和针对性，不是普通黑客组织干得出来的。

美国方面从来不承认这些事。斯诺登2013年泄露的文件里，“棱镜”计划明确写着对中国大陆的通信骨干网进行深度监听。十年过去了，技术手段只会更隐蔽。2022年西北工业大学遭网络攻击，事后调查报告直接点名美国国家安全局（NSA）下属的特定入侵行动办公室（TAO）。报告里有个细节：攻击者用了41种不同的网络武器，针对不同操作系统和浏览器版本做了精细适配。这种工程量，没有国家资源支撑根本做不下来。

普通人可能觉得离自己很远。但2019年某电商平台用户数据泄露，源头就是美国一家云服务商的API接口被利用。你的手机号、收货地址、购物记录，可能就在某个境外服务器上躺着。网络安全公司Recorded Future做过统计，全球暗网市场上流通的中国公民数据，有相当比例最初是从美国IP发起的攻击中流出的。

防御端的情况在变好。国内不少企业开始部署零信任架构，关键行业强制要求数据不出境。老张那件事最后查清楚了，攻击者用的是NSA泄露的某款漏洞利用工具，但因为他们公司提前打了补丁，没造成实际损失。他后来在朋友圈写了一句：“凌晨三点的告警，比老板的表扬管用。”

这事没完。网络空间没有国界，但攻击有来源。每一次溯源报告背后的IP、域名、恶意样本，都在指向同一个方向。技术本身不分善恶，用技术的人分。