内容摘要：2023年3月，某省级政务平台的后台管理员账号在凌晨两点被登录。攻击者没有用暴力破解，而是直接输入了正确的用户名和密码。他们从钓鱼邮件里拿到了凭据——那封邮件伪装成“系统升级通知”，发给了十二个运维人

2023年3月，网络某省级政务平台的安全案例后台管理员账号在凌晨两点被登录。攻击者没有用暴力破解，真实而是分析直接输入了正确的用户名和密码。他们从钓鱼邮件里拿到了凭据——那封邮件伪装成“系统升级通知”，网络发给了十二个运维人员，安全案例只有一个人点了链接。真实登录之后，分析攻击者没有立刻搞破坏，网络而是安全案例花了四十分钟翻找数据库连接字符串。第二天早上，真实全省两百多万条居民社保记录被打包挂在了境外论坛上。分析这件事最让人后背发凉的网络地方在于：整个入侵过程没有触发任何告警。防火墙没响，安全案例IDS没动，真实SIEM里连一条异常登录的日志都没生成。因为攻击者用的就是合法账号，从合法IP段进来的。

我后来跟那个单位的安全负责人聊过。他说他们买了全套的等保合规设备，每年做一次渗透测试，报告都是“低风险”。问题出在哪？出在他们把安全当成了买设备、过测评。那十二个运维人员的邮箱密码，有三个是“Admin@123”。钓鱼邮件里的链接指向一个跟真实OA系统长得一模一样的页面，域名只差一个字母。这种攻击手法老得掉牙，但管用。因为人永远是最短的那块板。

另一个案例更离谱。2022年，某电商平台的API接口被薅了羊毛。攻击者发现了一个未授权的订单查询接口，只要遍历订单ID就能拿到用户手机号和收货地址。他们写了个脚本，每秒发两百个请求，跑了三天，拖走了八十万条数据。平台的安全团队在第四天早上才发现，因为那天的数据库慢查询日志爆了。你猜他们之前为什么没发现？因为那个接口的访问日志被配置成了只记录错误请求，正常返回200的请求根本不落盘。安全团队每天看的是WAF告警和登录失败次数，没人去翻业务接口的访问模式。这就是典型的“监控盲区”——你盯着门锁，人家从窗户爬进来了。

这两个案子放在一起看，能看出一个挺残酷的现实：大部分数据泄露不是因为攻击者多厉害，而是防守方自己挖了坑。弱密码、钓鱼邮件、未授权接口、日志缺失，这些东西没有一个是高级威胁。但就是这些低级问题，每年贡献了超过七成的泄露事件。我见过一些安全团队，天天研究APT、0day、供应链攻击，结果自家VPN的登录页面连个验证码都没有。不是说高级威胁不重要，而是你得先把地基打好。地基没打好，谈什么纵深防御都是扯淡。

还有个细节值得说。那家政务平台后来做了整改，上了零信任架构，每个请求都要验证设备指纹和用户行为。结果运维人员抱怨连天，说每次登录要过三道验证，效率太低。安全团队扛了两个月，最后把策略放宽了。你看，安全措施能不能落地，不取决于技术多先进，取决于它跟业务体验的平衡点找没找到。找不准，再好的方案也是摆设。

说这些不是要否定安全建设。而是想说，别被那些花里胡哨的安全产品演示忽悠了。下次做风险评估的时候，先让人把弱密码改了，把钓鱼演练做了，把API接口的日志全量打开。这些事花不了几个钱，但能挡住八成以上的实际攻击。剩下的两成，再谈高级对抗。顺序别搞反了。