人工智能（AI）或許主導(dǎo)了今年更廣泛的科技頭條，在網(wǎng)絡(luò)安全領(lǐng)域同樣如此。但與此同時，安全社區(qū)的關(guān)注遠不止完全自主技術(shù)的風(fēng)險影響，正如Computer Weekly年度十大事件回顧所反映的那樣。

自新冠疫情爆發(fā)五年來，可以說這場大流行病徹底改變了安全領(lǐng)域，將其從專業(yè)話題轉(zhuǎn)變?yōu)槿巳硕加锌捶ǖ臒衢T議題。從疫情封鎖黑暗時期涌現(xiàn)的一些最重要主題——遠程工作和供應(yīng)鏈安全——在2025年仍然是討論焦點。

另一個主要議題是量子計算的興起，特別是它對加密技術(shù)構(gòu)成的威脅。而在美國，新總統(tǒng)政府的政策激進轉(zhuǎn)變對整個行業(yè)產(chǎn)生了巨大影響。

以下是Computer Weekly評選的2025年十大網(wǎng)絡(luò)安全事件。

美國起訴五人涉嫌朝鮮虛假IT承包商丑聞

我們從過去一年中最奇特且持續(xù)時間最長的故事之一開始，即圍繞朝鮮特工獲得美國公司遠程IT承包商職位為孤立政權(quán)籌集資金的丑聞。1月底，美國司法部宣布對該案中的五名男子——兩名朝鮮人、一名墨西哥人和兩名美國公民——提起起訴。

遠程工作的普及，特別是自新冠疫情以來，使虛擬招聘面試成為常態(tài)。盡管更多組織發(fā)布重返辦公室（RTO）命令，許多公司仍繼續(xù)招聘完全遠程職位，員工可能很少甚至從未線下見面。威脅行為者迅速發(fā)現(xiàn)了企業(yè)安全中的這一巨大漏洞，人力資源部門正在努力應(yīng)對。

英國網(wǎng)絡(luò)安全中心提出量子安全加密三步計劃

圍繞量子計算潛力及其對安全領(lǐng)域影響的猜測增長是今年的熱門話題。3月，英國國家網(wǎng)絡(luò)安全中心（NCSC）發(fā)布指導(dǎo)意見，幫助組織為量子計算做好準備。

雖然量子計算的可能性看起來很美好，但從中期來看，量子計算的興起將使目前用于保護敏感數(shù)據(jù)的加密方法變得過時，現(xiàn)在正在競相開發(fā)有效的后量子密碼學(xué)（PQC）。根據(jù)NCSC的說法，組織應(yīng)該已經(jīng)在為PQC做規(guī)劃，以便在2030年代初進行技術(shù)升級。該網(wǎng)絡(luò)機構(gòu)希望英國風(fēng)險最高的組織最遲在2035年完全遷移到PQC。

英國國民醫(yī)療服務(wù)體系要求供應(yīng)商簽署網(wǎng)絡(luò)安全公約

供應(yīng)鏈安全在過去幾年中已成為網(wǎng)絡(luò)安全領(lǐng)域的固定話題，該主題在2025年仍主導(dǎo)頭條新聞。5月，英國NHS數(shù)字主管致函供應(yīng)商，要求他們簽署網(wǎng)絡(luò)安全公約。

NHS在網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露方面有著漫長而麻煩的歷史，對OneAdvanced和Synnovis等合作伙伴的攻擊中斷了服務(wù)，顯示了醫(yī)療保健組織面臨的供應(yīng)鏈風(fēng)險。衛(wèi)生部門要求供應(yīng)商承諾在支持和修補系統(tǒng)方面達到更高標準，部署多因素認證（MFA）、持續(xù)網(wǎng)絡(luò)監(jiān)控和關(guān)鍵基礎(chǔ)設(shè)施日志記錄，以及不可變備份等。

美國網(wǎng)絡(luò)機構(gòu)CISA面臨大幅預(yù)算削減

盡管美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）是在特朗普第一任期內(nèi)成立的，但在其第二任期全面啟動時，該機構(gòu)仍難逃特朗普實施的深度全面削減。

隨著長期官員被免職、預(yù)算大幅削減，以及對識別和分類危險漏洞的長期CVE計劃的威脅，美國網(wǎng)絡(luò)安全體系在2025年受到根本性沖擊，連鎖效應(yīng)蔓延到美國境外。

英國網(wǎng)絡(luò)安全中心警告堅持使用Windows 10的用戶面臨更高風(fēng)險

隨著微軟最長壽的操作系統(tǒng)Windows 10于10月最終失去支持，2025年夏天對英國各地用戶發(fā)出警告——現(xiàn)在準備升級，否則將面臨安全風(fēng)險。

NCSC首席技術(shù)官奧利·懷特豪斯表示，不升級就像是"以高利率承擔(dān)債務(wù)，面臨日后被迫償還的威脅"，他懇請組織升級其PC資產(chǎn)。該機構(gòu)警告，除了用戶將看到失去支持的困難外，過時且現(xiàn)在未打補丁的Windows 10系統(tǒng)將成為威脅行為者的主要目標——這讓人想起2017年的WannaCry事件，該事件利用了未打補丁的Windows XP版本。

英國政府將引入勒索軟件付款禁令

英國政府在2025年推進了《網(wǎng)絡(luò)安全和彈性法案》，最終能夠在11月將其提交給議會。在此之前，進行了通常的咨詢、辯論和證據(jù)收集會議。7月，內(nèi)政部宣布將包括對勒索軟件付款的法律禁令——涵蓋醫(yī)院和其他公共衛(wèi)生機構(gòu)、市政委員會和學(xué)校等公共部門組織，以及包括數(shù)據(jù)中心在內(nèi)的關(guān)鍵國家基礎(chǔ)設(shè)施（CNI）運營商。

制定勒索軟件付款禁令得到了全國的廣泛支持——對此事咨詢的大多數(shù)回應(yīng)都支持它——但這個話題仍然具有爭議性，一些人懷疑該禁令是否會使英國關(guān)鍵組織對網(wǎng)絡(luò)犯罪分子的吸引力降低，實際上可能使一些組織在遭到攻擊時更難恢復(fù)。

攻擊者可以用蔬菜擊敗戴爾固件缺陷

拉斯維加斯的年度Black Hat網(wǎng)絡(luò)安全博覽會匯聚了各種安全專家和黑客，總是會產(chǎn)生一些奇特的發(fā)現(xiàn)。今年，思科Talos研究人員揭示了一系列漏洞——被稱為ReVault——影響戴爾筆記本電腦的安全固件和相關(guān)應(yīng)用程序編程接口（API）。

在研究過程中，Talos團隊發(fā)現(xiàn)，如果易受攻擊的系統(tǒng)配置為接受生物識別指紋登錄，就可能篡改固件，使指紋讀取器接受非人類物理輸入。在安全行業(yè)中肯定是首次，研究人員在網(wǎng)上發(fā)布了一段視頻，其中他們使用大蔥擊敗了筆記本電腦的生物識別安全措施。

微軟開始在網(wǎng)絡(luò)安全基礎(chǔ)中納入后量子密碼算法

回到量子領(lǐng)域，在其量子安全計劃（QSP）首次亮相兩年后，微軟在8月報告了在其產(chǎn)品套件安全基礎(chǔ)組件中納入PQC算法的穩(wěn)步進展。

對于像微軟這樣無處不在的科技公司來說，量子安全是不可妥協(xié)的——搞錯了可能導(dǎo)致災(zāi)難——因此雷德蒙德希望快速行動，希望在2020年代結(jié)束前確保其核心服務(wù)的安全。其整體策略基于三個核心支柱：更新微軟自己和第三方服務(wù)、供應(yīng)鏈和生態(tài)系統(tǒng)以實現(xiàn)量子安全；在這一目標上支持其客戶、合作伙伴和生態(tài)系統(tǒng)；以及推廣量子安全方面的全球研究、標準和服務(wù)。

美國政府關(guān)閉阻礙網(wǎng)絡(luò)情報共享

10月，華盛頓特區(qū)的政治混亂溢出到安全領(lǐng)域，聯(lián)邦政府在臨時資金措施未能通過嚴重分裂的國會后被迫關(guān)閉。不幸的是，這阻礙了延長或替換奧巴馬時代威脅數(shù)據(jù)共享法律CISA 2015的進展，該法律于9月底到期。

CISA 2015制定了信息共享框架，并為在公共利益中共享威脅數(shù)據(jù)和網(wǎng)絡(luò)情報的組織提供責(zé)任保護。專家擔(dān)心其缺失不僅會損害公私部門之間的合作，還會降低美國作為網(wǎng)絡(luò)犯罪分子和其他威脅行為者有效制衡力量的能力。雖然CISA 2015現(xiàn)在已經(jīng)延期，但2026年初另一次政府關(guān)閉的可能性可能很快會使這個故事再次浮出水面。

網(wǎng)絡(luò)安全機構(gòu)聯(lián)合簽署Exchange Server安全指南

安全專家只需查看每月的補丁星期二警報，就能看到微軟的技術(shù)主導(dǎo)地位如何使其成為眾多網(wǎng)絡(luò)安全事件的核心，該公司經(jīng)常受到那些認為它在履行安全義務(wù)方面做得不夠的人的抨擊。2025年底，當澳大利亞、加拿大和美國網(wǎng)絡(luò)情報機構(gòu)采取聯(lián)合簽署緊急警報并發(fā)布保護微軟Exchange服務(wù)器實例指南的步驟時，這種聲音達到了高潮，這是歷史上許多最具影響力網(wǎng)絡(luò)事件的關(guān)鍵載體。

該文件列出了幾種主動保護技術(shù)，作為混合環(huán)境一部分應(yīng)用于本地Exchange服務(wù)器，美國人將其描述為微軟用戶的"關(guān)鍵資源"。但一位觀察者，一位前白宮網(wǎng)絡(luò)政策專家說，多邊聯(lián)盟感到有義務(wù)制作這樣的資源這一事實是"對微軟安全態(tài)勢的毀滅性評論"。

Q&A

Q1：朝鮮虛假IT承包商丑聞是什么？

A：這是朝鮮特工獲得美國公司遠程IT承包商職位為孤立政權(quán)籌集資金的丑聞。美國司法部在1月起訴了五名相關(guān)人員，包括兩名朝鮮人、一名墨西哥人和兩名美國公民。這利用了遠程工作興起后虛擬招聘中的安全漏洞。

Q2：后量子密碼學(xué)（PQC）為什么重要？

A：量子計算的發(fā)展將使現(xiàn)有加密方法變得過時，PQC是應(yīng)對這一威脅的關(guān)鍵技術(shù)。英國NCSC建議組織現(xiàn)在就開始規(guī)劃PQC遷移，希望最高風(fēng)險組織在2035年前完全遷移到量子安全加密技術(shù)。

Q3：英國勒索軟件付款禁令涵蓋哪些機構(gòu)？

A：禁令覆蓋醫(yī)院和其他公共衛(wèi)生機構(gòu)、市政委員會和學(xué)校等公共部門組織，以及包括數(shù)據(jù)中心在內(nèi)的關(guān)鍵國家基礎(chǔ)設(shè)施運營商。雖然得到廣泛支持，但仍存在爭議，一些人擔(dān)心可能使受攻擊組織更難恢復(fù)。