如果你的安全策略還停留在“加固網(wǎng)絡(luò)邊界、嚴(yán)防外部入侵”，那么，是時(shí)候接受一個(gè)殘酷的現(xiàn)實(shí)了：攻擊者早就不再正面強(qiáng)攻你的防火墻，而是悄無(wú)聲息地從你的供應(yīng)商后門(mén)、員工的個(gè)人手機(jī)，甚至一通AI偽造的CEO語(yǔ)音電話中長(zhǎng)驅(qū)直入。

SoSafe發(fā)布的《2025網(wǎng)絡(luò)犯罪趨勢(shì)報(bào)告》用一組觸目驚心的數(shù)據(jù)撕開(kāi)了行業(yè)的遮羞布：

• 93%的組織依賴(lài)第三方服務(wù)，每一個(gè)SaaS工具、API接口、支付供應(yīng)商都可能是潛在的突破口

• 83%的安全專(zhuān)業(yè)人員遭遇過(guò)源于員工個(gè)人設(shè)備的安全事件

• 95%的組織目睹了多渠道攻擊（包括AI深度偽造）的顯著增長(zhǎng)

這不是危言聳聽(tīng)，而是正在發(fā)生的攻防現(xiàn)實(shí)。傳統(tǒng)的“企業(yè)邊界”概念已經(jīng)死亡，而大多數(shù)安全團(tuán)隊(duì)仍在用舊地圖尋找新戰(zhàn)場(chǎng)。

第三方供應(yīng)鏈：你信任的每一個(gè)“合作伙伴”都可能是薄弱環(huán)節(jié)

93%——這個(gè)數(shù)字意味著，幾乎每一家企業(yè)都在通過(guò)第三方服務(wù)支撐核心業(yè)務(wù)。云存儲(chǔ)、協(xié)同辦公、支付網(wǎng)關(guān)、API對(duì)接……每一個(gè)外部依賴(lài)都是風(fēng)險(xiǎn)的倍增器。

SoSafe首席安全官Andrew Rose指出，攻擊者正越來(lái)越多地瞄準(zhǔn)軟件和服務(wù)供應(yīng)鏈，以放大攻擊規(guī)模和影響力——他們深知，這些供應(yīng)商往往缺乏大型組織的防御資源和成熟度。

更可怕的是“第四方風(fēng)險(xiǎn)”：你的供應(yīng)商的供應(yīng)商。大多數(shù)安全團(tuán)隊(duì)連自己的供應(yīng)鏈地圖都畫(huà)不全，更別提對(duì)“第四方”施加任何影響力。而現(xiàn)實(shí)中，一次重大的供應(yīng)鏈攻擊，往往就源自這條被忽視的隱形傳導(dǎo)鏈。

問(wèn)題的本質(zhì)在于：平均而言，安全團(tuán)隊(duì)對(duì)供應(yīng)鏈依賴(lài)關(guān)系的可見(jiàn)性極其有限，對(duì)供應(yīng)商安全實(shí)踐的掌控力更是微乎其微。年度一次的安全問(wèn)卷自評(píng)？在真實(shí)攻擊面前,這種形式主義不堪一擊。

BYOD：當(dāng)“方便”成為“方便攻擊者”的代名詞

83%的組織報(bào)告了與員工個(gè)人設(shè)備相關(guān)的安全事件——這個(gè)數(shù)字足以讓每一位CISO警醒。

SoSafe CEO Niklas Hellemann一針見(jiàn)血：雖然員工在組織內(nèi)部受到技術(shù)控制的保護(hù)，但他們的個(gè)人設(shè)備和賬戶往往處于脆弱狀態(tài)。保存密碼、打開(kāi)公司文件、接收釣魚(yú)郵件……這些行為每天都在不受保護(hù)的設(shè)備上發(fā)生，而攻擊者只需要一次疏忽就能撬開(kāi)企業(yè)大門(mén)。

十年前，BYOD(Bring Your Own Device)聽(tīng)起來(lái)很創(chuàng)新。如今，它已演變?yōu)橐粋€(gè)巨大的安全負(fù)債。MDM(移動(dòng)設(shè)備管理)或EDR(端點(diǎn)檢測(cè)與響應(yīng))能起到一定作用，但當(dāng)員工在個(gè)人設(shè)備上保存工作密碼、用私人郵箱轉(zhuǎn)發(fā)敏感文檔時(shí)，技術(shù)手段的防護(hù)邊界就已經(jīng)失守了。

而且，攻擊者早已不滿足于傳統(tǒng)釣魚(yú)。95%的組織見(jiàn)證了多渠道攻擊的上升——先通過(guò)WhatsApp、微信建立信任，再用Microsoft Teams、企業(yè)微信、釘釘?shù)绒k公協(xié)作工具營(yíng)造官方工作氛圍，最后用AI偽造的CEO語(yǔ)音電話完成致命一擊。2024年，攻擊者就曾使用AI語(yǔ)音克隆技術(shù)冒充某公司CEO，通過(guò)協(xié)同消息傳遞誘騙員工泄露敏感信息甚至轉(zhuǎn)賬。

這種“3D釣魚(yú)攻擊”是噩夢(mèng)級(jí)別的威脅：你防御的不再只是一個(gè)收件箱，而是員工在任何地點(diǎn)、任何時(shí)間發(fā)生的每一次數(shù)字對(duì)話。

破局之道：全面“擁有”你擴(kuò)大的攻擊面

零敲碎打的安全意識(shí)培訓(xùn)、走過(guò)場(chǎng)的供應(yīng)商問(wèn)卷——這些措施在新型威脅面前已經(jīng)失效。當(dāng)94%的組織都在經(jīng)歷多渠道攻擊策略的沖擊時(shí)，唯一可行的立場(chǎng)是持續(xù)懷疑和激進(jìn)掌控。

以下四點(diǎn)，必須立即行動(dòng)：

1. 對(duì)供應(yīng)鏈審查毫不妥協(xié)

停止走形式的供應(yīng)商安全審查。部署持續(xù)的、自動(dòng)化的評(píng)估工具,而不是年度一次的自我證明。要求供應(yīng)商透明披露其“第四方”依賴(lài)關(guān)系。如果供應(yīng)商拒絕配合，果斷放棄合作——失去一個(gè)功能總好過(guò)招來(lái)一次入侵。

2. 從根本上重構(gòu)BYOD策略

假設(shè)每一臺(tái)非托管設(shè)備都已被攻陷。強(qiáng)制實(shí)施容器化、零信任網(wǎng)絡(luò)訪問(wèn)(ZTNA)和端點(diǎn)監(jiān)控。讓“個(gè)人”設(shè)備真正個(gè)人化：業(yè)務(wù)數(shù)據(jù)不得離開(kāi)受保護(hù)的環(huán)境——句號(hào)。

3. 培育“偏執(zhí)型”威脅意識(shí)文化

定期的、基于真實(shí)場(chǎng)景的攻防演練不是錦上添花，而是最后一道防線。模擬多渠道、AI增強(qiáng)型釣魚(yú)攻擊。獎(jiǎng)勵(lì)那些識(shí)破陷阱的員工，重點(diǎn)培訓(xùn)那些險(xiǎn)些“中招”的人。

4. 打破“責(zé)任外包”的幻覺(jué)

第三方和BYOD風(fēng)險(xiǎn)不只是CISO的事，而是每一位領(lǐng)導(dǎo)者的責(zé)任。將其納入采購(gòu)流程、人力資源政策、供應(yīng)商準(zhǔn)入和應(yīng)急響應(yīng)機(jī)制。只要它接觸你的數(shù)據(jù)或員工，就是你的問(wèn)題——沒(méi)有例外。

SoSafe的報(bào)告用冰冷的數(shù)據(jù)告訴我們一個(gè)事實(shí)：擴(kuò)大的攻擊面不是你可以隔離、外包或用保險(xiǎn)規(guī)避的東西，“看不見(jiàn)的”并不等于“沒(méi)威脅”。

撕掉蒙眼布，識(shí)別每一寸攻擊面，迫使第三方和員工接受你的“偏執(zhí)”標(biāo)準(zhǔn)。否則，只是在等待你的名字出現(xiàn)在下一份安全事件報(bào)告里。

合作電話：18610811242

合作微信：aqniu001

聯(lián)系郵箱：bd@aqniu.com