2025年英國政府一份報告擺出了刺眼數(shù)字：43%的企業(yè)、30%的慈善機構在過去一年遭遇網絡攻擊，漲幅遠超往年。但更反常的是攻擊者的胃口——他們開始把兒童照片掛上暗網， ransom（勒索贖金）只是附贈品，真正的戰(zhàn)利品是社交媒體上的轉發(fā)量。

這種轉變讓安全團隊措手不及。Rubrik企業(yè)CTO Chris Krebs打了個比方：以前防的是搶銀行的，現(xiàn)在防的是直播砸店的。

從"要錢"到"要臉"：攻擊者的動機遷移

Scattered Spider團伙的操作很說明問題。他們入侵 nursery（托兒所）運營商Kido后，把3-5歲兒童的日常照片、醫(yī)療記錄、家長聯(lián)系方式打包上傳暗網，標價贖金的同時留了句"歡迎截圖發(fā)推"。

這不是個案。 Krebs在Rubrik年度威脅復盤里提到，2024下半年以來，"表演型攻擊"占比從12%躥升到31%。攻擊者會在加密數(shù)據前故意留下后門，方便受害者"直播"崩潰過程；會在暗網論壇開投票帖，讓圍觀者決定下一個目標行業(yè)。

一位化名"Null"的分析師追蹤了17個新興黑客頻道，發(fā)現(xiàn)成員平均年齡19歲，發(fā)帖高頻詞從"payday（發(fā)薪日）"變成了"clout（影響力）"。

翻譯成人話：偷錢是為了買跑車，現(xiàn)在偷數(shù)據是為了買粉絲。

CISO的盲區(qū)：理性模型遭遇非理性敵人

傳統(tǒng)安全預算的邏輯是"保護高價值資產"——哪里錢多，哪里堆人。但Kido案里，托兒所的IT預算不到銀行的0.3%，攻擊者卻花了三周做滲透測試，遠超"性價比"。

Krebs的原話是：「我們訓練CISO用ROI（投資回報率）思維，但對手在用多巴胺思維。」

這種錯配體現(xiàn)在響應速度上。Kido從首次告警到數(shù)據泄露公開，間隔71小時，而同類金融攻擊平均響應窗口是9小時。為什么？因為安全團隊按"勒索軟件標準流程"走，沒料到對方根本不想談判，只想看輿論爆炸。

更隱蔽的是"混沌制造者"群體。他們不圖錢、不圖名，攻擊動機欄填的是"for the lulz（圖一樂）"。2024年12月，某醫(yī)療云平臺被刪庫，攻擊者在日志里留了一行："你們的備份策略比我的作業(yè)還爛。"

防御重構：當威脅模型變成人格分析

Rubrik給客戶的建議聽起來像心理咨詢：給攻擊者"畫像"時，要加一欄"社交媒體活躍度"。

具體操作上，他們把威脅情報分成了兩條線。一條繼續(xù)追蹤漏洞利用、惡意軟件樣本；另一條監(jiān)控Telegram頻道、暗網論壇的"熱度帖"，識別哪些企業(yè)正在被"選角"。

有個細節(jié)很反直覺。Krebs團隊發(fā)現(xiàn)，表演型攻擊者在前期偵察階段反而更謹慎——他們會注冊多個馬甲賬號測試企業(yè)響應，像網紅測算法推薦一樣。這意味著傳統(tǒng)的"蜜罐"陷阱需要升級，要模擬出"值得被直播"的脆弱感，而不是單純的防御漏洞。

預算分配也在變。Rubrik 2025年Q1的客戶調研顯示，"輿情響應"在安全支出中的占比從3%提到11%，包括預置的律師函模板、暗網監(jiān)控服務、甚至TikTok關鍵詞預警。

暗流：當犯罪變成內容生產

回到Kido案。數(shù)據泄露一周后，暗網出現(xiàn)了該事件的"導演剪輯版"——攻擊者把入侵過程剪成15分鐘視頻，配了電子樂，評論區(qū)有人出價0.4比特幣買"制作教程"。

這指向一個更深層的變化：網絡攻擊正在內容化。就像極限運動視頻有贊助商，某些黑客頻道開始接"暗廣"——在攻擊演示里植入VPN或加密貨幣錢包的推廣鏈接。

Krebs的警告是，2026年CISO可能要同時對付兩種敵人：一種想清空你的賬戶，一種想清空你的尊嚴。而后者更難定價，也更難和解。

英國國家網絡安全中心（NCSC）在2025年1月更新了事件響應指南，新增了一條：「評估泄露內容的'傳播潛力'，優(yōu)先阻斷可能被二次創(chuàng)作的材料。」

換句話說，現(xiàn)在防黑客得像防狗仔——不僅要鎖門，還得檢查窗簾透光角度。

Chris Krebs在復盤結尾提了件事：某客戶在被攻擊后收到黑客私信，對方沒要贖金，只問"你們CEO的LinkedIn能互關嗎"。

如果你是CISO，下次做威脅演練時，會把這個場景寫進劇本嗎？