2023年9月，漏洞MGM度假村集团的攻击IT部门发现预订系统开始出现异常延迟。起初以为是漏洞流量激增，直到内华达州监管机构打来电话，攻击他们才知道自己已经被Scattered Spider组织渗透了整整一周。漏洞攻击者没有使用什么零日漏洞，攻击他们只是漏洞打了个电话给客服中心，冒充员工，攻击拿到了重置密码的漏洞权限。这件事说明了一个很多人不愿意承认的攻击事实：系统漏洞攻击里，最脆弱的漏洞从来不是代码。

聊漏洞攻击，攻击大多数人脑子里浮现的漏洞是缓冲区溢出、SQL注入、攻击XSS这些技术名词。漏洞没错，这些确实存在，也确实在被利用。但如果你去看近五年的重大安全事件报告，会发现一个很尴尬的比例——纯技术漏洞被利用的比例在下降，而社会工程、配置错误、权限滥用的比例在飙升。2021年Colonial Pipeline被勒索，攻击入口是一个废弃的VPN账号，密码还在用，没开双因素认证。一个本该被禁用的账户，让美国东海岸一半的燃油供应停了好几天。

技术漏洞本身也在变化。以前大家盯着操作系统和网络协议栈，现在攻击面转移到了供应链和API。Log4j那个事就是个典型。一个Java日志库里的JNDI lookup功能，设计之初是为了方便远程加载配置，结果成了远程代码执行的入口。2021年12月公开后，全球安全团队过了个最惨的圣诞。问题在于，Log4j几乎无处不在——从Minecraft服务器到工业控制系统，你根本不知道自己哪个角落藏着它。供应链攻击的麻烦就在这：你信任的不是一个软件，而是一整条你根本看不全的链条。

再说API。现代应用的前后端分离架构让API成了核心通道，但很多团队开发API时的安全意识还停留在“内网就安全”的阶段。2022年Optus数据泄露，攻击者利用的是一个未授权的API端点，直接拉走了980万用户的个人信息。没有复杂的exploit，就是访问了一个不该对外开放的接口。这种漏洞在代码审计里经常被忽略，因为它不算“bug”，功能是正常的，只是忘了加权限校验。

有个现象挺有意思。很多公司在被攻破之后做复盘，发现攻击者利用的漏洞其实早就被内部安全团队标记过，但因为“业务优先”被搁置了。修补一个漏洞需要停机、需要测试、可能影响收入，而“被攻击”是个概率事件。这种成本收益的算计在商业逻辑上说得通，但安全事件一旦发生，损失往往是指数级的。MGM那次，直接损失超过1亿美元，还不算股价波动和品牌损伤。

防御这件事，没有银弹。多因素认证能挡住大部分凭证泄露导致的入侵，但推起来阻力不小——用户嫌麻烦，IT嫌维护成本高。网络分段能限制横向移动，但很多老系统的架构根本改不动。安全补丁管理听起来简单，可你试试在一个有几千台服务器、几百个应用的环境里做到“及时修补”。每一个环节都有现实的摩擦力。

攻击者不需要处处突破。他们只需要找到一个没关好的门。而防守方需要关好所有的门——这个不对称性决定了漏洞攻击会一直有效。技术手段在进步，零信任架构、EDR、SOAR这些概念都在落地，但最终决定安全水平的，还是人有没有把安全当回事。代码是人写的，配置是人做的，权限是人给的。漏洞攻击攻的从来都是系统，但突破口往往在人。