系统漏洞致使黑客入侵案例

2017年9月，系统美国三大信用评级机构之一Equifax公司承认，漏洞其系统遭黑客入侵，致使约1.43亿美国消费者的黑客姓名、社会安全号码、入侵出生日期和地址被窃取。案例这几乎覆盖了美国成年人口的系统一半。事后调查显示，漏洞攻击者利用的致使漏洞，是黑客Apache Struts框架的一个已知缺陷——CVE-2017-5638。这个漏洞在当年3月就被公开，入侵补丁也早已发布。案例Equifax的系统技术团队却拖了整整五个月，没有打上这个补丁。漏洞

讽刺的致使是，Equifax的安全部门曾在4月份扫描过系统，并发现了这个漏洞。内部邮件显示，相关责任人把修复工作标记为“进行中”，然后就没了下文。直到黑客在5月中旬利用这个漏洞进入系统，在里面潜伏了76天，期间持续窃取数据，才被察觉。一个价值数十亿美元的公司，手握数亿人的敏感数据，却因为一个内部流程的疏忽，让整个信用体系的核心数据裸奔了半年。

这类案例并非孤例。2018年，英国航空公司的数据泄露事件，起因是第三方供应商提供的JavaScript代码被篡改，导致约38万笔支付信息被窃取。黑客没有攻击英航的核心系统，而是盯上了其网站上的一个支付插件。代码被植入后，用户在输入信用卡信息时，数据会同时发送给英航服务器和黑客的服务器。英航的安全团队直到一个多月后才通过第三方监控发现异常。整个过程中，没有任何系统发出警报，因为攻击者没有触碰任何“受保护”的内部网络——他们只是利用了一个外部脚本的信任关系。

更值得玩味的是，这类漏洞往往不是技术上多么高深，而是管理上的松懈。2019年，美国第一资本金融公司(Capital One)遭黑客攻击，超过1亿用户的信用申请数据泄露。攻击者并非破解了复杂的加密，而是利用了一个配置错误的AWS防火墙规则——该规则本应限制对S3存储桶的访问，却因为一个拼写错误，变成了允许所有流量通过。黑客甚至没有使用任何恶意软件，只是用正常的AWS API调用就下载了数据。事后调查发现，该配置错误已经存在了四个月，期间没有任何自动化工具或人工审查发现这个异常。

从这些案例中能看出一个共同点：真正的漏洞不在代码里，而在人的流程里。Equifax的补丁管理流程失效，英航的第三方代码审查缺失，Capital One的云配置审核形同虚设。黑客之所以能得手，不是因为他们的技术有多高超，而是因为他们比企业内部的安全团队更清楚这些流程的漏洞在哪里。

系统漏洞的可怕之处在于，它往往不是一道被攻破的墙，而是一扇被遗忘的门。门一直开着，没人记得去关，直到有人走进去拿走东西，才想起来原来这里还有一扇门。安全团队天天盯着防火墙、入侵检测系统、加密协议，却常常忽略了最基础的补丁更新、配置检查、权限审查。技术再先进，如果连“按时打补丁”这种基本动作都做不到，一切安全投入都是白搭。