内容摘要：2021年5月7日，美国最大燃油管道运营商Colonial Pipeline遭勒索软件攻击，被迫关闭整个管道系统。这家公司每天输送250万桶燃油，占东海岸燃油供应量的45%。攻击者是一个叫DarkSi

2021年5月7日，信息美国最大燃油管道运营商Colonial Pipeline遭勒索软件攻击，安全案例被迫关闭整个管道系统。事件这家公司每天输送250万桶燃油，信息占东海岸燃油供应量的安全案例45%。攻击者是事件一个叫DarkSide的勒索团伙，他们用一个泄露的信息VPN密码就进了内网。管道停了六天，安全案例美国东部多个州进入紧急状态，事件加油站排长队，信息航班临时调整加油方案。安全案例最后Colonial付了75个比特币赎金，事件按当时价格约440万美元。信息FBI后来追回了一部分，安全案例但这件事真正暴露的事件问题不是赎金，而是一个密码就能让一个国家的关键基础设施瘫痪。

同一年，更早的3月，微软Exchange Server爆出四个零日漏洞，被一个叫HAFNIUM的团伙利用。攻击者通过漏洞直接读取企业邮件服务器上的数据。微软发了补丁，但很多企业没及时更新，因为Exchange的补丁流程复杂，有些公司甚至跑着已经停止支持的旧版本。结果就是，全球约25万台服务器被入侵，包括美国多个政府机构、欧洲一些银行、以及大量中小企业。这件事的教训很直白：漏洞本身不可怕，可怕的是你知道有漏洞却修不了，或者懒得修。

7月，又出了一件事。Kaseya是一家做IT管理软件的公司，它的VSA产品被用于远程管理客户网络。REvil勒索团伙利用Kaseya VSA的零日漏洞，向下游约1500家企业推送了勒索加密指令。瑞典最大的连锁超市Coop被迫关闭全国800家门店的收银系统，因为它的收银机依赖Kaseya管理的后台。你看，攻击者不打你，打你的供应商，你照样跑不掉。供应链攻击在2021年已经不是新词，但Kaseya事件把它推到了新高度——一个软件更新通道，变成了攻击通道。

国内这边，2021年6月，《数据安全法》正式通过，9月施行。11月，《个人信息保护法》施行。这两部法律不是凭空来的。那年国内也发生了多起数据泄露事件，比如某快递公司内部人员泄露40万条用户信息，某银行因数据安全管理不到位被罚。法律出台当然有滞后性，但至少说明一个问题：过去那种“先发展、后治理”的思路，在数据领域已经走不通了。企业开始被迫认真对待数据分类、权限管理、出境评估这些事，虽然很多是应付合规，但总比没有强。

我自己的观察是，2021年这些事件有一个共同点：攻击者不再追求炫技，而是追求效率。勒索软件即服务（RaaS）模式成熟了，不懂技术的人也能买勒索工具去赚钱。DarkSide、REvil这些团伙甚至搞起了“客服”和“谈判专员”，按比例分成。这已经不是黑客，是犯罪产业化。防守方呢？很多企业还在用十年前的思路：装个防火墙、买个杀毒软件、每年做一次渗透测试，就觉得安全了。可攻击面早就变了，远程办公、云服务、第三方API，每一个都是入口。

还有一个细节值得说。Colonial Pipeline事件后，美国运输安全管理局（TSA）紧急发布了两项安全指令，要求管道运营商报告网络事件、指定安全负责人。但直到2022年，很多管道公司连基本的资产清单都没搞清。这说明什么？说明合规要求来了，能力却没跟上。国内也一样，等保2.0、数据安全法都要求做风险评估，但真正能做明白的企业不多。安全不是买产品，是持续的过程，这句话说了很多年，2021年只是又证明了一遍。

那一年结束的时候，我翻了一圈公开的泄露数据，发现一个挺讽刺的事：很多被勒索的企业，其实早就有备份，但备份和主网络没隔离，一起被加密了。还有些企业买了网络保险，结果保险公司说“你安全措施不到位，不赔”。2021年教会我们的，不是某个具体漏洞怎么修，而是安全这件事，靠侥幸心理撑不过去。要么认真做，要么等着出事。