内容摘要：去年冬天，我在一个网络安全论坛上看到有人兜售某地级市燃气公司的内网拓扑图，标价三百块。卖家说得很直白：“不是黑客，就是他们自己人拷出来的。” 这事让我想起一个词——私自渗透。它跟外部攻击不一样，没有漏

去年冬天，私自渗透我在一个网络安全论坛上看到有人兜售某地级市燃气公司的私自渗透内网拓扑图，标价三百块。私自渗透卖家说得很直白：“不是私自渗透黑客，就是私自渗透他们自己人拷出来的。”

这事让我想起一个词——私自渗透。私自渗透它跟外部攻击不一样，私自渗透没有漏洞利用，私自渗透没有暴力破解，私自渗透甚至不需要什么高深技术。私自渗透一个U盘、私自渗透一次越权登录、私自渗透一张随手拍下的私自渗透屏幕照片，就完成了。私自渗透

从门禁卡说起

我认识一个做弱电工程的私自渗透老周。他给一家化工厂装了三年监控，进出厂区从来不用登记。门卫认识他，刷脸就行。去年厂里上了新的DCS系统，操作站就摆在中央控制室，屏幕上实时跳动着反应釜温度、管道压力、阀门开度。老周去修摄像头的时候，顺手拍了几张照片发到工作群里——他只是想证明“活儿干完了”。

那几张照片后来出现在一个工业控制爱好者的QQ群里。有人放大截图，读出了PID参数，有人根据设备型号反推出厂商默认密码。没人觉得这是泄密，包括老周。

这就是私自渗透最麻烦的地方：参与者往往没有恶意，甚至意识不到自己正在渗透。他们只是“顺手”“方便”“习惯了”。

权限的灰色地带

很多单位的内部系统，权限管理形同虚设。我见过一个县级医院的HIS系统，护士站电脑上贴着便签纸，写着“admin/123456”。医生要查历史病历，不用登录自己的账号，直接用这个公共账号就行。方便，真的方便。

但方便的另一面是：任何能走进护士站的人，都能看到全院的处方记录、病人身份证号、医保结算数据。清洁工可以，送外卖的可以，病人家属探头探脑也可以。

这不是技术问题。防火墙、入侵检测、日志审计，这些都有。问题出在“人”这一环——系统设计时假设所有人都会遵守规则，但现实中，规则总是被“效率”碾过去。

渗透者不需要是黑客

前阵子有个新闻，某新能源车企的员工离职后，用还没注销的VPN账号登录了前东家的测试服务器，下载了三千多份电池管理系统的标定文件。他不是黑客，就是个普通工程师。他也没想卖钱，只是觉得“这些资料本来就是我做的”。

你看，私自渗透的动机可以很单纯：不甘心、图省事、想留个底、或者纯粹手滑。它不像APT攻击那样有组织有预谋，更像是一扇没关严的窗户，风一吹就开了。

我甚至觉得，大部分数据泄露事件，根源都不是外部攻击。是内部人把门打开了，然后忘了关。

防不住，因为没法防

你没法要求一个工程师在离职当天就忘掉自己参与过的所有项目细节。你也没法阻止一个施工人员在机房布线时多看两眼机柜上的标签。技术手段能做的，无非是权限最小化、操作留痕、敏感数据加密。但这些措施一旦影响效率，就会被绕过。

有个做等保测评的朋友跟我说过一句话：“我们检查的时候，所有系统都是合规的。我们一走，该共享的密码还是共享。”

私自渗透的本质，是组织信任边界和实际行为边界之间的错位。你以为只有核心员工能接触的数据，其实保洁阿姨的拖把桶旁边就放着一台没锁屏的电脑。你以为内网隔离就安全了，但有人用手机热点把测试机连上了互联网。

写到这里，我看了看自己办公室的打印机。上面还贴着上次会议留下的内部通讯录，姓名、分机、手机号，一应俱全。谁路过都能看。这算不算私自渗透？

算。只是没人当回事。