软件漏洞造成的经济损失

2017年5月，一个叫“永恒之蓝”的漏洞漏洞被捅了出来。攻击者利用Windows系统的造成SMB协议缺陷，像推倒多米诺骨牌一样，济损让全球超过20万台电脑在几天内瘫掉。软件英国国家医疗服务体系（NHS）被迫取消数千台手术，漏洞德国铁路系统显示屏一片蓝屏，造成雷诺汽车工厂直接停产。济损那次事件后来被估算造成了约40亿美元的软件直接损失——这还没算上后续修补和信誉折损。

我印象很深的漏洞是，当时有个小企业的造成IT管理员在论坛里发帖，说他们整个财务系统被加密，济损备份盘也中招了，软件最后付了2个比特币才拿回数据。漏洞那时候比特币才两千多美元一个，造成现在回头看，这赎金简直像“打折”。但对企业来说，停摆那几天的营业额损失、客户流失，比赎金本身痛得多。

漏洞本身不直接烧钱。真正烧钱的是它被利用之后，业务突然卡死、数据被锁、品牌信誉跳水。一个strcpy没检查边界，可能就让攻击者拿到服务器权限；一个反序列化接口没做过滤，整个数据库就能被拖走。修复一个漏洞的成本，和漏洞被利用后的损失，完全不是一个量级。微软曾经算过一笔账：在发布前修漏洞，平均花费几百美元；发布后再修，成本涨到几千；要是已经被攻击了再补救，起步就是几十万，上不封顶。

2013年Target百货的数据泄露是个典型。攻击者通过暖通空调供应商的漏洞，摸进了Target的支付系统，4000万张信用卡信息被偷。Target后来花了2.02亿美元来善后——包括给银行的赔偿、法律费用、安全升级。CEO和CIO双双辞职。一个第三方供应商的软件漏洞，把整个零售巨头拖进了泥潭。

再说个近的。2021年Log4j漏洞爆发，这个Java日志组件几乎无处不在。我当时在的一个技术群里，半夜三点还有人@所有人，问“你们家服务有没有用log4j？”那种恐慌很真实。因为修复不是改一行代码就完事，你得把所有依赖它的服务都找出来，重新编译、测试、上线。很多公司光排查就花了一周。安全公司估算，Log4j漏洞的全球修复成本可能超过100亿美元。这还没算那些被入侵后数据泄露的隐性损失。

有人觉得漏洞损失只是大公司的事。错了。勒索软件现在专挑中小企业下手。因为它们备份策略差、安全预算少、停摆一天就活不下去。美国有个小镇的水处理厂，被攻击后泵站失控，差点出大事。最后付了赎金，但当地居民对水质的信任，很久都没恢复。

漏洞经济其实是一条链：漏洞发现者、漏洞经纪人、攻击组织、保险机构、安全厂商，都在里面分蛋糕。零日漏洞在黑市上能卖到几十万甚至上百万美元。而防守方呢？花大钱买设备、雇人、做渗透测试，还不一定防得住。这种不对称，让经济损失的数字一直往上走。

我个人的判断是，未来漏洞造成的损失会越来越难单独统计。因为软件已经渗进每个角落，一个漏洞可能同时影响医院、电厂、银行、交通。损失不再是“某公司亏了多少钱”，而是整个社会运行效率的下降。就像心脏停跳几秒，全身器官都跟着缺氧。

写这些不是想吓人。只是觉得，每次看到“漏洞已修复”的公告，背后都有一串没被写出来的账单。那些钱，本来可以拿去研发、发工资、做市场。现在却填进了漏洞的坑里。这个坑，还在变大。