43%英國(guó)企業(yè)被黑后，黑客開始嫌錢臟

2025年英國(guó)政府一份報(bào)告擺出了刺眼數(shù)字：43%的企業(yè)、30%的慈善機(jī)構(gòu)在過去一年遭遇網(wǎng)絡(luò)攻擊，漲幅遠(yuǎn)超往年。但更反常的是攻擊者的胃口——他們開始把兒童照片掛上暗網(wǎng)， ransom（勒索贖金）只是附贈(zèng)品，真正的戰(zhàn)利品是社交媒體上的轉(zhuǎn)發(fā)量。

這種轉(zhuǎn)變讓安全團(tuán)隊(duì)措手不及。Rubrik企業(yè)CTO Chris Krebs打了個(gè)比方：以前防的是搶銀行的，現(xiàn)在防的是直播砸店的。

從"要錢"到"要臉"：攻擊者的動(dòng)機(jī)遷移

Scattered Spider團(tuán)伙的操作很說明問題。他們?nèi)肭?nursery（托兒所）運(yùn)營(yíng)商Kido后，把3-5歲兒童的日常照片、醫(yī)療記錄、家長(zhǎng)聯(lián)系方式打包上傳暗網(wǎng)，標(biāo)價(jià)贖金的同時(shí)留了句"歡迎截圖發(fā)推"。

這不是個(gè)案。 Krebs在Rubrik年度威脅復(fù)盤里提到，2024下半年以來，"表演型攻擊"占比從12%躥升到31%。攻擊者會(huì)在加密數(shù)據(jù)前故意留下后門，方便受害者"直播"崩潰過程；會(huì)在暗網(wǎng)論壇開投票帖，讓圍觀者決定下一個(gè)目標(biāo)行業(yè)。

一位化名"Null"的分析師追蹤了17個(gè)新興黑客頻道，發(fā)現(xiàn)成員平均年齡19歲，發(fā)帖高頻詞從"payday（發(fā)薪日）"變成了"clout（影響力）"。

翻譯成人話：偷錢是為了買跑車，現(xiàn)在偷數(shù)據(jù)是為了買粉絲。

CISO的盲區(qū)：理性模型遭遇非理性敵人

傳統(tǒng)安全預(yù)算的邏輯是"保護(hù)高價(jià)值資產(chǎn)"——哪里錢多，哪里堆人。但Kido案里，托兒所的IT預(yù)算不到銀行的0.3%，攻擊者卻花了三周做滲透測(cè)試，遠(yuǎn)超"性價(jià)比"。

Krebs的原話是：「我們訓(xùn)練CISO用ROI（投資回報(bào)率）思維，但對(duì)手在用多巴胺思維。」

這種錯(cuò)配體現(xiàn)在響應(yīng)速度上。Kido從首次告警到數(shù)據(jù)泄露公開，間隔71小時(shí)，而同類金融攻擊平均響應(yīng)窗口是9小時(shí)。為什么？因?yàn)榘踩珗F(tuán)隊(duì)按"勒索軟件標(biāo)準(zhǔn)流程"走，沒料到對(duì)方根本不想談判，只想看輿論爆炸。

更隱蔽的是"混沌制造者"群體。他們不圖錢、不圖名，攻擊動(dòng)機(jī)欄填的是"for the lulz（圖一樂）"。2024年12月，某醫(yī)療云平臺(tái)被刪庫，攻擊者在日志里留了一行："你們的備份策略比我的作業(yè)還爛。"

防御重構(gòu)：當(dāng)威脅模型變成人格分析

Rubrik給客戶的建議聽起來像心理咨詢：給攻擊者"畫像"時(shí)，要加一欄"社交媒體活躍度"。

具體操作上，他們把威脅情報(bào)分成了兩條線。一條繼續(xù)追蹤漏洞利用、惡意軟件樣本；另一條監(jiān)控Telegram頻道、暗網(wǎng)論壇的"熱度帖"，識(shí)別哪些企業(yè)正在被"選角"。

有個(gè)細(xì)節(jié)很反直覺。Krebs團(tuán)隊(duì)發(fā)現(xiàn)，表演型攻擊者在前期偵察階段反而更謹(jǐn)慎——他們會(huì)注冊(cè)多個(gè)馬甲賬號(hào)測(cè)試企業(yè)響應(yīng)，像網(wǎng)紅測(cè)算法推薦一樣。這意味著傳統(tǒng)的"蜜罐"陷阱需要升級(jí)，要模擬出"值得被直播"的脆弱感，而不是單純的防御漏洞。

預(yù)算分配也在變。Rubrik 2025年Q1的客戶調(diào)研顯示，"輿情響應(yīng)"在安全支出中的占比從3%提到11%，包括預(yù)置的律師函模板、暗網(wǎng)監(jiān)控服務(wù)、甚至TikTok關(guān)鍵詞預(yù)警。

暗流：當(dāng)犯罪變成內(nèi)容生產(chǎn)

回到Kido案。數(shù)據(jù)泄露一周后，暗網(wǎng)出現(xiàn)了該事件的"導(dǎo)演剪輯版"——攻擊者把入侵過程剪成15分鐘視頻，配了電子樂，評(píng)論區(qū)有人出價(jià)0.4比特幣買"制作教程"。

這指向一個(gè)更深層的變化：網(wǎng)絡(luò)攻擊正在內(nèi)容化。就像極限運(yùn)動(dòng)視頻有贊助商，某些黑客頻道開始接"暗廣"——在攻擊演示里植入VPN或加密貨幣錢包的推廣鏈接。

Krebs的警告是，2026年CISO可能要同時(shí)對(duì)付兩種敵人：一種想清空你的賬戶，一種想清空你的尊嚴(yán)。而后者更難定價(jià)，也更難和解。

英國(guó)國(guó)家網(wǎng)絡(luò)安全中心（NCSC）在2025年1月更新了事件響應(yīng)指南，新增了一條：「評(píng)估泄露內(nèi)容的'傳播潛力'，優(yōu)先阻斷可能被二次創(chuàng)作的材料?！?/p>

換句話說，現(xiàn)在防黑客得像防狗仔——不僅要鎖門，還得檢查窗簾透光角度。

Chris Krebs在復(fù)盤結(jié)尾提了件事：某客戶在被攻擊后收到黑客私信，對(duì)方?jīng)]要贖金，只問"你們CEO的LinkedIn能互關(guān)嗎"。

如果你是CISO，下次做威脅演練時(shí)，會(huì)把這個(gè)場(chǎng)景寫進(jìn)劇本嗎？