---

引言：头脑风暴的三个“惊雷”

在信息化、数字化、智能化高速迭代的今天，企业的每一次技术升级、每一次业务创新，都像是给系统插上了新的翅膀，却也在不经意间打开了潜在的安全裂缝。下面，我把近期业界三起轰动的安全事件搬上舞台，像灯塔一样照亮我们可能忽视的暗礁。

案例	关键技术/手段	造成的冲击	教训要点
1. Everest 勒索软件攻破巴西能源巨头 Petrobras	勒索软件利用未打补丁的 VPN 漏洞，实现横向移动后加密关键生产系统	业务停摆数日、数亿美元损失、对能源供应链信任度下降	资产全景管理、及时补丁、网络分段是防止纵深渗透的根本
2. Eternidade 窃取者把 WhatsApp 当成“隐蔽的金库”	将恶意 payload 嵌入 WhatsApp 文本/链接，诱导用户点击后窃取银行登录凭证	受害者账户被清空，跨境转账导致金融机构追偿困难	社交工程防线薄弱，信息渠道的“信任”与“安全”必须分离
3. Perplexity Comet 浏览器隐藏的 AI Key 让攻击者全设备控制	AI Key 通过浏览器扩展隐藏 API，执行系统命令、下载木马	大规模用户设备被植入后门，形成僵尸网络，进一步发起 DDoS	第三方组件审计、最小权限原则、持续监控是抵御供应链攻击的关键

这三桩“惊雷”不只是新闻标题，更是对每一位职工的警示：技术再先进，若安全意识缺位，仍难免坠入深渊。下面，我将逐一拆解这些案例，以期让大家在案例中看到自己的影子。

---

案例一：Everest 勒索软件与 Petrobras 的“双刃剑”

事件回顾

2025 年 10 月底，巴西国家石油公司 Petrobras 的生产调度系统突然弹出勒索信息，声称其核心 SCADA（监控与数据采集）系统已被 “Everest” 勒索软件加密。黑客甚至公开了部分被窃取的内部文档，逼迫公司在 48 小时内支付 30 万比索的比特币才能恢复业务。

技术剖析

1. 未打补丁的 VPN：Everest 通过公开的 CVE-2024-XXXX 漏洞，直接侵入公司外部访问的 VPN 入口。
2. Credential Dumping：获取域管理员凭证后，利用 Kerberos “Pass‑the‑Ticket” 技术横向移动。
3. 加密策略：对关键业务数据库、工程文件和备份磁盘执行 AES‑256 加密，并留存 RSA‑4096 公钥，锁定解密钥匙。

影响评估

• 业务中断：石油炼制与运输调度停滞 72 小时，导致出口合同违约，损失估计超过 1.2 亿美元。
• 声誉受损：能源行业对供应链安全的信任度下降，客户对 Petrobras 的安全承诺提出质疑。
• 监管风险：巴西政府对能源公司安全防护的审计力度提升，随后发布了《关键基础设施网络安全指引》。

教训提炼

• 资产全景管理：对所有外部入口、内部资产进行动态资产清单，及时发现孤岛资产。
• 及时打补丁：关键系统的补丁更新必须实现自动化、可审计的全链路闭环。
• 网络分段：生产网络与办公网络、外部访问网络必须严格划分，实现最小化信任。

---

案例二：Eternidade 窃取者的“社交鱼叉”

事件回顾

2025 年 11 月，全球多家银行报告多个客户账户在短时间内被盗刷，金额累计超过 500 万美元。调查显示，攻击者通过 WhatsApp 群发带有伪装链接的消息，诱导用户下载 “银行安全助手” APP。该 APP 实际植入了 Eternité 窃取者的恶意代码，能够在后台截获用户的银行登录凭证、短信验证码，甚至直接拦截 OTP（一次性密码）发送。

技术剖析

1. 社交工程：利用“朋友推荐”“限时优惠”等心理诱因，提高点击率。
2. 移动端后门：通过 Accessibility Service 权限获取屏幕内容，自动填充银行登录页面。
3. 跨平台窃取：除了 Android，还针对 iOS 制作了配套的企业证书签名包，规避 App Store 审核。

影响评估

• 金融损失：单笔最高被盗金额达 25 万美元，部分受害者因未及时止付导致资金冻结。
• 用户信任危机：WhatsApp 作为全球最常用的即时通讯工具，其安全形象严重受损。
• 监管介入：多国金融监管机构要求银行加强客户教育，并对移动支付安全进行重新评估。

教训提炼

• 不轻信未知链接：即便来源于熟人，也要通过官方渠道验证链接真实性。
• 多因素认证：仅凭密码已不够，使用硬件令牌或生物特征进行二次验证。
• 移动安全基线：企业应在移动设备管理（MDM）平台中强制禁用 Accessibility Service 的非业务使用。

---

案例三：Perplexity Comet 浏览器的“AI Key”隐蔽后门

事件回顾

2025 年 9 月，安全研究机构 SquareX 在对新兴 AI 浏览器 Comet 进行代码审计时，发现该浏览器内置了一个名为 “AI‑Key” 的隐藏 API。该 API 能够在用户不知情的情况下，在后台执行系统命令、下载恶意程序，甚至开启摄像头和麦克风。攻击者通过公开的 GitHub 项目获取该 API 的调用方法后，批量利用该后门在全球数万台设备上植入僵尸网络。

技术剖析

1. 供应链后门：AI Key 由第三方 SDK 提供，未在官方文档中披露。
2. 权限提升：利用浏览器的进程提升机制，直接获取系统级别的执行权限。
3. 持久化：后门会在系统启动时自启动，并伪装成合法的浏览器插件。

影响评估

• 庞大僵尸网络：短短两周内，已控制超过 30,000 台设备，用于发起 DDoS 攻击。
• 个人隐私泄露：被植入后门的用户摄像头、麦克风开启记录，导致大量敏感信息外泄。
• 行业警醒：浏览器厂商被迫重新审视第三方插件的安全审计流程。

教训提炼

• 第三方组件审计：所有引入的 SDK、插件必须经过独立安全团队的代码审计。
• 最小权限原则：浏览器及其插件仅能在沙箱内运行，禁止直接调用系统 API。
• 持续监控：通过 EDR（端点检测与响应）工具实时监控异常行为，快速定位后门。

---

信息化、数字化、智能化的三层浪潮

1. 信息化——企业内部流程、办公协同、邮件系统全面迁移至云端。
2. 数字化——业务数据结构化、业务模型通过大数据平台进行实时分析。
3. 智能化——AI 大模型、机器学习模型渗透到产品研发、客户服务、风险控制等环节。

这“三层浪潮”让我们的工作效率提升了数倍，却也把攻击面从 “网络边界” 推向 “业务逻辑”、“数据湖”、甚至 “模型训练链路”。传统的防火墙、杀毒软件已经难以独挡一面，人 的安全意识成为最关键的防线。

正所谓“防患未然，未雨绸缪”，只有把安全意识根植于每一次点击、每一次代码提交、每一次系统交互之中，才能让技术创新不被漏洞拖累。

---

呼吁：携手开启信息安全意识培训

培训目标

1. 提升风险感知：通过真实案例，让每位职工了解攻击者的常用手法与思维路径。
2. 掌握防护技能：教授密码管理、钓鱼识别、设备加固、云安全配置等实用技巧。
3. 建立安全文化：形成“安全即生产力”的共识，鼓励员工主动报告安全事件。

培训形式

• 线上微课（每期 15 分钟，涵盖社交工程、恶意软件、供应链安全等主题），支持随时回放。
• 情景演练（模拟钓鱼邮件、恶意链接、内部权限滥用），通过实时反馈加深记忆。
• 案例研讨会（每月一次），邀请资深安全专家解析最新攻击手法，鼓励职工提出疑问。
• 考核认证：完成所有模块后进行闭卷测试，合格者颁发《企业信息安全意识合格证》。

培训时间安排

周次	内容	形式	负责人
第1周	信息安全概览与企业安全政策	线上微课 + 现场宣讲	信息安全部
第2周	社交工程与钓鱼邮件防御	情景演练	IT运维
第3周	设备安全、移动端防护	微课 + 实操	终端安全组
第4周	云平台与容器安全	微课 + 案例讨论	云计算中心
第5周	AI/大模型安全与供应链风险	专题研讨	数据科学部
第6周	综合演练与闭卷考核	综合演练	全体安全团队

参与方式

• 报名渠道：企业内部门户 → 培训中心 → “信息安全意识培训”。
• 奖励机制：完成全部课程并通过考核的员工，可获得 安全之星 电子徽章及 年度安全积分 加分，积分可兑换公司福利。

让安全成为每一次创新的护航灯塔，而不是事后才燃起的救火器。亲爱的同事们，让我们在即将开启的培训中共塑安全基因，让黑客的每一次“声东击西”都无所遁形。

---

结语：从案例到行动的闭环

“知易行难，行而后知。”——《论语》

前文的三大案例，是对企业安全生态的警示刀锋；而我们即将开展的培训，则是把这些刀锋磨砺成盾牌的锻造炉。只有把 危机认知、防护技能 与 组织文化 串联起来，才能在数字化浪潮中保持航向不偏。

请大家以案例为镜，以培训为桥，快速提升个人安全素养，为公司构筑“人‑技‑策”三位一体的防御体系。未来的竞争不再是技术的比拼，而是安全与效率的协同。让我们一起，以更清晰的安全视野，拥抱智能化的每一次飞跃！

---

信息安全意识培训 关键字

昆明亭长朗然科技有限公司致力于成为您值得信赖的信息安全伙伴。我们专注于提供定制化的信息安全意识培训，帮助您的企业构建强大的安全防线。从模拟钓鱼邮件到数据安全专题讲座，我们提供全方位的解决方案，提升员工的安全意识和技能，有效降低安全风险。如果您希望了解更多关于如何提升组织机构的安全水平，欢迎随时联系我们，我们将竭诚为您提供专业的咨询和服务。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898