身份盗用（账户劫持）是一种非常普遍的网络威胁，恶意攻击者可以访问和滥用特权或敏感度很高的账户。网络钓鱼攻击、利用系统漏洞的提权、窃听或撞库式凭据盗窃都可能危害到账户安全。对此，昆明亭长朗然科技有限公司网络安全高级顾问董志军称：尽管账户与权限管理早不是什么新话题，但是仍然有很多机构做的并不好，从业界爆出的一些严重安全事件，就可管中窥豹，略知事态之严重。接下来，让我们看几项与账户盗用有关的最新案例：

1.一家二线代码托管服务平台的账户因无法通过多因素身份验证保护其管理控制台而受到黑客入侵，进而造成用户托管的大量代码被毁，该平台被迫关闭，受到严重影响的商业用户超过6000家。

2.一家门户型大型互联网公司遭遇跨站点脚本（XSS）错误，导致了数亿用户的网络身份遭窃，许多用户账户被不法分子劫持和冒用，以运行僵尸程序并用来发送网络广告和诈骗消息，对平台和用户的声誉都造成了难以挽回的负面影响。

3.一家大型航空公司在线订票支持系统的工作人员被黑客实施了网络钓鱼攻击，黑客冒充系统服务商的远程技术服务专员，让航空公司工作人员提供了超级特权账户和密码，进而造成大量订票信息数据被盗窃，航空公司的几百名顾客遭遇“退票”电信诈骗。

4.一家在线电商的IT管理员离职后，将未及时停用或删除的管理权限出售给了黑客，黑客远程登录系统，并进行更多渗透和客户数据的盗窃，甚至在业务繁忙时期故意造成故障，借此对该电商进行300万元的敲诈勒索。

为保护事主的声誉也减少可能的麻烦，特隐去了事主真实的名称。虽然上述这些破坏算不上很严重，但是也可以看出带来的冲击恶果：

1.账户遭劫持和盗用意味着安全控制的失效，因为不法分子可以通过网络控制服务和访问内部数据。在这种情况下，依赖于账户服务的业务功能、数据和应用程序都处于危险之中。

2.这种身份盗用的后果有时很严重。拥有特权的不法分子，特别是已经离职的不满的IT人员，可能会远程删除关键数据或制造逻辑炸弹，进而让业务运营中断，严重到无法恢复。

3.账户遭遇劫持和盗用的后果还包括导致声誉受损、品牌价值下降、法律责任以及敏感的个人和商业信息数据泄漏等等。

基于网络的威胁基本上都是先窃取账户和权限，然后实施破坏、盗窃数据和资产等操作，很容易理解。大规模的账户泄露风险源于网络运营者或服务商的安全问题，比如安全设置不当、系统设计存有漏洞或缺陷、加密不足、特权账户保护不力等等。特别值得一提的是，具有特权的任何人员都可能实施盗窃和造成破坏。因此，组织应大力提高对这些威胁的警惕，加强账户安全及保护意识，并采取纵深防御策略来遏制破坏。

对此，董志军补充说：身份盗用是一种必须认真对待的网络威胁，这不仅仅是密码的强度和密码重置问题，而应该采用深度防御架构体系，比如启用多重身份验证MFA措施、加强账户及权限管理IAM控制、落实网络安全法规培训及职业道德教育、强化全员信息安全意识等等。总之，身份盗用的管道有很多，保护账户和访问权限免于劫持和盗用，需要全面的信息安全保护体系建设。

昆明亭长朗然科技有限公司创作了大量的信息安全意识教程，包括账户保护、密码安全、钓鱼防范等等课题，欢迎有兴趣了解更多内容，或者想预览作品并进行采购的客户及业界伙伴联系我们，洽谈合作事宜。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

近年来，各大传统网络安全厂商纷纷拓展安全意识宣教相关业务，可见信息安全意识培训非常重要，而且发展迅速。对此，昆明亭长朗然科技有限公司网络安全专员董志军表示：网络安全的目标是对品牌信誉和组织机构提供保护，重要信息资产面临的威胁越来越多，需要一种强大的组合来保护，包括技术措施、管理措施和人员措施。如防火墙、入侵检测与防御、上网管理系统、防病毒防垃圾等网络安全产品都属于技术措施；如建立信息安全团队、发布信息安全政策、设置信息安全标准化管理系统、实施等级保护措施、部署应急响应流程、进行安全检测与评估、发动安全隐患及问题整改等等主要属于管理措施。即使能做到这里仍然不足够，尤其是近年来，针对性越来越强的攻击使人为因素备受瞩目，人员的安全意识已经成为安全价值链中的关键环节。

为什么这么说呢？管理措施如安全策略需要用户们理解和认可，这样才能正确地使用网络信息资源，同时保护好它们。技术措施的有效性也依赖管理操作人员和用户们的配置和启用，否则用户们将忽略、逃避或抵抗旨在保护网络的安全技术。因此，围绕有针对性的攻击，人员安全方面的措施，是整体解决方案的重点。简言之，要想更明智地应对越来越复杂的网络威胁，降低新型网络安全风险，必须获得用户们的认可和接受，进而获得人心，也就是汇集用户们的向心力和凝聚力。

信息（消息）的传播渠道越来越广泛，基于信息泄漏、破坏、篡改、歪曲、攻击等等的相关威胁在网络上与组织机构抢占舆论市场，继续变得更具针对性，积极的应对既需要安全技术措施又需要人为防御措施。基于技术和流程的安全防护措施必须与用户信息安全意识培训相结合，方可提供针对消息传播威胁的全面防护。比方说，某涉及企业商业秘密的工作人员，被新媒体一名视频播主灌酒，进而泄露了尚未上市的新产品的一些细节，包括上市计划，最终该消息蔓延全网，当然也被竞争者获得，竞争者很好地利用了这一消息，在网络上散布、诱导甚至夸大该新产品的弱点，同时制定了竞品的市场攻击策略并获得了大量的优势。当然，这里面有企业舆论控管和应急响应不足的因素，更根本的是用户信息安全与保密意识教育的不充分。

统计显示，由于92％的事件是由人为错误引起的，因此必须对用户进行教育，并使组织意识到如何通过最大程度地减少人为“网络风险”来保护自己免受网络犯罪的侵害，以及他们应采取的实际措施。信息安全意识就是通过提供用户安全意识培训和评估内容来主动降低人为错误的风险，从而帮助组织创建人员防火墙和针对网络罪犯的第一道防线。当前，组织面临着不断变换的网络安全挑战，如何通过最大程度地降低人为风险，进而保护自己免受网络犯罪的侵害呢？答案是开展信息安全意识计划。毋庸置疑，在这个数字化的时代，邮件过滤、网关防火墙和防病毒等技术防御措施是必需的。不过，随着越来越多的恶意邮件通过这些防御措施，公司需要投资于其人员防火墙来保护其网络、系统与数据。那么，新问题又来了，组织机构该如何开展信息安全意识计划呢？

为了有效地构建人员防火墙，组织机构首先需要通过初步评估所面临的人员风险的水平，可以通过进行网络钓鱼模拟和网络知识评估测验来获得这方面的数据和概况。在此基础上，组织机构可以识别人员风险的详情所在，并且制定缓解这些风险的行动计划。对于那些被认定为人员风险很高的职工，组织机构可以为他们提供有针对性的安全意识培训内容，以强化其安全能力，掌握如何捍卫自己和雇主的知识和技能。

通过安全意识培训，员工们可以学习如何遵循最佳实践，并及时报告可疑的安全事件。如此以来，员工们就可以组成高效的人员安全侦测与感应网络，进而在工作场所内外保护好自己，并在第一时间就阻止安全事故的发生。需要做到的是，在电子邮件系统中为用户们提供一个按钮，使其可以轻松地进行报告即通知到安全响应团队；同时，还需要设置易记易查询的安全报告电话和邮箱，以便工作人员们在发现可能安全事件时，能够快速使用顺畅的报告渠道。

为了帮助各类型的组织机构掌握人员风险的水平，发起个性化定制化的、有针对性的信息安全意识培训活动，进而帮助保护组织机构的重要信息资产，昆明亭长朗然科技有限公司制作了大量的用户安全意识培养教程内容和素材资源，也设计开发了相关的安全意识评估工具模板和在线平台。如果您有这方面的兴趣或需求，请联系我们洽谈业务合作。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898