“千里之堤，毁于蚁孔；企业之安，系于一念。”
—— 传统谚语的现代化解读

在信息化、无人化、数据化高度融合的今天，企业的每一次技术迭代、每一次业务上线，都可能在不经意间打开一扇通往风险的后门。作为昆明亭长朗然科技有限公司的信息安全意识培训专员，我深知仅靠技术防线已远远不够；更需要每位职工把安全意识内化为日常工作的一部分。本文将以 两起典型且富有教育意义的安全事件 为切入点，剖析其技术细节与管理疏漏，帮助大家在脑中搭建起“安全思维的防火墙”，并号召全体同仁积极参与即将开启的安全意识培训，打造全员防护的坚固阵地。

---

案例一：一次 Git 推送，敲开了 GitHub 企业服务器的大门（CVE‑2026‑3854）

1. 事件概述

2026 年 3 月 4 日，安全研究机构 Wiz 通过 GitHub 的漏洞赏金计划披露了 CVE‑2026‑3854，该漏洞允许运营者仅凭一次 git push（即向仓库推送代码）即可实现远程代码执行（RCE）。漏洞影响范围广泛，涵盖 GitHub Enterprise Cloud、Data Residency、Enterprise Managed Users 以及 GitHub Enterprise Server 多个版本。

关键技术点：
– 命令注入（Command Injection）：攻击者利用未经过滤的 push option 参数，在内部服务间的元数据（metadata）中注入恶意字段。
– 内部协议信任链失效：下游服务错误地将这些未经验证的元数据视为可信，导致执行恶意指令。
– 单点触发：只需一次合法的推送操作，即可在后端系统上获得 root/git 权限，进一步横向移动、窃取数据或植入后门。

2. 技术细节剖析

1. Push Option 参数的原理
   Git 在 2.13 以后引入了 push options，允许开发者在推送时携带自定义键值对（如 ci.skip=true），这类信息会随推送请求一起传递给服务器端的 receive-pack 进程。

2. 漏洞触发路径

   • 攻击者在本地仓库中执行：git push origin master -o "x=evil;ci=skip"
   • 服务器端 receive-pack 将 x=evil;ci=skip 直接拼接进内部消息头部，使用 ; 作为分隔符。
   • 下游服务在解析消息时，只按照 ; 分割，而未对 值 进行足够的转义或过滤，导致 evil 被解释为一条独立的指令。

3. 利用链

   • 注入的恶意字段可以覆盖关键环境变量（如 RAILS_ENV），迫使 Rails 应用在 production 环境中以 development 权限运行，从而绕过安全沙箱。
   • 攻击者随后利用路径遍历（../../../../../../tmp/malicious.rb）将恶意脚本写入钩子目录，使 post-receive hook 在每次推送时自动执行。

3. 影响评估

• 企业版 GitHub：一次成功的推送即可在共享存储节点上执行任意命令，理论上可读取 上百万 个仓库的源码、密钥甚至内部配置。
• 数据泄露风险：攻击者可通过读取 .ssh 目录、访问 CI/CD 令牌，进一步渗透到生产环境。
• 业务连续性：恶意脚本若对系统进行破坏性操作（如删除关键文件、篡改日志），将导致服务中断，影响业务交付。

4. 防御与复盘

1. 技术层面
   • 输入过滤：在接收 push options 时，对所有特殊字符进行转义，尤其是分隔符（;, \n, \r）。
   • 最小信任原则：内部服务不应盲目信任任何来源的元数据，必须对每一字段进行白名单校验。
   • 审计日志：记录 push option 的原始值与解析过程，便于事后追踪。
2. 管理层面
   • 权限细化：仅对可信开发者开放 push 权限，对外部合作方使用 只读 或 受限 分支。
   • 快速响应流程：漏洞披露后 GitHub 在两小时内发布补丁，展示了 漏洞响应时间（MTTR）< 4h 的最佳实践。

启示：即便是“看似无害”的功能（如 push option），在复杂系统内部的传递链条中也可能成为攻击载体。每一次提交、每一次交互，都应被视作潜在的“攻击面”，这正是信息安全意识的核心——细节决定成败。

---

案例二：钓鱼短信“Signal”锁定德国官员，背后暗流暗潮（Signal Phishing Campaign）

1. 事件概述

2026 年 4 月，多个情报机构披露了一起针对德国政府官员的 Signal 钓鱼短信（SMS Phishing）行动。攻击者通过伪装成德国政府内部通讯系统，向目标发送含有恶意链接的短信，引导受害者下载植入 远控木马 的恶意应用。该行动被怀疑与俄罗斯情报机构有关，意在窃取国家机密、破坏关键基础设施的指挥调度体系。

2. 作案手法拆解

步骤	攻击者行动	防御要点
①	信息收集：通过公开渠道（LinkedIn、政府网站）收集目标官员的手机号、职务信息。	加强 OSINT 监控，及时发现个人信息泄露。
②	短信伪装：使用批量短信平台，短信标题为“[重要] Signal 安全更新”。	短信过滤：将陌生号码或可疑关键字列入黑名单。
③	诱导点击：短信内嵌短链（如 bit.ly）指向伪装的 Signal 官方下载页。	网址验证：使用浏览器插件或安全网关检测重定向链。
④	恶意加载：下载的 APK 包含 远控木马，利用 Android 系统的 未知来源 设置漏洞执行。	移动端安全：禁止安装未知来源应用，启用企业移动管理（MDM）强制策略。
⑤	信息窃取：木马获取设备上的 通讯录、消息、位置，并通过加密通道回传。	行为监控：实时检测异常网络流量、权限提升。

3. 影响深度

• 信息泄露：攻击者获取到官员的内部邮件、会议纪要，可能用于策划更大规模的 信息战。
• 信任链破坏：官方通讯工具（Signal）被滥用后，受害者对所有数字通讯的信任度下降，导致 信息孤岛 产生。
• 跨平台蔓延：恶意应用若获取到 企业邮箱、VPN 凭证，可进一步侵入内部系统，形成 纵向渗透。

4. 防御建议

1. 技术防线
   • SMS 过滤网关：部署企业级短信网关，对外部短信进行关键字与号码黑名单过滤。
   • 移动端硬化：强制开启 安全启动（Secure Boot），使用 应用白名单（Whitelist）机制。
   • 安全验证码：对下载关键业务应用（如内部通讯工具）要求 二次认证（二次验证码或硬件令牌）。
2. 管理措施
   • 安全培训：定期开展 “钓鱼短信识别与应对” 课程，让员工熟悉常见攻击手法。
   • 信息披露审计：对外公开的职员联系方式进行定期审计，避免过度暴露。
   • 应急预案：制定 短信钓鱼事件响应流程，包括快速封停受感染设备、密码强制更改等。

启示：在移动互联网高度渗透的时代，“短信即是入口” 的安全观念不容忽视。每一次接收的文字，都可能藏着潜在的攻击种子。提升对“社会工程”的警觉，是阻断攻击链的第一道防线。

---

信息化、无人化、数据化融合的时代背景

1. 信息化——业务与技术的深度耦合

企业在数字化转型的浪潮中，持续引入 云原生平台、CI/CD 流水线、微服务架构。这些技术让业务上线速度翻倍，却也同步放大了 攻击面。如案例一所示，内部服务间的数据信任链若缺乏严密校验，便会成为 “一键RCE” 的突破口。

2. 无人化——机器代替人力的“双刃剑”

机器人流程自动化（RPA）、无人仓库、自动化运维（AIOps）正在逐步取代传统人工操作，带来了 效率提升 与 安全盲区 的并存。机器的决策往往基于 数据输入，若输入被篡改（如恶意 push 参数），机器将 盲目执行，导致系统失控。

3. 数据化——数据成为资源与武器

大数据平台、数据湖、实时分析系统让企业能够 洞察业务，但也让 数据本身成为攻击目标。攻击者通过一次成功渗透，即可一次性获取 海量敏感数据，对企业造成不可逆的声誉与经济损失。

“信息化为王，安全为后”。 在技术加速迭代的背景下，安全意识 必须同步提升，才能让企业在浪潮中立于不败之地。

---

呼吁：让安全意识成为全员共同的护盾

1. 培训计划概览

时间	主题	目标受众	关键内容
第1周	安全思维启蒙	全体员工	案例剖析、风险认知、常见攻击手法
第2周	代码安全与供应链	开发、运维	Git 安全、CI/CD 防护、依赖管理
第3周	移动与社交工程防御	全体员工	短信钓鱼、社交媒体安全、APP 安全配置
第4周	云与容器安全	云平台、DevOps	权限最小化、镜像签名、网络隔离
第5周	应急响应演练	安全团队、管理层	案例复盘、演练流程、事后报告

培训方式：线上微课堂 + 实战演练 + 案例研讨，采用 翻转课堂（先自学，再互动）模式，提高参与感与知识吸收率。

2. 参与的价值

• 个人层面：提升职业竞争力，避免因安全失误导致的 “个人责任追究”。
• 团队层面：构建 跨部门协同防御，让安全不再是 “某部门的事”。
• 企业层面：降低 合规风险（GDPR、ISO27001 等），提升 客户信任度 与 品牌价值。

古语有云：“防微杜渐，未雨绸缪”。 我们正站在技术的十字路口，唯有把安全意识扎根于每一次编码、每一次提交、每一次点击之中，才能真正实现 “技术为善，安全为本”。

3. 行动指南

1. 点击报名链接（内部邮件已发送），完成 信息安全意识培训 的登记。
2. 下载并阅读《企业信息安全手册》——涵盖密码管理、设备加固、社交工程防御等关键章节。
3. 参与测验：每周提交一次小测，累计满分者将获得 “安全达人” 电子证书，并在公司年会中进行表彰。
4. 加入安全俱乐部：每月一次的 “红队 vs 蓝队” 演练，让大家在模拟攻击中学习防御技巧。

结语：安全不是一张口号，而是一段 “时刻警醒、持续迭代” 的旅程。让我们以案例为镜，以培训为桥，携手打造 “全员防护、零容忍” 的安全文化。未来的每一次“git push”、每一次“短信接收”，都将成为我们共同的安全加分点，而不是风险的入口。

让安全意识成为每位员工的第二层皮肤，让企业在信息化、无人化、数据化的浪潮中，始终保持安全的航向！

信息安全 文化

安全意识 关键字

信息安全 文化

我们在信息安全意识培训领域的经验丰富，可以为客户提供定制化的解决方案。无论是初级还是高级阶段的员工，我们都能为其提供适合其水平和需求的安全知识。愿意了解更多的客户欢迎随时与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

如今，许多服务都使用双因素身份验证（又称双因子身份验证、双重身份验证）来提高用户帐户的安全性。在大多数情况下，双因素身份验证使用密码和通过短信、电子邮件发送的代码或身份验证器产生的代码作为验证的两个因素。与仅使用密码这种单一的身份验证方法相比，双因素身份验证明显更强大并且提供了更好的安全性。

话虽这么说，双因素身份验证还是容易受到黑客的攻击和利用。对此，昆明亭长朗然科技有限公司网络安全研究员董志军警示道：最值得注意的是，黑客使用社交工程策略绕过双因素身份验证并入侵用户帐户的案例越来越多。因此，很有必要充分了解社会工程学的工作原理以及如何聪明地加以应对。

什么是社会工程学？

安全领域内的专业人员通常可能已经知道一些关于社会工程学的知识内容，但是大多数人可能都不知晓。社会工程学通常指不法分子利用人类的行为和心理学，通过使用情感触发以及其他心理策略，诱使用户交出其个人信息和其他详细信息。

由于社会工程学使用人类心理学，因此没有万无一失的方法来应对它，事实上，几乎没有能有效阻止社会工程攻击的软件或工具。

无疑，人们的安全意识是抵御社会工程学攻击的第一道也是唯一的一道防线。如果用户知道什么是社交工程攻击以及如何该攻击是如何运作的，那么他/她更有可能识别出该攻击，而不是上当受骗。

对抗社会工程学的第一步是了解其工作原理。以下是一些黑客绕过双因素身份验证的最常见方案。

社会工程学如何运作？

黑客使用各种策略来执行社会工程攻击。当涉及双因素身份验证时，有两种最常见的社会工程攻击场景。

场景一、黑客知道用户名和密码

数据泄漏在当今的数字世界中很普遍，甚至大型公司和在线零售商也难逃劫难。在此类数据泄漏事件中，包括登录用户名和密码在内的大量用户数据被转储到黑客站点上。

任何黑客都可以访问此数据并获得您的登录凭据，他们可以通过“撞库”方式获取没有实施双因素身份验证的网站应用。但是，通过双重身份验证，黑客无法仅使用用户名和密码成功登录。因此，黑客需要使用社交工程来获取用于第二步验证的代码。

在此类攻击期间，黑客会向用户发送各种由头的钓鱼消息，以套取用户的双因素验证码。

在幕后，黑客使用您的用户名和密码登录该服务。接下来，通常的网络服务会将验证码发送到用户的电话号码或电子邮箱。

如果用户使用验证码对伪造的钓鱼消息做出响应，则黑客便获得了它，接下来便可以使用它绕过双因素身份验证的第二步。登录后，黑客还会窃取会话Cookie，并拥有未经授权的用户帐户的长久完全访问权限。

场景二、黑客没有用户名和密码

如果黑客不知道您的用户名、密码、电话号码或验证码，他也可以使用社会工程学攻击来获得所有这些以及更多。

这种攻击通常是使用网络钓鱼网站，也就是冒充真正网站的假冒网站。假冒网站通常使用外观与真实网站相似的网址。

在伪造的网站上，黑客要求用户提供用户名和密码进行登录。当用户提供这些详细信息时，黑客会使用它们在真实的登录网站上登录。真实的网站会将验证码发送到用户的电话号码或电子邮箱。当用户在假登录网站上输入此代码时，黑客也会获取该代码，并使用它来完成在真实网站上的登录。这个过程往往是自动化的，用户可能根本觉察不出来。

这样，黑客就可以绕过双因素身份验证并获得对服务或网站上的用户帐户的访问权限。

如何防止双因素身份验证遭到黑客利用社交工程技术的入侵？

既然我们已经了解了黑客如何使用社会工程学绕过双因素身份验证，现在该探讨一些可以防止黑客利用社会工程学入侵的方法了。使用这些工具和技巧，您可以避免自己陷入社会工程的陷阱，并可以帮助到工作场所的同事们。

1、安全密语

安全密语是金融服务网站通常使用的一种身份验证形式，它往往是用户事先留存给合法网站的秘密信息，在输入用户名和密码之后，提交双因素验证码之前，用户可以通过这些秘密信息，来确认网站的真实性。这样，可以防止网络钓鱼网站和伪造的登录页面获取用户双因素验证码登录信息。当然，也不排除定向式的攻击者连用户预留的安全密语也一同伪造于钓鱼网站的情况。

2、硬件令牌

硬件令牌也是金融服务网站通常使用的一种身份验证和授权操作形式，即使网络钓鱼者窃取了用户的用户名、密码和登录验证码，并成功获得了用户的登录凭据，他们在进行关键操作，比如将财产转出时，仍然需要使用硬件令牌，输入硬件令牌生成的操作授权码。这种多一重的授权形式，起到了保护核心信息和资产的目的。不过，会不会有用户被网络钓鱼者远程电话遥控操作硬件令牌并提供类似转账确认这种操作呢？在电信诈骗案例中，向“安全账户”转钱时用户会毫不犹豫地上当的。

3、社会工程学意识

安全意识是抵抗社会工程的最重要方法，了解什么是社会工程学及其工作原理的用户通常可以更有效地避免社会工程学攻击。“短信验证码，打死也不告诉他人。”的这种安全方法虽然很通俗实用，但是往往没有深入到工作原理，接下来当用户被社会工程黑客要求其提供支付条码的文本时，用户便不能举一反三。

总之，加强员工的社会工程意识培训，使其可以识别和抵御社会工程攻击是终极的解决方案。模拟黑客和模拟钓鱼场景是很形象地帮助用户了解社会工程学如何工作的一种好方法。

昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898