---

前言：头脑风暴·想象未来

在信息化、数字化、数智化深度融合的今天，企业的每一台设备、每一次点击、每一次数据传输，都可能成为“黑客的潜在入口”。如果把网络安全比作一场“防盗演练”，那么演练的剧本正是我们每天的工作场景；演员既有外部的攻击者，也有内部的“无心者”。为了让大家在这场演出中不被“配角”抢戏，本文先抛出两个典型的安全事件案例，借助生动的情节和细致的剖析，让大家感受到风险的真实存在；随后再结合当下企业数字化转型的趋势，号召全体职工积极参与即将开展的信息安全意识培训，提升自己的安全防护能力。

“千里之堤，溃于蚁穴”。—《韩非子·外储说左》

正如古人所言，最小的疏忽也可能酿成巨大的灾难。下面，让我们一起走进两个“看似离奇，却极具警示意义”的案例。

---

案例一：古董操作系统的“复活仪式”——Windows 95的致命回潮

事件概述

2023 年底，某大型制造企业的研发部门因采购预算限制，决定在生产线旁边搭建一台 Windows 95 的旧电脑，用于运行一套已经停产多年的内部控制软件。该机器在装配后不久，便出现了“系统频繁蓝屏、文件被莫名加密”的异常。IT 部门在排查后发现，机器已被勒索软件侵入，且攻击链条起点是该旧系统本身的已知漏洞。

安全漏洞剖析

1. 操作系统已停止官方支持：Windows 95 自 2001 年起就不再收到安全补丁，意味着所有已知漏洞（如 SMB 协议远程代码执行、内核提权漏洞）长期得不到修复。
2. 缺乏硬件和系统隔离：旧电脑直接接入公司内部 LAN，未通过隔离网段或防火墙进行分层防护，导致恶意流量可以横向传播至其他关键业务系统。
3. 默认关闭的安全防护：古老系统并未内置现代防病毒或应用控制功能，且缺少可信的安全基线，攻击者可以轻易利用本地管理员权限执行任意代码。

影响与教训

• 业务中断：受感染的旧机不仅导致对应生产控制软件停止运行，还波及到与之相连的数据库服务器，导致整条生产线停摆数小时。
• 数据泄露风险：勒索软件在加密文件前会搜集系统信息并尝试向外发送，若未及时阻断，敏感的工艺参数、技术文档有可能泄露。
• 成本激增：事后恢复所需的备份恢复、系统重装、法务调查以及对外通报，远高于最初采购旧机的成本。

案例启示

• 切勿使用已停止支持的系统：即使是为了解决“兼容性”问题，也要评估其安全风险，优先选用仍在维护的操作系统或采用容器化技术进行兼容层封装。
• 网络分段与零信任：对所有接入内部网络的设备（尤其是非生产设备）实行严格的网络分段、访问控制和持续监测。
• 安全基线不可或缺：任何新上线的设备都必须通过安全基线检查，包括启用防病毒、关闭不必要的服务、定期补丁管理等。

---

案例二：免费 USB “福利”背后的暗流——USB Killer 与假冒杀毒软件

事件概述

2024 年 4 月，某金融企业的技术支持团队在一次行业展会后，收到了几位同事从展会现场捡到的 “免费品牌 USB 盘”。出于好奇，部分员工直接将其插入工作站。结果出现了系统异常关机、硬盘不可识别等现象，随后 IT 部门检测到硬件被 USB Killer 设备损毁，且磁盘中隐藏了多个伪装成正规杀毒软件的 Scareware（恐吓软件），不断弹窗索要“解锁费用”。

安全漏洞剖析

1. USB 物理攻击：USB Killer 通过极高电压（可达 200 V）瞬间放电，破坏主板、CPU、内存等关键硬件，属于 硬件层面的破坏性攻击，传统的防病毒软件无能为力。
2. 恶意软件伪装：伪装的杀毒软件利用系统弹窗、虚假扫描报告骗取用户信任，诱导受害者点击“支付”链接并下载更多恶意组件。
3. 缺乏 USB 设备管控：企业未对外部 USB 设备实施自动禁用或白名单策略，导致恶意设备直接进入内部网络。

影响与教训

• 硬件不可逆损毁：受影响机器的主板及存储芯片出现永久性损坏，需要更换整机，导致资产损失和业务中断。
• 潜在信息泄露：恐吓软件在运行过程中会搜集系统信息、键盘记录等，若攻击者进一步利用已植入的后门，可能导致内部敏感数据外泄。
• 信任链被破坏：员工对安全提示的信任度下降，进一步削弱了安全文化的建设。

案例启示

• 禁用或限制外部 USB 接口：通过 BIOS/UEFI、组策略或专业的端点管理平台，对未授权的 USB 设备实行 “插入即禁用” 或 “只读模式”。
• 提升硬件安全意识：在采购、使用任何外部存储介质时，必须经过信息安全部门的风险评估和批准。
• 教育员工辨别假冒软件：通过真实案例演练，让员工了解 Scareware 的典型表现（夸大漏洞、强制支付、伪造官方标识），并学会在系统提示异常时立即报告。

---

何以如此频繁的“安全事故”频频上演？

从上面两个案例可以看出，技术漏洞、操作失误和安全意识缺失往往交织在一起，形成了多维度的攻击面。尤其在当下 数智化、数字化、数据化融合 的企业环境中，这些风险更显隐蔽：

1. 云与本地混合：业务系统既在本地数据中心，又在公有云上运行，跨境访问的身份验证、数据加密与审计要求更高。
2. 大数据与 AI 应用：机器学习模型、数据湖、实时分析平台需要海量数据输入，若数据来源未加校验，恶意数据注入（Data Poisoning）会直接影响决策。

   

3. 移动办公与远程协作：VPN、远程桌面、协作工具的普及，使得外部网络成为攻击者潜在的入口；而员工在家使用个人设备、公共 Wi‑Fi，则进一步放大了攻击面。
4. 物联网（IoT）与工业控制系统（ICS）：传感器、摄像头、机器人等设备往往缺乏足够的安全防护，成为 “网络的后门”。

在这样的大背景下，仅靠技术手段的“硬核防御”已难以满足需求，人的因素——即 安全意识——成为最关键的防线。

---

信息安全意识培训：每位职工的必修课

“学而不思则罔，思而不学则殆。”—《论语·为政》

信息安全不是某个部门的专属任务，而是全员共同的责任。只有把安全理念根植于每一次点击、每一次复制粘贴、每一次外部文件的接收之中，才能形成真正的“安全文化”。

培训的核心目标

目标	具体体现
基础安全认知	熟悉常见的网络威胁（钓鱼邮件、恶意链接、勒索软件、Scareware 等），了解病毒、木马、蠕虫的区别及防护要点。
操作安全规范	掌握安全密码政策、双因素认证、设备加密、USB 插拔管理、软件更新和补丁管理的标准流程。
应急响应流程	学会在发现异常时快速上报、隔离受感染设备、保存日志、配合 IT 进行取证。
合规与法律意识	了解《网络安全法》《个人信息保护法》对企业和个人的义务，遵守数据分类、数据脱敏和数据销毁的合规要求。
数字化业务安全	认识云服务的共享责任模型（Shared Responsibility），掌握对 SaaS、IaaS、PaaS 的安全配置原则。

培训形式与安排

1. 线上微课（10 分钟/节）：针对常见威胁的短视频+案例动画，利用碎片时间随时学习。
2. 情景模拟演练：通过仿真平台发送模拟钓鱼邮件、恶意 USB 插入等，让员工在安全的环境中实战演练。
3. 专题研讨会：邀请公司资深安全专家、外部安全厂商分享最新攻击趋势和防御技术。
4. 考核与激励：完成全部模块并通过测评的员工将获得 “安全守护星” 电子徽章及公司内部积分奖励，可兑换培训课程或小额礼品。

参与方式

• 报名渠道：公司内部门户 → “安全与合规” → “信息安全意识培训”。
• 培训时间：2024 年 6 月 1 日至 6 月 30 日，灵活安排，可自行选择适合的时间段。
• 预期收益：通过培训，个人可在 “安全风险降低 30%” 的统计模型中获得显著提升；团队层面则能在 “安全事件响应时间缩短 50%” 的目标上取得突破。

---

与时俱进：信息安全的未来思考

1. 零信任（Zero Trust）理念的落地

零信任不再是口号，而是 “永不信任、始终验证” 的技术与流程集合。对每一次访问请求，都进行身份、设备、位置、行为等多维度评估。通过微分段、动态授权，实现 “最小特权” 的细粒度控制。

2. 自动化安全运营（SecOps）

利用 SOAR（Security Orchestration, Automation and Response） 平台，将常规的安全监测、告警处理、补丁部署实现自动化。这样既能降低人为失误，又能在攻击出现的第一时间完成封堵。

3. AI 驱动的威胁情报

在大数据环境下，机器学习模型 能够实时分析海量日志，捕捉异常行为模式，提前预警潜在攻击。与此同时，对抗式 AI 也在不断演化，要求我们在防御手段上保持创新。

4. 数据安全治理（Data Governance）

随着 数据资产化 趋势，企业必须构建 数据资产目录、数据标签、访问审计 等完整治理体系，确保数据在全生命周期内得到合规、加密和审计。

“千里之行，始于足下”。——只要每位员工在日常工作中养成安全的好习惯，企业的整体安全防线就能在数字化浪潮中稳固前行。

---

结语：让安全成为每个人的“第二本能”

从 Windows 95 的致命回潮，到 USB Killer 的硬件毁灭；从 “免费” USB 盘的恶作剧，到伪装杀毒软件的骗术；这些案例提醒我们，安全风险往往潜伏在最不起眼的细节里。而 信息安全意识培训 正是帮助大家识别、规避、应对这些细节的最佳途径。

在企业迈向 数智化、数字化、数据化 的进程中，安全不应是“配套”，而是 “内核”。让我们一起行动起来，主动参与培训，用知识武装自己，用行动筑牢防线。只有每一位职工都成为 “安全的守护者”，企业的数字化转型才能在风雨中稳健前行，迎接更光明的未来。

安全，是技术的底色，更是文化的灵魂。

让我们从今天起，把安全写进每一次点击，把防护落在每一行代码，把合规嵌入每一次数据流动。

---

昆明亭长朗然科技有限公司致力于让信息安全管理成为企业文化的一部分。我们提供从员工入职到退休期间持续的保密意识培养服务，欢迎合作伙伴了解更多。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

头脑风暴
想象一下，公司的客服系统像一座金库，平时只需敲开登录密码的大门，客服座席便可以查询用户信息、处理工单、甚至通过系统调用内部 API 完成业务闭环。若这扇大门的锁芯出现裂纹，攻击者只需轻轻一撬，即可在金库里纵横捭阖，甚至把金库的钥匙复制一把，放进自己口袋里。

再进一步，如果这把被复制的钥匙还能打开公司内部的根控系统——那就是“从外部渗透到内部提权”的完整链路。正是这样的链路，在 2026 年 10 月 2 日 被美国网络与基础设施安全局（CISA）列入已知被积极利用漏洞（KEV）清单的两起 Zammad 漏洞，向我们敲响了严峻的警钟。

下面，本文将围绕 两起典型且富有教育意义的安全事件 进行全景式剖析：
1️⃣ Zammad 工作会话劫持与本地提权双联击（CVE‑2026‑102489 & CVE‑2026‑102490）
2️⃣ 全球大型制造业勒索攻击——“黑曜石”病毒的横空出世（2026 年 9 月份爆发）

通过对事件背景、攻击路径、影响面及防御失误的细致剖析，帮助职工在日常工作中快速识别潜在威胁、养成安全思维。随后，文章将结合 无人化、数字化、信息化 深度融合的当下环境，号召全体员工积极参与即将开启的信息安全意识培训，用知识与技能筑起公司安全的钢铁长城。

---

案例一：Zammad 开源客服系统的“会话劫持 + 提权”双重漏洞

1. 事件概述

• 漏洞来源：荷兰漏洞披露组织（DIVD）于 2026 年 9 月发布的 DIVD‑2026‑00015 报告，指出 Zammad 系统（版本 6.3.0‑6.5.4）中存在 CVE‑2026‑102489（工作会话劫持）和 CVE‑2026‑102490（本地提权）两个高危漏洞。
• 官方响应：美国 CISA 于 10 月 2 日将两者加入 KEV 清单，确认已有威胁行为者在真实环境中积极利用。
• 影响范围：全球数千家使用 Zammad 作为 IT 服务台或客户支持平台的企业，包括金融、医疗、制造等行业。

2. 漏洞技术细节

2.1 CVE‑2026‑102489 —— 工作会话劫持（Session Hijacking）

• 根本原因：在 Zammad 处理用户会话时，未对 Session ID 进行严格的随机性校验，且在 跨站请求伪造（CSRF） 防护链路中缺失同源校验。攻击者可以构造特制的 HTTP 请求，诱导受害者登录后，窃取其 Session Cookie。
• 攻击效果：一旦获取到合法的 Session Cookie，攻击者即可冒充该用户进行 远程代码执行（RCE），因为 Zammad 在后台对特定 API 调用仅做会话校验，而未进行二次权限验证。

2.2 CVE‑2026‑102490 —— 本地提权（Local Privilege Escalation）

• 根本原因：Zammad 在 Linux 环境下的 Supervisor 进程启动脚本中，使用了 可写的临时目录 作为工作路径，且未对 setuid 程序进行严格的 capabilities 限制。攻击者在取得系统本地用户权限后，可通过在临时目录放置恶意二进制文件，诱导 Supervisor 执行，从而实现 root 权限提升。
• 攻击效果：即便攻击者只拥有普通用户权限，也能在数秒内取得系统最高权限，进而对整个服务器进行持久化植入、数据窃取或破坏。

3. 攻击链路实战演练（演示版）

1. 信息收集：攻击者使用 Shodan、Censys 等搜索引擎定位公开的 Zammad 实例（默认端口 443/80）。
2. 诱骗钓鱼：通过伪装成内部 IT 支持邮件，诱导目标用户点击并登录 Zammad，期间使用 MITM 截获 Session Cookie。
3. 会话劫持：利用窃取的 Cookie，攻击者发送恶意 API 请求，执行 RCE，上传 webshell。
4. 本地提权：攻击者在服务器上创建恶意二进制，放置于 /tmp/zammad_tmp/，利用缺陷的 Supervisor 脚本触发 setuid root 执行。
5. 持久化：植入系统服务 systemd 单元，实现开机自启。

4. 影响评估

• 业务中断：客服系统被攻陷后，所有工单处理被阻断，客户满意度急剧下降。
• 数据泄露：攻击者可导出用户个人信息、内部技术文档、财务报表等敏感数据。
• 合规风险：若涉及个人信息，企业将面临《个人信息保护法》及 GDPR 等监管处罚。
• 声誉损失：公开的安全事件会导致合作伙伴、客户对品牌信任度大幅下降。

5. 防御失误与教训

失误点	具体表现	对策
缺乏安全审计	未对第三方开源组件进行定期安全审计和漏洞扫描	引入 SAST/DAST 工具，制定开源组件白名单
会话管理薄弱	Session ID 可预测，缺少 SameSite/HttpOnly 标记	加固 Cookie 属性、使用 JWT 且短生命周期
特权最小化不足	Supervisor 脚本运行在高权限账户下且目录可写	使用 Least Privilege 原则，锁定工作目录权限
监控告警缺失	未对异常 API 调用、任务调度进行实时告警	部署基于行为分析（UEBA）的安全监控平台
培训不到位	员工对钓鱼邮件识别能力不足	持续进行安全意识培训，模拟钓鱼演练

---

案例二：全球制造业勒索狂潮——“黑曜石”病毒的横空出世

1. 事件概述

• 时间节点：2026 年 9 月中旬，多个国家的制造业企业相继报告系统被 “黑曜石”（Obsidian） 勒索软件加密。
• 攻击规模：据 IDC 统计，受影响企业超过 1,200 家，累计损失超过 12.3 亿美元。
• 传播渠道：攻击者利用 Supply Chain Attack（供应链攻击）以及 零日漏洞（如 Windows LPE）植入后门，在内部网络横向移动。

2. 攻击路径解析

1. 供应链植入：攻击者先入侵一家为多家制造企业提供 ERP 软件更新的第三方供应商，伪造软件更新包，植入 Obsidian 载荷。
2. 内部渗透：受感染的 ERP 客户端在企业内部网络自动执行，利用已知的 SMBv1 EternalBlue 漏洞进行横向传播。
3. 凭证抓取：通过 Mimikatz 抓取域管理员（Domain Admin）凭证，提升到整个域控制器的权限。
4. 加密执行：利用 AES‑256 加密算法，对关键业务数据库、CAD 设计文件、生产线控制系统（PLC）配置文件进行批量加密。
5. 勒索索要：攻击者在每台机器上留下 .obsi 扩展名的勒索信，要求比特币支付，并威胁公开企业核心技术图纸。

3. 影响深度

• 生产线停摆：PLC 配置被加密后，自动化生产线无法启动，导致订单延迟、违约金激增。
• 知识产权泄露：部分受害企业在付费解密后，发现攻击者已经将加密前的 CAD 文件泄露至暗网。
• 供应链连锁：一家公司受损导致其下游供应商无法交付原材料，形成 “蝴蝶效应”。
• 法律责任：部分企业因未及时通报而违反 《网络安全法》 第 28 条的报告义务，面临行政罚款。

4. 关键失误与防御建议

失误点	具体表现	对策
供应链安全薄弱	第三方 ERP 更新缺乏代码签名验证	强制使用 代码签名、实施 供应链安全评估（SCSA）
漏洞管理滞后	未及时修补 EternalBlue、PrintNightmare 等已公开漏洞	建立 漏洞修补自动化 流程，30 天内完成 CVE 关键补丁
账号权限失控	域管理员账号未实行 MFA，密码策略宽松	强制 MFA、最小化特权账号使用、定期轮换密码
备份与恢复缺失	关键业务系统未做离线、版本化备份	实施 3-2-1 备份（现场、异地、离线）并定期演练恢复
安全监控不足	未能及时捕捉异常的大规模文件加密行为	部署 文件完整性监控（FIM）、行为分析（UEBA）系统

5. 启示

• 供应链安全是全局安全的基石。即使内部防护再严密，外部供应商“一颗螺丝钉”松动，也能导致跨企业的连锁攻击。
• 零日防御需要多层次防护：资产清单、威胁情报、行为分析、沙箱等手段缺一不可。
• 备份即是最好的保险：没有可靠的离线备份，勒索软件的威胁将演变为不可逆的灾难。

---

数字化、无人化、信息化：新时代的安全挑战与机遇

1. 环境特征

特征	含义	带来的安全新挑战
数字化	业务流程、数据、服务均通过数字平台交付	数据泄露、API 滥用、云配置错误
无人化	机器人、无人车、无人机在生产、物流中使用	物理层面被攻击、控制指令篡改、设备僵尸网络
信息化	大数据、AI、机器学习模型深入业务决策	模型投毒、算法偏见、隐私推断攻击

在这三大趋势的交叉点上，攻击面呈指数级增长，而 防御成本却相对有限。企业若不提前布局，往往在安全事件爆发后才被迫进行“事后补丁”，费用、声誉、合规成本都将成几何倍数增长。

2. 安全体系的四大支柱

1. 资产可视化：利用 CMDB、 Auto‑Discovery 技术，建立全网资产图谱，涵盖服务器、容器、IoT 设备、机器人。
2. 零信任架构（Zero Trust）：所有请求默认不可信，实施 身份验证、细粒度授权、持续监控。
3. 统一威胁情报：融合国内外 OT、IT 威胁情报平台，实时更新 IOCs、TTPs，实现快速情报驱动响应。
4. 安全培训与演练：把 技术手段 与 人因因素 同等重要，定期开展 红蓝对抗、钓鱼演练、业务连续性（BCP）演练。

---

邀请函：让每位员工成为信息安全的“第一防线”

亲爱的同事们，
随着公司业务向 云原生、自动化、智能化 的深度转型，信息安全已经不再是 “IT 部门的事”，而是 每个人的职责。只有全员筑墙，才能让黑客的每一次尝试都止步于门外。

1. 培训目标

目标	关键成果
提升安全意识	能识别钓鱼邮件、恶意链接、社交工程手段
掌握基础防护	正确使用密码管理器、MFA、终端安全防护
懂得应急响应	知晓报告流程、现场隔离、日志保全要点
了解合规要求	熟悉《网络安全法》、ISO27001、GDPR 的基本条款

2. 培训形式

形式	内容	时长	备注
线上微课	30 分钟精讲，涵盖网络、主机、应用安全	30 min/周	可随时回放
案例研讨会	现场复盘 Zammad 漏洞、Obsidian 勒索案例	90 min	互动问答
实战演练	红蓝对抗、模拟钓鱼、应急处置演练	2 小时	结业证书
知识竞赛	用游戏化方式巩固所学	30 min	奖品激励

3. 参与方式

• 报名入口：公司内部门户 → “学习与发展” → “信息安全意识培训”。
• 筛选分组：根据岗位风险等级（IT、研发、财务、客服）分层次推送不同难度的内容。
• 激励机制：完成全部课程并通过最终测评的同事，将获得 “信息安全卫士” 电子徽章，年度评优加分，且可参与公司安全专项奖金抽奖。

4. 培训收益

1. 个人层面：提升个人网络安全防护能力，避免因个人失误导致的职业风险。
2. 团队层面：加强跨部门协作，形成安全事件快速响应链路。
3. 组织层面：降低安全事件概率，提升合规评分，避免高额罚款。
4. 行业层面：树立企业在数字化转型中的安全标杆形象，提升市场竞争力。

5. 行动呼吁

“安全不是终点，而是持续的旅程。”
正如《孙子兵法》云：“上兵伐谋，其次伐交，其次伐兵，其下攻城。”在信息安全的世界里，谋（策略）是最关键的防线，而 人（员工）则是最重要的“兵”。请大家抽出一点时间，投入到这场看得见、摸得着、能落地的安全训练中，让我们共同筑起 “技术+人因” 的双层防御，确保公司在数字化浪潮中稳健前行。

---

结语：从案例中学习，从培训中进步

• 案例提醒：Zammad 漏洞展示了开源组件的隐蔽风险；Obsidian 勒索攻击凸显了供应链安全的全局重要性。
• 趋势洞察：无人化、数字化、信息化的深度融合，使攻击面更加多元、复杂。
• 行动指南：通过系统化的安全培训，让每位员工都能在日常工作中做到 “疑则问、问则查、查则改”。
• 共同使命：保护企业资产、维护用户信任、履行社会责任，这不仅是 IT 部门的职责，更是全体员工的共同使命。

让我们在即将开启的安全意识培训中，以案例为镜，以知识为剑，携手共建 零容忍 的信息安全生态。安全，从你我开始！

信息安全意识培训——点燃安全文化，点亮未来。

在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898