“千里之堤，溃于蚁穴；千秋之业，毁于一念。”——《左传》
“信息安全是企业的血脉，防范是每一位员工的职责。”——NCSC（英国国家网络安全中心）

---

一、头脑风暴：想象两个“最真实”的安全事件

在我们日常的工作和生活中，信息安全往往被视作“后端”或“IT 部门的事”。然而，真正的安全事故往往从一枚看似无害的电子邮件、一根随手插入的 USB、一段未打补丁的软件代码，甚至是一盏亮着的服务器机房灯光开始。今天我们用两则典型且深具教育意义的真实案例，来一次“头脑风暴”，让每一位同事都能感受到：危机，随时可能敲门。

案例一：Synnovis（NHS 供应商）遭勒索——“一颗密码的星星，点燃整个医院的黑夜”

2023 年 11 月，英国国家医疗服务体系（NHS）的关键供应商 Synnovis——负责血液检测与物流的公司——突遭 WannaCry 系列变种的勒税软件攻击。攻击者利用该公司内部仍在使用的 Windows Server 2008 版本未打补丁的 SMB 漏洞，成功植入恶意加密蠕虫。

事件进程：

时间	关键节点	说明
2023‑11‑03 02:15	初始入侵	攻击者通过钓鱼邮件发送含有恶意宏的 Office 文档，内部员工打开后触发恶意代码
2023‑11‑03 02:30	横向移动	利用已取得的系统管理员凭证，攻击者在内部网络快速横向渗透，寻找高价值资产
2023‑11‑03 03:00	加密启动	勒索软件开始对关键数据库、实验室信息管理系统（LIMS）进行加密
2023‑11‑03 04:12	业务中断	与血液检验相关的所有系统陷入瘫痪，导致医院血液样本无法及时处理
2023‑11‑03 05:00	报警响应	IT 安全部门在发现异常后启动应急预案，向 NCSC 报告并联系执法机关
2023‑11‑03 12:00	恢复工作	在备份系统的帮助下，部分业务逐步恢复，但整体恢复时间超过 72 小时

教训摘记：

1. 未及时更新补丁：Windows Server 2008 已于 2020 年停止支持，仍在生产环境运行是“软肋”。
2. 钓鱼邮件防线薄弱：普通员工的点击行为直接导致系统泄密。
3. 备份策略不完善：尽管公司拥有备份，但在关键业务系统（LIMS）上缺乏实时快照，恢复速度受限。
4. 供应链安全缺口：NHS 作为公共服务机构，对供应链的安全审计不足，导致外部供应商的安全漏洞直接波及核心业务。

“一枚未更新的补丁，足以让整个网络系统在瞬间沦为废墟。”——Richard Horne（NCSC 主席）

---

案例二：英国国防部（MoD）内部信息泄露——“隐形的幕后黑客”

2024 年 5 月，英国国防部爆出一起规模空前的国家级网络间谍行动，数千名军官与文职人员的个人信息被窃取，涉及身份信息、部署计划以及内部通讯。经过三个月的取证，安全部门锁定APT‑X（一支被指控与某大国情报机构有联系的高级持续性威胁组织）为幕后黑客。

事件进程：

时间	关键节点	说明
2024‑03‑01	初始渗透	攻击者利用公开的 GitHub 项目泄露的硬编码 API 密钥，获取 MoD 开发平台的只读访问权限
2024‑03‑15	权限提升	通过在内部系统中植入 Privilege Escalation 漏洞脚本，提升为管理员权限
2024‑04‑10	持久化植入	在关键服务器中植入 Rootkit，实现长期隐藏
2024‑04‑28	数据外泄	将收集到的人员信息通过加密的 TOR 通道分批外泄至暗网
2024‑05‑02	发现异常	安全监控系统检测到异常的出站流量，触发告警
2024‑05‑15	彻底清查	成立应急响应小组，对受影响系统进行全盘清理，启动 72 小时内部审计

教训摘记：

1. 代码泄露链条：未经审查的第三方代码库泄露了关键凭证，导致攻击者直接进入内部网络。
2. 内部权限管理缺陷：管理员权限过于宽泛，缺乏最小权限原则（Least Privilege）控制。
3. 监控与告警不足：异常流量在 2 周内未被及时捕捉，给黑客留下了足够的“搬砖”时间。

   

4. 供应链安全的盲区：国防部在外包软件开发时，未对合作方的安全实践进行严格审计，造成“供应链攻击”。

“安全的底线是‘零信任’，任何外部代码、任何内部账号，都必须经过严密审计。”——Matt Houlihan（Cisco 欧洲政府事务副总裁）

---

二、从案例到现实：我们所在的数字化、智能化环境

1. 信息化的高速列车已驶入“全速”

过去十年，云计算、物联网（IoT）、人工智能（AI）已经从概念走向落地。公司内部的业务系统、客户关系管理（CRM）、人力资源（HR）平台以及生产线的 PLC 控制，都在 云端或边缘运行。与此同时，数据中心、智能电表、远程维护机器人等新型资产的涌现，使得攻击面呈指数级增长。

“当系统像细胞一样互联，安全就必须像免疫系统一样全方位巡视。”——《Nature》2023 年专题

2. 新的立法驱动：英国《网络安全与韧性法案》（Cyber Security and Resilience Bill）

• 把 Managed Service Provider（MSP）纳入监管：约 900‑1100 家 MSP 将受到新的安全要求约束，意味着我们的外包合作伙伴也必须符合 NCSC Cyber Assessment Framework（CAF） 的基准。
• 供应链风险管理强制化：所有 运营关键服务（OES） 必须在二级立法中明确“供应链风险管理”义务。
• 24 小时初报、72 小时全报：安全事件必须在出现后 24 小时内上报，72 小时内提供完整报告——时间就是防线。
• ICO 权限提升：信息专员办公室（ICO）将有权对关键数字服务提供商进行主动风险评估，并可通过“费用制度”回收监管成本。

这部法案的出台，为我们构建了外部合规的底线，但真正的安全防线仍然是每一位员工的日常行为。

---

三、呼吁每一位同事积极参与信息安全意识培训

1. 培训不是“走过场”，而是“自救式”的能力赋能

• 真实案例复盘：通过对 Synnovis 与 MoD 事件的深度剖析，帮助大家把“抽象的威胁”转化为“可感知的危机”。
• 角色扮演（Red‑Team / Blue‑Team）：模拟钓鱼攻击、内部渗透，让每位同事亲身体验攻击者的思路，进而掌握防御技巧。
• 工具实操：学习使用 Phish Alert Button、多因素认证（MFA）、密码管理器等实用工具，做到“用手防护”。

2. 培训安排概览（2025 年 12 月‑2026 年 1 月）

日期	主题	形式	目的
2025‑12‑03	网络钓鱼防御	在线直播 + 现场演练	识别钓鱼邮件、报告机制
2025‑12‑10	供应链安全基线	案例研讨 + 小组讨论	明确外包合作伙伴的安全要求
2025‑12‑17	端点安全与补丁管理	现场培训 + 实操	通过自动化工具实现快速补丁
2025‑12‑24	数据备份与灾难恢复	桌面演练	设计 3‑2‑1 备份策略
2026‑01‑07	零信任访问控制	研讨会 + 角色扮演	通过最小权限原则降低风险
2026‑01‑14	AI 与安全的双刃剑	圆桌论坛	探索 AI 检测与 AI 攻击的博弈

“知识是防御的第一层墙，技能是防御的第二层墙，行动则是防御的第三层墙。”——资讯安全金句

3. 培训收益：从个人到组织的全链路提升

维度	收获
个人	提升对钓鱼、社工、恶意软件的识别能力；掌握 MFA、密码管理等实用技巧；获得内部安全认证（ISO 27001 Awareness）
部门	降低因人为失误导致的安全事件频率；形成统一的安全响应流程；增强对供应链合作伙伴的审查能力
公司	符合法规要求（Cyber Security and Resilience Bill）；提升品牌信誉度与客户信任；在审计、合规、投标中拥有更强竞争力

---

四、行动建议：从现在开始，让“安全”成为工作的一部分

1. 立即检查：登录公司内部门户，查看自己的 MFA 设置是否已启用；若未启用，请在 24 小时内完成。
2. 每日安全小贴士：公司将通过 Slack/钉钉每日推送一句安全提醒，例如 “不点不明链接，先思后点”。
3. 主动上报：发现可疑邮件或系统异常，请在 24 小时 内使用 Phish Alert 按钮或发送至 [email protected]。
4. 参加培训：登录 Learning Management System（LMS），报名即将开课的 网络钓鱼防御 课程，确保在 2025‑12‑03 前完成报名。
5. 共享知识：在团队会议中，挑选一条最近学到的安全技巧，进行 1 分钟分享，帮助同事一起提升防御能力。

“防御不是终点，而是一个不断进化的过程；每一次学习，都是一次对未来的投资。”——古希腊哲学家柏拉图（改编）

---

五、结语：用知识筑墙，用行动守护

在信息化、数字化、智能化浪潮的冲击下，“安全”不再是 IT 部门的独舞，而是全员参与的合唱。正如 NCSC 所强调的：“网络安全是共享的责任”。
让我们以 Synnovis 的血液检测危机、MoD 的供应链泄密为警钟，牢记 “不以规矩，不能成方圆”。
在即将开启的 信息安全意识培训 中，每一次点击、每一次报告、每一次学习，都是在为公司、为国家、为我们自己的数字生命筑起坚固的防线。

同事们，安全的号角已经吹响，请携手并进，让我们在新的《网络安全与韧性法案》指引下，构建更加安全、更加可靠的数字未来！

---

我们提供包括网络安全、物理安全及人员培训等多方面的信息保护服务。昆明亭长朗然科技有限公司的专业团队将为您的企业打造个性化的安全解决方案，欢迎咨询我们如何提升整体防护能力。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

头脑风暴·情境想象

1️⃣ “预订确认”邮件里埋下的炸弹——你正准备在周末和家人去温泉度假，收到了 Booking.com 发送的“确认您的预订，请在 24 小时内完成付款”。邮件中的链接看似熟悉，却将你引向一个看起来和真网站一模一样的“Booking‑Confirm.com”。一不小心，信用卡信息被盗，导致信用卡被刷爆，甚至出现身份盗用的连锁反应。

2️⃣ “企业内部采购”钓鱼的暗流——公司财务部门收到一封自称是供应商的邮件，标题写着“【紧急】请确认本月发票及付款信息”。邮件附带的 PDF 里嵌入了恶意宏，一旦打开，就会悄悄在后台下载并执行一段 Remote Access Trojan（RAT），让攻击者获得公司内部网络的持久控制权。

这两则想象的案例，正是 《The Hacker News》 2025 年 11 月 13 日披露的 俄罗斯黑客大规模伪造旅游网站欺诈（以下简称“伪旅宿钓鱼”）的真实写照。下面，我们将从真实事件出发，对其作深度剖析，帮助大家在日常工作与生活中建立防线。

---

一、案例一：伪旅宿钓鱼——4,300+ 假旅行站点的灰色网络

1. 事件概述

根据 Netcraft 安全研究员 Andrew Brandt 的报告，自 2025 年 2 月起，已有超过 4,300 个域名被注册，用于模拟 Booking、Expedia、Airbnb、Agoda 等主流旅行平台。攻击者通过大规模邮件群发，诱导受害者点击所谓的“预订确认”链接，进入伪装精致、支持 43 种语言的钓鱼页面。

2. 攻击链条拆解

步骤	描述	关键技术点
① 诱饵邮件	主题通常为“您的预订即将失效，请立即确认”，伪装成官方邮件，使用真实品牌 Logo、语言风格，甚至在邮件头部伪造 SPF/DKIM 通过。	社会工程学 + 电子邮件伪造
② 重定向链	链接指向短链或中转站点，随后跳转至攻击者控制的域名。	URL 重写、隐蔽的 HTTP 302
③ AD_CODE 参数	首次访问时 URL 中携带唯一标识 AD_CODE，服务器写入 Cookie，后续页面依据此参数动态渲染对应酒店品牌的页面。	动态页面生成、会话保持
④ 伪造 CAPTCHA 与 3D Secure	页面展示仿 Cloudflare 的 CAPTCHA，收集用户输入后再弹出“3D Secure 验证”对话框，诱导再次输入卡号、有效期、CVV。	前端欺骗、欺骗式支付验证
⑤ 信息泄露与后台刷卡	在用户提交信息后，页面在后台调用支付网关进行“虚假交易”，攻击者获取完整的卡片信息并用于快速消费或转卖。	窃取支付凭证、自动化刷卡脚本
⑥ 退出与清理	交易完成后，页面会自动关闭或跳转至一段成功提示，随后删除所有会话痕迹，降低被安全工具捕获的概率。	站点清理、攻击痕迹隐藏

3. 影响范围与危害

• 受害者规模：截至目前，已确认受害者遍布中欧、东欧，包括捷克、斯洛伐克、匈牙利、德国等国，估计受害人数达 数十万。
• 经济损失：单笔信用卡被盗刷平均损失在 1,000–5,000 美元，累计损失可能超过 数千万美元。
• 品牌信任危机：受害者常误以为是官方平台，导致 Booking、Airbnb 等品牌声誉受损，需投入大量资源进行危机公关与用户安抚。
• 后续攻击链：部分受害者的个人信息被进一步用于 身份盗窃、社交工程、二次钓鱼，形成多层次威胁。

4. 防御要点（职业安全视角）

1. 邮件验证：在打开类似预订确认的邮件前，务必检查发件人域名、邮件头部的 SPF/DKIM/DMARC 结果；对不确定的链接使用浏览器手动输入官方域名。
2. 安全浏览：开启浏览器的 HTTPS Everywhere 插件，确保所有页面均使用 TLS；利用 安全 DNS（DoH/DoT） 减少 DNS 劫持风险。
3. 多因素认证（MFA）：对所有涉及支付的账户启用 MFA，尤其是信用卡、在线支付平台。即使卡号泄露，也能阻断未经授权的交易。
4. 浏览器安全插件：安装 uBlock Origin、NoScript 等插件，拦截未知脚本和广告跳转，降低恶意重定向几率。
5. 企业层面的 Email Gateway 防护：部署 DKIM/DMARC 统一策略，利用 AI 分析邮件内容，自动拦截疑似钓鱼邮件。

---

二、案例二：供应链钓鱼—假发票 PDF 藏匿的 RAT

1. 事件概述

在同一时间段，法国网络安全公司 Sekoia 报告了一起针对 酒店管理集团 的钓鱼攻击。攻击者发送伪装为供应商的邮件，附件为外观正常的 PDF 发票，内部隐藏宏脚本，触发后下载并执行 PureRAT（后门木马），导致攻击者获取内部网络的持久控制权。

2. 攻击链条拆解

步骤	描述	关键技术点
① 欺骗性邮件	采用正规供应商的邮件签名、联系人信息，标题为“本月账单 – 请及时确认”。	社会工程 + 伪造邮件签名
② 恶意宏嵌入 PDF	利用 PDF 中的 JavaScript 注入宏，当用户打开或预览时触发下载外部可执行文件。	PDF JavaScript、宏注入
③ 远程下载 RAT	下载的文件携带伪装为合法工具的二进制（如 “AdobeUpdater.exe”），实际为 PureRAT。	伪装与文件名混淆
④ 持久化	RAT 在系统目录中创建计划任务，利用 Windows Service 方式保持运行。	持久化技术、计划任务
⑤ 横向移动	利用已获取的凭证，攻击者扫描内部网络，使用 Pass-the-Hash 或 Kerberos 进行横向渗透。	凭证重用、横向渗透
⑥ 数据外泄	通过加密的 C2 通道将敏感数据（财务报表、客户信息）发送至攻击者控制的服务器。	加密通道、数据 exfiltration

3. 影响范围与危害

• 业务中断：感染后系统出现异常重启、网络延迟，导致酒店预订系统短暂不可用，损失约 20,000 美元。
• 数据泄露：泄露的客户信息包括姓名、护照号、支付信息，涉及 约 15,000 位客户。
• 合规风险：违反 GDPR 与当地数据保护法，面临 高额罚款（最高可达 2% 年营业额）。
• 信任安全：受影响的合作供应商对企业信任度下降，后续合作谈判受阻。

4. 防御要点（企业层面）

1. 邮件安全网关：部署基于 AI 的内容检测，拦截含有可疑宏或 JavaScript 的 PDF、Office 文档。
2. 端点防护：启用 EDR（Endpoint Detection and Response），对文件行为进行实时监控，阻止未经授权的执行。
3. 最小特权原则：对财务、采购等关键岗位实行 基于角色的访问控制（RBAC），限制对关键系统的写入权限。
4. 安全意识培训：定期组织 模拟钓鱼演练，提高员工对附件安全的警惕性。



5. 补丁管理：保持 PDF 阅读器、Office 套件的最新安全补丁，关闭不必要的宏功能。

---

三、信息化、数字化、智能化时代的安全挑战与机遇

1. 时代背景：从“纸质时代”到“全链路数字化”

“木受绳则直，金就砺则利。”——《战国策》

信息技术的高速发展让企业的业务全链路实现了 数字化：订单、支付、客服、供应链、营销全部在线完成；前台业务与后端系统通过 API、云服务 实时交互；AI 生成的内容、大数据 分析驱动决策。这一切极大提升了效率，却也让 攻击面 成倍增长。

• 移动端：员工使用手机办理审批、查阅报表，移动应用成为攻击者的新入口。
• 云服务：企业内部系统迁移至 AWS、Azure、阿里云，若 IAM 权限配置不当，可能导致云资源泄露。
• AI 与自动化：AI 助手（如 ChatGPT）被用于撰写邮件、生成报告，但同样可能被 对抗性样本 利用进行 社交工程。
• 物联网（IoT）：酒店客房的智能门锁、环境监控系统若缺乏安全加固，可能被黑客利用进行 旁路攻击。

2. 安全的“三位一体”——技术、流程、意识

“兵者，诡道也。”——《孙子兵法·计篇》

防御不应只依赖技术，更需要配合 流程 与 意识，三者缺一不可。

• 技术层：部署 零信任（Zero Trust） 架构、强化 身份验证、实施 端点硬化。
• 流程层：建立 安全事件响应（SIR） 流程、定期 渗透测试、完善 供应链安全审计。
• 意识层：通过 信息安全意识培训，让每位职工都能成为 第一道防线，识别钓鱼、恶意文件、异常行为。

3. 为什么每一位职工都必须参与安全培训？

1. 每个人都是资产，也是薄弱环节：不论是前台接待、财务主管、技术工程师，皆可能成为攻击者的目标。
2. 降低整体风险的成本效益：据 Gartner 研究，开展安全意识培训可将 网络攻击成功率降低 70%，而相较于一次重大泄露的费用（平均 300 万美元），培训投入仅为 数千美元。
3. 合规与审计要求：ISO 27001、GDPR、PCI‑DSS 等标准均要求组织提供 定期的安全意识教育，不达标将导致审计不合格或罚款。
4. 构建安全文化：安全意识培训不仅是技能传授，更是企业价值观的落地，让员工在面对风险时主动报告、互相提醒。

---

四、即将开启的信息安全意识培训行动计划

1. 培训目标

目标	具体指标
认知提升	95% 员工能够在模拟钓鱼测试中识别并报告可疑邮件。
技能掌握	90% 员工熟练使用安全浏览器插件、密码管理器、双因素认证。
行为改变	80% 员工能够在实际工作中主动更新系统补丁、审查权限。
文化渗透	每月组织一次安全经验分享会，形成 “安全第一” 的共识。

2. 培训形式

形式	内容	时间安排	参与方式
线上微课程	15 分钟短视频：钓鱼邮件辨识、密码管理、移动安全。	每周一次	通过公司 LMS 平台观看，完成后测验。
现场工作坊	案例分析、实操演练（如模拟钓鱼、恶意文件分析）。	每月一次	线下教室或线上直播，提供互动 Q&A。
红蓝对抗演练	红队模拟攻击、蓝队即时响应。	每季一次	分组进行，记录响应时间、处置步骤。
安全宣导海报	关键安全要点海报张贴于办公区域、内部门户。	持续	视觉提醒，形成潜移默化的防护氛围。
答疑与激励机制	设立 “安全之星” 表彰、答疑热线。	常态化	每月评选安全表现突出个人或团队，提供小额奖金或礼品卡。

3. 学习资源库

• 官方手册：《企业信息安全防护指南》PDF（含图示、案例）。
• 工具清单：推荐使用的 密码管理器（如 1Password、Bitwarden）、安全浏览器插件（uBlock Origin、HTTPS Everywhere）。
• 常见问题（FAQ）：针对 Phishing、Ransomware、Supply‑Chain 攻击的快速解答。
• 案例库：历年国内外重大安全事件（如 2020 年 SolarWinds、2023 年 Accellion breach）和本次伪旅宿钓鱼的完整分析报告。

4. 培训参与方式

• 登记报名：登录公司内部 安全学习平台（SaaS），填写个人信息与部门。
• 学习进度追踪：系统自动记录观看时长、测验得分，完成全部模块后颁发 《信息安全意识证书》。
• 反馈改进：每次培训结束后提交匿名反馈，帮助优化内容、形式。

“知己知彼，百战不殆。”——《孙子兵法·谋攻篇》

只有每位职工都了解攻击者的手段、掌握防御技巧，才能在面对新型网络威胁时从容应对，让黑客的“潜伏”无所遁形。

---

五、结束语：从“防火墙”到“防人墙”，让我们共同筑起安全长城

在数字化浪潮的冲击下，企业的每一次技术升级、每一次业务创新，都会伴随 风险的同步扩散。今天我们通过两起真实案例，直观感受到 伪旅宿钓鱼 与 供应链恶意宏 如何在不经意间窃取我们的金钱、身份、甚至企业的核心机密。

然而，安全并非单靠技术堆砌即可解决。它是一场 全员参与、持续迭代 的长跑。每一封电子邮件、每一次文件下载、每一次系统登录，都是我们向攻击者展示防御能力的机会，也是我们共同维护企业资产安全的责任。

亲爱的同事们，让我们：

1. 保持警觉：不轻信来历不明的邮件和链接；
2. 主动学习：积极参加即将启动的安全意识培训，掌握最新防护技巧；
3. 相互监督：发现可疑行为，第一时间上报安全团队；
4. 拥抱安全文化：在日常工作中践行最小特权原则，养成良好安全习惯。

正如《论语》所言：“三人行，必有我师焉。”在信息安全的道路上，你我都是彼此的老师与学生。让我们携手并肩，构建 “技术+流程+意识” 的安全防御体系，让黑客的每一次尝试都化作一场空欢喜。

信息安全，从我做起；企业防护，因你而强！

让我们在下一期的“信息安全意识培训”中相聚，用知识点亮防线，用行动守护未来！

安全之路，永无止境；共筑防御，携手前行！

信息安全 旅游钓鱼 供应链防御

除了理论知识，昆明亭长朗然科技有限公司还提供模拟演练服务，帮助您的员工在真实场景中检验所学知识，提升实战能力。通过模拟钓鱼邮件、恶意软件攻击等场景，有效提高员工的安全防范意识。欢迎咨询了解更多信息。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898