---

一、头脑风暴：两大典型案件的想象与现实交叉

在信息化浪潮的冲击下，攻击者的伎俩层出不穷、手段日益细致。若把它们比作一场“数字侦探游戏”，我们可以先放飞想象的翅膀：

– 案件 A：一家全球知名 SaaS 提供商的客户支持系统被“伪装成官方渠道”的钓鱼页面所诱导，数千名支持工程师的登录凭据在一夜之间被批量窃取，随后攻击者利用这些凭据大规模横向渗透，导致上百万用户数据外泄。
– 案件 B：一位普通职员在使用公司内部聊天工具时，收到一条“紧急升级系统”的私聊链接，点开后系统弹出一段看似官方的“安装补丁”页面，实则是远控木马的入口，黑客随即植入后门，潜伏数月后窃取业务机密。

把想象与现实拉回到 2025 年 11 月的 Infosecurity Magazine 报道——Scattered Laps

us$ Hunters 正是用类似的手段盯上 Zendesk 用户：
1. 域名错拼（typosquatting）：超过 40 个与官方域名极其相似的钓鱼域名被注册，诱骗用户输入 SSO 凭据。
2. 伪造帮助工单：假冒内部工单向客服人员发送恶意链接，诱导下载 RAT（远控木马）等恶意程序。

这两大手段，正是我们在 “案件 A、B” 中所预演的情景。以下，将对两个真实且具有深刻教育意义的安全事件进行详细剖析，帮助大家在“脑洞”与“现实”之间搭建防御的桥梁。

---

二、案例一：Zendesk 伪装登录页的“钓鱼风暴”

1. 事件概述

2025 年下半年，ReliaQuest 在一次常规威胁情报搜集任务中，发现 40+ 个与 Zendesk 相关的错拼域名，如 znedesk.com、vpn-zendesk.com、salesforce-zendesk.com 等。这些域名背后均托管了仿冒的 单点登录（SSO） 页面，页面设计几乎与官方一模一样，甚至使用了同样的 Logo、配色与文字说明。

攻击者通过以下渠道诱导受害者访问这些钓鱼页面：

• 邮件钓鱼：主题常为 “您在 Zendesk 平台的登录已失效，请立即验证”。
• 社交工程：在 LinkedIn、Twitter 等平台上发布“官方通知”，声称公司正在进行安全升级，需要重新登录。
• 内部工单：在已有的 Zendesk 客户支持门户中，以“系统维护”之名发送工单，内嵌钓鱼链接。

2. 攻击链分析

步骤	描述
① 域名注册	使用 NiceNic 注册，信息标注为美国/英国，隐藏真实所有者（Cloudflare 代理）。
② 页面伪装	借助开源的 SSO 登录页面模板，快速复制官方页面 UI，完成域名指向同样的钓鱼页面。
③ 诱导访问	通过邮件、社交媒体或内部工单，将钓鱼链接推送至目标用户（包括内部客服、技术支持等高权限人员）。
④ 凭据收集	用户在假页面输入用户名、密码后，这些信息被实时转发至攻击者的 C2 服务器。
⑤ 横向渗透	凭借收集到的高权限凭据，攻击者登录真正的 Zendesk 管理后台，获取客户数据、导出工单、甚至植入后门脚本。
⑥ 数据外泄	通过外部云存储或暗网渠道，泄露用户个人信息、公司内部知识产权等。

3. 影响评估

• 直接经济损失：据不完全统计，仅美国地区因账号被盗导致的业务中断费用已超 200 万美元。
• 品牌声誉受损：多家使用 Zendesk 的 SaaS 客户在社交媒体上公开投诉，导致客户信任度骤降。
• 合规风险：涉及欧盟 GDPR 以及美国 CCPA 受影响用户数据外泄，面临高额罚款。

4. 教训与反思

1. 域名监控不可或缺：即便是看似不重要的子域名或变体，也可能成为攻击入口。
2. 多因素认证（MFA）必须强制：单凭密码已难以抵御钓鱼，硬件安全钥匙（如 YubiKey）是最安全的防线。
3. 内部工单安全审计：对所有工单内容、附件及嵌入链接进行自动化扫描，防止 “内部发起” 的恶意请求。
4. 最小权限原则：客服人员不应拥有超出职能范围的管理员权限，避免凭据被一次性窃取后造成全局危害。

---

三、案例二：伪造帮助工单的“内部背刺”

1. 事件概述

2025 年 10 月，Discord（一款全球流行的即时通讯平台）在一次公众披露中承认，其第三方客服供应商的 Zendesk 系统被攻击者入侵。攻击者成功提交 伪造的客户支持工单，这些工单包含指向恶意下载链接的附件，欺骗了 Discord 的技术支持团队，导致部分内部系统被植入远控木马（RAT）。

2. 攻击链分析

步骤	描述
① 信息搜集	攻击者先通过公开渠道（LinkedIn、公司博客）收集 Discord 的内部组织结构、支持团队成员姓名及职位。
② 伪造身份	利用盗取的内部邮件或公开的 HR 信息，创建看似合法的内部账号（如 [email protected]）。
③ 提交工单	在 Zendesk 门户内提交“紧急系统故障”工单，声称需要紧急下载安全补丁，附件为伪装成官方的 ZIP 包。
④ 社会工程	工单中加入紧迫语气（“请立即处理，否则业务中断”），并提供“IT 部门”负责人签名的截图，以提升可信度。
⑤ 恶意执行	支持工程师在内部环境中打开附件，运行恶意可执行文件，导致 RAT 在内部网络中驻留，并向 C2 服务器回报系统信息。
⑥ 数据渗透	攻击者利用已植入的后门，进一步横向渗透至用户数据库、日志系统，最终一次性导出 约 3.5TB 业务数据。

3. 影响评估

• 用户隐私泄露：包括用户名、电子邮件、聊天记录、支付信息、甚至政府-issued ID。
• 业务中断：由于后门被检测，Discord 被迫暂时关闭部分实时聊天功能，影响数百万活跃用户。
• 合约违规：与第三方客服供应商的 SLA（服务水平协议）被触发违约条款，导致巨额赔偿。
• 法律诉讼：受影响用户集体提起集体诉讼，索赔金额累计已超过 5,000 万美元。

4. 教训与反思

1. 第三方供应链安全审计：任何外包的 IT 系统必须强制执行安全审计，包括工单系统的访问控制与日志审计。
2. 工单内容自动化审查：引入 AI/ML 模型，对工单正文、附件 URL、文件哈希值进行实时检测，一旦出现异常即阻断。
3. 安全意识培训渗透：所有客服与技术支持人员必须接受专门针对 “工单欺诈” 的情景演练，熟悉识别钓鱼链接的技巧。
4. 最小化内部凭据泄露：采用“一次性密码”或 “短有效期令牌”，即使凭据被窃取，也难以长期使用。

---

四、数字化、智能化、自动化时代的安全挑战

1. 信息化的双刃剑

随着 云服务、AI 大模型、容器编排、CI/CD 流水线 等技术的普及，组织的业务边界被不断拓展，攻击面随之增大。
– 云原生平台：虽然提升了部署速度，却往往默认开放了大量 API 接口，如果缺乏细粒度的访问控制，攻击者可以轻易通过 API 滑行。
– AI 生成内容：黑客利用机器学习模型快速生成逼真的钓鱼邮件、伪造的公司内部通告；防御者若仅依赖传统签名库，往往难以及时捕捉。
– 自动化运维（GitOps）：一次错误的配置合并（如暴露了 S3 桶的匿名访问权限）即可在数分钟内泄露海量数据。

2. 人是最弱的环节，也是最强的防线

从 Scattered Laps$ Hunters 的攻击手段可以看出，社会工程 仍是最具杀伤力的攻击向量。技术防御（防火墙、IPS、EDR）固然重要，但 人 的判断力、警觉性才是最后一道防线。
– 认知偏差：如“权威效应”让员工倾向于相信看似官方的请求。
– 任务繁忙：在高压环境下，员工可能忽略安全警告，直接点击链接完成任务。
– 安全倦怠：一味的警示信息会导致“警报疲劳”，失去防御敏感度。

3. 监管与合规的驱动力

欧盟 GDPR、美国 CISA、中国的 网络安全法 以及即将生效的 《网络安全审查办法》，都在要求企业建立 完善的安全管理体系，包括 安全教育培训。不合规的代价已不是单纯的罚款，更是 业务合作、品牌信誉、市场准入 的全线受阻。

---

五、号召全员参与信息安全意识培训——共筑安全城墙

1. 培训的目标与价值

• 提升识别能力：让每位同事能够在 5 秒内分辨出钓鱼邮件、伪造工单、假冒登录页的细微差别。
• 强化防御思维：从“被动防御”转向 “主动思考”，在日常工作中主动审查、报告异常。
• 构建安全文化：安全不再是 IT 部门的专属职责，而是 全员的共同责任，形成“安全第一、共享安全”的企业氛围。
• 满足合规要求：通过可量化的培训记录，满足监管部门对 安全教育 的硬性指标。

2. 培训内容概览（即将开启）

模块	关键要点	形式
基础篇	网络钓鱼防范、密码管理、MFA 部署	PPT + 案例演练
进阶篇	SaaS 平台安全、API 访问控制、零信任模型	场景模拟 + 实操实验
专场篇	工单系统安全、供应链安全、内部社交工程	小组讨论 + 角色扮演
实战篇	红蓝对抗、漏洞利用检测、取证与响应	演练平台 + CTF 挑战
复盘篇	近期安全事件复盘、经验教训、改进措施	经验分享 + 互动问答

3. 参与方式与激励机制

• 报名渠道：公司内部门户 → “安全培训中心” → “信息安全意识培训”。
• 培训时间：每周四 14:00‑16:30（线上直播 + 现场互动），可自主选择回放。
• 考核方式：培训结束后进行 30 题选择题，合格率 90% 为及格。
• 激励措施：
  • 合格证书（公司内部荣誉徽章）
  • 积分兑换：可兑换线上课程、电子书、甚至公司咖啡券。
  • 年度安全达人：每季度评选 “安全之星”，荣获公司纪念奖杯及额外年终奖金。

4. “安全自查”行动计划

• 每日 10 分钟：检查邮箱、聊天工具中的陌生链接；检查工单系统是否有异常请求。
• 每周一次：使用公司提供的 域名监控工具，核对企业相关域名是否出现新注册的相似域名。
• 每月一次：参与 安全演练（Phishing Simulation），检验个人防护水平。
• 季度审计：部门负责人与安全团队共同回顾 访问权限、MFA 部署情况，并进行必要的修正。

---

六、结语：让每一次点击都成为安全的“防弹玻璃”

从 Scattered Laps$ Hunters 的“域名错拼”到 Discord 的“伪造工单”，我们看到，攻击者的目标从技术层面转向了最薄弱的人为环节。然而，正因为人是最具可塑性的因素，只要我们 把安全意识 注入每一位员工的工作习惯，把防御思维 融入每一次业务流程，攻击者的每一次尝试都将化为徒劳。

“千里之堤，毁于蚁穴”。让我们一起，从今天起，从每一封邮件、每一次登录、每一个工单做起，用专业的眼光、警觉的心态、不断学习的姿态，筑起 不可逾越的数字防线。信息安全不是一场短跑，而是一场 持久马拉松，唯有全员同行，方能跑到终点，迎来真正的安全未来。

让我们把培训，当作一次“安全体能训练”；把每一次警觉的点击，当作一次“防御力量的升级”。在即将开启的培训中，期待每位同事都能收获知识、提升技巧、并将所学转化为实际行动。共筑安全城墙，共享数字未来！

—— 信息安全意识培训专员 董志军 敬上

在数据合规日益重要的今天，昆明亭长朗然科技有限公司为您提供全面的合规意识培训服务。我们帮助您的团队理解并遵守相关法律法规，降低合规风险，确保业务的稳健发展。期待与您携手，共筑安全合规的坚实后盾。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

前言：一次头脑风暴的灵感迸发

在信息化、数字化、智能化、自动化的浪潮滚滚向前的今天，企业的业务边界早已不局限于“墙内”。同事们常说，今天的公司是“云上办公室”，但你有没有想过，当我们打开一扇“云门”，会不会不小心把黑客请进了我们的客厅？

为了让大家在枕边灯光下思考这个问题，我在最近的安全情报调研中，挑选了两起极具警示意义的案例——一是 Microsoft Teams“客聊”功能的跨租户盲区，二是 OpenAI 数据泄露背后的供应链钓鱼。两者虽然技术栈不同，却都在同一根“信任链”上失足，暴露了企业在跨组织协作时常常忽视的安全细节。下面，我将把这两个案例像剥洋葱一样层层剥开，帮助大家更直观地感受潜在风险，并从中提炼出应对建议。

---

案例一：Microsoft Teams 客聊功能——“客人进屋，防护脱衣”

1. 事件概述

2025 年 11 月，安全研究机构 Ontinue 的安全研究员 Rhys Downing 公开了一篇博客，披露了 Microsoft Teams 中一个被编号为 MC1182004 的默认功能：“允许用户向任意电子邮件地址发起聊天”。该功能本意是提升跨组织沟通的便利性，却在实际使用中形成了一个巨大的安全盲区。

• 当企业员工接受外部组织发来的 Teams Guest 邀请后，系统会把该员工的身份切换为 “Guest”，并默认使用 资源租户（外部租户） 的安全策略，而非 宿主租户（本公司） 的 Defender for Office 365 防护。
• 结果是，若外部租户未开启或禁用了 Defender 的 URL 扫描、文件沙箱、Zero‑Hour Auto‑Purge（ZHAP）等安全功能，攻击者就可以在不触发任何防护的情况下，向受害者发送恶意链接或文件。

2. 攻击链路细化

步骤	攻击者动作	受害者状态	安全防护是否失效
①	在 Azure AD 中快速创建一个 “空壳” Microsoft 365 租户，未开启 Defender	—	—
②	通过 Teams 客聊功能向目标公司内部员工发送邀请邮件，邮件内容伪装成正式会议链接	受害者收到包含 Teams 邀请的邮件	邮件仍经过本公司 Exchange 安全检查（如果已启用）
③	受害者接受邀请，系统自动将其切换到 Guest 身份，并跳转至外部租户的 Teams 环境	防护切换至资源租户	Defender for Office 365 完全失效
④	攻击者发送带有恶意宏的 Word 文档或使用 URL 重定向的钓鱼网站	受害者在 Teams 内点击链接或下载文件	安全检测失效，恶意代码直接落地
⑤	恶意代码在受害者终端执行，获取凭证、横向移动或勒索	企业资产被侵入	难以通过 Defender 检测到前期行为

关键点：安全防护的“边界”不是用户的登录帐号，而是 租户。当用户身份跨租户时，防护随之切换，这一点在传统的“防护随用户”认知中被严重低估。

3. 影响评估

1. 防御盲区扩大：据 Bugcrowd 的资深安全研究员 Julian Brownlow Davies 表示，攻击者只需一次租户部署，即可对数千名员工形成全局性的攻击面。
2. 合规风险上升：若外部租户未符合企业所在行业的合规要求（如 GDPR、PCI‑DSS），跨租户协作本身将导致合规审计的盲点。
3. 业务中断：一次成功的恶意文件或钓鱼链接可能导致勒索软件爆发，直接影响业务系统的可用性。

4. 防御建议（从根本到细节）

层级	措施	实施要点
治理层	制定跨租户访问政策	利用 Microsoft Entra ID（原 Azure AD）中的 Cross‑tenant Access Settings，设置受信任租户白名单，限制 Guest 访问的范围和权限。
技术层	关闭 “Chat with Anyone” 功能	在 Teams 管理中心 → “外部访问” → 关闭 “允许用户向任意电子邮件地址发起聊天”。
监控层	实时审计 Guest 登录	开启 Azure AD Sign‑in logs 的跨租户登录监控，使用 SIEM（如 Sentinel）对异常 Guest 登录进行告警。
培训层	提升员工安全意识	通过案例复盘让用户了解“接受 Guest 邀请 = 防护迁移”，培训点击链接前的检查步骤。
应急层	制定 Guest 失效响应流程	一旦发现 Guest 租户的安全配置异常，立即撤销该租户的 Guest 权限，并启动安全事件响应。

---

案例二：OpenAI 数据泄露——供应链钓鱼的致命一击

1. 事件概述

同样在 2025 年 11 月，科技媒体报道了 OpenAI 因其合作伙伴的钓鱼攻击而导致的大规模数据泄露。攻击者通过伪装成 OpenAI 官方合作方的邮件，诱导内部员工点击恶意链接，植入了 Credential Harvesting（凭证收集）脚本，最终窃取了数十万条用户交互数据与模型训练记录。

2. 攻击链路解析

1. 钓鱼邮件伪装
   • 主题为 “OpenAI Analytics Partnership – Action Required”。
   • 邮件正文使用与官方合作伙伴相同的 LOGO、签名，甚至复制了邮件头的 DKIM/DMARC 记录，极具欺骗性。
2. 恶意链接嵌入
   • 链接指向攻击者自建的子域名（*.openai-analytics.com），通过 HTTPS 加密，难以直接辨别。
   • 实际访问后，页面嵌入了 PowerShell 脚本，尝试在用户浏览器中执行 CORS 绕过，获取浏览器会话令牌。
3. 凭证窃取与横向渗透
   • 窃取的凭证包括 OpenAI 内部管理门户 与 GitHub Enterprise 的访问令牌。
   • 攻击者随后使用这些凭证登录内部代码仓库，下载模型训练数据集，甚至修改模型参数以植入后门。
4. 数据外泄
   • 被窃取的模型训练数据中包含用户的对话历史、敏感信息（如健康、财务），导致 GDPR 违规，监管部门对 OpenAI 处以巨额罚款。

3. 教训与启示

维度	关键失误	影响
供应链管理	未对合作伙伴进行安全合规审计，缺乏邮件安全网关的严苛过滤	供应链入口成为攻击通道
身份认证	部分关键系统使用 静态访问令牌，未开启 MFA	一旦凭证泄露，攻击者可直接横向渗透
数据分类	未对训练数据进行加密存储、访问审计	数据泄露后难以迅速定位来源
安全培训	员工对钓鱼邮件缺乏辨识能力，未形成“疑似邮件需二次确认”文化	钓鱼成功率高

4. 防御措施（针对供应链钓鱼）

1. 邮件安全升级
   • 引入 AI 驱动的反钓鱼网关（如 Microsoft Defender for Office 365），并开启 Safe Links、Safe Attachments 两大安全功能。
   • 对外部合作伙伴的域名实行 SMTP 报文签名（SPF/DKIM/DMARC） 强制校验。
2. 零信任访问
   • 所有内部系统均启用 MFA（多因素认证）和 Conditional Access 策略，限制高风险登录地点与设备。
   • 对 API 访问令牌 设置 最小权限原则 与 短期有效期。
3. 数据加密与审计
   • 对训练数据使用 端到端加密（E2EE），并在数据湖层面开启 访问日志（Audit Log） 和 敏感数据发现（Sensitive Data Discovery）。
   • 引入 数据泄露防护（DLP） 规则，实时拦截异常的数据导出行为。
4. 供应链安全评估
   • 对合作伙伴进行 SOC 2 / ISO 27001 合规审计，签署 供应链安全协议（Supply‑Chain Security Agreement）。
   • 定期开展 供应链渗透测试，验证合作伙伴的安全防护水平。

---

章节小结：从案例到行动

“安全的边界不在于技术的高低，而在于我们对信任链的认知深度。”
—— 引自《孙子兵法·谋攻篇》：“上兵伐谋，其次伐交，其次伐兵，其下攻城。”

两起案例的共同点在于 “信任的转移”——无论是 Teams Guest 的租户切换，还是供应链钓鱼的合作伙伴身份伪装，都让我们在无形中把防线让给了外部。正是这种“信任的错位”，让攻击者得以在我们不设防的地方潜伏。

---

号召：加入信息安全意识培训，点燃防御之光

在数字化转型加速的今天，每位员工都是安全的第一道防线。我们即将在本月底启动 “信息安全意识提升计划（2025‑2026）”，内容涵盖：

1. 跨租户安全机制——深入解读 Teams、Slack、Zoom 等协作平台的跨组织访问模型，防止防护“掉线”。
2. 钓鱼邮件实战演练——通过仿真钓鱼平台，让每位员工亲身体验辨识邮件真伪的全过程。
3. 零信任与 MFA 实施——手把手演示在企业内部系统、云平台以及移动端部署多因素认证的最佳实践。
4. 数据分类与加密——从敏感数据的标记到加密存储，构建全链路的数据防护体系。
5. 供应链安全审计——帮助业务部门了解如何对合作伙伴进行安全评估，确保供应链的每一环都不留下后门。

培训方式：线上微课堂 + 实操实验室 + 案例研讨会
时间安排：每周二、四晚 20:00‑21:30（共 8 期）
报名渠道：企业内部门户 → “学习中心” → “信息安全意识培训”

为什么每位同事都应该主动参与？

• 降低企业风险：一次成功的钓鱼攻击可能导致数十万甚至上千万的损失，防止一次危机往往只需要一段短暂的学习时间。
• 提升个人竞争力：具备信息安全意识和基本技能的员工在行业内更具价值，属于“职业安全加分项”。
• 营造安全文化：当安全成为每个人的日常习惯，企业的整体防御姿态将从“被动防御”转向“主动预警”。

一句话总结：安全不是技术团队的“专利”，而是全员的共识与行动。让我们把每一次点击、每一次分享，都视作一次安全决策的机会。

---

结束语：从“防护盲区”到“安全全景”

信息安全的本质，是在 “未知的威胁” 与 “已知的防御” 之间建立一道可视化的壁垒。我们今天通过分析 Microsoft Teams 客聊功能的跨租户盲区 与 OpenAI 供应链钓鱼泄露 两大案例，已经窥见了现代企业在信任转移时的薄弱环节。

现在，请各位同事把这份警示转化为行动的动力——加入即将开启的 信息安全意识培训，把个人的安全意识提升到组织层面的防御高度。让我们一起推动企业在数字化浪潮中，始终保持“防护在手、安心在心”的状态。

让安全成为每一次协作的底色，让信任永远有据可循。

---

信息安全意识培训 关键字：跨租户 防护 漏洞 钓鱼 供应链

我们提供包括网络安全、物理安全及人员培训等多方面的信息保护服务。昆明亭长朗然科技有限公司的专业团队将为您的企业打造个性化的安全解决方案，欢迎咨询我们如何提升整体防护能力。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898