云与SaaS：攻击者眼中的新价值洼地
在近期的威胁情报监测中，我们发现网络攻击的重心正在发生根本性偏移。随着企业数字化转型的深入，云平台与SaaS应用已成为攻击者的首要目标。从我们的应急响应经验来看，攻击者早已放弃了单纯的“暴力破解”或“漏洞利用”模式，转而深耕于“身份劫持”这一核心领域。
在2026年上半年，攻击者不再仅仅满足于获取账号密码，而是将魔爪伸向了邮件认证、云配置权限、软件供应链以及AI网关等环节。这标志着“信任”本身已成为企业最大的攻击面。
攻击链的演进：从凭据窃取到信任继承
现代攻击链的复杂性在于其隐蔽性。当攻击者成功入侵一个SaaS账号后，他们往往不会立即触发警报，而是通过修改收件箱规则、植入钓鱼链接等方式，在邮件、SaaS应用和网络层之间横向移动。
这一环节是很多企业容易忽视的。因为每一个单点行为在安全日志中看起来都像“合法操作”，只有将碎片化的行为串联起来，才能发现这是一场精心策划的入侵。类似攻击近年来明显增加，攻击者不再需要费力绕过安全控制，而是通过劫持合法身份或利用管理员工具，直接“继承”了企业的信任权限。
供应链与基础设施的沦陷
除了身份攻击，供应链劫持也进入了高发期。攻击者通过劫持广泛使用的JavaScript库，或者利用合法的区块链基础设施分发信息窃取木马（如AMOS、Phexia），从而绕过传统的防御边界。这种手法特别针对资源有限的中小企业，通过“借力打力”的方式，将攻击范围迅速扩大。
AI赋能：攻击效率的指数级跃升
AI技术在安全领域的双刃剑效应愈发明显。攻击者正在利用大语言模型（LLM）快速生成漏洞利用代码，甚至实现了从漏洞披露到自动化攻击的极速转化。近期出现的所谓“全AI驱动”勒索软件攻击案例，展示了从漏洞发现、渗透到加密的全流程自动化，这无疑给企业的应急响应速度提出了前所未有的挑战。
Solar应急响应团队的安全建议
面对日益复杂的云环境威胁，我们建议企业从以下几个维度构建纵深防御体系：
第一，重塑身份安全边界。身份已成为新的防火墙。除了多因素认证（MFA），企业应引入基于风险的身份访问管理（IAM），对非人类身份（如API密钥、服务账号）进行严格的生命周期管理。
第二，关注“行为基线”而非“静态规则”。传统的基于特征码的防御已无法应对定制化的钓鱼攻击。建议部署能够进行用户行为分析（UBA）的系统，重点监控异常的数据访问、权限变更及跨应用的操作联动。
第三，强化供应链安全审查。对于开发环境和CI/CD流水线中使用的第三方组件，必须建立严格的准入机制和安全审计流程，避免“信任”被滥用。
第四，提升自动化防御能力。面对AI驱动的攻击，企业必须缩短威胁发现与响应的MTTR（平均响应时间），考虑引入自动化编排响应（SOAR）工具，以应对攻击者规模化、自动化的入侵尝试。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com