事件概况：被忽视的安全短板
近期，意大利电信巨头WINDTRE因两起严重的数据泄露事件，被意大利数据保护监管机构处以170万欧元的罚款。此次事件共导致超过36.5万名用户的个人信息被窃取，其中约4.1万名受害者的支付信息（包括银行账号及部分信用卡信息）也在泄露范围内。从我们的应急响应经验来看，企业往往在防御边界投入了大量资源，却在内部权限管理和API治理环节留下了致命隐患。
攻击链分析：从社工到自动化枚举
根据调查，攻击者并未通过复杂的零日漏洞攻击进入核心系统，而是采用了经典的“社交工程+自动化扫描”组合拳。攻击者伪装成技术支持人员，诱导门店员工交出系统访问权限，从而实现了初步的内网渗透。
在获取访问权限后，攻击者利用公司内部API接口发起了大规模的自动查询请求。据统计，攻击者累计发起了约200万次请求，成功枚举并窃取了大量用户敏感数据。这一环节是很多企业容易忽视的，即在关注外部网关防护的同时，往往忽略了内部API接口的鉴权与频率限制，导致攻击者一旦“进门”，便能实现数据的高效批量提取。
关键技术缺陷解析
尽管WINDTRE辩称已部署了多因素认证、防火墙及夜间访问阻断等措施，但监管机构指出其在技术架构上存在两个核心失效点：
第一是数字证书与凭据管理不当。公司的数字证书和私钥未存储在加密保险库或专用的密钥管理系统中，一旦终端设备被攻破，这些核心凭据便直接暴露。
第二是API安全防护覆盖不足。WINDTRE仅对主API接口进行了漏洞扫描，却遗漏了大量内部辅助API接口。这些未受保护的接口缺乏频率限制（Rate Limiting）和验证码校验，直接沦为攻击者数据窃取的通道。类似攻击近年来明显增加，许多企业在进行API安全审计时，往往只覆盖了前端暴露的接口，而忽略了后端内部交互接口的风险。
Solar应急响应建议
此次事件为广大企业敲响了警钟，合规不仅是法律要求，更是防范业务中断的底线。针对此类事件，我们建议企业从以下几个维度加强防护：
首先，强化身份凭据生命周期管理。应强制要求使用企业级密码管理工具，核心密钥必须存储在硬件安全模块（HSM）或加密密钥管理系统中，严禁在本地明文存储。
其次，全面落实API安全治理。建议参照OWASP API Security Top 10标准，对所有API（包括内部辅助接口）实施统一的漏洞扫描、频率限制及异常行为监控。不要因为接口是“内部的”就降低防护等级。
最后，提升全员安全意识。社交工程攻击依然是当前企业面临的最难防范的威胁之一。企业应建立完善的账号权限审批流程，确保即使员工被骗，攻击者也无法直接获取核心数据库的访问权限。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com