2023年最危險的網絡安全威脅

網絡安全專家日前分享了他們對2023年最具影響力的威脅載體和網絡風險的預測，調研機構的報告揭示了網絡安全專家認為在2023年帶來重大影響的威脅載體，并就如何最好地應對這些威脅提出了建議。

當安全機構Cyber Security Hub在2022年年中調查哪些威脅載體對企業構成最危險的威脅時，75%的網絡安全專業人員表示是社交工程和網絡釣魚。自從調查結束以來，Dropbox、Revolut、Twilio、Uber、LastPass和萬豪國際等多家組織和企業都遭受了此類攻擊，這進一步凸顯了網絡安全從業者對網絡釣魚威脅保持警惕的重要性。

企業應該了解這些威脅載體，以及向預防和減輕威脅的網絡安全專業人員咨詢網絡安全威脅的預測至關重要。

根據市場研究和咨詢機構Acumen Research and Consulting公司的預測，到2030年，基于人工智能的網絡安全產品的全球市場規模將達到1338億美元，與2021 年149億美元的市場規模相比將增長798%。

Cyber Security Hub的研究支持了這一預測，將近五分之一(19%)的網絡安全專業人士在調查中聲稱他們的公司正在投資人工智能和自動化的網絡安全。然而，隨著自動化和人工智能使用的增加，針對這些數字解決方案的網絡攻擊也會越來越多。

隨著人工智能和機器學習的發展，這些技術已經更全面地集成到從燈泡、音箱到汽車的智能設備中。到2025年，全球預計將安裝754億臺物聯網連接設備，因此，這些智能設備預計將在2023年成為網絡攻擊目標，這并不足為奇。

英國航空航天技術開發商Aerospheres公司的質量評估員Tina Grant預測，針對智能設備的網絡攻擊將主要影響具有多個攻擊點的自動設備，例如智能汽車。

Grant說：“如今的汽車配備了自動功能，包括安全氣囊、動力轉向、門鎖和自適應巡航控制輔助系統。這些車輛使用藍牙和WiFi連接技術，這使它們面臨許多安全漏洞或黑客威脅。到2023年，隨著更多的自動駕駛汽車上路，預計控制它們或收聽對話的嘗試將會增加。自動駕駛汽車采用了更復雜的過程，需要采取更嚴格的網絡安全防范措施。”

網絡安全研究員、網絡安全軟件開發商Columbo Tech公司創始人David Columbo已經探討過這樣的網絡安全問題的危險。

Columbo在2022年1月發布的一系列推文中解釋說，他入侵并遠程訪問了10個國家的20多輛特斯拉汽車，他可以遠程運行命令，而這些車主卻不知情。雖然Columbo沒有完全的遠程控制，這意味著不能遠程控制轉向、加速或制動。但他指出，即使是一些遠程控制的訪問也會危及車主的人身安全。

為了證明這一點，Columbo表示可以通過音箱播放Rick Astley的《永不放棄》歌曲對這些特斯拉車主實施惡作劇。他承認，雖然這看起來無害，但遠程播放響亮的音樂、打開門窗或反復閃爍汽車大燈不僅會危及車主的人身安全，而且也會危及道路上其他汽車駕駛員的安全，尤其是當汽車在高速行駛或在繁忙地區行駛時。

因此，即使惡意行為者只能獲得遠程設備的部分控制權，也可能帶來潛在的毀滅性后果。

網絡釣魚和社交工程

2022年，網絡釣魚攻擊激增，國際財團和欺詐預防組織反網絡釣魚工作組在2022年前三個季度共記錄了全球有3394662次網絡釣魚攻擊。第一季度的攻擊達到1025968次，第二季度的攻擊達到1097811次，第三季度的攻擊達到1270883次，每個季度都打破了以往最高的季度記錄。

金融保護服務商Brightwell公司的總經理Ernie Moran認為，2023年網絡釣魚攻擊事件將繼續上升，因為越來越多的人通過網絡犯罪來獲取經濟利益。

他解釋說：“今年的經濟低迷肯定會導致2023年承擔額外風險實施欺詐的個人增加，但許多金融機構仍然沒有準備好識別和采取行動，以應對協調一致的、有針對性的欺詐攻擊。”

Moran還預測，電子商務網站將受到特別嚴重的打擊，因為它們很容易受到銀行識別號碼(BIN)攻擊，欺詐者通過網絡釣魚或社交工程攻擊獲得不完整的銀行卡詳細信息(即銀行卡的前六個號碼)，再使用軟件隨機生成所需的其余信息。然后，惡意行為者將使用電子商務網站來測試細節是否正確或銀行卡是否處于激活狀態。

Moran總結道，沒有證據表明支付生態系統的收單方將在2023年做出必要的改變，以限制欺詐者利用這些漏洞的能力。

網絡犯罪即服務

市場和消費者數據服務商Statista公司估計，到2025年，全球網絡犯罪造成的損失將達到10.5萬億美元。區塊鏈分析機構Chainalysis公司在其發布的調查報告中聲稱，僅在2022年1月至10月期間，網絡犯罪分子就通過基于加密貨幣的網絡攻擊竊取了30多億美元，網絡犯罪正成為黑客有利可圖的業務。

隨著網絡犯罪越來越成為惡意行為者的收入來源，一些人開始轉向更廣泛的社區提供收費服務。網絡犯罪即服務使不法分子能夠向他人提供黑客服務并收取費用。2022年，Meta公司的一名員工因涉嫌利用其員工特權劫持并允許未經授權訪問Facebook個人資料而被解雇，并向其“客戶”收取價值數千美元的比特幣。

網絡安全專家、網絡犯罪播客What the Hack的主持人Adam Levin認為，使黑客能夠提供服務的平臺將成為2023年的頭號安全威脅。Levin解釋說，這是因為犯罪分子正在使用威脅行為者創建的日益復雜的軟件，并以訂閱模式銷售這些軟件，用于欺騙消費者和企業。Levin表示，最常見的網絡犯罪即服務軟件產品是網絡釣魚和勒索軟件。

他解釋說，網絡犯罪即服務軟件非常危險，因為它使無論技術水平如何的任何人能夠進行網絡釣魚、勒索軟件、分布式拒絕服務和其他網絡攻擊。他進一步預測，2023年，犯罪軟件企業將繼續威脅任何規模的企業，正如2022年針對微軟、Dropbox、Medibank、優步和Rockstar Games等公司的攻擊一樣。

Levin預測，在未來一年，網絡犯罪即服務平臺背后的網絡犯罪組織數量將會增長，因為與直接針對受害者且風險更低的網絡犯罪分子相比，他們能夠讓初級網絡犯罪分子實施犯罪，從而更多地獲利。

在考慮如何防御網絡犯罪即服務攻擊時，Levin表示，這些類型的攻擊可以通過定期的網絡安全培訓、滲透測試、多因素身份驗證的使用和零信任架構的實現來緩解。

網絡攻擊中使用的多種威脅向量

2022年6月1日，Google Cloud Armour的一名用戶遭到有史以來規模最大的DDoS攻擊。該用戶被HTTPS攻擊了69分鐘，來自132個國家的5256個源IP參與了攻擊。谷歌公司聲稱，這是迄今為止報告的規模最大的7層DDoS攻擊，與之前的記錄相比高出76%。Google Cloud Armour高級產品經理Emil Kiner和技術主管Satya Konduru在撰寫的一篇博客文章中指出，這次攻擊被比喻為“在短短10秒內收到維基百科的所有日常請求”。

現在有可能進行如此大規模的DDoS攻擊，黑客們正在利用造成的中斷進行多向量攻擊。企業在對抗一種威脅載體的同時，也會遭到另一種威脅載體的攻擊。

科技新聞網站tech.co的高級作家Aaron Drapkin解釋說，到2023年，這將讓位于“三次勒索企圖”的上升。他解釋說，在這些攻擊中，勒索軟件團伙不僅會試圖加密數據，然后竊取數據并索要贖金，還會策劃其他類型的攻擊，例如DDoS攻擊或威脅泄露受害者的數據。

Drapkin警告說，如果再加上Adam Levin的威脅向量預測(網絡犯罪即服務)，這些多重攻擊向量可能會變得更加危險。這是因為如果將策劃這些額外網絡攻擊所需的技術或指令納入商業可用的勒索軟件即服務包中，復雜的攻擊可能由一系列惡意行為者發起，而不是少數幾個群體。

對云服務的攻擊

隨著全球各地的企業員工繼續實施遠程工作或混合工作，對云遷移的需求變得明顯。視頻會議軟件開發商Owl Labs公司的研究表明，在全球范圍內，選擇遠程工作的員工數量增加了24%。

隨著企業將部分或全部資產遷移到云中，對云安全的需求也在增加。根據Cyber Security Hub公司的調查，四分之一(25%)的網絡安全專業人士表示，他們的公司正在投資云安全技術或措施。

技術咨詢網站Software Test Tips的創始人兼首席執行官Abdul Rahim表示，很多企業在未來一年將需要進行投資。他解釋說，云計算服務使用戶能夠在世界任何地方訪問其公司的應用程序、文件和資源，這是云計算服務對企業最大的賣點，但也是其最大的弱點。

家電維修網站Appliance Geeked公司的首席執行官兼創始人Matt Kerr指出，雖然基于云計算的數據存儲可以配備網絡安全措施來防止數據泄露，但如果一家企業擁有大量有價值的客戶數據，即使是部分泄露也會產生深遠的負面影響。這是因為企業的云存儲包含“大量非常有價值的數據”，即使網絡攻擊者只能訪問這些數據的一小部分，他們也可以用這些數據造成真正的破壞。

2022年9月發生的Revolut數據泄露事件就是一個例子。盡管Revolut報告稱，該漏洞僅影響了該公司0.16%的客戶，但實際上，這意味著超過5萬名用戶的個人數據被訪問。

Aerospheres公司的Tina Grant解釋說，保持云存儲的安全需要企業定期審查和改進他們的安全程序。她表示，像谷歌云和微軟Azure提供的云存儲程序可能有強大的安全措施，但客戶端的錯誤可能會導致危險的惡意軟件和在線詐騙，從而導致云存儲泄露。

第三方接入風險

隨著云遷移的到來，許多企業正在將第三方軟件解決方案整合到他們的公司基礎設施中。然而，許多網絡安全專業人士對這一決定帶來的風險持謹慎態度，三分之一以上(36%)的網絡安全專業人士向Cyber Security Hub報告，供應鏈/第三方風險是其網絡安全的最大威脅。

網絡設計商Collegeray公司的數字顧問、網絡設計師和數據處理人員David Attard認為，2023年，由于第三方訪問而導致的數據泄露將會增加。他解釋說，這將特別影響醫療保健、教育和制造業的公司，因為它們缺乏第三方訪問的安全性，特別容易受到這些攻擊媒介的攻擊，而這一點在2023年不太可能改變。

這些行業沒有專人負責管理第三方風險，然而，只有大約39%的制造業實施了第三方安全措施。網絡攻擊的數量只會增加，除非實施“最低特權訪問”等做法。

2022年10月，汽車制造商豐田公司的源代碼被發布在GitHub上。該代碼是在第三方開發承包商對公司數據處理不當之后對外泄露的，在2017年12月至2022年9月15日的數據對外可見。這可能導致惡意行為者訪問296019名客戶的個人數據。

缺乏網絡安全知識

預計到2023年，人為錯誤仍將是網絡安全威脅的主要因素。2022年，世界經濟論壇的研究發現，95%的網絡安全問題可以追溯到人為錯誤。同樣，近三分之一的網絡安全專業人員(30%)表示，缺乏網絡安全專業知識是其所在公司網絡安全的頭號威脅。

德克薩斯州的網絡安全和國家安全專家查爾Charles Denyer引用了Verizon公司的《2022年數據泄露調查報告》，報告指出，“四分之一(82%)的數據泄露可歸因于人為錯誤”。

因此，Denyer說：“在確保企業數字資產的安全和保障時，網絡安全意識培訓仍然是最好和最有價值的投資回報。”

他說，這是因為用戶越具有網絡安全的知識和意識，就越有機會保護自己的資產。