2025年英國政府一份報告擺出了刺眼數(shù)字：43%的企業(yè)、30%的慈善機構(gòu)在過去一年遭遇網(wǎng)絡(luò)攻擊，漲幅遠(yuǎn)超往年。但更反常的是攻擊者的胃口——他們開始把兒童照片掛上暗網(wǎng)， ransom（勒索贖金）只是附贈品，真正的戰(zhàn)利品是社交媒體上的轉(zhuǎn)發(fā)量。

這種轉(zhuǎn)變讓安全團隊措手不及。Rubrik企業(yè)CTO Chris Krebs打了個比方：以前防的是搶銀行的，現(xiàn)在防的是直播砸店的。

從"要錢"到"要臉"：攻擊者的動機遷移

Scattered Spider團伙的操作很說明問題。他們?nèi)肭?nursery（托兒所）運營商Kido后，把3-5歲兒童的日常照片、醫(yī)療記錄、家長聯(lián)系方式打包上傳暗網(wǎng)，標(biāo)價贖金的同時留了句"歡迎截圖發(fā)推"。

這不是個案。 Krebs在Rubrik年度威脅復(fù)盤里提到，2024下半年以來，"表演型攻擊"占比從12%躥升到31%。攻擊者會在加密數(shù)據(jù)前故意留下后門，方便受害者"直播"崩潰過程；會在暗網(wǎng)論壇開投票帖，讓圍觀者決定下一個目標(biāo)行業(yè)。

一位化名"Null"的分析師追蹤了17個新興黑客頻道，發(fā)現(xiàn)成員平均年齡19歲，發(fā)帖高頻詞從"payday（發(fā)薪日）"變成了"clout（影響力）"。

翻譯成人話：偷錢是為了買跑車，現(xiàn)在偷數(shù)據(jù)是為了買粉絲。

CISO的盲區(qū)：理性模型遭遇非理性敵人

傳統(tǒng)安全預(yù)算的邏輯是"保護高價值資產(chǎn)"——哪里錢多，哪里堆人。但Kido案里，托兒所的IT預(yù)算不到銀行的0.3%，攻擊者卻花了三周做滲透測試，遠(yuǎn)超"性價比"。

Krebs的原話是：「我們訓(xùn)練CISO用ROI（投資回報率）思維，但對手在用多巴胺思維?！?/p>

這種錯配體現(xiàn)在響應(yīng)速度上。Kido從首次告警到數(shù)據(jù)泄露公開，間隔71小時，而同類金融攻擊平均響應(yīng)窗口是9小時。為什么？因為安全團隊按"勒索軟件標(biāo)準(zhǔn)流程"走，沒料到對方根本不想談判，只想看輿論爆炸。

更隱蔽的是"混沌制造者"群體。他們不圖錢、不圖名，攻擊動機欄填的是"for the lulz（圖一樂）"。2024年12月，某醫(yī)療云平臺被刪庫，攻擊者在日志里留了一行："你們的備份策略比我的作業(yè)還爛。"

防御重構(gòu)：當(dāng)威脅模型變成人格分析

Rubrik給客戶的建議聽起來像心理咨詢：給攻擊者"畫像"時，要加一欄"社交媒體活躍度"。

具體操作上，他們把威脅情報分成了兩條線。一條繼續(xù)追蹤漏洞利用、惡意軟件樣本；另一條監(jiān)控Telegram頻道、暗網(wǎng)論壇的"熱度帖"，識別哪些企業(yè)正在被"選角"。

有個細(xì)節(jié)很反直覺。Krebs團隊發(fā)現(xiàn)，表演型攻擊者在前期偵察階段反而更謹(jǐn)慎——他們會注冊多個馬甲賬號測試企業(yè)響應(yīng)，像網(wǎng)紅測算法推薦一樣。這意味著傳統(tǒng)的"蜜罐"陷阱需要升級，要模擬出"值得被直播"的脆弱感，而不是單純的防御漏洞。

預(yù)算分配也在變。Rubrik 2025年Q1的客戶調(diào)研顯示，"輿情響應(yīng)"在安全支出中的占比從3%提到11%，包括預(yù)置的律師函模板、暗網(wǎng)監(jiān)控服務(wù)、甚至TikTok關(guān)鍵詞預(yù)警。

暗流：當(dāng)犯罪變成內(nèi)容生產(chǎn)

回到Kido案。數(shù)據(jù)泄露一周后，暗網(wǎng)出現(xiàn)了該事件的"導(dǎo)演剪輯版"——攻擊者把入侵過程剪成15分鐘視頻，配了電子樂，評論區(qū)有人出價0.4比特幣買"制作教程"。

這指向一個更深層的變化：網(wǎng)絡(luò)攻擊正在內(nèi)容化。就像極限運動視頻有贊助商，某些黑客頻道開始接"暗廣"——在攻擊演示里植入VPN或加密貨幣錢包的推廣鏈接。

Krebs的警告是，2026年CISO可能要同時對付兩種敵人：一種想清空你的賬戶，一種想清空你的尊嚴(yán)。而后者更難定價，也更難和解。

英國國家網(wǎng)絡(luò)安全中心（NCSC）在2025年1月更新了事件響應(yīng)指南，新增了一條：「評估泄露內(nèi)容的'傳播潛力'，優(yōu)先阻斷可能被二次創(chuàng)作的材料?！?/p>

換句話說，現(xiàn)在防黑客得像防狗仔——不僅要鎖門，還得檢查窗簾透光角度。

Chris Krebs在復(fù)盤結(jié)尾提了件事：某客戶在被攻擊后收到黑客私信，對方?jīng)]要贖金，只問"你們CEO的LinkedIn能互關(guān)嗎"。

如果你是CISO，下次做威脅演練時，會把這個場景寫進(jìn)劇本嗎？