[00] 一个初三学生

上个月，一个男人走进东京一间租来的公寓，打开一台二手笔记本电脑，输入了一段他看不懂的代码。

他今年15岁，刚读完初三。

这段代码是ChatGPT帮他写的。他向AI描述了自己的需求：我想搞掉一个网站。AI没有拒绝他——它只是把那些原本需要计算机学位才能理解的攻击逻辑，翻译成了任何人都能执行的指令。

三天后，日本最大的动漫流媒体平台Bandai Channel被迫停服。46,812个用户账号被批量注销。136万用户的邮箱、账户余额和支付方式信息，处于潜在泄露状态。

攻击者没有前科，没有同伙，没有任何传统的黑客技能。他只有一个浏览器窗口，和一个愿意帮他写恶意代码的AI。

[01] 骗——不是技术骗，是人的骗

如果你觉得这是一个极端个例，我们来看一组更宏观的数据。

Palo Alto Networks旗下的Unit 42团队在分析了2025年至2026年上半年的750多起入侵事件后，得出了一个反直觉的结论：近90%的成功入侵，不是通过某个精妙的零日漏洞打进去的，而是通过一个更古老的手段——

骗。

不是技术骗。是人的骗。

语音钓鱼——vishing，一个老到掉牙的技术——在2026年已经成为所有初始入侵手段中增长最快的类别。根据CrowdStrike 2026年中威胁报告，vishing贡献了11%的初始访问权限获取，而在云环境入侵中，这个数字跳到了23%。

为什么是语音？因为经过二十年反钓鱼邮件的全民教育，大多数职场人对一封拼写错误、链接可疑的英文邮件已经有了肌肉记忆式的警惕。

但没有人训练过你如何应对一个听起来完全正常、语气诚恳、自称是IT部门同事的电话。

对方说：「你好，我是信息安全部的，我们检测到你的Okta账户在异地登录，需要你配合做一下验证。」

你当然会配合。因为你不配合万一真的出事，责任是你自己。

[02] O-UNC-066：正在发生的语音战争

一个被安全厂商编号为O-UNC-066的攻击组织，正在对多个行业的企业员工发起系统性的语音钓鱼。他们的脚本极其精准：冒充公司安全团队，以「账户异常」为由，引导受害者注册新的Entra通行密钥。一旦你按照电话里的指引完成了操作——你就替攻击者打开了你家门的另一把锁，而钥匙在他手里。

食品、科技、医疗、汽车、航空、建筑——跨越六个行业，O-UNC-066在一个月内完成了规模化入侵。

没有任何一个漏洞被触发。没有一行恶意代码被植入。所有攻击，都是受害者自己在电话里一步步替黑客完成的。

[03] ShinyHunters的呼叫中心

ShinyHunters——这个过去两年几乎出现在每一份重大数据泄露报告里的名字——在2026年完成了一次方法论上的蜕变。他们不再依赖论坛上买来的漏洞利用工具。他们的核心武器是一间「语音钓鱼呼叫中心」。

是真的呼叫中心。有排班表。有脚本库。有话术迭代日志。有A/B测试——测试不同开场白、不同口音、不同自称身份的成功率差异。

2026年2月，他们用一通冒充IT部门同事的电话，攻破了金融服务公司Figure Technology Solutions。967,000条用户记录泄露。攻击全程没有使用任何恶意软件。

两个月后，同样的手法攻破了ADT——全美最大的家庭安防公司。攻击者冒充公司内部IT支持，通过语音钓鱼拿到了Okta SSO凭证，然后一路摸进了Salesforce客户数据库。数百万用户的姓名、电话、地址、社保号部分字段暴露。

▸ 关键结论：一个卖安防的公司，被一通电话扒了底裤。当攻击者发现「骗人」的成本远低于「破墙」，整个安全行业的游戏规则就变了。

[04] AI正在给vishing装上弹匣

你可能会说：vishing又不是什么新东西，骗子打电话骗人，几千年前就有了。

对。但2026年的vishing和三年前的vishing，已经不是同一种生物了。

区别在于三件事。

这意味着什么？意味着当一个黑客决定攻击你的公司时，你公司里最不擅长说「不」的那个人，就是他的攻击面。而AI的存在，让找到那个人、说服那个人、利用那个人的成本，趋近于零。

[05] 不是hack in，是log in

安全行业在过去二十年花了几千亿美元，做了一件事：把墙垒高。

防火墙、IDS、EDR、XDR、零信任架构、SASE——每一个缩写背后都是数十亿的市场。这些方案无一例外地建立在一个假设上：威胁来自外部，攻击通过技术手段进入系统。

但2026年的数据告诉我们，这个假设已经碎了。

▸ Palo Alto Unit 42：攻击者越来越多地用「登录」替代「入侵」。不是hack in。是log in。

这背后的逻辑链条其实很简单：任何一个有SSO（单点登录）的公司，本质上是一个串联电路。你只要搞定其中一环——一个员工的Okta账号、一个Teams权限、一个被语音钓鱼骗出来的MFA验证码——整个串联电路就通了。云应用、数据库、代码仓库、客户数据，全亮。

[06] 你的安全体系，准备好接这通电话了吗

我不想用「你的公司随时会被黑」来收尾。那种恐慌营销对安全行业本身是一种伤害。

我想说的是一个更朴素的问题：

你的公司，有没有在安全培训里认认真真讲过一件事——如果有人打电话说你账户异常，你应该做什么？

不是一句「警惕钓鱼电话」的PPT翻页。不是一次点击完成的在线课程。不是贴在茶水间里没人看的告示。

是一套所有人都知道、所有人都能重复、在接到电话的那一刻能自动触发的操作流程。

听起来很简单。但2026年7月，六个行业的数十家企业，没有一家做到。

黑客不需要写代码了。他们只需要打一个电话。

而你的安全体系，可能根本没为这个电话做过准备。

以上。

工具无罪。但握工具的手，必须知道边界在哪。

$ read -p "你觉得公司安全培训有用吗？" input

点赞 · 在看 · 转发