2026年Unit42全球事件响应报告

核心观点与关键数据

• 人工智能成为威胁倍增器：人工智能缩短了攻击生命周期，提高了攻击速度和规模，并创造了新的攻击途径。到2025年，最快攻击的数据泄露速度翻了两番。攻击者利用AI进行漏洞利用、勒索软件部署、社会工程和自动化响应，显著降低了攻击所需的人力。
• 身份成为攻击成功的关键：65%的初始访问是由基于身份的技术驱动的。攻击者利用被盗凭证、会话劫持和身份弱点进行横向移动，大多数违规行为（超过90%）是由可预防的配置错误或安全覆盖范围不足造成的。
• 软件供应链风险扩大：软件即服务（SaaS）集成、供应商工具和应用程序依赖关系成为攻击目标，导致影响从孤立的安全漏洞转变为广泛的运营中断。2025年，来自SaaS应用的数据与23%的案件相关。
• 国家行为者适应现代环境：国家行为者采用潜行和持久战策略，利用角色驱动的渗透、合成身份和AI增强技术进行攻击。中国关联威胁活动转向基础设施和虚拟化层级的利用，朝鲜和伊朗运营商扩大了使用招募诱饵和合成人物进行攻击的范围。

攻击面与入侵模式

• 多攻击面入侵：87%的入侵涉及两个或更多攻击面，包括端点、网络、云基础设施、SaaS应用和身份。身份在许多事件中占据突出地位，占比近90%。
• 初始访问途径：钓鱼攻击和漏洞利用是主要的初始访问途径，各占22%。大型企业更易受漏洞利用影响，而小型组织更易受钓鱼攻击影响。
• 攻击速度加快：最快的25%的入侵在72分钟内完成窃取，相比之下，前一年的这一数字是285分钟。数据泄露的中位数时间为两天。
• 勒索趋势变化：加密不再是勒索软件的唯一手段，数据盗窃和勒索骚扰也成为重要手段。2025年，勒索案件中加密出现的比例为78%，低于2021-2024年的近90%。

防御建议

• 提升可见性：整合来自身份提供者、云平台和SaaS应用的遥测数据，形成统一视图，以机器速度检测和遏制威胁。
• 采用零信任：执行最小权限原则，持续验证用户、设备和应用，以限制攻击者的移动范围。
• 保护身份：集中管理人类和机器身份，消除静态管理员权限，并盘点和轮换机器身份。
• 保障供应链安全：硬化构建摄取，审计供应商和集成活动，并确保软件和人工智能供应链的安全。
• 确保攻击面和安全界面安全：保护未管理的承包商设备、面向公众的云资产和浏览器会话，并采用企业级安全浏览器。
• 自动化响应：授权自动化实时威胁响应，以机器速度隔离受影响系统、启动取证扫描和修复威胁。
• 主动安全：从被动防御转向主动防御，进行持续的对抗性测试，并验证控制措施在现实条件下的表现。
• 加强身份治理：将身份视为动态操作系统，定期审查权限，并消除治理漂移。
• 保护AI系统：确保人工智能和自动化系统的完整性，并监控其使用情况。
• 将安全融入开发流程：将安全防护措施集成到DevOps和CI/CD流程中，以在部署前识别和修复漏洞。