没人撬门，密码是自己送出去的

2022年9月，Rockstar Games被攻破的时候，攻击者没有用到任何一个边界漏洞。没有防火墙穿越，没有0day，没有VPN口子。他们拿走的，是一枚可信的身份凭证。

2026年9月，Lares发布的一份关联分析把Rockstar Games历年遭遇的几起事件串成了一条主线：MFA疲劳轰炸、OAuth令牌窃取、开发流水线失守。同一时期，假冒ChatGPT、Claude、Gemini广告的钓鱼平台仍在收割广告从业者，ASOS则被攻击者借着第三方通知渠道公开喊话威胁。

三件事，三个行业，一个共同点：门锁没坏，是有人被拿到了钥匙。安全圈私下流传一句话——『现在最贵的不是漏洞，是会话』。这篇文章想讲清楚的，就是这条新攻击面的产业逻辑。

🚪 没有漏洞利用的入侵

先回到那起最著名的案件。2022年9月，与Lapsus$关联的入侵行动让Rockstar Games约90份GTA相关的内部资产外流——其中大量是尚未发布的开发内容，直接捅穿了公司多年经营的信息隔离。对一家靠『保密发行』制造惊奇的游戏公司来说，这次泄露的商业伤害不亚于任何一次勒索加密。

真正值得琢磨的是入侵路径。Lares在2026年9月的分析里给出的框架是：攻击者先通过社会工程拿到初步凭证，随后依赖两种被广泛低估的技法——MFA疲劳与OAuth令牌窃取——完成纵深突破。需要说明的是，Lares自己也标注了：其中若干攻击细节属于研判推断，而非经独立取证的确定性结论。这恰恰是这个领域目前的常态——很多『攻击还原』停留在合理推演层面。

但这不影响结论的分量。这起事件最反常识的地方在于：整条链路上没有任何一处依赖边界漏洞利用。攻击者没有绕过防火墙，而是被防火墙当成了合法用户放进去。

这就是所谓『无边界漏洞入侵』（exploitless intrusion）的典型样本。攻击者利用的不是代码缺陷，而是流程缺陷——人会点『允许』，令牌会过期于不该过期的位置，开发环境的资产暴露程度远超想象。

对产业的判断很直接：安全预算如果还压在网络边界和终端防护上，倾斜方向已经偏了。身份侧的投入——抗钓鱼MFA、会话风控、令牌生命周期管理——才是这轮攻防的中心。下面这张链路图，是三条事件共同收敛出的攻击骨架：

🔓 令牌即钥匙：被低估的OAuth风险

金句开场：密码可以改，令牌忘了吊销就是永远的门禁卡。

MFA疲劳的机理并不复杂。攻击者拿到用户名密码后，持续触发推送认证，一天几十上百次。凌晨两点第43次弹出『是否允许登录』时，绝大多数人会做出那个致命动作——点允许，只求清净。这不是技术攻破，是把人熬到放弃。

而OAuth令牌窃取则是更隐蔽的一层。用户完成MFA之后，应用获得的往往是一个长期有效的令牌。攻击者只要在认证流程的某个环节截获这个令牌，后续访问就完全绕开了MFA——系统看到的是『已认证会话』，而不是『第二个人在用这个会话』。密码改了、MFA没关，也拦不住。

Lares的分析正是把这两点作为Rockstar Games事件的核心线索。同时点名的还有第三块：开发流水线安全。游戏公司的开发资产——构建环境、素材仓库、内部协作工具——权限设计常常以『方便』为先。开发资产暴露面一旦失守，攻击者拿到的不是一条数据，而是持续产出敏感内容的水龙头。

三块拼在一起，构成一个完整的产业判断：身份体系的薄弱环节已经从『认证』转移到『认证之后』。会话管理、令牌绑定、设备指纹、持续验证（Continuous Access Evaluation）这些词，正在从Gartner报告里的概念变成采购清单上的硬需求。

顺带说一句行业现状：不少企业的SSO控制台里，躺着大量几年前接入、早已无人认领的OAuth应用。每个都是一枚潜在的万能钥匙。据多位做过红队的朋友讲，这类『僵尸授权』几乎是每次内部攻防演练的必得分项。清点令牌授权这项工作，枯燥但性价比极高。

🎣 AI的脸，贼的手

2026年仍在活跃的另一个战场，把身份攻击包装得更加体面。

一个由人工运营的钓鱼平台，正在投放假冒ChatGPT、Claude、Gemini的广告，目标锁定广告行业从业者。 researchers在调查期间观察到了数百次受害者提交，且行动在曝光后仍未停止——这是一门还在赚钱的『生意』。

它的聪明之处在于话术设计。攻击者不弹一个裸露的密码框，而是先讲一个合理的商业故事：帮你优化投放、提升消费效率、串联账户体系。受害者顺着这套工作流一路点下去，直到在一张和真页面几乎无差别的『账户连接』页面上交出凭证和MFA确认。技术上，这叫浏览器中的浏览器（Browser-in-the-Browser，BitB）：用页面内的假窗口冒充真实弹窗，连地址栏都能伪造。

这里有一条值得从业者警觉的产业逻辑。AI产品的广告投放生态本身就是攻击者的分发渠道——你搜索AI工具，点开的『 sponsored 』可能就是贼船。广告平台对假冒品牌的下架速度，直接决定了这类攻击的成本曲线。而攻击者选择广告从业者作为目标，是因为广告账户背后是真金白银的投放预算，接管一个账户的变现路径短、变现快。

判断同样明确：钓鱼的载体在升级，检测的重点必须跟着走。传统邮件网关防不住搜索引擎和社媒里的恶意广告；FIDO2/passkey这类把『验证绑定在域名上』的技术，是少数能在BitB场景下真正折断攻击链的手段——假窗口再像，域名不对，passkey就是不出手。

📣 第三方渠道成了扩音器

第三个案例更荒诞一些，也更能说明当下攻击生态的『传播学转向』。

ASOS近期确认正在调查涉及第三方客户通信平台的未授权活动。一批消费者收到了App推送通知，内容直指平台存在数据泄露——这是攻击者劫持了零售商触达客户的官方通道，把通知系统变成了自己的扩音器。攻击者同时声称已经进入ASOS的Snowflake环境，但截至目前这一说法未经证实。

这里必须保持技术上的冷静：能发通知，不等于拿到了数据库。劫持一个客户通信SaaS的推送权限，和攻破一个数据仓库，是两个完全不同量级的攻击成果。攻击者深谙此道——威胁往往比入侵更值钱。一条从官方渠道发出的『数据可能泄露』通知，能在几小时内制造消费者恐慌、监管关注和股价压力，而攻击者实际付出的成本可能只是窃取了一个第三方平台的账号。

把三起事件放进一张表里，规律一目了然：

三条线索指向同一个结构性问题：企业的攻击面已经不再由自己定义。你的客户沟通平台、你的广告投放渠道、你接入的每一个OAuth应用，都是别人手里的入口。第三方SaaS治理——包括最小权限、出口通道隔离、异常行为审计——必须从『合规动作』升级为『安全基建』。Snowflake相关的一系列行业风波之后，数据仓库本身的防护在加强，但围绕它的边缘生态，仍是软肋。

🧭 换锁，而不是多买几把锁

把三个案例放回一起，产业层面的结论其实只有一句话：攻击者已经从『攻破系统』全面转向『冒充用户』。

这不是趋势预测，是已经发生的事实迁移。Rockstar Games的教训、假AI广告的持续活跃、ASOS的渠道劫持，共同勾勒出2026年的攻击基本面：边界漏洞越来越难找，而身份凭证越来越容易拿。对防守方来说，意味着三件事的优先级需要重排。

第一，MFA必须升级。推送式认证天然适合被疲劳轰炸，逐步替换为数字匹配（number matching）乃至passkey，是成本最低、收益最确定的改造。第二，令牌要有生命周期。会话绑定设备与风险信号、敏感操作二次验证、定期清理僵尸OAuth授权——这些工作不性感，但直接决定『认证之后』的安全水位。第三，第三方渠道纳入威胁模型。能替你说话的系统，也能替攻击者说话。

时间线可以佐证这个转变有多快：

四年时间，行业叙事从『有没有0day』变成了『凭证是怎么丢的』。这不是防守方的失败，而是攻防重心的自然转移——边界在云化中溶解，身份成了唯一稳定的 perimeter。谁能先把预算、流程和注意力挪到这条新边界上，谁就先拿到这轮攻防的主动权。

小结

三起事件，没有一起靠漏洞撬门，全部靠身份入场。Rockstar Games验证了MFA疲劳与令牌窃取的杀伤力，假AI广告证明了BitB钓鱼的商业化成熟度，ASOS则示范了第三方渠道如何被武器化。2027年，身份侧攻防只会更烈：passkey普及速度、令牌治理工具化程度、广告平台的假冒品牌治理，将是三个最值得盯的观察点。门锁没坏的时代结束了——现在的安全，取决于钥匙由谁保管。