黑客不再砸门，改偷钥匙了

最近三起互不相关的安全事件，拼出了一个不太舒服的结论：防火墙还立着，但钥匙串早就被人顺走了。

一边是韩国两家最大规模的教会组织被入侵，攻击者用的是 ERP 系统 Web Shell 加上越权漏洞的组合拳；一边是超过 100 个被挂马的网站在分发一个伪装成「Microsoft Office Word Editor」的恶意浏览器扩展；再一边是 Rockstar Games 两次被攻破的复盘，Meta 推送轰炸和 OAuth 令牌窃取被摆上台面。

三条链条没有零日漏洞大杀器，没有边界突破。攻击者全程都在偷身份、借身份、滥用身份。这不是巧合，是路线。

⛪ 教堂失窃案：ERP 是后门，越权是门缝

最坚固的组织，往往败在最不起眼的缝隙上。

Oasis Security 发布的分析披露了一起耐人寻味的入侵：韩国两家最大的教会先后失守。攻击链条并不复杂——先在 ERP 系统里种下 Web Shell 拿住落脚点，接着利用特权数据库访问横向扩大战果，配合泄露的凭据和失效的授权控制（IDOR 类漏洞），一步步把整个组织的数据「搬」了出去。

Oasis Security 对攻击者服务器上留存文件的取证显示，两家组织的会众个人信息、员工数据、财务记录和管理层资料被大范围收集。对一个教会来说，这几乎等于把整个组织的「人事、财务、通讯录」打包带走。

值得注意的是，Oasis 自己也明确说明：这些发现来自恢复出来的攻击者残留物，而非完整的取证结论。换句话说，我们看到的是小偷落在现场的指纹，而不是作案全程的监控录像——真实损失可能更大。

这起事件暴露的产业逻辑很直接：ERP 这类「老基建」正在成为身份治理的盲区。企业把钱花在终端 EDR 和边界防火墙上，但 ERP、OA 这些内部系统的账号权限、接口鉴权，往往十年没被认真梳理过。Web Shell 是入口，IDOR 是放大器——如果每一个内部接口都做了严格的资源级授权校验，前面哪怕失守，后面也偷不走多少东西。防御的性价比，恰恰藏在最枯燥的权限审计里。

🧩 浏览器扩展：伪装成 Word 的内鬼

员工点开的是什么不重要，重要的是他的浏览器替谁在干活。

第二起攻击活动把目标从服务器搬到了每个人的桌面上。一个利用超过 100 个被入侵网站分发的恶意活动，投放了名为 LUNEXSTEALER 的 Windows 信息窃取木马。它的真正杀招不是传统的「偷完就走」，而是安装一个浏览器扩展——LUNARAXE。

这个扩展在基于 Chromium 的浏览器里伪装成「Microsoft Office Word Editor」，一个看起来人畜无害、甚至有点正经的名字。但它的能力清单读完让人后背发凉：窃取 Cookie、浏览历史和表单里输入的凭据，这只是基础操作。更关键的是，它能让攻击者在任意网页内执行 JavaScript、操纵页面内容——这意味着攻击者不是在看你的浏览器，而是在驾驶你的浏览器。

对攻击者而言，这个转变的商业逻辑非常精明：偷一次凭据是一锤子买卖，控制一个浏览器是长期租金。会话 Cookie 可以绕过登录，页面注入可以实时篡改转账目标，一切看起来都发生在「合法已登录」的会话里，传统风控模型很难分辨。

据多位一线应急响应从业者的私下感受，这两年信息窃取器类攻击的「产业化」程度远超外界想象：窃取即服务、凭据黑市转售、初始访问经纪人层层分工，浏览器扩展正在成为这条产业链上最新的标准化「货架商品」。企业侧的应对却明显滞后——绝大多数组织对员工浏览器上装了什么扩展，至今没有任何可见性。

🎮 Rockstar 三年两陷：MFA 疲劳与令牌失守

没有边界漏洞的入侵，才是最难防的入侵。

Rockstar Games 的案例被 Lares 在 2026 年 9 月的分析串了起来，构成了一份「不利用边界漏洞也能打穿企业」的教科书式复盘。2022 年 9 月，与 Lapsus$ 关联的入侵暴露了约 90 段 GTA 续作的开发片段——那是游戏行业当年最轰动的泄密事件。

Lares 的分析指出，这些事件背后是三条彼此独立的防线松动：MFA 疲劳攻击（对员工反复推送验证请求，赌他会手滑点「是」）、OAuth 令牌窃取（不偷密码，直接偷「已登录」的状态）、以及开发管线资产的暴露（开发环境和第三方集成成为绕过生产侧防御的旁路）。

需要强调的是，Lares 自己也承认，部分攻击细节属于基于公开信息的推断评估，而非经过独立验证的取证结论。但即便如此，这家公司两次被攻破的方式——一个都没有打穿防火墙——已经足够说明问题。

这背后是一个反直觉的安全悖论：MFA 的普及制造了新的攻击面。验证弹窗变成了攻击者的疲劳轰炸工具；OAuth 集成本来是便利性的胜利，但每一个被授权的第三方应用，都是一个长效的「免密后门」。员工的一次手滑、一个过度授权的集成，就能让整套边界防御变成摆设。

🔑 身份即边界：三条链条指向同一个答案

三起事件、三个行业、三条路径，答案却只有一个。

把三条线索并排放在一张表里，规律一目了然：

最扎眼的是最后一行：三条链条，零边界突破。攻击者已经集体完成了从「砸门」到「偷钥匙」的转型，而多数企业的防御预算，还压在门上。

这解释了为什么身份与访问安全（IAM/ITDR）成了这两年安全预算中增速最快的品类之一。行业的共识正在从口号变成采购清单：会话令牌的保护、OAuth 授权的持续审计、MFA 从「有没有」升级为「抗疲劳」的形态（如设备绑定验证）、浏览器扩展的基线管控、ERP 等内部系统的权限定期梳理。

有安全团队负责人说过一句在圈内流传很广的话：过去我们问「边界守住了没有」，现在应该问「今天有多少个会话不该活着」。

小结

从韩国教会的 ERP 后门，到伪装成 Word 的浏览器内鬼，再到 Rockstar 的 MFA 疲劳与令牌失守，2026 年的攻击叙事已经非常清晰：身份是新的边界，也是新的战场。对企业而言，与其继续加高那堵没人翻的墙，不如认真清点一遍手里的每一串钥匙——谁在用、用了多久、能开哪扇门。下一个被打穿的组织，大概率不是因为防火墙不够厚，而是因为没人知道自己到底发出去过多少把钥匙。