三起大入侵，没有一个是0day

黑客最近很忙，但忙的方式变了。

Oasis Security 对韩国两家大型教会入侵事件的分析、超百个站点分发 LUNEXSTEALER 的窃密活动、以及 Lares 对 Rockstar Games 多年攻击史的复盘，三份报告放在一张桌上读，会得出同一个不太舒服的结论：这三起入侵，没有一个依赖 0day。攻击者用的全是合法凭据、受信集成、被忽视的授权缺陷——门没被撬开，是他们自己拿着钥匙走进来的。

这不是巧合，而是行业正在发生的结构性转变：攻击重心从'打破边界'迁移到了'冒用信任'。

🏪 教会数据被端，起点是一台老旧ERP

先看最'传统'的一起。

韩国两家最大的教会先后被入侵，Oasis Security 通过攻击者服务器上残留的文件还原了整个过程：攻击链起点是 ERP 系统上被植入的 Webshell，随后攻击者拿到了高权限数据库访问能力，再配合泄露的凭据和破损的授权控制（IDOR 越权缺陷），横向捞取数据。最终被收集的信息覆盖会众名录、员工档案、财务数据和行政管理信息——对一家教会来说，这几乎是全部核心资产。

细节很有意思：两条入侵链相互独立，却都指向同一类系统。ERP 这类企业内部应用，常年不在漏洞赏金和红队的射程内，版本陈旧、补丁滞后、授权逻辑靠'内网所以安全'的假设支撑。IDOR 这种缺陷本质上是'接口没有问你是谁'——系统认了你的会话，就不再校验你是否有权看这条数据。

一位做过多年渗透测试的同行私下说过一句很准的话：'现在拿到内网权限之后，最难的不是进数据库，是忍住不去看那些根本不需要密码的数据。'

产业判断很清晰：企业的攻击面盘点表里，ERP、OA、内部管理系统是最大的暗区。 大家盯着互联网边界的 WAF 和 0day 公告，而攻击者在 Webshell 和越权接口之间从容穿行。教会只是缩影，医疗、教育、制造里的同类系统遍地都是。

🧩 浏览器成了新终端，扩展成了新后门

如果说教会事件还是'老三样'，LUNEXSTEALER 展示的则是另一条正在快速工业化的路径。

这轮活动利用超过 100 个被入侵的网站分发窃密木马。感染 Windows 主机后，它会在基于 Chromium 的浏览器里安装一个名为 LUNARAXE 的扩展，伪装成'Microsoft Office Word Editor'——名字挑得很讲究，普通用户看到只会觉得是办公软件的附属组件。

这个扩展的可怕之处在于它的权限模型：窃取 Cookie、浏览历史和表单输入的凭据只是基础操作，它还能在任意网页内执行攻击者下发的 JavaScript，意味着攻击者可以实时操纵你正在浏览的页面——改内容、注入表单、劫持会话。窃密木马从'复制文件就跑'进化成了'驻留在浏览器里远程遥控'。

据多位长期跟踪 infostealer 生态的业内研究员观察，这类'被入侵站点当分发渠道、恶意扩展当驻留手段'的组合，正在成为地下产业链的标准配方，因为它的边际成本极低：网站被黑不花钱，Chrome 商店类的分发面够宽，扩展拿到的权限天然合法。

这里有一个被普遍低估的事实：浏览器扩展拿到的权限，往往比终端上的杀毒软件更接近你的核心数据。 企业安全团队会管控终端上的进程，却很少管控员工浏览器里装了什么。浏览器，正在成为身份与数据实际聚合的地方，也就是攻击者价值密度最高的地方。

🎮 Rockstar的教训：身份是唯一的新边界

三起事件里，最有行业教材价值的是 Rockstar Games。

Lares 在 2026 年 9 月发布分析，把 Rockstar Games 历次事件串成了一条线索。需要说明的是，其中部分攻击细节属于分析推断，尚未经独立取证完全确认。但已确立的事实足够说明问题：2022 年 9 月，与 Lapsus$ 相关的入侵泄露了约 90 个 GTA 项目资产。

复盘这条线，出现了三个没有边界漏洞的关键词：

MFA 疲劳轰炸——半夜连环推送登录请求，等用户某一次手滑点了'是'。攻击者不需要破密码，只需要你烦。

OAuth 令牌窃取——第三方受信集成被劫持后，攻击者拿着合法令牌调用 API，多因子认证在令牌面前形同虚设，因为它验证的是'你登录过'，不是'现在是谁在用这个令牌'。

开发管线暴露——开发资产和流水线直接暴露在外，源码仓库、构建环境成了比生产系统更软的柿子。

把这三点放在一起，结论只有一个：Lapsus$ 这类组织重新定义了入侵的入口——不利用漏洞，利用身份；不打破边界，冒充边界内的自己人。 而 MFA 本身不是终点，推送式 MFA 尤其不是。没有号码匹配、没有防疲劳策略的 MFA，只是把'猜密码'换成了'耗耐心'。

据多位接近事件复盘的人士透露，此类事件后行业内部讨论最多的问题已经从'怎么补漏洞'变成了'我们到底给多少第三方应用发了长期有效的令牌'。

📊 攻防天平：门槛在降，价值在升

把三起事件的手法放到一张图里看，趋势一目了然——高价值攻击正在向低技术门槛区域大规模迁移。

MFA 疲劳轰炸的技术门槛几乎为零，收益却是整个企业账户体系的控制权；0day 利用门槛最高，但在身份防护松散的组织里反而没有性价比。这就是产业逻辑的残酷之处：当冒用信任的 ROI 远高于挖掘漏洞，攻击者的技能树就会整体迁移。 防守方如果不跟着迁移，等于在错误的阵地上加固工事。

对应到防御侧，投资优先级需要重排。上图中右下角的'网络边界加固'不是不需要做，而是它的边际防护价值正在快速贬值——三起事件都证明，边界完好无损的情况下数据照样被端。

一张问题-方案的对应表，或许更直接：

⚠️ 写在最后：把'你是谁'管起来

三个案例，三条完全不同的攻击链，终点却惊人一致：攻击者全程没有'攻破'任何东西——他们登录了系统、安装了扩展、调用了接口，每一步用的都是系统自己给的权限。

这就是当下安全产业最需要正视的转折：边界安全解决的是'谁能进来'，而真正决定损失的，是'进来之后被信任成谁'。 凭据泄露、令牌滥用、授权缺陷、扩展越权，本质上都是同一个问题——信任被过量发放、且缺乏回收机制。

往前看，行业的机会窗口也很明确：无口令认证与抗疲劳 MFA、面向机器身份和 OAuth 令牌的治理平台、浏览器侧的企业管控、内部应用的授权自动化审计，这几个方向的需求会持续走强。而对每一家企业来说，下周就该做的一件事其实很朴素——盘一遍手上有多少长期有效的令牌和第三方集成，以及 ERP 那些接口到底在'不问你是谁'的情况下给数据。

0day 会过期，凭据的诱惑不会。攻防的下一场仗，打的是信任的精细化管理，谁的信任发得更克制，谁的门就更难进。