一次攻击K.O.两大IT巨头，撞库攻击何以“一撞一个准”？

2024年开年没多久，撞库攻击这个网络安全领域的“老熟人”就一次性K.O.了全球两大IT巨头。

第一个被K.O.的巨头是微软。微软在今年1月份向美国证交会（SEC）提交披露文件，称从2023年11月下旬开始，黑客通过撞库攻击，登录了一个“传统非生产测试租户帐号”，并使用这个账号两个月之久。黑客利用该帐号访问了公司的少数电子邮件帐号，包括高级领导团队成员及网络安全、法务和其他职能团队员工，并窃取了一些电子邮件及附件。

这份措施含糊的公告瞒不过安全研究人员的火眼金睛。他们先是指出被入侵的账号采用了弱密码，并且没有开启多因素认证（MFA），后是发现这个测试账号拥有公司Office 365管理员权限，黑客利用这个账号创建、修改并授予高权限的OAuth应用程序，即使失去了最初被黑帐户的访问权限，也能够保持对应用程序的访问。

“卧龙”微软的瓜还没完，“凤雏”惠普企业（HPE）就在同一个阴沟里翻了船。

HPE在1月24日向SEC提交了披露文件，内容和微软如出一辙，黑客通过撞库攻击获得了某个Office 365邮箱的访问权限，窃取了少量SharePoint和电子邮件文件。HPE没在权限配置上犯错，但反应速度比微软慢了不少，黑客整整在其内网中潜伏了整整6个月。事件披露后，HPE的股价暴跌了近5%。

一波撞库攻击，诞生一对“卧龙凤雏”；一次权限错配，造成一场大无语事件。微软和HPE的阴沟里翻船让人不禁疑问，堂堂的全球IT巨头，真的防不住撞库攻击？