2013年12月，黑客Target百货的入侵数据泄露事件被公开时，我正坐在一间安全公司的事件会议室里。一个同事把新闻投到屏幕上：4000万张信用卡信息被窃，真实7000万用户资料外泄。案例屋里没人说话。黑客因为我们都知道，入侵攻击者不是事件靠什么零日漏洞进来的——他们用的是Target给空调承包商Fazio Mechanical的远程登录凭证。一个卖暖通设备的真实供应商，成了撬开全美第二大折扣零售商网络的案例支点。

这就是黑客真实黑客入侵的常态。没有电影里的入侵绿色代码雨，没有三秒破解五角大楼的事件桥段。攻击者像水一样，真实从最薄弱的案例缝隙渗进来。

Target的入侵链后来被完整还原出来。攻击者先给Fazio的某个员工发了钓鱼邮件，邮件伪装成某软件公司的发票通知。附件是个带宏的Word文档，打开后静默安装了一个叫Citadel的木马。Fazio用的是免费版Malwarebytes，没拦住。凭证到手后，攻击者连上Target的供应商门户，横向移动了整整两周。他们写了个内存抓取程序，专门从POS机的RAM里捞未加密的卡号。等Target的安全团队发现异常流量时，数据已经被打包运到了巴西和俄罗斯的服务器上。

整件事里最让我后背发凉的不是技术细节，是时间线。Target的安全系统其实报了警——FireEye设备在攻击早期就检测到恶意软件外传数据。但明尼阿波利斯的团队决定先观察，等总部确认。等确认完，攻击者已经清干净了痕迹。安全运营中心的值班员后来在国会听证会上说，他们怕误报，怕打扰高层，怕做错决定。结果就是什么都没做。

我跟踪过几十起类似案例。2017年Equifax泄露1.47亿人信息，入口是一个没打补丁的Apache Struts漏洞。补丁其实早发布了，负责修补的团队发了通知，但没人执行。2020年SolarWinds供应链攻击更狠——攻击者直接在软件更新包里种后门，18000个客户自动下载了带毒的版本。美国国土安全部、国务院、五角大楼全中招。这次连“人为疏忽”都算不上，是攻击者把信任链本身变成了武器。

这些案子放在一起看，规律非常清楚。攻击者不追求技术上的完美，他们追求路径上的最短。哪扇门没锁，就走哪扇。哪个员工好骗，就骗哪个。哪个系统三年没更新，就从那里进。防守方总在想象一个正面对抗的场景，攻击方却在找后门、找侧门、找窗户没关的二楼阳台。

有个做渗透测试的朋友跟我说过一句话，我记到现在。他说，每次客户让他“模拟真实黑客攻击”，他从来不去碰防火墙。他打开LinkedIn，找几个目标公司的员工，看谁在简历里写了“熟悉内部OA系统”或者“负责VPN管理”。然后给这些人发一封看起来像IT部门通知的邮件。十次里有七次，有人会点。

技术再先进，最后被攻破的往往是人。Target事件之后，美国零售业花了上亿美元升级POS加密和网络分段。但钓鱼邮件还是照样有人点，弱密码还是照样有人用，没打补丁的服务器还是照样在线。安全预算在涨，攻击成功率没怎么降。因为攻击者只需要对一次，防守方需要次次都对。

写这些不是要制造恐慌。是想说，黑客入侵这件事，本质上不是技术问题。是管理问题，是流程问题，是人的问题。你可以在防火墙里投一百万，但如果前台接待员会帮“IT支持”重置密码，那一百万就白花了。真实世界的安全，从来不在机房里，在每天做决定的人手里。