数据泄露新格局：漏洞利用为何成为头号威胁
过去十年，凭证盗窃（即攻击者通过钓鱼、撞库或密码泄露获取合法账号）一直是数据泄露的头号入口。不过，这一格局正在被彻底改写。根据 Verizon 最新发布的第 19 届年度数据泄露调查报告（DBIR），约 31% 的数据泄露事件源自恶意行为者对软件漏洞的利用，这一比例首次超越凭证盗窃，跃居网络入侵途径的首位。这意味着，无论企业的密码管理多么严格，只要软件存在未修补的漏洞，就可能成为攻击者长驱直入的捷径。
关键数据：DBIR 揭示的三大变化
漏洞利用占比跃升
- 31% 的数据泄露直接源于漏洞利用，较往年显著上升。
- 凭证盗窃占比则降至约 27%，退居第二。
- 社会工程学（如钓鱼邮件）仍占相当比例，但已不再是主流初始入口。
已知漏洞修复严重滞后
报告同时指出，CISA 已知被利用漏洞清单（KEV）中，去年仅 26% 的漏洞得到了完全修复。大量已知风险长期暴露，为攻击者提供了持续可用的武器。补丁修复的中位时间从 32 天延长至 43 天，说明安全团队在面对激增的漏洞时，修复效率反而下降。
攻击者策略的主动转型
攻击者正在从“偷密码”转向“打补丁空窗”。凭证盗窃需要先获得口令，而漏洞利用只需要找到一条未修复的 Web 路径、VPN 网关或远程代码执行接口即可直接入侵。这种攻击方式的成本更低、成功率更高，且更容易绕过基于身份验证的防御体系。
为什么漏洞利用能压过凭证盗窃？
- 零日漏洞商业化加速：漏洞拍卖、漏洞利用工具包即服务（EaaS）日渐成熟，攻击者可以像购买软件一样获得武器化漏洞。
- 远程办公与混合网络扩张：企业暴露面大幅增加，边缘设备、VPN、云服务实例上的漏洞数量激增。
- 补丁管理陷入困境：安全团队疲于应对海量 CVE，优先级排序困难，导致关键漏洞迟迟未修复。从 32 天到 43 天的“中位修复时间”延长，就是明证。
- 多因素认证普及：凭证盗窃的门槛因多因素认证（MFA）的推广而升高，但漏洞利用往往直接绕过登录环节。
对企业的冲击：从被动响应到主动防御的倒逼
传统安全范式失效
以往“强密码 + MFA”几乎能挡住大部分凭证盗窃攻击，但对漏洞利用几乎无效。企业必须重构安全策略，将漏洞管理提升到与身份治理同等甚至更高的优先级。
漏洞修补效率成为核心指标
- 企业应建立 “已知利用漏洞优先” 的修补机制，参考 CISA KEV 清单，对清单中的漏洞要求 7 天内完成修复。
- 无法立即修补的系统，必须通过虚拟补丁、网络隔离、WAF 规则等手段进行应急缓解。
从“扫描式漏洞管理”转向“持续性暴露管理”
单纯依赖定期的漏洞扫描已不足以应对快速演进的威胁。攻击者会在扫描间隙快速利用新暴露的漏洞。采用 持续暴露评估平台（CEMA） 或攻击面管理工具，可以实时监控资产变更和开放端口，及时发现并响应新风险。
给安全团队的实战建议
- 缩短修补窗口：将 SLA 从 43 天压缩至 14 天以内，对关键互联网暴露资产压缩至 72 小时。
- 建立漏洞优先级评分：结合 CVSS 评分、是否被 CISA 标记、是否在野利用、资产暴露等级四个维度，决定修补顺序。
- 强化暴露面管理：定期扫描外部 IP 段，关闭非必要端口和服务，减少攻击面。
- 利用威胁情报驱动：订阅主流漏洞利用情报源（如 CISA KEV、BleepingComputer），在攻击者大规模利用前获取预警。
展望未来：漏洞利用将长期主导威胁格局
随着企业身份治理的逐步成熟和 MFA 普及，凭证盗窃的入口红利正在收窄。而软件开发的复杂度持续攀升，云原生架构、API 接口、物联网设备不断引入新漏洞，使得漏洞利用将成为未来至少 3-5 年内数据泄露的首要源头。企业只有将漏洞修复效率作为核心安全 KPI，并借助自动化与威胁情报来缩小“发现-修复”的时间差，才能真正遏制住这一新趋势带来的风险。