AI 加速攻擊、身分識別入侵，以及不斷擴大的軟體供應鏈暴露風險，共同形塑 2026 年的網路威脅版圖
文／Palo Alto Networks
每年，數千個組織都會經歷網路事件。事件可能始於 SOC 警報、零日漏洞、勒索要求或廣泛的業務中斷。當電話響起時，我們的全球事件回應人員會迅速動員起來，調查、遏制並消除威脅。
今年的 Unit 42 2026 全球事件回應報告分析了 50 多個國家、各主要行業的 750 多起重大網路事件，以揭開新興模式和防禦者的經驗教訓。
數據顯示攻擊展開方式發生了明顯轉變。威脅行為者行動更快，越來越多地利用身份和受信任的連接，並將攻擊擴展到多個攻擊面。這些入侵加速的速度、規模和複雜性意味著從初始訪問到業務影響之間的時間窗口正在縮小。然而，大多數的入侵之所以成功，仍然是由於可預防的可視性及安全控制方面的差距所致。
主要發現顯示攻擊更快、更廣泛且更難遏制
隨著對手調整其攻擊策略，報告強調了塑造 2026 年威脅格局的幾個決定性趨勢：
- AI 正在壓縮攻擊時間線： 在我們調查的最快案例中，攻擊者僅需 72 分鐘即可從初始訪問轉移到數據外洩，比去年快 4 倍。我們看到 AI 被用於偵察、網路釣魚、腳本編寫和操作執行，進而實現如同機器運作般的快速、大規模的攻擊。
- 身份憑證現已成為主要攻擊媒介： 身份弱點在我們近 90% 的調查中發揮了實質性作用。通常情況下，攻擊者並不是闖入；他們是使用被盜的憑證和權杖登錄，然後利用分散的身份資產來提升權限並橫向移動，而不會觸發傳統防禦。
- 供應鏈風險現已導致營運中斷： 在 23% 的事件中，攻擊者利用了第三方 SaaS 應用程式。透過濫用受信任的整合、供應商工具和應用程式依賴項，他們繞過了傳統邊界，並將影響擴展到單一系統之外。
- 攻擊複雜性正在增加： 我們發現 87% 的入侵涉及多個攻擊面的活動。攻擊很少只停留在一個環境中。相反，我們看到端點、網路、雲端、SaaS 和身份之間協調的活動，迫使防禦者必須同時監控所有這些面向。
- 瀏覽器是主要戰場： 近 48% 的事件涉及基於瀏覽器的活動。這反映了現代攻擊如何經常與日常工作流程（例如電子郵件、網路訪問和日常 SaaS 使用）交叉，將正常用戶行為轉變為攻擊向量。
- 勒索正在超越加密： 基於加密的勒索比去年下降了 15%，因為更多的攻擊者跳過加密，直接轉向數據竊取和破壞。從攻擊者的角度來看，這更快、更安靜，並產生即時壓力，而無需防禦者曾經依賴的信號來檢測勒索軟體攻擊。
攻擊成功是因為暴露仍然勝過複雜性
儘管我們看到速度和自動化，但我們回應的大多數事件並不是從根本上新的東西開始的。它們始於一再出現的漏洞。在許多情況下，攻擊者並未依賴複雜的漏洞利用，而是依賴被忽視的暴露。
- 環境複雜性削弱防禦：我們調查發現，超過九成的資安事件皆起因於設定錯誤或安全防護漏洞。其中一個主要驅動因素是工具蔓延。許多組織運行 50 種或更多的安全產品，這使得一致地部署控制或清楚地了解其數據所傳達的資訊變得極其困難。
- 能見度差距延遲檢測： 在許多情況下，信號是存在的。當我們進行鑑識回溯時，證據都在日誌中。但在攻擊期間，團隊必須將來自多個斷開連接的來源的數據拼湊起來，導致在最關鍵的起初幾分鐘內，拖慢了偵測與應變的時機
- 過度信任擴大影響： 一旦攻擊者站穩腳跟，過於寬鬆的訪問權限和未受管理的權杖經常讓他們比預期走得更遠。我們一再看到身份信任關係將單個受損帳戶轉變為廣泛的橫向移動和權限提升。
攻擊者不斷演進其工具與攻擊手法，但在現代企業環境中，他們之所以仍能頻繁得手，往往是利用了環境架構的複雜性、可視性不足，以及內部過度信任所造成的弱點。
給安全領導者和防禦者的建議
在超過 750 起第一線事件調查中，與資訊安全長（CISO）及資安團隊的討論一再顯示，三項優先事項。
- 減少暴露： 我們看到許多攻擊始於團隊未意識到已暴露的地方——第三方整合、未受管理的 SaaS 連接或日常瀏覽器活動。減少暴露意味著保護整個應用程式生態系統，並以與核心基礎設施相同的審查標準對待受信任的連接。
- 減少影響範圍：一旦攻擊者成功入侵，事件是否能被控制在局部範圍，抑或演變為重大營運中斷，關鍵往往在於身分管理。強化身分與存取管理（IAM），並移除不必要的信任關係，可有效限制攻擊者的橫向移動範圍，並降低其可能造成的損害程度。
- 提高回應速度：攻擊者取得初始存取權後的前幾分鐘，往往決定事件是否升級為資料外洩。資安團隊必須具備跨環境的可視能力，掌握即時狀況，並運用 AI 技術進行偵測、識別與優先排序關鍵威脅，使 SOC 能以機器等級的速度進行處置，在攻擊者行動之前即完成威脅控管。
結論
每一次調查都講述一個故事。攻擊者如何進入。他們移動的速度有多快。是什麼讓影響變得更糟。在數百個這樣的案例中，模式浮現。Unit 42 每週 7 天、每天 24 小時在第一線處理這些事件，每年我們都會將所學到的知識提煉成實用指南。本報告的目標是將這些前線經驗轉化為決策，幫助您彌補攻擊者仍然依賴的漏洞，並在事件演變成洩露之前阻止它們。
