网络安全头条总爱盯着那些声势浩大的攻击，但真正让人拍桌子骂脏话的，往往是借用了你日常信任的工具和工作流的那一类手法。对中小型组织来说，无论IT是自己管还是外包出去，追赶攻击者不断翻新的套路都是一场持续的赛跑。
关键问题在于：哪些攻击正在落到和你类似的环境里，防御资源又该按什么顺序排。Huntress 为此做了一份“悲剧象限”（Tragic Quadrant），把威胁企业的网络战术排了个序，用来告诉防守方该往哪儿使劲，而不是跟着每周的热搜跑。
先修右上角：那些让人爆粗口的战术
这几类手法的共同点是，它们都藏在团队每天在用的东西里，比如一个远程访问工具，或者一个 Microsoft 365 登录页。
远程监控与管理（RMM）工具是IT团队的标配，也正因如此被攻击者盯上。一次违规的 RMM 安装，就能给攻击者留下持久访问权限，而这一切看起来就像普通的运维操作。2026年第一季度，Huntress 调查的端点相关事件中有45%涉及 RMM 滥用。攻击者还在用 AI 制作以假乱真的文档共享和服务协议诱饵，诱导用户装上不该装的 RMM。
邮箱操纵则是商业邮件诈骗（BEC）的入口。2026年至今，24.6%的身份威胁检测与响应（ITDR）信号指向邮箱操纵与持久化。拿到邮箱访问权后，攻击者可以改收件规则，把供应商的回复直接丢进 RSS 订阅或归档这类没人看的文件夹。接着他们修改发票信息，把付款引到自己的账户，全程不需要任何恶意软件，检测工具也就无从标记。
绕过多因素认证的账号接管同样棘手。中间人（AiTM）攻击占 Huntress 2025年追踪的全部身份类威胁的18.9%。攻击者坐在受害者和真实的 Microsoft 365 登录页之间，在传输途中窃取会话令牌，再把一切原样转发，用户端看不出任何异常。只要这个会话还有效，攻击者不用密码、也不用重新触发 MFA 提示，就能进入账号。
另外三个角落：都在往右上角移动
覆盖完右上角的战术，其余几个也值得排个计划。它们各自演化得很快，随时可能挪进那个爆粗口的角落。
- 设备码钓鱼：不算常见，但它借的是微软真实的设备码登录流程，所以“看看网址对不对”这类建议在这里没用。一个像模像样的提示引导用户在真正的微软页面上输入一串短代码，攻击者就拿到了一枚访问令牌，其有效期甚至能超过一次密码重置。在一个16天的窗口里，一个名为 EvilTokens 的钓鱼即服务（PhaaS）工具包打中了五个国家的344家组织。防守方应对异常的设备码提示和奇怪的令牌活动保持警惕。
- ClickFix：它利用的是人们为绕过日常摩擦而养成的复制粘贴肌肉记忆。一个假验证码或“验证失败”提示，骗人把恶意命令粘进终端。粘贴这个动作本身就触发了恶意代码，不需要漏洞利用链，后果可能是信息窃取木马，也可能是勒索软件。2026年至今，ClickFix 约占托管端点检测与响应（EDR）检测信号的2.2%，但这些检测中近99%属于高严重级别。
- AI 平台滥用：这一类被放在“过度炒作”的角落，因为它还只是新兴模式。攻击者把恶意内容藏在人们信任的真实 AI 工具和工作流背后。一个假的“桌面客户端”或“效率助手”，可能就活在共享对话里，或者托管在 Claude、ChatGPT 这类可信 AI 域名的产物中，让人很难分辨哪部分是恶意的。有一个案例中，FakeAgent 利用真实 claude.ai 域名上的一个恶意 Claude Artifact，把寻找 Claude Desktop 的用户引向 SectopRAT，两天内触达29家组织。
当所有事看起来都紧急时，这份象限图的作用是帮你挑出先修哪个。从右上角开始，问几个简单的问题：哪些远程工具是获批的？我们怎么在邮箱规则变更和异常会话行为变成更大的麻烦之前发现它们？
热门跟贴