英國(guó)情報(bào)機(jī)構(gòu)：100國(guó)已掌握手機(jī)監(jiān)控技術(shù)

理查德·霍恩站在格拉斯哥的講臺(tái)上，面對(duì)臺(tái)下數(shù)百名網(wǎng)絡(luò)安全從業(yè)者，拋出了一個(gè)讓現(xiàn)場(chǎng)陷入沉默的數(shù)字——100。

這不是某個(gè)產(chǎn)品的用戶量，也不是一場(chǎng)網(wǎng)絡(luò)攻擊的損失金額。這是英國(guó)國(guó)家網(wǎng)絡(luò)安全中心最新評(píng)估中，擁有商業(yè)間諜軟件（一種通過(guò)利用手機(jī)或電腦系統(tǒng)漏洞入侵設(shè)備、竊取數(shù)據(jù)的工具）的國(guó)家數(shù)量。而就在兩年前，這個(gè)數(shù)字還是80。

從80到100：門檻崩塌的兩年

英國(guó)國(guó)家網(wǎng)絡(luò)安全中心計(jì)劃在周三發(fā)布的這份報(bào)告，核心發(fā)現(xiàn)可以用一句話概括：獲取監(jiān)控技術(shù)的門檻正在快速降低。

這種變化的速度超出預(yù)期。2023年，英國(guó)情報(bào)機(jī)構(gòu)估計(jì)約有80個(gè)國(guó)家能夠使用此類黑客工具。短短兩年內(nèi)，這一數(shù)字增長(zhǎng)了25%，達(dá)到100國(guó)——超過(guò)全球政府?dāng)?shù)量的一半。

門檻降低意味著什么？報(bào)告明確指出，外國(guó)政府和黑客針對(duì)英國(guó)公民、企業(yè)以及關(guān)鍵基礎(chǔ)設(shè)施的攻擊將變得"更容易"。這不是理論推測(cè)，而是基于情報(bào)監(jiān)測(cè)的評(píng)估結(jié)論。

商業(yè)間諜軟件的運(yùn)作模式相對(duì)成熟。以以色列NSO集團(tuán)的"飛馬"（Pegasus）和Paragon公司的"石墨"（Graphite）為代表，這類產(chǎn)品通常依賴發(fā)現(xiàn)并利用手機(jī)、電腦軟件中的安全漏洞，在目標(biāo)毫無(wú)察覺(jué)的情況下入侵設(shè)備，提取通訊錄、短信、定位、郵件等敏感信息。

技術(shù)的擴(kuò)散路徑值得關(guān)注。早期這類工具主要由少數(shù)西方公司向特定盟友國(guó)家出口，采購(gòu)方需通過(guò)政府間協(xié)議和審查。但隨著技術(shù)知識(shí)的外溢、開(kāi)源情報(bào)的豐富，以及更多國(guó)家本土安全產(chǎn)業(yè)的發(fā)展，獲取渠道明顯多元化。

受害者名單變了：從異見(jiàn)者到銀行家

英國(guó)情報(bào)機(jī)構(gòu)的另一個(gè)關(guān)鍵發(fā)現(xiàn)是攻擊目標(biāo)的"擴(kuò)張"。

傳統(tǒng)認(rèn)知中，間諜軟件的主要目標(biāo)是政治人物、記者、人權(quán)活動(dòng)人士——這類人群因掌握敏感信息或具備影響力而成為監(jiān)控對(duì)象。各國(guó)政府長(zhǎng)期聲稱，此類技術(shù)僅用于打擊"頂級(jí)犯罪和恐怖嫌疑人"。

但安全研究人員和人權(quán)捍衛(wèi)者的持續(xù)追蹤早已推翻這一說(shuō)法。多起公開(kāi)調(diào)查顯示，間諜軟件被廣泛用于針對(duì)政府批評(píng)者和政治對(duì)手，包括調(diào)查腐敗的記者、反對(duì)黨成員、民間組織負(fù)責(zé)人等。

英國(guó)國(guó)家網(wǎng)絡(luò)安全中心現(xiàn)在確認(rèn)，近年來(lái)的受害者范圍已"擴(kuò)大"至銀行家和 wealthy businesspeople（富裕商界人士）。這一變化揭示了幾個(gè)值得深究的動(dòng)向。

首先，經(jīng)濟(jì)動(dòng)機(jī)正在上升。銀行家掌握的資金流向信息、商界人士的并購(gòu)談判細(xì)節(jié)、投資決策過(guò)程，這些數(shù)據(jù)的商業(yè)價(jià)值可能超過(guò)傳統(tǒng)政治情報(bào)。對(duì)于某些國(guó)家行為體或受其庇護(hù)的實(shí)體而言，提前獲知這些信息意味著巨大的市場(chǎng)優(yōu)勢(shì)。

其次，攻擊成本與收益的算式發(fā)生了改變。當(dāng)技術(shù)門檻降低、部署成本下降時(shí)，針對(duì)高凈值個(gè)人的監(jiān)控從"資源密集型行動(dòng)"轉(zhuǎn)變?yōu)?可規(guī)?；僮?。一個(gè)銀行家的手機(jī)可能不如一位部長(zhǎng)的手機(jī)難攻破，但其泄露的信息在特定場(chǎng)景下的變現(xiàn)能力并不遜色。

更值得警惕的是"目標(biāo)降級(jí)"背后的能力溢出。當(dāng)攻擊者能夠輕松覆蓋高價(jià)值商業(yè)目標(biāo)時(shí)，其對(duì)更廣泛人群的監(jiān)控能力已經(jīng)成熟。銀行家可能只是測(cè)試新能力的試驗(yàn)場(chǎng)，或是訓(xùn)練人工智能分析系統(tǒng)的數(shù)據(jù)源。

霍恩的警告：企業(yè)"未能把握現(xiàn)實(shí)"

作為英國(guó)國(guó)家網(wǎng)絡(luò)安全中心的負(fù)責(zé)人，理查德·霍恩在CYBERUK年會(huì)上的發(fā)言措辭直接。

「英國(guó)企業(yè)未能把握當(dāng)今世界的現(xiàn)實(shí)?！?/p>

這句話出自霍恩演講的預(yù)發(fā)布稿，被TechCrunch提前獲取。在網(wǎng)絡(luò)安全領(lǐng)域，這種級(jí)別的公開(kāi)批評(píng)并不常見(jiàn)?；舳鞯拇朕o選擇暗示，問(wèn)題不僅是技術(shù)層面的防護(hù)不足，更是認(rèn)知層面的滯后。

他進(jìn)一步指出，針對(duì)英國(guó)的大多數(shù)"國(guó)家重大網(wǎng)絡(luò)攻擊"源自"外國(guó)敵對(duì)政府"，而非網(wǎng)絡(luò)犯罪團(tuán)伙。這一區(qū)分至關(guān)重要——它重新定義了企業(yè)面臨威脅的性質(zhì)。

網(wǎng)絡(luò)犯罪團(tuán)伙通常以勒索、盜竊、轉(zhuǎn)售數(shù)據(jù)為直接目的，攻擊手段雖兇悍但可預(yù)測(cè)，防御策略相對(duì)成熟。國(guó)家支持的攻擊則不同：動(dòng)機(jī)更復(fù)雜（政治、經(jīng)濟(jì)、戰(zhàn)略），資源更充裕，耐心更持久，且往往具備"潛伏"能力——在系統(tǒng)中長(zhǎng)期駐留而不觸發(fā)警報(bào)，等待關(guān)鍵時(shí)機(jī)。

霍恩的警告針對(duì)的是英國(guó)企業(yè)的普遍心態(tài)。許多組織仍將網(wǎng)絡(luò)安全視為合規(guī)成本，投資于滿足審計(jì)要求的" checkbox security"（勾選框式安全），而非針對(duì)真實(shí)威脅的動(dòng)態(tài)防御。當(dāng)攻擊者是國(guó)家行為體時(shí)，這種防御姿態(tài)的脆弱性暴露無(wú)遺。

報(bào)告同時(shí)提及，英國(guó)及其他多國(guó)持續(xù)遭受與中國(guó)有關(guān)聯(lián)的入侵活動(dòng)。這些活動(dòng)的目標(biāo)包括竊取敏感數(shù)據(jù)、監(jiān)控高知名度個(gè)人，以及"為潛在破壞性攻擊奠定基礎(chǔ)，以阻滯西方軍事行動(dòng)"。

這一描述將當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢(shì)與地緣政治緊張直接關(guān)聯(lián)。間諜軟件和更廣泛的網(wǎng)絡(luò)入侵不再是孤立的技術(shù)問(wèn)題，而是大國(guó)競(jìng)爭(zhēng)的工具箱組成部分。企業(yè)數(shù)據(jù)、個(gè)人設(shè)備、關(guān)鍵基礎(chǔ)設(shè)施在其中扮演的角色，遠(yuǎn)比傳統(tǒng)認(rèn)知中更為關(guān)鍵。

商業(yè)間諜軟件的供應(yīng)鏈困境

NSO集團(tuán)和Paragon公司的名字出現(xiàn)在英國(guó)情報(bào)機(jī)構(gòu)的報(bào)告中，并非偶然。這兩家以色列公司代表了商業(yè)間諜軟件產(chǎn)業(yè)的兩種典型模式。

NSO的"飛馬"是行業(yè)標(biāo)桿產(chǎn)品，曾因多起針對(duì)記者和政治人物的監(jiān)控丑聞而陷入國(guó)際爭(zhēng)議。2021年，多家媒體聯(lián)合發(fā)布的"飛馬項(xiàng)目"調(diào)查披露，該軟件被用于監(jiān)控全球數(shù)十個(gè)國(guó)家的記者、律師和人權(quán)活動(dòng)人士。此后，NSO遭受美國(guó)商務(wù)部制裁，被多家科技巨頭起訴，業(yè)務(wù)大幅收縮。

Paragon的"石墨"則是新一代產(chǎn)品的代表。該公司由前以色列軍事情報(bào)官員創(chuàng)立，采用"零點(diǎn)擊"攻擊技術(shù)——目標(biāo)無(wú)需點(diǎn)擊任何鏈接或下載文件，僅需接收特定消息即可被入侵。這種技術(shù)降低了攻擊的可見(jiàn)性，提高了成功率。

這兩家公司的共同點(diǎn)是：它們的產(chǎn)品出口受到以色列政府監(jiān)管，采購(gòu)方需獲得官方批準(zhǔn)。但報(bào)告暗示的100國(guó)擁有監(jiān)控能力，遠(yuǎn)超以色列官方批準(zhǔn)的客戶名單。技術(shù)擴(kuò)散的渠道包括：

第一，二手市場(chǎng)與轉(zhuǎn)售。部分早期采購(gòu)國(guó)可能將技術(shù)轉(zhuǎn)售或共享給第三方，繞過(guò)原始出口管制。

第二，技術(shù)逆向與仿制。對(duì)繳獲設(shè)備的分析、前員工的流動(dòng)、公開(kāi)安全研究的積累，使得部分國(guó)家得以開(kāi)發(fā)本土替代產(chǎn)品。

第三，新興供應(yīng)商的涌現(xiàn)。NSO和Paragon只是最知名的品牌，全球范圍內(nèi)存在更多低調(diào)運(yùn)營(yíng)的商業(yè)間諜軟件公司，部分位于監(jiān)管寬松 jurisdictions（司法管轄區(qū)）。

這種供應(yīng)鏈的復(fù)雜性，使得任何單一國(guó)家的出口管制都難以遏制技術(shù)擴(kuò)散。英國(guó)情報(bào)機(jī)構(gòu)的評(píng)估從側(cè)面承認(rèn)了這一現(xiàn)實(shí)：當(dāng)100個(gè)國(guó)家已經(jīng)擁有此類能力時(shí)，防擴(kuò)散的重點(diǎn)已從"阻止獲取"轉(zhuǎn)向"應(yīng)對(duì)后果"。

企業(yè)防御的結(jié)構(gòu)性難題

霍恩批評(píng)英國(guó)企業(yè)"未能把握現(xiàn)實(shí)"，但將這一批評(píng)轉(zhuǎn)化為有效行動(dòng)面臨結(jié)構(gòu)性障礙。

間諜軟件的攻擊向量通常是軟件漏洞，尤其是尚未被廠商發(fā)現(xiàn)和修補(bǔ)的"零日漏洞"（zero-day）。對(duì)于企業(yè)而言，防御此類攻擊意味著：

依賴供應(yīng)商的快速響應(yīng)——但漏洞從被發(fā)現(xiàn)到被利用的時(shí)間窗口可能只有數(shù)天甚至數(shù)小時(shí)；

部署額外的監(jiān)控層——如終端檢測(cè)與響應(yīng)（EDR）系統(tǒng)，但這需要持續(xù)的安全運(yùn)營(yíng)投入；

實(shí)施嚴(yán)格的攻擊面管理——減少可被利用的入口，但這與業(yè)務(wù)敏捷性往往沖突。

更具挑戰(zhàn)性的是"供應(yīng)鏈攻擊"模式。攻擊者可能不直接針對(duì)目標(biāo)企業(yè)，而是入侵其使用的第三方服務(wù)——如律師事務(wù)所、咨詢公司、通訊軟件供應(yīng)商——從而間接獲取目標(biāo)數(shù)據(jù)。這種模式下，企業(yè)自身的安全投入再完善，也可能因合作伙伴的漏洞而失效。

英國(guó)國(guó)家網(wǎng)絡(luò)安全中心的報(bào)告未提供具體的防御建議，但霍恩的發(fā)言暗示了方向：企業(yè)需要將網(wǎng)絡(luò)安全從IT部門的成本中心重新定位為戰(zhàn)略風(fēng)險(xiǎn)管理的核心職能，并將國(guó)家支持的攻擊納入威脅模型的常規(guī)假設(shè)。

監(jiān)管回應(yīng)的滯后與困境

英國(guó)并非唯一關(guān)注商業(yè)間諜軟件擴(kuò)散的國(guó)家。歐盟、美國(guó)、英國(guó)等國(guó)近年來(lái)加強(qiáng)了相關(guān)出口管制和制裁措施，但效果有限。

核心困境在于：商業(yè)間諜軟件的雙重用途性質(zhì)。同一技術(shù)可用于追蹤恐怖分子，也可用于壓制異見(jiàn)；同一漏洞利用鏈可用于執(zhí)法取證，也可用于商業(yè)間諜。監(jiān)管者難以在技術(shù)層面劃定清晰界限，只能依賴最終用戶審查——但正如報(bào)告所示，100國(guó)的擁有量表明審查機(jī)制存在顯著漏洞。

另一種監(jiān)管思路是限制漏洞本身的交易。部分國(guó)家推動(dòng)"漏洞披露"政策，要求安全研究人員向廠商而非政府或中間商報(bào)告發(fā)現(xiàn)的漏洞。但間諜軟件公司往往擁有內(nèi)部研究團(tuán)隊(duì)或與國(guó)家情報(bào)機(jī)構(gòu)的密切聯(lián)系，能夠獨(dú)立發(fā)現(xiàn)漏洞，繞過(guò)這一機(jī)制。

英國(guó)情報(bào)機(jī)構(gòu)選擇在CYBERUK年會(huì)上發(fā)布這一評(píng)估，本身是一種政策信號(hào)。將100國(guó)的數(shù)字公之于眾，既是對(duì)國(guó)內(nèi)企業(yè)的警告，也是對(duì)國(guó)際社會(huì)的施壓——要求更多國(guó)家加入出口管制框架，或至少承認(rèn)技術(shù)擴(kuò)散的失控現(xiàn)狀。

技術(shù)民主化的陰暗面

從更宏觀的視角看，商業(yè)間諜軟件的擴(kuò)散是"技術(shù)民主化"趨勢(shì)的陰暗注腳。

過(guò)去二十年，計(jì)算能力、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、人工智能等技術(shù)的成本急劇下降，使得個(gè)人和小型組織能夠完成以往只有國(guó)家才能實(shí)現(xiàn)的創(chuàng)新。這一趨勢(shì)催生了創(chuàng)業(yè)繁榮、科學(xué)進(jìn)步和社會(huì)賦權(quán)，但也降低了破壞性能力的獲取門檻。

商業(yè)間諜軟件處于這一光譜的中間位置：它需要相當(dāng)?shù)膶I(yè)知識(shí)和資源，但遠(yuǎn)低于自主研發(fā)核武器或先進(jìn)戰(zhàn)斗機(jī)。當(dāng)100個(gè)國(guó)家能夠采購(gòu)或仿制此類工具時(shí)，監(jiān)控能力從"大國(guó)特權(quán)"轉(zhuǎn)變?yōu)?中等國(guó)家標(biāo)配"。

這一轉(zhuǎn)變對(duì)全球數(shù)字安全生態(tài)的影響深遠(yuǎn)。信任——作為互聯(lián)網(wǎng)經(jīng)濟(jì)的基礎(chǔ)——進(jìn)一步侵蝕。企業(yè)無(wú)法確定合作伙伴是否安全，個(gè)人無(wú)法確定設(shè)備是否私密，國(guó)家無(wú)法確定關(guān)鍵基礎(chǔ)設(shè)施是否 resilient（有韌性）。

英國(guó)國(guó)家網(wǎng)絡(luò)安全中心的報(bào)告沒(méi)有提出解決方案，但其披露的數(shù)據(jù)本身構(gòu)成了行動(dòng)的基礎(chǔ)。霍恩的直言不諱暗示，部分解決方案需要從認(rèn)知轉(zhuǎn)變開(kāi)始：承認(rèn)威脅的真實(shí)性，放棄"我們不會(huì)成為目標(biāo)"的僥幸心理，將資源從合規(guī)導(dǎo)向的防御重新配置為威脅導(dǎo)向的 resilience（韌性）建設(shè)。

對(duì)于科技從業(yè)者而言，這一評(píng)估提出了直接的職業(yè)問(wèn)題。如果你所在的企業(yè)服務(wù)于金融、關(guān)鍵基礎(chǔ)設(shè)施、國(guó)防供應(yīng)鏈或高知名度個(gè)人，你的威脅模型是否需要更新？你的安全預(yù)算是否與國(guó)家支持的攻擊者的能力相匹配？你的事件響應(yīng)計(jì)劃是否假設(shè)了長(zhǎng)期潛伏的高級(jí)持續(xù)性威脅（APT）？

這些問(wèn)題沒(méi)有標(biāo)準(zhǔn)答案，但回避它們的風(fēng)險(xiǎn)正在上升——從80到100的數(shù)字變化，已經(jīng)說(shuō)明了趨勢(shì)的方向。