在高度机密的商业间谍软件行业，一个讽刺性的现象正在浮现：那些专门开发用于监控他人的公司，却屡次因自身基础设施的配置错误而暴露核心机密。2026 年 2 月，以色列间谍软件公司 Paragon Solutions 因员工在 LinkedIn 发布包含屏幕截图的照片，意外暴露了其 Graphite 间谍软件的实时控制面板。这一事件并非孤立，2025 年 12 月，另一家以色列公司 Intellexa 的大规模泄露事件同样揭示了严重的配置管理问题。这些事件暴露的不仅是操作安全（OpSec）的薄弱，更是企业级间谍软件栈在架构设计、访问控制和第三方集成方面的系统性缺陷。
社交媒体泄露：最古老的新威胁
Paragon Solutions 的泄露事件展示了最基础的配置错误：人为因素。公司总法律顾问在 LinkedIn 发布的内部活动照片中，无意间包含了显示 Graphite 间谍软件控制面板的屏幕。虽然照片迅速被删除，但截图已在社交媒体广泛传播。暴露的控制面板显示了活跃的监控操作，包括针对名为 "Valentina" 的目标（捷克电话号码）的完成日志，以及针对 WhatsApp、Telegram、Signal 等加密应用的入侵选项。
这一看似低级的错误实则反映了更深层的问题：即使是最敏感的技术公司，在社交媒体时代的操作安全培训仍存在显著漏洞。员工未能识别屏幕中的敏感信息，公司缺乏对公开内容的前置审查流程，内部活动环境的安全控制不足 —— 这些因素共同导致了关键基础设施的意外暴露。
云存储与 API 密钥：配置错误的典型场景
虽然 Paragon Solutions 的案例更多涉及人为失误，但商业间谍软件公司普遍面临的云基础设施配置错误风险同样值得关注。许多此类公司依赖云服务提供商（如 AWS、Azure、Google Cloud）托管其管理面板、客户数据和监控日志。常见的配置错误包括：
- S3 存储桶权限设置错误：将敏感数据存储桶设置为公开可访问，而非私有或仅限授权 IP 访问。
- API 密钥硬编码或不当存储：在客户端代码、配置文件或版本控制系统中暴露访问密钥。
- 管理面板缺乏适当认证：控制界面未实施多因素认证或强密码策略，甚至存在默认凭证。
- 日志记录过度详细：操作日志包含敏感信息（如目标标识符、入侵方法细节），且这些日志本身保护不足。
这些配置错误使得攻击者能够通过简单的网络扫描或针对性搜索发现暴露的端点，进而获取对间谍软件基础设施的未授权访问。
远程访问后门：供应商信任的崩塌
Intellexa 泄露事件揭示了一个更为严重的问题：供应商对客户系统的未披露远程访问。调查显示，Intellexa 保留了对其政府客户部署的 "空气隔离" 系统的远程访问权限，使用 TeamViewer 连接至少 10 个客户系统（代号包括 Dragon、Eagle、Falcon 等）。这种访问提供了对实时感染尝试、目标 IP 地址、设备信息以及收集的监控数据的完全可视性。
这种配置代表了多重失败：
- 访问控制失效：供应商维护了预认证的登录凭证，绕过了客户的身份验证机制。
- 监控缺失：客户未能检测或审计供应商的远程连接活动。
- 合同与透明度问题：这种访问权限可能未在服务协议中充分披露，违反了客户对系统隔离的合理预期。
正如调查所揭示的，"公司员工使用 TeamViewer 软件直接连接到实时客户监控系统 —— 没有明显的监督或批准机制"。这一发现从根本上挑战了商业监控工具的信任模型。
零点击感染基础设施的暴露风险
Intellexa 的 "Aladdin" 系统展示了另一种基础设施配置风险。该系统通过数字广告生态系统实现零点击感染，将恶意广告注入合法广告流中。这种攻击向量依赖于复杂的广告技术基础设施，包括与广告网络、需求方平台（DSP）和供应方平台（SSP）的集成。
配置错误可能发生在多个层面：
- 广告服务器配置：恶意广告素材或重定向脚本可能因配置错误而暴露给非目标受众或安全研究人员。
- 跟踪与分析端点：感染确认和数据分析的 API 端点可能缺乏适当的认证和速率限制。
- 命令与控制（C2）基础设施：用于管理受感染设备的服务器可能因 DNS 配置错误或证书问题而暴露。
Recorded Future 的研究指出，两家名为 Pulse Advertise 和 MorningStar TEC 的公司似乎在广告领域运营，很可能与 Aladdin 感染向量有关。这种第三方依赖进一步扩大了攻击面，增加了配置错误的风险。
安全加固方案：从配置管理到持续监控
基于这些暴露事件，企业级间谍软件栈（以及更广泛的关键安全基础设施）需要实施以下加固措施：
1. 严格的配置管理策略
- 基础设施即代码（IaC）：使用 Terraform、CloudFormation 或类似工具定义所有云资源，确保配置的一致性、版本控制和审计跟踪。
- 策略即代码：实施 Open Policy Agent（OPA）或 AWS Config 规则，自动执行安全策略，如 "禁止公开 S3 存储桶"、"要求所有管理界面使用 MFA"。
- 秘密管理：使用 Hashicorp Vault、AWS Secrets Manager 或 Azure Key Vault 集中管理 API 密钥、数据库凭证和其他敏感信息，禁止硬编码或配置文件存储。
2. 访问控制与最小权限原则
- 零信任网络架构：实施基于身份的网络访问，而非基于位置；所有访问请求必须经过认证、授权和加密。
- 即时权限（JIT）：供应商访问应采用按需批准模式，而非持久性权限；所有访问会话应记录、监控并有时间限制。
- 特权访问管理（PAM）：对管理界面、数据库和关键系统的访问应通过 PAM 解决方案进行代理，记录所有活动并提供会话录制。
3. 操作安全（OpSec）强化
- 社交媒体政策：制定明确的内容发布指南，包括屏幕截图审查流程、敏感信息模糊化标准和批准工作流。
- 环境控制：内部演示和活动区域应实施物理和数字控制，防止意外信息泄露（如隐私屏幕、摄像头覆盖、网络隔离）。
- 员工培训：定期进行 OpSec 意识培训，重点关注社交工程、信息泄露途径和报告程序。
4. 第三方风险管理
- 供应商安全评估：对广告技术合作伙伴、云服务提供商和其他第三方进行严格的安全评估，包括架构审查、渗透测试和合同安全条款。
- 访问审计：定期审计所有供应商的访问日志，检测异常模式或未经授权的活动；实施实时告警机制。
- 隔离架构：客户系统应设计为即使供应商被入侵，也能限制横向移动和数据泄露；实施网络分段和数据加密。
5. 监控与检测能力
- 异常检测：部署用户和实体行为分析（UEBA）系统，识别异常访问模式、数据外传尝试或配置更改。
- 外部攻击面管理（EASM）：持续扫描互联网暴露的资产，识别配置错误、过期证书或未授权端点。
- 威胁情报集成：订阅相关威胁情报源，及时获取关于间谍软件基础设施 TTPs（战术、技术和程序）的更新。
可落地参数与阈值建议
为确保这些措施的有效实施，以下提供具体参数建议：
- 访问会话超时：管理界面会话不活动超时应≤15 分钟；供应商远程访问会话最大持续时间应≤4 小时。
- 认证强度：所有管理访问必须使用 MFA；特权账户应使用 FIDO2/WebAuthn 安全密钥而非 SMS 或 TOTP。
- 配置扫描频率：自动化安全配置评估应至少每天执行一次；关键资源（如公开存储桶）的检测应实时告警。
- 日志保留期：所有认证、授权和管理操作日志应保留≥365 天；特权访问会话录制应保留≥90 天。
- 漏洞修复 SLA：关键配置错误（如公开存储桶、硬编码密钥）应在发现后≤4 小时内修复；高风险漏洞应在≤7 天内修复。
结论
以色列间谍软件公司的基础设施暴露事件提供了宝贵的教训：即使是最专业的安全技术提供商，也可能成为自身配置错误和操作疏忽的受害者。这些事件突显了在复杂、分布式系统中实施一致安全控制的挑战，特别是在涉及多个第三方和高度敏感操作的场景中。
对于依赖类似技术的组织而言，关键收获在于：不能假设供应商拥有完善的安全实践；必须实施独立的验证和持续监控；配置管理必须从开发初期就融入安全考量；访问控制必须遵循最小权限原则，无论对内部员工还是外部供应商。
最终，安全不是产品特性，而是贯穿设计、实施、运营和治理全过程的文化与实践。当间谍软件公司自身成为泄露源头时，这提醒所有安全从业者：最坚固的堡垒往往从内部被攻破，而配置管理正是那扇未被充分守卫的后门。
资料来源：
- Roya News, "Exposed: 'Israeli' spyware firm accidentally shows hacking dashboard by mistake", 2026 年 2 月 15 日
- Breached.company, "Massive Intellexa Leak Exposes Predator Spyware's Dark Evolution", 2025 年 12 月 5 日