全球網絡安全形勢持續嚴峻。根據Sophos最新發布的《2026年活躍駭客報告》，在過去一年處理的661宗安全事件中，有高達67%來自身份相關攻擊，較過往數年持續攀升。報告涵蓋70個國家及34個行業的機構，反映身份漏洞已成為駭客入侵的首要途徑。
報告指出，攻擊手法已從傳統利用系統漏洞，轉向以入侵憑證為主。當中15.6%的事件涉及暴力破解活動，16%則利用漏洞入侵，兩者比例相若。值得注意的是，59%的案例中缺乏多重驗證（MFA）保護，令被竊取的憑證更容易被濫用，導致機構網絡輕易被滲透。
潛伏期壓縮至三天 駭客快速橫向移動
調查結果顯示，駭客的行動節奏明顯加快。自成功入侵機構至被偵測到的潛伏時間中位數，已縮短至僅僅三天，反映防禦方的反應速度有所提升，尤其在採用託管式偵測與回應（MDR）服務的環境中更為顯著。
更值得關注的是，駭客在入侵後能極速進入關鍵系統。數據顯示，駭客在入侵機構後平均僅需3.4小時即可進入Active Directory伺服器，顯示他們對目標網絡架構有高度了解，並能迅速識別及鎖定核心資產。
勒索軟件偏向下班後發動 非辦公時間成高危時段
報告揭示一個重要趨勢：勒索軟件攻擊有近九成（88%）發生於非辦公時間，79%的數據外洩事件同樣在該時段發生。黑客選擇在下班後、周末或假日發動攻擊，正好避開機構IT團隊的人手監控，增加成功機會。
這種模式顯示防禦方必須具備全天候的監控能力，否則難以在黃金時間阻止攻擊蔓延。
威脅組織數量創新高 Akira及Qilin最活躍
是次報告記錄到有史以來最多的活躍威脅組織，令整體環境更趨複雜，增加追查及歸因的難度。其中，Akira（又稱GOLD SAHARA）和Qilin（GOLD FEATHER）成為最活躍的勒索軟件，Akira在22%的相關事件中擔當主導角色。
報告中共識別出51個不同的勒索軟件，當中27個為過往曾出現的組織，24個為新興組織。自2020年首份報告以來，僅有四個勒索軟件家族持續活躍，分別為LockBit、MedusaLocker、Phobos及BitLocker。雖然執法部門持續打擊勒索軟生態系統，但市場出現真空，多個組織爭奪主導地位，導致威脅持續增加。
遙測數據缺失加劇 防火牆日誌保存不足
報告同時指出，因數據保留政策導致遙測數據缺失的情況，較去年增加一倍。當中以防火牆設備最為嚴重，其預設日誌保留期一般僅有七天，部分更短至24小時。缺乏足夠的歷史數據，嚴重削弱安全團隊的偵測及調查能力，無法有效追溯攻擊路徑。
生成式AI尚未改變攻擊格局
雖然外界普遍預期人工智能將大幅改變黑客攻擊手法，但Sophos的調查顯示，截至目前尚未發現AI產生根本性的新攻擊技術。雖然生成式AI確實令釣魚及社交工程攻擊變得更快更精密，但傳統手法仍佔主導地位。
Sophos全球資訊安全總監兼報告首席作者John Shier表示：「報告最值得憂慮的發現已潛伏多年：身份相關漏洞已成為成功入侵的主因。遭入侵的憑證、暴力破解攻擊、釣魚攻擊及其他手法，都是利用無法透過簡單修補程序解決的弱點。機構必須主動採取更全面的身份安全策略。」
他補充：「AI確實提升了攻擊的規模和干擾，但尚未取代駭客。雖然未來的生成式AI可能成為新動力，但目前仍需重視基礎：強化身份保護、確保可靠的遙測數據，以及在出現問題時能夠快速應對。」
全面身份保安成關鍵 企業須落實多重防護
根據報告結果，Sophos向機構提出以下防禦建議：部署具抗釣魚能力的多重驗證，並定期驗證其設定是否正確；減少身份基建及面向互聯網服務的暴露風險；及時修補已知漏洞，尤其針對邊緣設備；透過MDR服務確保全天候監控；保存並妥善保留安全日誌，以支援快速偵測和調查。
在威脅環境日益複雜的當下，機構必須重新審視其身份安全策略，將資源投放於身份保護、遙測數據建設，以及快速應變能力之上，方能有效抵禦持續演變的網絡攻擊。
