企業安全領導者的網路安全 HUMINT

什麼是 HUMINT？

使用合法憑證的攻擊者會繞過您的整個安全堆疊。根據 FBI/CISA 對 Scattered Spider threat actor group 的公告，他們透過操縱 IT 服務台人員交出憑證，展現出進階的人力情報 (HUMINT) 手法。這使防火牆、EDR 和網路分段失去作用。

網路安全中的人力情報 (HUMINT) 代表系統性利用人類行為、信任關係和社交動態來危害企業安全。雖然此術語起源於軍事和情報領域，但現在用來描述針對人為因素的攻擊。根據 CISA 指引，社交工程攻擊使用「人際互動（社交技巧）來取得或危害有關組織或其電腦系統的資訊」。

基於 HUMINT 的攻擊之所以成功，是因為它們會繞過已部署的每一項技術控制。您的防火牆、端點防護和網路分段，在攻擊者操縱人員自願授予存取權時都會失去作用。他們不是利用軟體漏洞，而是利用信任、權威、急迫感，以及人們天生樂於助人的傾向。

根據 Verizon 2024 DBIR，遭竊憑證仍是最常見的初始存取方法，使用於 22% 的資料外洩事件中。當您將這些以人為目標的攻擊方法結合來看時： 社交工程、系統入侵和基本 Web 應用程式攻擊，構成了不同產業部門中大多數的資料外洩事件。

若要了解為何 HUMINT 需要與技術攻擊不同的防禦方式，安全團隊必須先將其與其他情報領域區分開來。

HUMINT 與其他情報類型的比較

安全團隊會遇到多種情報領域，每一種都針對不同的攻擊向量。了解 HUMINT 的定位，有助於釐清為何它需要獨特的防禦方法。

• OSINT（開放原始碼情報）蒐集來自社群媒體、企業網站、職缺公告和公開紀錄的公開可得資訊。攻擊者會使用 OSINT 在發動 HUMINT 行動前研究目標。OSINT 蒐集是被動進行，而 HUMINT 則需要主動的人際互動。
• SIGINT（訊號情報）攔截電子通訊和網路流量。像是 加密 和網路監控等技術控制可防禦 SIGINT。HUMINT 則透過操縱人員自願提供存取權，完全繞過這些控制。
• TECHINT（技術情報）分析 malware、漏洞利用和技術性入侵指標。安全工具擅長透過簽章和行為模式偵測基於 TECHINT 的攻擊。使用合法憑證的 HUMINT 攻擊不會產生任何惡意技術指標。

關鍵差異在於：SIGINT 和 TECHINT 針對的是系統與資料流。HUMINT 針對的是人。當攻擊者透過社交工程取得憑證時，他們會以合法使用者身分進行驗證。您的 SIEM 看到的是正常登入活動。您的 EDR 看到的是已授權程序。您的防火牆看到的是允許的流量。由於沒有發生技術性攻擊，因此此類攻擊對技術偵測而言變得不可見。

這種不可見性說明了為何傳統網路安全計畫難以對抗 HUMINT 威脅。

HUMINT 與網路安全的關聯

網路安全計畫通常聚焦於技術漏洞：未修補的系統、設定錯誤的防火牆、惡意程式簽章，以及網路異常。HUMINT 顛覆了這個模型。攻擊者不是利用程式碼，而是利用心理。不是搜尋 CVE 編號，而是在 LinkedIn 上搜尋組織架構圖。不是掃描連接埠，而是設計針對特定個人的藉口情境。

在企業環境中，HUMINT 主要透過三大攻擊類別鎖定組織：

• 社交工程攻擊透過心理操縱，誘使員工洩露憑證、核准詐騙交易，或執行惡意行為。
• 內部威脅在現任或前任員工、承包商或業務夥伴故意或無意間危害安全時，利用其已授權的存取權。
• 偵察與鎖定作業涉及 Advanced Persistent Threat (APT) 群體進行系統性的情報蒐集，以識別最佳目標、描繪信任關係，並制定個人化攻擊情境。

根據 Ponemon Institute 2025 research，45% 的所有資料外洩事件是由內部威脅造成，平均每起事件成本為 270 萬美元。同一份研究顯示，60% 的組織無法有效發現內部威脅，形成了 APT 群體和以金錢為動機的攻擊者系統性利用的缺口。

攻擊者會利用這些缺口，採用安全團隊必須識別的特定技術。

HUMINT 技術與方法

HUMINT 攻擊透過結合偵察、心理操縱和技術利用的系統化方法運作。根據 CISA 的基礎指引，這些攻擊涉及「人際互動（社交技巧）來取得或危害有關組織或其電腦系統的資訊」。了解這些組成部分有助於識別防禦缺口所在，尤其是在 行為分析、安全意識和內部威脅能力方面。

• 開放原始碼情報（OSINT）蒐集 構成了基礎。攻擊者透過公開可得的資訊描繪組織輪廓：來自 LinkedIn 的員工姓名與職務、來自公司網站的組織結構、來自徵才資訊的技術堆疊細節，以及來自新聞稿的業務關係。
• 誘導技巧 透過看似無害的對話擷取資訊。熟練的社交工程攻擊者會與目標進行輕鬆的交談，逐步蒐集情報碎片，最終拼湊出完整的存取路徑。
• 內部人員招募與利用 以具有授權存取權限的員工為目標。 CISA 指引 將內部威脅定義為以下情況：「內部人員將利用其授權存取權限，無論是故意或非故意，對該部門的任務、資源、人員、設施、資訊、設備、網路或系統造成損害。」
• 信任關係濫用 透過有針對性的社交工程與藉口設計，利用商業夥伴關係與供應鏈連結。攻擊者透過入侵受信任的供應商、合作夥伴或承包商，使用 魚叉式網路釣魚 和有針對性的 憑證竊取 來取得間接存取權。

這些技術會組合成遵循可預測階段的結構化攻擊序列。

HUMINT 的風險與限制

HUMINT 攻擊並不保證成功。了解其限制有助於安全團隊排定防禦優先順序，並辨識攻擊何時失敗或停滯。

• 人類的不可預測性會為攻擊者帶來作業風險。不同於對弱點系統穩定有效的軟體 exploits，HUMINT 的成功取決於個別人的反應。員工可能會起疑、回報異常要求，或只是單純拒絕配合。一名保持警覺的員工就可能揭露整個行動。
• HUMINT 攻擊需要投入大量時間。 有效的 social engineering 需要大量偵察、關係建立與藉口設計。不同於可立即擴展的自動化攻擊，HUMINT 行動通常需要數週或數月才能對單一目標執行完成。這種時間投入限制了攻擊者可同時鎖定的組織數量。
• 歸因與曝光風險會嚇阻部分威脅行為者。 HUMINT 行動涉及直接的人際接觸，因而產生可供識別的機會。電話可能被錄音、電子郵件會保留中繼資料，而面對面接觸則有遭到實體辨識的風險。國家支持的組織與成熟的犯罪分子會接受這些風險，但能力較弱的攻擊者通常會避免使用 HUMINT，轉而採用純技術手法。
• 組織的安全文化會直接影響成功率。 擁有強大安全意識計畫、明確升級程序，以及鼓勵回報可疑活動文化的公司，能顯著降低 HUMINT 的成功率。當員工能夠在不擔心遭受報復的情況下質疑異常要求時，社交工程就會變得更加困難。
• 失敗的嘗試會提醒防禦方。 不同於被動偵察或自動化掃描，失敗的 HUMINT 嘗試通常會留下證據。遭回報的 phishing emails、被標記的電話，以及可疑的識別證申請，都會形成可供安全團隊用來識別進行中活動並強化防禦的情報。

儘管存在這些限制，攻擊者仍持續投入 HUMINT，因為這些技術對缺乏準備的組織仍然非常有效。

HUMINT 攻擊如何運作

HUMINT 攻擊遵循可預測的作業流程，但執行的成熟度會依對手能力與目標價值而有所不同。

1. 目標選擇與偵察 在入侵發生前數週或數月就已開始。APT 組織會系統性地識別擁有高價值智慧財產、金融系統或戰略情報的組織，並分析公開資訊以了解組織結構及識別關鍵人員。
2. 存取路徑識別 會描繪人員環境，以找出最佳切入點。攻擊者會識別具備必要存取權限、安全意識較低、行為模式可預測，或具有容易形成弱點之個人情況的員工。
3. 藉口設計的開發與測試 會建立針對特定目標量身打造、令人信服的情境。根據 SANS Institute 的研究，threat actors 會設計利用權威、急迫感、恐懼或助人心理的情境。
4. 初始接觸與操控 透過魚叉式網路釣魚電子郵件、利用已蒐集偵察資訊進行的電話、實體存取嘗試，或看似來自受信任來源的 SMS 訊息來執行社交工程攻擊。
5. 憑證擷取與驗證 會蒐集驗證資訊並確認存取權。攻擊者會驗證遭竊憑證是否提供預期的存取層級，並開始描繪內部系統。
6. 持續性與橫向移動 會建立持續存取並擴大控制範圍。一旦使用合法憑證進入網路，攻擊者對大多數安全工具而言會看起來像是授權使用者，同時建立備援存取方法並提升權限。

這些作業模式在全球針對企業的已記錄事件中一再出現。

真實世界的 HUMINT 攻擊案例

備受矚目的資料外洩事件顯示，HUMINT 技術如何繞過技術性安全投資。

• MGM Resorts (2023)： Scattered Spider 致電 MGM 的 IT 服務台，冒充在 LinkedIn 上找到的一名員工，並說服接線人員重設憑證。這通電話最終導致 勒索軟體 部署、拉斯維加斯各據點系統關閉，以及估計超過 1 億美元的損失。攻擊者透過 OSINT 研究目標、建立令人信服的藉口情境，並利用服務台想要提供協助的心理。
• Twitter (2020)： 攻擊者利用電話式社交工程入侵員工憑證，接著存取內部工具以劫持高知名度帳號，包括 Elon Musk、Barack Obama 和 Apple。攻擊者透過詐騙貼文獲得超過 100,000 美元的 Bitcoin。技術控制失效，因為攻擊者使用的是透過操縱取得的合法員工存取權限。
• Ubiquiti Networks (2015): 攻擊者透過偽造電子郵件冒充高階主管與外部律師，說服財務人員將 4,670 萬美元匯至由攻擊者控制的海外帳戶。這起 Business Email Compromise (BEC) 攻擊不需要惡意軟體、不需要網路入侵，也不需要任何技術性利用。

每起事件都有共同要素：廣泛偵察、可信的藉口情境、對信任與權威的利用，以及使用技術控制無法與正常作業區分的合法存取路徑。理解這些模式為何能持續成功，便能揭示傳統安全方法中的根本缺口。

HUMINT 攻擊為何成功

以 HUMINT 為基礎的攻擊主導威脅態勢，因為它們利用企業安全中的基本架構假設，同時在防禦者的盲點中運作。根據 Verizon 2024 DBIR，多數資料外洩事件涉及社交工程、系統入侵或基本 Web 應用程式攻擊。安全工具在架構上是為了找出技術性偏差，而非心理操縱。

根據 SANS 2025 report，現今有 80% 的組織將社交工程列為其首要的人為相關風險，但 Ponemon 的研究指出，許多組織難以有效發現內部威脅。

• 合法憑證可繞過技術控制。當攻擊者透過網路釣魚、社交工程或 內部竊取 取得有效憑證並加以使用時，他們看起來就像已授權使用者。周邊安全、入侵防護系統與端點防護無法區分合法憑證使用與持有憑證的攻擊者，直到入侵後出現指標為止。
• 人類心理始終可被利用。 技術漏洞可以被修補。人類心理傾向，包括權威、急迫感、恐懼、信任與互惠，在各種組織情境中都持續存在。根據 SANS 2025 report，AI 現在正為這些攻擊的複雜度與規模「大幅增強」。
• 偵察發生在防禦可視性之外。 APT 組織完全透過公開可得資訊進行情資蒐集，並在遭到偵測前，利用已授權存取持續數週或數月。
• AI 可實現大規模個人化。 根據 Verizon 2024 DBIR，生成式 AI 現在讓攻擊者能大規模產生極具說服力的網路釣魚訊息，使其更難被發現。
• 機器身分的擴張造成龐大的攻擊面。 根據 SANS Institute 的研究，機器身分如今已大幅超過人類身分，且預計到 2025 年，AI 將成為新增特權身分的最大來源。

這些成功因素帶來了安全團隊必須處理的特定防禦挑戰。

防禦 HUMINT 的挑戰

防禦以人為目標的攻擊，需要與技術性安全計畫不同的方法。

• 已授權存取在設計上即被信任。 安全架構假設已驗證身分的使用者是可信任的。以憑證為基礎的攻擊對安全控制而言仍然不可見，因為攻擊者看起來像是在執行正常活動的已授權使用者。
• 跨職能協作對內部威脅計畫至關重要。根據 CISA guidance，有效的內部威脅計畫需要整合 Security、HR、Legal 與 Management 的跨職能團隊。多數企業未能建立這些協作結構，導致威脅資訊孤島化，並延遲對可疑行為的回應。
• 濫用正常業務流程與合法活動無法區分。 HUMINT 攻擊之所以成功，是因為它們濫用正常工作流程。攻擊者利用電子郵件進行網路釣魚、利用檔案分享進行 資料外洩、利用遭竊憑證進行 VPN 存取，以及利用特權帳戶進行內部濫用。這些活動與合法作業相似，因此能規避技術偵測。

除了這些固有挑戰之外，組織往往還會因可避免的錯誤而使問題更加惡化。

防禦 HUMINT 時的常見錯誤

企業一再犯下可預測的錯誤，進而在人員層安全中造成可被利用的缺口。

1. 純粹依賴技術而缺乏以人為核心的防禦。 組織部署先進的 EDR、SIEM、 零信任架構、以及防火牆，但對安全意識計畫、行為分析和專責內部威脅能力的投資不足。當 SANS 2025 報告顯示 80% 的組織將社交工程列為其首要的人為相關風險時，威脅現實與防禦投資之間的落差便顯而易見。
2. 以安全意識作秀取代行為改變衡量。 年度安全訓練衡量的是完成率，而非實際的行為改變。員工觀看合規影片、點擊完成模組，然後立刻忘記內容。
3. 未能區分內部威脅類別。 對所有員工一體適用的監控，或因隱私疑慮而完全避免內部威脅計畫，都會造成盲點。根據 Verizon DBIR，對於蓄意濫用存取權限的惡意內部人員、因失誤而無意間危及安全的疏忽行為者，以及出於意識形態分歧而採取行動的良知拒服者，需要採取差異化的方法。
4. 忽視機器身分攻擊面。 IAM 計畫若只專注於人類身分，將使服務帳戶、API 金鑰、容器憑證和自主程序身分在缺乏治理的情況下持續增生。SANS 研究揭示了攻擊者會系統性利用的大量盲點。

避免這些錯誤需要實施經驗證有效的防禦框架。

防禦 HUMINT 的最佳實務

有效防禦以人為目標的攻擊，需要遵循 CISA 四階段框架的整合式計畫：Define、Find and Identify、Assess 和 Manage。這結合了用於發現內部威脅的行為分析、具可衡量成果的安全意識訓練，以及橫跨 Security、Human Resources、Legal 和 Management 的跨職能協作。

• 依循 CISA 的四階段框架實施內部威脅計畫。針對您特定的組織情境定義何謂內部威脅，並認知到內部人員是指任何獲授權存取組織資源或知悉組織資源的人員。部署整合技術指標與行為訊號的監控能力。
• 部署可建立基準並識別異常的行為分析。 實施 User and Entity Behavior Analytics (UEBA) 平台，分析驗證模式、存取行為和活動序列，以識別偏離既有基準的情況。例如，當某個使用者帳戶突然在凌晨 2 點從不尋常的地理位置存取檔案共用時，行為分析會識別此偏差並提醒團隊調查可能的憑證遭入侵事件。
• 建立具可衡量性的安全意識計畫，並納入行為測試。 超越以合規為導向的訓練，改採透過具個人化情境的真實網路釣魚模擬來衡量實際行為改變的計畫。
• 以持續驗證實施零信任架構。 根據 ISC2 的 Zero Trust Architecture 框架，零信任實施需要最小權限存取、以角色為基礎的存取控制、 多因素驗證、特權存取管理，以及具備記錄功能的持續監控。
• 防範同時鎖定人類與機器身分的身分型攻擊。 實施 身分治理計畫，結合以人為核心的安全意識、行為分析、跨職能內部威脅計畫，以及對人類與機器身分使用情況的持續監控。
• 建立整合 Security、HR、Legal 和 Management 的跨職能內部威脅團隊。 根據 CISA 指引，建立具明確定義角色、職責和資訊共享協定的正式協作架構。

實施這些最佳實務需要能夠偵測整個企業中行為異常的技術。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

以 HUMINT 為基礎的攻擊主導了現代威脅態勢，因為它們利用人類心理與合法憑證，而非技術漏洞。根據 2024 Verizon DBIR，遭竊憑證仍是最常見的初始存取方法，而 2025 Ponemon Institute 的研究證實，許多組織在有效發現內部威脅方面面臨困難。防禦這些攻擊需要整合式計畫，結合行為分析、具可衡量成效的安全意識、內部威脅框架、零信任架構，以及跨職能協作。

當像 Scattered Spider 這樣的攻擊者操縱服務台人員交出憑證時，防禦成功取決於是否實施整合式計畫，以發現技術控制無法看見的以人為目標攻擊。