2026 年全球威胁态势研究报告

2026年全球威胁态势研究报告FortiGuardLabs研究洞察目录

.

前言

4.关于本报告

4 2026年全球威胁态势研究报告4 受众与目标4 方法论与遥测数据来源4.FortiGuard安全运维攻击链框架

5.阻断式防护：摧毁产业化网络犯罪链条

7.

执行摘要

9.核心结论摘要：工业化网络犯罪：机器速度下的攻击13.

网络犯罪产业化：漏洞如何成为黑色产业链的“生产资料”14 暗网整体态势：已完成目标暴露面标记（FortiRecon情报）14.武器化：工业化攻击准备与攻击者赋能

27 漏洞商品化：将漏洞利用视为存货资产，而非一次性事件30

漏洞利用成熟度

vs.漏洞新颖性31 封装、复用与自动化能力32.漏洞利用：规模化入侵⸺攻击执行的工业化

35

IPS

情报、FortiEDR

/MDR

情报、FortiRecon

情报35 漏洞利用时间（TTE）与自动化39 关键漏洞爆发模式与快速武器化40.后渗透：网络犯罪以机器速度接管系统

44 僵尸网络C2、无文件攻击与原生工具45 规模化持久控制48.工业化云入侵：机器级身份滥用、自动化与控制

51 云控制平面滥用51 身份体系作为新攻击面52 全球区域与行业观察53 API滥用、资源劫持与变现模式55.影响：工业化网络犯罪如何将攻击能力转化为实际

损害（FortiRecon情报）

59 受害者规模与经济利益优化

60 勒索软件、APT攻击与大规模漏洞利用的融合威胁

63安全运营、应急响应与决策框架63.总结：在工业化威胁时代重建防御者优势

67.关于《Fortinet全球威胁态势研究报告》

70.

关于FortiGuardLabs

70.关于Fortinet

71The2026Global

ThreatLandscapeReport

|3本报告所用数据均源自FortiGuardLabs威胁情报，依托自2002年起在全球部署的数百万传感器采集的遥测数据。报告涵盖2025年（或某些数据集最新可获取的近12个月记录）在多个安全领域和攻击媒介上收集的海量数据，每项洞察均标注遥测数据来源，并映射至MITRE

ATT&CK框架，以确保分析基准的可防御性和可复现性。本次研究的发现与建议根据实际观测活动的发生概率和普遍性进行优先级排序，直接聚焦于安全运营中心（SOC）、数字取证与事件响应（DFIR）及首席信息安全官（CISO）等关键岗位在威胁检测、响应和自动化方面的核心关注点。2026年全球威胁态势研究报告2026年全球威胁态势研究报告|41234后渗透该框架提供了跨领域遥测数据关联的统一方法，确保每项分析结果均可映射至

ATT&CK技术矩阵、经证据验证，并通过安全运维工作流落地实操。2026年威胁态势已无法通过孤立的入侵指标或单一领域趋势准确描述。

攻击者实施端到端攻击生命周期

⸺从入侵前的暴露面自动化测绘、访问权限商品化交易和工具链产业化装配，到入侵后的精准漏洞武器化、隐蔽持久化植入、双重勒索获利变现及业务连续性破坏。为此，《2026年全球威胁态势研究报告》引入FortiGuard安全运维杀伤链（SecOps

Kill

Chain），该模型基于核心优势构建，并采用遥测数据驱动。

Fortinet提供覆盖攻击全生命周期的安全运维技术，实现对多种入侵途径的真实环境可视化监测。这种统一的多领域遥测机制，可构建基于证据的可验证威胁分析体系。该框架以MITREATT&CK为通用语言提供一致性分析架构，并将遥测数据转化为符合持续威

胁暴露管理（CTEM）的决策依据。FortiGuard安全运维（SecOps）杀伤链阶段及解读方法模型将威胁活动划分为六个可循环阶段:56漏洞利用武器化暴露面发现最终决策2026年全球威胁态势研究报告|

5入侵影响引入FortiGuardSecOps行动框为确保本报告提供可落地的操作方案而不仅限于洞察分析，

FortiGuardSecOpsKill

Chain的每个阶段均设有标准化行动框。该行动框是本报告的核心执行载体，

标志着遥测驱动的威胁情报转化为具体、角色化的行动方案。该行动框采用模块化可视化设计，具备独立可复用特性，无需依赖上下文即可直接部署至以下场景：.安全运营中心（SOC）应急处置预案.数字取证与事件响应（DFIR）调查清单.首席信息安全官（CISO）战略简报及持续威胁暴露管理（CTEM）实施方案为避免报告内容冗繁，本报告将统一采用集成式FortiSOC作为安全运维（SecOps）行动框的底层执行架构。FortiSOC全面整合以下三大核心运营能力：3FortiSOAR:流程编排、Playbook执行、情报增强、自动化响应1FortiAnalyzer:日志分析、基线建模、报告生成、调查中枢注：虽然报告中为提升可读性在表格形式的‘行动框（Actionboxes）’中使用了FortiSOC

，但客户可选购统一SaaS服务或独立部署分析（FortiAnalyzer）、管理（FortiSIEM）和编排（FortiSOAR）组件。2FortiSIEM:多源关联、规则引擎、事件/案件管理2026年全球威胁态势研究报告

|6现代网络犯罪已呈现高度产业化特征，依托共享攻击基础设施、可复用武器库工具链、体系化的地下交易市场以及犯罪生态间的长效协同机制。在此背景下，安全防护已不再局限于在攻击执行时点进行单一阻断，而是需要对上游支撑体系实施源头打击。Fortinet防御体系深度适配这一威胁格局——在提供企业级检测响应能力的同时，更联动全球执法部门、产业联盟与跨国协作组织，系统化识别、追踪并摧毁网络犯罪的基础支撑设施。这一战略聚焦犯罪供应链关键节点：

C2指挥网络、欺诈基础设施、凭据黑产生态、规模化诈骗集群及其地下交易枢纽。过去一年，

Fortinet

深度参与了多项国际协同打击行动，包括国际刑警组织的“塞伦盖蒂2.0行动”和“红牌

2.0

行动"、世界经济论坛主导的"网络犯罪图谱计划"、阻断式防护：摧毁产业化网络犯罪链条通过网络威胁联盟（CTA）

开展的行业协作，以及与国际灭罪组织共同推出的"网络犯罪悬赏项目"。这些行动旨在将威胁情报转化为实际战果，具体包括犯罪基础设施识别、联合打击行动支持，以及削弱大规模犯罪活动的服务支撑能力。2026年全球威胁态势研究报告|

7"红牌行动2.0"和"塞伦盖蒂行动2.0"等专项行动证实，基于情报协同的联合作战可有效打击规模化网络犯罪活动。相关行动已实现犯罪人员抓捕、作案设施查封，并成功摧毁依托共享主机、通信平台与资金通道运作的欺诈及网络犯罪体系。从网络安全防御角度而言，此类行动可在威胁渗透企业网络前，彻底清除特定类型的攻击源头。此类执法行动更具战略价值：通过精准溯源实际攻击者及其基础设施，不仅强化了犯罪追责效果，更有效破坏了犯罪生态赖以生存的匿名性和可靠性基础。随着基础设施被持续摧毁和犯罪者身份的曝光，大规模网络犯罪的实施成本与风险门槛将大幅提高。长远来看，这种机制通过削弱网络犯罪活动的可预测性、稳定性和盈利空间，逐步建立起有效的威慑体系。“网络犯罪图谱计划”与网络威胁联盟（CTA）通过完善行业威胁情报的共享机制、关联分析和实战应用，进一步拓展了这一协同作战模式。该计划不仅着眼于加快威胁检测速度，更注重提升整体打击效能，通过系统梳理攻击者基础设施网络、关联实体及运作依赖关系，精准识别犯罪生态系统中的结构性漏洞，并组织针对性协同打击行动。“网络犯罪赏金计划”通过提升对活跃犯罪基础设施及攻击工具的监测能力，有效支持这一战略目标。该计划不仅协助识别高价值打击目标，更大幅压缩了从威胁发现到处置行动的时间窗口。这些协同行动标志着防护理念范式的转变：在当前产业化的网络威胁环境下，有效防护已不再局限于阻断单次漏洞利用或拦截特定恶意软件，而是需要通过系统性增加犯罪成本、制造运营障碍、破坏其规模化依赖的共享服务可靠性，从根本上削弱攻击者生态体系的整体运作效能。此类上游打击措施与本报告所述技术防护方案形成战略互补。虽然暴露面管理、威胁检测与应急响应仍是必要环节，但最根本的防护在于将更多威胁扼杀在成熟攻击阶段之前。随着犯罪基础设施被持续清除、黑产交易平台遭瓦解、攻击运营者不断被迫调整策略，整个攻击链条的稳定性和可靠性将受到实质性冲击。此类举措构成了攻击链中的关键控制节点。尽管在此环节部署的防御措施不能完全替代下游防护，但能显著降低整体防御体系需应对的威胁总量、攻击频率及实施效率。网络犯罪悬赏计划通过提升对活跃犯罪基础设

施及攻击工具的监测能

力，有效推进这一目标

的实现。2026年全球威胁态势研究报告|

8Fortinet遥测数据显示，全球范围内共记录

6400亿次侦察事件（同比-45%）、676.5亿次暴力破解尝试（同比-22%）及1219.9亿次漏洞利用尝试（同比+25%）。值得注意的是，

2024年漏洞利用尝试量仅为

970亿次，这一显著增长凸显了自动化攻击规模正持续扩大。数据表明，当前攻击模式已实现全自动化运作——暴露面持续被扫描、验证并利用，完全摆脱了传统攻击周期和人工干预的限制。当前漏洞利用主要依赖于现成漏洞的可用性和自动化工具，而非新漏洞的挖掘。在监测到的635个活跃漏洞中，53.86%已有公开的概念验证代码，31.18%具备可直接利用的完整攻击代码。该数据与

2024年情况基本一致，表明攻击者一旦获得现有的漏洞利用素材，就能迅速将其投入实战攻击。当前自动化技术大幅加快了漏洞利用速度，使得攻击窗口期急剧压缩。历史数据显示，

漏洞公开后通常需一周左右才会出现攻击活动，但2025年这一时间已缩短至

24-48

小时内。这种快速响

应能力使得攻击节奏持续领先于企业常规的漏洞修复周期。6400亿次侦察活动1219.9亿次漏洞利用尝试2025年

，网络犯罪已从孤立攻击活动演变为产业化运作体系。676.5亿次暴力破解攻击尝试执行摘要2026年全球威胁态势研究报告|

9监测数据显示，身份凭证泄露持续成为规模化网络攻击的首要源头。

FortiRecon最新报告显示，暗网上交易的窃密日志数量已达

46.2亿条，较2024年激增79.07%；

同时2024年流通的被盗凭证数量维持在17

亿条的高位，反映出凭证黑产规模仍在快速扩张。特别在云环境领域

，身份盗用依然是占比最高的入侵途径

，攻击者普遍采用窃取的有效凭证作为初始攻击媒介，并借助

API

接口完成后续攻击链。勒索软件已发展成成熟的产业化运作模式。2025年全球确认受害者达7,831（较2024年约1,600的激增389%），攻击活动全年持续不断。其影响具有系统性、经济最优化和可重复性特征，而非偶发事件。决策建议：在当前日益产业化的网络威胁环境下，

企业需引入持续威胁暴露管理（CTEM）体系，以全面掌握自身攻击面并优化修复优先级。防御效率已成为关键业务风险指标，具体体现在：漏洞检测时效、威胁遏制速度和凭证失效响应时间。现代安全防护的核心竞争力，已从安全产品的堆砌转变为快速识别和阻断入侵事

件的实战能力。监测分析表明，近半数（48.96%）

可疑活动涉及合法系统工具（LOLbins）滥用，证实攻击者主要利用原生工具和自动化技术而非定制恶意软件实现规模化攻击。持久化控制数据显示，全年检测到71亿次僵尸网络C2连接（日均约1940万次，同比降11%），攻击者通过稳定的命令控制架构持续维持访问权限，完成攻击部署、长期驻留和非法获利。在暴露、漏洞利用、攻击执行和入侵影响等各个环节，攻击者的共同优势不仅在于技术复杂度，更在于其攻击速度和工具复用能力。2026年全球威胁态势研究报告|10在暴露面发现、漏洞利用、攻击执行和入侵影响等各个环节，攻击者的共同优势不仅在于技术复杂度，

更在于其攻击速度和工具复用能力。2026年全球威胁态势研究报告|11

暴露：网络犯罪产业化运作6400亿次侦察事件和676.5亿次，实证机器驱动的自动化网络测绘与凭据武器化技术已成为攻击者标配。

武器化：身份凭证与漏洞的产业化库存46.2亿条窃密日志和635个活跃利用漏洞（53.86%含公开PoC），显示漏洞武器化和凭证商品化已形成规模。

漏洞利用：以执行速度决胜负2025年1219.9亿次漏洞利用尝试和57.32%被利用漏洞表明，实际入侵影响取决于防御准备状态和自动化水平而非CVSS评分。

漏洞利用时间从数天压缩至零日，多个重大漏洞在披露当天或次日即出现被利用迹象。

后渗透：持久化命令基础设施71亿次僵尸网络

C2

检测（日均约1940万次）证实，攻击者通过产业化命令控制层而非孤立访问维持入侵。

入侵影响：勒索软件的高吞吐量生产2025年已确认的7831名受害者集中出现在规模化组织中，这一现象实证勒索软件已演变为持续性的经济引擎，而非间歇性的攻击活动。

跨威胁融合：单一漏洞，多重后果相同漏洞被跨威胁活动重复利用：22.83%仅用于勒索软件攻击，19.53%仅用于APT行动，20.47%同时用于两者，43.15%被大规模利用。这些非互斥类别凸显单个漏洞可同时实现勒索、间谍活动和大规模入侵。

执行模式：无文件、原生、自动化就绪48.96%的LOLbin滥用、约8%的代码注入/进程挖空、11.5%的即时敏感数据访问均通过原生工具（非定制恶意软件）实现。 云环境：身份即漏洞，

API即引擎以身份盗用为突破口、API高频探测为手段，通过

AWS

SES滥用、加密货币挖矿和资源劫持变现，构成了产业化的云环境入侵模式。核心发现：以入侵影响为导向，数据优先2026年全球威胁态势研究报告|12核心结论摘要2025年，

网络犯罪已形成产业化规模。635个漏洞被利用。7,831家组织遭勒索。自动化攻击、身份滥用和补丁延迟已替代零日漏洞成为入侵影响的关键所在。随着AI

加速前期侦察、武器化和攻击执行等关键环节，漏洞利用时间（TTE）已压缩至当天，通常在

24

小时以内。防御时效已不仅是技术指标，更是企业战略决策。2026年全球威胁态势研究报告|13在高度产业化的网络威胁环境中，安全

暴露面已不再是偶然存在的薄弱环节，

而是演变成了攻击者主动猎取、加工并

大规模利用的战略性资源。各类登录凭

证、入侵路径、易受攻击服务以及配置

错误，均被黑客系统化地搜集、验证、

打包，并通过完善的黑色产业链实现重

复利用，从而为持续不断的网络攻击活

动提供源源不断的“弹药"。这彻底改变了网络安全防御的游戏规

则。如今评判安全漏洞的标准，已经不再局限于当前系统中暴露的薄弱环节，而是扩展到那些早已被网络黑产集团通过自动化工具捕获、分类并在暗网流通的威胁数据。用户身份信息、访问凭证和关键设施情报在首次泄露后长期有效，使得黑客能够绕过常规侦察环节直接发起精准攻击。真正的威胁不仅来自防御者未能及时修补的漏洞，更在于攻击者手中随时可调用的庞大攻击资源库——这些资源能够以机器执行的高速度、

产业化生产的大规模被快速部署利用。暗网生态中威胁活动整体态势：已完成对目标系统暴露面的自动化扫描和标记（FortiRecon情报）在产业化的网络威胁环境中，暴露面不再始于侦察阶段，而是源自地下黑市。FortiRecon情报证实，现代网络攻击中相当比例的漏洞资产都已在暗网初始访问代理（IAB）生态中完成预采集、结构化和商业化流通，这些操作甚至早于任何扫描或暴力破解行为。（在网络安全领域，

IAB指专门入侵企业网络并转售“入口权限”给其他网络犯罪团伙，特别是勒索软件运营者的威胁团伙。）数据库、凭证、已验证的攻击路径和黑客工具持续在暗网挂牌交易，构成了滋养下游入侵活动的上游供应链。随着该供应链日益实现自动化和

AI辅助，从数据窃取、包装到投入实战的时间窗口不断压缩，直接导致多重攻击路径的初始访问时效呈指数级提升。网络犯罪产业化：

漏洞如何成为黑色产业链的“生产资料”2026年全球威胁态势研究报告

|

14窃密日志

35.10%组合凭证库

25.48%区域定向数据集

13.01%个人身份信息集

11.80%政府关联数据

6.12%加密货币相关

4.34%企业机密文档

4.14%这种分布反映出成熟的犯罪供应链体系。窃取日志和复合凭证库作为海量原料，支

撑着VPN、单点登录（SSO）门户、企业邮箱等远程服务的凭证填充和账户劫持攻

击

，攻击者通常无需任何额外侦察工作即

可实施攻击。交易活动高度集中，主要由威胁行为体JHON02(13.54%)

和BESTCOMBO(12.84%)主导，紧随其后的是MEGACLOUD/CODER/UNIQUECOMBO/

VALIDMAIL，这一现状证实暴露面采集已

发展成产业化生产市场，而非机会主义的松散生态。在这种模式下，

身份信息不再是攻击目标，而是攻击素材。

随着

AI辅助工具加

速对这些素材的验证、分类和再利用，

一旦凭证进入黑市流通环节，初始访问时间

将进一步缩短。身份信息和数据成为既有暴露面2025年，暗网数据库交易以支持重复使用和自动化的数据集为主，而非一次性利用资源：2026年全球威胁态势研究报告

|

15企业

VPN

37.05%RPD

29.71%ScreenConnect

16.73%FTP 5.88%RDWeb 4.67%其他访问权限类型包括：单点登录（SSO（0.96%）、AnyDesk（0.86%）企业邮箱访问权限（0.70%）、云平台访问权限（0.59%）、SSH服务器权限（0.51%）

，以及少量webshell、API接口、管理面板和存储访问权限，充分展示了预置入侵选项的多样性。当前访问权限交易市场呈现寡头垄断格局，WWW以30.10%的市场份额稳居首位，XRAHITEL/TALISMANUDACHIZZ和SHELLSHOP等次级卖家紧随其后。这种高度集中的市场结构表明，访问权限中介产业已发展出以交易效率、供应规模和服务稳定性为核心竞争力的成熟商业模式。当前网络攻击已进入产业化阶段，入侵活动往往直接利用现成的访问权限展开，完全跳过了传统的漏洞开发环节。访问权限中介：将暴露面转化为入侵通道除数据交易外，初始访问代理（IAB）还活跃从事已验证的企业内网访问权限交易。其中高频兜售访问类型包括：2026年全球威胁态势研究报告

|

16凭证窃取器：已成为规模化生产身份数据的“黑产流水线”凭证窃取类恶意程序持续为网络犯罪团伙输送攻击资源，FortiRecon遥测数据显示，窃密软件攻击活动主要由以下

窃密木马为主导：

27.84%

13.19%SSO:35,439,504GitHub:6,603,999Webmail:6,123,021Zoom:

4,420,797ADFS:3,581,841各类企业平台在窃取数据集中持续出现，涵盖业务/ERP系统（Oracle、SAPPortal）、开发/代码库（GitLab）、IT/协作工具（Jira、Confluence）、认证/身份管理（认证门户、Okta、ADFS）、远程访问（AnyDesk、Citrix）、电子邮件（OWA、Zimbra）、SaaS平台（Salesforce）以及内容管理（SharePoint）。这印证了一种结构性转变：

身份信息泄露已从偶发事件演变为常态——它们正通过信息窃取产业链被持续产出、包装并再次分销。随着

AI辅助钓鱼攻击、定制化恶意软件和智能化日志处理技术的日益成熟，这一生产周期不断加速，使得基于身份认证的入侵路径中，漏洞利用时间（TTE）被进一步压缩。RedLine:911,968次感染Lumma:499,784Vidar:236,778窃取日志中打包的各类凭证数据，直观体现了这些感染活动的经济价值2026年全球威胁态势研究报告

|

1750.80%机器级网络侦察：自动化扫描构成

产业化攻击的基础支撑（IPS情报）主动扫描依然是现代网络杀伤链中最主要的初始入侵手段。

FortiGuardLabs

2025

年度遥测数据证实，自动化网络侦

察活动持续保持全球规模运作态势，为

绝大多数后续攻击武器化与漏洞利用提

供了基础支撑。尽管年度扫描总量呈现同比下降趋势，

但这并非意味着攻击者能力削弱或攻击

意图减退，而恰恰反映了其战术的精细

化升级。当前攻击者正转向更具针对性、效率更高的选择性扫描模式：其扫

描行为与下游攻击目标明确挂钩，并通

过持续监视暴露攻击面来取代传统的大

规模无差别探测。经全球监测数据显示，当前网络扫描活

动主要映射至MITREATT&CK框架TA0043（侦察阶段）

，其攻击特征持续聚焦于以下关键领域：.主动扫描技术（T1595）.IP地址段扫描（T1595.001）.漏洞扫描（T1595.002）.受害者网络信息收集（T1590），

含

DNS枚举技术（T1590.002）上述攻击技术正以机器化规模持续运作，共同构建出产业化网络侦察体系层，而非孤立的探测。该侦察体系使攻击者具备系统化绘制暴露基础设施的能力，可持续刷新目标情报，并形成贯穿凭据滥用、攻击武器化到工作流漏洞利用的持续性攻击机会链，完全超越了传统孤立探测的作业模式。随着

AI驱动的目标识别、资产分类和攻击优先级判定技术日趋成熟，该侦察体系与漏洞利用工具包、访问代理的整合程度不断加深，导致从漏洞发现到实际攻击影响的漏洞利用时间（TTE）显著缩短。这证实了一个关键的转变。网络侦察已从传统的攻击准备环节，演进为与攻击武器化流程实时联动的持续性自动化作战能力。2026年全球威胁态势研究报告

|

18地区网络安全年度扫描检测(2025)每天每小时每秒作战动态亚太地区2601.3亿次约7.13

亿次约2970

万次约8,250次年末攻击活动呈现显著加速态势，尤其针对SIP语

音服务和DNS基础设施的攻击激增，这与互联网暴露面服务密集化、电信基础设施升级和云服务普及的发展趋势高度吻合。欧洲、中东、非洲约1683.6亿次约4.61亿次约1920万次约

5,300次扫描活动总量减少但攻击效率显著提升，攻击

模式转为以DNS枚举和定向漏洞探测为核心的精确定位侦察，这些数据直接输送至后续漏

洞利用环节，形成高效的攻击链条。北美洲约1566.8亿次约4.29亿次约1790万次约

5,000次在整体攻击量下降的同时，打击精度显著提升。

其侦察活动已形成漏洞探测、DNS测绘与暴露服务枚举三位一体的协同机制，充分展现攻击方

对强化防御体系的适应性进化。拉丁美洲约546.5

亿次约1.50亿次约620万次约1,730次同比降幅最大但攻击持续性强，且高度聚焦于SIP协议、DNS服务及反复暴露的资产，表明攻

击者正在复用历史侦察数据而非攻击意愿降低。漏洞利用代码一经公开，攻击者即可跳过传统侦察阶段直接实施精准打击。网络侦察已从攻击链的独立环节进化为全时运作的支撑系统，为武器化攻击和漏洞利用提供近实时的数据输送。在此态势下，防御方若缺乏对暴露面的主动管控，将面临难以逆转的战略被动。全球主要区域均呈现相同攻击特征但量级存在差异，2025年度记录显示：

亚太区（2601.3亿次）、EMEA地区（1683.6

亿次）、北美（1566.8亿次）、拉美（546.5亿）次扫描事件。

其攻击模式展2025年全球网络侦察活动量据FortiGuard最新遥测数据显示，本年度累计侦测到恶意扫描事件约6400亿次，折合日均

17.5亿次，实时扫描频率稳定维持在每小时7200-7500万次区间（即每秒持续超20000次），年同比下降45%。在这种速度下，当新漏洞被披露时，攻击者无需主动扫描，全球网络攻击面已被实时绘制、动态更新且保持即时攻击就绪状态。该攻击模式使漏洞从公开披露到实际被利用的时间窗口大幅压缩。现出高度一致的全球性特征：持续性网络扫描、协议级攻击优先级判定，以及通过侦察数据系统性复用实现漏洞利用加速。这种持续性侦察机制大幅加速了攻击者的决策流程，使得漏洞从公开到被利用的时间窗口急剧缩小。在当前产业化的网络威胁环境中，防御者面对的已不再是孤立的攻击行动，而是一个全天候运转、具备机器级规模的情报测绘体系——该系统通过持续的情报采集、验证与更新，实现对暴露面的动态监控。2026年全球威胁态势研究报告

|

19主要扫描目标描述说明（基于遥测数据/事件分析）下游影响（攻击链后续效应）防御方影响（安全防护有效性评估）SIP/VoIP暴露服务暴露的

VoIP服务，存在薄弱认证控制及持续暴露风险。呼叫欺诈、横向渗透及访问凭证

经纪生态内的转售活动显著提升可重复利用攻击入口的发现概率；必须将SIP服务暴露

视为持续性运营风险。DNS基础设施暴露面DNS基础设施持续遭受扫描，攻击者通过测绘网络环境定位可劫

持域名。C2基础设施预置与流量隧道构

建；可利用域名映射/筛选；多

攻击活动复用压缩防御响应窗口：攻击者自带域名/基础设施情报；显著提升

DNS加固与监控的价值。对外服务与管理接口面向互联网的服务及管理接口被持续扫描，建立可被利用的漏洞资产

清单。漏洞版本清单、错误配置及暴

露控制面的按需调用机制，成

为攻击者武器化阶段的核心资

源库。将暴露面转化为“战备资产清单”；若缺乏持续性暴露面管理，防御方只能在攻击发生后被

动响应。网络犯罪侦察目标与自动化机制：网络犯罪扫描对象及产业化发现体系在所有地区，威胁行为者已不再实施随机网络探测，而是系统性地构建产业化侦察管道。

FortiGuard遥测数据表明，攻击者持续优先扫描具备规模化、可复用和变现价值的基础设施类别，反映出成熟的产业化网络犯罪模式。该模式下，侦察活动已非探索性行为，而是演变为资产清单创建机制——通过持续识别、编目和更新暴露服务、接入点及协议，实现攻击资源的按需激活与复用。这种模式将漏洞披露与利用的时间窗口急剧压缩，使资产发现环节直接对接后续武器化和漏洞利用流程。全球范围内的威胁行为者已彻底摒弃随机探测模式，转而构建工业级侦察体系——通过自动化工具链，持续为攻击管道输送高价值目标数据。”2026年全球威胁态势研究报告

|20.商用漏洞扫描器（如Qualys），反映企业级工具的双重用途特性⸺攻击者通过规模化利用该类工具快速识别易受攻击的软件版本和错误配置，显著降低构建漏洞利

用管道的前期投入。.Nmap作为大规模端口扫描、服务指纹识别及协议检测的基础工具，在持续运行

（而非间歇性使用）时尤为有效。.

Nessus与OpenVAS虽然使用频率较低，但能通过漏洞上下文增强侦察数据质量，

有效支持攻击优先级判定及后续武器化作业。2025年全球侦察活动遥测数据中持

续占据主导地位的工具包括：威胁行为体已彻底摒弃临时性和人工驱动的扫描模式。2025年，

FortiGuard

Labs遥测数据显示，自动化侦察工具已成为攻击效能倍增器，不仅推动网络犯罪的目标发现进入产业化阶段，更维持着对暴露基础设施的持续监控。攻击者普遍放弃定制工具开发，转而大量采用自动化编排的商用及双用途扫描框架，以优化攻击速度、覆盖范围和资源复用率。该模式将侦察环节与漏洞利用相剥离，使扫描结果持久化为可随时调用的攻击情报库，实现按需武器化。单就工具而言，这些技术手段本身已广为流传且被充分研究。其战略价值实则源自组合运用、自动化编排及重复利用方式。2025年的监测数据表明，侦察工具已从离散的独立工具，演变为网络犯罪经济中的基础设施级组件——持续为访问凭证交易、漏洞利用框架和变现渠道输送资源。这导致现代网络侦察不再是需要被动应对的孤立事件，而已成为防御方必须持续管理的常态威胁。2026年全球威胁态势研究报告

|21工业级暴力破解攻击体系当侦察发现攻击机会时，暴力破解便实现非法访问的产业化运作。2025年FortiGuard

Labs数据证实，暴力破解仍是将暴露服务转化为有效访问权限最具扩展性、可靠性和成本效益的机制。现代暴力破解的差异不在于技术本身，而在于其产业化程度——通过自动化、优化和全球化持续运作。暴力破解已不再是嘈杂的投机性战术，而是演变为旨在实现最大化凭证转化率的同时，最小化攻击者投入的标准化生产流程。全球监测数据显示，所有区域观测到的攻击活动均高度符合MITREATT&CK框架

TA0043（侦察阶段）技术分类，持续集中在：

主动扫描（T1595）、IP段扫描

（T1595.001）、漏洞扫描（T1595.002）及受害者网络信息收集

（T1590，包括

DNS枚举（T1590.002）。这些技术在互联网规模上持续执行，构成了一个持久化、自动化的侦察层，使攻击者能够系统性地识别、分类和更新暴露攻击面，直接为下游的凭证滥用、武器化和漏洞利用工作流提供支持。此类技术模式在侦察阶段后反复出现，形成可重复且可靠的攻击访问模式，而非孤立的攻击尝试行为。

在此规模下，暴力破解已非背景噪声，而是产业化攻击基础设施。”2026年全球威胁态势研究报告

|222025年，

FortiGate入侵防御系统（IPS）在全球范围内累计记录约

676.5亿次暴力破解攻击事件（年同比减少22.1%）。

该攻击数据具体表现为：.

日均约1.85亿次尝试.

周均约13亿次尝试.月均约56亿次尝试与侦察活动类似，暴力破解的年同比下降反映的是攻击效率提升而非威胁程度降低。攻击者正减少尝试频次，集中针对更精准筛选的目标，从而显著提高单次凭证测试的成功概率。在此量级下，暴力破解已非干扰噪声，

而是产业化攻击基础设施。暴力破解活动呈现区域性集中分布特征，该分布规律反映出暴露的凭证类服务及凭证复用模式能带来最高攻击收益：.EMEA（40.9%）：年约277亿次（日均约

7600万次）.亚太地区（38.3%）：年约259亿次（日均约

7100万次）.北美地区（15.5%）：年约105亿次（日均约2900万次）.拉美地区（5.3%）：年约36亿次

（日均约

1000万次）尽管绝对攻击量存在差异，但各区域

攻击模式高度一致——均对存在可预

测凭证暴露的服务实施持续性暴力破

解压制。持续遭受暴力破解攻击的服务遥测数据表明，暴力破解攻击高度集中于以凭据为核心的服务——这类服务的特

点在于，攻击尝试极易转化为实际的访问权限获取：.SMB：251亿次（37.9%）.SSH：148亿次（22.4%）.MySQL：73亿次（11.1%）.RDP：67亿次（10.1%）此类服务因其普遍性、高频凭证复用特性及渗透后的即时控制能力，构成攻击者最短初始接入路径。从产业化攻击视角评估，它们实质上是高吞吐量的入侵接入点——具备自动化成本低、攻击投入小、漏洞利用稳定性高等战术优势。暴力破解为何能保持高成功率暴力破解的成功不依赖技术复杂度，而取决于攻击规模与概率优势。攻击者主要利用以下漏洞：.暴露服务间的凭证复用.速率限制弱或缺失.多因素认证（MFA）执行不严格.

认证工作流可预测攻击者通过机器级速度的持续施压，将统计概率逐步转化为稳定访问权限——这一过程在身份管控薄弱或部署不均衡的环境中尤为显著。2026年全球威胁态势研究报告

|23阶段划分安全运维就绪措施信号监控.信息增强型侦察检测（DNS枚举/SIP扫描/服务指纹识别）：监测互联网暴露服务的流

量峰值与基线偏离【检测工具：FortiGateIPS】.凭证类服务暴力破解监测（SMB/SSH/RDP/MySQL）：按服务/主机统计失败尝试频

【检测工具：FortiGate】.基础设施复用检测（ASN/IP集群/工具指纹）：通过多目标重复源聚类提升置信度。（可选增强：结合外部基础设施/暴露面上下文）。【情报增强：FortiRecon】关联逻辑.侦察后针对相同服务/资产类别进行暴力破解攻击：需建立短时窗口关联规则。.扫描爆发与认证滥用的时间线关联：基于基线分析扫描爆发→认证峰值的前后关联。.多目标相同攻击模式复现：识别跨目标的群组喷洒攻击/分布式攻击模式。【关联分析与案例执行：FortiSOC

】检测闸口（运营级）.低级威胁：孤立扫描或暴力破解（无攻击链关联）.中级威胁：侦察+暴力破解组合（无复用/重复行为）.高级威胁：侦察→暴力破解链式攻击，伴随基础设施复用或重复锁定自动化响应.SOAR增强工作流规范，侦察源→

目标服务→资产关键性/归属者关联增强与路由.暴力破解尝试→身份类型→权限潜力关联分析,管理员/服务账号优先处置.高级威胁自动化响应：遏制（速率限制/访问限制）然后凭证强化【编排：FortiSOC

】FortiGuardSecOps行动框：暴露面管理在产业化威胁环境下，攻击者会在漏洞利用前完成暴露面收集。当侦察与暴力破解相结合时，防御方仍具优势但仅限于在攻击者获取访问权限前采取行动。SOC

核心能力：信号监测·关联分析

·威胁检测

·

自动化响应2026年全球威胁态势研究报告

|24评估维度维度分级洞察首要风险产业化暴露面收割导致的初始访问概率激增：威胁侦察→暴力破解已成为首要风险指标暴露面上下文互联网暴露的凭证服务与身份验证体系正遭受系统性攻击：需持续验证暴露面归属及安全态势。【CTEM解决方案：FortiRecon】CTEM优先级外部攻击面、凭证服务及认证控制的持续性验证：按关键性优先级实施消减。【CTEM解决方案:FortiRecon+FortiCNAPP】战略决策.暴露面消减优先于事后应急处置.强化身份认证体系与自动化建设投入.从告警数量转向入侵前攻击链信号监测阶段划分安全运维就绪措施收集证据.认证/VPN日志留存（成功+失败）及NAT映射记录：需覆盖攻击链时间窗，确保可追溯【证据来源：FortiGate

】.暴露面状态快照（“何时存在哪些互联网暴露资产及原因”）：作为CTEM修复基准锚点【证据来源：FortiGate/FortiCNAPP/FortiRecon

】需提取的文件.IP/ASN集群，扫描指纹识别，用户名，端口/服务：支持集群和范围【证据来源：FortiGate；增强选项：FortiRecon(可选)】重建指南.重建攻击时间线（扫描/指纹识别→认证滥用）并记录"最后安全时间点"：移交修复团队。首席信息安全官（CISO）核心职责：风险治理

·暴露面管控

·优先级判定

·战略决策数字取证与事件响应要素（DFIR

）：证据链

·

痕迹物证

·攻击重建（简洁版）2026年全球威胁态势研究报告

|25在此模型中，武器化并非由创造性定义，而取决于三大要素：工具可用性、攻击套件包装及漏洞转化速度。2026年全球威胁态势研究报告

|26武器化：

产业化攻击准备与攻击者赋能武器化已非“攻击前”技术步骤。2025年数据显示，其已发展为产业化供应链体系——将原始输入、凭证、访问权限、漏洞利用、工具及基础设施转化为可重用的执行套件，一旦暴露面被确认即可激活。Fortinet通过暗网经济信号监测（FortiRecon）

及邮件浏览器执行遥测（FortiMailWorkspaceSecurity）

确认统一攻击模式：攻击者不依赖即兴发挥，而是通过标准化、自动化及预储备来降低漏洞利用阻力并压缩攻击生效时间。2026年全球威胁态势研究报告

|27这种数据分布对攻击者极具实用价值。窃取日志会同时包含身份凭证和浏览器缓存等上下文信息，形为攻击者提供了开箱即用的攻击包。相比传统的暴力破解或密码喷洒攻击方式

，这种打包好的数据能大幅降低攻击难度

，使凭证转化效率成倍提升。MITREATT&CK框架对应项：资源开发（TA0042）与身份赋能，包括基础设施/能力获取（T1583/T1588）

及凭证驱动型访问路径。威胁评估推断：

窃取日志的普遍性显著助

长了下游的有效账户（T1078）、以及基于令牌或Cookie的访问模式，尽管数据集中未提供具体的token或Cookie指标值。凭证供应链：窃取日志已成为产业化资产清单（FortiRecon威胁情报）FortiRecon监测数据显示，凭证窃取已非攻击副产品，而是形成规模化生产的上游产业。2025年，

FortiRecon累计记录

46.2亿条窃取日志，证实凭证收割已发展为高吞吐量的生产层，为初始访问经纪、钓鱼

和仿冒、会话劫持、欺诈及勒索软件预置

等多重下游经济生态供给资源。窃取日志在暗网广告及共享数据集中占比

达67.12%，远超组合列表（16.47%）

和泄露凭证（5.96%）

等其他类别。

当前武器化以身份信息为攻击起点。

当凭证及会话素材可批量获取时

，漏洞利用将减少对漏洞突破的依赖，而更取决于访问权限的快速作战化能力。”2026年全球威胁态势研究报告

|28.无链接载荷投递

，降低对URL信誉控制的依赖.多层重定向投递链

，使用可互换的基础设施层.QR基于二维码码的投递流，将执行环境从邮件扫描转向移动端/浏览器.Oauth令牌窃取与账户接管工作流，利用信任机制而非恶意软件的攻击流程.

HTML走私机制-将载荷组装环节转移至客户端上下文网络钓鱼与浏览器执行攻击产业化趋势：利用FortiMailWorkspace情报获取的无链接钓鱼、二维码攻击及Token窃取工作流FortiGuard威胁情报显示：当前的武器化已突破载荷投递的传统范畴，而转向更隐蔽的执行路径，以尽量减少用户操作阻力并绕过传统的邮件链接和附件安全检测机制。这些行为体现了产业化攻击的设计逻辑，攻击者着力优化可被检测环境下重复执行的攻击链。当特定技术被防御措施可靠阻断时，攻击者仅改变攻击封装层（wrapper），同时保持底层工作流完整。此模式与漏洞利用领域观察到的逻辑一致：攻击媒介可替换，而执行模式始终保持标准化。PerceptionPoint监测数据显示，武器化邮件攻击主要呈现以下特征：IoC分类及关联指标（无具体数值）：.二维码码投递相关邮件痕迹（嵌入式QR码载荷、QR码跳转链路）.多跳式投递指标（重定向链路，短期存活的中间基础设施）.Oauth滥用指标（异常上下文发起的授权请求，异常授权流程）.HTML走私指标（用于客户端重构载荷投送的HTML痕迹）ATT&CK映射（部分，基于描述的行为）：.钓鱼攻击（T1566）

作为产业化攻击入口.窃取应用访问令牌（T1528）

作为身份

加速攻击模式（Oauth令牌窃取）.路过式攻击/浏览器执行模式可能存在，

但当前数据仅确认已收录的攻击技术2026年全球威胁态势研究报告

|29FortiRecon暗网情报通告：2025年，漏洞讨论与漏洞利用焦点并非围绕“新的CVE”，而是持续关注具备以下特征的漏洞：实战价值高、部署范围广、利用稳定性强、自动化兼容性好。

FortiRecon记录了暗网涉及

656个CVE讨论，表明漏洞驱动的能力获取已形成持续化（非间歇

性）供应链模式。武器化关键结论：当漏洞（CVE）被充分封装为含脚本、模块、指南、验证代码和战术手册的标准化套件时，即完成“产业化”转型——使得漏洞利用可形成可重

复攻击循环，而非定制化入侵。正是这种封装能力，实现了漏洞从披露到规模化攻击的快速转化。“漏洞就绪度”重构了防御方对暴露面的定义。暗网漏洞讨论使暴露面从理论风险转变为有时间窗口的实战状态——该窗口期由漏洞利用工具的可用性决定。2025年，

FortiRecon监测到暗网活跃讨论漏洞656个，其中：344个（52.44%）

存在公开PoC代码

，176个（26.83%）

具备有效漏洞代码

，149个（22.71%）

同时拥有PoC和有效漏洞代码

，224个（34.15%）

已在公开威胁活动中被利用。一旦某个漏洞进入这一生态系统——尤其是当它附带了可运行的利用代码以及实际攻击活动的证据时——其造成的风险暴露面就不再受限于初始攻击者自身的能力。此时，真正的瓶颈在于，这些漏洞利用素材能在多快的时间内被转化为实战能力，并广泛应用于针对各类目标的攻击中。漏洞商品化：

将漏洞利用视为存货资产

，

而非一次性事件防御响应速度是唯一可扩展的有效控制措施。2026年全球威胁态势研究报告

|30漏洞指标分类数值指标含义活跃讨论漏洞数656“暴露面”实时作战化含公开PoC代码344(52.44%)降低漏洞利用门槛；加速攻击套件封装含有效攻击代码176(26.83%)开箱即用的攻击素材；可复用的攻击循环同时含PoC和有效代码149(22.71%)具备规模化作战最高准备度已在实际攻击中使用224(34.15%)存在实际攻击转化与复用证据暗网讨论中重点传播的零日漏洞对Windows、Android、iOS、GitHubAPI、AnyDesk、Chromium和Cloudflare等广泛部署平台和生态系统的影响尤为严重，印证了产业化攻击者追求最大攻击覆盖面和资源复用率的优先策略。防御响应速度是唯一可扩展的有效措施。当漏洞利用工具作为库存进行产业化流通时，能够在武器化利用蔓延前完成修复、检测和遏制的组织方能幸免。2026年全球威胁态势研究报告

|31暗网漏洞就绪度FraudGPT

和WormGPT此类

AI驱动的文本生成器可帮助网络犯罪分子制作逼真的钓鱼邮件、虚假商业通信和欺诈法律文件。与ChatGPT不同，这些工具没有伦理限制，允许攻击者精炼诈骗战术、生成恶意代码，并发

起大规模社交工程攻击。HexStrike

AIHexStrike

AI是一款暗网推广的自动化攻击工具，宣称具备侦察自动化、攻击路径生成及恶意内容创建功能。该工具定位为不受审查的攻击者专用

AI助手，旨在帮助不法分子加速从初

始访问到入侵渗透的端到端攻击流程。APEX

AIAPEX

AI是一款自托管的攻击性

AI安全工具，专为

APT攻击模拟设计，整合自动化OSINT、攻击链构建和杀伤链生成功能，可模拟从初始入侵到勒索软件部署的端到端攻击路径。该工具支持符合OWASP/PTES标准的自主

APT模拟与渗透测试模式，强调无审查分析和完整攻击手法复现。BruteForceAIBruteForceAI是一款集成大语言模型（LLM）的高级渗透测试工具，通过

AI智能解析登录表单

元素，采用拟人化行为模式执行多线程攻击。AI

攻击战力倍增器：降低技能要求并压缩时间的降维打击工具（FortiRecon情报）FortiRecon

暗网监测发现，暗网论坛及通信渠道中，以服务/产品形式推广的

AI驱动型攻击工具持续增加（包括WormGPT(Official)、FraudGPT、HexS

trikeAI、APEXAI

和BruteForceAI等）

，这一现象表明攻击能力正向"抽象化"演进：既能降低对攻击操作者的技术要求，又能提升攻击流程速度。这些工具明确宣称可降低攻击者作业强度，并加速侦察、凭证滥用、暴力破解和攻击路径生成等环节。虽不会制造新的暴露面，但能大幅压缩验证和激活现有暴露面的时间，进一步扩大攻防双方的速度差。自动化技术已突破执行阶段局限，全面主导暴露面收割全程。自动化攻击已突破执行环节限制，全面掌控暴露面收割流程。”2026年全球威胁态势研究报告

|32监控.企业域名关联的窃取日志（凭证+浏览器/会话痕迹）：应视为主动暴露面，而非“情报”。[情报源：FortiRecon].访问权限售卖信息（RDP/VPN/管理面板/服务器访问）：需匹配暴露面类型与资产责任人。

[情报源：FortiRecon+资产上下文：FortiCNAPP].基于二维码/无链接的载荷+HTML走私痕迹：标记为绕过URL信誉检测的武器化攻击。【检测工具：FortiMailWorkspace】.窃取日志暴露面→短时窗口内的有效认证尝试：需关联暴露身份与登录日志。.邮件攻击信号→OAuth令牌活动/账户接管尝试：需串联邮件痕迹与身份事件。.CVE讨论高峰→针对匹配资产类的扫描探测：需对齐“暗网讨论技术”与“实际运行技术”。【关联分析/案件执行：FortiSOC】【可选情报增强：FortiRecon】.窃取日志分析→身份清单梳理→资产关键性评估：按优先级路由至责任人。.确认暴露后：立即轮换凭证+撤销会话/令牌：遏制信任链而非恶意软件。.对暴露身份强化条件访问（地理位置/设备/行为）：压缩信任窗口期。.大规模隔离二维码/HTML走私攻击：切断武器化渠道。.将暴露身份/资产纳入CTEM消减计划：强制执行修复而非仅监控。【流程编排/案件执行：FortiSOC】8adf[9gsdvEWUAbeEA5采集咖咖咖2026年全球威胁态势研究报告

|33影响范围DFIR就绪指南优先级证据.受害者域名关联的窃取日志数据集-需保存暴露证明+时间戳。.与受害者技术栈匹配的访问权限兜售广告-需保存交易上下文+声称的访问类型。.邮件攻击痕迹（QR攻击载荷/HTML走私/重定向链）-需保存原始文件+分析输出。【证据/情报来源：FortiRecon,FortiMailWorkspace,FortiSOC】证据链（关键关联点）.凭证窃取→验证→访问封装：需关联身份暴露与认证日志。.邮件/浏览器攻击→令牌启用：需关联攻击痕迹与身份事件。.CVE讨论→工具可用性→探测扫描：需关联暗网“讨论热度”与资产扫描活动。【案件/时间线关联:

FortiSOC】【可选情报增强：FortiRecon】重建目标.验证漏洞利用前的上游准备工作，并记录攻击可重复性（套件封装+环境预置）。【案件/时间线关联:

FortiSOC】评估维度决策级洞察主要风险当身份凭证、访问权限及漏洞利用套件的封装速度超过防御方的信任撤销速度时，武器化即

告成功。暴露面上下文凭证复用+外部身份信任（SSO/Oauth）+广泛部署的技术可显著降低攻击者作业强度并

缩短攻击生效时间。CTEM优先级.将凭证暴露视为主动风险而非被动情报。.优先保护与暗网兜售访问类型及窃密活动匹配的资产。.在真实武器化场景中验证身份控制措施。【CTEM框架:FortiRecon+FortiCNAPP】战略决策.重点建设身份中心化检测体系，而非仅依赖恶意软件防护.投资暗网暴露面监测作为预防性控制措施.将信任撤销时效（会话/令牌/凭证）纳入高管考核指标首席信息安全官（CISO）核心职责：风险治理

·暴露面管控

·优先级判定

·战略决策数字取证与事件响应要素（DFIR

）：证据链

·痕迹物证

·攻击重建（简洁版）2026年全球威胁态势研究报告

|34漏洞利用：规模化入侵——攻击执行的产业化IPS情报、FortiEDR

/MDR情报、FortiRecon情报△当

MTTR

超过攻击自动化速度时，入侵

便从可能性转变为必

然结果。该模型中，漏洞利用的限制因素更取决于防御方响应速度，而非攻击者能力。漏洞披露、暴露验证与修复之间的时间窗口决定成败——当平均修复时间（MTTR）超过攻击自动化速度时，入侵不再是可能，而是必然结果。全球范围内，2025年的漏洞利用压力已非专项行动驱动，而是遵循产业化节奏（见表A）。数据特征高度一致——压力持续存在直至暴露面消除或攻击成功。在区域层面，攻击转化速度与增长态势存在差异（见表

A），反映各全球各区域的暴露面密度、补丁周期和技术架构存在差异。北美地区呈现最高绝对攻击量及最快增速，拉美地区绝对量较低但增长速度更快，符合该地区暴露面到漏洞利用转化率提升的现状。暴露面与武器化演变为入侵的关键节点2025年的漏洞利用不再依赖攻击者技巧的“阶段”，而演变成一场自动化的“竞速博弈”。

一旦暴露面被确认，攻击即进入时间驱动的循环模式，唯一变量是漏洞是否已被修复。

FortiGuard遥测数据显示结构性失衡：侦察与暴力破解活动趋向精准化，而漏