MOVEit 泄露波及 2500 家机构——因为一个文件传输工具有一个零日漏洞

2023 年 5 月，Cl0p 勒索软件团伙利用了 MOVEit Transfer 中的一个零日漏洞，那是 Progress Software 出品的一款托管文件传输软件。这个漏洞让攻击者得以未授权访问全球各机构使用的 MOVEit 服务器。

这场泄露规模巨大：逾 2500 家机构受到影响，包括政府机构、大学、医疗服务提供者和大型企业。逾 9000 万人的个人数据被泄露。这是一次“供应链”泄露：攻击者不是逐个攻破各机构，而是攻破了它们都在用的那款软件。

MOVEit 泄露是 2023 年最大的网络攻击，也是史上影响最深远的供应链攻击之一，与 SolarWinds 并列。这一案例说明，一个广泛使用的基础设施工具中的单一漏洞，如何能同时危及数千家机构；也说明现代企业的攻击面，远远超出它自己的网络，延伸到它使用的每一个供应商和工具。