说实话，"员工密码泄露"这事儿，对国内企业安全团队来说早就不新鲜了。但真正让人头疼的不是密码泄露本身，而是当你发现员工的企业邮箱、密码、浏览器Cookie，甚至VPN、SSH这些认证信息出现在地下黑产渠道时——这时候你面对的可能不只是"密码泄了"这么简单，而是一场正在进行的身份入侵。
更麻烦的是，泄露这些数据的设备可能根本不归公司管。它可能是员工家里的私人电脑，距离公司几百公里远，从来没装过企业的安全软件。但员工用这台电脑登录过钉钉、企业微信、飞书，或者公司的OA系统，结果电脑感染了Vidar、RedLine、Lumma这类窃密木马，企业身份就这么暴露了。
这时候，传统的"赶紧改密码"够用吗?答案往往是：不够。
因为攻击者拿到的可能不只是密码，还有已经登录成功的浏览器会话(Session Cookie)。只要这个会话还有效，攻击者连密码都不用输，MFA也可能不用过，直接就能接管用户的登录状态。
这就是今天国内企业面对Infostealer Log(信息窃取恶意软件日志，简称"窃密日志")时最现实的挑战。
一个典型案例
某互联网公司的安全分析师早上收到一条威胁情报告警：一名员工的公司邮箱出现在最新的窃密日志里。
仔细一看，日志里包含：
企业SaaS应用的账号密码
多个浏览器Cookie
其他网站的保存凭证
受感染设备的系统信息
继续查下去发现，感染的不是公司电脑，而是这名员工的私人电脑。设备感染的是Vidar木马，距离公司几百公里，完全不在公司安全体系的管控范围内。
按传统思路，第一反应肯定是：立刻重置密码。这当然没错，但如果攻击者已经拿到了有效的浏览器会话，光改密码可能解决不了全部问题。
你还得想：
这个Cookie还有效吗?
攻击者用过这些信息了吗?
员工在私人电脑上还保存了多少企业账号?
统一身份认证平台也泄露了吗?
攻击者是不是已经进了其他系统、云平台甚至内网?
与此同时，同样的数据可能已经出现在某个地下Telegram频道里，被初始访问经纪人(Initial Access Broker)、勒索软件团伙或其他攻击者拿到手了。从你发现暴露信息的那一刻起，事件就已经进入时间敏感的响应阶段了。
国内企业面临的现实困境
攻击面早就超出传统边界了。
国内企业这几年数字化转型，普遍从本地部署走向云端，从VPN远程接入探索零信任架构。特别是2020年以来，远程办公和混合办公成了常态，企业身份的使用场景彻底变了。
员工可能在家用个人电脑登录钉钉、腾讯会议、企业微信，也可能临时处理工作访问阿里云、腾讯云控制台，浏览器顺手就把密码和登录状态保存了。
从身份安全的角度看，企业的攻击面已经延伸到企业根本不拥有的设备上了。
根据国际安全机构Flare的数据，包含企业凭证的窃密日志中，大约46%来自非企业管理设备或个人设备。这个比例在国内可能更高，因为很多中小企业压根没建立完善的设备管理体系，BYOD(自带设备办公)现象特别普遍。
窃密木马生态的变化
RedLine、Lumma、Vidar这些Infostealer的目标很明确：尽可能多地从受感染电脑上收集有价值的信息。根据木马类型和配置不同，它们可能收集：浏览器保存的密码、Cookie、自动填充内容、加密货币钱包、设备信息、VPN配置等等。
一次感染，最终可能生成包含几百上千条记录的窃密日志。
攻击者每天持续感染大量设备，窃取的日志随后被整理、交易、订阅或重新分发。对防守方来说，你得从海量数据中找出真正跟自己企业相关、而且还有攻击价值的信息。但攻击者不用解决这个问题，他们只需要找到一组还有效、权限够用的认证信息就行。
更值得注意的是传播渠道的变化。过去窃密日志主要在地下论坛和黑产市场流通，现在据估算约90%的相关日志会出现在Telegram上。一些公开频道用来展示样本吸引买家，更完整的数据则通过私有频道或付费订阅分发。
所以Infostealer已经不只是传统意义上的恶意软件问题，它正在变成一个同时涉及终端、威胁情报、身份安全和账号接管的复合型威胁。
真正危险的可能不是密码，而是Session Cookie
面对Infostealer告警，国内企业安全团队最容易犯的错误，就是只盯着"密码是否泄露"。实际上，在很多身份攻击场景中，密码可能不是日志里风险最高的数据。
两条告警的风险对比
假设安全团队早上同时收到两条告警：
第一条：某员工六个月前感染过窃密软件，日志里有他登录某消费网站用过的旧密码。
第二条：另一名员工昨天发生感染，日志里不仅有企业账号凭证，还有企业统一身份认证平台的已认证浏览器会话。
表面看都是"员工凭证暴露"，但从安全风险看，完全不是一个级别。第一条记录里的密码可能早就改了，账号甚至不再使用。第二条却意味着攻击者可能正拥有一个有效的企业身份。
最值得重视的，就是浏览器Session Cookie。
Session Cookie为什么能绕过MFA
用户正常登录时，通常要提交用户名、密码，并根据企业安全策略完成多因素认证。认证成功后，应用不会要求你每点一次页面就重新认证，所以系统会给浏览器发一个Session Cookie，证明：这个用户已经完成认证了。
正常情况下这是基础的Web应用机制。但一旦恶意软件从浏览器里窃取了这个已完成认证的会话，安全逻辑就变了。
攻击者可能尝试重放这个Cookie。如果服务端还认这个Session，攻击者访问应用时就可能不需要重新走完整登录流程。换句话说：
攻击者拿到密码后，通常还得"登录"，而登录行为会留下新的认证事件，给MFA、风险登录策略、异常IP检测这些安全机制提供拦截机会
但如果攻击者拿到的是有效的认证会话，情况就不一样了，他可能根本不用重新登录
这就是为什么在Infostealer场景中，光改密码可能不够。如果企业只完成密码重置，却没同步吊销已存在的会话，被窃取的Session可能还会继续构成风险。
所以安全团队看到浏览器Cookie、Token或其他会话认证数据时，要把它们当作独立于"密码泄露"的重要风险因素。
应急处置怎么做
第一分钟：快速判断优先级
面对窃密日志，安全团队首先要解决的是优先级问题。特别是员工数量几千上万的大企业，如果每天都有多条身份暴露告警，不可能对所有事件投入一样的调查资源。
所以发现Infostealer Log后，首要任务不是几分钟内完成全部取证，而是快速回答：这事儿得多快响应?
至少快速确认：
感染发生在什么时间?
日志来自什么设备?
包含多少企业账号?
有没有统一身份认证平台凭证?
有没有浏览器Session?
有没有VPN、堡垒机、SSH等远程访问信息?
然后还得加入企业自身的业务上下文。因为同样是一组凭证，价值可能完全不同。比如testserver.company.com和finance.company.com显然不该按相同优先级处理。
同样，一个市场实习生账号的暴露，和一个拥有阿里云控制台、生产环境和统一身份平台管理权限的管理员身份暴露，潜在影响完全不同。
所以Infostealer告警不能只按"泄露了几个密码"来排序。更合理的方式是同时评估：数据类型、账号权限、业务资产价值、数据新鲜度以及会话是否还有效。
建立风险评分机制
国内企业可以结合这些维度建立风险评分：
时间维度：日志采集时间距今多久?感染发生在工作时间还是非工作时间?
身份维度：凭证是否属于企业域?账号权限级别如何?是不是高管、财务或IT管理员?
数据类型：是否涉及统一身份认证平台(企业微信、钉钉、飞书的SSO)?有没有Session Cookie?有没有VPN、堡垒机等远程访问数据?
资产价值：账号可访问资产有多敏感?涉不涉及生产环境、云控制台、财务系统?
有效性：泄露密码还有效吗?会话还有效吗?员工还在职吗?
关键资产监控清单
要让Infostealer Log监控真正产生安全价值，光检索"公司邮箱是否出现"不够。更重要的是围绕能代表企业攻击面的关键资产来监控。
企业主域名与子域名
企业邮箱地址和内部应用域名是识别员工身份暴露最直接的入口。但只关注主域名可能遗漏大量风险。
国内企业实际使用的身份系统、测试环境、业务SaaS、远程访问门户、运维平台等，都可能通过不同子域名提供服务，比如：
sso.company.com(统一身份认证)
vpn.company.com(VPN入口)
oa.company.com(办公自动化系统)
jira.company.com、gitlab.company.com(研发协作平台)
统一身份认证平台
这个特别值得关注。企业微信、钉钉、飞书的SSO功能，或自建的统一认证中心，往往承担单点登录和企业身份管理职能。
一旦SSO身份被控制，攻击者拿到的可能不只是一个应用权限，而是通向多个已连接企业应用的路径。
云平台控制台
阿里云、腾讯云、华为云等云平台管理控制台账号，一旦暴露，潜在影响远高于普通互联网服务账号。攻击者可能通过云控制台访问云服务器、数据库、对象存储、访问密钥管理、计费和财务信息等。
VPN与堡垒机入口
VPN和堡垒机与传统企业网络横向移动风险直接相关。如果同一条窃密日志里既有VPN或堡垒机登录信息，又有多组企业凭证，意味着攻击者一旦成功进入企业网络，可能具备进一步横向移动的条件。
研发与运维系统
GitLab、Jenkins、JIRA、Confluence等研发协作和运维管理平台，往往存储着企业核心代码、技术文档和基础设施配置信息。这些系统的账号暴露同样应该高优先级响应。
深度调查：从泄露到接管的证据链
关联内部认证日志
回到开头的案例。假设这名员工的Vidar日志里包含：企业统一身份平台凭证、多个企业SaaS密码以及浏览器Cookie。这时安全团队最该回答的问题不是"密码泄露了吗?"，而是"这些数据被攻击者用过了吗?"
这需要把外部窃密日志和企业内部的身份认证遥测结合起来分析。比如重点检查：
有没有新的成功登录?
有没有连续失败后突然成功的认证?
登录来源是否来自异常地区?
有没有员工从未用过的设备?
有没有陌生IP地址?
账号访问的资源是否明显偏离正常业务行为?
同时还要判断暴露数据当前是否还有利用价值：
员工在感染后改过密码了吗?
被窃取的Session过期了吗?
对应账号还有效吗?
员工还在职吗?
应用重新要求认证了吗?
这些信息能帮安全团队区分两类完全不同的事件：一类是历史遗留的"暴露记录"，另一类是还可能被利用的"活动攻击入口"。
账号接管的典型信号
一旦确认身份有实际攻击价值，企业应围绕该身份能访问的系统展开认证日志调查，优先检查最敏感资产。特别关注这几类账号接管信号：
异常地理位置：用户日常主要在固定地区办公，但突然从另一个省份或明显异常地区访问企业资源。当然地理位置异常本身不能直接证明攻击，VPN、代理和移动网络都可能产生地理偏差，所以它更适合作关联风险信号。
与用户角色不匹配的访问：比如普通员工突然访问管理后台，或某个非技术岗位账号开始访问此前从未用过的基础设施资源。
异常下载行为：攻击者成功进入SaaS或云盘后，下一步往往不是立即搞破坏，而是先搜索、读取或批量下载数据。所以大规模下载、异常频率的数据访问可能是账号被滥用的重要线索。
密码重置行为：攻击者控制账号后，可能尝试修改密码或触发密码恢复流程，进一步巩固控制权。
新的MFA设备注册：这个特别重要。如果攻击者已经能操作用户身份，可能尝试注册新的MFA因子，把临时访问逐渐变成长期访问。
扩大调查范围
当事件被判断为中高风险以后，调查范围还应继续扩大。除了凭证本身，还包括浏览器指纹信息、完整的保存凭证清单、感染设备信息，以及VPN配置、SSH Key等其他认证材料。
这些信息可以帮助分析师回答几个非常关键的问题：
第一，员工是谁?账号属于普通员工、高管、财务人员，还是系统管理员?不同身份意味着完全不同的攻击价值。
第二，这个身份能够访问什么?应梳理其可以访问的SaaS、身份系统、云平台、VPN、生产环境及其他关键资源。
第三，感染的是企业设备还是个人设备?企业已经管理好了办公电脑，并不意味着企业身份只会出现在办公电脑上。从身份安全的角度看，企业的攻击面已经延伸到了企业并不拥有的设备上。
第四，这是单点感染，还是更大规模的攻击活动?如果短时间内出现多名员工、多个相关设备、相似的感染时间或相同恶意软件家族，就需要进一步判断是否存在更广泛的恶意软件传播活动。
完整的处置流程
密码重置与会话吊销必须联动
面对包含Session的Infostealer事件，单纯改密码是不完整的处置。更稳妥的动作包括：
1. 重置受影响密码
2. 强制吊销现有认证Session
3. 让相关身份重新认证
4. 重新评估MFA状态
5. 对高权限身份增加额外监控
核心思路是：不要只处理"登录凭证"，还要处理"已经登录成功的状态"。这是Infostealer场景区别于传统密码泄露的重要地方。
建立外部情报与内部日志的关联分析能力
外部发现企业身份暴露，只能说明"攻击条件可能存在"。要判断是否已经发展成安全事件，还需要内部数据。
比如：
外部发现某身份昨日感染
内部日志同时发现该账号几小时后从异常IP成功访问
随后又出现新的MFA注册和异常文件下载
当这些信号串起来后，原本孤立的一条"凭证泄露告警"，就会迅速变成有明确证据链的账号接管调查。
国内企业的特殊考虑
本土化应用生态
国内企业的应用生态有显著的本土化特征。企业微信、钉钉、飞书等协同办公平台，不仅是通讯工具，更是承载企业身份管理、应用集成和数据流转的核心平台。
这些平台的账号一旦暴露，影响范围可能远超单一应用。
供应链与合作伙伴风险
国内企业往往跟大量供应商、合作伙伴保持紧密协作。员工可能用企业邮箱注册外部合作平台，或在个人设备上同时处理多家公司业务。
这种交叉使用场景让身份边界更模糊，一次个人设备感染可能同时暴露多个企业的身份信息。
合规与监管要求
随着《网络安全法》《数据安全法》《个人信息保护法》的实施，以及《关键信息基础设施安全保护条例》等监管政策落地，国内企业在身份安全事件处置上面临更严格的合规要求。
一旦发生涉及大规模身份泄露或数据访问的安全事件，企业可能需要向监管部门报告。
结语：从密码泄露到身份安全事件的认知升级
回到文章开头那个问题：员工密码出现在Infostealer Log里，该怎么办?
第一步当然可以改密码，但真正成熟的安全处置不会停在这里。安全团队还得继续确认：
泄露发生在什么时候?
感染设备是不是企业管理设备?
攻击者拿到的只有密码，还是也有Session?
受影响身份能访问哪些系统?
相关认证材料目前还有效吗?
出现异常登录了吗?
有没有数据访问、MFA注册、密码修改等账号接管迹象?
需要立即吊销全部会话吗?
还有其他员工受同类影响吗?
这些问题决定了事件究竟只是历史凭证暴露，还是正在进行的身份安全事件。
过去，国内企业安全团队可能把Infostealer看成终端恶意软件留下的副产品。现在，它越来越该被纳入身份安全体系本身。因为真正需要保护的，已经不只是一个密码，而是密码背后的身份、认证状态，以及这个身份能到达的所有企业资源。
对国内企业安全团队而言，监控Infostealer Log的真正价值，不是简单知道"哪些员工密码泄露了"，而是更早地发现暴露的企业身份，理解这些身份能访问什么，判断相关认证材料是否还可被利用，并在一次凭证泄露发展成账号接管、横向移动甚至更大规模入侵之前，尽可能截断攻击链。
这才是Infostealer时代，国内企业身份安全最值得建立起来的一道防线。
