【安全资讯】CISO自认密码高明却未打补丁，法律公司遭渗透测试曝光

概要：

一家大型全国性律师事务所的CISO自诩密码复杂，却因未修补BlueKeep漏洞，被渗透测试人员轻松攻破。事件暴露了法律行业在网络安全实践中的严重疏忽，引发对敏感数据保护的担忧。

主要内容：

Joe Brinkley受雇对一家即将被收购的小型法律公司进行渗透测试。他利用2019年发现的BlueKeep远程代码执行漏洞，通过RDP端口3389成功入侵了2500台计算机。该漏洞可蠕虫式传播，影响Windows 2000、Server 2008 R2和Windows 7等系统。

入侵后，Brinkley发现系统密码以明文存储，无需解密即可导出。用户名采用“Yellow Banana”等隐蔽命名，但密码却极为薄弱。其中CISO的密码为“r3@lg00dp@$$w0rd”，即“realgoodpassword”的简单替换。

在向律所高管展示漏洞时，Brinkley展示了该密码截图，CISO当场失态，承认自己就是“Yellow Banana”。尽管该律所此前已花费约50万美元用于安全软件和修补，却仍遗漏了关键补丁。

此事件凸显了及时修补系统、避免弱密码、启用双因素认证及加密存储密码的重要性。法律行业因持有大量敏感数据，已成为网络攻击的高价值目标。