快览

  • 风险分析公司Black Kite的数据显示，2023年至2026年上半年期间，中型企业占勒索软件事件总数的约四分之三（73%）。
  • 制造业是遭受攻击最多的行业（占受害者的25%以上），近30%的中型市场组织至少存在一个已知被利用的漏洞——该公司在周二发布的报告中如此表示。
  • 这些发现加剧了中型企业面临的挑战，包括大型客户要求其承担更多责任，以及供应商数量庞大而中型企业缺乏足够人手对其进行有效监管。

深度洞察

中型企业——通常指年收入在1000万美元至10亿美元之间的公司——在网络安全讨论中受到的关注相对较少。小型企业的困境和弱点广为人知，大型企业因行业重要性在遭受攻击时往往获得大量媒体报道，而中型企业则处于两者之间的“灰色地带”。Black Kite的报告基于对2023年1月至2026年6月间13,336起勒索软件事件的分析，深入探讨了中型企业所处的独特位置，以及这种位置如何影响其系统防护能力。

报告指出，企业作为供应商和客户的双重角色“通常被视为两个独立的问题，由不同的团队在各自的预算下处理”。然而，“在中型企业中，这些问题几乎无人专门负责，而且它们本质上是同一问题从两个方向呈现”。

受害最深的行业——制造业、专业服务业、建筑业和批发业——大多为其他企业提供产品或服务，这意味着网络攻击的破坏可能迅速向下游和外部蔓延。“当这些企业中的某一家遭到攻击时，”Black Kite表示，“事件虽然记录在其自身名下，但损害远不止于此。”

这些供应链风险解释了为何拥有中型供应商的大型企业会要求后者回答大量安全问题。报告列举了美国和欧洲部分法规的实例，这些法规明确规定了供应商的网络安全责任。

然而，中型企业往往难以满足这些监管要求。

“行业调查显示，负责供应商风险管理的团队通常只有两人或更少，却要管理超过300家供应商的组合，”Black Kite的研究人员写道，“这种比例使得持续的人工监控几乎不可能实现。”

在Black Kite的研究期间，勒索软件攻击在中型企业中的分布并不均匀。年收入在1000万至5000万美元之间的最小型中型企业占所有事件的约一半；紧随其后的是年收入在5000万至5亿美元之间的“核心中型市场”企业，占事件的40%至45%。而年收入在5亿至10亿美元之间的“上层中型市场”企业遭遇勒索软件事件的比例极低——Black Kite指出，这一数字从2023年的126起降至2025年的45起，降幅达64%。

Black Kite的报告基于对北美和欧洲120,128家中型企业网络的数据收集，但该公司发现北美地区在数据集中占据绝对主导地位。研究期间，近四分之三的中型企业攻击事件针对北美公司，且北美受害者的数量从2023年到2026年持续增长，而欧洲受害者的数量基本持平。