结论先行：多数企业把身份安全的注意力放在人身上——账号、口令、多因素认证。但真正能把数据一次带走的，往往是另一类账号：第三方应用自己的密钥。它不在花名册里，没有密码可改，登录日志里看不到「某个人」，而且一次授权可以在多年后依然有效。据多家安全机构 2026 年 10 月披露的一起云备份服务入侵事件，攻击者拿到的正是这样一个应用密钥，随后至少有 173 个客户租户出现未授权登录。企业侧能做的三件事是：把这类账号清点出来、把出事后的清理动作提前写死、把服务商那一层问清楚。
这次到底发生了什么
按公开披露的时间线，一家云备份服务商在 2026 年 10 月 15 日发现其备份环境中的应用身份出现未授权访问，16 日发布公告并停用相关应用的访问；到 18 日，服务仍未恢复，客户既不能发起备份，也无法访问归档与执行恢复。第三方安全厂商随后确认，已有 173 个合作伙伴与客户的租户出现未授权登录——这个数字先是 162，随后上修。
几个事实值得逐条记住。
- 被拿走的是应用的密钥，不是某个人的口令。该密钥属于云备份这个应用本身，并且对它已经获得授权的每一个租户都有效。
- 攻击者以应用身份直接认证。按披露方的分析，攻击者用自动化脚本以备份应用的身份登录，过程中没有出现任何用户登录动作，因此多因素认证不提供任何保护。
- 这个应用本来就握有很大的读写范围。它已有的授权允许读写邮件与附件、云盘文件，以及团队聊天内容。这是备份工具的工作需要，也意味着它一旦被冒用，天花板很高。
- 攻击者不只读，还改了权限。在一批被重点观察的租户里，管理类应用给自己分配了目录角色，多为邮件管理员；至少有一个租户里，一个团队协作管理应用把自己提升为全局管理员，并在大约 5 分钟内给另外两个管理应用的密钥加上了新的凭据。
- 停用集成不等于清理干净。服务商停掉应用访问之后，攻击者此前植入租户侧的凭据与授权关系并不会自动消失。
以上为公开信息的转述，本文不涉具体企业与人员。
为什么这类账号比人的账号更难防
人的账号有一串天然的关隘：入职离职有流程，口令有过期策略，异地登录会触发提醒，多因素认证会把「知道口令的人」和「持有设备的人」分开。应用身份把这几道关隘全部绕开了。
- 它不需要登录动作。没有交互式登录，就没有多因素认证可以介入的位置。
- 它的授权是一次性的。几年前业务部门提需求、管理员点几下同意，那组权限就一直在，通常没有到期复核的压力。
- 它常常不在任何人的视野里。应用清单归谁维护、谁定期看、谁负责回收，很多企业没有明确答案。系统里的安全团队看的是账号，应用清单在业务部门或平台管理员手上，两者不常对账。
所以这类事件的共同形态是：从攻击者的角度看，它用的是一把本来就配好的钥匙、走的是一条本来就开放的通道；从受害方的角度看，活动记录里它像一次正常调用，很难靠「有没有异常行为」这类规则触发。
出事之后，三件清理动作要提前写死
这起事件里最有价值的一条是处置顺序。停用应用是止损，不是收尾。下面三件事如果不做，等于把已经铺好的路留在原地。
- 轮换与撤销。轮换该应用的密钥，撤销攻击者可能已经拿到的令牌，并清除旧的授权注册关系——旧注册与具体身份服务往往没有绑定，留着就是个后门。
- 查新增的东西。审计一段时间内新增的应用凭据与授权同意，重点看有没有人给别的应用加过密钥、有没有应用给自己加过目录角色。这类动作在正常运维里极少发生，一旦出现就是强信号。
- 看审计日志里的动作，不只看登录。把目录审计与应用活动日志打开，按「应用给自己授权」这一模式检索一遍。这一步平时不做，事发时才发现历史记录不够。
顺带一条容易漏的：这类排查要覆盖到「不在资产表上」的对象。应用身份由业务、平台管理员与安全三方各管一段，很少出现在同一份清单里，而它恰恰是最需要被清点的那一类。
爆炸半径有一半不在你手里
这类事件的另一层麻烦是范围。被入侵的是一家服务商，受影响的是用这家服务商做备份的客户；而这些客户里，还有一批是通过自己的运维服务商间接使用该产品的——他们不采购这个产品，也没有直接同意过任何授权，因此可能根本不知道自己暴露了。
对采购方来说，这构成三个可以直接问出口的问题：
- 你替我做的这项服务，背后用了哪些第三方产品与平台？
- 这些第三方应用在我们的环境里被授予了什么范围，谁同意过，什么时候复核？
- 如果上游出了这类事件，你会以什么方式、在多长时间内通知我们？
边界与前提
三点需要说明。其一，本文讨论的对象是「第三方应用身份被冒用」这一类情形，与员工个人账号被盗、与外部攻击者直接打穿边界，是三类不同问题，处置手段不能互相替代。其二，应用与集成的数量要按业务必要性控制，管得过死的结果是业务把资料搬回不受控的个人环境，反而更难追。其三，是否要收紧到「应用必须限定来源地址」这种程度，取决于业务形态与平台能力，本文不构成对任何具体产品的配置建议。
深圳市奇摩计算机有限公司在企业协作平台与云上环境的交付与运维中，通常会把第三方应用清单、授权范围与回收动作列为上线前的一件固定事项，与账号体系一起过一遍。如果你所在的团队还没把应用身份纳入清点范围，预约咨询，我们可以按现网情况一起梳理一遍。