新研究：64%第三方应用无业务理由访问敏感数据

发布日期： 2026-01-20 阅读量： 作者： 小编

　　一项针对4700个主要网站的研究显示，64%的第三方应用现在无业务理由访问敏感数据，相比2024年的51%大幅上升。

　　政府部门恶意活动从2%激增至12.9%，教育网站中有七分之一显示活跃的安全威胁。

　　2026年研究揭示了一个关键矛盾：虽然81%的安全负责人将网络攻击视为首要优先事项，但只有39%部署了相应的解决方案。

　　去年研究发现51%的无理由访问，今年已达64%，并正在加速渗透到公共基础设施中。

　　Gartner创造了Web暴露管理一词来描述来自第三方应用的安全风险：分析工具、营销像素、CDN和支付工具。每个连接都会扩大攻击面；单个供应商的安全漏洞可能通过注入代码来获取凭据或窃取支付信息，从而引发大规模数据泄露。

　　这种风险源于治理缺口，营销或数字团队在没有IT监督的情况下部署应用程序。结果是长期配置错误，过度授权的应用程序被授予访问它们在功能上不需要的敏感数据字段的权限。

　　在12个月期间（截至2025年11月），Reflectiz使用其专有的暴露评级系统分析了4700个主要网站。该系统通过扫描数百万个网站收集大量数据点，在上下文中考虑每个风险因素，将它们组合起来创建整体风险级别，并以从A到F的简单等级表示。研究结果还辅以对120多名医疗、金融和零售行业安全负责人的调查。

　　报告突出了一个日益严重的治理缺口，称为无理由访问：第三方工具在没有明确业务需求的情况下被授予访问敏感数据的权限。

　　影子部署：通过标签管理器注入，没有安全监督或最小权限范围界定。

　　过度授权：使用完整DOM访问来抓取整个页面而不是受限元素。

　　Facebook Pixel：在4%的分析部署中，发现像素被过度授权，捕获了功能跟踪不需要的敏感输入字段。

　　这种治理缺口不是理论上的。最近一项针对120多名来自医疗、金融和零售行业安全决策者的调查发现，24%的组织仅依赖WAF等通用安全工具，使他们容易受到本研究确定的特定第三方风险的影响。另有34%仍在评估专用解决方案，这意味着58%的组织尽管认识到威胁，但缺乏适当的防御措施。

　　虽然统计数据显示政府和教育部门的安全漏洞大幅增加，但原因更多是财务而非技术问题。

　　预算受限的机构正在供应链战斗中败北。拥有更好治理预算的私营部门正在稳定其环境。

　　调查受访者证实了这一点：34%将预算限制列为主要障碍，31%指出缺乏人力，这种组合对公共机构的打击尤其严重。

　　结果：意识而无行动在规模上创造了脆弱性。42个百分点的差距解释了为什么无理由访问每年增长25%。

　　这种风险的一个关键驱动因素是营销足迹。研究发现，营销和数字部门现在推动了43%的第三方风险暴露，而IT部门创造的风险仅为19%。

　　报告发现，在支付框架中运行的应用程序中，47%缺乏业务理由。营销团队经常在没有意识到影响的情况下将转换工具部署到这些敏感环境中。

　　凭借53.2%的普及率，Facebook Pixel是一个系统性的单点故障。风险不在于工具本身，而在于未管理的权限：完整DOM访问和自动高级匹配将营销像素转变为无意的数据抓取器。

　　先例：一旦受损，其规模将比2024年Polyfill.io攻击大5倍，同时暴露一半主要网络的数据。Polyfill在数周内影响了10万个网站；Facebook Pixel的53.2%普及率意味着250万+网站会立即受损。

　　解决方案：上下文感知部署。将像素限制在着陆页面以获得投资回报，但严格阻止它们在缺乏业务理由的支付和凭据框架中使用。

　　受损网站的特征不总是使用恶意应用程序，而是更嘈杂的配置。

　　最近注册的域名：在过去6个月内注册的域名在受损网站上出现的频率高3.8倍。

　　在分析的4700个网站中，429个显示出强劲的安全结果。这些组织证明功能性和安全性可以共存：

　　以下标准代表基于现实世界表现的可实现目标，而非理论理想。领先组织维护≤8个第三方应用程序，而平均组织需要处理15-25个。差异不在于资源，而在于治理。

　　A：无理由访问是指第三方工具在没有明确业务需求的情况下被授予访问敏感数据的权限。比如聊天机器人访问支付字段，或营销像素获取不需要的用户凭据信息。这种过度授权会扩大攻击面，一旦供应商被攻击，可能导致大规模数据泄露。

　　A：Facebook Pixel在网站中的普及率达到53.2%，如果一旦受到攻击，影响规模将比2024年Polyfill.io攻击大5倍。问题不在于工具本身，而是完整DOM访问和自动高级匹配等未管理权限，将营销像素变成了无意的数据抓取器。

　　A：首先要清点所有第三方应用，识别业务理由并移除不必要的工具。重点检查Facebook Pixel、Google Tag Manager等高风险工具的权限配置。部署运行时监控检测敏感数据访问，建立CISO和CMO联合审查机制，特别关注支付页面的营销工具部署。

　　中央纪委国家监委网站1月19日消息，中国核工业集团有限公司原党组副书记、总经理顾军涉嫌严重违纪违法，目前正接受中央纪委国家监委纪律审查和监察调查。公开简历显示，顾军，男，汉族，1963年6月生，江苏启东人，毕业于上海交通大学核动力工程专业。

　　普京被邀请加入特朗普加沙“和平委员会”，俄方回应：正在审议；此前特朗普宣布“10亿美元可买永久席位”，已邀请法德意澳等60国

　　在例行记者会上，俄罗斯总统新闻秘书佩斯科夫表示:“普京总统也已通过外交渠道收到加入‘和平委员会’的邀请。”

　　特朗普突然发声：现在是时候行动了，“解决俄罗斯对格陵兰岛威胁”时机已到

　　新华社消息，美国总统特朗普18日在社交媒体上表示:“北约20年来不断告诫丹麦，必须消除俄罗斯对格陵兰岛的威胁。可惜丹麦一直无所作为。现在是时候行动了。”

　　河南人大网消息，1月19日，河南省十四届人大常委会第二十二次会议，任命秦海为河南省高级人民法院副院长，决定秦海代理河南省高级人民法院院长职务。

　　浙江之声2026-01-19 16:24:20来源：领事直通车版权归原作者所有，如有侵权请及时联系外交部领事保护中心1月19日发布提醒，警惕防范不法分子假冒12308领保热线实施诈骗。

　　特朗普致信挪威首相：鉴于挪威决定不授予自己诺贝尔和平奖，“不再有义务只考虑和平”

　　据新华社援引挪威广播公司19日报道，挪威首相斯特勒当天确认收到美国总统特朗普发来的信息。特朗普称，鉴于挪威决定不授予他诺贝尔和平奖以表彰他阻止了“8场战争”，“我觉得不再有义务只考虑和平……现在我可以考虑对美国来说什么是有利和恰当的”。

　　明天（20日）北京时间9时44分56秒将迎来大寒节气҈ “ ҈ 小 ҈ 寒 ҈ 大 ҈ 寒 ҈ ， ҈ 冷 ҈ 成 ҈ 冰 ҈ 团 ҈ ” ҈此时节我国大部分地区依然处在严寒时期也正如民谚所说：“大寒时处三四九，天寒地冻冰上走。

　　中新网成都1月15日电(单龙8国际网站鹏)近日，一部深挖地域货币文化、耗时十余年潜心研究的学术专著——《四川钱币史》在成都正式出版。这部由四川大学出版社出版的著作，系统全面地梳理和展示了从古蜀到民国时期三千多年间巴蜀地区历史上的重要钱币，展现其独特的发展脉络。

　　1月19日，据报道，全球内存芯片行业的三巨头之一SK海力士宣布，将向全体员工发放人均超1.36亿韩元（约合64万元人民币）的绩效奖金，创公司历史最高纪录。据报道，SK海力士为员工提供以公司股票形式领取绩效奖金的选项，即“股东参与计划”。

　　这次不同于以往，他在与日本首相高市早苗的长时间会谈中，对日本急剧扩军的问题没有作出任何公开回应，也没有在记者会上提及任何与军事有关的内容。

上一篇: 龙8国际：启明星辰与关联方签署协议提供网络安全产品及解决方案

下一篇: A股头条：机器人将再度登上春晚舞台；载人飞船着陆缓冲技术获成

龙八·long8(国际)唯一官方网站-龙8未来可期

新研究：64%第三方应用无业务理由访问敏感数据

随便看看