币圈界报道：

尼日利亚关键机构频遭网络入侵，基础配置缺陷成核心风险

近期，针对尼日利亚金融机构、政府单位及金融科技企业的网络攻击事件显著上升，引发业界高度关注。一家权威信息安全与合规咨询机构发布紧急通告，揭示了当前威胁格局的关键特征。

多数攻击源于可规避的配置失误与暴露资产

通告指出，近期多数安全事件并非由复杂零日漏洞或高级持续性威胁驱动，而是根植于基本安全实践的缺失。攻击者广泛利用未受保护的数据库、公开可访问的云存储、泄露的API密钥以及直接暴露于公网的关键服务器。

这些资源常可通过公共代码仓库、云索引工具甚至暗网交易平台轻易定位，形成高价值攻击入口。典型风险包括：敏感客户信息存放在开放云存储中；应用内硬编码的加密密钥与令牌；开发环境中暴露的凭据；内部权限控制薄弱及对单一认证机制的依赖；生产环境中的管理接口、文档与开发平台外泄；对Vercel、Netlify等第三方托管服务的无约束使用；令牌生命周期管理不善与身份验证机制脆弱；以及供应商安全管理不足等问题。

安全短板非技术缺失，实为执行落差

“受损组织并非因技术能力不足而失败，而是未能有效落实已有安全策略。”通告签署人强调，例如应确保所有云资源（如AWS S3、Azure Blob、Google Cloud Storage、Firebase）均禁用匿名访问；定期检查代码库、容器注册表及部署产物中是否意外暴露云凭据或API密钥；强制所有内外部接口实施严格的身份验证与授权机制。

该机构指出，上述风险大多可通过现有工具与标准流程加以防范，反映出安全政策与实际落地之间存在明显断层。

立即采取五项关键防护举措

为应对当前威胁，公司建议组织迅速启动以下行动：全面盘点所有面向互联网的资产（含第三方系统）；立即撤销并轮换所有已泄露或可能暴露的凭据；追溯分析历史日志以评估潜在利用范围；与相关供应商协作修复第三方暴露问题；修正已识别的错误配置并验证修复效果；增强日志记录、监控与威胁检测能力；完整归档补救过程与剩余风险点，以支持后续治理与审计。

同时提醒，必须提升对影子IT和员工账户下未经授权部署的可见性，此类行为正成为攻击者的重要突破口。

构建主动防御体系刻不容缓

该机构重申将持续提供企业级安全评估与独立控制验证服务，助力组织提升韧性。

“必须立即响应本通告。”署名专家警示道，并强调在尼日利亚日益复杂的数字威胁生态中，决定组织生存力的不再是事后响应，而是前瞻性的主动防护机制。