近日，歐洲網絡安全初創公司Modat的研究人員發出警告：全球范圍發現4.9萬個配置錯誤的物理訪問管理系統（AMS），導致數十萬員工和組織敏感信息暴露在公網之下，涉及建筑、醫療、石油和政府等關鍵基礎設施行業，凸顯了現代企業安全防御中的致命漏洞。

訪問管理系統（AMS）是一種通過生物識別、身份證或車牌控制員工訪問建筑物、設施和禁區的安全系統。全球共有4.9萬臺暴露的AMS設備，其中大部分（16,678臺）位于意大利，其次是墨西哥（5940臺）和越南（5035臺）。在美國，Modat發現了1966臺暴露的AMS系統。

根據Modat研究團隊2025年初的調查（鏈接在文末），他們在常規安全掃描中發現了一個異常模式：全球數以萬計的AMS接口未受保護，直接面向互聯網。這些系統通常用于管理員工的身份驗證、門禁權限和生物識別數據，但因配置不當，敏感信息如個人身份詳情、工作日程甚至生物特征數據被完全暴露，具體如下：

• 個人身份信息（姓名、電子郵件地址、電話號碼）
• 指紋和面部識別等生物特征數據
• 照片
• 工作時間表
• 訪問日志可顯示誰進入/退出以及何時進入/退出

對于政府建筑和發電站、水處理設施等關鍵基礎設施而言，暴露的AMS的物理安全風險尤其令人擔憂。除了物理安全之外，暴露的信息還可以被用來針對暴露的組織發起魚叉式網絡釣魚和社會工程攻擊。

研究顯示，攻擊者可利用這些漏洞偽裝員工、非法進入受限區域，或進行身份盜用。在極端情況下，攻擊者甚至能篡改員工檔案，包括更換頭像以假冒身份，或修改訪問權限，監控員工活動軌跡。

Modat的報告特別指出，一個車輛訪問控制系統漏洞尤為嚴重，攻擊者可通過該系統白名單或黑名單特定車牌，實時監控車輛進出設施的動態。這一發現不僅威脅到企業物理安全，還可能引發供應鏈和關鍵基礎設施的連鎖風險。

報告強調，問題核心在于AMS的公網連接。Modat首席執行官Soufian El Yadmani表示，許多組織未采取基本防護措施，如使用防火墻或VPN隔離系統，導致系統成為“敞開的大門”。為應對這一危機，Modat建議企業立即采取行動：限制AMS的互聯網暴露、更改默認憑據、啟用加密保護敏感數據、定期更新補丁、監控訪問日志以發現異常活動。

值得注意的是，Modat已私下聯系受影響的系統所有者和組織，提供詳細漏洞報告，幫助他們修補安全漏洞。但報告也提醒其他可能存在類似問題的企業，需警惕自身AMS配置是否符合安全最佳實踐。

此次曝光事件再次提醒網絡安全從業者，訪問管理系統的配置失誤可能成為網絡攻擊的突破口，尤其在關鍵行業中，任何疏忽都可能引發災難性后果。