Sophos 發布最新《身分安全現況報告》，調查涵蓋 17 個國家共 5000 名 IT 與網絡安全從業員。調查結果顯示，在受訪期間內有高達 71% 的企業經歷至少 1 次身份入侵事件，平均每間企業發生 3 宗入侵事件，當中 5% 的企業更經歷 6 次或以上的重複攻擊。高達 67% 的受害企業承認攻擊事件源自身份入侵，顯示身份憑證外洩已成為勒索軟件的主要入侵途徑。相關攻擊造成的代價尤為高昂，平均復原成本達 164 萬美元，中位數達 75 萬美元，另有 73% 的受害企業需承擔超過 25 萬美元的支出。
數據指出，約 43% 的入侵事件源於人為錯誤，例如員工受騙而洩露登入憑證，而 41% 則涉及非人身份管理不善，包括程式碼中遺留的 API 金鑰、靜態憑證及未受監控的服務帳號。Sophos 首席資訊安全總監 Ross McKerchar 表示，身份保護已成為現代網絡安全的主要戰場，多數企業正逐步失守，尤其在非人身份的管理上更面臨日益嚴峻的挑戰。隨著具自主執行功能的 AI 代理迅速普及，AI 代理能自行建立子代理並生成權限新憑證，其覆蓋廣泛且具備持續存取權限。這種被授予權限的速度遠超網絡安全團隊的監控能力，而現有身份管理框架亦未針對此挑戰進行設計。研究顯示，非人身份管理欠佳的企業發生財務竊取事件的機率高出 22%，復原成本平均增加 15 萬美元。目前僅 33% 的企業會定期輪換或稽核非人身份，而能持續執行的企業僅佔 11%。
報告進一步揭示了企業在偵測與合規方面的盲點。10% 的企業因身份入侵遭受業務損失，主要後果包括佔 49% 的資料外洩、佔 48% 的勒索軟件及佔 47% 的錢財盜竊。監控不足成為主要漏洞，僅 24% 的企業持續監控異常登入行為，超過 50% 的企業每 3 個月或更久才檢查一次。在產業風險方面，能源與公用事業以 80% 的入侵率居首，政府部門亦高達 78%。同時，合規難度與風險呈正相關，認為合規要求極具挑戰的企業中，有 82.4% 曾遭入侵。為降低身份攻擊風險，Sophos 建議企業採取覆蓋人類與非人身份的多層防禦策略，全面推行多重驗證及最小權限原則。針對非人身份，企業應建立完整識別清單，以短期憑證取代長期憑證，並部署身份威脅偵測與回應能力及零信任架構，確保整體防禦韌性與營運安全。
