问题——常见文档成为新型窃密入口。 在机关单位日常办公中——邮件往来与文档流转频繁——Word、PDF因“通用、便捷”而被广泛使用。然而，近期披露的风险提示与案例表明，境外组织正将攻击链条嵌入这些看似普通的文件格式：一份简历、一次会议通知、一个“补丁说明”，可能被植入恶意代码，诱导工作人员在不经意间打开后门，导致系统凭证、涉密材料以及内部数据被窃取，风险直指政府、科研、能源、电信等关键领域。 原因——利用“信任惯性”与“操作习惯”实施精准诱导。 其一，攻击者把握了用户对常见文件格式的天然信任。与可执行程序相比，DOC、PDF更易被视作“安全文件”，更容易通过邮件、网盘、即时通讯等渠道进入办公环境。其二，攻击者针对办公场景设计话术与包装，以“官方口吻”“业务急件”“人员招聘”“学生求助”等主题降低戒心，并通过加密附件、附带密码等手段增强“真实感”，让受害者产生“必须打开”的心理。其三，部分终端安全配置与操作规范不到位，为攻击得手留下空间，例如宏功能管理不严、对文件后缀识别不敏感、对未知来源附件缺少隔离审查等。 影响——从单点中招到链式失守，外溢风险不容低估。 一旦用户点击“启用内容”或误将伪装文件当作PDF打开，恶意代码可能自动释放载荷、安装后门并实现开机自启，攻击者随即可远程操控终端、横向移动渗透内网，继而窃取账号口令、内部文档与敏感数据。此类攻击具有隐蔽性强、成本低、传播快等特点，极易造成“静默式”长期潜伏，危害不仅体现在具体文件失泄密，更可能引发业务系统被控、关键数据被篡改或被持续外传，影响单位运行安全与国家安全。有关通报亦提示，失泄密问题一旦发生，将面临严肃追责，情节严重的还将承担法律责任。 对策——以流程管控为牵引，技术与管理同步加固。 针对当前主要手法，业内普遍认为应从“入口治理、行为约束、终端防护、应急处置”四个层面系统施策。 第一，严把邮件与附件入口关。对陌生发件人、异常主题、非工作必要附件保持高度警惕；对“加密附件+正文给密码”“催促尽快查看”等典型诱导特征建立识别清单；确需接收的，应通过电话或既定渠道核验身份与用途，做到“先核验、后打开”。 第二，强化Office宏管理与最小权限原则。建议默认禁用宏执行，仅允许来源可信、经过签名验证的宏运行；对提示“启用宏才能正常显示”等弹窗保持审慎，原则上不点击“启用内容”；对业务确需使用宏的场景，应在隔离环境或受控终端中运行并留痕。 第三，规范PDF打开流程，识别伪装文件。重点关注“双后缀伪装”等手法，警惕“pdf.exe”等异常后缀；避免双击直接打开来路不明的“PDF”，统一使用正规阅读器并启用安全模式，限制自动执行嵌入式脚本或外部调用；对压缩包内附件、来源不明的“通知类PDF”从严审核。 第四，提升终端安全基线与持续监测能力。开展终端安全排查与资产盘点，监测启动项、注册表等关键位置的异常变更；对可疑进程、异常自启配置、未知程序落地等行为及时处置；在条件允许情况下引入动态分析、沙箱检测等手段，对高风险附件先检测后流转，形成闭环管理。 第五，压实保密责任与日常教育。将防范文档类攻击纳入保密教育和网络安全培训重点，结合真实案例开展情景化演练，明确“谁接收、谁核验、谁负责”；同时建立疑似中招的报告机制，鼓励第一时间上报、快速隔离，避免“小问题拖成大事故”。 前景——“低门槛载体+高价值目标”将长期并存，治理需常态化。 从发展趋势看，文档类攻击仍将是境外组织渗透的重要手段之一：其隐蔽性与场景适配度高，且可与社会工程、供应链投递等方式叠加使用。随着办公协同工具与远程办公普及，文件跨平台流转增多，安全边界更趋复杂。面对“常见载体不常见风险”的新挑战，机关单位需要把防线前移，在制度、流程、技术和人员意识上同步升级，推动从“事后处置”向“事前预防、事中阻断、事后溯源”转变，持续提高对抗能力。
越是常见的文件，越可能成为风险入口。只有严格落实每一次文件核验、规范操作和终端防护，才能在数字化办公环境中守住安全防线。保密工作没有旁观者，每个环节都关乎整体安全。