近日，欧洲网络安全初创公司Modat的研究人员发出警告：全球范围发现4.9万个配置错误的物理访问管理系统（AMS），导致数十万员工和组织敏感信息暴露在公网之下，涉及建筑、医疗、石油和政府等关键基础设施行业，凸显了现代企业安全防御中的致命漏洞。
访问管理系统（AMS）是一种通过生物识别、身份证或车牌控制员工访问建筑物、设施和禁区的安全系统。全球共有4.9万台暴露的AMS设备，其中大部分（16,678台）位于意大利，其次是墨西哥（5940台）和越南（5035台）。在美国，Modat发现了1966台暴露的AMS系统。
根据Modat研究团队2025年初的调查（链接在文末），他们在常规安全扫描中发现了一个异常模式：全球数以万计的AMS接口未受保护，直接面向互联网。这些系统通常用于管理员工的身份验证、门禁权限和生物识别数据，但因配置不当，敏感信息如个人身份详情、工作日程甚至生物特征数据被完全暴露，具体如下：
- 个人身份信息（姓名、电子邮件地址、电话号码）
- 指纹和面部识别等生物特征数据
- 照片
- 工作时间表
- 访问日志可显示谁进入/退出以及何时进入/退出
对于政府建筑和发电站、水处理设施等关键基础设施而言，暴露的AMS的物理安全风险尤其令人担忧。除了物理安全之外，暴露的信息还可以被用来针对暴露的组织发起鱼叉式网络钓鱼和社会工程攻击。
研究显示，攻击者可利用这些漏洞伪装员工、非法进入受限区域，或进行身份盗用。在极端情况下，攻击者甚至能篡改员工档案，包括更换头像以假冒身份，或修改访问权限，监控员工活动轨迹。
Modat的报告特别指出，一个车辆访问控制系统漏洞尤为严重，攻击者可通过该系统白名单或黑名单特定车牌，实时监控车辆进出设施的动态。这一发现不仅威胁到企业物理安全，还可能引发供应链和关键基础设施的连锁风险。
报告强调，问题核心在于AMS的公网连接。Modat首席执行官Soufian El Yadmani表示，许多组织未采取基本防护措施，如使用防火墙或VPN隔离系统，导致系统成为“敞开的大门”。为应对这一危机，Modat建议企业立即采取行动：限制AMS的互联网暴露、更改默认凭据、启用加密保护敏感数据、定期更新补丁、监控访问日志以发现异常活动。
值得注意的是，Modat已私下联系受影响的系统所有者和组织，提供详细漏洞报告，帮助他们修补安全漏洞。但报告也提醒其他可能存在类似问题的企业，需警惕自身AMS配置是否符合安全最佳实践。
此次曝光事件再次提醒网络安全从业者，访问管理系统的配置失误可能成为网络攻击的突破口，尤其在关键行业中，任何疏忽都可能引发灾难性后果。
