为何一台50年历史的老VPN成为Paru集团遭遇攻击的致命弱点
Paru集团的老旧维护VPN因勒索软件沦陷，进而蔓延至Active Directory，导致100台服务器宕机。仅用50天便完成恢复（通过AWS迁移），这一过程揭示了日本企业老旧基础设施的隐形脆弱性，以及其对全球IT韧性的深远影响。
无人关注的攻击路径
2024年6月16日，Paru集团约100台服务器同时宕机。电子邮件系统瘫痪，销售管理系统崩溃，数百家门店的收银终端与总部断开连接。对于运营着3COINS、CIAOPANIC和un dix cors等品牌、遍布约1000家门店的零售集团而言，这已不是简单的运营中断——而是一场彻底的停摆。
此次事件之所以引人注目，并非因为损失规模，而在于攻击入口。 forensic调查揭示，攻击者首先并未侵入核心业务系统，而是通过一个专为维护用途的远程VPN进入——该系统早已陈旧且缺乏监控。从那里，他们渗透至一台老旧的考勤管理服务器，再通过该服务器攻陷了Active Directory域控制器。一旦AD沦陷，其控制下的所有设备均可被访问，整个数据中心随之崩溃。
这一序列揭示了一个在日本企业IT领域反复上演、却鲜少被英语媒体清晰表述的故事：攻击目标并非核心价值资产，而是那些被认为无需保护的基础设施——因为它们不属于业务层。
老旧系统与新型威胁之间的责任真空
Paru集团是一家服饰和综合商品控股公司，管理着约50个品牌。攻击前的IT架构遵循日本中大型企业常见的模式：一个集中式数据中心托管约100台物理服务器，全部通过现代零信任理念出现之前就存在的传统远程访问工具连接。维护VPN、考勤系统、Active Directory基础设施——它们的年代都比公司悄悄开始讨论的云战略更久远。
这种时代落差带来的后果不只是技术性的，更是组织性的。关于这些系统的安全决策已被拖延多年。维护VPN仍在运行，因为没有人建立替代方案；考勤服务器仍保留在本地，因为迁移从未被优先处理。当攻击者找到这条路径时，他们发现的是一条从未上锁的通道。
Paru集团IT协调部门主管守山宗行将事后形容为总部陷入近乎沉默、门店紧急电话纷至沓来的时期。公司必须在极度不确定的情况下做出即时决策。首要决定是彻底切断互联网连接——这阻止了扩散，但也中止了运营。第二项决定是在不重新暴露受损网络的前提下恢复门店的连接。
让门店保持营业的应急方案
Paru集团的应急响应揭示了一个零售IT的实用真相：总部可以崩溃，但门店运营必须持续。公司早已将电商平台PAL CLOSET和社交媒体基础设施与主网络分离——这一决定可能出于性能而非安全考虑做出，但却起到了决定性作用。这些系统完好无损地幸存下来。
对于其余1000家门店，公司分发了约900台随身Wi-Fi设备。总部更换了受感染的PC，并借助隔离的社交媒体网络电路恢复互联网接入。这不是恢复策略，这是分诊处置。但它争取到了执行恢复策略所需的时间。
50天的云端转型
Paru集团响应中最引人注目的并非初始遏制，而是重建速度。公司评估了三种方案：在现有数据中心内重建独立环境、与TOKAI Communications签约新设施、或迁移至AWS。
云采用此前曾面临高管的阻力，他们更倾向本地控制。这次攻击几乎瞬间改变了这一决策逻辑。AWS迁移获得批准，目标设定在2024年9月底。
随后出现了一个额外约束。Paru集团正在收购女装品牌w closet，交易将在8月底完成。销售管理系统需在收购顺利推进前投入运营。截止日期提前了。原预计为期一年的转型项目被压缩成50天的冲刺。
AWS迁移于8月5日完成。w closet收购在月底如期进行，未受延误。TOKAI Communications提供了使这一计划可行的集成支持——该公司运营着日本最大的私有MPLS网络之一，据其代表介绍，拥有约2300条连接AWS的专线。
新架构的模样
攻击后的基础设施明显比攻击前更为简洁。旧有的窄带私有网络被TOKAI Communications的BroadLine运营商服务取代，与AWS的连接通过带冗余的AWS Direct Connect重建。覆盖约1000家门店的SD-WAN部署在约一周内完成，替换了旧的IP-VPN拓扑。
安全控制得到实质性加强。互联网流量通过统一的UTM设备整合，所有日志汇入SIEM平台。认证从仅依赖AD登录转变为基于证书的认证，并增加了多因素认证。Amazon GuardDuty和AWS Security Hub部署在每台EC2实例的EDR代理旁。
恢复后进行的灾难恢复演练展示了改进的规模：此前需要约两个月恢复的流程，如今仅需约六小时即可完成。
为何这对日本以外的世界同样重要
Paru集团的经历并非个案，而是一个模板。这种模式——传统VPN、老旧服务器、AD沦陷、连锁崩溃——正日益普遍，因为企业在推迟基础设施更新周期的同时，网络威胁的演变速度远超采购流程。Paru集团案例的独特之处在于响应速度与清晰度，以及利用危机推动一场早已计划却陷入停滞的迁移的决心。
更广泛的信号是：组织应停止将老旧内部系统视为低风险。维护VPN并非无害的基础设施。它往往是网络中最薄弱的一环，因为它设计目的是便利而非防御，且常常在被利用前一直被遗忘。
守山宗行表示，公司现在假设100%防范是不可能的。战略已转向早期检测和损害控制。对于一家花了几十年时间围绕错误目标构建安全防线的行业而言，这是一种现实的姿态。
接下来会发生什么
Paru集团将继续与TOKAI Communications进行每周运营审查，预计将在初始恢复范围之外扩展AWS能力。灾难恢复测试结果暗示，公司现在拥有了攻击前不具备的可信备份方案。
对更广泛的企业IT社区而言，教训是具体的：本季度审查你的传统访问路径。你从前任供应商继承的VPN、运行在无人能确定年代的服务器上的考勤系统、未经管理就不断扩张的AD森林——它们不是背景噪音。它们是下一次事件最可能的入口。
Paru集团得以幸存，是因为反应迅速，也因为至少有一个系统——PAL CLOSET——与其余部分隔离。那些没有这种运气的公司将以更艰难的方式学到同样的教训。