在網路安全領域，我們對身份盜用（Identity Theft）並不陌生，通常是指駭客偷走真實使用者的帳號密碼來冒充其身份。然而，有一種更隱蔽的攻擊方式叫做合成身份欺詐（Synthetic Identity Fraud）。簡單來說，這不是「偷」身份，而是「造」身份。駭客將部分真實的數據與虛構的資訊拼接在一起，創造出一個現實中根本不存在的虛擬人。因為沒有真實的受害者會收到異常登入通知，這種假身份可以在系統中潛伏很久，悄悄累積權限而不會被發現。
現在，這種危險的趨勢正從人類使用者擴展到非人類身份（Non-Human Identities, NHI）。
什麼是非人類身份（NHI）
在現代雲端與微服務架構中，很多操作不是由人在執行，而是由程式、API、服務帳號（Service Accounts）或自動化腳本在執行，這些都被統稱為非人類身份（NHI）。由於企業數位轉型的速度極快，NHI 的數量增長速度遠超人力管理能力，這為駭客創造了絕佳的隱藏空間。
合成機器身份的威脅
大多數資安團隊目前的重心在於「防止 NHI 憑證被盜」，但忽略了「防止偽造 NHI」的問題。合成機器身份是指駭客在系統中直接創造一個從未被正式授權、但看起來完全合法的帳號。
駭客會觀察環境中的命名慣例（Naming Convention）、所屬網域以及常見的權限請求，然後打造一個極其像正版服務帳號的假帳號。對於管理員來說，在數以萬計的服務帳號清單中，一個名稱像 svc-prod-backup-02 的帳號看起來毫無違和感，因此很容易被視為正常的工作負載而忽略。
駭客如何製造假機器身份
雖然手法並不新穎，但將其系統化為合成身份攻擊的模式則非常危險。常見的實作方式包括：
偽造服務帳號（Rogue Service Account）：駭客在取得初步進入權限後，直接創建一個與現有帳號命名相似的新帳號，並賦予其權限。
DCShadow 攻擊：這是一種更底層的基礎設施攻擊。駭客利用已取得的網域管理員權限，偽裝成一個臨時的網域控制器（Domain Controller），將惡意變更偽裝成正常的同步流量推送到系統中，讓偽造的身份直接獲得系統級別的信任。
影子憑證（Shadow Credentials）：駭客在現有的合法物件中植入自己控制的驗證資料。這比創建新帳號更隱蔽，因為身份本身是真實存在的，但驗證路徑被駭客偷偷修改了。
AI 代理人（Agentic AI）加劇的風險
隨著 AI Agent 的普及，機器身份的創建變得更加自動化。AI Agent 能夠在運行時動態獲取憑證，甚至能自行啟動其他子 Agent。當身份創建變成一種自動化的背景活動時，合法創建與惡意偽造之間的界線將變得極其模糊，駭客可以利用 AI 更快速地生成大量足以亂真的合成身份。
工程實務上的防禦對策
面對無法單靠肉眼分辨的合成身份，我們需要從治理（Governance）與零信任（Zero Trust）的角度出發：
強制執行身份所有權（Ownership）
合成身份之所以能生存，是因為沒有人知道它是否存在。實務上，每一個 NHI 都必須對應一名負責的人類所有者，並記錄明確的用途與到期日期。沒有主人的帳號應該被視為高風險並立即清除。
實施自動化憑證輪替（Secrets Rotation）
針對影子憑證這類攻擊，最有效的對抗方式是縮短憑證的生命週期。透過集中式的秘密管理系統（Secrets Management）進行自動化輪替，讓駭客植入的憑證在極短時間內失效，無法建立長期的持久化訪問。
落實最小權限與即時訪問（Least Privilege & JIT）
不要給予服務帳號永久性的高權限（Standing Access）。應採取即時訪問（Just-in-Time, JIT）機制，僅在需要執行任務時才授予權限，且時間有限。這樣即使合成身份潛入系統，其能造成的損害也會被限制在極小的範圍內。
從憑證信任轉向行為驗證（Continuous Verification）
傳統安全檢查在帳號創建時（Provisioning）驗證一次就永久信任，這正是合成身份的漏洞。我們應將信任基礎轉移到「行為分析」上。無論身份看起來多麼合法，如果它的訪問模式、請求頻率或存取對象與正常業務不符，系統應立即觸發警報。
總結
保護身份安全不能只關注於「防止被偷」，還必須關注「防止被造」。在 NHI 數量爆炸的時代，確保每個身份都有主、每個憑證短暫、每個行為受控，才是對抗合成身份欺詐的核心關鍵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。