这些黑客使用诸如具有高度针对性的鱼叉式网络钓鱼(Spear Phishing)电子邮件，引诱不知情的用户打开一个恶意的附件，然后把恶意软件部署到用户的计算机中。攻击者可以从一个机构内的单台计算机开始，然后利用弱的、共享的特权帐户的受害者，控制整个网络系统，搜遍其基础设施和提取敏感的信息。这种方法很简单，但非常有效。

　　因为特权帐户，甚至没有通过身份访问管理(Identity Access Management简称IAM)系统确认，大多数机构都没有用自动化的方式来管理这些强势的帐户。今天由政府和行业团体制定的设备管理系统安全法规要求机构经常更新特权帐户的证书，并审核其使用授权。但是用脚本或手工更新这些帐户，常常被证明是太耗时和容易出错的。对于更复杂的过程，手动更改可能会导致服务中断，如果人员不清楚不同的特权帐户之间的相互依存关系的时候。因此，许多机构根本忽视了这个问题。

　　不幸的是，由弱的特权帐户引入的安全风险，在您的数据中心并没有停止。您的机构可能使用的越来越多的共享服务，包括云服务、证书颁发机构和金融服务网关，特权帐户的安全管理薄弱或不存在管理的问题已经暴露无遗。对于一个黑客来说，由共享的服务提供商员工使用的一个弱加密特权登录，是具有令人难以置信的吸引力的目标，尤其是因为在这些环境中的一个单一的妥协登录，就可以打开企业客户的私人数据。

　　第3步，固定窗口。如果您的网络关键的外部组成部分是脆弱的，您也不能保证安全。要求您的关键业务合作伙伴，包括云服务提供商、证书颁发机构和其他机构，证明他们是在遵守有意义的、如共识审计准则(Consensus Audit Guidelines)这样的规定。我认为，如果他们提供像买球平台SAS70等类似的自我认证，那说明他们没有采取认真的态度，最终将会暴露您的私人信息。