企业资安漏洞频传 专家示警三大产业成骇客新目标

近期发生多起企业个资外泄风波，部分企业甚是因此遭骇客恐吓，对此 KPMG 安侯企管公司表示，骇客近期攻击对象已从大型上市柜企业转战中小企业，包括交通观光、百货零售及网路服务等，已成为骇客锁定新目标。

KPMG 安侯企管公司董事总经理谢昀泽表示，过去骇客主要锁定金融、制造和上市柜大型企业，近期则迅速移转到中小型企业上，包括交通观光、百货零售业、及网路服务等拥有消费者巨量个资的行业已成为骇客新目标。

而骇客在攻击上的分工也有所转变，上游由「网路狙击手」先「代攻」窃取资料后，再交由中游的「数据贩子」分批、分时于暗网中兜售，最后经「下游」的「取款车手」，以各种心理战、媒体战专业恐吓企业交付赎金取款，并同时制造断点，是近年最常见的模式。

谢昀泽说明，归纳企业受骇事件受骇者的特征，大多都有「资料库重要的栏位未加密」、「技术人员错误的安全设定」、「未能及时修补弱点」等；以近期零售业个资外泄来看，本该最被严加安全保护的资料库，不仅丢失资料内容外，连资料库系统的内部管理介面也暴露在外部网路，简言之，企业整体网路架构与资料存取控制，形同被骇客接管。

根据谢昀泽观察，台湾企业资安能力强弱悬殊，大致可分成：对资安敏感，有能力预先搜集情报，并掌握产业链整体风险的「真知卓见组」，例如部分的半导体与金融业公司。

另一种则是误认有装防毒软体、防火墙，就是完成资安的「自我感觉良好组」；甚至已被外部通报个资外泄，而不知所措，只会重新安装系统的「资安神经麻痹组」。

谢昀泽提醒，未来骇客「柿子挑软的吃」的趋势将更显著，部份把资安当作「选配」的企业，被入侵暴雷事件将更频繁，这些企业会面临「骇客霸凌」、「舆论炎上」、「商誉崩塌」的三重压力。

KPMG 安侯企管公司执行副总林大馗建议，企业先由独立第三方，针对资安体质与现况进行详细的健检，并尽速辨识并修补漏洞，其中对资安采高标准的企业，可参考 2022 年最新版国际资讯安全标准的技术控制措施，透过如资料库加密机制，让骇客铤而走险得手的资料丧失利用价值。

另外，企业也可透过较积极的资料外泄防护技术 (DLP) 措施，来管制员工资料存取与转送的行为。

林大馗强调，现代化的企业要把资安视为「标准配备」，更要重视基本功，优先针对员工安全意识、资讯人员技术能力、资安政策与管理流程等多方面，积极进行补强。