美國眾議院議長裴洛西（Nancy Pelosi)於8月2號訪台後多個公務機關、超商廣告看板相繼遭駭! 在如此敏感的時刻駭客透過修改廣告看板圖片、字樣試圖造成人民恐慌，並且專挑曝光度最高的地方進行攻擊，無疑是在展現他們的實力有多強大，能夠在準確的時機，合適的地點進行打擊，這不由得讓我們反思: 難道，這些公務機關、超商的資安就如此薄弱嗎?
事實的真相? 實際上被駭入的並非是我們所看到的台鐵、711本身，而是委外的廣告商，這些廣告媒體商因有使用「中國軟體」而被有機可趁，難道說中國的軟體就不能用嗎? 主要被駭的原因還是在於企業存在多少的資安漏洞，漏洞越多就越容易被侵入成功，如今萬物聯網，越來越多的設備都可以透過網路來連接，相對的我們為了追求方便或許會被連接密碼設定的很簡單，這就是一個很明顯的漏洞，越簡單的密碼要破解那是越容易。
既然我們知道這起案件發生的原因在委外廠商身上，我們就必須去思考，駭客的能力那麼強，為何就不去直接攻擊把重要機關癱瘓掉? 要知道，重要機關平時都有層層資安把關的，並不是想侵入就可以侵入成功的，所以駭客將目光放到了另一個目標，也就是配合廠商，在此我們也可以視為其為供應鏈的一環，駭客要的是什麼? 短時間內可以發揮最大的效益! 要在短時間內可以找到合適的攻擊目標首選一定是軟柿子，畢竟軟柿子打起來毫不費力又可以造成一定程度的影響，這也就是為什麼現在許多供應商會開始要求其上下游廠商要做好資安這塊，其一為若是供應鏈當中某一段遭到攻擊，產線停擺無法出貨都會造成後續無法如期完工，其二是若是供應鏈當中有任何一間企業遭到駭客入侵，並潛伏於企業內部，取得所有的往來紀錄、交易流程等，又或是直接使用內部核心資訊去攻擊供應鏈夥伴，讓供應鏈夥伴進而也遭到駭客的攻擊潛伏，這些資安問題都是有例可循的。
委外廠商、供應鏈都是有可能會被攻擊的，即便目標不是你，但是我們也不得不防，我們常會陷入一個已知陷阱中，既然對方是我的供應商或是我的委外服務廠商，那他說的話我就應該100%的信任? 就因為是合作的夥伴難道就不會有被駭客操控的可能性嗎? 我們永遠都不會知道駭客潛伏的時會有怎樣的情況產生，故資安很常談的就是零信任，不僅是對外零信任，對內部也要保持零信任的態度，畢竟企業內部是否已被駭客潛伏，無人可知。
他們真的是短時間內就被打進去的嗎? 在這邊我們可以站在攻擊者的角度思考，第一，短時間內要找到合適的攻擊對象並成功侵入，第二，平常就已經有在佈署，等待適當的時機發起攻擊，相信在第二點的執行上相對來說比較容易，所以我們常說「不是沒被攻擊，而是時候未到。」，企業必須定期去了解內部的資訊環境是否安全，而大多的檢測結果都是「否」，並不是說所有的企業都沒好做資安，而是做資安是一場 – 持久戰
我去年有規劃資安啦! 不是都給你們規劃了嗎? 怎麼還需要定期檢查? 這是大多數企業的內心話，有規劃了，有執行了，為何還要去抓企業內部還有什麼資安漏洞? 這不得不提到攻擊的變化有多快! 且現在的攻擊手段光靠人員的舊資安意識已經無法有效去判斷，所以我們也要定期補充資安意識了解到現在的資安攻擊手段有哪些，要怎麼注意，再來是企業內部的設備若有更換、升級等都有可能會產生新的漏洞，更別提現有的設備環境，其漏洞也是不斷被披露，這些都是企業應該要去注意是否有相應的應對措施。
特別值得關注的一件事，如今大家都習慣上網查找資料，而越來越多的釣魚網站偽裝成正常網站暴露在我們的瀏覽的網頁中，駭客操作著SEM、SEO讓他們的釣魚網站得以在搜尋頁上第一頁，而往往我們的認知陷阱當中，第一頁的資訊就是對的! 因為最多人看，當我們心中一旦出現「應該沒事吧?」時我們就已落入了駭客精心設計的陷阱當中，我們就會順著操作體驗一步一步將我們的資訊外流或是將惡意軟體引進內部進而造成不同程度的資安風險，如BEC商業詐騙、個資外洩或是勒索加密，造成如此威脅的攻擊手段就隱藏在我們的工作日常當中，你還能不多加警惕嗎?
從了解企業本身核心價值開始，進行環境弱點掃描並制定應對策略，提高人員資安意識定期進行資安課程，除了應對措施做好，人員資安意識提升，最重要也是最後的一道防線 – 備份，備份一定要做好! 當我們前面的防線逐漸瓦解，至少我們還擁有最後的完善備份可以復原，千萬不要小看備份的重要性! 它將會成為最後的救命稻草。
| 鼎新電腦數位科技協助企業做好資安，專為企業客製資安解決方案。
| 立即諮詢 | 鼎新AI智管家 | 0809-088-958
