絨毛娃娃裡的駭客

如果你的孩子正抱著最夯的對話玩偶，請你看到下面的文字時，不要恐慌。如果你正坐在自家的智慧型電視前，請留意，你的舉動可能正被觀察，你說的話可能正被錄音。 因為，駭客不只駭入銀行，今年以來連串駭客災情，在在顯示，駭客不只駭到你家門口、甚至駭入你家中。 上網才會遇駭？ 報名考試找工作，個資也被盜 還記得去年第一銀行發生ATM遭盜領逾八千萬元事件，讓國人見識到東歐駭客縝密的攻擊手法。還好，在檢警、路人機警反應下，台灣竟領先全球逮獲了這個犯罪集團的三名成員。但駭客報復行動正要開始，「去年底東歐駭客地下論壇，已有人揚言，今年一定要給台灣好看！」一位金融業資訊長透露，為此，金管會早早向銀行業示警。 今年初，台灣十多家證券商遭受到殭屍網路攻擊，連網頻寬被塞爆、網站遭癱瘓，投資人無法下單。就被視為報復的開端。「券商資本沒有銀行雄厚，沒錢拿為什麼要攻擊？確實有可能是報復。」負責調查第一銀盜領案的法務部調查局資通安全處科長周台維說。 國際上也不平靜。今年二月，有親子連網對話功能的絨毛玩具「Cloud Pets」，遭爆網路資料庫外洩，駭客取得二百二十萬筆親子對話紀錄，向玩具商勒索比特幣，資安專家預測連網玩具洩漏個資的夢魘成真。三月，維基解密（WikiLeaks）披露美國機密文件，顯示中情局（CIA）能透過遠端遙控，讓三星智慧型電視進入假關機狀態，實則轉為秘密錄音狀態，將聲音傳回CIA。許多人這才發現，原來智慧電視竟藏了錄音功能！ 就算自己不上網、不用連網設備，你的資料，依然可能被盜。 國際上，雅虎遭駭客盜取十五億筆帳戶資料，創下有史以來最高紀錄；國內，去年十月，勞動部「台灣就業通」網站遭駭，被討債公司盜取三萬筆求職者個資。根據消基會統計，過去一年來，光是台灣政府機關洩漏的個資，就高達十三萬筆。民間企業也包括有電子商務交易資料、多益考試報名等資料，遭犯罪集團掌握用於詐騙。 被駭還變幫兇？ 連網裝置變「殭屍」，成駭客棋子 不只你自己資料可能被駭。你家的連網設備，也可能早已成為殭屍網路大軍（編按：駭客遠端操控被惡意程式感染的連網設備，對欲攻擊網站發送垃圾訊號占用頻寬）一員，成了攻擊工具。 去年十月爆發全球史上最大規模殭屍網路攻擊，包括美國CNN新聞頻道、HBO電影台、亞馬遜（Amazon）等知名網站連網異常，「殭屍」是五十萬台大陸雄邁（XiongMai）公司生產的網路攝影機。這款攝影機銷售遍布全球，根據勤業眾信風險諮詢公司估計，有近三萬台位於台灣，有些是住家使用，還有很多是社區大樓用來做為監視器，都被拿來當駭客的工具。 而這些攝影機之所以被駭客利用，都因為當初架設後，沒有改過網路攝影監視器預設密碼。 更令人擔心的是，不只監視器，包括智慧燈泡、智慧茶壺、連網空氣清淨機、連網冰箱、連網體重計、連網玩具、連網路燈、連網交通號誌、連網廣告燈箱等等裝置，都可能中獎。 電影《全民公敵》當中主角無可遁逃的情節，如今之所以出現在現實生活中，是因為你我生活已經進入網網相連到天邊的程度了。根據調研機構顧能（Gartner）預測，過去兩年全球使用中的連網裝置數量，以每年增加三成的速度快速成長，到二○二○年，物聯網裝置更將增加到二百零四億個！趨勢科技台灣區總經理洪偉淦發現，各路駭客忙著開發新的變種惡意程式搶攻新物聯網裝置、建立殭屍網路軍團，儼然成了一場淘金熱。 可別以為，唯有不設防的企業、個人才會被駭。就在兒童節連假前夕，一則路透社新聞報導：美國檢察官起訴立陶宛男子，假冒廣達電腦名義，向美國一家跨國科技大廠、一家跨國社群網站發送電子郵件要求匯款，共詐騙了一億多美元。這也是駭客透過電子郵件假冒身分詐騙（俗稱變臉詐騙）的受害金額歷史新高。媒體直指受害企業極可能是有層層網路安全關卡的亞馬遜網路商城與臉書（Facebook）！ 不懂電腦也能駭人？ 產業鏈成形，買駭客服務像買App簡單 一旦駭客攻擊的是國家級單位，造成的災情更為可怕。去年二月，孟加拉央行遭駭客入侵，從紐約聯邦儲蓄銀行的帳戶，轉帳盜出了八千一百萬美元（約合新台幣二十五億元），經過一年多來的追查，幕後黑手竟指向北韓政府。去年美國總統大選前，俄羅斯駭客對民主黨發動的攻擊已獲證實，而俄羅斯對大選的干擾程度，仍被如火如荼調查中。 駭客存在並不是新聞，但為何近一年來受駭災情卻數量越來越多、規模越來越大？另一個原因是：「產業鏈串起來了。」前刑事警察局偵九隊（專攻電腦犯罪）隊長、富邦金控副總經理李相臣說。以前，駭客靠個人技術駭進網站盜取資料或癱瘓網站，再用人頭帳號轉帳勒索贖金。但現在，整個網路黑色產業，已完成供應鏈分工。歐洲刑事警察局旗下網路犯罪中心EC3在去年九月發布預警指出，駭客組織已經形成了成熟的「犯罪即需即用服務」（Crime as a Service）模式，透過分工，提供各種各樣的犯罪工具和服務。也就是說，不論是植入木馬或攻擊漏洞的程式，都能像買套裝軟體般，上網買到，甚至找駭客客製化。 犯罪集團需要殭屍軍團，也找得到出租服務，要多少攻擊量，就付費買多少。不懂駭客技術的，也能發動攻擊。「舉個例子，今年二月針對券商的三波網路攻擊，很顯然就是付費買了三次。」趨勢科技資深協理張裕敏分析。 比特幣助長歪風？ 方便交易又難追蹤，破解金流難題 同時，人們在社群網站洩漏的資料變多了，駭客取得個資的管道多，例如看到打卡、拍照就知道人在歐洲，看到眾人祝壽就能得知個人生日。「如果駭客選在你生日當天，發送帶有惡意程式的祝賀信給你，你八成會點開。」李相臣說。這麼一來，針對性的攻擊，例如鎖定金融業或高科技業的員工攻擊，駭進他們的電腦進而取得企業機密資料，就更容易了。 最重要的是，有了方便又難追蹤的比特幣當支付工具，解決金流問題。「勒索軟體以前就有，但災情很小，就是因為不容易收到錢。」台灣駭客年會常務理事、資安公司戴夫寇爾執行長翁浩正指出，現在受害者在超商就能買到比特幣，贖回被加密的重要檔案，打通了駭客直接勒索個人的B2C（企業對個人）「商業模式」。 這也難怪，曾擔任美國聯邦調查局（FBI）局長長達十二年的穆勒（Robert Mueller）警告：「世界上只有兩種公司，一種是已經被駭的公司，另外一種是將來會被駭的公司。」 全球損失估增四倍 美銀行齊抗駭，資安概念股翻紅 根據英國保險公司Lloyd's統計，二○一五年全球駭客攻擊所造成的損失，已達四千億美元。研究機構Juniper Research估計，到了二○一九年，這數字將大增四倍，來到二兆一千萬美元。 為因應數量更多、規模更大的駭客攻擊，美國摩根大通、高盛、美國銀行等八家大型銀行，決定結盟共同對抗網路襲擊，互相通報、一起演習，並擬定遭攻擊時的聯合因應措施。美國前總統歐巴馬去年還在任時，則將聯邦政府網路安全預算大幅增加三五％，提高到一年一百九十億美元（約合新台幣五千七百六十億元）。 美國政府更祭出嚴格的法規，要求企業做好資安。去年重罰兆豐金未做好洗錢防制的美國紐約州金融服務署（NYDFS），今年三月推出有關網路安全的新規定。安侯企管數位科技安全負責人謝昀澤分析，內容包括應設專責單位、專責的資安長、擬定資安計畫，一旦被查到沒落實計畫，負責主管還將面臨刑責。 台灣企業更要注意：歐盟史上最嚴苛的個資法──個人資料保護規則（GDPR），將於二○一八年上路，若企業或任何組織違反了規則導致資料被駭，最高可處以兩千萬歐元（約合新台幣六億四千萬元）或企業全球營收四％的鉅額罰款。 也因為防駭的規模變大、規定變嚴格，企業相應的支出必然大增，當然，相關的商機也大增。根據研究機構顧能預估，防駭的硬體、軟體、服務總市場規模，到二○二○年將達一千一百多億美元（約合新台幣三兆五千億元），較目前大增近四成，是整體科技業平均成長率的兩倍。吸引包括瑞銀（UBS）、摩根士丹利（Morgan Stanley）等大投銀建議加碼資安概念股。 華爾街知名投資銀行傑富瑞（Jefferies）最近發布了兩百頁大報告，點名Check Point、Mimecast、Splunk、Varonis Systems是四檔長期看好的資安概念股。追蹤三十多檔資安股的駭客ETF（HACK ETF）從去年二月起漲後，仍處於長線多頭走勢中。 台灣遭駭客攻擊全球最頻繁 八成中大型企業，一年內有資安事件 台灣更不能自外於這個趨勢，因為，台灣就是處於駭客活動的核心地帶！ 去年五月，交通部向立法院提出書面報告指出，台灣是駭客攻擊活動最頻繁的國家，甚至超越美、日、歐，駭客攻擊大多來自對岸，而入侵規模及深度已構成「準戰爭程度」。 曾任美國最大艦隊最高指揮官的海軍四星上將、現任資安公司FireEye資深副總裁的魏爾許（Patrick Walsh）認為，台灣之所以成為全球最容易受駭客攻擊的國家之一，因為處地緣政治關係緊張的區域，加上有舉足輕重的高科技產業，包括政府單位、電子業、金融業都常面臨威脅。根據FireEye統計，過去三年來，已發現有五個駭客組織、十三個進階威脅攻擊者鎖定台灣企業。FireEye的客戶群中，台灣客戶遭網路攻擊的頻率，在亞洲僅次於韓國。 不願具名的政府官員證實，民進黨贏得總統大選後，來自中國的駭客攻擊數量大增。FireEye發現，去年四月間民進黨官網遭駭客入侵，側錄造訪該網站的訪客資料，所使用的惡意程式與中國網路間諜組織有關。 為了迎戰更猛烈的駭客攻擊，去年底台灣駭客年會（HITCON）舉辦時，總統蔡英文喊出「資安就是國安」，表示已大幅提高政府組織裡負責資安的層級。行政院資安處處長簡宏偉表示，今年四月，行政院將把台灣首部《資通安全管理法》草案，列為優先法案送進立法院，力拚今年八月會期結束前能三讀通過，受規範的除了政府單位，還包括金融、通訊傳播、醫療、高科技、能源、水電等關鍵基礎行業。 《商業周刊》在訪談這篇報導，最讓我們憂心的發現是，根據《iThome》雜誌二○一六年資安調查，台灣的中大型企業，有高達八成曾於前一年發生資安事件。 雖然受調查的企業平均對資安投資較上一年增加一四．五％，金融業、服務業增幅更高，約達兩成水準。不過，增加資安投資，並不能保證能防範新形態資安攻擊。因為，駭客正隨著無人機、機器人技術的進展，開始擴展觸角，從線上進軍實體（online to offline）。 去年六月，臉書創辦人佐伯格（Mark Zuckerberg）在個人臉書頁分享了一張在辦公桌旁的留影，照片不經意洩漏出，他將個人筆電的鏡頭、麥克風全用膠帶封住，用最傳統的方式阻止駭客偷錄。因為，天才如他，也無法百分之百防範駭客無孔不入的攻擊。 「駭客永遠在找新的弱點，」洪偉淦說，不論是企業或個人，最好做足心理準備：一定有漏洞，一定會被駭。「駭客是活的，環境也是活的。」他說，面對物聯網、Fintech、自動化等科技，不應害怕，但防護必須與時俱進，務必做到，被駭時能將受損程度降到最低、將應變時間縮到最短，才能在與駭客的鬥智中勝出。