資安事件連環爆！數發部急開記者會　示警背後...

近期國內發生多起網路攻擊及個資外洩事件，從91APP、易遊網到忘品等，逾百萬份個人資料受到影響，部分事件涉及AI相關攻擊手法。數位發展部部長林宜敬指出，這波資安攻擊直接財損小，雖然沒有直接偷錢、勒索，但個資戶被賣給詐騙集團，更是傷害品牌商譽，背後間接財損金額恐怕相當龐大。

我是廣告請繼續往下閱讀 網路攻擊事件頻傳　AI掃描攻破各行各業

數位發展部今緊急召開記者會，說明近期AI網路攻擊趨勢、常見攻擊手法及資安防護重點，並呼籲企業強化資安管理並妥善處理個資外洩事件。同時提醒民眾提高警覺，慎防個資外洩衍生的二次詐騙，透過官方管道查證訊息，並善用兩步驟驗證等安全措施，共同提升數位安全意識。

林宜敬說，隨著AI發展，現在前緣AI模型可以尋找資安漏洞，並形成「擊殺鏈」變成一連串攻擊手法入侵系統。現在這波資安攻擊則是利用這個基礎，自動掃描全世界網站，我國近期資安事件、個資外洩等事件同樣是遭受此手法攻擊。

相同手法不僅是在我國橫行，資安署通報應變組長黃卓倫指出，日本包含委外廠商累積上百家企業受害，韓國也有上千家金融公司遭駭，造成47.3萬筆資料遭駭、10億元韓元被盜，法國日前也有冰櫃受害，攻擊範圍涉及各行各業。

幕後兇手「ARTEX」　API成重災區

針對台灣近期資安攻擊事件，黃卓倫說，目前已知個資外洩案件中，受害資料主要包括姓名、電話等個人資訊，尚未發現信用卡等金融資訊遭到外洩的情形。從受害案件分析，近半數攻擊與AI有關，駭客更結合ARTEX自動化滲透測試工具，提高尋找系統漏洞及發動攻擊的效率。

黃卓倫表示，常見攻擊方式多鎖定高風險熱點，受影響平台包括PHP、Node.js、GitHub等，其中API也是駭客攻擊的熱門目標，因為API能夠存取大量資料，部分甚至具有較高權限，一旦遭到入侵，造成的衝擊也會更大。

AI就像是協助駭客自動「找門、找鑰匙」，能夠加速尋找系統弱點。黃卓倫指出，若系統沒有導入簡訊或APP等第二重身分驗證機制，駭客就可能透過猜測密碼入侵帳號，甚至進一步連結其他系統。駭客也會鎖定企業尚未修補的舊漏洞，由於相關漏洞及修補方式早已公開，AI能快速撰寫攻擊程式，搜尋並攻擊尚未完成更新的網站。

企業搶先通知客戶　避免風險擴大

黃卓倫呼籲，遭遇資安事故的企業應搶在詐騙集團之前，主動通知客戶，不必等到所有調查工作結束才對外說明，而是應先確認可能受影響的範圍，清楚告知外洩資料類型，並提醒消費者哪些事情不會由公司要求，例如不會要求民眾操作ATM辦理退款等，同時也應通知相關委外平台，避免風險持續擴大。

黃卓倫也向企業強調，平時應落實個資蒐集最小化原則，只蒐集業務必要的資料，並訂定明確保存期限，期限屆滿後應刪除不再需要的個資；在資料管理方面，也應採取分開存放、加密及遮罩等措施，降低資料遭到竊取後的損害。

最後手段緊急3錦囊　資安院院長給企業建議

針對企業遭受攻擊，資安院院長龔化中給予企業緊急應變措施建議，在短時間立刻減少風險。第一，緊急降低系統曝險程度，針對API攻擊，建議企業暫時關閉閒置或非必要系統，這是緊急情況下不得已的措施；若風險持續擴大，最徹底的緩解方式就是暫時關閉所有外網連線。

再者，龔化中表示，請企業進行全部強制登出並更換密碼。雖然二次驗證具有一定防護效果，但若駭客已取得相關驗證憑證，仍可能繞過防護，因此不能只依賴二次驗證。最後，若企業來不及完成最小資料存取並加密，至少必須加強資料庫監控，一旦發現大量異常存取，應立即發出警示並阻斷存取。

企業遭駭後必做三件事
數產署副署長黃雅萍表示，資安事故發生後，接下來往往就會衍生個資外洩問題。目前受到影響的品牌涵蓋服飾、食品、寵物用品及生活用品等產業，民眾後續可能因此收到釣魚郵件或詐騙訊息。業者必須配合三項作為：

第一72小時內通報主管機關：業者應於法定期限內通知主管機關，並配合後續行政檢查。
第二主動通知消費者並提供查詢管道：確保消費者不會因個資外洩而進一步遭到詐騙，主動告知事故發生原因及可能外洩的資料類型，提醒民眾留意後續可能收到的可疑電子郵件或簡訊，不要點擊不明連結，同時應提供聯繫管道，讓消費者能向品牌業者確認相關資訊。
第三查明事故原因並完成漏洞修補：最重要的是企業必須進一步調查個資外洩原因，找出系統漏洞並完成修補。

▲數產署副署長黃雅萍。（圖／記者李青縈攝）