匯話連篇｜ForexTalks Daily

台灣企業資安危機：勒索軟體與國家級威脅的雙重夾擊與應對之道

你是否曾經想過，你的公司或你每天使用的服務，可能正遭受來自世界各地的隱形攻擊？近年來，台灣企業正遭受前所未有的網路安全威脅，從勒索軟體集團的頻繁攻擊到國家級行為者的隱匿滲透，資安事件已不再是單純的技術問題，而是攸關企業營運存續、商譽與全球供應鏈穩定的嚴峻挑戰。本文將深入探討當前台灣企業面臨的主要資安威脅態勢，解析攻擊手法的演進，並提出有效應對的策略建議，以期協助企業從被動防守邁向主動智慧防禦的新時代。

台灣企業面臨的資安挑戰主要涵蓋以下幾個面向：

• 勒索軟體集團的頻繁攻擊。
• 國家級行為者的隱匿滲透。
• 企業營運存續與商譽受損的風險。
• 全球供應鏈穩定性的衝擊。

勒索軟體風暴席捲台灣：高價值產業成標靶

近年來，勒索軟體攻擊事件在台灣可說是層出不窮，而且攻擊手法與目標選擇也越來越精準。過去，勒索軟體可能只是隨機廣撒，但現在，許多集團已經轉向針對特定、高價值的產業進行「精準滲透」。例如，Qilin（麒麟）/Agenda、NightSpire、SpaceBears、RALord 和 CrazyHunter 等勒索軟體集團，都將台灣的製造業、醫療院所、資服業者、餐飲連鎖品牌等視為攻擊目標。

我們看到這些攻擊者不再僅僅滿足於癱瘓系統，他們更看重竊取大量敏感資料。想像一下，如果你的設計圖、報價單、客戶資料，甚至醫療影像和電子病歷都被偷走，然後被公開在暗網上，這對企業的商譽和營運將是多大的打擊？這些勒索集團透過加密企業系統，並威脅公開這些敏感資料來施加「雙重勒索」壓力，讓受害企業幾乎沒有退路。

• NightSpire：特別針對亞太地區，攻擊日系電子製造商、保險業者、長慎醫院等醫療院所。他們利用 Fortinet 零日漏洞 CVE-2024-55591，攻擊手法具侵略性，付款期限極短。
• SpaceBears：已公開攻擊台灣 CRM 系統大廠與平面顯示器大廠，顯示其對高價值、數位依賴度高的產業有策略性滲透計畫。
• Qilin（麒麟）/Agenda：具有俄語背景的「勒索軟體即服務」（RaaS）模式，這代表駭客組織可以租賃其勒索軟體工具，讓更多人可以發動攻擊。他們曾成功入侵南韓 SK 集團，台灣鋼鐵業大廠與知名光電元件製造商也深受其害。
• CrazyHunter：攻擊台灣上市健身器材製造商，加密了網域控制站及內部系統，更惡劣的是，他們還刪除 NAS、VMware、Veeam 等備份數據，竊取 3TB 機密資料，讓企業恢復更困難。

以下表格概述了幾個近期活躍的勒索軟體集團及其主要特徵：

這些事件都證明，勒索軟體已經不再是「碰運氣」的攻擊，而是有明確目標、高度組織化、且戰術不斷升級的商業犯罪模式。那麼，除了這些勒索軟體集團，還有哪些更隱形的威脅呢？

國家級威脅的隱匿戰術：邊界設備與關鍵基礎設施的漏洞利用

除了追求金錢利益的勒索軟體集團，台灣企業還面臨來自國家級威脅行為者的挑戰。這些國家級駭客組織通常擁有更精密的技術、更充足的資源，且攻擊目的往往涉及地緣政治、情報竊取或關鍵基礎設施的破壞。他們擅長利用企業的「邊界設備」作為入侵點，也就是那些連接公司內部網路與外部網際網路的裝置，例如 VPN（虛擬私人網路）和防火牆。

其中，DslogdRAT 與 UNC5174（被認為是中國政府支持的駭客組織）就是典型的例子。他們會利用 Ivanti Connect Secure VPN 裝置或 Fortinet 防火牆等設備的「零時差漏洞」（Zero-day vulnerability，指尚未被公開或修補的漏洞），神不知鬼不覺地潛入企業網路。這些攻擊的特點是：

• 高度隱蔽性：例如 DslogdRAT 設計成多程序、多執行緒，模仿 Linux 系統內建的背景程序，並利用 XOR 編碼加密與指揮控制伺服器（C2）的通訊，讓資安系統難以察覺。他們的作業時段甚至會限制在每日 08:00 到 14:00，以融入正常的流量模式。
• 利用開源與自開發工具：UNC5174 則會利用開源工具（如 VShell）、自行開發的 Linux 惡意軟體 (Snowlight) 及 C2 模組 (Silver)，並透過 WebSockets 作為 C2 通道，大幅提升隱匿性。
• 長期潛伏：這些國家級行為者通常不急於勒索金錢，而是會長期潛伏在目標網路中，蒐集情報、建立後門，為未來的攻擊或間諜活動做準備。他們瞄準的目標包括政府單位、研究機構、智庫、高科技產業及關鍵基礎設施，顯示其戰略意圖深遠。

這些國家級駭客組織的攻擊目的通常涉及多重戰略考量：

• 竊取國家機密與敏感情報。
• 進行地緣政治影響與網路間諜活動。
• 破壞或癱瘓關鍵基礎設施。
• 在衝突發生前建立潛伏後門。

面對這樣的隱形威脅，企業的邊界防禦就像是國家的邊境，一旦被突破，後果將不堪設想。因此，持續更新系統、修補漏洞，並部署更進階的威脅偵測工具，變得刻不容緩。

攻擊手法的演進：雙重勒索與合法工具濫用的複合性威脅

現代網路攻擊已經不再是單一手段，而是像一套精心設計的「攻擊鏈」，結合多種戰術、技術與程序（TTPs），讓傳統的資安防禦難以應對。讓我們來拆解一下駭客的常用手法：

1. 初始入侵 (Initial Access)：這就像是駭客闖入你家大門的第一步。他們可能透過「釣魚郵件」讓你點擊惡意連結，利用「社交工程」騙取你的帳號密碼，或者直接購買暗網上洩露的內部憑證。最常見也最危險的，是利用企業暴露在外的邊界設備漏洞，例如 VPN、防火牆、遠端桌面協議（RDP）的「零時差漏洞」（例如 Ivanti Connect Secure VPN 的 CVE-2025-0282、Fortinet 的 CVE-2024-55591）或已知漏洞（如 Citrix Bleed CVE-2023-4966）。
2. 橫向移動與權限提升 (Lateral Movement & Privilege Escalation)：一旦進入內部網路，駭客會像間諜一樣，尋找機會擴大影響範圍。他們會利用合法系統管理工具，如 PsExec、WMI、PowerShell 腳本，或是惡意工具 Mimikatz 竊取更多帳號密碼，甚至利用 Active Directory (AD) 群組原則 (GPO) 的漏洞 (SharpGPOAbuse)，在短時間內快速散佈惡意軟體到整個組織，例如 CrazyHunter 就曾濫用 AD GPO。
3. 資料竊取與雙重勒索 (Data Exfiltration & Double Extortion)：在最終加密系統之前，駭客通常會先竊取企業最機敏的資料，包括設計圖、報價單、財務報表、人資資料、客戶名單，甚至是醫療影像和電子病歷。他們會使用 WinSCP、MEGACmd、內建 FTP，甚至透過 Tor 或 MEGA 等匿名管道將這些資料外傳。這就是「雙重勒索」的核心：即使企業有備份可以恢復系統，駭客仍然會威脅公開這些敏感資料來逼迫企業支付贖金。有些攻擊者甚至會刻意刪除或銷毀備份數據，讓企業陷入更絕望的境地。
4. 規避防禦 (Defense Evasion)：為了不被發現，駭客會用盡各種方法。例如，使用「無檔案型惡意程式」避免留下硬碟痕跡；讓惡意程式偽裝成正常的系統程序；利用 XOR 加密 C2 通訊；甚至將攻擊活動融入正常營運時段，讓行為分析工具難以辨識。

現代駭客攻擊通常遵循一套有組織的攻擊鏈，以下表格歸納了各階段的常見手法：

這套複雜的攻擊鏈，要求企業的資安防禦必須是多層次且主動的，而不是單點式的被動防守。

台灣產業的資安脆弱點：供應鏈風險與防禦瓶頸

台灣在全球供應鏈中扮演著舉足輕重的角色，特別是在高科技製造、半導體、電子零組件等領域。然而，這也讓台灣企業成為駭客眼中高價值的攻擊目標，並且暴露出一些資安上的脆弱點：

• 中小企業資安資源有限：台灣有大量的中小企業，它們往往缺乏足夠的資安預算、專業人才和完善的資安管理制度。許多中小企業可能連基本的資產盤點、漏洞修補都無法即時完成，使得它們成為駭客輕易入侵的跳板。
• 供應鏈連動效應：許多大型企業的資安防護可能較完善，但駭客可以透過攻擊其供應鏈中的中小企業，再「跳板」進入大型企業。例如，攻擊一家規模較小的零件供應商，竊取其客戶名單或設計圖，進而影響到最終的大廠。這種「供應鏈攻擊」讓防禦的難度大大增加。
• 邊界防禦與內網監控破口：許多企業過於依賴傳統的邊界防禦，例如防火牆。但一旦駭客利用零時差漏洞突破邊界，進入內網後，若缺乏有效的內網監控（如端點偵測與回應 (EDR) 或擴展式偵測與回應 (XDR)），駭客就能在內部自由移動，難以被發現。
• 漏洞修補不及：面對層出不窮的新漏洞，許多企業無法快速反應並套用修補程式。我們看到 Ivanti Connect Secure VPN 或 Fortinet 防火牆的漏洞一再被利用，這就是最好的證明。

這些脆弱點導致台灣產業面臨多重風險：

• 資料外洩與智慧財產權遭竊。
• 營運中斷與鉅額的恢復成本。
• 品牌形象受損與客戶信任流失。
• 法律與法規遵循的挑戰。

這些資安脆弱點使得台灣產業在面對不斷演進的勒索軟體和國家級威脅時，顯得力不從心。我們必須意識到，資安防護不再是可有可無的成本，而是企業持續營運的關鍵投資。

邁向主動防禦：欺敵誘捕與零信任架構的資安新策略

面對日益複雜且隱匿的網路威脅，企業的資安防禦思維必須從「被動防守」轉向「主動出擊」。這不僅僅是技術層面的升級，更是一種策略性的轉變。以下是一些關鍵的防禦策略：

為了有效應對當前威脅，企業需將資安防禦從傳統模式升級為更為主動的策略：

1. 強化基礎資安韌性：
   • 立即更新系統與修補漏洞：這是最基本也最重要的，針對 Ivanti、Fortinet 等已知漏洞，務必在第一時間套用修補程式。
   • 部署多因素驗證（MFA）：特別是針對 VPN、管理介面等高風險存取點，強制使用 MFA 可以大幅降低憑證被竊取的風險。
   • 導入 EDR/XDR：傳統的防毒軟體已經不足夠。端點偵測與回應 (EDR) 或擴展式偵測與回應 (XDR) 能夠透過行為分析，即時偵測並回應可疑活動，突破傳統特徵碼防禦的限制。
   • 實施不可變備份與異地備援：確保關鍵資料有「不可變更」的備份副本，並存放在異地，即使遭遇勒索攻擊，也能迅速恢復業務，避免被駭客刪除備份。
   • 定期資安演練與事件回應計畫：模擬勒索攻擊情境，測試企業的應變能力，並制定完整的公關聲明與恢復流程，才能在真實事件發生時，從容應對。
2. 導入主動式智慧防禦：
   • 欺敵誘捕技術（Deception Technology）：這是一項「讓駭客成為獵物」的創新技術。企業可以設置虛假的帳號、檔案、伺服器或網路服務作為「誘餌」。當駭客嘗試入侵這些誘餌時，系統會立即發出警報，並捕捉攻擊者的行為軌跡，讓企業在駭客滲透初期就能發現並反制。這就像在你的房子裡設置了許多假的金庫，一旦小偷碰觸，警鈴就會大作，你知道他從哪裡進來，想偷什麼。
   • 零信任架構（Zero Trust Architecture）：打破「信任內部、不信任外部」的傳統觀念。在零信任原則下，無論是內部或外部的使用者或設備，在每次存取資源時，都必須經過嚴格的身份驗證與授權。這能有效限制駭客在內網中的「橫向移動」，即使部分系統被攻破，也能阻止其進一步擴散。
   • 強化網路分段與通訊限制：將企業網路劃分成多個獨立的區段，並限制不同區段之間的通訊。例如，嚴格限制 VPN 裝置與關鍵資料庫之間的橫向通訊，一旦 VPN 被入侵，駭客也無法輕易到達核心資產。

這些策略的導入，將能幫助台灣企業從過去被動挨打的局面，轉為主動出擊，構築更堅固的資安防線。

結語：提升資安韌性，從容應對數位挑戰

勒索軟體與國家級網路攻擊的威脅將持續演化，台灣企業必須將資安視為營運持續計畫與治理框架的核心要素。這不僅需要技術層面的提升，更需要全員資安意識的強化與主動防禦策略的導入。唯有持續監控威脅態勢，善用如欺敵誘捕等創新技術，並建立快速應變機制，方能有效降低入侵風險，保障企業核心資產與民眾信任，從容應對數位時代的資安挑戰。

免責聲明：本文所提供之資訊僅供教育與知識性說明用途，不構成任何財務、投資或資安建議。讀者應自行評估風險，並尋求專業資安顧問協助。

常見問題（FAQ）

Q：台灣企業目前面臨的主要資安威脅有哪些？

A：台灣企業主要面臨勒索軟體集團的頻繁攻擊，以及國家級行為者的隱匿滲透，這兩者對企業的營運存續、商譽與全球供應鏈穩定構成嚴重威脅。

Q：什麼是「雙重勒索」手法？

A：雙重勒索是指駭客在加密企業系統後，不僅要求贖金以解密資料，還會竊取敏感資料並威脅將其公開，以施加額外壓力迫使企業支付贖金。

Q：企業如何從傳統的被動防禦轉向主動智慧防禦？

A：企業可以透過導入欺敵誘捕技術來主動偵測駭客行為、實施零信任架構以限制橫向移動，並強化基礎資安韌性，例如立即修補漏洞、部署多因素驗證、導入EDR/XDR等，以建立更堅固的防線。