回顧2016、2017年期間，稱得上是資安的多事之秋，就算缺乏IT背景的一般普羅大眾，可能都對喧騰一時的ATM盜領、證券商集體遭DDoS(分散式阻斷服務)攻擊勒索，及WannaCry勒索蠕蟲等等事件朗朗上口。相形之下，2018年至今已過大半，表面看來，除了歐盟GDPR、***資通安全管理法等新的法遵議題外，似乎未出現(xiàn)令一般人高度關注的焦點事件，也許有人因而認為，專家們苦口婆心提醒注意的資安問題，其實不像預期般嚴重。

持平而論，對政府或企業(yè)等組織而言，與黑客的對抗是一場無休止的戰(zhàn)爭，不管臺面上的漣漪是大或小，可以肯定的是，臺面下必定暗潮洶涌，黑客會默默觀察人們的應用情境變化，仔細思索新的切入機會、新的攻擊武器、新的獲利模式，適時發(fā)動奇襲。換言之不管當下氛圍的演變?yōu)楹?，防守方都沒有掉以輕心的理由，更何況現(xiàn)在大家正如火如荼迎接物聯(lián)網(wǎng)(IoT)、人工智能(AI)、工業(yè)4.0等等新世代，舉世萬物無論是IT、OT(操作科技)乃至一般民生消費應用，十之八九都將連網(wǎng)，意謂黑客的發(fā)揮舞臺只會愈來愈寬廣、而非限縮，政府與企業(yè)皆應嚴陣以待。

資安專家預期，令不少企業(yè)為之恐懼的勒索軟件，今后仍將持續(xù)進化，變得更加難以預防，因此企業(yè)必須認真思索勒索病毒威脅的因應之道。

況且事實上，2018年的信息安全世界，也絕對稱不上平靜無波；單單在上半年，便有不少值得密切關注的事件。

路由器接連遭駭，凸顯IoT安全風險

首先是層出不窮的路由器攻擊事件。5月期間，某家***品牌的路由器驚傳遭駭，肇因于韌體上的漏洞，被竄改DNS設定，可將用戶導向黑客掌控的惡意DNS服務器，藉此收集用戶的憑證；到了6月，相關事件愈演愈烈，先是驚傳多家廠牌的路由器遭受VPNFilter感染，以及Prowli惡意采礦活動肆虐，此后還有號稱Mirai的變種「Satori」新殭尸病毒現(xiàn)身，讓許多路由器受害。

上述攻擊事件情節(jié)不一，災害程度也不同，例如Satori會入侵你的路由器，輾轉控制大量IoT裝置，繼而取得DDoS攻擊火力；Prowli會在被駭設備上植入采礦程序，從而將合法網(wǎng)站的流量導至惡意網(wǎng)站，讓黑客可出售流量、達到盈利目的；至于VPNFilter會把HTTPS加密傳輸降級為HTTP，抹除攻擊蹤跡，讓黑客好整以暇進行諸如Rootkit、竊資等惡意活動。以受害者自身立場來看，VPNFilter的嚴重性顯然最高。

但無論如何，這些攻擊活動的矛頭，都不約而同指向路由器，意謂隨著人們上網(wǎng)時間愈來愈長，且連網(wǎng)裝置愈趨多元化，黑客體認到與其瞄準一般人未必長時間使用的個人計算機做攻擊，不如直接針對路由器下手，如此一來不管你的連網(wǎng)裝置為何，通通難逃他的魔掌；這般惡意行為的后續(xù)發(fā)展脈絡，相當值得審慎觀察。

其次是某大知名訂房系統(tǒng)遭駭，其服務器被植入惡意程序，導致業(yè)者在全球的飯店客戶一起遭殃，有10余萬名住客的個資遭竊；其實在這起事件的不到一個月前，就已出現(xiàn)頗受矚目的個資竊盜事件，受駭對象是兩家加拿大的銀行，不過情節(jié)稍有不同，因為黑客另外還搭配勒索行為，揚言如果銀行不支付贖金，就會把大量客戶個資公諸于世，據(jù)網(wǎng)絡防御AI公司Darktrace的研究人員研判，黑客有可能是利用魚叉式網(wǎng)釣攻擊(Spear Phishing)手法攻進這些銀行的系統(tǒng)。

接下來所談的攻擊事件，苦主一樣是銀行。繼過去轟動一時的孟加拉央行、***遠東銀行等SWIFT遇駭事件后，SWIFT攻擊再度發(fā)生，對象是智利的Banco de Chile、馬來西亞央行，但兩者結局不同，前者因而損失1千萬美元，后者在察覺疑似有SWIFT外匯轉帳的異狀發(fā)生后，隨即啟動風險控制措施，未讓黑客得逞。

但問題來了，看似應該固若金湯的交易接連失守，且以今年的兩起個案來看，癥結都在于先有員工計算機遭入侵，才讓黑客建立灘頭堡，有機會藉由銀行內網(wǎng)的橫向擴散，朝向SWIFT系統(tǒng)步步進逼；足以顯示，其實銀行與一般其它企業(yè)、甚至政府機關應當有所體認，現(xiàn)今單靠傳統(tǒng)閘道式防御，很難把黑客阻絕于大門之外，因此必須拋開100%有效預防這種不切實際的想法，轉而做好自己一定被駭?shù)那疤峒僭O，認真思索應該如何強化內網(wǎng)安全偵測與應變能力，才是正解。

GDPR助攻黑客，竟淪為勒索題材

另不容忽略的重大資安課題，便是GDPR法遵。現(xiàn)在大多數(shù)人應該都知道，已在今年5月25日正式上路的該法，堪稱是有史以來最嚴苛的個資保護規(guī)則，不僅對于敏感性個資的定義范圍甚為廣泛(例如包含IP位址、Cookie)，且形成觸法的可能性很多，比方說因為個資保護不力而致惡意的第三方竊取，使用歐盟公民個資但已脫離當初約定目的，未配合處理個資持有人主張的遺忘(刪除)、可攜或更正等應有權利，縱使個資未外泄但安全防護的水平欠佳或未完善保存?zhèn)€資的使用記錄，以及一旦爆發(fā)個資外泄資安事件、未能在規(guī)定的72小時內通報主管機關及因事件受害的當事人，只要踩到這些地雷，都可能被認為違法。

更可怕的是，萬一被歐盟當局認定違反GDPR，倘若情節(jié)重大，最高可能被裁處2千萬歐元(約新臺幣7.2億元)、抑或年度全球營業(yè)總額4%的巨額罰款，罰則之重不僅為全球其它類似法案所罕見，且依***多數(shù)企業(yè)皆偏向中小型規(guī)模的現(xiàn)實而論，只要不慎挨罰，絕對會嚴重到動搖國本，萬萬不能不當一回事。

在此前提下，許多資安業(yè)者在最近一年多時間，紛紛以GDPR法遵為主題，舉辦多次研討會或論壇，意在提醒與歐盟有較多生意往來的企業(yè)，必須及早從技術面、管理流程面、組織架構面、甚或企業(yè)文化面著手，傾全力做好必要的個資盤點工作，從而針對不足之處，積極強化個資保護機制。

有趣的是，GDPR話題的延燒，也意外給予黑客莫大靈感，進而釀成讓企業(yè)哭笑不得的事件。比方說不久前有一家保加利亞的資安廠商Tad Group，揭露一種名為Ransomhack的新式勒索攻擊，黑客不像以前入侵后執(zhí)行檔案加密，而是玩得更大，竊走企業(yè)個資后進行勒索，揚言企業(yè)若拒不支付贖金，就公開這些個資內容，讓該企業(yè)因而吃上歐盟的巨額罰鍰。

基于前述種種事件，顯見黑客攻擊不僅未銷聲匿跡，反而入侵手法更見細膩、獲利模式更見高明，企業(yè)唯有不斷加強防御，才能明哲保身。