AI自動掃描擴大攻擊 各行各業受波及
數位發展部部長林宜敬表示，近期國內發生多起網路攻擊及個資外洩事件，從91APP、易遊網到忘品等，逾百萬份個人資料受到影響，部分事件涉及AI相關攻擊手法。這波攻擊直接財損小，雖然沒有直接偷錢、勒索，但個資戶被賣給詐騙集團，更是傷害品牌商譽，背後間接財損金額恐怕相當龐大。數位發展部緊急召開記者會，說明近期AI網路攻擊趨勢、常見攻擊手法及資安防護重點，並呼籲企業強化資安管理並妥善處理個資外洩事件，同時提醒民眾提高警覺，慎防二次詐騙，透過官方管道查證訊息，並善用兩步驟驗證等安全措施。
前緣模型尋找漏洞形成擊殺鏈
林宜敬說，隨著AI發展，現在前緣AI模型可以尋找資安漏洞，並形成擊殺鏈變成一連串攻擊手法入侵系統。現在這波資安攻擊則是利用這個基礎，自動掃描全世界網站，我國近期資安事件、個資外洩等事件同樣是遭受此手法攻擊。資安署通報應變組長黃卓倫指出，相同手法不僅在我國橫行，日本包含委外廠商累積上百家企業受害，韓國也有上千家金融公司遭駭，造成47.3萬筆資料遭駭、10億元韓元被盜，法國日前也有冰櫃受害，攻擊範圍涉及各行各業，顯示AI掃描已攻破各行各業的防線。
ARTEX工具加速入侵 API成重災區
針對台灣近期資安攻擊事件，黃卓倫說，目前已知個資外洩案件中，受害資料主要包括姓名、電話等個人資訊，尚未發現信用卡等金融資訊遭到外洩的情形。從受害案件分析，近半數攻擊與AI有關，駭客更結合ARTEX自動化滲透測試工具，提高尋找系統漏洞及發動攻擊的效率。常見攻擊方式多鎖定高風險熱點，受影響平台包括PHP、Node.js、GitHub等，其中API也是駭客攻擊的熱門目標，因為API能夠存取大量資料，部分甚至具有較高權限，一旦遭到入侵，造成的衝擊也會更大。AI就像是協助駭客自動找門、找鑰匙，能夠加速尋找系統弱點。若系統沒有導入簡訊或APP等第二重身分驗證機制，駭客就可能透過猜測密碼入侵帳號，甚至進一步連結其他系統。駭客也會鎖定企業尚未修補的舊漏洞，由於相關漏洞及修補方式早已公開，AI能快速撰寫攻擊程式，搜尋並攻擊尚未完成更新的網站。
部會提應變三招 籲搶先通知客戶
黃卓倫呼籲，遭遇資安事故的企業應搶在詐騙集團之前，主動通知客戶，不必等到所有調查工作結束才對外說明，而是應先確認可能受影響的範圍，清楚告知外洩資料類型，並提醒消費者哪些事情不會由公司要求，例如不會要求民眾操作ATM辦理退款等，同時也應通知相關委外平台，避免風險持續擴大。企業平時應落實個資蒐集最小化原則，只蒐集業務必要的資料，並訂定明確保存期限，期限屆滿後應刪除不再需要的個資，在資料管理方面，也應採取分開存放、加密及遮罩等措施。資安院院長龔化中建議，第一是緊急降低系統曝險程度，暫時關閉閒置或非必要系統，若風險持續擴大，最徹底的緩解方式就是暫時關閉所有外網連線，第二是進行全部強制登出並更換密碼，不能只依賴二次驗證，第三是加強資料庫監控，一旦發現大量異常存取，應立即發出警示並阻斷存取。數產署副署長黃雅萍表示，目前受影響品牌涵蓋服飾、食品、寵物用品及生活用品等產業，業者必須配合三項作為，包括72小時內通報主管機關並配合行政檢查，主動通知消費者並提供查詢管道，提醒留意可疑郵件或簡訊、不要點擊不明連結，以及查明事故原因並完成漏洞修補。