AI自动扫描扩大攻击 各行各业受波及
数字发展部部长林宜敬表示，近期国内发生多起网络攻击及个资外泄事件，从91APP、易游网到忘品等，逾百万份个人资料受到影响，部分事件涉及AI相关攻击手法。这波攻击直接财损小，虽然没有直接偷钱、勒索，但个资户被卖给诈骗集团，更是伤害品牌商誉，背后间接财损金额恐怕相当庞大。数字发展部紧急召开记者会，说明近期AI网络攻击趋势、常见攻击手法及资安防护重点，并呼吁企业强化资安管理并妥善处理个资外泄事件，同时提醒民众提高警觉，慎防二次诈骗，透过官方管道查证讯息，并善用两步骤验证等安全措施。
前缘模型寻找漏洞形成击杀链
林宜敬说，随着AI发展，现在前缘AI模型可以寻找资安漏洞，并形成击杀链变成一连串攻击手法入侵系统。现在这波资安攻击则是利用这个基础，自动扫描全世界网站，我国近期资安事件、个资外泄等事件同样是遭受此手法攻击。资安署通报应变组长黄卓伦指出，相同手法不仅在我国横行，日本包含委外厂商累积上百家企业受害，韩国也有上千家金融公司遭骇，造成47.3万笔资料遭骇、10亿元韩元被盗，法国日前也有冰柜受害，攻击范围涉及各行各业，显示AI扫描已攻破各行各业的防线。
ARTEX工具加速入侵 API成重灾区
针对台湾近期资安攻击事件，黄卓伦说，目前已知个资外泄案件中，受害资料主要包括姓名、电话等个人信息，尚未发现信用卡等金融信息遭到外泄的情形。从受害案件分析，近半数攻击与AI有关，骇客更结合ARTEX自动化渗透测试工具，提高寻找系统漏洞及发动攻击的效率。常见攻击方式多锁定高风险热点，受影响平台包括PHP、Node.js、GitHub等，其中API也是骇客攻击的热门目标，因为API能够存取大量资料，部分甚至具有较高权限，一旦遭到入侵，造成的冲击也会更大。AI就像是协助骇客自动找门、找钥匙，能够加速寻找系统弱点。若系统没有导入简讯或APP等第二重身份验证机制，骇客就可能透过猜测密码入侵账号，甚至进一步连结其他系统。骇客也会锁定企业尚未修补的旧漏洞，由于相关漏洞及修补方式早已公开，AI能快速撰写攻击程序，搜寻并攻击尚未完成更新的网站。
部会提应变三招 吁抢先通知客户
黄卓伦呼吁，遭遇资安事故的企业应抢在诈骗集团之前，主动通知客户，不必等到所有调查工作结束才对外说明，而是应先确认可能受影响的范围，清楚告知外泄资料类型，并提醒消费者哪些事情不会由公司要求，例如不会要求民众操作ATM办理退款等，同时也应通知相关委外平台，避免风险持续扩大。企业平时应落实个资搜集最小化原则，只搜集业务必要的资料，并订定明确保存期限，期限届满后应删除不再需要的个资，在资料管理方面，也应采取分开存放、加密及遮罩等措施。资安院院长龚化中建议，第一是紧急降低系统曝险程度，暂时关闭闲置或非必要系统，若风险持续扩大，最彻底的缓解方式就是暂时关闭所有外网连线，第二是进行全部强制登出并更换密码，不能只依赖二次验证，第三是加强数据库监控，一旦发现大量异常存取，应立即发出警示并阻断存取。数产署副署长黄雅萍表示，目前受影响品牌涵盖服饰、食品、宠物用品及生活用品等产业，业者必须配合三项作为，包括72小时内通报主管机关并配合行政检查，主动通知消费者并提供查询管道，提醒留意可疑邮件或简讯、不要点击不明连结，以及查明事故原因并完成漏洞修补。