回顧2016、2017年期間，稱得上是資安的多事之秋，就算缺乏IT背景的一般普羅大眾，可能都對喧騰一時的ATM盜領、證券商集體遭DDoS(分散式阻斷服務)攻擊勒索，及WannaCry勒索蠕蟲等等事件朗朗上口。相形之下，2018年至今已過大半，表面看來，除了歐盟GDPR、***資通安全管理法等新的法遵議題外，似乎未出現令一般人高度關注的焦點事件，也許有人因而認為，專家們苦口婆心提醒注意的資安問題，其實不像預期般嚴重。

持平而論，對政府或企業等組織而言，與黑客的對抗是一場無休止的戰爭，不管臺面上的漣漪是大或小，可以肯定的是，臺面下必定暗潮洶涌，黑客會默默觀察人們的應用情境變化，仔細思索新的切入機會、新的攻擊武器、新的獲利模式，適時發動奇襲。換言之不管當下氛圍的演變為何，防守方都沒有掉以輕心的理由，更何況現在大家正如火如荼迎接物聯網(IoT)、人工智能(AI)、工業4.0等等新世代，舉世萬物無論是IT、OT(操作科技)乃至一般民生消費應用，十之八九都將連網，意謂黑客的發揮舞臺只會愈來愈寬廣、而非限縮，政府與企業皆應嚴陣以待。

資安專家預期，令不少企業為之恐懼的勒索軟件，今后仍將持續進化，變得更加難以預防，因此企業必須認真思索勒索病毒威脅的因應之道。

況且事實上，2018年的信息安全世界，也絕對稱不上平靜無波；單單在上半年，便有不少值得密切關注的事件。

路由器接連遭駭，凸顯IoT安全風險

首先是層出不窮的路由器攻擊事件。5月期間，某家***品牌的路由器驚傳遭駭，肇因于韌體上的漏洞，被竄改DNS設定，可將用戶導向黑客掌控的惡意DNS服務器，藉此收集用戶的憑證；到了6月，相關事件愈演愈烈，先是驚傳多家廠牌的路由器遭受VPNFilter感染，以及Prowli惡意采礦活動肆虐，此后還有號稱Mirai的變種「Satori」新殭尸病毒現身，讓許多路由器受害。

上述攻擊事件情節不一，災害程度也不同，例如Satori會入侵你的路由器，輾轉控制大量IoT裝置，繼而取得DDoS攻擊火力；Prowli會在被駭設備上植入采礦程序，從而將合法網站的流量導至惡意網站，讓黑客可出售流量、達到盈利目的；至于VPNFilter會把HTTPS加密傳輸降級為HTTP，抹除攻擊蹤跡，讓黑客好整以暇進行諸如Rootkit、竊資等惡意活動。以受害者自身立場來看，VPNFilter的嚴重性顯然最高。

但無論如何，這些攻擊活動的矛頭，都不約而同指向路由器，意謂隨著人們上網時間愈來愈長，且連網裝置愈趨多元化，黑客體認到與其瞄準一般人未必長時間使用的個人計算機做攻擊，不如直接針對路由器下手，如此一來不管你的連網裝置為何，通通難逃他的魔掌；這般惡意行為的后續發展脈絡，相當值得審慎觀察。

其次是某大知名訂房系統遭駭，其服務器被植入惡意程序，導致業者在全球的飯店客戶一起遭殃，有10余萬名住客的個資遭竊；其實在這起事件的不到一個月前，就已出現頗受矚目的個資竊盜事件，受駭對象是兩家加拿大的銀行，不過情節稍有不同，因為黑客另外還搭配勒索行為，揚言如果銀行不支付贖金，就會把大量客戶個資公諸于世，據網絡防御AI公司Darktrace的研究人員研判，黑客有可能是利用魚叉式網釣攻擊(Spear Phishing)手法攻進這些銀行的系統。

接下來所談的攻擊事件，苦主一樣是銀行。繼過去轟動一時的孟加拉央行、***遠東銀行等SWIFT遇駭事件后，SWIFT攻擊再度發生，對象是智利的Banco de Chile、馬來西亞央行，但兩者結局不同，前者因而損失1千萬美元，后者在察覺疑似有SWIFT外匯轉帳的異狀發生后，隨即啟動風險控制措施，未讓黑客得逞。

但問題來了，看似應該固若金湯的交易接連失守，且以今年的兩起個案來看，癥結都在于先有員工計算機遭入侵，才讓黑客建立灘頭堡，有機會藉由銀行內網的橫向擴散，朝向SWIFT系統步步進逼；足以顯示，其實銀行與一般其它企業、甚至政府機關應當有所體認，現今單靠傳統閘道式防御，很難把黑客阻絕于大門之外，因此必須拋開100%有效預防這種不切實際的想法，轉而做好自己一定被駭的前提假設，認真思索應該如何強化內網安全偵測與應變能力，才是正解。

GDPR助攻黑客，竟淪為勒索題材

另不容忽略的重大資安課題，便是GDPR法遵。現在大多數人應該都知道，已在今年5月25日正式上路的該法，堪稱是有史以來最嚴苛的個資保護規則，不僅對于敏感性個資的定義范圍甚為廣泛(例如包含IP位址、Cookie)，且形成觸法的可能性很多，比方說因為個資保護不力而致惡意的第三方竊取，使用歐盟公民個資但已脫離當初約定目的，未配合處理個資持有人主張的遺忘(刪除)、可攜或更正等應有權利，縱使個資未外泄但安全防護的水平欠佳或未完善保存個資的使用記錄，以及一旦爆發個資外泄資安事件、未能在規定的72小時內通報主管機關及因事件受害的當事人，只要踩到這些地雷，都可能被認為違法。

更可怕的是，萬一被歐盟當局認定違反GDPR，倘若情節重大，最高可能被裁處2千萬歐元(約新臺幣7.2億元)、抑或年度全球營業總額4%的巨額罰款，罰則之重不僅為全球其它類似法案所罕見，且依***多數企業皆偏向中小型規模的現實而論，只要不慎挨罰，絕對會嚴重到動搖國本，萬萬不能不當一回事。

在此前提下，許多資安業者在最近一年多時間，紛紛以GDPR法遵為主題，舉辦多次研討會或論壇，意在提醒與歐盟有較多生意往來的企業，必須及早從技術面、管理流程面、組織架構面、甚或企業文化面著手，傾全力做好必要的個資盤點工作，從而針對不足之處，積極強化個資保護機制。

有趣的是，GDPR話題的延燒，也意外給予黑客莫大靈感，進而釀成讓企業哭笑不得的事件。比方說不久前有一家保加利亞的資安廠商Tad Group，揭露一種名為Ransomhack的新式勒索攻擊，黑客不像以前入侵后執行檔案加密，而是玩得更大，竊走企業個資后進行勒索，揚言企業若拒不支付贖金，就公開這些個資內容，讓該企業因而吃上歐盟的巨額罰鍰。

基于前述種種事件，顯見黑客攻擊不僅未銷聲匿跡，反而入侵手法更見細膩、獲利模式更見高明，企業唯有不斷加強防御，才能明哲保身。