91APP遭AI駭入 專家憂衍生詐騙風險
電商技術服務公司91APP遭AI駭客入侵，一套未及時更新的內部工具，竟讓駭客一路取得資料庫金鑰，非法存取訂單資訊。
國家資通安全研究院院長龔化中接受《大紀元時報》採訪時警告，目前觀察到的AI攻擊以竊取資料居多，部分攻擊可能與詐騙集團有關，後續恐衍生更多詐騙案件，提醒民眾提高警覺。
91APP於10月3日上午11時遭AI自動化滲透工具攻擊，直到14日晚間11時才完全阻斷入侵。調查發現，攻擊者利用一項未更新套件的內部效率工具Appsmith進入內部網路，再從GitLab取得資料庫金鑰，進而非法存取訂單資料。
91APP表示，這次事件僅涉及該訂單資料庫，不包含信用卡等支付工具資訊，Marketing Cloud、91APP Payments及iCHEF均未受影響。至於實際涉及的品牌、消費者及資料範圍，仍由公司與外部資安團隊持續查核。
91APP董事長何英圻坦言，公司原本選擇先查明事實再通知客戶，是為了避免提供錯誤資訊，卻讓品牌與消費者承受更長時間的不安與壓力。他表示，回頭來看，8日成立緊急應變小組時，就應該同步提醒品牌，這是91APP的疏失。公司並承諾，對經確認因這次事件遭詐騙而蒙受財產損失的消費者，提供全面補償。
個資遭竊恐成詐騙素材
龔化中表示，隨著AI技術發展，過去需要專業駭客投入大量時間才能完成的攻擊，如今可能透過AI工具執行。駭客攻擊手法包括癱瘓系統、勒索及竊取資料，但目前觀察到的攻擊以竊取資料居多。
國家資通安全研究院院長龔化中。（記者戴德蔓／攝影）他也提醒，部分攻擊者背後可能與詐騙集團有關，「所以這次要特別小心這件事情，因為可能後續會有更多詐騙案件出來。」
隨著企業將訂單、會員及客戶資料集中管理，資訊系統一旦出現漏洞，遭到非法存取的可能不只是企業內部資料，還包括大量消費者的個人資訊。這些資料若落入不法人士手中，可能成為後續詐騙的素材。
企業應關閉不必要連線
龔化中特別提醒企業，最重要的是守住自己的「保險箱」，也就是個人資料、客戶資料及用戶資料。企業應盡量關閉不必要的客戶資料對外連線，並立即檢查資料庫是否出現異常存取情形，即使目前沒有發現問題，仍必須持續監控。
91APP事件也突顯平台業者的資安責任。當品牌業者將訂單、會員及相關系統交由外部平台管理，平台一旦遭到入侵，影響可能不只限於單一企業，還可能波及背後的品牌客戶與消費者。
新興AI加速資安威脅，應穩紮「資安基本功」。（資安署提供）資安院實測
AI攻擊速度比人類快10倍
91APP事件發生之際，AI自動化攻擊正成為全球資安威脅。過去需要專業駭客投入大量時間尋找的系統漏洞，如今透過AI工具，可能在更短時間內完成探查與入侵。
龔化中透露，資安院實際測試AI紅隊攻擊工具，發現攻擊速度比人類快10倍以上，甚至能突破部分進階持續性威脅（APT）模擬環境。
中型企業防護不足
大量資料成攻擊目標
談到企業面臨的風險，龔化中指出，掌握大量資料、具備一定資安防護能力，卻未達頂級防護水準的中型企業，將是最值得警惕的高風險目標。
「資料很多，有資安防護，但是不是頂級，這種公司風險最大。」他表示，這類企業雖然已經投入資安資源，但防護能力可能仍存在缺口，加上集中管理大量客戶及個人資料，一旦系統遭到入侵，可能造成廣泛影響。
以91APP遭駭事件為例，駭客利用未及時更新的內部工具Appsmith進入企業網路，再從GitLab取得資料庫金鑰，非法存取訂單資料。這也顯示，即使企業已建立資安防護機制，若系統更新或管理出現漏洞，仍可能遭到攻擊。
韓國、日本接連遭駭
台灣政府機關也受攻擊
韓國金融業近期遭攻擊者疑似利用開源AI工具探查漏洞，造成至少7家金融機構、超過6萬筆客戶個資與財務紀錄外洩；日本則在9月至10月間密集發生資料外洩與勒索軟體攻擊，涉及資訊科技、交通運輸及零售等產業。
台灣同樣面臨威脅。資安署指出，今年7月監控到境外駭客運用AI代理工具攻擊政府機關，並借道備用、測試系統，攻擊範圍還涉及能源業、政府供應商、公共服務及專業組織等。資安署自7月20日起發出警訊，8月13日對外說明攻擊來自境外，受影響單位已完成處理，相關情況仍持續追蹤。
資安署署長蔡福隆指出，AI攻擊正在帶來資安攻防的「典範轉移」，主要特性是速度快、範圍廣，而且能深入重要系統。企業若仍沿用過去的防守思維，將難以因應新型態攻擊。
AI攻擊已經開始
龔化中：防禦工具仍有時間差
龔化中表示，目前AI攻擊已經開始，AI防禦技術也正逐步發展，但兩者之間仍存在時間差。未來將陸續出現更多AI檢測及防禦工具，協助企業降低資安防護難度，相關技術也正由資安院及業界持續開發。不過，在這些工具更加成熟之前，企業仍須提高警覺。
被問到企業目前最應優先做哪三件事，龔化中指出，首先要知道自己最重要的資產在哪裡，並確實保護好這些資產；其次，應先關閉不必要的對外服務，減少遭到入侵的機會；第三，則是重新檢視並強化密碼安全。
他以颱風來臨前的準備作比喻，提醒企業先把不重要的服務關掉，避免這些平時容易被忽略的系統成為駭客攻擊的入口。
花錢買資安設備仍遭駭
蔡福隆：買了門卻沒鎖好
企業明明已經花錢購買防火牆及資安設備，為什麼還是可能遭駭？這也是許多企業經營者面對資安事故時最難理解的問題。
數位發展部資安署署長蔡福隆接受《大紀元時報》採訪時指出，企業投入資安經費，不代表防護就一定到位，除了投資是否足夠，還必須檢視策略面、管理面及技術面是否真正落實。
數發部資安署署長蔡福隆。（記者戴德蔓／攝影）他以生活中的例子說明：「你買了一個門，但是門沒有鎖好，不鎖門，你說我們都買了，可是為什麼還會有人入侵？」
蔡福隆表示，企業即使購買了設備，如果沒有正確設定、妥善管理，或缺乏專業人員操作，仍然可能出現資安漏洞。他強調，資安設備只是防護的一部分，專業知識、系統設定及後續管理同樣重要。
對於AI是否可能降低傳統資安防護的效果，蔡福隆坦言「當然有可能」，因為AI攻擊技術仍在不斷演化。他將資安防護比喻為人體免疫力，唯有提升自身防禦能力，才能在面對不同攻擊時降低損失。
平台業者掌握大量個資
資安責任更重大
隨著愈來愈多企業將網站、雲端資料及資訊系統委託外部廠商管理，平台業者的資安防護也愈顯重要。
蔡福隆指出，掌握大量客戶資料的平台業者本身就是駭客的重要攻擊目標，必須投入更多資安資源，包括經費與專業人力。
這也讓91APP事件突顯出另一個值得關注的問題。當品牌業者將訂單、會員及相關系統交由外部平台管理，平台一旦遭到入侵，影響可能不只限於單一企業，還可能波及背後的品牌客戶與消費者。
資安署籲企業做好基本功
縮小攻擊面、強化備份
面對AI攻擊快速發展，資安署提出「縮小攻擊面」及「做好備份備援」兩大防護方向，提醒企業不必等到發生資安事件才開始補救。
在縮小攻擊面方面，企業應盤點網站、VPN、遠端桌面、網路儲存設備及路由器等對外服務，關閉不必要的連線，優先修補已知且正在遭利用的漏洞，並落實多因子驗證與帳號權限管理。
在備份備援方面，資安署建議企業採取「3-2-1原則」，保留3份資料、使用2種不同儲存媒介，並確保至少1份離線保存或設定為不可刪改。同時定期測試資料還原能力，避免遭到攻擊後，連備份資料也一併受損。
資安署表示，政府已透過台灣電腦網路危機處理暨協調中心（TWCERT/CC）提供威脅情資、漏洞預警及事件協處服務，也發布中小企業資安防護與事件應變指引，並設置企業資安諮詢專線0800-280-280，協助業者強化防護能力。
當AI讓駭客能以更快速度尋找漏洞，企業面臨的考驗，不只是購買多少資安設備，更在於能否確實管理系統、守住資料，並在攻擊發生前及時發現風險。◇
