AI助駭客偷百萬個資 數發部：慎防精準詐騙
國內近期接連發生網路攻擊及個資外洩事件，已有十餘家企業及網路平台受害，累計逾百萬份個資受到影響。數位發展部11月11日表示，初步調查發現，近半數攻擊事件與人工智慧（AI）攻擊有關，駭客利用AI快速尋找系統漏洞、竊取個資，並可能將資料轉售詐騙集團。數發部示警，個資外洩恐衍生假客服、假扣款等精準詐騙，提醒民眾提高警覺，並要求業者於72小時內通報及通知受影響消費者，避免損害擴大。
數發部11日舉行記者會，說明近期AI網路攻擊趨勢及個資保護措施。數發部長林宜敬指出，這波資安攻擊的特性是直接財損較小，但潛在間接損失可能相當龐大。駭客並非直接竊取信用卡資料或勒索，而是取得個資後，在暗網轉售給詐騙集團，不僅可能造成消費者財務損失，對品牌商及提供資訊服務的平台業者而言，商譽損害也相當嚴重。
林宜敬表示，隨著AI技術發展，先進AI模型已能協助尋找資安漏洞，甚至將不同攻擊步驟串連成完整的攻擊流程。駭客可利用自動化工具掃描全球網站，尋找尚未修補的漏洞發動攻擊，企業若仍習慣在收到資安警訊後，等待數週甚至數月才更新系統，恐怕已無法因應現在的攻擊速度。
資安署通報應變組長黃卓倫指出，近期受害案件中，近半數攻擊與AI有關，部分駭客結合ARTEX自動化滲透測試工具，提高尋找漏洞及入侵系統的效率。常見攻擊目標包括PHP、Node.js、GitLab等相關軟體或平台的已知漏洞，以及可大量存取資料的應用程式介面（API）。
黃卓倫形容，AI就像協助駭客自動「找門、找鑰匙」，不僅能快速搜尋尚未修補的漏洞，也能利用公開資訊撰寫攻擊程式。若企業缺乏完善的身分驗證及存取權限管理，駭客甚至可能透過取得帳號密碼，進一步入侵其他系統。
未發現信用卡資料外洩
數產署副署長黃雅萍表示，目前受影響業者涵蓋服飾零售、食品、寵物用品、生活用品及美妝等產業，可能外洩的資料以姓名、訂單及電子郵件為主，部分涉及電話與地址，現階段尚未發現信用卡等金融資訊外洩。
黃雅萍指出，依據個人資料保護法及相關管理辦法，數位經濟業者發現個資外洩後，應於72小時內通報主管機關，並以電子郵件、簡訊或電話等適當方式，主動通知受影響消費者，說明可能外洩的資料類型及後續詐騙風險，同時提供查詢管道。
她表示，企業也應儘速查明事故原因、修補漏洞，必要時關閉部分系統功能，防止災情擴大。數發部將對發生事故的業者進行行政檢查，但目的並非以處罰為主，而是透過專家及技術人員協助企業找出問題、改善防護。
針對企業遭受攻擊後的緊急應變，資安院院長龔化中建議，首先應降低系統曝險程度，暫時關閉閒置或非必要的系統；若風險持續擴大，必要時甚至可暫停對外網路連線。
龔化中表示，企業也應強制登出相關帳號並更換密碼，不能完全依賴雙重驗證，因為駭客若已取得驗證憑證，仍可能繞過防護。若短時間內無法完成資料存取權限調整及加密，至少應加強資料庫監控，發現大量異常存取時立即警示並阻斷。
數發部也提出五項應變行動，包括收到重大資安警訊後，應於72小時內完成軟體更新、漏洞修補或其他防護措施；發現個資外洩後，應於72小時內通報、通知當事人並採取措施防止損害擴大，事件發生後一個月內則應提出檢討改善計畫。
數發部強調，企業應落實「個資最小化原則」，只蒐集業務必要的資料，並訂定保存期限，對不再需要的個資依法刪除或去識別化，避免因過度蒐集資料，增加遭駭後的損害。
林宜敬表示，政府也將運用AI強化資安防護，資安署與資安院已陸續取得Anthropic、OpenAI、Google及Microsoft等業者的資安AI模型，將用於政府機關及關鍵基礎設施網站的安全檢測，民間企業部分也將進一步規劃。
林宜敬強調，政府推動相關規範不是為了處罰業者，而是希望企業正視資安風險，與政府共同做好防護，減少個資外洩及後續詐騙造成的損害。
個資外洩後恐遭二次詐騙
數發部提醒民眾慎防個資外洩後的二次詐騙。近期已有詐騙集團冒用購物網站名義，寄送包含消費者真實姓名、電話、地址及購買商品的電子郵件，謊稱誤設每月訂閱、將重複扣款，誘導民眾加入假客服LINE，再要求操作ATM、網路銀行或提供驗證碼。
資安署提醒，即使對方能說出正確的訂單及消費資訊，也不代表是真正客服。民眾應自行透過官方網站或App查證，不點擊不明連結、不提供金融資料，並為常用帳號啟用雙重驗證；遇有疑慮可撥打165反詐騙諮詢專線。◇
