AI網攻延燒各國！台灣逾10家企業受害 資安院：攻擊還沒結束

〔記者邱巧貞／台北報導〕面對境外駭客自今年7月起利用AI代理（AI Agent）工具發動網路攻擊，且近期攻擊目標已從政府機關擴大至各類企業及網路平台，數位發展部資通安全署11日指出，全球及臺灣正面臨攻擊速度更快、成本更低、規模更大的AI自動化網攻威脅。對此，資安署呼籲業者落實「修補漏洞」、「通知客戶」及「個資最小化」三大因應措施，並提醒民眾提高警覺，防範個資外洩後可能衍生的精準詐騙風險。

資安署通報應變組黃卓倫組長指出，近期全球網路攻擊事件持續發生，日本、韓國及法國接連傳出企業與政府機關遭駭事件，部分受害單位更因委外廠商遭到攻擊而受到波及，隨著人工智慧（AI）技術快速發展，網路攻擊也逐漸出現利用AI代理工具發動攻擊的趨勢。

從國際案例來看，日本自9月傳出資安事件後，10月陸續有佐川急便、卡普空、樂天旅遊、數位廳及多個地方警察局等企業與機關傳出受影響情形，累計涉及上百家企業及機關，其中部分案件與委外廠商遭駭有關。

韓國方面，則於9月30日至11月3日期間，共有37家金融公司涉及資安事件，累計40起資料外洩通報，約47.3萬筆資料受到影響，並傳出約10億韓元款項遭竊，當地主管機關也規劃針對580多家金融公司展開檢查。

法國則傳出冷藏設備遭到網路攻擊的案例。10月11日至12日期間，約700處超市冷藏設備遭到遠端操控，造成生鮮商品損失；11月2日至3日，另有3處血庫冷藏設備傳出遭駭情形，所幸未造成損失。

此外，今年7月起，已觀察到境外駭客利用AI代理工具攻擊我國政府機關的情況，近期相關攻擊也擴及一般企業及網路商店等不同領域。

資安署指出，在臺灣方面，目前已有十餘家企業及網路平台接連發生資安事件，逾百萬份個資受影響，大多數受駭個資為姓名、電話、電子郵件及訂單等資訊，目前為止掌握的資訊，尚未出現信用卡等付款資訊受駭。當中有近半數事件與AI攻擊有關，其中不乏AI自動化攻擊結合中國ARTEX滲透測試工具的案例。

在攻擊手法方面，駭客多利用已知的高風險漏洞發動攻擊，涉及PHP、Node.js及GitLab等相關軟體或平台，部分漏洞已被列入已知遭利用漏洞清單（KEV）。

此外，應用程式介面（API）也成為駭客攻擊熱區，因API取得大量資料相對容易，且部分API具有較高權限，一旦受駭極易造成重大衝擊。

黃卓倫也指出，AI技術雖可能讓網路攻擊變得更快、成本更低，但許多攻擊仍是利用系統漏洞未及時修補、密碼強度不足等既有資安弱點，因此，企業除了關注新興AI攻擊手法，也應持續落實漏洞修補、密碼管理及存取權限控管等基本資安防護措施。

資安院院長龔化中補充，臺灣在10月下旬曾召開記者會時，就已掌握有幾家企業受到攻擊。至於這波攻擊何時會結束，龔化中表示，目前只能說「攻擊還沒有結束」。

他進一步指出，目前觀察到，部分攻擊來源主要顯示為香港IP，但同時也發現許多攻擊是透過跳板進行，攻擊流量來自不同國家。因為駭客本來就經常使用跳板，因此不能單憑IP來源判斷駭客的實際所在地，原則上，如果攻擊是從臺灣境內發動，應該有辦法追查，不過，目前觀察到的這幾起攻擊，都是從國外進來的。

針對外界關注的受害企業名單，數發部部長林宜敬表示，這波資安事件目前已通報的受害廠商約有十幾家，但各家企業規模及受影響程度不同，其中規模較大的企業約有五、六家，如同先前在立法院所說明的情況。

至於為何不公布受害名單，他解釋，對上市櫃公司而言，相關資訊可能影響股價，而數發部並非這方面的主管機關；至於非上市櫃公司，若針對個別案件發表評論，也可能影響企業商譽，甚至衍生法律問題，因此目前不便公布受害企業名單或評論個別案件。

林宜敬表示，目前各起案件仍在陸續調查中，數產署也會進行行政檢查，他強調，行政檢查最主要的目的並不是處罰，而是協助企業應對網路攻擊，待企業完成應該採取的因應措施後，再進一步考慮後續的檢討及改善等問題。至於未來還會有多少企業受害，目前沒有辦法預判，也無法預測，現階段最重要的是政府與民間企業共同合作，提高警覺並做好防護。