☰
許多企業認知裡，當發生資料外洩事故，經營團隊往往習慣將關注焦點放在資料如何被竊取，以及如何發聲明做公關補救。然而，美國知名服飾品牌 Carhartt 近期遭知名駭客集團 ShinyHunters 入侵並外洩近 1,300 萬筆帳戶資料的重大資安事件。這家百年品牌因為拒絕支付 330 萬美元勒索金，導致高達 50GB 敏感資料在暗網公開，含顧客與員工姓名、電話、實體地址、信箱及商業數據。這起事件最具威脅的地方，當這些龐大的個資流向黑市後，攻擊者又以這些資料為燃料，發動規模更大、影響更深遠的第二波與第三波攻擊。
許多企業管理層常有誤解，認為只要外洩資料不含使用者密碼或信用卡號，風險就處於可控範圍。然而，現代網路犯罪體系，即使只是看似無害的姓名、電話與信箱，落入駭客手中也會發揮驚人的破壞力。駭客集團拿到這1,300萬筆帳戶資訊後，會利用這些真實資料發動極為精準的客製化釣魚信件與簡訊詐騙。受害者因為收到含個人真實資訊的訊息，極易放下戒心而點擊惡意連結。
更嚴重的威脅在於「帳密填充攻擊」（Credential Stuffing）與跨平台帳號接管。多數使用者在不同網站普遍有重複使用相似密碼或個人資訊的壞習慣。當Carhartt用戶帳號資料庫遭公開，駭客會利用自動化腳本，拿著這些帳號嘗試登入其他電商、金融機構或企業系統。這種攻擊模式直接繞過企業傳統防線，因為對系統來說，這看起來就像是合法帳號使用者登入。
筆者觀察到，這起事件再次曝露企業雲端資料平台管理的巨大漏洞。現代企業為了商業分析與客戶經營，會將大量使用者資料上傳至雲端資料庫。但集中存放數據的平台，往往成為駭客眼中投報率最高的目標。一旦企業雲端平台的存取權限控管不當，或是缺乏多重身分驗證，駭客就能一舉抱走整家公司的核心資產，讓企業於勒索談判陷入極度被動的局面。面對帳密重複使用與身分攻擊越來越普遍的現在，企業執行長與資訊長必須認清現實：僅靠傳統的密碼早就無法確保使用者與企業帳號安全。
筆者認為，企業必須將身分防禦的重心，轉向加強身分驗證與風險監控。管理團隊應當推動以下三項關鍵策略：
第一，全面淘汰純密碼驗證，升級至防釣魚的無密碼或FIDO2機制。且企業員工與高風險的雲端資料庫存取，企業應當強制引進實體安全金鑰或生物辨識，較能確保就算使用者密碼在其他網站遭外洩，駭客未取得實體裝置下也不能登入企業系統。
第二，建置持續性的身分風險評估與動態存取控管。企業登入系統不能只在使用者輸入密碼當下進行一次性驗證。系統必須即時分析登入時的設備環境、IP位置與行為模式。當發現某個帳號在短時間內從異常的地理位置登入，或是帳號出現在已知的外洩資料庫時，系統應當自動要求額外驗證或直接阻斷存取。
第三，落實雲端資料庫的最小權限與去辨識化管理。企業將顧客或員工資料上傳至第三方分析平台前，必須進行嚴格的去辨識化與加密處理。資訊團隊應當嚴格限制資料庫的存取權限，避免單一雲端平台憑證外洩，就導致全公司的歷史數據遭駭客一次打包。
Carhartt的資料外洩事故給所有數位化企業深刻的警示。當1,300萬筆帳戶資料攤開在暗網，資料外洩早已成為攻擊者用來入侵其他系統的武器。企業管理層需要明瞭，停止對傳統密碼的盲目依賴，重新審視雲端數據的防護強度，並建立完善的身分安全防線，才是企業在充滿風險的數位年代裡，保障使用者信任與維護企業商譽的根本之道。
（首圖來源：Eli Duke from Portland, OR, USA, CC BY-SA 2.0, via Wikimedia Commons）
.jpg){kind=link}