美國內華達州日前發布了一份極少見且高度透明的資安事故調查報告，詳細揭露 2024 年 8 月該州政府遭到勒索軟體入侵的完整攻擊過程、偵測與復原行動。
本次事件影響超過 60 個政府機構，包含網站、電話系統到多項民眾線上服務，一度大範圍中斷。但值得注意的是：內華達州並未支付勒索贖金，而是在 28 天內自行恢復了 90% 的關鍵系統。
此事件案例的透明度極高，是目前少見由政府自願公開的完整攻擊鏈紀錄，對所有公務單位、科技企業與關鍵基礎建設均具重要警示意義。
攻擊是如何開始的？——一則 Google 廣告成了入侵入口
報告指出，攻擊者最初於 5 月 14 日取得內網立足點，來源並非漏洞或釣魚郵件，而是：
一名 IT 人員在 Google 搜尋工具下載時，點到被惡意廣告引導的假網站，下載到被植入後門的系統管理工具。
這類攻擊手法稱為：
Malvertising（惡意廣告感染鏈）
近年威脅者經常偽裝常用的 IT 工具，例如：
- WinSCP
- PuTTY
- KeePass
- AnyDesk
- LogMeIn
目標不是一般用戶，而是擁有高權限的系統管理員。
攻擊者藉此直接獲得能橫向移動與提權的絕佳起點。
攻擊者在內網做了什麼？（攻擊鏈分解）
最關鍵的突破點發生在攻擊者成功存取了：
密碼保管庫（Password Vault）系統
取得 26 個高權限帳號憑證
這使他們能：
- 登入核心伺服器
- 清除事件日誌（隱藏痕跡）
- 進一步準備勒索軟體部署
8月24日-08:30（UTC）即台灣時間 16:30勒索軟體被全面觸發
內華達州政府的虛擬機伺服器群組同時被加密，系統全面中斷。
為什麼沒有支付贖金？——「花加班費，也不給駭客一毛錢」
內華達州選擇不談判、不付費，而是：
- 啟動既定資安應變手冊（Incident Response Playbook）
- 由 50 名內部人員加班 4,212 小時
- 以加班費 USD $259,000 成本完成系統修復
若改由外包廠商處理，依市場標準費率 成本將高出約USD $478,000。
同時，事件期間仍確保：
- 公務員薪資正常發放
- 公共安全通訊不中斷
- 民眾服務逐步恢復
本案揭示的三大資安教訓
1. 組織必須強化「假設已遭入侵」的安全思維
即使端點防毒有偵測後門，攻擊者仍能留存持續性存取。
→ 零信任、持續監控、欺敵誘捕必須到位。
2. 密碼保管庫與高權限帳號是攻防核心
攻擊者獲取 Vault 即可繞過所有邊界控制。
→ 密碼庫、AD、身分存取治理（IAM / PAM）是優先防守重點。
3. 備援機制絕不能只看備份本身
備份被刪除後，復原會直接陷入停擺。
→ 備份需離線隔離、Immutable Storage、定期演練還原流程。
結語｜透明，才是最佳資安治理典範
內華達州此份報告的價值在於：
不粉飾、不隱瞞、完整揭露每一步攻擊細節。
這不只是事件復原，而是一份：
- 組織韌性（Cyber Resilience）的成功展示
- 政府與社會建立信任的重要示範
- 所有企業與政府機關都必須參考的資安治理教材
面對日益成熟的勒索生態鏈，我們更需要：
- 更快的偵測能力
- 更好的身分與權限管理
- 更嚴格的備援策略
- 更真實、不避諱的事後檢討文化
