美國資安暨基礎建設安全局（CISA）近日再度發布警訊，將四項遭實際攻擊的高風險漏洞納入其「已知遭利用漏洞清單（KEV Catalog）」，呼籲各界緊急修補、提高警覺。

其中更值得注意的是，Citrix Bleed 2（CVE-2025-5777）漏洞目前正遭到積極利用，攻擊者可藉此竊取憑證、存取記憶體中敏感資料，對企業營運構成嚴重威脅！

被列入 KEV 的四項高風險漏洞

CISA 此次公告指出，下列四個漏洞已被證實在野外遭到實際濫用，可能用於遠端入侵、執行惡意程式或竊取資料：

1. CVE-2014-3931（CVSS：9.8）
   　Multi-Router Looking Glass (MRLG) 中的緩衝區溢位漏洞，攻擊者可進行任意記憶體寫入與損毀。
2. CVE-2016-10033（CVSS：9.8）
   　PHPMailer 的指令注入漏洞，可能導致攻擊者遠端執行惡意程式碼，甚至造成系統癱瘓。
3. CVE-2019-5418（CVSS：7.5）
   　 Ruby on Rails Action View 存在路徑穿越風險，攻擊者可讀取伺服器上的任意檔案內容。
4. CVE-2019-9621（CVSS：7.5）
   　 Zimbra Collaboration Suite 的 SSRF 弱點，可導致未授權存取內部資源，甚至執行遠端程式碼。
   　該漏洞已於 2023 年被 Trend Micro 確認遭中國駭客組織 Earth Lusca 利用，植入 Web Shell 並部署 Cobalt Strike。

根據美國聯邦資安規範，FCEB（聯邦行政機關）需在 2025 年 7 月 28 日前完成修補，企業亦應即刻行動以避免淪為下一個受害者。

Citrix Bleed 2 正遭駭客利用！記憶體洩漏、Token 遭竊，影響恐擴大

資安研究團隊 watchTowr Labs 與 Horizon3.ai 日前發布技術分析，指出 Citrix NetScaler ADC 的嚴重漏洞 CVE-2025-5777（Citrix Bleed 2） 目前正遭攻擊者鎖定，並與 CVE-2025-6543 一同遭受濫用。

該漏洞可透過精心設計的 HTTP 請求，從記憶體中讀取敏感資訊，如：

• 使用者登入憑證
• 有效的 Citrix Session Token
• 記憶體中處理的 HTTP 請求內容等

🔧 根本原因來自 Citrix 處理登入請求的 /p/u/doAuthentication.do 端點使用了錯誤的 snprintf 寫法，當 login= 欄位被故意省略等號時，程式會將記憶體中尚未初始化的內容回傳至使用者，進而造成資訊洩露。

Horizon3.ai 測試顯示，透過這種方式一次可外洩約 127 bytes 的記憶體資料，只要反覆觸發，攻擊者就可能蒐集到完整的 Session Token 或機敏資訊！

【專家建議】企業應立即採取以下行動：

優先修補漏洞：特別是 MRLG、PHPMailer、Zimbra、Citrix 等產品，應立即更新至安全版本。

進行威脅獵捕（Threat Hunting）：檢查是否有異常存取 /doAuthentication.do 等端點的紀錄，注意是否有資料外洩跡象。

註銷所有 Citrix 會話：若企業使用 NetScaler，建議在修補後強制註銷所有使用者會話，並更換登入密碼。

部署 Web 應用防火牆（WAF）：設定規則，阻擋未經授權的 POST/GET 請求，降低受害風險。

結語：漏洞利用 ≠ 未來威脅，而是正在進行的攻擊

這次 CISA 的 KEV 更新提醒我們，許多漏洞早已被駭客掌握並積極利用。企業防禦重點不只是「補漏洞」，更應強化縱深防禦、監控可疑行為，才能在駭客滲透前阻止攻擊。

Citrix Bleed 2 和 Zimbra SSRF 的案例也再度證明：攻擊者會針對高可用、低防護的通訊平台下手，確保攻擊效率與隱蔽性。請務必優先保護關鍵服務、遠端存取機制與信任邊界。

近期，法國國家資訊系統安全局（ANSSI）揭露，一個與中國有關的駭客組織，透過武器化的 Ivanti Cloud Services Appliance（CSA）零日漏洞，對法國多個關鍵產業進行大規模滲透行動，涵蓋政府、電信、媒體、金融與交通等領域。此事件不僅突顯零日漏洞持續成為國家級攻擊主力，也顯示中國駭客對歐洲多部門目標的滲透活動已達高度成熟且多樣化的戰術水準。

背後攻擊集團：Houken 與 UNC5174

根據 ANSSI 調查，這波攻擊活動可追溯至 2024 年 9 月初，攻擊來源歸因於一支編碼為「Houken」的入侵組織，該團體與 Google Mandiant 所追蹤的UNC5174（又名 Uteus 或 Uetus）有部分技術與基礎設施重疊。

特徵分析：

• 武器化漏洞使用： 利用多個 Ivanti CSA 的零日漏洞進行橫向滲透與後門植入。
• 高階工具搭配開源模組： 同時使用複雜的 rootkit、Behinder、neo-reGeorg 等常見中國社群開發的開源工具。
• 基礎設施分散： 攻擊架構包括商業 VPN、專屬主機等，具備長期部署特性。

值得注意的是，該組織從 2023 年開始，疑似以**「初始入侵經紀商（Initial Access Broker）」**形式運作，先滲透企業網路，取得入侵據點後再販售給其他國家級或犯罪型駭客集團使用，形成多層次的攻擊合作鏈。

利用的 Ivanti 零日漏洞與攻擊手法

在此次行動中，攻擊者利用了 三個尚未公開的 Ivanti CSA 零日漏洞（CVE-2024-8963、CVE-2024-9380、CVE-2024-8190） 進行攻擊，成功取得管理權限與持久存取權。攻擊手法包括：

1. 部署 PHP 網頁後門（web shell）
2. 修改現有 PHP 腳本，注入後門功能
3. 安裝 Linux 核心模組（Rootkit）：sysinitd.ko

此外，攻擊者會安裝名為 sysinitd 的核心模組與執行檔，此模組會攔截所有 TCP 封包，劫持連入封包並執行任意指令，以 root 權限取得完整控制權。此模組最早於 2024 年 10 月由 Fortinet 偵測到，並於 2025 年初再度出現。

補充攻擊工具清單：

• Behinder、neo-reGeorg： 常用於中國駭客圈的 Web Shell 工具
• GOREVERSE / GoReShell： Golang 編寫的隱匿通道後門
• GOHEAVY： 用於資料外傳的 Golang 隧道工具
• suo5： HTTP Proxy 通訊工具

作業時區與後門清除行為

根據時間戳記與行為分析，ANSSI 指出攻擊者活動時區為 UTC+8，對應為中國標準時間，進一步強化其地理來源的可信度。

更值得注意的是，攻擊者在成功入侵後主動修補這些漏洞，以阻止其他競爭駭客重新利用同樣的漏洞 —— 這類行為屬於典型「封門式滲透」，代表其目標為長期潛伏與情報壟斷。

國際攻擊範圍與目標分析

根據目前掌握的情資，這波滲透行動的攻擊目標不僅限於歐洲，更涵蓋：

• 東南亞地區的政府與教育單位
• 中國（含香港與澳門）境內的 NGO
• 歐美的國防、媒體、教育與電信單位

此外，有報導指出其中一波攻擊甚至鎖定某歐洲主流媒體集團，代表其除了情報蒐集，也可能具有**輿論操控或混合戰（Cognitive Warfare）**意圖。

金融動機與加密貨幣活動

雖然 Houken 與 UNC5174 被歸類為國家背景駭客集團，但在部分案例中，攻擊者使用入侵資源部署加密貨幣挖礦程式，顯示這些行動背後可能是「半國家、半商業化」的運作模式 —— 一邊販售入侵權限與數據給國家級客戶，一邊自行牟利。

ANSSI 表示：「該組織可能為私人資安承包商，受多方國家支持或雇用，進行兼具經濟回報與政治意圖的複合型滲透。」

專家觀點：這次攻擊提醒我們該如何行動？

從這次駭客利用 Ivanti 漏洞的大型滲透事件中，我們觀察到幾個關鍵警訊，對企業與政府單位來說，這些都是不能再忽視的風險指標：

1. 零信任不是選項，是現在就要開始的基本功

企業內部網路不能再「預設信任」。無論是總部或分點，建議立即落實以下做法：

• 不同部門網路分段，避免一破全倒
• 強化登入驗證，採用多因子驗證（MFA）
• 確保使用者權限最小化，避免超權帳號成為突破口

2. 別再小看「開源工具」的威脅

攻擊者不再從零寫程式，他們偏好使用 GitHub 等開源工具包，像是 Behinder、Cobalt Strike 或 neo-reGeorg 等，都能幫助駭客潛行、橫移甚至遠端控制。

這代表什麼？企業需要有能夠辨識工具行為特徵的監控機制，像是 EDR、UEBA 等行為分析系統，要真的開啟、調校好，不能只是部署了就放著。

3. 小心「潛伏型入侵」— 有人可能只是來「賣門票」

現在很多駭客不自己動手，而是滲透成功後，把這個入侵點當商品轉賣給勒索集團或其他國家支持的攻擊單位。

這種角色叫做「初始入侵經紀商（IAB）」。他們不會馬上動手，但留下一個後門，讓下一波攻擊隨時可能發生。

建議企業建立針對「無明顯行動、但已滲透」的偵測機制，例如異常連線、憑證存取頻率變化等。

4. 關注你的邊界設備，它們是最常被打的第一道門

本次事件再次證明：Ivanti、F5、Palo Alto 等邊界設備，是最容易被當作突破口的關鍵裝置。

你需要的不只是打補丁，還包括：

• 定期掃描漏洞（含尚未公開的0-day監控）
• 觀察這些設備有無異常行為（如連接目的地異常、系統資源異常增長）
• 主動訂閱國際資安通報，提早反應新威脅

5. 把敵人變成情報來源：部署欺敵技術（Deception Technology）

針對像 UNC5174 / Houken 這類深度滲透型 APT，光靠被動偵測還不夠。

欺敵技術的好處是：

• 在內網放上假的帳號、檔案、伺服器等誘餌
• 駭客一碰就會被偵測
• 不僅能提早發現入侵，也能收集對手工具、手法與目標意圖

這類技術特別能補足 EDR、SIEM 等偵測死角，是未來防禦架構中不可或缺的一環。

結語：這不是單一事件，而是資安新常態的縮影

這起 Ivanti CSA 零日漏洞攻擊，揭示了一個更大的趨勢——我們所面對的，不再是單一駭客，而是一整個跨國、跨組織、跨目的的資安攻擊產業鏈。

這些攻擊者有的來自國家背景、有的尋求商業利益、有的只是替人鋪路。他們擅長整合漏洞、開源工具、暗網資源，目標是長期潛伏與最大化利益。

無論你是企業、政府、學校還是非營利機構，未來的資安風險將持續升高。現在是時候超前部署，從系統架構、偵測能力、應變流程全面強化，才能真正降低損害、守住核心價值。

2025 年 6 月下旬，FBI 正式發出警告：以社交工程著稱的 Scattered Spider（又名 UNC3944、Octo Tempest 等）正在擴大攻擊範圍，將北美航空業納入打擊目標。繼加拿大的 WestJet 與美國的 Hawaiian Airlines 陸續傳出遭駭之後，航空資安成為全球焦點。

社交工程 + 偽冒 IT 支援：航空業的新弱點

FBI 指出，Scattered Spider 鎖定航空公司內部的 IT 協助流程，假冒員工或外包廠商身分，致電幫助台要求重設密碼、加入未授權的 MFA 裝置，藉此繞過多因素驗證（MFA）進入系統。他們也常透過供應商、承包商等第三方 IT 服務商滲透目標企業，導致供應鏈成為漏洞來源。

Palo Alto Networks 旗下 Unit 42 與 Google Cloud 擁有的 Mandiant 皆已觀察到該團體攻擊航空與交通運輸業的多起案例。Mandiant 首席技術長 Charles Carmakal 強調，航空業應立即強化幫助台身分驗證流程，例如在執行 MFA 裝置新增、密碼重設前，加強對員工或合約工身分的核驗。

這不是單純的密碼爆破攻擊，而是「信任的利用」。Scattered Spider 深諳企業內部流程，理解人性弱點，在幫助台遭遇時間壓力或緊急需求時，極容易被虛構的故事所說服，進而開啟大門。

從零信任到認證流程：攻擊手法逐步升級

Scattered Spider 的戰術從早期的 SIM 卡置換，到今日整合社交工程、幫助台詐騙、帳號升權與雲端滲透，形成橫跨內外網的混合式攻擊鏈。他們常針對 C-Level 高層展開深度偵查，再進行極具針對性的攻擊。例如，冒充財務長 (CFO) 向 IT 部門請求重設 MFA，甚至準確說出其生日與社會安全號碼末四碼等個資，進一步驗證身分並取得完整帳號控制權。

根據 ReliaQuest 的研究，Scattered Spider 一旦滲透成功，即可在數小時內：

• 列舉 Entra ID 權限帳號與群組，進行橫向移動與持久化植入
• 偵查 SharePoint 文件與組織工作流程，精準定位機敏資料
• 利用 CFO 憑證滲透 Horizon VDI 虛擬桌面環境，入侵更多帳號
• 重啟停用的 VM，存取 VMware vCenter，關閉生產環境控制器並擷取 NTDS.dit 資料庫
• 破解 CyberArk 密碼保險庫，盜取超過 1,400 組機敏帳密
• 利用合法工具如 ngrok 建立後門與持久連線
• 在遭到偵測後，刪除 Azure 防火牆規則組，癱瘓防禦。

最終甚至與資安團隊展開「搶奪 Entra ID 全域管理員權限」的拉鋸戰，直到 Microsoft 介入才終結攻擊行動。

航空業攻擊事件頻傳：Scattered Spider 正在壓力測試整個產業

6 月以來，Hawaiian Airlines、WestJet 皆傳出遭遇網路攻擊。Hawaiian Airlines 向 SEC 通報指出，其部分 IT 系統遭入侵，雖航班營運未受影響，但已緊急調查中。加拿大第二大航空 WestJet 亦公告指出，部分網站與 App 出現異常，用戶無法登入，內部團隊與執法單位合作調查中。

American Airlines 也於近期出現技術異常，雖未證實與攻擊有關，但外界開始懷疑是否為同一波網攻的一環。Mandiant 警告，Scattered Spider 長期針對特定產業深耕，不排除這是對航空業的一次「壓力測試」或預演。

7 月初，澳洲航空 Qantas 也披露發生資安事件，有高達 600 萬筆顧客資料紀錄遭入侵。該事件源自攻擊者滲透第三方呼叫中心服務平台，並非入侵 Qantas 本身系統，但外洩資料可能包含姓名、電話、生日、常客編號等個資，雖未涉及帳密或信用卡資訊，但仍引發廣泛關注。外界研判此事件手法與 Scattered Spider 過往攻擊高度雷同，雖無明確歸因，仍被列為可能關聯事件之一。

更早之前，該團體就曾與 ALPHV/BlackCat 合作攻擊 MGM 與 Caesars Palace，也曾透過 DragonForce 打擊英國零售業（M&S、Co-Op、Harrods 等）。攻擊手法成熟，流程精密。

航空業的結構性風險：個資、營運與供應鏈三重危機

航空公司本身即為高價值標的：

• 處理大量個資、金流資料、航班資訊
• 仰賴多方第三方系統與 IT 外包服務
• 對於系統中斷與航班延誤容錯率極低

從 SpiceJet 到 Sunwing、Japan Airlines、Air Canada、Kenya Airways…航空產業的資安風暴其實早已成型。

Scattered Spider 並未直接承認對 WestJet、Hawaiian 、Airlines American Airlines或 Qantas 的攻擊，但根據 Mandiant、Palo Alto Networks 等單位觀察，其攻擊模式、時間點與社交工程手法皆吻合。

防禦建議：從技術到流程再到文化

Scattered Spider 最可怕之處，不只是技術力，而是結合人性、流程、心理學與社交操控，打造出無法僅靠防毒或防火牆阻擋的攻擊方式。以下是專家建議的防禦措施：

1. 強化幫助台流程：
   • 嚴格執行二次身分驗證，禁止僅憑口頭資訊或簡單個資進行帳號重設。
   • 記錄並審查所有重設與 MFA 新增操作。
2. 導入抗網釣 MFA：如 FIDO2、安全金鑰等，降低可社交操控的驗證方式。
3. 角色權限最小化：C-Level 帳號須分離日常作業與敏感系統操作權限。
4. 教育訓練演練：透過實境模擬，讓幫助台與 IT 員工學會辨識社交工程攻擊。
5. 建構多層式監控與追蹤：異常帳號操作、MFA 新增、憑證重設等應具備告警與即時審查機制。
6. 部署誘餌技術（Deception Technology）：設計假帳號、誘餌伺服器與虛擬資源，引誘攻擊者進入偽裝環境，提前偵測攻擊路徑並延緩入侵進程。

Scattered Spider 並不是突破技術防線，而是突破人類決策流程。這是一場信任的戰爭。而唯有重新設計我們如何「信任彼此」、驗證彼此，並加入誘餌機制作為早期警示，我們才能真正築起資安防線，捍衛航空這項現代社會最重要的關鍵基礎建設之一。

儘管 Black Basta 勒索軟體集團因 2025 年初內部聊天紀錄外洩而聲勢大跌，但近期跡象顯示，部分前成員仍未退場，甚至以全新策略重回攻擊舞台。他們延續過往慣用的攻擊模式，如電子郵件轟炸與微軟Teams 網釣，並進一步加入 Python 腳本與 cURL 下載惡意載荷的技術，持續對企業網路進行滲透與長期滯留。

根據 ReliaQuest分享的研究報告指出，從 2025 年 2 月至 5 月期間，觀察到的微軟Teams 網釣攻擊中，有近一半是透過 onmicrosoft[.]com 網域發起，另有 42% 利用已遭入侵的合法網域作為跳板，藉此提高隱蔽性並模擬合法流量。

模仿內部人員身分攻擊金融與建築業

攻擊者不僅技術上持續演化，也在社交工程上下足功夫。例如，在針對金融與保險、建築等產業的攻擊中，攻擊者偽裝成 IT 支援人員發送 Teams 訊息，誘騙受害者點擊連結並下載遠端桌面協助工具（如 Quick Assist 或 AnyDesk），取得遠端控制權限。

緊接著，攻擊者會從遠端伺服器下載惡意 Python 腳本，建立與 C2（Command and Control）伺服器的持續連線。ReliaQuest 強調：「Python 腳本的導入，代表這類針對 Teams 平台的社交工程攻擊正持續進化，預期未來將變得更加普遍。」

從 Black Basta 走向 CACTUS、BlackSuit 與 DragonForce

雖然 Black Basta 資料外洩站點已關閉，但其技術與策略卻未隨之消失。ReliaQuest 推測，部分成員可能已轉投其他 RaaS（勒索軟體即服務）集團，最有可能的是 CACTUS。根據洩漏的對話內容，Black Basta 領導人 “Trump” 曾提及向 CACTUS 轉帳 50 至 60 萬美元。

然而 CACTUS 自 2025 年 3 月以來未再公開新一輪資料洩露事件，引發外界猜測其是否已解散，或是轉為低調運作。另一可能性是部分成員已併入新興勒索軟體集團 BlackLock，該集團據信正與 DragonForce 勒索聯盟合作。

Java RAT、雲端代理與多樣化工具鏈

根據 Rapid7 分析，這些攻擊通常會下載並執行 Java 為基礎的 RAT（遠端存取木馬），過去在 Black Basta 攻擊中便已出現。新版 RAT 利用 Google Drive、OneDrive 與 Google Sheets 等雲端平台，作為指令的代理通道，繞過傳統網路監控機制。

RAT 功能強大，可實現：

• 在受害端與遠端之間傳輸檔案
• 建立 SOCKS5 proxy 通道
• 窺取瀏覽器內儲存的帳密
• 偽造 Windows 登入畫面誘騙輸入憑證
• 動態下載與執行 Java 類別檔，避免落地痕跡

類似的攻擊還伴隨 QDoor（後門型隧道程式）、Rust 撰寫的自訂 SSH 載入器，以及 Python 開發的 RAT「Anubis」，在 Sophos 近期對 3AM 勒索軟體的研究中亦有出現。

勒索軟體攻擊全景：2025 年上半年趨勢

除了上述攻擊鏈演化，2025 年勒索威脅格局也持續快速變動：

• Scattered Spider：鎖定託管服務提供商（MSP）與 IT 業者，並利用 Evilginx 工具建立假冒登入頁面，繞過 MFA，再與 ALPHV、RansomHub、DragonForce 等大型勒索集團結盟，共同攻擊軟體漏洞，如 SimpleHelp 遠端桌面工具。
• Qilin（又名 Agenda、Phantom Mantis）：從 5 月至 6 月間針對多家企業發動攻擊，利用 Fortinet FortiGate 漏洞（如 CVE-2024-21762、CVE-2024-55591）取得初始存取權限。
• Play（又名 Balloonfly、PlayCrypt）：自 2022 年中以來已攻陷約 900 個目標，近期亦透過 CVE-2024-57727 影響大量美國機構。
• VanHelsing 勒索集團：因內部爭執，完整原始碼被管理員釋出，包括 TOR 金鑰、管理面板、聊天系統與資料庫。
• Interlock 勒索集團：針對英國地方政府與高等教育機構部署名為 NodeSnake 的 JavaScript 遠端木馬，具備持久性、系統探索與遠端指令執行能力。

結語：RAT 與社交工程的合流將成常態

正如 Quorum Cyber 所指出：「RAT 為攻擊者提供持久控制權，能夠導入其他惡意工具，進行數據竊取、系統操作，甚至銷毀資料。」

從 Black Basta 到 CACTUS、再到 BlackSuit 和 DragonForce，這些變種集團正在以更精密的手法重新組織與擴張，而微軟Teams、雲端服務與跨語言惡意程式（如 Java、Python、Rust）正成為攻擊鏈中不可或缺的一環。面對這樣的威脅組合，企業需在身分驗證、端點防護與員工資安意識培訓上同步升級，方能築起真正有效的防線。

對許多追星族而言，韓國知名的線上書店與票務平台 YES24 絕對是熟悉不過的名字。無論是搶購演唱會門票、參加偶像見面會，或是預約簽售活動，它幾乎是粉絲圈中不可或缺的存在。不過，Yes24 平台從6 月 9 日凌晨 起網站與 APP 陸續無法使用，狀況持續整整2天。期間公司未對外說明具體原因，僅以「系統維護中」敷衍帶過，引發大量用戶疑問與批評。

直到 11 日，Yes24 才正式對外承認，這起癱瘓事件是遭到 勒索軟體攻擊，導致平台全面當機。此次事故對營運造成嚴重衝擊，包括：

• ENHYPEN 粉絲簽名會活動取消
• 歌手 B.I、朴寶劍、ATEEZ 的活動預售延後
• 多部音樂劇的售票平台異動

根據韓國互聯網振興院（KISA）資料，Yes24 已於 9 日下午通報資安事件，公司也發布聲明道歉，表示事件發生於當日凌晨 4 點，並強調已通報主管機關並加強防護措施。未來將根據損失情況進行後續補償。

這起事件並非個案。近期另一個遭遇類似攻擊的是美國知名內衣品牌 Victoria’s Secret，其網站同樣在促銷檔期出現異常，官網於2025年5月26日至29日中斷，讓用戶無法下單，引發大量負評，後於2025年5月30日星期五恢復上線。

為什麼這類品牌企業成為勒索攻擊目標？

1. 數位依賴高，一攻即癱瘓

像 Yes24、Victoria’s Secret 這類企業，營運極度依賴線上平台與 IT 系統。一旦平台被攻擊，網站、APP、售票、購物、客服等功能會全面中斷，直接衝擊營收。這種「一斷就傷」的特性，讓他們成為駭客眼中的高價值目標。

2. 用戶資料多，攻擊誘因高

大型品牌擁有大量用戶個資與交易紀錄，即使事件中沒有個資外洩，只要駭客能加密、挾持這些資訊，就能提出勒索要求。這類資料對攻擊者來說是極具價值的籌碼。

3. 知名度高，壓力也大

像 Yes24、Victoria’s Secret 一旦出事，就會上新聞、登上社群熱搜。企業承受的壓力越大，就越可能考慮快速「花錢了事」解決問題，這也讓駭客更有動機鎖定這類企業下手。

4. 資訊透明度不足，延誤應變

Yes24 初期僅公告「系統維護」，未如實說明遭駭狀況，引發使用者不滿；Victoria’s Secret 至今也未對外說明攻擊細節。這種「不說清楚」的作法不僅損害顧客信任，也會拖慢整體應變流程。

勒索攻擊對企業營運的實際衝擊

• 服務中斷、損失慘重：Yes24 的平台停擺連帶影響多場大型售票活動；Victoria’s Secret 的電商系統無法接單、客服也失聯，導致訂單延遲與活動取消，直接影響營收。
• 品牌信任流失、負評暴增：大量用戶在社群抱怨查不到訂單、無法聯繫客服，品牌聲譽受損，顧客流失風險升高。
• 修復時間長、成本高昂：即使緊急找來資安團隊支援，全面恢復通常需時數日甚至數週，還牽涉客訴處理、合約糾紛與金錢賠償等額外負擔。

專家建議：企業應從「防守」轉向「韌性思維」

現代勒索攻擊手法越來越複雜，企業不僅要強化傳統資安防線，更需要導入「韌性思維」，從快速偵測、主動應變、降低損害等面向建立全面防護。以下是幾項資安專家建議的關鍵策略：

1. 落實零信任架構與網路分區設計

拒絕預設信任，所有內外部連線與存取都必須驗證授權；關鍵系統與資料必須區隔，降低單點入侵造成全面擴散的風險。

2. 建立強健備份策略與資安演練機制

備份系統必須不可被修改或刪除，並需離線儲存。定期模擬勒索攻擊情境，透過演練驗證恢復流程是否可在短時間內還原業務營運。

3. 導入 Deception 技術，主動誤導駭客行動

透過誘敵欺敵技術（Deception Technology），在系統中部署偽裝資源與假資訊，吸引駭客誤入陷阱區域。此舉不僅能延緩攻擊行動，爭取防禦時間，更可即時觸發警示，有效協助企業及早識別異常行為，從而將防禦策略從「被動應對」升級為「主動攔截」。

4. 建立透明、快速的資安通報與應變機制

資安事件一發生，應立即通報主管機關與使用者，避免訊息不明引發恐慌與負評。建立標準化危機溝通流程，是維護品牌信任的關鍵。

5. 加強供應鏈與第三方服務的資安風險控管

駭客常從合作廠商或服務供應商找破口，企業應將票務、金流、物流、CDN 等關鍵外包服務納入資安審查與控管範圍，避免成為後門入口。

結語：知名品牌不是防駭鐵牆，反而是肥羊

Yes24 與 Victoria’s Secret 的遭駭案例再次提醒企業：有名氣、大規模用戶與完整系統，並不代表安全。駭客更容易看準這些「高壓力、高回報」的目標下手。

企業應從傳統的防守策略，進一步轉型為強調營運韌性、即時回應與風險管理的策略。否則，一場勒索攻擊不只讓平台停擺，更可能讓顧客流失、信任破產，甚至影響企業未來的生存。

“轉貼、分享或引用文章內容，請註明出處為竣盟科技 https://www.billows.tech , 以免觸法”