重點整理
- AI 搜尋結果遭投毒，企業客服資訊可能被替換成詐騙連結。
- 部分 AI 寫程式工具預設上傳程式碼，企業機密面臨外洩風險。
- WordPress 知名外掛伺服器遭駭，推送惡意更新植入網站後門。
- 假抽獎釣魚利用偽造登入視窗，眼見不一定為憑，需提高警覺。
最近的資安威脅，越來越喜歡偽裝成我們每天都會接觸的日常事物：一個 AI 搜尋結果、一個外掛更新提示、或是一個假抽獎連結。對於中小企業主與行銷人員來說，這些威脅不再只是工程師的責任，一旦不小心點錯或更新錯，可能直接導致公司機密外洩、網站被控制，甚至讓客戶的錢被騙走。本文為您整理近期最值得注意的四大資安事件，幫助您提早防範。
當 AI 搜尋結果變成詐騙陷阱
現在很多人習慣直接用 ChatGPT、Gemini 或 Google AI 搜尋來找答案，但攻擊者也盯上了這個習慣。他們把精心偽造的假資訊大量塞進網路，讓 AI 搜尋引擎誤以為這是正確答案，這在資安界稱為「AI 搜尋投毒」（AI Search Poisoning，也就是攻擊者餵假資料給 AI，讓它給出錯誤答案）。
根據資安公司觀察，已經有多家國際知名航空公司、銀行與訂房平台中招。攻擊者讓 AI 給出假的客服電話、信箱，甚至是偽造的登入頁面。對企業來說，這代表你的官方聯絡資訊可能被替換，客戶或行銷人員在查詢時，一不小心就會把機密資料或金錢送給詐騙集團。
用 AI 寫程式，小心商業機密被上傳
越來越多企業開始使用 AI 工具來輔助開發網站或內部系統，但你可能沒注意到，這些工具正在悄悄把你的程式碼傳出去。近期中國 AI 公司 Z.ai 的 ZCode 程式碼助手，就被發現預設會把用戶本地的程式碼庫傳到阿里雲伺服器；而 SpaceXAI 的 Grok Build 也有類似上傳整個程式碼庫的問題。
雖然這些公司後續已關閉相關功能，但這提醒了企業：在導入任何 AI 工具時，必須嚴格檢查其隱私設定。如果沒有關閉預設的上傳功能，你辛苦開發的商業邏輯、網站後台程式碼，可能就這樣毫無保留地外洩到別人的雲端伺服器上。
WordPress 外掛更新藏後門，一鍵升級就中招
許多中小企業的官網是使用 WordPress 架設的，而 WordPress 強大的生態系來自各種外掛，但這也帶來了風險。近期，一款名為 Admin Menu Editor Pro 的知名外掛，其官方伺服器遭到駭客入侵。駭客不僅篡改了更新檔案，還在短短幾天內連續突破防護，推送含有惡意程式的更新。
只要網站管理員習慣性地點擊「更新」，網站就會被植入「後門」（Web shell，一種讓駭客遠端控制網站的惡意程式）。這起事件導致數百個客戶的上千個網站受到影響。這說明了，即使是官方推出的更新，如果沒有經過安全把關，也可能變成駭客入侵的捷徑。
假抽獎連結偽造登入視窗，眼見不一定為憑
釣魚攻擊的手法也在進化。近期出現了一個假借 AI 工具 Claude Max 抽獎的釣魚連結。當你點擊後，網頁並沒有要你填信用卡號，而是彈出一個要求你用 Google 帳號登入的視窗。
詭異的是，這個視窗看起來跟真的一模一樣，有鎖頭圖示、網址也對，甚至還能用滑鼠拖曳。這其實是「瀏覽器內瀏覽器」（BitB，在網頁裡畫出一個假的瀏覽器視窗來騙取帳密）的攻擊手法。攻擊者利用視覺欺騙，讓員工或老闆在不知不覺中輸入真實的 Google 帳密，導致帳號被盜。
崴米的建議
面對層出不窮的資安威脅，中小企業不需要養一個龐大的資安團隊，但必須建立正確的防護觀念與習慣。以下提供三點具體建議：
- 定期查核 AI 搜尋結果：行銷人員應定期使用主流 AI 搜尋工具查詢自家品牌名稱、客服電話與官方網址，確認 AI 給出的資訊是否正確，並在公司官網與社群媒體建立明確的官方查核管道。
- 謹慎管理 WordPress 更新：不要讓網站自動更新所有外掛與核心版本。建議將網站交由專業的網站代管維護與主機監看服務來把關，在更新前進行備份與安全測試，避免惡意更新破壞網站。
- 落實 AI 工具與帳號安全：導入 AI 工具前，務必確認其資料隱私條款，關閉不必要的程式碼或文件上傳功能。同時，內部帳號應全面啟用雙重驗證，即使遇到偽造登入視窗，也能多一層保護。
