重點整理
- PaperCut 系統遭爆出認證繞過與遠端程式碼執行漏洞。
- 駭客利用漏洞建立假管理員，並竊取 Windows 底層密碼。
- 被盜的帳號密碼可能讓駭客進一步入侵企業其他關鍵系統。
- 建議勿將管理伺服器暴露在公開網路，並加強異常指令監控。
最近國外爆出教育機構的列印管理系統遭到駭客攻擊，導致大量師生的帳號密碼被偷。你可能會想：「我們只是中小企業，又沒用這套系統，跟我有什麼關係？」其實，這起事件點出了一個許多公司都忽略的資安盲點：只要公司內部有任何一台連上網路的伺服器或管理系統沒做好防護，駭客就能順藤摸瓜，偷走員工的登入憑證（也就是帳號與密碼等身分驗證資料），進而入侵公司的核心網站或資料庫。
PaperCut 出了什麼事？駭客如何偷走帳號密碼
PaperCut 是一套企業與學校常用的列印與文件管理軟體。根據資安公司 Arctic Wolf 的觀察，駭客利用了 PaperCut 新披露的兩個漏洞：CVE-2026-81578（認證繞過）與 CVE-2026-82078（遠端程式碼執行）。
這裡簡單解釋這兩個技術名詞：認證繞過（Authentication bypass）是指駭客不需要密碼或正確身分就能直接登入系統；遠端程式碼執行（Remote code execution）則是指駭客能在遠端電腦上偷偷執行惡意程式。駭客將這兩個漏洞串接起來，就能在不被發現的情況下，直接控制受害者的伺服器。目前這波攻擊主要鎖定美國與歐洲的教育機構，從中小學到大學都受到了影響。
駭客得手後會做什麼？企業面臨的真實風險
駭客入侵系統後，並不是只偷看一眼就離開，而是會進行一連串的「後滲透」活動，把風險擴大：
- 摸清底細與建立內應：駭客會執行指令來查看伺服器裡有哪些使用者和檔案，甚至偷偷建立一個名為「Administrator17」的假管理員帳號，方便日後隨時登入。
- 竊取底層密碼：他們會下載專門竊取密碼的工具（如 lsa_collect.exe），去讀取 Windows 系統底層儲存密碼的 SAM 資料庫與登錄檔（系統設定與密碼存放處）。
- 搜尋敏感設定：駭客會利用指令在 PaperCut 的設定檔中，瘋狂搜尋包含「password」、「secret」、「ldap」或「token」等敏感字眼的資料。
這意味著，只要這台伺服器被攻破，駭客就能拿到所有員工的登入密碼。更可怕的是，員工往往會在多個系統使用相同的帳號密碼，這會讓駭客順利登入公司其他的關鍵系統，造成連鎖性的資安災難。
中小企業該如何自保？原文給出的防護重點
面對這類型的系統漏洞攻擊，資安專家給出了幾個具體的防護建議，企業主可以請內部的 IT 人員或委外的資訊團隊協助處理：
- 隱藏伺服器位置：最直接的作法是限制 PaperCut 等管理伺服器，不要直接暴露在公開的網際網路上，盡量只允許內部網路存取。
- 監控異常指令：密切監控伺服器是否異常執行了 cmd.exe、powershell.exe 等指令工具。
- 留意特定行為：特別留意是否有不明程式在背景偷偷執行 whoami、tasklist 等指令，尤其是當這些指令的母程式（父進程）是 pc-app.exe 時，就極有可能是駭客正在活動的跡象。
崴米的建議
作為您的數位整合顧問，崴米設計建議中小企業可以從以下三個面向，馬上強化公司的資安防護網：
- 盤點對外暴露的系統：檢查公司有哪些後台、列印管理或內部系統是直接暴露在網路上的。如果不需要對外開放，請務必加上 IP 白名單或要求必須透過 VPN 才能存取，減少被駭客掃描到的機會。
- 落實權限管理與密碼政策：定期檢查系統內是否有不明的「管理員」帳號。同時，強制要求員工使用複雜且不同的密碼，並盡可能啟用雙因素驗證（2FA），避免一處被破、全區淪陷。
- 進行專業的資安健檢：如果您不確定公司網站或內部系統的防護是否到位，建議尋求專業的網頁設計與資安團隊進行健檢，及早發現並修補潛在漏洞，讓企業營運更安心。
參考來源：Attackers Exploit PaperCut Flaws to Steal Credentials From Schools and Universities
