法國稅務局資料外洩七週未發現，中小企業密碼外洩防護指南

法國稅務局最近發生嚴重的資料外洩事件，超過 60 萬筆個人與企業資料被盜，而且長達七週都沒被發現。你可能會覺得這離自己很遠，但其實這正是許多中小企業正在面臨的隱患。如果你的員工習慣用個人電腦處理公事，或是網站後台只靠一組密碼保護，一旦在密碼外洩防護上出現漏洞，客戶個資與公司機密就可能在不覺察的情況下被偷光。

不複雜的攻擊，為何能偷走這麼多資料？

根據法國國家網路安全機構 ANSSI 的報告，這次攻擊手法其實並不複雜。攻擊者先是透過 infostealer（一種會悄悄複製電腦裡儲存帳號密碼的竊密惡意軟體），取得了數十名員工的密碼。這些員工很可能是因為使用未受公司管理的個人設備，導致密碼被盜。

拿到密碼後，攻擊者輕鬆登入了稅務局的內部入口網站。為什麼能偷到這麼多資料？因為系統的網路沒有做好隔離，不同部門的敏感應用系統連在同一個網路上，讓攻擊者能四處移動。此外，這些入口網站只要求輸入密碼，沒有第二道驗證機制，讓攻擊者長驅直入，甚至透過其他政府部門的網路漏洞，進一步存取到更多敏感資料。

為什麼長達七週都沒人發現異常？

這起事件最讓人驚訝的是，資料被偷了七週才因為駭客在網路上宣揚而曝光。負責監控的安全運營中心（SOC，也就是負責監控與應對資安威脅的團隊）其實有發現一些異常，但為什麼沒能阻止？

首先，當 SOC 發現帳號異常並重置密碼時，並沒有中斷攻擊者已經建立的連線，導致資料繼續被下載。其次，SOC 根本沒有監控到攻擊者使用的另一個入口網站，形成了監控盲區。

更關鍵的是，系統沒有把各種警告信號串起來。例如：半夜登入、使用來自國外的異常 IP、短時間內下載高達 11GB 的資料。這些行為單獨看可能會被忽略，但加在一起絕對是明顯的警訊。由於攻擊者使用的是真實員工帳號，國家級的網路監控系統也未能察覺異狀，錯失了攔截的最佳時機。

中小企業能從中學到什麼教訓？

雖然中小企業不像政府機關擁有龐大的系統，但基本的資安邏輯是相通的。ANSSI 提出了幾項具體建議，非常適合企業主參考：

• 改密碼不等於登出：當發現帳號被盜用並重置密碼時，必須強制中斷該帳號在所有系統上的活躍連線，不讓駭客繼續使用。
• 全面導入多因素認證：MFA（多因素認證，也就是除了密碼還需要手機驗證碼或驗證器 App 等第二道確認）是必要的。不要只用 Email 驗證碼，因為如果密碼被盜，信箱可能也一起被入侵了。
• 禁止個人設備存取機密：不要允許員工用個人電腦或手機直接存取公司的核心系統與機密資料，從源頭降低風險。
• 設定資料存取上限：在系統中設定配額，如果短時間內有異常大量的資料請求或下載，系統應自動觸發警報。

崴米的建議

中小企業通常沒有預算養一個 24 小時監控的資安團隊，但這不代表我們只能被動挨打。從法國稅務局的案例來看，及時的監控與正確的設定是防堵資料外洩的關鍵。

我們建議企業主定期檢視網站後台與內部系統的登入權限，確保有開啟多因素認證，並限制異常 IP 的存取。更重要的是，將網站與後台系統的安全維護交給專業團隊，確保主機層面的安全更新與即時異常監看。如果你希望把網站安全交給專業團隊代管與主機監看，讓網站上線後有人顧，歡迎了解我們的相關服務，為你的數位資產加上最穩固的防護網。

參考來源：French Tax Data Theft Using Stolen Staff Passwords Went Undetected for Seven Weeks