重點整理
- 駭客利用假面試與污染的開發工具發動供應鏈攻擊。
- 惡意軟體利用區塊鏈與 Slack 隱蔽指揮通道。
- 接案團隊或內部電腦中鏢可能導致網站後台失守。
- 企業應提高求職檔案警覺並加強網站主機代管維護。
很多中小企業主覺得「駭客攻擊」離自己很遠，但現在的攻擊手法已經無孔不入。駭客不僅會直接攻擊網站，還會透過「假面試」或「看似正常的開發工具」來滲透公司內部，甚至偷走網站伺服器的控制權。了解這些新型態的供應鏈攻擊，能幫助你保護公司的數位資產與網站安全。
駭客新招：從「假面試」到「開發工具」的供應鏈攻擊
供應鏈攻擊，簡單來說就是駭客不直接攻擊你的公司，而是去污染你信任的第三方工具或程式套件，讓你自己在無意間把木馬放進公司。
根據資安研究，北韓背景的駭客組織最近活躍於 LinkedIn 和 Facebook。他們會假裝成 Web3（區塊鏈相關）新創公司徵才，邀請求職者完成「編碼測驗」。求職者下載的測驗程式碼中，藏著被污染的開發工具套件（例如 Terraform 或 npm 套件）。
這裡簡單解釋一下：Terraform 是一種用來自動化管理伺服器與基礎設施的開發工具，而 npm 是程式設計師常用的 JavaScript 套件下載平台。一旦工程師在內部電腦執行這些程式，惡意軟體就會悄悄安裝。不僅如此，開源社群 Rust 專案也發出警告，指出駭客會利用類似的「假面試」手法，針對專案維護者發動攻擊，這在資安界被稱為 Contagious Interview（傳染性面試）活動。
極度隱蔽的木馬：用區塊鏈和 Slack 當指揮所
這次發現的惡意軟體非常狡猾，它不會馬上破壞系統，而是「有條件觸發」。駭客使用了 C2（Command and Control，命令與控制通道，也就是駭客遠端遙控中毒電腦的管道）來下達指令。
特別的是，他們利用了區塊鏈（如以太坊測試網）和企業通訊軟體 Slack 來傳遞指令。因為區塊鏈和 Slack 都是合法的服務，這種手法能完美偽裝成正常的網路流量，讓傳統的防毒軟體很難察覺。駭客甚至能透過這些通道，偷偷把公司的系統資訊、硬體規格傳回給他們，並根據指令執行後續的破壞或竊取動作。
這跟中小企業的網站與營運有什麼關係？
你可能會想：「我們公司沒有寫程式的工程師，這跟我們有關嗎？」
其實，很多中小企業的網站是外包給網頁設計公司或接案工程師製作。如果接案團隊的電腦中了這種木馬，駭客就能順藤摸瓜，取得你網站後台的帳號密碼、伺服器憑證，甚至資料庫的存取權限。
即使是自己架設網站的企業，若內部員工不慎下載了受污染的套件，也可能讓公司內部網路門戶大開。一旦主機被入侵，網站可能會被植入惡意廣告、顧客資料外洩，或是整個網站被癱瘓，對企業商譽和營運都是重大打擊。
崴米的建議
面對越來越精巧的資安威脅，中小企業可以從以下兩個方向來加強防護：
- 提高內部與求職流程的資安意識：提醒 HR 與主管，收到外部求職者的「作品」或要求執行「測驗檔案」時，請提高警覺，不要隨意在公司電腦或內部網路開啟不明來源的壓縮檔或程式。
- 讓專業的團隊幫你顧好網站後方：網站上線只是開始，主機的安全更新、SSL 憑證管理、定期備份與異常流量監看，都需要持續關注。把這些繁瑣但重要的底層維護交給專業團隊，才能確保網站穩定運行。
如果你希望網站上線後有人幫忙看顧主機與處理日常維護，歡迎了解我們的 網站代管維護與主機監看 服務，讓你的網站後顧無憂。
參考來源：Attackers Use Malicious Terraform Providers to Deliver Go Malware via HashiCorp Registry
