【全文】實聯制、遠距上班、網購藏風險 疫情升溫衝擊資安

全台確診武漢肺炎（COVID-19，新冠肺炎）人數激增，為防堵疫情，幾乎所有店家都採實聯制，企業則讓員工分流、遠距上班，各級學校也全面停課，改採視訊教學，民眾減少出門，網購數量跟著爆增。但這些因應疫情的作為卻潛藏資安風險，刑事警察局發現，民間業者推出的實聯制LINE帳號有個資外洩疑慮，資安專家也提醒，在家上班、上課或網購，務必提高帳號密碼及Wi-Fi密碼的強度，電腦及手機定期更新、掃毒，最好將工作與私人電腦分開，才能避免遭受資安危害。

5月22日，全台疫情警戒升至第三級的第一個週末，刑事警察局接獲重要情資，由台灣駭客年會成立的漏洞回報平台（HITCON ZeroDay）收到一封警告信，內容是民間科技公司推出的「防疫實聯衝衝衝」LINE官方帳號，隱藏大量個資外洩疑慮。

實聯制注意事項民眾掃描QR Code後，檢查簡訊是否傳送至1922
店家應不定期檢查張貼的QR Code，避免遭有心人更換
不要下載來路不明的實聯制APP或LINE帳號
不要在網路上掃描來路不明的QR Code

民間實聯制 恐洩個資

刑事局科技犯罪防制中心主任林建隆獲報之後，立即透過電子郵件提醒該公司，對方隨即回信表示「處理修補中」，並於當天晚間停止服務，但「防疫實聯衝衝衝」帳號啟用後，已有上百萬人加入好友，目前為止到底有無個資外洩情形、數量如何？尚待了解。

本刊調查，為加強防疫，掌握出入各種場所的人流狀況，政府要求所有店家都要實聯制，但消費者進入不同場域，須重新輸入姓名、電話等個資，十分麻煩，民間科技公司知惠科技於是設計出一套「防疫實聯衝衝衝」整合系統，標榜店家綁定QR Code後，民眾只要輸入一次個資，就可直接掃描QR Code，在綁定的店家通行無阻，該系統卻被發現有資安漏洞，可能使個資外洩。

林建隆研判，防疫實聯衝衝衝帳號，雖比政務委員唐鳳設計的簡訊實聯制還早問世，但可能是在將店家實聯制蒐集到的資料回傳公司伺服器時，沒有完整管控，隱藏些許漏洞，才讓駭客可以不經授權，就能取得民眾的個資。

無獨有偶，中央流行疫情指揮中心5月20日也發出警訊，指有不肖人士冒用疾管署名義，成立冒牌社群誘使民眾加入。

掃描QR Code 慎查連結

林建隆提醒，這種民間開發、以某種目的蒐集個資的APP或系統，除非發生詐欺等刑事案件，否則民眾實在不易察覺個資是否外洩，政府過去也鮮少對業者蒐集個資後，是否用於蒐集目的外進行稽核，幾乎只能靠業者自律。

依《個人資料保護法》規定，各場域蒐集的個資，均要指定專人辦理並善盡保護責任，最多存放28天，之後就必須刪除或銷毀。

林建隆指出，一般業者蒐集個資，除了處理購物訂單外，會用於後續的廣告行銷，也有不肖人士竊取個資賣給詐騙集團，甚至出現危害國家安全的疑慮，不可不防。

相對防疫實聯衝衝衝藏有漏洞，唐鳳推的簡訊實聯制安全性則沒有問題，但林建隆提醒，店家將QR Code張貼於店門外，務必不定期檢查，以防遭不肖人士更換，民眾掃描及傳送簡訊時也需注意是否真的傳到「1922」，以免連結到高額付費號碼，讓荷包大失血。

除了實體店面張貼的QR Code，網路或手機出現的QR Code更可能連結到惡意網站，不可不慎。資安專家Bf Chen指出，操作介面雖簡單也容易暗藏玄機，因智慧型手機有自動顯示預覽連結功能，當簡訊成功發送後，惡意連結將自動轉為網站預覽模式，傳送使用者的裝置資訊，駭客就可輕易取得對方的手機資訊。

密碼定期換 雙重驗證

疫情升溫下的資安風險，除了實聯制，遠距上班問題也很大。曾發現臉書付款漏洞、刪除臉書創辦人祖克柏貼文、入侵高鐵購票系統，被封為「天才駭客」的張啟元，「洗白」後已投入資安工作，目前是新創資安公司「ZUSO如梭世代」的研究員，他提醒公司行號及一般員工，在家上班千萬注意，因為惡意駭客真的無所不在。

他告訴本刊，許多民間企業、政府機關為避免疫情擴散，要求員工在家上班，但透過家中網路與公司電腦系統連結，須考量很多資安問題，公司端系統伺服器應做好權限控管，如不同部門或不同職階的員工帳號，須事先規範與區別，限制登入的系統及可連線的範圍。

為了讓員工在家上班能使用公司內部系統（如ERP）與資源，通常公司會提供虛擬私有網路（Virtual Priavte Netwrok，VPN）服務，讓員工在家登入後，使用如同在辦公室的網路環境，但除了以一般帳號、密碼識別員工身分，也應啟用雙重驗證（Two-Factor Authentication、2FA）機制加強管控。

張啟元建議，員工自行設定帳號、密碼，必須有一定的複雜度，也必須定期更換，最好啟用雙重驗證方式，如簡訊、生物識別等，更重要的是，員工必須遵循公司的資安規範，提高警覺，以維護電腦的安全性，否則，如被植入木馬程式，駭客就可透過被駭電腦的路徑，循著連線侵入公司的伺服器主機，竊取各種資料。

問題郵件多 提高警覺

張啟元強調，企業應該把對外服務、內部業務處理和開發環境的網路有所區隔，依據帳號權限各自管理，並隨時稽核各項異常紀錄，同時建立防火牆規則、漏洞修補、VPN設定及登入時雙重驗證、限制登入裝置及來源IP等，定期更換登入密碼，提醒員工不要使用來路不明的軟體，同時加強對社交郵件的警覺。

「最重要的是把工作與私人電腦分開！」張啟元告訴本刊，因國人對網路不明連結的警覺性很低，加上習慣透過網路追劇或觀看情色網站，都會增加誤中惡意、木馬程式的風險。若能把工作、私人娛樂用的電腦分開，準備專屬連線設備並定期執行掃毒，不使用密碼記憶功能，即可確保網路連線的安全。

張啟元指出，資訊系統最難防禦的是「人的問題」，舉例來說，多數人很容易受到社交攻擊，最常見的就是駭客故意寄問題郵件到使用者的信箱，民眾若毫無警覺，隨意點擊，個人電腦或手機就會被植入病毒或惡意程式，根據他多年的資安工作經驗，員工在家上班因主管無法控管，很多人都不會遵守規則，風險比在公司上班高出許多。

Bf Chen也告訴本刊，他曾與不少廠商接觸，發現國內多數廠商雖樂意面對企業系統問題，但很多工程師只會開發，卻不知如何修補漏洞，若能多花點錢投資資安設備及教育訓練，或透過資安公司提供服務，才能在遭受駭客攻擊的第一時間處理善後。

遠距上班、上課注意事項使用公司提供的虛擬私有網路VPN
啟用帳號、密碼、電話簡訊等多重驗證機制
企業應把重要資產主機、一般日常主機分開
員工應將工作電腦與私人電腦分開
提高帳號密碼及Wi-Fi密碼強度
視訊鏡頭及麥克風未使用時，用不透光膠帶或布遮蔽
定期確認家中連網設備、軟體是否為最新版

採線上學習 確認官網

Bf Chen指出，過去台灣製造業都在封閉的網路環境中運作，近年因物聯網時代來臨，封閉式網路環境逐漸轉變為開放性環境，但許多老舊設備沒有更新，仍持續運作，容易成為駭客攻擊勒索的對象，企業必須正視相關問題，否則資安隱憂將持續擴大。

除了遠距上班潛藏風險，目前全台各級學校因疫情升溫停止到校，改採視訊遠端上課，也有不少須注意的事項。張啟元建議，老師最好透過教育部或各校提供的線上學習課程教學，學生及家長必須確認登入的網站，是否為學校或教育部的官網，最好使用單一平台上課，不要使用來源不明的連結或網站。

張啟元也呼籲學生及家長，保護好登入帳號、密碼，最好設定高強度的密碼組合，並透過密碼管理員等外部隱私工具輔助，避免遭有心人竊取個資。另一方面，師生開啟視訊鏡頭後，可把家中背景虛擬、模糊化處理，視訊鏡頭及麥克風未使用時，最好用不透光膠帶或布遮蔽，定期確認家中連網設備、軟體是否為最新版，家中的Wi-Fi密碼也不要設定得太過簡單。

認鎖頭鑰匙 聰明網購

疫情升溫後，多數人不常出門，網路購物因此大爆發。ZUSO如梭世代創辦人IK Hung提醒，消費者最好透過有使用安全措施的電商平台購物，至於要怎麼辨認？最簡單的方式是在瀏覽畫面檢查有無「鎖頭」或「鑰匙」的圖標，如果有，代表業者採用安全傳輸層（SSL）技術，會將消費者的資料先行加密，再傳至電商平台。

IK Hung呼籲消費者，不要與他人共用帳號，密碼也不要設定得太簡單；另一方面，常有不肖人士假冒購物平台寄送廣告或訂單至消費者信箱，這些信件多半被歸類於垃圾郵件，信件中往往暗藏惡意程式連結，經常與官方網站的英文字串網址類似，消費者若沒警覺就點擊，會被植入後門程式，伺機竊取個資，所以點擊任何連結前，一定要再三確認英文字串與官網是否完全一致。

「科技始終來自於人性！」IK Hung說，疫情升溫下的台灣，各行各業無不繃緊神經，大家都怕成為防疫破口，但人性都有瑕疵，現階段企業實施分流，也是駭客攻擊最猖獗的時刻，可能利用民眾在家工作、資安防範薄弱，伺機竊取公司或客戶的機敏資料，或利用民眾頻繁使用網路的機會，透過發布疫情資訊等連結詐騙個資，一定要提高警覺。

除了家用電腦、筆電應經常更新，大家最常使用的手機，最好也要安裝防毒軟體，如未加裝，手機程式該更新就更新，不要怕速度變慢而不更新，另一方面，千萬不要「借用」住家隔壁沒有加密的Wi-Fi，因為資料是明碼傳輸，如果剛好有駭客在同一個無線環境，相關資料就有洩漏風險，不可不防。

網購注意事項在瀏覽器畫面中，檢查有無「鎖頭」或「鑰匙」圖標
避免與他人共用帳號，密碼設定也不要過於簡單
點擊郵件連結時，確認網址的英文字串與官網完全一致
不要點擊或下載來路不明的電子郵件或程式

更多鏡週刊報導
【全文】疫情嚴守邊境 租33豪宅契作 大麻王自產自銷加盟販毒
【全文】從蛋黃區買到蛋殼區 建商高價搶地掀大戰
【全文】拚疫情警戒降級 抗疫急補確診空窗3破囗

◤居家上課工作必備◢
👉辦公3C設備下殺中 入手遊戲不無聊
👉親子防疫作戰 小孩在家不吵鬧靠這些
👉不出門更安心！一站購足防疫需求品

更多生活相關新聞
降雨熱區再擴大！雨量圖驚現「彰化之眼」 劇烈天氣伴隨來襲
怕尪工作染疫 人妻提2選擇引網怒
壽山動物園休園 明年10月迎客
買菜怎避免病毒帶回家？醫提9建議
公園吃飯遭大媽怒譙 外送員曝心聲

今日推薦影音