金管會監理規格升級 二大類新型態攻擊入列重大資安30分鐘內須通報

由於國內外重大資安事件頻傳，且金融服務例如網銀、ATM、行動銀行高度依賴資訊系統，在攻擊手法更成熟之下可能造成大規模營運中斷，金管會已要求銀行公會強化資安規定，其中關於何謂重大資安事件的範圍，據相關人士透露，最新入列的是勒索軟體的攻擊，與供應鏈攻擊這兩大項目，且銀行業者必須在30分鐘之內向金管會通報重大資安事件。

所謂系統遭受勒索軟體攻擊事件，指攻擊者透過管道植入或執行勒索軟體與其協作工具程式，如：勒索軟體、加密木馬、資料竊取程式等，或透過濫用系統內合法工具與權限，對使用者電腦、主機、系統、檔案說設備存取權限進行加密、鎖定或威脅，藉此發動勒索贖金或其他獲取利益的攻擊行為。

銀行資安主管對此說明，勒索軟體攻擊，亦即Ransomware，是直接攻擊銀行本身，他並舉例，最常見的就是銀行員工收到一封看起來像廠商寄來的Email，然後銀行員點開以為是發票、履歷、報價單等的附件之後，惡意程式就透過該附件的點開，在內部網路擴散，接著出現所有伺服器都被加密、銀行所有檔案都打不開，最後駭客要求支付比特幣贖金，就是最典型的勒索軟體攻擊。

而上述的勒索軟體攻擊所發生的連鎖效應，也會往外擴散；資安主管接著指出，銀行的自動化服務恐怕因此全面癱瘓，包括網銀停止服務、行動銀行不能登入、ATM部分停擺、分行無法查詢客戶資料、信用卡授權變慢、核心主機停止運作，這類情況都有可能發生，最嚴重的甚至還可能發生客戶資料被盜、內部文件被公開，或是駭客威脅公開個資，這時就變成「雙重勒索」。

至於另一種形式「供應鏈攻擊」，則並非直接攻擊銀行，而是先攻擊銀行信任的合作廠商，再利用廠商進入銀行，用間接的方式來發揮對銀行的攻擊效果。對此銀行的資安主管進而說明，包括了銀行往來的ATM維護公司、雲端服務商、資訊外包商、防毒公司、系統整合商這類廠商，都可能成為先被駭的對象，然後透過這些廠商和銀行的往來，讓銀行跟著一起遭殃。

舉例來說，某銀行委託A公司維護ATM，結果A公司的工程師帳號被駭，讓駭客因而取得VPN帳號、維護權限 還有遠端登入密碼，於是駭客因此長驅直入，直接登入銀行內網，結果銀行還對來龍去脈不知情；除了這個例子之外，例如，銀行在使用廠商提供的軟體，例如會計軟體時，透過軟體更新，在更新檔被植入惡意程式時也很常見，銀行以為是正常更新，結果卻是惡意程式一起安裝完成，以上兩個例子，都是典型的供應鏈攻擊模式。

一位業界高層則分析上述兩種類型的駭客攻擊指出，供應鏈攻擊因看起來像合法更新或合法登入，通常更難防範，但也更可能造成跨機構影響，例如一家軟體公司同時提供好幾家銀行系統軟體維護服務，就會導致一家公司被駭，結果取得了所有銀行的遠端管理工具和維護帳號，而勒索軟體攻擊則往往會立即影響營運與客戶服務。