韓國最大SK Telecom 電信遭駭客攻擊，500萬行動門號資料遭竊，簡訊驗證身份的安全性再次引起討論

 

近期韓國最大電信業者 SK Telecom（SKT）爆發嚴重資安事件，駭客成功入侵其系統，竊取了大量用戶的 USIM資料（Universal Subscriber Identity Module, 即實體SIM卡資料，詳註1），由於遭盜用的資料可輕易讓駭客進行SIM卡偽冒，收取銀行身份認證簡訊，盜用客戶之款項，許多民眾得知後陷入恐慌，紛紛到營業據點要求換卡，2600間門店大排長龍。據察，SKT 遭駭客入侵的內部管理系統，其負責儲存門號與 USIM 對應資料、身分驗證記錄的伺服器都未加密、亦未隔離保護，是此次事件的核心漏洞。本事件再次揭露，削減資安預算可能對企業造成致命的重擊，企業不可不慎。

一、SIM 卡資料外流、遭偽冒的事件，在台灣有可能發生嗎?

南韓政府後續針對本次事件進行了調查，目前可知，用於複製USIM卡的4種用戶資訊、SK電訊為處理USIM卡數據而所需管理的21種資訊遭洩露，但未包含國際移動設備識別碼（IMEI，俗稱手機身份證），但建議民眾更換USIM卡並加入USIM卡保護服務。

雖然客戶的客戶姓名、其他身分資訊、財務資料並未外流，但外洩的資訊落入歹徒手中，結合自其他來源取得的用戶個資，可能會被用於發動SIM卡偽冒（SIM Swapping）攻擊。歹徒可以將銀行認證簡訊導到新的SIM卡，對銀行帳戶款項進行盜領，可能造成民眾大量財産損失。

台灣三大電信廠商依現行通訊法規的要求，在更換SIM卡的過程，需要本人親自到櫃枱辦理，確認是本人身分才提供換卡，因此，在台灣發生SIM卡偽冒的機會並不大。唯一一次較大的案件是2022年當時因疫情的關係，歹徒假冒大陸台商SIM卡遺失需補發，因航班停飛無法親自辦理，電信業者僅憑證件圖檔，即核準換卡，造成真正的客戶銀行帳戶被盜，差點身家不保。

二、SIM卡如此脆弱，那麼eSIM(數位化SIM卡)是否較安全?

APPLE 數年前為縮小SIM卡佔用手機的空間，導入了更安全的eSIM機制，將SIM卡處理/儲存的資料都數位化後儲存在特別的晶片裡。只要手機有設好足夠複雜的帳號密碼，就可以保證這些資料不致於外流。eSIM還有個好處就是隨時可以切換，一支iPhone可以存好幾張eSIM在手機裡，出國就不用帶實體SIM卡。在有些國家，當您買新的iPhone時，eSIM還可以轉換到另外一支iPhone手機。不過這個功能在台灣，因為法規和安全的因素考量，至今都沒有開放。

三、SIM簡訊驗證是否值得信賴? 為什麼大家都在推薦其他更安全的二次驗證機制?

目前大多數銀行為了減少學習門檻，仍然採用簡訊驗證的方式確認客戶本人的身分。其實SIM卡資料遭竊在世界各地已發生數次，因此資安專家們總是提醒用戶使用更好的二次驗證機制。

圖：近年sim卡資料外流事件頻傳，簡訊驗證遲早有一天要被取代

四、可以嘗試使用密碼金鑰(Passkey)，或是「金融FIDO」 做為更安全且好用的二次驗證方式

我們在2024年9月號的月刊文章中，有介紹過使用「驗證APP」(Authentication App) 配對QR Code後，後續則透過輸入動態數碼來當做二次驗證的機制。驗證APP的原理就是在配對時，金鑰資料儲分別存到系統與手機上，之後就可以透過動態數碼來認證是否為同一人。

然而對於大多數的一般使用者來說，使用驗證APP的門檻有點高，要熟悉所有的操作亦需要不小的學習成本，驗證時還要花眼力找尋動態碼存放位置，並且空出一隻手來輸入動態碼，真的很令人困擾。因此後來許多雲端業者開始倡導Passkey(密碼金鑰)的概念。

PassKey的概念和驗證APP很像，都是透過「配對QRCODE」傳遞金鑰的資料，但實際在真的要認證時，借助了行動裝置的生物辨識工具(如：臉部ID、指紋辨識等)，如此一來就可以更輕鬆寫意的進行認證，不必手忙腳亂擔心KEY錯驗證碼，也幾乎不需要記得密碼。唯一和「驗證APP」不一樣的，就是有時可能需要在連網才能驗證，這一點和隨時可産生動態碼的驗證APP相比，就差了一些。詳細節操作方式，可以參考這篇文章的介紹。

圖：驗證器APP 與 PassKey在實際使用上的差異

至於金融FIDO的機制，概念上和PassKey是一樣的，只是初始設定時需要使用實體金融卡至ATM機台前配對身份，設定好之後，未來要進行轉帳，就可以選擇FIDO驗證，除了可以保障帳戶的安全性及交易不可否認性，每次轉帳的額度也增加了(非約定帳號轉帳每月可達新臺幣50萬元)，詳細的申請規則與方式，可與您的銀行客服洽詢與連繫，增加數位銀行使用的安全性。

註1：各類SIM卡區別如下。目前實體SIM卡都屬USIM。
類型 全名 形式 支援網路 特點與用途
SIM Subscriber Identity Module 實體卡片 2G（GSM） 早期用於 2G 網路，功能較為基礎，安全性和容量有限。
USIM Universal Subscriber Identity Module 實體卡片 3G / 4G / 5G 支援更高網速與加密，具備更大的儲存容量，可用於多媒體、行動支付等應用。
eSIM Embedded SIM 內建晶片 4G / 5G 無需實體卡，可遠端下載與切換電信業者設定，適用於智慧型手機、穿戴裝置與物聯網設備。

延伸閱讀：

留言

張貼留言

這個網誌中的熱門文章

(科技與法律)用AirTag 追蹤器跟蹤別人，是否違反個資法?

圖片
在當今數位時代，定位資訊已成為日常生活的一部分。然而，這些資訊是否構成個人資料？使用 AirTag 追蹤他人是否合法？這些問題涉及個人隱私權、刑法與個資法的適用範圍，值得深入探討。 什麼是 AirTag？ AirTag 是蘋果公司於 2021 年推出的一款藍牙追蹤裝置，設計用於幫助使用者找回遺失物品，例如鑰匙、錢包或背包行李箱等等。 AirTag 透過 Apple 的「尋找」(Find My) 網路運作，利用附近的 Apple 設備匿名回報其位置，讓使用者能夠在 iPhone、iPad 或 Mac 上追蹤物品的所在位置。然而，AirTag 也因其小巧隱密的特性，被不法人士濫用於秘密追蹤他人，導致隱私與法律上的爭議。 什麼是個人資料？ 根據 《個人資料保護法》第 2 條 ，個人資料指： 姓名、出生年月日、國民身分證統一編號、護照號碼 特徵、指紋、婚姻、家庭、教育、職業 病歷、醫療、基因、性生活、健康檢查、犯罪前科、 聯絡方式、財務情況、社會活動及其他得以直接或間接方式識別該個人之資料。 而 GPS 長時間記錄的定位資訊可揭示個人的「社會活動」 模式，已被台灣法院認定為間接識別之個人資料。因此，未經當事人同意擅自蒐集、使用 GPS 追蹤資訊，的確有可能違反個資法。 圖：坊間已出現號稱可以維持十年電力的Airtag 追蹤電池盒 使用 AirTag 追蹤他人是否合法？ 蘋果公司在其官方免責聲明中強調：「AirTag 設計的目的僅供追蹤物品，而非個人。」若將 AirTag 用於追蹤他人，可能違反當地法律。為防止濫用，蘋果已設計「防追蹤機制」，如 iPhone 會偵測陌生的 AirTag 並發送警告，安卓用戶亦可透過應用程式進行偵測。這使得被害人更容易發現並提出法律訴訟。 相關法律規範與案例 在台灣，未經同意使用 GPS 或 AirTag 追蹤他人，除可能觸犯 《個人資料保護法》第 41 條 外，還可能觸犯 《刑法》第 315 -1條 （妨害秘密罪：「無故以錄音、照相、錄影或電磁紀錄竊錄他人非公開之活動、言論、談話或身體隱私部位者」），最重可處 3 至 5 年有期徒刑。實務案例中， 2014 年「新光公主案」即是一例 。新光集團長公主吳欣盈的配偶為調查其行蹤，在其車輛安裝 GPS 追蹤器，法院最終認定此行為侵犯隱私權，構成妨害秘密罪。 如何合法蒐證？ 若有正當需求，建議採取合...
閱讀完整內容

什麼是「零日攻擊」(Zero Day Attack)? 它和資訊安全有什麼關連?

圖片
●零日攻擊? 它不就是明年要開播的台灣電視劇嗎? 前幾個月在政治新聞版面常聽到《零日攻擊》的介紹。這部電視劇獲得大家的注目，主要是因為故事以中國人民解放軍對台採取軍事行動為架空背景，探討台海戰爭時台灣社會可能面臨的狀況。 其實零日攻擊（Zero-Day Attack），又常被翻作「零時差攻擊」，原本是在資訊安全領域上的名詞，指的是駭客利用尚未公開或未修補的軟體漏洞進行的攻擊，因此稱為「零日」。 意指受害者和原廠開發者幾乎沒有時間準備或防範。此狀況與電視劇所刻劃的情境非常類似，即大家每天過著平凡的日子，完全不知道生活環境的「漏洞」早就被敵軍(駭客)所掌握，而一旦發起攻擊時，往往都非常地致命。 這類攻擊通常非常危險，因為它具備下列特性： 未知性：漏洞尚未被公眾或軟體廠商發現。 高效率：攻擊成功率高，且可能造成重大損害。 難以防禦：傳統防毒軟體可能無法偵測到。 ●一般員工同仁(老百姓)能如何防範? 雖然該劇的名稱「零日攻擊」，和資訊安全的術語相同，但劇情似乎更側重於軍事與國際關係，而非單純聚焦於資訊戰或軟體漏洞。零日這個詞被用作象徵性的概念，代表一個「突如其來且難以防範的攻擊」，用來引出劇情中的衝突與緊張局勢。 就日常資安的領域來說，當原廠還未釋出漏洞修補套件前，我們其實能做的並不多。但是大家仍然必須了解，以目前AI與資訊如此發達的世界，以下的現況已是不爭的事實： 漏洞訊息一出，攻擊腳本即現 ： 一旦有人發現了漏洞，在駭客的群組或相關資訊網很快就可以看到攻擊此漏洞的POC(Prove of Concept，即攻擊概念的實作有效步驟)。因此我們必須要有危機意識，儘量安全地使用個人電腦，避免讓不明人士透過不明軟體掌握自己的公務電腦。 圖：在網路上只要搜尋 "CVE POC"，就可以看到許多漏洞複現影片 許多漏洞連原廠都不知悉 ： 近期資安界發的許多資安漏洞，都是透過熱心民眾提供的。這世界總是有一群人喜歡鑽研著名軟體的漏洞，而網路的世界讓他們的成果可以更快速地傳播。 但是，面對這種不明的威脅，是否完全無法防禦呢? 其實各位同仁只要保持下列使用電腦的習慣，就可以減少許多零日漏洞的威脅： 只在信任的網路連結Internet ：避免作業系統的漏洞遭到其他陌生人攻擊 只安裝需要用到的軟體 ：不讓陌生的軟體取得太多本機的權限。 儘快安裝系統更新 ：雖然零日漏洞在原廠發...
閱讀完整內容

機敏文件丢出去，就再也回不來了 ~ 談PDF線上轉檔的資安風險

圖片
我們在工作中，多少都會遇到需要處理PDF檔案的狀況，大到發表調查報告，小到整理支出報核單時的發票憑證，只是為了合併、分割、改幾個小錯字，轉方向等小小的需求，就必須下載「Adobe Acrobat Pro」試用版來使用七天，然後就不能用了。 處理PDF的工作，常常都來得又快又急， 因此許多同仁會想使用線上 PDF 轉檔合併服務 ，才能及早地把報表交出去。但是，各位真的知道文件上傳出去之後，這些提供PDF服務的網站真的會如實地把暫存檔清除嗎? PDFOnlie 是一個大約10年前(2013-2015年間)流行的免費 PDF 線上轉檔服務，使用者可以將檔案上傳到平台進行轉換編輯合併等動作。然而，PDFOnlie 的預設設定是公開檔案，這表示任何人都可以在網上搜尋到這些檔案，包含一些機密文件。許多使用者沒有注意到這個設定，使得任何人都可以在Google 搜尋中打入 XXXX sharepdf， 就可以看到一堆被上傳轉檔的PDF文件。例如： 「履歷表 sharepdf」、「薪資單 sharepdf」等等，驚動了當時的網路界。為此 各政府單位還緊急發送資安宣導 。 線上轉PDF並分享的服務(PDF Online)，解決緊急的PDF轉檔需求， 但沒想到許多人上傳檔案後，忘記把檔案設成保密。 這個案例說明了使用線上轉檔服務時需要注意的資安風險。 因為 一旦未加密的機敏檔案交到別人手中，就等於幾乎失去了對這個檔案的控制力。該服務的管理者，要做任何違法侵害的事，都是無法避免的。 另外，根據 台灣電腦網路危機處理暨協調中心(twcert.cc)轉述相關報告 ，PDF本身的加密技術也不完善，主要是市面上的PDF檢視軟體與瀏覽器插件(Plug-in)常被駭客破解。因此若同仁們需要寄送加密的資料，目前最好的方式還是透過其他方式打包加密(如ZIP檔使用AES256加密法) 若真的有常使用處理PDF檔的需求，可申請安裝免費版的離線PDF檔案處理軟體，以避免將資料檔案傳給陌生人。我們會在近期開始宣導並列入管理規範，禁止使用外部的PDF服務網站處理公務，敬請各位同仁協助宣導配合，若有任何需求或諮詢，歡迎隨時與分機88583連繫。 延伸閱讀： 台北市政府資訊局發布之資安宣導 PDF 檔案加密標準發現安全漏洞，常見 PDF 檢視軟體均不安全
閱讀完整內容