駭客勒索襲擊零售業，Marks & Spencer是否支付贖金無法確認？

“`html

網路風暴來襲：從零售巨頭的巨額損失，看保險業如何成為駭客新標靶

你是否曾經想過，那些在新聞上看見的網路攻擊、資料外洩事件，其實離我們並不遙遠？它們不僅會讓全球大企業面臨數億元的損失，甚至可能悄悄地波及到我們每個人的個人資料安全。在這個數位時代，了解這些隱形的威脅，就像學習如何在陌生環境中保護自己一樣重要。

ai/users/a5840bdd-3893-46eb-a72a-8350f8416028/generations/cd75066b-7b25-4888-ab2c-ff54dee3748b/segments/0:4:1/Flux_Schnell_cybersecurity_landscape_with_hackers_0.jpg" alt="一位男子正在街頭交易股票">

近年來，全球的企業都面臨著日益猖獗的網路犯罪，特別是勒索軟體和資料外洩攻擊。這些攻擊不僅讓許多知名企業損失慘重，更迫使它們重新審視自己的資安防線。今天，我們將深入探討近期幾起重大的網路安全事件，包括知名零售商 Marks & Spencer（簡稱 M&S）如何遭受巨額損失、專門鎖定企業的駭客組織 Scattered Spider 如何將目標轉向保險業，以及 Krispy Kreme 的大規模資料外洩事件，帶你一起看懂當前企業所面臨的資安挑戰，以及我們應該如何應對。

透過這些實際案例，你將會發現，無論你是學生還是上班族，這些資安威脅都與我們的日常生活息息相關。讓我們一起來了解這些看不見的敵人，以及我們該如何保護自己和周遭的企業。

以下是當前最常見的資安威脅：

• 勒索軟體攻擊：駭客透過加密企業資料，要求贖金以解鎖。
• 資料外洩：未經授權的敏感資訊洩露，造成個資被濫用。
• 社交工程：利用人性的弱點進行詐騙，取得機密資訊。

零售巨頭的勒索惡夢：M&S與Co-op案例分析

想像一下，你最喜歡的線上購物網站突然無法使用，或者你信任的超市面臨癱瘓，這是多麼令人沮喪的事。這正是英國零售巨頭 Marks & Spencer（M&S）和 Co-op 曾經面臨的真實困境。

在 2024 年，M&S 遭受了名為 DragonForce 的勒索軟體組織攻擊，這不只是一般的系統故障，而是一場精心策劃的網路犯罪。駭客直接將勒索信件寄給 M&S 的執行長 Stuart Machin，信中不僅要求贖金，更威脅要公開數百萬客戶的私人資料。你能想像，當企業最高層收到這樣的恐嚇時，會面臨多大的壓力嗎？

這場攻擊對 M&S 來說，是一場真正的災難。根據估計，M&S 因此次攻擊可能損失高達三億英鎊，這可是一筆天文數字！而且，他們的線上訂購服務也因此中斷了超過六週，這讓許多習慣線上購物的消費者感到不便。不僅如此，攻擊可能還是透過 M&S 的 IT 服務供應商 Tata Consultancy Services（TCS）的員工帳戶作為入口。這也提醒了我們，企業不只需要管好自己的資安，連合作夥伴的資安漏洞，都可能成為駭客入侵的通道，這就是所謂的供應鏈資安風險。

更棘手的是，駭客在勒索過程中，竟然聲稱知道 M&S 的網路保險政策。這暗示著駭客可能事先做了功課，知道 M&S 有保險，因此在勒索時更有恃無恐，這讓 M&S 面臨是否支付贖金的兩難。英國國家打擊犯罪局（NCA）已經將這類網路犯罪組織列為重點調查對象，顯示政府對此類威脅的重視。

以下是 M&S 案例中的關鍵影響：

駭客組織策略轉變：Scattered Spider鎖定保險業

網路犯罪的世界瞬息萬變，駭客組織的目標也不是一成不變的。過去幾年，我們常聽到零售業、科技業成為駭客攻擊的目標，但現在，情況似乎有了新的變化。

有一個名為 Scattered Spider（分散蜘蛛）的網路犯罪組織，過去主要鎖定高端零售商，像著名的 Harrods 百貨也曾是他們的受害者。但最近，他們卻將攻擊目標從零售業轉向了美國的保險業！你可能會問，為什麼會這樣呢？

Google 威脅情報小組（GTIG）的分析師 John Hultquist 發現，美國保險業已經出現多起具有 Scattered Spider 特徵的入侵事件。這個組織非常特別，他們是一個鬆散的團體，經常在一個名為「The Com」的駭客社群中活動，而且他們有一個習慣，就是會一次專注攻擊一個產業。想像一下，就像一群「網路游牧民族」，他們會週期性地改變自己的「狩獵場」。

為什麼會轉向保險業呢？保險公司掌握著大量的敏感個人資料，包括健康資訊、財務狀況，甚至是社會安全碼等。這些資料對駭客來說，就像是價值連城的寶藏，可以用於身份盜竊、詐騙，甚至轉售給其他犯罪集團。這對保險業來說，無疑是敲響了資安警鐘，提醒他們必須對可能採用的社交工程與SIM 卡交換等攻擊手法，提高警覺。

以下是 Scattered Spider 組織的策略特徵：

• 專注於特定產業，定期更換目標。
• 利用社交工程和SIM卡交換等技術進行入侵。
• 在駭客社群中活躍，善於情報分享和合作。

大規模資料外洩衝擊：Krispy Kreme的警示

當企業未能妥善保護資料時，後果可能非常嚴重。全球知名的甜甜圈品牌 Krispy Kreme 就經歷了一次大規模的資料外洩事件，這為所有企業敲響了警鐘。

在 2024 年 11 月，Krispy Kreme 發生了一起嚴重的資料外洩事件，影響人數多達 161,676 人，其中大部分是他們的員工及其家屬。你可能會想，員工資料外洩會有多嚴重？這可不是普通的資料！這次外洩的資料範圍非常廣泛，包含了大量的高度敏感個人資料：

• 姓名、出生日期、駕照號碼
• 社會安全碼、護照號碼
• 金融帳戶資訊、信用卡資料
• 數位簽名、使用者名稱與密碼
• 電子郵件與密碼
• 生物識別數據（例如指紋、臉部辨識資料）
• 美國移民局登記號碼、美國軍事身份證號碼
• 醫療資訊、健康保險資訊

你能想像，這些資料一旦落入不法分子手中，會造成多大的麻煩嗎？這些資訊足以讓駭客進行信用詐騙、甚至偽造身分。儘管勒索軟體組織 Play 聲稱對此事件負責，但他們並未提供確鑿證據。

這起事件再次凸顯了企業在保護客戶與員工敏感個資方面所面臨的巨大挑戰。無論是客戶還是員工，都將自己的高度私密資訊託付給了企業，企業有責任確保這些資料的安全。對於我們個人來說，也意味著我們必須更加警惕，隨時注意自己的個人資料是否有被盜用的風險。

以下是 Krispy Kreme 資料外洩的主要影響：

網路攻擊手法解析與企業防禦破口

了解駭客常用的攻擊手法，就像了解敵人的戰術一樣重要。這樣，我們才能更好地保護自己。勒索軟體組織和網路犯罪分子，通常會利用以下幾種方式來入侵企業系統：

1. 社交工程（Social Engineering）： 這是駭客最常用的手法之一，他們不會直接攻擊電腦系統，而是利用人性的弱點來取得資訊。例如，他們可能會偽裝成企業的 IT 協助台人員、客服中心人員，或是你認識的同事，透過電話、電子郵件或簡訊來誘騙你。他們可能會說：「你的帳戶有點問題，請提供你的密碼讓我檢查一下。」或者「我們偵測到你的電腦有病毒，請點擊這個連結下載軟體來修復。」一旦你上當，提供了資訊或點擊了惡意連結，駭客就能成功入侵。

2. SIM 卡交換（SIM Swapping）： 這是一種更為複雜的詐騙手法，駭客會冒充你，向你的電信業者申請「更換 SIM 卡」。一旦他們成功說服電信業者，你的手機號碼就會被轉移到駭客持有的 SIM 卡上。這樣一來，所有發送到你手機的驗證碼（例如銀行交易驗證碼、社群媒體登入驗證碼）都會被駭客收到，他們就能輕易地登入你的帳戶，竊取資金或個人資料。

3. 釣魚詐騙（Phishing）： 這是指駭客發送偽裝成合法機構（如銀行、政府、知名企業）的電子郵件或簡訊。這些郵件看似真誠，但點擊其中的連結後，可能會將你導向一個假的網站，竊取你的帳號密碼，或是在你的電腦中植入惡意軟體，進而部署勒索軟體。

這些駭客組織也發展出非常「專業」的營運模式。例如，DragonForce 就不只自己發動攻擊，他們甚至提供「勒索軟體即服務」（Ransomware-as-a-Service，RaaS），就像你租用雲端服務一樣，其他想發動勒索攻擊的人可以租用他們的工具，而 DragonForce 會從收取的贖金中抽取 20% 的佣金。這種模式讓網路犯罪變得更容易，也更普及。

以下是主要的網路攻擊手法及其特點：

企業的防禦破口往往存在於幾個地方：

• 員工資安意識不足： 最常見的還是人為因素。如果員工不夠警惕，很容易成為社交工程的受害者。駭客可能會偽裝成 IT 協助台人員，誘騙員工授權存取他們的設備，進而部署勒索軟體。
• 供應鏈資安漏洞： 就像 M&S 的案例，即使企業自己的資安防護做得再好，如果合作的供應商或第三方服務商有漏洞，也可能成為駭客的突破口。
• 系統更新與修補不即時： 許多勒索攻擊都是利用已知的軟體漏洞。如果企業未能及時更新系統或修補漏洞，就像打開大門讓駭客進入。

以下是常見的企業資安破口與防護措施對照：

因此，加強員工的資安意識培訓，定期進行資安演練，並建立嚴格的供應商資安管理機制，對於企業來說至關重要。

應對資安挑戰：政府、企業與你我的協同防線

面對日益複雜且頻繁的網路威脅，單靠企業或個人是很難應對的。這就像打一場沒有硝煙的戰爭，需要政府、企業和我們每一個人共同努力，才能築起一道堅實的防線。

你或許會想，政府在其中扮演什麼角色？以英國國家打擊犯罪局（NCA）為例，他們已經將 Scattered Spider 這樣的網路犯罪組織列為重點調查對象。這顯示了國際執法單位正積極加強對網路犯罪的打擊力度，透過跨國合作來追查、逮捕駭客，並瓦解他們的犯罪網路。只有這樣，才能從根本上遏止網路犯罪的滋生。

對於企業來說，資安防護已不再是 IT 部門單一的責任，它必須被提升到策略層次。這意味著企業領導者需要投入更多的資源，建立全面的資安管理體系。具體來說，企業應該怎麼做呢？

1. 技術防禦： 投資先進的資安技術，如入侵偵測系統、防火牆、資料加密技術等。

2. 流程建立： 制定完善的資安政策與應變計畫，例如定期備份資料、建立應急處理流程，確保在發生攻擊時能迅速復原。

3. 人員培訓： 持續提升所有員工的資安意識，讓每個人都成為資安防線的一部分。例如，教導員工如何辨識釣魚郵件、如何安全地使用網路和設備。

4. 供應商管理： 對於合作夥伴和第三方供應商，必須進行嚴格的資安風險評估，並要求他們達到一定的資安標準。

5. 資訊共享： 積極參與資安社群，與其他企業和資安專家分享威脅情報，共同抵禦攻擊。

而對我們個人來說，也絕不能置身事外。我們應該養成良好的網路使用習慣，例如使用複雜且不重複的密碼、啟用雙重驗證、不隨意點擊不明連結、定期更新軟體等。當我們每個人都提升警覺性，就能大幅降低被駭客利用的機會。

以下是個人資安防護的關鍵措施：

• 使用強而獨特的密碼，避免重複使用。
• 啟用雙重驗證（2FA）來增強帳戶安全。
• 定期更新操作系統和應用程式，修補已知漏洞。

總之，網路安全是一場持久戰，沒有人可以完全倖免。政府、企業和每位公民的共同參與和協同合作，才能構築一道堅不可摧的防線，保護我們的數位世界，讓每個人都能在安全的網路環境中生活和工作。

免責聲明： 本文僅為教育與知識性說明，旨在提供網路安全相關資訊，不應被視為任何形式的財務、投資或其他專業建議。所有投資均存在風險，讀者在做出任何決策前，應尋求專業人士的獨立意見。

延伸閱讀：專業詞彙小字典

常見問題（FAQ）

Q：如何辨識釣魚郵件？