資安路上，技術防線只能擋風雨，人的習慣才擋得住子彈

一個點擊，損失千萬：資訊安全領域有個殘酷的事實 —— 再強的防火牆也擋不住員工的一次「好奇點擊」。技術防護只佔 20%，人的習慣與意識才是決勝的 80%。

再以最近南韓 G 槽事件，越是重要的資料，落實執行資安的重要性也越大，備份技術面並不難，但願意落實去執行才是關鍵，當然這麼大的管理機構會忽視備份，不太可能，外界報導細節眾說紛紜；就算技術具備，還要編列足夠的預算、並落實演練才是關鍵。

資安重要性、資安意識，不能只在 IT 人員，需要是全公司全員有資安意識，還有筆者苦口婆心在 Day26 提出的 資安要自上而下，需要是高層支持、知道與辨識風險後，願意預算支持，IT 技術才有落實的可能，才不至於困於無米之炊。

💡 IT 技術只能擋風雨，人為習慣才能擋子彈。

今天整理了一些 安全意識 的資料，可以供企業全員參考。

一封假郵件，騙走企業千百萬貨款

(真實案例改編)

事件

ABC 實業公司，老闆詢問會計，國外 DEF 企業的貨款已經拖了一個多月，怎麼還沒入帳。會計莊小姐說：每個月底都有寄送對帳單，不然我們在請業務 林經理詢問。

林經理立馬寫信詢問，DEF 公司則回覆，已經付款。

經過雙方仔細查對，是對方收到我方更改銀行帳號訊息，他們已經依照指示付款的新的銀行帳戶。

這個 顧客有付款、我們沒收到錢的事件，讓 ABC 公司損失了數百萬。

這是怎麼發生的？

ABC 公司業務 林經理的信箱，密碼設定是公司的電話號碼，駭客在展覽場合拿到 林經理的名片，很容易就可以進入 林經理的信箱。

駭客可以進入信箱後，不動聲色，暗中觀察、學習 林經理寫信風格、語氣...，先是告訴顧客慢一點在付款，然後在 中秋連假發信告訴顧客：更改銀行帳號、並請立即付款。

DEF 公司與我們本來就有時差，又在連假電話聯繫不上的情況下，被緊急催款...，然後就匯款到駭客的銀行帳號了。

💡 快事緩辦 (台語：緊事寬辦)

如何預防這樣的事情：

1. 嚴謹的帳號密碼、可以降低被侵入的機會：

• 電子郵件密碼務必設定嚴謹
• 最好能再加上 MFA 多因素驗證。
• 另外，不曝露帳號名稱也是一種保護方式。比如：登入帳號名稱 與 公開的信箱名稱不一樣。(這得視系統而定，並非每個系統可以這樣設定)

2. 事先與顧客約定好：變更銀行帳號，務必在經過電話確認、不能僅僅只依照 E-Mail 指示。
3. 技術面：要能避免被冒名發信：

• SMTP（Simple Mail Transfer Protocol）郵件傳輸協定設計於 1980 年代，當時是學術用途，基於彼此信任，並沒有內建身份驗證機制。
• 實踐郵件驗證三寶：SPF、DKIM、DMARC。其中 SPF 會宣告：誰可以代表你企業的網域發信。

4. 管理面上：也要教育並要求：員工不能以私人信件跟顧客聯繫，以免私人信件端的安全破口。
5. 如果反過來，我們收到通知變更銀行帳號事宜時，也務必要電話或其他不同聯繫管道進行確認。

💡 外部來信≠內部指令；急、催、改流程，警覺心要起、先停下確認之。

一個點擊，十萬粉絲瞬間被劫持

(真實案例改編)

事件

ABC 實業公司 小珍負責公司社群經營，某一天收到 Facebook 公司，說是違反條款，需要驗證，驗證後隔天，Facebook 粉絲頁管理權就不翼而飛了...

事情是怎麼發生的

小珍 收到的訊息如下：

 Facebook 關於違反條款的重要通知！
- 如果您不驗證，您的帳戶可能會永久鎖定。
我們想通知您，您的 Facebook 帳戶目前正在接受審核，並且可能會被暫停。 2025 年 9 月 25 日，由於檢測到被認為違反我們社群標準的內容，包括不適當的圖像、語言或內容。
◉ 為了保護您的帳戶，您必須向我們驗證您沒有違反規則，以保護和維護帳戶的運作。請造訪下麵的申訴頁面開始驗證流程：
https://facebook-meta-team-2025-pages-net-br.pages.adm.bq/facebook-help
注意：如果我們在接下來的 12-24 小時內沒有收到您的回復，您的帳戶可能會被永久停用。
Facebook Community Support Group
© 2025 Meta Platforms, Inc. – All rights reserved.

小珍 心想，Facebook 是公司業績來源之一，是不是自己寫了什麼內容違反規定，那就該上去瞭解、並說明清楚，務必好好保護多年來經營的幾十萬粉絲的成果。

結果，點了連結，輸入密碼，整個過程都長得跟平常操作的 Facebook 一樣，最後最後，很開心留言說明了。就在等待 Facebook 回覆，之後好跟老闆報告：我幫公司做了一件好事。

可是明天上班時，卻發現 Facebook 登入不進去了，粉絲頁被別人張貼了其他訊息。這下 小珍 慌了...

如何預防這樣的事情：

• 事件解析：這是一個傳統的 釣魚事件，以前常出現在 Email、現在 Facebook 常見，尤其你是 粉絲頁管理員時，更是常見。
• 釣魚事件經過：
  • 駭客偽裝系統管理員發給你一封信 (或是 FB 訊息、或是簡訊、或是 Line 訊息...)，可能是告訴你：密碼到期、系統有問題、違反什麼規定...，
  • 最終就是要誘導你到一個偽裝的系統網頁 輸入你的帳號、密碼，
  • 不管你輸入什麼他都會通過，但是駭客卻已經騙到了你的帳號密碼
  • 駭客得到你的密碼後，就登入你的系統，更改密碼，然後踢走其他管理員，佔山為王。
  • 為什麼容易上當：
    • 好奇心、擔心
    • 沒有辨識來源擁有者是否可靠，
    • 駭客的網站的樣子，做得實在很仿真。(認真看通常有破綻)
    • 資安防護意識不足。
• 如何預防：
  • 這個很難用技術面來預防，因為人就是要點，什麼系統也都阻擋不了、預防不了。
  • 以這個案例而言，關鍵在於 人 是否能辨識出 這是釣魚訊息。
  • 這個訊息的網址是 facebook-meta-team-2025-pages-net-br.pages.adm.bq
    • 一開始又是 facebook、又是 meta ，會很容易以為是 facebook 這家公司發出來的。
    • 其實，辨識網域擁有者，是後面 兩到三個段落： pages.adm.bq 、或是 adm.bq 才是網域擁有者。
    • 並不是 facebook-help
  • 只要辨識出 網域擁有者，就比較容易判斷出是不是跟我有關，無關的訊息就不要好奇，有關的訊息才再進一步研究是否處理。
  • Facebook 可以加強的部分：
    • 電子郵件會收到異常訊息時，收到時要留意：
      • 當你的 Facebook 被改密碼時，通常會收到電子郵件。
      • 但你也可能會以為是釣魚信件而忽略。
      • 如果 Facebook 留有備用信箱，那麼兩個信箱應該都會收到警訊，這樣可以提升真實性的判斷。
      • 平常你要測試：修改密碼測試一下信箱會收到什麼信？備用信箱會怎麼樣？
    • Facebook 帳號要建立 MFA，這也是 Facebook 非常強烈建議的。
  • 如果很擔心、又實在需要輸入 帳號、密碼時：
    • 其實也可以第一次故意輸入錯誤的帳號、或是錯誤的密碼，如果錯誤的帳號、或錯誤的密碼可以進入，那可能就是有問題。(當然能有警覺性明辨有問題，不要進來試，還是比較好的啦)
    • 一般系統密碼輸入連續錯誤三次才會被鎖住，只錯一次並不影響。
  • Facebook 粉絲頁管理員，至少要有兩位，當一位有問題時，另一位還可以處理，如果另一位被剔除管理員權限，則會收到電子郵件、並有申訴恢復的管道。

💡 駭客靠的是你的好奇與焦慮；你多看一眼、多確認一下，他就少賺一筆。

其他常見案例

撿到 USB 隨身碟，好開心

• 撿到 USB 隨身碟，好漂亮、好開心
• 駭客通常會在 USB 碟的 autorun 放入病毒、駭客程式...。隨意插隨身碟，你就可能中招。
• 撿到 USB 隨身碟，最好的處置就是放原處、或失物招領，讓遺失的人自己來領回去。
• 如果沒有人領的隨身碟，就要小心。

業務的筆電回來後，刪除了伺服器上的檔案

• 事件經過通常是：
  • 筆記型電腦在戶外想上網，又不捨得用自己的手機流量，使用了公共或不知名的 wifi ，因此造成中毒。
  • 中毒的筆電回公司後可能做的惡有：刪除伺服器檔案、偷竊檔案...等等。
  • 也可能沒有中毒，但透過該 wifi 的資訊，全被 wifi 攔截、偷取。
• 如何預防：
  • 教育 筆電使用者：不被信任的 wifi 務必不要使用。
  • 公司如果配筆電給同仁在公司外 WFH，最好也考慮提供 4G/5G 網路。

💡 風險不稀奇，掉以輕心才可怕。

離職員工惡意刪除公司資料

• 離職員工惡意刪除公司資料，這個防治方法只有靠平常有效的備份。

員工 copy 公司資料，然後開了一家新公司

• 員工 copy 公司資料，然後開了一家新公司。這個只能落是最小權限原則，讓每個人只能拿到自己工作所需資料。

良好的工作習慣

資安事件繁多，筆者也難以一一列舉。僅整理良好的工作習慣，如下表所示，供大家參考。

💡 一個好習慣，抵過十套設備。

小結

資安不是一套軟體，也不是一次講座；它是一群人每天做對的小事。

資安也不能只靠 IT ，而是全公司每個人的責任。今天透過真實案例我們看到：

一個簡單的「點擊」或「輸入密碼」，就可能造成企業數百萬損失或多年經營成果瞬間歸零。

三個關鍵認知

1. 技術防護有極限：再強的防火牆也擋不住員工的一次疏忽
2. 人是最大變數：80% 的資安事件源於人為因素，不是技術漏洞
3. 習慣決定安全：良好的工作習慣比昂貴的資安設備更重要

立即可行的防護原則

• 🔍 懷疑一切：對「緊急」、「立即」、「違規」等字眼保持警覺
• 📞 電話確認：任何涉及金錢或重要變更的郵件都要電話確認
• 🛡️ 多重驗證：重要帳號務必啟用 MFA，多一層保護多一分安全
• 🚫 點前三思：游標懸停看網址 → 檢查寄件者 → 確認網域可信

最重要的提醒

👉 記住：駭客最擅長利用我們的「信任感」、「好奇心」和「時間壓力」。當你感到被催促或擔心時，反而要更加冷靜。慢一分鐘確認，勝過快一秒後悔。

資安防護不需要高深技術，需要的是每個人都養成良好的安全習慣。從今天開始，讓我們一起成為企業資安防線上最堅實的守護者！

💡 技術防線只能擋風雨，人的習慣才擋得住子彈。🎯