供應鏈資安的破口在帳號：委外系統被「合法登入」，企業怎麼防？

 

這起事件的起點是一組外流的帳號憑證，攻擊者用它登入訂票系統業者的系統，存取委外客戶的資料。根據報導，業者發現後已封鎖存取並展開暗網調查；兩家航空公司在 10 月 20 日接獲通知，隨即通報主管機關，也以電子郵件通知受影響的顧客。

 

目前確認外洩的是部分客戶訂位代號（PNR），其他外洩內容仍在調查中。兩家航空公司都表示，沒有證據顯示自家內部資料庫遭駭。換句話說，企業就算把自己的系統守得很好，只要委外廠商的系統用的是「一組帳密就能登入」的方式，資料還是可能從別人那裡外洩。

 

 

合法登入難察覺的原因很直接：系統看到的是正確的帳號與密碼，不會把它當成攻擊。攻擊者不需要破解漏洞，也不會觸發防毒或入侵偵測的警示，只要登入行為看起來像平常的使用者，就能長時間存取資料。

 

這類風險在委外與供應鏈關係裡特別常見，原因有三個：

 

• 帳號數量多、分散在不同單位：委外廠商、維運人員、合作夥伴各有帳號，資訊部門（IT）很難掌握每一組帳號現在還有誰在用。
   
• 帳號常常只靠密碼保護：密碼可能被釣魚騙走、在其他網站外洩後被拿來撞庫，或被記在共用文件裡。
   
• 登入紀錄沒人看、或看不出異常：同一組帳號從哪台設備、哪個時段、哪個地點登入，如果沒有規則與紀錄，出事後很難回頭查。
   

 

無密碼登入的價值在於：登入不再依賴可以被偷走的密碼。以符合 FIDO（線上快速身分驗證聯盟標準）的方式登入時，使用者用手機掃描 QR Code（二維條碼），再用指紋或臉部辨識完成驗證，驗證靠的是綁在使用者裝置上的公私鑰。攻擊者就算拿到帳號名稱，沒有使用者本人的手機與生物特徵，也無法完成登入。

 

零信任存取則處理「登入之後」的問題：每一次連線都要先通過身分、設備與環境的檢查，而且只開放這個身分該用的資源。即使有人登入成功，也只能在被允許的設備、時段與地點使用，帳號太久沒用會自動鎖定，所有登入後的行為都留下紀錄。

 

兩者搭配起來，讓偷來的帳號「登不進來」，就算進來了也「用不久、看得到」。

 

 

以下建議寫給要開放系統給委外廠商、維運人員或合作夥伴登入的企業資訊主管與資安負責人。這些做法不需要一次全部到位，可以從風險最高的帳號開始。

 

• 建議一：高風險帳號先改成無密碼登入

 

先從能存取客戶資料、訂單或後台管理介面的帳號開始，把登入方式改成通過 FIDO 認證的無密碼登入。偉康科技 webcomm OETH 取得 FIDO UAF 與 FIDO2 認證，使用者用手機掃碼加生物辨識就能登入，不必記密碼，資訊部門也少處理密碼重設。OETH 支援 OpenID Connect（開放身分連結）與 SAML 2.0（安全斷言標記語言）兩種標準介接方式，可以串接既有系統做單一登入，雲端服務與地端部署都可以選，不必汰換現有的身分系統。

 

• 建議二：委外連線改走零信任存取閘道

 

委外廠商遠端連進來時，不要直接開放傳統 VPN（虛擬私人網路）。Array ZTAG 零信任存取閘道器採用 SPA（單封包授權）技術，服務埠口對外不可見，只有通過驗證的用戶端才能開啟連線；登入時支援多因子驗證與內建動態密碼（OTP，一次性密碼），並可用硬體辨識（HWID）限定只有登記過的設備能連。這樣即使帳號外流，攻擊者用自己的電腦也連不進來。

 

• 建議三：替每一組委外帳號設定有效期限與使用規則

 

委外專案結束、人員異動後還能登入的帳號，是最容易被忽略的破口。ZTAG 可以設定帳號有效期限、閒置自動鎖定、同時連線數，以及限制可連線的時段與登入地點；登入後也能依角色限縮權限，只開放這個廠商需要的系統。規則訂好之後，帳號到期就自動失效，不必靠人工記得去關。

 

• 建議四：保留完整登入紀錄，定期回頭檢查

 

這起事件的可疑存取時間可能長達三年，代表異常登入很久都沒有被發現。ZTAG 保留完整的登入後審查紀錄，策略中心也會持續評估使用者行為、環境與設備風險，遇到異常（例如裝置卸載防毒軟體、離開辦公室）可以要求二次驗證或強制登出。建議每月至少檢查一次委外帳號的登入設備、時段與地點，把「沒人看的紀錄」變成可以追查的證據。

 

資褓儲存代理 webcomm OETH 與 Array ZTAG，可以依企業現有的身分系統與委外連線方式，規劃分階段導入。想評估自家委外帳號的風險，歡迎來信 Marketing@datasitter.com 洽詢。

 

 

Q：供應鏈資安是什麼？為什麼委外廠商出事會影響到我們？

 

A：供應鏈資安是指企業透過委外廠商、軟體供應商或合作夥伴所承擔的資安風險。當委外廠商的系統存放或處理企業的資料，廠商的帳號一旦外流，攻擊者就能用正常身分存取這些資料，即使企業自己的系統沒有被入侵，資料仍可能外洩。

 

Q：帳號憑證外洩後，為什麼很久都沒被發現？

A：因為攻擊者用的是真的帳號與密碼，系統會把登入當成正常行為，不會觸發一般的攻擊警示。如果沒有限制登入設備、時段與地點，也沒有定期檢查登入紀錄，這類存取可能持續很長一段時間才被察覺。

 

Q：無密碼登入真的比較安全嗎？

 

A：符合 FIDO 標準的無密碼登入，驗證靠的是只保存在使用者手機中的私鑰（伺服器端僅存放對應的公鑰），私鑰不會離開手機，也不會在網路上傳送，沒有可以被釣魚騙走或撞庫的密碼。攻擊者就算知道帳號名稱，沒有使用者本人的裝置也無法完成登入，因此能大幅降低帳密外洩造成的影響。

Q：導入零信任存取，一定要汰換現有的 VPN 嗎？

 

A：不一定要一次汰換。企業可以先把委外廠商、維運人員這類高風險連線改走零信任存取閘道，例如 Array ZTAG，再依使用情況逐步擴大範圍。ZTAG 支援 Windows、Mac、iPhone 與 Android 等用戶端作業系統。

 

Q：webcomm OETH 可以跟現有的帳號系統一起用嗎？

 

A：可以。webcomm OETH 支援 OpenID Connect 與 SAML 2.0 標準介接，能串接既有的內部與雲端系統做單一登入，也可以作為 VPN、虛擬桌面（VDI）與 Windows 登入的驗證來源，不必汰換現有的身分系統。