資安新聞 News

即時掌握最新消息
資安新聞 News

【2022-08】27 Attack 對台灣的資訊攻擊

2022-08-11

◾️ 前情提要

美國眾議院議長裴洛西  （Nancy Pelosi ） 的訪台，引發了中國共產黨政府對於臺灣發動了軍事與經濟上的嚇阻與制裁。本週，一個自稱「中國愛好者」的駭客組織- 27 Attack 對臺灣發動了一系列的資訊攻擊。除了滲透進入超商、台鐵新左營車站的電子看板之外，其也透過分散式阻斷服務攻擊  （DDoS, Distributed Denial of Service ） ，對於各政府組織進行攻擊。

根據美國科技公司 Cloudflare 的解釋：「分散式阻斷服務攻擊  （DDoS, Distributed Denial of Service ） ，是駭客利用大量的網際網路流量，使標的物或周圍的基礎設施不堪重負，癱瘓標的物和系統的運作與服務，進而阻斷標的物伺服器、服務或網路正常流量」的一種惡意攻擊手法。

現任中華民國數位發展部部長- 唐鳳也解釋道：「DDoS 的網攻就像是電話佔線，非常多人跨境打電話到專線，就無法撥進去。」並強調在此些 DDoS 的攻擊下「其實電話線並沒有壞掉，政府資料也沒外洩，主要是想產生心理作用、擾亂民心。」

 

◾️ 27 Attack 是誰

27 Attack  （ @APT27_Attack ） 駭客組織的 Twitter 帳號自 2022 年 8 月上線以來短短幾天便達到了 23 萬的追蹤人數。該組織聲稱該組織成員來自於不同的國家，並說明「若將我們與 APT 27  （中國的駭客組織 ） 相提並論，我們只想說，我們是 27 Attack，也可以稱呼我們為 27」，對於與 APT 27 組織的關聯並沒有明確的澄清與說明。從外交部的聲明中也說明此次的 DDoS 攻擊 IP 主要來自中國與俄羅斯兩個地區。

該組織於本月 3 日  （ 2022/8/3 ） 時發佈影片聲稱對台灣發佈「特殊的網路攻擊」 （special cyber operation ），且此次攻擊範圍主要為公家機關，並不包含臺灣的非營利組織與醫療相關體系。27 Attack 也在 7 日  （ 2022/08/07 ） 時發佈攻擊暫時結束的聲明影片。

 

◾️ 影響範圍

  1. 在美國眾議院議長裴洛西訪台前，統一超商和臺鐵電子看板被置入「反裴洛西文字」與「五星紅旗」等恐嚇型資安事故。

  2. 在裴洛西離台後，臺灣總統府、國防部、外交部網站遭到大量中國、俄羅斯等地 IP 連線 DDoS 的攻擊，外交部發言人歐江安表示，當日政府英文入口網及外交部官方網站 8/2 偵測到 1 分鐘高達 850 萬次連線，意圖癱瘓網站運作；之外，境外網軍在 8 月 4 日中午、8 月 4 日深夜、 8 月 5 日清晨仍持續攻擊外交部相關網站，其中惡意連線次數最大值已高達每分鐘 1 億 7 千萬多次。  （轉自yahoo 新聞 ）

  3. 本月 6 日  （ 2022/08/06 ），民視新聞臺在 YouTube 頻道的網路直播，也受到惡意竄改被放上了「臺灣是中國一部分」的恐嚇訊息，並聲稱兩岸統一是「民意」。民視於7日發佈聲明，指出當日訊源主機遭到入侵並已於 6 日晚間 8時 54 分移除遭到竄改的直播影片。

  4. 本月 7 日  （ 2022/08/07 ），臺灣大學的教務處、研發處網頁也在晚間遭到入侵，在校方未受到資安入侵通知的情況下，學生發現此些網站的圖片，被換上「世界上只有一個中國」的圖片訊息。對此臺灣大學坦言確有此事，並強力修補校內網頁。

  5. 截至 8 月 8 日，27 Attack 宣稱目前已經掌控或侵入了 6 萬至 20 萬臺臺灣系統設備的資料，並說明若是未來臺灣政府仍有挑釁的舉動，會決定公布透過零時差漏洞竊得的政府資料  （原文：if Taiwan continues to provoke we will announce more and more serious 0days ）；除此之外，該組織也於 8日  （2022/8/8 ） 公佈了部份公司源碼和內部資料，其中包括：台電核電平臺的部分網頁原始碼、神腦國際的內部資料截圖等等。

 

◾️ 因應策略

截至目前為止，本站並沒有接收到國家政策、設備、人材培育因應本次事件所做出的明文調整；公家機關與民意在資安議題的重視與反思卻有目共睹：

  1. 在設備上，政府檢討曾宣佈公家機關在 2021 年底要完成汰換機關所使用的中國資通訊產品，全面禁用中國通訊產品，然目前仍有機關未落實的現況。

  2. 技術上，現任中華民國數位發展部部長- 唐鳳建議使用分散式網絡取代傳統網絡系統。唐鳳聲稱此不對稱防禦的 Web3 架構既不用額外花錢也能夠有效避免網攻，並鼓勵民眾「打打看」，測試該架構的可行性，以便未來向各部會機關推廣。

  3. 資安人才培訓上，立委也向執政政府討論可透過「弱點回報獎勵機制」，鼓勵民間高手檢視我國資安漏洞，並建立各類產品的資安標準。並檢討現下政府對 350 資工實戰人才的培育無法滿足資安需求，應該提高培育人才的名額和數量。

  4. 之外，民進黨也於 10 日在中執會請中國事務部主任吳峻鋕以「中共對台認知作戰的觀察與分析」，並希望日後面對認知戰攻惠中央黨部要即時澄清與示警假訊息，讓黨公職、幹部都能很快獲得清楚的訊息，來對支持者做說明。

  5. 國防安全研究院也提出政府機關應持續提升各層級「資安能量」的討論：期許各單位的資安人才足夠在突發的攻擊中仍能保有運作管道暢通及危機應處能力，避免運作與應對機制癱瘓。除此之外，也提出以國家層級為初步構想的「網路戰攻防演練」意見，希望由官方主導及民間資源的投入，藉由攻防演練中獲取更多的網路戰攻防經驗參數，累積經驗與應對方法。

  6. 民間也提出對《資通安全管理法》，簡稱《資安法》的規範漏洞：《資安法》僅規範公部門以及關鍵基礎設施等非公務機關，這裡指的關鍵基礎設施包括能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、高科技園區等領域，民間企業的私部門並沒有完全被納入監督機制。此規範對象不足可能也成為未來資訊認知作戰的破口。 （改述自林宗男 ）

結語

資安的重視範圍不應該只限於國際與國家，企業和個人在使用資訊產品、架設網頁時也須提高警覺，避免未經確認即提供資料輸出分享，不開啟陌生或來路不明的電子郵件及附加檔案，不連結及登入未經確認的網站網址，不下載非法授權軟體及檔案，也需定期進行設備、網頁、系統的弱點檢測，避免潛在的網路攻擊與傷害。從個人、企業、政府到國家，資訊安全是需要全民共同防護和努力的保障與投資。

 

參考資料

TOP