中油、臺塑遭駭！專家：駭客動機不單純 連USB插筆電都要小心
近期兩大石化公司和半導體公司大廠，紛紛傳出遭駭客攻擊的事件，KPMG數位科技安全服務負責人謝昀澤表示，過去幾年臺灣政府、金融業、電商及高科技產業常受到駭客攻擊，相較而言臺灣石化業鮮少受到大規模資安事件，是資安績優生。
近年國際上許多國家的油、水、電等關鍵基礎建設常遭到攻擊，導致大規模災難者屢見不鮮，像是國際大型電廠、石油庫、水庫水壩、飛航網路等高機敏設施控制系統，都曾被駭客光顧過。這類「一隻病毒摧毀核子反應爐」還真實在中東國家上演。
謝昀澤表示，傳統駭客攻擊一般企業多是想要取得財物、客戶個資、營業機密等有價值的原因，但是國際上關鍵基礎建設遭攻擊常是爲了癱瘓這些有關民生關鍵設備的運作，實際目的並不單純。
進一步分析，近年來關鍵基礎建設愈來愈常被攻擊，與傳統營運科技( OT)資訊聯網有高度相關。當傳統封閉控制系統（ICS）等諸多OT設備開始連上網路，採用開放式架構進行數位作業後，駭客入侵機會與管道就大增，此外關鍵基礎建設直接涉及民生重要活動，更是國家級駭客覬覦的目標，也大幅提高資安防務的困難程度，大型企業與關鍵基礎設施業者未來面臨駭客更大挑戰是想像中事，並非意外。
▲駭客攻擊關鍵基礎建設，目的與攻擊一般企業不同，主要是想要癱瘓民生設備運作。（圖／免費圖庫Pixabay）
KPMG數位科技安全服務副總邱述琛表示，過去的企業，常將資安防護重心放在網路與核心伺服器上；而今日的企業，資安風險管理的範圍，則必須要擴大到全數的聯網設備，尤其是容易遭到忽略的終端個人電腦、移動式設備、終端銷售機（POS）、刷卡機、電子支付設備、網路攝影機、遠距視訊會議設備等任何一個聯網設備上。
尤其在疫情期間，大幅依賴遠端維護工作時，更是遭駭的危險期。邱述琛提醒，所有人員連將一支小小USB插入筆電，或是收到一封與真實郵件極度類似的僞冒釣魚郵件時，都應有風險意識與足夠的資安防護作爲。
邱述琛補充，經濟部正式頒佈了「能源及水資源領域工業控制系統資安防護基準」，這是國內主管機關針對業管的關鍵基礎設施訂定明確的最新實作指引，產業需要正視。只要積極落實執行並持續檢討精進，相信對未來國內相關產業的資安防護會有相當大的幫助。