鐵鎖橫江

加密勒索軟體的威脅今年下半又開始肆虐，我們在2013年曾以《史上最狠毒勒索軟體入侵臺灣》為題，報導了CryptoLocker大舉入侵臺灣，以及因應之道，然而經過兩年，加密勒索軟體不但沒消聲匿跡，反而又有越演越烈之勢，根據資安廠商賽門鐵克的觀察，10月已發現4.4萬個感染個案。而在所有的勒索軟體中，採用加密的方式來攻擊使用者檔案的比例，也大幅增加，另一家資安廠商趨勢科技的統計資料顯示，今年第三季的加密勒索軟體比例，已超過整體勒索軟體的8成（在第一季時，加密與不加密的勒索軟體的比例勢均力敵）。

而受害數量最多的使用者，有何共通性？在趨勢科技全球技術支援與研發中心的部落格上，特別針對CryptoWall和TorrentLocker這兩支加密勒索軟體，統計出因為開啟郵件或網頁的網址連結而感染的使用者比例，結果是中小企業最多，其次才是大型企業或一般消費者──感染前者的中小企業就高達67.23％，感染後者的中小企業也有46.36％。

而臺灣的公司行號當中，中小企業又是占絕大多數，根據經濟部103年的統計，總共有超過135萬家，占比高達97.61％，所以，若不設法制止加密勒索軟體的擴散，這些公司都暴露在極大的風險下，勢必對於我國經濟發展有所影響。因此，事前預防這類型的威脅，事中的因應，以及長期的防禦之道，一般公司行號都必須重視，及早宣導與準備相關處理流程與方案來應變，以免發生重要檔案打不開，得設法付贖金，卻又不一定保證能解套，甚至還無法保證日後免於受威脅。

類似這樣讓使用者無法存取資料或網路服務的資安問題，近年來越來越容易發生，像是網站面臨巨量DDoS分散式阻斷攻擊，最近聯合報系的聯合新聞網（udn.com）就遭遇到此種威脅（12月8日），攻擊發動期間，使用者無法正常瀏覽該站網頁。

回顧以往出現過的惡意攻擊手法，早期是癱瘓作業系統、格式化硬碟，後來則以奪取系統管理權限、竄改應用程式，以及竊取重要檔案與資料等方式進行，有心人士會將不當取得的資料轉賣而獲利，到了現在，黑客們可能會發動DDoS攻擊阻斷你的網站，讓使用者無法瀏覽網頁，或是利用加密勒索軟體來綁架檔案，逼你付贖金，害人的作法越來越高明，並且不斷利用人性的弱點，讓自己的目的得逞。

這樣日益困窘、進退兩難的態勢，不由得讓我想到金庸小說《連城訣》裡面的一段對話。主角狄雲向師叔言達平詢問，何以師父戚長發的外號叫做「鐵鎖橫江」，他解釋道：「那是人家說他計謀多端，對付人很辣手，就像是一條大鐵鏈鎖住了江面，叫江中船只上又上不得、下又下不得的意思。」

更何況，有心人士想要對使用者施加許多種方法，讓電腦系統、網路應用、數位內容無法發揮其應有的作用，但如今這樣的手法或是系統突然出現一些異狀，可能只是攻擊過程的其中一個步驟或階段，為了治本雖然需要投入很多資源，以往總讓人覺得不切實際，但如果每次面對這些安全問題，只採用治標的角度來應對，別忘了！日後還有許多層出不窮的威脅，可能接踵而來，你還天真地以為對方會因為企業規模小、IT預算有限，就放過你嗎？在這個時代裡面，只要你有一點點錢，就可能成為目標。就算從你的身上撈不到錢，對方還是可以偷偷綁架你的電腦，組成殭屍網路去癱瘓別人的系統或網站。

如果不想成為受害者，也不願成為共犯，唯一的方法就是持續提升自身的資訊安全，藉由人為的流程管控與技術的協助，增強對威脅的免疫力。（相關報導請參考：「中小企業加密勒索軟體教戰守則」）