駭客建置專業資料庫　五千萬筆個資上線

警政署刑事局破獲有史以來規模最大的個資外洩事件，包括健保局、教育部等公家單位以及多家電信公司、購物平台的個資，高達五千萬筆資料遭竊。駭客還將蒐集來的資料建置成資料庫網站，供下游詐騙集團查詢

刑事局偵九隊今天（8/27）指出，自2007年就接獲中華郵政報案，表示網路郵局遭駭客入侵，盜出數十名客戶存款購買網路遊戲集點卡，再利用遊戲交易洗錢。深入追查後發現，駭客不只入侵中華郵政，而是已經建置了完整的個資資料庫，裡面包含公家機關、電信公司、購物平台等單位流出的資料，高達五千萬筆。

偵九隊表示，這是首度發現有駭客以資料庫方式經營個資買賣，詐騙集團只要購買點數，就可登入該資料庫網站，利用關鍵字查詢各種資料。除了輸入姓名可查詢外，功能還細微到只要輸入「機關名稱」，就可將相關個資撈出。

這也是台灣、中國大陸雙邊詐騙集團、駭客的合作成果。由中國駭客在台灣租用主機代管服務，對各單位主機進行攻擊，竊走伺服器上的資料。不過除此之外也有內部員工將資料外洩。犯罪集團再以查詢每筆資料約300元的代價販賣給下游詐騙集團。

雖然資料外洩事件自2007年就開始頻傳，不過偵九隊也表示，利用資料庫來經營上下游個資交易的手法還是第一次見到。從內含五千萬筆資料的規模來看，去年開始陸續發生的各大網路書店、購物平台等資料外洩事件或許都只是冰山一角，駭客的最終目的是建置完整的資料查詢系統。

企業應確實做好主機端防禦
雖然目前無法證實所有資料都是遭駭客入侵取得，不過資安專家建議企業、政府單位都應加強主機端安全管理。

賽門鐵克資深技術顧問莊添發表示，駭客可能以網站應用程式的漏洞，或是廣泛散佈木馬程式，直接利用這些電腦當跳板，在企業內部進行攻擊。

他解釋，閘道式的防護，是以特徵為比較基準，無法了解伺服器上面的惡意活動，所以企業需要加強部署主機型的安全防護。例如賽門鐵克的Critical System Protection就是專門針對伺服器主機而設計。

McAfee技術顧問沈志明也指出：「許多企業都忽略了主機防禦的重要性。」所謂的主機防禦分為網路端及伺服器端，目前多數企業在網路端部署已經足夠，「不過那就像走道監視器，不一定有足夠的人力、時間針對每個回應進行判斷、監控。」他說，因此有些攻擊可能就這樣被忽略，企業應更加強終端防護，也就是所謂主機入侵防禦偵測系統（HIPS）。

雖然刑事局是首次在台破獲系統化經營的個資資料庫，不過安全廠商在國外早已發現這樣的趨勢，也就是網路犯罪已經趨向商業化。

McAfee在2007年底發布的虛擬犯罪報告就提到，網路犯罪將趨向客製化，這種地下經濟甚至會發展為拍賣網站、產品廣告以及技術支援服務。沈志明也指出，將個資以資料庫經營的模式在國外已發現過，這已經是全球性的資安犯罪趨勢。