中油、台塑遭骇！专家：骇客动机不单纯 连USB插笔电都要小心
近期两大石化公司和半导体公司大厂，纷纷传出遭骇客攻击的事件，KPMG数位科技安全服务负责人谢昀泽表示，过去几年台湾政府、金融业、电商及高科技产业常受到骇客攻击，相较而言台湾石化业鲜少受到大规模资安事件，是资安绩优生。
近年国际上许多国家的油、水、电等关键基础建设常遭到攻击，导致大规模灾难者屡见不鲜，像是国际大型电厂、石油库、水库水坝、飞航网路等高机敏设施控制系统，都曾被骇客光顾过。这类「一只病毒摧毁核子反应炉」还真实在中东国家上演。
谢昀泽表示，传统骇客攻击一般企业多是想要取得财物、客户个资、营业机密等有价值的原因，但是国际上关键基础建设遭攻击常是为了瘫痪这些有关民生关键设备的运作，实际目的并不单纯。
进一步分析，近年来关键基础建设愈来愈常被攻击，与传统营运科技( OT)资讯联网有高度相关。当传统封闭控制系统（ICS）等诸多OT设备开始连上网路，采用开放式架构进行数位作业后，骇客入侵机会与管道就大增，此外关键基础建设直接涉及民生重要活动，更是国家级骇客觊觎的目标，也大幅提高资安防务的困难程度，大型企业与关键基础设施业者未来面临骇客更大挑战是想像中事，并非意外。
▲骇客攻击关键基础建设，目的与攻击一般企业不同，主要是想要瘫痪民生设备运作。（图／免费图库Pixabay）
KPMG数位科技安全服务副总邱述琛表示，过去的企业，常将资安防护重心放在网路与核心伺服器上；而今日的企业，资安风险管理的范围，则必须要扩大到全数的联网设备，尤其是容易遭到忽略的终端个人电脑、移动式设备、终端销售机（POS）、刷卡机、电子支付设备、网路摄影机、远距视讯会议设备等任何一个联网设备上。
尤其在疫情期间，大幅依赖远端维护工作时，更是遭骇的危险期。邱述琛提醒，所有人员连将一支小小USB插入笔电，或是收到一封与真实邮件极度类似的伪冒钓鱼邮件时，都应有风险意识与足够的资安防护作为。
邱述琛补充，经济部正式颁布了「能源及水资源领域工业控制系统资安防护基准」，这是国内主管机关针对业管的关键基础设施订定明确的最新实作指引，产业需要正视。只要积极落实执行并持续检讨精进，相信对未来国内相关产业的资安防护会有相当大的帮助。