電商知識

即便駭客入侵依舊上演，企業能可利用資安意識回防

發布 2021-04-27· 更新 2021-04-27· 約 17 分鐘閱讀

！

資訊安全涵蓋了網路、網際網路、端點、API、雲端、應用程式等各項領域的安全機制，最近因為新冠肺炎疫情，雲端視訊會議引發一連串的熱議，也讓我們再一次了解過往企業多半選擇資訊化的原因，以及其帶來的優劣勢，並從中正視資訊安全。

數位化所衍生的資訊安全議題

企業藉由數位化的過程，不但可以提升公司對外形象、走向國際，也能提升企業營運優勢，不過，我們也需要知道先前有相當多數位化的危機出現，例如：軍機外洩、機密報告被駭光、職訓e網會員個資外洩等，又甚至是網站直接遭到掛馬、成為駭客攻擊工具。以上這些事件也付出了慘痛的代價，更讓大家不得不重視資訊安全性，而我們所謂的資訊安全正是強調了CIA，包含：—機密性（confidentiality）、完整性（Integrity）以及可用性（Availability）。事實上，這核心的概念就是指資料隱私，這也是資訊安全最重要的部份。

雲端視訊會議為什麼跟資訊安全有關係？

這次的新冠肺炎疫情，掀起全球居家辦公的數位化熱潮，也率先讓視訊會議起家的Zoom引爆的資訊安全議題備受矚目。正因為雲端視訊會議能夠不受地理位置的限制，他擁有音訊和視訊會議、白板、共享螢幕、會議錄影存檔以及雲端連結即刻存取等方便性，無論大企業、又或者小單位，都能夠輕鬆應用在公務上。

台灣專業的雲端整合及代管服務提供商 – 晉泰科技，也特別強調企業在計劃導入雲端服務的同時，一定要同步考量到潛在的資安風險，如此才能放心享受雲端服務所帶來的效益。企業內部隨著營運不斷成長，設備與系統的數量也成長快速，因此面對眾多的設備、系統、帳號也成為公司資安管理的重要議題。

這次， Zoom這次會鬧得沸沸揚揚，就是大家聚焦於在視訊會議上數位資料存取和傳遞。因為，有部分的流量會透過中國的伺服器做資料的交換，對於未經允許和同意下網際網路上的資料存取，就成為大數據應用上的破口。尤其企業端，絕非願意再次歷經資訊安全疑慮和衝擊，因此，在這樣情況下，企業為了協防數位資料，有些選擇使用其他相似功能的軟體替代以因應這次新冠疫情的營運，例如：Microsoft Teams、Hangouts等，而日前社群龍頭Facebook也順勢抓住商機；同樣祭出視訊會議等服務，瓜分市場。

駭客威脅防不勝防，擁有高度資安意識成為最重要的事！

綜合上面所提，資訊安全的威脅也並非一天兩天的事，先別說中小企業，大型企業甚至是國家級等牽涉利益的單位，直到目前仍難以依靠己力抵擋大規模攻擊，事實是：一旦遭到駭客鎖定而受害，其影響的層面往往不堪設想。因此，我們對於如何改善企業的資訊安全需要高度重視，不過企業時常這些責任丟給資訊人員，在此我也提出了質疑，因為即便資訊人員具備數位相關的專業、也可能是單位中主要應用資訊的人，但絕大部分的員工包括管理階層，都仍然是資訊系統的用戶端，所以他們也同樣有必要具有相關知識，才能盡可能做到滴水不漏。

我認為，企業在決策裡納入資安的考量，能夠避掉用戶端缺乏資訊安全認知所衍生的後續問題。我也建議企業除了可藉由建立健全的法務部門處理意圖牟取不當利益狀況外，更該增加數位安全漏洞檢核機制，統一彙整管理機密資料。更重要的是，培養所有員工資訊安全的意識與敏感度，如此一來，才能強化數位安全，並且實質保障企業數位安全。

電商賣家最該補的資安破口：金流、帳號與第三方串接

原文談的是企業整體的資訊安全意識，但對經營蝦皮、momo、Yahoo、PChome 與官網的電商賣家來說，威脅往往集中在「金流」「賣場後台帳號」與「第三方工具串接」這三個面向。許多盜刷、假退款與假客服詐騙，並不是駭客攻破伺服器，而是從這些日常營運的縫隙鑽進來。

換句話說，電商的資安不只是 IT 部門的事，更是營運與客服每天都會碰到的風險。把下面這些做成標準作業流程，能大幅降低被鎖定的機會。

官網金流一律走具備 3D 驗證的合法金流商，避免自行儲存完整信用卡號；信用卡資料盡量交給通過 PCI DSS 的金流商代管。
各通路後台與廣告帳號全面開啟兩階段驗證（2FA），主帳號與員工子帳號分權限，離職立即停權。
串接出貨、客服、行銷自動化等第三方 App 時，逐一檢視授權範圍，移除已不使用的串接，避免 API 金鑰外洩變成側門。
客服與小編帳號避免共用同一組密碼，並定期更換；後台登入盡量限制公司或固定 IP。
保存出貨單、對帳單時去識別化處理買家個資，內部檔案不以明碼放在共用雲端硬碟。

買家個資與簡訊詐騙：賣家不可不知的連帶責任

電商最常見、也最傷品牌的資安事件，是訂單個資外洩後衍生的「假冒客服、謊稱訂單異常、要求 ATM 解除分期」詐騙。一旦買家接到精準報出姓名、商品與訂單編號的詐騙電話，受害的是消費者，但信任崩壞與後續客訴、退貨潮卻會直接打在賣家身上。

依個人資料保護法，蒐集與保管買家個資的賣家負有合理安全維護義務。與其事後滅火，不如從源頭降低個資被取得的機會，並備好標準回應話術，讓買家第一時間能辨識真假。

明確告知買家：平台與賣場「不會」以電話要求操作 ATM、提供驗證碼或解除分期，並把這句話寫進出貨通知與官網常見問題。
盡量透過平台官方站內信或官方 LINE 官方帳號聯繫買家，避免用個人門號發送含連結的簡訊，以免買家難以分辨真偽。
限制後台「可匯出完整訂單個資」的人員，匯出動作留下紀錄；行銷名單與客服系統分流管理。
定期檢視合作的簡訊商、客服外包與物流端，確認對方同樣具備個資保護機制。

中小型電商的低成本資安落地清單

原文提到大型企業與國家級單位都難以靠己力抵擋大規模攻擊，這點對人力有限的中小電商更是寫實。但資安不必一開始就導入昂貴系統，多數有效的防護其實是流程與習慣，成本極低卻能擋掉大部分機會型攻擊。

建議以「先把基本盤做滿」為原則，把下列項目排進每季的營運檢查，逐步建立可被稽核的資安節奏，而不是等出事才補。

帳號盤點：列出所有通路後台、廣告、金流、客服與雲端工具的帳號清單，標註負責人與權限，每季更新一次。
資料備份：官網、訂單與商品資料採異地或雲端自動備份，並實際做過一次還原測試，確認備份真的能用。
更新管理：官網外掛、佈景主題、伺服器與員工電腦的系統更新不拖延，過期未維護的外掛立即移除。
教育訓練：用真實的釣魚信與假客服案例對全體同仁做演練，讓最常接觸訂單的客服與小編具備辨識能力。
事件演練：預先寫好「疑似個資外洩」的對外公告與內部通報流程，降低真的發生時的反應時間與品牌損害。

被盜後的黃金一小時：電商賣家的事件應變劇本

多數賣家把資安重心放在「如何不被入侵」，卻沒準備「被入侵後怎麼辦」，結果事發當下手忙腳亂、把證據刪光、又對外亂發聲明，反而把小事變大事。真正成熟的做法是事前把應變流程寫成一頁的劇本，讓任何值班同仁照著做就能止血。應變的第一原則是「先隔離、後處理」，不是急著把帳號改密碼就以為沒事，因為攻擊者可能已經設好轉單規則或新增了協作帳號。建議把這份劇本印出來貼在出貨區或客服桌旁，因為事故常發生在系統當機、登不進後台的時候，雲端文件反而打不開。

以蝦皮、momo 或官網被盜帳號為例，最該優先做的是暫停自動拋單與金流提領，避免損失持續擴大。

第一步先切斷：暫停官網後台 API 串接、關閉自動出貨與自動提領，阻止損失滾大
保留證據再改密碼：先截圖異常訂單、登入紀錄與站內信，再重設密碼與踢出所有裝置
盤點波及範圍：檢查是否被新增協作帳號、修改收款帳戶、變更出貨地址或客服自動回覆
對外口徑統一：客服、社群小編、LINE 官方帳號只發同一份已核可說法，不臆測、不甩鍋
事後復盤歸檔：記錄發生時間、入侵路徑與處理動作，更新劇本並排定下次演練日期

把資安意識變成日常 SOP：給非技術同仁的具體訓練法

文章談到員工與管理階層都是系統用戶端、需要資安知識，但「要有意識」這句話對客服、倉管、社群同仁來說太抽象，落不了地。比較有效的做法是把資安動作直接綁進既有工作流程，讓人不必特別記、做事順手就完成防護。例如把「核對收款帳戶有沒有被改」設成每天開店的固定檢查項，把「點外部連結前先確認寄件網域」寫進客服處理私訊的步驟。訓練不必開大型課程，用每月一次、十分鐘的真實案例討論，效果往往比一份沒人看完的規範文件更好。重點是讓同仁知道「為什麼」而不只是「不准」，他們才會在遇到沒寫在規則裡的新狀況時自行判斷。

針對台灣電商最常見的破口——假冒平台客服、假後台登入頁、誘導點擊的對話——可以用內部模擬測試讓同仁親身體驗被釣的感覺。

把防護綁進流程：開店先對帳號設定、出貨前核對地址、退款前二次確認收款資訊
用真實情境演練：每月挑一個近期實際發生的詐騙手法，全員花十分鐘討論換作我們會不會中
設計可疑就停的暫停權：授權任何同仁遇到怪訊息可先暫停動作回報，不必怕擋到出貨被罵
區分權限與分身帳號：客服、倉管、行銷各用各的帳號，離職或外包結束立刻停用並交接
管理階層帶頭示範：老闆與主管同樣做雙重驗證、不在群組丟後台密碼，制度才壓得住

第三方工具與外包窗口：你看不見的延伸攻擊面

電商營運很少單打獨鬥，金流、物流、電子發票、行銷自動化、客服機器人、代操小編往往散在好幾家外部廠商手上，每一個串接點都是一扇你沒在看的門。風險在於這些窗口拿著你的後台權限或 API 金鑰，他們自己若被入侵，等於你也跟著被入侵，而合約裡常常根本沒寫資安責任。實務上建議建立一份「外部存取清單」，記清楚誰有你哪個系統的權限、給了什麼層級、什麼時候該收回。特別要留意「離職與合約到期」這個常被忽略的時點，很多外洩不是被駭，而是離職人員或結束合作的廠商帳號一直沒被關掉。導入新工具前，花時間看它要求的授權範圍是否過大，是降低延伸風險最划算的一步。

以串接 LINE 官方帳號的第三方行銷工具、或外包代操 momo 與蝦皮後台為例，要把最小權限與定期盤點當成基本紀律。