紐時報導資安危機,台積電遭病毒感染成案例

作者 | 發布日期 2018 年 11 月 22 日 9:45 | 分類 網路 , 資訊安全 follow us in feedly

網路攻擊近年愈來愈猖獗,金融、零售廠商屢屢受害,製造業也無法倖免。紐約時報 21 日以台積電 8 月遭病毒感染為例報導,惡意軟體可能造成產線停擺,許多廠商卻輕忽風險。



今年 8 月,晶圓代工廠台積電工程師安裝新機台時,未在機台連接網路前加以隔離,確保無病毒,導致機台感染的勒索軟體 WannaCry 變種病毒入侵公司網路。報導說,製造業低估資安風險,台積電學到慘痛教訓。

台積電總裁暨副董事長魏哲家當時在記者會駁斥謠言,指台積電未遭駭客攻擊,他坦承此事是台積電「自身疏失造成」。

幸運的是,台積電只花幾天就全面恢復正常運作,原本預估第 3 季營收恐因病毒感染折損 2%,結果未受影響。台積電企業訊息處資深處長孫又文透過電郵向紐時表示,這是因台積電及時完成部分延遲訂單,「其他領域需求增加」也有助抵消損失。

默克藥廠(Merck & Co.)與食品大廠億滋國際(Mondelez International)就沒這麼幸運了。兩家公司去年遭勒索軟體 NotPetya 攻擊,損失慘重,但在申報文件避談營運受影響的細節。

根據億滋遞交美國證券管理委員會(SEC)年報,NotPetya 攻擊對億滋的全球業務、經銷及財務網絡影響甚鉅,淨損失雖然只占億滋全球營收 259 億美元不到 1%,仍達 1.036 億美元(約新台幣 31.8 億元)。

默克在申報文件中表示,NotPetya 攻擊擾亂默克的全球製造、研究和業務運作,導致去年營收流失 2.6 億美元,預估今年營收將再折損 2 億美元。若扣除保險給付,默克為此付出 2.85 億美元(約新台幣 87.9 億元)成本。

報導指出,駭客一般鎖定可轉賣牟利的個人資料,製造業面臨的風險沒那麼高,但不法分子的動機已變得更複雜。有些駭客利用惡意軟體向系統運作停擺的企業勒索,想拿到加密貨幣,有些則試圖竊取智慧財產權,包括專利資訊、配方和設計藍圖。

人工智慧應用平台供應商 C3 創辦人希伯(Thomas Siebel)直言,製造業面對資安威脅的態度輕忽。

即使有教育訓練和專家警告,許多廠商員工仍隨意開啟可能擾亂公司運作的釣魚郵件。隨著駭客手法愈來愈高明,物聯網(IoT)技術蓬勃發展,網路攻擊的潛在危害不容忽視。

電子元件廠商新美亞(Sanmina)資深副總裁巴特爾(Manesh Patel)表示,許多資訊科技(IT)公司與同業因彼此競爭,在製造層面比較不會互通訊息,但他認為應有一套凌駕於競爭關係的資安措施。

除了加強資安投資,巴特爾也建議企業網路分段(segmenting),讓廠商能在不影響系統其他部分的情況下固定更新設備。另一種途徑是採用白名單(whitelisting),因為以黑名單防範已知病毒太被動,指定可在電腦系統執行的應用軟體,更能有效防毒。

(作者:尹俊傑;首圖來源:Flickr/Christiaan Colen CC BY 2.0)