NordVPN 承認伺服器有安全漏洞，讓攻擊者得以攔截用戶流量

全球知名的加密 VPN 服務 NordVPN 近日證實，位於芬蘭數據中心內的伺服器，曾遭外部人士非法存取，但因為 NordVPN 採行「無日誌紀錄」政策，所以沒有任何用戶帳號、密碼與個人資料儲存在伺服器並外洩，但攻擊者有可能透過攔截特定流量，明白使用者正在瀏覽哪些網站。

NordVPN 指出，2018 年 3 月他們發現位於芬蘭的 VPN 伺服器出現安全漏洞，主因在於他們租用的數據中心，服務提供者為伺服器安裝遠端控制軟體，但卻沒有告知 NordVPN，因此造成安全風險，使任意外部人員都有機會透過該軟體，存取 NordVPN 租用的伺服器。

無日誌紀錄立功，駭客獲知資訊有限

由於 NordVPN 主力是保障用戶，透過 VPN 上網以維護安全隱私，所以伺服器皆採用「無日誌紀錄」政策，記錄使用者登入帳號、密碼與任何一切活動的日誌，都不會儲存於伺服器，因此使用者資料不可能外洩。

NordVPN 技術顧問委員會負責人 Tom Okman 表示，這次的資安事件只能讓有心駭客存取 NordVPN 伺服器後，攔截「特定用戶」的「特定流量」，最多只能明白該使用者在瀏覽哪些網站，但即便是網頁內容，入侵者也無從得知。

Tom Okman 進一步指出，除非 NordVPN 的使用者指定連線到單一國家的 VPN 伺服器，否則按照預設，NordVPN 會每 5 分鐘切換一次 VPN 連線位置，藉此保障用戶隱私。換句話說，除非使用者剛好連到位於芬蘭的伺服器，且駭客也正好攔截該名用戶的流量，才有可能造成瀏覽網站資訊外洩。

延遲公布消息時間，官方解釋原因

雖然 NordVPN 位於芬蘭的伺服器出現安全風險的期間，為 2018 年 1 月 31 日至 2018 年 3 月 20 日，但 NordVPN 相信，這段時間內伺服器只被外部人士存取過一次。至於超過一年才對外公布遭駭消息，NordVPN 則解釋，因為他們希望確認自家服務的基礎建設，能達到 100% 安全，沒有其他相關問題會再遭駭客利用，所以才拖延公開時間。

最後，NordVPN 表示，駭客從芬蘭數據中心伺服器獲得的資訊，都無法用於解密其他地區的 VPN 伺服器或流量，雖然有個被盜的加密金鑰，本來可用來進行「中間人攻擊」，讓駭客偽裝成 NordVPN 的伺服器，但由於金鑰已過期，即便有心人真的拿來利用，駭客也僅能針對單一使用者的特定狀況，手段會太「複雜」且「客製化」。

Tom Okman 說，目前 NordVPN 已利用電子郵件，將資安風險訊息通知可能受影響的用戶，但他也說，就整體狀況而言，他不會將這件事定義為 NordVPN「遭駭」，畢竟起因來自獨立的安全漏洞，真要說 NordVPN 被駭了，或許有些言過其實。