韓國最大電信業者 SK Telecom（SKT）近日爆發嚴重資安事件，駭客透過惡意程式入侵，竊取用戶的 USIM 相關資料，造成個資外洩。KPMG 顧問服務部營運長謝昀澤表示，依據目前的資訊分析，這次事件的根因可能與 SKT 的資安預算縮減有關。
SKT 去年減少網路安全支出，使得駭客利用多種惡意軟體進行攻擊，並成功入侵 SKT 的系統。謝昀澤示警，由於全球不景氣與多國政府大幅削減預算，使得政府與大型企業，開始重新被國際駭客集團盯上。
謝昀澤以美國網路安全主管機關網路安全暨基礎架構管理署（CISA）為例，近期該機構即因預算刪減，已停用幾款重要的資安分析工具，而這些工具對於惡意程式偵測和網路資安監控至關重要，如此定會削弱國家整體的網路防禦能力。
謝昀澤分析，過去民眾普遍認為 SIM 卡攻擊因成本較高，不易大規模執行，通常是鎖定高價值受害者的駭客手法，但這次 SKT 事件顛覆過去的想法，根據國外媒體報導有超過 25 種資料型態及大量行動服務資訊遭外洩，駭客透過這些資訊，即可偽造 SIM 卡、冒用他人身分。
謝昀澤指出，若 SIM 卡遭偽冒複製，駭客不僅可掌控受害者的身分驗證機制，創造出「暗黑數位孿生（Dark Digital Twin）」的偽 SIM 卡，還可能進一步修改其在銀行、證券等高敏感機構中的基本資料與聯絡資訊，甚至竄改交易內容，造成金融交易失序。
謝昀澤說明，其實 SIM 卡遭到攻擊並用於金融犯罪的風險，已受到各國金融監理機關的高度重視，新加坡金融管理局（MAS）與香港金融管理局（HKMA）從 2024 下半年起，已相繼要求金融機構停止使用 SMS 傳送交易驗證碼，改為推行透過APP內推播的驗證碼與一次性密碼（OTP）機制。
KPMG 數位安全實驗室主管林大馗指出，目前台灣金融機構仍有大量行動服務仰賴手機門號進行身分驗證，這類機制的潛在風險亟需重視，並發展對應的安全強化方案。
謝昀澤提醒民眾，正值報稅季，手機金融服務預期將被大量使用，民眾要謹記五個重點，才能避免自己成為手機 SIM 卡攻擊的受害者。
- 不要讓手機門號成為單一驗證機制。
- 不要提供過多的個人身分驗證資訊。
- 要設定足夠複雜的密碼：因為 SIM 卡交換攻擊（SIM Swapping），主要攔截透過簡訊傳送的二次驗證碼（OTP），無法破解第一道以密碼為主的驗證機制，因此強化第一關的密碼強度，可有效提升整體防護力。
- 要設定重要交易即時通知的第二管道：例如 LINE、Email。
- 留意應收到而未收到的交易簡訊通知。
（首圖來源：shutterstock）
科技新報粉絲團
加入好友
訂閱免費電子報
