‼️ 勒索軟體駭全台！又傳大企業受害，我國資安拉警報 ‼️

今早美國網路媒體 #BleepingComputer 率先披露（bit.ly/3xejmGi），一群使用勒索軟體Revil的駭客試圖勒索Apple要求其買回產品藍圖，更涉嫌從Apple筆電製造商廣達電腦的網路中竊取大量數據資料，並要求支付天價贖金。

根據該篇報導，#REvil 已在暗網上洩漏了十幾份MacBook組件的示意圖，儘管沒有跡象表明它們中的任何一個是Apple的新產品，但REvil駭客警告說，如果廣達不開始就贖金進行談判，「所有Apple設備的圖紙以及員工和客戶的所有個人數據將在隨後的銷售中發布」。而駭客要求廣達必須在4月27日之前以加密貨幣XMR支付5000萬美元，或者在倒計時結束後支付1億美元。

其實現在 #資安勒索 比大家以為的、檯面上看到的多很多，包括之前宏碁、仁寶都曾經遭到駭客鎖定攻擊並遭勒索贖金。即便是這麼大的公司，資安防護跟稽核都無法滴水不漏、防不勝防，一方面除了駭客的勒索手法與使用軟體持續進步外，另一方面則突顯我國企業資安人才缺乏與資安防護漏洞嚴重的問題。

#勒索軟體（Ransomware）是什麼？它是一種源於密碼病毒學（cryptovirology ）的惡意軟體，除非向駭客支付贖金，否則它會威脅發布受害者的數據或永久阻止對目標檔案的訪問。儘管某些簡單的勒索軟體僅是鎖定系統，從而使技術高超的人不難解除，但更高級的惡意軟體使用一種稱為「加密病毒勒索」（cryptoviral extortion）的技術。它會加密受害者的文件，使其無法訪問，並要求支付贖金以解密。

勒索軟體最早從大概2007年開始出現，近幾年無論是金額或件數都以倍數成長，特別是在去年疫情爆發後，使得線上銷售、宅經濟、雲端服務、遠距教學及工作模式倍增，卻也成為新的網路犯罪溫床。甚至還有駭客組織推出「#勒索軟體即服務」（RaaS）的模式，提供網路攻擊服務。

美國網路安全公司帕羅奧圖（Palo Alto Networks）的網路安全研究人員分析了針對北美和歐洲組織的勒索軟體攻擊，發現為換取解密密鑰而支付的平均勒索贖金，從2019年的115,123美元增加到2020年的312,493美元，暴增三倍！同時，駭客越來越貪婪。從2015年到2019年，勒索軟體的最高需求為1,500萬美元，2020年，這個金額增長至3,000萬美元。

為了提高勒索成功率，駭客也開始持續精進犯罪手法，尤其是一些犯罪集團開始鎖定大企業作為狩獵標的，成為所謂的「Big game hunter」。這些駭客為了確保被勒索的企業有能力且有意願支付數十萬到數千萬美金不等的勒索贖金，從過往漫天撒網劫掠資料、加密勒索的方式，進階到鎖定特定產業或企業的「#針對式勒索」。我們看到仁寶、宏碁跟這次的廣達，以及國外包括蘋果、FedEX、俄羅斯電信、本田Honda等大企業的勒索軟體攻擊，都是屬於這種針對式的手法。

根據奧義智慧共同創辦人叢培侃及趨勢科技台灣區暨香港區總經理洪偉淦在網路上的公開說法，駭客組織為了確保受害者勢必得支付贖金，已經啟動了被稱為「#雙重勒贖」的新作案手法，即發動方式採用APT滲透攻擊，先行潛伏竊取資料，並在加密企業資料之前同步備份，完成後再啟動勒索軟體執行加密勒索，並且威脅不支付贖金就公開企業及其客戶的商業機密甚至個資，以確保受害企業必定花錢消災。

在交付贖金方面，容易使用、加密因此難以追查的 #虛擬貨幣 出現，解決了以往網路犯罪集團最傷腦筋的 #隱藏金流 問題，也間接帶動駭客開始透過勒索軟體加密企業資料的方式，遠端向受駭企業要求以加密貨幣支付贖金，成為犯罪者的保護傘。除了盛行的比特幣（Bitcoin）之外，駭客也常要求以匿名隱私幣的XMR支付贖金，因為XMR無法追蹤交易，因此成為暗網常用的交易媒介。

勒索軟體攻擊的氾濫，凸顯出我國企業資安的長期問題，包括業界長期反應缺乏專業資安人才的培養計畫以及政府資源錯置，如CTF 競賽偏向駭客攻防技術，和實際政府和企業的防禦性資安人才需求有落差，如今就連企業資安防守的課程要找到合格師資也相當困難。如何正確的佈署資安的縱深，並強化整體企業資訊防護安全，是政府相關單位的當務之急。

虹安呼籲，政府與社會應該要對資安攻擊背後的目的以及對於事業體、國家可能造成的嚴重傷害有充分認知，數個公司、數個相似產業的事業體遭受攻擊，除了損失贖金與客戶資料、衝擊股價甚至影響商譽而掉單，都可能導致我國科技產業的長遠危機！

政府既已號稱成立「#資安國家隊」，就應該盡快提出包括應對勒索軟體在內的 #資安解決方案，協助科技產業加強與整合資安防護資源，共同發展最適當的防禦因應措施，以保護我國科技產業與全民的資訊安全不受勒索威脅！

📒參考資料：
1.勒索軟體大轉型，防禦難度提升：黒產供應鏈經營成本高，鎖定有能力付贖金的知名企業
https://www.ithome.com.tw/news/143458
2.不給錢就公布　竊資型勒索橫行
https://www.netadmin.com.tw/netadmin/zh-tw/market/464E17819569476E94344EDEBDEECAD6
3.資安險如何回應 勒索軟體攻擊事件
https://www.aon.com/getmedia/3dd6d44a-a783-43e3-8c89-db5b7a2c97fd/2020-cyber-risk-case-study-CN.aspx
4.加密勒索程式的 特性與特徵
http://tprc.tanet.edu.tw/tpnet2020/training/10909.pdf
5.Largest ransomware demand now stands at $30 million as crooks get bolder
https://www.zdnet.com/article/largest-ransomware-demand-now-stands-at-30-million-as-crooks-get-bolder/
6.Highlights from the 2021 Unit 42 Ransomware Threat Report
https://unit42.paloaltonetworks.com/ransomware-threat-report-highlights/
7.Largest ransomware demand now stands at $30 million as crooks get bolder
https://www.zdnet.com/article/largest-ransomware-demand-now-stands-at-30-million-as-crooks-get-bolder/
8.駭客入侵台灣10大企業！研華慘遭勒索10億　仁寶認栽付千萬贖金
https://finance.ettoday.net/news/1872347
9.天啊，被勒索了怎麼辦？！10大資安鐵則讓你遠離勒索病毒
https://www.uso.com.tw/portal_b1_page.php?owner_num=b1_55912&button_num=b1&cnt_id=13205
10. 獨家／廣達遭駭1／遭REvil入侵資料庫　客戶設計圖全都露
https://www.ctwant.com/article/113305

寫這篇文章的時候，台灣正處於疫情最嚴重的二三月，此文收錄在《ICU重症醫療現場》
https://reurl.cc/g7WLQ4

事隔253天後，昨天出現一例本土病例，現在回頭看，有很多觀察，或許在台灣已經事過境遷，但是，在和台灣處於平行世界的其他國家，仍然是他們的日常～

【武漢肺炎的社會觀察紀錄】
2020年初爆發武漢肺炎疫情，身為醫療人員，我試著以不一樣的角度，以稍為正向、輕鬆的方式來分享我的觀察。有些項目即使沒有疫情，也很適合留意的。當然，有些可能因為事過境遷，而不能夠完全理解，那大可直接跳過，不必執著於每一個項目都要看懂。……

#這一場疫情_讓我們學到什麼？
1.勤洗手、感冒或有呼吸道症狀要戴口罩、減少出入人多的公共或密閉的場所。這個是全國上下、不分職業、不論年紀，都應該要身體力行的習慣。保護自己、保護別人，無論是否有疫情大流行。

2.沒事不要逛醫院。醫院不是家庭聚會、朋友相見的地方，就算平日也應該要管制出入，留下最少的家屬陪伴患者就好，科技進步，多多採用「視訊探病」。即使武漢肺炎疫情過後，也要持續推動才好。

3.一個自由、民主、公開透明、有執行力、横向溝通良好的政府，才能保障人民的生命財產安全。防疫的事，請交給專業，而且要相信專業。心存感激，感謝費盡心力守護人民生命財產安全的各行各業。

4.名嘴、藝人、各式代理人等公眾人物，如果真的逼不得已，非得公開表態與示好的話，也應該要盡量採取低調與平和的方式，謹慎評估其可能的反彈力道，否則很有可能適得其反。還有，人的記憶有時不太可靠，捐款收據建議都要留下來。

5.關懷、信任、正向面對，遠勝過謾罵、負面的情緒宣洩。假新聞、假消息、謠言無所不在，在發生重大事件的非常時期，很容易引起對立、造成恐慌。不要轉傳未經可靠單位證實的消息，平日即應留意追蹤可靠的消息來源。

#終結恐慌_從疫情中學正向思考
1.知道勤洗手的重要，也知道步驟是「內外夾弓大立腕」，而不是「沖脫泡蓋送」（這是燒傷急救5步驟啦）。本來的「溼搓沖捧擦」是幼幼班基本功，「內外夾弓大立腕」才是高段武功。邊洗手邊唱歌（〈兩隻老虎〉或〈生日快樂歌〉唱2遍），洗滿20秒才算數。

2.醫院門口使用熱感應攝影觀測體溫，連手上拿著熱飲或熱食進出，機器就會嗶嗶叫，儀器準確度值得信賴。額溫槍測量方便，賣到缺貨。一夜之間，大家都和〈無間道〉的劉德華一樣，不再害怕被人家用「槍」指著額頭。

3.總算知道口罩有很多種，而且知道哪一種防飛沫最有效，也知道哪一種人需要排隊買口罩。最重要的是，知道如何戴口罩與脫口罩，及2個口罩可以用7天、2條內褲不能穿7天這件事。

4.全臺灣人民都會區分偶數和奇數了，而且知道「0是偶數」。另外，也知道從健保卡資料就可以查出持卡人曾經到過中國哪一個省分（無法再裝傻）。醫療人員則對陌生的中國地理，有再次複習的機會。

5.認識世界衛生組織（WHO）這個機構，也知道世衛祕書長是非洲裔的譚德塞 （Tedros Adhanom Ghebreyesus）。世界各國看見臺灣醫療與防疫的努力，紛紛表態聲援臺灣加入WHO／WHA。也總算知道衛福部長是陳時中（不是陳時鐘），雖然他一直滴答滴答不停歇（有人可以把他抓去睡嗎？）

6.衛生紙與口罩的原物料不同、產地不同、臺灣的產量與庫存量都不同。至於，人類能否以嗅覺聞出消毒水的比例，目前則尚無定論。雖然曾經有人因為假消息而做蠢事，還好專業人士即時澄清，免除更大的危害。

7.為了順利買到口罩，大家都知道社區或住家周圍的健保藥局在哪裡了。還知道有人這麼厲害，可以馬上做出藥局查詢地圖（還可以查口罩剩餘數量）。最重要的是，藥局都是義務服務大家的，要彼此體諒、耐心排隊、不要再對藥局員工大小聲了。

8.終於分得清楚「自主健康管理」「居家隔離」「居家檢疫」的差別，也懂得感謝被隔離的人，他們的不便，保護了大家。此外，對「病從口入、禍從口出」「木馬屠城記」「一索得難」（中國麻將現在沒有一索）等說法，有更具體、更深刻的體認。

9.習慣天天看或關心及管署的疫情說明，免去接收假消息的危機，對「檢查」「陰性」「陽性」的手語也有初步認識（辛苦手語姐姐了）。當然，每天追蹤「ICU醫生陳志金」也是杜絕假消息必要的（有人不認同的話，等再刷時刪除）。

#武漢肺炎的阿金30大觀察紀錄
1.讓人耐心排隊的，不只高價iPhone，5元口罩也可以
2.很多會議可以說取消就取消，根本也不必再補開
3.醫院出入口管制到剩下一個，也還夠用啊
4.探病，其實是一種可有可無的社交活動
5.即使寒假多放2周，寒假作業還是沒辦法寫完
6.大賣場人潮銳減，才發現本來有很多是專程去試吃的
7.很多人沒發現自己這麼漂亮，直到戴上口罩以後
8.大部分人不相信自己肺活量差到講話也喘，直到戴上口罩以後
9.體會追劇者心情。每天固定時間、等待同一個人在電視上出現
10.不能喝的酒精比能喝的珍貴，原來也有這麼一天
11.這是一個「撿到一包口罩」卻不知道要不要送去派出所的年代
12.不用評鑑督考，醫院也會主動把感染控制做好
13.洗手不必稽核，但是很有學問
14.妝少化一半，原來可以多睡半小時是如此美好
15.手上拿著錢和口罩，被搶的竟然是口罩
16.這是個衛生紙都有人想偷的年代
17.連續假日，花東線車票都買得到，還可以包廂
18.在電梯放屁，比在電梯咳嗽，更能讓人接受
19.適時「咳」一下，是結束談話的最好提示
20.原來，自己會煮的菜比想像中的多更多
21.健保卡比信用卡更有存在感
22.醫院評鑑以後也可以改成5年做1次
23.從來沒有覺得自己的手這麼髒過（洗手次數暴增）
24.在廁所裡排隊的人，原來不是為了上廁所（是洗手！）
25.不熟朋友突然來電，不是借錢，是要問「你有多的口罩嗎？」
26.原來順著「時中」走，這麼令人安心
27.進銀行不必脫口罩，警衛還會提醒「把口罩戴好！」
28.家中遭小偷光顧，首先要查看口罩還在不在
29.不能隨意、盡情的摳鼻孔，居然是這麼痛苦的事
30.口罩成為最重要的角色，必要時刻竟是通行證

疫情爆發後，擔心害怕是必然的，也會經歷許多不便。但非常時期的轉變與不便，讓我們有機會停下腳步來檢視「有沒有什麼事情明明不合理，卻又日復一日進行著？」或許有些是需要被改變，卻沒有勇氣或機會去改變的。或許有些是應該珍惜的，卻又不斷錯過的。轉念看待這場疫情帶來的影響，將為我們帶來正向的變化。

#歡迎分享～
請關注阿金的IG
https://reurl.cc/bR9EVX

政策諮詢報導

衛福部於2017年起全力推動「長期照顧十年計畫2.0」，如今政策執行已屆滿四年，為了回顧攸關國民健康的重大計畫，本智庫於八月二十五日召開政策諮詢會議，會中邀請台大社會工作學系教授馮燕、台灣國際勞工協會研究員吳靜如、台北市產業總工會理事長鄭雅惠、台中市前副市長林依瑩，就不同面向提供各自的見解與分析。

開場與會者就以自身使用長照服務的經驗，指出目前長照申請流程相當複雜，不易於民眾申請使用；根據被照顧者不同的情況，可服務的機構分為A級單位(社區整合型服務中心)、B級單位(複合型服務中心)、C級單位(巷弄長照站)；除了三級單位之外，在長照系統中還有個管師、照服員、復健師等不同的角色負責不同的長照服務。這樣的分級結構，對一般家庭來說相當複雜；因此，當有長照需求時，每一個家庭都需要耗費相當大的心力，去洽詢長照資源，並等候評估入戶，大多數的家庭都無法負擔這樣的成本。

談及整體長照執行情況，中央補助長照經費雖逐年增加，然而實際執行情況不甚理想。舉例來說，106年與107年執行率僅達五成左右，其中智慧健康發展計畫只有不到三成，108年為了拉高執行率，放寬補助條件致使執行率提高達92%，但缺乏稽核管控的政策補助，造成不少專家學者對於品質的疑慮。另一方面，中央為了補足長照經費缺口，設立長照服務發展基金，並訂立額度目標，預計逐年成長至115年可編達736.48億。許多專家學者批評，今年僅預算400億的計畫，目標五年後要成長將近一倍的預算，迄今卻沒有穩定的財源，很難想像未來的長照計畫要如何實現。

根據研究統計，實際上在台灣照顧服務提供者，多數優先考量為家屬(61.2%)42萬人，再來是外籍移工(28.5%)20萬人、機構照顧(4.9%)3.4萬人、居家照顧服務(5.4%)。回到照顧現場，當家庭有照顧需求時，大多數人第一首選是從移工找起。此外，家庭照護類移工一方面不受勞基法管轄，同時也被長照政策體系排除在外，延伸出不少照護問題。
整體而言，台灣老年人口已達14.9%已屬於高齡化社會，每年家庭看護需求量都處於直線上升的狀態。若目前長照政策思維，都維持在將「長照服務視為商品」的話，恐怕只會創造出更廉價的服務品質，造成更惡劣的勞動條件。

長照2.0為實現在地老化，發展了龐大的照顧體系，但執行情形卻遭一線工作者批評不符實際需求，為了解長照政策執行情況，本智庫於九月八日召開政策諮詢會議，會中邀請婦女新知秘書長周于萱、老人福利推動聯盟副主任謝雅涵、家庭照顧者關懷總會副主任張筱嬋，各自針對長照政策不同執行面做分析。

開場與會者先剖析目前照顧服務的家庭困境，根據研究統計，台灣1153萬就業人口中，粗估有231萬人受照顧責任影響，因「照顧」離職約有13.3萬人。這些人所要面對的不僅是家庭的照顧需求，還有離開職場所需承擔的後果；因此長照計畫的核心應以「照顧不離職」為目的，減緩這些人的照顧負擔。但事實上，目前政策限制僅能提供22小時居家服務，這對有需求的家庭來說遠遠不足。
另有與會者指出，目前所謂A級單位(社區整合型服務中心)發展未能符合初期的社區整合服務理念。有民眾不斷反映A級單位人員素質參差不齊，甚至有許多A級單位的個案管理人員，連目前長照計畫能為個案提供什麼樣的服務都不甚清楚。此外，目前支付制度為單項服務支付，當家庭需要洗澡服務，就申請洗澡服務；需要交通接送服務，就申請交通接送服務；服務提供相當片段且缺乏完整性，不力於支持照顧者長期照顧需求與生活安排喘息，建議考量開發包裹式照顧服務，以因應照顧者需求與區域資源不足的問題。


最後提及長照服務員的問題，為了快速擴張人員帳面數字，目前在長照2.0的政策規劃底下，訓練時數僅需90小時，進入門檻相對低。即使如此，大多數人接受完訓練後，也未必都會投入長照產業服務，原因在於相同的工作內容，在醫院從事看護工作，或是自行出來接案當居家服務員，其薪資水準都優於待在政府的長照體系裏面。因此與會者建議政府考量政策時，不應僅考慮如何解決家庭長照服務的需求，也應更全面的思考這些家庭照顧者的培訓問題，以及後續就業支持問題。


台灣長照目前的問題，並不僅止於供給面不足而已，而是有更多的問題在於長照供給者缺乏支持體系。以目前台灣家庭照顧者的樣貌統計，平均照顧時間高達9.9年，每天照顧時間更是高達13.6小時。這些人不僅面臨家庭照顧壓力，同時還要面臨受到照顧責任影響，因而減少工時的壓力，此情況在台灣1153萬就業人口當中，粗估就佔231萬人。若政府沒有提供健全的政策環境，並給予民眾有充分的選擇權，減少被迫成為照顧者的壓力，家庭照顧者的失能與崩壞，將會是另一個嚴重的社會問題。

少子化社會來臨伴隨著高教冰河期，甚至連國立大學碩博士都出現招生掛零的情況，為了解高教產業實際情況，本智庫於九月十五日分別政策諮詢會議，會中邀請南華大學應用社會學系副教授、台灣高等教育產業工會組織部主任林柏儀、全國私校工會理事長，就不同高教產業面向提供現況與見解。


一開始與會者先談及整個大學發展歷史，至今已有九百多年，早期中世界的大學主要組成，是由一群學生對學術有興趣，找學術上有成就的老師教學，抑或是學者們對於傳授知識有興趣，找來一群學生來上課。無論何種方式都以學習為主體，直到美國地方州政府捐地給大學，要求成立理工學院，以此開始定調大學要為社會服務。後來台灣政府治理開始實施新管理主義，提供許多績效獎金補助，讓各個大學在指定的績效成績上做競爭，以至於學校為維護自身補助利益，各校之間不再合作。與此同時，私校在評鑑績效的壓力之下，為了追求補助與成績，會高薪聘請教育部門神(曾任職教育部高階主管的教授)協助學校評鑑。種種為應付評鑑績效的作法，衍生出許多高教問題。


另有與會者沉痛指出「政府喜歡把高教困境，歸類在少子化問題；這做法其實很危險，因為少子化是結果。不可能叫國民現在多生小孩來解決此事；執政當局不能把社會問題推給自然現象，然後雙手一攤表示束手無策」與會者指出高教私有化才是高教困境的背景根源，包含政府挹注教育資源不足，以及為節省成本縱容私人倚靠學費辦學，還有放任學校不計手段節省成本。各種私有化節省成本的手段，衍生出教學品質參差不齊、過高生師比等問題，嚴重影響本國高教品質。

與會者以自身私校多年經驗表示，我國私校高達三百多所，每年需照顧110萬名學生。政府干預私校相當密切，包含管制招生數量、教學品質、學雜費等等，但同時分配給予私校學生的資源卻相當稀少。整個教育資源在計劃經濟下分配相當不均。私校之所以今天會有經營上問題，在於與公校在招生市場上有著不公平的競爭，為了維持財務平衡，只能針對學生不斷減少教育支出，包含零學分服務學習、減少開課、大班教學、凍結師資等；針對老師則是不發年終獎金、扣減研究費、增加授課時數等。如此樽節支出，才能夠勉強持續辦學。

總結台灣高教問題，在於台灣大學數量太多，整體對教育的投資相當不足；以台灣為例，七間國立頂尖大學的預算加起來，幾乎僅等於中國二線城市武漢大學一年的預算經費。除此之外，政府隨著經濟成長，稅收逐漸增加，也因為少子化因素，學生數量減少，所以每一位學生能分配到的教育資源理應增加。因此政府應該要調整高教政策，從私有化思維轉向公共化的政策方針，才能夠解決現今少子化的高教困境。