資安專家表示，台灣勒索軟體攻擊多，可能與擁有重要製造業供應鏈有關，且製造業產值高、較難承受營運中斷的損失，因此成為駭客眼中的肥羊。（示意圖，路透）

〔記者徐子苓／台北報導〕傳晶圓代工龍頭廠台積電供應商遭駭，被勒索7000萬美元。據統計，製造業是勒索軟體攻擊的重點目標，且台灣受攻擊量在全球榜上有名，供應鏈資安也逐漸受到重視。資安專家建議，企業應加強對員工的培訓和資安意識，以防範勒索軟體威脅。

根據資安大廠Fortinet的全球報告，去年製造業淪為勒索軟體攻擊的重點目標，駭客的勒索金額不僅在所有產業排名最高，也更容易支付贖金，更有4分之1的製造業廠商表示，遭索取的金額達100萬美元（約合新台幣3117萬元）以上。

另一間資安大廠Palo Alto Networks也指出，去年台灣勒索軟體攻擊數量為全球第12名，在亞太區為第3名，排名均較去年顯著提升，台灣超過一半的攻擊來自Lockbit，是近年最活躍的勒索軟體組織之一。

一名資安專家表示，台灣勒索軟體攻擊多，可能與擁有重要製造業供應鏈有關，且製造業產值高、較難承受營運中斷的損失，因此成為駭客眼中的「肥羊」；但其實像台積電這類大型企業資安防護佳，駭客較難攻破，往往從供應鏈脆弱的環節著手，竊取供應商資料後向企業施壓、勒索。

Fortinet資深技術顧問楊光明說，其實勒索軟體不是新手法，近年對企業的威脅也持續成長中，且攻擊方式越來越多元，包含惡意網站、釣魚郵件誘發企業點擊，導致一些惡意程式被下載到電腦裡，接著探索內部資料或橫向感染等。

駭客竊取到重要資訊後，開始「擄物勒贖」，將檔案或系統加密，可能先在暗網販賣賺一票，接著要求受害企業支付贖金，扒第二層皮。

楊光明分析，製造業環境通常包含IT（資訊科技）和OT（營運科技）兩大領域，IT領域因各種資安防護已部署多年，已有一定的防禦能力，OT領域往往是整個企業裡較弱的一環。

至於是否該支付贖金，專家看法不一。台大電機系教授林宗男表示，美國官方文件不建議受害企業支付贖金，原因是無法保證資料能夠拿回來，且可能讓駭客更囂張；但實務上，企業不付贖金，駭客可能就會公布資料，導致競爭對手買下受害企業的機密，所以是很兩難的問題。

企業該如何防範勒索軟體威脅？仍要回歸「人」的問題。楊光明說，資安體系中，人員的培訓和資安意識非常重要，企業可建立一些SOP，例如打開郵件時，不要隨意點選連結，或是員工發現可疑活動時，即應聯絡公司IT部門來探查，安全地使用公司的資產來對外連線。

林宗男也說，企業不應認為安裝資安軟體就夠了，傳統資安思維不足以抵禦現在駭客精進的手法，企業應痛定思痛、建立全面性的防護思維，否則除了贖金之外，企業被駭對商譽也是一種損失。

感謝您分享有用資訊