6月资安事件通报量 衝今年高点

资安署表示，事中通报应变，6月实兵演练攻击成功案件较多，以不安全组态设定为主，其次为注入攻击与无效的存取控管等事件，占通报件数66.67％。

此外，月报中也揭露，根据联防情资，近期骇客疑利用遭破解的关键基础设施人员电子邮件帐号，以「麻烦协助确认」主旨与通行码保护恶意压缩檔，对特定制造业公司发动社交工程邮件攻击，相关情资已提供各机关联防监控防护建议。

较特别的，月报提到，罕见有电话节费盒遭骇事件，某机关发现公务电话遭不明人士盗打进行诈骗，经查为机关使用网路电话，发现有外部IP拨打情形，判断是设置于机关内部电话节费盒遭外部恶意登入后，进行未授权拨号所致。

资安署指出，事件发生后已变更设备帐号密码，评估设备后续使用效益与资安风险。并坦言，过去没有相关通报案例。

资安署也建议机关，因设置远端存取供维护人员进行故障排除或更新，容易低估设备重要性而疏于存取限制管理，将可能遭受暴力破解、预设帐密攻击或弱点利用，因此仍应遵循「原则禁止，例外允许」原则，进行系统维护作业。

第二，强制使用高强度密码、定期更新并移除预设帐密。资安署说明，部分厂商为便于使用者取得产品操作说明书，会将其公开于网路提供下载阅读，但内容可能涉及预设密码，若未变更预设密码易遭有心人士取得利用。