近期 91APP 公布遭受駭客攻擊事件的調查結果，確認攻擊者透過第三方工具進入內部網路，進一步非法存取訂單資料庫。根據 91APP 公布的 25 天調查報告，本次事件依最大可能影響範圍估計，涉及 1,329 個品牌、約 480 萬名消費者，可能遭存取的資料包含姓名、電話號碼、配送地址、電子郵件及訂單紀錄；但這並不代表範圍內每位消費者的資料都已遭到竊取，且官方說明密碼與信用卡、支付資料不在本次遭非法存取的資料庫中。
這起事件再次提醒企業：資安風險不只存在於對外服務的網站或應用程式，也可能從第三方工具、內部系統或權限管理上的疏漏開始，逐步擴大至核心資料。當企業營運高度仰賴雲端服務、數位平台與跨系統資料交換，任何一個未被妥善管理的環節，都可能成為攻擊者進入企業環境的入口。
面對攻擊手法自動化、企業 IT 架構日益複雜的趨勢，企業需要重新檢視的不只是單一設備或防毒工具，而是從漏洞與曝險管理、雲端環境安全、應用程式與 API 防護，到敏感資料保護，建立更完整的資安防禦能力。
從第三方工具漏洞到資料庫遭入侵：企業資安風險往往環環相扣
根據 91APP 公布的調查結果，攻擊者利用 ARTEX 自動化攻擊，透過第三方工具進入內部網路，後續進一步存取訂單資料庫。這起事件凸顯出，企業即使已部署網站防護、網路邊界防禦或端點安全機制，仍可能因為內部工具未及時更新、系統權限控管不足，或敏感資訊管理不當，而留下攻擊者可利用的弱點。
值得注意的是，攻擊者並不一定需要直接突破企業最核心的系統。只要能從一個相對容易被忽略的入口取得初始存取權限，再利用內部系統之間的連結與權限，便可能逐步接近更有價值的資料。
對企業而言，這類攻擊至少帶來三項重要警訊：
- 第三方工具與系統漏洞管理：企業使用的開源工具、開發平台、外部套件及第三方服務，是否都納入資產盤點與漏洞修補管理？
- 內部系統與雲端環境的存取控管：不同系統、工作負載及使用者身分之間，是否具備適當的權限限制與網路隔離？
- 敏感資料與金鑰管理：資料庫憑證、存取金鑰及敏感資料是否受到妥善保護？一旦帳密或金鑰遭到取得，是否能限制其使用範圍並及時撤銷？
這些問題彼此關聯，也說明企業不能只依賴單一防護工具，而應從整體 IT 架構出發，找出可能被串連利用的風險。
企業必須重新檢視的四大資安防護面向
1. 漏洞與曝險管理：掌握企業資產，縮短弱點暴露時間
企業 IT 環境持續擴張，除了正式上線的系統，也可能包含測試環境、開發工具、雲端資產、外部服務及長期未使用的設備。若缺乏完整的資產盤點與漏洞管理機制，企業便難以確認哪些系統存在弱點、哪些資產暴露於外部網路，以及哪些漏洞應優先處理。
因此，企業需要建立持續性的資產與曝險管理流程，從資產探索、漏洞評估到風險排序及修補追蹤，掌握真正需要優先處理的風險，而非僅依照漏洞數量或嚴重程度進行判斷。
透過 Qualys 的資產盤點、漏洞管理與外部攻擊面管理（EASM）能力，企業可掌握內外部資產與潛在曝險，識別未受管理或暴露於網際網路的資產，並依據風險情境安排修補優先順序，降低漏洞長時間暴露所帶來的攻擊機會。
2. 雲端安全：掌握雲端資產、工作負載與潛在攻擊路徑
隨著企業採用公有雲、多雲及混合雲架構，雲端資產、容器、虛擬機器、身分權限與資料服務之間的關係也更加複雜。單獨檢查某一項設定，未必能看出多個風險組合後可能形成的攻擊路徑。
例如，雲端資產若存在不安全的設定、過度授權的身分權限，或包含敏感資料的工作負載缺乏適當保護，攻擊者便可能利用不同弱點逐步擴大影響範圍。
企業可透過雲端原生應用程式防護平台（CNAPP），整合雲端設定、工作負載、身分權限及資料風險的可視性，從整體環境辨識潛在攻擊路徑。對於已採用 AWS、Azure、GCP 等雲端服務，或運行容器及 Kubernetes 等雲端原生環境的企業，CNAPP 能協助建立更完整的雲端風險視野。
Orca Security 以 CNAPP 為核心，整合 CSPM、CWPP、CIEM 與 DSPM 等雲端安全能力，協助企業掌握雲端資產、工作負載、身分權限及敏感資料風險，並透過風險關聯分析與攻擊路徑分析，找出需要優先處理的雲端安全問題。
3. 應用程式與 API 安全：防止外部攻擊延伸至核心系統
網站與應用程式是企業對外提供服務的重要入口，也是攻擊者可能鎖定的目標。隨著企業透過 API 串接電商平台、會員系統、行動應用程式及第三方服務，API 數量與資料交換頻率持續增加，也讓企業面臨更多難以察覺的攻擊面。
除了傳統網站攻擊，企業還必須留意未受管理的 Shadow API、API 權限設定不當、異常存取行為，以及透過自動化工具發動的惡意爬蟲與機器人攻擊。這類惡意自動化流量可能大量擷取商品、價格或其他公開資訊，也可能濫用會員登入、查詢及交易功能，不僅消耗系統資源，更可能造成資料遭不當蒐集、帳號濫用及營運損失。
因此，企業需要更全面的 Web、應用程式與 API 防護機制，除了阻擋常見網路攻擊，也必須具備辨識與區分正常使用者、合法自動化程式及惡意機器人流量的能力。
此外，搭配資料庫活動監控（DAM），企業也能進一步掌握資料庫存取行為與異常活動，將防護範圍從對外網站及 API 延伸至後端資料。
Imperva WAAP 解決方案整合 Web 應用程式防火牆（WAF）、API Secunty 與進階機器人防護（Advanced Bot Protection），協助企業偵測並阻擋 Web 攻擊、掌握 API 資產異常存取行為，並透過進階識別技術，精準辨識惡意自動化爬蟲及機器人流量，區分正常使用者與惡意活動，降低資料遭大量擷取、服務遭濫用及系統資源耗損的風險。
DAM／DSF 資料庫稽核與防護解決方案則能在發生異常連線、異常來源位址，或是短時間內大量撈取資料的異常行為，立即觸發告警，協助企業有效守護資料庫安全。
4. 敏感資料與金鑰保護：降低資料遭取用後的衝擊
當攻擊者取得系統存取權限，企業真正需要面對的問題是：哪些資料可能受到影響？資料是否受到適當保護？存取憑證與加密金鑰是否可能成為進一步入侵的工具？
資料安全不應只停留在資料庫或儲存設備的防護，而應涵蓋敏感資料探索與分類、存取權限管理、資料加密、遮罩、代碼化，以及金鑰生命週期管理。
此外，企業也應檢視資料庫憑證、系統密鑰及加密金鑰的存放與使用方式，落實最小權限、權限分離、定期輪替與存取稽核，避免重要憑證遭到不當取得後，成為攻擊者進一步存取核心資料的途徑。
Thales CipherTrust 資料安全平台整合資料探索與分類、資料安全態勢管理（DSPM）、加密、代碼化及金鑰管理等能力，協助企業掌握敏感資料的所在位置、使用情況與保護狀態，並依據資料敏感程度及合規需求，建立適當的資料保護機制。
Thales HSM（硬體安全模組）具備最高等級的安全防竄改機制，可將加密金鑰安全儲存於受保護的硬體環境中，落實「金鑰與應用程式分離」，避免金鑰明文暴露於程式碼、版控系統或 CI/CD 流程中。
資安防護不能只看單一產品，更要回到企業實際風險
從 91APP 事件可以看出，企業資安風險可能橫跨第三方工具、內部系統、雲端環境、應用程式及資料庫。不同企業的 IT 架構、雲端使用程度、資料敏感性與既有防護能力各不相同，因此並沒有可以適用所有企業的固定產品組合。
企業在規劃資安升級時，應先從自身環境與風險出發，確認目前最需要補強的環節：
- 若缺乏完整資產盤點，且難以掌握漏洞與外部曝險： 可優先評估資產盤點、漏洞管理與 EASM。
- 若大量採用公有雲、容器或多雲架構： 應優先檢視雲端設定、工作負載、身分權限及攻擊路徑，評估 CNAPP 的導入需求。
- 若高度仰賴網站、行動應用程式與 API 串接： 應強化 WAF、API Security 與資料庫活動監控能力。
- 若處理大量個人資料、交易資料或其他敏感資訊： 應重新檢視資料探索、分類、加密、遮罩與金鑰管理機制。
這些防護可依企業需求分階段導入，也能依既有架構與解決方案進行整合。企業不必一次採購所有資安產品，而是讓每個解決方案都能對應到明確的風險與防護缺口。
從事件警示到主動防禦：建立更完整的企業資安韌性
面對攻擊自動化與 IT 環境持續變動，企業不能再以單一工具或定期弱點掃描，作為整體資安防護的全部。真正有效的資安策略，應從不同風險面向評估適合的解決方案，從資產與漏洞管理開始，延伸至雲端、應用程式、API 與機敏資料保護，並持續檢視各系統之間的權限與資料流動關係。
面對下一次資安事件，您的企業是否已經準備好？
現在正是重新檢視企業資產、雲端環境、應用程式與敏感資料防護能力的時刻。歡迎聯繫亞利安科技，與專業團隊討論您目前的資安風險與防護需求，逐步建立更完整的資安韌性！