文／鄭宜芬
面對 AI 疾速發展、國際大選及地緣政治影響，趨勢科技16日公布 2025 年資安年度預測報告，三大重點包括：AI 驅動新舊威脅進化、勒索病毒策略轉型，以及國家級駭客持續攻擊。趨勢科技臺灣區總經理洪偉淦表示，生成式 AI 的進步將讓駭客的攻擊更隱匿、高效，預計2025 年，駭客將全力開發 AI 的應用範疇，使網路犯罪更具毀滅性。面對不可逆的 AI 進程，全球資安風險和壓力勢必加劇。
[ 加入 CIO Taiwan 官方 LINE 與 Facebook ，與全球 CIO 同步獲取精華見解 ]
AI驅動威脅進化 詐騙手法逼真且高效
駭客集團會一直尋找 AI 的攻擊手法及新用途，深偽技術（Deepfake）讓社交工程詐騙更逼真、更個人化，只需利用個人公開的貼文來訓練大型語言模型（LLM），就能模仿其寫作風格、知識及性格，騙到受害者，成為 AI 未來的最大威脅。
- AI 加劇傳統攻擊
產出更逼真的假訊息與更客製的網路釣魚強化 APT 攻擊、生成惡意程式碼散播惡意程式或瞄準 AI 平台／工具來發動勒索攻擊，而且加速攻擊效率、擴大攻擊規模，並尋找阻力最小、最容易取得的入侵途徑，如濫用合法工具、攻擊可公開存取的資料。
- AI 助長新型態攻擊手法
利用 AI 幻覺進行攻擊、利用 AI 代理或 AI 系統漏洞製造資料外洩、從事未經授權惡意活動甚至假冒身分等問題。
企業尤須留意變臉詐騙（BEC） 及假冒員工的 AI 變臉詐騙。此外，KYC 認證迴避服務（Bypass-KYC-as-a-service）近年在地下市場頗盛行，背後的三個要素源於非蓄意暴露的生物辨識資訊、外流或遭人竊取的個人身分識別資訊，以及日益強大的 AI 功能，金融保險產業需對此謹慎防範。
隨著 AI 代理的發展與佈署於執行特定任務，若缺乏即時監控和控制，將成為企業資安的隱憂。駭客可能挾持 AI 代理或藉由發掘 AI 系統的漏洞，誘使其執行未經授權或有害的動作，例如處理惡意指令、協助外洩敏感資料，或生成假數位身分欺騙 AI 系統。
為此，企業必須更加著重漏洞與攻擊面管理，並善用基礎資料情報，同時也需留意 AI 軟體供應鏈攻擊，避免 AI 代理或供應商出現缺失而連帶受害。
[ 推薦閱讀：防堵零時差攻擊 趨勢科技籲制定防禦預防針 ]
勒索病毒策略轉型 臺灣中小型企業成目標
近年網路犯罪即服務（CaaS）逐漸成形，專精不同領域的駭客集團向其他罪犯提供網路犯罪工具、基礎設施和服務來換取收費，且駭客間會分工合作，各自負責不同階段的攻擊程序，包括勒索軟體即服務（RaaS）、惡意軟體即服務（MaaS）、存取即服務（AaaS）、網路釣魚即服務（PhaaS）、DDOS 即服務（DAAS）、防彈代管服務（Bulletproof Hosting Services）等。
資訊竊取是攻擊的重要一環，勒索病毒集團經營模式也在改變，減少對釣魚郵件的依賴，轉而利用被竊取的帳戶資料直接進入受害者系統，並頻繁地結合惡意廣告進行資訊竊取，將來自企業網路的數據應用於後續的勒索行動，這樣的模式越趨氾濫。
勒索組織大量使用合法工具進行攻擊，導致容易橫向移動並提升權限、將攻擊行動偽裝成正常活動，且偵測攻擊活動變得更加困難。
根據趨勢科技臺灣的資安事故應變服務案件統計，2024 年目標式勒索資安事故有將近九成來自中小企業，預測中小型企業恐將持續成為駭客攻擊的目標。
[ 推薦閱讀：Palo Alto 預測2025 年亞太網路安全五大趨勢 資安、深偽、AI 成焦點 ]
APT攻擊持續不斷 供應鏈須納入資安風險管理
駭客的攻擊目標包括供應鏈、企業資料、AI 訓練環境、AI 存取基礎架構、AI 服務訂閱、雲端組態設定錯誤與遠距上班基礎架構。生成式 AI 將進一步強化 APT 攻擊，包括開發惡意程式、量身打造網路釣魚，而且會透過逼真的假訊息強化攻擊活動。
隨著國際政治局勢的變化，國家級駭客集團如 Lazarus、Turla 和 Pawn Storm 等，預計在 2025 年將繼續活躍並加大攻擊力度，集中於外交資訊、軍事技術及其供應鏈，例如俄羅斯的 APT29 持續瞄準雲端環境；北韓駭客集團應會專注於虛擬加密貨幣來躲避制裁。
面對駭客不斷開發新漏洞並進行攻擊、舊漏洞仍持續被利用、老舊的系統或設備等問題。企業組織必須預先建立強健的防禦，認知自身在供應鏈中所扮演的角色，並採取積極的風險管理策略來保護關鍵基礎設施與資訊。
趨勢科技資深技術顧問簡勝財表示，應對日趨複雜的攻擊面，集中管理資產、整體風險評估、加強 AI 整合環境的安全防護（特別是在輸入檢查、回應檢查及 AI 行動監控上）將是企業未來在規劃資安策略著重的三大要點，同時，企業可以利用 AI 轉化為資安防護的利器，應用於威脅分析、資產管理、攻擊預測及矯正指引上，幫助提升防禦力，即時應對 AI 帶來的新舊威脅。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
