19歲駭客「Scattered Spider」犯下$800萬加密勒索！臺灣企業如何自保？

🦹‍♂️ 這位19歲少年憑什麼能動手勒索800萬美元？

2025年5月，美國司法部正式起訴一名年僅19歲的青少年Peter Stokes，他是駭客組織「Scattered Spider」的核心成員。這起案件震驚了全球資安圈——一名還沒滿20歲的年輕人，竟能透過電話社交工程（social engineering）攻擊，成功入侵一家高檔珠寶零售商的電腦系統，開口就是800萬美元的加密貨幣贖金！

看到這裡，你可能會想：「這種大企業的資安防護應該很嚴密吧？怎麼會被一個青少年突破？」這正是最可怕的地方——這次攻擊並沒有使用什麼高科技零日漏洞，而是靠著「假冒員工打電話」這種看似老派的手法，就在短短2小時內取得3個員工帳號，其中2個還是IT管理員的帳號！

如果你以為「我們公司很小，駭客不會盯上我們」，那這篇文章可能要讓你改觀了。根據美國司法部的資料，Scattered Spider（又稱Octo Tempest、UNC3944、0ktapus）近年來已經犯下超過100起網路入侵案，勒索總金額超過1億美元。而這次攻擊，只是一個19歲少年就能辦到的事。

📱 案情回顧：他是怎麼辦到的？

根據起訴書內容，這起攻擊的起點低到讓你難以置信——只是幾通電話。Peter Stokes和同伴假冒公司員工，打電話到珠寶商的技術服務臺，要求重設登入帳號密碼。聽起來像是電影情節對吧？但現實就是這麼殘酷。

具體流程如下：

• 第一步：電話社交工程 — 駭客們假裝是公司員工，撥打技術幫助臺電話，要求重置登入憑證
• 第二步：快速取得帳號 — 在短短2小時內，成功取得3個員工帳號，其中2個是IT管理員帳號
• 第三步：橫向移動 — 利用管理員許可權進一步存取公司系統
• 第四步：傳送勒索信 — 從被入侵的公司郵箱傳送勒索信，要求800萬美元加密貨幣

幸運的是，這家珠寶商及時發現並將駭客踢出網路，沒有支付贖金，但仍然損失了200萬美元的業務中斷成本。而這一切，只花了區區幾天時間。

⚠️ 為什麼「社交工程」這麼可怕？

很多人以為資安就是要買最貴的防火牆、請最專業的工程師。但Scattered Spider的案例告訴我們：最弱的環節，其實是「人」。

所謂「社交工程」（Social Engineering），就是利用人性的信任、恐懼、好奇或貪心，透過電話、郵件、訊息等方式誘導目標洩露敏感資訊或執行特定操作。這次攻擊中，駭客們沒有寫任何一行惡意程式碼，單靠「裝熟」就突破了企業的防線。

美國FBI從Peter Stokes的Snapchat帳號中發現，他曾發文炫耀自己的「substantial wealth」（與年齡不符的巨額財富），還有他在國際間旅行的照片。這些證據顯示，類似的攻擊已經讓這群年輕駭客賺得缽滿盆滿。

🔐 企業必學！防範社交工程攻擊的5個關鍵措施

看完這個案例，你可能會問：「難道我們只能任憑駭客宰割？」當然不是！以下5個具體做法，可以大幅降低被社交工程攻擊的機率：

防護措施	傳統做法	強化做法
電話驗證	只問幾個基本問題就相信	建立多因素驗證機制，回撥官方號碼確認
密碼管理	定期更換密碼	強制使用強密碼 + 雙重驗證（2FA）+ 定期稽核許可權
許可權管控	IT管理員許可權過大	最小許可權原則，分散管理許可權
員工訓練	一年一次的資安簡報	每季模擬社交工程演練，強化危機應變能力
事件應變	被入侵後才反應	建立即時監控系統，快速隔離可疑帳號

💡 個人使用者也要注意！加密貨幣時代的自保原則

你以為這只是企業的問題？錯了！Scattered Spider的受害者名單涵蓋各行各業，根據區塊鏈分析公司 Chainalysis 的報告，2024年光是勒索軟體攻擊的受害者支付的贖金就超過8.2億美元（儘管比2023年下降了8%，但攻擊次數增加了50%）。

身為一般民眾，你可以這樣保護自己：

1. 不要亂點連結 — 即使是朋友傳來的訊息，也要先確認是否為本人
2. 啟用雙重驗證（2FA） — 尤其是在加密貨幣交易所、網路銀行等重要帳號
3. 使用硬體錢包 — 如果你有大量加密貨幣，千萬別一直放在交易所
4. 定期檢查帳單 — 留意任何異常的交易紀錄
5. 不要亂借身份證件 — 任何要求你提供個資的「客服」電話，都要直接結束通話

🤔 常見問題 FAQ

Q1: Scattered Spider 是什麼樣的組織？

Scattered Spider（又稱Octo Tempest、UNC3944、0ktapus）是一個以年輕駭客為主力的網路犯罪組織。他們專門針對大型企業發動社交工程攻擊，要求支付加密貨幣作為贖金。根據美國司法部資料，該組織已經犯下超過100起入侵案，勒索金額超過1億美元。

Q2: 為什麼年輕駭客這麼多？

網路犯罪工具越來越容易取得，加上加密貨幣的匿名性，讓年輕人更容易接觸到這類犯罪。Peter Stokes的案例顯示，這些組織善於吸收青少年，利用他們的技術天賦和對法律的無知。

Q3: 加密貨幣勒索真的追不回來嗎？

理論上區塊鏈交易是不可逆的，但執法機構現在有越來越多的區塊鏈分析工具。其實這次Peter Stokes能夠被追查到，就是因為FBI透過各種數位軌跡追蹤到的。所以千萬不要以為用加密貨幣就能完全匿名！

Q4: 我該怎麼判斷是否被社交工程攻擊了？

常見徵兆包括：收到要求重設密碼的可疑郵件、突然有來自「IT部門」的電話要求你提供帳號資訊、帳號出現異常登入紀錄等。如果有任何疑慮，直接聯絡公司的正式IT管道確認。

Q5: 支付贖金真的能解決問題嗎？

專家建議千萬不要支付贖金！根據統計，支付贖金只會讓攻擊者更囂張，而且不能保證資料會被歸還。這次珠寶商選擇不支付，最終也成功將駭客趕出網路。

Q6: 臺灣企業需要特別注意什麼？

臺灣因為科技產業發達，其實一直是駭客攻擊的熱門目標。加上兩岸關係緊張，針對臺灣企業的網路攻擊只會越來越多，千萬不能掉以輕心。

Q7: 加密貨幣交易所安全嗎？

沒有所謂100%安全的交易所。建議選擇有執照、資金有保障的正規交易所，並盡量將資產移到自己的硬體錢包才是上策。

🔒 結論：資安不是選購產品，而是日常習慣

Peter Stokes的案例告訴我們，網路犯罪的門檻已經低到不可思議。一個19歲的青少年，單靠幾通電話就能讓一家企業損失200萬美元。這不是恐嚇，而是正在發生的事實。

無論你是企業老闆、一般員工，還是普通消費者，都應該把資安當成日常習慣來培養。別以為「這種事不會發生在我身上」——在駭客眼裡，沒有任何人是一座孤島。

記住，最強的防護不是昂貴的裝置，而是每一個環節的人都能保持警覺。從今天開始，多問一句、多確認一次，你的安全就多一分保障。

本文僅供參考，不構成任何投資建議。加密貨幣投資有風險，請謹慎評估。