美國政府機構和官員一直是間諜活動的目標，最近再次發現新的駭客監視行為。《Bloomberg》根據 2 位知情人士與一份國會相關的信件草稿報導，在過去一年多的時間裡，駭客攔截了包含美國貨幣監理署（OCC）在內約 103 家美國銀行監管機構的電子郵件，獲取大量高度敏感的金融資訊。
滲透超過一年，駭客掌握 15 萬封電子郵件
消息人士透露，駭客從 2023 年 5 月起就已入侵美國貨幣監理署（OCC）某位系統管理員的帳號，直到今年稍早才被發現並驅逐。駭客滲透期間掌握了約 15 萬封電子郵件，並得以監控來自資深副主計長、國際銀行監管人員與其他職員的信箱內容。
這起資安事件有多嚴重？OCC 是隸屬於美國財政部的獨立機構，負責監管全美國家銀行、聯邦儲蓄協會與外國銀行的分支與代理機構，這些機構總資產達數兆美元。OCC 資訊長 Kristen Baldwin 在向國會通報外洩事件的信件草稿指出，這些電子郵件與附件中包含的銀行資訊極為敏感，恐對公眾信心造成實質傷害，稱其為「重大資訊安全事件」。
「密碼噴灑攻擊」就能入侵，原因竟是無任何保護措施？
駭客之所以能成功入侵，原因竟然是一項最基本的資安措施未被啟用。根據《Bloomberg》報導，駭客透過一種名為「密碼噴灑攻擊」的技術猜測管理員帳號的密碼，從而入侵美國銀行監管機構的 email。知情人士表示，若當時該帳號啟用了多重身份驗證（MFA），很可能就可阻止攻擊。
多重身份驗證（MFA, Multifactor authentication）是一項基本的資安工具，要求使用者在登入帳號前，必須以 2 種或以上的方式驗證身份。美國資安暨基礎設施安全局（CISA）在 2022 年就曾呼籲所有組織，應為所有使用者與服務全面導入多重身份驗證機制。
系統不只是被駭客攻破，而是基本帳號控管失職
事實上，遭到駭客入侵的帳號，是美國貨幣監理署（OCC）在將電子郵件系統遷移到新雲端服務時的舊帳號。也就是說，這個帳號可能是轉移到新系統後，未被妥善管理或遺漏設定安全措施，例如啟用多重身份驗證（MFA），因此成為駭客下手的弱點。
根據《Bloomberg》，雖然目前尚不清楚攻擊者的背景，也無法確認是否與近期其他中國國家級駭客活動有關，但美國 OCC 資訊長 Kristen Baldwin 表示這起事件未對美國金融體系造成任何影響，並已著手全面檢討內部 IT 安全政策與流程。
企業導入 AI 為何須重新思考資安？揭開資安攻擊的新破口 >>看專題<<
【推薦閱讀】
◆ Google Cloud 發表資安 AI 雙代理，5 大安全功能更新一次看
＊本文開放合作夥伴轉載，資料來源：《Bloomberg》1、《Bloomberg》2，首圖來源：Image Creator 生成。
