數位發展部資通安全署公布的資通安全網路月報（115年9月）顯示，本月資安事件通報共204件，為去年同期的1.94倍，但其中95件為攻防演練，扣除後為109件。月報同時指出，部分機關的網站應用程式介面（API）缺乏身分驗證與存取控制，導致非公開資料遭未授權存取而外洩，資安署也提出五項防護建議。
通報件數達去年同期1.94倍，含95件攻防演練
依月報內容，204件通報中包含攻防演練95件，扣除後為109件（依月報數字計算）。通報類型以非法入侵為主，占50.98%。
對照去年9月的月報，當月通報為106件，較前一年同期減少49.76%，通報類型同樣以非法入侵為主。
聯防情資增至9萬1,731件，資訊蒐集類占近六成
本月政府機關資安聯防情資共9萬1,731件，較上月增加1萬4,014件。去年9月為6萬5,230件，當時較上月減少2萬4,208件。以兩年同月相比，今年增加約4成（依月報數字計算）。
威脅種類的組成也不同。今年資訊蒐集類占59%，主要是透過掃描、探測及社交工程取得資訊；入侵嘗試類占21%；入侵攻擊類占8%。去年9月三類占比分別為39%、25%與19%。資訊蒐集類上升20個百分點，入侵攻擊類下降11個百分點。月報未說明占比變化的原因。
惡意郵件散布ValleyRAT，API缺口恐致個資外洩
月報指出，駭客近期透過惡意郵件散布ValleyRAT。這是一種遠端存取木馬，具備鍵盤側錄、螢幕擷取，以及竊取檔案與敏感資訊等功能。相關情資已提供各機關聯防監控防護建議。
在事件通報方面，部分機關的網站API缺乏完善的身分驗證與存取控制，導致非公開資料遭未授權存取而外洩。月報分享的案例中，某機關的會員查詢API未確認使用者是否已登入，也未檢查其是否有權查閱該筆資料。攻擊者不必依循正常操作流程，只要直接呼叫API並依序變更會員編號，就可能逐筆取得身分證字號、姓名、電話及電子郵件等個人資料。
資安署提API防護建議
月報建議各機關從以下五方面強化API防護：
- 在後端落實身分驗證，並依最小權限原則檢核使用者角色與資料歸屬，不能只在前端控管
- 妥善管理API金鑰，建立定期更換、停用與撤銷機制
- 資源識別碼改用難以預測的隨機識別碼，但這只是輔助措施，不能取代後端權限檢查
- 僅回傳業務必要的欄位，敏感資料採取遮罩或部分揭露
- 設定請求頻率與流量限制，對短時間大量查詢建立阻擋或告警機制