燦坤資料外洩: IIS6漏洞加FCKeditor惹禍

知名3C連鎖賣場燦坤傳出資料外洩，5月以來網友紛紛在論壇留言接獲詐騙電話，對方清楚知道消費交易細節，有受害者因此受騙上當用ATM轉走數萬元，甚至上百萬元不等。警方表示，這波遭受攻擊的企業共10多家，燦坤只是其中之一。

自5月以來，網友在mobile 01論壇接連反映接到詐騙電話，疑似3C連鎖賣場燦坤資料外洩。燦坤日前在接受媒體採訪時表示已報警處理，坦言系統遭駭客入侵。除燦坤之外，受駭企業包含零售通路業者，不願具名的某受駭企業表示，經過調查，此次駭客利用微軟作業系統的漏洞、網頁文字編輯器共享軟體FCKeditor，上傳一支後門程式，隨後不斷掃描內部網路架構，並狡猾地把所有痕跡抹除，造成事後調查的困難。事發後除了移除FCKeditor外，佈署網頁應用防火牆(WAF)，並全面翻修檢查SQL Injection漏洞，改寫應用程式。

負責調查的偵九隊表示，由這幾起受駭企業的共同點來看，某些受駭企業雖然有佈署網頁應用防火牆(WAF)，但是佈署的位置可能有問題，才導致系統仍然淪陷，建議企業應改變網站架構，並且讓使用者瀏覽時統一導向首頁。由於企業多半會將WAF佈署在防火牆之後、網站伺服器之前，但從過去的例子來看，許多網站受駭時間是在週五人員下班之後，駭客利用大量SQL injection封包使WAF CPU超載，以便直接繞過WAF，建議企業可利用白名單方式過濾非正常網頁路徑及參數。此外，另一個值得注意的是，業者在與供應鏈廠商進行資料交換時，不能光是單方傳遞資料，雙方應分別建置交易金鑰，並將其視為內部環境來稽核安全等級。