系統資安基礎:中小企業最該防的五種攻擊

「我們公司這麼小,誰會來駭我們?」這是中小企業最危險的一句話。現實是:現在的攻擊大多是機器人自動化掃描,不挑對象——它們整天掃遍整個網路,找有漏洞的網站、猜弱密碼的後台,掃到誰算誰。你不是目標,你只是剛好在路上。好消息是,擋掉絕大多數攻擊不需要養資安團隊,把基本盤做好就能讓自動化攻擊「掃不進來就換下一家」。以下是我們認為中小企業最該防的五種攻擊,以及對應的基本防線。

前三種:衝著你的系統來的

一、SQL 注入(SQL Injection)。白話說,就是攻擊者在你網站的輸入框裡填入特製的字串,騙你的系統把它當成資料庫指令執行,結果可以是整個會員資料庫被拖走。這是老掉牙的攻擊,但每年還是有大量網站中招——通常是老舊系統或便宜外包留下的漏洞。防線在開發端:所有資料庫查詢都要用參數化寫法(現代開發框架預設就是安全的),真正的風險在「當年趕工直接拼字串」的舊程式碼。如果你的系統超過五年沒人維護,值得做一次檢查。

二、弱密碼與帳號填充。攻擊者拿著別處外洩的帳密清單,到你的後台逐一嘗試——因為多數人到處用同一組密碼。後台管理帳號一旦被登入,連漏洞都不用找。防線很便宜:管理後台強制長密碼、開啟兩步驟驗證(登入時多一道手機驗證碼)、限制登入失敗次數,以及最容易被忽略的——員工離職當天停用帳號。我們看過太多後台裡躺著三年前離職員工的活帳號。

三、過期軟體。系統用的框架、外掛、主機軟體都會定期公布安全性更新,而公布漏洞的同時,攻擊程式也跟著流出,機器人立刻開掃。沒人維護的網站等於門上貼著「此鎖已公告破解法」。這也是為什麼我們一直說維護費不是保護費——有人持續上補丁,是資安的地基。

後兩種:衝著你的人來的

四、釣魚信件。技術防線再強,一封偽裝成老闆的信「急,把這筆款匯到這個帳戶」就能繞過全部。變形包括假的雲端硬碟共用通知、假的發票附件。防線是流程而不是技術:凡涉及匯款與帳密的請求,一律用另一個管道(電話、當面)二次確認;公司信箱開啟兩步驟驗證。

五、勒索軟體。中了之後檔案全被加密,對方開價贖金。對中小企業最實際的解法不是買昂貴的防護,而是讓勒索失去籌碼:紮實的異地備份與還原演練。備份能還原,勒索就只是重灌一天的損失;備份不能還原,你就只剩付錢一條路,而且付了也未必拿得回來。

資安的目標不是變成銅牆鐵壁,而是不要當整條街上最好搶的那一家。

把資安做進系統,而不是掛在系統外面

我們自己營運進銷存 SaaS 和集團會員中心,每天都有真實的門市交易和會員資料在上面跑,所以資安對我們不是簡報題目,是日常:開發流程裡有自動化測試和 CI/CD(每次改動都經過自動檢查與部署流程,不靠人工手動上傳檔案),權限採最小原則,敏感操作留紀錄。這些做法的共同精神是——資安不是上線後買一個產品裝上去,而是從權限設計、程式寫法到維運流程,一路內建進去。

給業主的行動建議:這週先做三件零成本的事——後台開兩步驟驗證、盤點並停用不再使用的帳號、確認備份真的能還原。做完這三件,你已經超越大多數同業了。想進一步了解系統本身的安全體質,歡迎找我們聊聊,我們可以從你現有系統的年紀和維護狀況,快速判斷風險落在哪裡。