Search
Close this search box.

日本網路安全問題,就是全球的問題!《彭博》揭開「製造供應鏈最關鍵角色」日本獨有的資安文化

日本

日本製造業近幾個月來遭受多起駭客攻擊事件,由於日本製造業在全球供應鏈中有著極其重要的地位,《彭博》近日以「日本網路安全噩夢也是全球的問題」為題,對日本網路安全問題進行了探討。

去(2022)年 2 月,日本一家鮮為人知的小公司遭到駭客攻擊,這家名為 Kojima 的小公司,專門生產汽車內的杯架、USB 插座等等物件,這起針對 Kojima 的攻擊事件後續造成汽車製造大廠豐田(Toyota)整條生產線停擺,甚至不得不關閉 14 家工廠,損失金額達到 3.75 億美元。

這起事件,是典型的供應鏈駭客攻擊(supply-chain hacks)。駭客攻入第三方業務合作夥伴的系統,利用它們存取 Kojima 的伺服器,並對該公司的重要數據進行加密。第二天,豐田及其子公司隨即宣布暫停所有國內工廠的營運。

就像 Kojima 攻擊事件帶來的巨大影響,供應鏈駭客攻擊具有破壞經濟的強大潛力,尤其攻擊對象是日本企業時,情況可能更糟糕。

《彭博》報導便提出警告,日本是生產高價值精美產品的製造強國,包括手機、電腦、電動牙刷等等,很多產品的零件都來自日本。加州大學聖地牙哥分校全球政策與策略學院的日本商業教授 Ulrike Schaede 指出,日本生產了 80% 用於電子產品的精細化學品,並且主導了全球光阻劑(photoresist,一種用於製造半導體晶片的關鍵材料)市場,這些企業若受到網路攻擊,其影響將不可估量。

《彭博》指出,日本在去年就出口了價值 423 億美元的晶片元件,並且擁有許多關鍵材料,因此日本的網路安全問題,很有可能具有擴及全球。 Schaede 指出,「人們每天使用到的產品或零件中都少不了日本的參與。日本是全球供應鏈中的重要一環。越往上游走,日本就越重要。」

♦ 延伸閱讀:北韓駭客又發動一波「軟體供應鏈攻擊」!企業如何築起資安防護網?

小企業幾乎沒有保護措施、公部門擋不了 DDoS 攻擊

雖然日本佔據全球製造供應鏈的重要一角,但 Kojima 卻遠遠只是冰山一角。根據日本國家警察廳的數據,發生於日本境內的網路攻擊,僅「勒索軟體攻擊」一項就較去年同期猛增 58%;而光是去年,包括 Fujimi、Denso、Nichirin(日本的汽車軟管製造商) 和 TB Kawashima(豐田旗下的汽車內裝材料供應商)等企業都遭受了程度不一的網路攻擊。

日本部份企業已經開始意識到越來越頻繁的攻擊事件所帶來的風險,並有越來越多的公司購買了網路保險。日本保險公司 Sompo 的承保人員表示,「銷售額與去年相比成長了 20%-30%,不過,較小的公司並沒有足夠的保護措施,他們普遍不知道如何應對緊急事件,也沒有採取相關措施防止損害持續擴散。」

不過,駭客攻擊早已經蔓延至服裝、家具製造商、信用卡公司、社群媒體服務商甚至是圖書館,就連日本政府都曾在去年 9 月遭受侵俄駭客組織的 DDoS 攻擊,光是一次攻擊,就有 20 個政府網站直接掛點。

日本「特殊職場文化」既是盾,也是絆腳石

有趣的是,日本雖然擁有眾多先進技術,但在「文化」上卻仍然相當傳統,這裡說的文化可以分成兩個方面看,第一是相對其他經濟強國而言相當傳統的「IT 文化」,第二則是以「究責」為中心的職場文化。

從 IT 文化來看,當勒索軟體攻擊發生時,這些日本公司通常有能力透過「紙本庫存」、「離線備份系統」來持續保持營運,這些紙本庫存與離線系統既可靠且無法被入侵,且因為可以將那些被破壞的數據或網絡拼湊回來,因此企業也不用支付駭客贖金,「等這些公司慢慢、悄悄地恢復系統後,通常也不太會誠實報告攻擊事件的發生。」日本網路專家指出。

這一有趣的 IT 文化,讓勒索攻擊難以得逞,意外成為了抵禦網路攻擊的一大盾牌。不過,Fujitsu System Integration Laboratories 研究負責人  Tatsuhiro Tanaka 也指出,隨著攻擊頻率上升,也意味著恢復的成本會隨之提高,言下之意,這個「盾牌」並非日本企業的長久之計。

報導中也提到了日本企業中存在著「抵制揭露攻擊」、「牴觸升級系統」等等情況,而這源自於該國的究責文化,並且以現況來說,也很少有企業聘用資安指揮官來專門處理網路攻擊,並負責讓公司的營運持續下去,「我認為日本必須改變這種思維。」Tanaka 說。

不過,日本文化也有值得他國學習之處。例如日本政府要求電信、電力、天然氣和鐵路等關鍵基礎設施的公司「自願提供」網路安全事件報告,儘管這並非強制性的要求,但大部分公司仍然會提交報告,並且共享必要的資訊。日本約超過 1000 家公司屬於這一類別,2021 年共有 407 份報告向上提報。「日本文化的一個獨特之處在於,一旦人們做出承諾,他們就會遵守對他們提出的要求」。

日本的資安防禦力其實也有可觀戰績:2020 年東京奧運的網路攻擊,日本就成功抵擋了數萬起網路攻擊事件,只是這些事情並沒有被大肆報導與宣傳,甚至連日本人自己也不知道。此外,日本也在過去兩年被納入北約的年度網路演習,儘管其非北約成員國。

NTT 網絡安全策略師 Matsubara 向《彭博》指出,「今年越來越多人開始注重資安了,因為他們會擔心出於經濟動機或出於地緣政治的網路攻擊。」

供應鏈攻擊不可輕忽

日本在全球供應鏈的重要性與針對該國企業的網路攻擊,也彰顯「供應鏈攻擊」急需全球企業與政府共同正視,因為這在駭客眼中可說是一筆低成本、高回報的攻擊方式:當駭客鎖定整條供應鏈為攻擊對象,就不用等該組織曝露弱點──他只需要在依存關係中找到一個潛在安全問題,就有辦法進行攻擊,進而對上百或上千個下游企業造成衝擊。

雖然市面上沒有任何一套資安工具能提供滴水不漏的防禦,但企業還是能靠著遵守資安防禦的最基本原則,來提升資安防護力。

♦ 延伸閱讀:別當下一個被勒索 7 千萬美元的公司!企業如何應對供應鏈攻擊?

參考資料:彭博VentureBeat,首圖來源:Shuttestock。