國際間再傳重大資安危機。七月五日長期供應政府組織駭客工具的資安公司Hacking Team近期遭駭，流出多達四百GB的機密資料，不僅醜陋的勾當曝光，就連駭客攻擊程式都被攤在陽光下，恐將導致大規模資安威脅，而且事件至今仍在持續延燒。
而最可怕的或許是，這已經不只是假設性問題，而是正在真實生活中上演的危機。這家遭竊的公司叫作Hacking Team，它不賣實體槍炮彈藥，只賣攻擊於無形的駭客工具。
成立於二○○三年的Hacking Team是一家位於義大利米蘭的資安公司，在國際間小有名氣，但或許用惡名昭彰來形容更為貼切，因為Hacking Team主要的產品是監控工具、間諜程式和惡意程式，而他們主要出售對象就是各國政府。
駭客程式曝光 恐被惡用
過去對於外界有關Hacking Team協助政府執行侵害人權行為，甚至導致大規模暴力鎮壓，他們都是以只和「有道德」政府合作作為回應，但這次遭曝光的資料卻顯示他們的客戶之廣，不只有美國、德國、韓國政府，也包括俄羅斯、蘇丹、埃及這樣的極權政權。對他們一直以來的辯白說詞，可以說是狠狠打了一巴掌。
如果故事停留在駭客將資安界毒瘤真面目公諸於世，大概可以稱得上是一部行俠仗義的現代羅賓漢，只可惜真實世界不如想像中完美。
這次Hacking Team因被駭而流出的檔案大小高達四百GB，當中除了曝光客戶清單、內部來往e-mail，更大量流出駭客程式。可以想像，這就好像是一家五星級餐廳不只將所有菜端上桌供所有人免費食用，還連同傳家食譜都一併公開，從此五星級私房菜就像街邊小吃一樣常見。
但這些曝光的駭客工具畢竟不是無害的食譜，更像是核武等級般的高端武器設計圖，甚至在中國網友的「幫助」下，網路上還出現「人手一份核武器 ──Hacking Team 洩漏（開源）資料導覽手冊」。
現在稍有能力的人，只要依樣畫葫蘆，就可以輕易把這些頂尖工具變成自己的武器，並即刻發動攻擊。這代表的是，未來這些武器的使用者不再只有政府，也可能是犯罪集團，和任何有心人士。
那麼誰會成為受害者？就曝光的文件來看，不論是Android、Windows、Mac OS X、Linux、黑莓，甚至是冷門的Windows Phone和Symbian作業系統，全都可能成為被攻擊對象。
你撥打的電話、Skype可能被監聽，你用LINE、WhatsApp傳的訊息、在facebook、Twitter上的私密文章、照片，還有e-mail、簡訊……，你的一舉一動統統都會被監看，駭客還能夠即時定位出你的GPS座標……，你將無所遁形。
試想，這樣的能力可能會被用來做什麼事？又可能會導致什麼樣的後果？
更甚者，被駭文件顯示，大量非政府人士將可能藉此一覽政府長期累積下來的監控資料。
而且不同於使用實體武器容易引人注目，被駭過程卻是悄然無息的，可能只是不經意瀏覽某個網頁、隨手點開一封e-mai的附件，或是在Google Play下載一個免費App，就可能中招。
換句話說，在現在這個當下，你可能已經被非法監視，但你仍渾然不知。
▲點圖放大
台灣多數人 不察嚴重性
此外，這次Hacking Team事件還引發另一起案外案。在流出的資料中發現，美國安全部門（NSA）對SELinux（安全增強式Linux，一個開源專案）的貢獻中，不知是有心或無意地留下後門（指在使用者不知情的狀況下遠端操控系統），成為滲透進各種系統裝置的重要管道。而SELinux和Android是相容的，也就是說，這個漏洞存在所有Android系統裡！
雖然部分相關企業在發現漏洞後，已著手展開補救，但同時間，因這些資料外洩產生的攻擊也悄悄在世界各地展開。這次事件的規模和影響範圍之大，在國際間受關注程度絲毫不亞於一三年的史諾登事件。
然而，在台灣，這彷彿就只是一家米蘭駭客公司，被駭客入侵的國際趣聞而已，多數人似乎都還沒有意識到事情的嚴重性。
然而，很多事情不會因為你不了解，或是你不關心就可以當作沒有發生，更別小看這些虛擬世界的武器，殺傷力恐怕比槍炮彈藥來得更巨大。
或許有人以為不要打開來路不明的檔案，或者將作業系統更新至最新版本就可以保護自己，但就這次事發僅兩日就已經被挖出數個0day（未曾被破解，也沒有工具可以及時修補的漏洞）來看，自保絕不如想像中容易，也是所有人都該認清的事實。
（本文作者為資深資安研究員）
.jpeg_280x210.jpg)
