中小企业自架购物平台易遭入侵，EC-CERT呼吁重视安全控管政策

一般来说，论及业者自行架设的购物网站安全性，企业采取的措施，往往只集中针对网站本身着手，而实际上，也应该将本地的办公室，一并纳入防护的范围。在10月3日举行的台湾资安通报应变年会上，电子商务资安服务中心（EC-CERT）正工程师林耕宇认为，落实政策与管理，并适时清除线上数据库的内容，是企业做好电商网站资安的基本要件。

林耕宇说，台湾的电商业者，大多是中小企业，为了透过网络销售产品，自行架设或是委托网站开发业者建置了购物网站，但碍于预算与人力的考量，往往无法投入更多资源，导入较为严谨的资安防护机制。然而，来自电商网站的资安威胁，林耕宇引用了警政署165反诈骗的统计，去年因消费者个资外泄造成的诈骗案件，总共有2,182件之多。因此，企业必须正视自己购物网站的安全。

中小企业的购物网站是攻击者主要下手目标

这些企业普遍存在缺乏资安资源的情况，而且，他们建置的卖场网站通常为求快速上架，或是基于预算等考量，导致上线前没有经过渗透测试，以及并未采用相关防护机制。林耕宇表示，他遇过企业因为某些因素，将之前购买的应用程序防火墙下线，没有多久，这间公司架设的购物网站就遭到攻击，导致资料外泄。

此外，不光是资源的缺乏，上述企业的员工，也多半身兼数职。林耕宇说，他曾经说服一间公司雇用专职的资安人员，过了大约一年之后，该公司雇用的资安专家，由于网站开发厂商难以及时因应公司修改需求，主管竟要求他同时兼任网站开发的工作。

因此，许多台湾的中小企业购物网站，存在着许多弱点，像是SQL Injection、或是伪冒的跨网站请求等。林耕宇引用了美国电信业者Verizon今年的资料外泄调查报告，该报告中指出，大部分的受害者都是小型企业（98%），而骇客发动攻击的管道，不只利用网站本身的弱点，从办公室内网渗透的做法，也占有极高的比例。

因此，办公室的内部网络，其实也是企业防范购物网站遭受攻击的防线。尤其是许多小型企业没有网络隔离措施，导致骇客渗透到办公室的内部网络后，就能对购物网站上下其手，窃取客户个资。

应将办公环境也纳入防护范围

林耕宇指出，即使中小企业的资源有限，但落实良好的防护政策，也能杜绝大部分能让骇客攻击的机会。像是网站前台与后台分离，就很重要，避免后台的数据库直接曝露，成为下手的目标。再者，对于管理的层面来说，他建议密码要定期变更，并且应该限制弱密码的使用，但与其要求字串的复杂程度，导致员工难以记忆，衍生其他的问题，林耕宇认为，要求密码字串的长度更为务实。

而对于客户的资料，或是购物的历史记录，则要假设网站可能会被入侵的情况，因此，林耕宇说，最好能适时清空线上数据库的内容，转移到公司内部或是异地备存，减少网站遭到攻击时，资料外泄损害的程度。

除了购物网站本身之外，其实办公室内部网络的资安防护也很重要，其中，林耕宇认为，不要使用来路不明的未经授权软件，不只是避免与软件厂商之间的法律诉讼，更重要的是，免除使用这些软件可能会产生的资安风险。