從「I'm Rois」事件看初始存取權限交易生態與企業資安韌性

一場席捲台灣的資安風暴

2026年7月，一則來自 Telegram 地下頻道的消息，讓台灣資安圈為之震動。一名自稱「I'm Rois」的駭客，在地下論壇發布訊息，直接以台灣國旗作為封面，標註「Taiwan」為攻擊目標，並附上一份名為「Taiwan Sample Access.txt」的樣本檔案，向地下買家表示可「自行選擇攻擊目標（Choose your Target）」。

這份樣本檔案中，一口氣列出了超過90家台灣知名企業的網域——包括友達光電、上銀科技、萬海航運、橘子、華新麗華、瑞昱半導體、中磊電子、大同公司、中菲行國際物流、南茂科技、宏達電、緯創、智冠、台灣大哥大、義隆電子、台灣固網、宏碁智通，甚至連流量最高的網路媒體 ETtoday 及 17 LIVE 都赫然在列。其中近20家為上市公司，名單後續更擴大至96家。

這不是一起單純的資料外洩事件。它揭示了一個更深層的威脅：台灣企業的初始存取權限，正成為地下犯罪市場中可被標準化交易的商品。

---

不只是「資料」——駭客賣的是「門票」

許多企業在面對此類事件時，往往存在一個危險的誤判：認為地下論壇販售的是「資料」。然而，攻擊者真正交易的，是進入企業內部環境的初始存取權限（Initial Access）。

這兩者有本質上的差異。資料外洩意味著特定資訊已經流出，損害在某種程度上已經發生；而初始存取權限的交易，則意味著企業網路的「大門」已被攻破並標價出售，買家——通常是勒索軟體集團或其他威脅組織——隨時可以拿著這把「門票」長驅直入，進行橫向移動、權限提升、資料竊取，甚至部署勒索軟體。

以此次事件為例，I'm Rois 先前曾公開販售疑似台灣企業湧盛電機的企業管理存取權限，聲稱可存取基礎設施管理介面、核心防火牆（Core Firewall）及硬體安全模組（HSM）等高權限系統，並以1,200美元作為交易價格。資安人員驗證後發現，其所提供的網域資料確實可連結至該企業的防火牆管理介面。

這說明攻擊者不僅掌握了入口，更掌握的是高權限的管理層級存取能力。 一旦這類權限落入勒索軟體集團手中，後果不堪設想。

---

初始存取權限仲介者（IAB）：一條完整的地下產業鏈

近年來，Initial Access Broker（IAB，初始存取權限仲介者）已形成一套完整的地下產業分工。這些攻擊者並非最終發動勒索或破壞的人，而是專門負責「開門」的環節——利用防火牆漏洞、VPN 弱點、遠端管理平台暴露、外洩帳密或未修補的漏洞取得企業存取權限，再將這些權限轉售給勒索軟體集團或其他威脅組織。

這種分工模式帶來了幾個值得警惕的趨勢：

一、攻擊的專業化與商品化

初始存取權限不再是個別攻擊者的戰利品，而是被明確標價、分類展示的商品。攻擊者以國家、產業、企業規模作為分類依據，向買家展示「樣本」以證明其掌握能力。這意味著企業面臨的不再是隨機攻擊，而是被納入一個有組織、有商業邏輯的攻擊供應鏈。

二、攻擊鏈的延長與複雜化

由於「入侵」與「發動攻擊」往往分屬不同組織，攻擊鏈變得更長、更難追溯。企業即使偵測到異常存取，也未必能立即判斷背後的最終威脅意圖，增加了事件應變與鑑識調查的難度。

三、潛伏期的威脅

取得初始存取權限後，攻擊者通常不會立即發動攻擊，而是先建立長期存取能力——植入後門、建立隱蔽帳號、橫向擴張據點——再將權限放上地下市場販售。這意味著企業即使今日未見異常，不代表系統中沒有已經被植入的潛伏威脅。

---

FortiBleed：這場風暴的導火線

此次 I'm Rois 事件的攻擊模式，與2026年6月震驚全球資安界的 FortiBleed 威脅高度吻合。美商 Fortinet 爆發大規模產品存取權限遭竊事件，全球約7.5萬台 FortiGate 防火牆與 VPN 設備的登入憑證疑遭駭客竊取，引發國際高度關注。

FortiBleed 的攻擊路徑清晰且致命：駭客利用遭外洩的設備設定檔，離線破解管理帳號密碼，再利用取得的帳密登入設備，進入機關或企業內部進行惡意行為。資安署第一時間發布警訊，呼籲使用相關產品的政府機關、關鍵基礎設施及企業立即採取密碼重設、限制管理介面對外存取及升級軟體等防護措施。

然而，從 FortiBleed 爆發到 I'm Rois 公開兜售台灣企業存取權限，中間僅相隔一個月。這段時間，足以讓攻擊者完成大規模掃描、漏洞利用、權限建立與商品化包裝的全流程。 台灣企業是否已在此期間遭入侵，以及攻擊者是否確實持有足以突破企業防線的存取權限，仍有待驗證，但威脅的真實性與急迫性已不容忽視。

---

企業應如何應對：從威脅情資到資安韌性

面對此類事件，企業最忌諱的反應是「觀望」與「輕忽」。將其視為單純的地下論壇販售消息，是對風險的嚴重低估。以下幾個方向，是企業在建構資安韌性時應立即著手的重點：

一、全面盤點對外攻擊面

企業應立即盤點所有對外暴露的管理介面與服務——VPN、防火牆管理介面、遠端管理平台、雲端管理控制台等——檢視是否存在漏洞、異常登入、外洩憑證或錯誤設定。管理介面不應直接暴露於網際網路，應透過跳板主機（bastion host）、VPN 或零信任架構加以保護。

二、強化身分與存取管理

多因素驗證（MFA）已是基本要求，而非選項。對於特權帳號與管理層級存取，應導入特權存取管理（PAM）機制，落實最小權限原則、即時存取（Just-in-Time Access）與完整稽核軌跡。密碼重設應全面執行，並檢視是否有帳號遭異常使用或建立。

三、建立日誌監控與威脅情資運用能力

企業應檢視系統日誌，特別關注管理介面的登入紀錄、異常時間的存取行為、以及來自未知 IP 的連線嘗試。同時，應將外部威脅情資——如此次 I'm Rois 事件中公開的企業清單與攻擊模式——納入內部偵測規則，主動搜尋環境中是否已有相關入侵指標（IOC）。

四、依國際框架與法規強化資安治理

此次事件再次印證，企業應參考 ISO/IEC 27001 與 NIST Cybersecurity Framework（NIST CSF）等國際資安框架，持續落實風險管理。在台灣，受《資通安全管理法》規範的特定非政府機關，更應依法完成資安事件通報與應變程序。資安治理不應停留在合規層面，而應內化為組織的營運 DNA。

五、建立事件應變與復原能力

當初始存取權限可能已外流，企業必須假設最壞情境——攻擊者可能已在環境中建立潛伏據點。因此，除了前端的偵測與防護，企業還需要具備快速的事件應變、鑑識調查與系統復原能力，確保在攻擊發生時能將衝擊降至最低並快速恢復營運。

---

結語：韌性，是面對不確定性的唯一解答

「I'm Rois」事件不會是最後一起。在初始存取權限交易生態日益成熟、攻擊分工日益精細的趨勢下，台灣企業——尤其是半導體供應鏈、關鍵基礎設施與上市櫃公司——將持續成為高價值的攻擊目標。

我們無法消除所有風險，但我們可以選擇如何回應。真正的資安韌性，不是從未被攻擊，而是當攻擊發生時，組織能夠快速偵測、有效應變、穩健復原，並從中學習成長。

博曄顧問以數位信任為核心，協助企業從威脅情資出發，結合 ISO 27001、NIST CSF、MITRE ATT&CK 等國際框架，建構涵蓋供應鏈安全、雲端安全、DevSecOps 與威脅情資分析的多層次防禦與營運韌性體系。在威脅持續演進的時代，我們相信，唯有將資安深植於企業治理的核心，才能在數位時代的風暴中站穩腳步，守護企業的永續發展。

---

作者：蔡一郎｜博曄顧問股份有限公司 創辦人｜The Honeynet Project 台灣分會長