2025年4大資安事件！一次告訴你 Deepfake 詐騙、社交工程如何防範

你能想像一場視訊會議、一次看似正常的匯款指令，竟能讓企業在幾分鐘內損失 50 萬美元嗎？

這不是電影情節，而是 2025 年真實發生的 Deepfake 詐騙案例！隨著 AI 技術、撞庫攻擊、勒索軟體與 SaaS 供應鏈攻擊全面升級，資安威脅已不再只針對大型企業，連一般使用者、雲端服務依賴者、甚至中小企業都成為駭客目標。從帳號被盜，到第三方服務外洩、RaaS 勒索模式崛起，今天 HiYun 嗨雲將帶你用最生活、最實用的角度，帶你一次看懂 2025 年最值得注意的四大資安威脅，並告訴你幾個守護網路安全的必知招數！

這是 2025 年 7 月在新加坡真實發生的案件。駭客利用 Deepfake 技術複製 CEO 的臉、聲音，假裝召開線上會議，再搭配社交工程話術，成功讓企業財務主管在 Zoom 會議後，真的把近 50 萬美元匯進駭客帳戶。這起事件揭露了一件事：AI 駭客已經不只會發釣魚信，而是能「假冒一個人」參與會議，看起來毫無破綻讓你輕鬆上當。

💡 社交工程攻擊是什麼？認識七大攻擊手法、三大防範策略

Deepfake 是什麼 ？為什麼連資安專家都難辨真假？

Deepfake（深度偽造） 本質上是以大量真實影音資料訓練模型，讓 AI 能合成高相似度的聲音或影像。當駭客把這個技術應用在社交工程時，攻擊就不再只有文字版的「網路釣魚」，而是聲音＋影像＋文字同時攻擊。

為什麼 Deepfake 難識破？原因主要有 3 點：

• 語調與停頓逼真：生成的聲音可模仿目標人物的說話節奏與口頭用語。

• 個資被用來客製化攻擊：駭客把公開的公司新聞、社群貼文、內部簽名等資料餵給模型，生成「更有說服力」的內容。

• 一般人對「已知身分」具備信任感：只要外觀、聲音符合「熟悉對象」，大腦就會自動省略驗證，Deepfake 正是利用這個心理漏洞，讓詐騙成功率大幅提高。

如何避免成為下一個 AI 詐騙受害者？

個人／員工

• 匯款、敏感操作不能只用語音或訊息確認
• 重要帳號務必開啟 MFA，不只靠簡訊 OTP 驗證
• 不要在社群或客服聊天室輸入完整驗證碼及密碼
• 當視訊嘴型不同步、聲音有延遲、眼神怪時應立刻提高警覺

企業

• 建立雙重驗證 （匯款/權限變更一定二次確認）
• 採取零信任(Zero Trust)＋最小權限原則 （每個帳號、SaaS 服務都只能存取必要資源）

近兩年 Ticketmaster、Discord 相繼爆發帳號被盜與身份驗證相關的安全事件，但問題往往不在平台本身，而是外流密碼被重複使用再加上第三方服務遭入侵，導致身份驗證資料被竊取並引發撞庫攻擊，最終讓大量帳號被接管、票券遭轉移。

帳號是怎麼被駭客入侵的？撞庫攻擊、暴力破解全部告訴你 ！

撞庫攻擊(Credential stuffing)：

指駭客把從資料外洩事件得到的「email＋密碼」組合，批量丟到目標網站的登入 API 嘗試登入。並成功快速破解，是因為很多人習慣在「不同網站都使用同一組密碼」。因此駭客只要把外洩帳密清單丟進去自動測試，不用破解密碼也能大量得手，因此撞庫攻擊效率高又獲利可觀。

暴力破解(Brute-force)：

指駭客對同一帳號反覆嘗試各種密碼（或用字典表），直到猜中為止。這種方式偏向「對單一帳號的反覆試探」，會被大多數平台的速率限制或鎖帳機制偵測到，目前已較少出現。

簡單來說：撞庫攻擊是用「已知鑰匙嘗試所有門」，暴力破解是「用千百把鑰匙攻破同一扇門」。

💡IG 又被盜？你不能不了解的撞庫攻擊(Credential Stuffing) 一秒破上千組帳密！

使用高強度密碼、啟用 MFA 預防撞庫攻擊

個人／員工

• 啟用多重驗證(MFA)： 優先使用驗證器 App 或硬體金鑰(FIDO2)而非僅靠簡訊 OTP
• 使用密碼管理器，產生高強度密碼： 避免同一組密碼在多平台重複使用，這是抵擋撞庫攻擊最直接的方法
• 定期檢查你的電郵是否出現在外洩清單： 若發現有外洩通知可在「Have I Been Pwned」工具查到，立即改密碼並開啟 MFA

企業／平台

• 強制使用硬體金鑰或 App 型 MFA（尤其是管理員與高權限帳號）
• 建立 ATO 偵測機制，異常登入即封鎖

過去駭客攻擊企業，目標多半是公司本身；但 2025 年開始，駭客不直接攻擊你，而是攻擊你「正在使用的第三方服務」。今年荷蘭與法國航空就因第三方服務系統遭入侵，導致會員資料外洩、訂位系統受影響。影響範圍遠超第一時間被駭的供應商，這正是供應鏈攻擊最危險的地方：企業花錢加強資安，卻擋不住「外包商、SaaS、API 供應商」被駭後的連動災害。

什麼是供應鏈攻擊？為什麼 SaaS 會放大風險？

供應鏈攻擊(Supply Chain Attack)簡單說就是繞過企業本身，改攻「企業倚賴的軟體／雲端服務／API」，一旦突破，就能一次拿到數十、數百家企業的資料或系統入口。回報率大幅提升，這就是為何 SaaS 供應鏈攻擊相關事件近年來激增至 300 %的關鍵原因。

企業如何防範供應鏈攻擊

2025 年初彰化基督教醫院在 228 連假期間遭到勒索軟體入侵，攻擊者趁醫院人力最薄弱時滲透系統，利用 Microsoft Dev Tunnels 與 Graph API 等合法工具隱藏惡意程式，導致部分主機停擺並影響院內系統運作。雖然院方強調並無病患資料外洩，但事件再度證明醫療機構因「不能停機、系統內含大量敏感資料」而成為 2025 年駭客最優先鎖定的目標。

什麼是 RaaS？為什麼連中小企業也逃不掉？

RaaS = 勒索軟體 + SaaS 的商業模式

過去要發動勒索攻擊，需要資安技術＋惡意程式開發能力，但 RaaS (Ransomware-as-a-Service)把勒索攻擊變成「訂閱式服務」。只要付錢，就能獲得完整攻擊工具包、加密模組、後台控管面板，甚至包含客服教你怎麼談贖金。別以為只有大公司會被勒索，中小企業也是攻擊對象！只要持有重要資料或高度依賴營運系統的公司，都可能會是駭客眼中的下手目標。

面對勒索軟體，沒有異地備援就等於沒有防禦

勒索軟體真正可怕的不是「會不會被攻破」，而是「萬一中招，能不能在不付贖金下快速復原」。因此重點不只是強化防護，而是也要做好復原能力。做好異地備份，並對關鍵資料做加密與版本化，企業才能在遭受攻擊時迅速恢復營運、降低損失。

💡 異地備援是什麼？讓你重要資料不再消失！

面對 AI 詐騙、帳號外洩、供應鏈攻擊、勒索軟體全面升級，企業若仍依賴單一資安工具，已無法應付現在的攻擊手法，更難抵擋未來更隱匿、更自動化的潛在威脅。HiYun 嗨雲提供高效能的 Anti-DDoS 防護服務，能幫助您有效防禦大規模流量攻擊。

若您需要更全面、有效的資安防護，我們也提供客製化的資安解決方案，依據您的需求量身打造方案，為您的企業資訊安全層層把關。或是透過下方表單與我們的專業團隊聯繫，讓我們協助您守護網路安全！