資安新手入門 03｜沒什麼好偷的？小公司被盯上的理由不一樣

談到資安，你心裡可能閃過一個念頭：我們只是一間小型公司，網站上放的是公開的商品介紹，既沒有國家機密，也沒有龐大的客戶信用卡資料，誰會特地花時間來偷我們？

如果攻擊者是一個人坐在電腦前、看著公司名冊挑對象，這個想法或許說得通。但〈AI 寫的程式碼最常踩的資安地雷：權限、金鑰、輸入驗證〉那篇寫過一個殘酷的現實：攻擊是程式自動掃全網的，掃到門沒關就進去，跟你是誰無關。英國國家網路安全中心（NCSC）在《資安十步：弱點管理》（10 Steps to Cyber Security: Vulnerability management）指南中也明講：一旦有新的漏洞被公開，攻擊者往往是不分青紅皂白地（indiscriminately）在網路上尋找任何還沒修補的系統下手。

這是資安新手入門的第三篇。在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉確認過版本之後，這篇要回答一個經營者常有的疑問：就算門真的沒關好，對方進來一間小公司，到底想拿什麼？答案是：他們看上的，從來就不只是你以為的商業機密。

先換個角度：小公司算不算目標

英國國家網路安全中心（NCSC）在 2026 年更新的《小型組織資安指南》（Small organisations guide to cyber security）開頭就直接點破這個迷思：新聞版面上常看到大型企業遭駭，但小公司遇上網路犯罪的機率跟大公司並無二致；該指南引述英國統計指出，每兩間小型企業裡，就有一間會在一年內遇上至少一次資安事故。

為什麼連不知名的小系統也有人要？因為當自動化程式掃開一扇門之後，就算裡面沒有驚人的機密，你的系統本身就帶著四樣現成的資源：你的主機、你的網域與信箱、你的客戶與合作夥伴名單，以及你明天還得開門做生意這件事。

第一樣值錢的東西：你的主機與外部服務額度

你每個月付錢租雲端主機、串接發簡訊或 AI 服務，買的是運算能力與發送額度。對攻擊者來說，這些都是不用自己掏錢買的免費設備：

• 把你的主機拿去挖礦或當跳板：對方進來之後不刪你的資料，也不改你的首頁，只是在背景悄悄跑他自己的程式——可能是消耗你的處理器算力，或是拿你的主機當掩護去攻擊別人。你的網站看起來還活著，只是變得特別慢，直到主機商通知你流量異常把機器停掉，你才發現異狀。
• 盜刷你串接的外部服務金鑰：在〈AI 寫的程式碼最常踩的資安地雷：權限、金鑰、輸入驗證〉那篇提過，程式跟簡訊商、寄信服務或 AI 模型之間靠的是金鑰通行證。誰拿到那串金鑰，誰就能用你的名義、花你的錢，等到月底帳單變成平常的好幾倍，那筆錢還是得由公司買單。

你可以這樣問負責的人：如果我們的主機運算量或外部服務的用量在半夜突然暴增，現在有沒有監控與費用上限會先通知我們？還是要等到月底看帳單才會知道？

第二樣值錢的東西：你的公司網域與信箱信譽

攻擊者要寄詐騙信或釣魚連結，如果自己剛去註冊一個陌生的免費信箱，很快就會被各家郵件系統擋進垃圾信件匣。這時候，一間正派經營了好幾年的小公司網域，就是現成的偽裝：

• 借你的網域寄釣魚信：你的公司網域有正常的商業往來紀錄，在郵件系統眼裡是有信譽的寄件者。一旦寄信權限或管理信箱被拿走，對方就能頂著你公司的名字到處發信。
• 把你的舊頁面改成詐騙頁：如果你的網域底下還有沒人在看的舊活動頁或測試站，對方把裡面換成假冒銀行或電商的登入頁，在搜尋引擎與過濾系統眼中，那是一個掛在合法公司網域下的正常網址，能活得比新註冊的詐騙網站更久。

你可以這樣問負責的人：我們公司的網域與寄信服務有沒有設定防偽機制，避免別人冒用我們的信箱名義發信？網域底下還有沒有沒在管、卻還開著的舊網頁？

第三樣值錢的東西：你的訂單名單與供應鏈信任

你可能覺得網站上留的只有姓名、電話、信箱與買過什麼東西，稱不上什麼大機密。但在詐騙集團的分工裡，帶有消費紀錄的真實名單，比亂槍打鳥的電話號碼好用得多：

• 拿去精準詐騙你的買家：對方講得出訂單編號、消費金額與購買品項，接到電話的人就很難起疑。〈沒有維護的隱藏成本：一次當機、一次外洩、一次改不動〉那篇算過這筆帳：一旦客戶資料外洩，你要付的是逐一通知客戶的時間、找人查清楚的費用，以及最難算的——客戶下次不再選你的信任成本。
• 借你的手走進你合作的企業：如果你的公司是某家大企業的供應商或合作夥伴，攻擊者看上的可能根本不是你，而是你跟那家大企業之間的信件往來與系統連線。英國國家網路安全中心（NCSC）在《資安十步：供應鏈安全》（Supply chain security）指南中特別提醒：針對供應商的攻擊，對企業造成的傷害可能與直接攻擊企業本身一樣嚴重；而在爭取政府或大型企業合約時，能不能證明自己有做好基本資安，也已經成為能不能拿到訂單的條件。

你可以這樣問負責的人：我們的資料庫有沒有定期備份、有沒有限制只有網站本身能連？放有聯絡名單的後台，匯出資料時有沒有權限控管與紀錄？

第四樣值錢的東西：你不能停工的壓力

就算上面三樣對方都不拿，還有最後一招：把你的資料庫與檔案全部鎖起來，問你要不要付錢買鑰匙。

這種勒索軟體根本不需要知道你的資料有什麼商業價值，它賭的只有一件事——這份資料對別人沒用，但沒有它，你明天就沒辦法出貨、沒辦法對帳、沒辦法開門營業。

大公司被鎖了，可能還有專職的資安團隊與異地備援可以切換；小公司一旦發現連最近一份備份都放在同一台主機上、跟著一起被鎖住，就可能被迫在付贖金跟全部重來之間二選一。〈你的 AI 產品有備份嗎：資料庫與檔案的最低標準〉那篇訂出的四條底線——資料庫每天自動備份、檔案跟著一起備、備份放在不同主機或不同服務商、每季實際試還原一次——防的就是這一天。

你可以這樣問負責的人：如果今天正式主機整台被鎖死或毀損，我們的備份是不是放在那台主機碰不到的另一個地方？上一次實際試著把備份還原回來，是什麼時候？

一張表對照：你以為沒價值的，對方怎麼拿去變現

把上面四件事放在一起看，你會發現覺得沒什麼好偷，其實只看了左邊，沒看到右邊：

想通之後，先做哪三件事

知道小公司為什麼會被盯上，不是要買一套大企業才用得起的昂貴設備，而是先把基本的門關好。整理成三件現在就能確認的事：

• 不要把沒人認識當成防護：自動掃描程式不看公司招牌，只看漏洞補了沒。配合〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉的做法，定期做安全更新，先把已知的門關上。
• 把備份搬到主機以外的地方：對照〈你的 AI 產品有備份嗎：資料庫與檔案的最低標準〉，確認備份放在不同主機或服務商，而且真的試過還原。手上有乾淨、獨立的備份，被鎖住時你才有底氣不付贖金。
• 讓異常比帳單跟客訴更早到：對照〈網站掛了，誰會先知道：小產品也需要的監控最小組合〉，把網站存活、程式報錯、主機資源這三樣基本監控裝起來，並確認通知有人收、有人會處理。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。如果你不確定公司的系統現在有沒有人定期做安全更新、備份是不是真的在主機之外、金鑰有沒有外洩風險，可以從一次系統健檢開始：看的是程式碼、資料庫、部署、資安四個面向，〈系統健檢到底在看什麼：程式碼、資料庫、部署、資安四個面向〉那篇寫了完整的檢查內容。預約系統健檢