【資安日報】4月2日，手機門號語音信箱預設密碼成Line帳號盜用新破口
一句話版本
今次最值得留意唔係單一漏洞，而係幾種「平時被當成次要配置」嘅弱點一齊爆出風險，包括語音信箱預設密碼、瀏覽器零時差、供應鏈流程同假擴充套件，代表攻擊者愈來愈鍾意由最容易被忽略嘅入口落手。
點解重要
- 身分驗證鏈原來可以被電信語音信箱拖垮：Line 帳號盜用事件顯示，只要手機號碼相關嘅語音驗證流程有預設密碼同遠端存取，攻擊者就可以繞過大家以為安全嘅登入保護。對我哋嚟講，任何依賴手機門號收碼或語音驗證嘅流程，都唔可以只睇 App 端設定，仲要連埋電信側當成攻擊面。
- 「預設值」本身就係漏洞類型：台灣大哥大要全面取消語音信箱預設密碼，反映問題唔係單一帳號設定失誤，而係產品預設設計容許大量帳戶同時暴露。呢類風險一旦存在，影響通常係橫向、大規模，而且用戶未必知道自己開咗危險功能。
- 客服與人工流程都要當成安全控制點：業者加上類 KYC 驗證，說明高風險操作唔可以只靠電話號碼或簡單資訊驗證。呢個對所有有重設、切換裝置、恢復帳戶流程嘅系統都係提醒，因為攻擊者最常打嘅就係例外處理通道。
- Chrome 零時差持續被實戰利用，端點更新速度直接影響風險窗：今次已經係今年第 4 個 Chrome 零時差，仲已被 CISA 列入 KEV，代表呢類漏洞唔係理論風險。對團隊而言，瀏覽器同基礎工具更新唔應再當成使用者自己處理，而係需要有明確時限同覆蓋率。
- 開發者常用工具一樣可以變成 RCE 入口：Vim 漏洞說明，唔止伺服器同瀏覽器要補丁，連本機編輯器都可能因為打開特製檔案而中招。對工程團隊嚟講，工作站安全基線應包括 CLI/編輯器版本盤點，而唔只係 OS 同瀏覽器。
- AI 已開始加速漏洞挖掘節奏：Claude 被用嚟協助找出 Vim 同 Emacs 漏洞，代表公開軟體中較冷門但高影響嘅弱點，之後可能更快被發現同武器化。呢個變化會壓縮「漏洞公開到被利用」之間嘅時間。
- 供應鏈風險已經由套件層再推前到 CI/CD 流程層：Trivy 事故唔係核心程式碼被改，而係 GitHub Actions 流程被入侵，顯示攻擊者已經好熟悉軟體交付鏈。對我哋而言，保護建置流程、機密憑證、簽章同工作流程權限，重要性同保護原始碼本身一樣高。
- 大廠資料外洩未必從主系統正面突破，而係靠外流憑證串連多平台：思科事件牽涉 Salesforce、AWS、GitHub 等資料面，說明雲端 SaaS 同開發平台之間一旦身份邊界鬆散，入侵後可以很快放大。企業唔可以再逐個系統孤立看待，而要用「跨系統權限鏈」思考。
- 瀏覽器擴充套件已經變成企業資料外流捷徑：假冒或被植入後門嘅 AI/生產力擴充套件會直接偷對話內容，呢點對依賴生成式 AI 嘅團隊尤其危險，因為敏感資料往往正正會被貼入提示詞。換句話講，擴充套件治理而家已經係資料防護議題。
- 攻擊入口由 Email 轉向語音網釣，說明防守模型需要更新：Google 報告指出雲端入侵最常見初始手法變成 Vishing，傳統「防釣魚」訓練若只集中喺信件，就會漏咗最實際嘅入口。內部流程若容許電話指令觸發重設、授權或 MFA 變更，就要特別小心。
- Living-off-the-land 手法依然有效，而且更難靠單點偵測攔截：WhatsApp 惡意攻擊利用正常 Windows 工具、雲端儲存同多階段載入，代表攻擊鏈愈來愈似正常操作。對防守方嚟講，單靠黑名單或檔案特徵已經唔夠，要看程序關聯、下載來源同行為串接。
- 雲端平台開始把偵測與復原綁埋一齊交付：Google Drive 正式推出勒索軟體偵測加檔案回復，重點唔只係發現異常，而係縮短業務中斷時間。呢個趨勢提醒我哋，真正有用嘅防護唔係「有 alert」，而係出事後可否快速回到可運作狀態。
- 本地企業受攻擊案例再一次說明跨區營運會放大應變難度：建通事件波及集團同海外據點，反映企業一旦多地部署但控制措施唔一致，復原同調查都會更複雜。呢個對任何有多環境、多據點系統嘅團隊都係直接警號。
我哋點睇
- 如果我哋有任何依賴手機號碼、語音驗證、一次性密碼或客服重設嘅流程，要即刻把「電信端預設值」同「外部語音存取」列入威脅模型，唔可以假設門號就等於可信。
- 要重新定義端點基線：瀏覽器、編輯器、CLI 工具、瀏覽器擴充套件都應納入受管清單，同時設定高風險更新時限，否則開發機本身會變成最弱一環。
- 供應鏈防護重點應由「掃有冇惡意套件」擴大到「保護建置流程與憑證」，特別係 GitHub Actions、雲端 token、SaaS 權限同自動化流程。
- 內部資安宣導要補返電話社交工程同假 AI 工具兩條線，因為而家最容易中招嘅，未必係傳統釣魚信，而係冒充支援、假擴充套件同日常工作用工具。