微軟報告：80%勒索軟體攻擊出自雲端服務配置錯誤

微軟本周發布最新網路安全報告，顯示八成的成功勒索軟體攻擊，原因出於受害者軟體或終端裝置配置不當，讓惡意程式乘虛而入。

微軟最新的《Cyber Signal》報告是根據微軟蒐集的43兆個安全訊號，以及8，500位安全專家提供的意見整理而成。今年的計畫把重點放在勒索軟體即服務（Ransomware-as-a-service， RaaS）以及網路犯罪經濟。

報告指出，雖然勒索軟體屢成新聞頭條，但其實底層只是很少數的一群人互相連結推動這犯罪經濟。而網路犯罪經濟的專化及整合也促成RaaS成為主流商業模式，也讓各種罪犯得以部署勒索軟體。

經過發展，現在在RaaS上，罪犯可以購買勒索軟體使用權、存取竊得的受害者資料，或是使用支付網路。暗網可以輕易找到多種兜售的RaaS套件，這些套件可能還有不同組合、客戶服務及用戶評等、論壇及其他功能。它也有不同商業模式，有的是固定價格，有的則提供合夥（affiliate）分潤模式（下圖）。勒索軟體生態系也是不斷流動，例如在Conti關閉後，其合夥人疑似轉到LockBit和Hive。但是Conti關閉後留下的真空，又有新RaaS如Quantum Locker及Black Basta來填補。

圖片來源／微軟

將角度轉向受害者，這份報告列出招致勒索軟體成功攻擊的4種禍因。第一是密碼失竊及線上身份防護不佳，幾乎所有成功的勒索軟體攻擊，駭客都能存取到管理員帳號而在受害網路上橫向移動。其次是欠缺安全產品或是配置錯誤，幾乎每次勒索軟體事件，都有安全產品未發生作用，令攻擊者得以關閉防護。

第三原因是特定應用程式配置錯誤或是遭駭客濫用，尤其用戶害怕改壞，而使用預設或「舊式」的應用程式配置，反而讓攻擊者在公司網路上橫行無阻。報告指出，超過80%的勒索軟體擊都可以歸因為軟體和裝置配置錯誤。最後一項因素是修補程式太慢；2022年，最好的例子是Log4j軟體漏洞（Log4Shell）修補太慢，迄今仍不時傳出遭勒索軟體利用以駭入企業網路。

針對4項原因，微軟建議，企業應啟用多因素驗證來防止身份（帳密）資料失竊、驗證網路安全工具的配置、移除重覆或不常使用的應用程式，也要小心使用TeamViewer這種遠端支援工具，以及清查軟體，確保所有軟體都在最新版本。

除了RaaS外，這份報告其他資訊是關於釣魚信件；一旦用戶不幸上了釣魚信件的當，攻擊者取得用戶私密資料的時間中位數是1小時12分鐘。而如果企業裝置被駭，攻擊者在公司網路橫向移動的時間中位數，為1小時42分。