資安業者OneDegree針對臺灣30家壽險、產險業者調查其資安防護的情況,並依據網路服務、網站、電子郵件、帳號密碼、雲端安全等領域進行分析,並與2021年的態勢進行比對。結果發現,落差最顯著的是帳號密碼保護的部分,約有8成的業者使用的SaaS平臺發生帳密外洩的情況,其中最常使用及出現洩露帳密的服務,包含Adobe、Canva、Dropbox、LinkedIn等,而在帳密保護的評比上平均落在C級,這樣的情況相較於2021年的調查結果差異最大,當時平均為A級,僅有2成保險公司被評為C級。
而對於本次調查結果,研究人員推測有以下因素造成,其中之一是影子IT(Shadow IT)的問題,未被企業IT列管、卻被員工在工作場合私自使用的IT系統,很有可能被駭客拿來做為社交工程攻擊的媒介;另一個因素則是近年來快速發展的生成式人工智慧(GenAI),雖然ChatGPT能讓企業增加生產力,但駭客也同時拿來用於社交工程攻擊,企圖藉此讓員工帳密流入暗網。
但為何影子IT是導致帳密外洩的主要原因?研究人員並未進一步說明。但我們認為,員工使用影子IT的裝置或服務,企業IT並不知情,無法對其進行管理或是控制,再加上歷經3年的COVID-19疫情後,這種現象變得更加難以管控,而讓帳密曝險的情況惡化。