個人資料保護與資訊安全
104學習
VPN
在職場上，這項技能代表能夠安全連接公司內部網路，無論身在何處都能存取企業資源。它確保資料傳輸加密，避免敏感資訊外洩，提高遠端工作和跨國協作的效率與安全性。熟悉這項技能的人通常具備基礎網路安全知識，能協助維護公司資訊安全，對於IT、資安及需要遠端連線的職務尤其重要。掌握這項技能，能提升工作靈活度與資訊保護能力，對現代職場非常實用。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
會上網的你，日常資安對策要注意
物聯網資訊安全實務｜本課程為線上課
電腦/筆電使用常見10大資安風險
CompTIA Security＋國際網路資安認證班
企業資訊安全概念-從私有雲開始建構企業資安防護
【2026/11/9開班】國際網路資安認證課程 CompTIA Security+
EC-Council CEH駭客技術專家認證課程
如何藉由雲端技術來防護企業網路安全
解鎖駭客與資安自保守則
精選證照
考取專業證照，讓能力被市場看見
網際網路及行動通訊
網際網路及行動通訊證照專注於網路技術與行動通訊系統的基礎知識與應用，涵蓋網路架構、協定、資料傳輸、安全防護及行動通訊技術等。取得此證照者具備設計、管理及維護網路系統的能力，能有效處理網路故障並確保通訊品質，適用於資訊科技、電信及相關產業，提升職場競爭力與專業技能。
財團法人中華民國電腦技能基金會
明逸生活資訊安全認證
隨著資訊化電腦普及與網際網路發展，各種資訊系統(產品)衍然而生，網路成為每個人生活必備之工具，也帶來不少資訊安全問題。有鑑於此，我們研發設計資訊安全認證(MISC)，本認證分為基礎認證、專業認證及大師認證，您可藉由此認證學習並提升個人資訊安全觀念，亦可透過本認證作為個人資訊安全能力鑑定。
明逸數位有限公司
網際網路實務與應用
網際網路是目前資訊領域最常碰到的學科，這領域包括：網路入門、通訊網路實務、全球資訊網、電子郵件與即時通訊、網誌/微網誌/Vlog－Facebook與Google+、網路資源活用、FTP檔案傳輸與P2P下載、Google搜尋祕技、網路安全的認識與防範、資訊倫理與網路著作權。
TIPCI臺灣國際專業認證學會
程式設計與軟體開發知識
網際網路是目前資訊領域最常碰到的學科，這領域包括：網路入門、通訊網路實務、全球資訊網、電子郵件與即時通訊、網誌/微網誌/Vlog－Facebook與Google+、網路資源活用、FTP檔案傳輸與P2P下載、Google搜尋祕技、網路安全的認識與防範、資訊倫理與網路著作權。
TIPCI臺灣國際專業認證學會
Security+
Security+證照是由CompTIA頒發的資訊安全基礎認證，涵蓋網路安全、風險管理、威脅辨識與防護、加密技術及安全政策等核心知識。持有此證照代表具備防範網路攻擊、維護系統安全與執行安全措施的能力，適合初中階資安專業人員，提升職場競爭力及進入資訊安全領域的門檻。
尚未查核發照單位
ECSS 資安基本認證
ECSS這門課程主要是訓練防駭基本技能，針對網路分析內部和外部安全威脅，開發保護組織訊息的安全策略。課程中您將學習評估網路和網際網路安全問題，以及貫徹成功的安全策略和防火牆策略。另外您也將學習到面對即時的系統安全威脅，提供怎樣的對應方案。
Network security電腦網路安全
防火牆計畫與設計、建立安全政策/防火牆規劃策略、 封包過濾/運用代理伺服器與應用層次的防火牆/鑑定使用者、加密與防火牆/Choosing a Bastion Host選擇防衛主機/建立虛擬私人網路、建立您的防火牆/防火牆管理、系統安全性稽核。
Ethical hancking & Countermeasures駭客技術及解決對策
系統安全概念及解介、安全性威脅基本定義及種類/後門程式、木馬程式、病毒等主要的安全性威脅/Linux 系統介紹、密碼破解方式及馬程式、病毒等主要的安全性威脅/Linux 系統介紹、密碼破解方式及火牆及Honey Pot誘導陷阱、駭客入侵流程及機制/黑心駭客以及正派駭客的差異。
Computer hacking forensic investigation 駭客偵防技術
電腦偵防技術介紹/電腦作業系統及磁碟機的電腦偵防技術/版權、著作權及專利、 網路偵防技術介紹/網路偵防技術案例及舉證、數位證據/目前市面上的常見作業系統、Steganography 如何利用隱藏資訊/記錄檔分析技巧、電子郵件犯罪行為/電腦安全調查報告撰寫模式、電腦偵防技術的未來發。
EC-Council
精選貼文，掌握第一手知識
有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
美國博通在台子公司驚傳洩密！近年有多起震驚產業界的「竊取商業機密」案件，受害產業遍及科技業、旅遊業，面對這些「商業間諜」，公司該如何自保「營業秘密」呢？什麼是「營業秘密3要件」？哪些資訊受《營業秘密法》的保護？如果要設下「防火牆」又有哪些注意事項？《104職場力》綜合新聞事件、法條以及專業律師見解，為您一次解答有關「營業秘密法」的常見問題！
更新時間：2026/05/25
文／《104職場力》小編
本文導覽
「營業秘密」3要件是什麼？公司該如何管理／保護「營業秘密」？哪些資訊不受《營業秘密法》的保護？哪些行為，就是侵害公司的「營業秘密」？「營業秘密」受侵害時，可以請求哪些損害賠償？侵害「營業秘密」有哪些刑責？
【時事案例】博通在台子公司驚傳洩密，工程師遭違反《營業秘密法》起訴！根據多家媒體證實報導：美國博通公司（Broadcom Inc.）的在台子子公司：台灣安華高科技公司（Avago Technologies Taiwan），日前一位前任職於應用工程師及半導體方案部門區域業務工程師的李男，因涉嫌在職期間非法重製公司內部資料並於外部講座中洩漏，透過公務筆記型電腦，未經授權登入客戶訂單分析資訊系統，非法重製並下載包括客戶訂單、財務預測、產品研發進程、客戶名單及營運資訊等屬於公司機密的資料。而且於自2024年1月15日至2025年3月13日期間，多次以「博通專家」或「AVgo專家」名義接受外部邀請，接受多達85場講座，並獲得講座費共計約新台幣295萬8000元，經地檢署深入偵辦後，認定李男的行為已違反《營業秘密法》等相關規定，予以起訴。
過去也曾發生多起產業界的「機密竊取」事件，包括「護國神山」台積電爆發2奈米技術的間諜案、聯電、聯發科和宏達電也曾遭「內鬼」攻擊，此外有鋰電池大廠遭竊價值達近20億元的商業機密、工程師為解決債務問題，竟趁值夜班時盜走近萬的IC半導體晶片，不法獲利達60萬元，還曾有旅遊公司的副總監涉嫌盜入前東家的後系統後台盜取營業秘密而遭起訴。
這些「商業間諜」的行為似乎層出不窮，到底公司該怎麼做才能讓自己的「營業秘密」被保護？公司內哪些資訊屬於「營業秘密」？若與在職／離職員工簽署契約保障公司權益，又有哪些地方需要注意？
《104職場力》綜合新聞事件、法條以及專業律師見解，為您一次解答有關《營業秘密法》的常見問題！
「營業秘密」3要件是什麼？
一般提到「營業秘密」，指的是滿足「營業秘密3要件」的狀況。
3大要件分別為：
秘密性：可以細分為「商業性營業秘密」及「技術性營業秘密」兩種類型
商業性營業秘密：一般指業務、銷售上的資訊，如：客戶名單、成本結構、經銷據點、交易底價、商品定價、人事管理、進貨成本等與經營相關的資訊。
技術性營業秘密：一般指特定產業的研發、創新技術，包括方法、製程、配方、技術等等。
經濟性：可產出經濟利益或商業價值的資訊，通常以兩個條件來判斷該資訊是否具「經濟價值」
事業單位已投注一定時間、人力、成本才獲得的資訊，可獨立存在（類似自家的獨家數據庫）。
可為事業單位帶來有形的收益，甚至取得市場的領導地位（市佔率、研發能力、業界評價）等競爭優勢。
受到合理保護：這部分是指事業單位在主觀上對該資訊存有「保護」的意願，客觀上也針對保密做出積極應對措施，一般常見的是和員工簽署保密條款、競業禁止條款，或是在文件、產品、資訊上註明「機密」、「限閱」，並於內部列管。常見的保密措施如下：
實際隔離法：如存放於保險箱、設定密碼鎖、封緘文書、備有門禁與警報系統。
形式簽署保密：於文件上加註「密件」、「機密」、「限閱」等字樣，或簽署保密協議。
接觸管制：直接限定特定人員、部門、執掌者才有權限可觸碰接觸該「營業秘密」。
若是以我國《營業秘密法》的定義來說，在第2條中有揭示什麼指「營業秘密」：「係指方法、技術、製程、配方、程式、設計或其他可用於生產、銷售或經營之資訊，而符合下列要件者」
非一般涉及該類資訊之人所知者。
因其秘密性而具有實際或潛在之經濟價值者。
所有人已採取合理之保密措施者。
因此結合起來，只要是對企業而言「具秘密性」，有實際（或潛在）「經濟價值」，而且已經「採取合理保密措施」的項目，都可以被視為「營業秘密」的一部分。
舉例來說：像專利技術、獨家製程、獨家配方、設計商品，這些只要符合3要件，都可被認定為事業單位的「營業秘密」。
公司該如何管理／保護「營業秘密」？
如前所述，公司在設定「合理保護」時，可以透過幾種方式來保護自家的「營業秘密」。一般常見的營業保護措施除了上文提及的「實際隔離法」、「形式簽署保密」、「接觸管制」之外，最常見的是以下幾種作法：
與員工簽訂保密條款、競業禁止條款公司可在聘僱員工時，即和員工簽下「保密條款」，一般會在勞動契約、委任契約等聘僱契約中，加上「保密義務」及「智慧財產權歸屬」、「禁止勸誘」及「離職時移交刪除資訊」條款。當員工離職時，也可以透過與勞工約定約定離職後「競業禁止條款」，約束知悉、取得雇主營業秘密的員工，離職後的相當期間內，不得至競爭對手處任職。
將「營業秘密」分級別各別保存現今有些企業會採取「分散架構」保存營業秘密。意即將關鍵的營業秘密分割成數個部分，分別交由各別部門、人員職掌，單一員工僅知部分片段資訊，如要拼湊出完整的營業秘密需要曠時費日的集合散落在公司各部門的內容。又或者會制定不同強度、等級的管理規則和存取限制，限制權限不足的員工造訪權，搭配系統認證系統、密碼等，嚴格控管碰觸資料者的存取狀況。
加強公司內部的「資訊安全」管理在現今的潮流下，多數工作者的「資安意識」都比過去更好，事業單位也多會建置公司內的防火牆、防毒軟體，加強宣導資安觀念，甚至禁止員工使用外部電腦（或隨身碟、硬碟）存取資料。針對離職員工，目前也有企業會訂定「離職移交」的相關規定，當中會包括離職員工應將自身掌握的資訊如實交接移交給指定窗口，並將個人電子設備當中所有資訊予以刪除、避免資訊外流。
延伸閱讀：公司營業秘密不外流 人資三招應戰
哪些資訊不受《營業秘密法》的保護？
雖然《營業秘密法》對企業的營業機密有一定的保護，但是其實「與商業競爭無關的秘密」和「事關非法的秘密」都不屬於營業秘密法的適用範圍，這一點還是要請事業單位多加留意。
以下舉例不受保護的內容如：
與商業競爭無關的秘密：如公司成員的私生活（感情糾紛、賭博等違法事件）、政治立場、軍事機密（受其他法律保障）。
事關非法的秘密：機密本身是違法的項目，即失去保護（如公司逃漏稅的管道、內線交易、採用非法方式營利、不合法的原料製作產品等等）
哪些行為，就是侵害公司的「營業秘密」？
《營業秘密法》第10條的說明，有以下情形發生時，就算是侵害了公司的「營業秘密」：
常見的行為包括：
以不正當方法取得「營業秘密」者。
知悉或因重大過失而不知其為前款之「營業秘密」，而取得、使用或洩漏者。
取得「營業秘密」後，知悉或因重大過失而不知其為第一款之營業秘密，而使用或洩漏者。
因法律行為取得「營業秘密」，而以不正當方法使用或洩漏者。
依法令有守「營業秘密」之義務，而使用或無故洩漏者。
整體來說，所謂的「不正當方法」指竊盜、詐欺、脅迫、賄賂、擅自重製、違反保密義務、引誘他人違反其保密義務或其他類似方法。
侵害營業秘密的行為除了「不正當手段取得營業秘密」、「洩露營業秘密」這兩個常見的違法事項之外，最容易讓人忽略的其實是「依法其實應守營業秘密之人，應使用（或無故）洩露」，換言之如果你是理應保守公司營業秘密的人，但你卻做出不利於公司的洩露之舉，也是侵害「營業秘密」的情形。
「營業秘密」受侵害時，可以請求哪些損害賠償？
《營業秘密法》第13條規定，當確定「營業秘密」受侵害時，被害人可以提出下列各款規定當中擇一請求：
依《民法》第216條之規定請求。但被害人不能證明其損害時，得以其使用時依通常情形可得預期之利益，減除被侵害後使用同一營業秘密所得利益之差額，為其所受損害。
請求侵害人因侵害行為所得之利益。但侵害人不能證明其成本或必要費用時，以其侵害行為所得之全部收入，為其所得利益。
如果侵害行為實屬故意，法院甚至得因被害人之請求，依侵害情節，酌定損害額以上之賠償（但不得超過已證明損害額之三倍）。
侵害「營業秘密」有哪些刑責？
根據《營業秘密法》的規範，意圖為自己或第三人不法之利益，或損害營業秘密所有人之利益將依第13-1條處「處五年以下有期徒刑或拘役，得併科新臺幣100萬元以上1000萬元以下罰金」，而且依第13-3條的說明，此罪屬於須告訴乃論，公務員或曾任公務員之人，因職務知悉或持有他人之營業秘密，而故意犯前二條之罪者，加重其刑至二分之一。
其中所謂「損害營業秘密所有人利益」的行為包括：
以竊取、侵占、詐術、脅迫、擅自重製或其他不正方法而取得營業秘密，或取得後進而使用、洩漏者。
知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密者。
持有營業秘密，經營業秘密所有人告知應刪除、銷毀後，不為刪除、銷毀或隱匿該營業秘密者。
明知他人知悉或持有之營業秘密有前三款所定情形，而取得、使用或洩漏者。
請特別注意，即便未犯罪成功、僅是未遂犯，依照《營業秘密法》第13-1條的規定，依然會同等受罰。
當科罰金時，如犯罪行為人所得之利益超過罰金最多額，得於所得利益之三倍範圍內酌量加重。
此外，若意圖在外國、大陸地區、香港或澳門使用，而犯前條「損害營業秘密所有人利益」之罪者，「處一年以上十年以下有期徒刑，得併科新臺幣300元以上5000萬元以下之罰金」。
更多【營業秘密】的觀點
保障營業秘密，和員工簽署「保密協議」就夠了嗎？｜法律小教室
面試中展示作品集的侵權風險——你的前公司同意嗎？
「競業禁止條款」該怎麼設計才合法有效？律師：須符合5大要件，建議明訂合理補償金
分享前東家的文件也算洩密嗎？律師：視情節而定，但「保密義務」不會因離職而消滅
【免費資安講座來囉】想進入資安領域？從搞懂網路架構開始 |「Network+國際網路認證」線上研討會，參加抽好禮
⭐1小時聽懂！為什麼掌握網路架構對資安防護很重要 ?
🚩建立網路防護的前哨站
網路攻擊無所不在，企業因網路攻擊導致資料外洩、營運中斷的案例時有所聞，網路安全與資安韌性，仰賴網路與資安人才的專業職能。企業推動資訊安全主要是為了防範各種網路攻擊威脅，從部署防火牆、網路系統弱點、連接埠的安全性、虛擬網路的連線安全等種種網路安全佈建，一旦疏忽輕視，往往成為資安事件的導火線。
CompTIA Network+ 網路驗證課程提供網路基礎訓練，從基礎的 TCP/IP 架構、網路設備配置與連接埠規則、有線/無線網路技術與應用，到進階的網路故障排除技巧。掌握網路如何串接，有助於建構一個安全且穩定的網路環境，為資安防護打好基礎。
在完成Network+的認證課程培訓後，將奠定扎實的網路架構基礎，往後進修Security+時，將更能掌握資料安全與資料保護的核心概念，穩扎穩打的成為擁有網路與資安整合能力的資安工程師。
🍀🍀本次說明會特別邀請安碁學苑 陳成聰 專案處長，以及 CompTIA市場開發總監 Stanley Wong帶大家了解如何從Network+進入資訊安全產業，以及完成訓練後，有哪些豐富的職涯發展路徑🍀🍀
▲報名時間
即日起，至活動前兩天截止
▲講座時間 (擇一參加即可)
🔸第一場 2025年8月6日(三) 19:30 - 20:30
🔸第二場 2025年8月13日(三) 19:30 - 20:30
▲講座形式
線上進行，說明會連結與資訊，將於活動前兩天陸續發送至您的電子信箱。
🎁參加說明會，抽好禮
👉查看完整內容與報名 https://bit.ly/4mh9rc5
如何保護數據安全和個人隱私？雙重認證、限制存取、加密資料
隨著數位科技的快速發展，資安問題已成為企業和個人不可忽視的重要議題。無論是政府機關還是民間企業，面對日益增長的網路攻擊威脅，如何保護敏感資料和系統安全已成為當前的首要任務。資安不僅影響企業的運營效率，更關係到客戶信任與品牌形象。因此，了解資安威脅、採取有效的防護措施，以及定期進行安全檢查，對於每位上班族來說都是必備的技能。本文將深入探討資安的重要性及實用的防護技巧，幫助讀者提升自身的資安意識。
⏭️1. 使用強密碼與密碼管理工具
強密碼：選擇包含大小寫字母、數字及特殊符號的複雜密碼。例如，使用「G@rden!ng2024」而非「gardening2024」。
密碼管理工具：使用如 LastPass 或 1Password 的工具來管理和生成密碼，避免重複使用相同密碼。
⏭️2. 啟用雙重認證
額外保護層：啟用雙重認證（2FA），即使密碼被盜取，未經授權的訪問仍需額外驗證，如簡訊或專用應用程式生成的代碼。
⏭️3. 定期更新系統與軟體
自動更新：確保操作系統和應用程式定期自動更新，以修補已知漏洞，防止駭客利用過時軟體進行攻擊。
⏭️4. 使用公司提供的設備
安全性：盡量使用公司提供的設備進行工作，這些設備通常會有更好的安全措施和更新支持。
⏭️5. 謹慎處理電子郵件
識別詐騙：學會辨別可疑電子郵件，避免點擊不明鏈接或下載附件。定期培訓員工如何識別釣魚詐騙。
創意行動：設置一個“釣魚檢測日”，讓員工在特定日子中互相測試識別釣魚郵件的能力。具體步驟如下：
準備模擬郵件：設計幾封釣魚郵件範本，例如假冒人力資源部門或IT部門的通知。
發送模擬郵件：在活動當天發送這些模擬郵件給所有員工。
收集反饋：追蹤哪些員工點擊了鏈接或下載了附件，並進行分析。
提供教育與培訓：對於點擊了釣魚郵件的員工，提供後續的安全意識培訓。
⏭️6. 加密敏感資料
數據加密：對重要文件進行加密，即使資料被盜取也難以解讀。使用如 VeraCrypt 的工具來加密硬碟或特定檔案。
創意行動：定期舉辦加密工作坊，教導員工如何為其文件進行加密。
⏭️7. 定期備份資料
備份方案：建立定期備份計劃，將重要資料備份至雲端或外部硬碟，以防資料丟失或損壞。
創意行動：設立“備份日”，鼓勵團隊在這一天共同進行資料備份並分享經驗。
⏭️8. 限制數據存取權限
最小權限原則：僅授予員工必要的存取權限，減少敏感資料被濫用的風險。
創意行動：實施“權限審查周”，定期檢查並調整員工的存取權限。
⏭️結語
總結來說，資安是每位員工和企業都應該重視的議題。隨著網路攻擊手法的不斷演進，僅依賴傳統的防護措施已無法滿足現代安全需求。建立良好的資安文化、定期進行安全培訓，以及採取先進的技術手段，是確保資訊安全的關鍵。希望每位讀者能夠將資安視為日常工作的一部分，積極參與到保護數據安全的行動中，共同維護一個安全的數位環境。
全球Gmail用戶注意！官方曝紅色警戒「AI詐騙激增」忽略這些事1秒遭駭
2025-02-19 聯合新聞網綜合報導 由聯合新聞網授權轉載
打開郵件都要更加小心！全球Gmail 用戶近期被警告，相當精密的AI 詐騙 手法正在迅速蔓延，駭客 透過AI來偽造郵件、語音訊息甚至影片，試圖竊取個資並全面掌控使用者的帳戶，如果不提高警覺，後果可能「相當嚴重」。
延伸閱讀：誤入「投資群組」險遭詐1500萬！親友如出現「5狀況」恐是詐騙低潮警訊
根據外媒「mirror」報導，在去年5月，美國聯邦調查局（FBI ）就發出警告，指出AI技術正被駭客濫用來進行詐騙，造成許多人財務損失、身份遭盜用。FBI舊金山分局表示，駭客正利用AI來製造以假亂真的語音、影片和電子郵件 ，以針對個人和企業進行詐騙，這類手法可能造成嚴重財務損失、聲譽損害，甚至機密資料外洩。
根據資安 公司Malwarebytes的最新報告，這些AI詐騙通常透過以下方式行騙：
偽造官方郵件：駭客透過AI模仿銀行、Gmail官方或其他知名企業的電子郵件格式，誘騙用戶點擊惡意連結或提供登入憑證。
語音詐騙：AI可模仿親友或主管的聲音，要求轉帳或提供機密資訊，讓受害者難以分辨真假。
合成影片：深偽技術（Deepfake ）讓駭客能製作逼真的影片，進一步增加詐騙可信度。
那麼究竟如何保護自己？專家提出5點建議，避免遭詐：
提高警覺：對於任何要求提供個資、點擊連結或下載附件的郵件保持懷疑態度。
開啟雙重驗證 （2FA）：使駭客即便取得密碼 ，沒有額外驗證仍無法登入帳戶。
使用強密碼管理：避免使用過於簡單的密碼，並定期更換。
驗證可疑訊息：收到可疑語音或影片時，可直接與相關人士聯繫確認真偽。
安裝資安防護軟體：確保裝置上有最新的防毒軟體，攔截潛在威脅。
隨著AI技術的發展，詐騙手法也變得更加狡猾，Gmail用戶務必提高警覺，才能避免成為駭客的下一個目標。
WAF是什麼？白話解釋 Web防火牆功用，擋住DDoS的好幫手！身為PM必懂的工程術語
Web Application Firewall（WAF），即網頁應用防火牆，是一種專門為網站安全設計的保護機制。它像一個站在網站門口的「守門人」，負責檢查所有進入網站的流量，過濾潛在的惡意行為。WAF 通常用於阻擋常見的網站攻擊，包括 SQL 注入、跨站腳本攻擊（XSS）、DDoS 攻擊等。本文將深入解釋 WAF 的功能及其應用情境，並介紹可能被 WAF 擋下的請求類型。
▮ WAF 是什麼？
WAF（Web Application Firewall）可以想像成網站的「警衛」，它專門保護網站不受惡意攻擊，特別是針對應用層的威脅。WAF 位於用戶請求和網站伺服器之間，通過預設規則來篩選和檢查流量，確保只有合法請求能夠進入網站。它的主要功能包括：
1. 保護網站免受攻擊：WAF 能夠阻擋如 SQL 注入和 XSS 這類常見的網站攻擊，防止攻擊者竊取或破壞數據。
2. 分析與過濾流量：WAF 會根據請求內容、來源和模式來檢查流量的合法性，以確保網站安全性和用戶資料的完整性。
3. 提高用戶體驗：透過自動阻擋惡意流量，WAF 能有效減少網站的宕機或數據洩露的風險，提升整體用戶體驗。
▮什麼情況下 WAF 會擋下請求？
1. SQL 查詢語句
- 當用戶提交與資料庫查詢相關的內容時，WAF 可能將其視為試圖訪問後端數據的行為，進而阻擋。
2. 內嵌腳本標籤
- 若用戶提交的內容中包含類似於腳本的標籤符號，WAF 可能判定為惡意程式碼注入，從而阻止請求。
3. 跨站請求偽造操作
- 當 WAF 偵測到某個請求可能誘導用戶執行未授權的動作時（如更改個人資料或密碼），它將攔截該請求。
4. 可疑檔案上傳
- 若用戶上傳的文件包含潛在執行程式或後端代碼，WAF 可能會將其視為威脅並拒絕上傳。
5. 重複大量請求
- 當短時間內出現大量類似請求時（如多次加載同一頁面），WAF 可能將其視為攻擊行為並阻止流量。
6. 文件路徑的變更操作
- 若請求中出現目錄導航字符，WAF 可能會判定為目錄遍歷行為並加以阻擋。
7. URL 參數的變動
- 若用戶試圖更改 URL 中的重要參數，例如修改產品價格或權限設置，WAF 可能將其視為潛在的篡改行為並阻止。
▮ WAF 的應用價值
WAF 不僅是網站安全的防護措施，也是提升用戶體驗和數據安全的關鍵。它能夠在不影響網站正常運行的情況下，自動化地阻擋潛在威脅。對於產品經理來說，理解 WAF 的運作方式有助於更好地規劃產品開發和安全策略，確保在功能實現與安全防護之間取得平衡。
▮ 總結
WAF 是網站安全策略中的重要一環，它不僅保護網站免受惡意攻擊，也能提高用戶的信任度和產品的穩定性。通過 WAF 的應用，網站能夠有效地篩選和過濾異常流量，確保產品能夠在安全環境下平穩運行。對於產品經理來說，理解 WAF 的功能與應用情境，能夠在產品開發過程中更有效地保障用戶安全並提升整體體驗。
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
AI時代求職防詐指南：拆解常見詐騙手法、假職缺與「7不3要原則＋三步驟」
AI時代下的「求職詐騙」手法與技術日新月異，不肖人士運用偽造的徵才資訊、假獵頭邀約面試，藉此竊取求職者資料，在AI輔助下流程逼真、單靠傳統的辨識方式不易察覺。新型態求職詐騙已能透過AI和深偽技術完美偽造官網與職缺資訊，求職者不僅面臨財物損失，更可能在無意間淪為洗錢人頭帳戶或非法物流工具！104人力銀行為您整理最新國內求職詐騙案例與破解手法，一同建立求職防護網，遠離職場詐騙陷阱。
文／《104職場力》
AI時代，更要慎防「求職詐騙」！
AI時代「求職詐騙」頻傳，一次盤點近期國內外案例！【案例1】假物流助理案：「合法公司」背後的物流工具【案例2】人力銀行揭AI詐騙新趨勢：虛擬獵頭與多平台滲透【案例3】假模特兒招聘案：誘導開立電子錢包充當洗錢工具【案例4】美國AI假獵頭冒用社群身分進行精準釣魚【案例5】新加坡官方警示：青年遭假工作誘騙提供金融工具【案例6】海外工作介紹，詐騙近192萬盧比【案例7】蘇格蘭電話詐騙假工作機會破解「常見的求職詐騙手法」與話術機制拆解詐騙心理學：詐騙集團如何讓你一步步卸下心防？104人力銀行提醒您：「7不3要原則＋三步驟」求職防詐求職安全「7不3要」守則交叉查證「三步驟」遇到疑慮或求職詐騙時的回饋與反應管道
面對靈活轉型的詐騙手法，我們必須建立一套全新的防禦心態
隨著生成式AI、深偽技術（Deepfake）與社交媒體的結合，當前職場的求職與招募環境正面臨前所未有的安全挑戰。過往我們習慣以「是否有實體辦公室」、「薪資是否高得離譜」、「工作職缺內容」來判斷職缺真偽；然而在AI時代，單憑這些傳統的辨識項目，已不足以防範。
不肖人士目前能利用AI工具在數秒內生成文筆流暢、專業度極高的職務說明，甚至能爬取人力銀行、媒合人力的社群專業資料，接著針對求職者進行「高度個人化」的精準招募、刻意給你「難以拒絕的條件」來誘惑求職者，甚至傳出利用AI 合成真實企業高層的照片、語音，建立擬真的假官網、生成偽造的語音與視訊影音來欺瞞大眾。
在AI技術加持下，現代求職詐騙出現三大新特徵：
真假難辨的包裝：利用真實企業的公開資料（統一編號、地址、高層姓名）進行冒名，甚至成功繞過部分求職平台的初審。
獵物「個人化」（Spear Phishing）： 結合求職者履歷上的專業背景，提供「看似量身打造」的職缺與合理薪資，降低求職者戒心。
無痛滲透與轉移陣地： 透過AI聊天機器人進行擬真的初步面試，接著迅速誘導求職者將聯繫轉移至LINE、Telegram或WhatsApp等非公開的通訊軟體。
求職者不僅面臨財物損失，更可能在不知情的狀況下，被詐騙集團利用成為洗錢人頭帳戶或物流收發工具，無端捲入刑事責任。
因此，面對靈活轉型的詐騙手法，我們必須建立一套全新的防禦心態。
延伸閱讀：【求職詐騙注意事項】面試前不隨意加LINE等通訊軟體！104職場安全守則
AI時代「求職詐騙」頻傳，一次盤點近期國內外案例！
薪資合理、公司有登記、公開刊登，甚至由「專人來電」主動聯繫，就絕對安全嗎？在生成式AI與深偽技術普及的今日，新型態求職詐騙不只能完美偽造官網與影音，甚至能用幾可亂真的面試流程來混淆求職者。
以下我們為大家彙整近期常見的「求職詐騙」真實案例，並提供判斷的方式供大家參考：
【案例1】假物流助理案：「合法公司」背後的物流工具
事件經過：一名女性求職者透過人力銀行應徵月薪3.2萬元的「物流助理」。上工後，自稱主管者透過LINE指揮其前往超商領取並轉寄包裹。求職者在第三次取件時遭警方查獲，包裹內竟裝有供詐騙使用的電信卡。
詐騙手法：詐團冒用了真實存在的商家資訊建立信任，實際上該商家根本沒有招聘。
關鍵警訊：能查到公司登記、薪資合理，不代表聯繫者即為該公司員工。要求代收、轉寄不明包裹或金融卡，均屬高風險行為。
【案例2】人力銀行揭AI詐騙新趨勢：虛擬獵頭與多平台滲透
事件經過：根據104人力銀行示警，現代的AI求職詐騙已從傳統假職缺延伸至社群媒體與通訊軟體。
詐騙手法：結合AI製作虛假企業官網、擬真員工照片，甚至利用生成的聲音／影片建立信任，再以「居家工作」、「電商客服」、「刷單兼職」等工作職務誘騙個資、金融帳戶或收取費用。
關鍵警訊：守住「金錢與帳戶」底線，絕不付費、不交出機密資料，並且在入職後需要多管道查證企業官網、公開資訊、包括Email、電話等資訊，不要僅使用對方提供的單一連絡方式互動。
【案例3】假模特兒招聘案：誘導開立電子錢包充當洗錢工具
事件經過：香港警方破獲犯罪集團在社群媒體刊登模特兒徵才廣告。詐團以「方便發放薪資」為由，誘導求職者使用集團提供的電話號碼開立電子錢包。
詐騙手法：這些電子帳戶實際均由詐團操控，用來接收其他詐騙案的洗錢贓款（案例的總金額逾200萬港元）。警方最終拘捕10人（包含受害的大專生）。
關鍵警訊： 再次提醒您，千萬要守住「金錢與帳戶」底線，不要輕易交付電子錢包或金融帳戶控制權，會讓自己直接成為洗錢的共犯。
【案例4】美國AI假獵頭冒用社群身分進行精準釣魚
事件經過：美國一名資料分析專業人士收到極其專業且符合其經驗的徵才邀約。對方使用了真實獵頭的姓名、照片與LinkedIn社群資料，並附上經由AI製成的個人化客製職缺說明。後續甚至還引導其尋求付費職涯顧問修改履歷、增加錄取機會。
詐騙手法：結合求職者履歷上的專業背景，提供「看似量身打造」的職缺與薪資。
關鍵警訊：即便是專業流暢的對話與完美的社群招募頁面，背後都有可能是利用AI與真實資料偽造的，建議在應試前應仔細查證、確認公司最新招募資訊、來訊者的真實身份。
【案例5】新加坡官方警示：青年遭假工作誘騙提供金融工具
事件經過：新加坡內政部日前指出，查獲犯罪集團利用「快速賺錢」的假工作機會，招募青年提供銀行帳戶、SIM 卡或數位身分（Singpass）登入權限。
詐騙手法：刻意提出優沃的待遇、「快速賺錢」，但實際上是吸引受害青年的注意後，竊取銀行帳戶、SIM卡資訊。
關鍵警訊：任何要求出售、出租或出借金融帳戶、SIM 卡或身分驗證權限的工作，皆屬違法犯罪行為。
【案例6】海外工作介紹，詐騙近192萬盧比
事件經過：被害人透過社群平台接觸海外就業廣告，對方聲稱可以代辦文件及安排工作，誘騙分批匯款。已知1名報案者損失191.6萬印度盧比，其他受害規模未確認。
詐騙手法：以海外工作媒合、辦理文件及相關程序為由收取費用，再利用多個銀行帳戶收款。
關鍵警訊：海外工作若要求將大額仲介費或文件費匯入個人帳戶，應先獨立查證雇主、合法仲介及收費依據。
【案例7】蘇格蘭電話詐騙假工作機會
事件經過：媒體報導近期蘇格蘭求職詐騙電話增加，透過電話提供看似可獲得報酬的工作機會（例如可賺取500英鎊）來吸引民眾，再要求繳費才能取得報酬，亦可能同時蒐集個人資料。
詐騙手法：以例如可賺取500英鎊的說詞吸引民眾，再要求繳費才能取得報酬；亦可能蒐集個人資料。
關鍵警訊：先繳費才能領取薪資、佣金或工作報酬，是全球最典型的求職詐騙警訊。
延伸閱讀：【104職場安全提醒】求職面試找工作注意安全、當心詐騙、遵守禮儀，您有權拒絕任何騷擾！
破解「常見的求職詐騙手法」與話術機制
詐騙類型常見假職缺詐騙核心手法與目的警訊特徵1. 物流／代購人頭案物流助理、轉運專員、電商代購、試吃試用冒用真實公司，要求幫忙領取／轉寄包裹或購買點數，實質為傳遞洗錢工具（電信卡、存摺）• 要求提供個人金融卡／存摺• 要求代收／轉寄不明包裹• 僅透過私人LINE聯繫2. 金融／洗錢帳戶陷阱兼職打字員、財務助理、居家上班測試員要求使用特定號碼開立電子錢包，或提供網銀帳密、SIM卡，將求職者帳戶作為洗錢人頭• 要求使用陌生人電話註冊帳戶• 要求租借／出售金融帳戶或SIM卡3. AI擬真獵頭釣魚知名企業高階職缺、客製化顧問、非公開高管職缺利用AI複製真實人資或獵頭的照片與資料，提供客製化職務，誘騙個資或轉介至付費服務• 薪資明顯高於市場行情• 拒絕使用官方公司通訊軟體或E-mail連絡• 面試流程過快或僅通過文字審查即錄取4. 預付費用陷阱海外工作媒合、培訓即就業、高級職涯諮詢以「保證金」、「培訓費」、「海外簽證代辦費」為由，要求入職前先匯款• 尚未正式錄取即要求付款• 要求匯款至私人帳戶
拆解詐騙心理學：詐騙集團如何讓你一步步卸下心防？
「建立極致信任」： AI技術讓詐騙集團能自動生成無瑕疵的企業介紹，並偷樑換柱地使用經濟部商業司登記真實存在的公司名稱與統編，讓許多求職者在初步搜尋時只要「查有此公司」就掉以輕心。
「製造急迫感與低門檻」： 「免經驗」、「在家工作」、「高薪急徵」、「秒錄取」，利用求職者急於找到工作或渴望高薪、錯過就不再有的心理，壓縮冷靜思考的時間。
「去中心化聯繫」： 在求職平台刊登後，迅速要求轉移至LINE、Telegram等密閉式通訊軟體，規避平台的安全監控與審查機制。
延伸閱讀：詐騙手法又翻新！用 LINE 和 ChatGPT 開聊，過幾天機器人竟然變真人
104人力銀行提醒您：「7不3要原則＋三步驟」求職防詐
為了保障所有求職者與企業權益，《104職場力》為您整理出一些常見的安全須知，也請務必參考104人力銀行官方與警方推廣的「求職安全7不3要原則」，以及「三步驟交叉查證」防護等資訊：
求職安全「7不3要原則」＋交叉查證「三步驟」
求職安全「7不3要」守則
「7不」守則
不繳錢： 正規企業不會要求求職者支付保證金、培訓費或材料費。
不購買： 不強迫購買公司產品、課程或服務。
不辦卡： 不在未了解工作內容前辦理信用卡或信用貸款。
不簽約： 不簽署不合理或看不懂的合約契據。
證件不離身： 身份證、護照等重要證件僅供核對，切勿留置於招募方。
不非法工作： 拒絕從事代收包裹、代匯款、刷單等可能違法的任務。
不交出帳戶與驗證碼： 絕不交付存摺、提款卡、網銀密碼、電子錢包帳號或簡訊驗證碼。
「3要」守則
要陪同：面試前告知親友時間、地點，必要時請親友陪同。
要確定：確認企業是否合法經營，並核對公司、職缺及面試地點。
要存疑：對工作內容、薪資待遇及面試流程中不合常理之處保持警覺。
為了提供更安心的面試安全保障，104人力銀行「工作快找App」更新了2項實用功能，分別為「已抵達面試地點回報」與「分享面試資訊給親友」，與您一同維護求職安全！
下載104工作快找Android版
下載104工作快找iOS版
延伸閱讀：104「抵達面試地點、取消面試」怎麼回報？安心面試流程與分享功能盤點
交叉查證「三步驟」
當你收到可疑的招聘邀約或獵頭訊息時，請執行以下步驟：
【步驟1：官方管道核實】
➔ 切勿直接點擊訊息內連結。
➔ 透過搜尋引擎尋找企業「官方網站」或公開電話、撥打總機確認是否有該職缺與招募人員。
➔ 清查工作內容，拒絕內容模糊、異常取寄貨、代收款或轉帳任務。
【步驟2：通訊管道檢視】
➔ 確認對方E-mail域名是否為公司官方資訊（如 @company.com），而非Gmail、Hotmail等免費信箱。
➔ 對於僅透過LINE、facebook、threads溝通且拒絕視訊面試者保持警覺。
【步驟3：資金與物品流向檢查】
➔ 只要涉及「先匯款」、「代收轉寄包裹」、「開立電子錢包／交付帳戶」，100%為詐騙！
➔ 對不合理的保證金、媒合費、培訓費與履歷顧問費保持警覺。
➔ 留下證據！保存職缺、訊息及付款紀錄，也可撥打165反詐騙專線查證。
遇到疑慮或求職詐騙時的回饋與反應管道
若您在求職過程中發現冒用本集團（或旗下子公司）名義的虛假職缺，或是遇到疑似求職詐騙事件，請透過以下管道進行諮詢與檢舉：
台灣國家反詐騙專線：
165 反詐騙諮詢專線： 全天24小時開放，撥打165可即時查證與報案。
165 內政部警政署全民防詐網： https://165.npa.gov.tw/
104人力銀行檢舉機制：
如在104平台發現疑慮職缺，可點選職缺頁面下方的 「檢舉此職缺」 按鈕。
聯繫104職場安全諮詢專線：02-29126104轉8222
★ 104求職安全提醒：若會員收到非官方簡碼「66104、67104」的簡訊內容，務必再三查證或洽客服專線確認：(02)2912-6104。完整說明請見：104官方簡訊認明「66104、67104」！防範求職釣魚詐騙，3類簡訊、4情況不尋常
不實徵才廣告：如遇不實徵才廣告，可向所在地勞工行政主管機關的勞工局（處）或社會局（處）諮詢及申訴，或撥1999專線諮詢。
圖／刑事警察局
噓～這個不能說！職場調查的「保密原則」與「透明度」平衡難題何解？
當我們討論職場中的「保密性」或「保密原則」時，通常是著重在員工對公司的保密責任，例如要求職員保護公司機密資訊，不得隨意洩露營運政策、商業模式等重要訊息。但你知道嗎？企業在處理內部投訴或職場爭議時，也必須遵守保密原則，尤其是涉及法律的案件更要格外小心。
文／《104職場力》
本文導覽
職場調查的保密性有多重要？走漏風聲當心全盤皆輸！為何職場調查要神神秘秘？說要保密，公司卻主動放消息？企業講究透明度的原因明明保密是最直接且最省力的方式，為什麼企業要背道而馳？矛盾對決！保密原則和透明度如何平衡？身為處理單位，HR們的難言之隱7個平衡保密性和透明度的策略
職場調查的保密性有多重要？走漏風聲當心全盤皆輸！
職場調查（Workplace Investigations）是指企業或組織對「涉及員工之間的糾紛、不當行為、違規行為或其他職場問題」進行系統性的調查和分析。例如：性騷擾投訴、歧視投訴、欺凌或霸凌、盜竊或不當行為，以及其他違反公司政策規定的案件。
這些職場調查通常由公司內部的專業人員或聘請外部專家執行，目的是為了確定事實、解決問題、維護企業和員工的權益。
為何職場調查要神神秘秘？
跟法律案件調查偵查不公開一樣，職場調查的保密性其實有多重考量：
保護相關人隱私
參與調查的員工，無論是投訴人、證人還是調查對象，一定都希望得到一定程度的隱私保護。畢竟如果被發現自已是當事人或「報馬仔」，可能會導致內部尷尬、聲譽損害或人際關係緊張，甚至吹哨者還可能被報復或無法保住飯碗，對企業而言也是一種損失。
得到真相
除了吹哨者，保密性同樣也是要保護關鍵證人或其他線索的提供者，只有當確認個人細節和陳述能獲得保密，才能營造安全的環境，讓協助調查的同仁願意參與過程並誠實以告。
維護調查的完整性
調查最怕打草驚蛇，如果未保密，過程中便走漏風聲，可能會影響證人的記憶、關鍵人的立場或讓加害者有提前破壞關鍵證據、想好應對說法等機會。因此保密有助於保持調查公正，並確保所有參與方提供真實、未經操縱或修改的陳述。
法律明文規定
在某些情況下，企業保密的原因很簡單，就是法律要求！特別是性騷擾、霸凌等申訴案，都有法律明文規定，要求企業應負保密義務。
正因為職場案件調查牽一髮動全身，若保密出現漏洞，不僅可能對當事人的聲譽和隱私構成威脅，還可能打壞整個團隊合作的氛圍和信任，公司也會需要承擔法律、財務和聲譽損失的風險。因此，保密是避免導致全盤皆輸的關鍵。
說要保密，公司卻主動放消息？企業講究透明度的原因
雖然所有人都知道保密的重要性，但人的天性就是好奇、想了解後續發展。你可能也遇過，當公司內部發生特殊事件時，同仁之間會私下交換情報，甚至會有同事到處打聽、傳播，最後變成眾說紛紜；而部分相關人比起完全保密，更傾向能一直追蹤案件進度；甚至有時候企業也會主動釋出一些消息，增加內部的透明度……
明明保密是最直接且最省力的方式，為什麼企業要背道而馳？
其實透明度是一種管理方式！有以下4個好處：
建立員工對企業的信任
員工需要相信他們關切的事項有被公司認真對待、公平處理。適當透漏調查過程及結果可以讓員工放心，相信公司會重視他們的意見，並採取客觀、不偏袒的處理方式。
鼓勵參與、提升反映管道的價值
當員工發現反映真的有用時，溝通管道自然而然就建立起來。適度的資訊透明會讓員工感覺自己是公司決策／改進的一部分，因而更願意分享，對HR和雇主來說，不僅能排除不良的人員與風氣，也更能貼近內部真實狀況。
有利於培養組織文化
針對案件調查，企業最終若落實獎懲相關人員、還當事人一個公道或事實，員工會知道「公司玩真的」，之後不管企業要推行何種文化（例如誠實、正直），都會更有說服力，員工乖乖遵守的意願也會提升。
扼殺謠言、猜測和恐慌
如果事件完全沒人知情，相關人等又少，那麼完全保密沒什麼問題；最怕的是大家都在關注卻無從得知結局，這時候可能會出現捕風捉影的情況。員工可能會自行詮釋上級的行為反應， 一個人一種版本，最後的下場就是越傳越誇張，間接影響相關人的聲譽，也會引發不安。不過一旦有「內部正式發布的消息」，某種程度上有助於控制情勢，雖然無法完全根除大家的臆測，但至少不會讓傷害無邊際擴散。
這便是保持透明度對於管理的幾種益處。從前面的保密重要性到本段的透明度益處，都在「理論」階段，接下來我們來討論實際面的處理方式。
矛盾對決！保密原則和透明度如何平衡？
當事件發生，真的需要進行職場調查時，HR或處理人員實務上會面對哪些困難和挑戰？
身為處理單位，HR們的難言之隱
第一名絕對是要同時保持機密性和透明度：尺度怎麼抓才不算洩密，或被大家推敲出來？講太少有講又跟沒講一樣，真的好難。
法規的了解與實務應用：雖然法規明擺在那裡，但每個事件狀況不同，如何應用才不會不小心觸法，這對是令人頭疼的其中一個選項。
處理時間有限的壓力：調查要保持低調，但如果涉及人員多，光是蒐集資訊就要老半天，集結大家開會協調、決策也勞心勞力，如果還有上層或法規的期限壓力，其實相當高壓。
上層處理態度不一致：如果有統一作法還不至於糾結，最怕A高層想多開放點資訊、B高層不想，員工對透明度的期待值還跟管理職不同，把HR們夾在中間裡外不是人。
相關人的後續行動：主線還沒處理完，當事人就急著開分支？有時候主事件後續會衍生更多風波，根本防不勝防。
大量的機制、計畫要安排：就算沒有節外生枝，HR通常也會需要根據調查結果制定適當的後續行動計劃，確保問題得到解決並預防未來類似問題再度發生。
7個平衡保密性和透明度的策略
HR們想必覺得自己處理這類案件時像走鋼索，老是提心吊膽的，不過想讓事件和平落幕，不妨參考以下這7點建議：
1. 處理前，先溝通當事人明確的期望
在調查開始前，與所有相關人等討論保密與透明度的期望值，一方面解釋保密的重要性，並統整可分享和不可分享的資訊。先把話說清楚，降低期望不一或過度透露的風險。
2. 確保調查流程清晰、照著規矩來
制定一個正式、一致的調查流程，或參考專家處理的SOP，先了解組織該如何處理調查，包含將採取哪些步驟、需要找誰參與其中，把範圍羅列出來，減少不必要的約談就多一分保密度。
3. 定期向投訴人和相關方更新資訊
透明度並不意味著提供每個細節，當事人在意的是有沒有進行？進行到什麼程度？結果是什麼？那就提供相關訊息，例如：目前已經進入調查階段、正在討論分析、結果是投訴成立……等，對外也可以比照相同模式辦理。
4. 盡可能保持匿名
除了直接相關人及其直屬主管，為了提升保密性，在跟核心人員以外的對象報告調查進度時，可以採用匿名陳述或使用一般術語。這可以在不透露參與方身分的情況下分享資訊又不踩到紅線。
5. 根據案件類型調整溝通模式
不同性質的案件，保密程度的規範一定有所不同。例如，性騷擾的調查可能需要比針對政策違規或績效問題的調查更嚴格，這部分可以統一對上下級誠實以告，讓大家知道透明度調整的依據是什麼。
7. 培訓相關知識
不論是針對保密原則或是案件後續的宣導，透過培訓讓大家有深切了解，會遠比只是布達來得更有效果。
以上是職場調查保密與透明度的相關資訊，雖然不容易，但為了能幫助企業順利解決管理上的問題，這類規範有其必要性，希望能幫助大家營造出一個健康、公平的工作環境。
參考資料來源：Balancing Confidentiality and Transparency During Workplace Investigations
延伸閱讀
員工涉「性騷擾」屬實，雇主就可以直接合法解僱了嗎？
萬一主管對員工有性騷擾行為，公司要背負什麼法律責任？｜法律小教室
如果對我性騷擾的是老闆，還要走完「雇主立即糾正及補救措施」的內部流程嗎？｜法律小教室
面對職場性騷擾！公司要有哪些SOP？
113-2-I22 資訊安全防護實務 No.1
題目：
針對駭客攻擊手法，下列敘述何者錯誤？
(A) SQL注入式攻擊（SQL Injection）：攻擊者會嘗試將惡意 SQL代碼注入到一個網站的資料庫查詢中，從而獲得未授權的存取權限或提取資料
(B) 跨站腳本攻擊（Cross-site Scripting XSS）：攻擊者會將惡意腳本注入到信任的網站中。當其他使用者存取 該網站時，他們的瀏覽器會執行這些腳本，可能導致資料洩露
(C) 中間人攻擊（Man in the middle attack）：這種攻擊包括使用多台電腦（通常是受感染的，並被攻擊者控制的電腦）來發起大量的請求，導致竊取偷聽、重新導向通訊
(D) 釣魚攻擊（Phishing）：攻擊者會偽裝成可信任的實體（例如銀行或社交媒體網站），嘗試欺騙使用者透露他們的登錄資訊、信用卡號或其他敏感資訊
參考解答：
常見的中間人攻擊（Man in the middle attack）係攻擊者透過類似Proxy的角色，阻斷被駭者的直接服務請求；讓被駭者的請求轉到擔任Proxy角色的機器或設備後再轉發至請求服務的目標，借此監聽或竊取資料。依此選項(C)的敘述錯誤
關聯教室
https://nabi.104.com.tw/room/10049024?utm_source=104nabi&utm_medium=share
安碁學苑相關課程：
https://www.acsiacad.com/course_detail/3080/1020
https://www.acsiacad.com/course_detail/3113/1020
手機報稅簡便 但專家提醒須注意資安風險
2025-05-05報導 經濟日報記者賴昭穎 由聯合新聞網授權轉載
5月綜所稅結算申報開跑，財政部今年力推手機報稅，但近期南韓最大電信業者 SK Telecom（SKT）爆發嚴重資安事件，駭客透過惡意程式入侵，竊取了用戶的USIM相關資料，造成個資外洩。KPMG顧問服務部營運長謝昀澤表示，現正值報稅季，手機金融服務預期將被大量使用，民眾要謹記五個重點，才能避免自己成為手機SIM卡攻擊的受害者。
延伸閱讀：怎麼用手機繳稅？手機報所得稅能選現金繳稅嗎？5步驟圖文、影片詳解
謝昀澤表示，依據目前的資訊分析，SKT這起事件的原因可能與其資安預算縮減有關。SKT去年減少網路安全支出，使得駭客利用多種惡意軟體進行攻擊，並成功入侵SKT的系統。由於全球不景氣與多國政府大幅削減預算，使得政府與大型企業，開始重新被國際駭客集團盯上。
以美國網路安全主管機關網路安全暨基礎架構管理署（CISA）為例，近期該機構即因預算刪減，已停用幾款重要的資安分析工具。這些工具對於惡意程式偵測和網路資安監控至關重要，如此定會削弱國家整體的網路防禦能力。
謝昀澤分析，過去民眾普遍認為SIM卡攻擊因成本較高，不易大規模執行，通常是鎖定高價值受害者的駭客手法。但SKT事件顛覆這個想法，據國外媒體報導有超過25種資料型態及大量行動服務資訊遭外洩，駭客透過這些資訊，即可偽造SIM卡、冒用他人身分。
謝昀澤指出，若SIM卡遭偽冒複製，駭客不僅可掌控（接管）受害者的身分驗證機制，創造出「暗黑數位孿生（Dark Digital Twin）」的偽SIM卡，還可能進一步修改其在銀行、證券等高敏感機構中的基本資料與聯絡資訊，甚至竄改交易內容，造成金融交易失序。
KPMG數位安全實驗室主管林大馗指出，目前台灣金融機構仍有大量行動服務仰賴手機門號進行身分驗證，這類機制的潛在風險亟需重視，並發展對應的安全強化方案。
謝昀澤提醒，目前是報稅季，手機金融服務預期將被大量使用，民眾要謹記五個重點，才能避免自己成為手機SIM卡攻擊的受害者。
不要讓手機門號成為單一驗證機制。
不要提供過多的個人身分驗證資訊。
要設定足夠複雜的密碼：因為SIM卡交換攻擊(SIM Swapping)，主要攔截透過簡訊傳送的二次驗證碼（OTP），無法破解第一道以密碼為主的驗證機制。因此，強化第一關的密碼強度，可有效提升整體防護力。
要設定重要交易即時通知的第二管道：例如Line, Email。
要留意應收到而未收到的交易簡訊通知。
網管注意：你的主機正曝露在外？
《別等危機發生才防堵：定期弱掃如同企業 IT 的定期健檢》
隨著網路攻擊手法不斷翻新，若企業總是抱持著「等遇到問題再處理」的被動心態，往往在遭受攻擊時，就已經造成難以挽回的商譽受損與財務重創。要翻轉這種挨打的劣勢，企業的資安思維必須從被動防堵走向「主動式防禦」。
這就像是「與其等身體生病才看醫生，不如定期做健康檢查」。定期執行弱點掃描，正是找出企業IT架構中隱形破口關鍵。透過系統化的漏洞偵測，全面檢視作業系統、內部主機、網路設備與應用程式的健康狀態，讓潛在風險無所遁形。
《打破免費工具迷思：缺乏更新的漏洞庫反成 IT 負擔》
許多科技小白在規劃初期，會嘗試使用市面上的開源或免費弱掃工具，認為這樣能幫企業節省成本。但從專業顧問的角度來看，這類工具通常缺乏持續更新的漏洞資料庫，且容易產生大量的誤報。就如同使用過期的健檢設備，檢查結果不精準，反而大幅增加了 IT 人員事後人工比對與篩選的負擔，甚至可能漏掉關鍵漏洞。因此，規劃完整的弱掃機制，並定期針對企業的內外部資產執行檢測，才能在駭客發動勒索攻擊前，搶先一步完成漏洞修補。
《如何選擇弱點掃描服務廠商？》
通常對於許多用戶與企業最頭疼的不是沒有進行弱點掃描，而是弱點掃描工具與種類實在太多，不知道該從何下手。跑完報告，又會因為沒有專業的資安人員能解讀與修復。此時，不妨直接IT委外給專業的弱點掃描廠商。
數位通國際 擁有25年的資料中心維運與雲端導入實戰經驗及成功案例，並與眾多國內外知名資安廠商合作。同時通過BSI ISO 27001、27011資訊安全驗證以及ISO 27017& ISO 27018雲端服務安全管理認證，能針對企業現有的環境進行資安檢測，7×24即時技術支援監控，保護企業資訊環境。透過 數位通國際 弱點掃描服務，從網站、系統、伺服器、API到雲端架構，檢測漏洞風險，降低營運中斷風險，成為捍衛您企業營運安全最堅實的戰略夥伴。
◆ 了解數位通國際 弱點掃描：https://easpnet.pse.is/93ql55
◆ 立即預約：https://easpnet.pse.is/93z9q2
----------------
《相關文章》
◆ 你的企業環境安全嗎? 定期資安檢測增強防護
https://easpnet.pse.is/93y77u
◆ 企業資安檢測不可忽視的重點
https://easpnet.pse.is/93y77u
◆ 中勒索病毒怎麼辦? 五步驟應片與防範
https://easpnet.pse.is/93y86u
113-2-I22 資訊安全防護實務 No.3
題目：下列哪幾種方式是檢測人員執行紅隊演練過程中可能會使用的攻擊手法？ ？（複選）
(A) 在 DMZ網頁伺服器找到 RCE漏洞並取得系統控制權，然後在內網進行橫向移動，嘗試取得 Windows Server Active Directory AD）的控制權
(B) 透過釣魚信件對企業的海外分公司員工進行社交工程，取得員工電腦控制權，然後讀取員工電子郵件信箱，尋找可以拿來利用的機敏資料
(C) 移動到企業所在的樓層，側錄 Wi-Fi然後嘗試破解密碼，取得企業 Wi-Fi的存取方式，入侵企業內部網路
(D) 註冊成為企業的供應商，並且利用供應商專用網站造假資料、竄改商品金額，驗證攻擊者可以用更低的價格買進商品
參考解答：
紅隊演練的目的是為了協助企業找到入侵的路徑，(A)屬於滲透測試常用的手法、(B)係利用人性的弱點進行入侵、(C)為使用進端攻擊的常見手法、(D)利用供應鏈廠商做為跳板或進行內部攻擊，因此以上答案皆為正確
關聯教室
https://nabi.104.com.tw/room/10049024?utm_source=104nabi&utm_medium=share
安碁學苑相關課程：
https://www.acsiacad.com/course_detail/3080/1020
https://www.acsiacad.com/course_detail/3113/1020
有任何收穫或想分享的，都來和大家一起聊聊吧！