外洩樣本揭露公部門威脅態勢與漏洞警報，恐暴露防禦缺口

資安情資業者ThreatMon近期在社群媒體X發文揭露，有威脅行為者在地下論壇發文，聲稱駭客組織「UNC6783」已入侵臺灣國家資通安全研究院（NICS），並竊取及外洩102 GB的內部文件。對此，iThome向資安院求證，資安院表示，去年7月已進行資安通報，目前仍持續監控觀察中。

根據ThreatMon的觀察與地下論壇流傳的訊息，UNC6783將國家資通安全研究院網站（nics.nat.gov.tw）列為攻擊對象，標示受害單位所屬產業為政府機關（Government Administration），並宣稱這批資料涵蓋2024年至2025年期間的敏感營運檔案。

外洩貼文中附有一份名為「資安聯防監控月報（Cybersecurity Joint Defense Monitoring Monthly Report）」的樣本文件，外觀呈現為分發給政府機關的內部情資通報，經查，樣本涉及資安院旗下威脅分析中心的文件。

事實上，根據數位發展部資通安全署與資安院的資安聯防運作規範，這份「資安聯防監控月報」的性質、發布對象與機密等級，屬於定期二線監控通報，每月固定寄送給在國家資安通報應變網站登記的公務機關與特定非公務機關（如關鍵基礎設施提供者）之資安人員，並附帶威脅指標（IoC／IoA）清單，僅供受納管機關與其簽約的資安監控服務（SOC）廠商作為內部資安防禦與情資比對參考，嚴禁對外公開。

資安院也表示，目前包括N-ISAC（國家資安資訊分享與分析中心）成員，以及關鍵基礎設施如油、水、電等業者，和有合作的資安業者等，都可以收到這份「資安聯防監控月報」。 同時，「資安聯防監控月報」的資訊機密等級，在國際通用的情報分享協定「交通燈號協定（Traffic Light Protocol，TLP）」，屬於「TLP: GREEN」，代表該資訊屬於有限度分享等級，僅限特定社群或授權的政府人員與簽約資安廠商在內部流通運用，不得對外公開。

在上述情資共享規範之下，該份資安聯防監控月報雖然限政府單位內使用，被要求不得對外公開，但這是廣泛發給所有政府單位的文件，若真的外流，仍很難認定外洩的源頭就是資安院，因為能拿到這份資訊的單位都有嫌疑。

威脅情資與攻擊面管理平臺ThreatMon指出，UNC6783提供的外洩樣本揭露臺灣政府資安防護態勢的詳細資訊，內容涵蓋威脅趨勢、來源IP分析，以及分享給公部門的特定漏洞警報。

樣本文件中曝光的關鍵細節，包括：依國家與臺灣境內網際網路服務供應商（ISP）分類的威脅來源分析；針對Fortinet FortiOS／FortiProxy（CVE-2024-55591）及Ivanti產品的特定漏洞通報；針對政府機關的殭屍網路攻擊、網路釣魚活動及社交工程嘗試的入侵指標（IoC）；跨不同政府業務類別（如金融、國防、教育等）的資安威脅交叉分析，以及資安院用於聯防監控的內部黑名單與中繼站威脅狀態。

ThreatMon的相關分析提到，資安院隸屬數位發展部，負責統籌協調跨政府機關的資安防護工作。若這批月度監控報告確遭外洩，潛在攻擊者可能藉此繪製出臺灣政府基礎設施的防禦缺口、識別常遭利用的漏洞，並掌握國家防禦團隊正在監控的特定威脅態勢；一旦屬實，仍將損害「TLP: GREEN」機密等級情資的完整性。

關於UNC6783的來歷，ThreatMon指出，其為近年活躍的勒索軟體集團，經常鎖定亞洲與歐洲組織發動攻擊；Google威脅情報團隊（GTIG）先前亦曾揭露這個威脅行為者以經濟利益為目的，透過針對性的社交工程與網路釣魚活動發動攻擊，已有多個產業、數十家高價值企業組織成為目標，並認為UNC6783可能與使用「Raccoon」名號的行動者有關。

GTIG觀察到，UNC6783主要鎖定企業的業務流程外包商（BPO），也曾直接對目標企業的客服與服務臺人員發動攻擊，藉此取得可信任的系統存取權限，進一步竊取敏感資料並勒索受害企業。

在攻擊手法上，UNC6783會利用即時通訊與社交工程，誘騙企業員工進入偽造的Okta登入頁面。這些網域通常冒用目標企業名稱，並採用特定的網域命名模式。GTIG指出，攻擊者使用的網路釣魚工具能竊取受害者電腦的剪貼簿內容，以繞過多因素驗證（MFA），再註冊攻擊者自己的裝置，建立持續存取企業系統的管道。

GTIG另觀察到，UNC6783曾利用偽造的資安軟體更新，誘騙受害者下載遠端存取惡意程式。在資料外流後，攻擊者則會透過Proton Mail帳號向受害企業寄送勒索信。

今年稍早，Adobe傳出資料外洩事件，GTIG指出，UNC6783可能與Raccoon有關，但並未確認兩者是否為同一行動者，因為一樣有自稱Mr. Raccoon的駭客宣稱，曾透過Adobe位於印度的業務流程外包商取得存取權限，進而竊取Adobe內部資料。

相關報導指出，攻擊者疑似在一名外包商員工的電腦植入遠端存取工具，再進一步取得資料。不過，Adobe資料外洩事件與UNC6783之間的關聯，仍須審慎看待。