老大哥在看著你！商業間諜軟體成國家鎮壓異議者利器|數位時代 BusinessNext

艷陽、飯店、泳池營造度假勝地氣氛、相對周遭國家進步的女性權益、慷慨大方的對外援助，阿拉伯聯合大公國（United Arab Emirates，下稱 UAE）近年在外國媒體上一派自由開放形象。但《紐約時報》報導，奢華的表面之下其實暗潮湧動，UAE 鎮壓異議人士、記者、以及人權運動者的行動愈來愈高明。

杜拜，阿拉伯聯合大公國最大城市。圖片來源：Flickr / CC Licence

其中最常見的箝制手段，就是在他們的電腦中安裝間諜軟體（spyware）。

UAE 人權運動者 Ahmed Mansoor 曾被拘捕、丟掉工作、護照被撤銷、車子被偷、 email 被入侵，返家時被跟蹤，銀行帳戶被盜走十幾萬美金，並且被毆打了兩次。

他悲慘的境遇也許只是眾多異議人士的冰山一角。過去，精心設計的劫持與間諜軟體只有幾個國家能夠取得，但現在幾乎所有國家，無論是靠石油致富的 UAE，或是貧窮而擁擠的衣索比亞，紛紛購置商業型間諜軟體，或者乾脆聘雇、培訓程式設計師從內部開發監視工具，「加密」等資安功能一一瓦解。

《1984》警句「老大哥正在看著你」。圖片來源：Wikimedai

「經濟最窮困的國家都能部署間諜軟體，錢已經不再是障礙。」多倫多大學國際事務研究員 Bill Marczak 說，現在幾乎每個國家都能向以色列的 NSO Group、Cellebrite、德國的 Finfisher 、義大利的 Hacking Team 等公司，以大約 6、7 位數美金的價碼買到監測軟體，監控目標者的簡訊、通話以及所在地點。

這些公司，有的本身即來自掌控 UAE 的權勢家族。Ahmed Mansoor 發現被安裝在自己電腦的間諜軟體源於 Royal Group，隸屬 Al Nahyan 家族旗下。

而在 2015 年，Hacking Team 遭到駭客入侵，被曝光的發票明細顯示，UAE 是他們的第二大客戶，僅次於摩洛哥，UAE 支付了近 65 萬美金，這筆費用讓他們得以安插間諜軟體到多達 1,100 人的電子裝置裡頭。義大利政府吊銷了 Hacking Team 的外國營業許可執照，再也無法向歐洲以外的國家兜售間諜軟體。

但這並未阻礙 UAE 欲掌控異議人士的決心，他們甚至變得更精明，新證據顯示，UAE 乾脆「自己的間諜軟體自己開發」，時時刻刻監控海內外的異見者，Bill Marczak 形容，UAE「顯然在間諜軟體的軍備競賽中升級了，雖然還不及美國跟俄羅斯，但也相去不遠了。」

去年在獨立媒體 Middle East Eye 駐倫敦記者請求 Bill Marczak 檢查電子信箱中的可疑郵件，這些郵件發信者偽裝成人權組織，要他點擊座談會連結——想當然爾，這是間諜潛入電腦的誘餌。Bill Marczak 進一步調查發現，這個間諜軟體部署在 67 個不同伺服器上，而且已成功讓 400 人「中招」，還有 24 名公民的 Twitter 也受到相同的間諜軟體監控中，其中幾名在監控開始沒多久後旋即遭到逮捕、甚至定罪。

於中東與北非國際特赦組織任職的 James Lynch 表示，「UAE 採取極端手法，阻礙人權運動者發表異見之聲」。去年夏天 James Lynch 受邀至杜拜（UAE 最大的城市）演講勞動權益議題，卻在機場無故被驅逐出境，後來他才知道杜拜當局安了個危及安全的名義禁止他入境。

Ahmed Mansoor 雖對國家機器以間諜軟體監控如他一般的人權運動者直言不諱，卻愈來愈無法做出反制行動，他深怕任何一個他曾接觸過的人都會因他惹上麻煩。而且，政府確實開始「連帶處罰」，今年三月一名男士被指控「顛覆國家」，UAE 當局沒收了他三名子女的護照。

「有天早上你醒來，發現自己被貼上了『恐怖份子』的標籤，可是其實你根本連怎麼把子彈上膛都不知道。」Ahmed Mansoor 道出作為一名人權運動者，驚懼不安的處境。

資料來源：The New York Times、Foreign Policy

隨著歐盟《網路韌性法案》（CRA）正式進入倒數計時，企業面臨的資安考驗也從針對內部 IT 環境的駭客攻防戰，一路延伸到產品對外銷售與供應鏈治理的市場生存戰。

AI 正加速漏洞挖掘、自動化攻擊與供應鏈風險擴散，企業也更難只用傳統 IT 防護思維面對產品安全問題。

站在這股趨勢浪潮的最前線，合勤集團整合旗下三家子公司—黑貓資訊、兆勤科技與勤晁科技的技術量能，不僅於CYBERSEC 2026台灣資安大會展出全方位解決方案，也進一步分享如何將CRA法規遵循轉化為實務布局的寶貴經驗，透過自身轉型歷程，協助台灣企業跳脫被動合規思維，將CRA從合規壓力逐步轉化為產品治理與市場競爭力。

當CRA成為市場門票，企業該如何建立產品安全治理能力？

合勤投資控股公司資安長游政卿指出，CRA正式生效後，產品若未符合CRA 要求，將可能影響CE合規與歐盟市場銷售。更重要的是，CRA要求的不只是產品出貨當下符合規範，而是整個產品生命週期都必須被持續管理，且必須留下具可追溯性的完整紀錄。

因此，對台灣企業而言，CRA帶來的壓力不只是罰款，而是產品遭下架、召回，甚至進一步引發銷售通路中斷、品牌聲譽受損與客戶轉單等連鎖衝擊。對此，游政卿建議企業可依照CRA法規時程，兩階段建立合規能力。

在 2026 年應優先補強「通報即戰力」，亦即成立產品安全事件應變小組（PSIRT），建立漏洞通報與應變機制，確保當新漏洞出現時，企業能在第一時間做出正確判斷，包括該漏洞是否已被利用及嚴重程度、哪些產品與版本受到影響、是否達到CRA通報門檻及如何進行修補與升級。「就像汽車召回制度一樣，企業必須能快速掌握受影響的產品、版本與客戶範圍，並立即啟動應變機制。」游政卿說。

到了 2027 年，則應進一步將合規能力全面制度化與規模化。游政卿強調，企業不能再抱持「有問題再修補」的思維，而是必須從產品設計階段就導入「Security by Design（安全設計）」概念，並在產品整個生命週期中持續進行漏洞監控、更新維護與風險管理。換言之，企業真正需要建立的，不只是單一產品的資安能力，而是一套從設計、開發、測試、上市，到後續漏洞修補、客戶通知與紀錄保存，都能長期穩定運作的產品安全治理機制。

在此基礎上，黑貓資訊通過 TAF ISO/IEC 17025 認證的資安測試實驗室，可出具 ILAC MRA 國際互認報告，不僅能找出產品漏洞，還能協助企業建立具公信力的安全證明，確保產品安全與合規性。

Nebula 雲地聯防平台：讓企業從「看不見風險」到快速應變

在產品安全端，企業需要建立CRA合規能力，落實產品從設計、開發到漏洞修補的全生命週期治理；而在資訊安全端，則必須具備持續監控、快速應變與營運復原的能力，才能有效因應AI時代下愈來愈高頻、愈來愈自動化的攻擊威脅。

兆勤科技總經理蔡明見進一步說明，AI 正大幅改變資安攻擊的態樣，不僅讓攻擊成本明顯下降，攻擊速度與頻率也快速提升，攻擊目標更從過去的大型企業，逐漸轉向防禦能力相對薄弱的中小企業，尤其勒索軟體攻擊更明顯增加。許多中小企業因缺乏備援與復原能力，遭受攻擊後往往只能選擇支付贖金，進而衍生營運中斷與資料遺失等風險。

在此背景下，企業需要思考的，已不僅只是「防堵威脅」，更重要的是，當攻擊發生後，能否持續營運與快速復原。瞄準這樣的需求，兆勤透過自行研發的 Nebula雲端管理平台提升資安可視性，讓企業能夠「看見風險」，進而做好防禦、預警與應變。透過Nebula雲地整合架構，企業可將有線、無線及資安設備全面整合至單一平台進行管理。蔡明見表示，管理者不需分別學習與使用不同管理介面，即可掌握整體網路與資安狀態，大幅降低資安管理的複雜度、人力需求與技術門檻。

此外，Nebula提供圖像化儀表板與彈性報表功能，協助企業快速掌握攻擊來源、異常流量與高風險設備等資訊，進一步優化資安策略與決策效率。同時平台亦導入 AI 助手功能，讓管理者可透過自然語言查詢資安資訊，例如直接詢問「上個月前十大攻擊來源」，系統即可自動生成分析結果與視覺化報表，提升資訊取得效率。

面對 MSP（Managed Service Provider，託管服務商）發展趨勢，兆勤也持續開發更多 MSP 管理功能，包括客戶設備管理、授權管理等，協助合作夥伴更有效率地服務終端客戶、降低維運與管理負擔，進而吸引更多傳統經銷夥伴轉型為 MSP 業者，加速服務模式轉型與台灣 MSP 生態系發展。

至於勤晁科技則針對量子運算與跨域滲透威脅，提出「虛實整合防線」的新思維。防護架構由內而外拆解為三層：首先是運用邏輯防護（PQC）演算法進行加密、確保資料的長期安全性；其次是進行異常偵測、運用 AI 分析多維流量，即時發現異常行為；第三是建立物理韌性（Air Gap），以單向光纖傳輸築起不可逆的安全邊界。透過這套從邏輯、行為到物理層的縱深防禦機制，為國家級關鍵系統構築最穩固的安全韌性。

資安不只是 IT 部門的防守任務，而是攸關產品能否進入國際市場、企業能否持續營運的重要競爭力。合勤集團希望透過黑貓資訊、兆勤科技與勤晁科技的整合布局，從產品安全、資安防護到關鍵場域防禦，逐步提升企業的資安韌性，並協助企業從被動合規走向主動升級，在快速變化的全球市場中建立長期競爭優勢。