特斯拉保全也受「駭」！Verkada監控影片大量外流，牢房、病房都遭殃，矽谷新創再落入資安疑慮困局|數位時代 BusinessNext

繼SolarWinds Orion平台產品、微軟Outlook支援人員帳密相繼遭俄羅斯與中國駭客攻擊後，又有一家位於矽谷的新創公司Verkada受「駭」！而Verkada的服務對象，不乏有知名企業如汽車製造商Tesla、健身連鎖店Equinox、軟體技術服務商Cloudflare，甚至是Verkada自家內部的辦公室，影響範圍甚廣。

根據各家媒體報導，有一群駭客聲稱他們蒐集到大量來自Verkada的安全監視影片，而駭客不但可從後台自由觀看攝影機的即時影片（live feeds），更將影像片段提供給其他新聞業者，興起另一波資安疑慮。

延伸閱讀：宏碁遭駭客REvil勒索天價14億元！成微軟漏洞受害者，官方證實：已通報各國執法機關

駭客為何駭入Verkada？

Verkada成立於2016年，是一家經營安全攝影鏡頭的公司，客戶可透過網路登入平台立即進行觀看和影像管理。2020年1月，該公司更融得8,000萬美元的資金，使公司估值達到16億美元，其服務對象遍及美國的醫院急診室、大型企業與公司、警察局、監獄牢房和學校等場所。

駭客是由一個總部位於瑞士，自稱Advanced Persistent Threat 69420（APT-69420）的組織，而所謂的 「高級持續性威脅」（APT）是指一種隱匿且持久的電腦入侵過程，由於攻擊過程低調且緩慢，並陰魂不散的存在於網路中，又稱「網路裡的鬼」 。早前英特爾和日產汽車的駭客攻擊也是出自於他們之手。

該組織的代表人Till Kottmann說：「他們進行駭客攻擊時，除了出於好奇心外，也是為了資訊和知識產權的自由而戰；有時則是為了反資本主義，而帶點無政府主義的訴求。她也澄清攻擊動機不是因為錢，或受到任何國家或組織的指使，因為APT-69420並沒有接受任何國家或公司的金援。」

駭客的操作手法與Verkada的緊急止血

根據Kottmann的說法，Verkada的運作是採「完全集中式」平台（fully-centralized platform）。她的團隊成員發現，Verkada管理員的用戶名和密碼，被儲存在未加密的子網域中，這讓他們可以透過網上公開的系統帳戶和編碼憑據，輕鬆進入Verkada的系統，並以「超級管理員」的權限完全控制Verkada的系統。

Kottmann的駭客團隊從3月8日開始就取得進入Verkada的權限，並持續入侵36小時，而在這波攻擊中，他們可下載或即時觀看15萬個安全攝影機的影像，更可進行遠程控制，但在彭博社聯繫Verkada後，駭客便無法再用相同手法進入系統。

對此，Verkada公司的發言人則發表聲明：「我們已禁用所有內部管理員帳戶，以阻止任何未經授權的訪問權限，內部資安團隊和外部安全公司正在調查這起事件的規模和影響範圍，我們也設立專線供客戶洽詢，並通知執法機關。」

而執法機關FBI對此事未有回應，Cloudflare則向BBC表示：「我們有接到相關通知，不過這些鏡頭被安裝在已正式關閉好幾月的辦公室內。」而Tesla、Equinox則未多作評論。

監視影像遭洩 vs 個人隱私被監視

Kottmann描述Verkada系統所謂的安全是「不存在且不負責任」的，畢竟團隊的攻擊手法，非技術性、不具複雜度，也不難實現。此外，Kottmann也是藉此證明「攝影鏡頭的監視無所不在，而敏感資訊的外洩也是輕而易舉。」

APT-69420提供給媒體的相關影像，除了有Tesla上海廠的作業生產線畫面，還有Cloudflare的安全部門辦公室外，部分畫面更是涉及個人隱私，如醫院重症監護室患者、阿拉巴馬州監獄內囚犯、高級健身房內等的影片。

早在2020年10月，Verkada的員工就曾使用攝影機拍攝自家女性員工，並對其開色情玩笑，公司也因此解雇三名員工。這個事件意外暴露了Verkada攝影鏡頭的監視範圍，並讓外界發現他們在平台安全性維護上，所付出的努力遠低於透過平台追求利潤的努力。

延伸閱讀：先發現微軟bug，卻被捲入駭客風波！戴夫寇爾賣的是怎樣的「攻擊型」資安服務？

客戶、雲端服務商都應引以為鑒

Lookout的安全解決方案高級經理Hank Schless表示，這種手法驗證了以電子郵件釣魚方式，誘騙公司員工交出其帳戶憑證的有效性。安全公司Digital Shadows的資訊安全長Rick Holland則藉此點出許多Verkada後續要面對的棘手問題。

從法律面來看，不論調查結果為何，Verkada都將面對事件的監管調查、可能的個人或集體訴訟，例如可能發生違反GDPR個人數據保護的規定。而衛生和公眾服務部（HHS）也將對Verkada和違反HIPAA/HITECH的違規行為展開調查。

對用戶端和服務商來說，這次事件也再次證明透過雲端平台進入敏感數據系統時，仍存有安全性問題。Verkada的案例是對那些有意將安全業務外包給雲端服務商的一個警惕，畢竟當你選擇將安全性外包給第三方時，就無法保證每次都能獲得完整的安全性。

資料來源：Engadget、BBC、ZDNet、Bloomberg、Threat Post、CBS News
責任編輯：文潔琳、蕭閔云

隨著全球淨零轉型浪潮持續推進，企業不僅要許下減碳承諾，更得拿出可以被量測、驗證的實際成果，這也驅使企業加速導入智慧能源管理系統。早在 2017 年便投入此領域的思納捷，從桃園出發，透過工業園區與公共建築等在地場域的部署經驗，持續打磨技術與解決方案，隨後更在桃園市政府青年事務局「桃園天際線加速器」協助下，逐步將市場版圖延伸至海外。如今，思納捷全球累積超過 1,000 個應用實績，不僅成功將台灣智慧能源解方推向海外，更成為全球企業推動綠色轉型不可或缺的關鍵夥伴。

從桃園場域開始淬鍊：思納捷把「失敗經驗」變成難以複製的競爭力

思納捷總經理莊棨椉原先在資策會從事能源與物聯網相關研究，當時，他從歐美市場發展看見智慧能源管理的趨勢，於是，團隊從資策會獨立出來、成立思納捷，將過去累積的研發能量帶向市場。而技術落地第一站，就是從工業聚落密集的桃園開始，思納捷運用 IoT 技術管理工業園區的路燈、空氣品質、排水與交通等公共設施與環境，也進一步走進園區工廠，協助企業掌握與管理用電。

然而，從研究機構走向市場後，莊棨椉很快發現，「做得出來」與「真的能用」之間，還隔著一段不小的距離。許多從技術角度來看完全可行的做法，在進入真實場域後，反而出現各種從未想過的問題。

舉例來說，在幼獅工業園區部署智慧路燈時，思納捷原本採用 Mesh Wi-Fi 網狀網路，讓路燈彼此串聯、逐站傳遞訊號，沒想到實際上線後，路樹上的枝葉竟然擋住了訊號，造成通訊不穩定。為此，團隊重新調整架構，採用 NB-IoT 方式，讓每支路燈直接透過電信網路傳輸資料，降低環境遮蔽物對通訊的影響。

類似的「踩坑」經驗也發生在澎湖馬公港。思納捷與合作夥伴共同佈建智慧路燈，採用 PLC 電力線通訊技術，明明在實驗室與一般道路測試都沒有問題，到了港區卻完全無法傳輸訊號。團隊一路追查才發現，原來地下線路早已受到鹽害侵蝕，為此重新抽換線材，才讓系統得以正常運作。

串設備、整數據、AI 自主管理：思納捷打造 24 小時能源總管

「每一次踩坑，都讓團隊更清楚不同技術的適用邊界，也讓下一次部署少走一段彎路，」莊棨椉說，思納捷運用近十年來走進不同場域、解決各種意外狀況所累積的實戰經驗，形塑出 3 大產品特色。

第一，是物聯網裝置串接能力。
目前思納捷已能串接超過 1,000 種設備，涵蓋電表、水表、空調、冰水主機等不同類型，支援數量為全台最多。無論企業使用何種廠牌的設備，都能快速介接至思納捷的平台，降低設備整合門檻。

第二，是將數據與場域 Know-how 轉化為管理模組，讓企業可以「隨選即用」。
思納捷將多年累積的數據與經驗，轉化為超過 20 種應用模組，企業可以依需求持續擴充功能，一改過去可能要導入多套解決方案，才能管理不同設備的系統孤島問題。

舉例來說，某電子元件代理商在導入思納捷解決方案後，管理人員只要透過一支手機，就能掌握辦公大樓各樓層的設備運轉狀況，包括用電、用水、會議室、電動車充電樁到空調系統。不僅大幅提升管理效率，也能進一步掌握實際用電需求、降低能源耗用，並據此調降契約容量，每月節省約百萬元的電費成本。

第三，是讓能源與設備管理從人工管理走向 AI 自主管理。
思納捷以自家大數據為基礎，結合 AI 提升系統自主判斷與調控能力，持續優化能源管理的成效。「我們的目標，就是打造 24 小時雲端 AI 總管，讓系統可以自己判斷和調整，讓設備隨時維持在最佳運轉狀態，避免造成不必要的能源浪費，」莊棨椉強調。

出海前先看懂市場：桃園天際線加速器降低新創試錯成本

隨著產品逐漸成熟，思納捷也開始把目光投向海外，而進駐桃園天際線加速器，則為團隊提供一個以更低成本探索海外市場、驗證發展方向的機會。

莊棨椉表示，透過加速器安排的韓國、新加坡等國際交流，思納捷得以接觸不同市場的潛在客戶、創投與投資者，了解當地產業環境與實際需求，也能與在地新創交流創業與市場拓展經驗；國際經驗的獲取與海外拓點，都是成本極高的決策，藉由這些機會，思納捷得以用較低成本，去了解國際市場的可能性與風險。

此外，加速器也會安排專業業師分享國際市場經驗，從不同角度刺激團隊思考，重新檢視既有商業模式與海外布局策略。例如，曾經有業師與莊棨椉逐項分析海外上市必須具備的條件，讓他重新盤點公司現階段的優勢與不足，也進一步思考什麼才是最適合思納捷的成長路徑。

「加速器讓我們有機會多看、多聽、多接觸。」莊棨椉說。這些交流的價值，不只是認識多少潛在客戶，而是讓團隊在真正投入大量人力與資金以前，先釐清當地究竟有沒有市場、客戶需求是否成熟，以及既有產品與商業模式能不能直接複製。過去許多只能透過資料或想像判斷的問題，如今都能透過實際走進市場、接觸第一線業者取得更多資訊，降低走錯路的風險與試錯成本。

對思納捷而言，加速器帶來最關鍵的幫助是，透過市場探索、業師輔導與資源媒合，讓團隊在真正投入之前，有更多機會看懂市場、驗證方向，再決定下一步怎麼走。對資源有限的新創而言，這種「先驗證、再投入」的過程，反而能降低海外布局的機會成本，讓每一步走得更精準。

展望下一階段，思納捷團隊將持續聚焦校園、園區、建築與工廠四大場域，持續深化應用，讓「24 小時能源與機電設備雲端 AI 總管」的概念在更多場景落地，同時，當既有台商客戶前往海外設廠、有智慧能源管理需求時，思納捷也會跟隨客戶腳步提供服務。莊棨椉認為，唯有先把技術與服務做深，建立可複製的成熟模式，未來才有機會將台灣累積的智慧能源管理經驗帶向更大的國際市場。