編按： 一名擁有資工碩士學歷、使用Google Cloud超過10年的醫師，某天凌晨突然收到異常帳單通知，發現自己的雲端帳號遭人盜用，短短一小時就產生約3萬元費用。經過數日追查，他才發現問題可能源自8個月前誤入的假冒Claude Code網站，當時使用的Mac電腦疑似已被植入竊取登入憑證的木馬程式。
這次經歷讓他重新檢視自己長期以來的資安習慣，也提醒經常使用AI開發工具、雲端服務的使用者，即使具備技術背景，仍可能因為一次疏忽付出高昂代價。以下為作者第一人稱分享。
我被駭了，差點一夕破產。
前陣子某天凌晨，我收到一封緊急Email通知，發現自己的Google Cloud帳號遭到來自國外IP的大量API呼叫，來源顯示為巴拿馬，推測可能是跳板。
短短一個小時內，駭客大量呼叫Google Cloud Vertex AI API，讓我莫名其妙背上約3萬元台幣的帳單。更可怕的是，當下根本無法立刻停止這些請求，直到我關閉所有帳單帳戶（Billing Account）、撤下全部專案，連網站也全部關閉，才終於止血。
我使用Google Cloud已經超過10年，從醫學系大四、大五就開始接觸。平常使用API服務非常謹慎，通常用完就刪除。
這些年，我主要利用Google Cloud提供家醫科學弟妹準備專科醫師考試時使用的共筆服務、經營個人網站，以及透過Geolocation API，協助建立中彰投地區的老人社區醫療資源地圖。平常每個月的帳單大約只有30美元。
這次事件，很感謝Google的帳務團隊（Billing Team）在當天傍晚就接受我的申訴。身為國際大公司，Google不僅處理效率很高，客服電話不到5分鐘就能接通疑似真人的客服人員，也讓我相當佩服。
經過協商並提供各種證據後，Google最終同意調整帳單，減免了大部分費用。
但這件事到底是怎麼發生的？
經過好幾天調查，我發現整起事件很可能不是單純的API Key或Service Account外洩，而是一連串錯誤決定與僥倖心態造成的結果。
我本身是資工所碩士畢業，從小學就開始自學寫程式，並不是完全不懂技術的新手。事件發生前，我對自己的操作一直很有信心，但事實證明並非如此。
人會犯錯、會累，但AI Agent和駭客不會。在AI Agent時代，我們還有很多需要學習的地方。
最近也有不少醫護朋友開始嘗試自己架設網站、部落格伺服器，希望藉由這次經驗，提醒大家不要犯下和我一樣的錯，也建立更好的資安意識。
Google Cloud一小時遭盜刷3萬元，駭客兩週前就已入侵
事件發生在某天凌晨4點多。
當時，我的好幾個Google Cloud專案突然開始大量呼叫Vertex AI API，主要集中在Gemini Flash和影片生成相關的API。
大約一小時後，我陸續收到Google Cloud寄來的異常費用警告信（Early Anomalies Detection），其中一封的標題是：
Early signal anomaly: Unusual cost spike of $367 on Vertex AI in project
意思是Google偵測到某個專案的Vertex AI費用異常暴增，漲幅高達1,000%。
幸好醫師養成的習慣讓我容易早起。早上6點，我立刻登入Google Cloud，透過Logs Explorer查看系統紀錄。
我發現好幾個專案都在同時發出API請求，而且費用還在持續增加。
進一步查看API的相關資訊與紀錄後，我發現這些請求都指向幾個完全陌生的Service Account（服務帳戶）。簡單來說，可以把它想成一把能夠取得系統操作權限的數位鑰匙。
更驚人的是，這些我完全不知情的Service Account，早在攻擊發生的兩週前，就已經悄悄建立在我的好幾個Google Cloud專案裡。
我平常不太會檢查Google Cloud的API和Credentials（憑證）頁面，因此一直沒有發現它們。
而且我很確定，這些可疑的Service Account並不是Google Compute Engine虛擬機原本就有的預設帳戶，因為名稱並不符合預設格式：
PROJECT_NUMBER-compute@developer.gserviceaccount.com
繼續往前翻查兩週前的系統紀錄，發現攻擊者的行為並不是一次建立所有Service Account，而是分階段進行。
首先，對方搜尋我有哪些Google Cloud專案，針對不同專案發出查詢請求，而且每次搜尋之間大約相隔十幾分鐘。
我猜測，對方可能發現沒有什麼值得竊取的資料，才轉向API和Service Account下手。
接著，對方在短短4秒內啟用了17個AI相關API，幾分鐘後建立Service Account，再過兩分鐘才建立並下載Private Key（私密金鑰）。
現在的網路攻擊，大多可以透過程式自動化進行。但從這些紀錄來看，我覺得整個過程頗有AI Agent自行推理、再與人類協作攻擊的感覺。
例如，攻擊者對不同專案採取的操作並不完全相同。
對於我主要使用的專案，對方會先搜尋並啟用API；但對於其他比較少用的專案，則直接建立Service Account。
至於這次攻擊是否真的有AI Agent參與，目前仍只是我的猜測，也希望有資安專家能協助解答。
明明設定每月50美元預算，為何Google Cloud沒有自動停止扣款？
有人可能會問：不是應該設定預算上限嗎？
有，我原本就替Google Cloud設定了每月約50美元的預算提醒，超過金額就會發送通知（Alert）。
但問題是，這個設定只能通知使用者，並不會自動停止服務。
換句話說，即使費用已經超過預算，攻擊者仍然可以繼續呼叫API，產生更多費用。
而且在被攻擊當天，我直到接近中午，也就是約5個小時後，才收到原先設定的預算提醒信件。
剛好最近Google開始推出Hard Cap（硬性支出上限）功能，也就是當費用達到設定金額時，系統會立即停止相關服務。
不過，根據我初步查閱的資料，這項功能目前只適用於部分服務，並非整個Google Cloud專案的所有功能都能設定硬性上限。
至少在這次攻擊發生時，Google Cloud當時提供的功能，仍無法完全阻擋或預防這類事件。
API Key、AI Agent還是Google密碼外洩？我逐一排查可能原因
可能一：API Key或Service Account金鑰外洩
事件發生後，我第一個想到的可能性，就是自己過去使用的API Key，或Service Account JSON檔案不小心外洩。
畢竟現在網路上已經有不少AI Agent操作失誤的案例。
我平常確實會使用ChatGPT Codex、Pi Coding Agent、llama.cpp、Unsloth Desktop等本地AI或AI Agent工具寫程式，執行自動化任務。
但如同前面提到的，我使用API Key一向很小心。
例如，前陣子為了科內應用而使用GPS座標相關API，我也只會短暫開通API Key，使用完畢就關閉或刪除。
我使用的是MacBook，電腦裡沒有安裝gcloud CLI，也從來沒有使用過。我甚至不會自己建立Service Account。
我不會把金鑰存在.env檔案裡，更不會用Vibe Coding寫完程式，就直接上傳到GitHub。
我檢查過電腦，找不到任何仍可使用的金鑰。而且在使用Google Cloud的過程中，我也從未主動建立或使用過Service Account。
可能二：使用太多AI Agent，導致工具執行惡意指令？
我也懷疑，會不會是自己使用太多AI Agent工具，某次工具呼叫出了問題？
於是，我回頭檢查ChatGPT Codex和Pi Coding Agent所有能查到的工具執行紀錄。
但沒有發現任何看起來像惡意操作的指令。
所有對外連線的curl紀錄，都指向正常網站；下載的Python PyPI套件，也沒有發現先前資安報導提到的惡意網址。
因此，從目前能查到的紀錄來看，並不像是AI Agent工具直接執行了惡意操作。
可能三：Google帳號密碼遭竊？
我認為這個可能性也不高。
因為平常只要在新裝置登入Google，我幾乎都會在幾秒鐘內收到「有新裝置登入」的通知。
但在這次事件發生的那個月，我完全沒有收到任何異常的國外登入通知。
而且我一直都有開啟雙重驗證（2FA），因此當時認為，不太可能有異常登入完全逃過Google的監控。
我也檢查過Google帳號連結的第三方網站和App，沒有任何一個具有存取Google Cloud的權限。
可能四：瀏覽器的登入憑證或Cookie被偷走？
排除前面幾種可能性後，我開始懷疑是不是瀏覽器的登入憑證遭竊。
可能的情況是：有人偷走了我瀏覽器裡的登入Session（工作階段）或Cookie，直接冒用我的身分操作Google Cloud。
這種方式可能不會觸發一般的新裝置登入通知。
如果真是如此，就能解釋為什麼攻擊者可以在兩週前，悄悄建立那些陌生的Service Account。
我進一步透過Google Takeout匯出過去的Google帳號活動紀錄（Subscriber Info）。
結果發現，就在那些Service Account被建立的同一天，確實有一筆來自美國IP的操作紀錄。
我當時並沒有使用VPN，也沒有從美國操作帳號。
這讓我更加懷疑，自己的登入憑證可能真的已經外洩。
追查Mac電腦紀錄，竟發現8個月前就被植入疑似木馬
又過了幾天，我幾乎翻遍Mac電腦裡能找到的紀錄。
結果，竟然真的找到疑似木馬程式留下的檔案！
更驚人的是，根據檔案建立時間，這些可疑檔案早在8個月前，就已經出現在我的電腦裡。
檔案路徑包括：
/Users/myname/.mainhelper
/Users/myname/.pass
/Users/myname/.id
/Library/LaunchDaemons/com.finder.helper.plist
我上網查了一下，發現有好幾篇資安報告提到類似的檔案與行為，可能與AMOS（Atomic macOS Stealer）有關。
AMOS是一種針對macOS的資訊竊取型惡意程式，專門竊取電腦裡的密碼、瀏覽器Cookie、登入憑證等資訊。
當初搜尋Claude Code安裝教學，可能誤入假冒官網
接著，我又向Google調閱8個月前的搜尋紀錄。
結果發現，這些可疑檔案建立的那一天，也就是2月份，在其中一個.plist檔案建立前約兩分鐘，我剛好造訪了一個疑似釣魚網站：
claude-code-something.mssg.com
我記得當時剛從雪梨的研究所畢業回國，正好遇上Agentic AI（代理式AI）開始流行，於是上網搜尋如何安裝Claude Code。
回想起來，那個網站應該做得非常像官方網站，而且出現在Google搜尋結果的第一個位置。
我當時竟然完全沒有注意到，它可能是一個典型的Phishing（網路釣魚）網站。
我推測，當時可能下載了某個.dmg或.sh安裝檔案，結果連帶把木馬程式安裝進電腦。
現在回想起來，真的很懊惱。
可疑程式藏在系統設定檔，長達數月未被發現
這個可疑的背景執行設定檔也相當狡猾。
其中的com.finder.helper.plist，看起來是用來讓系統自動執行某個程式的設定檔。
它的內容非常簡單：
/bin/bash /Users/myname/.agent
平常使用電腦時，根本不容易發現它的存在。
這類木馬程式可能長時間潛伏在電腦裡，直到某個時間點才被啟動，將竊取的資訊傳送出去。
可惜的是，不知道什麼原因，當我開始調查時，.agent檔案已經被刪除了，因此無法進一步分析它的實際內容。
從誤入釣魚網站到Google Cloud遭盜用，整起事件可能如何發生？
經過這幾天調查，我認為整起事件可能是這樣發生的：
- 8個月前： 我的Mac電腦疑似因為誤入釣魚網站，被植入資訊竊取型木馬。
- 之後某個時間點： Google的登入憑證可能遭到竊取。由於攻擊者不一定需要取得密碼，因此我沒有收到異常登入通知。
- 攻擊發生前兩週： 攻擊者利用取得的權限，在我的Google Cloud專案裡建立多個Service Account。
- 攻擊當天凌晨： 攻擊者透過這些Service Account大量呼叫Vertex AI API，短時間內產生高額帳單。
直到現在，我仍然驚魂未定。
如果那天沒有早起，晚幾個小時才看到信箱，甚至直接把警告信當成廣告信略過，我可能真的會面臨更嚴重的財務損失。
畢竟網路上也有不少受過專業訓練的工程師，甚至新創公司，因為雲端服務遭盜用、大量呼叫API，而收到高達六位數美元帳單的案例。
即使事後與Google協商，也不一定能獲得全額減免。
如何避免Google Cloud帳號遭盜用？我學到的4個資安教訓
經過這次事件，我認為有幾件事值得提醒大家。
1. Mac電腦也需要防毒軟體
很多人認為，Mac最好的防毒方式就是養成良好的使用習慣。這當然沒錯。
但與Google Cloud遭盜用、可能產生六位數金額帳單的後果相比，如果安裝防毒軟體就能降低風險，為什麼不做？
尤其現在進入AI Agent時代，開發者經常需要測試新工具。
這就像接種疫苗預防傳染病，付出的成本相對低，即使發生機率不高，一旦出事，損失卻可能非常嚴重。
事實上，後來我繼續用這台已經發現可疑程式的電腦進行測試，發現Avast Free、Malwarebytes等免費防毒軟體，都能偵測出那個病毒。
早知道當初就先裝好了。
2. 檢查Mac電腦是否存在可疑木馬檔案
可以檢查電腦裡是否存在前面提到的可疑檔案。
如果不知道怎麼找到這些資料夾，也可以詢問AI，請它教你如何檢查。
但要特別注意：先斷開網路連線，切記不要直接執行可疑檔案。
3. 自己架網站或部落格，記得設定費用提醒或支出上限
如果有使用Google Cloud等雲端服務架設網站、部落格，務必在後台建立費用提醒，或在服務支援的情況下設定支出上限。
4. 養成良好的API Key管理習慣
API Key不使用時就撤銷（Revoke），並且定期更換，降低憑證外洩後被持續利用的風險。
（本文出自林佑儒）
