什麼是資料外洩？ 資料外洩是在系統所有者不知情或未授權的情況下從系統中竊取資訊的事件。無論何種行業，資料外洩都可能產生深遠的影響，不論是打擾客戶的生活、亦或是影響組織的聲譽。
多年來一直隨著數位化而改變的汽車行業也不例外。 這項轉變最顯著的代表就是自動駕駛汽車，其背後的供應鏈也發生了革命性的變化。 那麼，目前的汽車行業的正遭遇哪些類型的資料外洩呢？
圖 1. 2020 年 5 月至 2022 年 6 月汽車行業的資料外洩事件
在調查過程中，我們審查了有關汽車供應鏈中資料外洩案例的公開報告，並從每個案例中歸納出被盜取的資料類型。 如圖 1 所示，消費者訊息和公司敏感訊息是過去兩年報告最多的違規行為。 在不肖人士手中，這些類型的資料可能導致如下所述更複雜的攻擊：
- 被盜的消費者訊息或任何個人訊息都可能導致個人成為詐騙或欺詐的直接目標。在憑證填充、電話詐欺和魚叉式網路釣魚攻擊中，犯罪分子利用外洩的個資中的詳細訊息瞄準特定個人或特定群體。被盜的公司敏感訊息和專有訊息直接影響公司。這種資料外洩可能不會立即產生影響，但是一旦惡意組織對訊息進行足夠研究之後，就可無預警的發起不可預知的攻擊。
- 原始碼或基礎架構架構等專有訊息可以讓威脅參與者更快地發現弱點或漏洞。由於車輛在程式碼上運行並且本質上是連接的裝置，因此利用漏洞造成的損害可能難以計算。
- 另一方面，被盜的基礎設施架構可以像是藏寶圖般的追溯顯示整個系統的路徑和生產車輛中使用的原始碼。
資料外洩場景
2022 年初，一名青年駭客在一次實驗中遠端控制了超過 25 輛特斯拉汽車，暴露了 API 授權在車輛安全中的重要性。 幸運的是，特斯拉可以遠端撤銷所有授權，從而遏止了接下來的問題；然而，這個場景展示了 API 授權丟失或被盜時可能發生的情況。 API 授權基於其車輛識別號碼 (VIN) 或硬體，一旦此訊息被盜，用戶就無法像遇到洩露的密碼那樣簡單地替換授權。 相反地，這個問題需要從開發階段開始分多個階段解決。
首先，API 授權不應基於車輛上的物理號碼或 VIN 生成；反而必須依賴於更安全的設計或更安全的硬體。其次，API 授權應該是可更新或可撤銷的，就像特斯拉案例一樣。第三，API 授權必須遵循最小權限原則，這意味著不應使用一個 API 授權來統治所有功能。這樣的話，即使確實發生了違規行為，也可以採取措施遏制它們。
供應鏈任何部分的資料外洩也會對汽車的性能產生不當的連鎖反應。一個 例子是 2022 年 3 月對美國主要芯片和 GPU 製造商 Nvidia 的攻擊。在這次攻擊中，一個網路犯罪集團威脅該公司發布驅動程序、韌體架構以及該公司的原始碼；更重要的是，這起案例不僅涉及洩露了員工登錄資料，還涉及洩露開發人員工具（專有訊息）。此外，由於此類主要製造商還為汽車行業提供片上系統或 GPU 解決方案，因此即使網路犯罪分子只是竊取了供應商資料，汽車的安全性和效率仍可能受到此類違規行為的影響。
在掃描汽車行業的資料外洩報告時，我們發現過去兩年共發生了 30 起相關案件。
| 日期 | 商業 | 資料 |
|---|---|---|
| 2020 年 5 月 18 日 | 汽車製造商 | 所有權資訊 |
| 2020 年 5 月 22 日 | 汽車租賃服務 | 消費者資訊 |
| 2020 年 7 月 3 日 | 公交路線的應用程式 | 消費者資訊 |
| 2021 年 1 月 4 日 | 汽車代理商 | 消費者資訊， 公司敏感資訊 |
| 2021 年 1 月 6 日 | 汽車製造商 | 所有權資訊 |
| 2021 年 2 月 13 日 | 汽車製造商 | 公司敏感資訊 |
| 2021 年 2 月 15 日 | 汽車租賃服務 | 消費者資訊 |
| 2021 年 3 月 5 日 | 賽車車隊與製造商 | 公司敏感資訊 |
| 2021 年 3 月 10 日 | 安全系統公司 | 公司敏感資訊 |
| 2021 年 3 月 21 日 | 手機停車應用程式 | 消費者資訊 |
| 2021 年 3 月 25 日 | 車庫維修公司 | 消費者資訊 |
| 2021 年 5 月 20 日 | 汽車零部件製造商 | 消費者資訊， 公司敏感資訊 |
| 2021 年 6 月 7 日 | 汽車製造商 | 員工資訊， 公司敏感資訊 |
| 2021 年 6 月 14 日 | 汽車製造商 | 消費者資訊 |
| 2021 年 6 月 24 日 | 汽車製造商 | 消費者資訊 |
| 2021 年 6 月 26 日 | 汽車金融公司 | 消費者資訊 |
| 2021 年 10 月 22 日 | 工程技術公司 | 所有權資訊 |
| 2021 年 10 月 25 日 | 汽車製造商 | 所有權資訊 |
| 2021 年 11 月 11 日 | 汽車租賃業務 | 消費者資訊 |
| 2021 年 11 月 23 日 | 拖車製造商 | 員工資訊 |
| 2021 年 12 月 11 日 | 汽車製造商 | 所有權資訊 |
| 2022 年 1 月 11 日 | 汽車品牌的資料記錄應用程式 | 消費者資訊，內部授權資訊 |
| 2022 年 1 月 25 日 | 汽車代理商 | 消費者資訊 |
| 2022 年 2 月 1 日 | 汽車代理商 | 消費者資訊 |
| 2022 年 2 月 10 日 | 汽車代理商 | 消費者資訊，員工資訊 |
| 2022 年 2 月 23 日 | 軟體公司 | 內部授權資訊，所有權資訊 |
| 2022 年 3 月 4 日 | 鐵氧體製造商 | 員工資訊， 公司敏感資訊 |
| 2022 年 3 月 9 日 | 汽車代理商 | 員工資訊 |
| 2022 年 5 月 23 日 | 汽車製造商 | 消費者資訊 |
| 2022 年 6 月 1 日 | 無廠 IC 公司 | 公司敏感資訊，所有權資訊 |
表 1. 2020 年 5 月至 2022 年 6 月的資料洩露案例列表
預防汽車資料外洩的安全性考量
好消息是，各界組織多年來都持續開發針對違規的防禦和協議。現代安全解決方案也能有效的保護有價資訊不被洩露；對於汽車行業，它可以利用現有的解決方案來打造設計更完善的系統架構。但是，我們必須了解，即使是最好的防禦也不能保證 100% 安全；這就是開發過程中的檢查發揮關鍵作用的地方。
OEM 必須始終假設他們的原始碼可能會被洩露或轉儲並從他們的車輛韌體中恢復。因此，應從開發階段對原始碼進行審查，從根源上解決潛在問題。將情報集中在潛在問題上還可以最大限度地減少資料洩漏造成的損害，因為完善的開發處理可以消除資料洩露前潛在的的漏洞。對於在開發階段未發現的漏洞，安全的無線 (OTA) 更新更可以幫助盡快緩解它們。
如同現在的網路威脅一樣，沒有一種解決方案可以100% 抵禦所有入侵。正如 ISO/SAE 24134 標準所建議， OEM廠商應建立一套完整的安全架構。事實上，聯合國第 155 號法規 (UN R155) 和 ISO/SAE 24134 都強調了在車輛從產品開發階段到生命週期結束的整個生命週期中對網路安全的需求。
VicOne 解決方案
基於對 IT 領域的研究和經驗，車載保護、全面覆蓋聯網汽車生態系統的多層安全性以及車輛安全運營中心 (VSOC) 等面向，是保護聯網汽車的安全解決方案的重要考量。為了減輕汽車行業特有的供應鏈風險，我們建議相關企業可以從確保採取以下措施開始：
- 用於 VSOC 的 DR 平台 xNexus 可以幫助建立感知機制和對即將面臨攻擊的早期預警。
- xCarbon（用於 ECU 的 IDPS）在車輛中提供卓越的檢測和保護，使安全運營中心 (SOC) 能夠快速了解潛在攻擊的性質。
- xZeta 允許 OEM 從多個層面掃描供應商的韌體，並從一開始就有效地減少攻擊面。
- xScope 試服務，可對整個車輛進行深入評估，以識別漏洞並提供建議。
VicOne 的網路安全解決方案利用趨勢科技 30 多年的網路安全經驗以及來自漏洞懸賞計劃 (ZDI) 的 10,000 多名獨立研究人員的專業知識，使用機器學習、行為監控、偵測及回應等最新技術來幫助保護聯網汽車。
造訪 VicOne 的首頁以獲取我們汽車網路安全解決方案的更多訊息。
