SecTor 2025 | When Hackers Meet Burglars

智能建築的興起帶來了前所未有的便利，也帶來了同樣前所未有的攻擊面。演講者 Amir 以攻擊性安全專家的視角，從幾個真實案例切入：2015 年 Target 資料外洩事件中，攻擊者並非直接入侵零售商，而是先攻陷其暖通空調承包商的系統，再以此為跳板潛入內網，竊取超過 4,000 萬筆信用卡資料。芬蘭兩棟公寓遭 DDoS 攻擊，建築內所有自動化系統癱瘓長達一週。Omni Hotels 遭勒索軟體加密後不得不恢復人工控制、疏散住客，損失近 350 萬美元。這類被研究人員稱為「Siege Per」的新型攻擊，與傳統以數據為目標的勒索軟體不同，它直接攻擊建築的「運作能力」——暖氣、門禁、照明——物理後果立竿見影。

紅隊滲透測試從偵察開始，而現代智能建築往往在不自知的情況下把自己暴露在公網上。Shodan 這個面向聯網設備的搜尋引擎，讓任何人都能找到開放在網際網路上的 BAS（樓宇自動化系統）設備。2024 年統計顯示，僅 BACnet 協議（智能建築最常用的通訊標準）就有超過 15,000 台設備暴露在外，而 BACnet 預設不啟用任何加密。谷歌悉尼辦公大樓的案例尤為典型：其 Tridium Niagara 平台不僅未安裝已發布的安全補丁，連預設密碼都未更改，研究人員直接登入後發現同型系統在全球尚有逾 25,000 棟建築在使用。除了線上偵察，紅隊成員也可能實地走訪，偽裝成維修技術人員進入維修區，或持智能手機掃描建築內的 Wi-Fi 網路，一個命名為「HVAC Wi-Fi」的熱點就足以成為調查起點。

一旦進入網路，攻擊者便使用 Nmap 進行端口掃描，逐一敲每扇「數位門窗」——80 端口代表有 Web 管理介面可嘗試登入，47808 端口則意味著存在 BACnet 節點，而 IBM 2024 年的調查顯示超過 86% 的網路設備仍在使用預設憑證，這讓暴力破解幾乎不必要。KNX 鎖攻擊是迄今最具代表性的案例之一：攻擊者不需要任何零日漏洞，只需發送合法的 KNX 協議指令，便能對數百台設備批次重置密碼，將它們變成無法操控的「殭屍設備」，幾乎一夜之間建築四分之三的智能系統（包含 HVAC 與照明）全部失效，業主若要恢復控制只能支付贖金。此案已被 MITRE 列入工業控制系統攻擊策略清單。

防禦的思路其實並不複雜，難的是落實。首先要做到資產盤點，很多建築根本不知道承包商在電梯裡安裝了遠端存取數據機。其次是網路分段，BAS 網路不應與訪客 Wi-Fi 同段，不需要連外網的設備就不應連外網，需要廠商遠端維護時應透過具備多因素驗證的 VPN，而非直接開放端口。安全配置方面，每一台攝影機、控制器都必須更改預設密碼，並關閉所有不使用的服務端口。谷歌案例中，補丁早在攻擊發生前便已釋出，及時更新本可完全阻止滲透。物理層面同樣不可忽視：伺服器機房和網路機櫃必須上鎖，防止攻擊者插入後門裝置。最後，應定期委託專業紅隊測試，並針對「楼宇自動化系統突然失控時，誰有權切斷電源、恢復手動控制」制定明確的應急響應計畫。