資安公司 Censys 在 11 月 5 日公布掃描結果：全球有 1,465 台主機，把一套名為 ARTEX 的 AI 自動攻擊工具控制台直接開在網際網路上，不需要密碼就能存取。其中 155 台同時被偵測到其他攻擊工具。這套工具已被連結到多起實際入侵，微軟記錄到的案例中，攻擊者從鎖定目標到取得特權雲端存取，不到三小時。
重點摘要
- Censys 掃到 1,465 台外露主機，扣除同一套部署模板的重複後，約 815 個是獨立部署
- 微軟記錄的供應鏈事件中，攻擊者在三小時內取得特權雲端存取
- 真正的破口是一個權限過高的第三方應用程式連線，不是密碼被破解
- 中小型網站的自保重點在於：關掉不用的第三方授權、管理帳號開多因素驗證、留好登入紀錄
四成四的主機來自同一套模板
Censys 掃到的主機總數是 1,465 台。但其中有兩家託管商底下的主機配置完全相同——PEG Tech 有 493 台、Yancy Limited 有 157 台，合計約 650 台，佔總數四成四。Censys 判斷這比較可能是同一套部署模板產生的，而不是數百個各自獨立的操作者。扣掉這些之後，約 815 個看起來才是獨立部署。
Censys 也特別提醒：這個數字不代表有 1,465 個駭客組織在使用這套框架，而且部分公開的實例可能是獲得授權的滲透測試人員在用。
攻擊者三小時內取得特權存取
ARTEX 於 2026 年 7 月 26 日發布在 GitHub 上，是一套開源、由大型語言模型驅動的自動化滲透測試框架。之所以引起關注，是因為它已經出現在實際攻擊中。
微軟在 10 月 21 日的報告中說明，一個被其追蹤為 Storm-0940 的行為者，透過 IT 服務商 ConnectWise 的雲端備份服務發動供應鏈攻擊，並用 ARTEX 加速對下游客戶的掃描、偵察、密碼噴灑與 OAuth 應用程式濫用。
報告中的數字：攻擊者對超過 2,250 個租戶嘗試登入，10 月 11 日尖峰時每分鐘超過 2,900 次失敗登入，累計記錄到 151,000 次以上的失敗登入。最終確認受影響的是 8 個組織、327 個帳戶。微軟並指出，有多起案例從鎖定目標到取得特權存取不到三小時。
破口是權限過高的第三方連線
這一點值得網站經營者特別注意，因為它和多數人想像的「被駭」不一樣。
依微軟的報告，攻擊者取得的是 ConnectWise 多個雲端應用程式的身分控制權，接著利用這些應用程式在客戶租戶中原本就建立好的信任關係，拿著竊得的應用程式憑證通過驗證。報告明確指出，一個權限過高的第三方應用程式一旦被攻陷，攻擊者就能存取遠超出該應用原本用途的資源。
換句話說，受害組織的密碼沒有被破解，防線也沒有被正面突破。被利用的是他們早就授權過、而且授權範圍太大的那條連線。
四個日常防護動作
以下做法對應的是這次事件實際被利用的弱點，不需要資安預算也能開始。
-
盤點第三方授權，關掉不用的
列出所有連到你網站或雲端帳號的外部服務：金流、電子報、分析工具、備份、外包商的管理帳號。停用已經沒在用的，保留的則檢查權限範圍是不是遠大於它實際需要。這次事件的破口就在這裡。
-
所有管理帳號開啟多因素驗證
密碼噴灑是拿常見密碼去大量帳號上試，成本極低而且完全自動化。多因素驗證是目前對這類攻擊最有效的一道門檻。同時停用共用帳號，離職或換包商時才有辦法單獨關掉一個人的權限。
-
保留登入紀錄並定期檢視
三小時的攻擊速度意味著事後才發現幾乎來不及。確認主機與雲端服務的登入紀錄有開啟、保存期夠長，並定期檢查有沒有異常的來源、時間或失敗次數暴增。
-
發現異常時先保存證據
微軟在報告中特別提醒，發現異常時不要一上來就刪掉可疑的應用程式——那會把證據一起刪掉，後續無法判斷對方做了什麼。正確順序是先保存設定與紀錄，再撤銷權限、輪替憑證。
上線之後才是防護的開始
第三方授權會隨著新工具上架而不斷增加，主機與套件會有新的更新要套用，登入紀錄要有人固定看，包商與員工的權限在人員異動時要跟著調整。這些都不屬於「把網站做好上線」的範圍，而是上線之後持續要有人負責的事。
這也是「網站孤兒」最實際的風險：網站本身還能正常顯示，但沒有人記得三年前串過哪個外部服務、沒有人在看紀錄、沒有人知道出事要先做什麼。選擇網頁公司時，除了比較作品與報價，值得一併問清楚的是：上線之後誰負責更新、紀錄保存多久、發現異常時的聯絡與處理流程是什麼。能把這些講清楚的合作對象，和只負責交付檔案的，差別會在出事那天顯現。
常見問題
我的網站很小，會被盯上嗎？
密碼噴灑這類攻擊不挑對象，是自動化地對大量帳號嘗試常見密碼，微軟記錄到的單一行動就涵蓋超過 2,250 個租戶。規模小不代表不在名單上，只代表你比較晚才會發現。
那些外露的主機會攻擊我嗎？
外露的是攻擊方自己的工具控制台，不是針對你的攻擊來源。真正的影響在於這些工具與其中的攻擊程式變得任何人都能取得，使用門檻因此降低。
把密碼改強一點就夠了嗎？
強密碼是必要的，但不足以應付這次的手法。ConnectWise 事件中被利用的是一個已經獲得授權、權限範圍過大的第三方連線，與密碼強度無關。授權盤點和強密碼要一起做。
這些要花很多錢嗎？
這四件事都不需要額外預算，只需要有人花時間做：盤點授權、開啟多因素驗證、設定好紀錄保存、事先講好出事的處理順序。真正的成本是「要有人固定做」，而不是工具本身。
AI 壓縮的是你的反應時間
這次事件最值得記住的，不是 AI 學會了什麼新的攻擊手法。微軟報告描述的路徑——權限過高的第三方應用、被竊的應用程式憑證、大量自動化的密碼嘗試——每一項都是既有的老問題。
AI 改變的是速度與規模：三小時取得特權存取、每分鐘 2,900 次嘗試。過去「先撐一陣子再處理」還有一點時間餘裕，現在這個餘裕正在消失。相對地，該做的事也沒有變複雜，只是變得不能再拖。
優吉兒網頁設計持續關注 AI 與網頁技術的最新發展，並致力於落實在專案中，讓您的網站與世界接軌。若您正在規劃公司網站或改版升級，歡迎了解我們的網站作品與網站開發服務，或直接聯絡我們，我們提供免費的線上諮詢。
本文初稿由 AI 協助編寫