Douzone Bizon兩宗外洩：ERP後勤系統的連鎖風險
韓國中小企ERP供應商 Douzone Bizon 近日在不足兩週內披露兩宗資安事故，分別涉及稅務會計服務 Smart A 10 的內部系統存取，以及 APO 備份服務的加密資料。iThome 報道指出，韓國政府已將事件列為嚴重等級，準備由公私營聯合團隊調查成因、外洩規模及客戶影響。
目前最重要的限制是：兩宗事故的實際發生時間、外洩資料總量、受影響客戶數目及彼此是否相關，均仍在調查。外洩資料曾經加密，亦不等於可直接斷言資料安全無虞；金鑰有否外洩只是評估風險的其中一環。
兩條看似分開的入侵路徑
iThome 報道稱，Douzone Bizon 在10月18日表示，未經授權人士使用員工 VPN 憑證進入內部系統並取得資料。公司已停用遭濫用帳戶及相關 VPN 服務，並封鎖涉事海外 IP。Smart A 10 部分用戶的姓名、地址、手機號碼、電郵等個人資料或有外洩風險；當中包括居民登記號碼的加密後六位。由於服務特性及聯絡資料難以核實，公司稱未能確定受影響客戶公司與資料主體。
其後在10月23日，Douzone Bizon 在檢查 APO 備份服務時發現異常，並從備援方案供應商 Ahsay 得知方案存在漏洞。公司確認，備份 server 上部分加密資料可經該漏洞外洩；若備份內容包含個人資料，相關資料亦可能受影響。公司稱所有備份資料均已加密，暫未發現加密金鑰外洩證據。
事故意義：後勤系統不能各自管理
ERP、稅務會計與備份常被企業當作不同的後勤工具，但這宗事件呈現的是一條相連的風險鏈：VPN 帳戶是進入內部環境的入口，備份 server 則保存可供還原的大量資料，而加密與金鑰管理決定了外洩後資料可否被直接使用。
這不代表兩宗事故已確認由同一攻擊者或同一弱點引起；Douzone Bizon 正在調查兩者關聯。不過從防禦角度推論，企業若只檢查主要業務系統的漏洞，卻未把遠端存取、備份軟件、備份資料存放位置及金鑰控制放在同一盤點範圍，便容易出現保護落差。
可先做的自查
- 盤點所有可進入 ERP、財務及備份環境的 VPN 帳戶，停用閒置帳戶，並檢視異常登入與高權限存取紀錄。
- 向備份方案供應商索取現行漏洞通報與修補狀況，確認自家部署是否受相關漏洞影響；在版本與受影響範圍未獲官方確認前，不應自行假定安全。
- 列出備份中包含的個人資料、會計資料及認證資料，避免把備份視作與正式環境無關的副本。
- 檢查加密金鑰是否與備份資料分開保存、權限是否最小化，以及金鑰存取有否留下可追查紀錄。
- 預先訂立供應商事故通報流程，確保IT、財務、法務及客戶支援在收到漏洞或外洩通知後，可快速判斷資料範圍與後續行動。
下一步仍要看韓國調查結果能否釐清兩宗事故的技術原因、受害規模及供應鏈責任。對依賴雲端 ERP、會計系統或外判備份服務的公司而言，供應商公告、VPN 身份管理與備份環境的漏洞管理，都會是值得持續追蹤的環節。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 韓國SMB最大ERP業者Douzone Bizon兩週內接連傳出資安事件，當局展開調查 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
