事件總覽：近日資安界風雲再起，一種利用 Web Real-Time Communication（WebRTC）通訊協定的新型側錄攻擊浮出檯面，駭客巧妙繞過企業既有的內容安全政策（CSP）與網路監控工具，鎖定大型電商平台與跨國車廠，對用戶的金融卡資料進行無聲竊取，這無疑是對現行資安防線的嚴峻挑戰。
📅 近期觀察：WebRTC 側錄攻擊浮現資安雷達
說真的，當我們以為網站結帳頁面已經固若金湯時，駭客的腳步卻早已踏入通訊協定的新領域。資安防護公司 Sansec 近日發出嚴正警告，指出一種新型態的金融卡側錄（Web Skimming）攻擊正在全球迅速蔓延。這波攻擊最令人擔憂的，莫過於駭客首次利用了 P2P 的 WebRTC 機制來側錄信用卡資訊，這讓傳統的網路監控工具形同虛設，也成功突破了許多企業信賴的內容安全政策（CSP）防線。
📅 過去數月：跨國巨頭相繼淪陷，損失難以估計
有趣的是，這並非針對中小型企業的無差別釣魚，而是針對高價值目標的精密攻擊。根據 Sansec 的調查，在過去短短兩個月內，全球已有至少 5 家市值數十億美元的跨國巨頭不幸受害，其中甚至包含美國前三大銀行以及一家市值突破千億美元的汽車製造商。這些受害案例清楚顯示，駭客的目標不僅精準，其攻擊手法也已達到前所未有的隱蔽與複雜程度，讓這些看似防禦嚴密的企業也難以倖免於難。
📅 技術剖析：WebRTC 如何成為駭客的「隱身衣」？
你可能會想，為什麼 WebRTC 會成為駭客的新寵？這其實與其底層的技術特性息息相關。過往的線上側錄攻擊，多半是透過 HTTP 請求將竊得的資料傳回駭客伺服器，但隨著企業廣泛部署 CSP 與 Web 應用防火牆（WAF），這類手法成功率逐漸降低。然而，WebRTC 卻另闢蹊徑：
- 非傳統流量的完美偽裝： WebRTC 採用的是經過 DTLS 加密處理的 UDP 通訊，而非傳統的 HTTP 連線。由於多數企業的網路資安工具僅針對 HTTP 流量進行深度封包檢測，這使得 WebRTC 流量宛如穿上了一層難以察覺的隱身衣，輕鬆避開監控。
- CSP 的「法外之地」： WebRTC 的 P2P 配對連線機制，目前仍遊走在主流 CSP 規範的邊緣。儘管 Chrome 瀏覽器已開始測試支援特定 CSP 指令來管控 WebRTC，但由於缺乏業界標準化，現階段幾乎沒有網站實際佈署相關防護，這直接導致駭客能輕易繞過現有防線。
📅 攻擊初期：PolyShell 漏洞成為入侵破口
這波精密的攻擊並非無跡可尋，它通常結合了其他已知的漏洞作為入侵點。Sansec 分析指出，駭客入侵電商網站的初始破口，極有可能就是近期大肆肆虐的 PolyShell 漏洞。這個漏洞已經導致近六成的 Adobe Commerce 與 Magento 電商平台被植入惡意的 PHP 程式碼，為後續的 WebRTC 側錄攻擊鋪平了道路。
📅 執行階段：無聲竊資的隱蔽套路
一旦駭客透過 PolyShell 等漏洞成功植入惡意程式碼，其竊資手法更是展現了極高的隱蔽性：
- 輕量化載入與突破： 初始階段僅植入極為輕量的 JavaScript 載入器，並透過重用現有的 script nonce 或利用 unsafe-eval 指令，巧妙突破基礎的 CSP 限制。
- 延遲執行，避開偵測： 為了降低被行為偵測機制抓包的機率，惡意程式會刻意利用瀏覽器的
requestIdleCallback延遲執行機制，等到系統資源空閒時才偷偷啟動，讓其行蹤更加難以捕捉。 - 直達駭客伺服器： 一旦 WebRTC 連線成功建立，並接收到第二階段的惡意酬載後，程式便會潛伏在結帳頁面，無聲無息地攔截用戶輸入的信用卡號、到期日與安全碼，然後直接打包，透過加密的 UDP 通訊，神不知鬼不覺地直送駭客伺服器。這就像當防護機制還在臨檢一般公路（HTTP）時，惡意程式已經開著直升機（WebRTC）揚長而去，防不勝防。
至今影響與未來展望
這次 Sansec 揭露的新型 WebRTC 側錄攻擊，無疑象徵著 Web Skimming 線上側錄攻擊手法的一次重大「技術升級」。它徹底顛覆了過去防禦電商側錄攻擊的邏輯，過往的防護往往側重於「防堵未經授權的外部網域連線」以及「監控異常的 HTTP 傳輸」，但駭客這次直接從底層通訊協定下手，利用原本設計用於視訊通話、P2P 檔案傳輸的 WebRTC 技術，將惡意資料夾帶在加密的 UDP 封包中送走，讓企業的傳統防線形同虛設。
這對所有企業的 IT 與資安團隊來說，都是一個極其嚴峻的警訊。特別是對於使用 Adobe Commerce 與 Magento 的電商平台而言，除了必須盡速修補 PolyShell 相關漏洞外，也必須重新審視自身的網路防護機制，是否具備解析非 HTTP 流量的能力。隨著千億美元級別的車廠與頂尖銀行相繼淪陷，我們清楚看到，這已不再是針對中小型電商的無差別網路釣魚，而是針對高價值目標的精密針對性攻擊，企業必須提升警覺，並更新防禦策略以應對不斷進化的威RTC 側錄威脅。
About the Author
