全球資安界近期拉響警報，新型態的 WebRTC 側錄攻擊正悄然蔓延，駭客利用此技術巧妙繞過現有 CSP 防護機制，無聲無息地竊取用戶信用卡等敏感資料。據資安公司 Sansec 揭露，大型電商與跨國汽車製造商已成為受害者，顯示這波攻擊鎖定高價值目標，對企業資安構成嚴峻挑戰。
WebRTC 如何成為駭客新利器？突破傳統防線的隱身術
你可能會想，當電商網站的結帳頁面已經有層層防護時，駭客還能從何下手？事實上，這波新型態的金融卡側錄（Web Skimming）攻擊，正是巧妙地將目標轉向了過去較少被資安工具關注的通訊協定——WebRTC (Web Real-Time Communication)。傳統的線上側錄手法，多半透過植入惡意 JavaScript，再經由 HTTP 請求將竊得的資料傳回駭客伺服器，但隨著企業普遍部署內容安全政策（CSP）與各類 Web 應用防火牆（WAF），這種攻擊的成功率已大不如前。
不過，資安防護公司 Sansec 的研究人員發現，駭客這次改用了 WebRTC 的 DataChannel 進行資料竊取，這讓惡意行為彷彿穿上了一層「隱身衣」。WebRTC 採用的是經過 DTLS 加密處理的 UDP 通訊，而非傳統的 HTTP 連線。由於多數企業的網路資安工具，其深度封包檢測功能主要針對 HTTP 流量設計，對於 WebRTC 這種非傳統流量，監控能力相對薄弱。更關鍵的是，WebRTC 的配對連線機制目前仍遊走在主流 CSP 規範的邊緣，儘管部分瀏覽器如 Chrome 已開始測試支援特定 CSP 指令，但業界缺乏標準化，導致幾乎沒有網站實際佈署相關防禦，讓駭客得以輕易繞過防線。
PolyShell 漏洞助攻：精密竊資的隱蔽路徑
這波精密且隱蔽的攻擊並非憑空而來。Sansec 指出，駭客得以入侵電商網站的破口，極有可能與近期廣泛肆虐的 PolyShell 漏洞有關。這個漏洞已導致近六成的 Adobe Commerce 與 Magento 電商平台被上傳惡意的 PHP 程式碼，為後續的竊資行動鋪路。
在實際執行竊資的階段，駭客展現了極高的隱蔽技巧。首先，初始階段僅植入極為輕量的 JavaScript 載入器，並透過重用現有的 script nonce 或利用 unsafe-eval 來突破基礎的 CSP 限制。為了進一步躲避行為偵測，惡意程式還會利用瀏覽器的 requestIdleCallback 延遲執行機制，等到系統資源空閒時才偷偷啟動。一旦 WebRTC 連線建立並接收到第二階段的惡意酬載，程式便會潛伏在結帳頁面，無聲無息地攔截用戶輸入的信用卡號、到期日與安全碼，直接打包後透過 UDP 通訊直送駭客伺服器，整個過程難以被察覺。
產業警訊與未來挑戰：企業應如何應對？
Sansec 近日揭露的這起新型 WebRTC 側錄攻擊，無疑象徵著線上側錄手法的一次重大「技術升級」。過去防禦電商側錄攻擊的邏輯，往往聚焦於透過 CSP「防堵未經授權的外部網域連線」，以及「監控異常的 HTTP 傳輸」。然而，駭客這次直接從底層通訊協定下手，利用原本設計用於視訊通話、P2P 檔案傳輸的 WebRTC 技術，將惡意資料夾帶在加密的 UDP 封包中傳送。
「這就像當防護機制還在臨檢一般公路（HTTP）時，惡意程式已經開著直升機（WebRTC）揚長而去，」Sansec 的資安專家如此比喻，點出企業資安盲點。
對於企業的 IT 與資安團隊而言，這是一個非常嚴峻的警訊。特別是那些使用 Adobe Commerce 與 Magento 的電商平台，除了必須盡速修補 PolyShell 相關漏洞外，也必須重新審視自身的網路防護機制，是否具備解析非 HTTP 流量的能力。截至目前，過去兩個月內已有 5 家市值數十億美元的跨國巨頭受害，甚至包含美國前三大銀行與市值破千億美元的汽車製造商。這清楚表明，這已非針對中小型電商的無差別網路釣魚，而是針對高價值目標的精密針對性攻擊。
- 立即修補漏洞：優先處理 Adobe Commerce 與 Magento 平台上的 PolyShell 等已知漏洞。
- 擴大流量監控範圍：重新評估現有資安工具，確保能有效檢測與解析非 HTTP 流量，特別是 WebRTC 的 UDP 通訊。
- 強化 CSP 策略：儘管 WebRTC 的 CSP 標準尚未普及，仍應持續關注並研究相關規範，為未來防禦做好準備。
- 提升行為偵測能力：由於駭客利用延遲執行等技巧，應強化對異常程式行為的偵測與分析。
展望與影響：資安攻防的持續進化
WebRTC 側錄攻擊的出現，標誌著資安攻防戰進入了一個更為複雜的階段。駭客不再滿足於傳統的攻擊路徑，而是不斷探索新的通訊協定與技術盲點。企業必須意識到，單一的防禦策略已不足以應對層出不窮的威脅。未來的資安防護，將更加仰賴多層次、跨協議的整合性監控與防禦體系。唯有如此，才能在這場無聲的竊資戰役中，有效保護用戶的數位資產與企業信譽。
