捡到美国的枪…北韩、俄国骇惨全球

南韩资讯安全署人员2017年看着萤幕，监控北韩「想哭」勒索软体攻击情形。美联社

美国国家安全局研发的网路武器EternalBlue外流后，世界各地灾情频传，造成数十亿美元损失。纽约时报报导，北韩是第一个利用EternalBlue的国家，将EternalBlue改编为「想哭」（WannaCry）勒索软体，2017年瘫痪英国医疗体系、德国铁路系统和全球各地20万个组织。

接着，俄国将EternalBlue改编为NotPetya勒索软体，并攻击乌克兰，在乌克兰做生意的跨国公司几乎都受害，例如联邦快递（FedEx）损失4亿美元，默克药厂（Merck）损失六点七亿美元。

灾情不止于此。网路安全公司赛门铁克和火眼的研究人员指出，过去一年来，介入2016年美国大选的同一批俄国骇客，用EternalBlue渗透饭店Wi-Fi网路。伊朗骇客用它在中东散播勒索软体并入侵航空公司。

赛门铁克资安事端回应主任塔库尔说：「情报机关专用的武器居然能为公众取得并普遍使用，真是不可思议。」

美国国安局专家花了将近一年时间找到微软公司软体的漏洞，并写程式攻击这个漏洞，EternalBlue由此而来。由于微软漏洞让国安局蒐集到大量情报，国安局一直没有通知微软修补，直到五年多之后EternalBlue外流，国安局才通知微软。微软发布补丁，但全球数以10万计的电脑仍无法抵挡EternalBlue。

去年，法国总统马克宏发动全球签署「巴黎呼吁网路空间信任和安全」承诺书，承诺在没有交战的情况下不发动恶意网路攻击，微软、谷歌和脸书跟50个国家都签署，但全球最常发动网路攻击的中国大陆、伊朗、以色列、北韩、俄国和美国，都没有签。