對於許多 Junior 工程師來說，我們在學習資安時，往往會將注意力集中在「漏洞（Vulnerability）」或「漏洞利用（Exploit）」上，例如 SQL 注入或緩衝區溢位。然而，最近一起涉及雲端數據倉庫巨頭 Snowflake 的大規模數據洩漏事件，給了我們一個極其重要的教訓：最危險的漏洞，往往不是程式碼裡的 Bug，而是糟糕的身分驗證管理。
這起事件導致至少 165 家組織受影響，超過 1 億人的個人紀錄外洩，而令人震驚的是，整個攻擊過程中完全沒有用到任何技術漏洞。
事件背景與損害規模
這起事件的核心在於攻擊者獲取了大量 Snowflake 客戶帳戶的憑證。根據美國司法部與調查公司 Mandiant 的分析，此次攻擊由一名代號為 UNC5537 的威脅行為者（Threat Actor）發起。
具體影響範圍包括： 受害對象：至少 165 家組織被入侵。 受影響人數：超過 1 億人的紀錄被曝光。 外洩數據內容：包含非內容類的通話與簡訊紀錄、薪資單紀錄、美國緝毒局（DEA）註冊號碼，以及護照號碼與社會安全號碼（SSN）。 典型案例：電信巨頭 AT&T 確認其 2022 年 5 月至 10 月間，幾乎所有行動用戶的通話與簡訊紀錄均從第三方雲端平台的工作區被盜取。 經濟損失：受害公司直接損失超過 950 萬美元（此數字不含其客戶的間接損失）。
技術分析：攻擊者是如何進來的？
如果沒有漏洞，黑客是如何進入高度安全的 SaaS 平台？答案非常簡單且令人沮喪：他們直接使用正確的帳號與密碼登入。
憑證獲取：Infostealer 惡意軟體 攻擊者並非透過暴力破解（Brute Force）來猜密碼，而是利用了 Infostealer（資訊竊取惡意軟體）。這類惡意軟體會潛伏在使用者電腦中，將瀏覽器儲存的密碼、Cookie 等敏感資訊直接打包傳回攻擊者的伺服器。
密碼輪轉（Password Rotation）的缺失 調查發現，部分被盜用的憑證早在 2020 年 11 月就被竊取。然而，這些帳號在隨後數年內從未更改過密碼。這意味著，一旦憑證進入黑市，只要帳號還在，攻擊者隨時可以用四年前的密碼登入。
MFA（多因素驗證）被禁用 這是此次災難最關鍵的防線崩潰。在所有被入侵的帳戶中，多因素驗證（Multi-Factor Authentication, MFA）均處於關閉狀態。如果開啟了 MFA（例如需要手機驗證碼或硬體金鑰），即便攻擊者擁有正確的密碼，也無法完成登入。
缺乏網路白名單（Network Allow Lists） Mandiant 指出，受影響的實例（Instances）都沒有設定網路白名單。在企業級雲端環境中，通常會限制僅允許來自公司特定 IP 範圍的請求。如果設定了白名單，攻擊者即便有密碼，除非他們能進入受害公司的內部網路，否則無法連線至 Snowflake 實例。
給工程師的啟示：為什麼這很重要？
這起事件證明了「身分即邊界」（Identity is the Perimeter）的觀念。在 SaaS 時代，你的數據不再被鎖在公司內部的機房裡，而是放在雲端。當你將數據交給 SaaS 供應商時，唯一的防線就是「驗證」。
實務上的風險點 依賴瀏覽器儲存密碼：Infostealer 專門針對瀏覽器的密碼管理器。建議使用獨立的密碼管理工具（如 1Password, Bitwarden）。 靜態密碼的危險性：密碼如果長期不更換，其價值在黑市上會持續存在。 MFA 是底線而非選項：在任何存取敏感數據的系統中，單純依賴密碼（Password-only）在現代資安環境中等同於裸奔。
Snowflake 的應對與限制
針對此漏洞（正確來說是管理漏洞），Snowflake 採取了以下措施： 強制 MFA：自 2024 年 10 月起，所有新創建的人類使用者帳戶預設強制開啟 MFA。 逐步淘汰單純密碼登入：Snowflake 計劃在 2026 年 8 月至 10 月之間，分階段將所有剩餘的人類使用者與服務使用者（Service User）移出「僅限密碼」的登入模式。
需要注意的限制： 目前的過渡期中，單純密碼登入尚未完全消失。此外，讀取帳戶（Reader accounts）與試用帳戶（Trial accounts）目前被排除在強制 MFA 的範圍之外，這可能是潛在的風險點。
工程判斷與總結
這起事件並非技術上的「突破」，而是一次成功的「機會主義攻擊」。攻擊者利用了使用者最基本的安全意識缺失：不換密碼、不開 MFA、不設 IP 限制。
作為開發者或系統管理員，你應該採取的做法： 強制執行 MFA：無論是內部系統還是第三方 SaaS，只要涉及生產數據，MFA 必須是強制性的。 實施最小權限與網路限制：盡可能設定 IP 白名單，限制存取來源。 推動密碼輪轉或改用金鑰/憑證：減少對長期靜態密碼的依賴。 監控異常登入：關注非預期地理位置或異常時間點的登入行為。
最終，安全不是靠單一的強大工具，而是靠多層防禦（Defense in Depth）。當你的第一道防線（密碼）失效時，第二道（MFA）和第三道（網路限制）才能決定這是一次小意外，還是一場影響一億人的災難。