新加坡面臨前所未見的關鍵基礎設施網路威脅
新加坡目前正面臨迄今最嚴重的網路安全危機之一。一個名為 UNC3886、據專家指出與中國有關的高階間諜組織，正鎖定這個城市國家的關鍵基礎設施。官員形容這波持續中的攻擊既嚴重又不間斷，已引發政府、產業界與民眾的警戒，也凸顯在日益數位化的世界中，先進網路攻擊者帶來的風險正不斷升高。
目錄
新加坡國家安全統籌部長尚穆根（K. Shanmugam）公開承認這項威脅，表示 UNC3886 對新加坡國家安全構成重大危險。他警告，該組織的活動可能危及基本服務，干擾數百萬人的日常生活。由於安全考量，攻擊的具體細節仍列為機密；政府罕見地公開點名該組織，也凸顯事態嚴重，以及東南亞網路戰爭不斷演變的局勢。
UNC3886 是誰？了解幕後間諜組織
UNC3886 是一個進階持續性威脅（APT）行動者。在網路安全領域，這個詞用來描述技術高超、資源充足，並長期祕密執行網路行動的組織。網路安全公司 Mandiant 於 2022 年首次發現 UNC3886。此後，該組織以高超的技術能力，以及鎖定美國與亞洲國防、科技和電信產業高價值目標而迅速聲名大噪。
「UNC」代表「未分類」或「尚未歸類」，表示該組織的活動雖有詳盡紀錄，但尚未正式歸屬於已知的特定國家駭客組織。不過，Mandiant 與其他網路安全專家一再指出 UNC3886 與中國有關，依據包括其行動模式、目標選擇與技術指標。
UNC3886 以耐心、適應力強及善用先進技術聞名。該組織專門利用所謂的零時差漏洞，也就是軟體或硬體中廠商尚未發現、且沒有修補程式可用的安全弱點。UNC3886 鎖定 Juniper Networks、Fortinet 和 VMware 等公司的路由器、防火牆及虛擬化平台等網路設備，藉此滲透網路、植入客製化惡意程式，並長時間不被察覺。這種做法讓該組織得以竊取敏感資料、監聽通訊，並可能干擾基本服務。
進階持續性威脅（APT）如何運作？
UNC3886 這類 APT 與一般網路犯罪者有幾項重要差異：
- 長期存取：APT 會試圖取得目標系統的未授權存取權並長期維持，時間可能長達數月甚至數年，而且往往不被察覺。
- 隱匿與規避：它們會使用客製化惡意程式、受害者系統上已有的合法工具，以及精密技術，避開安全軟體的偵測。
- 策略性鎖定目標：APT 不以迅速獲利為目標，而是著重蒐集情報、從事間諜活動，以及擾亂或破壞關鍵基礎設施的能力。
- 零時差漏洞利用：APT 利用先前未知的漏洞，得以繞過最新的安全防護措施。
UNC3886 的行動展現了這些特徵，即使對網路安全最成熟的國家而言，也是難以應付的對手。
新加坡的關鍵基礎設施：哪些方面面臨風險？
新加坡的關鍵資訊基礎設施（CII）涵蓋支撐國家基本服務的核心系統。政府正式指定 11 個領域為關鍵資訊基礎設施，包括：
- 能源
- 水務
- 銀行與金融
- 醫療保健
- 交通運輸（陸路、海事、航空）
- 政府
- 資訊通信
- 媒體
- 安全與緊急服務
其中任何領域遭到干擾，都可能對社會與經濟造成連鎖效應。例如，電網若遭成功攻擊，可能導致供電中斷，影響醫院、交通系統與金融機構。同樣地，醫療保健或政府資料庫遭入侵，可能洩露敏感個人資料；2018 年 SingHealth 資料外洩事件便影響 150 萬名病患，其中包括當時的總理。
尚穆根部長強調，這類攻擊可能造成大範圍干擾：
對我們的系統與基礎設施發動攻擊，將影響我們如何營運、選擇哪些供應商，以及供應鏈的組成。這些都必須重新檢視；如果我們認為無法信任相關供應商或供應鏈，就可能選擇不再使用。
除了立即造成服務中斷，針對關鍵資訊基礎設施的網路攻擊也可能侵蝕公眾信任、損害新加坡作為全球商業樞紐的聲譽，並為竊取戰略資料或破壞公共服務提供可乘之機。
技術解析：UNC3886 如何滲透並維持存取
UNC3886 的行動方式展現出對網路內部機制的深入了解，並以隱匿行蹤為重點。該組織曾被發現利用廣泛使用的網路設備與虛擬化技術中的零時差漏洞。例如，2023 年 UNC3886 利用 Fortinet 防火牆漏洞（CVE-2022-41328）鎖定政府機構，部署客製化後門。2025 年 3 月，該組織針對 Juniper Networks 的 Junos OS 路由器發動攻擊，展現其竄改系統日誌，並在最初遭偵測後仍維持存取的能力。
進入網路後，UNC3886 經常植入被動式後門，也就是能讓攻擊者遠端存取、又不會觸發警報的惡意軟體。該組織也善於利用受害者系統上原有的合法管理工具，使其活動混入正常作業。這種做法稱為「就地取材」，增加了偵測與清除的難度。
網路安全公司 Tenable 資深研究員納朗（Satnam Narang）說明了這項挑戰：
UNC3886 這類 APT 組織耐心十足、適應力強，而且技術高超。它們利用虛擬化平台、防火牆和路由器中的零時差漏洞滲透系統、植入惡意程式與 rootkit、竊取憑證，並在網路內橫向移動，讓人難以察覺。
新加坡網路安全局（CSA）表示，已在該國部分關鍵資訊基礎設施中偵測到 UNC3886 的活動，並正積極調查、監控，且與受影響組織分享威脅情報。
新加坡的應對：政府行動與產業動員
新加坡政府迅速且公開地應對這項威脅。網路安全局與其他相關主管機關正和關鍵資訊基礎設施業者密切合作，以遏止攻擊、評估漏洞並強化防禦。官員尚未透露入侵的全部範圍或後果，但強調事態嚴重，並呼籲持續保持警戒。
網路安全局執行長高威（David Koh）強調，保護新加坡網路空間必須具備敏捷應變能力與堅定投入。他指出，新加坡近 80% 的組織都曾遭遇某種形式的網路攻擊，凸顯威脅無所不在。政府也正檢視供應商信任與供應鏈安全政策，並意識到依賴可能遭入侵的技術會帶來系統性風險。
新加坡的應對措施包括：
- 跨領域持續監控並分享威脅情報
- 與國際網路安全公司及合作夥伴協作
- 定期進行安全稽核與事件應變演練
- 透過公眾宣導活動提升網路安全衛生
過去的事件也曾促使政府採取類似應對措施，包括 2014 年外交部資料外洩、2017 年針對本地大學的攻擊，以及 2018 年 SingHealth 資料外洩事件。2024 年，一起全球殭屍網路感染事件影響新加坡 2,700 台裝置，但未波及關鍵資訊基礎設施。這些經驗再次凸顯，所有領域都需要健全且具適應力的防禦措施，以及重視網路安全的文化。
中國的回應與地緣政治背景
中國一貫否認參與網路間諜活動，包括被歸因於 UNC3886 的行動。中國駐新加坡大使館對媒體報導將該組織與中國連結表達強烈不滿，表示中國反對一切形式的網路攻擊，本身也是國際駭客行動的受害者。
儘管中國否認，網路安全專家與西方情報機構長期以來仍持續記錄與中國有關的 APT 組織在全球鎖定政府、企業及關鍵基礎設施的活動。近年來，其他與中國有關的組織，例如「伏特颱風」（Volt Typhoon），也被指涉及攻擊新加坡機構，包括該國最大的行動電信業者新加坡電信有限公司。
更廣泛的地緣政治背景，是網路競爭與間諜活動日益加劇，尤其是在亞太地區。新加坡將自身定位為全球科技與金融樞紐，因此成為受國家支持的駭客鎖定的誘人目標；這些駭客尋求戰略優勢、經濟情報，或在外交談判中取得籌碼。
更廣泛的影響：網路戰爭浪潮升高
針對新加坡關鍵基礎設施的攻擊並非個別事件，而是全球網路衝突升高趨勢的一環。2021 年至 2024 年間，針對新加坡的疑似 APT 攻擊數量增加逾四倍，反映全球網路攻擊日益猖獗的趨勢。台灣、日本、南韓與香港等區域內其他地區，也通報了類似行動，目標包括戰略產業與公共服務。
網路安全如今已是國家安全、經濟穩定與公眾信任的核心支柱。數位科技愈來愈深入日常生活，網路攻擊可能造成的影響也呈指數級擴大。對電網、供水系統、醫療網路與金融機構發動攻擊，可能立即對民眾生活造成實質影響；長期間諜行動則可能削弱競爭優勢與國家主權。
專家警告，網路空間中的和平與衝突界線愈來愈模糊。與傳統戰爭不同，網路攻擊可以匿名發動、瞬間跨越國界，並在不發一槍的情況下造成損害。這個「看不見的戰爭」新時代，需要新的策略、國際合作，以及對韌性與準備工作的持續投入。
經驗教訓與未來方向
新加坡應對 UNC3886 的經驗，為全球各地政府、企業與個人帶來幾項重要啟示：
- 保持警戒至關重要：即使科技最先進的國家，也難以避免遭遇高階網路攻擊者。持續監控、分享威脅情報與迅速應變不可或缺。
- 供應鏈安全不容忽視：必須持續評估對科技供應商與服務提供者的信任，因為廣泛使用的產品若存在漏洞，可能遭大規模利用。
- 公私部門合作：有效的網路安全有賴政府機關、民間企業夥伴與國際盟友協調合作。
- 網路安全衛生與意識：定期更新軟體、使用高強度密碼及訓練員工等基本安全措施，仍是防範許多攻擊的根本。
- 做好應對服務中斷的準備：組織必須制定健全的事件應變計畫，並具備在遭受攻擊時維持基本服務的能力。
新加坡持續調查並應對當前威脅之際，這起事件也為所有在數位轉型與網路風險中尋求出路的國家敲響警鐘。
摘要
- 新加坡正面臨 UNC3886 對其關鍵基礎設施發動的大規模持續網路攻擊；專家指出該組織與中國有關。
- UNC3886 是一個進階持續性威脅（APT）行動者，以利用零時差漏洞及鎖定高價值領域聞名。
- 這波攻擊凸顯能源、供水、醫療保健與金融等基本服務的脆弱性，並可能造成大範圍干擾。
- 新加坡政府正積極應對，與產業界及國際夥伴合作遏止威脅並強化防禦。
- 中國否認涉入，但這起事件反映亞太地區網路戰爭與間諜活動日益升高的大趨勢。
- 專家強調，面對不斷演變的網路威脅，必須保持警戒、確保供應鏈安全、促進公私部門合作，並做好充分準備。
