Volvo 北美公司正式確認因人力資源軟件供應商 Miljödata 遭受勒索軟件攻擊，導致員工個人資料外洩，包括 87 萬個帳戶的敏感資料遭到竊取。這宗於 8 月 20 日發生的網絡攻擊事件，除了波及 Volvo 更影響 25 間企業和 200 個瑞典市政機構，成為 2025 年最嚴重的第三方供應鏈資安事件之一。
87 萬帳戶敏感資料遭竊取
DataCarry 勒索軟件集團於 8 月 20 日成功滲透 Miljödata 的雲端基礎設施，該瑞典 IT 服務供應商為約 80% 瑞典市政機構提供人力資源管理系統。攻擊者主要鎖定 Adato 康復支援系統和 Novi 人資管理平台，這些系統處理醫療證明、復健事務及工傷報告等敏感資料。Miljödata 直到 8 月 23 日才發現遭受攻擊，而確認 Volvo 資料受影響的時間點則延後至 9 月 2 日，顯示供應鏈事件回應的時效性挑戰。
根據資料外洩追蹤服務 Have I Been Pwned 的統計，這次攻擊外洩的資料包含 87 萬個獨立電郵地址、姓名、實體地址、電話號碼、政府身份證件、出生日期及性別資料。部分案例中，攻擊者還取得就業資料、員工編號、病假記錄等機密資料。網絡安全專家指出，如此大規模的個人識別資料外洩，為身份盜竊和社交工程攻擊創造了極佳條件。
企業危機管理最佳實務
Volvo 北美的事件應變策略展現了現代企業面對第三方資料外洩的標準作業程式。公司在接獲通知後立即向麻薩諸塞州檢察長辦公室提交正式違規報告，明確說明攻擊者透過 Miljödata 系統存取員工記錄，而非直接入侵 Volvo 內部網絡。這種透明的溝通方式除了符合法規要求，更有助於維護企業信譽和客戶信任。
在補救措施方面，Volvo 為受影響員工提供 18 個月免費身份保護和信用監控服務，並建議員工定期檢查帳戶對帳單和信用報告。資安專家 Sandra Helgadottir 向瑞典媒體確認，這類主動式防護措施已成為資料外洩事件的行業標準，有效降低後續身份盜竊風險。企業法務專家指出，Volvo 的快速回應和全面補償方案，可能大幅減少潛在的法律訴訟和監管罰款。
供應鏈資安脆弱性分析
這次 Miljödata 攻擊事件突顯了第三方供應商管理的關鍵弱點。除了 Volvo，受影響企業包括斯堪地那維亞航空公司 SAS、金屬公司 Boliden，以及隆德大學、林雪平大學等知名學府。網絡安全研究員分析指出，單一 IT 供應商服務如此廣泛的客戶群，一旦遭受攻擊便形成「級聯效應」，這種集中化風險已成為現代數碼經濟的致命弱點。
DataCarry 勒索軟件集團在 9 月 13 日將 Miljödata 加入其 Tor 暗網洩漏站點，隔日即公開部分竊取資料，展現出當前勒索軟件集團「雙重勒索」策略的成熟度。資安專家表示，這種「先加密再威脅公開」的手法，迫使受害企業面臨營運中斷和聲譽損害的雙重壓力，大幅提升攻擊者的談判籌碼。根據 Cybersecurity Ventures 的統計，2025 年全球勒索軟件損失預計將達到 2,650 億美元（約港幣 2.067 兆元），較 2024 年增長 15%。
全球資安治理新趨勢
這次事件發生在歐盟 GDPR 和各國資料保護法規日趨嚴格的背景下，突顯企業需要重新審視第三方風險管理框架。瑞典資料保護機關 Integritetsskyddsmyndigheten 已接獲約 70 宗相關投訴，預期將對 Miljödata 展開全面調查。法規專家預測，未來企業將面臨更嚴格的供應商資安標準要求，包括強制性滲透測試、即時監控和事件通報機制。
從技術層面來看，雲端服務供應商的資安架構正朝向「零信任」模式發展，要求對每個存取請求進行身份驗證和授權檢查。Miljödata 在攻擊後立即實施強化安全措施，與網絡安全專家合作調查事件並防範類似攻擊，這種積極的安全態勢調整已成為行業共識。資安投資銀行分析師指出，企業在資安技術的支出預計將在 2026 年達到全球 IT 預算的 15%，較目前水平增長一倍。
這宗 Volvo 資料外洩事件為企業數碼轉型敲響警鐘，顯示供應鏈資安已成為董事會層級的戰略議題。隨著 AI 和自動化技術在人資管理系統中的普及，未來類似攻擊的影響範圍和破壞程度可能更為嚴重。企業領導者必須建立全面的第三方風險管理體系，將資安要求納入供應商選擇和合約條款中，才能在日益複雜的威脅環境中保護核心資產和客戶信任。
資料來源：
Security Affairs
SecurityWeek
Cybernews
The Register
NotebookCheck
