《零時差攻擊》讀後心得：比核武更致命的終極武器
一秒癱瘓世界！揭露21世紀數位軍火地下產業鏈的暗黑真相
圖文好讀 https://readingoutpost.com/zero-day/
如果真的有第三次世界大戰，你認為造成世界毀滅的起因是什麼？你腦中的畫面是核彈爆
炸之後的蕈狀雲嗎？還是某場戰爭之後滿目瘡痍的斷垣殘壁？真正的答案可能跟你想的相
距甚遠，它是一個你看不見的東西：「網路資安攻擊」。
這本書在說什麼？
《零時差攻擊》的作者是《紐約時報》的資深網路安全記者妮可．柏勒斯（Nicole
Perlroth），在這本書裡她揭露了一個鮮為人知的地下產業鏈「零時差漏洞的數位軍火庫
」。其中牽扯到俄羅斯對美國核電廠、機場和選舉的網路攻擊，北韓對索尼影業、銀行和
醫院的網路攻擊，就連美國本身也是這些數位軍火的關鍵玩家。
「零時差」（Zero Day）是軟體或硬體中「尚未」被修補的瑕疵。只要這個零時差漏洞尚
未曝光，軟體和硬體公司自然不會去修復它（因為他們根本還不知道有這漏洞），網路攻
擊就能持續進行。這種攻擊包含了資料竊取、資料監聽、檔案銷毀…等，各種虛擬甚至實
體的破壞，這種攻擊就被稱為「零時差攻擊」。
作者花了七年時間追蹤300位關鍵人物，說明了這種原本流傳於駭客之間的工具，如何搖
身一變成為價值數億的國家級軍武。作者深度剖析了歷年發生過的各大資安事件，串連起
了背後複雜離奇的因果關係。令人不安的是，這場數位軍火競賽，已經從國家與國家之間
的較量，滲透到跟我們每個人切身相關。
我為什麼想看這本書？
以前我還在台積電任職的時候，經歷過2018年令所有人餘悸猶存的「想哭病毒」（
WannaCry）事件。這場號稱台灣史上最大的資安事件，造成了實質52億元的損失，以及後
續數不盡的系統補救行動。這隻病毒透過攻擊 Windows 的零時差漏洞，快速擴散和癱瘓
了許多電腦，最後導致工廠停擺。我不免產生好奇，這些攻擊到底從何而來？以後還會不
會發生？更糟的狀況會是什麼？
去年，我讀完前國安局外包雇員愛德華．史諾登（Edward Snowden）的自傳《永久檔案》
之後，才知道美國國安局濫權利用稜鏡計畫，監控全世界每天超過17億筆的網路與通信資
料，窺視全球所有人的一舉一動。直到最近，才知道史諾登洩密的東西只是冰山一角。
如同《零時差攻擊》書中引述了國安局內部人員對史諾登洩密事件的評論：「史諾登只是
一個低階管理員，國安局的能耐遠遠超過他所洩漏的部分。」漸漸地，在我閱讀這本書的
過程中，得以窺見這個黑暗且不能見光的世界。令我不寒而慄的是，美國雖然擁有非常強
大的數位軍力，但是一旦當這些軍力洩漏出去，可能會帶來了什麼可怕的後果？接下來介
紹幾個讓我印象深刻的故事，而且，我們最害怕的事情，已經發生了。
化解伊朗核武危機
2007年，美國發現了伊朗在過去十年時間偷偷建立了核濃縮廠，這表示伊朗擁有了建造核
武的能力。以色列也急著要美國快點想出辦法，否則以色列就要發動軍事攻擊。美國當時
的總統小布希苦思著對策。第一，美國無法透過外交手段說服伊朗。第二，美國在中東其
他區域的軍事負擔已經太重。小布希把腦筋動到第三種選項上面：零時差攻擊。
詳細分析局勢之後，美國決定瞄準核濃縮廠裡面的關鍵設備「離心機」進行破壞。離心機
每分鐘以超音速旋轉超過十萬次，用來分離出鈾的同位素。美國打算對整個機構最脆弱的
部分動手腳，藉由異常的轉速，來漸漸破壞離心機的「旋轉輪」。美國國家安全局的駭客
打造了一隻名為「震網」（Stuxnet）的超級電腦蠕蟲，並透過以色列特務把蠕蟲弄進去
核設施的其中一台電腦。
震網利用了微軟 Windows 的四個零時差漏洞，以及西門子 PLC 工業軟體中的三個零時差
漏洞，開始對離心機的轉速動手腳。這隻蠕蟲很狡猾，它被設計來「讓維修人員發瘋」，
也是就是說它可以躲過平常的監測，慢慢地破壞旋轉輪的穩定度，等到離心機真的壞掉時
才被發現。最後，這支蠕蟲破壞了上千座的離心機，讓伊朗的核武野心倒退了好幾年，一
個無形的零時差攻擊竟然摧毀了伊朗的核武計畫。
隨著震網的感染傳播開來，從中東、歐洲、美國都開始發現有感染的蹤跡，世界各國的資
安公司才警覺到這件事情，然後發布緊急公告和更新程式。但是，震網就像是開啟了「潘
朵拉的盒子」，在傳統戰爭中無法與美國匹敵的國家，似乎都了解那些程式碼用來做些什
麼。
作者說：「或許美國阻止了一場傳統形式的戰爭，然而在向全世界散播震網的過程中，卻
也開啟了一道全新的戰線。」如同二戰末期美國在日本投下的第一顆原子彈之後開啟的核
武時代，當有人使用了一種新式武器，這種新式武器將不會被收回原處。
零時差攻擊浮上檯面
2015年在美國加州發生的節日派對槍擊掃射事件，槍手法魯克（Farook）和馬立克（
Malik）手持步槍殺害了十四人，重傷二十二人。聯邦調查局曾要求蘋果公司駭入法魯克
的 iPhone 協助查案，但是蘋果執行長提姆．庫克（Tim Cook）堅守客戶的隱私權，拒絕
交出駭入手機後門的手段。兩方甚至對簿公堂，社會輿論也鬧得沸沸揚揚。
但是，在輿論吵到最熱之際，司法部突然撤銷了這個案件，宣稱已經找到了取得法魯克手
機資料的辦法。原來，是一位駭客找上了聯邦調查局，提供一了一種零時差駭入 iPhone
手機的方法，並獲得了 130萬美元左右的報酬。聯邦調查局事後也不願意幫助蘋果修復這
個漏洞。在這次的事件裡，美國政府等於第一次公開承認他們支付高額報酬，請私人駭客
入侵大家廣泛使用的科技軟體。
其實在這次事件之前，包含美國國家安全局在內的許多政府機構，就已經在檯面下購買各
種零時差漏洞，並用來打造成入侵和攻擊敵人的程式工具。只是他們最不希望發生的事情
「如果這些工具洩漏到敵人手上會怎樣？」，最後還是發生了。
2016年，一個名為「影子仲介商」的組織，把美國國安局最先進、最複雜的二十款零時差
軍械庫洩漏到網路上兜售，任由其他國家、網路犯罪或恐怖分子取用，強化他們的網路軍
團。截至今日這個組織仍然沒有被查獲。作者評論道：「如果說史諾登洩密的資料只是投
影片，那麼影子仲介商洩密的軍械庫，就是實實在在的子彈。」可怕的是這些子彈，已經
開始被有心人士利用。
俄國駭翻了烏克蘭
2017年6月27日，俄羅斯用國安局的網路武器向烏克蘭全面開火，這是歷史上最具破壞力
且代價最高的網路攻擊。一瞬間，烏克蘭到處都是變黑的電腦螢幕，人們無法從自動提款
機領錢、無法在加油站刷卡、無法寄送或接收電子郵件、無法在網路上購買車票或雜貨、
無法領到薪水。他們也無法監控車諾比核電廠的輻射量。烏克蘭人對這一天仍然餘悸猶存
。
截至2019年作者親自訪問烏克蘭時，俄羅斯那次攻擊造成的損失累計已經超過100億美元
。烏克蘭的航運和鐵路系統還沒恢復滿載量，人們仍在尋找在貨運追蹤系統關閉時遺失的
包裹。大家還沒收到在那次攻擊中被延誤的退休金支票。誰該領多少金額等等的電腦紀錄
全部被刪除了。
這場攻擊被取名為「NotPetya」，因為烏克蘭資安專家一開始以為是一種名為 Petya 的
勒索軟體，後來才發現 NotPetya 是俄羅斯駭客的特別設計，看起來像是普通的勒索軟體
，但完全不是這麼回事。即使你支付贖金，也沒有機會取回任何資料。因為這是一種設計
來進行大規模毀滅的國家武器。諷刺的是，這些武器的背後，都已經被證實有國安局軍械
庫的痕跡。
作者訪談許多資安專家之後，得到了一個令人不安的評論：「這只不過是俄羅斯的一場模
擬演習」。烏克蘭的網路和自動化程度還算是落後的程度，如果一樣規模的攻擊發生在高
度網路和自動化的……美國，災情會如何？這本書揭露了網路戰爭最大的秘密：地球上在
網路攻擊領域擁有最大優勢的國家，也恰好是最弱勢的國家之一。
後記：世界將如何終結？
《零時差攻擊》這本書厚達480頁的書，讀起來就像是一部精采連貫的美劇，充滿懸疑和
抽絲剝繭的劇情張力（會改編成電影）。只不過，這不是虛構的情節，而是每天都在真實
世界上演的數位攻防戰。我覺得讀完之後的感嘆是，這些零時差攻擊已經等同於國家級的
武器，但是這些武器卻在「非戰爭時期」被用來攻擊平民和民間企業。零時差攻擊往往會
演變成無差別攻擊。
對於我們個人而言，可以怎麼保護自己？基本的防守：採用雙重認證登入、時常更新軟體
、不要點擊來路不明的連結、不要開啟奇怪的網站和檔案。絕對的防守：沒有。說實話，
沒有「任何」防毒軟體擋得住零時差攻擊，只要有人想駭你，沒有駭客做不到的事情。
隨著更多國家加入這個戰局，其複雜和傷害的程度只會愈來愈大。更可怕的是，愈是極端
和獨裁的政權，就愈喜歡使用這種相對廉價、無形的武器來對付自己的人民。這是一個不
斷邁向失控邊緣的地下戰場，而且已經不再由美國掌控大局，更遑論，下一個遭受重大打
擊的，很可能就是美國自己。
如同電子郵件附加檔案的發明人納森尼爾．波倫斯坦（Nathaniel Borenstein）說的：「
大多數的專家都同意，這個世界最有可能的毀滅方法是因為意外。這就是我們得以發揮作
用之處，我們是電腦專業人員，我們專門製造意外。」第三次世界大戰很可能不是哪一位
總統按下的核武發射鈕，而可能是某個國家的網路駭客不小心觸動的大規模零時差攻擊。
這就是這本書告訴我，世界將會如何終結的故事。
延伸閱讀
如果你對「資訊安全」的概念仍然非常陌生，以下這段十分鐘的 YouTube 教學影片「不
明的網址別亂點！萬一不小心點了該怎麼辦？又該如何防範？」可以幫你快速建立一些基
本觀念。只是我還沒找到比較完整，又夠簡單、夠白話文的資安教學資源（我們個人能做
的已經很有限了，連教學資源都這麼有限…）。如果大家有推薦的教學資源，歡迎留言告
訴大家。
防範釣魚網址的教學 https://youtu.be/UhhFUVzEMJE