緯創旗下軟體外包商也被駭了——當您的外包廠商出事,您的專案資料在哪裡?

軟體外包商自己也會被駭——緯致資安事件給的第一課

10 月 9 日,緯創資通旗下的軟體外包服務商緯致資訊公告,公司在 10 月 8 日偵測到內部系統異常存取,部分員工資訊與公務聯繫資訊遭未經授權存取。公司已採取網路阻斷、系統隔離及防護措施,並委請外部資安機構進行數位鑑識。

緯致是台灣知名的軟體外包服務商,專門承接企業的軟體開發與維運專案。這起事件提醒了一個容易被忽略的風險:當您把專案外包出去,您的程式碼、客戶資料、API 金鑰,實際上都存放在外包商的伺服器、員工電腦、或雲端帳號裡。如果外包商自己的資安防護出了問題,您的專案資料可能一併暴露。

對正在評估外包、或已經把專案交給外包商的中小企業主來說,這不是危言聳聽——這是該在合約簽訂前就問清楚的四件事。

簽約前該問清楚的四件事

一、程式碼版本庫(repository)的擁有權在誰手上?

很多外包合約會寫「交付原始碼」,但沒有明確約定版本庫的擁有權與存取權限。如果程式碼一直放在外包商的 GitHub 或 GitLab 帳號底下,您只是在專案結束時拿到一份「當下的程式碼壓縮檔」,而不是完整的開發歷程與版本控制。

建議做法:要求外包商在您自己的 GitHub/GitLab 組織帳號底下建立專案版本庫,外包團隊以協作者身分加入。這樣即使合約結束、外包商離開,您仍然完整擁有所有 commit 歷史、分支記錄與程式碼。

二、API 金鑰、資料庫密碼、雲端帳號,誰在管理?

外包開發過程中,團隊會需要存取您的正式或測試環境——可能是 AWS 帳號、資料庫連線密碼、金流 API 金鑰、或 LINE Bot 的 Channel Secret。如果這些機敏資料存放在外包商的密碼管理工具、或寫死在他們交付的程式碼檔案裡,一旦外包商遭駭,您的系統同樣暴露在風險中。

建議做法:使用您自己管理的 secrets 管理服務(例如 AWS Secrets Manager、Azure Key Vault、或 Doppler),只開放外包團隊「讀取」權限,並在專案結束後立即 rotate 所有金鑰。不要讓外包商用他們自己的帳號儲存您的機敏資料。

三、合約裡有沒有「資料外洩通知義務」條款?

緯致這次事件,公司在偵測到異常後立即公告並委請鑑識——這是負責任的做法。但並非所有外包商都會主動告知客戶。如果您的專案資料存放在外包商環境中,而他們遭駭卻沒有及時通知您,您可能錯過黃金應變時間。

建議做法:在合約中明確約定,若外包商發生資安事件、且可能影響到您的專案資料或系統存取權限,外包商必須在24 或 48 小時內書面通知您,並提供初步影響範圍評估。這是基本的風險管理,不是對外包商的不信任。

四、專案結束後,外包商會刪除您的資料嗎?

很多外包合約只寫「交付程式碼」,卻沒有約定外包商必須刪除留存在他們環境中的客戶資料、測試資料、或備份檔案。結果專案早已結案,您的資料卻還散落在外包商的舊伺服器、離職員工的電腦、或雲端備份裡。

建議做法:合約中加入「資料返還與銷毀條款」,要求外包商在專案交付後,提供書面確認已刪除所有您的資料(包含備份、開發環境快照、測試資料庫),或將資料完整移交給您。這不只是資安要求,也是個資法遵的基本義務。

外包不是信任問題,是風險管理問題

緯致這次事件目前看起來影響範圍有限,但它提醒了所有正在外包、或考慮外包的企業主:外包商的資安防護能力,直接影響您的專案安全。這不是質疑外包商的專業,而是正常的風險管理。

如果您手上已經有外包進行中的專案,可以花十分鐘檢視一下:

• 程式碼版本庫在誰的帳號底下?
• 正式環境的 API 金鑰、資料庫密碼,誰有存取權?
• 合約裡有沒有資料外洩通知義務?
• 專案結束後,外包商會刪除您的資料嗎?

這四個問題,能幫您在下一次外包時,把風險降到最低。如果您想了解我們如何協助企業安全地接手外包專案、或重新掌握專案資料主控權,歡迎與我們聯繫。

──
AI 上線專家 ｜ 陪您把想上線的系統,安穩送到正式環境。了解服務內容 →