Ubike爆資安危機！悠遊卡刷車柱恐泄個資　先知工程師反被當內鬼

圖、文／鏡週刊

YouBike在4年前大當機，業者懷疑是自家工程師惡搞所致，憤而報警處理，如今案情出現大逆轉！臺中高分院認爲，無直接證據顯示是特定員工所爲，判決工程師無罪定讞，但卻罕見的嚴厲批評業者資安警覺不足，不但一堆員工可循公用帳密操控管理主機，就連職離者也可使用。

▲YouBike車柱程式由中國北京科技公司研發，資安管理若未做好，不禁讓人擔心是否連持悠遊卡借車時都可能個資外泄。（圖／鏡週刊提供，下同）

此外，院方還認爲，業者發現全案是人爲造成，卻未積極限制登入權限，以利證據保存，連癱瘓的車柱控制器程式都由來自中國北京的科技廠商研發，資安風險讓人憂心。

離譜的是，合議庭意外發現，微程式公司的資安管理明顯有疏失，離職員工竟仍可使用公用帳密登入主機，且就在案發前一天，還有相關登入主機的行爲，並有原始的log紀錄爲憑，遭法院嚴詞批評，演變成業者因YouBike癱瘓欲抓鬼不成，卻反被法院倒打一耙。

由於攸關民衆權益，法官罕見地在判決書嚴厲批評，微程式公司未妥善控管登入帳號權限範圍，資安警覺度已有不足，且於發覺全案乃人爲所致，卻未積極限制登入權限，以求進一步保存證據，以致無從認定是誰以公用帳號登入犯案，縱使廖嫌具有修改程式能力，也無法因此認定是他所爲。

除了人爲嚴重疏忽外，合議庭還發現YouBike的車柱控制器歷來更新程式，竟外包由中國北京科技廠商「北京友我公司」開發原始碼，完成後轉成十六進位檔，再透過「騰訊QQ」通訊軟體傳送回臺，交由微笑單車的系統承包商邱姓工程師，由邱將十六進位檔透過該公司程式，轉成二進位檔進行各種操作測試，以確認該程式是否可運作正常，之後才進行後續軟體更新程序。

根據北京友我科技公司的官網介紹，該公司規模不大，成立約11年，員工數介於5到50人間，業務範圍包括智慧卡和磁卡、作業防護產品及門禁考勤系統銷售，並未提及任何實績或詳述該公司有何本領可拿下YouBike車柱程式開發案，不禁讓人納悶難度不高的車柱軟體案爲何要大費周章委由中國廠商設計，且若未做好資安管理，是否也會造成消費者持悠遊卡或一卡通騎乘YouBike時，因實名制而有個資外泄的風險。

本刊調查，由於YouBike位在彰化及員林火車站前的場站較大，借、還車次數頻繁，消費者靠卡借車時經常出現故障代碼而無法借車，業者計劃更新程式，先挑選在臺中福星公園、重慶公園、大甲體育館等場站更新測試成功後，決定在2016年8月31日凌晨1點，全面更新中彰地區的停車柱控制器程式。

到了更新前一天，業者還用電子郵件通知公司48位同仁有關程式測試結果及更新時間，結果軟體一更新就立刻癱瘓，業者急忙派人搶修2天才恢復正常，估計損失超過2千萬元，及影響數十萬名通勤族的權益。

檢警查出，YouBike大當機是駭客事先以公用帳密，從虛擬跳板主機登入管理主機，再植入「程式炸彈」，導致車柱程式更新時，伺服器下載錯誤檔案而癱瘓，不過，跳板主機的公用帳密除了供研發主管使用，連其他維修工程師及研發部門等共約10位同仁都知道帳密可任意登入，因而全成了疑犯。

檢警獲報後，發現廖姓工程師曾因不願夜間輪班及工作態度問題被主管關切，加上他又在系統當機的前一天下午，與同事通訊對話提到「我希望出包」、「上面的纔有警覺」等語，還稱已找好後路，可安然離職並領資遣費，並在公司發現log紀錄被刪除前，上網查詢「駭客入侵」「如何抓駭客」「內鬼電腦偵查」等紀錄，且拒絕測謊，因此被懷疑是內鬼而遭起訴。

不過，他向法官供稱，因工服部僅有3名工程師，他一定會被調查，一方面基於好奇，另一方面也想爲公司找出兇手，才上網搜尋相關討論，法官認爲，縱使他曾提到「可能公司要倒了」「不關我的事」「我烙跑了」或表明因疲勞而不願前往搶修等事不關己的言論，但隔天仍前往搶修，並非完全棄公司於不顧，加上關鍵的IP犯案位址遭刪除，缺乏直接證據可證明他犯案，因而判他無罪。

至於關鍵的資安問題，法官認爲既然是人爲造成，業者卻未積極限制登入權限，以利證據保存，且連癱瘓的車柱控制器程式，都是由中國北京的科技廠商研發。此外，若未做好資安管理，是否會造成消費者持悠遊卡或一卡通騎乘YouBike，因實名制而導致個資外泄。

Youbike全臺共設有上千個場站，設置地點擴及臺北市、新北市、桃園市、新竹市、苗栗縣、臺中市、彰化縣及高雄市等地，最新的會員卡數高達1300萬，連騎乘次數也突破1億7000萬餘次，儼然已成爲都會區不可或缺的交通工具之一。

近來臺北市政府計劃YouBike升級爲2.0引發爭議，過去的刷卡電腦將改放到自行車上，消費者直接刷車進行解鎖，除了二個版本系統不相容，連新式的停車椿也與1.0版不同，市府還要再花大錢換車並蓋停車椿，不只新北市長侯友宜直言「浪費公帑」，連市議員也質疑市長柯文哲被廠商牽着走，相關單位務必妥善規劃，管理更要到位，才能落實「微笑單車、幸福城市」的設計初衷。

更多鏡週刊報導【Ubike資安危機】Ubike全臺大當機掀風暴　法院揪出資安大危機【Ubike資安危機1】車柱軟體設計來自中國小公司　程式原始碼竟用騰訊QQ傳【Ubike資安危機3】當年靠鍵盤破箱屍命案　前名檢另一身分竟是駭客殺手