INCIDENT DESCRIPTION
事件描述
事件背景
xhakyialk SMP 的交通類插件系統，長期由技術組負責維護，其中包含軌道冰船位置路線顯示系統、站點預報系統、動態班距計算系統、跨維度交通節點線上地圖同步服務。這些系統需要與伺服器後台進行频繁的資料交換，因此相關維護人員通常被授予較高階的 API 存取權限與部分資料庫讀取權限。太歐（KYSoiu19111）曾任技術組高級專員，主要負責上述交通類插件之維護與除錯，對系統架構、節點佈署與內部 API 相當熟悉。然而，其權限範圍本應僅限於交通插件之設定與維運，並不包含玩家註冊資料、身分驗證憑證或後台管理介面之存取。近日，技術組在例行權限審計中，發現一組異常的 API 呼叫紀錄，其來源憑證與太歐曾經使用過的維護帳號高度相關，因而觸發內部調查。
事件經過
經管理團隊查證，太歐（KYSoiu19111）於近日利用其對交通插件系統的熟悉，試圖越權操作，意圖駭入伺服器後台並竊取玩家註冊資料。其操作路徑並非直接攻擊後台登入頁，而是先從交通插件所依賴的服務帳號切入，利用一組未即時輪替的舊憑證，嘗試向內部 API 閘道請求更高權限的存取權杖。隨後，太歐透過修改插件設定檔中的回呼位址，試圖將部分資料請求導向一個外部中轉節點，藉此規避內部流量監控。其目標包括玩家註冊時所留存之電子郵件、雜湊後密碼、IP 紀錄與部分驗證資料。為降低被發現的機率，太歐刻意選擇在凌晨時段操作，並以正常維護指令作為掩護，將惡意請求混入例行性插件更新與快取重建流程中。然而，其操作仍留下多項異常痕跡，包括非維護時段的權限提升請求、與交通插件無關的資料表查詢、以及一組來自外部中轉節點的異常回應。
調查過程
技術組二組高級專員鄭瑋霖（weilin0793）在接獲權限審計警報後，立即主導調查。
- 第一步，他先凍結該組維護帳號的所有寫入權限，並啟動唯讀快照，確保後續分析不會破壞原始證據。
- 第二步，他調閱 API 閘道的存取日誌，將所有與該憑證相關的請求依時間軸排列，發現其中包含多筆
scope異常擴張的請求，且目標端點並非交通插件所屬服務，而是後台使用者資料庫的查詢介面。 - 第三步，鄭瑋霖進一步分析插件的設定檔異動紀錄，發現回呼位址曾被短暫修改為一個外部網域，該網域註冊資訊雖經隱藏，但其 TLS 憑證指紋與太歐過往使用過的測試節點高度相似。
- 第四步，為確認攻擊鏈，鄭瑋霖在隔離環境中部署蜜罐節點，模擬後台資料庫的回應，並故意留下帶有標記的假資料。數小時後，蜜罐節點果然收到來自該外部中轉節點的查詢請求，證實攻擊者仍在嘗試取得資料。
- 第五步，鄭瑋霖比對登入來源 IP、裝置指紋、SSH 金鑰使用紀錄與 VPN 連線時序，發現所有異常操作均指向同一人，即前技術組專員太歐（KYSoiu19111）。
- 第六步，鄭瑋霖在取得足夠證據後，會同直屬技術組管理員與支援組展開同步收網，撤銷所有相關憑證、封鎖外部中轉節點、重置受影響之 API 金鑰，並保存完整日誌與快照。太歐在行動期間曾試圖清除部分設定檔與連線紀錄，但相關資料早已被唯讀快照與日誌系統完整保留，最終仍被鎖定並處置。
判定依據
管理團隊依權限審計警報、API 閘道存取日誌、插件設定檔異動紀錄、TLS 憑證指紋比對、蜜罐節點蒐證內容、登入來源與裝置指紋分析、SSH 金鑰使用紀錄及後端連線還原結果，認定太歐（KYSoiu19111）於任職期間負責交通類插件維護，卻越權操作，意圖駭入伺服器後台並竊取玩家註冊資料。其行為並非單純之技術測試或權限誤用，而是具有明確目的性、反覆性與規避意識，已嚴重危害玩家資料安全與伺服器營運信任。管理團隊認定，此類行為已觸犯伺服器關於權限管理、資料保護、禁止越權存取與禁止竊取玩家資料之相關規範，情節重大，必須以最高級別處分處理。
處分結果
管理團隊決議對太歐（KYSoiu19111）處以 永久停權。其所有可辨識之關聯帳號、維護帳號、分身帳號與協同帳號，一併移出白名單，並禁止以任何形式規避處分，包括但不限於更換帳號、借用他人帳號、透過第三方平台重新接觸成員或繼續嘗試存取伺服器資源。管理團隊同時已撤銷所有相關憑證、輪替受影響之 API 金鑰、封鎖外部中轉節點，並完成資料存取範圍之全面清查。經初步確認，本次事件並未造成玩家註冊資料實際外洩，但管理團隊仍將持續監測相關風險，並保留進一步追查與處置之權利。xhakyialk SMP 將全面檢討權限分級與資料庫存取審計機制，確保類似事件不再發生。