一家軟體公司，揭開產業鏈的不定時炸彈！系統危機已埋幾十年，大當機事件可能重演

近期微軟當機事件震撼國際，資安公司CrowdStrike軟體更新有誤，使得全球各大重要公共設施停擺，台灣也有不少公司受害。雖然CrowdStrike市值和知名度都遠遜於微軟，但這起意外讓人看到，不論規模大小，在產業鏈關鍵位置的任何一家科技公司，一旦運作異常或遭入侵，都可能拖垮整個市場運作。

軟體公司CDK Global就是一個經典案例。6月下旬，CDK Global遭駭客攻擊，導致北美地區汽車經銷商營運管理系統大規模當機，甚至有不少客戶機密資訊流入駭客手中，駭客並藉此向CDK Global勒索數千萬美元贖金。該公司目前在美國市占率高達50%，是市占率最高的汽車軟體系統服務商，該公司陷入癱瘓，竟導致美國汽車銷售產業跟著停擺。

這次駭客攻擊凸顯美國汽車銷售業對單一軟體系統商的高度依賴，已成極端風險。華爾街日報指出，不只是汽車業，銀行、航空與醫療產業也有同樣問題，它們都高度仰賴少數利基型軟體公司，平時運作正常，但是整個產業的營運與資訊其實都可能一夕陷入重大風險之中。

《華爾街日報》報導：CDK Global Hack Shows Risk of One Software Vendor Dominating an Industry

高度仰賴少數供應商，銀行、航空、醫療產業面臨巨大風險

以美國銀行業為例，提供核心軟體系統的幾乎都是Fiserv、Jack Henry與FIS等3家軟體公司。根據美國銀行家協會（American Bankers Association）調查，這3家公司市佔率超過70%，其中又以Fiserv為首，市占率達42%。

航空業情況也大致如此，全世界由Amadeus、Sabre和Travelport等3大軟體公司寡占航空系統服務，在全球通路調度系統（Global Distribution System）的市占率達100%；其中以Amadeus的43%為首，其次是Sabre的37%，最後是Travelport的20%。

Sabre平台曾在2013年故障數小時，時間看似不長，但已經為旅客帶來重大不便；Amadeus軟體服務也曾在2017年中斷，導致全球航班延誤。這兩起事件只是後端系統串聯航空公司各項服務當機，並非起因於駭客攻擊，就已經衝擊機票預訂、維護和修理等系統，若它們被攻擊而癱瘓，問題就可能連帶造成系統全面停擺。

此外，醫療保健產業也長期由少數軟體公司提供系統技術服務，有引發大規模故障的隱憂，也就是系統一部份發生故障，就會導致整個系統無法運作。美國第5大企業UnitedHealth Group旗下子公司Change Healthcare今年2月遭駭客攻擊，導致系統凍結數百萬美元款項，竟然連帶影響美國近9成醫院的財務，直到目前，相關理賠、付款、預約看診等作業服務仍在修復中。 （相關報導： 專家：AI若爆發類似CrowdStrike事件，衝擊將是10倍 ｜ 更多文章 ）

電子病歷也長期處在風險中。醫療保健分析公司Definitive Healthcare的數據指出，私人醫療保健軟體公司Epic Systems掌控37.7%的電子病歷市場，甲骨文（Oracle）旗下的電子病歷廠Cerner則佔21.7%。少數公司掌握大部分民眾的醫療隱私資訊，無法有效分散潛在資安風險。

市場寡占是產業長期發展結果，新業者難打入

顧問公司Gartner的汽車科技分析師Mike Ramsey指出，羅馬不是一天造成的，這些獲得市場掌控權的軟體供應商，都是擁有數十年歷史的老牌公司，因此寡占局面是幾十年來的發展結果。

以老牌業者CDK Global為例，它成立超過50年，也是最早開始向汽車經銷商提供營運軟體的企業之一，深耕市場多年。由於其軟體系統專門設計符合汽車產業需求，汽車製造商便一直推動經銷商使用CDK Global軟體。CDK Global掌控美國近50%汽車經銷商軟體市場，超過15,000家經銷商使用該公司服務。長期經營使得CDK Global的寡占優勢極難被超越，儘管微軟在2006年曾嘗試打進這個市場，最終仍是無功而返。

航空市場也有新業者嘗試進入，例如AI旅行運輸平台Flyr正在與3大航空業軟體公司競爭。Flyr創辦人暨執行長Alex Mans表示，大公司系統大多屬於封閉系統，難以與其他業者相容，因此新創企業或其他技術進入航空體系的門檻高。

增加軟體供應商，等於給駭客創造更多攻擊管道

不論是擁有市場先行者的優勢、歷經數十年打下的市場根基，或是與產業高度相容的封閉系統，皆讓這些老牌公司能夠主導特定產業的軟體市場。而幾十年來產業也習慣這些軟體，它們已完全融入企業系統之中，因此企業不願意輕易轉換軟體公司。

針對這種問題，目前找不到任何容易的解方。如果軟體供應商增加，可能給駭客更多攻擊管道；但如果只有少數供應商，一旦受到駭客攻擊，就會造成整個產業停擺，牽一髮而動全身。

研究顧問公司Forrester的軟體分析師Liz Herbert說，在主要供應商遭受駭客攻擊後，企業應該要有所警覺，並加強確認其供應商的安全防護措施，即使小型企業並未設有專門的IT團隊進行網路安全檢查，也可持續透過第三方評估以確認資訊安全，對降低風險同樣有所助益。

一起針對美國汽車產業發動的駭客攻擊，點出汽車、銀行、航空以及醫療等產業高度仰賴少數軟體供應商的問題，數十年的歷史脈絡成了現況不易被打破的原因。如今的當務之急，是業者必須調查供應商的資安維護狀況，才能進一步強化系統安全，使產業遠離大癱瘓的風險。 （相關報導： 專家：AI若爆發類似CrowdStrike事件，衝擊將是10倍 ｜ 更多文章 ）

本文為風傳媒特邀導讀人金牛幫幫忙撰寫，請點此訂閱：風傳媒・華爾街日報VVIP，風傳媒會員獨享全球最低優惠價，暢讀中英日文全版本之華爾街日報，洞悉國際政經最前沿。

責任編輯／郭家宏