赖丽清：中小企遭网攻持续升温 趁早提升网安 代价越小

（八打灵再也28日讯）根据PIKOM 2026数据，大马中小企业面对的勒索软件威胁持续升温，攻击率从2024年的48%攀升至2025年的67%，增加了19%；换言之，每三家中小企业中，就有2家遭遇勒索软件攻击。

随着网络罪案日趋猖獗且有组织化，网络安全已不再只是资讯科技部门的课题，而是直接关系企业营运、财务、声誉乃至生存的商业风险。

在警界服务逾37年的退休助理总监赖丽清，日前在星洲商学院（SCBA）举办的“网络安全：企业持续运营与生存的生命线”实战分享会上，以真实案例及数据剖析当前网络威胁，并提醒企业：越早发现、越早阻断，付出的代价就越小。

“2025年，大马全国诈骗损失总额高达约28亿令吉；数据也显示，约60%的中小企业在发生数据泄露后6个月内倒闭。”

中小企业易成攻击切入点

赖丽清指出，中小企业成为攻击目标，并非因为“弱”，而是容易成为切入点；攻击者可先入侵大企业供应链上的中小企业，再伺机攻击大企业。

她将网络安全事件拆解为7个阶段，从网络攻击、资料被窃、资金损失、营运中断，到客户信任流失、监管与法律追究，以及声誉与企业价值受损，并以韩国电讯龙头SK电讯事件说明一次入侵如何演变成巨大企业危机。

从客户及SIM卡资料外泄开始，引发客户恐慌、大排长龙更换SIM卡，继而造成信任流失、客户转投其他电讯商、管理层被迫公开致歉、监管机构介入及罚款，最终进一步冲击SK电讯财务，营业利润暴跌约90%。

她强调，网络攻击往往是一条不断扩大的链条；而网络安全更直接关乎企业生存问题。

“人”是缺口也是第一道防线

在层层网络防护背后，最容易被忽略的往往不是系统，而是人。

赖丽清指出，多数数据泄露始于“人”，而不是“机器”。根据Verizon《2025年数据泄露调查报告》，约60%的数据泄露事件涉及人为因素；2026年版数据更显示，这一比例已达62%。

“攻击者入侵的，不是系统。 他们入侵的，是人。”

她说，一次不经意的点击、一个被盗用的密码、一份误发的文件，甚至一个错误的系统设置，都可能成为攻击者突破防线的缺口。

“假电邮、假网站等日益逼真，不要急着点击，先验证；涉及转账先致电确认、仔细核对电邮地址，可疑链接可借助可信赖的AI工具辅助判断。 ”

不过，她也强调，与其将员工视为风险来源，企业也可以将他们培训成最快发现异常的第一道防线。

持续培训 减员工受骗率

根据KnowBe4《2025年钓鱼攻击行业基准报告》，经过一年持续培训后，员工的易受骗率可从33.1%降至4.1%，显示持续培训能够明显提升员工识别及举报钓鱼攻击的能力。

她提醒，攻击者不需要每个人都上当，只需要一个人在压力下快速点击。“攻击者假设总有人会点击，而你的任务，就是不要成为那个人；看到可疑内容，就举报。”

守住4道“门”防6大风险

赖丽清指出，攻击者往往未必需要高深技术，只要找到企业防线上的一个弱点，就能趁虚而入。因此，企业首先要厘清攻击者可能从哪里进入，再部署防御。

她将常见的途径归纳为4道“入侵大门”，即人、设备、系统及第三方供应链，并提醒企业重点防范6项风险，包括钓鱼攻击、账号密码盗取、数据泄露、商业电邮诈骗、勒索软件及供应链攻击。

与此同时，随着人工智能技术普及，攻击手法也不断变化。她提醒企业特别留意AI驱动攻击、移动设备攻击、云端攻击及零日漏洞攻击等较难察觉的新型威胁。

她也将攻击者分为5类，包括有组织网络犯罪团伙、国家支持的攻击团体、黑客行动主义者、内部人员及机会主义者；并提醒企业需了解对手，才能更好地防守。

三管齐下筑防御机制

面对不断变化的网络威胁，赖丽清建议企业采取多层防御机制，以科技守系统、以意识守人、以治理守底线，三管齐下提升网络韧性。

在科技层面，强化账号安全、更新及修补系统漏洞、做好数据备份与恢复、落实网络分段及最小权限，并部署防火墙、端点侦测与响应（EDR）系统、反恶意软件及入侵检测等安全技术。

在人员层面，则应持续提升员工网络安全意识，通过培训及演练建立全员参与的网络安全文化；至于治理层面，应加强监控及快速响应机制，做好供应商与第三方风险管理，同时遵守个人资料保护法令、网络安全法令及相关行业标准。

赖丽清目前担任Vigilant Asia数字信任与外展战略顾问，同时也是人力资源发展机构及国家网络安全认证导师，致力于协助本地企业筑牢网络防线。