物聯網（IoT）資安指南：風險評估、防護策略、產品選擇【2026】

物聯網（IoT）資安指南：風險評估、防護策略、產品選擇

家裡的智慧音箱、監視器、掃地機器人，安全嗎？

公司的 IoT 設備、感測器、工業控制系統，有人管資安嗎？

物聯網設備數量爆增，但資安防護跟不上。這是駭客眼中的肥羊。

這篇文章說明 IoT 資安的風險和防護方法。

物聯網資安為何重要？

先看數據。

IoT 設備有多少？

• 2024 年全球 IoT 設備：185 億台（較 2023 年成長 12%）
• 2025 年底預估：211 億台（年增 14%）
• 2030 年預估：390 億台（2025 起 CAGR 13.2%）

資料來源：IoT Analytics, 2025-10-28。此處是連網 IoT 設備數，不含手機、電腦等非 IoT 連網裝置。

IoT 資安事件有多頻繁？

這裡刻意不列具體百分比——市面上流傳的「IoT 攻擊年增 X%」多半來自各家資安廠商口徑不一的年報，彼此差距很大，抄成硬數字反而會誤導。可以確定的是三件事：

• 攻擊量逐年上升，而且集中在「掃描網段、試預設帳密」這類低成本手法
• IoT 惡意軟體家族持續分裂出新變種，Mirai 之後的變種至今仍在流通
• 企業資安事件中，IoT／OT 設備是常見的入侵起點，因為它們常不在資產清單上

要看實際數字，建議直接查閱你所在產業的當期資安年報，並確認它的統計口徑。

為什麼 IoT 是資安弱點？

IoT 設備天生就有資安問題：

常見 IoT 資安威脅

IoT 設備面臨哪些攻擊？

殭屍網路（Botnet）

IoT 設備被駭後組成殭屍網路。

Mirai 殭屍網路

最著名的案例。

2016 年，Mirai 惡意軟體感染數十萬 IoT 設備，發動 DDoS 攻擊，癱瘓了 Twitter、Netflix、GitHub 等網站。

攻擊方式很簡單：掃描網路，嘗試預設帳密登入。

大多數設備沒改預設密碼。

現在的殭屍網路

Mirai 之後，變種不斷：

• Mozi
• Dark Nexus
• Enemybot

你的 IoT 設備可能正在幫駭客攻擊別人，而你不知道。

隱私侵犯

IoT 設備收集大量資料：

這些資料可能被：

• 駭客竊取
• 廠商濫用
• 第三方收集

勒索攻擊

IoT 設備也會被勒索。

案例

• 智慧恆溫器被鎖定，要求付錢才能調溫
• 監視器畫面被加密
• 工業 IoT 設備被勒索

實體安全威脅

IoT 被駭可能影響實體安全：

橫向移動

IoT 是駭客入侵內網的跳板。

流程：

1. 入侵脆弱的 IoT 設備
2. 進入內部網路
3. 橫向移動到重要系統
4. 竊取資料或部署勒索軟體

IoT 設備通常在內網，但防護最弱。

供應鏈攻擊

IoT 供應鏈很複雜：晶片、韌體、軟體、雲端服務。

任何一環被入侵，所有設備都受影響。

案例

某攝影機品牌的雲端服務被駭，導致用戶影像可被任意存取。

IoT 設備資安評估

如何判斷一個 IoT 設備安不安全？

資安評估要點

常見的安全問題

同樣不列百分比（理由見前面「IoT 資安事件有多頻繁」那段）。實務上要一項一項確認的是這五件事：

• 設備是否仍在用出廠預設密碼
• 設備與 App／雲端之間的傳輸是否加密
• 韌體是否可被竄改（有無簽章驗證）
• 是否有已知漏洞尚未修補
• 廠商是否提供持續的安全更新機制，以及會提供到什麼時候

購買前的檢查清單

買 IoT 設備前問自己：

1. 這個設備真的需要連網嗎？

   • 有些功能離線也能用
   • 連網 = 更多風險

2. 廠商的資安紀錄如何？

   • Google 一下「品牌名 + 資安」
   • 看有沒有被駭的新聞

3. 支援多久？

   • 廠商會持續更新多久？
   • 設備不再更新後怎麼辦？

4. 資料去哪裡？

   • 儲存在本地還是雲端？
   • 伺服器在哪個國家？

5. 可以控制隱私設定嗎？

   • 能否關閉不需要的功能？
   • 能否限制資料收集？

熱門品牌資安分析

市面上常見 IoT 品牌的資安狀況。

網路攝影機 / 監視器

注意事項

• 便宜的網路攝影機風險最高
• 選擇有品牌、有持續更新的產品
• 考慮本地儲存而非雲端

智慧音箱

隱私考量

這些設備隨時在「聽」：

• Apple：處理較多在本地
• Google/Amazon：大量傳雲端
• 建議：敏感對話時關閉或離開

路由器

TP-Link 資安疑慮

TP-Link 因中國背景在美國持續受到關注，時序如下：

• 2025 年 10 月：美國商務部在數月審查後，提案禁止 TP-Link 產品在美國的新品銷售，國土安全部等多個部會表態支持；TP-Link 否認與中國政府的關係，並表示會循法律途徑抗辯
• 2026 年 1 月：德州州長 Abbott 禁止州政府員工使用 TP-Link 產品
• 2026 年 2 月：白宮在美中峰會前擱置了這項聯邦禁令；但德州檢察長另案控告 TP-Link，該案仍在進行（9to5Mac, 2026-02-18）
• 對一般家用者的實質影響：針對 TP-Link 的聯邦禁令至今未生效，但 FCC 已於 2026 年 3 月 23 日把所有外國生產的消費級路由器列入 Covered List：新機型無法再取得 FCC 設備授權，先前已核准的機型仍可販售，已買的設備也可繼續使用（FCC, 2026-03-23）；如果你在政府、軍工或敏感產業，採購前請先確認自家規範

路由器是最重要的 IoT 設備

所有家中流量都經過路由器。路由器被駭 = 全家被駭。

建議：

• 選擇有持續更新的品牌
• 定期檢查韌體更新
• 更改預設管理密碼
• 關閉遠端管理

智慧家電

擔心家中或公司的 IoT 設備安全？ 預約 IoT 資安檢測，找出潛在風險。

IoT 資安防護策略

實務上怎麼保護 IoT 設備？

家庭用戶防護

基本防護（必做）

1. 更改預設密碼

   • 每個設備都要改
   • 使用強密碼
   • 不要用同一組密碼

2. 更新韌體

   • 定期檢查更新
   • 啟用自動更新
   • 不再更新的設備考慮淘汰

3. 關閉不需要的功能

   • 不用遠端存取？關掉
   • 不用語音控制？關掉
   • 減少攻擊面

4. 使用訪客網路

   • IoT 設備連訪客網路
   • 與電腦、手機隔離
   • 即使 IoT 被駭也不影響主要設備

進階防護

1. 建立 IoT 專屬網路

   • 用 VLAN 隔離
   • 或用另一台路由器

2. 使用有安全功能的路由器

   • 入侵偵測
   • 惡意流量阻擋
   • 設備識別

3. 監控網路流量

   • 注意異常流量
   • 設備半夜大量傳輸？可能有問題

4. 定期清點設備

   • 知道家裡有哪些連網設備
   • 移除不用的設備

企業 IoT 防護

企業的 IoT 風險更高，需要更完整的策略。

IoT 資安框架

建議參考 NIST 網路安全框架（CSF）的核心功能（CSF 2.0 另新增「治理」）：

設備盤點與分類

你知道公司有多少 IoT 設備嗎？

很多企業不知道。

做法：

• 掃描網路找出所有設備
• 建立 IoT 資產清單
• 分類風險等級
• 定期更新清單

網路隔離

IoT 設備應該在獨立的網段，只能存取必要的資源。

存取控制

• 所有 IoT 設備都要有帳密
• 禁用預設帳號
• 實施最小權限
• 定期審查存取

更新管理

監控與偵測

供應商管理

• 評估 IoT 供應商的資安能力
• 合約中納入資安要求
• 定期審查供應商狀況
• 有替代方案

工業 IoT（IIoT）特殊考量

工業環境的 IoT 更敏感：

建議：

• 分離 IT 和 OT 網路
• 使用工業級防火牆
• 監控 SCADA/ICS 流量
• 建立 OT 資安團隊

IoT 資安工具推薦

可以使用的工具。

家用工具

企業工具

弱點掃描

常見問題 FAQ

智慧家庭安全嗎？

看你怎麼用。

做好基本防護（改密碼、更新、網路隔離），風險可控。

完全不管，風險很高。

該買哪個品牌的 IoT 設備？

一般建議：

• 選擇大品牌
• 看資安紀錄
• 確認有持續更新
• 貴一點通常比較安全

最安全的做法：不需要的功能就不要連網。

中國品牌安全嗎？

這是敏感話題。

事實：

• 資料可能傳到中國伺服器
• 中國法規要求配合政府
• 有些國家政府禁用特定品牌

建議：

• 一般家用：自行評估風險
• 企業或敏感環境：建議避免
• 政府機關：依規定辦理

IoT 設備被駭怎麼辦？

1. 斷開網路連線
2. 恢復原廠設定
3. 更新韌體
4. 更改所有密碼
5. 檢查是否影響其他設備
6. 考慮是否要繼續使用

不再更新的設備怎麼辦？

選項：

1. 繼續用但隔離（獨立網路）
2. 關閉連網功能
3. 淘汰換新

不建議繼續在主網路使用不更新的設備。

下一步

IoT 設備很方便，但要聰明地使用。

建議行動

家庭用戶

1. 盤點家中的 IoT 設備
2. 更改所有預設密碼
3. 檢查並更新韌體
4. 把 IoT 設備連到訪客網路
5. 評估是否真的需要每個功能

企業用戶

1. 完整盤點 IoT 資產
2. 實施網路隔離
3. 建立 IoT 安全政策
4. 部署監控機制
5. 納入資安風險評估

相關資源

延伸閱讀：

• 資安完整指南：資安基礎知識
• 雲端資安完整指南：威脅、防護措施、最佳實踐：雲端安全防護
• AI 資安完整解析：AI 時代的資安
• 資安健診服務指南：資安檢測服務

---

需要 IoT 資安評估？

你知道公司有多少 IoT 設備嗎？它們安全嗎？

CloudInsight 提供：

• IoT 設備盤點
• IoT 弱點評估
• 網路隔離規劃
• IoT 安全架構建議

預約 IoT 資安評估，找出你的 IoT 安全盲點。