法規武器化：駭客如何利用個資法癱瘓醫療與司法體系

談到醫療機構遭駭客入侵，一般首先想到的是勒索軟體、病歷外洩或系統癱瘓。然而，如果攻擊者的目的不是取得一次性的贖金，而是有計畫地破壞一國醫療與司法體系，真正危險的攻擊模式，可能完全不同：第一階段不是破壞，而是蟄伏，到第二階段才是爆發。

可以假設一個虛擬案例，某境外組織的真正目的，是癱瘓我國的醫療及司法體系。它並未採取傳統勒索軟體的高調封鎖，相反地，攻擊者進入醫療資訊系統後盡可能維持低度活動，持續竊取病患姓名、身分證字號、聯絡資料及其他特種個資。對醫療機構而言，一切看似正常——門診照常、手術照常、系統亦無明顯異狀。就如美國Change Healthcare將近兩億個資外洩的資安事件，受害機構往往難以早期察覺資料已被滲透。

這正是第一階段最危險之處，攻擊者如同蟄伏於體內的病毒，不急於發病，而是持續累積足以引發系統性崩潰的能量。今天滲透一家醫學中心，數週後再鎖定另一家，只要尚未達到足以撼動體制的臨界規模，攻擊者便不輕易暴露蹤跡。因此，第一階段的成功指標不是癱瘓了多少台主機，而是累積了多少足以在未來轉化為「制度性負荷」的個人資料。直到攻擊者研判掌握的醫療機構與病患數量跨越臨界點，第二階段才正式引爆——將長期累積的巨量個資一次性大規模公開，真正的殺傷力在此時才會引爆。

依現行個資法修正規定（已公布但尚未施行），機關於知悉個資遭洩漏時，已由原先「查明後以適當方式通知」的彈性規範，改為剛性的法定義務，應須通知當事人、通報主管機關，並採取即時應變措施及保存相關紀錄。故當千萬筆醫療資料瞬間公諸於世，數家大型醫學中心將同時陷入資安確認、逐一通知、回覆大量申訴及應對行政調查的泥淖。隨之而來的第二道重壓則直擊司法體系，面對排山倒海的損害賠償訴訟、團體訴訟與調解請求，法院與調解機制必須逐一釐清外洩路徑、過失認定與因果關係。原本的一場網路滲透，就此轉化為癱瘓醫療行政與司法量能的制度浩劫。

這種「法規武器化」的攻擊模式最令人戒懼之處，在於駭客在前期無需擊潰任何一家醫院的防火牆防線，只需保持沉默、持續汲取資料，再利用現行法律制度作為槓桿實施飽和打擊。真正的國安危機，往往不是爆發在系統遭入侵的當下，而是潛伏數月甚至數年後，對醫療人力、法治量能與社會信任的全面反噬。

嚴格的個資保護本為保障隱私權，但若制度設計未能考量無法避免的國家級網路攻擊威脅，未具彈性的通報與究責機制，恐反淪為敵對勢力用以癱瘓社會運作的破口。若駭客大量竊取並公開醫療個資，與民眾生命健康密切相關的醫療機構，將同時面臨大量申訴、通知與求償壓力，甚至可能淪為「提款機」。其後若相關訴訟大量湧入法院，司法機關也可能被迫成為不斷製造卷宗與裁判的「印表機」。因此，在強化個資保障的同時，更應警惕法律制度反遭駭客利用，成為擾亂醫療、司法乃至國家秩序的工具。如何建立兼顧權利保障與制度韌性的法制配套，正是這場無聲國安戰中不容迴避的課題。