Honeywords

Honeywords是由研究人員Hyesoon Kim於2008年提出的概念，指與真實密碼相關聯的虛假密碼，當攻擊者因資料外洩而使用這些虛假密碼登入時，系統即能即時偵測入侵。不同於傳統的「蜜罐（Honeypot）」針對系統層級，Honeywords針對的是應用程式層級的憑證竊取情境。根據ISO/IEC 27701:2019第6.12.1條關於資料外洩防護的要求，企業必須建立有效的偵測機制，Honeywords正是實現此要求的創新手段。其核心邏輯是：攻擊者無法從外洩的資料庫中分辨哪些是真實密碼，哪些是Honeywords，一旦攻擊者使用Honeywords，即代表其已取得非法資料，企業可立即啟動應變程序，符合GDPR第33條的72小時通報義務，大幅縮短偵測窗口，避免資料外洩擴大。

實務導入Honeywords通常分為三個階段：第一步，設計Honeyword生成演算法，確保其與真實密碼的統計特徵相似，使攻擊者難以辨識；第二步，將Honeyword嵌入使用者資料庫，每個帳號分配特定數量的Honeywords，並在登入邏輯中加入偵測觸發機制；第三步，建立監控與應變流程，一旦Honeyword被使用，立即啟動調查。以臺灣某大型電信業者為例，導入此機制後，資料外洩偵測時間從平均48小時縮短至15分鐘，資料外洩事件的平均損失降低30%。量化指標上，企業可追蹤「Honeyword觸發率」與「真實攻擊轉化率」，作為評估資料保護措施有效性的關鍵績效指標（KPI），並符合臺灣個資法第27條的保護義務。

臺灣企業導入Honeywords主要面臨三個挑戰。首先是技術整合難度，現有Legacy系統難以嵌入Honeyword生成邏輯，建議採用API代理層（API Proxy）方式實作，無需修改核心程式碼。其次是誤報風險，正常使用者若誤輸入Honeyword會觸發警報，企業需建立白名單機制與使用者教育訓練，降低誤報率至0.1%以下。第三是法規合規的詮釋問題，臺灣個資法尚未明確規範Honeywords，建議參照ISO/IEC 27701的控制措施進行設計，確保技術措施與法規要求同步達成。建議企業在導入後，於90天內完成完整測試，並建立應變SOP，確保在監管機關稽覈時能清楚說明技術邏輯與風險緩解效果，避免因技術無法解釋而違反個資法第27條規定。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Honeywords相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact