封面故事／臉部辨識用中國主機板晶片 移民署打卡系統藏國安漏洞
移民署花了600萬元建置的「差勤打卡系統」竟暗藏國安漏洞！本刊最近接獲投訴，指廠商以台灣品牌PAPAGO偽裝，機器內部卻使用中國製主機板。為了釐清真相，本刊取得機器拆解，並請專家檢視，結果發現這套擁有臉部辨識功能的系統，不僅主機板是中國製，甚至還使用因資安問題被美國政府禁用的中國製IC晶片。更令人憂心的是，除了移民署，內政部、經濟部及新竹縣市政府也使用同型產品，上萬名官員的臉部特徵恐有外洩疑慮，衝擊國家安全！
移民署2024年花了600萬元購買上百台機器，建置「差勤打卡系統」，讓各縣市專勤隊、服務站、機場航廈外勤隊人員不用接觸機器，透過人臉辨識就可以打卡上下班，希望減少病菌傳播的機會。不過，本刊最近接獲投訴，指控得標廠商「研勤科技」魚目混珠，機器外部以國產品牌偽裝，內部卻使用中國廠商生產的主機板，低價搶標成功，恐有國安疑慮。
台廠外觀 中製主機板
本刊調查，研勤科技所生產的「PAPAGO FACE8台灣臉霸」人臉辨識設備，標榜專業AI影像辨識技術，完全台灣自主研發，曾榮獲台灣精品獎，被中央、地方政府及民營企業廣泛採用，宣稱是台灣市占率最高的人臉辨識引擎，有超過1千家客戶、每天50萬次辨識量，除了移民署外，內政部、經濟部也使用同款系統，甚至外銷卡達、馬來西亞等國。
投訴人A小姐指出，依《政府採購法》規定，公務機關採購資通訊產品，禁用中國製品，不過，研勤科技這套系統內部的主機板、電子元件配置，卻與中國深圳「眾雲世紀科技」生產的主機板一模一樣，還能驗收過關，不免讓人質疑有官商勾結、放水舞弊之嫌。
為了確認投訴人的說法，本刊透過管道取得一台移民署使用中的打卡機，並請3位電子工程師檢視相關構造，全程錄影存證。工程師指出，該設備外觀雖印有PAPAGO字樣，但內部線路排列混亂，不像是正統電子產品應有的裝配方式；此外，以主機板上的代碼ZYSJ-MT8788A上網搜尋，確實與眾雲世紀科技官網放的主機板照片相同。
工程師進一步檢視打卡機的上百個元件，結果發現一顆編號S16116G的網路變壓器，製造商為Mianyang Jingweida Science And Technology Co.Ltd綿陽精微達科技公司，生產時間為2023年第26週。本刊調查，綿陽精微達科技是中國四川「經緯達集團」旗下公司，其產品曾被美國政府查出有資安疑慮，列入禁用清單。
低價搶標 貼牌省成本
工程師告訴本刊，研勤科技聲稱採用聯發科的解決方案，照理主機板不會打印ZYSJ字樣，印上ZYSJ就代表是眾雲世紀科技的設計產權。「很有可能是直接買中國生產的主機板！」3位工程師說，研勤應該是為節省成本，所以採購中國主機板，再套裝台灣品牌外盒，這種借屍還魂的手法相當常見。
「一般在中國下單購買主機板，如果有顧忌，會要求對方不要打印，避免留下證據。」工程師說，也有業者購買主機板，再使用化學藥劑抹除型號，但這種做法會讓主機板來源變成「不明」，原廠可拒絕提供維修、保固服務。
工程師指出，業者若是真的在台灣加工或採購，可以出示台灣SMT（表面黏著技術）廠的加工單、網路變壓器的台灣採購發票證明，如果拿不出來，或發票顯示「電子零件一批」（進口報關單），即可確定就是進口成品，移民署如果真的要查，其實並不難。
此外，有採購經驗的工程師也告訴本刊，業者通常會先用低價搶單，再用節省成本的方式，例如採購便宜的中國製零組件替代，從中謀取利潤，一般公務機關驗收不會拆開檢查，機器能用就好，很好騙，也沒人管。
另一名業者則表示：「沒利潤就不要接單啊！」台灣很多廠商用這種貼牌手法搶政府標案，被抓到後再稱是因為沒賺錢才這麼做，雖然依合約可賠款了事，但官員的臉部特徵等個資陷入外洩風險，廠商能負責嗎？
臉部特徵 個資恐外洩
資安專家指出，不論移民署、內政部或經濟部都屬於機敏單位，官員的臉部特徵不僅是個資，更是敵人辨識、吸收或狙殺的重要工具。舉例來說，因應戰場無人化趨勢，中國近年極力發展背部配有槍械的機器狗，一旦台灣政府要員或特定人士的臉部、瞳孔虹膜特徵被掌握，中國就可以透過機器狗的攝影鏡頭鎖定狙殺目標。
此外，台灣官員的臉部特徵、瞳孔虹膜個資，若被中國情治單位掌握，對岸就能輕鬆蒐集台灣官員的私生活隱私，增加威脅、利誘的籌碼，以便吸收特定官員替中國效力，變成共諜。
本刊調查，目前移民署使用該打卡系統的人員超過2千人；內政部轄下各科室、北中南辦公室、建築研究所、替代役訓練及管理中心等單位，則共建置21台，也約有2千人使用。此外，經濟部商業發展署建置4台，共近千人使用；另新竹縣政府採購14台、新竹市政府16台，換句話說，全台各級政府已有上萬名公務員的臉部特徵陷入外洩風險中。
這些公務體系，從基層工友到中、高階主管都必須使用該系統打卡，其中內政部、移民署、經濟部的部分機敏單位，如負責國境管理、全國人口普查的官員等，都可能是中國想吸收的對象，絕對不可輕忽。
依法追究 拆機器檢測
對於投訴人的指控，研勤科技公司移民署標案負責人陳柏任嚴正否認，他強調此案是購買聯發科設計的公版方案，空白的電路板在中國洗板（泛指電路板製作過程、PCB making）後送回台灣，主機板有上百顆元件，主晶片處理器是聯發科的，記憶體是韓國製，通訊晶片是瑞昱生產，產品在台灣打件、組裝、測試，最後輸入自行研發的軟體，不會有後門或資安的疑慮。
移民署則表示，此標案的招標文件明定不允許中國廠商、第三地含中資成分廠商、在台灣的中資廠商參與，且分包廠商、硬體設備零組件標示來源，均不得為中國製造。至於此案的採購作業流程，從一開始的廠商資格審查，到履約後驗收，移民署均依招標文件及《政府採購法》辦理，廠商也依契約及相關規定提供證明文件，若提供不實證明，將依契約及相關法規追究廠商責任。
移民署強調，他們高度重視資訊安全，內部的資訊系統採「內、外網實體隔離架構」，有多層次的資安縱深防禦機制，確保資訊安全。為釐清真相，移民署政風單位已經找來研勤科技代表，並隨機拆卸3台機器檢測，全程錄影，至於檢測結果如何？有無臉部特徵外洩或資安疑慮？有待移民署對外說明。
掃描元件 抓後門程式
另一方面，主管資訊安全的數位發展部指出，政府機關禁用中國品牌的資通訊產品，但若是第三國品牌、製造行為在中國，則不在禁用範圍。例如iPhone手機雖然部分元件是在中國製造，但手機為美國品牌，台灣政府不會禁用。至於研勤科技的打卡系統，機器本身是台灣品牌，內部元件由全球分工，就算有些在中國製造，政府也不會限制使用。
不過，若標案有資安顧慮，註明相關零組件不得在中國製造生產，就應照標案規格執行。數發部強調，若爭議機器在中國生產，只是在外殼貼上台灣品牌偽裝，就不算是台灣產品，須依開標規格實質認定，回歸契約精神。
資安專家告訴本刊，要防止電子設備遭有心人植入後門程式、竊取臉部特徵等個資，可以先從硬體部分著手，對主機板元件進行FAILURE ANALYSIS（失效模式分析），也就是用鐳射光掃瞄主機板、電路圖、元件。專家指出，如果提前送出檢測清單，透過FA公司檢測，就可得知原始的電路圖、元件，與實際設備的差異，以確認廠商是否按電路圖施工，或有沒有多出不明的線路。
建防火牆 避駭客入侵
比較麻煩的是軟體部分，若有心人在晶片植入後門程式，就很難防範，只能靠內外網或防火牆進行阻隔，因為所有後門程式都需要網路傳輸，才能把資料後送，唯有徹底做好網路資安工作，才可有效防止後門程式及駭客入侵。
本刊調查，類似研勤科技魚目混珠的貼牌案例不少，今年3月，調查局就查獲昇銳電子及其子公司，長期從中國進口監視器主機板、外殼、線材，在台灣組裝後，貼上台灣製造或MADE IN TAIWAN的標籤，並出具不實證明文件，取得台灣政府多件標案，調查局偵辦後，依違反《各機關對危害國家資通安全產品限制使用原則》及《刑法》詐欺取財、虛偽標示產地等罪，移送檢方偵辦。
此外，2021年月，國家通訊傳播委員會NCC發現台灣大哥大的自有手機品牌AMAZING A32機型存在資安疑慮，手機內部被植入惡意程式，讓駭客能輕易用手機門號申辦遊戲帳號，並且透過「簡訊認證碼」騙取點數，害用戶變成詐騙集團的人頭。
NCC調查後發現，台灣大哥大的AMAZING A32手機就是所謂的貼牌產品，從手機的設計、生產、製作、送驗到入關，皆由台廠「力平國際」負責，卻委由中國廠商華瓏公司代工，才會產生資安漏洞。
由於移民署等單位的差勤打卡系統已啟用一段時間，究竟有無官員臉部特徵外洩的狀況發生，相關單位已經針對內外網防火牆進行監測調查，同時要求廠商全面更換爭議主機板，希望能亡羊補牢。
研勤科技回應：敵對業者報復抹黑
對於人臉辨識設備遭爆使用中國製主機板一事，研勤科技董事長簡良益回應表示，這是敵對業者挾怨報復的抹黑指控，PAPAGO的「FACE8台灣臉霸」人臉辨識設備使用的主機板全在台灣加工，零件也全部使用國產貨或韓國貨，絕對合乎政府法令規定。簡良益解釋，本刊所拆解的打卡機應是幾年前從中國購入測試用的舊機，後來不慎流出才造成誤解。但當本刊要求其提供關於台灣SMT（表面黏著技術）廠的加工單、完稅證明，與各元件的台灣採購發票證明後，至截稿前仍未獲回應。