在當前數位時代，線上用戶對網站或應用程式品質要求大幅提高。他們優先尋求流暢的用戶體驗，HTML5 在達成此目標扮演關鍵角色。
HTML5 讓工程師在無 Flash 等模組安全威脅的情況下強化用戶介面。為了全方位規避風險，程式設計師比以往更信任 HTML5。這選擇在 Adobe Flash 漏洞公開後被證明是最佳的。HTML5 最初似乎保證更高安全性和進階功能，因此使用 HTML5 的網站比例高達 70%。但這真的值得嗎？我們怎麼確定這不是錯誤決定？
深入觀察……
不可否認 HTML5 是驚人升級，但也有自身安全議題。幾個月前 The Media Trust Digital and Security Operations 團隊發現多種惡意軟體，引發對 HTML5 安全性和可靠性的質疑。他們發現一種利用 JavaScript 隱藏自身並潛伏在 HTML5 中的惡意軟體。此舉能避開偵測並誘騙用戶輸入資料，進而收集資料轉交駭客用於惡意目的。另一特點是它會將自身分解成碎片，難以識別。此外，這種惡意軟體透過廣告和媒體快速蔓延。若信任安全專家，這已導致全球近 20 起駭客攻擊影響網路媒體發布者。
這是惡意軟體設計者持續尋找新創新方法利用系統最微小漏洞的典型案例。但這不是 HTML5 首次遭攻擊。2015 年 Adobe Flash 啟動時，安全分析師發現駭客可利用 HTML5 程式碼的幾種策略，包含使用 API，採用相同的「混淆-去混淆」JavaScript 指令。
隔年，此惡意軟體被用於凍結系統並竊取客戶個人資訊。今年的案例不同之處在於不需要用戶互動。這描繪了駭客為大規模攻擊不斷學習理解的無盡狂潮。一致地，沒有任何版本的 HTML5 惡意軟體被防毒軟體偵測或移除。HTML5 安全議題可能成為頭痛問題！
HTML5 安全議題還有更多……
英國《一般資料隱私法規》（GDPR）和美國的一堆安全控制曾因為這個原因考慮給組織一些 GDPR 實施緩衝。像 HTML 混淆這類威脅不被及時識別的事件，或多或少像安靜的炸彈等待引爆。
駭客習慣鎖定第三方。原因是它們安全設定較弱、較易滲透。一旦突破，可未被偵測地進入客戶的安全系統。另一容易目標是線上廣告。駭客可在不危及整個網站的情況下，將惡意軟體散播給大量用戶。
可採取哪些行動因應？
確保安全的最佳方式是有效且持續監控第三方、調查並處理任何威脅或異常。可透過持續檢查未授權第三方和程式碼達成。組織也應與供應商分享明確策略並維護安全條款。
最後，組織需要制定快速回應程序，規劃遭遇入侵或未經授權供應商行為時如何反應。除了完整補救計畫和通知客戶、通報事件的安排，該程序應包含立即終止任何持續違反策略或條款（經通知後）的供應商。
監管機構將調查組織對駭客採取的行動、通知公眾的速度、入侵前採取的預防措施。雖這些可能非萬全之策，但肯定能確保 HTML5 安全議題不會讓我們的業務垮台！您怎麼看？
