1 of 57

白帽駭客？

& 政治獻金研究方式

Ronny Wang

2 of 57

最近因為公司有電子發票需求

因此去申請了電子發票票匭

3 of 57

5/9 晚上收到一封信...

4 of 57

1qaz2wsx 這密碼好眼熟啊？

5 of 57

我試了幾個我知道自己開公司

有開電子發票的朋友

用同一組密碼登入，竟然登進去了？

6 of 57

跟朋友說了之後，問他才知道這帳號在他公司已經存在四年

7 of 57

Google 搜尋「電子發票 1qaz2wsx」，發現很多電子發票加值平台教學內也寫了這組密碼？

8 of 57

電子發票平台是幹嘛的？

  • 可以查詢有哪些電子發票票匭
  • 可以查詢公司開出去的電子發票
  • 可以查詢公司收到的 B2B 電子發票
  • 處理電子發票中獎作業

9 of 57

這問題好像滿大條的？來找一下部長..

10 of 57

11 of 57

部長晚上回應請我通報 TWCERT 並 cc 她

https://www.twcert.org.tw/tw/cp-28-78-0369c-1.html

​

12 of 57

晚上11點我寄信通報 TWCERT

13 of 57

隔天早上 9 點 TWCERT 就回信了

14 of 57

隔天開始手癢開始大量手動試著登入不同統編

  1. 請勿模仿，若造成公司損失可能會觸法喔（妨害電腦使用）
  2. 我很自制，登入成功後不會進去看公司發票資料（以防系統有記錄事後我被追究看了奇怪的東西）

15 of 57

越試越覺得這個漏洞很可怕...

試出太多公司沒改密碼了

​

包含：台灣大車隊、趨勢科技、痞客邦、中經院、pinkoi… 甚至中科院？

16 of 57

一天沒回音

我再寄了一封信給 TWCERT 強調嚴重性跟我的建議

17 of 57

既然有台灣大車隊，我就來找 TonyQ 吧

18 of 57

這組密碼在 TonyQ 還在大車隊時代就在用了�TonyQ 還記得 XD

19 of 57

我也找了 OCF pofeng 和 READr hc

想說多點人幫忙追這題以防政府擺爛

20 of 57

當天晚上財政部寄出了通知信

21 of 57

但是寄這種信效果應該很差吧...

（收信的可能都是財會部門，

比較不會有資安意識）

22 of 57

怕政府動作還是太慢

我們決定先找可信任的記者

讓他們可以先準備好報導

可以當作逼迫政府加速處理的籌碼

23 of 57

5/12 收到財政部通知的因應作為

24 of 57

5/12（五） PM11 發現登入要強制變更密碼了...

25 of 57

洞算補上一半了

我們請記者給大家多點時間，等週二再刊出來

26 of 57

5/16（二）00:00 民報報導

27 of 57

5/16(二）07:00 READr 報導

28 of 57

5/16（二）上午8:30 財政部再更改網站加上稅籍編號驗證

洞算是完全補上了

29 of 57

5/16 財政部也發新聞稿公告已修正問題

30 of 57

中科院看起來重要軍事採購都沒有用電子發票

而是用傳統紙本發票

因此沒有什麼資料外洩

​

（以後重要的案子好像還是用紙本發票比較好 XD）

31 of 57

時間軸

  • 5/9（二） 晚上：發現問題，通知唐部長和 TWCERT
  • 5/10（三） AM9：TWCERT 通知已收到並轉達
  • 5/11（四） AM11：再寄一次信跟 TWCERT 強調嚴重性
  • 5/11 PM1：找了 tonyq 和 pofeng 來組成因應小組
  • 5/11 PM6：財政部寄了沒什麼用的建議改密碼信
  • 5/12（五) PM4：財政部寄給我接下來因應作為
  • 5/12 PM11：測試發現登入後要強制變更密碼才能繼續，洞算小小補上
  • 5/16（二）00:00：民報刊登「《獨家》駭人！ 財政部資安漏洞 中科院採購險被看光」
  • 5/16（二）07:00：READr 刊登「電子發票平台資安爆漏洞 逾 7% 上市櫃公司營業隱私恐外洩」
  • 5/16（二）8:30：加上稅籍編號完全補上漏洞

32 of 57

6/13 還放了大招

33 of 57

後續有什麼政治效應呢？

34 of 57

5/22 財政部在立法院內送出檢討報告

35 of 57

5/22 在交通委員會內，唐鳳部長跟財政部資訊中心被十幾名立委質詢一天

36 of 57

檢討報告的一些數字

37 of 57

我們學到什麼?

38 of 57

  1. 發現資安漏洞可以與 TWCERT 回報
  2. 做系統千萬不要用弱密碼和統一密碼，並且第一次登入一定要強制變更
  3. 公司重要的發票考慮不用電子發票，改用紙本發票
  4. 台灣也有 zeroday.hitcon.org 可以回報漏洞

39 of 57

Part2. 開放政治獻金2023資料研究方法

40 of 57

這次做了兩個政治獻金的分析結果

41 of 57

遠東集團在 2022 年政治獻金歸零...

42 of 57

捐款行業的變化

43 of 57

這些分析幾乎都沒寫到程式

今天來分享怎麼分析吧！

44 of 57

成果

成果：

https://docs.google.com/spreadsheets/d/1d9oGssJfxVmfVBtMAQsK69DsfRIO98nV10c1seOi_Nc/edit#gid=1660184886

短講 demo 用：

https://docs.google.com/spreadsheets/d/1zyWyIWnDXgFjKehL3TzWy4HLfvderq-OULl_NDIcHaY/edit?usp=sharing

​

45 of 57

第一步，從政治獻金申報平台匯出全部資料

(唯一需要程式的一步）

（但我程式不小心搞丟了 XD 不過重寫很快）

（需要的人可以下載，我已經完整資料都放那了）

收入：39萬筆 70MB

支出：70萬筆 133MB

https://g0v.hackmd.io/gGGUBDEXQOKGL_feUpPekg

46 of 57

第二步，用 duckdb 篩選出有統編的營利事業資料

透過 duckdb ，一行就可以篩選出營利事業捐贈收入

399767筆全部收入資料 => 22545筆「營利事業捐贈收入」資料

47 of 57

第三步，匯入進 Google 試算表中

記得取消勾選「將文字轉換成數字、日期和公式」　成果在這裡

匯入完記得把「收入金額」轉成數字格式

48 of 57

第四步 利用「大量行業別查詢」工具，查詢公司行業別

https://company.g0v.ronny.tw/tool/bulkbizquery

​

49 of 57

第五步 利用樞鈕分析依捐款數量排序行業別

50 of 57

第六步 把行業別丟給 ChatGPT 幫我歸類

https://chat.openai.com/share/a49baf27-70d9-400b-9c77-76f815accfbd

得到

  • 不動產與建築業
  • 金融與投資業
  • 零售與批發業
  • 服務業
  • 其他產業

51 of 57

第六步 持續給 ChatGPT 分類...

https://chat.openai.com/share/4381bc4e-19b1-405f-8d10-093353242e20

​

52 of 57

第七步 用 VLOOKUP 把產業別合併入資料中

零時小學校 VLOOKUP 課程 https://www.youtube.com/watch?v=FtBnm0qN9s8

​

53 of 57

第八步 整理各種選舉的「年份」「種類」資訊

並用 VLOOKUP 整合進來

54 of 57

第九步 用樞扭分析算出不同選舉的產業變化吧！

55 of 57

第十步 整合 kiang 整理的集團資料

https://github.com/kiang/ardata_group/blob/master/raw/G1102/incomes.csv

https://github.com/kiang/ardata_group/blob/master/report/02_combine.csv

​

​

56 of 57

集團資料完工！

57 of 57

歡迎大家到 #open-moneyflow 來討論

我們來對政治獻金做各種不同的分析吧！