印度憑證機構 eMudhra 驚爆 8 把 CA 金鑰外洩，Chrome、Firefox 緊急封殺

8 個中介 CA 私鑰外洩，駭客可偽造任何網站的合法憑證；Google、Mozilla 10 月 20 日緊急撤銷，用戶請立即更新瀏覽器。

資安界投下震撼彈。印度憑證授權機構（CA）eMudhra 的 8 個中介 CA 私鑰遭到外洩，Google 的 Chrome Root Program 與 Mozilla 於 10 月 20 日證實此事，緊急撤銷受影響的憑證。這不是某家公司的資料外洩，而是網際網路「信任體系」本身的地基被動搖了。

為什麼 8 把金鑰能威脅整個網路

中介 CA 在憑證信任鏈中扮演「信任橋樑」：它負責簽署最終發給各網站的憑證。一旦這 8 把私鑰落入駭客手中，攻擊者就能「合法地」為任何網站簽發 SSL／TLS 憑證——銀行、電商平台、政府機關、社群網站，沒有一家能倖免。

最可怕的是：使用者的瀏覽器會把這些偽造憑證當成可信網站，安全警告機制形同虛設。駭客可以架設幾可亂真的釣魚網站騙取帳密，甚至執行中間人攻擊（MITM），攔截並解密加密流量、竊取敏感資訊。

用戶該怎麼做：立刻更新瀏覽器

瀏覽器廠商已經緊急發布更新，撤銷受損憑證。對個人用戶來說，防護只有一句話：立即更新所有瀏覽器（Chrome、Firefox、Edge）與作業系統。企業組織則應檢視內部憑證管理與金鑰儲存是否符合最佳實踐，並加強員工資安意識訓練——即使憑證顯示「安全」，可疑連結一樣不能點。

目前雖未有具體的實際利用案例或受害規模數字，但潛在威脅已經迫使全球瀏覽器與軟體廠商緊急應變。

連「信任本身」都可能出包

這起事件再次提醒：資安沒有絕對的堡壘。即使是看似最可靠的第三方憑證機構，也可能成為攻擊目標；信任鏈上任何一個環節出包，都可能引發全球性的連鎖衝擊。對每天處理門市銷售數據的零售業者來說，這類事件更凸顯：資料安全不是加分項，而是產品的基本盤。這也是看店勢把權限控管與資料安全放在產品設計核心的原因——信任一旦被破壞，要重建的成本遠比事前防範高得多。

資料來源

• The Hacker News（2026-10-20）：eMudhra 中介 CA 金鑰外洩事件原始報導
• ICSDA 資安漏洞與個資外洩日報（2026-10-21）：引述上述報導之整理