本篇文章更新時間：2026/01/30
如有資訊過時或語誤之處，歡迎使用 Contact 功能通知。
一介資男的 LINE 社群開站囉！歡迎入群聊聊～
如果本站內容對你有幫助，歡迎使用 BFX Pay 加密貨幣 或 新台幣 贊助支持。
內容目錄
被當成駭客的專業：一場授權測試卻換來手銬與牢房
從 Iowa 郡法院事件，看滲透測試與公部門之間的信任裂縫
編輯前言：這起 2019 年的事件，讓我再次意識到資訊安全工作者在灰色地帶中求生的現實。授權文件到位、流程遵循完備，卻仍可能因誤解或不信任而遭到逮捕。文章來源：County pays $600,000 to pentesters it arrested for assessing courthouse security。
核心觀點 (Key Takeaways)
- 兩名 Coalfire Labs 的滲透測試員具備完整授權，卻仍遭警方以重罪入室行竊罪逮捕。
- 案件最後由郡政府支付 60 萬美元和解，但對兩位專業人員的名譽傷害已經造成實質衝擊。
- 事件凸顯出政府機關對「滲透測試」與「實際非法侵入」的理解落差，並可能對整個資安產業造成寒蟬效應。
深入解析
這起事件的核心，在於專業授權與執法現場對資訊安全工作的理解差距。原文提到，兩位測試員 Gary DeMercurio 與 Justin Wynn 根據 Iowa Judicial Branch 的書面授權，在當地法院進行 red-team 測試，包括「lockpicking」等物理攻擊都被列入允許範圍內。
原文指出他們的工作「explicitly permitted 'physical attacks' including 'lockpicking'」。
他們在半夜找到法院側門未上鎖，依照測試流程先將門關上讓其鎖定，再用簡易工具觸動門縫內的機制進入。這一切是「常規操作」。然而警報響起後，趕到現場的地方警長並未採納他們出示的授權資料，而是直接以重罪起訴，將兩人關了 20 小時，還以每人 5 萬美金交保。
- 執法端的誤解與反彈：文章中提到，縱使事後指控降為輕罪 trespassing，Dallas County 的 sheriff 仍堅稱這兩人「非法入侵」，並公開要求起訴到底。
- 名譽與職涯的損害：在資安圈，任何犯罪指控都可能讓專業人士失去未來案子。Wynn 說得很直白：「這起事件讓所有滲透測試員都感到寒意。」
筆者心得與啟發
讀到這裡，我心裡浮現的一個問題是：在一個高度倚賴第三方測試來確保安全的世界裡，為什麼授權仍不足以保護專業人員？
滲透測試本質上就是「模擬攻擊」，許多行動在旁觀者眼中自然會像犯罪行為。但這並不能成為忽視專業流程與授權文件的理由。這起案件的最大啟示在於：
- 滲透測試不只需要技術流程，也需要跨部門溝通，尤其是執法端。
- 政府單位若無法理解資安測試的邏輯，將嚴重影響整體公共安全。
- 對企業與政府來說，授權測試不是「簽個文件」那麼簡單，而是需要完整的協作框架。
在實務上，如果我未來需要進行 red-team 測試，這件事會讓我更加謹慎：不只要取得授權，還必須「確保所有相關單位 — 含警方 — 都知情」。否則再完整的文件，在衝突現場可能仍然救不了你。
這起事件提醒了我們，資訊安全不是只有技術，也牽涉制度、溝通與信任。如果連合法測試都會被當成犯罪，那真正的安全漏洞又該如何面對？