十分之一的Tor出口節點被拿來攔SSH連線：匿名網路的最後一哩，也是最脆的一哩

這起事件發生在2026年10月初，詳細調查報告於10月20日公開，因此現在值得回頭細看。攻擊者動用333個自己控制的Tor出口節點，協同攔截SSH連線，而整個Tor網路的出口節點總數約3000個。換句話說，有一成的出口流量，在那段時間可能經過攻擊者的設備。

先弄清楚Tor的出口節點是什麼

可以把Tor想成一個接力賽。你的流量會經過三個中繼站，第一棒知道你是誰但不知道你要去哪，第二棒什麼都不知道只負責轉傳，第三棒就是出口節點，它不知道你是誰，但它負責把流量送上開放網際網路，並且把回應帶回來。

關鍵就在第三棒。如果目標網站用的是HTTPS，出口節點只看得到你要連哪個網域，內容是加密的。但如果目標用的是HTTP，或是你連的是沒有憑證驗證保護的SSH連線，出口節點就能看到、甚至改動你的流量。這次攻擊選中的SSH正是這類裸露的環節。

攻擊怎麼進行

根據資安研究者的調查，攻擊者早在8月就已經控制了一批執行Tor節點的伺服器，在上面部署了Ebury 1.8.3。Ebury是一種針對Linux的OpenSSH後門與憑證竊取程式，等於先在伺服器層面裝了內應，再用這些伺服器當出口節點。

這次行動有兩個目的：收集未加密的電子郵件流量，以及攔截SSH連線。如果你的Tor回路恰好經過那333個惡意出口節點之一，當你嘗試透過22埠建立SSH連線時，請求會被重導到12臺SSH攔截伺服器的其中一臺。接下來的分岔在使用者手上：SSH客戶端跳出中間人攻擊警告時，如果使用者選擇忽略警告繼續連線，密碼就會被收走，攻擊者可以登入你的伺服器，看你輸入的每一條命令，再植入Ebury，讓感染繼續往外擴散。

::infigure skip::

（依站內純文字模式，本文不使用圖卡。）

Tor專案團隊在10月4日把這些節點標記為BadExit，讓Tor回路不再使用它們出口流量。10月5日所有惡意節點全部下線，部分是節點營運者接到通知後自行關閉，部分是攻擊者主動收攤。

這件事為何重要：出口節點的信任結構

Tor的安全模型建立在「三個中繼不會由同一方控制」的假設上。但這個假設有個現實漏洞：任何人都能架設出口節點。出口節點數量少、頻寬成本高，願意經營的人本來就不多，於是少數大型出口營運者佔了可觀的流量份額。攻擊者不需要攻破密碼學，只需要買頻寬、架夠多節點，就能讓隨機選路的結果有相當機率落到自己手裡。

這次十分之一的比例，正是把這個結構性弱點放大到所有人都看得見。而動機方面，研究者推測，考量到攻擊者收集的是未加密郵件資料，這波行動可能出於經濟利益。

一般使用者的三個實際檢查點

第一，SSH的憑證警告不是雜訊。這次攻擊能得手的前提，就是使用者無視客戶端跳出的中間人警告。正常情況下，你慣用的伺服器主機憑證不會無故改變，警告出現時先停手查證，比任何技術設定都有效。採用金鑰登入並停用密碼認證，也能讓竊取密碼這條路直接失效。

第二，別讓敏感明文流量經過你無法驗證的通道。Tor的價值在隱藏來源，不在保證內容機密，內容機密要靠端對端加密自己把關。

第三，企業若有人員基於研究或營運需求使用Tor連回內部系統，這次事件是一個具體的提醒：匿名層與認證層是兩件事，前者不能替代後者。這種「需求本身合法、供給端卻難以監管」的結構，和先前分析的有償駭客服務外包難以根除的處境有幾分相似，管得住名單，管不住需求。

Tor網路在事件揭露後數日內完成止血，反應速度值得肯定。但出口節點「誰都能開、開了就分流量」的設計不會因此改變。對使用者而言，與其記住這則新聞，不如記住那個反覆出現的原則：匿名工具保護的是你的身分，不是你的密碼。