iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

傳蘋果將全力追查洩密人士
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2021/9/22/22687747/tim-cook-employee-leak-memos-do-not-belong-at-apple" target="_blank">據The Verge報導</a>，由於蘋果經常有內部信件外流，使不為人知的祕密及產品上市前曝光，蘋果將開始全力追查內部的洩密者。</p> <p>報導引述蘋果執行長庫克（Tim Cook）一封內部公開信，信中談及公司防疫措施，以及針對本月稍早<a href="https://www.ithome.com.tw/news/146681" target="_blank">該公司與Epic Games的官司</a>結果，蘋果決定「向前看」。在這項官司中，法院判決蘋果不得限制iOS開發人員在App中，將用戶引導到其他付費管道。</p> <p>但庫克話鋒一轉，談到在上周iPhone 13系列、新iPad及Apple Watch Series 7發表會前，已經有媒體搶先報導，顯示產品資訊已提早外流給媒體。他表示，公司將盡一切力量來找出是誰洩露資訊，蘋果不容許機密資訊外洩，包括產品智財或機密會議的細節。</p> <p>庫克嚴厲指出，洩密者不屬於公司，暗示一旦確認有洩密行為的員工，可能將予以開除處分。</p> <p>蘋果向來對產品資訊保密到家，對外洩者向來嚴懲，即使是不小心的。2017年一名iPhone X開發團隊工程師的女兒在產品上市前試玩，並把<a href="https://www.ithome.com.tw/news/117838" target="_blank">當時未上市的iPhone X拍成影片上傳</a>，導致這名工程師遭蘋果解雇。隔年蘋果重申嚴禁外洩資訊，並稱<a href="https://www.ithome.com.tw/news/122448" target="_blank">已抓到29名員工、約聘人員及供應商應洩露產品資訊給媒體</a>，其中12人就逮。</p> </div></div></div>
2021/9/24 15:30作者林妍溱https://www.ithome.com.tw/news/146872
歐盟將立法強制要求裝置必須具備USB-C充電線插槽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/docsroom/documents/46755" target="_blank">歐盟委員會周四提案</a>，將以法律要求在歐盟境內銷售的手機及小型裝置需具備USB-C的充電線插槽，新法令也將衝擊走專屬規格的廠商，例如使用獨家Lightning規格的蘋果。</p> <p>歐盟委員會提出的《無線電設備指令》（Radio Equipment Directive）修正草案中，要求在歐盟銷售手機等多種類別電子產品，都需提供USB-C作為統一充電規格。新指令涵括的電子設備包括智慧型手機、平板、相機、耳罩型耳機、可攜式喇叭及掌上型遊戲機等。</p> <p>但一些裝置，因為太小或使用情境問題，並不適用新法令，包括入耳式耳機、智慧型手錶或健身手環等穿戴產品。</p> <p>歐盟委員會主席 Thierry Breton指出，隨著消費電子愈來愈多，電子產業賣出太多不相容且不必要的充電器，這一切必須結束。在新草案下，歐盟消費者未來所有可攜電子設備都只需使用一個充電器，以減少電子垃圾及消費者的使用不便。</p> <p>根據歐盟提供的數字，全球每年消費者花在買充電器的費用達24億歐元，而丟棄及未使用過的充電器估計高達1.1萬噸。</p> <p>新草案另外還將限制電子設備充電速度，要求以相容充電器的充電速度相同。新指令並禁止充電器和消費電子裝置搭售。歐盟表示這將可減少銷售及生產不必要的充電器，可減少資源耗用、浪費，以及丟棄後產生每年數千噸的電子垃圾。</p> <p>此外，新法案也要求電子設備製造商必需提供充電效能資訊，包括裝置需要的電力，與是否支援快速充電等資訊，以利消費者決定是否該買、以及選擇相容的充電器。</p> <p>一如預期，蘋果對歐盟的新政策表達不滿。這將直接衝擊使用專屬Lightning規格的蘋果產品。<a href="https://www.bbc.com/news/technology-58665809" target="_blank">蘋果對BBC表示</a>，該公司認為此一嚴格法規要求單一連接器，將扼殺而非鼓勵創新，未來將對歐洲與全世界消費者帶來傷害。</p> <p>最新修正草案將送交歐洲議會和歐洲理事會審議表決及採納。若經採納，將在24個月的過渡期後上路實施。</p> <p>本草案僅規定裝置端的充電線插槽，至於外部電源、電池的相容性問題則將由歐盟《生態設計規範Ecodesign Regulation》解決，後者預計今年內啟動，配合今天的草案推動充電設備統一化。</p> </div></div></div>
2021/9/24 14:21作者林妍溱https://www.ithome.com.tw/news/146868
蘋果修補舊款裝置的零時差攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在9月23日更新了舊版的iOS 12與macOS Catalina，修補已遭駭客開採的3個安全漏洞，其中的兩個是蘋果在9月中旬，先行針對新裝置所修補的<a href="https://www.ithome.com.tw/news/146698" target="_blank">CVE-2021-30860及CVE-2021-30858</a>，另有一個是最近才被發現的CVE-2021-30869。</p> <p>新的CVE-2021-30869漏洞存在於蘋果作業系統所使用的XNU核心，是由Google的研究人員所發現，為一類型混淆漏洞，允許惡意程式以核心權限執行任意程式，而且坊間已有鎖定該漏洞的攻擊程式。</p> <p>兩個舊漏洞分別是CVE-2021-30860與CVE-2021-30858。前者出現在蘋果圖像渲染函式庫CoreGraphics，為一整數溢位漏洞，當它處理一個惡意的PDF檔案時，可能允許駭客執行任意程式，後者則藏匿在WebKit，它是個釋放後使用漏洞，在處理惡意的網頁內容時可能造成任意程式執行。</p> <p>上述3個漏洞都已被開採，蘋果率先修補新裝置的CVE-2021-30860與CVE-2021-30858漏洞，此次才修補舊裝置的相關漏洞，以及CVE-2021-30869。</p> <p>23日釋出的<a href="https://support.apple.com/en-us/HT212824" target="_blank">iOS 12.5.5</a>適用於iPhone 5s/6/6 Plus，iPad Air、iPad mini 2/3與第六代的iPod touch，同時修補了3個漏洞。新版的<a href="https://support.apple.com/en-us/HT212825" target="_blank">2021-006 Catalina</a>則僅修補CVE-2021-30869。</p> </div></div></div>
2021/9/24 14:34作者陳曉莉https://www.ithome.com.tw/news/146869
MedTech醫療科技月報第4期：行政院BTC建議衛福部新世代醫院智慧化方案，要加速升級各級醫院IT系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0816～0915)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行政院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康大數據平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新世代醫院智慧化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>政院BTC瞄準4方向，呼籲衛福部提出新世代醫院智慧化方案，加速各級醫院IT系統升級</strong></span></p> <p>影響國家生技產業發展藍圖的行政院生技產業策略諮議委員會議（BTC）8月底召開三天大會，<a href="https://bost.ey.gov.tw/Page/5E4F83982214BC6/794d457a-af31-422d-b6b1-45e99846c8b2">公布四大發展方向</a>，包括完善生態系、建置健康大數據平臺、跨域防疫科技創新和強化國際鏈結。</p> <p>完善生態系強調國內外人才培育，不只培育生醫領域人才，還包括資料科學家、醫師科學家，並要建立人才庫。除了人才，法規制度也是完善生態圈一環，BTC強調平衡監管產業發展需求，將推動制定數位/智慧醫療應用的審查流程和指引，並推動遠距醫療適用範圍和給付制度。</p> <p>再來，在健康大數據平臺部分，BTC參考美國國衛院發起的All of Us健康大數據計畫，組成All of Ts（Taiwanese）、成立臺灣卓越數位健康中心，來長期收集、研究國人健康數據，並參照EPIC健康系統、採用國際標準化格式，來接軌國際。</p> <p>同時，BTC也要推動前瞻和回溯性資料商業化、建立商業平臺，讓數據可以合法使用，並由公私協力模式來營運大數據平臺。另一方面，BTC也建議善用健康大數據庫和沙盒，來推動AI投入前瞻性資訊分析及預測系統，鼓勵國內外廠商設立研發中心。</p> <p>在跨域防疫科技創新部分，則是要扶植智慧醫療關鍵技術，像是AI、ML用於診斷、檢測、品質控管和醫材製造等領域。另一個重點是，建議衛福部儘速提出「新世代醫院智慧化方案」，加速各級醫院升級資訊系統。</p> <p>最後，強化國際鏈結的建議是推動國際策略聯盟，設置獎勵併購及策略聯盟機制，由政府提供配套支援，同時還要由政府推動，匯集民間力量設置精準健康大型投資基金，投資國內外具前瞻性的案件。<a href="https://www.youtube.com/watch?v=LwjJVPUTryE&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E7%A7%91%E6%8A%80%E6%9C%83%E5%A0%B1%E8%BE%A6%E5%85%AC%E5%AE%A4">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分享 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫苗通行證 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>蘋果健康資料分享功能正式上線！疫苗接種憑證還能證件化存在錢包</strong></span></p> <p>蘋果近日宣布重磅消息，使用者可在iOS最新版本中使用健康資料分享功能，能將裝置中健康App的健康紀錄（EHR）資料分享給醫生，第一波聯手六大EHR廠商，包括Allscripts、athenahealth、Cerner、CPSI、DrChrono 和 Meditech Expanse。</p> <p>與此同時，iOS 15也能讓使用者在健康App中，儲存驗證用的健康資料（如COVID-19疫苗接種記錄和檢驗記錄），只要是以SMART Health Cards架構開發的都行。使用者可分享這些資料給第三方機構，如機場、活動場地、企業等。</p> <p>蘋果更預告，即將推出的軟體更新，還能讓使用者將疫苗接種記錄轉換為證件，儲存在蘋果錢包（Apple Wallet）中，而對發行SMART Health Cards臨床資訊記錄的組織來說，還會多個按鈕，讓使用者知道自己能安全地下載、儲存相關資訊至健康App中，並能從蘋果錢包帶出這些資訊，給有關單位查核。<a href="https://developer.apple.com/news/?id=7h3vwlh5">（詳全文）</a></p> <p><img alt="" src="https://devimages-cdn.apple.com/wwdc-services/articles/images/E483E055-485B-4DDE-A57F-360323BC1C40/2048.jpeg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰綜合醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新創結盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料盤點 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>人力不足如何拼醫療AI？國泰醫院採新創結盟策略</strong></span></p> <p>談及AI，國泰綜合醫院資訊部部長曾景平透露，國泰醫院採取與新創結盟策略，以醫院提供去識別化資料、新創提供技術的模式，來發展醫療AI系統。</p> <p>這是因為，國泰醫院IT人力共50多名，負責4院區系統開發和維護，難以像教學醫院般，有足夠的能量研發醫療AI。而在新創結盟模式下，他們也打造不少AI系統，像是腸道內視鏡影像判讀AI、肺部電腦斷層影像判讀AI和敗血症預測AI等。接下來，國泰醫院要繼續發展影像判讀領域，還要瞄準病歷書寫、治療建議輔助等領域，一方面優化臨床流程、一方面將技術商業化。</p> <p>但隨著技術演進，醫院資料來源越來越複雜，資料量更急速暴增。為迎戰新難關，國泰醫院從資安和全院個資盤點雙管齊下。在資安部分，他們訂出整體資安防護策略，今年到明年中的短期計畫是，強化上網瀏覽安全管理、伺服器權限管理、導入資安監控SIEM平臺，明年中期計畫則要落實內網合規存取、社交工程和災難復原演練等，還要完成ISO與ISMS資安檢核作業。</p> <p>而在全院資料盤點上，國泰醫院的目標是掌握每一份資料的去向。有別於個資法上路時的重點式法規面盤點，這次，國泰醫院改從系統面切入，甚至從資料再利用的角度來盤點個資。他們根據法務法規，打造一套資料分級和來源盤點系統，來讓全院全單位填寫，要理出每份資料的流動軌跡，不只強化資安、可溯源，還能打下未來資料加值應用基礎，發展更多行動化醫療服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄特色醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 杜奕瑾 </span></strong></span></p> <p><span style="font-size:22px;"><strong>杜奕瑾揭臺灣4大醫療聯合學習進展，高市府發起高雄醫療特色FL專案</strong></span></p> <p>推動國內醫療聯合學習多年的臺灣人工智慧實驗室（AI Labs）創辦人杜奕瑾，日前在臺灣智慧醫療高峰會上揭露臺灣醫療聯合學習進展。AI Labs在去年11月，正式聯手政府部會和多家醫院，成立了臺灣醫療聯合學習聯盟，至今也執行了4大聯盟專案。</p> <p>首先是北榮放射線部部主任郭萬祐發起的腦轉移瘤AI輔助系統DeepMets，專案參與者包含臺北榮總、臺中榮總、花蓮慈濟、高雄榮總（暫定），再來還有北醫發起的重症病房敗血症48小時預測系統，參與成員包括新店耕莘醫院、桃園敏盛醫院、童綜合醫院以及高雄澄清醫院。另一個專案則是臺大醫院發起的武漢肺炎胸部X光自動檢測系統，這套系統於去年初打造，經過健保醫療影像資料庫驗證，並與北醫附醫共享這套模型。</p> <p>最後一個專案很特別，是由高雄市政府聯手高雄榮總、高雄長庚、高醫、義大醫院等發起的高雄醫療聯盟聯合學習專案。他們的目標是要以高雄醫療特色為出發點，結合5G、AIoT等技術，來發展精準健康應用。</p> <p>另一方面，杜奕瑾也盤點國際醫療聯合學習趨勢，包括2019年發起的Mellody專案，目的是透過聯合學習平臺來訓練藥物探索機器學習模型，專案成員來自世界各大藥廠和生技公司，如拜耳、AZ、默克、安進（Amgen）等。</p> <p>另一個例子則是歐洲發起的GenoMed4All倡議專案，要借助AI加速分析血液疾病。專案成員遍布歐洲各大國家，像是西班牙的基因管理中心、歐洲創新科技研究院、德國的慕尼黑白血實驗室等，他們要建立一個橫跨歐洲的大型分散式多體學健康資料庫，收錄EHR、MRI、CT和次世代定序（NGS）等類型資料。</p> <p>其他例子還包括美國發起的COVID-19重症風險預測AI專案、史丹佛大學教授李飛飛去年發起的AIoT疫情居家照護專案、2020年美國麻州總醫院發起的COVID-19病情惡化預警專案等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI聯盟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺中榮總智慧醫療下一步：發展醫療AI聯盟產業</strong></span></p> <p>臺中榮總重症醫學部主任吳亮杰日前揭露臺中榮總智慧醫療發展5階段藍圖，自1987年以來，中榮已完成醫療資訊系統建置、醫療作業資訊化，2016年起也展開醫療流程智慧化、AI醫療，今年及未來目標，則是持續精進AI醫療、開創醫療AI聯盟產業。</p> <p>中榮智慧醫療在過去數十年裡拿下不少里程碑，比如早在1993年就已無片化，後來也陸續完成無紙化、醫療儀器聯網、雲端健保資料整合，今年也發展了精實管理和AI精準醫療照護。</p> <p>在AI醫療部分，中榮在2020年成立中榮AI工作室、發起5年計畫，要落實「一部、一科、一室、一AI」，還要建置全院通用的資料庫。今年，中榮進一步擴大這個5年計畫，成立智慧醫療委員會，要來管理、使用大數據資料，發展醫療AI，此外還要推動AI產學合作、產品產業化，以及精準醫療。這個委員會成員橫跨數十個單位，如內外科、婦女醫學部、神經醫學中心、急診部、醫企部和品管中心等，要透過組織再造來布局智慧醫療。</p> <p>與此同時，中榮展開超過半百個智慧醫療專案，也執行不少國家重大專案，如Zoe：AI+HI智慧重症照護診療系統與跨院實踐新模式、健康大數據永續平臺四年計畫，以及科技部推動的臺灣智慧醫療聯盟聯合臨床試驗流程規畫平臺建置等。</p> <p>接下來，中榮要在這些基礎上，將實作成果（如Zoe重症照護系統）導入臨床應用，並開發AI協作的醫護工作儀表板、快速呈現所需資訊。另一方面，中榮也將採聯合學習方式，來跨院進行臨床驗證，並將這個經驗運用到臺灣智慧醫療聯盟中。不只是技術驗證，中榮還有另一個目標，要將技術轉化為專利、拿到臺灣食藥署或美國FDA的SaMD認證。</p> <p>最後，中榮未來也將緊隨國家生技發展策略，要組成All of Ts、成立臺灣卓越數位健康中心，來營造數位醫療生態系，另一方面也將建置健康大數據平臺，並利用健康大數據庫和沙盒來應用AI於前瞻性資訊分析，最後還要強化國際連結，推動國際策略聯盟、引導海外資金投注生醫產業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-09-24%20at%2011_13_41%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新南威爾士 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫苗護照 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新南威爾士政府開發疫苗護照App，將在10月初試行兩周</strong></span></p> <p>澳洲新南威爾士州將於10月6日展開為期兩周的COVID-19疫苗護照App試行，目的是要為10月11日的場所重新開放做準備，州政府也希望在那之前，達到70%人口接種第兩劑疫苗。</p> <p>這款疫苗護照App由州政府開發，要用來簡化人民進入酒吧、餐廳等場所的檢查流程，讓民眾不必再從不同App中秀出QR Code。進一步來說，該App整合了兩大資料來源，一是儲存於州政府App的場所進入資料，另一是儲存於聯邦政府App的疫苗接種資料。這次試驗約有500名志願者參加，他們大多來自老年照護中心和社區社團等組織。</p> <p>與此同時，層級更高的澳洲聯邦政府也正打造一款App，來儲存疫苗接種記錄和檢驗結果。澳洲數位健康局也針對這款App招標，要在今年12月前推出Android和iOS版本的App。<a href="https://www.smh.com.au/national/nsw/how-nsw-s-vaccine-passports-will-work-20210922-p58ts9.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NHS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 腦部手術模擬 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫院 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英國健保署試用AI腦部手術模擬軟體，要讓手術更安全</strong></span></p> <p>英國國民健保署NHS近日宣布試用一套AI腦動脈瘤手術模擬軟體，醫生可從中模擬手術流程，提高手術安全性。腦動脈瘤具複雜結構，通常只有幾毫米，容易在手術中出現難以預測的行為，而手術還需搭配支架，但目前臨床醫生還未有一致或準確的方法來替患者選擇最佳支架。</p> <p>而這套軟體技術PreSize標榜能協助醫生選擇最佳支架，提高患者神經血管手術安全性，一方面也替NHS省成本。該技術已於教學醫院使用，接下來將於6個NHS合作醫院試行。<a href="https://oxfordheartbeat.com/technology/">（詳全文）</a></p> <p>圖片來源／BTC、蘋果、臺中榮總</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 數位醫療新創長佳智能興櫃，已有3醫療AI產品取得TFDA藥證，可望再取美FDA認證</strong></p> <p><strong>2. 北科大聯手北醫大成立聯合研發中心，要加速智慧醫材產業化</strong></p> <p><strong>3. 施振榮揭露宏碁智醫目標，要藉IT強項研發個人化疫苗</strong></p> <p>資料來源：iThome整理，2021年9月</p> </div></div></div>
2021/9/24 11:24作者王若樸https://www.ithome.com.tw/news/146867
Apache Kafka 3.0.0持續更新共識機制KRaft，並著手清理舊支援與設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.apache.org/kafka/entry/what-s-new-in-apache6">Apache Kafka 3.0.0</a>正式發布，在眾多更新中，這個版本最重要的兩個重點，是API變更以及對KRaft的改進，而KRaft是Apache Kafka新的內建共識機制，將會取代分散式系統協調服務Apache ZooKeeper。</p> <p>從Kafka 2.X版本開始，官方就開始啟動移除Apache ZooKeeper的計畫，ZooKeeper在Kafka中扮演協調代理的角色，當代理伺服器啟動時，需要向ZooKeeper註冊，並由ZooKeeper管理代理的狀態，也協助代理之間溝通與資訊同步，因此在過去，Kafka需仰賴ZooKeeper才能運作。</p> <p>但是ZooKeeper是獨立運作的系統，因此用戶在使用Kafka的同時，還必須執行一套ZooKeeper系統，產生的問題除了資源浪費外，由於Zookeeper作為外部元資料儲存服務，隨著Kafka擴展Zookeeper所儲存的元資料越多，載入的時間也越長，進而限制了Kafka叢集擴展。</p> <p>因此官方在近期的次要版本，重點都擺在Kafka Raft元資料模式（KRaft）這個Kafka內建的共識機制，以此作為Zookeeper的替代方案。不同於Zookeeper，KRaft是內建在Kafka中的控制器，能在Kafka叢集內部執行，或是在特殊使用情境，移至專門的機器上執行也沒問題。</p> <p>Kafka 3的更新重點之一，也還是放在KRaft改進上，目前KRaft進入預覽階段，尚未完全取代Zookeeper，不過在部分系統運作上，已經逐漸不需要Zookeeper。</p> <p>在3.0中，KRaft新加入的功能KRaft快照，讓KRaft控制器和KRaft代理，來為名為__cluster_metadata的主題分區，產生、複製和載入快照，官方解釋，Kafka叢集使用該主題，來儲存和複製有關叢集的元資料資訊，諸如代理配置和主題分區分配等，當這些狀態隨著時間增加變得複雜，Kafka快照能以有效率的方式，儲存、載入和複製資訊。</p> <p>為了要讓Kafka，能順利地從Zookeeper切換到KRaft，開發團隊重新設計了該工具的元資料記錄類型，並讓KRaft控制器開始在Zookeeper和KRaft模式下，負責產生Producer ID。而在Kafka Connect上，強化了任務重啟功能，且改進Kafka Streams基於時間戳的同步功能，並賦予MirrorMaker2更靈活的配置選項。</p> <p>除此之外，官方也開始一些清理工作，像是Kafka不再支援訊息格式v0與v1，從2017年開始，訊息格式v2就一直是預設格式，因此他們決定在Kafka 3中棄用舊版本，官方提到，舊格式已經很少被使用，在Kafka 3中，當用戶選擇使用舊版本訊息格式，將會收到警告，預計Kafka ４就會刪除。</p> <p>另外，官方也宣布在Kafka 3棄用Java 8的支援，包括所有Kafka中的Java 8元件，官方提到，Kafka 4將計畫移除Java 8的支援，而現在給用戶緩衝的時間進行更改。同時，Kafka 3也棄用Scala 2.12，對該語言的支援同樣會在下一個主要版本移除。</p> </div></div></div>
2021/9/24 10:45作者李建興https://www.ithome.com.tw/news/146866
8家銀行2大航運商共組環球貿易共享區塊鏈，金管會核准試辦以解決企業重複融資與資料造假問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月，國泰金控發布環球貿易共享區塊鏈，找來多家銀行共組跨行聯盟，以區塊鏈技術打造企業金融資料交換的金融同業平臺，鎖定進出口貿易融資場景，要解決跨銀行重複融資，以及假提單貸款問題，以強化銀行的風險控管能力。</p> <p>國泰金控與國泰世華銀行在今天（9/23）共同宣布，環球貿易共享區塊鏈近期已正式獲得金管會銀行局核准試辦，參與聯盟鏈的成員包括上海商銀、國泰世華、台中銀行、新光銀行、陽信銀行、遠東商銀、元大銀行、永豐銀行等8家銀行。此外，國內兩大航運商陽明海運、長榮海運也已加入，介接貨運提單資訊到共享區塊鏈上。</p> <p>環球貿易共享區塊鏈有2大功能。一是讓聯盟銀行可在區塊鏈平臺上，查詢企業是否有重複融資；第二是，透過與航運商介接航運資料，來解決資料造假的問題。獲得核准試辦後，預計1～2個月之內可以正式上線。</p> <p>國泰世華銀行副總經理溫珍瀚表示，此次試辦是以一個新方式來從事銀行在進出口貿易商與航運商的金融服務。因此，試辦期間的重要指標，是資訊安全、系統的穩定，以及讓平臺充分發揮預設的功能，讓各家銀行在操作上具備足夠的信心。</p> <p>為了保護聯盟中各家銀行交易隱私，國泰金控數位架構發展部專案經理楊俊書表示，只會將加密過後的提單編號放上區塊鏈，而不會分享整張提單的全部資料。目的是讓聯盟銀行在平臺上查詢比對，防範企業拿著同一份提單跨行重複融資。一旦發現重複融資的狀況，這個區塊鏈平臺會發出警示，來藉此強化銀行交易風險控管。</p> <p>未來，楊俊書透露，國泰正在規畫更多新功能，讓各合作夥伴在區塊鏈上，可同時兼顧透明與匿名兩大特性，以利更多業務合作。</p> <p>至於與兩大航運商合作部分，楊俊書提到，國泰已與長榮海運、陽明海運完成測試串接，待平臺正式上線後，經過貿易商在平臺上授權，兩家航運業者便能將相關航運數據，以API介接到環球貿易共享區塊鏈上，來驗證交易的真實性。未來，參與聯盟鏈的銀行核貸時，不用再向企業客戶索取，而是透過與航運商直接介接，來取得提單資料，並把這些資料上鏈，以解決資料造假的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11_37_11.png" /></p> <p>這個環球貿易共享區塊鏈，第一階段已與長榮海運與陽明海運介接相關航運數據。同時，也持續與全球兩大航運區塊鏈聯盟GSBN（Global Shipping Business Network）、TradeLens接洽串接中。楊俊書表示，GSBN今年剛正式成立，加入聯盟的航運商還在成長中。目前，因涉及一些商業條款，只有在國泰世華銀行的企業客戶使用到這兩大聯盟的航運商運輸時，國泰才會向這兩大聯盟索取相關航運資料。</p> <p>為了讓平臺資料樣態更為豐富，國泰金控表示，該聯盟目前正與海空運承攬業者鑫享科技、物流供應鏈管理平臺天脈科技，以及電子提單系統商Bolero洽談中，希望藉此擴大資料源。</p> <p>國泰金控數位架構發展部協理陳維銘表示，未來國泰會進一步將不同的區塊鏈聯盟逐一搭配，「建立一個金融與非金融業務交錯的生態體系」。</p> <p>陳維銘進一步提到，去年國泰推出的電動車車聯網區塊鏈金融平臺，不只特斯拉（Tesla）車主，也開始與Volvo電動車車主洽談中。此外，在金融場域，國泰將從產險或壽險聯盟區塊鏈發展，甚至，從金融場域衍生出來的區塊鏈應用場景，包含醫療體系或健康管理中心等應用，也是國泰未來發展方向。</p> <p>另外，楊俊書透露，國泰正在規畫跨鏈交易與跨鏈傳輸，並一直在嘗試相關技術。因為，國泰要建立的生態圈，不只是將自家建立的聯盟串連在一起，而是要做到跨鏈交易，他說。文⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-09-23%20%E4%B8%8A%E5%8D%8811_39_29.png" /></p> </div></div></div>
2021/9/23 18:28作者李靜宜https://www.ithome.com.tw/news/146846
Google釋出目前最大型的圖文資料集WIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了以維基百科為基礎的大型多模態資料集<a href="https://ai.googleblog.com/2021/09/announcing-wit-wikipedia-based-image.html">WIT</a>，藉由擷取維基百科中相關聯的文字段落，以及維基媒體圖像所組成，這些資料經過嚴格的篩選過濾，僅收集高品質的圖像文字集。WIT資料集內含3,750萬筆圖文樣本，包括了108種語言，和1,150張獨特的圖像。</p> <p>研究人員提到，多模態視覺語言模型，仰賴豐富的訓練資料集，來對圖像和文字之間的關係進行建模，而在過去，這些資料集必須透過手動，替圖像加上標題，或是使用爬蟲擷取網頁圖片的替代文字，作為註解。</p> <p>雖然人工製作的資料集品質較高，但是也因為需要大量的手動註解工作，因此限制了可以產生的資料量，相反的，雖然自動方法可以產生更大的資料集，但是需要以啟發式方法，仔細過濾內容，來確保資料品質，以及模型的效能。而且當前的資料集還有另一個缺點，便是欠缺非英文的樣本。</p> <p>為此，Google研究人員製作了WIT資料集，提供一個包含多種內容的高品質、大型且多語言資料集。WIT是目前最大的公開圖文範例資料集，其涵蓋的語言比任何資料集還要多10倍，更重要的是，WIT和每個圖像只有一個標題的典型多模態資料集不同，WIT中的圖像註解為段落甚至是章節等級的上下文資訊。</p> <p>研究人員提到，WIT的目標是要在不犧牲品質和覆蓋率的情況下，創建大量資料集，而由於目前維基百科是世界上最大的線上百科全書，因此他們決定使用維基百科來創建資料集。研究人員選擇包含圖片的維基百科頁面，並且擷取圖像周圍的文字，刪除像是預設填充文字等，來確保資料的品質，研究人員也篩選圖像，確保圖像在一定尺寸以上，還排除仇恨言論，使其適用於各種研究上。</p> <p>研究人員邀請人類編輯，來對WIT進行評估，在圖文搭配上獲得98％的滿意度。由於維基百科涵蓋廣泛的概念，因此WIT評估資料集也可當作是具有挑戰性的模型基準，研究人員表示，WIT資料集可以讓其他研究人員，建構更好的多模態多語言模型，最終改善用於現實世界視覺語言任務的機器學習模型。</p> </div></div></div>
2021/9/23 23:23作者李建興https://www.ithome.com.tw/news/146847
資料科學工具JupyterLab現提供獨立桌面應用程式版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jupyter發布<a href="https://blog.jupyter.org/jupyterlab-desktop-app-now-available-b8b661b17e9a">JupyterLab應用程式</a>，這是跨平臺獨立的應用程式版本，其綑綁了Python環境以及數個常用的Python函式庫，方便開發者用於科學運算和資料科學工作流程中。JupyterLab應用程式能夠在Debian和Fedora等Linux發布版本、macOS和Windows作業系統上安裝，用戶現在就可以從GitHub頁面下載安裝程式。</p> <p>JupyterLab應用程式以開源框架Electron為基礎，在嵌入式瀏覽器中執行JupyterLab前端，而JupyterLab後端以及Python函式庫，則是透過conda Python環境提供，環境中的函式庫，則包括numpy、scipy、pandas、ipywidgets和matplotlib等熱門科學運算函式庫。</p> <p>官方提到，JupyterLab應用程式是自最初JupyterLab版本發布數年後，所進行的更新和現代化成果，他們會持續根據用戶的回饋，來定義該專案的發展路線。</p> </div></div></div>
2021/9/23 23:27作者李建興https://www.ithome.com.tw/news/146848
Google雲端推出能簡化GKE持續交付任務的託管服務Deploy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端針對GKE推出託管持續交付服務<a href="https://cloud.google.com/blog/products/devops-sre/google-cloud-deploy-automates-deploys-to-gke">Google Cloud Deploy</a>，使得用戶對GKE的持續交付工作更容易快速。Google提到，持續交付指得是將容器映像檔部署到各種環境中的工作，而這項工作複雜度很高，在Kubernetes環境中，目前沒有公認的最佳實踐，要建置和擴展持續交付工具、工作管線和可重複流程，是一項需要大量經驗的工作。</p> <p>Google Cloud Deploy是官方釋出來簡化GKE持續交付工作的服務，其提供三方面的優勢，分別是擁有成本、安全和稽核，以及整合。Google提到，用戶自己建立Kubernetes持續交付的營運成本很高，執行包括找出最佳且可重複的實踐，擴展交付工具和工作管線，並且維持更新狀態等工作，不只需要大量資源，也會占用企業發展核心業務的時間。</p> <p>Deploy為一項託管服務，讓用戶能夠以宣告的方式，定義結構、交付工作管線和目標，並且因為每個發布版本分開儲存，Google表示，當用戶的交付工作管線變更時，發布版本的生產路徑仍維持不變，因此交付工作管線的變更，不會影響正在執行的版本。</p> <p>操作持續交付系統的用戶具有不同的角色，並且需要做出各種決策，但是並非所有用戶和決策，都使用相同的權限。像是能夠定義交付工作管線並進行更新的用戶，不代表應該具有創建發布版本的權限；而能夠發布更新版本，也不代表有權限能夠核准並且使其進入生產階段。</p> <p>而Google Cloud Deploy提供高精細度的控制，提供離散資源存取控制，和執行等級安全性，管理員可以使用流程管理功能，像是發布升級、回退或是核准等，方便地賦予使用者的權限。</p> <p>Google還強化這項託管持續交付服務，和GKE交付工具生態系整合的能力，用戶可以透過連接到持續整合系統、核准或操作工作流程，以及支援第三方的Pub/Sub通知，與既有的系統整合。Google提到，要將Google Cloud Deploy連接到現有的持續整合工具很簡單，在用戶建置容器後，Deploy便會創建一個交付工作管線版本，並且啟動Kubernetes清單配置和部署程序。</p> <p>Google還提到，交付至Kubernetes通常會隨時間產生變化，Deploy透過Kubernetes開發工具Skaffold，讓用戶標準化開發和產品環境中的配置。對於剛開始使用Kubernetes的企業，可以使用原始的清單，當交付工作逐漸變複雜，便可以使用Helm、Kustomize和kpt等進階工具， Deploy與Skaffold的組合，供用戶簡單地過渡使用這些進階工具，而不會影響交付工作管線。</p> </div></div></div>
2021/9/23 23:30作者李建興https://www.ithome.com.tw/news/146849
微軟替Windows 11熱身：更新Surface產品線，推出全新的高階筆電Surface Laptop Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2021/09/22/introducing-new-surface-products-built-for-windows-11/" target="_blank">微軟在本周三（9/22）更新了宣稱是專為Windows 11打造的Surface產品線</a>，發表升級版的Surface Pro 8、Surface Go 3與Surface Pro X等二合一裝置，採用Android作業系統的Surface Duo 2雙螢幕手機，以及全新的高階筆電Surface Laptop Studio。除了Surface Duo 2之外，它們在出貨時全都將內建Windows 11。</p> <p>微軟的Surface家族至少有10種產品，其中，所謂的二合一裝置指的是搭配可拆卸的鍵盤，讓它同時具備筆電與平板電腦的功能。</p> <p>在這些二合一裝置中，最低階的是鎖定教育市場的Surface Go 3，它採用10.5吋的螢幕，搭載Intel Core i3處理器，執行效能比前一代快上60%，重約1.2磅（545公克），最低配置的售價為399.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Go%203.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>Surface Pro 8則是相對高階的二合一裝置，採用第11代的Intel Core處理器，13吋的觸控螢幕，效能可達Surface Pro 7的兩倍，電池續航力達16個小時，號稱是市場上最強大的二合一裝置，最低配置的售價為1099.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Pro%208-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>新版的Surface Pro X則是搭載由微軟與高通共同設計的Arm架構處理器SQ2，內建Windows 11與64位元模擬器，包括Microsoft Teams、Office、Adobe Photoshop及Lightroom等應用程式，皆已針對該處理器進行最佳化，並首度推出僅支援Wi-Fi的機種，最低配置的售價為899.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Pro%20X-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>14.4吋的Surface Laptop Studio則是Surface家族的最新成員，被視為該家族有史以來最強大的裝置，除了已針對Windows 11最佳化之外，主要鎖定開發者、創作者、設計者及遊戲玩家等族群。</p> <p>雖然Surface Laptop Studio被視為高階筆電，但因其螢幕與鍵盤之間採用動態且耐用的編織絞鍊，因此提供了3種使用模式，包括傳統的筆電模式（Laptop mode），可用來展示或觀賞串流影片的舞台模式（Stage mode），以及方便寫作及素描的工作室模式（Studio mode）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Laptop%20Studio%20by%20%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>Surface Laptop Studio搭載的是第11代的Intel Core H35處理器、與Nvidia GeForce RTX繪圖處理器，最低配置的售價為1599.99美元。</p> <p>Surface Duo 2則是微軟基於Android所設計的雙螢幕手機，它配備兩個8.3吋的螢幕，整合Microsoft 365與Microsoft Teams，也具備多工能力，可在兩個螢幕上執行不同的Android程式，最低配置的售價高達1,499.99美元（約40,600元新臺幣）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Duo%202%20(2).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>微軟是在去年的9月首度發表Surface Duo，當時的售價為1,399美元，但一個月後就調降了200美元，到今年5月的價格只剩699美元，微軟並未公布Surface Duo的銷售數字。</p> <p>以上的新裝置都在同一天於特定市場開放預購，準備在10月5日出貨，出貨時間與Windows 11釋出日期一致。</p> </div></div></div>
2021/9/23 23:15作者陳曉莉https://www.ithome.com.tw/news/146850
研究人員發現Exchange自動探索配置的瑕疵，並藉此取得近40萬組Windows網域帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協助管理者快速設置使用者郵件設定的機制，竟會曝露用戶的電子郵件帳密。例如，<a href="https://www.guardicore.com/labs/autodiscovering-the-great-leak/">資安業者Guardicore最近揭露</a>，他們發現在Exchange Server提供的<a href="https://docs.microsoft.com/en-us/exchange/architecture/client-access/autodiscover?view=exchserver-2019">自動探索（Autodiscover）</a>功能中，會連接一系列的網址，以試圖接收相關的配置，但在這個運作過程裡，研究人員發現如果用戶端的收信程式（如Outlook）在查詢時，無法找到Exchange Server相關配置時的「後退（back-off）」機制，恐讓攻擊者有機會操控，取得使用者帳密等資料。</p> <p>什麼是「自動探索」？簡單來說是提供Exchange使用者簡化設置收信程式的一項機制。一般而言，使用者在提供電子郵件信箱、密碼之餘，還要設定POP3、IMAP伺服器的位置，而對於Exchange使用者來說，可能還要再加上LDAP和WebDAV行事曆的組態，而有了自動探索機制之後，大部分的參數收信軟體將透過特定位置的組態檔案取得，使用者只要依照指示輸入電子郵件信箱和密碼，即能完成相關的設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/http-basic-auth-process-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/http-basic-auth-process-s.png" style="width: 580px; height: 220px;" /></a></p> <p>而在具體的運作方式而言，Guardicore舉出<a href="mailto:[email protected]">[email protected]</a>的電子郵件帳號為例，這個電子郵件信箱位於example.com網域，因此，收信軟體會先從example.com、Autodiscover.example.com來找尋組態檔案，完整路徑是http(s)://Autodiscover.<span style="color:#FF0000;">example.com</span>/Autodiscover/Autodiscover.xml、http(s)://<span style="color:#FF0000;">example.com</span>/Autodiscover/Autodiscover.xml。</p> <p>但若是上述企業所屬的URL都無法取得XML組態檔案時，收信軟體就會嘗試存取外部的<a href="http://Autodiscover.com/Autodiscover/Autodiscover.xml">http://Autodiscover.com/Autodiscover/Autodiscover.xml</a>。這代表著一旦收信軟體無法連線到原本的example.com網域，就會存取Autodiscover.com，而該網域的持有者會收到這類的請求。由於當收信軟體存取組態檔案時，也同時帶有使用者的帳密，換言之，假若攻擊者掌控了像是Autodiscover.com這種網域，或是能夠監聽該網路的流量，就有可能攔截到明文的網域帳密（HTTP基本身分驗證資料）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/autodiscover-backoff-process-s.png" style="width: 400px; height: 682px;" /></p> <p>為了驗證這項發現，Guardicore註冊了多個「Autodiscover」開頭的頂級網域，如Autodiscover.com.br、Autodiscover.com.cn、Autodiscover.fr等，架設伺服器進行研究（但並未提及伺服器的種類），經過後4個多月的觀察（2021年4月16日至8月25日），研究人員架設的伺服器收到數百個請求，內容包含數千個帳密的完整資料。Guardicore表示，他們總共截取到372,072個Windows網域帳密，以及96,671個來自不同應用程式的個別帳密。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/data-collected-pie-chart-s.png" style="width: 580px; height: 589px;" /></p> <p>而從研究人員收到帳密的資料來源來看，Guardicore表示涵蓋多種產業，包含食品製造業、銀行、發電廠、電力輸送、房仲、物流、珠寶等。</p> <p>研究人員認為，這是微軟對於自動探索機制的設計瑕疵，並提出緩解措施，呼籲IT人員應採取行動。例如，在用戶端的電腦上，Guardicore提供了<a href="https://github.com/guardicore/labs_campaigns/tree/master/Autodiscover">Autodiscover頂級網域的封鎖名單</a>，以免收信軟體找不到組態檔案時，連線到這些可能存在風險的網域；而對於IT人員來說，也應該停用Exchange Server的HTTP基本身分驗證機制，來避免明文帳密傳輸的情況；再者，管理者也要確定企業內部提供的組態檔案，能被收信軟體正確讀取，以免讓收信軟體連結到外部網站，導致使用者的帳密面臨遭到監聽的風險。</p> <p>對於這項發現，<a href="https://therecord.media/microsoft-exchange-autodiscover-bug-leaks-hundreds-of-thousands-of-domain-credentials/">資安新聞網站The Record也向微軟進行確認</a>，微軟表示他們正在積極調查此事，但在研究人員公布相關研究成果之前，他們並未接獲Guardicore的通報。</p> </div></div></div>
2021/9/23 18:20作者周峻佑https://www.ithome.com.tw/news/146842
微軟揭露一次可操作30萬個子網域的BulletProofLink網釣即服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365 Defender威脅情報團隊在21日，<a href="https://www.microsoft.com/security/blog/2021/09/21/catching-the-big-fish-analyzing-a-large-scale-phishing-as-a-service-operation/" target="_blank">揭露了一個規模龐大的網釣即服務BulletProofLink</a>，該服務建立了逾30萬子網域，供應超過100種不同品牌與服務的網釣範本，提供一次性租賃或按月訂閱服務，而且還會把客戶執行攻擊所竊取的憑證收歸己有。</p> <p>根據微軟的調查，BulletProofLink同時推出了網釣套件及網釣即服務（PhaaS），前者只要支付一次性的價格，便能取得網釣電子郵件及網站的範本，PhaaS則是訂閱服務，除了電子郵件及網站範本之外，還提供郵件遞送、網站代管、竊取憑證、憑證遞送與不被偵測的連結／紀錄等，等於是個一站購足的服務。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2021/09/Fig1_BPL_features-768x629.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>此外，不管是套件或是PhaaS，BulletProofLink都實施了雙重竊盜手法，在網釣套件中嵌入一個程式，把客戶所竊取的憑證傳送一份至BulletProofLink，而在PhaaS上也留下一份被竊憑證的副本。</p> <p>BulletProofLink從2018年就開始運作，而且有許多別名，包括BulletProftLink、BulletProofLink與Anthrax，並在YouTube及Vimeo上設有官方頻道，也透過駭客論壇或其它網站來行銷網釣服務。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2021/09/Fig4_BPL_register-768x520.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>分析顯示，BulletProofLink的經營者也許是透過危害網站的DNS，或是所危害的網站剛好允許Wildcard子網域，而使得他們得以無限地濫用這些子網域，只要滲透一個網域，就能提供獨立的網釣網址予每個受害者，這可節省駭客的成本，創造大量的網釣網域，也更容易躲過惡意網域的偵測機制。</p> <p>BulletProofLink所發送的電子郵件還利用zero-point font技術，於郵件中隱藏不可見的字元，來混淆郵件主體與企圖閃避偵測。</p> <p>在研究了BulletProofLink的手法及技術之後，微軟已把所得到的情報用來改善Microsoft Defender for Office 365，強化其防範網釣攻擊的能力。</p> </div></div></div>
2021/9/23 16:45作者陳曉莉https://www.ithome.com.tw/news/146845
Slack推出政府專用服務、免於不必要會議的Clips等服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce合併下的<a href="https://slack.com/intl/en-tw/blog/news/slack-innovations-unveiled-dreamforce" target="_blank">Slack本周宣布多項新服務及功能</a>，包括可用於政府單位的GovSlack服務，可免於不必要線上會議的工具Clips等服務。</p> <p>GovSlack為政府專用版本的Slack，可讓政府部門和其他政府單位或合作廠商協同。預計2022年上線。<a href="https://slack.com/intl/en-tw/resources/why-use-slack/the-value-of-slack-for-government" target="_blank">Slack表示</a>，它的平臺已經符合美國聯邦政府安全標準FedRAMP Moderate，並已有包括美國大使館及軍方單位、以及一些地方市交通局使用。但了符合更高的政府資安要求，Slack將推出名為GovSlack的服務，可跑在政府認證的資料中心內，且符合多項美國聯邦政府安全標準，包括FedRAMP High、ITAR、FIPS 140.2及DOD IL4等。</p> <p>GovSlack預計2022年推出。</p> <p>Slack Clips則是為減少不必要的即時線上會議而設計的工具。Slack去年10月首次公布，最初有點像Instagram中，互動訊息會24小時後消失，而後逐漸改成更適合企業遠距協同的需求。</p> <p>Clips讓會議主持人可預錄影像或其他會議內容，如簡報螢幕畫面、聲音檔、影片等等分享到各頻道上，或是透過私訊傳送給會議成員，等他們有空再存取，一如分享圖片及檔案一般。這可免於跨時區工作團隊或是成員眾多、在家工作期間「喬」時間開會的麻煩。</p> <p>除了影片，Clips也支援麥克風錄音，並支援字幕或是逐字稿，以供未來會議內容的搜尋。成員也能以文字、聲音、影像或表情符號回覆Clips。Slack表示將持續部署Clips到企業用戶端。</p> <p>Slack其他宣布的功能還包括擴大Slack Connect。Slack Connect允許企業和公司以外的合作夥伴或顧客聯繫。今年秋天起，這項服務開放Slack Enterprise Grid（SEG）的付費用戶邀請任何個人或公司加入協同，不論對方是不是Slack付費客戶。SEG是讓同一公司內不同群組彼此連繫的企業級工具。</p> <p>另外，除了<a href="https://www.ithome.com.tw/news/146251" target="_blank">今年8月宣布的業務、行銷工具</a>，Slack本周再新增和Salesforce平臺整合的進一步成果，包括和SOA整合平臺MuleSoft及BI產品Tableau的整合，以及為銀行、生技及公益團體打造的產業別工具。</p> </div></div></div>
2021/9/23 16:16作者林妍溱https://www.ithome.com.tw/news/146844
VMware督促用戶儘速修補重大的vCenter Server漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vmware.com/security/advisories/VMSA-2021-0020.html" target="_blank">VMware在9月21日釋出了安全更新</a>，總計修補了19個涉及vCenter Server的安全漏洞，並督促用戶應儘速修補當中最嚴重的CVE-2021-22005漏洞。</p> <p>根據VMware的描述，CVE-2021-22005漏洞存在於vCenter Server的Analytics服務中，它是一個檔案上傳漏洞，駭客只要透過網路存取vCenter Server的443連結埠，就能開採此一漏洞，藉由上傳特製的檔案來執行任意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-VMware%20CVE-2021-22005-600.jpg" style="width: 600px;" /></p> <p>由於不管vCenter Server的配置為何，只要能夠透過網路存取vCenter Server的駭客就能開採CVE-2021-22005漏洞，使得<a href="https://core.vmware.com/vmsa-2021-0020-questions-answers-faq" target="_blank">VMware督促用戶應儘速且優先修補此一漏洞</a>。</p> <p>至於開採其它漏洞的先決條件則是駭客必須先滲透進組織網路，可能必須先危害使用者的電腦或取得企業網路的帳號，再利用漏洞來竊取機密資料，或是植入勒索軟體。</p> <p>VMware指出，倘若馬上就能部署安全更新，完整移除所有的漏洞，那麼這是最佳防禦，若無法立即部署安全更新，VMware也提供了CVE-2021-22005漏洞的暫時緩解措施，包括藉由編輯vCenter Server Appliance上的文字檔案並重啟服務來降低漏洞的風險，或者是利用組織環境中的其它安全控制來阻擋駭客，包括啟用防火牆或限制vCenter Serve等管理介面的存取帳號。</p> <p>VMware認為，在此一勒索軟體當道的時代，最好假設駭客已經藏匿在企業的組織中，建議組織的IT管理員實施緊急變更以儘速修補漏洞；因為儘管所有的漏洞都尚未傳出實際的掃描與開採行動，但軟體漏洞遭到濫用只是早晚的問題。</p> </div></div></div>
2021/9/23 14:38作者陳曉莉https://www.ithome.com.tw/news/146841
立陶宛政府檢查中國製5G手機，發現華為與小米手機含有安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kam.lt/en/news_1098/current_issues/things_your_smart_phone_does_without_your_awareness_investigation_into_three_china-made_5g_devices.html" target="_blank">立陶宛國防部的網路安全中心在本周發布了一項調查報告</a>，該中心調查了3款中國製的5G手機，包括Huawei P40 5G、Xiaomi Mi 10T 5G與OnePlus 8T 5G，發現不管是華為或小米手機都含有安全風險，唯有OnePlus全身而退。</p> <p>立陶宛說明，會選擇中國製手機展開調查是因為根據通用漏洞披露（CVE）資料庫，最近4年來上述3個品牌的手機都含有安全漏洞。包括小米手機上有9個與個人資料有關的安全漏洞；華為手機上有144個安全漏洞，絕大多數涉及對裝置功能的干涉；而OnePulse則只有一個漏洞，涉及某個程式可在裝置鎖住時傳送簡訊。</p> <p>而這次立陶宛所調查的3款5G手機，都在2020年就進入立陶宛市場，並於華為手機中發現一個安全風險，於小米手機上發現3個安全風險，而OnePlus則未含有安全風險。</p> <p class="rtecenter"><a href="https://www.nksc.lt/doc/en/analysis/2021-08-23_5G-CN-analysis_env3.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-%E7%AB%8B%E9%99%B6%E5%AE%9B%20%E8%AA%BF%E6%9F%A5%20%E4%B8%AD%E5%9C%8B5G%E6%89%8B%E6%A9%9F.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.nksc.lt/doc/en/analysis/2021-08-23_5G-CN-analysis_env3.pdf" target="_blank"><span style="color:#696969;">圖片來源_</span></a><a href="https://www.nksc.lt/doc/en/analysis/2021-08-23_5G-CN-analysis_env3.pdf" target="_blank"><span style="color:#696969;">立陶宛國防部</span></a></p> <p>Huawei P40 5G的安全風險存在於內建的AppGallery上，這是華為所提供的程式市集，立陶宛發現，AppGallery上含有許多已被惡意程式感染的行動程式。</p> <p>至於在Xiaomi Mi 10T 5G上發現的安全風險之一為小米瀏覽器（Mi Browser），因為它不只使用Google Analytics網站流量統計服務，也使用了專門蒐集及傳送用戶活動的Chinese Sensor Data，Chinese Sensor Data最多可蒐集61種用戶活動，個人資訊蒐集太多，再加上立陶宛認為小米是把這些個人資訊傳送到缺乏資料保護規定的第三方國家，而且還存放在第三國家，而被視為是安全風險。</p> <p>此外，Xiaomi Mi 10T 5G內建了一個可審查使用者所下載內容的黑名單機制，它列出了449個關鍵字，只要所下載內容含有黑名單上的關鍵字就會自動被封鎖，包括「自由西藏」、「民主運動」與「民主臺灣萬歲」等。雖然黑名單上全是中文，而且在立陶宛境內銷售的手機並未啟用該機制，但立陶宛擔心的是，這是一個可自遠端啟用的審查機制，且所列的黑名單隨時可更改成其它語言。</p> <p>另一個小米手機上的安全風險為小米的雲端服務（Xiaomi Cloud），當使用者啟用該服務之後，系統會自動傳送一個加密的簡訊至伺服器端進行註冊，且該簡訊並未存放在裝置上。由於無法解讀簡訊內容，因而無法確定小米是否把個人資訊傳送至其它國家，而被立陶宛視為安全風險。</p> <p>立陶宛近來與中國交惡，原因包括立陶宛支持反送中，反對中國對新疆的處置，還在今年接納臺灣於立陶宛設立代表處，使得中國在今年8月召回立陶宛大使，而立陶宛也在中國的要求下於9月召回駐華大使。</p> </div></div></div>
2021/9/23 13:02作者陳曉莉https://www.ithome.com.tw/news/146838
iOS、macOS將停止支援TLS 1.0/1.1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=bv8ur34d" target="_blank">蘋果本周稍早宣布</a>，將在最新版Mac、iOS、iPad及watchOS作業系統中，對已經用了20年的TLS 1.0及1.1版終止支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-apple%20tls-600.jpg" style="width: 600px;" /></p> <p>TLS（Transport Layer Security）是Web流量安全傳輸協定，TLS 1.0和1.1版分別於1999年及2006年由標準組織IETF（Internet Engineering Task Force）制訂。目前網頁應用主流版本是1.2及1.3版。IETF已在今年3月25日宣布棄用TLS 1.0及1.1。</p> <p>蘋果指出，iOS/iPadOS 15、tvOS 15、macOS 12、watchOS 8等也已終止支援TLS 1.0/1.1，並會在未來的版本中移除支援。蘋果並提醒還在App中使用這兩個舊版協定的開發人員或是網站管理員，最好規畫升級到TLS 1.2以上，蘋果建議升級到1.3版。</p> <p>若App對所有連線已開啟應用程式傳輸安全性（App Transport Security，ATS），則無需做任何變動。</p> <p>微軟於2018年10月底棄用這2項協定，但因疫情又在部份地區重新開啟Microsoft 365對舊版TLS的支援。<a href="https://docs.microsoft.com/zh-tw/microsoft-365/compliance/tls-1.0-and-1.1-deprecation-for-office-365?view=o365-worldwide" target="_blank">微軟本月宣布從10月15日起</a>，恢復強制Microsoft / Office 365升級到TLS 1.2以後版本，也要求SharePoint及OneDrive用戶需配合修改.NET。</p> <p>這應該不會影響太多用戶，因為主要軟體平臺很早就已經預告棄用舊版TLS協定。經過多年宣導，四大瀏覽器包括微軟Edge、Google Chrome、蘋果Safari及Mozilla Firefox<a href="https://www.ithome.com.tw/news/126434" target="_blank">已在去年底棄用TLS 1.0/1.1</a>。<a href="https://www.ithome.com.tw/news/146381" target="_blank">GitHub今年稍早也宣布，自2021年10月4日開始</a>，JavaScript 軟體套件管理器Npm網站和註冊表，包括軟體套件安裝，都必須使用TLS 1.2以上的版本。</p> </div></div></div>
2021/9/23 13:17作者林妍溱https://www.ithome.com.tw/news/146839
臉書任命新技術長，強化硬體開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/09/note-from-mark-zuckerberg/" target="_blank">臉書本周公布高層人事異動</a>，負責Portal、VR眼鏡、Oculus等產品的硬體部門主管Andrew Bosworth將升任技術長，原技術長Mike Schroepfer將轉任院士。</p> <p>臉書執行長祖克柏親自宣布這項人事異動。在最新變動下，加入臉書13年的Schroepfer將從擔任近8年的技術長一職退位，並在一段兼任期後，於2022年轉為臉書第一位資深院士負責招募技術人才，並持續推動AI技術如PyTorch的研發。因此，新技術長Bosworth應是在2022年正式接任技術長一職。</p> <p>Bosworth原本即掌管硬體產品部門，祖克柏表示他之後除了持續統領Facebook Reality Labs打造AR、VR產品，轄下也將加入其他部門，作為推動臉書長期願景的基礎。</p> <p>Bosworth在擔任硬體主管前，也曾帶領廣告及業務部門，以及臉書早期功能，如新動態、Messenger及群組等開發。他在硬體部門最新成品是<a href="https://www.ithome.com.tw/news/146641" target="_blank">臉書最近宣布</a>、與眼鏡集團Essilor Luxottica合作共同推出雷朋（Ray-Ban）品牌的智慧型眼鏡Ray-Ban Stories。</p> <p><a href="https://www.theverge.com/2021/9/22/22688510/facebook-cto-andrew-boz-bosworth-chief-technology-officer" target="_blank">The Verge報導</a>，根據臉書向美國證管會遞交的文件，Schroepfer稍早已通知臉書將在9月20日辭職。</p> </div></div></div>
2021/9/23 11:39作者林妍溱https://www.ithome.com.tw/news/146837
Martech月報第9期：新廣告蹤技術FLoC引起4大爭議，Google再提新解法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0813~0923)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FLoC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主題標籤 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google正嘗試以主題分類取代分群代號，來解答FLoC面對的4大質疑</span></strong></p> <p>Google今年開始測試新廣告追蹤技術FLoC（Federated Learning of Cohorts，FLoC）後，面對了不少反對聲浪。最近，Google隱私沙盒團隊資深軟體工程師Josh Karlin，在網路工程任務小組（IETF）的線上活動中，提出了因應這些質疑的初步解方。Josh Karlin歸類了FLoC發布至今的四大爭議，一是會自動將網站加入FLoC廣告投放的實驗中；二是抽象的群組（Cohorts）代號，對用戶與技術專家都不易理解；三是FLoC的群組反而更容易用於指紋追蹤；四是敏感性資訊仍有洩露疑慮。</p> <p>Josh Karlin指出，面對第一個爭議，現在FLoC已經不會自動將網站加入實驗，而是讓網站選擇是否要透過API來加入實作。為了讓用戶與技術專家更好理解群組概念，FLoC將來可能改以特定主題標籤來取代群組代號，比如以「美麗與健康」來取代「群組21849」來幫助理解，除了能讓用戶理解自己被如何描述，透過明確的主題標籤，也能直觀的檢查該主題是否涉及了敏感分類，這項作法也計畫將主題分類減少到幾百種，而非是原先的上萬個群組，來進一步降低群組被用於指紋追蹤的可能性，Google還在考慮，未來新增讓用戶選擇不要加入特定主題的功能。顯示Google正在嘗試以主題取代群組分類的方法，減少外界對FLoC廣告投放作法的質疑。（<a href="https://youtu.be/J8sBCPYDHJo?t=6195" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-22%20%E4%B8%8A%E5%8D%889_53_20.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果ATT政策 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動廣告投放 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line臺灣近期揭露，蘋果ATT政策將對Line廣告客戶帶來3個影響 </span></strong></p> <div> <p>蘋果在今年4月上路了應用程式追蹤透明度政策（App Tracking Transparency，ATT），要求新上架App初次啟動時要讓用戶自己可以拒絕被追蹤。Line近期透過一場小型直播揭露，ATT政策對Line的影響不大。</p> <p>Line指出，由於Line並沒有串接外部的連播網來投放廣告，加上Line自己蒐集用戶資料，並沒有完全仰賴IDFA，而是透過各項貼近用戶的生活服務來蒐集多元的用戶資料，ATT政策對Line影響不大。不過，對Line廣告客戶仍帶來3個影響，一是在可供識別和媒合的用戶數據變少後，對於主動在Line上傳IDFA來媒合廣告投放受眾的廣告主來說，IDFA名單數量可能會減少，二來，網站流量受眾的名單也預期會減少，最後，若是有串接SDK廠商的App廣告主，透過SDK自動串接的行動應用程式受眾，以及成效報表上可以蒐集到的App廣告轉換數，這兩者都預計會減少。 </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 咖碼咖啡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷自動化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OMO </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">咖碼咖啡預測顧客定位進行自動化行銷，用天氣數據推薦再結合地圖引導顧客前往門市</span></strong></p> <p dir="ltr">臺灣連鎖咖啡店咖碼咖啡（cama café），今年五月的門市營收較去年同期提升38.8%，官方電商平臺的交易筆數也成長10倍，可謂在今年這波疫情中逆勢成長。其原因之一，是咖碼咖啡從去年中啟動了會員忠誠度提升計畫，採用了Appier的行銷解決方案，先整合顧客線上（官網、App）與線下的顧客行為數據，來更全面地掌握顧客輪廓。接著，再進一步以AI分析顧客數據，來制定以數據為導向的異業合作與線下通路策略。例如自訂卡通人物關鍵字並分析顧客喜好後，選擇顧客最喜愛且符合品牌形象的人物，作為異業合作的決策依據；或在分析顧客喜好的線下通路後，找出用戶最感興趣的通路。</p> <p>除了以AI分析顧客數據，咖碼咖啡也透過App或網站內的自動化推播來進行個人化行銷，比如在雙11等大型購物檔期，設計多通路、多時段的顧客旅程，像是「倒數計時」的網頁內推播，吸引特定族群加速購買。透過自動化觸發推播，咖碼咖啡能預測顧客位置後，客製化推薦顧客適合當日與當地天氣的飲品，同時連結Google地圖，引導顧客到實體通路購買飲品，來實現OMO串聯。咖碼咖啡揭露，結合天氣資訊來推播訊息，可提升廣告點閱率達2.2倍。（<a href="https://www.appier.com/zh-hant/news/cama-cafeandappierachievedautomatedprecisionmarketing/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80-1536x646.jpeg" style="width: 1000px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漸強實驗室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SurveyCake </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 分眾行銷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">顧客填好問卷自動分眾貼標，漸強實驗室聯手企業級問卷服務SurveyCake打造分眾新功能</span></strong></p> <p dir="ltr">漸強實驗室近期與企業雲端問卷服務SurveyCake合作發布新行銷功能，讓品牌主能更輕易在行銷簡訊、Email、Line訊息中，結合問卷來獲取顧客資料。漸強實驗室指出，透過SurveyCake問卷，品牌主能在每一個題目背後，自行設定在資料串接上所代表的意義，讓顧客填答後自動下標籤。例如將「第一次到本店用餐」的顧客貼上「新客」標籤，填寫「5次以上」的用戶貼上「中度忠誠」標籤等。同時，透過Line資料串接，填寫過的顧客往後在填寫其他不記名問卷時，後臺仍然可以辨識填寫者的Line UID，來串聯資料，以此建立精準的再行銷。</p> <p dir="ltr">比如雀巢飲品，正是運用了自動化行銷與問卷填答的功能，讓顧客在掃描產品上的QR code進到第一份問卷後，詢問顧客購買地點、原因，以及預計什麼時間飲用，再依照每個選擇的時間，以Line帳號自動推播第二份問卷，關心飲用狀況，最後在顧客飲用完畢的時間，再發送回購調查問卷。（<a data-token-index="1" href="https://blog.cresclab.com/maacandsurveycake/" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訊息自動通知 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce公布首批整合Slack的服務，即時訊息、自動通知服務可優化團隊協作即時性</span></strong></p> <p dir="ltr">在7月完成收購線上協同平臺Slack後，CRM大廠Salesforce宣布雙方產品整合的首批成果。兩者的整合，是為了以Slack作為企業使用Salesforce及其他商務應用的單一整合前端介面，作為行銷、業務、服務等所有活動的內部協作與溝通平臺。初步整合功能，可以在Slack頻道中（channel）中，建立以CRM數據為中心的工作流程，來提供整合式顧客情報，讓銷售、服務與行銷等部門彼此協作。另外，也可以在Slack中建立業務流程的自動化工具，還可以透過Slack Connect，讓企業更安全地與外部合作夥伴、廠商及客戶聯繫，強化與彼此的連結。</p> <p dir="ltr">比如在行銷面的運用，企業從Salesforce行銷雲或資料庫，分析出顧客參與度不足的行銷活動後，現在可以直接用Slack傳遞訊息其其他團隊成員，更快採取行動。行銷人員也能透過工作流程通知功能，在一個新的行銷旅程被建立出來後（比如新增一封Email標題），自動通知團隊，讓團隊能即時審查、協作或修改內容。（<a href="https://www.salesforce.com/news/press-releases/2021/08/17/slack-supercharges-salesforce-customer-360-for-sales-service-marketing-and-analytics/" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2021行銷預算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Gartner行銷預算調查：2021年行銷預算幾乎砍半，企業更強化數位行銷管道投資</span></strong></p> <p dir="ltr">根據Gartner最近公布的2021年行銷預算報告，今年企業的行銷預算創近年來歷史新低，幾乎砍半，從去年平均占總企業預算的11%，下降到今年的6.4%，各個產業均呈縮減趨勢。在行銷預算大幅減少的情況下，企業也重新排序了更重視的行銷管道與活動，經統計，企業有72.2%預算都花在數位行銷管道，包括網站、Email、App、數位廣告、搜尋廣告、社群媒體、SEO等行銷活動上，顯示數位行銷管道成為企業重點投資的領域。</p> <p>這份報告更指出，企業在分配行銷預算上，前三名分別是數位商務、行銷營運、品牌策略，第四名才是行銷分析。Gartner表示，雖然數據驅動的行銷分析平均預算也有達到11%，但未擠進前三名，可能意味著雖然企業視行銷分析為一項有戰略意義的投資，但實際上，數據分析的成果並沒有達到行銷成效預期。（<a href="https://www.gartner.com/en/marketing/research/annual-cmo-spend-survey-research" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-22%20%E4%B8%8A%E5%8D%889_52_39.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 巴黎奧運 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 會員經營 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運動積分 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">巴黎奧運也要經營會員！將奧運馬拉松結合遊戲化來擴大全民參與</span></strong></p> <p>巴黎奧運俱樂部（Le Club Paris 2024）發起一項活動，開放全民都可以註冊成會員，並在累積運動積分達到十萬之後，就可以參加2024巴黎奧運的年初抽籤，爭取奧運馬拉松賽事的參賽資格。這些運動包括走路、跑步、騎單車、健身等，都可以賺取積分，若介紹朋友參加，也可以憑推薦碼賺取積分。這項巴黎奧運的會員計畫，採用了阿里巴巴的雲端與電商相關服務來提供數位基礎建設，包括俱樂部活動的官網、雲端運算等。（<a data-token-index="1" href="https://club.paris2024.org/home" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-22%20%E4%B8%8A%E5%8D%889_55_49(1).png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 旅客人流分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺東縣政府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威朋 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">分析旅遊App行為數據和景點人流分析，臺東縣政府也靠數據規畫景點行銷策略</span></strong></p> <p>疫情期間，要行銷觀光旅遊可如何著力？臺東縣政府採用威朋大數據集團的AI人流分析技術，透過Data SDK與數據管理平臺（Data Management Platform，DMP）進行資料蒐集，包含旅遊App的使用者行為數據、流量、及旅遊動向等，來進一步掌握旅客輪廓，並分析特定景點的旅客流量，來針對目標受眾規劃合適的行銷內容。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客資料管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CIO </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Adobe：為管理第一方資料的使用與授權，企業CIO也得與行銷部門更密切合作</span></strong></p> <p>Adobe大中華區董事總經理吳振章指出，在第三方Cookie逐漸退場後，品牌主需要建立自己的第一方數據資料庫，來提供個人化行銷服務。而合規蒐集第一方數據的前提，就是要建立與顧客之間的信任，「與第三方資料不同的是，第一方資料必須要『贏得』而非『購得』。」</p> <p>要與顧客建立信任關係，吳振章認為，品牌主需要與顧客開誠布公的溝通，在尊重隱私、並取得對方同意後蒐集資料；也要透過賦權給顧客，讓他們自己決定「是否」、「何時」以及「怎樣」參與到與品牌的互動當中。因此，對企業來說，必須制定強而有力的第一方資料策略，從一開始就建立有效管理資料及客戶意願的方法。</p> <p>訂定策略後，管理層也得共同執行顧客資料的管理機制，尤其得透過「技術」來管理顧客隱私及授權。吳振章指出，企業CIO以及資訊安全和風險管理部門，也得更密切的與行銷部門合作，以備將來能安全合規的使用顧客資料。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/146660" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--601057992" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%945%EF%BC%9AAdobe_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Adobe.jpg" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漸強實驗室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line官方帳號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情三級警戒 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">漸強實驗室統計：三級警戒下Line官方帳號訊息發送量大增，品牌主月推播次數平均增3～4成</span></strong></p> <p dir="ltr">在今年發布三級警戒後，Line官方帳號技術商漸強實驗室，觀察其客戶發送的Line訊息量變化，發現品牌主在缺少實體銷售機會後，每個月增加發送近一億封Line訊息，平均一個品牌的每月推播次數，由三級警戒前的24次增加至33次，「經統計發現，5月與先前三個月相比，發送Line官方帳號訊息所創造的營收，成長了42%，」同時，「增加Line訊息發送量後，整體封鎖率的幅度持平，消費者並未因爲大量收到訊息而傾向封鎖，顯示消費者對Line訊息的接受度提升。」漸強實驗室產品經理楊堅表示。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1、Line要找行銷人才與開發好手組隊，發想中小店家疫情期間逆勢行銷好點子（<a href="https://tw-fresh.line.me/?utm_source=NewsRelease&utm_medium=NR&utm_campaign=FRESH2021">詳全文</a>）</strong></p> <p><strong>2、誠品新電商平臺開站後首度加入周年慶，打造線下快閃店實現虛實融合購物體驗（<a href="https://www.ithome.com.tw/news/146623">詳全文</a>）</strong></p> <p><strong>3、Amazon無人商店系統Just Walk Out將在Whole Foods超市測試（<a href="https://www.ithome.com.tw/news/146612">詳全文</a>）</strong></p> </div> <p><p></p></p> <p><p></p></p> <p><p></p></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／IETF、Gartner、Appier、Le Club Paris 2024、Adobe</p> <p>資料來源：iThome整理，2021年9月</p> </div> </div> </div></div></div>
2021/9/23 12:00作者翁芊儒https://www.ithome.com.tw/news/146836
新MLPerf推論評比結果出爐，Nvidia GPU搭配Arm伺服器效能不輸搭配x86伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ML基準測試套件MLPerf最新推論評比在9月22日出爐。Nvidia首度以GPU搭配不同CPU架構來參加MLPerf Inference v1.1的測試，比較兩種組合在6種AI應用中的成效。實際結果顯示，搭配Arm架構的A100效能與搭配x86架構相差無幾，僅略低於x86架構的效能，但在醫療影像識別評比中，Arm架構效能更勝過x86架構。</p> <p>MLPerf推論評比共分為6種AI應用，分別是用於推薦的DLRM框架、用於NLP的BERT、用於語音辨識的RNN-T、用於醫療影像辨識的3D U-Net、用於影像分類的ResNet-50 v1.5，以及用於低解析物件偵測的SSD搭配MobileNet-v1、用於高解析物件偵測的SSD搭配ResNet-34。</p> <p>Nvidia指出，相較於去年MLPerf Inference v0.7的推論評比，A100 GPU在這次v1.1版本的評比中，於各項AI應用的效能均有所提升，尤其在語音識別與醫療影像識別的領域，效能更分別較去年提升了3成與5成。Nvidia AI推論與雲端部門的產品經理Dave Salvator指出，這些效能的提升，並非基於硬體的改良，而是來自於軟體對於硬體效能的優化。</p> <p>MLPerf推論評比又可依據在雲端或邊緣端運算，分為兩大評比類別；而在雲端資料中心進行推論的類別，又可分為完全無延遲的離線運算（Offline）與低延遲的伺服器運算（Server）。在雲端資料中心的測試中，若以A30 GPU為基準，來比較單一加速器（Accelerator）的效能，可以發現A100 GPU效能幾乎領先了所有加速器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-23%20%E4%B8%8A%E5%8D%889_03_13.png" style="width: 1112px;" /></p> <p>進一步來看，這次領先的A100 GPU分別搭配了x86架構與Arm架構的CPU。評比結果顯示，搭配Arm架構的A100效能僅略低於搭配x86架構的效能，其中在離線的雲端推論類別，Arm架構伺服器在醫療影像AI的推論效能，更勝過x86架構。</p> <p>Nvidia在今天發布的<a href="https://blogs.nvidia.com/blog/2021/09/22/mlperf-ai-inference-arm/">部落格</a>指出，全球資料中心正在加速採用Arm架構，因Arm架構具有低耗電、高效率與高效能的優勢，還有持續擴展的軟體生態系統。在這個趨勢下，Nvidia提交Arm架構的A100伺服器來參加MLPerf推論評比，評比成果更顯示，基於Arm的GPU加速平臺，已經準備好處理資料中心的各種AI工作負載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-23%20%E4%B8%8A%E5%8D%889_02_57.png" style="width: 1071px;" /></p> <blockquote><p>評比結果顯示，搭配Arm架構的A100效能略低於搭配x86架構的效能。</p> </blockquote> <p>除了在雲端推論評比取得領先地位，在邊緣端的推論評比上，Nvidia也以A100 PCIe取得了最佳成績。若以Nvidia嵌入式邊緣運算晶片Jetson Xavier NX的效能為基準，可以發現A30與A100 PCIe遙遙領先其他晶片效能，尤其A100 PCIe在醫療影像識別、NLP與高解析物件偵測等推論成效，大幅領先其他晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-23%20%E4%B8%8A%E5%8D%889_02_38.png" style="width: 1078px;" /></p> <p>Dave Salvator也特別強調軟體在推論評比中扮演的加速角色。在AI推論上，Nvidia靠深<a href="https://www.ithome.com.tw/news/145768">度學習推論軟體開發套件Tensor RT</a>來最佳化AI模型，透過稀疏性與量化感知訓練兩大功能，在不影響推論準確率的情況下，縮減模型權重與精度，來加快模型運算效率。</p> <p>同時，Nvidia也透過開源推理軟體Triton，簡化AI模型在生產環境的大規模部署。Dave Salvator解釋，Triton主要可以自動化基礎架構的管理，具有彈性化擴展（auto scaling）及負載均衡（Load balancing）兩大功能，尤其將AI模型部署到推論環境中執行時，對於運算資源的需求可能突然來到高峰，若運算資源已經飽和，就會延長模型推論時間。但透過Triton，當運算需求突然增加時，可以自動將工作分配到閒置的CPU資源上執行，最佳化利用CPU或GPU，來加速模型推論。</p> <p>Dave Salvator也揭露一張圖表，比較使用Triton來部署AI模型，以及透過客製化程式碼來部署AI模型的效能差異。Nvidia指出，使用Triton的A100推論效率，可以達到客製化程式碼的93%，使用Triton的A30更可達到與客製化程式碼相同的成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-23%20%E4%B8%8A%E5%8D%889_02_14.png" style="width: 600px;" /></p> <p>在這項推論評比中，Nvidia也運用多實例GPU（Multiple Instance GPU，MIG）來進行評比，MIG可以將每個A100 GPU最多分為七個執行實例，各自獨立且具備個別的記憶體、快取和運算核心，來執行不同的AI工作負載。由於MLPerf推論評比只有六項應用，Nvidia還多執行了一個影像分類的AI應用，將7項應用同時在A100中執行。得到的結果是，每項工作負載的推論效能均達到獨立執行的95%。Dave Salvator指出，能達到這個成果，Triton功不可沒，因為Triton可以讓不同框架的多個模型同時在單一GPU或CPU上執行，而不需增加額外的程式碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-09-23%20%E4%B8%8A%E5%8D%889_04_49.png" style="width: 900px;" /></p> </div></div></div>
2021/9/23 09:46作者翁芊儒https://www.ithome.com.tw/news/146835
影音串流技術成企業新常態能力，爆量日常成串流平臺維運大考驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年年都受到外界高度關注的鴻海尾牙，受疫情影響，今年初首度採直播形式進行。這場直播連結臺灣、中國、印度、捷克、美國等逾20國數萬名員工，同步線上參與。</p> <p>影音串流技術以往多用於娛樂領域，現在，因疫情攪局，企業也開始借助這項技術，舉辦具高度即時性及臨場感的大型活動，像是尾牙、產品發表會、展覽等。影音串流技術成為後疫新常態，企業需具備的IT關鍵基礎能力之一。</p> <p>像鴻海動輒數萬人的全球跨國直播活動，部分雖也透過消費級影音平臺YouTube來發布，但這只是其中一個播放管道，且底層所用的4K多視角影音串流技術，正是來自臺灣本土串流服務商KKStream。其事業群技術長官順暉是臺灣科技圈中，先期投入影音串流技術研發的人物之一。</p> <p>這幾年，民眾越來越習慣隨時隨地線上觀看影音內容，也帶動影音串流產業蓬勃發展，如今再加上疫情推波助瀾，讓這個產業出現了爆發式的成長，發展更甚以往。</p> <p>回溯近10年產業技術的變化，官順暉認為，技術主要是為了解決應用的需求和痛點，可從應用發展來看串流技術的演進。</p> <p>2010年時，民眾線上觀看影音串流內容的主流平臺是YouTube，而iPhone則以手指觸控螢幕取代了鍵盤，成為新一代智慧型手機的樣板。官順暉表示，iPhone的出現，讓大家覺得使用行動裝置觀看影音串流內容，是可行的事情。影音串流技術應用在行動網路，醞釀蓬勃發展。</p> <p>這個時期，一定不能不提網路影音內容的主流播放支援技術Adobe Flash，YouTube更大力擁抱Flash多年。官順暉表示，Flash可說是當時最成功的技術，同時滿足了兩個影音播放需求。</p> <p>一是Flash播放技術採用編解碼器（Codec），滿足影音串流技術需求，另外在播放器端，Flash也提供了播放器，也就是Flash Player，在Flash底層也建立了網路連接機制。官順暉表示，這讓Flash成為一站式解決方案，正是它席捲全球的關鍵。</p> <p>直到5年前，直播串流應用興起，各種直播平臺相繼出現，提供素人直播服務，再加上臉書、YouTube等大型社交、影音平臺都陸續推出直播功能，影音串流產業進入戰國時期。</p> <p>官順暉認為，直播興起與社群媒體的發展有關，社群媒體發展文字形式的社交方式已經成熟了，為了搶攻更大的市場，這些社群平臺開始推出影音功能，包含直播。</p> <p>同一時期，大型影視隨選視訊（VOD）也開始席捲全球，像是跨國平臺Netflix、Amazon Prime Video等，還有臺灣也出現許多在地的串流服務平臺，包含Line TV、Friday影音、KKTV等，促使串流技術本身，還有串流技術播放端的規格，以及內容保護技術，都面臨演進的壓力。官順暉表示，Adobe Flash就是因為沒有辦法因應朝多元發展的產業需求，在這一波競爭下，逐漸被產業淘汰。</p> <p><span style="font-size:28px;"><strong>Flash不易新增客製功能，不符產業快速發展態勢</strong></span></p> <p>接近消費者端的播放器，成了這時期創新的競賽場。各個影音串流業者紛紛善用自身所用技術來嘗試各種新點子，在播放器加入各式功能，這更讓Flash播放器的缺陷浮上檯面。官順暉解釋，正當業者不斷思考影片功能的新可能性，像是供觀眾在影片畫面上留言的彈幕評論，然而，若要在播放器端新增功能，取決於系統所開放的API，而Flash是一個封閉系統，釋出的API很有限。</p> <p>再加上影音業者為了保護內容，往往需要在影音內容中加入數位著作權管理（DRM）技術，但是，官順暉提到，Flash用的卻是自成一家的DRM技術，對影音業者來說，想要稽核或是驗證其技術，相當困難，這也成為影音產業使用Flash技術時的一大困擾。</p> <p>此外，Adobe Flash推出之初，不是專為影音播放需求而設計，更多是為網頁互動的效果，像是小型遊戲、互動書籍等情境。官順暉表示，影音播放功能只是Flash系統的一部分，使用Flash作為影片播放器，會因系統檔案太大而占用了太多硬碟空間，進一步帶來兩個明顯的缺陷，一是效能不佳，還有採用行動裝置觀看影片時，裝置耗電量高。</p> <p>他指出，影音串流產業想要加速成長，力求不斷實驗新需求，因而逐漸擺脫了採取封閉系統策略的Flash。</p> <p>後來，YouTube轉而擁抱了蘋果提出的HLS技術，接著，MPEG標準小組提出的國際標準串流技術DASH，也受到YouTube和Netflix青睞，推動DASH成為主流。由於MPEG標準小組希望DASH在10年後仍符合需求，官順暉表示，DASH這項技術提供了許多的彈性，支援多種功能，像是子母畫面等，也支援終端自帶DRM。</p> <p><span style="font-size:28px;"><strong>疫情下，企業靠影音串流技術線上續辦活動</strong></span></p> <p>如今，受疫情催化，影音串流技術從用於娛樂情境，現成為企業發展業務或舉辦活動的關鍵武器，特別是用來舉辦直播活動，鴻海尾牙就是一個例子。</p> <p>為了讓逾20國鴻海員工參與尾牙時，都能用4K多視角方式來觀看直播，KKStream在服務架構規畫上，花了一番功夫。不只設計了逾10個訊號串流同時發送至雲端，來打造4K多視角的觀看體驗，並採用3個雲端區域的資源，支援分散不同地點的鴻海員工，除了用KKStream自家直播平臺收看，還搭配YouTube作為觀看替代方案。</p> <p>影音串流直播，因處理程序繁複，串流工作流（Pipeline）非常冗長，也格外有挑戰，任何一個環節塞車，就可能倒並不是每一次直播都能完全如預期的順利。官順暉表示，串流工作流從提交訊號注入，再到決定直播編碼形式，包含加密、打包等，還有決定導播在哪些時間點可以穿插不同鏡位，最後利用CDN服務，推送影音內容至終端平臺，以串流給觀眾，相當冗長，他指出，一旦有一個環節出問題，觀眾的體驗就會受到影響，所以活動開始前，必須檢查每一個環節。</p> <p><span style="font-size:28px;"><strong>直播前確認1千條事項仍不夠，需不斷更新維運指引</strong></span></p> <p>像官順暉還要求團隊建立一套活動事前檢查手冊，開播前必須檢測逾1千條的串流工作流內容，確認每個環節都已就緒，且具有替代方案，可以隨時切換替補，來確保直播順利進行。甚至，官順暉提到，像是鴻海尾牙等大型直播，還需事先找來雲端業者一同檢視開播作業，支援系統的運算、資料庫、網路、安全等雲端資源，是否能隨時應需求彈性擴充。</p> <p>活動進行時，維運團隊會利用跨系統的監控機制，掌握活動狀況，並即時回應來自企業用戶數十條回報事項。如有突發狀況發生，團隊會按SOP，快速找尋替代方法，以恢復直播的收看品質。</p> <p>即使KKStream在活動事前、事中，都有一套緊密的風險掌控、監控流程，然而，鴻海尾牙直播仍遭遇了一些插曲，發生直播中斷的狀況，這更凸顯出直播活動的不可預期性，要順利進行是多不容易。</p> <p>官順暉坦言，指引手冊、SOP並不完美，須從每次的串流經驗發覺不足，持續更新手冊，才能在下一次事先檢查每個環節。</p> <p>不過，遇到突發狀況，官順暉強調，須專注快速找到替代方法，避開問題，以恢復串流工作流的健康狀態，確保活動能繼續進行，而不是急著找到問題的原因，根本解決問題，他提到，工程師一般會急於找出問題，但重要的是讓直播恢復正常。這是KKStream面對突發狀況的優先準則。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1043-CTO-kkstream-%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89-600.jpg" style="width: 501px;" /></p> <p><span style="color:#696969;"><strong>面對突發狀況的優先準則是，盡快找到替代方法恢復串流活動，而非急著找問題的根本原因。── KKStream技術長官順暉</strong> 　<span style="font-size:12px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>疫情帶給影音串流產業2大挑戰</strong></span></p> <p>疫情肆虐全球，許多民眾遵循防疫指引，減少外出，不管是影視VOD平臺或是直播服務平臺，都遇到爆量的增長流量。官順暉點出串流產業遭遇的兩大挑戰。第一，如何確保服務能因應暴增流量的考驗，特別是新增的流量往往是瞬間倍數成長，而非逐步慢慢增加，甚至有可能超出了系統原有可承受流量乘載量的設計。</p> <p>官順暉表示，串流服務業者需重新思考系統的設計，他以資料庫設計為例，新流量值若超出資料庫可承受的存取容量，則必須調整設計，甚至可能需更換資料庫，這也會帶來不少重新撰寫程式碼的工作，且還需進行多次測試，才能完成服務系統的升級作業。</p> <p>另外，流量暴增也帶來了串流服務後端團隊的考驗，他們更需要大幅提升排除問題的速度。官順暉笑言：「這是一個甜蜜的負擔，服務存取量變多，對公司來說是好消息，但SRE團隊需要前進到下一個層級，」SRE是最前線負責排除問題的工程師，為加快問題排除的速度，團隊人員的職責分工需更為細緻。</p> <p><span style="font-size:28px;"><strong>細分SRE職責，強化維運服務能力</strong></span></p> <p>去年，KKStream開始切分SRE團隊工程師的職責，設立負責不同維運工作階段的角色，分別是維運工程師和串流工程師，以及搭配支援SRE工作的服務工程師新角色。維運工程師會全程監控影音串流活動，監控資料庫、CDN、CPU等資源的流量承載量、反應時間，一旦系統監控機制發出異常警報，須立刻通知事件相關者，以立即採取行動，像是擴充雲端資源、調整參數。</p> <p>而串流工程師會聚焦調校播放（Playback）的品質，會關注播放器的日誌記錄、同時觀看人數的變化，確保觀眾享有順暢的播放體驗，包含低延遲性、高影像解析度等。另外，服務工程師會進一步探討問題的更本原因，找出事件背後實際出現的問題，加以排除，讓系統可以在未來承載更龐大的流量。</p> <p>官順暉進一步說明，維運工程師負責排除第一線問題，也就是影音串流當下發生的狀況，確保串流體驗盡快恢復正常，而服務工程師則負責處理系統面相對根本的問題，串流工程師則關注串流技術本身。</p> <p>KKStream經數個月討論職務內容的調整方向，確立各角色間如何有效溝通，並建立流程自動化機制，在工程師銜接手上新舊工作內容後，於今年階段性完成細化SRE團隊角色的目標。</p> <p>KKStream決定細化維運團隊的角色，除了因應疫情促使團隊需快速回應，湧入影音串流服務的暴增流量，也是為推出模組化串流服務產品的新策略，做準備。原多以專案形式，支援企業用戶影音串流應用的技術需求，KKStream現還提供以SaaS形式打包好的串流服務。官順暉逐漸觀察到，企業需求倍增的趨勢，讓他回頭思考，必須強化及擴充技術團隊的維運能力。</p> <p><span style="color:#3399ff;"><strong>CTO小檔案</strong></span></p> <p><strong>官順暉</strong></p> <p><strong>KKStream事業群技術長</strong></p> <p>學歷：臺大資訊工程博士</p> <p>經歷：曾擔任PTT BBS站長群，並服務於內容產業多年，曾於動畫影片製作公司太極影音服務，擔任研發部總監。在2014年加入KKBox，開發了KKStream第一版串流技術，後來KKStream獨立為KKBox集團子公司，現任KKStream技術長，帶領研發工程團隊持續優化雲端串流服務</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>KKStream</strong></p> <p>● 成立時間：2016年</p> <p>● 主要業務：提供企業用戶OTT影音串流解決方案及顧問服務</p> <p>● 總部：臺北市</p> <p>● 地址：臺北市南港區三重路19-11號8樓</p> <p>● 員工數：180人</p> <p>● 總經理：蔡怡仁</p> <p><span style="color:#3399ff;"><strong>技術部門檔案</strong></span></p> <p>● 直屬主管：蔡怡仁</p> <p>● 技術部門名稱：技術研發中心</p> <p>● 技術部門主管職稱：技術長</p> <p>● 技術部門人數：研發團隊約占76%人力</p> <p>● 技術部門分工：應用資料科學部、串流播放技術部、串流媒體技術部</p> <p><span style="color:#3399ff;"><strong>公司大事記</strong></span></p> <p>● 2016年：KKStream成立，提供B2B串流技術解決方案；建置日本大型電信公司服務百萬用戶的影音串流平臺</p> <p>● 2019年：借助支援企業用戶串流應用的經驗，以SaaS形式推出商用影音串流技術解決方案BlendVision</p> <p>● 2020年：運用AI技術研發按主題編碼（PTE），自動辨別影片適合的位元率，以給予建議採用，減少傳輸頻寬，以及研發感知串流引擎（PSE），提升壓縮檔案的畫質，並獲得美、日、臺專利</p> <p>● 2021年：以SaaS形式發表模組化串流服務產品，包含影音串流平臺、即時影像直播服務，以及可優化影音傳輸頻寬、儲存空間的智慧影音編碼服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1043-cto-kkstream-she_ying_hong_zheng_wei_-960.png" width="960" height="420" alt="" title="KKStream事業群技術長官順暉　（攝影／洪政偉）" /></div></div></div>
2021/9/23 07:00作者黃郁芸https://www.ithome.com.tw/people/146771
從NumPy到PyTorch
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於scikit-learn提供了常用的機器學習、深度學習模型，開發者只要略為理解模型的組成原理，知道如何調整模型的超參數（與模型本身權重、偏差等無關的參數，像是學習率、損失函數之類的參數）就可以使用，在程式庫的定位上，PyTorch經常被視為機器學習、深度學習框架，這意謂著PyTorch的使用者，必須掌握模型組成的更多細節，以及學習的流程。</p> <p>畢竟，PyTorch是個「框架」，這也表示，它實現了某些主要流程，開發者如果能掌握、認同、遵循其流程典範，才能明瞭PyTorch是否合乎其需求，而不是淪於API的盲目組合，或是與流程典範對抗，而認識PyTorch流程典範最好的方式，就是在沒有使用PyTorch的情況下，試著自行實作出機器學習的處理流程。</p> <p><span style="font-size:28px;"><strong>機器學習的流程</strong></span></p> <p>當然，有不少的文件或書籍可提供這方面的知識，只不過實作過程中，切分出來的各個子流程各不相同。</p> <p>若是以PyTorch的流程典範來看，可以特意地畫分出四個主要的部份：模型的建立、損失函數的組成、梯度的計算、模型參數的更新。</p> <p>機器學習所謂的模型，其實就是一個（複雜的）數學函數，函數中的參數值一開始可能是隨意或特意指定，資料的輸入函數後得到的輸出，與真正的值之間會有誤差，誤差會視需求以均方或其他方式，計算出損失值，目的是組合出損失函數。</p> <p>學習過程的目標就是調整函數中的參數值，令損失函數求得的值可以達到一個最小值。而為了這個目的，必須求得損失函數的梯度，以便知道參數調整的方向──因為梯度可以告訴你，在損失函數的形狀上，哪個方向會是低谷；知道了參數調整的方向，就可以一小步、一小步地向低谷前進，直到接近或抵達損失函數的谷底；一小步、一小步地向低谷前進，意謂著需要一個訓練迴圈，迴圈中每消耗全部的學習資料一次，稱為一個epoch。</p> <p><span style="font-size:28px;"><strong>NumPy實現線性迴歸</strong></span></p> <p>如果開發者有足夠的能力，完全不使用程式庫來實現以上流程是最好的，不過，藉助NumPy可以省些力氣，而且PyTorch的核心資料結構是張量（Tensor），在資料的表現與API外觀上，與NumPy陣列有許多類似之處，NumPy陣列與PyTorch張量彼此之間，也可以互相轉換，甚至共享底層的資料。</p> <p>雖然PyTorch經常用於深度學習，然而，就理解其主要流程而言，並不需要從複雜的神經網路開始，而是試著實作簡單的線性迴歸模型w*x+b，就可以將流程展現出來，損失使用誤差的均方計算即可。</p> <p>問題在於梯度的計算部份，由於線性迴歸模型就是個很簡單的數學函數，直接對其損失函數進行各參數的偏微分並不困難，程式實作上也簡單，許多文件或書籍會直接採用此方式求梯度，就像〈<a href="https://bit.ly/2VGtEAU" target="_blank">NumPy實現線性迴歸（一）</a>〉所言，有個gist裡面的grad_loss函式實作。</p> <p>不過，如先前專欄〈<a href="https://www.ithome.com.tw/voice/146527" target="_blank">梯度的局部計算性</a>〉談到的，在神經網路中，透過反向傳播，可以更有效率地求得梯度，也更容易組合各個運算。</p> <p>雖然對於線性迴歸來說，如此有一點小題大作，然而，確實也能透過反向傳播的方式來求梯度，就像〈<a href="https://bit.ly/3CFO262" target="_blank">NumPy實現線性迴歸（二）</a>〉，當中的grad_loss函式實作，其中分別對每個計算節點求得偏微分公式，然後組成了反向傳播的梯度求解過程。</p> <p>〈<a href="https://bit.ly/2VGtEAU" target="_blank">NumPy實現線性迴歸（一）</a>〉與〈<a href="https://bit.ly/3CFO262" target="_blank">NumPy實現線性迴歸（二）</a>〉的差別，就僅在於grad_loss函式的實作，對損失函數進行偏微分，以及反向傳播，兩者都可用來求得梯度。而我建議採用反向傳播，原因在於，過渡到PyTorch實作時，就可以透過其提供的張量直接進行反向傳播。</p> <p><span style="font-size:28px;"><strong>逐一轉換至PyTorch</strong></span></p> <p>想將NumPy陣列轉至PyTorch張量，我們可以透過torch.from_numpy函式，而像是numpy.where之類的函式，基本上，都有torch.where等API對應，用來建立NumPy陣列的numpy.array，可以改為torch.tensor建立張量，〈<a href="https://bit.ly/3yDK23P" target="_blank">NumPy API至PyTorch API</a>〉可以看到例子，幾個簡單的置換動作，就可以從NumPy API轉換至PyTorch API。</p> <p>而PyTorch張量的神奇之處在於，只要記得建立張量時，將requires_grad設為True，它可以記得自己是怎麼計算而來，而透過backward方法，可以自動求得梯度，因此，就不需要先前的grad_loss實作了，我們在〈<a href="https://bit.ly/3iy5QrY" target="_blank">PyTorch反向傳播求梯度</a>〉可以看到相關實作，其中，要注意的是，梯度計算預設會被累加，因此，要記得將梯度計算歸零。</p> <p>另外在更新模型參數時，為了避免修改了模型的計算圖，要在with torch.no_grad()的環境中進行參數更新，記得使用-=運算子，這才會對參數進行原地（in-place）更新操作。如果寫為params=params-lr*params.grad，會建立新張量而預設的requires_grad是False，這會導致無法計算梯度，而在backward方法執行時發生錯誤。</p> <p>要注意的是，requires_grad設為True的張量，若要轉換至NumPy（像是提供給Matplolib繪圖使用），記得要先detch，解除自動梯度計算的功能，才能透過numpy方法轉為NumPy陣列。</p> <p>實際上，更新參數的部份params-=lr*params.grad，就是梯度下降法最後求得的參數更新公式，PyTorch提供了torch.optim.SGD，來實現梯度下降法，清除梯度的部份可以透過optimizer.zero_grad()，更新參數的部份可以透過optimizer.step()，關於這部分做法，我們可以在〈<a href="https://bit.ly/3xDo8fR" target="_blank">使用Optimizer</a>〉中看到如何修改。</p> <p>損失函數的部份，我們可以使用PyTorch的torch.nn.MSELoss，而原先的model函式，就是個線性模型，PyTorch提供了torch.nn.Linear作為實現，建立時必須指定輸入與輸出的維度，我們可以藉由parameters方法取得模型參數。而在〈<a href="https://bit.ly/3lPSuJx" target="_blank">PyTorch求線性迴歸</a>〉當中，我們可以看到：線性模型、損失函數、梯度計算、梯度下降等，都使用了PyTorch現成的方案，不需要自行實作相關元件，只要關注學習流程的實現就可以了。</p> <p><span style="font-size:28px;"><strong>掌握PyTorch流程典範</strong></span></p> <p>雖然是個簡單的模型，然而〈<a href="https://bit.ly/3lPSuJx" target="_blank">PyTorch求線性迴歸</a>〉示範了PyTorch主要的幾個元素，藉由NumPy到PyTorch的過程，我們可以逐漸體會到使用現成實作的方便之處；對於神經網路等更複雜的模型，主要就是小模型與小模型間計算如何連接，這可以透過torch.nn.Sequential來串聯。</p> <p>從NumPy到PyTorch的實現過程中，我們是否也發現了training_loop的流程幾乎都是固定的呢？你可以繼承nn.Module來實作神經層，定義好forward、backward方法，然後其他流程的接合就交給PyTorch。</p> <p>如果能夠自行透過NumPy實作一個簡單的模型，代表我們對於數學理論或學習過程等有足夠的認識，若試著將其中的元素逐一用PyTorch取代，就可以清楚地知道PyTorch提供了哪些方便的元件，同時，也可以瞭解到PyTorch支援的流程典範，從這個流程典範延伸來探索其他API，就不至於迷失在許多API之中了。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/numpy">Numpy</a></div><div class="field-item even"><a href="/tags/pytorch">PyTorch</a></div><div class="field-item odd"><a href="/tags/%E6%B7%B1%E5%BA%A6%E5%AD%B8%E7%BF%92">深度學習</a></div></div></div>
2021/9/23 07:00作者林信良https://www.ithome.com.tw/voice/146797
中國認知作戰新手法！鎖定臺灣資安公司製造假新聞，挑撥臺日政府關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國網軍認知作戰又有新手法！驚傳臺灣專精研究APT（進階持續性威脅）以及假新聞攻擊的資安公司TeamT5（杜浦數位安全）成為中國網軍鎖定攻擊對象，捏造臺灣政府授意該公司，企圖非法收集日本民眾個資以及企業重要人士的機敏資訊，相關訊息也透過媒體以及社交平臺四處傳播。</p> <p>TeamT5執行長蔡松廷（網路暱稱TT）苦笑表示，該公司平時專精研究資訊戰的各種假新聞操弄手法，沒有想到有一天，竟然成為假新聞中被中國網軍鎖定攻擊的對象，而且為了避免惡意傳播和杜絕網路上的不實指控，也已經於9月22日前往刑事警察局負責網路犯罪偵查的偵九大隊報案。</p> <p>專精假新聞認知作戰研究的臺北大學犯罪研究所助理教授沈伯洋則表示，以往中國網軍假新聞操弄，比較少見直接鎖定資安公司作為攻擊對象，這次會鎖定臺灣資安公司發動認知作戰，有可能是中國網軍掌握某些情資，試圖從供應鏈攻擊的角度切入，並趁機破壞臺日政府之間的友好關係。</p> <p>行政院資安處處長簡宏偉則表示，這次事件就是標準的資訊戰攻擊手法，只不過把操弄的對象從某些特定人物轉變成民間資安公司。他認為，面對假新聞的攻擊，依據事實、立即澄清並循正當管道要求假新聞下架，避免新聞發酵才是最佳的應對手法。</p> <h2><span style="color:#0000FF;"><strong>不實消息來自中國內容農場，指控臺灣政府授意資安公司非法竊取日本民眾個資</strong></span></h2> <p>蔡松廷表示，中國駭客經常會在連假前夕發動攻擊，讓受駭者沒有足夠的時間回應，這次中秋連假也不例外。以往常見利用特定人物張冠李戴的資訊戰方式，日前則發現，中國網軍鎖定臺灣資安公司TeamT5，在日本境內發動假新聞的資訊戰攻擊。</p> <p>他進一步解釋，過往TeamT5針對假新聞的攻擊手法發表多篇研究報告，因此，也會持續監控某一些中國網軍經營的內容農場與相關的臉書粉絲專頁動態，藉此掌握中國網軍假新聞的訊息傳播管道。而這一次，剛好有該公司負責假新聞的資安研究員觀察到，有中國網軍長期經營的臉書粉絲專頁，在連續假期期間，傳播一則疑似日本內容農場轉貼的訊息，後來便從該粉專進一步追溯消息來源，才發現此次中國網軍認知作戰又有新手段。</p> <p>蔡松廷指出，事情發生在9月17日星期五，臺灣剛好是中秋連續假期前夕，日本有內容農場引述來自中國內容農場的不實消息指稱，臺灣資安公司TeamT5利用網路釣魚的手法，誘使使用者點擊「驗證所有權」或「更新支付訊息」的網路釣魚連結，該連結則會連到偽造的日本亞馬遜登入頁面，就可以藉此蒐集使用者帳號密碼、憑證以及其他個人資訊等。</p> <p>該則不實消息也表示，臺灣資安公司同樣透過網路釣魚的方式，進入某些日本企業的內部網路，藉此竊取某些企業重要人士的個人資訊，對象甚至囊括奧運選手和日本疫苗研究專家等。更重要的是，這則不實消息更宣稱，TeamT5之所以利用網路釣魚手法，竊取日本民眾和重要人士個資的行為，都是經由臺灣政府在背後授意指使所致。</p> <p>他也說，臺灣也有中國網軍長期經營的粉專，以一副請「網友幫幫忙」的方式，因其不熟悉日文、只能透過Google翻譯，卻驚訝的發現轉貼的消息卻指稱：「臺灣有某資安公司的成員，透過網路釣魚方式騙取日本民眾個資，且該資安公司與蔡政府和國安單位有關。」</p> <h2><span style="color:#0000FF;"><strong>假新聞操弄稍有不慎，將從資安事件升級為國安事件</strong></span></h2> <p>蔡松廷也提到，相關中國內容農場的不實消息，也在日本類似PTT的5ch以及Reddit等社群網站轉貼分享，許多日本網友質疑該內容農場引述的日文並不流暢，質疑並非是來自日本媒體報導的消息，懷疑其真實性和可信度。</p> <p>此外，該則不實消息在日本散布期間，適逢臺灣中秋連假前夕，蔡松廷表示，TeamT5在日本的合作夥伴已經於第一時間說明，並要求相關單位下架該則不實消息；在臺灣，他也透過向偵辦網路犯罪偵九隊報案的方式，希望能夠達到遏止不實消息繼續傳播並杜絕不實指控的目的。</p> <p>沈伯洋指出，中國內容農場自產自銷假新聞已是常態，一旦鎖定攻擊對象，更會無所不用其極的捏造各種不實訊息，目的就是要降低其可信度。他說，中國網軍此次鎖定TeamT5這種資安背景的公司作為攻擊對象，以往並不常見，但他推測，或許跟TeamT5長期研究中國認知作戰的手法有關。</p> <p>沈伯洋也表示，有越來越多中國內容農場會提供多語系的翻譯選項，此次的中國內容農場更提供包括簡體中文、日文和韓文的翻譯選項，「中國內容農場常態性提供多語系的翻譯選項，已成常態。」他說。</p> <p>「TeamT5原本只是在研究假新聞操弄手法，沒想到竟然成為假新聞操弄的對象，深刻體會到假新聞操弄的威力。」蔡松廷坦言，該公司為了要杜絕不實消息的散布，不僅要花錢請律師，也必須投入更多心力去報案、去向各界包括客戶以及合作夥伴澄清相關內容，這都會對民間公司造成不小壓力和負面影響。他坦言，為了遏止不實消息傳播倘若投入成本過高，甚至可能會導致公司必須終止相關認知作戰的研究，影響不可不慎。</p> <p>蔡松廷也從這次的事件發現到，中國網軍透過假訊息傳播，不僅造成TeamT5的商譽損失，因為指控臺灣政府是非法收集日本民眾個資的幕後黑手，一旦該不實消息持續發酵，可能會破壞臺日政府原先友好的互動關係，「這種操弄假新聞的認知作戰方式，一個不小心，就可能將原先單純的資安事件，立即上升到破壞兩國政府互信基礎的國安事件。」他說。</p> <p>網路上有許多不實消息都來自內容農場，中國網軍透過長期的經營，經常會參雜許多真真假假的內容，簡宏偉認為，一般民眾往往很難在第一時間辨識是真實或是捏造的訊息，這也使得假訊息的澄清難度越來越高，中國網軍的認知作戰的效果越來越好。</p> <p>以此次中國內容農場不實消息傳播的方式來看，簡宏偉坦言，這就是百分之百的認知作戰，唯一有效的解決方式就是：儘速澄清假訊息，並且透過管道下架假新聞，杜絕不實訊息的再度傳播。</p> </div></div></div>
2021/9/23 03:40作者黃彥棻https://www.ithome.com.tw/news/146834
OpenOffice存在可被執行程式的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/csg-govtech/all-your-d-base-are-belong-to-us-part-1-code-execution-in-apache-openoffice-cve-2021-33035-767fc7d6daf7" target="_blank">安全研究人員發現Apache OpenOffice存在一個程式碼執行漏洞</a>，可能導致用戶裝置被執行惡意程式碼。壞消息是修補程式還在測試版階段，正式版可能要等到月底。</p> <p>編號CVE-2021-33035的漏洞，是由新加坡安全廠商GovTech Singapore Cyber Security集團研究人員Eugene Lim 發現，8月30日OpenOffice維護單位未在緘默期內釋出修補程式後，Lim於上周HackerOne線上Hacktivity會議上揭露。</p> <p>研究人員是因古早的.DBF檔案格式一項先天缺陷，進而發現OpenOffice這項漏洞。.DBF是dBase資料庫格式，已經存在近40年，迄今仍有許多應用程式支援，包括微軟Office、LibreOffice及Apache OpenOffice。</p> <p>Lim解釋，DBF檔案格式有個本質上的缺陷，它的一筆記錄的封包大小可以由標頭兩種參數之一（fieldLength 或fieldType）決定。如果軟體工程師沒注意，以其中之一配置緩衝區，又以另一個設定複製到該緩衝區的大小值，就可能造成緩衝溢位。而剛好OpenOffice的.DBF解析程式（parser）未能有效檢查，可被刻意操弄參數的.DBF檔案觸發緩衝溢位，於是能使開啟.DBF檔案的OpenOffice CalC毁損。</p> <p>但是OpenOffice仍然有內建保護機制，包括位址空間組態隨機載入（Address space layout randomization，ASLR）及資料執行防止（Data Execution Prevention，DEP），要突破這些防護需要不符合DEP及ASLR的軟體元件。</p> <p>最後他在OpenOffice中找到一個用於解析XML文件的libxm12元件，以此為起點展開ROP（return-oriented programming）鏈攻擊。ROP是一種攻擊手法，可在程式啟用DEP時控制程序執行流，引發堆疊緩衝區溢位，進而劫持程式控制流（control flow），以執行指令。研究人員指其設計的ROP 鏈攻擊已能突破OpenOffice的安全防護，在受害機器上執行任意指令。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/875/1*n-MONW-9U7zHsfyF35Zf1Q.gif" style="width: 600px;" /></p> <p><a href="http://medium.com/csg-govtech/all-your-d-base-are-belong-to-us-part-1-code-execution-in-apache-openoffice-cve-2021-33035-767fc7d6daf7" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源_GovTech CSG</span></a></p> <p>CVE-2021-33035影響Apache OpenOffice 4.1.10以前版本。但是何以Apache OpenOffice作為開源碼專案，未被常見掃瞄工具，如GitHub的LGTM找出漏洞，研究人員猜測是因為LGTM等工具主要檢查OpenOffice中的Python和JavaScript程式碼，未檢查漏洞所在的C++程式碼所致。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-apache%20openoffice%20LGTM.jpg" style="width: 500px;" /></p> <p><a href="http://medium.com/csg-govtech/all-your-d-base-are-belong-to-us-part-1-code-execution-in-apache-openoffice-cve-2021-33035-767fc7d6daf7" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源_GovTech CSG</span></a></p> <p>Lim在今年5月向Apache OpenOffice維護單位通報漏洞，後者已經更新了OpenOffice原始碼，雙方預定8月30日釋出穩定版OpenOffice後公布該漏洞。9月18日Apache小組仍未發布更新，研究人員則依規劃公布漏洞細節。</p> <p><a href="https://www.theregister.com/2021/09/20/apache_openoffice_rce/" target="_blank">Apache於9月20日向The Register指出</a>，目前<a href="https://home.apache.org/~mseidel/AOO-builds/AOO-4111-Test/Full%20Installation/" target="_blank">修補程式已在beta版階段</a>，專案小組預定本月內釋出Apache OpenOffice 4.1.11。</p> </div></div></div>
2021/9/22 22:54作者林妍溱https://www.ithome.com.tw/news/146833
Google成立系統研究新團隊SystemsResearch要解決超大規模工作負載問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/systems/google-creates-new-systems-research-group" target="_blank">Google成立新的研究團隊SystemsResearch@Google（SRG</a>），要進一步研究超大規模系統。SRG是一個全新的研究團隊，將成為Google雲端和基礎設施工程的核心，肩負重塑超大規模系統的使命。</p> <p>官方提到，現在大規模運算都向雲端基礎設施移動，過去典型技術已經達到極限，新的程式開發範式和使用模式也正在形成，各個層級的系統設計面臨重構，機器學習訓練和即時推理等大規模分析和處理工作負載，將逐漸由全球邊緣和蜂巢式網路裝置提供，過去數十年人們仰賴的運算技術，成長幅度正一代一代的減緩。</p> <p>為此，Google決定成立新的研究單位進行創新，規畫未來技術前進的途徑，SRG將專注於發明，並孵化新概念、設計和技術，並將這些新研究注入到Google應用程式、系統和資料中心當中，該團隊的成員將與工程和產品團隊緊密協作，一起針對變革性工作負載進行探索。除此之外，該團隊也將會與Google外部研究社群合作並建立穩固的關係，以共同解決當前全球最緊迫的系統研究難題。</p> </div></div></div>
2021/9/22 23:17作者李建興https://www.ithome.com.tw/news/146824
微軟推出主題轉換工具，讓大量VS Code主題適用於Visual Studio 2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你也是安裝完Visual Studio，第一件事先換主題的開發者嗎？微軟將讓Visual Studio 2022用戶有更多主題選擇，藉由和社群主題作者合作，開始測試可將VS Code主題轉換為Visual Studio主題的工具<a href="https://devblogs.microsoft.com/visualstudio/custom-themes/">Theme Converter</a>，如此開發者便能以更靈活的方式，選擇適用於Visual Studio 2022的社群主題，目前已經有許多VS Code主題可在Visual Studio 2022上使用。</p> <p>官方提到，選擇Visual Studio主題就跟選擇辦公室桌椅一樣重要，每個用戶都有開發上的獨特偏好。因此微軟和社群測試新的主題轉換工具，讓用戶可以在Visual Studio，也能用到習慣的VS Code主題，目前初始轉換的這些主題，與Visual Studio 2022第四預覽版及以上版本相容，並且適用於C#和C++程式開發。</p> <p>這些主題被打包成Visual Studio主題包，開發者只要安裝後，就可以開始使用這些主題，除了主題包，在Visual Studio市集中，也可以搜尋到不斷增加的新主題，只要在主題頁面選擇下載按鈕，系統就會提示用戶安裝主題檔案。當用戶想要瀏覽安裝的主題，需要重新啟動Visual Studio實體，並且在工具選單中選擇主題，點選主題就能應用到Visual Studio中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vsthemepackpreviewpersonalization2.png" style="width: 280px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/vsthemepackpreviewpersonalization1.png" style="width: 261px;" /></p> <p>所有主題作者都可以使用主題轉換工具，轉換VS Code主題給Visual Studio使用，官方提到，目前轉換工具還處於試驗階段，目前僅針對與C#和C++最相容的主題。</p> </div></div></div>
2021/9/22 23:21作者李建興https://www.ithome.com.tw/news/146830
Google發布DevOps年度報告，菁英績效團隊的軟體交付時間從一天縮短至一小時內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的DevOps研究和評估（DORA）團隊公布最新的<a href="https://cloud.google.com/blog/products/devops-sre/announcing-dora-2021-accelerate-state-of-devops-report">DevOps年度報告</a>，這份報告顯示企業技術轉型，在軟體交付和營運效能上帶來的改變，今年Google還調查了SRE最佳實踐、安全軟體供應鏈、文件品質和多雲環境等因素，對企業帶來的影響。</p> <p>Google使用DORA四大指標，分別是部署頻率、改版前置時間、服務恢復時間和改版失敗率，將企業團隊分為菁英、高、中和低績效團隊，與過去的調查結果相比，今年的DevOps菁英團隊，更是加快軟體交付腳步，從過去不到一天的改版前置時間，縮短至不到一小時，不只如此，菁英團隊部署頻率是低績效團隊的973倍，部署前置時間快6,570倍，更改失敗率低於3倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/SODR_2021_1_max-900x900.jpg" style="width: 580px;" /></p> <p>這次研究團隊還量測了第五個指標，Google提到，過去評估DevOps狀態都是量測可用性，但可用性是可靠性工程的一個重點，因此特別將量測擴展至可靠性，以更廣泛地表示可用性、延遲、效能和可擴展性程度。</p> <p>2021年報告發現，過去那些表現良好的團隊表現得又更好了，和2019年報告相比，當時中低績效受訪者占56％，而今年高績效和菁英績效企業已經占了三分之二，研究團隊提到，當企業繼續加速採用DevOps原則，就會獲得有意義的好處。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/SODR_2021_2_max-1400x1400.jpg" style="width: 580px;" /></p> <p>而報告也顯示部分與COVID-19相關的趨勢，像是遠端工作的DevOps開發者，比在辦公室工作的人，更容易出現倦怠，而具有包容性的健康團隊文化，能夠最大程度消除倦怠感。</p> <p>而Google也認為SRE（Site Reliability Engineering）和DevOps應該相輔相成，該報告指出，服務等級指標和服務等級目標指標框架等SRE技術，提供實踐的方法和工具定義，可以強化DevOps團隊的實踐能力。調查也顯示，現代化營運能夠獲得約1.4倍的軟體交付和營運（SDO）效能，在最佳的情況甚至可達1.8倍。</p> <p>研究團隊也看到，善用雲端技術能夠加速推動DevOps發展，將工作負載移往雲端，便能擁有SDO效能和組織績效成長，多雲採用的團隊持續成長，而使用混合雲和多雲環境的受訪者，更容易超過組織績效目標，研究團隊認為，這是因為團隊可以使用到不同供應商的獨有功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/SODR_2021_3_max-1200x1200.jpg" style="text-align: center; width: 580px;" /></p> <p>安全性在軟體供應鏈成為必要，甚至是驅動效能提升的一環，研究團隊提到，安全性不再是額外的功能，必須貫穿開發生命周期每一階段，以建構安全的軟體供應鏈，另外，Google這次還衡量團隊內部檔案品質，對於其DevOps能力和實踐的影響，調查發現，文件是DevOps功能的基礎，擁有高品質檔案的團隊更傾向實施安全最佳實踐，也更能發揮雲端的潛力。</p> </div></div></div>
2021/9/22 23:28作者李建興https://www.ithome.com.tw/news/146832
商業電郵詐騙國內報案平均每週至少兩起，企業通常已遭入侵半年以上，一旦遭騙需把握黃金72小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多年來，鎖定企業秘書、財務人員的網路攻擊與詐騙不斷，只要企業與國際合作夥伴一方遭入侵，駭客就可掌握雙方公司往來資訊，並伺機假冒一方名義詐騙，近期刑事警察局公布相關的統計數字，他們表示，近五年受理的商務電子郵件詐騙（BEC），每年都有超過1百個案件，且每年遭到詐騙的金額，都在2億元以上。</p> <p>根據刑事警察局提供的最新統計資訊來看，商業電子郵件詐騙在2016年有112件，2017年有168件，2018年有163件，2019年有158件，2020年有142件，平均算起來，大約每週都有2到3家企業報案。</p> <p>由於這類威脅已持續多年，但多數中小企業而言，可能仍然不了解這種手法，因此警方持續透過公布案例，希望喚起企業老闆與財務人員的注意。</p> <p>例如，今年6月臺北市某科技公司秘書，因收到一封假冒公司財務長發來的電子郵件，因此依照指示匯款700萬美元至指定帳戶，之後才發現問題報案。</p> <p>去年12月，警方也曾公布另一起BEC詐騙案例，當中揭露更多細節。起因是臺北市一家貿易公司向外國廠商進貨，收到駭客假冒上游廠商發送電子郵件，信中謊稱原收款帳戶因稅務檢查暫時停用，要求將貨款改匯到新帳戶，因此貿易公司職員依對方指示匯款，但該職員並未注意到，原本聯絡對象的Email是「…group@…com」，但這封變更匯款的郵件，其實是來自「…qroup@…com」，已非原寄件者。</p> <h3><strong>一方的郵件系統被入侵，攻擊者就能掌握交易資訊伺機詐騙</strong></h3> <p>為瞭解更多BEC的威脅現況，我們洽詢刑事警察局。國際刑警科秘書林明俊表示，以他們單位受理的案件而言，每年案件呈現微幅增加的情形，近年受理的案件幾乎都是中小企業，發生的主因在於這些業者對於資安較不重視，當中也有國內兩家上市科技大廠替下游廠商報案。</p> <p>對於這類網路犯罪該有的認知，林明俊提到三大重點。</p> <p>首先，發生BEC詐騙的事件，通常企業早就被駭客入侵半年以上，因此，網路犯罪者才能知道雙方公司之間的交易採購情形，再伺機以假冒電子郵件要求變更匯款。</p> <p>其次，BEC防不勝防的原因在於，只要一方被駭客入侵，就可以被網路犯罪者掌握了資訊。因此，資安界與警方不斷呼籲企業老闆重視，須強化資安防護，並要提醒員工，遇到對方突然表示要變更匯款帳戶，或改用不常匯款的帳戶，都應提高警覺，務必透過其他管道與對方確認。</p> <p>第三，受害企業需在黃金72小時內報案，執法與金融單位才有機會從金流端攔阻，啟動銀行圈存作業。例如，在今年1月，遭遇BEC的臺灣企業因為及時報案而倖免於難──該公司將錢匯到美國，由於美國FBI在臺有派駐人員，透過雙方合作，因此能在72小時內通報到美國，最後這筆匯款在美國那邊順利被攔阻下來。<a href="https://www.ithome.com.tw/news/116970">過去刑事警察局也不調強調這一點。</a></p> <h3><strong>BEC詐騙與洗錢人頭帳戶息息相關</strong></h3> <p>至於警方能否抓到背後犯罪組織？林明俊表示，破案並不容易，但他們過去也曾揪出協助洗錢的嫌犯。例如，國際刑警科在2014年3月破獲一起違反洗錢防制法的刑事案件，就與商業電子郵件詐騙案有關，而且今年該案又再曝光於社會新聞版面，關鍵原因在於：其中一位協助匯款的犯罪者，是知名連鎖早餐店「紅橘子」創始人蔡思庭。</p> <p>這起事件後來雖未逮到背後跨國組織成員，但國內協助洗錢的4名共犯，在2016年12月、2018年1月與2020年8月已受到司法判決。而這起案件在2021年3月又有消息，因為其中3人再次上訴，再遭最高法院駁回，全案判決確定。</p> <p>根據<a href="https://law.judicial.gov.tw/EXPORTFILE/reformat.aspx?type=JD&id=TPSM%2c110%2c台上%2c2082%2c20210310%2c1&lawpara=&ispdf=0">判決書內容指出</a>，刑事局當時接獲國際刑警組織情資，查到跨國詐騙集團有2名臺灣人：陳震歐、陳震堂，該集團先是買通了蔡思庭、邢光智與黃建添，除了提供人頭帳戶，並找了楊正平提供合茂公司作為跨國匯款的人頭帳戶，該組織則駭入了加拿大商Berezan Management Ltd.執行長的電子郵件信箱，再冒用其名義，發信給財務經理指示轉帳34萬元加幣（約926.4萬元），轉到邢光智的外幣帳戶，之後依駭客詐騙集團指示，取得各自的報酬，並將詐騙金錢存入合茂公司，以三角貿易匯出至境外帳戶。</p> <p>林明俊表示，這起案件是外國廠商發現上當，金錢匯到臺灣帳戶，追查金流下，發現臺灣有不肖分子擔任車手的角色，為賺取抽成費用而提供人頭帳戶。他指出，這種網路犯罪的人頭帳戶，一定都是該人頭知情的情況下進行，而且，由於都是很大的金流轉移，因此都會需要設立公司帳戶。</p> <p>此外，這類網路犯罪的裁罰狀況，也值得關注。以這次判決而言，協助BEC詐騙洗錢的4人，除沒收犯罪所得，也處以5到10個月的有期徒刑，以及6萬到30萬罰金，林明俊表示，由於BEC詐騙的金額不小，上述這起案件就詐騙近千萬元，有些案件甚至上億元，若判罰太低，可能引誘人犯罪。</p> <p>附帶一提的是，這類網路犯罪受理案件統計數據，似乎有今昔之別。早年我們向刑事警察局取得資料顯示，2016年是61件，2017年是54件，而這樣的數量，與該單位現在提供的數量並不同，因此我們也進一步詢問原因，但刑事警察局並未透露。我們推測，可能這類案件有多個受理單位，以及後續案件類型整併的關係，所以造成數量上的差異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89BEC%E8%A9%90%E9%A8%99%E5%8D%94%E5%8A%A9%E7%B6%B2%E8%B7%AF%E7%8A%AF%E7%BD%AA%E6%B4%97%E9%8C%A2%E5%88%A4%E6%B1%BA%E5%87%BA%E7%88%90.jpg" style="width: 400px;" /></p> <blockquote><p>近年臺灣警方也曾破獲協助BEC詐騙的車手，經多次司法判決，今年最高法院駁回上訴後，該案判決確定。<a href="https://law.judicial.gov.tw/EXPORTFILE/reformat.aspx?type=JD&id=TPSM%2c110%2c台上%2c2082%2c20210310%2c1&lawpara=&ispdf=0">根據判決書的內容</a>，這起案件，跨國駭客詐騙組織以不詳方式駭入加拿大商Berezan Management Ltd執行長的電子郵件信箱，再冒用其名義，寄送電子郵件指示財務經理轉帳加拿大幣34萬元，到臺灣邢犯的玉山銀行外幣帳戶，之後這些共犯再前往銀行辦理結匯，並存入由楊犯開設的合茂公司玉山銀行帳戶，再以三角貿易匯出款名義，分別匯往大陸與背後駭客組織所指定的境外帳戶。</p> </blockquote> </div></div></div>
2021/9/22 16:44作者羅正漢https://www.ithome.com.tw/news/146821
資安一周第164期：MSHTML重大漏洞已被用於勒索軟體攻擊。Telegram成為犯罪份子的主要交易場所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">9/16-9/22必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">MSHTML重大漏洞已被用於勒索軟體攻擊</strong></h2> <p><a href="https://www.ithome.com.tw/news/146584">微軟於9月7日提出警告</a>，MSHTML重大漏洞CVE-2021-40444已被駭客用於攻擊行動，<a href="https://www.ithome.com.tw/news/146733">該公司在14日的例行修補（Patch Tuesday）提供修補程式</a>。事隔2日，他們揭露攻擊行動的更多細節，指出攻擊者正運用此漏洞來散布勒索軟體。</p> <p>該公司表示，他們在8月偵測到近10個資安事故與之相關：駭客利用惡意Office文件，並搭配此MSHTML漏洞，散布特製Cobalt Strike的Beacon啟動器（Loader）。而根據Beacon所連結的網路基礎架構，微軟發現與多個犯罪活動有關，其中包括人為操作的勒索軟體。<strong><a href="https://www.ithome.com.tw/news/146764">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/164-1-attack-chain.png" style="width: 400px; height: 152px;" /></p> <p><span style="color:#808080;">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃即時通訊軟體＃Telegram</strong></span></h3> <h2><strong style="vertical-align: top;">Telegram成為犯罪份子的主要交易場所</strong></h2> <p>提供全程加密的通訊服務Telegram，標榜不會將用戶資料提供給各國政府，而有許多從事民主、人權活動的人士採用。但根據英國《金融時報》與資安業者Cyberint聯手調查，這樣的安全與便利性，卻也成為犯罪集團分享外洩資料與進行交易的主要管道。</p> <p>Cyberint指出，駭客在此提到分享外洩電子郵件帳密的駭客用語，在過去1年成長4倍，而自暗網連至Telegram的連結，2020年有17萬個，今年已超過100萬個。<strong><a href="https://www.ithome.com.tw/news/146801">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃APT攻擊</strong></h3> <h2><strong style="vertical-align: top;">國家級駭客鎖定Zoho自助式密碼管理平臺漏洞</strong></h2> <p>美國聯邦調查局（FBI）、美國網路安全暨基礎架構安全署（CISA），以及美國海岸防衛網戰司令部（CGCYBER）在9月16日，共同提出警告，國家級駭客正在鎖定重大安全漏洞CVE-2021-40539，這項漏洞存在於Zoho旗下的自助式密碼管理暨單一簽入解決方案，也就是：ManageEngine ADSelfService Plus。</p> <p>此漏洞為身分驗證繞過漏洞，一旦遭到濫用，駭客可執行遠端攻擊。上述這些資安單位認為，鎖定該漏洞的駭客，包含由國家支撐的APT組織，將對重要基礎設施公司、美國國防承包商、學術機構帶來重大風險。<strong><a href="https://www.ithome.com.tw/news/146787">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/164-2-nF4TT53nJX.png" style="width: 400px; height: 292px;" /></p> <p><span style="color:#808080;">圖片來源：美國網路安全暨基礎架構安全署</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃殭屍網路＃DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">殭屍網路Mirai攻擊Azure管理工具OMI的重大漏洞</strong></h2> <p>微軟在9月份例行修補（Patch Tuesday）中，修補存在於Azure Open Management Infrastructure（OMI）的RCE漏洞CVE-2021-38647（亦被稱為Omigod），但到了9月17日，又有資安研究人員發現，殭屍網路Mirai正在利用這個重大漏洞發動DDoS攻擊，據信來源IP位址位於中國。<strong><a href="https://www.ithome.com.tw/news/146805">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/164-3-fAH6XEMzVJ.png" style="width: 400px; height: 480px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：推特</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃木馬程式攻擊＃就地取材</strong></h3> <h2><strong style="vertical-align: top;">金融木馬ZLoader攻擊德國、澳洲銀行機構</strong></h2> <p>資安業者SentinelOne於9月13日，揭露最近發動的金融木馬（Bank Trojan）ZLoader攻擊行動細節。攻擊者先是透過投放Google廣告，鎖定使用「Team viewer download」作為關鍵字的用戶，一旦使用者點選了攻擊者購買的廣告，就會被引導到冒牌TeamViewer的網站，下載MSI安裝檔案，但實際上，若是使用者執行這個檔案，將會在受害電腦植入ZLoader。</p> <p>為了避免ZLoader被攔截，攻擊者在植入木馬程式之前，會先停用Microsoft Defender所有模組，並將regsvr32、EXE可執行檔案、DLL程式庫設置為例外。<strong><a href="https://www.ithome.com.tw/news/146775">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚＃SIM Swapping ＃BEC</strong></span></h3> <h2><strong style="vertical-align: top;">義大利黑手黨開始參與網路犯罪</strong></h2> <p>歐洲刑警組織（Europol）於9月20日宣布，破獲與義大利黑手黨有關的犯罪集團，該集團透過網釣攻擊與詐騙盜走了他人的財產，1年內的不法獲利超過千萬歐元，總計有106人被逮捕，118個銀行帳戶遭到凍結。<strong><a href="https://www.ithome.com.tw/news/146807">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">相機大廠Olympus疑遭勒索軟體BlackMatter攻擊</strong></h2> <p>日本相機及光學大廠Olympus於9月11日發出公告，表明於9月8日遭遇網路攻擊事故，影響東歐、中東及非洲（EMEA）的IT系統，該公司已啟動調查，並暫停受影響系統的資料傳輸。而對於此起事故，Olympus並未進一步說明細節，但根據新聞網站TechCrunch的報導，該公司疑似遭到勒索軟體BlackMatter攻擊，贖金金額不詳。<strong><a href="https://www.ithome.com.tw/news/146745">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國穀物合作社遭BlackMatter攻擊，被勒索590萬美元</strong></h2> <p>根據《華爾街日報》與《BleepingComputer》於9月20日的報導，美國愛荷華州的穀物合作社New Cooperative，疑似於9月18日遭到勒索軟體BlackMatter攻擊，駭客聲稱竊得1,000GB資料，包含了Solimap網站的程式碼、研究成果、員工的敏感資料，以及財務文件等，駭客向New Cooperative提出590萬美元的贖金要求，且要脅在9月25日前付錢，否則贖金將會加倍。<strong><a href="https://www.ithome.com.tw/news/146813">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃滲透測試工具＃Cobalt Strike</strong></span></h3> <h2><strong>攻擊者打造Linux版Cobalt Strike的Beacon，鎖定電信、政府、金融業發動攻擊</strong></h2> <p>資安業者Intezer於9月13日，揭露自8月出現的攻擊行動，鎖定全球的電信公司、政府單位、IT公司、金融機構，以及顧問公司等，而其中最引起研究人員注意的，就是攻擊者使用的工具中，出現了重新以Scratch程式語言製作、能在Linux作業系統執行的滲透測試工具Cobalt Strike的Beacon，而且，其中的Linux版本無法被防毒軟體識別為有害。Intezer將新的作案工具命名為Vermilion Strike，並表示這是首度針對Linux主機而來的Cobalt Strike攻擊。<a href="https://www.ithome.com.tw/news/146740"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">逾1,200所美國K-12學校的學生資料曝露在暗網</strong></h2> <p>美國網路安全及基礎設施安全局（CISA）與FBI聯手，在2020年12月提出警告，駭客針對採用遠距教學的K-12學校發動攻擊，目的是竊取學校伺服器的資料，而近期新聞網站NBC News也報導此事。</p> <p>NBC News今年在暗網中，看到駭客發布超過1,200家K-12學校的檔案，這些檔案充斥著學生個資，包括名字、生日、性別，以及社會安全碼等。由於這些學校往往缺乏資安資源，學生個資外洩後，日後恐面臨資料竊盜的風險，對此，專家建議家長，在孩童成年以前，最好都凍結他們的信用。<strong><a href="https://www.ithome.com.tw/news/146685">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/146644">OpenSSL 3.0正式推出，加入新的FIPS模組</a><br /> ●<a href="https://www.ithome.com.tw/news/146699">Fortinet、Linksys聯手推出居家辦公網路安全設備</a><br /> ●<a href="https://www.ithome.com.tw/news/146744">Google修補2個已發生攻擊的Chrome漏洞</a></h3> </div></div></div>
2021/9/22 17:55作者周峻佑https://www.ithome.com.tw/news/146820
美國制裁幫勒索軟體駭客洗錢的加密貨幣交易中心Suex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/jy0364" target="_blank">美國財政部（U.S. Department of the Treasury）周二（9/21）宣布</a>，為了打擊勒索軟體的生態鏈，將制裁協助勒索軟體駭客集團洗錢的加密貨幣交易中心Suex，而這也是美國首度針對加密貨幣交易中心執行制裁行動。</p> <p>有鑑於勒索軟體的攻擊行動不管是在規模上、複雜度或是頻率上都與日俱增，且不管是個人、私人企業或政府機關都受害，讓美國近年來決定聚焦於打擊勒索軟體，包括整頓國內的所有攻擊資訊及對抗的資源，並與外部的資安業者合作，現在則切入勒索軟體集團的金流。</p> <p>美國財政部統計，去年因勒索軟體攻擊而支付的金額超過4億美元，接近2019年的4倍，而且這些金額只代表了受到網路攻擊所造成經濟損失的一小部分，因為相關攻擊不但破壞了人們的生活，也破壞重大的服務，從金融、健康照護到能源等，還會造成機密資訊的外洩。</p> <p>而加密貨幣交易中心也在勒索軟體攻擊生態鏈中扮演重要的洗錢角色，相關攻擊的贖金絕大多數都是透過加密貨幣支付，駭客則是藉由交易中心來兌換或交易這些非法所得。有些交易中心可能是不小心淪為駭客利用的管道，然而，根據美國的調查，Suex是有意識地參與犯罪行動的金流，至少協助8種勒索軟體進行洗錢，該平台有高達40%的交易涉及駭客行為。</p> <p>當駭客方便兌現不法所得之後，除了會食髓知味，還能把這些金額拿來壯大自己的非法行動，使得加密貨幣交易中心成為美國的制裁對象。</p> <p>美國財務部並未公布Suex的背景，但<a href="https://www.wsj.com/articles/u-s-treasury-threatens-more-sanctions-targeting-crypto-services-found-aiding-illicit-actors-11632234624?mod=djemalertNEWS" target="_blank">根據《華爾街日報》的調查</a>，Suex設立於捷克，但所有人居住在俄羅斯，並號稱是墨西哥最大的加密貨幣交易中心之一。</p> <p>就算Suex並非位於美國，但來自美國財政部的制裁將會凍結Suex受到美國管轄的所有資產，也禁止美國人或美國實體與Suex交易，與Suex交易的個人或實體，也可能成為被美國制裁的對象。</p> </div></div></div>
2021/9/22 15:20作者陳曉莉https://www.ithome.com.tw/news/146817
全球網路自由度已連續11年下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國官方贊助的非政府組織「自由之家」<a href="https://freedomhouse.org/sites/default/files/2021-09/FOTN_2021_Complete_Booklet_09162021_FINAL_UPDATED.pdf" target="_blank">（Freedom House）本周公布了2021年的研究報告</a>，指出今年已是全球網路自由度連續11年的下滑，代表各國對網路自由的箝制愈來愈多，這一年來網路自由度下降最多的是發生政變的緬甸，而中國則是連續第七年蟬聯網路自由環境最差的國家，此外，至少有48個國家正在藉由控制大型科技公司來侵犯使用者的網路自由及隱私。</p> <p>Freedom House評估了2020年6月到2021年5月之間，全球70個國家的網路自由度，所評估的三大指標為使用者存取網路是否有障礙、政府是否限制了網路上的內容，以及政府是否企圖侵犯人權，分數愈高的代表愈自由，臺灣在網路自由度（Internet Freedom）上拿到了80分，<a href="https://freedomhouse.org/countries/freedom-net/scores?sort=desc&order=Total%20Score%20and%20Status" target="_blank">名列全球第五</a>，僅次於冰島（96）、愛沙尼亞（94）、加拿大（87）與哥斯大黎加（87），還勝過德國（79）、法國（78）與英國（78）。</p> <p>至於在70個國家中，網路自由度墊底的則是中國，只有10分，而且已經是連續第七年墊底。根據自由之家的觀察，中國政府阻止了要求對COVID-19起源進行獨立調查的言論，也禁止民眾批評中國自製疫苗；且中國持續封鎖各種程式，從加密通訊平臺Signal到今年大紅的Clubhouse，或是用來逃過中國防火牆的VPN程式。</p> <p>由於中國既封鎖特定程式及網站，也限制了網路上的內容，並在侵犯人權上得到零分，才使得中國在網路自由度上只拿到了10分。</p> <p>最後第二名則是伊朗（16分），倒數第三名為<a href="https://www.ithome.com.tw/news/142680" target="_blank">今年發生政變的緬甸</a>（17分），也讓緬甸成為今年網路自由度下滑最多的國家。</p> <p>整體而言，今年有20個國家曾經限制民眾的連網能力，有21個國家封鎖了社交平臺，而且還有45個國家涉嫌向外購買間諜程式來監控異議人士。</p> <p>另外一個值得觀察的趨勢為：今年約有48個國家決定向大型科技業者開刀，已經或準備藉由立法來管控這些大型業者的內容、資料或競爭，且有不少立法是為了箝制言論自由並要求業者釋出用戶的個人資訊。</p> </div></div></div>
2021/9/22 15:53作者陳曉莉https://www.ithome.com.tw/news/146818
Deislabs開源針對WebAssembly應用程式打造的PaaS專案Hippo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deislabs發布了一個稱之為<a href="https://deislabs.io/posts/introducing-hippo/">Hippo</a>的開源託管平臺即服務，該平臺使用WebAssembly作為執行應用程式Runtime，期望改造當前PaaS生態系。Hippo提供工具讓用戶將應用程式，打包成程式物件資源包（Bindle），並且上傳到可供搜尋的Bindle伺服器，而Hippo則在底層使用這些Bindle來儲存和組織應用程式。</p> <p>Deislabs開發Hippo的目標主要解決兩個問題，第一是讓開發應用程式和服務更簡單，Hippo提供一套方便的工具，開發者可以快速建置和測試新想法。第二則是讓開發團隊更輕鬆地管理應用程式發布生命周期，Hippo使用稱為頻道（Channels）的概念，頻道會根據制定的標準，自動部署最新的版本。</p> <p>開發者透過使用Hippo命令列工具，可以上傳最新版本，或是建置本地開發用的Bindle，而在未來，Deislabs會強化該工具，並且讓開發者能夠創建應用程式、配置頻道、收集日誌和附加TLS證書等。用戶也可以使用網頁介面註冊新帳戶、存取應用程式和創建新的測試環境。</p> <p>WebAssembly是一種類似組合語言的的低階語言，能編譯成為小巧的二進位格式，並且以接近本機的效能執行，而Hippo則利用WebAssembly系統介面（WebAssembly System Interface，WASI），在雲端上執行WebAssembly。官方提到，因為使用WebAssembly，Hippo便能獲得三個主要的好處。</p> <p>由於WebAssembly應用程式會以沙盒執行，應用程式僅能存取各自的記憶體位置，除非Runtime明確授權，否則無法取用沙盒環境之外的內容，包括主機呼叫、系統文件、函式庫和裝置，因此Hippo具有高度安全性。</p> <p>另外，WebAssembly還讓Hippo應用程式具有可移植性，當應用程式編譯成WebAssembly，應用程式並不在意作業系統的底層架構，因此當編譯後的應用程式部署到Hippo，不需要修改就能夠在Windows、MacOS和Linux上運作。也就是說使用Hippo，開發者在將應用程式傳送到Linux伺服器執行前，可以先在Windows上編譯並且測試完全相同的二進位檔案，達到真正一次建構，隨處執行的理想。</p> <p>Hippo得利於WebAssembly接近本機執行效能的好處，在官方的實驗中，冷啟動載入應用程式到實體化WebAssembly Runtime，約只需要10毫秒的時間，官方提到，他們正在進行一些改進，甚至可將啟動時間縮短至3毫秒。</p> <p>想嚐鮮的開發者已經可以開始試用Hippo，而官方也持續改進Hippo，像是新增命令列工具的功能，或是讓Hippo在工作負載調度工具nomad上執行更加容易，並且提升Hippo和其他系統的互通性等。</p> </div></div></div>
2021/9/22 16:17作者李建興https://www.ithome.com.tw/news/146819
macOS含有一個可用來執行任意程式的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員於本周揭露，macOS的Finder中含有一個安全漏洞，將允許駭客執行任意程式。儘管蘋果曾經在未賦予漏洞編號的狀態下悄悄修補了該漏洞，然而，蘋果並未修補完全，且已有概念性驗證程式問世，恐讓駭客有機可趁。</p> <p>此一漏洞是由一名獨立的安全研究人員Park Minchan所發現，並提報給專門仲介漏洞的SSD Secure Disclosure。</p> <p>Finder為macOS中預設的程式，可用來管理檔案、硬碟、網路或其它的應用程式，包括可開啟以inetloc作為副檔名的程式，inetloc是個網路位置的捷徑檔，專門存放網路資源或是本地端的檔案。</p> <p><a href="https://ssd-disclosure.com/ssd-advisory-macos-finder-rce/" target="_blank">根據SSD Secure Disclosure的說明</a>，該漏洞存在於macOS處理inetloc檔案的方式，由於它可執行嵌入在inetloc檔案的命令，倘若駭客透過電子郵件夾帶惡意的inetloc檔案，就能觸發該漏洞並執行任意程式。</p> <p>雖然蘋果已在最新的macOS Big Sur封鎖了用來執行嵌入式命令的file://協定，卻依然放行File:// 或 fIle:// ，而且迄今尚未修補。</p> <p>SSD Secure Disclosure在資安社群扮演了漏洞仲介的角色，認為研究人員所發現的安全漏洞都值得獎勵，該公司除了可協助安全研究人員向業者提報安全漏洞之外，就算業者並未發表抓漏專案，也願意向安全研究人員購買漏洞，再向業者提報，同時也承諾「負責任的披露」（Responsible Disclosure）。</p> <p>SSD Secure Disclosure表示，該公司其實有通知蘋果，但並未取得蘋果的回應。</p> </div></div></div>
2021/9/22 14:55作者陳曉莉https://www.ithome.com.tw/news/146816
泰國政府一個含有逾1億筆旅客個資的資料庫於網上曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個包含旅泰人士個資的資料庫未做好防範，使超過1.06億筆資料，包括十年內造訪該國人士的姓名、護照號碼等被公開於網路上。不過泰國政府表示資料庫尚未遭到不法存取。</p> <p>安全廠商Comparitech安全研究中心主管Bob Diachenko於8月底，<a href="https://www.comparitech.com/blog/information-security/thai-traveler-data-leak/" target="_blank">發現了一個包含200GB的ElasticSearch資料庫</a>，分析後研判隷於泰國某政府機關。</p> <p>該資料庫內最重要的是一個包含超過1.06億筆資料，顯然是集結訪泰旅客的個資。其中每一筆資料都包含旅客全名、性別、護照號碼、簽證類別、入境日期及入境卡號等。根據研判，這些資料可能包含近十年內造訪泰國的所有外國觀光客或商務人士的資料。Diachenko甚至在其中發現自己的個資。所幸公開的資料庫未包含銀行帳戶或聯絡資訊。</p> <p>研究人員立即通知泰國政府，後者很快回應並加入防護。這個資料庫已被移往別處，原有IP端點則被連結誘捕系統，以搜捕動作太慢的不法人士。</p> <p>這個資料庫在8月20日由搜尋引擎Censys索引過，2天後才被研究人員發現。至於被索引前這個資料庫掛在網路上多久則不得而知。研究人員指出，該公司的誘捕系統實驗證實，攻擊者可以在幾小時內找到並存取這個資料庫。</p> <p>泰國當局聲稱這些資料並未遭到任何未授權存取。</p> <p>這是最新一起的國家級資料庫安全事件。近日先後有<a href="https://www.ithome.com.tw/news/146573" target="_blank">印尼</a>百萬民眾疫苗接種資料、<a href="https://www.ithome.com.tw/news/146235" target="_blank">美國</a>政府蒐集約190萬名全球恐怖份子的觀察名單。2019年<a href="https://www.ithome.com.tw/news/133095" target="_blank">厄瓜多市調公司</a>雲端資料庫外洩事件洩露了近700萬兒童個資、包括維基解密創辦人Julian Assange及厄瓜多總統的個資，總數超過該國人口數。</p> </div></div></div>
2021/9/22 12:48作者林妍溱https://www.ithome.com.tw/news/146815
iOS 15、iPadOS 15、watchOS 8正式釋出，部分功能延後推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如<a href="https://www.ithome.com.tw/news/146717" target="_blank">上周蘋果公布iPhone 13系列、新iPad及Apple Watch 7時</a>宣布，<a href="https://www.apple.com/tw/newsroom/2021/09/ios-15-is-available-today/" target="_blank">iOS 15</a> / <a href="https://www.apple.com/tw/newsroom/2021/09/ipados-15-is-available-today/" target="_blank">iPadOS 15</a>以及<a href="https://www.apple.com/tw/newsroom/2021/09/watchos-8-is-available-today/" target="_blank">watchOS 8</a>於9月20日（臺北時間9月21日）正式釋出到支援的用戶裝置。部分功能則會延後到iOS 15.1中推出。</p> <p>iOS 15、iPadOS 15新功能包括可和Android裝置用戶以FaceTime視訊、Apple 錢包可儲存數位化的住家和車鑰匙、飯店門卡、美國數州的駕駛執照，Apple 地圖改版後加入3D地圖及AR步行導航等。watchOS 8則加入允許檢視家中所有連網攝影機畫面及檢查家中連網裝置狀態的App，健康功能項目更多，並有跌倒偵測功能等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-iOS%20iPadOS%2015.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0922-watch%20OS%208.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p><a href="https://www.macrumors.com/2021/09/21/everything-new-in-ios-15-1-beta-1/" target="_blank">MacRumors報導</a>，因為技術問題，蘋果臨時決定部分功能將不隨同iOS/iPadOS 15釋出時問世，而會延後到iOS/iPadOS 15.1。這些功能包括FaceTime中可和親友共享影片的SharePlay、Phone App中的來電廣播、錢包中的COVID-19疫苗護照（Vaccine Cards）。此外，HomePod中的保真壓縮音訊（Lossless Audio）也要等到HomePod 15.1及iOS 15.1才會提供。</p> <p>這些作業系統按往年慣例，在公布後一個星期發布正式版本給用戶。對iPhone及iPad用戶來說，只要開啟裝置的「設定」＞「一般」＞「軟體更新」。用戶可以先不升級作業系統，而只取得安全更新。想升級的用戶可以選擇「升級到iOS 15（或iPadOS 15）」，再按下「立即安裝」即可。Apple Watch用戶若欲升級到watchOS 8，iPhone必須先升級到iOS 15。用戶可以在iOS上選擇「Watch app」＞「一般」>「軟體更新」，或是直接在Apple Watch下循iOS、iPadOS相同的路徑來升級。</p> <p>用戶應先確定自己的裝置有獲得支援。可以升級iOS 15的機種包括iPhone 6s以後機種、所有機種iPhone SE及iPod touch 7。iPadOS 15支援第2代iPad Air（及以後）、第5代iPad（及以後）、第4代iPad Mini（及以後）的產品，和所有iPad Pro。在watchOS 8方面，Apple Watch 3以後及Apple Watch SE可以安裝。</p> <p>按照往年例子，頭幾天會有或大或小的臭蟲出現，而蘋果也會在幾天內釋出更新版解決這些問題。目前已傳出iOS中Home App管理清單無法顯示智慧家庭標準Matter的第三方裝置、或是通知功能失效、以及在使用iPad指向裝置時SwiftUI沒有反應等問題。蘋果已經在昨日釋出<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-ipados-15_1-beta-release-notes" target="_blank">iOS 15.1及iPadOS 15.1 Beta版</a>予以解決，供開發人員下載。此外，iOS/iPadOS 15.1 beta版，也加入搭載Xcode 13的iOS/iPadOS 15 SDK。</p> <p>針對一般消費者，媒體也建議用戶或許可以等個1、2周再下載安裝。</p> <p>最後，用戶動手升級前，蘋果提醒最好先將不論是iPhone、iPad或Apple Watch內的檔案及資料備份到iCloud或電腦。</p> </div></div></div>
2021/9/22 10:58作者林妍溱https://www.ithome.com.tw/news/146814
美國穀物合作社New Cooperative遭BlackMatter攻擊，被勒索590萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/iowa-grain-cooperative-hit-by-cyberattack-linked-to-ransomware-group-11632172945" target="_blank">華爾街日報</a>》與《<a href="https://www.bleepingcomputer.com/news/security/us-farmer-cooperative-hit-by-59m-blackmatter-ransomware-attack/" target="_blank">BleepingComputer</a>》報導，美國愛荷華州的穀物合作社New Cooperative在上個周末遭到勒索軟體BlackMatter的攻擊，駭客向New Cooperative提出590萬美元的贖金要求。<a href="https://news.sophos.com/en-us/2021/08/09/blackmatter-ransomware-emerges-from-the-shadow-of-darkside/" target="_blank">而資安業者Sophos則說</a>，BlackMatter與攻擊美國燃油管道系統Colonial Pipeline的DarkSide勒索軟體有所關聯。</p> <p>NEW Cooperative集結了許多農夫，並把他們所生產的穀物行銷及運送到需要穀物當作飼料的家禽或家畜養殖場。</p> <p>根據報導，駭客是在周末發動攻擊，而NEW Cooperative在周一（9/20）察覺許多系統及裝置遭到入侵之後，才緊急關閉了電腦系統、通知執法機構，以及邀請資安專家助陣。</p> <p>資安業者Recorded Future向《華爾街日報》透露，BlackMatter集團已於官網上證實，取得並加密了NEW Cooperative約1,000GB的檔案，包括發票、研發文件，以及土壤繪測技術的原始碼，同時要求NEW Cooperative在9月25日以前支付價值590萬美元的比特幣，以換取解密金鑰。</p> <p>倘若NEW Cooperative同意支付贖金並與駭客協商，可能得以商討一個很低的折扣，但目前尚不確定相關的決策或結果。</p> <p>DarkSide集團在今年5月7日攻擊美國最大燃油管道系統Colonial Pipeline一周後，<a href="https://www.ithome.com.tw/news/144452" target="_blank">便對外宣稱資產已遭扣押</a>，接著便消聲匿跡。而BlackMatter則是在今年的7月底現身，包括Sophos與Chainalysis都認為BlackMatter與DarkSide之間有所關聯，它們在處理勒索款項時採用類似的金融架構，攻擊技術上也頗為類似。</p> <p>NEW Cooperative並非BlackMatter的第一個受害者，日本相機及光學大廠<a href="https://www.ithome.com.tw/news/146745" target="_blank">Olympus也在今年9月上旬遭到同一勒索軟體的攻擊</a>。</p> </div></div></div>
2021/9/21 17:04作者陳曉莉https://www.ithome.com.tw/news/146813
蘋果App Store有7成的營收來自遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146681" target="_blank">Epic Games控告蘋果一案已經告一個段落</a>，美國法官Yvonne Gonzalez Rogers要求蘋果允許使用者至外部付款，也要求Epic Games必須就毀約一事賠償蘋果，然而，<a href="https://s3.documentcloud.org/documents/21060696/epic-v-apple-ruling.pdf" target="_blank">長達185頁中的判決書透露</a>，蘋果App Store有高達7成的營收來自遊戲。</p> <p>Rogers指出，反托拉斯法令保障的是競爭，而非競爭對手，競爭帶來創新與消費者的滿意度，是自由市場有效操作的本質，且雙方的焦點應為數位行動遊戲市場，而非蘋果的作業系統或App Store，因為這是Epic Games正積極進入的市場，並將蘋果視為阻礙。目前全球行動遊戲的市場規模高達1,000億美元。</p> <p>此外，這起訴訟揭露了App Store的營收結構，判決書顯示，App Store的總營收中，有7成來自遊戲程式，且這7成的營收，是由不到10%的App Store用戶所貢獻，換句話說，低於10%的使用者貢獻了App Store的70%營收。這些遊戲玩家主要的消費是進行程式內購買，而這便是Epic Games提出訴訟的主因。</p> <p>另一方面，有8成的App Store用戶幾乎完全沒有貢獻任何的營收，同時App Store上也有8成的程式是免費的。Rogers認為蘋果的成功並不代表蘋果違法，只是蘋果不應該隱藏支付資訊而減少了用戶的選擇。</p> </div></div></div>
2021/9/21 15:52作者陳曉莉https://www.ithome.com.tw/news/146811
Windows 11拉高對VM規格要求，Oracle VirtualBox VM恐不相容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對即將推出的Windows 11強硬要求硬體規格，連VM也不放鬆，致使眾多使用者的VM產品如Oracle VirtualBox也出現相容問題。</p> <p><a href="https://www.ithome.com.tw/news/145317" target="_blank">Windows 11於6月首度公布以來</a>，微軟堅持執行Windows 11的最低硬體規格，包括應支援TPM 2.0的處理器及UEFI Secure Boot（安全啟動）的韌體等。若微軟偵測到硬體不符合要求，就不允許在硬體上安裝Windows 11。</p> <p>原本微軟對執行虛擬機器（VM）的硬體沒那麼嚴格。<a href="https://download.microsoft.com/download/7/8/8/788bf5ab-0751-4928-a22c-dffdc23c27f2/Minimum%20Hardware%20Requirements%20for%20Windows%2011.pdf" target="_blank">根據微軟早先公布的硬體文件</a>，微軟表示了解在VM下跑Windows 11和非虛擬環境下不同，因此雖然微軟仍建議所有Windows 11虛擬執行個體和一般硬體一樣，但微軟硬體檢核不會限制VM安裝或升級到Windows。</p> <p><a href="https://blogs.windows.com/windows-insider/2021/09/15/announcing-windows-11-insider-preview-build-22458/" target="_blank">但是本周微軟卻上演政策急轉彎</a>。新釋出的Windows 11測試版Build 22458包含一項強制規定，要求VM跑Windows 11需和實體PC一樣。之前建立跑Windows 11 Insider預覽版的VM可能無法升級到最新版。使用微軟Hyper-V的用戶需建立第2代VM。而以第三方虛擬化平臺包括VMware及Oracle VirtualBox建立的VM，硬體規格若符合要求則可正常以VM跑Windows 11。</p> <p class="rtecenter"><a href="https://blogs.windows.com/windows-insider/2021/09/15/announcing-windows-11-insider-preview-build-22458/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-Windows%2011%20Insider%20Preview%20Build%2022458(1).jpg" style="width: 600px;" /></a></p> <p>如果之前部署測試版Windows 11 的VM不支援TPM 2.0或使用較小系統硬碟，升級到最新測試版時，系統會顯示「這臺PC目前不符合Windows 11的系統需求」的訊息。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-is-no-longer-compatible-with-oracle-virtualbox-vms/" target="_blank">根據Bleeping Computer報導</a>，VMWare Workstation、Parallels和QEMU都已滿足TPM及Secure Boot的要求。唯獨Oracle VirtualBox還不支援，這將使得VirtualBox用戶無法建立VM跑Windows 11。</p> <p>不過這問題應該很快解決，媒體發現<a href="https://www.virtualbox.org/changeset/90946/vbox" target="_blank">甲骨文其實正在開發VirtualBox新驅動程式</a>，以便主機的TPM支援可passthrough到VM中，以順利滿足Windows 11的需求。不過最終版是否能在10月5日Windows 11正式版釋出前完成，則不得而知。</p> <p>這是微軟最新拉緊限制的Windows 11應用場域。微軟之前也允許用戶可以在較舊機器上測試Windows 11，但9月初微軟也不再寬限，<a href="https://www.ithome.com.tw/news/146496" target="_blank">要求測試的硬體</a>也得和正式版Windows 11一樣。</p> </div></div></div>
2021/9/21 14:12作者林妍溱https://www.ithome.com.tw/news/146808
對於用戶數成長太過樂觀，誤導投資人，Twitter同意以8億美元和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年被股東控告違反美國《證券交易法》的Twitter，<a href="https://www.prnewswire.com/news-releases/twitter-announces-proposed-settlement-of-consolidated-class-action-lawsuit-301380355.html" target="_blank">本周宣布將以8.095億美元進行和解</a>。</p> <p>Twitter創立於2006年，在2013年11月以26美元的發行價登上紐約股市，衡量一家新創公司績效最重要的指標之一為用戶成長率，而對社交平臺而言，另一個重要指標為用戶參與度，特別是以廣告作為主要收入的平臺。</p> <p>Twitter的投資人控訴，Twitter在2014年11月舉行的分析師會議上，預測Twitter的每月用戶數到2018年會成長至5.5億，屆時營收亦將達到46億美元，藉以安撫投資人，說服投資人持續持有股票。然而，之後Twitter即不再公布有關用戶參與度的數據，而只是在財報會議上簡單地說「用戶參與度正在攀升」。</p> <p>此外，當Twitter意識到該公司的每月用戶數成長非常緩慢的時候，便發信鼓勵那些閒置帳號登入，且就算這些帳號只是修改了密碼，也都會被Twitter列為每月用戶。</p> <p>總之，Twitter的投資人認為Twitter根本是作假，隱匿真實資料，違反《證券交易法》中禁止誤導投資人或提供不實資訊的規定，而在2016年一狀告上法院。</p> <p>這是一起集體訴訟案，代表所有在2015年2月到7月間購入Twitter股票的投資人。儘管同意和解，但Twitter並未承認自己有任何不當的行為，在法院通過此一和解協議後，Twitter預計於今年第四季支付和解金額。</p> </div></div></div>
2021/9/21 14:38作者陳曉莉https://www.ithome.com.tw/news/146809
Outlook因安全金鑰支援問題無法整合Gmail帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Outlook近日釋出9月更新後出現多個臭蟲，包括安全金鑰問題導致無法整合Gmail帳號。微軟目前正在調查並試圖解決。</p> <p><a href="https://support.microsoft.com/en-us/office/fixes-or-workarounds-for-recent-issues-in-outlook-for-pc-ecf61305-f84f-4e13-bb73-95a214ac1230" target="_blank">根據微軟說明</a>，當使用者Gmail啟用安全金鑰作為雙因素驗證（2FA）或兩步驟驗證（2-step verification），該Gmail帳號會無法加入到Outlook，Outlook會出現「瀏覽器不支援安全金鑰」的訊息。</p> <p>微軟同時也提供權宜作法，建議使用者啟用別的2FA方式，如以App或簡訊傳送認證碼部署2FA。</p> <p>9月份Outlook更新還有其他臭蟲，包括建議搜尋功能的結果不完整、不精準或找不到結果，以及追蹤處理（follow-up）標籤狀態顯示不正確，以及在輸入法編輯器啟動下，使用@提及符號時，字元顯示錯誤。</p> <p>這些問題可能影響的Outlook版本包括Outlook for Microsoft 365、Outlook 2021、Outlook 2019、Outlook 2016和Outlook 2013。包括Gmail帳號整合問題，微軟也都正在調查，可望在不久後的功能更新中修正。</p> </div></div></div>
2021/9/21 15:20作者林妍溱https://www.ithome.com.tw/news/146810
Mirantis推出Flow平臺簡化企業混合雲環境建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>併購Docker Enterprise的雲端運算服務供應商Mirantis，推出工作流程平臺<a href="https://www.mirantis.com/blog/data-center-change-you-get-benefits/">Mirantis Flow</a>，這是一個獨立於供應商的雲端原生資料中心即服務，針對想使用雲端基礎設施來實現基礎設施現代化，以及想要虛擬化和容器化應用程式的企業發布，使企業能夠簡單地替換掉傳統資料中心，轉向採用雲端架構。</p> <p>Mirantis Flow讓企業可以快速部署，並且開始運作可擴展的雲端基礎設施，並在資料中心裡提供虛擬化和容器化服務。Mirantis創辦人Adrian Ionel提到，Mirantis Flow打包了軟體、知識、專家支援和套件，方便企業部署，並且換掉老舊的基礎設施，開始雲端數位轉型。</p> <p>Mirantis Flow集結Mirantis Container Cloud以及全年無休的監控和營運支援，提供用戶資料中心即服務體驗，企業能夠簡單地開始創建使用Kubernetes和OpenStack叢集，不需要花費心思管理基礎設施。藉由將軟體和營運服務整合成易於使用的服務，官方表示，企業可以在五天內開始運作基礎設施，而Mirantis會對資料中心負全責。</p> <p>Mirantis Flow轉而提供消耗使用模型，讓用戶可以使用各個雲端服務供應商的資源，該平臺藉由集中控制和可見性，使得企業存取多個雲端供應商，進而實現真正的混合雲環境。擁有Mirantis Flow授權的用戶，可以取用所有Mirantis的產品，包括Mirantis Kubernetes Engine、Mirantis Container Runtime或Mirantis Secure Registry等工具。只要使用Mirantis Flow，Mirantis團隊會接管基礎設施營運，企業DevOps團隊可以專注於應用程式交付。</p> <p>官方提到，藉由使用Mirantis Container Cloud、Mirantis OpenStack和Mirantis Kubernetes Engine，企業可以將所有工作負載，都搬上雲端原生基礎設施，無論是傳統的虛擬機器工作負載，還是容器化工作負載。Mirantis Flow在單一平臺提供裸機、私有雲、公有雲和邊緣網路等基礎設施，也就是說，這些基礎設施會被視為單個多雲環境，讓應用程式可以採用各種路徑實現現代化，開發人員則能夠更快交付程式碼。</p> </div></div></div>
2021/9/21 12:56作者李建興https://www.ithome.com.tw/news/146806
義大利黑手黨也開始參與網路犯罪了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/newsroom/news/106-arrested-in-sting-against-online-fraudsters" target="_blank">歐洲刑警組織（Europol）本周宣布</a>，已破獲一個與義大利黑手黨有關的犯罪集團，該集團透過網釣攻擊與詐騙盜走了他人的財產，在一年內的不法獲利便超過1,000萬歐元（1,182萬美元），總計有106人被逮捕，118個金融帳戶遭到凍結。</p> <p>此一行動是由西班牙國家警察主導，支援的單位包括義大利國家警察、歐洲刑警組織，以及歐洲司法組織。</p> <p>該犯罪網路具有完整的組織，有些成員為電腦專家，負責建立網釣網站並展開詐欺，還有人負責招募錢騾，並有洗錢與加密貨幣專家，大多數的嫌犯是義大利人，當中有些為義大利黑手黨成員，他們在盜走受害者的款項之後，透過錢騾及空殼公司來洗錢。</p> <p>犯罪集團所執行的網路詐騙活動包括，SIM卡調換攻擊與商業電子郵件詐騙（BEC）等，警方的大規模搜索行動亦扣押了許多電子裝置、SIM卡與PoS終端機等。雖然此一犯罪集團的嫌犯主要是義大利人，受害者也多半是義大利人，但106名嫌犯絕大多數是在西班牙被逮捕。</p> </div></div></div>
2021/9/21 13:17作者陳曉莉https://www.ithome.com.tw/news/146807
【跨界整合者戰略：一卡通票證公司】挖掘支付數據描繪消費者日常，一卡通要轉型支付場景創造者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以電子票證起家，擅長交通場域的一卡通公司，成立不到8年，發卡量已超過2,721萬張，名列市場第二。與Line Pay合作推出的電子支付Line Pay Money，在3年的時間內，更累積了逾393萬名用戶，乃國內市占第二大的電子支付業者。</p> <p>「電子支付與電子票證兩項服務，是我們重要的兩隻腳，在市場上皆扮演了指標性角色。」一卡通公司董事長李懷仁表示。</p> <p>電支電票兩法合一後，李懷仁認為，相較於僅經營電子支付一項業務的業者，同時擁有電支與電票兩項業務的一卡通，在會員經營上，有更多可彈性運用的地方。不過，這也為一卡通帶來一大挑戰，「如何讓電票儲值卡記名，並與電子支付歸戶」，李懷仁點出關鍵。截至今年7月，全臺流通的儲值卡（原電子票證）超過1.4億張，平均每人手上同時擁有6張卡片，然而，其中更有許多儲值卡沒有記名。</p> <p>如果能讓用戶願意將原本持有的電子票證記名，並歸戶到電子支付上，就能以單一個人的身分，將用戶的使用歷程與消費記錄，收攏到同一個查詢平臺中。李懷仁提到，對於一卡通來說，電支與電票歸戶後，進行消費者交易記錄與消費累積的整合，對行銷或經營顧客黏著度等面向，都會更有意義。</p> <p>甚至，他表示，一卡通或許能將電支與電票的優惠互相串聯，比如用戶消費一卡通儲值卡獲得的優惠，能在Line Pay Money使用，或者，用戶消費Line Pay Money獲得的優惠，也能轉移到一卡通儲值卡來使用。</p> <p><span style="font-size:28px;"><strong>電支與電票用戶歸戶策略需要IT的支持</strong></span></p> <p>根據一卡通統計，目前的活卡（使用者仍在使用的卡片）數量中，有超過一半都是記名卡片，主要包括3大來源。最大宗的是一卡通與多家銀行聯合發行的聯名信用卡或聯名金融卡，皆經過實名認證；第二項記名卡片的來源，是一卡通與跟各縣市政府合作發行的社福卡，比如敬老卡、博愛卡、兒童卡等。另一項來源則是學生卡，學生因應不同階段的需求或需要退費時，就得將卡片完成實名認證，進而成為一卡通記名卡。</p> <p>一卡通的第一步，是要讓尚未記名的儲值卡也能完成實名認證。不過，要做到這件事並沒有想像中簡單，因為，過去已申辦電票儲值卡的用戶，以及未來新申辦儲值卡的民眾，則是沒有強制規定必須進行實名制。</p> <p>因此，在策略上，李懷仁表示，一卡通會運用行銷手段，來吸引民眾轉為實名制，比如，利用價格優惠，來提高消費者採用實名制的動力。技術上，一卡通公司技術研發群副總經理戴劍文表示，則會鼓勵持有無記名儲值卡的持卡人，能與Line Pay Money電子支付帳戶進行綁定，以完成實名認證。他解釋，當這張實體儲值卡連結了電子支付帳戶，當餘額不足時，系統能透過用戶指定的連結銀行帳戶，依照設定的金額進行自動儲值，增添用戶加值卡片的方便性，藉此來增加一卡通記名卡的持卡量。</p> <p>減少無記名卡的數量後，下一步，一卡通就可以聚焦電支與電票「歸戶」這件事。戴劍文解釋，一卡通共有兩套交易系統，一套是電子票證系統，包括所有持卡人的卡片資料，另一套則是電子支付系統，包括所有用戶的電支帳戶資料，等於是內部同時存在兩大塊的資料來源。</p> <p>「發展會員經營時，必須到這兩個系統各自的資料庫撈取資料。」戴劍文提到，這是內部面臨的困擾，也是觸發一卡通必須進行歸戶動作的關鍵。</p> <p>他進一步透露歸戶的方式，首先，得從電子票證與電子支付這兩個異質資料庫中，先將用戶資料中屬於靜態的資料單獨抽離。作法上，透過如身分證字號等唯一性欄位，查詢該名用戶在一卡通開立電子支付帳戶的類別，以及手中有多少張儲值卡已完成記名。</p> <p>接著，再從用戶電支帳戶與儲值卡卡號等線索，對應到各自的電支系統與電票系統中，找到該名用戶的交易記錄，以及在電子票證的生命周期中經歷過哪些狀況。透過這樣的方式將相關資料彙整，並集中到第三資料庫中來歸戶。用戶資料一致化後，戴劍文表示：「後續就能統一將電支與電票兩邊的資料，進行一致性的分析。」</p> <p><span style="font-size:28px;"><strong>純支付業者的優勢，容易與跨業結合進入各種消費場景</strong></span></p> <p>李懷仁表示：「放寬可經營的業務項目，為一卡通帶來更多與跨業合作的彈性。」比如，未來一卡通也可以經營消費金融產品、數據分析、點數整合平臺等。相對來說，但也帶來許多挑戰，包括與跨業合作夥伴在系統串聯、資料勾稽，或是申請辦理新業務時在法規的說明，與消費者溝通，乃至新技術的採用等，也不只一卡通，更是整體電支產業面臨的新挑戰。</p> <p>在跨業合作上，李懷仁提到，作為一家純支付的業者，是一卡通占優勢的地方。因為，「能較為輕易地進入各個消費場景，不會被其他產業的業者視為競爭對手，因此更容易實現跨業結合。」</p> <p>他以與銀行業的合作來舉例，對銀行來說，支付業者是協助銀行獲客的來源，透過支付業者的場景與用戶基底，銀行能獲取自家通路較難接觸到的年輕族群。</p> <p>而以Line Pay Money電子支付來說，使用者年齡層在35歲以下的比例，相對銀行還是較高。李懷仁提到，好幾家銀行業者就是透過電子支付的場景，讓消費者回到銀行端來開立數位存款帳戶，作為電支帳戶的連結銀行帳戶，藉此來獲取年齡層相對低的顧客。</p> <p>他認為，一卡通與銀行業者長期是互補與合作的關係，結合各自擅長的優勢，由銀行提供金融商品與服務，一卡通則負責提供支付工具與使用者場景。兩法合一後，李懷仁透露，一卡通正與銀行業者緊鑼密鼓地洽談合作更多項金融商品，比如保險、基金等，將這些金融服務導入一卡通的電支帳戶場景。</p> <p>又好比零售產業，今年底，由全家便利商店、玉山銀行、拍付國際資訊公司共同合資成立的全盈支付，另外還有全聯百分之百出資的全支付，將正式加入電子支付產業。李懷仁觀察：「大型零售業者意識到未來是數據的戰爭，為了保護重要的零售數據，就得建立自家的電子支付品牌，讓數據盡量能留在自己身上。」</p> <p>他表示，一卡通的支付服務已進入全家便利超商、全聯福利中心、統一超商（7-Eleven）等零售通路，即便掌握了消費者在這些通路的交易數據，也無法到零售通路競爭市場，所以對零售業者來說，純做支付的一卡通並非潛在的競爭對手。</p> <p>可是，未來全盈支付開業後，假設成為統一超商各門市最重要的支付工具，李懷仁提到，在這樣的狀況下，統一超商各門市的交易情況，或者是消費者的年齡比、性別比、門市的熱季與淡季，甚至行銷的好壞，都能被推算出來，對統一超商就是一個威脅。</p> <p><span style="font-size:28px;"><strong>挖掘支付數據描繪消費者日常，找出支付變現的獲利方式</strong></span></p> <p>支付本身是一個微利的產業，但，「支付是交易行為的最後一件事，可從支付描繪出消費者的日常，以及更多業務發展的空間。」因此，李懷仁表示，了解用戶，是一卡通的重點發展策略。</p> <p>基本上，一卡通的數據全是交易數據，又分為兩大類別，一類是個人的交易數據，另一類則是商店收款的交易數據。李懷仁表示，這兩類數據可以解讀的意義各有不同，個人的交易數據描繪了用戶的日常生活，商店的交易數據則是描繪某家商店的營業狀況。</p> <p>目前，一卡通有一套大數據平臺，不過，以往因法令限制，所有的分析數據僅能作為內部策略訂定，或是系統改進時的參考依據，不能對外分享。戴劍文表示，一卡通在資料分析作法上，每日會將前一天的資料進行批次清洗作業，加工處理後，再放入資料倉儲，並透過數據分析工具或報表產製工具，來產出靜態的報表，以及動態儀表板來進行多維度分析。</p> <p>在動態儀表板部分，戴劍文提到，必須統計到資料分析那一刻時間為止的數據，包括目前成為一卡通新會員的數量，新會員的屬性如年齡、性別、地域等。另外還有，何種交易行為觸發該名用戶成為一卡通的新會員，比如是透過生活繳費、特店的小額消費、乘車碼服務，或者是，也可以用來呈現，一項行銷活動如何刺激該名消費者成為會員等。藉此來了解新會員加入的動機，並描繪用戶的交易行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1043-cover2-%E4%B8%80%E5%8D%A1%E9%80%9A-600.jpg" style="width: 372px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>一卡通公司技術研發群副總經理戴劍文指出，善用一卡通龐大的會員基礎、合作特店基礎、金流服務這3大優勢，可以透過技術的力量，將這些優勢結合到異業合作夥伴所經營的平臺。</strong>　<span style="font-size: 12px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>法規鬆綁，資料去識別化後可與合作夥伴分享</strong></span></p> <p>然而，兩法合一後，李懷仁表示，一卡通在資訊服務業務上，在法令規範下，可將資訊去識別化後與合作夥伴分享。目前，一卡通已開始嘗試數據貼標，要透過大量的交易數據，更加深入描繪消費者的輪廓，他們也開始想像可以切入的應用場景，來思考未來的規畫與執行方向。</p> <p>以一卡通電子支付帳戶現有的生活繳費功能來說，共包含了停車費、電費、水費、信用卡費、瓦斯費、有線電視費、學雜費、健保費、規費罰緩稅捐、醫療費、社區管理費、臺北市動物園門票等12大類別，總計1,600多項的生活繳費項目。</p> <p>李懷仁舉例，當家長透過電支平臺繳納孩子的學雜費，一卡通就能透過繳完學雜費的名單，得知這群用戶全部有小孩，以及小孩正就讀國小或國中等，這些數據就適合與童裝、玩具或補習班業者等結合行銷方案。</p> <p>或像是可透過牌照稅、燃料費等生活繳費數據，了解該名用戶具備汽車，進而描繪該用戶可能需要汽車商品、汽車保養等服務。如果，有一名用戶突然間開始在平臺繳納牌照稅、燃料費，代表他可能買了新車了，這時，一卡通與金融業者合作的汽車保險，就能提供給該用戶。</p> <p>一卡通也正在思考，替高雄捷運描繪出搭乘捷運的乘客，在上車之前都做了哪些事？李懷仁提出一個有趣的數據，在疫情之前，一卡通曾研究使用電子支付乘車碼功能，來搭乘高雄捷運的乘客，有10%以上固定會在乘車前買杯手搖飲上車。他想像，這個交易數據或許能讓高雄捷運推出車票結合手搖飲的行銷策略。這些都是一卡通對未來應用場景的想像。</p> <p>李懷仁表示：「透過挖掘支付的數據，描繪消費者的日常，進而替異業發想出各式各樣的行銷策略，對於一卡通來說，也能成為另一項獲利方式。」</p> <p>李懷仁更透露，目前正與某家金融業者洽談一項小額信貸服務，合作模式上，將整合線上核貸與支付服務，在核貸完成後立刻支付款項到用戶的電支帳戶中。不過，這件事還有一個有待主管機關同意的前提，一卡通與該銀行須各自完成徵信，並在法規核准的前提下，讓雙方進行徵信資料互換，才能同意該用戶能申辦快速小額信貸，希望藉由此模式滿足臨時需要小額資金的用戶。他表示，此模式尚在研議中，需與金管會持續溝通。</p> <p><span style="font-size:28px;"><strong>善用會員、特店、金流3優勢，與異業合作提供整合型服務</strong></span></p> <p>「在經營支付生態圈上，一卡通的策略是從末端支付這個行為，走到前端創造更多的支付場景。」不過，戴劍文提到，生態圈實在太廣，一卡通缺乏各種異業的領域知識，甚至技術上也不見得比異業更為成熟，在這樣的狀況下，便難以只靠一卡通的技術，來支持各式各樣的生態圈。</p> <p>戴劍文反而認為，應該善用一卡通龐大的會員基礎、合作特店基礎、金流服務這3大優勢，透過技術的力量，將這些優勢結合到異業合作夥伴所經營的平臺上。主要概念是，各方貢獻各自的專長與背後的資源、技術，串連成一個互助經濟平臺，在平臺上各方須遵循同一套規則與技術標準，藉此降低大家在資訊上的投資，也有別於過去一對一對接的異業合作模式。</p> <p>他用一個例子來說明這種多方異業合作模式。今年6月，因應疫情需求，高雄市政府推出「高雄好家載」服務，由Line、一卡通、點餐平臺、多家計程車隊共同合作，打造餐飲業者與計程車業者媒合的數位點餐平臺。</p> <p>李懷仁進一步說明這樣的服務模式，一卡通找了Line熱點（Line Spot）、Line Taxi，以及8家點餐平臺共同合作。此服務串連了點餐平臺上的各式商家，由Line熱點負責行銷曝光，消費者透過Line熱點線上點餐後，便會跳轉到商家各自合作的點餐平臺，訂餐後則由一卡通負責金流服務，再由Line Taxi負責計程車送餐服務，同時也結合了當地的計程車隊加入。</p> <p>正因為點餐平臺、合作特店，甚至是計程車隊，都能接受消費者以Line Pay Money或Line Pay來支付，有了共同的規格，在串接上就能更加快速，因此，「此服務才能在短短2周就上線。」</p> <p>李懷仁表示：「這項服務正是一卡通從純支付轉向經營平臺解決方案，並與Line生態系深化合作的最佳案例。」未來，一卡通不只要經營會員，也將把一部分的策略與能量，轉向服務企業、政府，比如，挾帶行銷曝光平臺、訂購平臺、金流服務，甚至是物流服務，整合出一套完整的解決方案，來協助中小企業進行數位轉型。</p> <p>至於在跨境支付的布局，李懷仁提到，將延續Line Pay Money原有的規畫，目前，仍與結盟的日本、韓國、泰國行動支付合作夥伴，保持溝通。此外，他透露，一卡通正與境外電商平臺溝通中，未來臺灣民眾在海外電商平臺消費時，有望使用Line Pay Money支付。</p> <p><span style="font-size:28px;"><strong>建立點數整合交換平臺，切入兩類場景將點數轉為儲值金</strong></span></p> <p>新版電支條例新增了電子支付機構可辦理紅利積點整合及折抵服務。目前，一卡通與Line Pay合作推出的電支服務Line Pay Money，是透過Line Points作為經營會員黏著度的工具，李懷仁認為，Line Points的點數機制相當明確（1點＝1元），而且消費點數的出口相當多元，使得消費者的使用接受度非常高。</p> <p>在這項服務中，一卡通突破的作法是，建立一個點數整合交換平臺，讓有發行點數的業者來加入，協助將業者發行的點數轉換成Line Points，或者是轉換成一卡通儲值卡中的儲值金。</p> <p>李懷仁也觀察，兩大類異業場景都有此需求，其中一類需求來自業者發行的點數，沒有足夠的點數兌換出口場景。這類業者在消費後發放點數回饋給消費者，來經營會員經濟，可是因業務能力有限，無法簽下很多特店，使得會員累積的點數並沒有可以兌換的出口。這時，就能將這樣的點數轉換成一卡通的儲值金來消費。</p> <p>另一類需求則源自業者點數價值不容易釐清的場景，比如，有些信用卡紅利點數或業者發行的會員點數，累積了幾萬點數，最後只能兌換2杯咖啡。李懷仁提到，當消費者不曉得累積下來的點數，究竟在市場上的實際價值時，換成現金是最直接的作法。這也是可以切入的標的。李懷仁透露，一卡通正與金管會申請加入高雄市政府點數平臺的計畫，這項業務規畫是讓高雄市民參與市政活動時，高雄市政府會發出點數給市民，一旦市民累積到一定的點數，就可透過一卡通將點數換成現金。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>技術關鍵：因應跨業合作與新業務，一卡通展開3大系統優化工程</strong></span></span></p> <p>電支、電票兩法合一後，一卡通多了許多過去法規不允許，或是沒有機會做的新業務，甚至，產生與更多與異業、同業合作的機會。</p> <p>一卡通公司技術研發群副總經理戴劍文表示，以往，一卡通經營支付的對象，主要是面向最末端的消費者（Customer），現在，有更多機會接觸到企業（Business），或者是政府（Governance），當這些應用的寬度越來越寬時，所產生的服務內容也會變得越來越多。</p> <p>為了因應接踵而來的新業務與跨業合作，今年，一卡通也從3面向展開了系統優化工程，第一是優化基礎建設；第二面向是針對與各異業的合作，在橫跨生態圈所需的系統優化；第三面向則是與金融機構為主的同業，在跨機構合作上所需的系統優化。</p> <p>擴充性、穩定性和復原力，是一卡通系統優化工程的三大重點。戴劍文進一步提到，因應異業合作後帶來大量的交易處理，系統容量必須有更大的擴充性，但為了避免過度投資，一卡通朝向虛擬化方式進行，採用超融合基礎架構，讓系統有能力橫向擴充，這是增加系統擴充性的其中一項作法。</p> <p>另一項作法則是分流，戴劍文提到，針對短時間內有大量效能需求的應用，一卡通傾向改上雲端，在不涉及個人資料或機敏資料的前提下，正評估將一些行銷活動，比如與異業合作的行銷活動，改靠雲端環境來因應。</p> <p>在系統穩定性部分，他表示，一卡通成立至今已邁入第8個年頭，因此，在基礎建設上面臨了需要調整與強化的階段。除了系統的擴充性之外，同步也要將核心的設備，全面改用高可用性（HA）架構，來維持系統更高的穩定度。</p> <p>第三部分則是系統的復原力，根據法規規定，電子支付機構必須建置異地備援機房，不過，並無規定在主要機房中斷營運時，異地備援機房需要在多短時間內接手並正常營運。戴劍文表示，今年，一卡通將進行整體架構改善，採取雙活（Active-Active）模式，若主要機房不幸發生任何服務異常時，可在最短時間內切換到異地備援機房，來正常提供服務。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146772
【數金領先群戰略：玉山銀行】以數據為核心切入剛性場景，玉山銀揭聯手零售布局電支戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「痛點、痛點、還是痛點！」玉山銀行信用卡暨支付金融事業處副總經理劉美玲，點出玉山銀行起心動念經營支付的關鍵，就是鎖定消費者在交易上遇到的痛點。</p> <p>早在20年前，玉山銀行就開始經營支付領域。當時，臺灣的消費市場上，信用卡是消費者較大額交易的主流工具，尤其因成本考量，店家或銀行通常也會建議消費者小額支付盡量不刷卡。</p> <p>不過，開始觀察到消費者越來越多小額支付的需求後，玉山銀行在2001年推出可提供小額付款的電子付費機制eCoin，當年在國際上也鮮少有小額付款的機制。劉美玲表示，eCoin讓玉山成為支付的先驅。然而，2009年金管會發布電子票證發行管理條例，所有規範如儲值、安控等都以線下付款為主，也導致eCoin無法無法新法規的要求，隔年，玉山便停止了這項服務。</p> <p>eCoin雖然以失敗收場，但玉山沒有因此停下腳步，仍持續關注顧客在支付上的痛點。2010年，兩岸政策的開放使得彼此的交流更為頻繁，玉山快速瞄準這項商機中潛在的支付痛點，比如，陸客來臺消費前，得先在如機場等地方換取新臺幣，又或者大陸的消費者上網購買臺灣伴手禮時如何付費，都是玉山所看到的跨境交易痛點。</p> <p>不只如此，當時臺灣許多民眾開始上淘寶網消費，但因臺灣民眾申請支付寶作為支付工具並不容易，當時就發生了多起代儲值詐騙事件，跨境購物的便利面臨了交易安全的考驗。</p> <p>「兩岸支付痛點，比本土的痛點更大。」這是玉山選擇優先解決兩岸支付問題的關鍵。劉美玲提到，2010年，玉山銀行先後與大陸的支付寶、財付通等大型第三方支付平臺洽談，進行兩邊支付業者的橋接，讓兩邊消費者能以在地熟悉使用的支付工具。</p> <p><span style="font-size:28px;"><strong>缺乏專法，早年得爭取主管機關個案核准支付服務</strong></span></p> <p>2012年，金管會以個案形式准許了玉山銀行與支付寶合作的「兩岸支付通」服務，這個服務目標是串聯電子商務資源，整合金流與資訊流，讓臺灣中小企業能透過網路將產品銷售到大陸。</p> <p>緊接著，玉山隔年更推出「跨境e指購」服務，讓臺灣消費者可到淘寶網消費交易。劉美玲坦言，當年eCoin服務的系統、架構與能量，成為了後續支付寶與淘寶選擇與玉山銀行合作的關鍵。</p> <p>滿足兩岸中小企業的支付需求後，玉山的焦點轉向經營美國、歐洲生意的臺商，都會使用第三方支付平臺PayPal的帳戶，但他們頭痛的是，如何讓金流回到臺灣的帳戶。所以，玉山銀行在2014年與PayPal合作，推出「玉山全球通」服務，讓臺灣商家可提領出在PayPal帳戶的款項。</p> <p>不論是兩岸支付通到玉山全球通，劉美玲提到，這些基於消費者痛點所發展的支付服務，當時沒有一套法規可依循，都是玉山與主管機關溝通採個案核准。直到2015年，電子支付機構管理條例問世，主管機關便將玉山與第三方支付等境外機構合作的部分，一併納入電子支付機構管理條例的授權子法中。可以說，玉山銀行是臺灣電支產業發展跨境支付的拓荒者。</p> <p>劉美玲認為，ATM在臺灣隨處可得，因此，電子支付的發展若只是要取代現金，對於消費者沒有太大的誘因，使用電支的動機及附加價值還是不足。「支付需源於消費者的痛點，以及未滿足的需求，奠基在此基礎來發展支付，才會有推波助瀾的效果。」她說。這個思維也徹底落實到玉山推出的雙向跨境支付服務。「因為需求強烈，進而快速推升玉山在跨境支付的發展。」</p> <p>劉美玲進一步揭露，玉山電子支付目前已累積了137萬用戶。而跨境合作對象包括PayPal、支付寶、微信、Razer Fintech等大型業者，合作特店數超過2萬家，平均每年跨境交易金額達到臺幣140億元，並於2019年曾達到一年172億元的跨境交易規模。玉山表示，跨境交易金額包括了消費者在淘寶網購物、支付寶收款、PayPal提款等服務的交易。</p> <p>未來，劉美玲透露，玉山將聚焦東南亞、新加坡、馬來西亞等臺商前往經營生意，或是國人旅遊想去的幾個重要市場，來擴大跨境支付的規模。</p> <p><span style="font-size:28px;"><strong>玉山下階段聚焦境內支付，鎖定交易高頻的超商場景</strong></span></p> <p>玉山在雙向跨境支付交出了亮眼的成績單，下一階段，則鎖定發展境內支付市場，也就是與全家便利商店與PChome集團旗下子公司拍付國際資訊共同合資成立的「全盈支付」，要深入超商場景來發展支付。</p> <p>以往，金融業大多數的金融服務如房屋貸款、基金申購等，與顧客往來的頻次都很低。劉美玲認為，以現今的潮流，光靠低頻的金融服務來了解顧客，對銀行來說是一種阻礙與瓶頸。相對來說，與顧客往來頻次最高的便是支付，對銀行來說可較為容易的從消費者的支付行為，推估背後的消費動機。</p> <p>她提到：「支付的關鍵是場景」，而場景金融正是玉山發展Fintech的3大主軸策略之一。這正是為何玉山下一階段的支付發展策略，選擇與消費者影響最大的超商場景結盟，關鍵就是為了切入支付前期的交易市場、商流市場，「進入場景有了交易後，支付才是那最後一哩路。」不只在臺灣，從國際視野來看，玉山也觀察到，全球支付發展上，金融科技公司一窩蜂投入相當微利的支付產業。</p> <p>劉美玲提到，如何將支付變現，全球有兩大商業模式，一是「以支付為主的生態圈」，另一個則是「切入金融服務」。比如，從新加坡以共乘服務起家的Grab平臺，後續更發展外送、線上購票等，及推出支付金融服務GrabPay，讓用戶使用GrabPay在平臺的各式場景進行支付。又好比支付寶，則是以大零售交易起家，之後在自家平臺發展出花唄、借唄、餘額寶等金融產品。</p> <p>「大零售交易起家的業者，在既有的場景中少了金融的元素，看見金融創造獲利的可能性較高，於是紛紛跨足金融服務。」這是劉美玲的觀察。</p> <p>從全球支付產業這些商業模式中，玉山反觀自身的優勢，「金融服務正是玉山的強項」，相較與顧客互動低頻的金融場景，藉由玉山的金融服務，結合交易高頻的場景，讓用戶與玉山互動的頻次變得更高，當互動頻次越高時，就代表有機會更了解消費者。這正是玉山與全家合作的策略布局。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1043-cover-%E5%85%A8%E5%AE%B6%EF%BC%88%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89%EF%BC%89.jpg" style="width: 550px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>「便利、快速、彈性都是零售業的強項。」玉山銀行信用卡暨支付金融事業處副總經理劉美玲認為，包括對消費者的了解，在行銷上的活力，乃至顧客體驗方面，零售業其實都比金融業更強，也是零售業獨特的優勢，因此，全家會將這樣的力量注入全盈支付。</strong><span style="font-size: 14px;">　（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>獲取金融場景以外的數據，完整顧客360度全方位資料</strong></span></p> <p>玉山在整體的支付發展有3大關鍵策略：用戶忠誠、多元場景、創新商業模式。在用戶忠誠這項策略，劉美玲解釋，創造忠誠顧客的前提，需奠基在銀行多了解用戶，因為，必須具有顧客360度全方位的資料，才能進一步分析，做到精準行銷，提供能夠吸引用戶且個性化的金融服務。</p> <p>不過，以往只靠顧客金融資料，來了解其金融行為與消費後的交易數據，玉山認為，要做到360度全方位了解顧客，仍然缺少了很大一塊數據。劉美玲提到，直到玉山踏入跨境支付的領域，基於外匯申報程序，必須申報顧客的交易項目，這時，玉山才透過電子支付了解顧客購買的品項，比如某位顧客經常購買傢俱、電器等。</p> <p>為了更了解用戶，玉山採取切入場景的作法。這是玉山在發展支付的第二項策略，結合多元場景，並在場景背後扮演金融產品提供者的角色。玉山在尋找場景時，目標是先找到顧客會前往消費的「剛性場景」，作為進一步了解用戶的重要基礎。最後，玉山決定鎖定零售端中與消費者互動頻次最高的便利超商，透過合資成立全盈支付，來共同經營用戶。</p> <p>劉美玲強調：「經營支付必須以數據為核心，跳脫金融之外的場景，消費者生活場景的消費數據，玉山也要有能力了解。」尤其，電子支付是實名制交易，這種實名的數據，將對金融業、零售業了解顧客的目標上，扮演越來越重要的作用。</p> <p>如何布局剛性場景，掌握用戶在異業場景消費的關鍵數據，後續能否設想出消費者下一步的行動，這是玉山目前正在思考的課題。玉山發展支付的另一項策略便是創新的商業模式，劉美玲坦言，以往玉山在打造新的商業模式時，是由內部專業團隊自行發想；但，現在改採取「混業」的商業模式。</p> <p>玉山與全家、拍付國際策略聯盟這步棋，並不只單單是3家公司合資成立新電子支付品牌，更多的是希望能夠透過三方企畫人員深入的討論，共同為全盈支付激盪出截然不同的創新商業模式。劉美玲認為，這是玉山未來在支付發展中，能贏得顧客認同相當重要的關鍵。</p> <p><span style="font-size:28px;"><strong>三方聯手創新商業模式的關鍵，要靠共生經營</strong></span></p> <p>她提到，全盈支付會以「共生」概念來經營，就像生態共生需要彼此依靠一樣，這3家公司能夠注入各自擅長的能力、各自擁有的數據，透過三方的合作創造更多交易機會，經營共同的用戶，提供用戶更多附加價值，藉此對消費者有全方位的了解。「這是玉山對於全盈支付寄予厚望的原因。」</p> <p>有別於以往異業合作，只是將各自有的服務全部攤開給用戶選擇。劉美玲表示，全盈支付的經營模式，會先共同了解用戶的需求，思考哪些需求是這3家公司能提供的服務，再藉由不同合作夥伴來提供顧客真正需要的產品。比如說，藉由超商對顧客的認識，得知顧客有保險或特殊信貸服務的需求，就能將玉山金融服務在超商場景提供，快速回應顧客的需求。</p> <p>甚至，玉山認為，全盈支付未來應朝向平臺化經營，不只跟玉山一家銀行合作，同時也可跨出超商領域，以創造用戶最有利，以及這家新公司最大的價值。不過，她坦言，玉山仍在學習這種新的經營模式，但，與超商場景的合資模式是一定要走的路，後續具體的策略走向仍須進一步探索與嘗試。</p> <p><span style="font-size:28px;"><strong>3方將挹注不同資源到全盈支付</strong></span></p> <p>目前，全盈支付已取得設立專營電子支付機構許可，得以經營電子支付機構業務，未來正式成立開業後，玉山銀行、全家便利商店、拍付國際資訊公司，又將為這家電支產業的生力軍，挹注哪些資源？劉美玲提到，全盈支付仍屬於金融機構，需遵循金融業的相關法規、風險、內控等要求，這部分銀行的能力最強，因此，玉山可以在風險管理、帳戶監控、內稽內控、消費者保護、資安等部分賦能。</p> <p>「便利、快速、彈性都是零售業的強項。」劉美玲認為，包括對消費者的了解，在行銷上的活力，乃至顧客體驗方面，零售業其實都比金融業更強，也是零售業獨特的優勢，因此，全家會將這樣的力量注入全盈支付。此外，未來全盈支付不只要服務線下客群，她提到，同時也要服務線上用戶，這部分就得借重隸屬於PChome集團的拍付國際，在電商領域的優勢與能力。</p> <p>她透露，玉山先鎖定兩大面向來賦能全盈支付。由於電支未來會有各種型態的交易，所以，玉山會將自己的AI 交易監控、反洗錢（AML）等風險面向的應用技術，導入這家新公司。另一面向則是精準行銷，深耕數據分析領域的玉山與全家，將共同討論可著墨的地方。</p> <p>甚至，新版電子支付機構管理條例，開放了專營電子支付機構可在海外增設分支機構來經營海外市場。她提到，待全盈支付在國內市場站穩腳步後，往更長遠來看，「國際化也會是全盈支付的重點」，到那時機點，玉山現有在跨境支付、外匯的優勢，都能成為全盈支付的助力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1043-cover-%E7%8E%89%E5%B1%B1%E8%B7%A8%E5%A2%83%E6%94%AF%E4%BB%98_%EF%BC%88%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7%EF%BC%89.jpeg" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>長遠來看，國際化也會是全盈支付的重點，玉山未來也希望善用現有在跨境支付、外匯的優勢，成為全盈支付的助力。</strong><span style="font-size: 14px;">（圖片來源／玉山金控）</span></span></p> <p><span style="font-size:28px;"><strong>玉山如何看待銀行與電支的競合？</strong></span></p> <p>以往，電子支付機構能夠經營的業務項目僅有3項，包括代理收付實質交易款項、收受儲值款項、電子支付帳戶間款項移轉。新版電支機構管理條例上路後，電支機構也能經營金融商品或服務的代理收付款項，只要不是法規禁止的交易以外，電支機構都能代理收付。</p> <p>劉美玲表示：「這賦予電支一個更接近金融機構的角色。」在這樣的狀況下，讓銀行與電支機構，產生既競爭又合作的微妙關係。她提到，銀行長期支持電支機構時，扮演了兩種重要角色。一是電支可透過銀行帳戶這個載體，進行用戶的身分驗證；另一個角色，則是作為電支的資金來源。</p> <p>對銀行來說，希望透過電支機構累積的用戶基礎，將電支作為銀行金融服務的出口之一。雖然，劉美玲認為，電支可經營金融服務的代理收付，可是，許多金融服務本身不是由電支機構來提供，像信貸產品，電支機構不能墊款，那群有信貸需求的顧客還是得回到銀行來才能獲得服務。</p> <p>在這樣的關係下，不只會產生更多的合作機會，對銀行來說，也能有更多管道與平臺，來行銷自家的金融服務與產品。在連結過程中，銀行有機會擴大帳戶的用途，甚至獲取新用戶，這些都是玉山看到的利基與機會。</p> <p>劉美玲提到，在賽局理論中，當有新的競爭者進入市場，有些人會視為一種機會，也有些人將其視為更多的挑戰與威脅，這時就得各憑本事，如何把競爭與挑戰轉化為新的商機與機會，改變遊戲規則，創造對自身有利的機會，才是成為贏家的重要關鍵。</p> <p>玉山認為，既然難以阻擋新的競爭者加入賽局，若將新加入的競爭者通通視為威脅，壁壘分明的結果不見得占得到好處。她表示，不如樂觀看待這場新賽局，將競爭轉化成新的合作機會，對金融業來說，會有更多延伸自家服務平臺的機會。</p> <p><span style="font-size:28px;"><strong>跨機構共用平臺採取先轉帳後消費，搶攻消費者心占成為電支重要挑戰</strong></span></p> <p>綜觀國內整體零售交易，劉美玲表示，2020年零售交易達9兆元的規模，其中信用卡交易占近3.2兆元，電子支付交易僅占585億元，顯示臺灣民眾以現金交易的比例還是很大。</p> <p>不過，「這兩年疫情的驟變，助攻了臺灣電子支付的發展。」不只現金，民眾連拿出信用卡或金融卡消費，都覺得有所接觸，反而用電子支付掃碼結帳更為方便且安全，她提到，疫情為電支產業帶來不可忽略的力量，電支已連2年達到百分之百以上的成長率，這也意味著越來越多人開始採用電子支付。</p> <p>新版電支機構管理條例在今年7月1日正式上路。目前，市場上共有9家專營電子支付機構，以及20家兼營電子支付機構。劉美玲提到，在如此多業者競合的生態圈，電子支付的基礎建設變得相當重要，就如同政府打通了銀行間跨行轉帳一樣，讓電支帳戶也能跨機構互轉。</p> <p>她表示，電支業者對於加入電子支付跨機構共用平臺第二階段仍存有的疑慮，需要花時間溝通一些機制，讓業者做好必要的因應，並心甘情願加入平臺，才能配合整體基礎建設的發展。</p> <p>劉美玲進一步提到，從特店的角度切入，各家電支業者如果都能加入共用平臺，特店與一家電支業者簽約，讓電子支付錢包的所有用戶，都能在同一家特店中消費和支付。</p> <p>對特店來說，以後也無需與不同的電支機構逐一對帳。這項支付的基礎建設，不只要滿足特店，也讓民眾在消費時不用再詢問店家接受哪幾款電子支付來付款。</p> <p>相對的，劉美玲表示，打通了跨機構共用平臺這項基礎建設，電支業者須思考如何留住用戶，提供更多功能與附加價值來圈粉。這個角度也讓電支業者必須回頭思考，如何將顧客的服務體驗做得更好，滿足用戶的需求及增加用戶使用的價值，來搶占消費者的眼球和消費者心占（在消費者心中的評價），是每家電支業者未來幾年面臨的重要挑戰。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>業界觀察：未來臺灣電子支付產業發展靠3大推力</strong></span></span></p> <p>玉山銀行信用卡暨支付金融事業處副總經理劉美玲認為，未來幾年臺灣電子支付產業會以三股力量來發展，包括「場景」、「交通」、「早期進入者」。</p> <p>具場景優勢的電支業者，是其中一股力量，場景業者本身具備了場景優勢，比如全家、Uber、Grab等業者。</p> <p>她提到：「以場景業者為主的支付品牌，是未來電支發展上不可小覷的力量。」今年，從零售場景進軍電支領域的全盈支付、全支付，將成為臺灣電支產業的2家生力軍，都是未來值得密切觀察的支付業者。</p> <p>另一個力量則是早期進入的電支業者，比如街口電子支付，在用戶群的累積上已有領先的優勢，但隨著場景為主的新進者進入市場，下一步則是需思考如何留住用戶，甚至再拓展新用戶。</p> <p>以交通為主的電支業者則是第三股力量，像是以支持交通場景為大宗的悠遊卡與悠遊付，以及一卡通的電子票證業務，與電子支付業務Line Pay Money。</p> <p>劉美玲表示，這三股力量在未來3年仍會是強勢的電子支付品牌，競爭者多元，也會使得業者更憑本事來激盪出更多不一樣的服務，包括與銀行間的合作也會更為密切，對於消費者、特店，以及臺灣支付發展將產生正面影響。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146774
【數位新勢力戰略：街口電子支付】靠龐大用戶量提升場景覆蓋率，街口要成為異業生態圈整合平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「通路的優勢是電子支付擴張非常重要的門檻。」這句話，從街口支付產品長范庭甄口中說出來，特別有說服力。</p> <p>2018年初取得專營電子支付機構執照的街口電子支付（以下簡稱街口支付），經過短短3年半的努力，累積了超過482萬用戶，簽下18萬家特店機構，奠定在電子支付產業龍頭地位。范庭甄表示，電子支付產業過去5年多的發展中，大多數的業者投注大筆資源在建立通路，就是希望擴張自家電子支付在市場上的影響力。</p> <p><span style="font-size:28px;"><strong>看好跨機構轉帳共通發展</strong></span></p> <p>新版電子支付機構管理條例7月上路後，開放跨機構間互通金流服務，目前分兩階段推動，第一階段是「轉帳」，法規要求所有電子支付機構全數加入電子支付跨機構共用平臺。</p> <p>范庭甄提到，街口支付將會在9月底如期上線，一方面是配合政策，不過，街口支付認為，第二階段要順利推動，將有兩大挑戰。第一是，業者之間的角力，范庭甄提到，大部分業者仍會考量過去投注在通路的成本，以及加入跨機構共用平臺後，究竟是利多或被他人占便宜？甚至，全家便利商店與全聯這兩家以零售進軍電子支付的業者，是否願意貢獻自家零售通路？都是業者不斷思考而且觀望的議題。她認為；「未來通路的變化，取決於擁有更多通路的業者，達成了何種共識。」</p> <p>另一項挑戰則是手續費問題。以往，街口支付可對特店商家收取較高的手續費，或者，為了獨占市場的規畫或特殊商業條件下，街口願意讓利，對特定店家收取較低的手續費。但范庭甄坦言：「這些條件、彈性，會因為通路的共享而消失。」因此，在商業條件、分潤方式的作法上，如何讓自己「舒服」是街口內部重視的課題，街口也會針對這部分議題持續在銀行公會積極參與討論。</p> <p><span style="font-size:28px;"><strong>跨足金融商品跨售，研擬發行附隨電子支付帳戶儲值卡</strong></span></p> <p>以往電支業者若要替金融機構代收付如保險、基金、證券等各式金融商品的金流，必須逐項申請。但新法改成原則開放、例外禁止，等於是只要金管會沒有規定禁止的業務，電支通通都能做。她更透露，街口支付近期將推出首個金融商品跨售，有機會在電支機構與銀行間，建立一個合作金融商品跨售時所需的基礎架構，比如資料交換、合約簽訂、如何授權等流程。</p> <p>街口支付計畫申請發行附隨電子支付帳戶儲值卡，范庭甄提到，未來用戶使用這張卡消費，就會連動回電支帳戶進行餘額扣款，相當於銀行帳戶與晶片金融卡間的關係。目前，正在研議實體卡與虛擬卡的發行規則與策略。她表示，未來發行街口支付自有的虛擬卡將支援3大國際Pay來提升使用者支付體驗。</p> <p><span style="font-size:28px;"><strong>找出價值變現的商業模式，街口切入跨境電商結算與街口券服務</strong></span></p> <p>不只在國內迅速擴張通路與用戶基礎，街口支付早在2年前，便與蝦皮購物合作推出跨境電商結算服務，也是國內唯二經營跨境支付的電子支付業者，目前使用者人數已突破200萬人，累積超過100億元跨境支付交易量。</p> <p>「街口至少要經營一個非我不可的業務。」她坦言，經營此服務的門檻相對較高，從系統搭建、外匯申報流程、串接金流服務、串接電商合作的物流商等，甚至，街口也為蝦皮做了許多客製化服務。雖然前期投入成本高，不過，街口判斷此業務在1～2年可回收成本，甚至，建立起整個系統並規模化後，可帶來長期的回報。</p> <p>這也是街口支付善用龐大用戶基礎，找出價值變現的方法之一。另一項價值變現作法，是街口在去年初推出的街口券服務，主要透過數據挖掘潛在顧客，協助商家精準行銷，商家可設定性別、年齡、離店距離等條件，透過街口平臺將電子優惠券發送給目標客群，下階段更將新增消費習慣的顧客條件設定。</p> <p>范庭甄表示：「街口特別著墨地理位置行銷的數據」，比如，透過用戶的住家地點、工作地點、慣用交通工具等，藉由一套運算邏輯，來推估用戶屬於哪個生活圈，或透過數據貼標，進一步描繪顧客的輪廓。不過，她提到，店家用的街口券服務已是數據去識別化的分析結果，而且，店家仍得透過街口平臺推薦優惠券給用戶，過程中不會取得任何用戶資料。</p> <p>為了提高精準行銷的效果，街口正在思考如何讓貼標系統更為細緻化，未來，希望能做到情境式的金融商品推薦，比如新生兒保險、旅平險等、車險、意外險等，畢竟，「這些金融商品還是非常依賴場景。」加上，用戶打開街口App的機率，比起打開銀行App的機率高出許多，也代表著加入電支競爭後，可以增加許多與用戶互動的機會，進而用數據分析推出不同的行銷作法。</p> <p>不過，要做到這件事，范庭甄表示：「街口必須增加場景的覆蓋率，不只是支付服務，更要透過與異業的合作，創造更多、更細緻、更精準的場景。」這些計畫透露了街口支付的發展策略，今年將出現大變革。</p> <p><span style="font-size:28px;"><strong>打造開放平臺串接異業拓展生態圈</strong></span></p> <p>街口支付App整合了支付、轉帳、叫車、美食外送、外帶點餐、繳費等多項服務。范庭甄提到，以往，內部會投注許多心力推出一項新服務，可是，隨著生態圈的擴張，想要整合的服務越來越多，街口也越意識到手上資源的有限。因此，去年底，街口開始打造一個開放平臺，要將街口App的技術能力整合到同一平臺中，比如實名驗證、身分確認、支付、載具記錄、發券、數據等能力，一站式提供給合作夥伴串接。</p> <p>街口發展生態圈的策略是，將這個開放平臺的能力標準化，與各產業知名第三方業者合作串接，讓異業藉助街口平臺的用戶基礎，以及這平臺所提供的技術能力，比如，范庭甄透露，下半年街口平臺將上線旅遊服務、街口保險服務等，都是與異業透過此模式結合的應用。甚至，街口想效法微信小程式的概念，讓街口App變成一個應用場景平臺，各業者可在平臺上推出自家服務。</p> <p>不過，街口這個開放平臺，會先以初期合作夥伴的需求，進行第一期的開發，范庭甄表示，目前已有5~10家的夥伴正與街口團隊共同探索需求中。未來，會陸續開放出平臺，採取業者主動申請，並由街口篩選核准。</p> <p>為了擴張生態圈場景，街口也做了不少準備。范庭甄表示，在思維上，必需轉為平臺化的經營策略。而在技術上，一開始便以平臺化架構進行開發，逐一將街口的能力標準化，並讓整體架構更具彈性，尤其是前後端系統更加分離。街口希望做到，同一套API能透過簡單的配置，就能對不同異業夥伴提供高客製化的服務。</p> <p>甚至，街口App介面也將開放用戶自行定義。范庭甄透露，未來，用戶可將常用功能釘選在App首頁，好處是，除了能為用戶打造更好的體驗，更有利於更多第三方異業進駐街口平臺提供服務，對於街口來說，可更為專注在電支的專業，同時又能打造各式場景。</p> <p>此外，她提到，街口會為各家異業提供客製化UI服務，考量街口用戶習慣的風格、流程，更要讓第三方異業服務能融合在街口平臺中，不僅單單只提供導流功能。這些都是街口為了要大力擁抱生態圈夥伴，所做的技術儲備。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146776
【一張表看電支產業布局】三大類電支業者未來戰略大比較
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color:#B22222;"> 電支業者類型 </span> </strong></span><strong style="color: rgb(178, 34, 34); font-size: 28px;">跨界整合者</strong></p> <p class="rtecenter"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%80%E5%8D%A1%E9%80%9A%E4%B8%BB%E5%9C%96.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 代表性業者 </span></strong></span></p> <p><strong>一卡通票證<img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%80%E5%8D%A1%E9%80%9A_logo.png" style="width: 200px;" /></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 業務屬性 </span></strong></span></p> <p><strong>以電子票證起家，與Line Pay合推電子支付Line Pay Money，同時經營兩項業務。電支電票兩法合一後，電子票證改稱為儲值卡業務</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 支付領域強項 </span></strong></span></p> <p><strong>擅長交通場域，電子支付更為聚焦零售支付、生活繳費</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 用戶數 </span></strong></span></p> <p><strong>1 . 儲值卡（原電子票證）：2 ,721萬張<br /> 2. 電子支付：393萬人（截至2021年7月）</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特店數／支付據點 </span></strong></span></p> <p><strong>1. 儲值卡（原電子票證）：近5萬支付據點<br /> 2. 電子支付：約30萬支付據點</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨境支付業務 </span></strong></span></p> <p><strong>2019年底，LINE Pay臺灣和一卡通公司聯手以Line Pay Money，結盟日本LIne Pay、泰國Rabbit Line Pay、韓國Naver Pay與PAYCO，成立行動支付跨境聯盟，籌備跨境交易服務，目前仍持續保持溝通</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨境支付用戶數 </span></strong></span></p> <p><strong>無</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨境支付交易金額 </span></strong></span></p> <p><strong>無</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 未來策略 </span></strong></span></p> <p><strong>1. 電子票證與電子支付用戶「歸戶」，藉此將用戶的使用歷程與消費記錄，收攏在同一可查詢平臺，以利會員經營時，能有一致性分析<br /> 2. 挖掘支付數據，描繪消費者日常與更多新業務發展空間，找出獲利模式<br /> 3. 善用龐大會員基礎、特店基礎、金流3大優勢，與異業合作提供中小型企業數位轉型解決方案<br /> 4. 與Line生態圈持續深化合作<br /> 5. 計畫建立點數整合交換平臺，讓有發行點數的業者加入，協助將點數轉換成Line Points，或一卡通儲值金</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 技術準備 </span></strong></span></p> <p><strong>1. 從電子票證與電子支付兩套系統的異質資料庫，將用戶偏向靜態的資料單獨抽離，整合到第三資料庫來歸戶<br /> 2. 兩法合一後，因應更多新業務與更多異業合作、同業合作，今年已啟動系統優化工程，聚焦三大面向：系統擴充性、系統穩定性、系統復原力</strong></p> <p><span style="font-size:28px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 電支業者類型 </span> </strong><span style="color:#B22222;"><strong>數金領先群</strong></span></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8E%89%E5%B1%B1%E4%B8%BB%E5%9C%96-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></strong></span></span><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代表性業者 </span></strong></span></p> <p><strong>玉山銀行</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8E%89%E5%B1%B1logo.jpg" style="width: 200px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務屬性 </span></strong></span></p> <p><strong>銀行兼營電子支付業務</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付領域強項 </span></strong></span></p> <p><strong>專攻跨境支付，與多家國際大型業者合作</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用戶數 </span></strong></span></p> <p><strong>電子支付：137萬人（截至2021年9月3日）</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 特店數／支付據點 </span></strong></span></p> <p><strong>逾2萬特店</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付業務 </span></strong></span></p> <p><strong>國內最早經營跨境支付服務之業者，跨境支付合作對象為PayPal、支付寶、微信、Razer Fintech等國際大型業者</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付用戶數 </span></strong></span></p> <p><strong>透過玉山電子支付進行跨境交易已有137萬用戶</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付交易金額 </span></strong></span></p> <p><strong>跨境支付交易金額平均一年為140億元，包括消費者購買淘寶、支付寶收款、PayPal提領等服務</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 未來策略 </span></strong></span></p> <p><strong>1. 持續擴展跨境支付業務規模<br /> 2. 與全家便利商店、拍付國際資訊公司共同合資成立新電子支付品牌「全盈支付」，跳脫金融場景，走入具剛性需求、交易高頻的零售超商場景，來完整顧客360度全方位數據，才能進一步分析做到精準行銷，提供吸引用戶且個性化的金融服務<br /> 3. 將與全家、拍付國際，以「混業」模式，為全盈支付激盪出創新的商業模式；三方將各自挹注擅長的能力、擁有的數據，創造更多交易機會，經營共同的用戶</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術準備 </span></strong></span></p> <p><strong>1. 將玉山在AI的交易監控、反洗錢（AML）等風險面向的應用導入全盈支付<br /> 2. 跨產業聯手精準行銷。擅長數據分析領域的玉山與全家，將共同討論可以聯手發揮之處</strong></p> <div> <p><span style="font-size:28px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 電支業者類型 </span> </strong><span style="color:#B22222;"><strong>數位新勢力</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%97%E5%8F%A3%E4%B8%BB%E5%9C%96(1).jpg" style="width: 500px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代表性業者 </span></strong></span></p> <p><strong>街口電子支付<img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%97%E5%8F%A3Logo.png" style="width: 200px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務屬性 </span></strong></span></p> <p><strong>專營電子支付機構</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付領域強項 </span></strong></span></p> <p><strong>以支付起家拓展街口生態圈，一站式提供叫車、美食外送、外帶點餐、繳費等服務。同時，提供跨境電商結帳服務</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用戶數 </span></strong></span></p> <p><strong>電子支付：492萬人（截至2021年9月3日）</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 特店數／支付據點 </span></strong></span></p> <p><strong>18萬特店</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付業務 </span></strong></span></p> <p><strong>國內唯二經營跨境支付之電子支付業者，合作對象為蝦皮購物</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付用戶數 </span></strong></span></p> <p><strong>蝦皮跨境電商結帳服務使用者人數超過200萬人</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付交易金額 </span></strong></span></p> <p><strong>蝦皮跨境電商結帳服務交易金額，2年累計共超過100億元</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 未來策略 </span></strong></span></p> <p><strong>1. 善用龐大用戶基礎，找出價值變現的商業模式<br /> 2. 持續擴展跨境電商結算服務<br /> 3. 持續以街口券提供大型通路業者與中小型特店精準行銷方案<br /> 4. 跨足金融商品跨售；預計申請附隨電子支付儲值卡，計畫綁定3大國際行動支付<br /> 5. 發展生態圈戰略，將以街口App打造應用場景平臺，異業可借助街口的用戶基礎，以及串接平臺所提供的技術能力，在街口介面提供服務。預計下半年將上線旅遊服務、街口保險服務</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術準備 </span></strong></span></p> <p><strong>邁向開放式平臺化經營與開發。去年底啟動「開放平臺」建置，將街口技術能力標準化，整合到同一平臺中，一站式提供給異業合作夥伴串接。初期已與5~10家合作夥伴探索需求中，未來將逐步對外開放，採取申請核准制</strong></p> <p><strong><span style="color:#696969;">資料來源：iThome採訪整理，2021年9月</span></strong></p> <p><strong><span style="color:#696969;">註：上述資訊為截至2021年9月中旬之情況描述，後續訊息更新請逕洽相關業者。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1043-%E5%B0%81%E9%9D%A2P7-%E4%B8%89%E5%AE%B6%E4%BB%A3%E8%A1%A8%E6%A5%AD%E8%80%85%E7%AD%96%E7%95%A5%E5%9C%96%E8%A1%A8-big-OK.jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1474,height=1778'); return false;"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1043-%E5%B0%81%E9%9D%A2P7-%E4%B8%89%E5%AE%B6%E4%BB%A3%E8%A1%A8%E6%A5%AD%E8%80%85%E7%AD%96%E7%95%A5%E5%9C%96%E8%A1%A8-small.png" style="width: 500px;" /></span></strong></a></p> </div> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146784
【電支跨機構共用平臺建置者：財金資訊公司】守住金融輔助業者角色，財金打造跨機構共用平臺助電支發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前市場上共有9家專營電子支付機構，及20家兼營電子支付機構，電支電票兩法合一後，最大亮點之一就是開放跨機構間互通金流服務，財金資訊公司已經建置了一個電子支付跨機構共用平臺，作為跨機構間金流與資訊流互聯互通的基礎建設。金管會增訂經營跨機構間支付款項帳務清算業務的管理機制，來促進通路共享、資金互通，滿足民眾便利支付需求。</p> <p>電子支付起初成立的目的或聚焦服務的範圍，較為著重消費者生活周遭或中小型店家的小額支付，並非大型通路或數位化通路。</p> <p>如果無法沒有一套整合機制讓各家電支互通，對特約商店來說，每多找一家電支業者合作，櫃臺就得多處理一種專屬QR Code，還要不斷確認消費者要用哪一款支付工具付款，更需逐一與不同電支業者對帳，非常麻煩。</p> <p>而對消費者來說，只能對號入座，使用特店合作的電支工具來付款。對電支業者而言，開拓特店的成本相對較高，同一家特店，各家業者要各自洽談、串接系統等。</p> <p>財金資訊公司董事長林國良提到，如何讓電支業者更為方便，更專心發展創新服務，是新法上路後的重要目標。「財金的任務就是扮演好金融輔助業者的角色，來協助電子支付機構發展。」</p> <p><span style="font-size:28px;"><strong>電子支付跨機構共用平臺分兩階段推動</strong></span></p> <p>電子支付跨機構共用平臺，不只能讓電支機構間金流互通，也打通了電支機構與所有銀行機構帳戶間互轉這個重要環節。林國良解釋，以往，如果一家電支機構，要與本國39家銀行，甚至300多家信用合作社與基礎金融機構串接，不只成本高，管理面也相當辛苦。</p> <p>現在，電支機構就像是拿了一個插頭，都插上跨機構共用平臺後，這些機構彼此就可以互通，也同時與既有的金融機構跨行體系進行了橋接，兩邊也能互通，林國良表示，這正是共用平臺的一大效益。</p> <p>目前，電子支付跨機構共用平臺規畫分兩階段推動。第一階段以轉帳為主，全數電支機構都必須加入互轉行列，財金公司則預計9月底對外開放平臺的跨機構轉帳功能。未來，電支帳戶可與任何銀行帳戶互相轉帳，電支帳戶之間也可互轉。</p> <p>第二階段則包括了購物、繳費、繳稅等多項機制，加入同一項機制的電支業者，將可共享彼此的通路，甚至還可以交換資訊，比如，電支與銀行間身分驗證資訊的交換。林國良表示，目前平臺已準備就緒，後續得視各業者準備的狀況與協調的結果，來決定第二階段上線時程。</p> <p>不過，對於擁有通路優勢的電支業者來說，將多年辛苦簽下的通路共享出來，是一大疑慮。林國良坦言，此觀念需要溝通，當業者不開放通路給其他人使用，同樣的，對方也不會將它的通路開放給你用。他認為，任何一家電支業者都難以成為全臺唯一獨大，在無法獨占市場的狀況下，消費者還是會到各式不同的店家消費。</p> <p>因此，林國良認為，如果能夠打通電支間購物、繳費、繳稅業務，讓持有任何一家電支帳戶的消費者，都能共享各家業者開發的通路，除了能提升消費者與特店的方便度，也能降低電支業者投入成本，甚至，讓業務空間變大。</p> <p>長期發展來看，林國良表示，這個方向對於電支產業、環境、消費者、商家來說，是一種多贏。</p> <p><span style="font-size:28px;"><strong>打造跨機構共用平臺有3大考量2大設計原則</strong></span></p> <p>為了支援所有業者和全臺灣消費者共用的超大交易規模，林國良表示，財金公司將ATM與通匯業務等系統所用的即時總額清算（RTGS）機制，也就是實現ATM跨行轉帳的技術，運用到電子支付跨機構共用平臺上，用戶在電支機構間或電支與銀行間的轉帳，同樣也是即時入帳。</p> <p>不過，林國良坦言，打造平臺時面臨了3大考量，包括電支機構規模小，且皆為新創公司，所用的技術新穎，另一項考量是，新創在此階段大多是業務發展為主，勝過資安防護與風險控管。</p> <p>基於這些因素，財金在開發平臺時，沒有選擇傳統大型主機，而是改採開放式架構。林國良提到，平臺架構採取高可用性與可擴充性兩大原則，讓系統具備橫向擴充的能力。交易面則採取業者熟悉的API架構，讓電支業者介接時具備一定的彈性。</p> <p>雖然電支資安等級要求不會比照銀行的水準，不過，他表示，資安防護還是必須做到一定水準，現階段讓業者逐漸加入後，再逐步統一資安規格。後續，會再逐漸與業者分享風險控管面的機制。因此，「在各種考量間如何拿捏，是財金這次建置平臺面臨的挑戰。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P8-%E8%B2%A1%E9%87%91%E8%B3%87%E8%A8%8A-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 364px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">財金資訊公司董事長林國良表示，為了提高電子支付跨機構共用平臺高可用性，財金正在規畫兩地三中心備援機制，讓同地具備資訊雙中心營運，異地也要設立第三備援中心。</span></strong><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>第二階段機制重點，爆量擴充與多方金流資訊流拋轉</strong></span></p> <p>因採取即時清算機制，若只是轉帳，用戶跨機構轉帳完成後，會在兩家機構的清算帳戶即時清算，整套運作相對簡單，但若到了第二階段的「購物」項目中，因為電支業者共享了彼此的通路，所以，資訊流與金流上相對複雜許多。財金也在跨機構共用平臺上，設計了一套對應的資訊流與金流運作機制。</p> <p>林國良以街口支付的用戶與Line Pay Money的特店為例，當用戶打開街口App掃碼Line Pay Money特店擺出的共通QR Code。首先，街口App要能識別這個共通QR Code，接著，用戶掃碼付款的訊息先提供給街口App，讓街口來驗證這筆交易是否為用戶本人，驗證成功就會在用戶的街口電支帳戶扣款。</p> <p>接下來，付款訊息會按照訂定的規格打包送到財金平臺，再將訊息傳至Line Pay Money確認此店家為合作特店，同時記錄街口付款資訊。最後，會再通過財金平臺，由街口通知用戶付款成功。</p> <p>每日結帳時，由簽下各特店的電支機構來發動，財金則統一負責金流結清算，作法上，財金會告知各家電支業者每日的結算金額，若某些電支業者當日用戶付款金額，大於店家收款金額，財金就會在電支機構於合庫銀行開立的清算帳戶扣款，並將款項撥給店家收款大於用戶付款金額的電支業者，來完成清算的動作。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146789
【專家觀察：資策會產業情報研究所】深入各式場景經營跨業合作，拓展加值新服務將成電支致勝關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電支業者如何成為消費者心目中的前3名，是未來競爭的關鍵。」資策會產業情報研究所（MIC）產業分析師<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />，點出電支電票兩法合一後，藉由電子支付跨機構共用平臺，可讓電支機構間金流互通，加上共通QR Code標準，對消費者而言，將大幅提升使用支付的便利性，並增加以電支消費的使用通路。</p> <p>不過，這也代表，消費者手機中不再需要有那麼多行動支付App。根據MIC調查報告，國內消費者有8成用戶，最多只使用1～3款的行動支付，顯示國內用戶與消費者，對於行動支付的需求已呈現集中化的現象。因此，對產業端的電支業者來說，整體的競爭會更加激烈。</p> <p>在電子支付跨機構共用平臺兩階段推動中，<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />認為，進入第二階段後，支付服務變成是電支業者最基本的服務內容，對消費者來說，業者之間的同質性會越來越高。</p> <p>在市場競爭下，「電支業者可發展加值的服務內容，從消費者端扣住既有用戶的需求，是留住用戶的關鍵。」她進一步提到，業者後續能否跨足較能獲利的金融服務，或切入對於消費者較為剛性需求的場景，比如交通運輸等，都將是提升用戶黏著度的發展重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />表示，電支業者在發展加值服務上，主要是透過跨通路、跨業或跨領域的合作模式，來強化原有的支付服務，再向外展開新的加值服務內容。甚至，她觀察：「電支業者經營跨業合作、支付生態圈背後最大的目的，要藉由場景帶動消費者需求，進而增加獲客，進一步以數據分析來瞄準顧客潛在的需求，作為提供加值服務的依據。」</p> <p>以國外大型業者舉例，加拿大網路開店平臺的Shopify，去年與支付新創業者Affirm合作，推出先買後付（BNPL）服務，讓消費者不使用信用卡，也能獲取分期付款服務。<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />分析，此模式瞄準電商消費場景即時小額貸款需求，提升消費者的消費靈活性。</p> <p>以電支機構與金融機構在跨業合作中，<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />進一步分析：「電支業者最後的定位，將成為協助金融機構串接金融服務到自家電支平臺上的服務商。」從上、中、下游的概念說明，上游的金融機構仍扮演金融服務實際提供者，透過電支扮演中間服務平臺角色，挾帶龐大用戶基礎與合作商家的優勢，更快接觸到下游潛在的消費者或潛在商家。甚至，她觀察：「未來電支業者最大的利基點，是進一步降低消費者端獲得金融服務的門檻。」</p> <p><span style="font-size:28px;"><strong>全家、全聯兩大零售業者踏足電支的優勢與挑戰</strong></span></p> <p>今年底，電支產業將加入2家以零售起家的專營電子支付機構業者，一家是由全家便利商店、玉山銀行、拍付國際資訊公司合資成立的「全盈支付」，另一家是全聯百分之百出資的「全支付」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />觀察，這兩家零售類型的業者，從一開始推出自有行動支付，主要的目的是聚焦實體門市的轉型與升級需求，更分為3大階段來發展。第一階段，是透過行動支付作為基礎數位工具，結合點數經濟來累積並經營數位會員，透過數位會員的取得，就可進一步搜集消費者端相關的用戶數據。</p> <p>累積用戶數據以後，下一階段，就能協助零售類型業者拓展銷售通路，她解釋，培養自有會員的流量後，業者就能從線下進一步轉到線上門市經營。到了第三階段，零售類型業者串連了線上與線下的銷售實況，透過線上與線下融合（OMO）營運模式，作為轉型與升級的關鍵。</p> <p>零售業者如全家便利商店、全聯福利中心，屬於消費者高頻交易的場景。<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />認為，零售類型業者的優勢是通路佈局廣大，而且透過原有限定通路底下，利用點數與相關優惠折抵，已培養出用戶使用自家交易工具的忠誠度與習慣。</p> <p>零售業者要從自有行動支付服務跨足電支領域，走出自有限定通路後，如何讓消費者持續使用，她表示，關鍵在於業者如何提供支付以外的加值服務，來留住原有會員流量的基礎優勢。跨入電支產業後，用戶實名制轉換的成效，也將是這兩家新進業者的重要挑戰。</p> <p>綜觀國內外支付業者整體發展，<img alt="" src="https://s4.itho.me/sites/default/files/images/0921-%E5%BB%96.jpg" style="width: 65px;" />更歸納出3大發展趨勢。其中一項趨勢，是拓展支付的多元使用場景，進一步提升用戶使用支付工具的動機。</p> <p>另一大趨勢是，許多國際支付業者開始切入金融服務，甚至，從原本瞄準消費者端提供的借貸、保險等個人金融需求，進一步轉移到拓展企業金融的需求。第三是支付業者開始協助中小型商家進行數位轉型。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146795
【專家觀察：資誠聯合會計師事務所】外籍移工國外小額匯兌業務崛起，但需重視法遵與洗錢防制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>依據勞動部今年5月底的統計資料顯示，全臺有超過71萬名外籍移工在臺工作，每年外籍移工匯回家鄉的薪資總額達30億美元。不過，外籍移工長期受限交通、工作、語言及時間等因素，不太能在銀行營業時間辦理匯款，為了能以便捷、低廉的創新金融商品，提供外籍移工薪資匯款服務。</p> <p>在新版電子支付機構管理條例，金管會增訂了「外籍移工國外小額匯兌業務管理辦法」，外籍移工匯兌公司經過主管機關許可，並且核發營業許可證之後，得以辦理外籍移工國外小額匯兌業務，但，並不限專營，相關業者也可兼營此業務。</p> <p>資誠聯合會計師事務所電子支付業務負責人羅蕉森表示，除了正在等待主管機關核發執照的統振，市場上還有8家左右的業者評估申請經營這項業務，比如外籍移工仲介業者。羅蕉森觀察，不只一家外籍移工仲介業者欲申請該業務的原因，或許是他們過去與銀行業者合作的過程中，發現銀行原本就能經營的外籍移工跨境匯款有利可圖，因此，也想循此商業模式來獲利。</p> <p>他提到，超過70萬名外籍移工的市場中，部分是透過地下匯兌將薪水匯回母國，加上進入金融監理沙盒實驗的業者，也在這2年累積了一定用戶。因此，其他新進業者在這塊業務的發展上，得思考還有多少潛在用戶可經營。</p> <p>甚至，羅蕉森表示，新法上路後，外籍移工小額匯兌業者視同金融機構，須受金融機構防制洗錢辦法等法規所規範。因此，他強調：「法遵與防制洗錢的成本，是業者需特別重視的部分。」包括採購防制洗錢系統、黑名單，進行姓名檢核、交易監控等，他認為，部分想申請該業務的業者，並沒有將這些可觀的法遵成本估算進去。</p> <p>羅蕉森觀察，2類業者，一類是在法遵與防制洗錢面向，已有與主管機關打過交道的業者，他提到，這類業者溝通起來相對容易，而且願意增強一些能力以符合主管機關的要求。不過，如果是純經營外籍移工仲介業者，他認為，這類業者如果尚未配置法遵與防制洗錢的資源，得再思考這面的投注。</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/news/146796
電子支付數據戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1043-feng_mian_gu_shi_p1-open-jing_yi_-960x420_kao_bei_.jpg?itok=5BLcLU09" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電支、電票合一後，帶來了一個全新的電子支付新藍海，瞄準年交易9兆元的零售市場，電支電票巨頭、數位新勢力、老牌銀行，甚至連電商、超商都紛紛搶進，不只為了搶占市場，更為了掌握更多顧客大數據</p> </div></div></div>
2021/9/21 07:00作者李靜宜https://www.ithome.com.tw/article/146798
Mirai殭屍網路程式攻擊Azure OMI重大風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/1ZRR4H/status/1438580885142507528" target="_blank">安全研究人員發現</a>，一個微軟甫修補的Azure OMI漏洞，已經出現攻擊行動，而且是惡名昭彰的Mirai殭屍網路程式。</p> <p><a href="https://www.ithome.com.tw/news/146733" target="_blank">微軟上周釋出9月份Patch Tuesday修補66項漏洞</a>，包括已被開採的Windows MSHTML遠端程式碼執行（RCE）漏洞，以及存在於Azure Open Management Infrastructure (OMI) 管理元件的RCE，編號CVE-2021-38647。</p> <p>OMI是用於IT管理的開原碼專案，它是DMTF CIM/WBEM（common information model/web-based enterprise management）標準的代理程式，支援Unix及Linux平臺。但在Azure上啟動Linux VM時，也會自動安裝OMI，但用戶並不知道。</p> <p><a href="https://msrc-blog.microsoft.com/2021/09/16/additional-guidance-regarding-omi-vulnerabilities-within-azure-vm-management-extensions/" target="_blank">微軟說明</a>，受影響的產品包括本地部署的Linux版SCOM（System Center Operations Manager）或是Azure所有啟用OMI的管理元件，如Automation Sate Configuration、Azure Desired State Configuration擴充程式。此外，Azure OMS（Operation Management Suite，OMS）、Azure Insights、Azure Automations及 Azure Log Analytics等等。</p> <p>這項漏洞一旦開採成功，攻擊者不需驗證即可以根（root）權限在Azure VM執行程式碼，為一風險值9.8的重大漏洞。安全廠商Wiz研究員Nir Ohfeld及Shir Tamari將CVE-2021-38647稱為OMIGOD。</p> <p>微軟上周修補時，OMIGOD還未被開採。<a href="https://twitter.com/1ZRR4H/status/1438580885142507528" target="_blank">但上周安全研究人員發現</a>，Mirai殭屍網路程式正對OMIGOD發動大規模分散式阻斷服務（DDoS）攻擊，而且這隻程式還會關閉受害主機的5896傳輸埠以杜絕其他後來的攻擊者。據信攻擊IP來源為中國。</p> <p>研究人員證實Mirai已經將OMIGOD的開採程式納入到其正式工具中。</p> <p>除了OMIGOD外，微軟同時還修補了Azure OMI 3個高風險的權限升級（EoP）漏洞（CVE-2021-38645、CVE-2021-38648、及CVE-2021-38649）。</p> <p>微軟於Patch Tuesday後，又<a href="https://msrc-blog.microsoft.com/2021/09/16/additional-guidance-regarding-omi-vulnerabilities-within-azure-vm-management-extensions/" target="_blank">針對OMI元件漏洞發布額外安全指引</a>。微軟說明，CVE-2021-38647（OMIGOD）影響v.1.6.8-1以前的所有版本。</p> <p>微軟的指引包括以Azure內建的漏洞掃瞄工具掃瞄漏洞，並等待微軟更新的管理擴充程式，這些更新是自動部署到Azure上。微軟表示針對包含這些OMI擴充程式的PaaS服務，會儘速部署各雲端區域的新版擴充程式。</p> </div></div></div>
2021/9/20 16:27作者林妍溱https://www.ithome.com.tw/news/146805
甲骨文釋出最新Java 17 LTS版本，還宣布開放JDK免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文正式發布最新<a href="https://www.oracle.com/news/announcement/oracle-releases-java-17-2021-09-14/">Java 17</a>主要更新版本，而Java 17也是睽違三年迎來的全新長期支援（LTS）版本。除此之外，甲骨文也將加速LTS版本發布為兩年一次，並且開放免費使用Oracle JDK 17和之後的版本</p> <p>該版本在效能、穩定性和安全性，都有大量的更新，並且加入14個JEP（Java Enhancement Proposal），不只強化語言功能、更新函式庫，也支援新的Apple裝置，進一步改善Java語言和平臺，同時提升開發人員的工作效率。Java 17加入Sealed Classes，具有Sealed修飾詞的類別和介面，能夠限制繼承的類別，也就是說，Sealed Classes可以限制其他類別和介面擴充或實作他們。</p> <p>在發布Java 17的同時，甲骨文也發布包括提供更簡單的授權、強化LTS版本支援等新消息，簡化Java在雲端採用。甲骨文正與Java開發人員社群和JCP（Java Community Process）合作，調整LTS的支援，讓組織可以更彈性地決定要搬遷到新Java LTS版本的時機，甲骨文提到，他們提議下個LTS版本為Java 21，並且於2023年9月發布。</p> <p>Java LTS的發布節奏，將從原本的三年一次加速為兩年一次，而針對Java 17的長期支援，甲骨文承諾，至少提供客戶Java 17安全、效能和錯誤修復更新到2029年9月。之所以會做出這樣的變動，Java平臺開發副總裁Georges Saab提到，過去三年大部分的開發者都習慣，並且喜歡六個月一次的Java發布節奏，但是有許多企業，只允許開發者使用LTS版本，因此他們決定藉由改變LTS更新頻率，讓較保守的企業，也能夠有更多新功能的選擇。</p> <p>另外，甲骨文還宣布，Oracle JDK 17或是更新的版本，到下一個LTS發布後整整一年，都會採用免費使用（Free-To-Use）授權，而同樣的，甲骨文也會繼續在GPL下提供Oracle OpenJDK。甲骨文認為，藉由改變LTS的發布節奏，並且引入更寬鬆的授權許可，能夠使得組織在雲端、本地端和混合環境中，更靈活地開發和部署應用程式，並且降低管理複雜性。</p> <p>在早前，甲骨文也推出Java管理服務，讓組織更容易管理在雲端或是本地端的Java Runtime和應用程式。Java管理服務向企業提供Java部署的可視性，涵蓋所有安裝在企業環境中的Java版本，檢查Java版本的更新和安全修復程式，甚至可以突出顯示未預期執行的Java程式。</p> </div></div></div>
2021/9/20 16:53作者李建興https://www.ithome.com.tw/news/146804
DevOps平臺GitLab提出IPO申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps軟體開發平臺GitLab宣布，已於9月17日向美國證券交易委員會（SEC）申請首次公開發行股票（IPO），計畫登上美國那斯達克全球精選市場（Nasdaq Global Select Market，NGSM），交易代號為GTLB，目前尚未決定發行股數與價格。</p> <p>GitLab現身於2011年，為一軟體開發暨維運（DevOps）平臺，藉由單一工具就能整合不同的團隊並涵蓋DevOps的生命周期，可加速軟體的開發周期，提高生產力，並嵌入了安全功能。GitLab團隊也是利用GitLab平臺來管理自家的DevOps，且從創始以來就是100%的遠端工作型態，迄今在全球65個國家有1,350名員工，主要的競爭對手為被微軟買下的GitHub。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/0001653482/000162828021018818/gitlab-sx1.htm" target="_blank">根據GitLab的IPO申請文件</a>，該公司在2020財年的營收為8,120萬美元，2021財年為1.52億美元，成長了87%，這兩年的虧損則分別是1.31億美元及1.92億美元。</p> <p>儘管虧損還大於營收，不過GitLab認為該公司的潛在市場機會超過400億美元。</p> <p>其實GitLab的既有股東已透過二級市場（Secondary Market）來交易所持有的部份股票，估計其市值已達60億美元。</p> </div></div></div>
2021/9/20 15:55作者陳曉莉https://www.ithome.com.tw/news/146803
App權限自動重設功能將從Android 11擴張到舊版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/09/making-permissions-auto-reset-available.html?m=1" target="_blank">Google上周宣布</a>，為了保障使用者的隱私，於Android 11釋出的App權限自動重設功能，將向下支援自Android 6.0至Android 10並安裝Google Play Services的裝置，估計將影響全球數十億Android裝置。</p> <p>App權限自動重設功能是在系統發現某個App長達數月沒使用之後，便會重設（撤銷）當初使用者賦予該App的權限，若之後使用者想再使用該App，便必須重新賦予權限，於去年9月率先出現在Android 11上。</p> <p>不過，Google決定從今年12月起，便會將此一功能逐步擴張到Android 6.0~Android 10並安裝Google Play Services的裝置上，預計於明年第一季就會觸及所有相容的裝置。</p> <p>此一App權限自動重設功能也有例外，像是企業所使用的裝置管理員程式，或者是因企業政策而採用固定權限的程式，都不會被自動重設權限。此外，開發人員也可要求使用者別讓系統重設App權限，因為有些App主要是在背景執行，幾乎不需要與使用者互動，若因此而被重設權限反而會造成使用者困擾。</p> </div></div></div>
2021/9/20 15:06作者陳曉莉https://www.ithome.com.tw/news/146802
印度：Google濫用獨大地位打壓競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度政府周末指出，Google濫用在行動作業系統的獨大地位，強行推動不公平及限制性市場手段，以打壓競爭對手、確保自己的壟斷優勢。</p> <p><a href="https://www.cci.gov.in/sites/default/files/39-of-2018.pdf" target="_blank">這項調查是印度競爭委員會（Competition Commission of India，CCI）於2019年</a>，對Google及Google印度在當地行動裝置及軟體產業界的行為啟動調查的結果。在將近750頁的判決書中，CCI指出，Google強迫裝置製造商簽訂「單方面、偏頗、模糊」的合約以換取使用Android的權利，藉此成為行動裝置預設或較優先的應用程式，進而確保Google在搜尋、音樂、瀏覽器、應用程式商店，及其他市場的壟斷地位。</p> <p>調查顯示，裝置廠商若想取得Android及Google 行動應用套件（Google Mobile Service，GMS）使用授權，必須簽訂合約，包括早期的行動應用分銷合約（Mobile Application Distribution Agreement，MADA），將Google列為預設搜尋引擎及預安裝Gmail、搜尋、YouTube等應用程式，而且位於手機的主頁上。CCI相信這大幅墊高搜尋引擎競爭門檻。「反碎裂化協定」（anti-fragmentation agreement，AFA）或稱Android相容性承諾（Android Compatibility Commitment, ACC），禁止裝置業者採用第三方廠商分叉的Android應用程式。像是Amazon及華為的裝置，都是採用分叉出來的Android。</p> <p>調查並發現，針對以Google為預設搜尋引擎的裝置及軟體業者，包括瀏覽器業者如蘋果Safari，Google也提供豐厚的營收分潤。</p> <p>CCI的調查總結，證實Google濫用市場競爭、排擠競爭者進入市場、限制商品和服務技術和科學發展損害消費者利益等罪名。Google可能面臨巨額罰款，或被要求停止損害市場自由競爭的行為。</p> <p><a href="https://techcrunch.com/2021/09/18/google-abused-dominant-position-of-android-in-india-antitrust-probe-finds/" target="_blank">Techcrunch</a><a href="https://techcrunch.com/2021/09/18/google-abused-dominant-position-of-android-in-india-antitrust-probe-finds/" target="_blank">報導</a><a href="https://techcrunch.com/2021/09/18/google-abused-dominant-position-of-android-in-india-antitrust-probe-finds/" target="_blank">引述Google回應印度政府的</a>聲明，指出Google將和CCI溝通以展示「Android促進、而非壓抑產業競爭及創新。」</p> <p>上周韓國政府才以Google強迫裝置業者簽定反碎裂化協定，而<a href="https://www.ithome.com.tw/news/146728" target="_blank">對這家行動作業系統及搜尋巨人罰款2千億韓元</a>。</p> <p>目前包括<a href="https://www.ithome.com.tw/news/132967" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/145181" target="_blank">歐盟</a>、德國、<a href="https://www.ithome.com.tw/news/138549" target="_blank">英國</a>及日本，都對Google在行動裝置、或搜尋等相關產業進行反托拉斯調查。</p> </div></div></div>
2021/9/20 13:53作者林妍溱https://www.ithome.com.tw/news/146800
《金融時報》：Telegram成為犯罪份子的主要交易場所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/cc3e3854-5f76-4422-a970-9010c3bc732b" target="_blank">英國《金融時報》（Financial Times，FT）與資安業者Cyberint合作的調查顯示</a>，由於加密通訊平臺Telegram比暗網更容易使用也更便利，已經成為犯罪集團用來分享外洩資料與進行交易的主要管道。</p> <p>Telegram是在2013年由兩名俄羅斯兄弟Nikolai Durov與Pavel Durov所創立，提供端對端加密的通訊服務，支援桌面與行動平臺，還能傳送大型檔案。Durov兄弟也是俄羅斯社交網站VK的創辦人，為了閃避俄羅斯政府的施壓，他們把Telegram的總部設在杜拜，同時標榜不會提供用戶資料予各國政府，因而成為許多民主活動的重要通訊平臺。</p> <p>然而，Cyberint的調查卻顯示，Telegram的安全性與便利性也吸引了駭客，特別是在<a href="https://www.ithome.com.tw/news/142081" target="_blank">WhatsApp於今年初宣布變更用戶條款</a>，準備與臉書家族分享WhatsApp用戶資料之後。</p> <p>Cyberint指出，目前在Telegram上提到「Email:pass」與「Combo」等駭客用來分享外洩電子郵件帳號及密碼的用語，已接近3,400個，在過去一年來成長了4倍。而且自暗網中連至Telegram群組或頻道的連結，前一年只有17萬個，今年便已超過100萬個。</p> <p>其中一個專門銷售外洩憑證的combolist頻道，則吸引逾4.7萬名使用者訂閱，它所出售的憑證包括遊戲平臺、Yandex、Google及Yahoo等。</p> <p>Telegram在2018年推出TON區塊鏈專案，透過發行Gram加密貨幣，以私募方式向全球的171名投資者募集了17億美元的資金，<a href="https://www.ithome.com.tw/news/137590" target="_blank">該專案最終因受到美國證券交易委員會（SEC）的干涉而終止</a>。不過，俄羅斯媒體Vedomosti今年4月報導，Telegram準備在2023年公開發行股票，估計其市值可達300~500億美元。</p> <p>《金融時報》則分析，若Telegram真的計畫上市，就必須適當地管理平臺上的內容，包括犯罪行為在內。Telegram則回應，該平臺禁止使用者分享未經同意的個人資料，也會根據使用者的檢舉移除平臺上的社群或頻道，並已在收到《金融時報》的詢問之後，移除了combolist頻道。</p> </div></div></div>
2021/9/20 14:13作者陳曉莉https://www.ithome.com.tw/news/146801
維持零接觸體驗，背後需要更多互動
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著科技的蓬勃發展，帶動了多元的創新服務體驗，而在COVID-19疫情仍未見盡頭的此刻，許多公司不得不加速推動各種數位化作業流程，於是，市面上也出現形形色色的智慧化便利措施，不過，雖然可大幅降低人與人接觸而面臨感染病毒的風險，也簡化了原本實體流程的繁文縟節，節省承辦人員與用戶的時間，但有些設計不周的問題也逐漸浮上檯面，而這些狀況不能只是單靠科技來輔助，人、流程仍然是這些服務體驗能否到位的關鍵因素。</p> <p>首先是用戶申辦特定服務時的身分查核步驟與方式，可能存在著某些不足之處，而出現了可乘之機，讓歹徒能夠進行濫用，導致消費者個資外洩，甚至因此而在不知情的狀況下，淪為對方的人頭。例如，今年8月，我們的資安主編羅正漢曾報導一起因消費者個資外洩而慘遭冒名申辦手機門號的事件，對方因電信業者審核機制的缺失而拿到門號，之後，又以此身分憑證透過手機作業系統平臺整合的電信業者的小額付款機制，盜買App市集儲值，再設法轉賣變現，而由於部分消費者採用銀行存款帳戶自動扣繳手機月費，可能並未注意這些損失，而使得對方能以這種種間接的手法獲取錢財利益。（<a href="https://www.ithome.com.tw/news/145976" target="_blank">相關報導請見：利用國內各大電信業者在線上申辦時的身分查核不足，犯嫌結合冒領門號、小額付款與自動扣繳取財，上百人受害</a>）</p> <p>事實上，假借各種名義來取得個人雙證件與銀行帳號的資料、甚至是照片，可能比很多人想像還要容易，但歹徒單憑這些資訊，若是在實體門市傳統申辦流程，可能很難過關，然而，隨著不少業者改用線上審核，由於檢查項目較簡略，使得冒名申辦成功機率大增，造成上述消費者損失金錢的事件。</p> <p>發生這類狀況後，想必電信業者應該已經找出補救與強化的方式，但該如何兼顧流程簡化與人力節省，可能會是新的難題。而對於其他產業而言，也可能會遇到這類舞弊行為，因此，同樣必須思考如何避免。</p> <p>除了從流程審核來補強，有些新興的IT技術也能用來協助因應這部分的安全考量。例如，最近我們就看到人臉辨識解決方案廠商，開始推動這類應用，雖然他們設計的情境是金融保險的申辦，依據的需求是這產業相當重視的反洗錢基礎概念，亦即「認識你的客戶（KYC）」，但幾乎各行各業都需要運用KYC來驗證客戶、合作夥伴的身分，因此，這類技術應該能在許多服務改為線上型態之後，提供另一層的佐證。</p> <p>除了注意個資保護與身分驗證，當用戶以各種零接觸方式完成服務申辦，後續仍有許多訊息溝通工作要進行，才能持續維繫顧客與業者的關係。而這也是廠商發布各種產品與服務相關文宣的主要理由，現在固然有很多管道能夠幫忙傳遞各種消息，像是電子郵件、網站、行動App、社群媒體、即時通訊軟體，然而，仍須積極創造各種「互動」的機會，以業者而言，應該掌握用戶現行的狀態，更主動地與其溝通，了解他們還需要哪些功能、服務，或是設法調查他們為何很少使用、甚至根本沒使用產品或服務的原因。</p> <p>在形式上，業者可能都會透過問卷調查、用戶自填線上表單、電話客服專線等管道，希望能夠從用戶反映的資訊來收集這些情報，但這些資訊仍有賴於用戶的主動告知，只有少數產業，例如壽險業者會透過專員來親自聯繫用戶，提供關懷與建議，其他產業固然會去推薦、促銷他們目前主推的方案，但很少基於對用戶現行狀態與需求去交流，反而因為廣告和促銷資訊而讓用戶不勝其擾，相當可惜。</p> <p>在目前這個更無法實際面對面接觸到用戶的態勢之下，我們想提醒進行各種創新的業者，除了要提供高品質的產品和服務，不能只是想著如何以更便利、有效率的方式招攬用戶，後續的互動溝通品質，才是真正留住用戶的關鍵，而我們所要仰賴的不單是進步的科技、美輪美奐的使用者介面、零摩擦的產品與服務供應，而是去更真切地去了解與回應用戶需求，仍應實現「以人為本」的價值，而所謂的人，是指展現對於用戶的尊重與關懷，而業者也須擔負起同樣身而為人應有的社會與商業責任。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E6%9F%A5%E6%A0%B8">身分查核</a></div><div class="field-item even"><a href="/tags/%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9">個資外洩</a></div><div class="field-item odd"><a href="/tags/kyc">KYC</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E6%8E%A5%E8%A7%B8">零接觸</a></div></div></div>
2021/9/20 07:00作者李宗翰https://www.ithome.com.tw/voice/146755
誰偷了NSA的駭客祕笈？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ling_shi_chai_gong_ji_tu_1_tu_pian_lai_yuan_mai_tian_chu_ban_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">麥田出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一開始，讓人懷疑美國國安局（NSA）的網路武器儲備可能已經洩漏的，是來自推特帳號@shadowbrokerss（影子仲介商之意）一系列毫無章法的推文。</p> <p>二○一六年八月，民主黨全委會資料外洩事件爆發已兩個月，俄國網軍正在社群媒體上對希拉蕊窮追猛打，而俄國駭客正刺探美國各州的選舉系統，此時在推特上，突然出現了「影子仲介商」這個新帳號。不管這個組織是些什麼人，總之他們宣稱駭入了美國國安局的電腦，現在要在網上拍賣國安局的網路武器。</p> <p>一開始，這些偏激的推文看起來很像精心設計的騙局，在各種消息正持續干預選舉之時，大概是又出現一個想出風頭或分散民眾注意力的古馳法（Guccifer）。但從影子仲介商在網路上公布的駭客工具快取看來，這些程式是真的，推文附上的連結內含三百MB的資料，相當於三百本小說的文本，只不過這裡的資料都是駭客工具，代號都是像Epicbanana、Buzzdirection、Egregiousblunder、Eligiblebombshell這樣的名稱，跟史諾登披露的駭客工具名稱很類似。有人就認為，不知是哪個白痴吃飽太閒，把幾年前史諾登公布的文件和《明鏡週刊》披露的特定入侵行動辦公室ANT目錄從頭到尾看過一遍，依樣葫蘆想了幾個蠢代號，再安到從暗網找來的駭客工具上。</p> <p>然而，國安局人員、資安研究人員，以及世界各地的駭客仔細研究那些程式後，卻發現影子仲介商所言不虛，他們公布的檔案確實是厲害的零時差漏洞利用程式，可以神不知、鬼不覺地突破思科和Fortinet公司所銷售的防火牆，中國最廣泛使用的幾種防火牆也攔不住。我馬上打電話給每一位前特定入侵行動辦公室人員，只要對方接起電話，劈頭就問：「這是怎麼回事？」</p> <p><span style="font-size:28px;"><strong>NSA的網路武器是進入天國的鑰匙</strong></span></p> <p>其中一人直言不諱地說：「那是進入天國的鑰匙。」他仔細爬梳貼出來當示例的程式快取，認出就是特定入侵行動辦公室的工具。網路恐怖分子只要有這些工具，就能長驅直入全球政府機構、實驗室和企業的電腦網路。如果說史諾登的洩密，是把國安局的駭客計畫和能耐描述出來，那麼影子仲介商所做的，就是公布這種能耐的武功祕笈。現在，具有大規模殺傷力的攻擊程式和演算法就放在網路上，任何別有居心或想要竊取資料的人都能免費取用，這簡直是國安局的噩夢成真，VEP流程想要阻止的，也就是這種情況。</p> <p>但那些快取只是預告，目的在幫背後更大量的國安局駭客工具打廣告，好賣給出價最高的買家。影子仲介商接著又貼出一份加密檔案，並寫道：「比震網還厲害！」誰出的比特幣最多，就能獲得解密金鑰，但影子仲介商這次加入了一個驚人賣點：只要出價達到一百萬比特幣（在當時折合超過五億美元），就把從國安局竊取的全部檔案公開在網路上。製造混亂竟然成了可待價而沽的東西。</p> <p>影子仲介商在文章的結尾，對「菁英人士」說了一席怪話。</p> <p>「讓我們來為菁英人士詳加說明，你的財富和權力都要靠電子資料，電子資料如果說掰掰，有錢的菁英會怎麼樣？可能只剩下笨笨的牛羊？你覺得自己是老大嗎？有錢的菁英人士，你要發送比特幣，你要參加競標，對你來說也許大有好處？」</p> <p>在我和其他跑相關新聞的同行，還有世界各地的俄羅斯專家看來，影子仲介商的俄羅斯腔蹩腳英語感覺比較像以英語為母語的人，假裝俄羅斯人，只是個幌子，並不像大家都已經很熟悉的俄羅斯駭客國家隊。但那年八月，民主黨全委會剛剛遭到俄國駭客攻擊，誰也不敢排除這個可能性。</p> <p>三十九歲的傑克．威廉斯（Jake Williams）坐在俄亥俄州某家公司臨時設置的網路作戰室，又一次出差到外地幫客戶清理遭到惡意攻擊的電腦網路。他和同事每天瘋狂加班，努力把網路犯罪分子趕出客戶的電腦網路，就在此時，他看到影子仲介商的推文。</p> <p>他下載了影子仲介商放到網路上的快取示例，立刻認出程式的來源。威廉斯不大講自己的資歷，其實他四年前才離開特定入侵行動辦公室，最早是軍方情報部門的醫療人員，二○○八年加入國安局，在特定入侵行動辦公室擔任漏洞利用專家，直到二○一三年才離開，他比現在大多數的特定入侵行動辦公室人員都待得久。他沒辦法告訴我，影子仲介商放上網路的工具裡有沒有他的傑作，但可以保證，那些真的就是國安局的駭客工具。</p> <p>威廉斯和同事互望了一眼，那位同事也是前特定入侵行動辦公室分析師，也認出了那些駭客工具。這是什麼鬼，這不是真的吧？！</p> <p>在《紐時》新聞編輯室，我心裡也有同樣的獨白。至此，我已經把美國政府的零時差漏洞儲備相關問題從頭到尾追查過一遍：從槍手計畫、戈斯勒、情報機關、駭客、仲介商、間諜、市場、工廠。一個始終存在的兩難情況是：我們的敵人或網路犯罪分子要是也發現這些漏洞，該怎麼辦？幾乎從來沒有人好好想過，政府的漏洞儲備要是被竊，會是什麼狀況。如今這個狀況就在眼前活生生上演，我簡直不敢相信自己所看到的。史諾登的洩密是一場外交災難，特定入侵行動辦公室的ANT目錄被公布出來，國安局更不得不停止在全球各地的活動，但現在曝光的，可是如假包換的漏洞利用程式碼啊！快取中包含的漏洞利用程式是經過美國最優秀的駭客和密碼學家耗時幾個月，甚至幾年的琢磨，才編寫得恰到好處。這些特定入侵行動辦公室所使用的程式，毫無疑問曾被用來駭入美國敵人，甚至某些美國盟友的電腦。史諾登洩密案已經夠麻煩了，這要比史諾登洩密案還要糟糕上百倍。</p> <p>威廉斯仔細檢閱那些程式檔，他和同事本來已經快要把駭客徹底趕出客戶的網路，準備好要回喬治亞州的家了，這時卻發現，客戶的防火牆會受到影子仲介商剛放上網路的零時差漏洞利用程式的攻擊。這下，想要回家，還早得很。</p> <p>接下來幾個小時，威廉斯和同事埋頭修改客戶的電腦網路設定，以免客戶又受下一波駭客攻擊。等到他們把緩衝區差不多架設好，時間已經很晚了，辦公大樓早已空蕩蕩。威廉斯回到下榻的飯店，就著幾杯超烈長島冰茶，把影子仲介商的推文和檔案看了一遍，仔細分析推文的俄羅斯腔英語，還有嘲諷的語調，不斷推敲到底誰會想要這樣做。他知道美國的死敵和親密盟友很快就會掃描自己的電腦網路，看看找不找得到這些國安局程式碼的影子。要是真找到了，後果不堪設想，接下來的日子一定會苦不堪言。</p> <p>從外交角度來看，史諾登洩密案中最有破壞力的部分，就是揭露了國安局曾駭入德國總理安格拉•梅克爾的手機，事過三年，美國外交官仍在努力修補和柏林的關係。這下，美國的盟友又會發現哪些國安局的行動？威廉斯繼續灌長島冰茶，把會這樣做的美國對手在腦海裡想過一遍，再思索誰能從中受益最大。多年來，伊朗和北韓不斷表現出傷害美國的意圖，兩國對美國的網路攻擊很有破壞力，在短時間內證明了他們是不容小覻的網路敵人，但美國的網路戰力仍然比兩國領先許多。現在，有人要把美國的網路武器交到兩國手上，使這個差距大幅縮小，到底會是誰？</p> <p>威廉斯想到那些工具可能造成的巨大破壞，就害怕得發抖。他的客戶將面對接下來的驚濤駭浪，而全世界的網路犯罪分子肯定會利用那些工具來大賺一波──各國政府則可以輕輕鬆鬆把數位炸彈和資料清除器附加到那些工具上，駭入美國政府機構、企業和關鍵基礎建設，摧毀資料、癱瘓網路……<strong><span style="color:#696969;">（摘錄整理自《零時差攻擊》第21章，麥田出版提供）</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>零時差攻擊</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%94%BB%E6%93%8A_%E5%9C%961_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%BA%A5%E7%94%B0%E5%87%BA%E7%89%88-400.png" style="width: 300px;" /></p> <p><span style="font-size:12px;"><span style="color:#696969;">圖片來源_麥田出版</span></span></p> <p>妮可·柏勒斯（Nicole Perlroth）／著；李斯毅、張靖之／譯</p> <p>麥田出版</p> <p>售價：550元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span> <strong>妮可·柏勒斯（Nicole Perlroth）</strong></p> <p>《紐約時報》資深網路安全記者，自二〇一〇年起，嚴密追蹤俄羅斯、北韓、伊朗以及中國的網路攻擊事件。曾獲得美國財經編輯與記者協會頒發的最佳科技報導獎。先後於普林斯頓大學從事政治與近東研究，並於史丹福大學取得新聞學碩士學位。</p> </div></div></div>
2021/9/20 07:00未署名https://www.ithome.com.tw/article/146788
【疫情日報】9月21日至10月4日維持疫情警戒二級，有條件開放會展活動辦理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（19日）宣布，自9月21日至10月4日兩周仍維持全國二級警戒，並有條件開放辦理會展活動。</p> <p>指揮中心指揮官陳時中指出，今日新增12名確診個案，包括1名本土、11名境外移入，國內疫情雖然趨緩，但仍有零星不明感染源的本土病例，因此持續維持二級警戒。</p> <p>不過，指揮中心也宣布有條件開放會展活動辦理。會展場館和會展主辦單位可配合新「會議及展覽場館防疫管理措施」規定，辦理各種會議或展覽活動，比如會議及展覽之容留人數上限，應以總面積除以2.25平方公尺計算，且會議須採梅花座、展覽使用總攤位面積以租用的展區面積40%為上限。</p> <p>另一方面，新規定也要求主辦單位，必須在活動舉辦前3周報送經地方政府核可的防疫計畫，給場館管理單位審查。</p> <p>在人員管理上，會展場館及從業人員須進行自主防疫管理，比如場館從業人員須造冊、6成以上人員應已施打第1劑以上疫苗、從業人員分流上班計畫。在環境上，會展場館應定時清潔消毒，場館每2小時應進行新鮮空氣換氣作業等。</p> <p>經濟部國際貿易局也強調，相關應變計畫應確實造冊，並逐日即時更新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0919-4%E7%B6%AD%E6%8C%81%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E7%82%BA%E7%AC%AC%E4%BA%8C%E7%B4%9A.jpeg" /></p> <div id="gtx-trans" style="position: absolute; left: 700px; top: 38px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/9/19 14:46作者王若樸https://www.ithome.com.tw/news/146799
FBI警告：國家級駭客正在開採Zoho的自助式密碼管理平臺漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://us-cert.cisa.gov/ncas/alerts/aa21-259a" target="_blank">美國聯邦調查局（FBI）、美國國土安全部旗下的網路安全暨基礎架構安全署（CISA），與美國海岸防衛網戰司令部（CGCYBER）在16日共同提出警告</a>，指出有國家級駭客正在開採Zoho的自助式密碼管理暨單一簽入解決方案ManageEngine ADSelfService Plus的重大安全漏洞CVE-2021-40539。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-cisa%20cve-2021-40539-600.png" style="width: 600px;" /></p> <p>CVE-2021-40539為一身分認證繞過漏洞，影響表現層狀態轉換（REST）應用程式介面（API）的URLs，成功的開採將允許駭客執行遠端攻擊，例如先行置入Web Shell，再伺機獲取管理員的憑證，進行橫向移動，並汲取登錄檔HIVE檔案與Active Directory檔案等。</p> <p><a href="https://pitstop.manageengine.com/portal/en/community/topic/adselfservice-plus-6114-security-fix-release" target="_blank">Zoho已於今年的9月6日修補了CVE-2021-40539漏洞</a>，而FBI、CISA與CGCYBER則發現駭客正在積極開採該漏洞，且相信由國家支撐的先進持續威脅（Advanced Persistent Threat，APT）組織可能是開採該漏洞的團隊之一，將對重要的基礎設施公司、美國國防承包商、學術機構，或是其它使用ManageEngine ADSelfService Plus的組織帶來重大風險。</p> <p class="rtecenter"><a href="https://pitstop.manageengine.com/portal/en/community/topic/adselfservice-plus-6114-security-fix-release" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-zoho-CVE-2021-40539-600.png" style="width: 600px;" /></a></p> <p>FBI等組織披露了駭客的攻擊手法，從頻繁地寫入Web Shell、盜取使用者憑證、新增／刪除使用者帳號、利用微軟的WMI進行遠端執行、從主機上移除蹤蹤，到以Windows工具來汲取檔案等。</p> <p>美國呼籲ManageEngine ADSelfService Plus用戶應該儘快升級到最新的6114版，並強烈建議不要讓ManageEngine ADSelfService Plus可直接自網路存取。</p> </div></div></div>
2021/9/18 10:37作者陳曉莉https://www.ithome.com.tw/news/146787
Cloudflare發表可加速頁面載入的Early Hints功能，主流瀏覽器都承諾支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare宣布開始支援能夠有效提升瀏覽器頁面載入效能的<a href="https://blog.cloudflare.com/early-hints/">Early Hints</a>技術，而這項技術，除了Google Chrome 94開發頻道版本已經支援之外，Microsoft Edge和Mozilla Firefox也都打算支援。</p> <p>Early Hints的概念，是在瀏覽器向伺服器發出請求，等待收到回應之前，由邊緣網路先發送頁面載入提示給瀏覽器，讓瀏覽器先開始準備渲染頁面需要的資源，當瀏覽器收到伺服器回應後，就能夠更快速地完整渲染。</p> <p>官方提到，Early Hints在他們的初始測試中，可以提升瀏覽器首次存取網站頁面30％以上的載入速度。目前Early Hints已經以測試功能推出，Cloudflare用戶可以在儀表板的設定中，請求啟用Early Hints。</p> <p>瀏覽器存取網站時需要收到指令，確定需要渲染的內容和取用的資源，才能完整繪製出網頁頁面，而這些指令來自於伺服器的回應，由於發送這些回應的伺服器，通常需要時間編譯資源，因此這個回應的時間，被稱為伺服器思考時間，當伺服器忙碌時，瀏覽器便會進入空閒狀態，直到收到伺服器的指令才能開始動作。</p> <p>而Early Hints能夠在伺服器思考時間，非同步地向瀏覽器發送提示，讓瀏覽器在來源伺服器還在編譯時，就先開始載入資源，藉由在瀏覽器收到完整回應之前，先發送指令給瀏覽器，可以讓瀏覽器更快地載入網頁，因此終端用戶能夠獲得更佳的瀏覽體驗。</p> <p>過去也有許多嘗試解決這個問題的方法，特別是HTTP/2的伺服器推送功能，但伺服器推送存在問題，就連Chrome都打算要棄用和刪除這項功能，在Chrome的網路論壇討論要刪除HTTP/2和gQUIC的討論串中，負責Chrome網頁效能的工程師<a href="https://groups.google.com/a/chromium.org/g/blink-dev/c/K3rYLvmQUBY/m/vdDcuLu8AAAJ">Pat Meenan提到</a>，只要伺服器推送能夠智慧地完成，不推送已經存在於快取中的資源，而且在CDN邊緣回傳到來源伺服器要求HTML時，剛好填補瀏覽器等待時間，那看似是一個良好的解決方案。</p> <p>可惜的是，在實際情況中，同時滿足這些條件的時機非常罕見，Pat Meenan表示，幾乎在所有情況下，推送的資源最終都會阻塞HTML、CSS和渲染資源，延遲HTML是特別糟糕的情況，因為會同時延遲瀏覽器對頁面所有資源的探索。而且事實上，也僅有部分瀏覽器和伺服器支援推送功能，主要的CDN廠商則認為該功能實作窒礙難行，因此也未大規模支援。</p> <p>Cloudflare提到，嚴格來說，Early Hints是一個網頁標準，定義了新的HTTP狀態代碼103 Early Hints，其定義了客戶端和伺服器之間新的互動行為，在伺服器準備200 OK回應時，Cloudflare系統便會先向系統發送103，並包含呈現網頁所需要資源的提示，該提示有助於加速頁面載入，以有效減少用戶可感知到的延遲。</p> <p>在伺服器回應編譯完成前，就可以讓瀏覽器在伺服器思考時間接到提示，預期接下來需要載入並獲取需要的資源，這些資源包含瀏覽器渲染頁面需要的內容、快取內容和其他啟發式方法，以準備顯示頁面，直到伺服器回傳完整的回應。由於Cloudflare位於客戶端和伺服器的邊緣網路，因此能夠很好地代替伺服器，向客戶端發出預先載入提示。</p> <p>Cloudflare用戶不用任何變更，就能夠應用這項新技術，Cloudflare位於網路邊緣，除了可以快速提供提示之外，Cloudflare只要看過客戶與其終端使用者的請求和回應資料流，就可以使用這些資料自動產生提示。用戶可以將Early Hints結合rel=preconnect使用，來解決資料從未經請求過的問題。</p> <p>官方解釋，現在網頁動輒載入數百個第三方資源，並且與外部來源建立連接和TLS對話，花費不少時間，在伺服器思考時間，能夠預先與第三方進行連結，也有助於加速頁面載入。未來，Cloudflare準備提供Smart Early Hints功能，藉由使用機器學習技術，來產生Early Hints。</p> <p>目前Cloudflare開始與各家瀏覽器合作，以實現Early Hints，Chrome、Edge和Firefox都決定要支援Early Hints，目前用戶可以在Google Chrome 94版本，看到Early Hints實際帶來的效能加速效果。</p> </div></div></div>
2021/9/18 10:48作者李建興https://www.ithome.com.tw/news/146785