iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

手機版Gmail 現在可打1對1視訊及語音電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://workspaceupdates.googleblog.com/2021/12/start-meetings-or-audio-calls-from-one-on-one-google-chat-messages.html" target="_blank">Google本周宣布</a>，現在用戶可利用Android及iOS版Gmail App直接撥打1對1的視訊或VoIP電話。</p> <p><a href="https://www.ithome.com.tw/news/138858" target="_blank">去年10月Google宣布</a>將Google Meet視訊會議、Google Chat文字通訊服務與Chat Rooms團隊協作功能全部整合到Gmail中，Chat Rooms並新增檔案與任務分享功能，使Gmail成為每日工作及通訊的中控臺。<a href="https://www.ithome.com.tw/news/145035" target="_blank">今年6月Gmail已經先整合了Chat文字通訊功能</a>，還將Workspace服務開放給所有Google帳號持有人，包括一般個人用戶。</p> <p>9月Google宣布Gmail和Meet的整合成果，用戶可利用Gmail的Meet來撥打1對1語音通話，無需再開啟Google Meet App。這項服務於本周上線，且增加了1對1視訊功能。按下Gmail App上方的電話及攝影機圖示，即可啟動VoIP及視訊通話。通話時，Gmail會顯示和哪位友人通訊、友人狀態，以及通話時間紀錄等。未接來電也會以紅色圖示標明。</p> <p>新服務將部署到Workspace企業用戶、G Suite Basic和Business用戶，以及任何有Google帳號的個人用戶。預計不久後用戶就能在Gmail進行群組通話及視訊。</p> </div></div></div>
2021/12/8 12:34作者林妍溱https://www.ithome.com.tw/news/148247
Meta發布數分鐘可開發出行動AI應用的PyTorch Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布了一套稱為PyTorch Live的工具，讓開發者能夠更簡單地在行動裝置上，開發人工智慧應用。<a href="https://github.com/pytorch/live/">PyTorch Live</a>建構在PyTorch Mobile和React Native之上，透過命令列工具就能完成大部分環境配置，供開發主快速建構內含機器學習模型的Android和iOS應用程式，並且可與廣泛的PyTorch社群交流。</p> <p>PyTorch Mobile是一個端到端工作流程，能夠用來訓練和部署iOS與Android行動裝置用模型，不只簡化行動裝置的生產環境研究，也支援透過聯合學習來保護使用者隱私。</p> <p>PyTorch Live是一組用於建置行動人工智慧程式的工具，其包含了PyTorch Live命令列介面，以及能夠以PyTorch Mobile執行裝置上推理的React Native套件，還有一些React Native範例模板，供開發者可以快速部署到行動裝置上。</p> <p>官方強調，只要使用PyTorch Live，開發者可以在數分鐘內，建置出人工智慧應用程式，整體的使用非常簡單，經過命令列工具引導就能快速地設定環境，並且開始機器學習行動裝置專案開發，而且針對現有的應用程式，也能夠簡單地整合裝置上模型，目前裝置上模型可支援圖片分類、問答、手寫數字辨識，或是其他用戶自定義的模型。得力於PyTorch和React Native開源專案，使用PyTorch Live所建立的應用程式，能夠跨平臺運作。</p> <p>PyTorch Live目前仍在Beta版本，僅支援MacOS，但官方提到，很快就會新增Windows和Linux的支援。開發者還會需要安裝Node.js，想要在iOS模擬器或是實際iOS裝置上執行應用程式，開發者也需要安裝Xcode。</p> </div></div></div>
2021/12/8 11:16作者李建興https://www.ithome.com.tw/news/148244
【資安日報】2021年12月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，加密貨幣的交易平臺又再傳出遭到入侵，駭客轉走大量數位貨幣的情形──去中心化金融平臺Badger於12月2日公告遭到攻擊，資安業者指出攻擊者總共竊得約1.2億美元的加密貨幣，而這起事故的規模，僅次於PolyNetwork（6億美元）、Cream Finance（1.3億美元）遭到網路攻擊的事件。</p> <p>值得留意的還有攻擊事故的後續追蹤，在9月中旬傳出APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus，對於多個組織發動攻擊，這個駭客組織最近有了新的動作：他們自10月底開始也針對ManageEngine ServiceDesk Plus下手。而使用CronRAT攻擊電商網站的駭客，也似乎針對這類網站常會使用的Nginx軟體，部署第二個RAT木馬程式NginRAT。</p> <p>再者，殭屍網路Emotet的攻擊態勢也相當值得留意。有日本資安業者和法人組織發現該組織於當地的攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://therecord.media/hackers-steal-120-million-from-badger-defi-platform/"><span style="color: rgb(0, 0, 0);">去中心化金融平臺Badger遭駭，攻擊者竊得1.2億美元</span></a></strong></h4> <p>去中心化金融平臺（DeFi）遭到駭客入侵並盜走大量加密貨幣的事故，最近幾個月出現數起。去中心化金融平臺Badger於12月2日表示他們遭到駭客攻擊，目前正在著手調查事故發生的原因，暫時停止交易。而這起事故的受害規模為何？根據區塊鏈資安公司PeckShield指出，攻擊者疑似竊得超過2,100個比特幣、151個以太幣，總計相當於1.2億美元，其中，有1名用戶損失逾900個比特幣（相當於5,050萬美元）。至於事故發生的原因，多家加密貨幣新聞媒體指出，攻擊者可能是透過使用者介面的漏洞入侵系統。</p> <h4><a href="https://unit42.paloaltonetworks.com/tiltedtemple-manageengine-servicedesk-plus/"><span style="color: rgb(0, 0, 0);"><strong>中國APT駭客鎖定客服系統下手，近3千組織恐成為目標</strong></span></a></h4> <p>自9月16日開始，美國網路安全暨基礎設施安全局（CISA）提出警告，<a href="https://www.ithome.com.tw/news/146787">有APT駭客鎖定密碼自助管理平臺ManageEngine ADSelfService Plus的漏洞發動攻擊</a>，近期這起行動有了新的進展。資安業者Palo Alto Networks指出，這些駭客自10月25日至11月8日轉移攻擊的目標，鎖定ManageEngine旗下另一款產品ServiceDesk Plus的漏洞CVE-2021-44077，可能有2,900個組織曝露在此漏洞的風險之中。母公司Zoho於11月22日發出資安通報，表示這是他們已在9月修補的漏洞，呼籲用戶要儘速修補。而對於攻擊者的身分，Palo Alto也提進一步的說法，他們根據駭客所使用的工具及手法，研判與APT27（亦稱TG-3390、Emissary Panda）有關。</p> <h4><strong><a href="https://research.checkpoint.com/2021/smishing-botnets-going-viral-in-iran/"><span style="color: rgb(0, 0, 0);">殭屍網路Smishing攻擊伊朗安卓手機<img alt="" src="https://s4.itho.me/sites/default/files/images/s1(2).jpg" style="width: 300px; height: 184px; float: right;" /></span></a></strong></h4> <p>資安業者Check Point揭露鎖定伊朗安卓用戶的Smishing殭屍網路，攻擊者冒充當地政府的名義，透過手機簡訊發動網路攻擊，引誘受害者下載Android惡意程式，藉此取得他們的信用卡詳細資料，以及雙因素驗證（2FA）所需的驗證碼。該公司依據調查的結果指出，恐拍有數以萬計的人士受到影響。Check Point指出，雖然這些攻擊行動已經引起當地警方的注意，但這些攻擊者幾乎每天在改良其惡意軟體與基礎設施。</p> <h4><a href="https://sansec.io/research/nginrat"><span style="color: rgb(0, 0, 0);"><strong>RAT木馬程式鎖定Nginx伺服器而來，發動MageCart側錄攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/nginrat.png" style="width: 301px; height: 166px; float: right;" /></strong></span></a></h4> <p>資安業者Sansec日前揭露<a href="https://www.ithome.com.tw/news/148040">Linux木馬程式CronRAT</a>，鎖定電商網站的伺服器，發動Magecart攻擊。但這種鎖定網頁伺服器下手發動側錄攻擊的情況，該業者又有新的進展──他們在調查北美與歐洲CronRAT受害情形時，發現另一個木馬程式NginRAT，這個木馬程式藏匿在Nginx伺服器上運作，而得以繞過資安防護系統，NginRAT劫持了Nginx應用程式，並修改Linux主機系統的核心功能，並嵌入在Nginx處理程序中運作。研究人員指出NginRAT的感染途徑，疑似是透過CronRAT傳送到受害主機。</p> <h4><strong><a href="https://english.kyodonews.net/news/2021/12/664128524ebd-notorious-emotet-malware-resurfaces-detected-in-japan.html"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet透過釣魚信攻擊日本</span></a></strong></h4> <p>今年1月底基礎設施遭到摧毀的殭屍網路Emotet，最近開始出現行動而引起資安界關注，資安業者也發現疑似針對特定地區的攻擊事故。根據日本共同通訊社的報導，當地資安業者Lac於11月17日發現，Emotet近期透過釣魚郵件感染日本的電腦。此外，日本資訊科技推動局（IPA）也宣稱，從釣魚郵件裡找到9種類型的Emotet惡意軟體。</p> <h4><strong><a href="https://www.welivesecurity.com/2021/12/01/jumping-air-gap-15-years-nation-state-effort/"><span style="color: rgb(0, 0, 0);">研究人員揭露17種用於攻擊隔離網路的惡意框架<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4_-Online-and-offline-communication-channels-in-connected-frameworks.png" style="width: 300px; height: 253px; float: right;" /></span></a></strong></h4> <p>隔離網路（Air-Gapped Networks）通常用來保護SCADA、ICS等重要設施，但針對這種環境的攻擊行動這2年似乎有增加的跡象。ESET最近發布對於隔離網路攻擊的分析，彙整17種攻擊框架的特徵，並指出光是在2020年上半，就出現4種過往未曾出現的攻擊框架。ESET指出，17個框架的共通點在於，都透過USB儲存裝置做為將資料與外部交換的媒介，且用於執行間諜行動，並針對Windows作業系統而來。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2021/12/critical-bug-in-mozillas-nss-crypto.html"><span style="color: rgb(0, 0, 0);"><strong>Mozilla推出的加密程式庫出現重大漏洞，恐影響多款應用程式</strong></span></a></h4> <p>Mozilla最近針對加密程式庫Network Security Services（NSS）的重大漏洞CVE-2021-43527進行修補，推出3.68.1與3.73版更新軟體。這項漏洞是Google的研究人員發現，出現在驗證數位簽章的過程中，若是使用DER元件格式的編碼，將可能出現記憶體緩衝區溢位的弱點，一旦攻擊者利用此漏洞，恐導致應用程式當機，甚至能夠執行任意程式碼，研究人員將這項漏洞命名為BigSig。而對於漏洞的影響範圍，Mozilla強調，旗下的Firefox瀏覽器不受此漏洞影響，但其他依賴NSS進行簽章驗證的應用程式，如Thunderbird、LibreOffice、Evolution、Evince就有可能受到波及。</p> <h4><a href="https://www.wordfence.com/blog/2021/12/xss-vulnerability-patched-in-plugin-designed-to-enhance-woocommerce/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在XSS漏洞，8萬WooCommerce商城恐遭波及</strong></span></a></h4> <p>專注於WordPress網站安全的業者Wordfence指出，名為Variation Swatches for WooCommerce的外掛程式存在跨站指令碼（XSS）漏洞，一旦遭到利用，攻擊者就能沒有高權限的狀態下，注入惡意JavaScript，等到網站管理員存取此外掛程式的設置面板時，執行JavaScript的內容，這個外掛程式約有8萬WooCommerce網站使用。Wordfence在11月12日進行通報後，此外掛程式的作者於23日發布2.1.2版予以修補。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148132">2021年12月2日</a></p> <p><a href="https://www.ithome.com.tw/news/148042">2021年12月1日</a></p> <p><a href="https://www.ithome.com.tw/news/148089">2021年11月30日</a></p> </div></div></div>
2021/12/3 13:37作者周峻佑https://www.ithome.com.tw/news/148162
Google智慧手錶可望於明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/google-pixel-watch-rohan-android-smartwatch-development-fitbit-launch-2021-12?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Insider》本周引述消息來源報導</a>，Google終於要在明年發表首款智慧手錶。</p> <p>其實Google推出智慧手錶並不令人意外，該公司在2016年就<a href="https://www.ithome.com.tw/news/110320" target="_blank">買下了智慧手錶新創業者Cronologics</a>，也在2019年<a href="https://www.ithome.com.tw/news/128344" target="_blank">收購Fossil的智慧手錶技術</a>，此外，Google亦替智慧手錶打造了基於Android的Wear OS平臺，已有包括三星、HTC及LG等十多家業者推出採用Wear OS的智慧手錶。</p> <p><a href="https://www.idc.com/promo/wearablevendor/vendor" target="_blank">根據IDC今年第二季的調查</a>，該季全球智慧穿戴裝置的出貨量為1.14億個，相較去年同期成長32.3%，市占率前四名依序為蘋果（32.2%）、小米（14%）、華為（11.7%）與三星（9.7%）。</p> <p>報導指出，Google智慧手錶的內部開發代號為Rohan，將採用最新的Wear OS以及圓型錶盤，也將內建健康及運動功能，已有部份內部員工開始試戴，有員工直接將它稱為Pixel Watch或Android Watch，但還是每天都要充電。</p> <p>此外，Google也在內部會議上透露準備於明年對外公開發表Rohan，只是正式的名稱或時程皆未定。</p> </div></div></div>
2021/12/3 12:50作者陳曉莉https://www.ithome.com.tw/news/148161
芬蘭警告Android用戶要小心簡訊攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kyberturvallisuuskeskus.fi/en/be-aware-malware-spread-sms" target="_blank">芬蘭的國家網路安全中心（NCSC-FI）在上周警告</a>，駭客已針對該國用戶發動第二波的FluBot簡訊攻擊行動，傳送夾帶連結的文字簡訊，誘導使用者連至第三方網站來下載惡意程式，進而竊取裝置資料或傳送其它的惡意簡訊。</p> <p>FluBot簡訊攻擊行動所使用的簡訊都是以芬蘭文撰寫，顯然是針對芬蘭用戶而來，<a href="https://www.kyberturvallisuuskeskus.fi/en/android-malware-spread-sms" target="_blank">NCSC-FI在今年6月即曾針對FluBot簡訊攻擊行動發出警告</a>，當時的詐騙簡訊內容涉及包裏的遞送，這次捲土重來的詐騙簡訊則是以使用者收到語音郵件，或是偽裝成來自行動營運商的訊息，要求使用者點選連結，點選之後會導向一個要求使用者下載程式的網站。</p> <p>不管是Android或iOS用戶都會收到攻擊簡訊，但只有Android用戶會被導至下載惡意程式的網站，iOS用戶點選連結之後則會被導至網釣網站，以竊取使用者信用卡資訊或進行其它詐騙。根據NCSC-FI的說法，FluBot簡訊攻擊行動所使用的惡意程式在iOS平臺上無法運作。</p> <p>在第二波的FluBot簡訊攻擊行動中，NCSC-FI發現駭客於24小時之內就寄出了7萬封簡訊，而且已有數十個受到感染的案例出現，若此一行動像今年夏天一樣的積極，駭客可能會寄出數十萬封簡訊。</p> <p>NCSC-FI解釋，光是點選惡意簡訊中的連結並不會安裝惡意程式，惡意程式必須在使用者同意之後才會安裝，而已經安裝惡意程式的受害者，唯一的解決之道就是在手機上恢復出廠設定，同時也提醒使用者，若要從備份中還原時，記得還原到還未安裝惡意程式的時間點。</p> </div></div></div>
2021/12/1 16:31作者陳曉莉https://www.ithome.com.tw/news/148110
【資安日報】2021年11月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天最受到矚目的資安新聞，應該是日本家電大廠Panasonic證實遭到入侵，雖然該公司沒有透露太多細節，但當地媒體指出，駭客存取該公司網路至少接近半年的時間才被發現。究竟如何遭到入侵，以及資料外洩的程度如何？顯然有待進一步的調查。</p> <p>而在國際間的資安新聞中，也有針對性的攻擊事件，例如，北韓駭客Zinc發動的釣魚郵件攻擊，他們並非直接在附件挾帶惡意程式，也沒有在信件附上URL，而是用無法開啟的PDF文件當誘餌，收信人很可能為了開啟文件，而上當依照指示安裝PDF檢視器，在此同時，電腦也被植入安裝程式所挾帶的木馬程式。這種過往相當少見的攻擊手法，也值得留意。</p> <p>至於國內新聞的部分，多半是資安事故的後續：證券交易所聯手證券、期貨相關單位，成立了資安事故的緊急應變支援小組，剛好上週證券業者、期貨業者接連遭到攻擊，這樣機制或許能幫助到這些業者來因應資安事故。再者，則是<a href="https://www.ithome.com.tw/tags/amazing-a32">台灣大哥大A32手機出廠被植入惡意程式的事故</a>，有了新的進展。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/panasonic-discloses-data-breach-after-network-hack/"><span style="color: rgb(0, 0, 0);">Panasonic證實遭到入侵，內部資料被非法存取</span></a></strong></h4> <p>日本家電大廠Panasonic於11月26日發布新聞稿指出，他們於11月11日發現，內部網路遭到第三方非法存取。該公司已經向有關執法單位通報，並強化資安，且會同外部專家進行調查，以釐清本次事故中，是否有客戶的個資或敏感資料與社交基礎架構（Social Infrastructure）有關。根據當地媒體NHK與每日新聞的報導，攻擊者疑似在6月22日至11月3日之間，多次存取Panasonic的內部網路，直到網路流量異常才被發現。</p> <h4><strong><a href="https://services.google.com/fh/files/misc/gcat_threathorizons_full_nov2021.pdf"><span style="color: rgb(0, 0, 0);">北韓駭客Zinc偽裝三星徵才，鎖定資安研究人員下手</span></a></strong></h4> <p>Google在近期推出的Threat Horizons威脅情資報告裡，提及他們發現了背後有北韓政府撐腰的駭客組織Zinc，佯裝成三星的人力資源部門發動釣魚郵件攻擊，向南韓防毒軟體公司的員工發出求才信件做為幌子，這封信件會挾帶PDF文件。但Google指出，實際上這個PDF文件的格式錯誤，無法透過一般的PDF檢視器檢視，一旦收信者向對方反應，駭客便會提供「安全的PDF檢視器」應用程式的下載連結。Google分析之後指出，這個安裝檔案是攻擊者將PDFTron檢視器加入惡意程式而成，一旦收信人信以為真依照指示安裝，電腦就會被植入木馬程式。</p> <h4><a href="https://securelist.com/scarcruft-surveilling-north-korean-defectors-and-human-rights-activists/105074/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織ScarCruft監視脫北者和人權鬥士</strong></span></a><strong><a href="https://therecord.media/north-korean-hackers-posed-as-samsung-recruiters-to-target-security-researchers/"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScarCruft_group_activity_01.png" style="width: 300px; height: 93px; float: right;" /></a></strong></h4> <p>卡巴斯基日前接受新聞網站NK News的委託，在進行資安事故調查提供協助，他們遂而對於駭客組織ScarCruft（亦稱APT37、Temp.Reaper）進一步調查。這個組織專門鎖定脫離北韓的人士（脫北者）、專門報導北韓新聞的記者，以及與北韓有關的政府組織。卡巴斯基發現，ScarCruft至少使用3種類型不同，但功能相似的惡意軟體，這些惡意軟體為分別是透過PowerShell執行的程式碼、Windows應用程式，以及Android應用程式。其中，Windows版惡意軟體透過釣魚郵件散布，一旦成功入侵後。會檢查受害電腦是否安裝卡巴斯基防毒軟體，再竄改登錄檔啟用Visual Basic應用程式（VBA）巨集的存取。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/stealthy-wirte-hackers-target-governments-in-the-middle-east/"><span style="color: rgb(0, 0, 0);"><strong>Wirte駭客組織鎖定中東地區政府單位下手</strong></span></a></h4> <p>卡巴斯基發現名為Wirte的駭客組織，涉及一項自2019年以來針對政府組織的攻擊行動，這起事故中使用惡意的Excel 4.0巨集發動攻擊，主要的目標為中東的知名公共與私人實體，包含外交單位、金融機構、政府、律師事務所、軍事機構，以及科技公司，不過，Wirte也曾對其他地區發動攻擊。卡巴斯基指出，與其他的駭客組織相比，Wirte具有較好的操作安全（OpSec）與更為隱蔽的手法，而能夠長時間躲避資安系統的偵測。</p> <h4><a href="https://www.ithome.com.tw/news/148075"><span style="color: rgb(0, 0, 0);"><strong>國際刑警組織逮捕逾千名網路詐騙嫌犯<img alt="" src="https://s4.itho.me/sites/default/files/images/2021-071%20-%20Photo%202.jpg" style="width: 300px; height: 198px; float: right;" /></strong></span></a></h4> <p>國際刑警組織（Interpol）於11月26日宣布，中國、印度、印尼、日本、南韓、馬來西亞、新加坡、羅馬尼亞、泰國、越南，以及西班牙等20個國家聯手，自今年6月至9月，執行名為HAECHI-II的掃蕩行動，總計逮捕1,003名涉及網路金融詐騙的嫌犯，封鎖2,350個銀行帳戶，攔截近2,700萬美元的詐騙所得，並發現10個新型態的犯罪手法。</p> <h4><a href="https://www.ithome.com.tw/news/148061"><span style="color: rgb(0, 0, 0);"><strong>Google針對自家雲端服務進行研究，不當組態設定的GCP虛擬機器，半小時就可能遭到攻擊</strong></span></a></h4> <p>Google針對50個遭到入侵的Google Cloud Platform（GCP）虛擬機器進行分析發現，75％的受害虛擬機器，源自安全措施不足，或者是使用有問題的第三方軟體；其中，48%受害者帳號與API連線，因為使用弱密碼甚至是沒有設置密碼，使得攻擊者容易進行暴力破解，而有26%則是與部署存在漏洞的外部軟體有關。研究人員指出，駭客攻擊GCP所需時間並不長，4成個體在8小時內就被攻破，其中最短可能只需30分鐘。</p> <h4><strong><a href="https://www.taiwanhot.net/news/focus/57/%E5%8F%B0%E5%8D%97/980207/%E5%8D%97%E5%B8%82%E8%AD%B0%E5%93%A1%E7%B1%B2%E5%8F%B0%E5%93%A5%E5%A4%A7%E5%96%84%E7%9B%A1%E7%A4%BE%E6%9C%83%E8%B2%AC%E4%BB%BB+%E7%82%BA+Amazing+A32%E6%89%8B%E6%A9%9F%E7%94%A8%E6%88%B6%E6%B6%88%E5%BC%AD%E5%80%8B%E8%B3%87%E8%A2%AB%E7%9B%9C%E6%81%90%E6%87%BC"><span style="color: rgb(0, 0, 0);">台灣大哥大A32手機出廠被植入惡意程式，受害者等近一年未有妥善協調，臺南市議員再開記者會籲企業應善盡責任<img alt="" src="https://s4.itho.me/sites/default/files/images/medias-20211129-61a4aee2ad04f.jpeg" style="width: 300px; height: 225px; float: right;" /></span></a></strong></h4> <p>年初台灣大哥大Amazing A32手機在供應鏈被惡意軟體滲透事件餘波蕩漾，多位手機用戶因此淪為詐騙人頭帳號並被傳喚出庭，從事件揭露至今快要一年，即便NCC指出台灣大哥大需賠償用戶經濟損失，還要訂出相關賠償標準，然而至今賠償問題仍未解決，臺南市議會王家貞議員接獲自救會陳情，原訂於11月29日上午10時召開「Amazing A32讓萬人驚嚇的台哥大手機事件」記者會，邀請包括臺南市政府法治處主任消保官、臺南示警察局刑警大隊，以及與台灣大哥大代表出席，對此次資安事件後續帶來的損害與賠償做進一步協調，但台灣大哥大拒絶派遣高階主管與會，市議員呼籲企業應善盡責任。</p> <h4><strong><a href="https://law.judicial.gov.tw/EXPORTFILE/reformat.aspx?type=JD&id=TCDM%2c110%2c%e4%b8%ad%e7%b0%a1%2c2255%2c20211117%2c1&lawpara=&ispdf=1"><span style="color: rgb(0, 0, 0);">民眾遭詐騙26萬卻謊稱銀行資安有問題，銀行提起告訴以正視聽，臺中地院判決出爐</span></a></strong></h4> <p>去年底有民眾向社團與媒體爆料，宣稱網路銀行帳戶款項遭盜用，並直指國泰世華銀行資安防護不安全，銀行在詳細調查後，於今年4月向該民眾提起提出妨害名譽及信用罪等告訴，今年11月，台中地方法院對此案判決出爐，指出實際情形是該江姓民眾遭詐騙集團話術所騙，自行操作網路銀行App匯款，因擔心受騙被家人發現，在社群媒體上散布不實資訊，騙稱國泰銀行有安全性因素而遭盜轉，並接受媒體採訪散布於眾及引導風向，最終法院判決散布文字誹謗罪與誹謗罪，處拘役60日，可易科罰金6萬元。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148085"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳程式碼執行漏洞，影響個人電腦與手機用戶</strong></span></a></h4> <p>Zoom於11月24日修補2項漏洞，這些漏洞是Google研究員發現及通報，它們是CVE-2021-34424與CVE-2021-34423。前者為高風險緩衝溢位漏洞，CVSS風險層級為7.3分，一旦攻擊者加以利用，就能導致應用程式或系統服務當機；後者則是中度風險的記憶體洩露漏洞，攻擊者一旦利用，就有機會讀取Zoom的應用程式記憶體區塊。執行於Windows、macOS、Linux、Android，以及iOS作業系統的Zoom皆有可能受到影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017d6abcba2f0144"><span style="color:#000000;"><strong>證交所針對證券、期貨業者，設置資安事故緊急應變支援小組</strong></span></a></h4> <p>券商、期貨商的資安事故接連發生，使得有關業者的應變處理能力變得相當重要。為了能強化該產業處理資安事故的能量，臺灣證券交易所等證券期貨相關機構於11月30日，共同成立「證券暨期貨市場電腦緊急應變支援小組（Securities and Futures Computer Emergency Response Team，SF-CERT）」，將全天候協助證券期貨業者因應資安事件。</p> <p>為達到資安聯防的策略，臺灣證券交易所、臺灣期貨交易所、財團法人中華民國證券櫃檯買賣中心、臺灣集中保管結算所、中華民國證券商業同業公會、中華民國期貨業商業同業公會，以及中華民國證券投資信託暨顧問商業同業公會等相關機構，將共同維運此資安事件應變處理體系。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148084"><span style="color:#000000;">Google雲端安全管理平臺納入新過濾能力，能緘默特定調查結果</span></a></strong></h4> <p>Google為旗下的安全管理平臺（Security Command Center，SSC）增加新的功能，其中，為了讓資安分析師能更有效率識別與修復關鍵的風險，Google加入了「緘默（Mute）」功能，協助用戶減少需過濾的事件數量，並能實際應用組織的風險模型與優先層級，集中調查資源在特別需要優先處理的事故上。即使用戶開啟了緘默功能，SSC仍會記錄其他事件，以便日後能用於稽核與法規遵循。</p> <h4><a href="https://www.bleepingcomputer.com/news/legal/telegram-channel-admins-who-sold-fake-vaccine-cards-arrested/"><span style="color: rgb(0, 0, 0);"><strong>在資安業者協助下，義大利逮捕透過Telegram兜售假疫苗接種證明文件的嫌犯</strong></span></a></h4> <p>為了規避沒有接種武漢肺炎疫苗而可能無法出國、入境的情況，不時傳出有人在販售接種證明（亦稱綠色通行證）的現象。義大利金融犯罪防治局（GdF）宣布，他們在威脅情報業者Group-IB的協助下，順利逮捕涉嫌在網路上販賣假疫苗認證文件的歹徒。這些人透過Telegram頻道來進行宣傳，警方至少發現35個Telegram頻道，擁有超過10萬名用戶，這些歹徒以100歐元（113美元）的價格，兜售宣稱與某些國家的衛生部門串通後，所產生「有效的」疫苗接種證明。</p> <p> </p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148072">2021年11月29日</a></p> <p><a href="https://www.ithome.com.tw/news/148042">2021年11月26日</a></p> <p><a href="https://www.ithome.com.tw/news/148019">2021年11月25日</a></p> </div></div></div>
2021/11/30 13:25作者周峻佑https://www.ithome.com.tw/news/148089
超過30萬Android用戶自Google Play下載了含有後門的行動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.threatfabric.com/blogs/deceive-the-heavens-to-cross-the-sea.html" target="_blank">荷蘭資安業者ThreatFabric在本周警告</a>，儘管Google Play的安全把關愈來愈嚴格，但駭客依然能夠成功進駐該行動程式市集，利用具備完善功能的行動程式夾帶後門，再藉由偽造的更新來植入金融木馬程式，在4個月內就有超過30萬次的安裝，讓使用者成為潛在的受害者。</p> <p>駭客的手法與時俱進，特別是Google甫於本月變更了無障礙服務（Accessibility Services）的使用條件，過去相關的API是這些惡意程式繞過Google審核的主要管道之一，於是駭客只好儘量減少行動程式中惡意程式碼的足跡，以期躲過偵測，再藉由之後的更新，選擇性地植入金融木馬，以竊取受害者的金融憑證。</p> <p>ThreatFabric即發現，自今年8月以來，就有4款金融木馬家族，利用此一手法進駐了Google Play，它們分別是Anatsa、Alien、Hydra及Ermac，每款金融木馬所借道的惡意程式各自不同，由於這些惡意程式只嵌入了極少的惡意程式碼，幾乎都曾或迄今仍躲過防毒軟體的偵測，目前相關惡意程式的安裝數量已超過30萬次。</p> <p>其中的Anatsa主要利用6款惡意程式散布，包括PDF Document Scanner Free、QR Scanner 2021、QR Scanner、PDF Document Scanner - Scan to PDF、PDF Document Scanner及CryptoTracker，它們都具備如程式說明所描述的完整功能，而且評價不錯，加總的下載量超過20萬次。</p> <p class="rtecenter"><img alt="" src="https://www.threatfabric.com/assets/images/blog/droppers/droppers.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_ThreatFabric</span></p> <p>當使用者安裝上述任一種程式之後，使用者將被迫進行更新以繼續使用，這時駭客就可透過C&C伺服器於使用者裝置上植入Anatsa。不過，駭客並不會在所有安裝惡意程式的裝置植入金融木馬，而是依照這些裝置的位置而定，例如只在位於英國、荷蘭或德國的Android用戶裝置植入金融木馬，駭客也能依照當時的策略，變更植入金融木馬的區域。</p> <p class="rtecenter"><img alt="" src="https://www.threatfabric.com/assets/images/blog/droppers/versions.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_ThreatFabric</span></p> <p>Anatsa是個擁有RAT能力的金融木馬，不但可竊取憑證，儲存紀錄，也能側錄鍵盤。</p> <p>至於Hydra與Ermac都是透過一款名稱為QR CreatorScanner的Android程式來散布，該程式的安裝數量超過1.5萬，所鎖定的攻擊區域還包含美國。</p> <p>Alien所利用的程式包括Master Scanner Live、Gym and Fitness Trainer與PDF AI : TEXT RECOGNIZER等，下載量超過9.5萬次。</p> <p>ThreatFabric指出，有些程式在使用者下載的當下完全沒有任何惡意功能，以躲過Google的偵測，也避免使用者起疑，甚至是在植入金融木馬之後，程式仍一如往常地正常運作，這些以合法掩護非法的手段愈來愈受到駭客青睞，也讓偵測變得更困難，建議Android用戶在下載程式時應更加小心。</p> </div></div></div>
2021/11/30 15:35作者陳曉莉https://www.ithome.com.tw/news/148094
Google揭露Zoom Meetings桌機、手機版軟體有程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom 上周修補會議產品2項漏洞</a>，包括1個高風險的程式碼執行漏洞，影響Zoom桌機、手機版會議軟體Client for Meetings及其他產品。</p> <p>這兩個漏洞是由Google安全研究小組Project Zero研究人員Natalie Silvanovich通報。其中CVE-2021-34424為一高風險的緩衝溢位漏洞，CVSS 3.1風險值7.3，攻擊者可能導致應用程式或服務當掉，或是利用該漏洞執行任意程式碼。</p> <p>CVE-2021-34423屬於中度風險的記憶體洩露漏洞，可能導致用戶端行程記憶體狀態曝露，導致攻擊者得以讀取Zoom應用程式記憶體的任意區塊。</p> <p>同時受到這2項漏洞影響的產品，包括許多人在家工作或是和友人聯繫常用的Zoom Client for Meetings 5.8.4以前的版本，涵括Windows、macOS、Linux、Android及iOS版。較小平臺版本也受影響，包括Zoom Client for Meetings for Chrome OS 5.0.1版本以前。其他還包括Zoom Rooms for Conference Room（Windows、macOS、Linux、Android及iOS版）、Zoom Meeting SDK for Android,iOS,Windows及macOS、Controllers for Zoom Rooms (for Android, iOS, and Windows)、Zoom VDI、本地部署版Zoom On-Premise Meetings Connector、Zoom On-Premise Virtual Room Connector及Zoom On-Premise Recording Connector等。</p> <p>Zoom已經針對受影響的產品釋出更新版，包括Zoom Client for Meetings 5.8.4、Zoom Rooms for Conference Room 5.8.3等。</p> </div></div></div>
2021/11/30 09:35作者林妍溱https://www.ithome.com.tw/news/148085
Google、蘋果雙雙因使用用戶資料在義被罰1,000萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利市場競爭主管機關上周以資訊不透明及以過度手段將使用者資料用於商業行為為由，<a href="https://www.agcm.it/media/comunicati-stampa/2021/11/PS11147-PS11150" target="_blank">對Google及蘋果分別開罰1,000萬歐元</a>。</p> <p>義大利競爭與市場管理署（Competition and Market Authority，CMA）於11月底完成對Google愛爾蘭分公司及蘋果（Apple Distribution International）的調查，並做出懲處。</p> <p>義大利當局是從兩方面判定兩家巨人的處罰。首先是資訊不透明；在Google方面，CMA指出Google的經濟活動基礎是依據使用者側寫提供各種網路服務，包括線上廣告、搜尋工具、雲端運算及軟、硬體等，這些都需要用戶允許它蒐集用戶個資。但Google在用戶建立帳號及使用服務期間，未曾清楚提供相關資訊供用戶決定。</p> <p>至於蘋果，CMA認為蘋果是為商業目的在用戶使用裝置及服務時蒐集用戶資料。仍未做到善盡告知的要求。義大利主管機關認為，即使蘋果沒有將這些資料傳送給第三方，但在用戶建立Apple ID及存取Apple Store（包括Apple Store、iTunes Store及Apple Books）時，該公司未立即而明確告知用戶他們以商業目的蒐集使用用戶資料，僅強調蒐集資料是改進用戶消費者體驗及服務之必須。</p> <p>第二部份則是著眼兩家公司激進、過度的蒐集資訊行為。包括Google在用戶建立帳號階段、預設使用者同意它傳輸和運用其資料於商業目的，因此等資料一經產生，不需經其他步驟即可使用這些資料，也不讓用戶偶爾確認同意。</p> <p>至於蘋果，當局相信該公司是根據用戶同意，而運用資料來推動促銷活動。但是實際上在分享資訊上，蘋果並沒有讓使用者事先同意或表達意願的機會，而使蘋果得以任意使用不同方法來發展促銷行為。</p> <p>但蘋果及Google並不認同義國政府的決定。<a href="https://www.reuters.com/technology/italys-antitrust-fines-google-apple-commercial-use-data-2021-11-26/" target="_blank">路透社引述蘋果公司指出</a>，該公司提供所有消費者領先產業的透明度及控制權、讓他們選擇分享哪些資訊。Google則聲稱它確實遵守了「公平、透明的作法，提供有用服務及明白告知運用用戶資料的用途。」</p> <p>Google和蘋果都不是第一次被義大利政府開罰。<a href="https://www.ithome.com.tw/news/141404" target="_blank">蘋果在去年因誇大宣稱iPhone的防水能力</a>，<a href="https://www.ithome.com.tw/news/144429" target="_blank">Google則因今年5月Android Auto 拒絕和一款電動車充電App互動</a>，分別被罰1,000萬美元。</p> <p>本月稍早，義國當局也因Amazon與蘋果 2018年達成一項壟斷協議、<a href="https://www.gsmarena.com/italy_slaps_amazon_and_apple_with_200_million_in_antitrust_fines_over_apple_and_beats_products_sales-news-51959.php" target="_blank">共開出2億歐元的罰單</a>。兩巨頭當時協議，僅讓Amazon和部分蘋果經銷商在義大利版Amazon.com上販售蘋果和Beats產品，也不准許經銷商跨境銷售。</p> </div></div></div>
2021/11/29 09:58作者林妍溱https://www.ithome.com.tw/news/148063
聯合學習讓Android上的智慧文字選擇更聰明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2021/11/predicting-text-selections-with.html">Google揭露使用聯合學習（Federated Learning）技術，強化Android系統上的智慧文字選擇（Smart Text Selection）</a>，開發人員提到，由於運用聯合學習，除了能夠藉由用戶互動來訓練神經網路模型之外，同時還能保護隱私，進而提高智慧文字選擇的效能。這項改進工作是Android新的私密運算核心（Private Compute Core）安全環境的一部分，對於部分文字實體，模型選擇精確度可提升20％。</p> <p>智慧文字選擇是Google在2017年的時候，在Android Oreo加入的新功能，也是現在用戶常用功能之一，能夠透過用戶的點擊來預測需要的單字，使得用戶能夠快速選擇、複製和使用文字，並適當地擴大選擇範圍，對於具有定義分類的實體，像是地址和電話號碼，用戶可以直接使用應用程式開啟，以減少用戶操作的步驟。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEijkmRDALy_mwfLyCe3ZdDg2L5P_VKF9AtcX2uodJ1w8Jjb8F_ibZ3Dp8GK3SNmxFySJHItD64Vcc20UkbCOJiSmMljeTLyLvdNwXw8TUdH4gnL7qMOvHP606EYICm9j6IYoSbdNo5EvzuClY8MMjwYl9YOug5Pk_pynWtQEnYWPVsZYDhpS7tg1R2rnQ=s320" style="width: 320px; height: 113px;" /></p> <p>開發人員提到，智慧文字選擇和智慧連結（Smart Linkify）背後使用的技術相同，並不會預測隨意的選擇，而是針對明確定義的實體，像是地址和電話號碼，並且嘗試預測這些類別的選擇範圍，模型會盡量選擇單字，來減少多字選擇發生錯誤的頻率。</p> <p>智慧文字選擇的模型，Google一開始使用schema.org中的結構化代理資料進行訓練，這些實體會被嵌入到隨機文字中，訓練模型只選擇實體，而不會選到實體周圍的文字，開發人員解釋，雖然這種針對schema.org註解的訓練方法有效果，但是具有幾個限制，像是資料和用戶裝置上看到的文字可能有差距，schema.org的資料通常比用戶手機上輸入的格式更正確，而且訓練實體嵌入在隨機文字樣本，並無法真實反映裝置中的上下文。</p> <p>而最新的模型使用聯合學習，已經不使用代理資料進行預測，而是裝置上真實的互動資料。聯合學習是一種機器學習模型的訓練方法，中央伺服器會協調分散在許多裝置上的模型訓練，但是用戶的原始資料，會保留在本地端裝置上。</p> <p>聯合學習的訓練程序，由伺服器啟動模型初始化，迭代過程從裝置採樣開始，選擇裝置並且使用本地端資料改進模型，接著裝置僅會回傳改進後的模型，而非訓練資料，伺服器對接受到的更新進行平均，並創建用於下一次迭代的模型。</p> <p>每次用戶點擊選擇文字，並且更正模型建議時，Android都能獲得關於模型選擇範圍的精確回饋，但是為了保護用戶的隱私，這些選擇會暫存在裝置上，伺服器並無法取得這些資料，透過聯合學習技術來改進模型，而這種技術的優點，是能夠使用推理過程看到的資料，來進一步訓練模型。</p> <p>聯合學習的優點還有能夠保護用戶隱私，開發人員解釋，因為原始資料不會暴露給伺服器，伺服器只能接受更新的模型權重。不過為了抵禦各種可能的威脅，Google還用上各種安全方法，像是用來訓練智慧文字選擇模型的裝置上程式碼，是Android私密運算核心安全環境一部分，因此能夠安全地處理用戶資料。</p> <p>由於要聚合來自裝置上的模型更新，開發人員使用安全聚合（Secure Aggregation）技術，這是一種加密協定，可以讓伺服器不需要讀取單個裝置所提供的更新，就能計算聯合學習模型訓練的平均更新。</p> <p>藉由使用新的聯合學習方法，Google明顯提升智慧文字選擇模型效能，多字選擇精確度改善介於5％到7％，最複雜的地址選擇，準確度提高8％到20％。聯合智慧的另一個優勢，是能夠擴展至其他語言，因爲使用用戶互動來訓練模型，也就更容易擴展支援其他語言，模型不只在英文上表現良好，將相同工作管線應用在日文，不需要針對日文特別進行調整，就能獲得良好的進展。</p> </div></div></div>
2021/11/29 08:46作者李建興https://www.ithome.com.tw/news/148057
Coinbase買下加密貨幣錢包開發商BRD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brd.com/brd-joins-coinbase" target="_blank">打造BRD Wallet加密貨幣錢包的BRD在24日宣布</a>，即將加入Coinbase陣營，儘管雙方並未揭露交易金額，但BRD代幣（BRD Token）在併購消息傳出後，價格從0.17美元一度上漲到1.67美元，上漲幅度接近900%，不過隔天又回到0.89美元。</p> <p>BRD是在2014年發表BRD Wallet，它有Android及iOS版本，支援包括繁體中文在內的十多種語言，可用來交易與存放多種加密貨幣，迄今已有來自全球的逾1,000萬名用戶。BRD還發行了BRD代幣，用戶只要購買並持有BRD代幣便可解鎖BRD Wallet的各種功能，例如減免加密貨幣稅、減免交易手續費、電話支援服務，持有超過10萬枚BRD代幣、還可獲得BRD執行長Adam Traidman的回電。</p> <p>至於Coinbase則是美國最大的加密貨幣交易平臺，也擁有自己的Coinbase Wallet加密貨幣錢包，已於今年4月登上美國那斯達克股市，併購消息曝光的當天，Coinbase的股價上漲了0.09%，以312.38美元作收。</p> <p>Traidman表示，目前BRD Wallet用戶仍可如常使用各種功能，未來將可選擇轉移至Coinbase Wallet，更多的細節會在明年出爐。</p> <p><a href="https://www.coindesk.com/business/2021/11/24/coinbase-acquires-crypto-wallet-firm-brd-for-undisclosed-amount/" target="_blank">Coinbase則向《CoinDesk》表示</a>，對於讓更多人能安全存取去中心化的加密貨幣世界而言，BRD在自行管理（self-custody）加密貨幣錢包上的專業知識，是非常寶貴的。</p> </div></div></div>
2021/11/26 14:29作者陳曉莉https://www.ithome.com.tw/news/148046
Martech雙周報第13期：資生堂自建資料平臺彙整各管道顧客數據，更大力採用Line行銷工具與顧客溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1112~1125)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資生堂 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line官方帳號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上預購模組 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">如何靠Line廣告行銷工具增加獲客、提升購買率？資生堂公開關鍵數據平臺</span></strong></p> <p>在臺深耕超過一甲子的資生堂集團，旗下擁有從保養到彩妝、從開架到專櫃等超過40個品牌，近年來積極運用顧客數據來拓展客群。資生堂集團行銷統括部副部長陳思伃指出，資生堂自建了一個顧客計算中心iCONNECT，將Google、臉書、 Line、Appier、DSP、DMP等管道取得的顧客資料，全部彙集到這個平臺，進行數據媒合與識別、分群、預測等流程，再將數據用於個人化行銷，並以Line作為主要的行銷工具。比如資生堂從2017年採用Line服務至今，已有7個官方帳號，之後也陸續採用了Line Beacon、一對一聊天顧客管理功能、線上預購模組、消費後自動訊息通知等服務。</p> <p>陳思伃也揭露實際應用這些工具到銷售場景的作法。比如，資生堂國際櫃過去與顧客溝通時，由於在百貨公司、屈臣氏、寶雅等都有國際櫃的商品，無論是實體DM、或是網站登錄頁面，都要針對不同通路及不同類型顧客，設計多種DM與網頁版本，再以不同管道呈現給顧客參考。為了降低與顧客溝通的成本，資生堂國際櫃今年週年慶時，與技術合作夥伴客製化開發了Line線上預購模組，作為統一溝通的入口，來對顧客發送週年慶商品預購頁面。而顧客預購的資訊也會立即彙整到後臺，當顧客要到實體店取貨時，櫃姐就能透過系統資訊，提供更貼近顧客需求的服務，針對不會前往實體店的顧客，Line也能引導顧客到EC網站上購買。</p> <p>同時，過去寄發實體DM，較難累積顧客數位軌跡，改用Line預購模組後，也能進一步記錄消費者是誰、偏好商品、消費金額、瀏覽頻率等，更可將消費者的Line UID數據打包，透過Line廣告後臺尋找類似行為的潛在顧客來進行溝通，擴大新客量能。針對新客，還能持續發送Line預購模組來累積顧客數據。資生堂國際櫃30天內平均客單價更因此成長1.3倍、新客購買單數也成長3倍。</p> <p dir="ltr">資生堂也同樣用Line預購模組來提升保養品牌IPSA的獲客。為了提升既有顧客留存率，並擴大新客數量，資生堂先將顧客分為5群，分別為只購買一次的新客、沈睡客戶、有成長潛力的客戶、透過自有媒體或KOL行銷獲取的新客、Line官方帳號的用戶。針對這5大類顧客，資生堂設計了5種線上購物選單，精準提供顧客所偏好的商品組合，再利用一對一顧客管理功能與顧客溝通，以提升購買率；下一步，則是讓顧客綁定電子會員卡，讓顧客進入會員購物旅程，來提升留存率。IPSA因此取得新客成長3倍，購買率成長4倍的成績。</p> <p dir="ltr">不只如此，資生堂也運用了藍牙訊號發射裝置Line Beacon服務，在實體店面裝設Beacon，當偵測到方圓50公尺內有官方帳號用戶路過時，可以將促銷訊息，發送到這群用戶的手機Line上，來觸及流動的過路客。比如去年，資生堂東京櫃就放了30顆在全臺百貨公司，一個月內購買率就成長2倍，因此在今年，也擴大放置了130顆Beacon，更依據不同管道進來的不同消費族群，發送不同版本的優惠券，來溝通不同情境。資生堂也將Beacon累積的UID數據，再進行打包，透過LAP來觸及更多顧客，再導流顧客到實體店消費，同時搭配其他行銷優惠活動，將一個月內平均客單價提升1.4倍，購買率則成長1.3倍。</p> <p dir="ltr">陳思伃更指出，資生堂2022年將導入Line Clova AI解決方案，計畫要結合人臉辨識，在消費者靠櫃時，就自動預測消費者想要的服務、情境與產品，以提升顧客體驗並深化溝通。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-18%20%E4%B8%8B%E5%8D%883_10_14%E6%8B%B7%E8%B2%9D.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Footer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI分群 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line廣告服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Footer疫情中業績逆勢成長關鍵：善用AI找出相似受眾，再靠Line廣告擴大獲客</span></strong></p> <p>每年Q2是臺灣除臭襪品牌Footer的傳統淡季，今年更逢疫情來襲，在顧客足不出戶的情況下，導致業績更遭遇瓶頸。Footer採取的對策，是透過AI找出潛在客群來投放數位廣告，讓他們的業績在今年疫情三級警戒後，仍逆勢成長10%。</p> <p>Footer先將顧客依據消費頻率、消費金額與最近消費分為4大群體，分別是潛力客、VIP常購顧客、全新首購客及殭屍客四大群體，再根據過去累積的會員數據分析，找出不同客群的市場洞察，比如潛力客平均客單價高過一般客人20～25%，全新首購客佔全年客單量90%。從這個分析，Footer調整了Q2行銷策略，定錨全新首購客來展開溝通，一來是襪子非每季汰換的商品，旺季已購顧客在淡季的行銷轉換較為困難，二來則是在淡季累積更多首購客的消費數據後，就能擴大數據量體，在後續Q3、Q4的重點檔期強化宣傳，吸引首購客成為常購顧客。</p> <p>選定行銷策略後，下一步，就是要找出這些全新首購客。由於Footer更從歷史資料發現，透過Line廣告平臺（LAP）找到的顧客，其平均消費單價比起一般媒體廣告觸及的新客高出25～30%，因此，Footer將這群含金量高的首購客視為目標受眾種子，並將其行為資料匯入DMP資料庫，再利用AI演算法找出行為相似的受眾，最後在LAP上針對這群人進行廣告投放，以驅動首購客的成長。</p> <p>Footer一方面也利用Line後臺分析報表找出首購客的特殊標籤，比如遊戲、娛樂、職涯規劃、商務、居家、園藝等，並根據這些延伸的興趣標籤，對具有相似標籤的受眾進行廣告投放。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-150513.png" style="width: 700px;" /></p> <p>為了用AI來找出與種子受眾相似行為的潛在顧客。首先，要先盡可能完整搜集顧客數據，比如消費者的進站歷程、顧客行為、瀏覽商品資訊、是否加入購物車、與官方帳號互動等資訊，都要完整搜集並貼標；二是要將行銷提問轉化為受眾條件，比如「如何找出高客單的新客」，轉化為結帳金額超過1,200元的人和一次購買多品項商品的人這兩項條件。最後是找出符合條件的顧客，並根據這群顧客的行為與興趣標籤來訓練AI模型，用來找出相似類型的受眾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20211119-150817.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 痞客邦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大數據分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷App </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">痞客邦以部落格大數據為基礎，新推涵蓋流量分析、業配合作、廣告投放功能的一站式行銷App</span></strong></p> <p>經營全臺最大部落格社群平臺的痞客邦，利用過去累積超過100萬名部落客、9億篇文章等大數據資料，瞄準中小型商家的行銷需求，打造出一款一站式行銷App「叩叩」，商家能透過系統自動匹配、以及透明的部落客數據分析，來選擇合作人選，降低過往要與部落客、KOL談合作時，可能因篩選不易、溝通繁瑣而卻步的現象。</p> <p>這個App提供四項功能，其一，提供商家自身的網路聲量與地區排名的即時數據分析；其二是，依據餐飲關鍵字、預算等條件，系統能自動媒合合適的部落客人選，店家可直接瀏覽部落客所撰寫部落格的流量、Facebook與 Instagram的社群擴散、報價等資訊，甚至在選定部落客後，從邀稿、聯繫、過稿到上線，都能透過App來管理；其三，內建痞客邦廣告投放機制，來宣傳自家內容或網紅文章；最後一類則是內建多項行銷工具，如線上優惠券與集章卡，來招攬新客、維繫舊客等。這款App已在10月初上線封測，目前吸引了包含火鍋、早午餐、鐵板燒、中式料理、義式料理等多家業者加入。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google廣告服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告洞察 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 趨勢分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google廣告洞察服務將推4項分析新功能，能更細緻分析市場趨勢與廣告成效提升原因</span></strong></p> <p>Google廣告服務未來幾周在洞察頁面（Insights page）將增加4項Beta版新功能。一是需求預測功能，Google將根據過去季度的搜尋趨勢結合機器學習技術，預測未來6個月內的搜尋趨勢。比如對美容零售商預測，香水搜尋興趣將在11月中提升27%，更會在黑色星期五達到最高峰93%，業者就能以此資訊，來調整庫存安排與產品開發。</p> <p>二是顧客興趣洞察分析，透過彙整和匿名化顧客搜尋數據，Google可找出驅動廣告活動表現的最熱門搜尋詞彙，讓廣告主了解顧客如何搜尋他們的產品服務，包括能看到每個詞彙搜尋量、其增長情況與表現。比如美容零售商可能會看到香水類別的最佳搜尋詞彙是「平價的、花香味的」，並了解使用這些關鍵字可提升的廣告曝光幅度。</p> <p>三是受眾洞察分析，可讓廣告主了解顧客的興趣與偏好，包括最能引起共鳴的創意內容，比如分析各項行銷內容的標題後，發現對香水有興趣的顧客，最偏好「10種必買的冬季香水」這個標題，並分析這個標題帶來的轉換率等。</p> <p>四是改變歷史洞察及競價洞察分析（Change history insights and auction insights），這項功能要讓廣告主了解，競價轉變或自家廣告決策的轉變，如何影響廣告表現。比如當業者發現在洞察頁面上，運動衫、帽T的搜尋量成長，並將這項資訊用來驅動新的行銷與廣告活動後，這項新功能即可分析，廣告主的決策改變為企業帶來了哪些轉換效益，包括Google搜尋或 Google購物管道的銷售成長。（<a href="https://blog.google/products/ads-commerce/holiday-consumer-trends-and-insights/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-24%20%E4%B8%8B%E5%8D%883_28_04.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLB </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個人化行銷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 球迷用戶體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">連體育賽事都要強化數位行銷！MLB要提供球迷個人化行銷與通知服務，優化用戶體驗</span></strong></p> <p>在重視顧客體驗的時代，連體育賽事都開始注重與球迷的連結，不再透過傳統的方式促進觀眾參與。美國職棒大聯盟（MLB）近期就深化採用Adobe的服務，透過導入體驗雲相關服務，提供上百萬球迷更加個人化、無縫的顧客體驗。這些新功能包括個人化的行銷與通知，比如標示出球場哪些入口能夠讓球迷最快抵達他們座位，提供VIP停車促銷或是即取即用的優惠折扣，也能讓住在喜歡球隊所在地之外的球迷，在他們最愛的俱樂部及球員抵達當地時收到訊息，或是取得MLB.TV的免費試用的資格，讓球迷可以在任何他們喜歡的地點收看球賽。（<a href="https://www.mlb.com/press-release/press-release-adobe-and-major-league-baseball-partner-to-create-next-generation-" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DuckDuckGo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> App Tracking Protection for Android </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">DuckDuckGo釋出App防追蹤功能，防止Android用戶數據遭第三方業者濫用</span></strong></p> <p>蘋果在今年4月釋出iOS 14.5，啟用了追蹤透明化（App Tracking Transparency，ATT）政策，要求所有程式在追蹤用戶之前都必須先取得用戶的明確同意。現在，隱私搜尋引擎業者DuckDuckGo也跟上腳步了，上周新增了App Tracking Protection for Android功能，主要用來封鎖那些藏匿在App中的第三方追蹤器，包括Google及臉書。</p> <p>DuckDuckGo解釋，許多企業都躲在行動程式中來追蹤使用者，例如藏在Nike程式中的Google，不少程式的預設是即時紀錄使用者的動態，甚至能夠知道使用者的睡眠時間有多長。也就是說，使用者手機上所安裝的程式，其實已將用戶的個人資料傳送給數十家第三方業者，以供Google或臉書等廣告網路建立使用者的數位檔案，部署個人化廣告，有些第三方業者可能會將個資出售給其它的資料掮客或政府。</p> <p>根據DuckDuckGo的測試，Android上熱門的免費程式中，超過96%都嵌有第三方的追蹤器，有87%會把資料傳送給Google，有68%會傳送給臉書。因此，DuckDuckGo準備在其Android程式中新增一項功能，會檢查Android程式是否將資料傳送至第三方追蹤企業，並封鎖這些請求。（<a href="https://www.ithome.com.tw/news/147979" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-11-24%20%E4%B8%8B%E5%8D%883_34_06.png" style="width: 350px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Line臺灣3大Martech服務一次看：新推AI、Data、OMO解決方案深化官方帳號應用</strong><strong>（<a href="https://www.ithome.com.tw/news/147979" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／資生堂集團、adGeek、Google、DuckDuckGo</p> <p>資料來源：iThome整理，2021年11月</p> </div></div></div>
2021/11/26 10:55作者翁芊儒https://www.ithome.com.tw/news/148025
偽裝方式更高明的三種木馬現身：採用多種迴避機制，用戶難以察覺異狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者發動木馬程式攻擊，目標從過往的個人電腦，漸漸轉移到行動裝置。其中，安卓手機的使用者，能夠從官方市集以外的來源安裝應用程式，而成為不少木馬程式鎖定的目標。</p> <p>在11月中旬，研究人員揭露多個新興的安卓木馬程式，分別為BrazKing、SharkBot，以及Gravity，攻擊手法相當狡猾，若不慎上當、安裝這些惡意程式，裝置存放的個人資料不只會被竊取，對方也可能透過手機裡的銀行App，將受害者的銀行帳戶的存款領走。</p> <p>雖然這些惡意軟體的攻擊手法有不少差異，但相同的是，這些木馬程式都採用多種反偵測的機制，如：不會在Android模擬器環境執行、程式碼採用演算法進行混淆等，且研究人員難以確認攻擊者身分。</p> <h2><strong>攻擊者透過C2中繼站下達命令，向使用者進行詐欺</strong></h2> <p>為了能夠在受害裝置暢行無阻，許多木馬程式都會強迫使用者授予各式的存取權限。但也有攻擊者反其道而行，只濫用輔助服務，最終照樣能執行各種竊密的工作。</p> <p><a href="https://securityintelligence.com/posts/brazking-android-malware-upgraded-targeting-brazilian-banks/">IBM威脅情報團隊針對新版BrazKing銀行木馬分析後，就有類似的發現</a>。他們表示，攻擊者採用相當少見的手法，來迴避資安系統的偵測。例如，BrazKing因為直接使用系統的輔助服務，而只需要少量的權限即可執行竊密工作；對於覆蓋手機螢幕的內容，BrazKing會偵測正在執行的處理程序，再從C2中繼站下載所需的工具，而能躲過資安人員設置的沙箱或虛擬機器環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1iZjllZmQ3YTQxZmUxMWVjYjRlMWI2ZTc0NDFmYWJlYQ%3D%3D.png" style="width: 350px; height: 239px;" /></p> <blockquote><p>BrazKing在受害者安裝完成後，會請求輔助服務的存取權限，但這個木馬程式會顯示如Google圖示，藉此讓受害者誤以為是Google的應用程式請求有關存取權限，而上當、同意給予權限。</p></blockquote> <p>研究人員表示，BrazKing的獨特之處，在於它是透過C2中繼站進行分析之後，確認受害裝置是真實的行動裝置，且位於目標地區：巴西，才會偵測受害手機狀態，顯示對應的覆蓋畫面。一旦BrazKing發現自己處於沙箱，或是裝置位於巴西以外的國家，便不會攻擊。</p> <p>究竟BrazKing是如何在缺少各式權限的情況下，進行竊密的工作？IBM指出，攻擊者主要是充分利用輔助工具達成。例如，針對手機螢幕呈現內容的擷取，BrazKing是透過程式語言來解析，而非螢幕截圖。</p> <p>而對於簡訊與聯絡人資料的獲取，BrazKing也透過解析螢幕畫面的內容來達成，不需存取簡訊與聯絡人資訊的許可。除了設法拿到裝置裡儲存的簡訊與聯絡人資料，攻擊者也運用相同手法，側錄使用者在手機螢幕虛擬鍵盤輸入的內容。</p> <p>由此看來，BrazKing很依賴C2中繼站發號司令，而為了持續通訊，這個木馬程式，使用的通訊協定是WebSocket，並非許多木馬程式使用的HTTP。事實上，WebSocket通訊協定提供了雙向通訊的管道，並在交握時採用升級版HP標頭，來排列BrazKing的工作，而這些工作將會個別執行，並從C2接收不同的任務。</p> <p>而對於攻擊者運用BrazKing的方式，研究人員指出，主要是藉由C2中繼站進行控制，來進行詐欺攻擊。</p> <p>例如，攻擊者可向BrazKing下達顯示螢幕通知的命令，引誘受害者開啟銀行App，然而，針對線上交易常見的雙因素驗證（2FA），BrazKing也有方法突破——在手機接收到簡訊驗證碼後，顯示假的PIN碼輸入畫面，進而讓攻擊者取得這筆驗證碼，完成詐騙交易。</p> <h2><strong>能擅自從手機App洗劫受害者的銀行帳號</strong></h2> <p>駭客藉由木馬程式來竊取受害者銀行帳密的手法，屢見不鮮，但近期這類惡意軟體的攻擊方式，也出現變化。</p> <p>例如，提供網路詐騙防治解決方案的資安業者Cleafy指出，<a href="https://www.cleafy.com/cleafy-labs/sharkbot-a-new-generation-of-android-trojan-is-targeting-banks-in-europe">10月底他們發現新的安卓木馬程式SharkBot</a>，一旦受害手機安裝了這個惡意軟體，攻擊者將會透過系統的輔助服務，掌控用戶的銀行資訊，且竊取帳密與信用卡資料，此外，這支木馬程式，亦具備攔截銀行發送的SMS簡訊的能力。</p> <p>分析殭屍網路的架構之後，Cleafy認為，該殭屍網路鎖定目標，可能是英國、義大利及美國的銀行與加密貨幣交易所。Cleafy指出，他們至少看到22個組織遭到攻擊，這些單位多半是英國與義大利的銀行，其中，有5個是提供加密貨幣服務的業者。</p> <p>相較於其他現存惡意程式，Cleafy認為，SharkBot屬於世代較新的行動裝置惡意軟體，因為它能發動「自動轉帳系統（Automatic Transfer System，ATS）」攻擊手法，利用受害者的裝置，將用戶的銀行帳戶存款偷走。</p> <p>什麼是自動轉帳系統攻擊？這其實是一種進階攻擊手法，相關的工具能在遭駭的裝置裡，於銀行App上自動填入特定的資料，進而在受害者最少操作次數的狀況下，將銀行帳戶存款轉走。不過，能夠發動ATS攻擊的木馬程式，SharkBot並非首例。<a href="https://www.ithome.com.tw/news/129672">在2019年3月出現的Gustuff</a>，就具備這類機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/618d1247e64fc2c4c1a44543_Fig1.png" style="width: 580px; height: 349px;" /></p> <blockquote><p>銀行木馬SharkBot採用自動轉帳系統（ATS）的攻擊手法，能自動將受害者的銀行存款，轉到攻擊者的帳戶，圖中便是SharkBot執行ATS攻擊，將使用者在銀行App輸入的國際銀行帳戶號碼（左），置換成攻擊者的帳戶號碼（右）。</p> </blockquote> <p>根據SharkBot具備ATS攻擊能力的這項發現，Cleafy推測，攻擊者應該是濫用輔助服務，亦即Android作業系統的內建功能，從而繞過許多銀行與金融服務裡，所採行的使用者行為偵測措施，像是生物辨識的驗證機制，來達成自動化攻擊。</p> <p>而在攻擊者濫用Android的系統輔助功能後，不只可以發動ATS攻擊，還能藉此執行其他行動。例如，進行螢幕覆蓋攻擊（Overlay Attack）竊取登入應用程式的帳密，以及信用卡資料；或者，攔截或隱藏受害裝置收到的簡訊。研究人員認為，攻擊者甚至能取得完整的系統存取控制權，可從遠端控制受害的Android裝置。</p> <p>除了上述攻擊手法，這個惡意軟體具備多種反偵測能力，像是可以反制模擬器的檢查功能、隱藏應用程式的圖示等。而在與C2中繼站通訊的過程中，SharkBot不只使用網域產生演算法（DGA）來連線，全程也使用Base64演算法遮掩。</p> <h2><strong>駭客謊稱是即時通訊App，並成立介紹網站</strong></h2> <p>有些駭客組織原先是鎖定個人電腦下手，後來移轉目標到行動裝置。例如，近期出沒的Gravity木馬程式，早期主要是針對Windows電腦出手，曾於2018年攻擊印度武裝部隊而引起資安人員的注意。到了這2到3年，Gravity又衍生出Android與macOS的版本，而不再只是針對Windows發動攻擊。</p> <p><a href="https://blog.cyble.com/2021/11/11/gravity-rat-malware-returns-as-a-chat-application/">根據資安業者Cyble最近的發現，</a> 有人從印度上傳新版Gravity木馬程式，到VirusTotal分析。他們研究這個木馬之後，發現攻擊者將其包裝成名為SoSafe Chat的即時通訊App，而且是針對Android裝置而來，讓受害者以為自己安裝新的即時通訊軟體而上當。</p> <p>攻擊者為了讓受害者上當，不僅將Gravity偽裝即時通訊軟體，還成立了「官方網站」，煞有其事地介紹這套軟體。不過，Cyble指出，這個網站的下載按鈕，以及使用者註冊的功能，似乎都遭到了停用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyble-Gravity-Download-Option.png" style="width: 580px; height: 281px;" /></p> <blockquote><p>為了讓受害者相信SoSafe Chat是正派的即時通訊軟體，Gravity木馬程式的攻擊者設立專屬網站，當中不只有軟體的簡單介紹，也有使用者登入與申請帳號的介面。無論從應用程式的圖示，或是網站上的說明資訊，受害者都很難察覺這其實是捏造的即時通訊軟體。</p> </blockquote> <p>一旦受害者在手機上安裝了這款惡意App，聯絡人資料、簡訊，以及機密文件等資料將會遭到竊取。Gravity會向使用者要求多達42項權限，但實際濫用的共13項，有了這些，對方可存取簡訊、聯絡人、通話記錄、修改系統設定、讀取電信網路的資訊，以及讀取及寫入檔案、錄音、取得裝置的地理位置、取得網路連線。</p> <p>但發動攻擊的組織或個人身分，至今仍不得而知。Cyble指出，無論是從木馬程式或網站進行分析，仍然難以確認背後的攻擊者。雖然，先前使用Gravity木馬程式的攻擊裡，研究人員懷疑，可能就是巴基斯<br /> 坦的駭客組織所為，但是，目前Cyble所採集到的證據有限，尚無法印證攻擊者就是來自巴基斯坦。</p> </div></div></div>
2021/11/25 15:29作者周峻佑https://www.ithome.com.tw/news/148021
Check Point揭露聯發科晶片漏洞，波及3成手機與IoT裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者<a href="https://research.checkpoint.com/2021/looking-for-vulnerabilities-in-mediatek-audio-dsp/" target="_blank">Check Point周三（11/24）揭露了4個涉及臺灣晶片製造商聯發科技（MediaTek）系統單晶片（SoC）的安全漏洞</a>，指出當把這些漏洞串聯OEM業者合作夥伴函式庫的安全漏洞時，將可允許應用程式擴張權限，波及全球37%的智慧型手機及IoT裝置。不過，<a href="https://corp.mediatek.com/product-security-bulletin/October-2021" target="_blank">聯發科技已於今年10月修補了相關漏洞</a>。</p> <p>聯發科技在去年第三季就超越了高通，以31%的市占率凌駕高通的29%，成為全球手機晶片的製造龍頭，而<a href="https://www.counterpointresearch.com/global-smartphone-ap-market-share/" target="_blank">根據Counterpoint今年第二季的調查</a>，聯發科技的市占率更躍上了43%，高通則落至24%，蘋果以14%排名第三。</p> <p>聯發科所打造的系統單晶片包含了一個特殊的AI處理單元（APU）、與一個聲音數位訊號處理器（DSP），藉以改善媒體效能並減少對CPU的依賴，不管是APU或DSP都採用客製化的Tensilica Xtensa微處理架構，此一Tensilica平台允許晶片製造商擴充Xtensa指令集，以優化特定的演算法並避免遭到複製，這也讓它成為安全研究的目標。</p> <p>Check Point團隊即針對其聲音DSP韌體進行了反向工程，並發現它暗藏了許多可自Android裝置存取的安全漏洞，當結合OEM合作夥伴的函式庫漏洞時，將讓Android程式擴張權限，進而允許駭客竊聽使用者的對話或藏匿惡意程式。</p> <p>其中的3個漏洞為CVE-2021-0661、CVE-2021-0662與CVE-2021-0663，它們皆屬於堆積緩衝區溢位漏洞，主要是因邊界檢查不正確，可能會發生越界寫入的問題。至於第4個安全漏洞CVE-2021-0673的細節則尚未公布。</p> <p>根據Check Point所描述的攻擊場景，一個無特權的Android程式只要透過AudioManager API設定特定的參數值，就能開採CVE-2021-0673漏洞，再串連OEM合作夥伴函式庫的安全漏洞，即可造成Android程式的權限擴張，允許Android程式傳送訊息至聲音DSP韌體。</p> <p>若再加上CVE-2021-0661、CVE-2021-0662或CVE-2021-0663漏洞，駭客也許能進一步執行其它的惡意行為，例如藏匿或執行聲音DSP晶片上的惡意程式。</p> <p>根據Check Point的說法，聯發科技已在今年10月修補了上述的4個安全漏洞。不過，聯發科技10月或11月的安全通報中，並未包含CVE-2021-0673，可望於12月的安全通報中現身。</p> </div></div></div>
2021/11/25 15:32作者陳曉莉https://www.ithome.com.tw/news/148022
【資安日報】2021年11月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟修補Windows Installer漏洞不完全一事，在研究人員公布概念性驗證程式之後，隨即就被發現攻擊者正在躍躍欲試，疑似著手打造攻擊工具並進行測試，但這個漏洞微軟尚未提供進一步的修補。而另一起資安新聞就是實際的APT攻擊行動：疑似是受伊斯蘭政權指使的駭客，鎖定使用波斯語的用戶發動間諜攻擊，而入侵受害電腦的管道，就是不久前才被修補的MSHTML重大漏洞CVE-2021-40444。</p> <p>在上述的個人電腦威脅之餘，針對安卓行動裝置的間諜程式攻擊，也顯著變得頻繁，且攻擊行動出現不少過往較為少見的手法。例如，APT駭客組織C-23的攻擊行動中，先是以系統更新的名義引誘使用者下載間諜App，再透過要求開啟通知等理由，誘騙他們提供權限。在成功得到多種權限之後，這款間諜App還會將自己更換圖示和名稱，來偽裝成一般常見的應用程式。而這一連串的手法，使用者恐怕很難察覺異狀。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/malware-now-trying-to-exploit-new-windows-installer-zero-day/"><span style="color: rgb(0, 0, 0);">惡意軟體試圖利用Windows Installer零時差漏洞</span></a></strong></h4> <p>資安研究員Abdelhamid Naceri於11月22日指控，微軟針對Windows Installer漏洞CVE-2021-41379修補不完全，並提供概念性驗證程式佐證。思科於11月23日提出警告，他們已經發現有數個惡意軟體開始利用這項漏洞發動攻擊，該公司指出，他們看到利用此漏洞的惡意軟體數量不多，研判目前可能是測試階段，但這個現象也代表了一件事，就是攻擊者能夠快速將公開的漏洞資訊應用於攻擊。</p> <h4><strong><a href="https://www.safebreach.com/blog/2021/new-powershortshell-stealer-exploits-recent-microsoft-mshtml-vulnerability-to-spy-on-farsi-speakers/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定MSHTML漏洞發動攻擊</span></a></strong></h4> <p>資安業者SafeBreach指出，伊朗駭客利用近期甫被修補的MSHTML重大漏洞CVE-2021-40444，鎖定使用波斯語的用戶發動攻擊，並使用名為「PowerShortShell」的程式碼來進行竊密－－這是PowerShell指令碼，內容僅約153行，但具有多種竊密能力，包含了收集螢幕截圖、Telegram檔案、文件，以及受害電腦環境等資訊。</p> <p>研究人員指出，近半數受害者位於美國，研判攻擊者很有可能是伊斯蘭政權有關，認為這些居住境外的伊朗人可能對政權帶來威脅，所發動的攻擊行動。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/11/23/android-apt-spyware-targeting-middle-east-victims-improves-its-capabilities/"><span style="color: rgb(0, 0, 0);">鎖定中東用戶的安卓間諜App假借功能受限的名義，引誘受害者提供各式權限<img alt="" src="https://s4.itho.me/sites/default/files/images/C23_notifications.png" style="width: 200px; height: 279px; float: right;" /></span></a></strong></h4> <p>資安業者Sophos於11月23日，揭露APT駭客組織C-23（亦稱GnatSpy、FrozenCell、VAMP）的攻擊行動，該組織以系統更新的名義，散布木馬程式。一旦使用者不慎安裝，就會被要求開啟多種權限，但比較特別的是，為了讓使用者不疑有他開啟這些權限，過程中攻擊者亦藉由啟用通知、保護網路連線、執行效能模式等名義，再將受害者帶至權限開啟畫面。</p> <p>而在受害者同意所有權限後，這些「系統更新」App還會更換圖示及名稱，佯稱自己是Play市集、Chrome、Google搜尋，或是VOIP電話Botim等，且啟動時也同時會開啟真正的App來掩人耳目，但實際上，這個木馬程式也在背景暗地裡執行。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148017"><span style="color: rgb(0, 0, 0);">攻擊者利用華為應用程式市集散布木馬程式</span></a></strong></h4> <p>防毒業者Doctor Web於11月23日指出，他們發現名為Android.Cynos.7.origin的木馬程式，透過華為的應用程式市集AppGallery散布，這個木馬程式存在於190款遊戲當中，會收集裝置資訊與電話號碼，估計超過930萬名安卓用戶安裝了含有木馬程式的遊戲。華為獲報後已將這些遊戲下架，已經安裝遊戲的用戶需自行刪除遊戲。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147998"><span style="color: rgb(0, 0, 0);">蘋果向以色列網路攻擊公司NSO Group提告</span></a></strong></h4> <p>日前有80名記者揭露，以色列NSO Group製作的間諜程式Pegasus，有數十名政府官員或新聞記者手機感染這個間諜程式，並非該公司聲稱只用於監控犯罪或恐怖份子。對此，繼Meta之後，蘋果11月23日也向NSO Group提告，並打算要求法院禁止這家網路攻擊公司使用蘋果的產品。</p> <h4><strong><a href="https://www.safetydetectives.com/blog/wspot-leak-report/"><span style="color: rgb(0, 0, 0);">無線網路管理軟體WSpot曝露數百萬客戶訊息</span></a></strong></h4> <p>提供防毒軟體評比的SafetyDetectives網站於11月22日指出，他們的資安研究團隊於9月2日發現，巴西無線網路管理解決方案業者WSpot，因配置不當的AWS S3儲存體，疑似曝露約250萬巴西公民的資料，包含姓名、電子郵件地址、性別、出生日期、地址等。經通報後WSpot於9月8日採取保護措施，但這些資料是否已遭到駭客下載？目前仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://blog.checkpoint.com/2021/11/24/check-point-research-discover-vulnerabilities-in-smartphones-chips-embedded-in-37-of-smartphones-around-the-world/"><span style="color: rgb(0, 0, 0);">聯發科SoC存在漏洞，恐影響近4成手機</span></a></strong></h4> <p>資安業者Check Point指出，他們在聯發科SoC中，發現數位訊號處理器（DSP）的韌體，以及處理聲音訊號的硬體抽象層（HAL）中，存在數個漏洞。一旦攻擊者利用，將能透過錯誤的處理器訊息，在DSP韌體藏匿惡意程式碼並執行，進而竊聽用戶。由於目前聯發科的SoC市占約37%，上述漏洞將會波及採用該廠牌SoC的手機與物聯網設備。聯發科獲報後，已於10月完成修補。</p> <h4><strong><a href="https://portswigger.net/daily-swig/vmware-addresses-ssrf-arbitrary-file-read-flaws-in-vcenter-server"><span style="color: rgb(0, 0, 0);">VMware vCenter存在SSRF與任意檔案讀取漏洞</span></a></strong></h4> <p>VMware於11月23日，發布vCenter的更新程式，修補2個漏洞，皆與vSphere的網頁用戶端有關。其中，CVE-2021-21980可被用於任意檔案讀取攻擊，CVSS風險層級為7.5分；CVE-2021-22049可被用於偽造伺服器端請求（SSRF）攻擊，CVSS風險層級為6.5分。美國網路安全暨基礎架構安全局（CISA）也發出資安通告，呼籲用戶儘速修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148004"><span style="color: rgb(0, 0, 0);"><strong>微軟正式提供Edge用戶進階安全模式</strong></span></a></h4> <p>原本用來改善瀏覽器效能的即時編譯（Just-In-Time Compilation，JIT）機制，近年來不斷被發現臭蟲，對此微軟決定，在Edge瀏覽器提供關閉JIT的功能，這項功能被稱為超強安全模式（Super Duper Secure Mode）。微軟在8月開始測試這項功能，並於11月19日發布的正式版本（96.0.1054.29），提供給一般Edge使用者。</p> <h4><a href="https://download.nccst.nat.gov.tw/attachfilehandout/110%e5%b9%b4%e7%ac%ac2%e6%ac%a1%e6%94%bf%e5%ba%9c%e8%b3%87%e9%80%9a%e5%ae%89%e5%85%a8%e9%98%b2%e8%ad%b7%e5%b7%a1%e8%bf%b4%e7%a0%94%e8%a8%8e%e6%9c%83-%e8%ad%b0%e9%a1%8c%e4%b8%89%ef%bc%9a110%e5%b9%b4%e7%b6%b2%e8%b7%af%e6%94%bb%e9%98%b2%e6%bc%94%e7%b7%b4%e6%9a%a8%e8%b3%87%e5%ae%89%e6%8a%80%e8%a1%93%e6%aa%a2%e6%b8%ac%e9%87%8d%e8%a6%81%e7%99%bc%e7%8f%be%e4%ba%8b%e9%a0%85V1.0_1101110.pdf"><strong>2021政府網路攻防演練結果公開，對外系統弱點以無效的身分認證比例最高，仍有帳密相同情況</strong></a></h4> <p>近期政府每年都會舉行網路攻防演練，在今日（11月25日）開始舉行的第2次資通安全防護巡迴研討會期間，行政院資安處同時公布2021年網路攻防演練報告，說明今年演練發現的對外系統弱點，以實際案例說明問題，並提供改善建議，希望公務機關與相關業者能夠清查，不應讓這些問題一再發生。今年的結果顯示，發現「無效的身分認證」與「無效的存取管控」的比例最高，值得注意的議題中，演練發現許多未落實密碼強度檢查機制的狀況，甚至只要在網路上搜尋進駐廠商公司統一編號，就能以此輸入到機關網站的帳號與密碼欄位並登入，以及對於系統功能頁面與參數，沒有檢查對應權限的情形等。此外，網路惡意活動檢視方面，發現機關對於惡意中繼站名單管理的不足，需落實事件調查，建立中繼站名單部署與更新機制；而資料庫安全檢測方面，也有機敏資料明文儲存與未設置安全加密傳輸管道的情形，機關需完備資料保護機制。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://home.kpmg/tw/zh/home/media/press-releases/2021/10/tw-ceo-outlook-2021.html"><span style="color:#000000;"><strong>臺灣企業視供應鏈與網路安全為首要風險</strong></span></a></h4> <p>安候建業（KPMG）針對臺灣具影響力的50名企業CEO進行調查，了解這些人士對於未來3年企業與經濟成長前景的看法，並於近日公布結果。該公司發現，臺灣企業最關注的5種風險中，依序為供應鏈風險（28%）、數位網路安全（24%）、新興/顛覆性科技風險（14%）、環境氣候變遷（10%）、企業營運風險（10%）。安候建業指出，經歷疫情爆發的影響，臺灣CEO對於資安關注更勝過往，尤其是在許多日常工作與活動改以線上進行，使得資安成為許多企業的隱憂。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147999">2021年11月24日</a></p> <p><a href="https://www.ithome.com.tw/news/147978">2021年11月23日</a></p> <p><a href="https://www.ithome.com.tw/news/147957">2021年11月22日</a></p> </div></div></div>
2021/11/25 13:00作者周峻佑https://www.ithome.com.tw/news/148019
駭客把華為AppGallery當跳板來散布木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.drweb.com/show/?i=14360&lng=en" target="_blank">俄羅斯資安業者Doctor Web本周揭露</a>，他們發現有一木馬程式透過華為的AppGallery程式市集散布。Doctor Web將此一木馬程式命名為Android.Cynos.7.origin，<a href="https://github.com/DoctorWebLtd/malware-iocs/blob/master/Android.Cynos/README.adoc" target="_blank">它被嵌入於190款的遊戲中</a>，可蒐集裝置資訊及電話號碼，估計至少有930萬名Android用戶安裝了相關的程式。</p> <p class="rtecenter"><img alt="" src="https://st.drweb.com/static/new-www/news/2021/november/Android.Cynos.7_2.1.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_Doctor Web</span></p> <p class="rtecenter"><img alt="" src="https://st.drweb.com/static/new-www/news/2021/november/Android.Cynos.7_3.1.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_Doctor Web</span></p> <p>Android.Cynos.7.origin是利用Cynos程式模組修改而成，此一模組可直接整合到Android程式中，過去有些Cynos版本甚至能夠傳送付費簡訊、攔截簡訊、下載其它模組或是下載及安裝其它程式，但Android.Cynos.7.origin主要的功能為竊取裝置資訊，包括使用者的手機號碼、基於GPS/行動網路/Wi-Fi熱點的裝置位置資訊、所使用的行動網路參數及裝置的技術規格等，目的在於傳送廣告。</p> <p>整合Android.Cynos.7.origin的遊戲從模擬、街機到射擊遊戲不等，也包括英文、俄文與簡體中文遊戲，華為在收到Doctor Web的通知後，已將這190款遊戲全數下架。不過，已下載相關遊戲的使用者也應刪除手機上的遊戲，來避免持續遭到危害。</p> </div></div></div>
2021/11/25 10:54作者陳曉莉https://www.ithome.com.tw/news/148017
以色列的NSO Group駭進iPhone，蘋果提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2021/11/apple-sues-nso-group-to-curb-the-abuse-of-state-sponsored-spyware/" target="_blank">蘋果周二（11/23）宣布</a>，已控告專門銷售間諜程式Pegasus予各國政府的以色列資安業者NSO Group，為了避免NSO Group繼續傷害用戶，已向法院請求永久禁制令，禁止NSO Group再使用任何的蘋果軟體、服務或裝置。也讓蘋果成為<a href="https://www.ithome.com.tw/news/133908" target="_blank">繼Meta之後</a>，第二家對NSO Group提告的美國企業。</p> <p>NSO Group持續對外宣稱該公司所開發的Pegasus，只出售給用來監控犯罪或恐怖份子的政府，<a href="https://www.ithome.com.tw/news/145754" target="_blank">但全球逾80名記者在今年7月發表了一份鑑識報告</a>，指出至少有23名政府官員或新聞記者的手機感染了Pegasus。Pegasus藉由開採Android及iOS的安全漏洞進駐受害者裝置，加拿大的公民實驗室（Citizen Lab）發現NSO Group的攻擊程式Forcedentry開採了蘋果作業系統上的零時差漏洞CVE-2021-30860，<a href="https://www.ithome.com.tw/news/146698" target="_blank">促使蘋果於今年9月展開了緊急更新</a>。</p> <p>在2019年就控告NSO Group的Meta，也是因為NSO Group開採了旗下WhatsApp的安全漏洞，並植入Pegasus，決定根據美國《電腦詐欺及濫用法令》（ Computer Fraud and Abuse Act）與其它相關法令，來追究NSO Group的責任。</p> <p>此外，<a href="https://www.ithome.com.tw/news/147654" target="_blank">美國在今年11月所制裁的4家專門出售駭客工具的業者中</a>，NSO Group便榜上有名。</p> <p>負責軟體工程的蘋果副總裁Craig Federighi表示，像是NSO Group這類由國家支持的私人企業，斥資數百萬美元以開發複雜的監控技術，卻不被問責的狀況必須要改變，就算蘋果是市場上最安全的消費者裝置，但這類私人企業所發展的間諜程式卻愈來愈危險。此外，儘管相關攻擊具備高度的目標性，只有少數的用戶受到影響，但蘋果也將向其究責。</p> <p>雖然NSO Group積極尋找與開採系統的零時差漏洞，但蘋果強調，新釋出的iOS 15嵌入了許多新的安全機制，雖然NSO Group的間諜程式持續進步，但迄今尚未有任何證據顯示iOS 15或之後的版本遭到入侵。</p> <p>為了協助諸如公民實驗室或Amnesty Tech等人權組織對於網路監控所進行的調查，蘋果承諾將捐出1,000萬美元，也將無償提供技術、威脅情報與工程協助。其實公民實驗室在3月就發現一名受害者的iPhone被植入Pegasus，但一直到9月才確認NSO Group所使用的Forcedentry攻擊程式、是開採了蘋果的零時差漏洞，在蘋果的官方協助下，可望加速安全漏洞的辨識與修補。</p> <p>此外，蘋果亦將遵循業界的最佳實作，在用戶受到由國家贊助的間諜程式攻擊時，通知受害者，包括遭到Forcedentry攻擊程式鎖定的目標在內。</p> </div></div></div>
2021/11/24 12:37作者陳曉莉https://www.ithome.com.tw/news/147998
DuckDuckGo釋出新功能以防止Android用戶遭到追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在今年4月釋出iOS 14.5，啟用了追蹤透明化（App Tracking Transparency，ATT）政策，要求所有程式在追蹤用戶之前都必須先取得用戶的明確同意，目前Google尚未完全跟上蘋果的腳步，但隱私搜尋引擎業者DuckDuckGo上周新增了App Tracking Protection for Android功能，主要用來封鎖那些藏匿在App中的第三方追蹤器，包括Google及臉書。</p> <p><a href="https://spreadprivacy.com/introducing-app-tracking-protection/" target="_blank">DuckDuckGo解釋</a>，許多企業都躲在行動程式中來追蹤使用者，例如藏在Nike程式中的Google，這些企業不但能得知使用者於程式中的行為，就算未使用該程式時也能進行追蹤，不少程式的預設是即時紀錄使用者的動態，甚至能夠知道使用者的睡眠時間有多長。</p> <p>因此，使用者手機上所安裝的程式，其實已將用戶的個人資料傳送給數十家第三方業者，以供Google或臉書等廣告網路建立使用者的數位檔案，部署個人化廣告，有些第三方業者可能會將個資出售給其它的資料掮客或政府。</p> <p>根據DuckDuckGo的測試，Android上熱門的免費程式中，超過96%都嵌有第三方的追蹤器，有87%會把資料傳送給Google，有68%會傳送給臉書。</p> <p>因此，DuckDuckGo準備在其Android程式中新增一項App Tracking Protection for Android功能，專門用來阻擋這些第三方的追蹤器，它會檢查Android程式是否將資料傳送至第三方的追蹤企業，並封鎖這些請求。</p> <p>由於該功能利用了本地端的VPN連結功能，因此在啟用之後，裝置會將它視為VPN，但它並未將資料導至外部伺服器，因此並非真的是個VPN。</p> <p>Google其實也計畫採取類似蘋果ATT的政策，<a href="https://www.ithome.com.tw/news/144830" target="_blank">已宣布自Android 12開始</a>，開發者即無法存取已退出個人化廣告的廣告ID，且明年初就會擴大實施至Google Play上的所有程式。</p> </div></div></div>
2021/11/22 14:49作者陳曉莉https://www.ithome.com.tw/news/147965
趨勢科技預警：汽車駭客鎖定車用公版系統伺機埋入惡意程式，臺灣汽車供應鏈業者需留心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了因應環境永續以及減少碳排放、降低空污的目標，預計到2030年，電動車和油電混合車會是主流；但到2040年，全部將成為電動車的市場。隨著大電動車時代的來臨，只要使用的人多，自然就是駭客鎖定研究和攻擊的標的。</p> <p>趨勢科技全球核心技術部未來車研究群資深技術協理張裕敏日前在一場研討會中表示，未來電動車形同是裝著四個輪子的電腦，他分析過去幾年、至少30起以上駭客入侵電動車的各種攻擊手法發現，駭客最喜歡採用入侵汽車的手法就是「讓汽車失控」（Loss of Control）。</p> <p>若從汽車駭客（Car Hacking）的觀點來看，張裕敏認為，駭客最終就是要設法取得汽車的控制權，但因為目前汽車廠牌和作業系統多，透過鎖定特定車種再設法直接入侵汽車的方式，不僅曠日廢時，變現成效也差。</p> <p>因此，張裕敏表示，最近半年來，有越來越多的許多汽車駭客發現，汽車供應鏈周邊廠商資安防護脆弱，便有許多汽車駭客積極鎖定車用公版系統、伺機將後門程式邁入車用公版系統原始碼，這也成為近期常見的汽車駭侵攻擊手法。他說：「全世界有95％車用零組件供應鏈都在臺灣，為了避免汽車駭客入侵，臺灣車用零組件供應鏈業者都應該提高警覺。」</p> <p>此外，因為現在各種汽車廠牌使用的車用作業系統以及車用電腦大不相同，張裕敏指出，該公司也採用MITRE Att&Ck的攻擊手法分類，歸納出14類、97個入侵汽車的攻擊手法，彙整成「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖），預計明年將向MITRE提案。</p> <h3><strong>電動車駭侵事件，囊括BMW、克萊斯勒、賓士和特斯拉等大廠</strong></h3> <p>因應環保和便利，燃油車轉向電動車已經是一種趨勢，但隨著汽車連網比例逐漸增加，使用各種雲端服務也越來越多，汽車面臨的資安風險也隨之而來；而電動車只要加上自動駕駛的車用電腦，就成為一臺自駕車，張裕敏說，近期發現，開始有許多美國畢業生不打算考汽車駕照，改開自駕車、交由汽車自動駕駛。</p> <p>除了自動駕駛、上下班自動接送外，自駕車一旦行駛到馬路上，彼此之間就會自動測距、保持安全距離，自駕車之間也會彼此閒聊、打招呼。他說，如此人性化的自駕車除了必須要能連網外，也需要更多的感應器、車用小電腦和各種雲端服務配合，這也成為汽車駭客鎖定攻擊的標的。</p> <p>趨勢科技未來車研究群彙整分析從2015年開始，超過30起駭客入侵電動車的資安事件，影響的汽車品牌從BMW、克萊斯勒Jeep、Lexus、賓士汽車、三菱汽車、Nissan、Tesla（特斯拉）到Volkswagen等；受駭範圍包括汽車App、Passive Keyless Entry System、AfterMarket IVI，以及其他供應商業者等。</p> <p>張裕敏指出，從過去爆發汽車駭客入侵的多起案例發現，各家電動車遭駭的手法，大多是從連網系統、遠端攻擊、無線通訊網路的藍牙系統或是雷達感應煞車胎壓系統等開始入侵，但對車廠或是車主而言，因為攻擊者和受駭者的資訊不對等，要能夠有效防禦有其難度。</p> <h3><strong>歸納出14類、97個汽車駭客攻擊技巧，彙整出車用MITRE攻擊地圖</strong></h3> <p>他認為，之所以要分析汽車遭駭事件的攻擊手法，就是要從新聞報導的蛛絲馬跡中，了解駭客攻擊的技術細節與戰術，進一步找出可重複使用與檢視的攻擊技巧方塊，再藉此分析並檢視駭客使用的攻擊TTP，並找出可以有效防禦的工具，以及可以暫時轉移風險的方法，爭取修補該電動車漏洞的的時間。</p> <p>「因為攻擊資訊不精確、不一致，車廠和車主也不知道該如何防護汽車駭客入侵，汽車產業需要一個更好的工具來做資安協防。」張裕敏說，因此，仿效MITRE ATT&CK的攻擊地圖，歸納出駭客最常使用的14類、97個攻擊技巧，彙整成「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖），就可以從俯視的角度了解汽車駭客的攻擊流程，也知道該從哪個環節做防禦。「這個「MITRE ATT&CK Matrix for Automotive」預計明年會向MITRE提案。」他說。</p> <p>根據統計，超過二成（21.3％）的汽車駭客，最喜歡從「Impact」類的攻擊方式入侵；其次是環境操控（Manipulate Environment）和影響車用系統（Affect Vehicle Function），各占14％；第四名是憑證存取（Credential Access），占12.7％，第五名是初始存取（Initial Access），占12％。</p> <p>張裕敏坦言，若是統計過去30起汽車駭侵事件發現，駭客最重要的目的就是占領車子，最常見的氣巧就是讓車子失控（Loss of Control），其次是修正系統影像（Modify System Image），第三是操控Can Bus Message系統，以及監聽網路封包（Network Sniffing）。</p> <h3><strong>駭客鎖定臺灣車用供應鏈業者，伺機將惡意程式植入車用公版系統原始碼中</strong></h3> <p>不過，車子品牌太多，車用作業系統也有十幾種，常用的是：QNX、AGL跟Android automotive等三種車用作業系統；加上，一臺電動車內部動輒50個～100個車用控制單元（Electronic Control Unit，ECU），假設一臺車有15個駭客可以攻擊的入侵點，但駭客要鑽研一個攻擊技術往往曠日廢時，對於希望可以快速變現、追求利潤的駭客往往緩不濟急的情況下，慢慢找漏洞真的太慢了，「汽車駭客也學會超前部署。」張裕敏說道。</p> <p>他進一步解釋，「找漏洞不如埋後門」的情況下，駭客近期也開始透過長期布局，鎖定車用零組件周邊廠商的供應鏈，試圖從資安防護最弱的環節入侵，攻擊供應鏈廠商內部或研發單位內部，將車用惡意程式埋進車用公版系統的原始碼中，直到車商將公版系統部署到汽車後，駭客就可以透過韌體更新啟動惡意程式、伺機而動。</p> <p>張裕敏也提出預警，95％車用零組件業者都在臺灣，最近半年，駭客傾向鎖定車廠供應鏈業者的網站電郵寄發魚叉式釣魚郵件，或者是透過攻擊供應鏈廠商的網站、進到工廠或研發單位內部電腦，再設法把惡意的木馬程式放到一些常用公版系統的原始碼中，等到，原本公版系統的程式被車廠使用後，駭客就可以伺機啟動惡意蹭。趁機勒索車廠和車主。他提醒，相關車廠供應鏈業者，都應該升級資安防護等級。</p> <h3><strong>從法規遵循和V-SOC兩個面向，確保汽車安全性</strong></h3> <p>為了提升車用資訊安全，張裕敏表示，可以從法規遵循和V-SOC兩個面向來看。</p> <p>他表示，原有的國際標準並沒有涵蓋車子新面對的網路安全議題，所以，國際標準組織便針對車用網路安全，提出ISO/SAE 21434汽車網路安全國際標準，法規內容分成15各章節加上附錄，是從風險評估的面向，來辨識各種對汽車造成的關鍵威脅以及如何減輕威脅的方法。</p> <p>他說，該標準主要是使用基於V形圖（V-diagram）的流程來管理相關的實施辦法，同時定義了從車子設計到退役，整個車輛生命週期必須遵循的流程。未來汽車供應鏈業者都可以參考該標準，作為車子的軟硬體，從設計、開發、部署、執行、完工到後續稽核的網路安全參考指南。</p> <p>另外一個重要的法規參考依據就是WP.29公布的管理法規。張裕敏表示，成立於1952年的「世界車輛法規協調論壇」是聯合國歐洲經濟委員會可持續交通系統部門的工作組，也稱為「WP.29」，分別在1958年、1997年以及1998年制定三份有關車輛生產、核可技術規範，以及定期技術檢測的多邊協定，車廠都必須在這三份協定的框架下開發工作。</p> <p>其中，WP.29於1998年在日內瓦制定《全球性汽車技術法規協定書》（簡稱為《1998年協定書》），</p> <p>是針對汽車安全管理弱點以及安全問題遵循的協議書，有其法律位階，各國也必須在各自法律上那同樣架構，這一份規則讓各國都必須在這個法律框架下，共同制定或修訂全球統一的汽車技術法規程序和規則，若不遵照相關規則，該臺汽車則無法上市。</p> <p>其中，《1998年協定書》附錄五列出車子網路安全威脅有關的說明，也整理相關資安威脅與風險轉移的措施；趨勢科技也法法規和課課攻擊技術做對應，不管駭客使用無線網路攻擊、Keyless攻擊等，會在「MITRE ATT&CK Matrix for Automotive」（車用MITRE攻擊地圖）把駭客攻擊技術邊後，「找到97種汽車駭客入侵技術，就可以找到相對應的法規、修補或風險規避方式，確保汽車的安全合規。」他說。</p> <p>另外，張裕敏認為，汽車產業應該要思考打造一個V-SOC做資安情資分享和聯防，車廠應該要自問「對車子掌握度多高？」「車子遭駭時，車廠能否即時知道？」「面對汽車駭侵事件，車廠有無能力做數位鑑識？」</p> <p>加上，未來汽車都將朝向電動車和自駕車發展，需要相關的基礎建設和營運，不管是充電樁、雲端服務、車用軟體OTA（Over The Air）更新服務和網路通訊等，都可能是駭客攻擊的目標，V-SOC是否可以收到相關攻擊，甚至於，即時下指令讓汽車切換頻率、頻道，有效規避相關安全風險呢？甚至於，為了提高汽車安全性，避免許多元件故障造成汽車拋錨、必須進場維修的困境，V-SOC能否收集並監控汽車元件的損耗資訊，在故障前，發訊息通知車主、及早進場維修更換呢？他認為，未來V-SOC將會是保持電動車安全的重要關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A7%AD%E5%AE%A2%E5%96%9C%E5%A5%BD%E6%94%BB%E6%93%8A%E8%85%8C%E6%98%AF%E7%B5%B1%E8%A8%88_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 566px; height: 493px;" /></p> <blockquote><p>趨勢科技統計汽車駭客最喜歡採用的攻擊方式發現，超過二成（21.3％）的汽車駭客，最喜歡從「Impact」類的攻擊方式入侵，其次是環境操控（Manipulate Environment）（14％）和影響車用系統（Affect Vehicle Function）（14％）。</p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">資料提供：趨勢科技</span></p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A7%AD%E5%AE%A2%E5%B8%B8%E8%A6%8B%E6%94%BB%E6%93%8A%E6%B1%BD%E8%BB%8A%E6%8A%80%E8%A1%93_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%20.png" style="width: 842px; height: 464px;" /></p> <blockquote><p>趨勢科技統計過去30起汽車駭侵事件發現，駭客最常使用的氣巧就是讓車子失控（Loss of Control），其次是修正系統影像（Modify System Image），第三是操控Can Bus Message系統，以及監聽網路封包（Network Sniffing）。</p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">資料提供：趨勢科技</span></p> </blockquote> <p> </p> <p> </p> <p> </p> </div></div></div>
2021/11/22 12:10作者黃彥棻https://www.ithome.com.tw/news/147955
【資安日報】2021年11月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期中東的局勢嚴峻，不時有資安事故傳出，例如，<a href="https://www.ithome.com.tw/news/147559">日前伊朗的國營石油公司遭到入侵</a>，導致民眾無法加油，而今天有數則資安新聞也與中東有關，包含了中東當地的攻擊事故揭露：以色列網路攻擊業者Candiru攻擊中東多個國家的網站，以及臉書攔截了巴基斯坦駭客攻擊阿富汗用戶的行動，而來自於中東對於其他地區的攻擊行動，則有伊朗政府資助的駭客對於美國、英國、澳洲等地的關鍵基礎設施下手的情況。</p> <p>而從國際的資安趨勢來看，最近只是是多起國家之間要宣布結盟對抗勒索軟體等網路攻擊的合作計畫，但現在不是只有防守方想要團結起來，發動攻擊的組織也打算尋：俄羅期勒索軟體駭客正尋求跨國合作，徵求中國駭客提供有關資源。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://about.fb.com/news/2021/11/taking-action-against-hackers-in-pakistan-and-syria/"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客攻擊阿富汗臉書用戶</span></a></strong></h4> <p>臉書於11月16日公告，他們在今年8月，移除巴基斯坦駭客SideCopy所經營的帳號，這些攻擊者多半佯稱是年輕的女性，藉此誘騙受害者點選惡意URL，然後下載惡意的即時通訊軟體，內有PJobRAT或Mayhem惡意程式，一旦受害者信以為真安裝，裝置上的資料將遭到竊取，甚至連結受害裝置的電腦，資料也可能會被偷走。</p> <h4><strong><a href="https://www.ithome.com.tw/news/147883"><span style="color: rgb(0, 0, 0);">中東網站遭到以色列網路攻擊公司Candiru攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Cloned-version-of-the-Medica-Trade-Fair-website.png" style="width: 300px; height: 233px; float: right;" /></span></a></strong></h4> <p>資安業者ESET發現2波針對中東網站的水坑式攻擊，第1波始於2020年4月，持續到同年7月底；第2波出現於今年1月，攻擊延續至8月，這2波攻擊總共危害數十個網站，受害者包含了專門報導中東新聞的英國媒體Middle East Eye，伊朗外交部、葉門內政部、葉門財政部、敘利亞電力部，以及敘利亞和葉門的ISP等。至於攻擊者的身分，ESET研判就是甫遭美國制裁的以色列駭客公司Candiru。</p> <h4><strong><a href="https://us-cert.cisa.gov/ncas/alerts/aa21-321a"><span style="color: rgb(0, 0, 0);">伊朗政府資助的駭客利用Exchange Server與Fortinet漏洞，針對關鍵基礎設施發動攻擊</span></a></strong></h4> <p>美國網路安全暨基礎架構安全局（CISA）、美國聯邦調查局（FBI）、澳洲網路安全中心（ACSC）、英國國家網路安全中心（NCSC）聯手提出警告，他們自2021年3月以來，發現由伊朗政府資助的APT駭客，鎖定多個關鍵基礎設施下手，其中入侵受害組織的管道，包含了Fortinet SSL VPN漏洞CVE-2018-13379、CVE- 2019-5591、CVE-2020-12812，以及Exchange Server的ProxyShell漏洞（CVE-2021-34473）。</p> <h4><strong><a href="https://www.flashpoint-intel.com/blog/ramp-ransomware-chinese-threat-actors/"><span style="color: rgb(0, 0, 0);">俄羅斯勒索軟體駭客企圖尋求與中國駭客結盟<img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-11-09%20at%2012_58_42%20PM.png" style="width: 300px; height: 116px; float: right;" /></span></a></strong></h4> <p>資安業者Flashpoint發現，駭客論壇RAMP近期一改以俄文為主要的使用語言，管理者不只改以英文發布訊息，且針對中文使用者提供專屬討論區。研究人員提到，10月便有使用者向2名中國用戶，尋求勒索軟體與漏洞購買的消息。目前此論壇約有30名中國用戶。</p> <h4><strong><a href="https://securityintelligence.com/posts/brazking-android-malware-upgraded-targeting-brazilian-banks/"><span style="color: rgb(0, 0, 0);">安卓銀行木馬BrazKing運用新手法，在幾乎不需權限的情況下照樣竊密</span></a></strong></h4> <p>IBM威脅情報團隊指出，他們針對新版BrazKing銀行木馬進行分析後發現，攻擊者採用過往相當少見的手法，來迴避資安系統的偵測。像是有別於其他的銀行木馬程式會向用戶要求各式權限，BrazKing使用系統的無障礙服務，而只需要少量的權限即可執行竊密工作；對於覆蓋手機螢幕的內容，研究人員發現BrazKing會先偵測正在執行的處理程序，再從C2中繼站下載所需的工具，而能躲過沙箱的虛擬機器環境檢測。</p> <h4><strong><a href="https://www.ncsc.gov.uk/collection/ncsc-annual-review-2021"><span style="color: rgb(0, 0, 0);">英國揭露2021年資安事故處理情形</span></a></strong></h4> <p>英國國家網路安全中心（NCSC）發布了年度報告指出，他們在2020年9月至2021年8月，總共處理了777年資安事故，較前1年增加7%，且其中的五分之一，與醫療產業及武漢肺炎疫苗有關。該單位指出，上述的資安事故數量增加的主要原因，與他們主動識別威脅的能力強化有關。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://us-cert.cisa.gov/ncas/current-activity/2021/11/16/new-federal-government-cybersecurity-incident-and-vulnerability"><span style="color: rgb(0, 0, 0);">美國發布資安事故與弱點的因應指引</span></a></strong></h4> <p>美國白宮於5月發布行政命令，要求美國網路安全暨基礎設施安全局（CISA）制訂標準的作業程序，讓聯邦機構能夠遵循。CISA於11月16日，發布《聯邦政府資訊安全事故與弱點因應指引》（Federal Government Cybersecurity Incident and Vulnerability Response Playbooks），該指引提供決策樹（Decision Tree）與因應步驟的細節，讓聯邦市民執行分支機構（FCEB）能對於資安事故與漏洞的緩解，有一套標準的操作程序。</p> <h4><strong><a href="https://thehackernews.com/2021/11/researchers-demonstrate-new-way-to.html"><span style="color: rgb(0, 0, 0);">研究人員透過機器學習，識別用於中間人攻擊的作案工具<img alt="" src="https://s4.itho.me/sites/default/files/images/phishing(1).jpg" style="width: 300px; height: 116px; float: right;" /></span></a></strong></h4> <p>石溪大學（Stony Brook University）和資安業者Palo Alto Networks聯手，研發了一種網路指紋辨識技術，藉由網路層的屬性，自動化識別攻擊者用於中間人（MitM）攻擊的網釣工具包，這項偵測工具被命名為Phoca，能用於發現過往難以察覺的攻擊行動，並且能夠檢測及隔離有關的惡意連線請求。研究人員宣稱，Phoca能夠成功偵測工具包的正確性達99.9%。</p> <p> </p> <h3><strong>【隱私保護】</strong></h3> <h4><strong><a href="https://www.gov.taipei/News_Content.aspx?n=74806083EBDF5A03&sms=72544237BBE4C5F6&s=4976C82FFF0D406B"><span style="color: rgb(0, 0, 0);">臺北通遭質疑實聯制資料保管不當，市政府進行說明</span></a></strong></h4> <p>臺北市市議員林亮君在質詢時提出，臺北市政府的手機應用程式「臺北通」，可能有暗中收集民眾資料多達5千萬筆的疑慮，且可能因為有外國人使用而違反GDPR。對此臺北市政府資訊局指出，上述的5千萬筆為實聯制資料，在28天後就會刪除，臺北市政府與中央都沒有保存歷史資料，而對於個資的收集與處理，則是依據個資法辦理，並強調個資受到嚴格保護，甫成立的大數據中心僅會將資料用於輔助市府決策，不會販賣民眾的個資。至於GDPR的部分，資訊局表示，臺北通並無出於商業目的之資料監控或個人分析行為，也沒有在歐盟境內設立據點與資料運用，故不適用GDPR。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147880">2021年11月17日</a></p> <p><a href="https://www.ithome.com.tw/news/147857">2021年11月16日</a></p> <p><a href="https://www.ithome.com.tw/news/147841">2021年11月15日</a></p> </div></div></div>
2021/11/18 13:32作者周峻佑https://www.ithome.com.tw/news/147902
【資安日報】2021年11月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織在今年的年初，圍剿Emotet殭屍網路的基礎設施，但這個殭屍網路近期再度出現活動，可說是本日最重大的資安新聞。比較特別的是，研究人員發現，駭客重新讓Emotet復活的方式，竟是透過另一個殭屍網路TrickBot的基礎架構。</p> <p>在DDoS攻擊的態勢來說，近期規模達到2 Tbps等級的事故，上個月<a href="https://www.ithome.com.tw/news/147258">微軟才揭露Azure用戶於8月遭到2.4 Tbps的攻擊</a>，而最近Cloudflare也攔截到近2 Tbps的攻擊，並表明流量來自殭屍網路。這是繼<a href="https://www.ithome.com.tw/news/146339">該公司揭露每秒發出1,700萬次連線請求的DDoS攻擊事故</a>之後，另一起殭屍網路發動的大規模DDoS攻擊。</p> <p>而在漏洞揭露的部分，又以知名Node.js套件管理器Npm的漏洞修補為受矚目，因為，他們終於將日前多個套件遭不明人士用來發布惡意版本的漏洞予以修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-is-back-and-rebuilding-its-botnet-via-trickbot/"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet捲土重來，透過TrickBot基礎設施重建殭屍網路</span></a></strong></h4> <p>今年年初，由歐洲刑警組織與歐洲司法組織聯手，接管了Emotet的基礎設施，並逮捕2名成員，但最近，研究人員看到Emotet再度活動的跡象。資安業者GData、Advanced Intelligence，以及資安研究團隊Cryptolaemus指出，他們看到攻擊者透過TrickBot惡意軟體在受害裝置上，植入Emotet的載入器，經調查後發現，Emotet背後的駭客透過TrickBot現有的基礎設施，重新建置Emotet的殭屍網路。</p> <h4><strong><a href="https://blog.cloudflare.com/cloudflare-blocks-an-almost-2-tbps-multi-vector-ddos-attack/"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai發動近2 Tbps的DDoS攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/image2-2.jpg" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>CDN服務業者Cloudflare於11月13日指出，他們緩解了一波DDoS攻擊，流量最高達到接近2 Tbps，該公司宣稱，這是他們看到最大流量的攻擊事故，攻擊來自約15,000個物聯網設備與尚未修補的GitLab主機，這些裝置上執行了Mirai的變體病毒，且利用DNS放大與UDP洪水攻擊等手法，進行DDoS攻擊。</p> <h4><strong><a href="https://www.cleafy.com/cleafy-labs/sharkbot-a-new-generation-of-android-trojan-is-targeting-banks-in-europe"><span style="color: rgb(0, 0, 0);">安卓木馬SharkBot鎖定歐洲銀行用戶而來</span></a></strong></h4> <p>提供網路詐騙防治解決方案的Cleafy指出，他們在10月底發現新的安卓木馬程式SharkBot，一旦受害手機安裝了SharkBot，攻擊者將會透過系統的輔助服務，來掌控用戶的銀行資訊，且竊取帳密與信用卡資料，此外，該木馬程式亦具備攔截銀行發送的SMS簡訊的能力。根據殭屍網路的架構，Cleafy認為，該殭屍網路可能鎖定的目標，是英國、意大利，以及美國的銀行與加密貨幣交易所。</p> <h4><strong><a href="https://abnormalsecurity.com/blog/tiktok-credential-phishing"><span style="color: rgb(0, 0, 0);">釣魚郵件攻擊鎖定125個TikTok名人帳號下手<img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-email-october.png" style="width: 300px; height: 227px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Abnormal Security指出，他們看到攻擊者在10月2日及11月1日，總共向超過125個名人或是企業，發送釣魚郵件，疑似鎖定TikTok用戶而來。信件的內容宣稱，用戶疑似上傳侵權影片，必須依照指示回覆，否則TikTok帳號將在48小時內刪除。一旦依照指示回信，攻擊者就會要求透過WhatsApp進行對話，藉此繞過TikTok的雙因素驗證，進而挾持受害者的帳號。</p> <h4><strong><a href="https://www.intruder.io/research/practical-http-header-smuggling"><span style="color: rgb(0, 0, 0);">駭客利用HTTP標頭偷渡手法攻擊AWS</span></a></strong></h4> <p>資安業者Intruder指出，他們看到一種新的攻擊手法，鎖定HTTP請求的標頭（Header），來偷渡惡意請求，這種做法被稱為HTTP標頭偷渡（HTTP Header Smuggling），駭客的攻擊目標，主要是AWS的API閘道。研究人員將上述發現通報AWS，該公司也進行處理，但研究人員進一步測試發現，他仍然可以使用相同手法發動攻擊，從而導致容易被利用的快取中毒問題。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/k/groups-target-alibaba-ecs-instances-for-cryptojacking.html"><span style="color: rgb(0, 0, 0);">阿里雲ECS設備被用於挖掘加密貨幣</span></a></strong></h4> <p>趨勢科技於11月15日揭露，他們發現多組駭客鎖定阿里雲的Elastic Compute Service（ECS）下手，挾持這些虛擬設備進行挖礦。研究人員指出，攻擊者不只移除阿里巴巴內建的安全代理程式，並藉由建立防火牆的規則，封鎖來自阿里巴巴網域的封包。此外，攻擊者也濫用自動延展機制，來增加挖礦所需的算力。</p> <h4><strong><a href="https://blog.sucuri.net/2021/11/fake-ransomware-infection-spooks-website-owners.html"><span style="color: rgb(0, 0, 0);">近300個WordPress網站遭駭，攻擊者宣稱加密檔案並索討贖金<img alt="" src="https://s4.itho.me/sites/default/files/images/siteencrypted.png" style="width: 300px; height: 110px; float: right;" /></span></a></strong></h4> <p>資安業者Sucuri自11月12日起，發現約有291個WordPress網站遭到入侵，攻擊者竄改網站並宣稱網站遭到加密，要求網站管理者限時支付0.1個比特幣（約6,030.38美元）來恢復網站運作。但研究人員指出，這些網站實際上並未遭到加密，勒索訊息的網頁是被攻擊者植入的外掛程式產生。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/npm-fixes-private-package-names-leak-serious-authorization-bug/"><span style="color: rgb(0, 0, 0);">Npm修補他人能冒名發布新版套件的漏洞</span></a></strong></h4> <p>知名Node.js套件管理器Npm近期修補了2個漏洞，其中1個可讓他人在未經充分授權的情況下，以開發者的名義發布新版Npm套件。這項漏洞發生的原因，是Npm註冊表與多個微服務之間，身分驗證查核與資料驗證不當所致。此外，有鑑於日前UA-Parser.js、COA、Rc等多個套件遭到挾持，Npm也預告，將於2022年第一季要求開發者啟用雙因素驗證（2FA）。</p> <h4><strong><a href="https://blog.talosintelligence.com/2021/11/lantronix-premier-wave-vuln-spotlight.html"><span style="color: rgb(0, 0, 0);">Lantronix無線晶片模組存在近20個漏洞，恐被用於執行任意程式碼</span></a></strong></h4> <p>思科在Lantronix的嵌入式無線晶片模組PremierWave 2050裡，發現19個漏洞，這些漏洞與網頁管理介面有關。其中，有12個漏洞能讓攻擊者透過記憶體緩衝區溢位等方式，來把持網頁管理介面，進而執行任意程式碼；6個為目錄穿越漏洞，以及1個本地檔案包含（Local File Inclusion，LFI）漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.tuvsud.com/en/press-and-media/2021/november/tuev-sued-cybersecurity-trends-in-2022"><span style="color: rgb(0, 0, 0);">全球將通力合作提升網路安全，供應鏈將會有一致的安全標準</span></a></strong></h4> <p>南德認證檢測公司（TÜV SÜD）於11月16日，發布2022年的資安預測，他們認為，網路攻擊會走向有人提供有關工具的服務型態「網路犯罪即服務（Cybercrime as a Service）」，使得資安威脅加劇，但在此同時，全球對於資安的意識抬頭，各國會尋求合作，共同制訂網路安全標準，而且，資安也會成為消費者選購連網設備的重要考量。再者，在軟體開發供應鏈中，同樣會出現統一的資安標準。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/147857">2021年11月16日</a></p> <p><a href="https://www.ithome.com.tw/news/147841">2021年11月15日</a></p> <p><a href="https://www.ithome.com.tw/news/147798">2021年11月12日</a></p> </div></div></div>
2021/11/17 13:24作者周峻佑https://www.ithome.com.tw/news/147880
Google修補了Pixel 6自己隨機撥電話給聯絡人的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/147357" target="_blank">採用Google自製晶片的Pixel 6及6 Plus</a>被認為是物超所值的選項，不過新手機卻有些令人困擾的問題。<a href="https://www.androidpolice.com/google-fixes-the-pixel-6s-random-ghost-dialing-bug/" target="_blank">Android Police報導</a>，Pixel 6、6 Plus含有會自己撥電話給聯絡人的臭蟲，有的還發生在半夜。</p> <p><a href="https://www.reddit.com/r/Android/comments/qnag79/some_pixel_6_phones_are_ghost_dialling_random/hkduuo3/" target="_blank">本月初多名用戶在論壇網站Reddit反映</a>，他們的Pixel 6及6 Plus會無預警自動撥打電話給聯絡人名單中的友人，有人事發時間在凌晨4點鐘，有人的手機處於鎖定狀態，有人聽見自己的手機念到「Call XXX mobile」，有人則是事後看到Google Assistant紀錄顯示，它聽到「Call XXX」指令而撥出電話。這些通話對象顯然是Google從用戶手機聯絡人隨機挑選出來。</p> <p>使用者很快推論出元兇是Google Assistant的「Hey Google」關鍵詞偵測功能。可能是該功能的臭蟲使其驅動Assistant撥出電話；把這項功能關掉就不會再有令人毛骨悚然的情形。</p> <p><a href="https://www.reddit.com/r/Android/comments/qnag79/some_pixel_6_phones_are_ghost_dialling_random/hkduuo3/" target="_blank">Google Pixel社群經理上周證實這項問題</a>，並表示Google已經釋出修補程式，從Google Play下載、升級到Google App 12.43.18以後版本就可以解決問題。</p> <p>這是Pixel 6上市以來最新問題之一。其他問題還包括指紋掃瞄，有人反映它解鎖動作很慢，還有人Pixel 6電池用完電，之後再充飽電，指紋解鎖功能就故障了，也不能再註冊指紋。Google承諾正在解決該問題。</p> </div></div></div>
2021/11/16 10:51作者林妍溱https://www.ithome.com.tw/news/147854
讓語言障礙的帕金森氏症、腦麻病患更容易與人溝通！Google新App能幫忙轉譯文字再合成語音唸出聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">全球有數百萬人受到中風、漸凍症、腦性麻痺、腦部創傷或帕金森氏症等病症影響，無法發音正確且流暢的說話，導致說出來的話難以被他人理解。Google正在測試一款Android應用程式稱為<a href="https://blog.google/outreach-initiatives/accessibility/project-relate/" target="_blank">Relate</a>，旨在協助語言障礙人士，讓他們更輕鬆地和他人溝通，並能與Google語音助理互動。近日也徵求來自澳洲、加拿大、紐西蘭和美國的英語測試人員，來進行Beta版測試。 </p> <p dir="ltr">Relate計畫從2018年展開，試圖以語音辨識的技術，來改善語言障礙者說話難被理解的處境。Google AI部門產品經理Julie Cattiau指出，一般的語音識別技術，在缺乏非典型語料作為訓練資料的情況下，無法辨識這類說話型態，所以Google語音與研究團隊數年來召集語言障礙者參與研究，錄製特殊語音樣本，目前已經累積超過數百萬筆特殊語料，來訓練非典型語音辨識模型。</p> <p dir="ltr">參與這項計畫的其中一位語言障礙人士，就是Google的品牌經理Aubrie Lee，同時是Google身心障礙員工資源小組的主席，她患有肌肉萎縮症，導致語言能力受到影響。但從Google<a href="https://www.youtube.com/watch?v=EU2oCVlzEZk&t=5s" target="_blank">釋出的影片</a>可以看到，這款App已經能在Aubrie Lee點餐時，正確覆述她的餐點內容，以便讓店員更容易理解她的意思。她也因此為App命名為Relate（訴說）。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Relate涵蓋三大功能：聆聽、覆述、啟用Google助理</span></h3> <p dir="ltr">Google整合了核心語音識別模型與多項既有技術，開發了Relate應用程式。這款App涵蓋三大功能。其一，是最核心的語音轉文字功能（Speech-to-text），讓使用者先錄製約250～500組語音詞彙，由AI引擎自動學習並訓練出個人化的語音識別模型，來正確瞭解使用者獨特的說話方式，並將語音轉譯為文字。</p> <p dir="ltr">Julie Cattiau表示，錄製500組詞彙大約需要30～90分鐘不等，但若錄製了250組詞彙後，模型準確度已經達到一定標準，則會提前釋出模型來應用，「這取決於語言障礙者本身語態可被理解的程度。」</p> <p dir="ltr">而這些需要預錄製的詞彙，也非使用者隨機挑選，團隊會從日常用語及Google語音助理常用詞彙中彙整，再要求使用者錄製。因此，這款App並不一定適用所有場景，比如使用者說出「mathematics（數學）」這個詞彙時，App不一定能辨識出來，但使用者可以自行建立個人化的詞彙，比如家人朋友的名字、特殊常用詞彙等，擴大App可識別的詞彙範圍。「新增App需求之外的詞彙，也能讓模型變得更加堅固（robust）。」Julie Cattiau說。</p> <p dir="ltr">App的另兩項功能，則是整合了Google本身的相關技術，比如語音合成功能（Text-to-speech），也就是當使用者的特殊語音轉為文字資訊後，App可將文字以清楚的合成語音重新覆述。App還能串接Google語音助理，讓使用者透過App啟動語音助理，來進行開燈、點播歌曲等操作。</p> <p dir="ltr">之所以將特殊語音識別技術與Google語音助理結合，來啟動多種操作，Julie Cattiau表示，「導致語言障礙的疾病，通常伴隨著行動障礙，對使用者來說，更需要Google Home這類科技工具的輔助。」透過這款App，Google不只要讓語言障礙者更容易與他人溝通，也要讓其生活更加便利。</p> <p dir="ltr">不過，這款App目前只支援英文，Google還在研究，如何將這項技術擴大應用到其他語言中。</p> </div></div></div>
2021/11/12 18:11作者翁芊儒https://www.ithome.com.tw/news/147816
高通搭上元宇宙列車，發表Snapdragon Spaces開發者平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球行動晶片龍頭高通（Qualcomm）也搭上了元宇宙（Metaverse）的列車，<a href="https://www.qualcomm.com/news/releases/2021/11/09/snapdragon-spaces-xr-developer-platform-launches-create-headworn-ar" target="_blank">在11月9日發表了名為Snapdragon Spaces的XR（Extended Reality，延展實境）開發者平臺</a>，它其實是個頭戴式的AR開發者套件，於本周展開預覽，預計於明年春天正式推出。</p> <p class="rtecenter"><img alt="" src="https://www.qualcomm.com/sites/ember/files/styles/optimize/public/press-releases/managed-images/snapdragon_spaces_lifestyle_asset.png?itok=YU5uALN9" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_高通</span></p> <p>本周高通並未提及Snapdragon Spaces的硬體設備，僅說它所提供的軟體開發者套件（SDKs）支援Epic Games的3D遊戲引擎Unreal Engine，也會整合<a href="https://www.ithome.com.tw/news/147739" target="_blank">Niantic本周發表的Lightship平臺</a>，也將支援程式可攜與統一流程。</p> <p><a href="https://developer.qualcomm.com/software/snapdragon-spaces" target="_blank">根據官網上的說明文件</a>，Snapdragon Spaces平臺所具備的功能包括：位置追蹤、AR定錨、手部追蹤、圖片/物件辨識與追蹤、平面偵測、網格化、遮擋與場景理解等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-%E7%89%A9%E4%BB%B6%E8%BF%BD%E8%B9%A4.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-Snapdragon%20Spaces%20XR%20Developer%20Platform-hand%20tracking.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_高通</span></p> <p>高通則表示，Snapdragon Spaces將協助開發者從零到有、替AR眼鏡打造3D應用程式，或者只要將頭戴式AR功能加入既有的Android程式中，就能整合手機螢幕上的2D與實體世界的3D。開發者將能取得包含文件、樣本程式、教學、知識及工具等強大的資源，以加速其AR程式的開發。</p> <p>目前已有許多智慧型手機及AR裝置製造商承諾，要在明年支援Snapdragon Spaces，涵蓋聯想、摩托羅拉、Oppo與小米等，而首個採用Snapdragon Spaces的商業化產品，將是聯想的ThinkReality A3智慧眼鏡與摩托羅拉手機的搭配。</p> <p>此外，包括德國電信、NTT Docomo與T-Mobile，也都準備要在明年銷售基於Snapdragon Spaces的智慧型手機與AR眼鏡。</p> </div></div></div>
2021/11/11 16:30作者陳曉莉https://www.ithome.com.tw/news/147786
Google測試協助口語障礙者溝通的AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球有數百萬人因為中風、漸凍症、帕金森氏症、腦性麻痺或大腦創傷導致語言表達障礙，為此Google在Project Relate下，開發一款旨在協助口語溝通的 Android App ，<a href="https://blog.google/outreach-initiatives/accessibility/project-relate/" target="_blank">本周邀請口語表達有困難人士參加測試</a>。</p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">Project Relate 是Google口語與研究兩個團隊的最新研究計畫</a>，是以100萬口語錄音樣本為基礎建立而成的模型及App。</p> <p>Project Relate App有三個主要功能，包括聽寫、覆述及協助。聽寫可即時轉錄使用者說話並以文字顯示，讓用戶可用來複製、貼上到其他App，或幫助他人明白使用者意思。覆述則以合成人聲重述用戶講的話，利於人與人溝通，或是人機互動。這款App還整合Google Assistant，方便使用者聲控支援Assistant的裝置，如智慧燈泡或數位音響。</p> <p>為強化Project Relate App的理解精準度，Google邀請澳洲、紐西蘭、美國及加拿大境內使用英語的口語障礙人士參加公測，將蒐集自願者口語樣本來訓練模型，提升模型的精準度。</p> <p>這批自願者為早期測試者，會被要求錄下一組片語。Project Relate App將利用這些片語機器學習口語障礙者的說話特徵。Google表示Project Relate的訓練至少需要500個片語，每位測試者每次需要花30到90分鐘來錄製樣本。</p> <p>為限定僅口語障礙人士，<a href="https://docs.google.com/forms/d/e/1FAIpQLSc_9fFSD4IAqHaePFebXMBOUML8rEFyZD4DNxG5LaZhpW5QXQ/viewform" target="_blank">有興趣者需先報名填寫資料</a>，再由Google審核並於幾個月內通知用戶。</p> </div></div></div>
2021/11/11 11:23作者林妍溱https://www.ithome.com.tw/news/147777
專訪《零時差攻擊》作者：國家級駭客發動零時差攻擊，關鍵基礎設施是主要標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際情勢詭譎多變，有不少人都在猜測，經歷美中貿易大戰後，加上近期五眼聯盟和部分歐盟國家參與的南海軍演，以及中國軍機連續十多日來，接連入侵我防空識別區等，在在都造成國際局勢的紊亂。或許會有人開始擔心，這世界會不會因此爆發第三次世界大戰呢？</p> <p>不過，關於第三次世界大戰有一個流傳更久的都市傳說，那就是，第三次世界大戰最有可能的就是網路戰引起的衝突，尤其是，2010年駭客在伊朗核電廠植入Stuxnet蠕蟲，帶給世界極大的恐慌，差一點點核電廠就出事，距離引爆世界大戰只有一線之隔，世人要面對的則是一場無煙硝的戰爭。</p> <p>事實上，這種網路攻擊可以對世界造成的威脅已經是存在的事情，美國《紐約時報》的記者妮可‧佩爾羅斯（Nicole Perlroth）之前便花七年的時間，深入研究報導各種網軍攻擊手法，訪問超過三百位關鍵人物，試圖找出誰是幕後黑手，就是希望可以把這一個隱匿在網路世界的數位軍火地下產業鏈的真相，公諸於世，她也將訪談的過程與內容，撰寫成《零時差攻擊》一書，臺灣則由麥田出版社於十月出版。</p> <p>妮可‧佩爾羅斯表示，面對這種網路攻擊，沒有任何人是倖存者，也沒有人可以置外於這樣的威脅。她在書中寫道，全世界的駭客都積極挖掘零時差漏洞（Zero Day Vulnerable ），只要可以找到軟體中的安全漏洞，就有機會破壞電廠的供電系統，讓整個城市陷入黑暗，烏克蘭電廠遭到駭客攻擊就是最好的實例；透過一夕列的追蹤訪談，她甚至直言，這些駭客的背後，都是國家在支持相關的駭客行為。</p> <p>因為妮可‧佩爾羅斯長期追蹤國家級駭客的行蹤，也積極訪查，所謂「零時差漏洞」在這個市場上，扮演什麼樣的角色，甚至於，有沒有駭客組織已經利用這些零時差漏洞，針對特定國家或對象發動攻擊。</p> <p>各種資安事件第一手的觀察，也讓她對於各種駭客組織和行為有深入的了解，iThome先前也透過書面的方式專訪妮可‧佩爾羅斯（Nicole Perlroth），希望透過她長期追蹤各種駭客組織與攻擊行為的角度，對於長期被中國網軍鎖定攻擊的臺灣，也能夠提供不一樣的觀點和視野。以下則是專訪內容。</p> <h3><strong>國家級駭客利用零時差漏洞發動攻擊，長密碼或多因素認證是防護基本</strong></h3> <p><strong><span style="color:#0000FF;">問：</span></strong>臺灣雖然與美國結盟，但臺灣長期以來，一直是中國網軍鎖定攻擊的目標，面臨中國網軍無止盡的攻擊，我們應該採取哪些措施來應對這種無情的網路攻擊呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>很榮幸有機會和臺灣讀者書面對談！我報導中國網路間諜的活動已經十年，過去這段時間，網軍的威脅不僅變得更複雜，也變得偷偷摸摸，更難被外界發現。</p> <p>多年前，由中國政府在幕後支持的APT（進階持續性威脅）駭客組織，接連入侵Google、資安公司RSA以及我所任職的美國知名媒體《紐約時報》等單位。</p> <p>這些APT網軍最主要使用的入侵手法，就是利用魚叉式網路釣魚（Spear Phishing）郵件，而這樣的手法並未消失，但隨著智慧型行動裝置的普及，中國網軍已經利用許多蘋果以及安卓（Android）手機的零時差漏洞發動攻擊；同時利用許多企業對外溝通都會使用的微軟Exchange郵件伺服器，和確保外部連接企業內部連線安全、市占最高Pulse Secure等VPN漏洞，對企業進行駭客攻擊。</p> <p>由於這些駭客攻擊手法變得越來越複雜，往往很難進一步追蹤和防禦，這也大幅度改變我對於中國網軍受駭者，該如何保護自身安全的看法。</p> <p>因為，最好的防禦方式往往不脫離最基本的心法和作法，例如：使用長密碼或是密碼管理器；盡可能部署多因素身分認證（Multi-Factor Authentication）機制；並且使用如Signal等加密通訊App進行敏感資訊的溝通；當然，也必須要確保各種軟體和應用程式都更新到最新版本。</p> <h3><strong>地緣政治衝突將引爆一波網路攻擊，關鍵基礎設施將是主要攻擊標的</strong></h3> <p><strong style="color: rgb(0, 0, 255);">問：</strong>面對緊張的南海衝突，網軍主要攻擊標的為何？又該如何因應？</p> <p><strong style="color: rgb(0, 0, 255);">答：</strong>像臺灣這樣的國家，最關鍵的是，對於電網、水廠、交通運輸、天然氣和石油等攸關國家和民生安全的關鍵基礎設施系統（CII），都需要進行實體隔離（Air Gap），因為這些關鍵基礎設施可能成為駭客想入侵臺灣時，一剛開始就被鎖定，作為實體或是混合攻擊的標的。</p> <p>對於違規和異常行為也進行即時監控，確保資料備份和擁有備援系統，這樣，無論是面對東歐駭客組織的勒索軟體威脅，或是中國網軍透過合作的供應鏈廠商進行網路攻擊，都可以迅速緩解不可避免的危害。</p> <p>但現在更重要的是，像臺灣這樣的國家，也必須對於電網、水處理設施、交通運輸網路、天然氣及石油等安全設施的關鍵系統（Safety Critical）進行隔離，因為上述這些關鍵基礎設施都可能成為駭客發動初步攻擊時，鎖定混合或實體攻擊的目標。</p> <p>類似的名單不勝枚舉，但臺灣如果可以做到確保相關關鍵基礎設施的安全性，在這方面，就可以比美國握有更多優勢。我真的相信，下一次地緣政治爆發的衝突將在網路上演，至少，會帶來一波相對應的網路攻擊。</p> <p>在這一波網路衝突中的倖存者，或是贏得該場戰爭的贏家，則必須從頭開始，建立一個要兼顧安全且具有韌性的國家，但這往往是「說的比做的容易」。事實上，臺灣還有一個美國沒有的優勢就是，臺灣有中國這樣一個真實的對手，這個對手會無情地探索臺灣的各種系統並帶來明顯的威脅，這卻也是成為臺灣磨練自我能力的對手。</p> <p>因為威脅是真實存在的，所以民眾和企業就會採取相對應的行動。不幸的是，我就看到，有很多美國人還是喜歡裝傻，假裝美國被大海阻隔，沒有這些網路威脅的存在。</p> <h3><strong>政府應權衡擁有零時差漏洞的風險，不應假國安作為濫用藉口</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>漏洞買賣是一個漫長的旅程，政府是否應該儲備相關的網路武器，例如將零時差漏洞呢？在這樣的困境中，對所有政府而言，什麼才是最好的解決方案呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>我並不會天真的認為，我們不應該擁有零時差漏洞這樣的武器，畢竟，擁有零時差漏洞是有機會遏止下一次的恐怖攻擊，或者是，像是因為撰寫出Stuxnet惡意程式，得以暫時阻止伊朗擴張核武的野心。</p> <p>我們也必須意識到，我們已經不能再以「國家安全」的名義做決定，因為，「資安即國安」，網路安全和國家安全其實是一體兩面，我們只能夠「權衡」兩者之間孰輕孰重，而不是只要冠上「國家安全」的名義，就可以橫行無阻。</p> <p>當我們開始儲存蘋果或是安卓手機的軟體漏洞，或是儲存發電廠或工廠裡，像是施耐德等工控系統中的軟體漏洞時，就邏輯上而言，這樣的作法也讓我們的民眾和企業，處於一個較不安全的情境中。</p> <p>過去五年裡，有一些決定，就會讓美國系統看起來沒有那麼安全，像是高舉「反間諜情資」（Counter Intelligence）的名義作為回擊。事實上，只需要仔細觀察就可以發現，在2017年，俄羅斯攻擊烏克蘭所使用的NotPetya勒索軟體所遺留下的殘骸，其實就是美國國家安全局（NSA）所掌握的微軟零時差漏洞。</p> <p>該次俄羅斯對烏克蘭的攻擊也進一步對外擴散開來，只要各個企業聘僱的員工中，有任何一名員工是從烏克蘭進行遠端連線工作的話，例如聯邦快遞（ FedEx）、默克藥廠（Merck）、全球最大貨櫃船運業者快桅（Maersk）、美國食品公司億茲國際（Mondelez）以及輝瑞藥廠（Pfizer），都因此蒙受數億美元的損失。</p> <p>展望未來，如果我們政府決定要儲存零時差漏洞作為反擊的武器，就應該遵守一套更嚴謹的規範，而不只是確認漏洞是否已經被修補完畢。因為，威脅格局已經改變，美國及其盟友並不是唯一，尋找並儲存零時差漏洞作為不時之需的政府，我們對於風險計算的方式必須改變。</p> <h3><strong>在企業有自保能力前，支付勒索軟體贖金仍難避免</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>勒索軟體橫行，是否應該支付贖金眾說紛紜。依照過去的採訪經驗，對於受駭企業支付駭客贖金，有何觀點呢？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>在理想的世界中，政府會將支付駭客贖金的要求視為非法行為，但現實是，在企業具備充分保護自己的能力之前，勒索軟體的攻擊仍將持續發生。只要企業繼續將其關鍵資料和基礎設施數位化，支付勒索軟體贖金和恢復企業正常運作的要求只會持續增加。</p> <p>例如，美國巴爾的摩市政府在2019年遭到勒索軟體攻擊，駭客當初要求市府支付數萬美元的贖金，不過，巴爾的摩市府拒絕支付贖金後，面對必須重建相關的資料和系統，最後恢復市政系統正常運作的金額超過1,800萬美元。對該市納稅人而言，他們寧可市府支付駭客76,000美元後，市府就可以恢復正常運作，繼續發展下去。</p> <p>現實往往比我們想像的更混亂。綜合我的看法，我們首先應該關注的是安全和韌性，即時更新軟體到最新版本，落實資料備份並保護所有個資隱私資料，大規模部署多因素認證機制、密碼以及通訊協定的管理，以及做到實體隔離（Air Gap）。</p> <p>一旦我們將資安防護落實標準，提高到一定程度的話，那麼，我們的確可以認為，把企業支付駭客贖金的行為視為非法手段，最終是有意義的。但事實上，我們距離那個標準還有很遠的一段距離，所以，我會說，一切先回歸到基本功，然後，在繼續談相關的政策和法律規範該怎麼制定才合理。</p> <h3><strong>確保資料不外洩，應先進行資料盤點及落實權限控管</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>資料外洩是臺美企業共同面臨的議題，尤其在美中貿易大戰中，保護企業機敏資料和智慧財產權已經成為許多企業的共識。對於保護企業知識產權以避免遭到網路間諜或駭客竊取，有何想法或建議？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>只要一談到網路安全，我喜歡說：「雖然沒有萬靈丹，卻有萬用丹。」（There are no silver bullets, but there is a silver buckshot.）換句話說，企業可以做很多事情來保護公司的智財權。首先從識別皇冠上的珠寶開始，就是先釐清什麼樣的智財權或是個資隱私資料對企業而言最重要，公司是否已經充分的切割、隔離、加密，並設定只有有相對應權限的人，才能存取相關機敏資料，以期能做到「只有需要知道的人，才能存取相關系統。」</p> <p>「你審查過供應商嗎？」、「你是否開啟多因素認證？」、「你是否做過魚叉式釣魚郵件的教育訓練和定期演練？」、「你是否強制要求員工使用強密碼？」、「你是否審查過與自家軟體介接的API安全？」、「你是否曾經向員工簡介，要不惜一切代價保護公司重要資產，如同保護皇冠上的珠寶一樣呢？」</p> <p>一旦上面所有問題的答案都是「是」的時候，就可以開始進行下一步：當有人偷走我們寶貴的智財權時，我們該怎麼做才好呢？這樣有趣的討論，也將會圍繞如何將具有「欺騙性」的技術，納入企業的防禦策略中。這個領域有許多有趣的公司正蓬勃發展中，並且已經受到許多企業的青睞，尤其是那些智慧財產安全將攸關公司存亡與員工生計的企業。</p> <h3><strong>供應鏈安全的確是網路攻擊主流，美中俄扮演重要角色</strong></h3> <p><span style="color:#0000FF;"><strong>問：</strong></span>許多駭客攻擊都開始從供應鏈廠商下手，供應鏈安全是否是未來最重要的資安威脅呢？還有其他面向的資安威脅需要加以重視嗎？</p> <p><span style="color:#0000FF;"><strong>答：</strong></span>美國國家安全局（NSA）對於攻擊性網路安全（offensive cybersecurity）採取了階層式作法。</p> <p>最底層是民族國家和網路犯罪份子，他們需要依靠商業市場的駭客工具以及僱傭兵，來執行他們的骯髒工作。最重要的是，政府可以找到並利用零時差漏洞，將這些零時差漏洞「大規模地」引入供應鏈攻擊中。</p> <p>美國和其親密盟友都被視為是供應鏈攻擊中最先進的，但其他像是中國或是俄羅斯等，也是數位領域中的重要且先進的對手。</p> <p>以美國先前爆發的SolarWinds供應鏈攻擊，以及先前NotPetya的攻擊中可以看到，俄羅斯利用烏克蘭報稅軟體的漏洞，也成為史上最具破壞性的網路攻擊事件。但是，這些攻擊對於網路間諜和未來的破壞往往只是驚鴻一瞥，更重要的是，這件事也讓我們開始針對供應商、各種軟體，以及企業所使用的軟體安全做相關審查，包含比較少進行審查的開源通訊協定，以及由預算有限的工程師進行開發的軟體。</p> <p>好消息是，在SolarWinds供應鏈攻擊的事件爆發後，從政府到各界都聽到了對「零信任」和「SBOM」（Software bill of materials，軟體物料清單）等流行語的需求。像是Linux基金會這樣的非營利組織，正在積極努力，希望可以確保當今使用的各種最關鍵的開源軟體程式碼的安全性，能夠得到適當的資助、維護和審查。但是，在我們達到網路安全防護所需要的位置之前，我們也將面臨更多短期、痛苦，並且數量越來越多的軟體供應鏈攻擊。</p> </div></div></div>
2021/11/10 17:45作者黃彥棻https://www.ithome.com.tw/news/147760
Google在南韓允許App使用第三方支付機制，但還是得付費給Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應南韓新法，<a href="https://developers-kr.googleblog.com/2021/11/enabling-alternative-billing-in-korea-en.html" target="_blank">Google昨（4）日宣布</a>將允許Play Store上架的App使用非Google的程式內支付（In-App Payment）機制，但開發商還是得付錢給Google，只是Google會調降收費比例。</p> <p><a href="https://www.ithome.com.tw/news/146477" target="_blank">南韓國會8月通過《電信業務法》（Telecommunications Business Act）修正案</a>，以禁止Google Play或蘋果App Store等大型行動程式市集，強迫程式開發者採用相關平臺的支付系統，也禁止這類市集不合理地延後程式審核或是將程式移除，是全球第一個透過立法削弱程式市集權力的國家。</p> <p>Google公共政策資深總監Wilson White指出，Google尊重南韓國會的決定，因此將讓在南韓境內上架Play Store的手機及平板App開發商得以在App內支付機制中，除了Google Play以外再加入第三方支付系統。</p> <p>自從遭到各國的調查之後，Google與蘋果都開始修改政策以平息批評聲浪，例如針對年營收低於100萬美元的開發商僅收取15%的佣金，<a href="https://www.ithome.com.tw/news/146419" target="_blank">蘋果8月也同意開發商可藉由電子郵件等方式與程式用戶聯繫</a>，溝通其它付款方式，讓使用者得以選擇自App Store以外的途徑付款。</p> <p>Google強調Google Play比第三方支付系統提供更多防護，以及家長控制、家庭共同支付、訂閱管理等功能。Google說Google Play Store服務很受南韓用戶歡迎，150萬用戶有Google Play禮品卡，1,200萬用戶註冊Play Points。</p> <p>雖然南韓通過法令，但Google表示，經由Android和Google Play發布App的服務費仍然會持續。這意謂著Android開發商會被剝2次皮，如果第三方機制不是免費的話。</p> <p>為減少開發商負擔，Google也預告計畫調降現有分潤比例。未來若消費者選擇其他支付系統時，Google向Android開發商收取的服務費可以減少4%。例如大部份App需要分潤15%，若消費者透過其他支付系統結帳，則這個數字會減為11%。電子書或音樂串流App被收取比例由10%降為6%。</p> <p>而極受歡迎、每年營收超過100萬美元的App開發商，支付比例由30%降為26%。</p> <p>Google將在接下來幾星期或幾個月內公布開發商的實作規定，包括上傳安全及客服驗證指示，以及使用介面的設計指引等。</p> </div></div></div>
2021/11/5 12:26作者林妍溱https://www.ithome.com.tw/news/147678
美國制裁4家出售駭客工具的業者，包括以色列的NSO在內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）於周三（11/3）公告，<a href="https://www.commerce.gov/news/press-releases/2021/11/commerce-adds-nso-group-and-other-foreign-companies-entity-list" target="_blank">將4家資安業者列入《實體名單》（Entity List）</a>，禁止美國個人及業者與這4家資安業者交易，它們分別是以色列的NSO Group及Candiru，以及俄羅斯的Positive Technologies與新加坡的Computer Security Initiative Consultancy 。</p> <p>BIS指責NSO Group及Candiru開發及供應間諜軟體予外國政府，利用這些工具來監控政府官員、記者、商業人士、活動家、學者或大使館的工作人員，讓外國政府得以跨國進行鎮壓，對國際秩序造成威脅。</p> <p>至於Positive Technologies及Computer Security Initiative Consultancy，則被指控銷售各種網路工具，以用來非法存取資訊系統，威脅到全球使用者及組織的隱私及安全。</p> <p>在遭到BIS制裁的4家資安業者中，最知名的是NSO Group，該公司所打造的Pegasus間諜軟體可滲透Android與iOS裝置，加拿大多倫多大學的公民實驗室（Citizen Lab）的調查顯示，全球有36個組織在45個國家利用Pegasus監控各種對象，<a href="https://www.ithome.com.tw/news/145754" target="_blank">非營利組織禁忌故事（Forbidden Stories）更取得了一份疑似NSO Group客戶的攻擊名單</a>，存放了5萬筆攻擊目標的電話資料。</p> <p>另一家以色列業者Candiru雖然不若NSO Group高調，但也<a href="https://www.ithome.com.tw/news/145697" target="_blank">被微軟與公民實驗室發現打造了強大的間諜軟體DevilsTongue</a>，該間諜軟體串連了多個零時差漏洞，且除了可蒐集受害者的資料之外，還能竊取受害者憑證。</p> <p><a href="https://www.ithome.com.tw/news/143919" target="_blank">俄羅斯的Positive Technologies先前即曾被美國總統拜登（Joe Biden）點名</a>，不過Positive Technologies卻是微軟、IBM及VMware的合作夥伴，被納入《實體名單》之後，這些美國業者除非取得政府許可，否則將無法再使用該公司的服務。</p> <p>這份新的《實體名單》呼應了<a href="https://www.ithome.com.tw/news/147393" target="_blank">美國商務部上個月有關資安的新出口規定</a>，要求美國業者不得將可用於惡意行動的駭客或資安工具，出口至特定國家。</p> </div></div></div>
2021/11/4 12:38作者陳曉莉https://www.ithome.com.tw/news/147654
CISA要求美聯邦政府機關限時修補290項已被開採過的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cyber.dhs.gov/bod/22-01/" target="_blank">美國網路安全暨基礎架構管理署（CISA）昨（3）日發布今年第1次約束性作業指引</a>（binding operational directive，BOD），要求聯邦政府各部會應在一定期間內，修補去年及今年內遭到開採的軟、硬體漏洞，新漏洞得在2周內修補完成。</p> <p>BOD是為確保美國聯邦政府資訊及資訊系統之安全，針對聯邦政府、行政部門、各部會發布的強制指令。名為《<a href="https://www.cisa.gov/known-exploited-vulnerabilities" target="_blank">減低已知被開採漏洞之重大風險</a>》、編號22-01的BOD指出，過去曾被開採以駭入公、私部門機構的漏洞，是各類駭客經常使用的攻擊管道，因此有必要積極修補已知曾遭開採的漏洞，以確保聯邦政府資訊系統安全，減少網路攻擊事件。</p> <p><a href="https://cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">CISA也建立了一個對美國政府有重大風險的已知被開採漏洞資料庫</a>。該資料庫包含美國政府使用的產品之已知、且傳出被駭的數百項安全漏洞，影響產品從Accellion檔案分享平臺 FTA、SolarWinds、<a href="https://www.ithome.com.tw/news/142585" target="_blank">SonicWall VPN產品SMA1000</a>、<a href="https://www.ithome.com.tw/news/146397" target="_blank">F5 BIG-IP</a>、到iOS、Android、<a href="https://www.ithome.com.tw/news/143079" target="_blank">Exchange Server</a>、<a href="https://www.ithome.com.tw/news/146805" target="_blank">Azure Open Management Infrastructure (OMI)</a>、Google Chrome、Pulse Connect Secure、Oracle WebLogic、Apache HTTP Server等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1104-CISA%20KNOWN%20EXPLOITED%20VULNERABILITIES%20CATALOG.jpg" style="width: 600px;" /></p> <p>目前這個資料庫包含200個、在2017年到2020年發現的漏洞，而今年發現的則有90個，但是有許多漏洞雖是今年以前發現，卻是今年被開採。</p> <p>CISA要求，今年內被開採的漏洞，應在2周內，即2021年11月17日修補。而2020年底以前遭開採的漏洞，則應在6個月內，即2022年5月3日以前修補完成。</p> <p>這項指引也要求聯邦政府機關從現在起60天之內，檢討與更新內部漏洞管理程序。而且未來也必須每季1次透過自動系統，報告這份指引的執行情況，若不使用自動系統的單位，從明年10月起就得2周交一次報告。</p> </div></div></div>
2021/11/4 10:10作者林妍溱https://www.ithome.com.tw/news/147648
Netflix遊戲服務正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/let-the-games-begin-a-new-way-to-experience-entertainment-on-mobile" target="_blank">Netflix周二（11/2）正式於全球推出遊戲服務</a>，初期提供5款遊戲，但這些遊戲都只支援行動裝置，且現階段只能在Android裝置上執行。</p> <p>這5款遊戲分別是《怪奇物語：1984》（Stranger Things: 1984）、《怪奇物語 3：遊戲》（Stranger Things 3: The Game）、《神射進籃》（Shooting Hoops）、《卡牌大爆發》（Card Blast）與《扶搖直上》（Teeter Up）。Netflix強調，這些遊戲不需額外付費，沒有廣告，亦無程式內購買。</p> <p>Netflix用戶只要透過Android裝置登入帳號，就會看到專屬的遊戲選項，並可選擇所要下載的遊戲，目前支援多種語言，會自動根據用戶帳號的設定變更語言，若尚未支援該語言，預設值為英文。</p> <p>此外，目前Netflix的遊戲功能僅限成人，若設有PIN碼防止孩童選擇成人用戶，該設定也會延伸至遊戲。有些遊戲必須連線才能執行，但也有遊戲可離線運作。</p> <p><a href="https://techcrunch.com/2021/11/02/netflix-games-are-coming-to-all-members-on-android-starting-this-week/" target="_blank">根據外電報導</a>，Netflix遊戲功能預計要幾個月後才會支援iOS裝置。</p> </div></div></div>
2021/11/3 21:55作者陳曉莉https://www.ithome.com.tw/news/147646
支援Linux的Microsoft Edge正式版出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年的測試之後，<a href="https://blogs.windows.com/msedgedev/2021/11/02/edge-ignite-nov-2021/" target="_blank">微軟周二（11/2）釋出了支援Linux的Microsoft Edge正式版</a>，它將相容於Ubuntu、Debian、Fedora及 openSUSE等Linux版本。同一天微軟也呼籲IE 11用戶應儘快遷移至Microsoft Edge的IE模式。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/33/2021/11/Picture1.jpg" style="width: 596px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟是在2019年宣布把Edge的瀏覽器引擎從EdgeHTML變更為Chromium，並陸續發表支援Winodws、macOS、Android及iOS的版本，Linux版的出爐代表Edge已達到跨平臺的另一個里程碑。</p> <p>Linux用戶可自微軟網站下載Edge，或者是透過Linux套件管理工具取得該瀏覽器。此外，<a href="http://edge://surf" target="_blank">Edge上的衝浪遊戲</a>也已開始支援目前仍在測試中的Linux版Edge 97。</p> <p>有鑑於微軟將在明年的6月15日正式淘汰IE 11，但會持續於Edge上提供IE模式至2029年，因此，微軟呼籲那些仰賴IE 11的組織，應儘快自IE 11遷移至Edge的IE模式。</p> <p>微軟表示，在全球擁有13萬名員工的製藥業者GlaxoSmithKline，已將Edge設為該公司的預設瀏覽器，原因就是Edge可同時提供現代化的瀏覽體驗，又能透過IE模式支援舊有的應用。</p> <p>微軟也建議要自IE 11遷移到Edge IE模式的組織，<a href="https://docs.microsoft.com/zh-tw/deployedge/edge-ie-mode-site-discovery" target="_blank">可於假期的前一天執行Site Discovery</a>，此一功能主要是協助組織辨識哪些網站使用舊版文件模式，哪些可支援現代化的瀏覽器，以協助遷移行動。</p> <p>由於Site Discovery是根據使用者的流量來偵測組織內的網站，因此最好是在休假前展開。倘若組織的應用或網站可透過IE 11、Chrome或舊版的Edge存取，那麼它們就會相容於新版的Edge。</p> <p><a href="https://gs.statcounter.com/browser-market-share/desktop/worldwide" target="_blank">根據StatCounter今年10月的調查</a>，全球最受歡迎的桌面瀏覽器依然是Chrome，市占率為67.24%，居次的是Safari的9.59%，Edge以9.13%位居第三，Firefox則跌至7.86%，且全球仍有1.15%的PC用戶使用IE。</p> </div></div></div>
2021/11/3 17:12作者陳曉莉https://www.ithome.com.tw/news/147639
微軟公布中小企業新端點安全服務Defender for Business
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/business/threat-protection/microsoft-defender-business" target="_blank">微軟昨（2）日宣布</a>專為中小企業設計的<a href="https://www.microsoft.com/en-us/security/business/threat-protection/microsoft-defender-business" target="_blank">端點安全服務Defender for Business</a>，並將於近日釋出預覽版本。</p> <p>微軟產品經理Jon Mauder引述一項調查，今年上半年勒索軟體攻擊次數成長3倍，超過半數是鎖定小型企業，這項新服務旨在將大型企業等級的端點安全以好用且低成本的方案，帶給員工人數在300人以下的企業。</p> <p>Defender for Business是將端點安全由傳統防毒軟體，擴大為端點偵測防護、威脅與弱點管理等更多防護服務，可保護Windows、macOS、iOS及Android裝置。</p> <p>以功能而言，這項新服務利用防毒／防勒索軟體、應用、網頁及網路防護工具、網路防火牆、以及管理規則等，來減少攻擊面（attack surface）；掃瞄並緩解端點軟體漏洞及組態不當，提供威脅及弱點管理；端點及雲端的防毒；端點防護及回應功能（endpoint detection and response，EDR）提供行為偵測並發出警告，管理員可手動移除惡意檔案或程式，也可在即時自動回應中直接控制端點裝置。</p> <p>Defender for Business還會自動分析調查及緩解威脅，以免管理員被過多警告訊息淹沒，並依重要性排出優先順序。它的API和整合工具可自動將威脅及防護資料整合到企業現有安全管理平臺，或事件管理工具。</p> <p>微軟也強調這項服務安裝及管理都不需太複雜知識，提供精靈引導設定及建議安全政策以加速用戶端組態，它簡單好用的管理控制及可執行的分析結果能簡化管理員作業。</p> <p>Defender for Business另一項賣點是低成本，定價為每人每月3美元，包括安全及生產力套件Microsoft 365 Business Premium，內有Teams及Office 365。不論企業郵件及生產力軟體是本地部署、或Microsoft 365都可支援。</p> <p>微軟很快也會釋出預覽版。正式上市後，企業可以在微軟網站或微軟夥伴雲端解決方案供應商（Microsoft Partner Cloud Solution Provider）通路購得這項服務。</p> <p>針對微軟合作夥伴，Defender for Business也可整合 Microsoft 365 Lighthouse，將安全事件及警示訊息導到Lighthouse中，後者是代管服務業者用以介接Microsoft 365 Business Premium的管理介面。微軟表示還會進一步整合兩者。</p> </div></div></div>
2021/11/3 12:01作者林妍溱https://www.ithome.com.tw/news/147634
Linux版本Firefox 94預設使用硬體加速支援度更佳的EGL，明顯提升圖形應用效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla Gfx團隊宣佈，從<a href="https://mozillagfx.wordpress.com/2021/10/30/switching-the-linux-graphics-stack-from-glx-to-egl/">Firefox 94</a>開始，有一大群Linux用戶將會預設啟用繪圖介面後端EGL，這樣的改變不只可以提高WebGL的效能，遊戲以及圖形應用的執行也會更順暢，同時功耗也較小，並且具有硬體影像解碼的功能。</p> <p>由於要讓X11或是Wayland等視窗系統，能夠獲得諸如OpenGL等硬體繪圖加速功能，中間需要有一層組合的介面，以X11搭配OpenGL使用上，大多數程式使用GLX，而由標準制定組織Khronos所發布的EGL，則可被應用在Wayland、Android和嵌入式裝置上。EGL雖然比起GLX，有著許多不可取代的優勢，但是在過去因為一些原因，使得EGL採用腳步緩慢。</p> <p>Firefox是一款重度仰賴硬體加速的應用程式，但是從過去以來，預設配置仍然採用軟體渲染，一直到最近，Firefox才對大多數Linux用戶，啟用新的渲染引擎Webrender，提供更好的硬體加速功能。由於開發團隊在Firefox中，要實作Wayland硬體加速功能支援時，他們發現無法重用GLX程式碼，而最後卻是使用了Android EGL，因此他們也就一步一步地改進EGL/Wayland後端，使得EGL更成熟。</p> <p>EGL在去年開始發光，其能夠在X11上提供硬體影像解碼，在經過持續改進Firefox和其他元件，修復許多臭蟲之後，開發團隊認為EGL已經足夠成熟，可以在Firefox 94中作為預設配置，因此只要用戶使用Mesa驅動程式21版本以上，就能夠獲得此項預設配置。</p> <p>使用Nvidia驅動程式的用戶則需要再等待一段時間，因為目前的驅動程式還缺少重要的擴充，不過之後就能夠在Nvidia驅動程式470系列版本之後啟用EGL，而要有DMABUF（DMA Buffer Sharing API）支援，獲得更好的WebGL效能，需要GBM（Generic Buffer Management）支援，以及495系列以上的驅動程式版本。</p> <p>Firefox 94預設啟用EGL，對用戶來說，最直接感覺的是WebGL效能提高，官方解釋，因為DMABUF零複製緩衝區共享功能，WebGL工作負載可以在沙盒中完成，不需要往返系統記憶體，少了內容搬移，運作起來也就更加快速，因此重度使用WebGL的應用，包括遊戲，都會比過去還要順暢，就連Google地圖的使用體驗也獲得提升。</p> <p>而且在EGL中，當畫面僅有一小部分內容改變，系統現在不會再重新繪製整個視窗，像是當網站上或是載入頁籤有小動畫情況，系統也能夠以更低的功耗運作。Mozilla Gfx團隊提到，EGL是比GLX更加先進的介面，並且也適應複雜的硬體，能夠良好地在更多平臺上，加速桌面應用程式的運作。另外，硬體影像解碼也是用戶對EGL有感的功能之一，雖然現在還是有幾個臭蟲，但是使用起來仍然瑕不掩瑜。</p> </div></div></div>
2021/11/2 08:53作者李建興https://www.ithome.com.tw/news/147595
Windows 10用戶也可以測試新版Microsoft Store 但沒有Android App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你是參加Windows Insider測試方案的Windows 10用戶，現在可以開始測試新改版的Microsoft Store，可惜的是不能跑Android App。</p> <p>配合Windows 11微軟同步改版Microsoft Store，而且承諾Windows 10也將可執行Microsoft Store App。<a href="https://twitter.com/RudyHuyn/status/1453248154183286796" target="_blank">微軟首席架構師Rudy Huyn本周稍早公告</a>，現在這款App透過Windows 10 Insiders方案釋出到Release Preview頻道。這也意謂再過一陣子就會釋出給一般用戶。</p> <p>新Microsoft Store將提供過去沒有的Win32 App，以及Disney+電影的內容。至於透過和Amazon合作可以執行Android App這點，<a href="https://www.windowscentral.com/windows-11s-new-microsoft-store-app-now-testing-windows-10" target="_blank">Windows Central報導</a>，Windows 10上的Microsoft Store並不支援Android App，這似乎是Windows 11的專屬功能。</p> <p>不過光是支援Win32這點就已經造福許多人。相較於Windows 11，跑主流的Windows 10 的PC全球高達13億臺。</p> <p>Insider方案用戶可選擇Release Preview通道，在Windows Update下點選「檢查更新」，即可下載該通道的最新build，裏面就有Microsoft Store App。</p> </div></div></div>
2021/10/29 11:46作者林妍溱https://www.ithome.com.tw/news/147549
去年遭駭之後，Twitter內部只使用安全金鑰作為2FA認證方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年一名當時只有17歲的青少年Graham Clark<a href="https://www.ithome.com.tw/news/143291" target="_blank">針對Twitter內部員工展開電話魚叉式網釣攻擊</a>，取得了多名Twitter員工的憑證，這起事件讓Twitter痛定思痛，要求內部員工只能使用安全金鑰作為雙因素認證（2FA）的途徑，<a href="https://blog.twitter.com/engineering/en_us/topics/insights/2021/how-we-rolled-out-security-keys-at-twitter" target="_blank">並於本周對外分享了整個過程</a>。</p> <p>由於Twitter員工得以永遠選擇遠端工作，因此Twitter是統一採購適用的實體金鑰並寄送至全球的逾5,500名員工，選擇的是YubiKey 5 NFC及YubiKey 5C NFC金鑰，因為它們同時支援採用USB的筆電，以及採用NFC的Android或iOS裝置。</p> <p>除了透過YubiKey的遞送服務將金鑰寄至美國、加拿大與歐洲地區之外，其地地區的員工則有賴當地的合作夥伴遞送。</p> <p>此外，Twitter亦於內部系統新增對安全金鑰的支援，例如該系統原本就支援WebAuthn，但現在也新增對系統認證的支援，包括蘋果的FaceID/TouchID，微軟的Windows Hello，以及Android內建的實體金鑰，以增加使用金鑰的便利性，也不致於對尚未收到實體金鑰的員工造成困擾。</p> <p>接著身居世界各地的員工就必須註冊金鑰，之後Twitter再關閉舊有的2FA系統，強制員工於內部網路使用安全金鑰，整個流程在3個月內完成。</p> <p>在這期間Twitter處理了許多意外與難題，像是在疫情期間吃緊的物流有時會把金鑰寄丟，也必須開發機制來追蹤員工的金鑰註冊狀況，並提供必要的技術支援，同時鼓勵員工擴大採用安全金鑰，就算離職了還是可保有安全金鑰來保護自己的個人帳號。</p> <p>Twitter也發現了不少安全金鑰生態體系值得改善的地方，例如雖然有愈來愈多的系統支援安全金鑰，但仍有些不足，像是某些桌面應用程式經常透過嵌入式瀏覽器來載入SSO登入畫面，但這些嵌入式瀏覽器解決方案卻不支援WebAuthn協定，Twitter認為，在理想的狀態下，桌面的應用程式應該採用系統預設的瀏覽器，因為它們在SSO登入流程中皆支援安全金鑰。</p> <p>此外，若要替換金鑰也是個挑戰，Twitter發給每個員工兩個實體金鑰，一個是主要金鑰，另一個作為備份使用，再利用SSO來減少員工註冊金鑰的數量。不過，Twitter期待會有更好的方法來幫助員工或使用者新增或移除金鑰，亦建議可提供更友善的WebAuthn介面。</p> </div></div></div>
2021/10/29 10:46作者陳曉莉https://www.ithome.com.tw/news/147544
支援大尺寸螢幕的Android 12L進入預覽階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/10/12L-preview-large-screens.html" target="_blank">Google於本周舉行的Android開發者高峰會（Android Dev Summit）上發表了Android 12L</a>，它並不是個完整的作業系統，而是依附於Android 12的新功能，主要鎖定大尺寸螢幕的平板電腦、摺疊與ChromeOS裝置所設計，正式版預計於明年初問世。</p> <p>Google工程副總裁Dave Burke說明，Android 12L調整了大尺寸螢幕上的使用者介面，從通知、快速設定、鎖住螢幕到首頁等，例如在超過600dp的螢幕上，不管是通知、鎖住螢幕、系統程式或其它系統介面，都會採用新的兩欄布局，以充分利用螢幕區域。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-CB5GF7UXVek/YXh21zego7I/AAAAAAAARH0/4JmsEPMr5Vk4EJn8XGcoI2rZCDhe_AeGgCLcBGAsYHQ/s0/image2x.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，Android 12L還會有一個新的工作列，讓使用者可快速切換程式，也將讓所有程式自動進入分割螢幕模式。目前Google已開放開發者自最新的Android Studio預覽版，下載12L的Android模擬器的系統映像與工具，並建議開發者檢查自己的程式能否於分割螢幕模式中運作。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-IfTzeNEkx1I/YXh33_Y2XmI/AAAAAAAARH8/1TXHnz_4-JAaMgtRHp-DYdVVvj9tvakuwCLcBGAsYHQ/s0/image3x.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>Burke指出，儘管Android 12L同時支援手機、平板電腦、摺疊與ChromeOS裝置，惟現階段主要聚焦於後面3類產品，因為Android 12L大多數的功能可能無法在小螢幕上呈現，之後才會釋出支援Pixel裝置的測試版。</p> <p>目前Google正與OEM業者合作打造相容的裝置，準備讓Android 12L於明年初伴隨著新一波的Android 12平板電腦與摺疊裝置登場。</p> </div></div></div>
2021/10/28 12:41作者陳曉莉https://www.ithome.com.tw/news/147528
駭客以當紅的魷魚遊戲影集為誘餌，散布安卓木馬程式Joker
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Netflix上映的韓國電視影集魷魚遊戲（Squid Game），自9月中旬播出以來，不到20天就吸引1.11億Netflix用戶觀看，成為串流影片業者Netflix全球最受歡迎、觀看次數最多的影集，有許多狂熱的觀眾想穿著參賽者的運動服，學習製作片中的椪糖，甚至是學習韓文。這部影集相當受到歡迎的態勢，也使得不少開發者順勢推出有關的手機遊戲及應用程式。</p> <p>然而，有資安研究人員指出，有人藉著提供魷魚遊戲佈景主題的名義，來散布惡意軟體。<a href="https://twitter.com/ReBensk/status/1450129699007459336">逆向工程師Re-ind於10月19日提出警告</a>，他發現以魷魚遊戲為誘餌的惡意安卓App「Squid Game Wallpaper 4K HD」，使用者下載安裝之後，手機便會被植入金融木馬程式Joker，這個App已被下載超過5千次，Google獲報後，也將其從Play市集下架。</p> <p><a href="https://s4.itho.me/sites/default/files/images/squid-game-wallpaper-4k-hd.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/squid-game-wallpaper-4k-hd.png" style="width: 580px; height: 456px;" /></a></p> <p>至於使用者不慎安裝這個App之後，究竟會帶來那些危害？<a href="https://twitter.com/LukasStefanko/status/1450369286938238977">ESET惡意軟體研究員Lukas Stefanko表示</a>，為了規避防毒軟體的檢查，該應用程式會下載並執行原生的程式庫，而這個程式庫再行下載並執行惡意的APK酬載。執行這個App的裝置，很有可能會遭遇廣告詐欺攻擊，或者是訂閱不需要的SMS簡訊服務。他也提醒已經安裝這款App的使用者，應該儘速移除。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Squid Game themed Android Joker</p> <p>1) downloads and executes native lib<br /> 2) native lib downloads and executes apk payload</p> <p>Running this app on device might result in malicious ad-fraud and/or unwanted SMS subscription actions<a href="https://t.co/PTDtPlUkBy">https://t.co/PTDtPlUkBy</a> <a href="https://t.co/AFs8gkEuab">pic.twitter.com/AFs8gkEuab</a></p> <p>— Lukas Stefanko (@LukasStefanko) <a href="https://twitter.com/LukasStefanko/status/1450369286938238977?ref_src=twsrc%5Etfw">October 19, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>魷魚遊戲究竟有多熱門？或許可從如雨後春筍般出現的App得知。Lukas Stefanko指出，他在Play市集上，<a href="https://twitter.com/LukasStefanko/status/1450393706591305731">看到超過200款號稱與魷魚遊戲有關的App</a>，其中最受歡迎的在10日之內，就被安裝1百萬次，突顯這個影集的風潮也為開發者帶來商機，尤其是，播放該影集的Netfilx，並未推出專屬的遊戲App，而使得許多開發者推出的魷魚遊戲手遊App相當受到歡迎。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Over 200 <a href="https://twitter.com/hashtag/SquidGame?src=hash&ref_src=twsrc%5Etfw">#SquidGame</a> related apps are available on Google Play</p> <p>Seems like a great opportunity to make money on in-app ads from one of the most popular TV show without official game.<br /> The most downloaded of them reached 1M installs in 10 days. Its game play is not that well handled <a href="https://t.co/gCOYXXaVHY">pic.twitter.com/gCOYXXaVHY</a></p> <p>— Lukas Stefanko (@LukasStefanko) <a href="https://twitter.com/LukasStefanko/status/1450393706591305731?ref_src=twsrc%5Etfw">October 19, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2021/10/27 17:46作者周峻佑https://www.ithome.com.tw/news/147506
用戶在Windows 11上成功安裝Google Play Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不太喜歡Amazon Appstore的用戶試著自力救濟，想在Windows 11上執行Google Play Store。</p> <p><a href="https://www.ithome.com.tw/news/147387" target="_blank">微軟上周宣布釋出</a>Windows 11的Windows Subsystem for Android預覽版給測試的使用者。Windows Subsystem for Android是由微軟和Amazon合作開發，可讓使用者在Windows 11裝置上執行從Amazon Appstore下載的Android應用程式。可惜的是，能跑在Windows 11上的Android App只有50個。</p> <p>用戶顯然比較喜歡Google Play Store。<a href="https://twitter.com/ADeltaXForce/status/1451667759637704704" target="_blank">一名代號ADeltaX的用戶展示</a>在Windows 11機器上跑Google Play Store。這名用戶也<a href="https://github.com/ADeltaX/WSAGAScript" target="_blank">在GitHub上分享</a>安裝Play Store的檔案及安裝指引、教學影片等，供有興趣的使用者玩玩看。</p> <p>使用者必須先下載一個1.2GB的MSIX套件、WSL 2、以及OpenGApps框架，再按這名使用者提供的說明，使Windows Subsystem for Android安裝GApps。</p> <p>ADeltaX表示會再持續改善安裝資源。</p> <p>官方支援的Amazon Appstore下上載的Android App和Windows 11可以緊密整合，例如安裝Subsystem for Android後，Windows開始選單就會出現Amazon Appstore供搜尋安裝Android App。Windows用戶也會在重要訊息中心（Action Center）接到Android App通知，Windows和Android App之間也能共用剪貼簿。許多Windows輔助設定也都可適用到Android App。但用上述方法安裝的Android App可能就不會有這類整合體驗。</p> </div></div></div>
2021/10/26 13:42作者林妍溱https://www.ithome.com.tw/news/147472
Google更新Android Enterprise加入更多安全控制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google公開<a href="https://blog.google/products/android-enterprise/art-of-control/">Android Enterprise</a>一系列新功能和更新，讓企業能夠按需求管理行動裝置，確保裝置的安全性。</p> <p>Google在其最新的行動裝置作業系統Android 12，加入更多針對企業用戶設計的安全功能，包括改進密碼的控制來保護企業資料，並且能夠在公司的裝置上禁用USB訊號，以避免USB攻擊，同時Google還在Android工作配置檔案中加入額外的隱私保護安全控制，像是工作應用程式的網路日誌紀錄等。</p> <p>在後疫情時代，混合和遠端工作逐漸成為常態，Google提到，有效管理更多的行動裝置，對於企業來說越來越重要。在最新的Android Enterprise中，Google強化了零信任安全的支援。</p> <p>Google解釋，隨著越來越多企業員工，從傳統安全邊界以外的遠端裝置存取資料，企業必須開始部署零信任模型，永遠不能信任任一連線，並且不斷驗證對公司資源的存取。</p> <p>Google開發了許多API和工具，來支援Android上的零信任安全，供企業根據裝置訊號和安全資訊，對存取進行分層。同時在Android上，還強化零信任環境中身分識別資訊提供者的作用，透過連接他們對用戶的了解，以及完整的裝置信任訊號，對連線的可信度進行分析。目前Google正在與Okta、Ping Identity和ForgeRock合作，希望能夠現代化身分驗證流程。</p> <p>而對於合併使用Android Enterprise以及EMM（Enterprise Mobility Management）的用戶，Google新推出Android Management API可擴充框架，讓用戶可以即時調整Android Management API功能，以觸發即時的策略變更，滿足獨特且不斷變化的業務需求。</p> <p>Android Management API是個以雲端為基礎的API，由Google和Android團隊建置，可確保用戶能夠快速地獲得企業功能，並且使用最佳實踐以及推薦的預設需求設定。</p> <p>另外，Android獨特的工作配置功能，透過切換身分配置檔案，來提高員工工作效率，並且保護其個人應用程式和資料的隱私性，對企業來說，也能提高業務應用程式的資料安全性。</p> <p>而現在Google進一步改善這項功能，讓即便具有企業身分的未受管用戶，也可以使用工作配置檔，也就是說，當任何企業身分的用戶要將Android用於商業目的，就可以在介面中，分離工作和個人應用程式，並且一鍵暫停所有和工作相關的應用程式。</p> <p>這項功能將從明年開始，先向Google Workspace用戶提供，並計畫在之後擴展至更多身分識別供應商。</p> <p>Google提到，Android 12滿足包括美國國防部安全技術實作指南等嚴格部署要求。現在額外在Android安全獎勵計畫新增Android Enterprise類別，提供250,000 美元的獎勵，鼓勵安全研究人員探索存在Pixel裝置上Android Enterprise的漏洞。</p> </div></div></div>
2021/10/25 10:39作者李建興https://www.ithome.com.tw/news/147431
Google將Google Play的付費訂閱手續費全面降至15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/10/evolving-business-model.html" target="_blank">Google周四（10/21）宣布</a>，自2022年的1月1日起，Google Play上的付費訂閱手續費將全面從30%調降至15%。此外，諸如電子書或音樂串流服務等內容成本較高的服務，將可申請只支付10%的手續費。</p> <p>30%的交易手續費幾乎是行動程式市集的標準，包括蘋果的App Store、Google Play、Amazon的App Store或是三星的Galaxy Store，都向提供訂閱或程式內購買服務的開發者，收取30%的交易手續費，同時也會根據不同的狀況調降手續費。例如不論是蘋果或Google都只在第一年收取30%，第二年即降至15%，而且這兩家業者對於年營收不到100萬美元的開發者，也都只收取15%的佣金。</p> <p>不過，負責產品管理的Google副總裁Sameer Samat表示，數位訂閱已成為成長最快的開發者收入模式之一，但Google知道開發者面臨了獲取與維持客戶的困境，也曉得那些流失客戶的開發者會因為手續費的調降而受益，因而決定自明年1月1日起，全面調降Google Play上的手續費至15%。</p> <p>事實上，許多開發者都曾抱怨30%的手續費太高，並企圖繞過蘋果或Google的支付機制以避免被抽佣，例如Epic Games曾試圖在iOS版與Android版的《要塞英雄》（Fortnite）中嵌入自家的支付機制，而同時遭到蘋果與Google下架，<a href="https://www.ithome.com.tw/news/139405" target="_blank">Epic Games也為此告上法院</a>。</p> <p>此外，不少國家已開始調查蘋果與Google的程式市集政策是否涉及壟斷，使得蘋果及Google都開始調整相關政策，但當《The Verge》詢問Google此一新的政策是否為了因應來自監管機構的壓力時，Google則說，他們只是為了協助開發者於Google Play上取得成功而進行的變更。</p> <p>其實不管是App Store或Google Play上的付費程式比例都不高，例如App Store上有超過8成的程式都是免費的，Google Play上的免費程式比例更高達97%，換句話說，蘋果與Google只向平臺上低於20%及3%開發者收取交易手續費。</p> <p>Google此舉除了將造福Android生態體系的開發者之外，是否會迫使包括蘋果等其它業者跟進也令人關注。</p> </div></div></div>
2021/10/22 13:04作者陳曉莉https://www.ithome.com.tw/news/147418
Brave瀏覽器預設搜尋引擎從Google改為自家產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的隱私瀏覽器<a href="https://www.ithome.com.tw/news/145187" target="_blank">Brave繼6月測試自家開發的搜尋引擎Brave Search</a>後，<a href="https://brave.com/search-and-web-discovery/" target="_blank">昨（20）日宣布</a>，Brave Search從今天開始將正式取代Google Search，成為Brave瀏覽器的預設搜尋引擎。</p> <p>Brave表示它的搜尋引擎是以獨立索引為基礎，不會追蹤用戶活動、用戶的搜尋或點擊目標。Brave Search同時推出Web Discovery Project（WDP），這是一個選擇加入（opt-in）功能，允許用戶匿名傳送資料，以改進Brave Search的搜尋品質及涵蓋面。</p> <p>結合Brave Search和WDP的整套系統有助於建立獨立索引，確保產出和用戶更相關的查詢結果。它要送出一個URL前，必須有許多使用者已經造訪過，這是以<a href="https://arxiv.org/abs/2109.10074" target="_blank">STAR密碼協定</a>來達成。另一方面，WDP會自動揚棄太長、可疑的查詢，也會放棄建立者無法索引、非公開或需要驗證的網頁URL。WDP會在用戶上網時自動執行，因此選擇加入的使用者無需額外動作。</p> <p>Brave指出，Google等搜尋引擎暗中蒐集用戶資料來改善搜尋相關性，但這些資料可能利用識別碼等紀錄連結到個人身分，但WDP可確保所有蒐集到的資料無法用於連結，也不可能用來建立使用者資料側寫，這意謂著Brave無法賣資料給廣告主、遭第三方人士駭入或竊取，或是交給政府機關。</p> <p>今天釋出的Brave桌機（1.31）以及Android版（1.31）、iOS（1.32）版本瀏覽器，都會以Brave Search作為預設搜尋引擎。Brave Search上線後，會在美、加及英國取代Google，在法國及德國分別取代Qwant和DuckDuckGo。預計接下來幾個月會推向其他地區。Brave Search也已針對非英語地區完全本地化。</p> <p>現有Brave用戶則可持續使用既有瀏覽器。Brave Search不只可在Brave瀏覽器使用，也可以用於其他瀏覽器。</p> <p>Brave Search目前還不會顯示廣告，但不久之後會區分成免費及付費版，付費版不會有廣告，而免費版為廣告贊助模式，不久後就會顯示廣告了。</p> </div></div></div>
2021/10/21 14:38作者林妍溱https://www.ithome.com.tw/news/147395
Pixel 6手機為何需要一個自製Tensor行動處理器？Google臺灣硬體工程團隊揭密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓蘋果專美於前，Google於昨日（10/20）最新發表的Pixel 6手機中，首次搭載自行開發設計的Tensor行動處理器，新處理器主打可以大幅強化手機裝置上的AI和ML應用，包括在語音辨識、即時翻譯、拍照、錄影體驗等都有獲得不少的提升。一手打造和開發這顆處理器的Google研發團隊，不只有來自Google AI研究部門，Google在臺灣硬體工程團隊也全程參與。在Pixel 6推出同一天，在臺灣一場Google硬體產品活動上，Google臺灣工程團隊針對這顆處理器透露更多細節。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20211020_051250072.jpg" style="width: 600px; height: 338px;" /></p> <p>Tensor處理器雖然不是Google第一個自行開發的處理器，但卻是它第一個專為Pixel手機打造的行動處理器，在一顆不到十元硬幣大小的SoC晶片中，除了放進了CPU、GPU、ISP，Google還把自己過去在資料中心AI模型訓練和推論專用的TPU硬體技術，放進這顆SoC晶片中，為手機帶來更好地AI和ML處理能力。</p> <p>Google硬體副總裁彭昱鈞表示，新Pixel手機採用的Tensor處理器，深度結合了AI和ML這2個技術，放在CPU架構中，專門用於處理手機上這類的應用，像在AI語音辨識上，能更清楚辨識並理解每個語句的意思，又或是運用於AI影像處理時，能根據拍攝的物件的不同，如人種、膚色、場景等自動調整，來拍出更細緻且明亮的照片。</p> <p>為何Google要自己開發手機晶片？這是很多人的疑問，Google自己的回答也很直接：「因為市面上的手機晶片，追不上我們科研的速度。」Android及Pixel相機產品經理傅敬文也以相機功能來舉例，他表示，Google的AI相機技術運用很早，從Pixel 2、3代就有用，但過去這些AI拍照功能在CPU進行運算時很沒效率，難以推向市場，但在新Pixel手機中，因採用了自製晶片，讓這些AI相機技術，也能夠在手機上獲得同樣或甚至更好地的應用。</p> <p>Google採用自製晶片還有另一個用意，就是可以針對手機上需要較複雜運算的AI應用來優化，舉例來說，以往手機錄影過程中，要用AI辨識錄影場景或是人講話的聲音，需要CPU大量運算處理，也相當耗電，但是Google自製的低功耗晶片就沒有這個問題，例如Google這次特別在新手機錄影功能中，新增類似HDR Plus演算法，來優化拍攝影像品質。傅敬文指出，這是舊Pixel手機做不到，只有用Tensor晶片的新Pixel手機才能辦到。</p> <p>以往歷代Pixel手機開發，Google臺灣工程團隊扮演很重要的角色，這一代Pixel手機研發也不例外，甚至在整個Tensor晶片開發過程中，臺灣工程團隊也參與其中，從影像處理IP整合、測試、分析效能，到軟體開發和硬體系統開發等，臺灣團隊都全程參與，花了相當多的人力和資源投入，與Google全球團隊緊密地合作。</p> <p>Tensor晶片花費了4年研發打造完成，為了將AI處理能力更好地嵌入到SoC晶片中，彭昱鈞表示，在整個晶片開發過程中，Google一直是從整體系統設計的角度來思考，不只考慮晶片本身，也得考慮到系統如何搭配，兩者必須相輔相成，才能發揮出最大的效益。</p> <p>雖然外界對於它的硬體規格十分好奇，但彭昱鈞直言，比起硬體規格，他們更在意的是，手機是否因為有Tensor處理器以後，能更加了解使用者需求，舉例來說，拍照和語音辨識是手機上很常使用的功能，所以研發團隊最初設計構想是，如何把這類的AI、ML技術整合到手機晶片上做應用，例如以前要移除照片場景中的某個物件時，使用者必須手動描邊來選取要從影像中剔除的物件，但加入這類AI功能後，就可以省下這些事。「這些都是我們在CPU設計上想達到的效能。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20211020_054903051.jpg" style="width: 600px; height: 338px;" /></p> <p>這代手機加入更多智慧拍照功能，Google借助Tensor處理器，大幅優化影像處理上的AI、ML演算法效能，如新增的AI動態肖像模式功能，能透過AI自動辨識拍攝物體是流動物體或是移動物體，為背景加入模糊效果，或是製造出水流綿延感。新推出的AI橡皮擦功能，則是可以偵測相片中的干擾物並提供移除建議等。</p> <p>以AI動態肖像模式為例，彭昱鈞表示，現在手機拍照會透過連拍多張照片的方式自動合成最佳照片，從這些照片中，AI可以偵測被拍攝的對象及其行為，例如被拍者是運動員，正在騎自行車，需要速度感，AI就可以透過後製將這些元素加進來，除了辨識須透過AI輔助，選取照片中的物件時也需要用到，這就能發揮AI或ML的用處。彭昱鈞指出，這些功能以前用軟體也能做到，但需較久的時間而且很耗電，「現在我們有一個特用型，專門為這件事優化的SoC，就可以做到更廣泛的應用。」</p> </div></div></div>
2021/10/21 15:03作者余至浩https://www.ithome.com.tw/news/147383
Google Chrome 95將徹底移除FTP程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome已經廢止使用FTP（File Transfer Protocol）好一段時間，近日Google終於從<a href="https://chromestatus.com/roadmap" target="_blank">Chrome 95的穩定版</a>程式碼中將之移除。</p> <p>問世40年的FTP因為傳輸連線不提供加密，從安全性考量，各瀏覽器業者包括Google很早就已經宣布將漸進不再支援。Google 從Chrome 72已經不允許FTP傳輸文件資源，Chrome 76移除代理伺服器的FTP支援。去年因為COVID-19疫情，為方便使用者遠端作業，Google決定暫緩計畫，一度將FTP加回Chrome。不過今年的<a href="https://www.ithome.com.tw/news/142372" target="_blank">Chrome 88已移除FTP URL的支援</a>，對所有用戶預設關閉，不過用戶還是可以開啟。</p> <p>根據<a href="https://www.chromestatus.com/feature/6246151319715840" target="_blank">Chrome團隊的計畫</a>，桌機、Android版及Webview版Chrome會在95版完全移除FTP支援。</p> <p>在Chrome 95版程式碼移除FTP支援後，意謂FTP在Chrome的使用就此結束。不過，受到影響的用戶應該不多了。即使在3年前，從FTP下載資源的Chrome用戶也只剩下0.04%。</p> <p>Mozilla Firefox已在今年7月的<a href="https://www.ithome.com.tw/news/145834" target="_blank">90版正式終止FTP支援</a>。蘋果Safari則是從未真正支援過。</p> </div></div></div>
2021/10/21 12:42作者林妍溱https://www.ithome.com.tw/news/147392
微軟釋出Windows Subsystem for Android預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2021/10/20/introducing-android-apps-on-windows-11-to-windows-insiders/" target="_blank">微軟周二宣布</a>，適用於Windows 11的Windows Subsystem for Android預覽版，已釋出給測試的開發人員。</p> <p>Windows Subsystem for Android可讓使用者在Windows 11裝置上，執行從Amazon Appstore下載的Android應用程式。目前這個預覽版已經由Beta頻道釋出給美國Insiders測試方案的開發人員，在搭載Intel、AMD及高通晶片的相容Windows 11裝置上使用。</p> <p>作為新的旗艦級桌機版作業系統，Windows 11最大特色之一是可以跑Android應用程式。這就是Windows Subsystem for Android的角色所在。Windows Subsystem for Android經由Microsoft Store下載，包含Linux核心及以AOSP （Android Open Source Project）為基礎的Android OS。如同Windows Subsystem for Linux，Android版本也是跑在Hyper-V虛擬機器上，它可以將AOSP環境下的runtime及API部署到Windows繪圖層、記憶體緩衝、輸入模式、實體和虛擬裝置，和感測器。</p> <p>Windows Subsystem for Android是微軟與英特爾和Amazon合作開發而成，適用於多種運算平臺，包括AMD、Intel、高通（Qualcomm）。微軟表示，利用Intel Bridge Technology，使原僅支援Arm的App得以跑在AMD和Intel平臺上，提供用戶更多App及硬體選擇。而為了確保運行順暢，這款軟體也需硬體滿足Windows 11的系統規格要求。</p> <p>由於它是和Amazon合作而成，因此Windows 11電腦僅限於跑Amazon Appstore上架的Android App。根據<a href="https://docs.microsoft.com/en-us/windows/android/wsa/" target="_blank">微軟的技術文件網頁</a>，為了能在Windows 11裝置上執行，Android App必須先出版上傳到Amazon Appstore，而目前只有一小部份由微軟和Amazon挑選過的App，可以經由Microsoft Store軟體商店搜尋下載。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/44/2021/10/Collection.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>當Windows 11用戶從Microsoft Store安裝Amazon Appstore、Android或Amazon App時，Microsoft Store會自動於背景執行方式安裝Windows Subsystem for Android。安裝完成後Amazon Appstore就會出現在Windows 11開始選單，可用於搜尋Android App。</p> <p>目前可以下載的Android App為50個，像是遊戲《王國紀元Lords Mobile》、《瓊的奇妙旅程：尋物解謎June’s Journey》、《金幣大師Coin Master》、電子書閱讀軟體Kindle、Comics、以及兒童讀物《Lego Duplo World》及Khan Academy Kids。微軟Microsoft Store總經理Giorgio Sardo表示，接下來幾個月內會經由Insider測試更新版，釋出更多新App。</p> </div></div></div>
2021/10/21 11:02作者林妍溱https://www.ithome.com.tw/news/147387
Google正式啟動Google Play的程式資料安全項目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://www.ithome.com.tw/news/145928" target="_blank">在今年7月更新了Google Play的安全及隱私政策</a>，宣布將著手整頓閒置帳號，以及要求開發者於程式中列出資料安全項目（Data safety section）。<a href="https://android-developers.googleblog.com/2021/10/launching-data-safety-in-play-console.html" target="_blank">本周Google宣布開始於Google Play控制臺（Google Play Console）新增資料安全表格供開發者填寫</a>，預計未來幾周就會擴及全球的開發者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-google%20play%20console%20app%20content-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>根據Google的規畫，使用者在明年2月22日起，就可看到Google Play上行動程式所提供的資料安全項目；明年4月22日起，Google將會拒絕未具備安全資料項目的程式上架。</p> <p>資料安全項目總計有5個大項，包括程式如何蒐集與分享用戶資料、傳輸資料時是否加密、是否允許使用者刪除資料、是否遵循Google Play的家庭政策，以及是否經過獨立的安全審核。使用者可直接於該項目看到摘要，而開發者亦可於各個項目的內容作出解釋。</p> <p>Google指出，雖然他們希望所有的程式都可在明年2月準備就緒，但知道有些開發者需要更多的時間來評估，因而再提供了兩個月的緩衝期。此外，過去只有那些蒐集個人資料或機密資料的程式必須向用戶分享隱私政策，但新政策則包含所有程式，到了明年4月，不管是新提交或是更新的程式都必須填寫資料安全項目，否則便會被拒絕上架。</p> </div></div></div>
2021/10/20 14:20作者陳曉莉https://www.ithome.com.tw/news/147360
Android 12正式問世，強調個人化及隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://www.ithome.com.tw/news/147357" target="_blank">發表Pixel 6系列</a>的同一天，<a href="https://blog.google/products/android/android-12/" target="_blank">正式釋出了Android 12</a>，支援Pixel 3及以上的Pixel手機，同時列出了Android 12的12項新功能，主要圍繞在個人化及隱私上。</p> <p>Android 12號稱是史上最個人化的Android版本，當使用者變更桌布時，系統上的所有功能就會自動搭配桌布色系，從鎖住螢幕、通知、設定、工具或程式，此一功能率先出現在Pixel上，未來也會支援其它Android手機；它還具備新的視窗放大鏡，可用來放大螢幕上的特定區域。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-android%2012%20by%20google-600-1(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>Android 12大幅改善用戶隱私，允許使用者自手機狀態欄位檢視哪些程式正在使用麥克風或攝影機，也可選擇將其關閉；可設定程式存取的位置是精確的或是模糊的；透過全新的隱私儀表板來呈現與管理所有程式的存取權限；延續了Android 11的程式權限自動重設功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-android%20precise%20location%20private.png" style="width: 279px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-android%2012%20PRIVACY%20DASHBOARD.png" style="width: 530px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>其它的功能性強化則包括截圖時可一次截取超過螢幕的所有內容；特定的遊戲可在下載時就開始執行，而不必等到下載完畢；在Android 12上新增Nearby Share來分享自己的Wi-Fi 網路，而不必再提供密碼；最後一項重要的功能則適用於手機的升級，兩臺Android手機只要在同一個Wi-Fi 網路上就能傳送訊息與資料到新手機上，若是要從iPhone移轉至Android手機，則需要藉由傳輸線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-android%2012%20EASILY%20SWITCH%20PHONES.png" style="width: 284px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>現階段Pixel 3及以上的Pixel用戶已可更新至Android 12，預計於10月28日上市的Pixel 6系列則是直接內建Android 12，今年內包括Samsung Galaxy、OnePlus、Oppo、Realme、Tecno、Vivo及小米等Android手機，也將能升級至最新的Android 12。</p> </div></div></div>
2021/10/20 13:44作者陳曉莉https://www.ithome.com.tw/news/147358
Google發表採用Tensor自製處理器的Pixel 6，與整合所有付費服務的Pixel Pass
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/meet-pixel-6-pixel-6-pro/" target="_blank">Google周二（10/19）發表了新一代的Pixel 6與Pixel 6 Pro手機</a>，該系列手機首度採用Google自製的Tensor處理器，大幅強化其機器學習能力，並搭載Android 12作業系統，Google宣稱，軟、硬體的整合讓Pixel具備更強大的能力，同時降低電力的使用。<a href="https://blog.google/products/pixel/introducing-pixel-pass/" target="_blank">隨著Pixel 6系列出爐的還有Pixel Pass</a>，它整合了YouTube Premium、YouTube Music Premium、200GB的Google One 、Google Play Pass及保固服務，月租費為45美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-google%20pixel%206-color-by%20google.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>採用6.4吋螢幕的Pixel 6售價為599美元（新臺幣18,990元），6.7吋的Pixel 6 Pro則是899美元（新臺幣26,990元），即日起開放預購，預計於10月28日出貨。</p> <p>Pixel 6與Pixel 6 Pro最大的特點在於，它們採用了<a href="https://blog.google/products/pixel/introducing-google-tensor/" target="_blank">Google自行打造的Tensor處理器</a>，這是由Google Silicon與Google Research團隊共同設計的系統單晶片（SoC），著眼於與Android 12有更好的協作能力，提供更先進的機器學習模型與更低的電力損耗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-google%20tensor.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>Google Tensor替Pixel 6系列帶來了更精確的自動語音辨識（Automatic Speech Recognition，ASR）能力，應用在攝影上則有運動模式（Motion Mode），以及讓影片品質逼近照片的HDRNet。</p> <p>其中，強大的ASR將支援多種聊天程式，允許使用者在輸入時進行即時翻譯，同時也支援影片的即時翻譯，此外，Pixel 6系列上的機器翻譯模型所使用的電力不到Pixel 4的一半。運動模式則支援使用者透過長曝光拍攝瀑布，或是其它動、靜態並存的影像。HDRNet功能則可讓所有的影片模式可以拍下更精確與栩栩如生的照片，即使是在4K或是60 FPS的設定下。</p> <p><a href="https://store.google.com/tw/magazine/compare_pixel?hl=zh-TW&toggler0=Pixel+6+Pro&toggler1=Pixel+6&toggler2=Pixel+4a" target="_blank">Pixel 6與Pixel 6 Pro在硬體規格上</a>的主要差異為螢幕尺寸、記憶體、電池與相機功能。它們內建的記憶體分別是8GB與12GB，入門款儲存空間皆為128GB；電池容量為4614 mAh與5003 mAh，但續航力都超過24小時；後置相機則皆具備5,000萬畫素的廣角鏡頭、1,200萬畫素的超廣角鏡頭，但Pixel 6 Pro額外提供了4,800 萬畫素的望遠鏡頭，且前置相機的畫素為1,110萬，Pixel 6前置相機只有800萬畫素。</p> <p>至於包含各式Google付費服務的Pixel Pass針對Pixel 6所提供的月租費為45美元，Pixel 6 Pro則要55美元，可能計入了Pixel 6 Pro較高的保固費用，目前僅於美國市場開放預購。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-Pixel%206%20with%20Pixel%20Pass.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> </div></div></div>
2021/10/20 13:15作者陳曉莉https://www.ithome.com.tw/news/147357
報導：蘋果的新隱私政策讓該公司的搜尋廣告占比從17%成長到58%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今年的4月26日釋出的iOS 14.5中，嵌入了宣稱用來強化使用者隱私的程式追蹤透明化（App Tracking Transparency，ATT）政策，要求所有要追蹤使用者的程式，都必須先獲得iOS用戶的同意。而英國《金融時報》（Financial Times，FT）則<a href="https://www.ft.com/content/074b881f-a931-4986-888e-2ac53e286b9d" target="_blank">引用廣告測量公司Branch的數據指出</a>，透過蘋果App Store搜尋廣告而下載行動程式的比例，從一年前的17%成長到現今的58%，意謂著該ATT政策替蘋果帶來了意外之財。</p> <p>根據<a href="https://blis.com/insights/ios-14-5-tracker/" target="_blank">英國廣告行銷業者Blis‌在今年7月的統計</a>，全球採用iOS 14.5或14.6的蘋果用戶已達69.9%，顯示當時它們已是蘋果用戶的主流作業系統，當中僅有38.9%的用戶允許程式追蹤他們的網路使用行為。</p> <p>儘管ATT政策並未禁止程式顯示廣告，只是禁止程式追蹤使用者的活動，但這代表廣告主或程式將無法替使用者量身遞送適合的廣告，也無從測量廣告效果。</p> <p>《金融時報》指出，在ATT上線之後，除了臉書曾坦承愈來愈難測試iOS平臺上的廣告效果之外，有些行動廣告主也將廣告支出直接移往Android市集，可能過去在iOS及Android平臺上的廣告支出比重是5:5，現在則調整為3:7。</p> <p>然而，另一方面，也有廣告主直接把廣告預算移至蘋果App Store的搜尋功能中，例如當使用者搜尋Snapchat時，會跳出TikTok的廣告。</p> <p>Branch的統計即顯示，過去iPhone上的程式下載只有17%來自於App Store的搜尋廣告，但在蘋果啟用了ATT政策之後，該比例突飛猛進至58%。Branch產品行銷總監Alex Bauer向《金融時報》透露，蘋果的搜尋廣告就如同一個原本只在小聯盟比賽的球隊，在短短的半年內忽然贏得世界冠軍一樣。</p> <p>如今外界最大的質疑就是蘋果如何說服他們，蘋果自己也遵守了ATT政策。</p> </div></div></div>
2021/10/18 16:12作者陳曉莉https://www.ithome.com.tw/news/147326
WhatsApp雲端備份也有端對端加密了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書旗下的通訊平臺WhatsApp周四（10/14）宣布，未來幾周將開始支援Android及iOS用戶雲端備份的端對端加密功能，不管他們的備份資料是存放在Google Drive或iCloud上。</p> <p>端對端加密（End-to-end Encryption，E2EE）的定義為，只有通訊的兩端能夠取得金鑰以解鎖加密的內容，以預防潛在的竊聽者。對於雲端備份而言，則是代表只有使用者能夠建立與存取加密金鑰，以在不管是傳送備份至雲端，或是自雲端取得備份時，都沒有其它第三方能夠竊聽。</p> <p><a href="https://engineering.fb.com/2021/09/10/security/whatsapp-e2ee-backups/" target="_blank">WhatsApp解釋</a>，該平臺一直以來都提供訊息的E2EE，以讓使用者進行安全的交流，另一方面，使用者亦可把WhatsApp的備份存放於雲端服務，而這些備份的安全性則是由雲端業者提供，為了保障WhatsApp備份的安全性，WhatsApp著手打造雲端備份的E2EE機制。</p> <p>當使用者開啟端對端的加密備份之後，即可產生一個64位元的加密金鑰，以將備份加密，使用者可自行記下該加密金鑰，或是建立一個密碼以將金鑰存放在由WhatsApp所建立的備份金鑰保險箱（Backup Key Vault）中，此一金鑰保險箱則是奠基於硬體安全模組（Hardware Security Module，HSM）之上。</p> <p class="rtecenter"><img alt="" src="https://engineering.fb.com/wp-content/uploads/2021/09/WhatsApp_E2EE-Backups_64-digit-encryption.jpeg?resize=1536,864" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://engineering.fb.com/wp-content/uploads/2021/09/WhatsApp_E2EE-Backups_user-password.jpeg?resize=1536,864" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_WhatsApp</span></p> <p>假設使用者採用的是密碼，在啟用加密備份之後，負責客戶端連結與客戶端及伺服器端驗證的WhatsApp前端服務ChatD，就會負責與金鑰保險箱互動。</p> <p>總之，未來WhatsApp用戶將可藉由金鑰來加密欲傳送至雲端的備份，再透過金鑰或密碼來解密與存取該備份，讓不管是WhatsApp，或是Google Drive與iCloud等雲端服務，都無法存取使用者的備份資料。</p> <p>為了保障金鑰的安全性，WhatsApp把備份金鑰保險箱分散在不同的資料中心，以避免某個資料中心故障時，危及金鑰保險箱的運作。</p> </div></div></div>
2021/10/15 15:57作者陳曉莉https://www.ithome.com.tw/news/147300
蘋果iPhone市占為13%，獲利卻占全球手機的75%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動裝置平臺早就是Android的天下，採用Android的手機占了全球手機出貨量的8成以上。不過，<a href="https://www.counterpointresearch.com/global-handset-market-operating-profit-q2-2021/" target="_blank">市場研究機構Counterpoint本周指出</a>，雖然今年第二季蘋果的iPhone只占全球手機出貨量的13%，但它的營收卻占全球手機銷售的40%，其營業利潤（Operating Profit）更占了全球手機的75%。</p> <p>今年第二季並不是蘋果表現最好的時候，該公司的巔峰出現在2020年的第四季，當時iPhone的出貨量占全球市場的17%，營收占50%，營業利潤占比則高達86%。</p> <p>換句話說，蘋果是全球最賺錢的手機公司，就算市占率落後三星與小米，但全球手機的獲利有超過7成都進了蘋果的口袋。</p> <p>緊追蘋果之後的是三星，三星在今年第二季占全球手機出貨量的15%，營收亦占全球手機營收的15%，營業利潤則占13%。這也意謂著除了蘋果及三星之外，其它手機業者只能分享12%的營業利潤。</p> <p>例如小米雖然搶下了全球第二大手機製造商的頭銜，但它在獲利上的表現並不是太好，原因之一為小米過去幾年都聚焦於擴大手機市占率。Counterpoint認為，小米或OPPO等中國業者先前都以較低的平均銷售價格（ASP），來銷售高規格的手機，這些品牌未來將如何說服客戶支付更高的價格，非常值得觀察。</p> </div></div></div>
2021/10/15 11:24作者陳曉莉https://www.ithome.com.tw/news/147285
中華電信X拓連科技借力GCP 成就EV充電服務大業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960420_468.jpg" width="961" height="421" alt="" title="拓連科技Noodoe王景弘董事長" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於 2013 年的拓連科技（Noodoe），是一家軟體研發技術公司，早年發展創新的 IoT 產品與服務，搏得不少聲量與實績。拓連科技董事長王景弘表示，2018 年有感於車輛「棄油轉電」蔚為趨勢，遠赴電動車市場競爭激烈的美國成立分公司，淬鍊出「Noodoe EV OS」電動車充電管理系統，可對充電設備下達正確指令，並藉由每 60 秒的自動偵測、診斷與修復，確保充電服務 24 小時正常運作，讓有意開拓電動車充電業務的企業，能立即藉此管理符合 OCPP 1.6 JSON 的充電設備，且可使用會員管理、金流管理、能源管理等服務。企業的使命與主要的期許，就是與場域業主一起努力實踐交通電動車化、達到全球環保零碳排的願景。</p> <p>鑒於電動車充電需求日趨擴大，驅使拓連不斷發展創新技術應用，包含負載平衡、需量反應 ADR、智慧排程、充電漫遊、車主優惠解決方案、雲端平台服務等，使全球企業皆能善用 Noodoe EV OS，加速投入電動車充電產業；在此同時，拓連必須憑藉豐沛的運算能量，支撐 Noodoe EV OS 今後指數型增長的運轉需求。因此拓連亟需引進在地性、即時性的雲端服務與技術支援團隊，做為其研發團隊的後盾；幾經審慎評估，擇定由中華電信協助導入 GCP（Google Cloud Platform）雲端服務。</p> <p><strong>選擇中華電信運用 GCP 建置金融案場系統，落實資料落地規範</strong></p> <p>拓連科技資深產品經理劉昱廷指出，Noodoe EV OS 是一個電動車充電管理的大腦，類似電腦的 Windows、手機的 Android，任何充電器一連上它，就能立即形成智能監控機制。</p> <p>以往充電站擁有者必須花數天跑線上申請流程，才能開始營運；反觀 Noodoe EV OS 把系統安裝、服務訂閱的流程設計得極為順暢，業主自行操作簡單步驟，便可讓充電設備順利連網、引用各種雲端服務，順勢解決電力申請、電力管理、會員管理等諸多問題。而 Noodoe EV OS 也結合人工智慧（AI）技術，能自動診斷與修復充電站的疑難雜症，讓妥善率恆常保持最佳狀態。</p> <p>為何拓連決意引進 GCP？劉昱廷說，首先Noodoe EV OS 原本就立基於雲端平臺，以達到全球佈局目標，但同時間亦需兼顧臺灣市場，許多在地客戶很關心背後雲端服務是否架設於臺灣資料中心。其次電動車充電往往產生不穩定的離尖峰流量，故拓連必須權衡成本、穩定性、安全性、擴展性等因素，選擇更契合營運節奏的雲端服務，因應離尖峰流量迅速調節資源配置。</p> <p>更重要的是拓連承接不少來自臺灣金融業者的專案建置需求，需遵循金管會要求金融資料必須落地之規範；於是借重 GCP 服務來承載金融案場系統與網站，以符合金融業嚴謹的資安規範，並確保使用者連線時的低延遲性。</p> <p>選擇與中華電信合作，第一個原因是看重其在地化的技術支援實力。第二是即時回應，不論拓連的工程師遭遇任何問題、或有架構上的 Issue，都可快速找到中華電信專家直接進行諮詢。若是其他業者，則是以線上客服或是資訊轉手的方式進行諮詢。第三是中華電信穩健的品牌形象，足以給客戶很大的安定感，拓連表示在承接專案時，這點有很大的實質幫助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8B%93%E9%80%A3-%E7%94%A2%E5%93%81%E7%B6%93%E7%90%86%202%20596350.jpg" style="width: 596px;" /></p> <p>拓連科技Noodoe劉昱廷資深產品經理</p> <p><strong>使用 GCP 資料處理效率激增 35 倍，節約 30% 伺服器建置成本</strong></p> <p>拓連科技軟體開發部副總經理劉得權提到，目前 Noodoe EV OS 服務範疇遍佈全球 145 國，每日處理逾 500 萬筆資料，為驗證業務執行方向對或錯，須借重 GCP 的 BigQuery 功能，迅速將大量 Raw Data 變成有用資訊、優化商業決策。早先試過其他平臺，撈取數據可能花上數小時、甚至一到兩天；若不幸察覺資料有誤，須重頭來過、再次耗費漫長時間。反觀 BigQuery，不僅能儲存大量數據，且可對上億筆資料下關鍵字，可在短短 10 分鐘內得到結果，幫助拓連迅速調整方向。</p> <p>除 BigQuery 外，拓連另採用 Cloud Load Balancing、Compute Engine、Cloud Storage 等 GCP 解決方案；一方面能彈性運用 Cloud Load Balancing 機制、快速擴張系統，或因應尖離峰調配系統容量，二方面透過 Compute Engine、Cloud Storage 的整合運用，在 4 小時內輕鬆架站。</p> <p>導入上述服務的過程，中華電信屢屢提供快速的線上支援，讓拓連實現大幅提升開發效率的目標。一來得力於 BigQuery 加速擷取海量資料，有助縮短開發時間，二來拓連不斷與中華電信技術人員諮詢、對話，獲得有關加速開發的寶貴建議。</p> <p>劉昱廷歸納此次經由中華電信導入 GCP，已帶給拓連五大效益：一是將數據處理時間，從過去至少 5、6 個小時縮短為 10 分鐘內，效率激增35 倍。二是透過 GCP 快速架設想要的網站或服務，4 小時內完成上架。三是根據尖離峰流量調節機器，並結合 GCP 針對長時間使用服務主動給予折扣的利基，讓拓連因而節省 30% 的伺服器建置成本。第四，拓連經常使用 Google 相關服務與 API；從前若採用其他平臺，需頻繁跨越不同環境做設定，如今透過 GCP，即可在同一環境執行設定，不僅提升開發效率，也避免因中間轉換而過程發生錯誤。最後一點，因 GCP 在臺灣設有機房，讓拓連更易贏得客戶信任。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Philip_%E4%BF%AE2%20522400.jpg" style="width: 522px;" /></p> <p>拓連科技Noodoe軟體開發部劉得權副總經理</p> <p>展望未來，拓連將致力打造最高效的充電解決方案，迎向零碳排放的電動車時代。未來將繼續推動全球佈局，對雲端服務的倚賴度只會不斷加深；可預見今後會有更多系統及架構調整、擴充需求，仍需與中華電信密切合作，使拓連在擴張全球服務時，可維持系統的流暢運作，順勢躍上未來的營運巔峰。</p> <p>企業客戶服務專線：<span style="color: rgb(59, 89, 152);"><strong>0800-080-365</strong></span></p> <p>雲端解決方案：<span style="color: rgb(59, 89, 152);"><strong><a href="http://hicloud.hinet.net">http://hicloud.hinet.net</a></strong></span></p> <p>更多資訊：<strong><a href="https://tracker.ssp.hinet.net/c/2836?utm_campaign=GCP&utm_source=posm&utm_medium=display&utm_term=202110&utm_content=iThome_magazine_GCP_Noodoe" target="_blank"><span style="color: rgb(59, 89, 152);">請點選</span></a></strong></p> </div></div></div>
2021/10/15 00:00機構署名廠商新聞稿https://www.ithome.com.tw/article/147279
老牌間諜程式FinSpy透過UEFI惡意韌體啟動器，植入Windows電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過植入電腦韌體的方式，使得惡意軟體能持久在受害電腦上運作，而憑藉這樣的攻擊手法，駭客過往大多針對舊型電腦樣硬碟的主要啟動磁區（MBR），最近有一些開發惡意軟體的人士，也打造能在統一可延伸韌體介面（UEFI）運作的工具，用於間諜軟體的攻擊行動。</p> <p>例如，資安業者卡巴斯基於9月30日揭露，惡名昭彰的間諜軟體FinSpy（又被稱為FinFisher或Wingbird）當中，開始納入UEFI惡意啟動工具（Bootkit），使得攻擊行動更加的隱密而不易被察覺。</p> <p>FinSpy是由德國監控器材業者Gamma開發的諜軟體，該公司將其銷售給全球政府機關。而這款間諜軟體，最早約於2011年，被發現用於攻擊行動，而攻擊者散布它的方式，多半是經由獨立安裝程式。</p> <p>攻擊者一旦利用FinSpy，可竊取受害電腦的各種資料，像是作業系統資訊、瀏覽器與VPN的帳密、搜尋歷史記錄，以及Wi-Fi的密碼等等。</p> <h2><strong>攻擊者首度運用UEFI惡意啟動工具</strong></h2> <p>但卡巴斯基在2018年開始，發現Windows版FinSpy的偵測比率下降，而這種反常的現象引起研究人員的好奇。</p> <p>直到他們在2019年中旬才找到答案，因為他們研究Android版FinSpy攻擊程式之際，發現駭客在部署該程式前，還有第一階段的攻擊程式存在，所以，進而找到先前攻擊者的活動軌跡——在Windows版本FinSpy運用惡意UEFI惡意啟動工具的行為。</p> <p>雖然這次卡巴斯基主要分析的是Windows版FinSpy，但他們指出，Linux與macOS版本FinSpy的程式碼架構，也與Windows版本的非常相似。</p> <p>這個UEFI惡意啟動工具究竟如何運作？研究人員表示，他們看到感染這個啟動工具的電腦，該工具會將Windows開機管理員檔案（bootmgfw.efi），更換為惡意檔案。</p> <p>上述的UEFI惡意啟動工具，存放在電腦啟動器資料夾裡，置入Winlogon Injector、Trojan Loader等2個檔案，這些檔案都由RC4演算法加密，解密金鑰是EFI系統磁區（ESP）的全域唯一識別碼（GUID），每臺受害電腦的解密金鑰都不同。</p> <p>等到使用者登入作業系統，UEFI惡意啟動工具就將Trojan Loader注入EXE檔案，該木馬載入器便會載入FinSpy。</p> <h2><strong>亦能對MBR下手</strong></h2> <p>而對於不支援UEFI的電腦，研究人員指出，攻擊者還是可以透過MBR植入FinSpy。</p> <p>針對使用MBR開機的電腦，FinSpy則是以相當迂迴的方式，將程式碼注入winlogon.exe，使得潛入流程較攻擊UEFI更加複雜──先是在可執行檔內，建立Trampoline Shellcode執行序，此Shellcode再將執行序複製、轉移到檔案總管，並注入另一個Trampoline Shellcode，最後，這個新的Shellcode，把Trojan Loader注入winlogon.exe，載入FinSpy。</p> <p>除了上述提及鎖定電腦韌體的手法，駭客還是會透過具有合法簽章的應用程式，如TeamViewer、WinRAR等，來挾帶FinSpy，並誘騙使用者下載安裝。</p> </div></div></div>
2021/10/13 15:20作者周峻佑https://www.ithome.com.tw/news/147244
Google反告Epic違反Play Store規定獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電玩軟體業者Epic Games為了程式內支付不僅和蘋果打官司，也槓上Google。<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364325/gov.uscourts.cand.364325.182.0.pdf" target="_blank">Google本周反告Epic在App中提供非Google的支付機制，違反Play Store的協議不當獲利</a>。</p> <p>去年Epic Games因為在iOS版與Android版的《要塞英雄》（Fortnite）App中，加入自有支付機制，繞過App Store與Google Play的程式付費規範，遭到蘋果與Google從各自App軟體商店下架。因此Epic將兩大軟體巨人告上法院，指其對開發商徵收蘋果稅及Google稅。</p> <p>Epic也出具法院文件指稱，Google利用Android平臺優勢及分潤為誘因，阻止裝置製造商安裝第三方軟體商店App，包括Epic的軟體商店，獨厚Google Play Store。</p> <p>Google在向加州地方法院法庭遞交的文件，否認Epic所稱Google種種迫使手段，包括迫使用戶或開發商使用Google Play Store。Google說它提供App開發商及智慧型手機消費者更多自由度和選擇，許多美國以外的用戶裝置上都預安裝其他軟體商店App，消費者也可以從開發商官網下載。Google宣稱，消費者和開發商不是被迫使用，而是選擇使用Google Play 。</p> <p>Google宣稱，它透過Android、Google Play政策及Google與開發商及裝置製造商的協議支援選擇軟體商店及傳布通路的自由，這點可從Epic在2018年就和三星簽約，於Galaxy Store上架《要塞英雄》遊戲，而不需從Google Play Store上下載可以得知。</p> <p>這家軟體巨人反而針對Epic的論點申明它才是受害者。2020年6月Epic在Google Play上架的《要塞英雄》App，讓使用者用它自己的支付處理工具，而非Google Play Billing，這點違反了Google Play開發傳布協議（Developer Distribution Agreement，DDA）。Google指出，Epic在這款遊戲App的交易中，透過自有支付工具獲利，但對Google而言卻沒有因智財或App傳輸而獲得任何報酬，因而稱Epic是利用Google的付出不當獲利。</p> <p>Epic和Google的官司還在進行中。不過Epic 和蘋果之間的官司，9月間已有初步結論。蘋果在日本、美國等政府調查壓力下，已允許開發商提供用戶App Store以外的支付管道，不過蘋果本周仍企圖<a href="https://www.ithome.com.tw/news/147202" target="_blank">要求法院暫緩實施</a>。</p> </div></div></div>
2021/10/13 10:18作者林妍溱https://www.ithome.com.tw/news/147239
日本公平會對蘋果、Google啟動新的反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Business/Technology/Apple-and-Google-under-antitrust-scrutiny-in-Japan-for-mobile-OS" target="_blank">日經新聞報導</a>，日本公平交易委員會已經分別針對蘋果與Google啟動反托拉斯調查，了解兩家巨擘是否利用行動作業系統平臺的地位排擠對手，進而損害消費者利益。</p> <p>報導引述日本公正取引委員會（日本公平會）主席指出，調查將透過訪談OS營運業者、應用程式開發人員及用戶而成，並做成報告說明OS市場結構，以及何以市場競爭趨於停滯。但這裏的調查不只限於智慧型手機，也會觸及智慧型手錶或其他穿戴裝置的市場狀態。</p> <p>日本公平會將與中央政府的數位市場競爭評議會（Digital Market Competition Council）共同進行這次調查，後者也準備啟動它自有的市場調查。</p> <p>一旦日本政府調查發現Google、蘋果確有抑制市場競爭的情形，必須於報告中明列，以及違反日本反托拉斯法的事實。</p> <p><a href="https://www.meti.go.jp/english/policy/mono_info_service/information_economy/digital_platforms/index.html" target="_blank">今年2月日本《促進數位平臺透明度與公平性》（Improving Transparency and Fairness of Digital Platform）法案正式上路</a>。如果公平會認定該法適用於OS市場，則OS營運商，即蘋果與Google必須定期繳交報告給日本經濟產業省。</p> <p>日經報導，在日本智慧型手機市場，蘋果iOS市占達70%，而Google Android為30%。</p> <p><a href="https://www.ithome.com.tw/news/124652" target="_blank">歐盟數年前也曾針對Google進行反托拉斯調查</a>，斷定Google強迫裝置製造商預安裝其搜尋及Gmail等App，以交換Android作業系統授權，並於2018年做出Google 43.4億美元的重罰<a href="https://www.ithome.com.tw/news/146929" target="_blank">。Google於上個月提出上訴異議</a>，認為主管機關只抓Google卻忽略蘋果的影響力。</p> <p>這次調查也是<a href="https://www.jftc.go.jp/houdou/pressrelease/2021/sep/210902.html" target="_blank">9月份日本公平會對蘋果App Store支付調查</a>後的另一次調查。上個月日本政府判定蘋果強制應用程式內建其程式內支付（in-app payment）違法，要求蘋果應允許開發商提供使用者App之外的支付選擇，例如App網站。之後<a href="https://www.ithome.com.tw/news/146419" target="_blank">蘋果也終於允許App開發商告知使用者其他付款方式</a>。</p> </div></div></div>
2021/10/11 12:56作者林妍溱https://www.ithome.com.tw/news/147205
知名影視串流服務Disney+登臺，每月訂閱費270元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華特迪士尼旗下的知名的影音串流服務Disney+將於11月12日在臺灣正式提供服務，結合Disney、皮克斯動畫、漫威影業、國家地理、星際大戰(Star Wars)及Star六大內容品牌，涵蓋電影、影集、短片、紀錄片等多元影視內容，瞄準國內不同年齡層收視族群。</p> <p>在今天Disney+正式上線的活動中，Disney+的收費也終於揭曉，用戶訂閱Disney+，每月收費為新台幣270元，年費則是優惠為2790元。11月12日開始，民眾將可透過Disney+官網，或是Android與iOS上的Disney+ App訂閱服務。</p> <p>訂閱用戶可在智慧型手機、平板電腦(Android或iOS)，PS4、PS5、Xbox One與Xbox系列X/S等遊戲機上觀看，或是使用三星、LG等智慧型電視、聯網電視設備(包括Google TV與Android TV、Apple TV、Chromecast)。</p> <p>目前，Disney+最多可讓4臺裝置同時觀賞，最多10臺裝置下載內容，並且針對不同的家庭成員提供個人化推薦，最多能設定7位使用者。用戶還可透過Group Watch，和家人或朋友一同觀賞內容。家長還能夠針對家中的兒童設定使用者檔案，確保適合兒童的內容。</p> <p>Disney+提供4K UHD畫質及5.1聲道，目前的使用者介面支援15種語言，未來將增至20種，包含中文。至於音頻與字幕，現在支援23種語言，官方預告未來將增至28種，支援的語言也會依作品而調整。</p> <p>Disney+挾著旗下6個影視內容品牌來臺，Disney、皮克斯動畫、漫威影業、國家地理、Star Wars及Star。</p> <p>其中的Disney提供的內容，例如[ 叢林奇航] 、「時尚惡女：庫伊拉」、「尋龍使者：拉雅」、「阿拉丁」、「冰雪奇緣」、「動物方城市」等等；皮克斯動畫品牌則有經典的「玩具總動員」，「腦筋急轉彎」、「靈魂急轉彎」，以及從玩具總動員角色所延伸出來的短篇作品「叉奇的十萬個為什麼」，還有從靈魂急轉彎延伸的「22vs地球」等。</p> <p>漫威影業以旗下知名英雄電影，如「黑寡婦」、「復仇者聯盟：終局之戰」、「復仇者聯盟：無限之戰」等，以及特定角色的延伸創作影集，如「汪達幻視」、「獵鷹與酷寒戰士」、「驚奇女孩」、「女浩克」等。還有11月將推出「鷹眼」。</p> <p>星際大戰品牌，除了星戰迷喜愛的星際大戰系列電視，還有「曼達洛人」。Star則提供知名影集「陰屍路」、「實習醫生」，還有原創內容「地球最後男人Y」。另有中文內容，「用九柑仔店」、「拆彈專家2」、「葉問4」等。</p> <p>針對冒險探索的收視族群，Disney+的國家地理品牌，推出包括「赤手登峰」、「克里斯漢斯沃的鯊魚奇遇」。</p> </div></div></div>
2021/10/8 12:02作者蘇文彬https://www.ithome.com.tw/news/147179
Google宣布將投入10億美元以協助非洲進行數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/around-the-globe/google-africa/google-for-africa/" target="_blank">Google本周宣布</a>，將於未來5年投入10億美元，以協助非洲進行數位轉型，包括將在非洲推動可負擔的網路存取服務與產品，協助當地企業進行數位轉型，投資當地企業家以刺激創新技術，以及支援非洲的非營利組織來改善非洲人民的生活。</p> <p>非洲不管是面積或是人口都是全球第二大，僅次於亞洲，<a href="https://www.worldometers.info/world-population/africa-population/" target="_blank">它有13.8億的人口</a>，<a href="https://www.ifc.org/wps/wcm/connect/news_ext_content/ifc_external_corporate_site/news+and+events/news/cm-stories/cm-connecting-africa#page0" target="_blank">網路使用者卻只占了22%</a>，是全球網路最不普及的大洲。</p> <p>也因為非洲的數位化腳步落後其它大洲，非洲民眾首次上網多半使用手機，而非電腦，而且在世界其它地方還沒採用行動支付前，在肯亞就很普及了。</p> <p>其實Google自2017年就開始投資非洲，協助當地民眾獲得所需的數位技能，迄今已訓練600萬人，並已訓練8萬名開發者及支援80家新創公司，2018年更進一步於迦納設置AI研究中心，也針對當地需求打造出Android Go與Files Go等精簡版行動程式，或者是著眼於未來5年當地將新增3億的網路人口，使得Google加速了投資非洲的腳步。</p> </div></div></div>
2021/10/7 20:17作者陳曉莉https://www.ithome.com.tw/news/147152
Google更新機票查詢、地圖與Nest恆溫器功能，以減少碳排放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已立下志願，在2030年讓全球辦公室與資料中心都使用再生能源的Google，<a href="https://blog.google/outreach-initiatives/sustainability/sustainability-2021/" target="_blank">於本周更新了機票查詢、地圖與Nest恆溫器等服務</a>，以讓使用者也能參與全球的減碳運動，共同支持地球的永續。</p> <p>Google執行長Sundar Pichai表示，氣候變遷已不再是個遙遠的威脅，它現在已經反映在野火、洪水與極端氣候上，影響人們的健康、經濟，與地球的未來，人們必須要採取有意義的解決方案來應對此一急迫的挑戰；除了企業之外，現在使用者也可藉由Google產品所提供的選擇來支持這項永續任務。</p> <p><span style="font-size:28px;"><strong>Google Maps：生態友善路線、單車精簡導航與擴大共享單車/機車版圖</strong></span></p> <p>根據國際能源署（International Energy Agency）的統計，道路上的車輛占據全球運輸二氧化碳排放量的75%，因此，<a href="https://blog.google/products/maps/3-new-ways-navigate-more-sustainably-maps/" target="_blank">Google本周於美國的Google Maps上推出了生態友善路</a>線，當使用者於地圖上查詢目的時，除了會秀出最快的路線之外，假設它並不是最環保的路線，那麼地圖也會呈現另一條最環保的路線，以供使用者選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-google%20maps%20eco-2.png" style="width: 452px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>使用者亦可比較這兩條路線的到達時間與所節省的燃料。此一新的生態友善路線已支援美國Android與iOS平臺上的Google Maps，預計明年將推廣至歐洲與其它市場，估計每年可避免超過100萬噸的碳排放。</p> <p>此外，有鑑於單車是最環保的交通工具之一，且過去一年Google Maps上的單車導航使用量成長了90%，使得Google決定改善地圖上的單車導航功能，推出精簡導航（Lite Navigation），精簡導航的意思就是使用者只會在地圖上看到重點資訊，例如追蹤路線的進度或是到達時間，而不再有轉彎提示。</p> <p>Google說明，這是因為騎單車的使用者通常無法一直盯著螢幕，但使用者亦可啟用轉彎提示。Lite Navigation預計於幾個月後現身。</p> <p>為了推廣單車與機車的共享服務，Google Maps擴大了提供共享資訊的範圍，現已支援全球超過300個城市。</p> <p><span style="font-size:28px;"><strong>搭飛機也能選擇更環保的班機與位置</strong></span></p> <p>經常利用Google Flights來搜尋航班的使用者，<a href="https://blog.google/products/travel/find-flights-with-lower-carbon-emissions/" target="_blank">即日起就可以看到每個航班的碳排放量</a>，還能以碳排放當作搜尋排序選項，以作為使用者訂購機票的參考。不僅是航班，連飛機上的位置都與碳排放有關。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-google%20flights%20eco(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>負責旅遊產品的Google副總裁Richard Holden解釋，新型的飛機通常比舊型飛機環保，而豪華經濟艙與頭等艙因為空間比較大，因此相對會帶來更多的碳排放。</p> <p>此外，在Google Flights上尋找飯店時，也可看到飯店對永續的努力，例如減少浪費或節約用水的措施，以及它們是否取得EarthCheck或Green Key等環保認證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-google%20flights%20eco-2.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p><span style="font-size:28px;"><strong>替Nest恆溫器建立Nest Renew服務以支持乾淨能源</strong></span></p> <p>Google也替用來控制家中空調系統的Nest恆溫器，<a href="https://blog.google/products/google-nest/nest-renew-clean-energy/" target="_blank">新增了Nest Renew服務</a>，它最重要的功能之一為Energy Shift。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-nest%20renew.jpg" style="text-align: center; width: 317px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>Google產品管理總監Ben Brown說明，美國家庭的供電電力來自不同的能源，這些能源因時間而異，有時是太陽能、風能，有時是天然氣或煤碳，Energy Shift是個以乾淨能源為優先的功能，可自動把加熱及冷卻的用電量於適當的時間點切換至乾淨能源，或者在電價較便宜的時段使用電力，環保又省錢。</p> <p>啟用Renew Basic服務的用戶可存取每月的報告，以觀察家中所使用的電力來源分布，也可參考該報告，以於接收乾淨能源的時段使用其它電器用品。</p> <p>Nest Renew還有一個名為Renew Premium的付費服務，它的月費為10美元，主要的功能是Clean Energy Match。這個功能挺有趣，Google承諾會根據用戶每月所使用的化石燃料電力，替用戶購買同樣電力的太陽能或風能，等於是幫用戶達到碳中和。</p> <p>不管是Renew Basic或Renew Premium目前都處於邀請測試階段，且僅限美國特定市場用戶申請。</p> </div></div></div>
2021/10/7 15:01作者陳曉莉https://www.ithome.com.tw/news/147143
Fintech周報第198期：街口電子支付結盟跨國保險科技獨角獸，推出一站式投保服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1002～1008</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融生態圈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">街口電子支付結盟跨國保險科技獨角獸，推出一站式投保服務</span></strong><br /><span style="vertical-align: top;">街口電子支付今年發展策略有重大變革，不只要發展支付服務體系，更要與金融業者合作，打造新型態的金融生態圈JKO Fintech Hub，而首個推出的金融創新產品，是與跨國保險科技獨角獸<a href="https://www.ithome.com.tw/news/145518">bolttech</a>合作，在街口支付App內推出保險專區，提供一站式線上投保服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">新加坡保險科技新創bolttech，靠著數位與數據驅動的能力，來串聯起保險公司、保險經銷商、顧客，使各方能更容易購買與銷售保險，僅成立1年已擠身獨角獸地位。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">今年，街口展開了不一樣的生態圈發展策略，要讓<a href="https://www.ithome.com.tw/news/146776">街口App變成一個應用場景平臺</a>，各業者可在平臺推出自家服務。將街口既有的技術能力標準化，與各產業第三方業者合作串接。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">與bolttech的合作上，利用街口新開放的技術來加速授權註冊流程，來優化整體投保流程，投保後可直接以街口支付付款。街口電支宣稱，3分鐘內便能完成投保。目前先推出了疫苗險，將陸續新增意外險、旅平險等險種。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 公司治理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資安治理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">上市公司資安作為必須更公開，金管會明定年報需揭露資安具體作法與投入資源</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會在去年8月啟動「公司治理3.0－永續發展藍圖」，近期，進一步預告修正「公開發行公司年報應行記載事項準則」部分條文修正草案，主要參考了2020年亞洲公司治理報告（CG Watch 2020）建議事項，要來強化公司推動永續發展執行情形，以及資通安全風險管理等資訊揭露透明度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">修正重點之一是強化企業資通安全管理的資訊揭露，金管會表示，資通安全是公司營運的重要議題，為了強化資通安全的管理，明定公司需在年報清楚說明資通安全政策、具體管理方案、投入資通安全管理的資源等資訊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會表示，雖然目前公司可自行辨認且揭露其資通安全風險暴露情形。但，為了落實公司對資通安全的風險揭露，明定公司需揭露因重大資通安全事件所遭受的損失、可能影響及因應措施，以及資通安全風險對公司財務業務所造成的影響及因應措施。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Apple Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa信用卡 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安全漏洞 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究人員揭露Apple Pay有漏洞恐遭盜刷，蘋果抱怨是Visa系統出問題</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一群安全研究人員近期揭露了Apple Pay的安全漏洞，指稱當啟用Express Transit/Travel功能時，駭客即可繞過蘋果的安全機制，盜刷使用者的Visa信用卡。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">研究人員採取的是中間人重放與中繼攻擊，他們是透過一個Reader模擬器Proxmark與受害者的iPhone溝通，再以一支啟用NFC功能的Android手機充當卡片模擬器，以與EMV支付設備通訊，為建立Proxmark與卡片模擬器間的連結，作法上，研究人員先將Proxmark以USB連至一臺筆電，再以筆電將訊息透過Wi-Fi連至卡片模擬器，或者Proxmark也能直接透過藍牙來連結卡片模擬器。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在一段展示的影片中，研究人員成功地從一支鎖住的iPhone上盜刷了1,000歐元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">研究人員去年10月與今年5月先後通報蘋果及Visa，但兩造目前似乎都不打算修補該漏洞。研究人員建議使用者最好不要指定Visa信用卡作為Express Transit的支付工具，以保障自身的權益。<a href="https://www.ithome.com.tw/news/147013">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 供應鏈金融 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台北富邦銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台灣電力公司 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀與台電簽訂供應鏈融資MOU，雙方將串接系統提升貿融效率並降低詐欺風險</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E4%BE%9B%E6%87%89%E9%8F%88%E8%9E%8D%E8%B3%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%AF%8C%E9%82%A6%E9%87%91%E6%8E%A7.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與台灣電力公司近期正式簽訂國營事業供應鏈融資的合作備忘錄（MOU），聚焦供應鏈金融議題。雙方將以數位化型式升級既有的傳統貿易融資業務，透過系統對接，來降低貸前審核與貸後控管的作業流程，同時降低詐欺風險。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行預計，雙方合作第一年將為首批符合條件的中小型供應商提供90億元融資服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">雙方將對接歷史交易數據，台北富邦銀行可以用來快速評估供應商的經營狀況、履約能力，評估融資額度的合理性，另外也能用系統化方式處理台電供應鏈數據，減少傳統貿易融資所需的人為操作或線下接觸，供應商則無需提供部分撥貸文件與貸後檢核文件。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行表示，未來規畫結合區塊鏈等技術，記錄供應鏈流程中各環節資訊，自動生成供應鏈資產履歷。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 網釣郵件 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">駭客對Coinbase用戶展開大規模網釣且成功盜轉6千人資產，此加密貨幣交易平臺決定全額彌補用戶損失</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國最大加密貨幣交易平臺Coinbase在9月底披露，有一駭客集團針對用戶展開大規模的網釣活動，寄出網釣郵件給採用各大電子郵件平臺的Coinbase用戶。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">駭客製作了許多不同版本的郵件，有些偽裝成Coinbase，聲稱用戶的帳號被鎖住了；有些偽裝成微軟，詢問使用者是否願意讓Coinbase程式存取個人檔案；由於有些舊有的郵件服務並未更新過濾機制，而讓網釣郵件流入使用者收信匣，最終將使用者導至駭客掌控的網釣頁面。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">甚至，駭客利用該平臺簡訊雙因素認證的安全漏洞，移轉了至少6,000名Coinbase用戶的資產。Coinbase則決定彌補用戶的全部損失，匯入等值的資產至受害者帳號。不過，該公司並未對外透露損失規模，也已修補了該漏洞。<a href="https://www.ithome.com.tw/news/147046">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境匯款 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">第一銀行新推印尼跨境匯款服務，運用摩根大通銀行區塊鏈技術辦理帳戶驗證以減少匯款失敗風險</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">鎖定在臺25萬名印尼移工匯款回母國的市場，第一銀行近期新推出印尼跨境匯款服務，只需支付一般匯款手續費，不用像過去得支付額外的費用。相較透過移工雜貨店寄錢回家，需要1到2天時間，第一銀行指出，該服務最快10分鐘、最遲次日入帳印尼盾到母國家人的帳戶。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第一銀行這項服務使用了摩根大通銀行（JPMorgan Chase Bank）的區塊鏈帳戶驗證機制，來優化用戶的匯款體驗。第一銀行解釋，匯款人可在帳戶驗證平臺上，事先查詢受款人的帳戶資訊，減少匯款過程中因帳戶資訊不符而導致交易延遲或匯款失敗，也可避免受款人帳號輸入錯誤，而將款項匯入他人帳戶的情況發生。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">攝影／洪政偉；圖片來源／富邦金控</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>渣打銀行推出獨資企業主數位申貸平臺</strong><br /><strong style="vertical-align: top;">2. </strong><a href="https://www.ithome.com.tw/news/146942"><strong>台灣大哥大聯手台北富邦銀行，整合電信用戶數據來提供金融服務</strong></a><br /><strong style="vertical-align: top;">3. </strong><a href="https://www.ithome.com.tw/news/147011"><strong>TikTok踏入NFT市場推出Top Moments，將拍賣平臺最具文化影響力影片</strong></a><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top;"><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年10月</strong></strong></span></p> </div></div></div>
2021/10/7 11:34作者李靜宜https://www.ithome.com.tw/news/147137
美芝城靠IT翻轉門店營運管理，下一步還要用數據強化經營決策
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一份火腿蛋跟大冰奶！」聽到客人用熟悉的口吻點了早餐，櫃檯店員快速在iPad上點餐、結帳，後面的煎檯、組裝區、飲料區人員也開始動作，直接從各區的出單機接單，分工製作指定的早餐品項，10分鐘內將早餐送到顧客手中。</p> <p>這套像是大型連鎖速食店的數位出餐流程，你猜是哪一家？不，這不是任何一家速食品牌，而是你我從小吃到大的老字號臺灣早餐店，他們更要一口氣，把全臺近1,100家分店都變成新模樣。</p> <p>頂著鮮橘色招牌的早安美芝城（以下簡稱美芝城），從美而美漢堡店起家，至今走過近40個年頭，近年更大刀闊斧轉型，2017年開始設立新型態概念店，把早餐店變大、變美，這2年進一步導入門店管理IT，把上千家門店的例行巡檢與原物料訂購全面數位化，更逐步導入雲端POS系統。</p> <p>以IT翻轉門店營運模式的關鍵推手，就是早安美芝城資訊部主任蘇暐盛，他在2014年進入公司後，靠一己之力，從無到有打造了美芝城的IT基礎架構，更花費數年時間，將IT服務與思維推廣到各個部門，來整備全公司的IT意識。兩年前，美芝城也投入更多經費，加速發展IT，去年正式成立資訊部，IT編制終於來到3人，今年更計畫擴編到5人，不只要強化門店管理，還要為臺南科技工業園區的新廠區IT建置，提早備戰。</p> <p><span style="font-size:28px;"><strong>從無到有打造IT基礎架構</strong></span></p> <p>蘇暐盛剛到任時，美芝城幾乎沒有資訊系統可用，他先花大半年時間了解各部門的作業流程，進行流程分析與拆解，尋找IT可著力之處。</p> <p>盤點所有業務流程後，蘇暐盛發現，訂貨作業流暢性不足是最大的問題。舊有訂貨流程是，總公司客服團隊打電話給所有加盟主，詢問每周原物料訂購品項與數量，再將資料輸入套裝軟體中，來進行訂購與結帳。但這套軟體進銷存模組設計以日結為主，只能採取當日訂購隔天出貨的模式，不能提早預訂更長天數後的訂單，導致中央工廠的生產排程、物流的庫存調度以及財務的出帳作業，都缺乏彈性。</p> <p>因此，蘇暐盛決定導入ERP，來管理訂單，也同步升級硬體，以機架式伺服器汰換原本的PC伺服器，架設了Hyper-V虛擬化環境來部署ERP，確立了美芝城新的IT基礎架構。</p> <p>導入ERP後，訂單作業改以出貨日來進行帳務結轉，讓庫存計算與帳務間的對應更為一致，原物料也能提前訂購。蘇暐盛也自行客製ERP功能來優化作業流程，比如在訂單模組介面中，除了顯示原物料清單及預估數量，也客製增加了客服人員經常被問到的資訊，如物流配送預估時間、客戶應付金額等，來加快訂購流程。</p> <p><span style="font-size:28px;"><strong>數位化原物料訂貨作業</strong></span></p> <p>改善訂單管理機制後，蘇暐盛也進一步展開原物料訂貨的流程改造工作。他指出，過去靠電話訂購的流程帶來三大問題。其一，為趕中午12點結單，客服人員只能早上打電話詢問，有時難以錯開早餐店繁忙時段而造成加盟主困擾；其二，人工電話代訂，可能因口誤、聽錯或輸入錯誤而造成訂單出錯；再加上，加盟店未來持續拓展，得增加客服人數，會導致人事成本提升。</p> <p>考量到這些問題，美芝城決定轉變策略，將過去由總公司派人詢問加盟主來下單的作法，改由加盟主直接透過B2B線上訂貨平臺自己下訂。</p> <p>然而，電話聯繫加盟主的作法，深受美芝城員工倚重，「有些主管認為，人與人之間的互動，能夠建立起信賴關係，還可以了解加盟主的個性、營運狀況，」而資訊化流程則難以反映語音交流附帶的訊息。後來，蘇暐盛花了許多時間與主管溝通，強調數位化是未來趨勢，點出轉變利大於弊的原因，才順利獲得支持。</p> <p>蘇暐盛開始規劃建置B2B平臺時，原先打算開發一支原物料訂購App，但因加盟主使用的裝置不同，App得區分成iOS與Android版本來維運，所以在綜合評估後，他選擇找上原本的ERP廠商，由廠商基於ERP的訂單模組架構，進行Web開發。</p> <p>蘇暐盛也剖析，利用ERP系統開發帶來的優勢。一方面，訂購資料可以直接整合到ERP中，避免拋轉與串接問題，加盟主一提交表單時，就能即時在ERP內產生訂單資訊。另一方面，可以直接利用ERP資料來打造B2B平臺上的資訊服務，比如利用ERP的配貨週期資訊，在訂單提交時，即時估算物流配送時間，顯示在訂單畫面中供加盟主參考。最後，也不需要重新與另一組委外團隊培養默契，可以加速系統的開發流程。</p> <p>開發團隊花了3～4個月的時間進行需求訪談，才著手進行開發。開發完成後，在推廣到上千家門市之前，也先在10多家門市進行系統測試，更在全臺舉辦了七場說明會，讓加盟主在測試環境下進行操作，快速熟悉訂購介面與流程。蘇暐盛指出，開發團隊花了許多時間與加盟主磨合，比如根據使用者反饋，在訂購介面中加入了線上客服功能，店家遇到問題時，可以隨時點開小視窗，聯繫客服來解決問題。</p> <p>系統上線前，團隊也測試了穩定度、平臺效能與網路頻寬速度等，來確保系統可以支持上千家門店的工作負載，「所有的測試結果，都加快了我們排除問題的速度。」系統上線至今，已經有超過9成7的加盟主自己透過系統線上訂購原物料。</p> <p><span style="font-size:28px;"><strong>導入雲端POS強化經營決策</strong></span></p> <p>除了改造內部作業流程，蘇暐盛也致力於靠IT強化經營決策。比如美芝城在2017年推動轉型時，就透過數據分析，計算每間門店的貢獻度。具體計算方式是，先估算每次叫貨的物流、人力與倉儲成本，再根據每間門店的進貨週期，計算出門店每一次叫貨金額，應達到的最低標準。透過這項數值，經營者就能檢視門店的採購金額是否達標，足以攤提掉物流配送的成本，也能藉此計算每家門店貢獻度，找出貢獻度不足的店家，視情況對這類店家進行輔導轉型。</p> <p>當時推動轉型時，為了解決收銀、紙本記帳等問題，美芝城也首度在門市導入了PC式POS系統。但在去年，美芝城重新思考了未來的門店管理方針，為了滿足更即時的數據運用需求，規劃導入第二代雲端POS系統，「未來是資料的時代，透過資料分析了解市場趨勢，才能研發新產品，推出更有效的廣告行銷與促銷活動。」蘇暐盛說。</p> <p>決定導入雲端POS後，美芝城還花了大半年時間與廠商溝通需求，來客製化開發POS，不只介面設計與前一代POS相仿，方便店員快速上手，也進一步讓POS更貼近早餐店高度客製化的點餐業態。蘇暐盛解釋，顧客光是點漢堡，就有數十種組合，比如肉多兩塊、蛋加兩顆，肉要煎久一點，加胡椒不要番茄醬，生菜多一點、少一點，全部都得依據顧客需求製作。</p> <p>但要滿足這麼彈性客製的點餐需求，一般POS機既有的分站出單功能就不敷使用。蘇暐盛說明，分站出單的功能，是將不同的餐點分配到不同區域來製作，比如顧客點一個漢堡套餐後，自動拆分漢堡套餐的品項與配料，通知煎檯、組裝區、飲料區來分工製作。但是，在客製化的餐點中，POS的分站出單功能，得允許餐點品項可以拆分成更小物件，才能在完全不需口頭交接的情況下分區出單，來製作出高度客製化的餐點。</p> <p>光是這項分站出單客製功能，美芝城就花了三個月時間與廠商溝通，連出單機列印的排列順序都重新設計，就是要透過細微的差異，讓門市各線站檯的製餐人員，都能快速接收訊息、加快製餐速度，減少消費者的等待時間。</p> <p>客製開發完成後，美芝城今年正式導入雲端POS系統。</p> <p>蘇暐盛指出，以iPad為載體的雲端POS，帶來不少好處，一來，修改菜單或資料異動時，過去只能由門市店員在本地端POS機自行設定，但SaaS服務形式的雲端POS，能從中央統一管理每一臺裝置上的POS系統，在修正資料後，統一派發新版到每一臺裝置上更新，還能限制門市自行修改菜單，避免每一家門市售價不一的問題。</p> <p>其二，PC式POS機臺常設計成收店結帳時，才將營業報表拋回ERP系統，但雲端POS可以即時更新每一筆營業數據，供總部管理人員即時分析與應用。比如推出新品後，研發人員可以即時了解各門市的銷售情形，來驗證銷售策略的有效性，還能提早規劃生產排程與物流配送。未來，也有機會直接運用門店的銷售資料，計算出該店在不同時期的原物料需求，將銷售數據自動轉換為原物料訂單。</p> <p>疫情爆發後出現大量外送需求，也體現了雲端POS很容易串接外送平臺的優勢，可避免店員分兩套系統接單、輸入訂單，而產生漏單與點錯餐的問題。蘇暐盛表示，這也讓美芝城在向門店推廣新一代POS時，減少了許多阻力，目前更已經有上百家門店完成汰換。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/19_(%E6%8A%BD)%E8%98%87%E6%9A%90%E7%9B%9B_%E6%97%A9%E5%AE%89%E7%BE%8E%E8%8A%9D%E5%9F%8E_%E8%B3%87%E8%A8%8A%E9%83%A8_%E4%B8%BB%E4%BB%BB_20210915.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>早安美芝城資訊部主任蘇暐盛表示，未來是資料的時代，透過資料分析了解市場趨勢，才能研發新產品、推出更有效的行銷活動。</strong></span></p> <p><span style="font-size:28px;"><strong>門店巡檢作業全面數位化</strong></span></p> <p>為了有效管理門店，蘇暐盛今年也將門店巡檢作業全面數位化。過去，美芝城指派的督導人員巡訪門店時，會以紙本來記錄各項問題點、進行評核，但紙本資料保存不易，難以查詢歷史記錄，加上督導巡檢完，還需要花時間後製報表，造成資訊傳遞的即時性不足。因此，美芝城今年導入智慧巡檢系統，讓督導人員直接在App上，快速對店家評分，儲存表單後即完成巡檢。</p> <p>這套巡檢系統也經過一番客製化開發，除了彈性設計巡檢項目的計分方式，線上巡檢表也禁止上傳現成圖檔，只能靠現場拍攝，來確保巡檢的公證性。督導人員巡檢完送出表單，系統將即時計算出評分，接著，督導就能以社交軟體或電子郵件，快速將電子報表寄給加盟主瀏覽，來改進門店問題，區主管與管理者也能立即看到巡檢結果，來強化門店管理。</p> <p><span style="font-size:28px;"><strong>持續練兵，為新工廠IT建置備戰</strong></span></p> <p>以IT翻轉門店營運模式後，蘇暐盛持續擴編IT人力，要為新工廠的IT建置挑戰做好準備。未來，美芝城規劃在臺南科技工業園區設立新工廠，IT建置更要朝智慧工廠邁進，除了要導入製造執行系統（MES）與設備自動化程式（EAP），也要建立IoT環控系統與戰情室，就連廠區門禁管理、WMS倉儲管理，甚至是物流車輛的載重推估，都將成為IT部門的全新挑戰。</p> <p>「IT扮演的角色更加全方位。」這也是為什麼蘇暐盛現階段不斷練兵，就是要讓IT，成為整個後勤單位的關鍵支持力量。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>蘇暐盛</strong></p> <p><strong>早安美芝城資訊部主任</strong></p> <p>學歷：國立臺中科技大學附設空中學院企業管理科</p> <p>經歷：1999年開始，任職於生活百貨名佳美的資訊服務課，而後於2014年進入早安美芝城擔任資訊專員，隔年升任資訊總務部主任，靠一己之力逐步建立起美芝城IT基礎建設，直到去年才率領3人團隊成立了資訊部，今年更計畫擴編到5人，來面對更加多元的IT建置需求</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>早安美芝城</strong></p> <p>● 地址：臺南市南區新平路7-1號</p> <p>● 成立時間：1983年</p> <p>● 主要業務：餐飲連鎖加盟服務業</p> <p>● 員工數：99人</p> <p>● 董事長兼任總經理：李松田</p> <p>● 資本額：1億1千萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門名稱：資訊部</p> <p>● 直屬主管：協理林柏均</p> <p>● 資訊部門人數：4人</p> <p>● IT預算：400～500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2014年7月：第一代POS系統上線</p> <p>● 2018年3月：ERP系統導入上線</p> <p>● 2018年5月：人資系統導入上線</p> <p>● 2020年9月：電子發票（自建Turnkey）上線</p> <p>● 2021年6月：加盟主B2B訂貨平臺上線、智慧巡檢系統上線、第二代雲端POS系統上線</p> <p>● 2021年7月：POS與外送平臺Uber Eats、Nidin線上訂餐串接自動進單</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1045-cio.png" width="960" height="420" alt="" title="早安美芝城資訊部主任　蘇暐盛" /></div></div></div>
2021/10/7 07:00作者翁芊儒https://www.ithome.com.tw/people/147021
資安一周第166期：中國發動認知作戰挑撥臺日關係。GriftHorse木馬感染全球千萬安卓裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">9/30-10/6必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃假消息＃認知作戰</strong></span></h3> <h2><strong style="vertical-align: top;">中國冒名日本卡巴斯基發動認知作戰，挑撥臺日關係</strong></h2> <p>中國網軍日前發動認知作戰，散布臺灣政府唆使資安公司TeamT5（杜浦數位安全）蒐集日本民眾個資的假新聞，抹黑長期研究中國認知戰手法的臺灣資安公司，企圖挑撥臺日之間的互信關係。</p> <p>為了掩飾行徑，中國網軍最近又進一步冒用卡巴斯基的名義發布新聞稿，捏造網路釣魚郵件事件假新聞，並刻意選在日本的商業新聞稿發布平臺刊登。對此，日本卡巴斯基於9月29日澄清此為假新聞攻擊，多位日本資安專家也加入調查。<strong><a href="https://www.ithome.com.tw/news/147058">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-1-kaspersky-jp-twitter.png" style="width: 400px; height: 287px;" /></p> <p><span style="color:#808080;">圖片來源：卡巴斯基</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃木馬程式攻擊＃Android</strong></span></h3> <h2><strong style="vertical-align: top;">GriftHorse感染千萬Android裝置，影響臺灣等70多國用戶</strong></h2> <p>資安業者Zimperium揭露GriftHorse木馬程式詐騙攻擊，事故始於2020年11月，範圍遍及包含臺灣在內的70個國家，已有超過1千萬名Android用戶受害，被訂閱高額簡訊服務。為了躲避偵測及封鎖，攻擊者採用複雜的架構，以及不重覆使用的網域。Zimperium估計，駭客每月固定進帳超過數百萬歐元，估計不法所得已達數億歐元。<strong><a href="https://www.ithome.com.tw/news/146997">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃ProxyLogon ＃Rootkit ＃APT攻擊</strong></h3> <h2><strong style="vertical-align: top;">中國駭客GhostEmperor利用ProxyLogon漏洞，在受害電腦植入蠕蟲Demodex</strong></h2> <p>卡巴斯基先在7月提及名為GhostEmperor的中國駭客組織，並於9月30日揭露該組織的攻擊手法細節。根據駭客所使用的工具，該公司研判GhostEmperor約於2020年7月就開始活動，於受害組織植入Demodex蠕蟲程式以進行監控，他們主要目標是東南亞的國家，但除此之外，研究人員也看到在埃及、阿富汗、衣索比亞等多個國家，有數個政府實體與電信公司遭到攻擊。</p> <p>至於攻擊者入侵受害組織的管道，研究人員指出GhostEmperor在3月4日運用ProxyLogon漏洞，來感染Exchange Server，進而達到執行RCE攻擊的目的。<strong><a href="https://www.ithome.com.tw/news/147048">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-2-Ghost_Emperor_04.png" style="width: 400px; height: 217px;" /></p> <p><span style="color:#808080;">圖片來源：卡巴斯基</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞攻擊＃協作平臺 </strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體Atom Silo透過協作平臺Confluence入侵多個組織</strong></h2> <p>團隊協作平臺Confluence的重大漏洞CVE-2021-26084，Atlassian甫於8月底修補完成，9月初就傳出遭到攻擊者利用。現在，此項漏洞也被勒索軟體駭客盯上。</p> <p>資安業者Sophos於10月4日，揭露自9月中旬出現的Atom Silo勒索軟體攻擊行動，而在這起事故中，攻擊者入侵受害組織的管道，就是藉由上述的Confluence漏洞，再橫向感染其他處於相同區域網路的電腦。<strong><a href="https://www.ithome.com.tw/news/147102">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃行動支付＃iOS</strong></h3> <h2><strong style="vertical-align: top;">Apple Pay含有Visa信用卡可被盜刷的安全漏洞</strong></h2> <p>行動支付日益普及，一旦出現漏洞，恐導致信用卡遭到盜刷。近期有多名資安研究人員揭露Apple Pay的資安漏洞，該漏洞存在於Express Transit功能，一旦使用者啟用這項快速通關的機制，攻擊者即可繞過蘋果設下的安全機制，盜刷用戶綁定的Visa信用卡。</p> <p>對此，蘋果認為是Visa系統的問題，而Visa則宣稱，該攻擊手法無法大規模執行。<strong><a href="https://www.ithome.com.tw/news/147013">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃物聯網裝置</strong></span></h3> <h2><strong style="vertical-align: top;">蘋果AirTag遺失模式存在漏洞，恐導致拾獲裝置者的iCloud帳號面臨詐騙的風險</strong></h2> <p>資安研究員Bobby Rauch於9月29日指出，蘋果的物件追蹤器AirTag，其遺失模式（Lost Mode）存在漏洞，攻擊者在用戶標註AirTag遺失後，於聯絡電話欄位嵌入跨網站指令碼（Stored XSS），便能將拾獲裝置者引導至冒牌iCloud登入網頁，來竊取拾獲者的iCloud帳密。<strong><a href="https://www.ithome.com.tw/news/146956">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃加密貨幣＃雙因素驗證＃同意網路釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國大型加密貨幣交易平臺Coinbase遭駭，駭客移轉6千名用戶資產</strong></h2> <p>在今年4月登上那斯達克股市的加密貨幣交易平臺Coinbase，驚傳駭客集團針對該公司的用戶展開大規模網釣活動，並利用該平臺簡訊雙因素認證的安全漏洞，移轉了至少6千名Coinbase用戶的資產。對此，Coinbase決定彌補用戶的全部損失，但該公司並未透露損失的規模。</p> <p>針對此起攻擊事故，Coinbase表示發生在今年4月至5月初，駭客發動釣魚郵件攻擊。其中，部分郵件聲稱用戶Coinbase帳號遭到凍結，有些則要求使用者，同意Coinbase應用程式存取微軟帳號的個人檔案。<strong><a href="https://www.ithome.com.tw/news/147046">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-3-Coinbase-phishing-mail.png" style="width: 400px; height: 246px;" /></p> <p><span style="color:#808080;">圖片來源：Coinbase</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">美百貨業者Neiman Marcus遭駭，逾430萬客戶資料外洩</strong></h2> <p>美國奢華百貨業者Neiman Marcus向緬因州法務長辦公室通報，2020年5月公司發生外部系統入侵，受到影響的顧客達到4,354,346人。該公司於9月30日以電子郵件通知受影響顧客，並強調信用卡安全碼沒有外洩，且85%受影響的支付卡與虛擬禮品卡皆為過期或無效。<strong><a href="https://www.ithome.com.tw/news/147071">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong>提供電信業者技術服務的Syniverse遭入侵，波及235家客戶</strong></h2> <p>號稱是全球電信業者後端骨幹的Syniverse，在近期提交給美國證券委員會（SEC）的14A文件中披露，該公司在今年5月察覺一起駭客行動，駭客從2016年5月起便多次入侵該公司的電子資料傳輸（EDT）環境，並存取其資料庫，估計有235家客戶受到波及，且時間長達5年之久。<a href="https://www.ithome.com.tw/news/147076"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃後門程式攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">攻擊SolarWinds的駭客再涉入2起後門程式感染行動</strong></h2> <p>在2020年底，駭客組織Nobelium透過SolarWinds的軟體供應鏈，對微軟、FireEye，以及10多個美國聯邦政府機關下手引起軒然大波。近日微軟、卡巴斯基發現，攻擊者接連發動攻擊，在受害伺服器上植入後門程式FoggyWeb及Tomiris，以長期滲透或竊取資料。<strong><a href="https://www.ithome.com.tw/news/146999">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/147050">Google投入百萬美元贊助Secure Open Source專案</a><br /> ●<a href="https://www.ithome.com.tw/news/147017">已出現攻擊行動的Chrome漏洞得到修補</a><br /> ●<a href="https://www.ithome.com.tw/news/146985">監視攝影機業者海康威視修補可接管設備的RCE漏洞</a></h3> </div></div></div>
2021/10/6 16:41作者周峻佑https://www.ithome.com.tw/news/147121