iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 04:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第148期：微軟永續雲正式登臺，更聯手國內外ICT業者建立永續同盟戰線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/23～06/29）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">淨零碳排 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟永續雲正式登臺，</strong></span><strong style="font-size: 22px;">搶先布局臺灣雲端ESG戰略跨一大步</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220624_020656498.jpg" style="width: 600px; height: 330px;" /></p> <p>因應企業淨零碳排的需求興起，微軟6月下旬在臺推出自己的永續雲服務（Microsoft Cloud for Sustainability），可供企業用於記錄碳排放、製作報告，以及幫助企業減少碳排放等。搶先其他兩家雲端業者推出永續雲，更是微軟布局臺灣雲端ESG戰略重要一步，微軟強調，永續雲服務是微軟推動永續臺灣一個重要的里程碑。</p> <p>該服務整合各種雲端管理工具，包括永續管理平臺Sustainability Manager，以及碳排放儀表板，其中永續管理平臺，是以Power Platform為基礎與結合永續通用資料模型所開發的SaaS服務，並透過連結器（connector）來與ERP系統及IoT裝置串接，取得各種碳足跡數據，用於記錄和計算碳排放量。以碳排放來說，永續雲除了提供範疇1和2碳排記錄和追蹤功能，目前在供應鏈的範疇3也有提供部分支援功能。</p> <p>微軟台灣商務事業解決方案事業部副總蔡昆錡表示，與其他兩家雲端業者相比，微軟永續雲的差異化特色在於，擁有豐富供應鏈經驗配合，讓企業更容易投入永續發展<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">；</span>其次微軟本來就提供許多企業基礎設施和應用的雲端服務，這些服務使用消耗的碳排數據，都會直接傳到永續雲平臺上做計算和管理，不需另外串接<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">；</span>另外該服務更是以發展生態系平臺為主，許多合作夥伴都能一起加入。</p> <p>為此，微軟成立臺灣ICT永續綠戰隊，初期成員包括台達、友達、研華、宏碁、IBM、施耐德電機、精誠資訊、聯齊科技等20多家加入。微軟指出，未來企業採用其合作夥伴的淨零產品，如能源管理、碳排放數據蒐集等等，這些資料都可以匯整到微軟永續雲平臺做管理。</p> <p>微軟臺灣資料中心預計今年將在臺啟用，對於未來永續雲會不會落地臺灣，微軟台灣首席營運長陳慧蓉表示，永續雲的使用，基本上沒有識別化問題，因此不見得需在本地資料中心進行，未來從其他微軟資料中心也能提供臺灣客戶永續雲相關服務。</p> <p>目前正在進行永續雲PoC的臺灣產業，高科技半導體和製造業有晶元廠、組裝廠等，除了製造業外，交通及汽車產業目前也有在洽談中。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GreenLake服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">私有雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>HPE宣布自家產品已全面實現GreenLake服務訂閱形式，更祭出企業私有雲服務新方案</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap13(1).png" style="width: 600px; height: 304px;" /></p> <p>在今年HPE Discover 2022產品發布會上，HPE總裁暨執行長Antonio Neri宣布，自家產品已經全部改以GreenLake服務形式提供，包括硬體、軟體及服務等超過70項服務。同時，<wbr></wbr>還發布更多關於HPE GreenLake新功能和服務。</p> <p>新發布HPE GreenLake企業私有雲服務方案，除了傳統應用，更可支援雲原生應用，包括模組化基礎架構和軟體，部署方式也支援裸機、VM和容器。該方案提供企業級SLA，涵蓋整個生命週期，包括安裝、配置、韌體更新、維護、維運、硬體、成長規劃與支援。同時也整合敏捷開發與維運DevOps與自動化，來協助企業開發與維運團隊的協同作業。另外也能在GreenLake市集上使用逾80多種IS<wbr></wbr>V服務。該服務方案預計下半年推出。</p> <p>除了推出企業私有雲服務訂閱方案，還有更多GreenLake新功能和服務公布，一共有8項雲端新服務，包括備分與還原、區塊儲存、Compute Ops管理、Data Fabric、災難復原、HCI架構、以及支付等垂直產業解決方案。如其中的Data Fabric可提供企業在混合環境下的資料分析架構的代管服務。HCI架構服務GreenLake則是可透過SaaS介面提供雲端操作功能，<wbr></wbr>簡化混合雲中的VM與基礎架構管理。</p> <p>HPE還公布GreenLake服務方案最新採用情況，包括6.5萬家企業有用，迄今管理超過1 EB的資料量，並連3季銷售三位數成長。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cloudflare </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球大當機 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">網路設定出錯 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Cloudflare全球大當機原因出爐：網路設定變更出錯</strong></span></p> <p><img alt="" src="data:image/png;base64,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" /></p> <p>向來以抵禦大流量DDoS攻擊聞名的雲端服務業者Cloudflare，於 21日突然發生無預警全球當機，導致大批使用該服務的全球網站出現大斷線。</p> <p>從世界協調時間（UTC）6月21日早上6點27分發生服務中斷，一度傳出是遭到駭客攻擊，不過Cloudflare很快出面澄清，這是因為工程師在進行一項網路設定變更所造成的意外。</p> <p>當天意外造成許多網站頁面跳出500伺服器錯誤，持續了長達快1個多小時，比３年前當機半小時更久，Cloudflare的流量最高曾下滑50%，全球各地都傳出災情，包括臺灣PTT論壇以及一些加密貨幣網站都一度斷線。</p> <p>根據Cloudflare的<a href="https://blog.cloudflare.com/zh-tw/cloudflare-outage-on-june-21-2022-zh-tw/">說明</a>，這次服務中斷的主因，是為了配合19個資料中心轉換為更高可靠性的的Multi-Colo PoP （MCP）架構，以便讓工程團隊可以在這些地點進行維護而無需中斷用戶流量，但其中一座資料中心在部署新架構時，因同時承載高流量，且變更已部署到骨幹，導致網路設定變更引起了中斷事故，此事故連帶造成19個資料中心斷線。</p> <p>Cloudflare花了20分鐘釐清問題的癥結，開始著手還原有問題的變更，直到7點42分才恢復正常運作。</p> <p>Cloudflare坦承，此事故發生，起因於為提高可用性，但事前沒有做好周延的規畫，才造成這起當機事故，未來將從流程、架構、自動化面向加以改進，避免該事件重演。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">本土電商上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PChome </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>臺灣老牌本土電商PChome終於決定上雲，更要將大系統拆分成小模組實現全面上雲</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PCHOMES4(1).png" style="width: 600px; height: 413px;" /></p> <p>在近期舉行的股東會上，PChome揭露自家上雲最新進展，表示，經過快一年的推動，包含系統和服務在內，已有相當程度的比例上雲，如訂單管理系統已經完成上雲。PChome董事長詹宏志更指出，未來公司目標是全面上雲，以提供服務穩定性跟可擴充性。</p> <p>PChome之所以決定上雲，也跟疫情帶來電商出貨需求爆增有關，詹宏志坦言，從疫情出貨情況學到教訓，「未來一定要讓系統變得更有彈性。」具體做法，就是把大系統拆解成更多小模組，並將系統從地端搬上雲。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政府ERP上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國自治市議會 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>英國自治市議會決定將老舊ERP系統大翻新，更要整套搬上公雲</strong></span></p> <p>英國33個倫敦自治市鎮議會之一的瓦爾珊森林自治市議會（Waltham Forest Council），是該市立法機關，也是主要民意機關，代表當地25萬名市民監督市府，但作為業務核心的ERP系統，已經是使用近10年老舊系統，無法支撐其業務成長。所以該議會最近決定進行ERP系統大翻新，要將老舊SAP ERP客製系統汰換，採用全新Oracle ERP取代，甚至還是雲端ERP，要將ERP從地端搬上雲。</p> <p>這項ERP翻新計畫，該議會預計將用3年投入1,200萬英鎊來執行，未來將通過導入Oracle Fusion Cloud ERP用於財務、採購和 HR。議會委員會成員表示，希望透過上雲打破議會組織和資料孤島，建立標準化的管理流程，將財務、人力資源、計劃和採購整合到單一雲端平臺上來管理，簡化業務流程和提高作業效率。</p> <p><strong>攝影：</strong>余至浩<strong>；圖片來源／</strong> Cloudflare<strong>、</strong>HPE</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>2.虛擬化龍頭VMware推出vSphere+與vSAN+新服務，採用雲端訂閱制取代永久授權，來管理既有企業用戶基礎架構</strong></strong></p> <p><strong><strong>1.中華電信引進AWS資料治理框架，從5G、人資及工務部門場景先推，建立自己的資料治理政策</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/7/4 14:11作者余至浩https://www.ithome.com.tw/news/151738
SQL Server 2012下周EOS，Windows Server 2012明年10月支援到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-US/lifecycle/announcements/sql-server-2012-windows-server-2012-2012-r2-end-of-support" target="_blank">微軟上周提醒</a>，SQL Server 2012將在今年7月12日來到支援周期終點（end of support，EoS），而Windows Server 2012/2012 R2則會在明年10月10日結束支援。兩項產品微軟提供付費延伸安全更新服務。</p> <p>Windows Server 2012是在同年10月30日推出，2018年10月終止主流支援。<a href="https://www.mssqltips.com/sqlservertutorial/9217/sql-server-release-dates-and-lifecycle/" target="_blank">SQL Server 2012</a>則在同年5月20日推出，2017年7月主流支援結束。微軟警告，在公佈日期之後，這些產品將不會再接獲安全更新、非安全的功能更新、功能修補或技術支援。微軟建議用戶升級到Windows Server 2022及SQL Server 2019。</p> <p>用戶若具備大量授權（Enterprise Agreement）下的軟體保證（Software Assurance），則可以購買Windows 2012、2012 R2及SQL Server 2019的延伸安全更新（ESU）。<a href="https://docs.microsoft.com/en-us/lifecycle/faq/extended-security-updates" target="_blank">針對這些產品</a>，微軟提供付費的延伸安全更新，最長可選擇3年服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-SQL%202012%20EoS-600.png" style="width: 600px;" /></p> <p>不過微軟更希望用戶轉移到Azure雲端，<a href="https://docs.microsoft.com/en-us/lifecycle/products/windows-server-2012" target="_blank">建議用戶</a>儘速升級應用程式和工作負載到Azure版服務，像是Azure SQL Managed Instance，或是透過負載平移（lift-and-shift）方式，將應用程式轉到Azure Virtual Machines包括Azure Dedicated Host、Azure VMware Solution和Azure Stack（Hub、HCI、 Edge）以免費獲得3年ESU。</p> <p>此外，如果用戶之前買過SQL Server 2008/2008 R2和Windows Server 2008/2008 R2的ESU，微軟提醒，這些服務將分別在2022年7月12日，以及2023年1月10日終止。屆時，企業若將這些環境搬到Azure上，則可再獲得1年免費的ESU。</p> <p><a href="https://www.ithome.com.tw/news/151603" target="_blank">微軟2周前也警告</a>Windows 8.1將在明年1月10日終止所有支援，但不提供任何付費支援，即ESU。</p> </div></div></div>
2022/7/4 12:00作者林妍溱https://www.ithome.com.tw/news/151741
SpaceX Starlink服務將登上遊輪、飛機、火車與汽車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.fcc.gov/public/attachments/DA-22-695A1.pdf" target="_blank">美國聯邦通訊委員會（Federal Communication Committee，FCC）上周頒布許可</a>，允許SpaceX的衛星通訊網路服務Starlink在包含飛機、火車、汽車等行動運輸產業的部署申請。</p> <p>這項許可讓SpaceX在行動運輸工具及船隻上，架設次世代Ku-Band衛星通訊地面基地臺。SpaceX去年3月提出建置行動地面通訊站（Earth Station in Motion，ESIM）的授權申請，在此之前該公司只能在陸地上提供Starlink服務。獲得ESIM授權意謂著Space X可將同一套Starlink解決方案，包括頻帶、硬體、衛星、轉發波束及控制基地臺，部署在汽車、火車、飛機及船隻上。</p> <p>除了SpaceX外，另一家加拿大衛星通訊業者Kepler Communication則申請ESV（Earth Station on Vessel）授權，通過後使其得以在美國水域及在美登記的船隻於國際水域營運Ku-band地面站。</p> <p>兩家公司都申請使用14.0-14.5GHz頻帶（地面到太空）及12.2-12.7 GHz頻帶（太空到地面）作為通訊之用。</p> <p><a href="https://www.cnbc.com/2022/06/30/fcc-approves-spacex-starlink-service-to-vehicles-boats-planes.html" target="_blank">FCC國際部門主管指出</a>，允許SpaceX衛星系統新種地面基地臺可擴大多種寬頻能力，滿足多種需求，不論是駕駛休旅車橫越美國、歐洲到美國的貨輪，或是美國國內或國際航班。</p> <p>SpaceX尚未發表正式聲明。不過該公司其實早就在運作擴大部署Starlink服務。</p> <p><a href="https://www.royalcaribbeanblog.com/2022/06/10/royal-caribbean-wants-add-elon-musks-starlink-high-speed-internet-its-cruise-ships" target="_blank">6月皇家加勒比海集團（Royal Caribbean Group）向FCC提出申請</a>，並<a href="https://www.scribd.com/document/577819365/Letter-to-FCC-Fina" target="_blank">向FCC主席 Jessica Roseworcel發出公開信</a>，要求FCC准許其遊輪上提供Starlink服務，以利在COVID-19疫情後提供員工及客戶連網服務，加速恢復業務。</p> <p>皇家加勒比海集團指出，他們相信經由和SpaceX的合作，已經為其船隻找到滿足嚴格技術和營運要求的次世代解決方案。兩公司的合作也是遊輪業者採用Starlink的首例。</p> <p><a href="https://www.starlink.com/rv" target="_blank">5月間Starlink推出</a>休旅車專用的Starlink服務。至於在飛機上，今年4月SpaceX則分別和<a href="https://newsroom.hawaiianairlines.com/releases/hawaiian-airlines-to-offer-free-high-speed-starlink-internet-connectivity-on-transpacific-fleet" target="_blank">夏威夷航空</a>及<a href="https://twitter.com/flyjsx/status/1517247913692442624" target="_blank">JSX航空</a>簽約，透過結合Starlink，使航空公司可在飛機上部署Wi-Fi服務。</p> </div></div></div>
2022/7/4 12:26作者林妍溱https://www.ithome.com.tw/news/151742
中國發表openKylin開源社群以建置自家桌面作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國的麒麟軟件公司（KylinSOFT）在6月24日正式<a href="https://www.kylinos.cn/about/news/1050.html" target="_blank">發表了openKylin開源社群</a>，打算借助中國開源社群的力量，打造中國本土的桌面作業系統，擺脫對西方國家的依賴。</p> <p>麒麟軟件為中國電子訊息產業集團（China Electronics Corporation，中國電子）的子公司，而中國電子則是中國國有的獨資公司，為中國最大的國有綜合性IT企業集團，擁有數十家子公司，麒麟軟件僅是其中之一。</p> <p>openKylin社群理事長朱晨表示，期望透過openKylin推動中國的Linux開源技術及相關軟硬體生態的繁榮發展，以將openKylin打造成世界級的開源社群，填補中國桌面作業系統的空白，推動中國桌面作業系統產業生態的健康發展。</p> <p>由麒麟軟件主導的openKylin專案擁有完整的組織架構，包括理事會、諮詢委員會、秘書處、生態委員會與技術委員會等，準備融入RISC-V、AI與大數據等各方面的成果，實現開源作業系統的自主與快速發展，<a href="https://www.openkylin.top/index-cn.html" target="_blank">並設立了專屬網站</a>。</p> <p>目前openKylin社群已列出十多家參與組織，包括中國國家工信安全中心、普華基礎軟件、中科方德、元心科技及先進操作系統創新中心等。</p> <p>由於24日的發表主要著重在該社群的架構及未來的遠大目標，因未有任何具體的作法或成果而遭到外界質疑，使得openKylin在7月1日另行<a href="https://www.openkylin.top/news/1759-cn.html" target="_blank">公布了該專案的技術進展</a>，指出openKylin將以Linux 5.15核心為基礎，該核心支援英特爾與AMD的CPU，也支援聯想、華為、紫光與Dell等業者所推出的裝置。</p> <p>此外，openKylin也計畫讓該專案同時支援PC與平板電腦，改善相關的使用者介面，並努力推動對RISC-V開源指令集架構的支援。</p> <p>根據openKylin官網所公布的數字，目前該社群的貢獻者有246名，愛好者則是12萬名，提交次數為2.2萬。</p> <p>其實中國曾多次企圖發展自家作業系統，例如中科紅旗曾在1999年發布紅旗Linux 1.0版，<a href="https://www.ithome.com.tw/news/14767" target="_blank">並企圖進軍臺灣市場</a>，2014年時<a href="https://www.ithome.com.tw/news/84839" target="_blank">中國科學院軟件研究所曾發表</a>適用於所有裝置的China Operating Systems（COS），<a href="https://www.ithome.com.tw/news/90408" target="_blank">同年還傳出</a>中國打算以自有的作業系統取代微軟的Windows XP，不過現在看起來尚未有成功案例。</p> </div></div></div>
2022/7/4 12:36作者陳曉莉https://www.ithome.com.tw/news/151743
歐盟就追蹤加密貨幣達成協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟高峰會（European Council）及歐洲議會在6月29日，<a href="https://www.europarl.europa.eu/news/en/press-room/20220627IPR33919/crypto-assets-deal-on-new-rules-to-stop-illicit-flows-in-the-eu" target="_blank">針對一項新法案達成了暫時性的協議</a>，將確保所有的加密貨幣交易都能被追蹤，還能封鎖可疑的交易。</p> <p>歐盟執委會（European Commission，EC）在2020年提出了加密資產市場（Markets in Crypto Assets，MiCA）框架，以建立有關加密資產的歐盟法規，而上周出爐的新規定將成為歐盟新洗錢防制法的一環，也符合MiCA框架。</p> <p>歐洲議會表示，此一協議是將傳統金融中的國際轉帳（Travel Rule）規定延伸到加密資產，此一規定要求資產的來源資料必須隨著交易一起傳遞，並儲存於交易雙方的資料中。當主管機關針對洗錢與恐怖主義的融資展開調查時，加密資產的服務供應商將有義務提供上述資訊。</p> <p>此外，有鑑於加密資產很容易繞過可觸發追蹤要求的既有閥值，因此最新的協議確保了加密資產的可追蹤性並無最低閥值的限制。新規定也要求加密貨幣服務供應商必須確認資產來源的身分，確保它們並未遭到制裁或限制，也沒有涉及洗錢或替恐怖主義融資的風險。</p> <p>目前歐盟高峰會、議會與執委會正在擬定相關規定的技術細節，在成為正式法令之前必須先經相關主管機關及議會的同意。</p> </div></div></div>
2022/7/4 13:11作者陳曉莉https://www.ithome.com.tw/news/151744
FedEX未來2年內終止所有大型主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s201.q4cdn.com/501048722/files/doc_presentations/FedEx-Investors-Meeting-Presentation.pdf" target="_blank">物流龍頭聯邦快遞（FedEX）上周表示</a>，預定在2024年後關閉最後一臺大型主機，使IT基礎架構完全遷往雲端。</p> <p><a href="https://www.linkedin.com/pulse/rob-carters-fedex-digital-transformation-vision-gian-luca-anselmi" target="_blank">聯邦快遞2020年啟動數位轉型計畫</a>，發展雲端優先的策略，包括支援雲端的資料服務、開發鬆散藕合的微服務及使用容器技術，並淘汰大型主機等舊式技術，以加速服務更新。</p> <p><a href="https://www.ciodive.com/news/fedex-cloud-mainframe-big-data/626426/" target="_blank">媒體引述</a>上周在聯邦快遞的投資人會議上，CIO Robert Carter說明該公司IT基礎架構現代化成果說明，該公司持續推動雲端化、零資料中心及零大型主機環境的策略，以獲致彈性、安全及成本效益。</p> <p>他說未來2年內，聯邦快遞將關閉剩下的資料中心及移除最後20%的大型主機，以及把剩下的應用遷往雲端原生架構，使其更容易部署和用於線上交易市集和公司業務。他估計新架構每年可節省4億美元的預估（run rate）費用。</p> <p>這家快遞龍頭IT基礎架構現代化完整轉型策略，除了雲端資料服務、可拆解組合的軟體，也將加入機器學習和AI。</p> <p>聯邦快遞過去兩年已經採用Oracle Cloud及微軟Azure，<a href="https://www.ithome.com.tw/news/141098" target="_blank">2020年Dell也和聯邦快遞、資料中心設計業者Switch合作</a>，在全美打造Exascale多雲邊緣運算網路基礎架構，不但可省成本，也為其引進新營收。</p> </div></div></div>
2022/7/4 10:57作者林妍溱https://www.ithome.com.tw/news/151739
克服產線不中斷的搬遷IT考驗，友通轉型智慧工廠跨出關鍵一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年10月10日，正當許多人還在享受國慶假期，對友通資訊電腦資訊處處長武連斌來說，卻是最緊張的一刻，因為這是他們進行新廠搬遷的最後緊要關頭，所有機臺設備、產線、人員都進駐，只差最後一步，機房搬遷完成後，工廠就能全面啟用上線。</p> <p>即使到最後一刻，武連斌仍不敢有任何鬆懈，為了搬遷機房，武連斌和IT團隊選在假日產線停工時進行，用一整天將硬體設備搬到新機房，直到半夜才搬完，接著重新設定系統，他們更預留一天緩衝，經過反覆測試，確保所有系統、流程都沒問題。等到上班日新機房啟用上線，武連斌更緊盯現場，避免有任何閃失，所幸一切順利，新廠產線運作都沒問題。</p> <p>這座新工廠建造與搬遷，不只IT工程耗大，更是這家40年老字號工業電腦製造商轉型重要一步，要從傳統工廠轉變為智慧工廠。</p> <p><span style="font-size:28px;"><strong>老牌工業電腦硬體廠轉型重要一步，從工廠轉型做起</strong></span></p> <p>身為本土工業電腦硬體大廠，友通資訊近兩年積極展開IT轉型，一開始先從工廠切入，來打造一座工業4.0智慧工廠，作為轉型智慧工廠的第一步，在這間工廠內開始導入智慧化應用，包括建置自動化倉儲系統，結合AGV無人搬運車，來提高揀料的效率，未來更要運用IoT蒐集大量機臺資料做分析，找出提高生產效率的更好作法。</p> <p>不像一般企業IT單位，大多只負責內部IT維運和管理，友通IT很不一樣，不只管內部IT，也包含OT端管理，都是其工作範疇，甚至整個智慧工廠，從基礎建設、系統建置到維運，都是由武連斌及其IT團隊一手包辦。</p> <p>友通2020年下半決定要將汐止舊廠搬到桃園新廠，不只遷廠，還要從頭打造一座全新智慧工廠，引進全新的機臺設備及導入新自動化系統。但按照原定規畫，隔年4月完成廠房建廠後，緊接著10月就得全廠遷移，只有半年時間搬遷，新工廠就要全面啟用上線，「時間很緊迫」武連斌坦言。</p> <p>除了面對時程壓力，更大IT考驗是要維持生產不中斷，而且搬遷更要達到所用的成本最小的要求。這也成了友通IT所要面對第一個IT大考驗。「我們是穿著衣服改衣服」武連斌表示，這也是IT挑戰地方，必須要確保營運不中斷。</p> <p>為了趕在半年內完成廠房搬遷，同時不影響生產作業，武連斌採取的策略，不是一次長時間停機，將所有產線全部搬到新工廠再啟用，而是採用分階段、分批的方式來搬遷，逐一將每條產線搬到新廠；其次，搬遷順序上也有不同，優先以產線及機臺設備先搬，機房放到最後再來搬。他表示，這樣做的好處，一來可以嚴控成本；二來確保搬遷過程中，新舊工廠都能同時運作，維持製造不中斷。</p> <p><span style="font-size:28px;"><strong>不只舊廠搬新廠，更要面對半年內完成產線不中斷的搬遷IT考驗</strong></span></p> <p>由於舊廠房有多條SMT產線，每個產線都有各自對應的機臺設備，及相關系統。因此，資訊團隊一開始確認每條產線搬移過程，需要閒置和新增的機臺設備，就花了不少時間，接著才展開搬遷的動作。一開始搬遷時，先確保能維持桃園新廠生產運作，之後再將其餘SMT產線逐一搬到新廠，一步步建立起新廠生產環境。搬移也選在不影響原有的生產的時段進行，等到所有產線都搬完後，最後再把整個機房遷移過去。</p> <p>搬運過去的產線要能馬上接單、生產，所以新廠先與舊廠共用同一個機房，使用相同資訊系統用於生產作業，但唯獨MES系統除外，最後採用兩套MES系統，彼此各自獨立，汐止廠有一套，桃園廠也有另一套。他解釋，這麼做的原因，是因為MES與交易為主的ERP有所不同，MES作為製造執行系統，負責SMT生產流程，對於每個打件執行所需資料傳輸速度要求很高，若新舊廠共用同一套MES，資料往返就會產生延遲，容易影響到生產效率，所以採用兩套MES系統。等遷完廠後，再將兩邊資料合一，以取得完整客戶返修資料。</p> <p>除了面對產線不中斷的考驗，這段過渡期的IT管理，對友通IT也帶來另一個挑戰，尤其整家公司IT人力只有11人，卻要跨區管理汐止總公司、汐止廠，還有桃園新廠，維運區域不只變多了，管理的挑戰也更大。為了解決這個問題，他們導入不少IT管理工具來簡化後端管理，如在無線AP管理上，結合雲端管理工具，使IT人員不用到現場，就能從遠端監控工廠端AP連線狀況。</p> <p>早在工廠搬遷之前，友通IT團隊就有考量到新廠建置需求，預留不少升級空間，具備擴充彈性，做為未來擴大智慧製造應用所用，比如添購不少具有擴充性的新設備，網路基礎設施也重新設計更有擴充彈性，除了完成光纖網路布建，還預留足夠彈性，可升級到最新WiFi 6，可供物聯網應用發展所需。</p> <p>武連斌也說，因為採取這種搬遷方式，使整個工廠搬遷作業，能在不影響生產前提下，半年內就順利完成搬遷。到了去年10月最後機房的遷移完成後，這座智慧工廠全面啟用上線。</p> <p><span style="font-size:28px;"><strong>新工廠導入自動化倉儲，還結合AGV無人搬運車提高揀料效率</strong></span></p> <p>不同於舊廠房，新智慧工廠一大特色，就是導入了自動化倉儲系統，還完成OT與IT系統串接，武連斌表示，透過這套系統，不只可以提高揀料效率，因為是透過自動化方式輔助人員揀料，即使不是資深老練的新手，也能很快上手，大大縮短訓練學習曲線。</p> <p>此外，倉儲作業還結合了AGV無人搬運車，以往在舊廠需透過人工揀料，每一個成品展開可能多達400～500料件，對產線人員來說，單是揀料就得花上不少時間，但在新廠就沒有這個問題。</p> <p>因為採用更自動化方式來發料，系統接單後，AGV車就會移動到存放料件的貨架前，依照工單揀料，自動將放有訂單料件的貨架移出並搬到指定的揀貨站點，揀貨人員再根據提示找到放置該料件的貨架儲位來揀料。</p> <p>不光是揀料作業結合AGV，工廠生產線也引進智慧化管理的作法，不只將SMT機臺生產資訊，如產出數、拋料率等，整合到單一資訊看板上呈現，對於每個機臺或產線生產狀況，現場管理者可以隨時來監看，還建立視覺化儀表板，可提供整廠生產資訊。</p> <p>過去在佳世達集團IT任職期間，武連斌就帶領團隊負責整個智慧製造的發展與應用，這段時間的歷練，使他進到友通之後，被高層寄予重望，負責協助這家公司數位轉型。</p> <p>除了2021年先後完成搬遷和智慧工廠啟用，早在2019年進到友通擔任IT主管第一年，武連斌就展開一連串IT流程改造及優化，協助公司加速轉型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80-960.jpg" style="width: 400px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /><strong style="color: rgb(105, 105, 105); font-size: 20px;">友通資訊電腦資訊處處長武連斌表示，IT人員不能只是擔任工程師的角色，而是要能夠成為諮詢顧問，甚至是一個解決方案提供者。</strong></p> <p><span style="font-size:28px;"><strong>持續IT流程改造加速內部轉型</strong></span></p> <p>武連斌的第一步，先從全面盤點現有IT系統、作業流程做起，以去蕪存菁、化繁為簡的策略，進行IT改造及優化，包括硬體、網路架構、軟體、作業流程等加以審視後，找出其中較沒有效率，或不易管理的環節優先處理。</p> <p>他以料號工程變更為例，以往申請一個變更單，需要印出紙本，工程人員逐一填入資料，再輸入到系統裡，一旦遇到頻繁變更時，處理起來就會很花時間，但改用系統化方式處理，就可以解決這個問題，能省下不少人工作業時間。</p> <p>資訊透明化則是另一個IT優化例子。友通營運資料都放在ERP系統中，以往要查詢時，只能進系統來查，但這樣的作法，對經營管理者很不方便，於是資訊團隊想出新方法，直接將這些存放ERP系統中的經營資料彙整並加以可視化後，再透過郵件派送給管理高層，每天定時會提供逾30份的經營分析報告，包含毛率分析、每日營收、出缺勤等資訊，讓管理階層不用花時間查，就能很快取得最新經營成績，幫助他們加快擬定決策。</p> <p>除了營運資料，友通IT針對MRP（物料需求計畫）系統也持續進行優化，藉此讓料況供需透明度可以更高，從而在整個生產過程提供更完整的透明度。</p> <p><span style="font-size:28px;"><strong>未來IT架構將朝向混合雲架構發展</strong></span></p> <p>不光是改造流程與優化系統，友通IT架構近年來也開始轉變，要從傳統IT架構，逐步走向更現代化的架構，甚至也要開始擁抱雲端。</p> <p>友通預計今年開始上雲，先以IaaS、SaaS雲端應用發展為主軸，武連斌表示，友通未來IT架構將朝向混合雲架構發展，針對比較周邊系統會逐年先搬上公雲，至於關鍵核心系統或是涉及較機密的資訊，則會放到自己的私有雲。如RD設計圖，未來就會存放在自家私雲。</p> <p>武連斌表示，上雲最大好處，一來可因應疫情而起的遠距或居家辦公的需求，來善用各種雲端協作工具，提供使用者更方便資料存取或協作服務；二來也能節省許多地端IT維運成本，如資料備份等。不過他強調，上雲前仍有不少準備工作須完成，包括針對現有伺服器的數量進行全面盤點，評估有無精簡集中化的必要，對採用IT工具也要確認是否合乎一致性，如此一來，後續上雲後，才方便做管理。</p> <p>除了朝智慧製造應用邁進，友通IT團隊後來也把自動化、智慧化技術帶進企業內，來簡化既有作業流程，像是今年開始導入RPA機器人流程自動化，來取代傳統人工輸入作業，並先應用到RD工程變更的流程，將過往BOM表料號異動申請需花時間填寫的動作，改為RPA來取代，讓工程師能更專注在研發上。</p> <p>在IT管理上，武連斌更主張，系統開發應減少非必要客製，若要客製，須經過上下游全面討論，後續維護成本都考慮進來後，再來開發。他解釋，許多開發問題，都是客製系統所造成，因編寫程式不夠嚴謹，或測試不完善，雖滿足使用者的客製需求，但也造成後續需花費大量IT維護成本，「所有系統開發應朝向降低客製量、盡量採用最佳實踐（best practice）方式來運作」他說。</p> <p>在人才培育上，武連斌期盼能培養IT團隊成為多能工的IT人才，如此一來，才能跟上IT技術發展演進的腳步。他對於IT人員抱持更大期待是：「IT人員不能只是擔任工程師的角色，而是要能夠成為諮詢顧問，甚至是一個解決方案提供者。」</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CIO小檔案 </span></span></strong></p> <p><strong>友通資訊電腦資訊處處長武連斌</strong></p> <p>學歷：中國文化大學資管碩士</p> <p>經歷：2003年進到BenQ，從基層資訊人員做起，一路擔任到佳世達科技資訊技術服務中心經理，這段期間，更主導工廠智慧製造發展與應用，在友通資訊進到佳世達集團成為旗下子公司，2019年接任友通電腦資訊處處長一職，開始肩負優化公司資訊架構及數位轉型重責</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>友通資訊</strong></p> <p>地址：新北市汐止區新台五路一段97號10樓</p> <p>網址：<a href="http://www.dfi.com">www.dfi.com</a></p> <p>成立時間：1981年</p> <p>主要業務：工業電腦、嵌入式工業級主機板、工業控制系統等研發及製造</p> <p>員工數：約700人</p> <p>董事長：陳其宏</p> <p>總經理：蘇家弘</p> <p>資本額：11.9億元</p> <p>年營收：132.1億元（2021年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：處長</p> <p>資訊部門主管姓名：武連斌</p> <p>資訊部門人數：11人</p> <p>IT預算：約3千萬元</p> <p>資訊部門分工：ERP事業部、CIM暨Infrastructure部</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2019年：全面盤點現有IT系統、作業流程，以去蕪存菁、化繁為簡策略進行IT改造及優化</p> <p>2021年：完成桃園智慧廠房建廠、新廠導入新版MES系統、完成將汐止廠全廠遷移至桃園新廠、自動化倉儲系統推出上線</p> <p>2022年：IT架構轉換為混合雲新架構、RD工程變更流程導入RPA</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wu_lian_bin_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="友通資訊電腦資訊處處長武連斌　（攝影／洪政偉）" /></div></div></div>
2022/7/4 07:00作者余至浩https://www.ithome.com.tw/people/151692
【結合基礎架構現代化與資料威力解放兩大戰略】摩根大通大規模運用AI的關鍵，資料湖上雲即時支援關鍵分析需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「大規模運用AI的關鍵是，資料科學家取得資料的能力。」摩根大通全球資訊長Lori Beer強調，這是為何摩根大通發展大規模AI應用能力，從強化資料力著手的原因。</p> <p>摩根大通在自家產品或平臺中，已經正式上線了數百個AI應用，他們評估累計帶來10億美元的價值，例如詐欺風險AI模型在2017年上線至今，阻止了1億美元的損失。但是，摩根大通希望能進一步擴大AI應用的深度和廣度，可以建置到數千的AI應用，甚至想要讓AI模型上線時間再縮短7成。</p> <p>為了實現這個目標，摩根大通採取了資料上雲策略，Lori Beer表示：「在資料平臺上提供工具，將資料轉移到公雲，能讓資料科學家更容易即時取得各種資料。」這正是摩根大通為何近兩年積極推動資料湖上雲新戰略，將基礎架構現代化的做法，也帶到AI戰略平臺的資料戰略上。</p> <p>摩根大通正在打造一個可以支援1,000名資料科學家的AI戰略平臺，來滿足未來大規模應用AI的需求，主要提供兩大管理子系統，一個是資料生命周期管理平臺，另一個是AI模型生命周期管理平臺。Lori Beer今年的目標則是，要做到，可以實現即時提供關鍵的企業分析性資料。</p> <p>摩根大通集團EECT部門資訊長James Reid在2021年7月一場活動中，就揭露了他們如何以資料產品化思維來建置公雲上的資料湖，快速支援各類資料的消費，也易於整合不同的資料來重複利用。James Reid認為，資料湖看似可以讓企業集中整合各式各樣的資料，可是若沒有一套好的資料管理和運用策略，海量的資料反而會變成了海量的資料蚊子館，而不是資料金礦。</p> <p>如何真正發揮資料湖的價值，James Reid透露，摩根大通的秘訣就是「把資料視為一種產品」(Data as a Product)，來設計雲端的資料湖。這個資料湖上雲的戰略，正是他們近年混合雲戰略的其中一環。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%96%99%E6%B9%96%E5%9C%962-%E5%8E%9F%E5%89%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>摩根大通以「資料產品」思維來設計資料湖的做法，就像設計微服務一樣，先定義通用語彙，再用DDD設計資料湖的邊界和顆粒度，也從資料消費案例來考慮產品派送，最後靠做中學來改善。</strong><span style="font-size: 14px;">圖片來源／摩根大通</span></span></p> <p><span style="font-size:28px;"><strong>資料上雲3大原則</strong></span></p> <p>摩根大通將資料上雲的目的，希望打造一座公雲資料湖，來實現資料民主化，讓任何分析需求，盡可能地容易取得和運用這些大數據，但摩根大通不是將任何資料都上雲，而是採取了3個資料上雲的原則：能夠降低成本，釋出更多商業價值，以及有助於資料重複利用。符合這三項原則的資料才會優先上雲。</p> <p>摩根大通原本就有一套集中式的資料倉儲，也建立了各種不同用途的資料集，但每個資料集就像是一個個池塘，每個資料池塘各有不同用途，彼此各自孤立，池塘內的水要互通非常麻煩，尤其要將其中一個資料池塘產生的新資料，轉到其他池塘得費一番功夫。「這是我們過去資料倉儲的痛點。」James Reid坦言。</p> <p>因此，摩根大通設計新的資料湖架構時，希望不要再用傳統單體式的資料池塘模式，不是將資料都集中到一個龐大的Hadoop叢集再交給單一團隊來管理，另外也希望打造一個鬆耦架構，方便彈性組合和再利用。最後一個設計目標是，希望讓資料依據特定目的來進行組合，快速篩選出特定目的需要的一批資料。在管理上，也希望建立一個分散式流程，讓多個負責AI或資料分析的工程團隊，都可以很方便地取得這些資料，再提供給生態圈的其他人。</p> <p>從摩根大通去年公開的資料湖新架構中，可以看到，這個雲端資料湖包括了三區塊，資料來源、資料產品和資料消費者端機制。各種資料來源透過API來存取和提供，而每一個公雲帳號則代表了一項資料產品，擁有專屬的資料網域，就像一支雲端服務一樣，並由一個團隊來負責這個資料產品。「自己管、自己打造、自己維護。」這正是摩根大通Data as a Product思維的維運原則。</p> <p><span style="font-size:28px;"><strong>資料產品的兩種管理角色</strong></span></p> <p>在摩根大通的資料湖新戰略中，還設計了兩種資料產品的管理角色，一種是資料產品的擁有者，另一類是技術擁有者。資料產品擁有者負責這個資料產品的業務管理，以及技術如何對齊業務的需求，包括資料產品風險，分類，品質管理等。而技術擁有者則是負責維運資料產品的團隊，也要負責這個資料產品與其他系統的整合。技術擁有者持有資料湖的帳號，可以真正操作資料湖上的資料產品內容。技術擁有者則要確保技術上的資料品質，來確保本地端建立資料副本的完整性和權限可用。</p> <p>摩根大通為了將資料當成產品一樣來維護和運用，也採取了資料網格（Data Mesh）的分散式資料架構，透過GraphQL語法，讓應用程式以API方式來存取資料，並搭配了一套整體性治理機制，來提供相關的監測、維護機制。整個資料湖採取了混合雲架構，在本地端機房和公雲上採取了同樣的架構設計，連資料取得流程，雲上或雲下都是採取同樣的授權流程，來支援雲上或本地端的資料消費。</p> <p>摩根大通在2020年花了2、3個月重新思考出了這個新的資料湖架構，把自己當成一座城市規畫師的方式來思考，重新檢討各種資料的工作量。</p> <p>要如何將資料視為一種產品？第一步是要先建立一套通用的資料分類和術語，例如資料池塘、資料湖、資料網域。其次，再套用領域驅動設計的做法，來設計不同資料池塘的邊界和脈絡。第三是，拿捏資料邊界，來決定資料池塘的顆粒度，「大概夠用就好，不用太準或太細。」James Reid提醒。這個資料產品化的做法，就像是打造微服務一樣。接著，還要將資料產品對齊各種不同的資料消費實例，來了解不同用途的工作量，作為規畫和執行資料產品派送的參考。並且要辦識出在不同資料使用案例中，每一項資料產品重複利用的機會，再從效能角度來思考，資料邊界的鬆綁拿捏，這就完成了資料產品的設計，可以開始進行資料湖的建置。這個以資料產品思維的資料湖，也像微服務開發一樣，不是一次就能好的過程，得「不斷做中學來改善。」他強調。</p> <p><a href="https://www.ithome.com.tw/article/151702" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多系列報導 </span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1084-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=_3a3Udb8" style="width: 550px;" /></a></p> </div></div></div>
2022/7/4 07:00作者王宏仁https://www.ithome.com.tw/news/151699
【每年營收1成投資IT，今年科技預算更高達141億美元】深入2022年四大科技戰略，看摩根大通如何將科技變成競爭優勢？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是第一次，摩根大通在每年一度的投資者日活動中，找來全球CIO，專題報告2022年的科技戰略。因為摩根大通集團今年770億美元的年度預算中，科技預算就占了18%，高達141億美元，相當於臺幣4,200億元，這個投資力道遠遠超過了許多傳統金融集團。</p> <p>摩根大通集團（JP Morgen Chase）是美國最大的金融集團，2022年5月時，總資產就達到3.7兆美元，超過了臺幣110兆元。既使這兩年面臨疫情衝擊，過去幾年成功的數位轉型投資，讓摩根大通的營收持續成長，2021年達到1,250億美元，比2019年疫情前還提高了70億美元的收入。</p> <p>每年的投資者日活動，是摩根大通集團每年最重要的年度戰略說明會，也是股東和各界了解摩根大通未來一年計畫最指標性的活動。從2015年來，每一次都由財務長或四大事業部門CEO，在業務報告中，順帶說明各自業務下的科技投資和發展。今年的投資者日很不一樣，這是摩根大通第一次，從集團高度，由全球CIO統一說明今年的整體科技戰略和投資。</p> <p>為何今年要砸下如此龐大的科技預算？摩根大通財務長Jeremy Barnum坦言，傳統銀行面臨了前所未有的競爭壓力，不少金融科技公司打造的實體和數位銀行產品越來越容易使用，越來越多非銀行類金融機構逐漸取代了銀行在消費者和市場間的中介角色，而科技巨頭憑著無所不在的平臺和海量資料，也積極搶進金融服務市場的競爭。「顧客期待你的金融產品，必須媲美第一流科技巨頭的服務，更要提供數位化和雲端原生的解決方案。」他強調：「為了因應持續不斷的產業變革和新興危機，必須不斷翻新戰略。」</p> <p>摩根大通全球資訊長Lori Beer緊接在財務長報告後登場，她直言，要善用科技展現出擴充力和敏捷性，才能對抗來自金融科技和科技金融巨頭的競爭。她舉例，摩根大通所有系統一年登入次數合計高達110億次，一天系統日誌紀錄更多達400億筆，必須靠AI技術和自動化機制來快速回應關鍵事件，才能具備分析超大規模資料量的資安能力。</p> <p>或像是去年，摩根大通展開了資料湖上雲的新戰略，透過公雲上的資料湖，來取代原本的資料倉儲，採用混合雲架構，支援他們各式各樣的資料利用和分析需求，讓上千名資料科學家，可以更快取得各類分析資料來訓練AI模型，這些都是摩根大通科技運用的一小部分。</p> <p>目前，摩根大通在全美和海外的分行數超過5,000家，摩根大通的數位帳號顧客超過了6千萬人，其中Z世代顧客達到45％，但過去一年也有3,600萬名顧客造訪實體分行。企業銀行客戶多達350萬家，包括了財金五百大企業的9成。累計每天經手處理的付款金額高達了10兆美元，其中超過5兆美元是用於消金的支付。摩根大通現有各式各樣的數位產品和內部應用系統，多達6,400套，包括了銀行核心系統。全部資料量超過500PB，所有系統的虛擬機器核心數，加起來超過了270萬顆vCPU。由一個5萬5千人規模的IT團隊（包括4,800委外廠商的人力）來負責開發和維運。</p> <p><span style="font-size:28px;"><strong>2022年四大科技戰略</strong></span></p> <p>Lori Beer在投資者日報告中，揭露了摩根大通2022年的四大科技戰略。第一項戰略是提供業界最好的產品、平臺和體驗。希望善用科技來創造體驗差異化，也要加速所有業務流程的數位轉型，快速提供高品質的創新業務和產品，來擴大這些金融服務的經濟規模和效益最大化。</p> <p>其次，今年也要聚焦軟體開發能力和基礎架構的強化，在IT現代化上從基礎架構現代化和AP現代化兩方面著手，一方面要加快運用公有雲和私有雲上的運算資源來提高彈性，另一方面也要將過去大型的單體式應用，逐漸轉換成API驅動的模組化架構，重新打造成雲端原生的應用，來提供快速和大規模的交付能力，還會打造各種一流工具來提高數萬名工程師的生產力，讓工程團隊更能貼近顧客端來提高效率。</p> <p>第三項戰略要解放資料威力。Lori Beer指出，摩根大通要在所有產品和平臺中全面嵌入AI技術，讓資料運用的廣度和深度變成自己的競爭優勢。為了實現這個目標，必須讓資料科學家更容易取得各種資料，得建立一個平臺，</p> <p>可以快速累積和重複利用資料，也能快速實驗和派送AI模型。摩根大通最後一項科技戰略是保護企業和消費者，採取主動防禦來對抗網路威脅，所有金融產品要預設內建隱私機制和資安機制，有產品和平臺都要預設嵌入資安和隱私，來確保各項標準和法遵的落實，也要發展可以降低新科技導入門檻的資安控制機制。</p> <p>所以連續幾年來，摩根大通的策略是「科技預算至少要占營收的1成。」例如今年141億美元的科技預算，就相當於摩根大通去年總營收的11.3％。「科技是創造業務差異化的關鍵，更是摩根大通的競爭優勢。」Lori Beer一句話點出了摩根大通為何如此看重科技的理由。</p> <p>為了支援這幾年的科技戰略和數位轉型，摩根大通集團每年科技預算成長率達約6%，2019年時的科技預算是117億美元，到了2022年科技預算更是高達141億美元，比去年多了16億美元。</p> <p><span style="font-size:28px;"><strong>科技預算分兩大類：銀行維運費用和戰略IT投資</strong></span></p> <p>進一步將摩根大通的科技預算分成兩大類來看，第一類是用於銀行運作的費用，包括基礎架構維護費用，軟體授權，應用程式的維護支援費用等，今年有74億美元，比去年成長了3%，是科技預算的大宗。另一類則是戰略性的IT投資，這部分在今年達到67億美元，但是金額足足比去年多了11%，遠高於銀行運作費用的成長幅度。</p> <p>在戰略性IT投資的預算中，41億美元用於支援第一項科技戰略的各項平臺建置工作，加快交付和開發出顧客體驗優化的功能和產品，其餘26億美元則用於支應後三項科技戰略，支援IT現代化、軟體開發流程優化、解放資料威力、顧客和企業保護的工作。</p> <p>雖然摩根大通用於銀行維運的費用高達74億美元，但Lori Beer指出，從2015年到2021年間，摩根大通銀行維運成本的成長平穩，平均每年只成長了2%，沒有像戰略性IT投資一年就有11%的成長力道。甚至，摩根大通在每年相差不多的維運預算下，在運算和儲存資源的容量上卻足足增加了2.5倍，關鍵就是這幾年大力發展IT現代化的成果，尤其摩根大通近年大力推動業務數位化，也大規模應用AI，這都需要龐大的儲存容量和算力，「在建立了跨集團的基礎架構平臺後，積極上雲，才減緩了基礎架構的暴漲壓力。」Lori Beer補充。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%A7%91%E6%8A%80%E9%A0%90%E7%AE%97-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>摩根大通集團今年科技預算高達141億美元，可細分為兩項，第一項是用於銀行運作的費用達到74億美元，另一項則是67億美元的戰略性IT投資。</strong><span style="font-size:14px;">圖片來源／摩根大通</span></span></p> <p><span style="font-size:28px;"><strong>IT現代化兩大重點：AP現代化和基礎架構現代化</strong></span></p> <p>摩根大通這幾年的IT現代化工程，可以細分為兩大方向，包括了基礎架構現代化和AP現代化，「這兩項是長期戰略的成功關鍵，才能維持和強化摩根大通的韌性。」Lori Beer補充。</p> <p>先來看基礎架構現代化工程，摩根大通的策略是大力擁抱多雲戰略，來支援各種類型應用的需求，避免遭廠商綁定，也同步要建立一個高度安全的私雲。例如風險計算AI需要大量硬體，就全面用公雲，而與大數AP有高度相依性的AP則重構，才部署到機房中的私雲。目前摩根大通已採用1朵公雲，正在導入其他2朵公雲。目前，摩根大通的基礎架構費用中，多達3成用於雲端租金，若按虛擬機器來算，則有近5成已經上雲。</p> <p>摩根大通目前在全球有33座實體資料中心，平均一座老舊資料中心的維運費用高達2～3億美元，目前正在進行全球實體資料中心的精簡和整併，一方面正改造成新的現代化機房，目前已有4成機房完成改造，另一方面，摩根大通計畫在2025年時，可以將全球資料中心數量，精簡到只剩下17座。</p> <p>另一項現代化工程是AP現代化，包括4項工作重點，第一，摩根大通以雲端（含公雲和私雲）思維，重新架構或打造現有的應用系統，Lori Beer指出：「AP重構才能善用雲端優勢，來提高成本效益和韌性，不能只是搬上雲，還要考慮如何在雲端維運。」</p> <p>另外，摩根大通也開始採用業界指標型的SaaS服務，來取代本地部署的AP，包括了HR系統、CRM系統，另外還有一套IT部門的服務管理也改用SaaS，例如導入了ServicesNow的管理服務，來處理IT事件管理或資訊需求申請，取代IT團隊原本的24小時客服管理平臺。摩根大通自2019年導入SaaS服務，取代24套內部系統，3年來共省下約5千萬美元。</p> <p>第三項AP現代化計畫就是正在打造一套雲端原生的銀行核心系統，「摩根大通的AP現代化不是針對前端，而是涵蓋所有中臺和後端系統，尤其雲端原生的核心系統是關鍵系統，更要列入現代化戰略的一環。」Lori Beer說。</p> <p>以摩根大通支付服務的現代化來說，支付業務的技術架構分為5層，從最底層的信任和資安即服務（如驗證、防詐欺、報表），上面第二層是核心處理平臺，如支付平臺（Graphite）、流動性平臺（GLASS）、併購平臺（Helix）、DLT分散帳本（Onyx），再上面是應用層（自建系統和第三方應用）、調度層和最上面的用戶端互動層（例如單一支付API、數位通路、檔案型交易），這些技術架構中的老舊系統，都先後展開了AP現代化工程。</p> <p>摩根大通早從2019年就展開其中四大關鍵平臺的雲端原生重構工程，其中投資了9千萬美元打造的Graphite即時支付平臺已經導入到45國分行，今年將跨大到54國，明年完成全面導入。而全球流動性平臺GLASS更是投資了1.15億美元建置，預計2024年完成全面導入。而另外兩項平臺Helix和精簡版Graphite也正在開發中，預計2025～2026年完成。</p> <p>過去幾年的AP現代化工程也展現不少成效，例如交易風險和價格計算平臺Athena，每天需要計算百萬筆交易，累計數十億美元交易的風險。摩根大通將Athena系統重構、搬上AWS公雲，交易風險的計算時間縮短了30%，甚至每小時的處理成本降低了80%，也可按需求從0臺VM ，快速擴充到14,000臺VM。</p> <p>或像是摩根大通6千萬名數位顧客的主要服務窗口Chase.com官網，這是一個需要提供7x24小時高可用性的對外服務，透過AP現代化工程改造，打造成多雲混合雲架構，摩根大通已將部份工作負載轉移到AWS，減少了整體執行成本的50%，預計今年底，會將所有Chase.com官網所有的工作量都轉移到公雲上。</p> <p>除了大改造、大重構，摩根大通也盤點了現有6千套系統的功能，找出功能重複的老舊應用展開資料轉移和退役，從2019年至今已經退役了2,200套老舊應用，預計還要退役550套老舊系統。Lori Beer說：「基礎架構現代化加上AP現代化，才能又快又有擴充力來驅動生產力，」這些IT現代化成果，希望能讓硬體調度時間減少95％，也希望能提升基礎架構的成本效益達到15～20％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%8F%BE%E4%BB%A3%E5%8C%96%E5%B7%A5%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>摩根大通IT現代化工程可分為基礎架構現代化和AP現代化，希望能讓硬體調度時間減少了95％，等於快了20倍，也希望能將基礎架構的成本效益提升15～20％。</strong><span style="font-size:14px;">圖片來源／摩根大通</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-%E5%9B%9B%E5%A4%A7%E9%97%9C%E9%8D%B5%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">摩根大通從2019年就展開四大關鍵平臺的雲端原生重構工程，其中投資了9千萬美元打造的Graphite即時支付平臺已經導入到45國分行，今年將跨大到54國，明年完成全面導入。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／摩根大通</span></span></p> <p><span style="font-size:28px;"><strong>打造第一流開發工具提高開發團隊生產力</strong></span></p> <p>因為摩根大通科技團隊多達55,000人，因此，摩根大通非常注重開發團隊的生產力，Lori Beer強調，今年要繼續提供第一流工具來強化開發生產力，他們有一套自動化和軟體派送平臺和流程，這套現代化的工具鏈支援了4萬名工程師的開發工作，累計每月的發布次數達到3萬次之多，所有程式碼合計超過6億行。目前這個軟體派送平臺支援了摩根大通約6成應用程式的發布和開發，今年目標是希望涵蓋到8成的應用系統。Lori Beer預期，3年後可以提高20%的新功能交付速度，也能增加工程師1成生產力，但她說：「我們的長期目標是40％交付速度提升，增加 20%生產力。」</p> <p>所以，摩根大通也自行投入相關的開發輔助工具，例如有套自己開發的AI輔助程式碼開發工具Senatus AI，可自動提供程式碼推薦，或自動產生銀行的單元測試程式碼，或是也設計了一些資安自動化和風險品管機制，可以預測程式碼部建的成功率來優化測試工作的排程。</p> <p><span style="font-size:28px;"><strong>從數百AI應用到未來數千個AI應用，關鍵是解放資料威力</strong></span></p> <p>如同許多同業，摩根大通很早就大力擁抱AI技術，目前已有數百項AI應用，累計創造了10億美元營收價值，但摩根大通對AI的期望不只如此，Lori Beer表示，未來希望擴大發展出數千個AI應用，因此，「需要更有效率的做法，讓每一塊錢的AI投資有兩倍效益。」</p> <p>所以，在第三項解放資料威力的戰略上，摩根大通正在打造一個可以支援1,000名資料科學家的AI戰略平臺，來滿足未來大規模應用AI的需求，主要提供有兩大管理系統，一個是資料生命周期管理平臺，這就是摩根大通近兩年積極推動的資料湖上雲新戰略，以資料產品化策略（Data as a product）的思維來建置公雲上的資料湖，快速支援各類資料的消費，也易於整合不同的資料來重複利用，今年目標是，關鍵的企業分析性資料可以實現即時提供。</p> <p>摩根大通AI戰略平臺的另一個重要子系統是AI模型生命周期管理平臺，他們要建立一個功能更細緻的訓練資料管理平臺，來減少模型開發流程間的阻力，也可整合特定目的的法遵政策或資安控制，要讓模型上市速度加快70%。</p> <p>在科技戰略中的最後一項是保護企業和顧客，也就是資安。Lori Beer指出，資安是摩根大通過去10年來的首要工作，一直以來都希望建立更多自動化機制和控制機制，將資安嵌入所有產品和平臺上，讓工程師聚焦在業務相關功能開發，來提高開發生產力。例如去年發生的<a href="https://www.ithome.com.tw/article/148766" target="_blank">超級資安漏洞Log4Shell</a>，摩根大通不到1小時，就可以建立保護機制，然後在後續一周內，完成了大多數系統的修補。</p> <p>更進一步，Lori Beer指出，今年的首要目標是實現資安預設設計和隱私預設設計（Security & Privacy by Design），在產品設計之初就開始規畫金鑰、資安、詐欺防範、隱私等功能，而非在事後補救。「要用資安和隱私預設設計，來創造產品的差異化。」</p> <p>另外，摩根大通也要打造動態的全球資安防護機制，能依據業務投資優先順序，主動進行威脅防護，還要維護在新興技術和未來業務需求上的資安信任和形象，也會還持續建立可用的控制模式和自動化機制來降低新興科技導入的阻力。而在對外參與上，摩根大通也會積極參與各項資安公共政策、法規修訂，主動擁抱金融生態圈的改變。</p> <p>摩根大通希望透過這四大戰略，打造第一流產品和體驗給顧客，不只帶來營收的回報，也希望透過IT現代化、基礎架構與開發流程的改造，未來3年達成15億美元成本優化的效益。</p> <p>「科技帶動了摩根大通的業務成長，也賦予了我們全球規模的交付能力，讓基礎架構的單位成本效益，達到業界一流的水準。」Lori Beer在初登場的科技戰略專題報告中末尾，再次用同一句話總結，「未來這四大戰略的落實，讓摩根大通更善用科技，來創造業務關鍵差異和企業競爭力。」</p> <p><a href="https://www.ithome.com.tw/article/151702" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多系列報導 </span></strong></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1084-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=_3a3Udb8" style="width: 550px;" /></a></p> </div></div></div>
2022/7/4 07:00作者王宏仁https://www.ithome.com.tw/news/151701
摩根大通2022科技新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1084-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=_3a3Udb8" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通今年770億美元年度預算中，科技預算就占了18％，高達了141億美元，相當於臺幣4,200億元，更在年度最重要的戰略說明會中，首度找來全球CIO揭露2022年的科技新戰略</p> </div></div></div>
2022/7/4 07:00作者王宏仁https://www.ithome.com.tw/article/151702
super與多重繼承
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在支援物件導向的程式語言中，如果能實現類別繼承，子類別需要使用父類別的方法時，會提供super之類的關鍵字（例如Java）或語法糖（例如JavaScript），Python則是透過super類別，在建立super實例後，進一步地指定父類別方法名稱並呼叫，來達到呼叫父類別方法之目的。</p> <p><span style="font-size:28px;"><strong>呼叫父類別方法的方式</strong></span></p> <p>在絕大多數的情況下，建立super實例時，並不需要（也不建議）指定任何引數，單看程式語法super().method()而言，除了super旁多了括號，使用上與其他語言的super關鍵字無異，如果撰寫程式時，僅使用單一繼承，以無引數方式建立super實例，super可以直接認定為「父」類別。</p> <p>其實，不建立super實例，我們也可以呼叫父類別的方法，畢竟Python的實例方法，就像黏在類別上的函式，只不過以實例呼叫方法時，方法的第一個參數總是綁定實例本身，因此，若父類別為P，super().method()也可以寫成P.method(self)，只要記得第一個參數傳入實例本身就可以了，只不過子類別中寫死了父類別名稱，如果父類別要更改名稱，子類別中相對應的名稱就必須修改，對於後續的維護是個麻煩。</p> <p>然而，有些語言確實是這麼做的，例如Java的類別在實現多個介面時，若介面有同名的預設方法，會引發編譯錯誤，類別必須明確地實作該方法，並且於方法中指定要使用哪個介面的預設方法。</p> <p>在Python實作多重繼承的時候，這個方法看似還有個優點，那就是：可以自行決定父類方法的呼叫順序。只不過這種方式依賴在開發者，可能會造成每個開發者面對多重繼承時，呼叫父類方法的方式都不相同，另一方面，多重繼承的情況可能更複雜，像是形成菱形繼承。</p> <p>如果P1、P2繼承Base，S依序繼承P1、P2，S在自身方法中呼叫了P1.method(self)與P2.method(self)，而P1、P2又各自在方法中呼叫了Base.method(self)，最終會導致Base的method被呼叫兩次。事實上，別以為基於Mixin的概念來使用多重繼承，就不會有這類問題，畢竟Mixin的來源可能會有同名的方法。</p> <p>在《Effective Python》第二版〈做法40〉所談到的，就是這類情況，並建議採用（無引數）super實例，解決父類方法被重複呼叫的問題！</p> <p><span style="font-size:28px;"><strong>多重繼承與MRO</strong></span></p> <p>簡單來說，super實例提供了一個標準方式，解決多重繼承下方法的尋找順序問題，而不是依賴在開發者的各自實作，這個標準方式就是基於MRO（Method Resolution Order），具體而言，就是類別的__mro__清單，我們也可以透過類別的mro類別方法取得。</p> <p>python直譯器會以開發者定義的類別繼承順序，自動生成MRO。以方才談到的多重繼承架構而言，S的__mro__清單會是S、P1、P2、Base、object，而MRO是屬性尋找的順序，如果P1、P2都定義了xxx方法，那麼，呼叫S實例的xxx方法，所找到的會是P1的xxx方法。</p> <p>就方才談到的多重繼承架構而言，我們可以改寫為S在自身方法中呼叫super().method()，而P1、P2又各自在方法中呼叫了super().method()，於是，最後執行結果構成了基於MRO的呼叫堆疊，也就是，依序呼叫P1的method、P2的method、Base的method，因此，最後Base的method只會執行一次，解決了方法被重複呼叫的問題。</p> <p>另一方面，開發者如果想知道多重繼承下父類方法的呼叫順序，可以看看類別實現繼承時的順序，或者直接查看__mro__就知道了。開發者面對多重繼承時，透過這種作法，能避免呼叫父類方法的方式都不相同的問題。</p> <p>以super()建立super實例，以呼叫父類別方法的方式，在類別方法（@classmethod標註的方法）也行得通。這意謂著，我們可以在__new__中，以super().__new__(...)來呼叫父類的__new__方法，就如同在__init__中，我們可以用super().__init__(...)來呼叫父類的__init__方法。</p> <p><span style="font-size:28px;"><strong>指定super的引數</strong></span></p> <p>在絕大多數的情況下，通常會建議使用無引數方式建立super實例。然而，super確實是可以指定引數來建立實例，其中一種方式是super(clz,obj)，這種方式必須滿足isinstance(obj,clz)，若以此形式呼叫時，會使用type(obj)的__mro__作為尋找方法的依據，這時super(clz,obj)的意思，是在type(obj)的__mro__，尋找clz的「上」一個類別（因為super也有over、above之意）。</p> <p>如果在Python的REPL環境使用help(super)，我們可以看到無引數的呼叫方式等同於super(__class__,<first argument>)，<first argument>是指super呼叫時所在方法的第一個引數，若就實例方法而言，就是self，亦即等同於super(__class__,self)，這也說明方才多重繼承的情況下，為何會是P1、P2而後Base的呼叫順序。</p> <p>super指定引數的另一個形式是super(clz,clz2)，必須滿足issubclass(clz2,clz)，這時，我們會使用clz的__mro__作為尋找方法的依據，也就是在clz的__mro__，尋找clz2的「上」一個類別。</p> <p>類別方法的第一個引數會綁定類別本身，若在類別方法中，使用無引數方式建立super實例，方才提到的<first argument>就是類別本身，亦即相當於super(clz,clz2)的呼叫形式，這也就是為何以無引數方式去建立super實例時，在類別方法中也行得通的原因。</p> <p>也就是說，super(clz,obj)或super(clz,clz2)本質上是相同的，基於第二個引數可取得的__mro__，尋找第一個引數的「上」一個類別。</p> <p>開發者可能會問：靜態方法（以@staticmethod標註的方法）呢？就Python而言，靜態方法第一個參數不會綁定物件，由於靜態方法只是將類別作為名稱空間罷了，並沒有繼承的概念，開發者如果要明確指定是使用哪個類別的哪個靜態方法，就去指定要哪個模組的哪個函式，其實是一樣的道理。</p> <p><span style="font-size:28px;"><strong>建立多重繼承時的規範</strong></span></p> <p>super其實還有個super(clz)呼叫方式，然而沒有實用的情境，簡單來說，這個方式建立的super實例，尚未綁定可參考__mro__的物件，後續我們必須進一步指定綁定可取得__mro__的物件，才能用來尋找屬性。</p> <p>雖然沒有實用的情境，能夠認識super(clz)呼叫方式，仍有助於瞭解super、MRO與方法之間的關係，想多了解這部分，可進一步查看<a href="https://bit.ly/3wypY2P" target="_blank">〈super綁定／未綁定〉</a>。</p> <p>方才的文件也談到了如何自定義類別來模擬super(clz,obj)，我們從中也能瞭解到：有引數的super實例建立方式，也是給予開發者另一種彈性，如果預設的MRO順序、尋找父類別方法，並不符合需求時，就可以在建立super時指定引數。</p> <p>當然必要時，如同方才一開始，自行指定父類別與呼叫順序的方式，基本上也是可以，然而，此時最好以文件明確地建立規範，讓其他開發者可以遵循或查閱。</p> <p>某些程度上，這也是Python提供super之目的，因為，繼承本身就會引來複雜，而且，多重繼承更是複雜，使用時，務必要有標準方式，無論那個標準是語言內建、文件規範，或甚至是其他第三方工具的輔助！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/7/4 07:00作者林信良https://www.ithome.com.tw/voice/151703
【資安週報】2022年6月27日至7月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到關注的資安事故，莫過於<a href="https://www.ithome.com.tw/news/151726">發生在日本尼崎市的資料保管不當事件</a>，承包商Bigprogy的員工隨意將該市46萬名市民個資，存放在隨身碟，而且沒有依照公司的工作準則，在下班的時候清除相關裝置存放的機敏資料。更離譜的是，這名員工下班後就帶著這個存放尼崎市市民個資的隨身碟去聚餐，喝醉後還睡在路邊，直到隔天早上才發現隨身碟遺失，向公司請假尋找未果，最後向警方報案、通知公司後東窗事發。</p> <p>這起事故讓人意外的是，竟是發生在做事極為嚴謹的日本，而且在上述事件爆發後，儘管隨身碟的資料有採取加密保護，後來也被警方尋回，目前該市市民資料尚且沒有出現外流的跡象，但這起事故發生的過程裡，同時突顯了政府官員資安意識不足，以及資訊業者將工作層層轉包的誇張現象，進而引起國際媒體大肆報導。</p> <p>另一起相當引人注目的資料外洩事件，則是駭客組織RansomHouse聲稱竊得AMD的內部資料。這種竊取IT大廠機密資料，然後向對方進行勒索的情況，先前在今年2月底至3月初，也有<a href="https://www.ithome.com.tw/news/149674">名為Lapsus$的駭客組織宣稱攻擊GPU大廠Nvidia</a>，駭客亦打算公布竊得的RTX系列的顯示卡相關資料。而兩起事故有所不同的是，RansomHouse表明他們能輕易得手AMD內部資料的原因，是該公司的員工使用了極為容易猜到的弱密碼。</p> <p>勒索軟體駭客組織LockBit的動態也是本週的焦點，該組織罕見推出了漏洞懸賞計畫（Bug Bounty），範圍包含了旗下的勒索軟體、網站，甚至是加密通訊軟體與洋蒠網路（Tor）。</p> <p>在防守方已施行多年的漏洞懸賞計畫，先前曾因廠商漏洞獎金減少而出現研究人員直接公布的狀況而讓人憂心，如今駭客卻反倒開始藉由這種做法來消除自身使用工具的弱點，由於勒索軟體攻擊者曾以贖金分紅引誘員工當內應，若用這些黑心錢來招攬替其抓漏的人力，若有重金誘惑，可能會有許多人響應，若資安圈找不出方法法遏止這種狀況，恐怕將使得攻守雙方更加不對等。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151726"><span style="color: rgb(0, 0, 0);">日本承包商員工隨意將尼崎市46萬民眾個資存放在隨身碟，隨身碟遺失才東窗事發</span></a></strong></h3> <p>承包政府機關業務的業者，很有可能接觸到大量民眾個資，一旦保管不慎很有可能有洩露的疑慮，但這樣的事故還是發生在以謹慎著稱的日本。根據日本NHK的報導，日本兵庫縣尼崎市政府為了要發送COVID-19疫情經困金，委託外部資訊服務廠商Biprogy彙整符合資格的民眾資料，但該市的官員指出，該廠商的員工未經市府同意，竟使用隨身碟存放該市46萬名市民的個資，並於21日工作結束後帶著隨身碟到居酒屋用餐、飲酒，事後發現隨身碟不異而飛，於22日報案並通知市政府。</p> <p><a href="https://www.city.amagasaki.hyogo.jp/kurashi/seikatusien/1027475/1030947.html">尼崎市政府表示</a>，此隨身碟設置了密碼，目前尚未發現資料外洩情事，市府承諾將會加強相關資料管理，並設立電話專線來處理民眾對本次事故的問題。</p> <p>而負責上述民眾資料彙整的資訊服務公司Biprogy坦承過失並<a href="https://www.biprogy.com/pdf/topics/info_20220624_1.pdf">公布事件發生經過</a>，他們的員工確實未經許可就利用隨身碟存放個資，也沒有遵守下班前刪除敏感資料的準則。<a href="https://www.biprogy.com/pdf/topics/info_20220624_2.pdf">這個隨身碟後來於24日尋獲</a>，該公司也<a href="https://www.biprogy.com/pdf/topics/info_20220626.pdf">於26日發布對於此事進行檢討，公布改進措施</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/ransomhouse-group-amd-advanced-micro-devices/"><span style="color: rgb(0, 0, 0);">駭客組織RansomHouse宣稱從AMD竊得450 GB內部資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg" style="width: 300px; float: right;" /></a>日前攻擊非洲大型連鎖超市Shoprite的駭客組織RansomHouse，最近聲稱也竊得IT大廠的內部資料。根據資安防護軟體介紹網站Restore Privacy的報導，RansomHouse宣稱於今年1月，成功入侵AMD的網路，並竊得逾450 GB的資料，經研究人員對於駭客公布的部分資料進行比對，很有可能是來自AMD。</p> <p>但這些駭客如何竊得該公司的資料？駭客指出，這家IT巨頭的員工使用弱密碼，像是Password、P@ssw0rd、123456等，使得他們很容易猜到，並成功取得的該公司的機密檔案。對此，AMD表示他們知悉此事，並著手調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/dragonbridge-targets-rare-earths-mining-companies"><span style="color: rgb(0, 0, 0);">中國駭客鎖定北美、澳洲稀土金屬業者，發起Dragonbridge攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg" style="width: 300px; float: right;" /></a>駭客為了自己國家的利益，很可能會在社群網站上散布不實言論，來抹黑其他國家的競爭企業。資安業者Mandiant最近揭露中國駭客組織Dragonbridge的攻擊行動，駭客疑似針對澳洲稀土業者Lynas Rare Earths、加拿大稀土業者Appia Rare Earths & Uranium，以及美國稀土業者USA Rare Earth，在社群網站發出不利的訊息，企圖影響上述業者即將進行的計畫，或是開採稀土金屬的行動。</p> <p>由於這些稀土金屬運用於導彈控制系統、飛機引擎等軍事武器，也用於汽車、電腦、手機等產品，在中美貿易戰亦成為中國對付美國的手段，使得美國國防部於2021年與Lynas Rare Earths達成在德州興建工廠；再者，今年6月，Appia Rare Earths & Uranium與USA Rare Earth都宣布發現新的礦源，使得Dragonbridge決定採取行動。</p> <p>這些駭客使用社群網站與論壇的帳號，來散布引人注目的言論，例如，他們假冒德州居民，指控對於工廠可能會帶來當地的環境與居民健康問題，並引用政治人物對於美國總統拜登的國防生產法（Defense Production Act）批評，企圖塑造該工廠會為美國帶來各式問題的風向。</p> <p>研究人員指出，駭客的攻擊究竟會造成多少影響有待觀察，但這也代表駭客有可能利用類似手法來操縱其他美國政治議題，進而讓中國獲得利益。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/vxunderground/status/1541156954214727685"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit推出3.0版，駭客也興起漏洞懸賞專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg" style="width: 300px; float: right;" /></a>為了找尋系統可能存在的漏洞，不少IT廠商祭出漏洞懸賞計畫（Bug Bounty），卻有許多廠商處理相當消極，或是削減研究人員的獎金。但這樣的做法竟被駭客發揚光大，模仿這樣的做法來為惡意程式除錯。</p> <p>資安研究團隊VX-Underground於6月27日，揭露勒索軟體LockBit的新態勢，駭客不只製作了3.0版LockBit，還同時推出漏洞懸賞計畫而引起資安人員關注。</p> <p>這些駭客懸賞的範圍也相當廣泛，不只包含勒索軟體的漏洞，還涵蓋了該組織網站，以及開源加密通訊軟體TOX、洋蔥（Tor）網路，獎金從1,000美元起跳。此外，若是有人能找出LockBit組織首腦身分，便能得到百萬美元的獎金。若是日後其他駭客也相繼跟進，強化作案工具，很有可能讓攻守雙方更加不對等。</p> <h3><strong style="font-size: 22px;"><a href="https://usa.kaspersky.com/about/press-releases/2022_apt-uses-shadowpad-backdoor-and-ms-exchange-vulnerability-to-attack-building-automation-systems"><span style="color: rgb(0, 0, 0);">駭客組織利用後門程式ShadowPad與Exchange漏洞攻擊大樓管理系統</span></a></strong></h3> <p>中國駭客使用Exchange Server漏發動攻擊的情況，最近又有事故傳出，而且是針對大樓的管理系統而來。卡巴斯基在去年10月發現不為人知的駭客組織，針對數個亞洲國家的電信業、製造業，以及運輸機構下手，而這些駭客入侵受害組織的方式，竟然是利用微軟Exchange Server的重大漏洞CVE-2021-26855（ProxyLogon），攻擊大樓自動化系統（Building Automation System，BAS），然後在這種管理系統中部署惡意軟體ShadowPad。</p> <p>研究人員進一步追查後發現，這起攻擊行動始於2021年3月，也就是漏洞ProxyLogon公布的時間點，且駭客使用中文進行溝通，再加上他們使用惡意程式如ShadowsPad、PlugX都是中國駭客常用的工具，很有可能是中國駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-discovers-poorly-detected-backdoor-targeting-governments-and-ngos-around-the-globe"><span style="color: rgb(0, 0, 0);">駭客鎖定全球政府與NGO，攻擊Exchange Server並植入後門</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png" style="width: 300px; float: right;" /></a>有駭客針對Exchange Server，自ProxyLogon漏洞爆發後，利用後門程式發動攻擊超過一年才被發現。</p> <p>資安業者卡巴斯基最近揭露自今年4月下旬發現的攻擊行動，駭客組織Gelsemium從2021年3月開始，利用名為SessionManager的IIS後門程式，攻擊政府機關、非政府組織（NGO）、軍事單位，以及工廠下手，受害者遍及非洲、南美、亞洲、歐洲、俄羅斯，以及中東。</p> <p>研究人員指出，他們在調查的過程中發現，迄今仍有24個組織裡、34臺Exchange Server，仍存在上述後門程式，並強調此惡意軟體現在仍能逃過「知名的檔案掃描服務」檢測。</p> <p>一旦駭客藉由SessionManager入侵受害組終的網路環境後，就能存取該組織的電子郵件，或是部署其他惡意軟體來發動第二階段攻擊，這些被感染的Exchange Server也可能被駭客當作基礎設施運用。研究人員提出警告，呼籲組織仔細檢查Exchange Server是否被植入惡意工具，來避免遭到相關攻擊卻不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1542281805549764608"><span style="color: rgb(0, 0, 0);">駭客組織8220利用Atlassian Confluence漏洞進行挖礦攻擊</span></a></strong></h3> <p>在1個月前，Atlassian Confluence零時差漏洞CVE-2022-26134被公布後，有不少駭客組織相繼用於發動攻擊，其中有一個駭客組織8220，同時也運用了其他應用系統的漏洞，引起研究人員的關注。</p> <p>微軟於6月30日，針對駭客組織8220的攻擊行動提出警告，指出該組織長期鎖定Linux系統而來，且最近的攻擊行動，就是利用CVE-2022-26134漏洞來做為初期入侵受害組織的管道，進而部署挖礦軟體pwnRig（1.41.0版）與IRC機器人，來接收C2伺服器的命令，並利用IP掃描工具找尋網路環境裡其他的SSH伺服器，並使用Go語言打造的暴力破解工具spirit散布。</p> <p>此外，駭客也藉由cronjob、nohup等命令建立排程工作，並設置每60秒就執行一次，而使得挖礦軟體和IRC機器人在Linux伺服器重開機後，仍能繼續運作。但除了上述的Atlassian Confluence漏洞之外，研究人員發現，該組織也可能利用Oracle WebLogic的RCE漏洞CVE-2019-2725，來入侵受害組織。</p> <p>這個駭客組織鎖定Atlassian Confluence漏洞的挖礦攻擊行動，在6月9日<a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/">資安業者Check Point曾提出相關發現並提出警告</a>，該公司指出，駭客也利用相同的漏洞，對Windows電腦上植入惡意指令碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/xfiles-info-stealing-malware-adds-support-for-follina-delivery/"><span style="color: rgb(0, 0, 0);">竊密軟體XFiles加入利用Follina漏洞的能力</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xfiles-logs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xfiles-logs.png" style="width: 300px; float: right;" /></a>與Windows診斷工具MSDT有關的漏洞CVE-2022-30190（Follina），微軟於6月14日推修補程式後，有駭客持續將其用於攻擊行動。資安業者Cyberint發現，名為XFiles的竊密軟體，駭客近期新增了新的模組，這個模組的功能就是利用上述的漏洞Follina，將惡意酬載下載到受害電腦並執行。</p> <p>研究人員看到駭客疑似透過垃圾郵件挾帶惡意文件檔案，此文件檔案包含OLE物件，並連結外部的HTML檔案，該HTML檔案的程式碼內容，就包含了利用Follina的JavaScript指令碼。一旦受害者打開文件檔案，就有可能觸發指令碼，並對電腦下達以Base64編碼的PowerShell命令來執行惡意程式，然後，駭客使用ChimLacUpdate.exe這隻程式進行第二階段攻擊，此程式包含了硬編碼加密的Shell Code與AES解密金鑰，藉由API呼叫的方式解密Shell Code並執行，最終使得受害電腦感染XFIles。</p> <p>此竊密軟體會搜刮在網頁瀏覽器和加密貨幣錢包的帳密資料，亦會截取螢幕畫面、收集加密通訊軟體Discord和Telegram的帳密等，並將竊得的資料透過Telegram傳送到駭客手上。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/22/quantum-software-lnk-file-based-builders-growing-in-popularity/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用Quantum惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png" style="width: 300px; float: right;" /></a>駭客濫用Windows捷徑（LNK）檔案來載入惡意程式的手法，在攻擊事件裡也不時會出現。資安業者Cyble最近揭露惡意軟體Quantum的動態，駭客在地下論壇兜售這款軟體與相關工具，費用為每月189歐元起，並宣稱能透過他們提供的建置工具，打造LNK、ISO、HTA格式的檔案，來包裝Quantum，此外，客戶可透過賣家提供的工具，來指定產生的Quantum能否可繞過使用者存取控制（UAC）、執行的路徑、所需搭配的DLL程式庫檔案等。</p> <p>附帶一提的是，這些駭客還聲稱能利用MSDT漏洞CVE-2022-30190（Follina），來散布惡意程式。</p> <p>研究人員針對近期出現的Quantum惡意程式，與北韓駭客組織Lazarus的手法進行比對後，發現該組織近期疑似使用此惡意程式發動發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://mrd0x.com/attacking-with-webview2-applications/"><span style="color: rgb(0, 0, 0);">微軟Edge瀏覽器的WebView2應用程式可被用於繞過MFA</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif" style="width: 300px; float: right;" /></a>瀏覽器的渲染網頁元件不只能提供開發人員更快打造網頁應用程式，也可能成為駭客用來發動攻擊的管道。研究人員mr.d0x於6月21日公布鎖定微軟Edge的攻擊手法，滲透的主要管道是WebView2元件。他們修改了微軟提供的WebView2範例，即可透過WebView2本身的功能，將JavaScript注入網站，或是把鍵盤側錄程式植入微軟登入網頁，進而將使用者輸入的資料回傳。</p> <p>但研究人員指出，駭客不只能將WebView2用於上述攻擊，還能濫用於竊取Cookie，進而存取使用者檔案的資料夾（User Data Folder，UDF），有可能因此得以繞過雙因素驗證（MFA）機制。針對上述的發現，微軟認為使用者若是能藉由良好的使用習慣，還是有機會降低遭到濫用WebView2攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/python-packages-upload-your-aws-keys-env-vars-secrets-to-web"><span style="color: rgb(0, 0, 0);">惡意Python套件竊取用戶的AWS帳密</span></a></strong></h3> <p>近期鎖定PyPI套件用戶的情況已有數起攻擊事故出現，且有不少是針對開發人員的AWS帳密而來。資安業者Sonatype於6月23日表示，他們近期看到5個含有攻擊意圖的PyPI套件：loglib-modules、pyg-modules、pygrata、pygrata-utils，以及hkg-sol-utils。</p> <p>其中的loglib-modules與pyg-modules特別引起研究人員的注意，因為攻擊者將它們用來竊取AWS帳密、受害電腦網路環境參數等資料；而pygrata是唯一沒有竊密功能的套件，但與過往其他的惡意PyPI極為不同，它需要搭配pygrata-utils，且在其他4個套件遭到PyPI移除後，仍存在了一段時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/"><span style="color: rgb(0, 0, 0);">木馬程式ZuoRAT鎖定SOHO族的家用路由器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png" style="width: 300px; float: right;" /></a>駭客鎖定缺乏防護的家用路由器設備，進而站穩腳跟，對網路環境裡的連網設備下手的情況，在許多人處於居家辦公模式的工作狀態下，相當值得留意。</p> <p>資安業者Lumen近期發現木馬程式ZuoRAT的攻擊行動，駭客疑似自2020年12月開始，鎖定中小企業與SOHO族，目標是思科（Cisco）、華碩、Netgear，以及居易（DrayTek）等廠牌的近80款家用路由器，一旦木馬程式成功挾持後，就將這些路由器當作跳板，經用內部網路，透過DNS挾持或HTTP挾持的方式，進行中間人攻擊（MitM），下載CBeacon、GoBeacon、Cobalt Strike等軟體，植入Windows、macOS、Linux電腦。</p> <p>研究人員指出，駭客埋藏攻擊的手法相當精明，只要路由器重開機就會移除ZuoRAT與活動痕跡，而且，他們也能遠端刪除ELF檔案，使得攻擊行動不被發現。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/automotive-fabric-supplier-tb-kawashima-announces-cyberattack/"><span style="color: rgb(0, 0, 0);">豐田旗下的TB Kawashima疑遭勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織針對汽車大廠豐田旗下的零件供應商下手，自今年初至今已有數起事故，汽機車軟管製造商Nichirin於6月14日遭到攻擊後，疑似又有廠商受害。</p> <p>根據資安新聞網站Bleeping Computer報導，豐田紡織旗下專門供應汽車、飛機、火車等內裝材料的TB Kawashima透露，專門經營泰國銷售業務子公司傳出在6月23日遭到入侵，但該公司宣稱豐田紡織集團的所有業務都正常運作，不受攻擊事故影響。</p> <p>而針對攻擊者的身分，勒索軟體駭客組織LockBit宣稱在6月17日，入侵了TB Kawashima的其中一臺伺服器，並於24日傍晚公布竊得的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/walmart-denies-being-hit-by-yanluowang-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型連鎖超市Walmart傳出遭到勒索軟體Yanluowang攻擊，但該公司予以否認</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg" style="width: 300px; float: right;" /></a>去年出現的<a href="https://www.ithome.com.tw/news/147309">勒索軟體Yanluowang （閰羅王）</a>，最近又有新的動作，疑似因對方不付錢，而決定公布內部網路環境的相關資料。根據資安新聞網站Bleeping Computer報導，勒索軟體Yanluowang聲稱在一個多月前，對大型連鎖超市Walmart發動攻擊，加密4萬至5萬臺電腦，並向該公司索討5,500萬美元贖金，但Walmart始終沒有回應。</p> <p>駭客於6月27日公布此事，並上傳了Walmart的內部網路資料，包含了AD使用者名單、該公司的安全憑證檔案，以及經由<a href="https://www.qomplx.com/qomplx-knowledge-kerberoasting-attacks-explained/">Kerberoasting攻擊</a>破解的加鹽密碼，假若這些都是真實資料，其他駭客將有機會用來對Walmart再度下手。</p> <p>對此，Walmart發出聲明，認為上述說法並不準確，該公司的資安團隊全天候監控，並未察覺駭客對他們攻擊得逞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/smash-and-grab-astralocker-2-pushes-ransomware-direct-from-office-docs"><span style="color: rgb(0, 0, 0);">駭客利用Word檔案投放勒索軟體AstraLocker 2.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png" style="width: 300px; float: right;" /></a>為了擴大受到影響的範圍，駭客往往可能會選擇在調查完受害組織內部環境後，才發動勒索軟體攻擊，但現在有駭客採取直接了當的作法，一旦受害者不慎開啟誘餌，就執行檔案加密的工作。</p> <p>例如，資安業者ReversingLabs近期發現勒索軟體AstraLocker 2.0的攻擊行動，駭客疑似利用另一個勒索軟體Babuk外洩的程式碼打造而成，根據駭客用於索討贖金的門羅幣錢包，此勒索軟體很可能與Chaos有關。這些駭客將勒索軟體嵌入Word檔案的OLE物件，並透過網路釣魚來散布。一旦對方開啟了這個Word檔案，並依照指示執行OLE物件，電腦檔案就會隨即被AstraLocker 2.0加密。</p> <p>研究人員指出，這種有別於一般駭客對於組織發動勒索軟體攻擊的過程，代表了運用Babuk程式碼打造的AstraLocker 2.0駭客技能不算強，但想要積極讓許多人受害並支付贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/35822/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit寄送網站圖片著作權宣告信進行釣魚攻擊</span></a></strong></h3> <p>駭客發動網路釣魚的幌子，很可能讓對方以為會惹上麻煩遭到提告，而不疑有他開啟附件檔案。例如，資安業者AhnLab最近揭露勒索軟體LockBit的攻擊手法，駭客宣稱，收信人所屬的公司在網站上使用了侵權的圖片，要求從網站上刪除，否則將面臨法律訴訟。但這些郵件並未提及對方使用了那些侵權的圖片，而是宣稱相關資料列於附件檔案。</p> <p>假若收信人不慎開啟附件檔案，電腦就有可能遭到勒索軟體LockBit 2.0加密檔案。<a href="https://www.bleepingcomputer.com/news/security/fake-copyright-infringement-emails-install-lockbit-ransomware/">資安新聞網站Bleeping Computer指出</a>，他們最近也發現類似的釣魚郵件，攻擊者將其用於散布BazarLoader、Bumblebee等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">2021年有67起美國各級學校的勒索軟體攻擊，有954所受害</span></a></strong></h3> <p>駭客最近3至4年大肆攻擊美國各級學校的現象，似乎有略為趨緩的現象，但原因可能是有部分學校開始強化相關因應措施。資安業者Compatitech最近公布的調查報告指出，2021年總共有67起鎖定美國各級學校的勒索軟體攻擊，結果共有954所學校受害，這樣的攻擊行動次數較2020年減少19％、受害學校少了46%。</p> <p>研究人員認為相關事故減少的原因，在於學校已對此種攻擊的準備日益充分，停機與復原系統的時間都變得更快，而使得勒索軟體駭客降低對學校下手的頻率。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/27/exposed-kubernetes-clusters/"><span style="color: rgb(0, 0, 0);">逾9萬個K8s實體曝露在網際網路，恐成為駭客下手的目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png" style="width: 300px; float: right;" /></a>組織的自動化容器管理系統Kubernetes（K8s）若是配置不當，很有可能曝露內部的機敏資訊。資安業者Cyble提出警告，他們近期發現至少有超過9萬個K8s實體（Instance）曝露於網際網路，當中又以位於美國的實體最多，高達6成5（58.5萬個），其次是有14%位於中國、9%於德國。</p> <p>而從這些K8s所使用的連接埠來看，又以443埠最多，約103.8萬個；10250埠其次，有23.1萬個。而這些曝露於網際網路上的K8s主機，研究人員發現有799個會直接對攻擊者公開（會向存取K8s的用戶端，發出錯誤代號200的回應），甚至有些知名公司所用的K8s主控台、管理儀表板並未啟用密碼保護，使得駭客無需密碼就有可能從從網際網路上存取K8s的重要元件，或是執行相關操作。但為何與上個月ShadowServer發現有38萬臺K8s的資料相差甚遠？研究人員認為，原因很可能與掃描的範圍有關。</p> <h3><strong style="font-size: 22px;"><a href="https://cip.gov.ua/en/news/chotiri-misyaci-viini-statistika-kiberatak"><span style="color: rgb(0, 0, 0);">烏克蘭自開戰以來遭到近800次網路攻擊</span></a></strong></h3> <p>自烏克蘭戰爭開打以來已經超過3個月，在此期間的網路攻擊不曾停歇，近期陸續有相關的統計資料出爐。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）於6月30日表示，該國自戰爭開始至今，總計有796次網路攻擊事件，其中最多的是針對政府機關，有197起，其次是104起針對國防與安全部門而來、55起鎖定金融服務業者、另各有54起針對商業機構與能源產業而來。從攻擊的目的來看，比例最高的是資訊收集，有242起，其次是惡意程式攻擊有192起。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf"><span style="color: rgb(0, 0, 0);">美西銀行的ATM被安裝側錄裝置</span></a></strong></h3> <p>駭客不只在網路環境進行交易資料的側錄，也有針對實際環境下手的情況。法國巴黎銀行（BNP Paribas）美國子公司美西銀行於6月23日，向客戶提出警告，指出他們發現駭客在自動櫃員機（ATM）上部署了側錄裝置，可能有用戶的簽帳卡（Debit Card）資料遭竊。該公司最初察覺異狀是在去年11月，他們的資安團隊發現，有數個未經授權的帳號嘗試提款，於是該公司向警方通報，並著手檢查自家ATM的網路，結果發現，駭客已在數臺ATM上安裝了側錄裝置，這些裝置不只會記錄卡號、PIN碼，還有可能會干預簽帳卡的交易。</p> <p>該公司移除了有問題的ATM並著手調查，並呼籲用戶應時常留意自己戶頭的狀態，並承諾戶頭的存款若是遭到盜領或盜刷，他們將吸收相關損失。</p> <h3><strong style="font-size: 22px;"><a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea的服務供應商員工濫用權限，該市集用戶的電子郵件信箱外洩</span></a></strong></h3> <p>大型NFT市集因內部採用的服務供應商員工濫用權限，而使得客戶的資料外洩。NFT市集OpenSea於6月29日發布資安通告，指出他們的電子郵件服務供應商Customer.io，有員工的權限遭到濫用，下載並外流OpenSea用戶的電子郵件信箱，該公司指出，即使是只有訂閱他們電子報的用戶也會受到影響。</p> <p>不過，OpenSea並未說明Customer.io是如何濫用權限，但此電子郵件服務業者向新聞網站TechCrunch表示，此事是具備特殊權限的員工所為，他們已註銷相關權限並予以停職。OpenSea呼籲用戶要提高警覺，留意可能會衍生的網路釣魚攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/revive-from-spyware-to-android-banking-trojan"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Revive疑似透過攔截簡訊來繞過雙因素驗證</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot 2022-06-27 at 14_11_58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot%202022-06-27%20at%2014_11_58.png" style="width: 300px; float: right;" /></a>駭客使用木馬程式對銀行用戶手機下手的情況，現在也變得更加針對特定銀行而來，甚至有機會突破雙因素驗證機制。資安業者Cleafy近期揭露名為Revive的安卓金融木馬程式，該軟體鎖定西班牙BBVA銀行用戶而來，並宣稱為了提升安全性，用戶必須安裝附加元件來進行強化。</p> <p>駭客為了讓對方相信確有其事，不只為該元件建置了專屬網站，還有教學影片解析整個安裝流程。一旦受害者照做，手機就會被安裝木馬程式Revive，然後要求授予此App存取簡訊與通話的權限，而這個惡意程式平時是在後臺執行的鍵盤側錄工具，記錄受害者輸入的內容，並定期傳送到C2。</p> <p>研究人員指出，駭客透過冒牌的銀行登入網頁來取得帳密，然後再攔截特定簡訊，藉此繞過雙因素驗證（MFA）流程，雖然這個惡意程式處於早期開發階段，但已具備繞過銀行身分驗證措施的能力而不容輕忽。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><span style="color: rgb(0, 0, 0);">美國警告駭客利用PwnKit漏洞發動攻擊，要求聯邦機構限期修補</span></a></strong></h3> <p>研究人員於今年年初，揭露存在於Linux系統元件Polkit的重大漏洞CVE-2021-4034（PwnKit），如今已出現了攻擊行動。美國網路安全暨基礎設施安全局（CISA）於6月27日，將PwnKit列為已遭利用的漏洞，並要求聯邦機構限期於7月18日前進行修補。</p> <p>由於這項漏洞影響所有版本的Linux，且公布時已存在長達12年，一旦駭客將其利用就有機會以root權限執行程式碼。CISA雖表明已掌握相關攻擊行動的證據，但沒有說明受害範圍等其他細節。</p> <h3><strong style="font-size: 22px;"><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/"><span style="color: rgb(0, 0, 0);">研究人員揭露損害程度比擬Heartbleed的OpenSSL的漏洞，恐導致記憶體損壞</span></a></strong></h3> <p>開源加密程式庫OpenSSL甫於6月21日發布3.0.4版，但有研究人員發現當中新的弱點，且可能會導致比Heartbleed更嚴重的後果。資安研究人員Guido Vranken揭露OpenSSL 3.0.4版存在的漏洞，一旦攻擊者觸發該漏洞，就有可能遠端執行程式碼，並強調遭到利用的後果可能會非常嚴重，有可能超越Heartbleed。</p> <p>不過，這項漏洞僅存在於特定版本OpenSSL，擁有許多用戶的1.1.1版，以及其他衍生的加密程式庫BoringSSL、LibreSSL都不受影響；再者，則是這項漏洞必須在支援AVX512指令集上的64位元Intel電腦才能觸發。OpenSSL已經著手修補，但尚未發布新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/zimbra-pre-auth-rce-via-unrar-0day/"><span style="color: rgb(0, 0, 0);">Zimbra網頁郵件伺服器的UnRAR元件漏洞恐被駭客用於攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png" style="width: 300px; float: right;" /></a>開源的協作平臺Zimbra，自去年底遭駭客組織TEMP_Heretic鎖定，利用零時差漏洞發動攻擊，使得相關漏洞引起不少研究人員關注。</p> <p>最近資安業者SonarSource發現了零時差漏洞CVE-2022-30333，這漏洞與Zimbra採用的UnRAR元件有關，此元件的開發者，就是推出了知名解壓縮軟體WinRAR的廠商RARLab。CVE-2022-30333是文件寫入漏洞，一旦攻擊者加以利用，就有機會在Zimbra的郵件伺服器上發送或收取郵件，並用來暗中竊取使用者的帳密，甚至有可能進一步利用這些帳密存取受害組織的其他內部應用系統。</p> <p>研究人員將上述漏洞通報了RARLab與Zimbra，前者發布了UnRAR新版6.12版予以修補，後者則調整Amavis服務的配置，改以7-Zip解壓縮RAR檔案來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/"><span style="color: rgb(0, 0, 0);">FabricScape容器逃逸漏洞恐讓攻擊者能讓駭客挾持Azure Service Fabric管理的Linux叢集</span></a></strong></h3> <p>提供建置微服務的系統一旦出現漏洞，有可能危害用戶的容器。資安業者Palo Alto Networks揭露名為FabricScape的容器逃逸漏洞（CVE-2022-30137），存在於微軟微服務應用系統平臺Azure Service Fabric，一旦遭到攻擊者利用，就有可能在Azure叢集執行程式，甚至是接管Linux叢集。</p> <p>雖然微軟將FabricScape列為中度風險漏洞，但此微服務代管了逾百萬應用程式，同時也是Azure許多服務的底層架構，例如，Azure SQL Database、Azure CosmosDB、Cortana，以及Power BI等。微軟已於6月的每月例行修補（Patch Tuesday）修補上述漏洞。研究人員指出，這項漏洞僅影響Linux容器，無法透過Windows容器觸發。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/brocade-vulnerabilities-could-impact-storage-solutions-several-major-companies"><span style="color: rgb(0, 0, 0);">Brocade軟體漏洞恐波及儲存區域網路解決方案</span></a></strong></h3> <p>網通業者Brocade於6月22日發布資安通告，指出他們發布了旗下儲存區域網路（SAN）管理系統SANnav的2.2.0.2版與2.1.1.8版，來修補9個漏洞，其中的CVE-2022-28167、CVE-2022-28168，以及CVE-2022-28166與該軟體本身相關，這些漏洞的CVSS評分為7.5至8.5分，一旦遭利用，攻擊者有機會從事件記錄檔案取得交換器與伺服器的密碼，或是透過靜態加密金鑰來竊取機敏資料，該公司指出，上述漏洞尚未出現被用於攻擊行動的跡象，亦不影響Fabric OS與ASCG兩套軟體。</p> <p>不過，這些漏洞有可能波及其他合作廠商的儲存解決方案，例如，HPE發布公告指出，旗下B系列SANnav管理入口系統受到相關漏洞影響；NetApp也發布相關公告，但該公司自己的產品似乎不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2"><span style="color: rgb(0, 0, 0);">甲骨文花了6個月修補Fusion Middleware的重大漏洞</span></a></strong></h3> <p>大型IT業者對於企業軟體漏洞處理牛步，很可能使得用戶曝險時間變長。資安業者VNG的研究人員PeterJson，與另一家資安業者VNPT的研究人員Nguyen Jang聯手，在去年10月發現Fusion Middleware的漏洞，分別影響Oracle Access Manager（OAM）的伺服器端請求偽造（SSRF）漏洞CVE-2022-21497，以及影響Oracle JDeveloper的ADF Faces Framework框架元件的RCE漏洞CVE-2022-21445。甲骨文先後於今年1月的2022年第1季的例行修補、4月的第2季例行修補提供更新軟體，研究人員呼籲用戶應儘速安裝相關修補程式。</p> <p>但研究人員指控，甲骨文處理的時間過長，已經超出業界常見的90天期限。尤其是CVE-2022-21445的CVSS風險評分高達9.8分，且攻擊者無須通過身分驗證就能利用，有機會藉此接管JDeveloper，研究人員進一步調查後發現，該公司旗下的Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management，以及ADF Faces Framework開發的網站也受到影響；另一個漏洞CVE-2022-21497的CVSS評分為8.1。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/news/2022/06/22/readout-cisas-third-cybersecurity-advisory-committee-meeting"><span style="color: rgb(0, 0, 0);">美國針對網路安全事故推出311專線</span></a></strong></h3> <p>為了提供中小企業對於資安事故的幫助，美國開始有人提倡應推出類似911的專線服務。美國網路安全暨基礎設施安全局（CISA）於6月22日，在德州舉行網路安全諮詢委員會議，這是自2021年12月開始舉辦後的第3次會議，其中有項提議相當引人關注，那就是由蘋果資訊安全副總裁George Stathakopoulos提出的311全國專線，這支電話成立的目的，就是為了在資安防護上資源較為有限的中小企業，提供即時的資安訓練資源。</p> <p>此外，311專線也有機會協助當局追蹤攻擊事件──因為，許多私人企業有可能在發生事故時拒絕向政府通報，使得CISA與美國聯邦調查局（FBI）難以進一步追查駭客的行蹤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-hacking-spree-breaches-over-40-orgs-in-a-month/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti一個月攻陷逾40個組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-finally-shuts-down-data-leak-negotiation-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti關閉公布受害者資料的網站</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-ransomware-attack-on-med-university-of-innsbruck/"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society聲稱攻陷了奧地利醫學院</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/macmillan-shuts-down-systems-after-likely-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型出版業者Macmillan疑遭勒索軟體攻擊，被迫關閉系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/"><span style="color: rgb(0, 0, 0);">不只鎖定烏克蘭！俄羅斯亦對於逾40個國家下手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cnbc.com/2022/06/30/cyberattack-hits-norway-pro-russian-hacker-group-suspected.html"><span style="color: rgb(0, 0, 0);">挪威遭到網路攻擊，疑親俄羅斯駭客所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/return-evilnum-apt-updated-ttps-and-new-targets"><span style="color: rgb(0, 0, 0);">駭客組織Evilnum鎖定從事移民業務的組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/cyberattack-forces-iran-steel-company-halt-production"><span style="color: rgb(0, 0, 0);">伊朗鋼鐵公司遭到網路攻擊被迫停止生產</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/06/28/tencent_qq_qr_code_attack/"><span style="color: rgb(0, 0, 0);">騰訊坦承用於登入即時通訊軟體QQ的QR Code遭駭</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sekoia.io/raccoon-stealer-v2-part-1-the-return-of-the-dead/"><span style="color: rgb(0, 0, 0);">竊密程式Raccoon東山再起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/research/ytstealer-malware-youtube-cookies/"><span style="color: rgb(0, 0, 0);">惡意軟體YTStealer挾持YouTuber的帳號</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/nist-releases-new-macos-security-guidance-organizations"><span style="color: rgb(0, 0, 0);">NIST發布新版macOS資安指引</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/28/2022-cwe-top-25-most-dangerous-software-weaknesses"><span style="color: rgb(0, 0, 0);">美國針對25種最嚴重的漏洞提出警告</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151662"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 102，修補19個漏洞，並新增去除URL追蹤參數的功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/codesys-patches-11-flaws-likely-affecting-controllers-several-ics-vendors"><span style="color: rgb(0, 0, 0);">Codesys修補11個可能影響數個廠牌ICS控制器的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/chromium-browsers-vulnerable-to-dangling-markup-injection"><span style="color: rgb(0, 0, 0);">Google修補Chrome懸吊標記漏洞</span></a></span></strong></p> <p> </p> </div></div></div>
2022/7/2 09:21作者周峻佑https://www.ithome.com.tw/news/151732
傳染病大戰下的啟示
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新冠疫情的經歷讓人永生難忘，就像二次大戰改變我父母那一代對世界的認知，疫情也改變了我們看世界的角度。</p> <p>如何終結疫病大流行的威脅？我深信創新的力量。創新不只是採用新技術或研發新疫苗，也可以是新做法、新政策、新方案。說到創新，新技術不等同於創新，更需考量安全與效用，尤其是醫療相關領域的創新。</p> <p><span style="font-size:28px;"><strong>疫苗誠可貴，但解藥更關鍵</strong></span></p> <p>這次抗病毒之戰，我們創造了疫苗奇蹟，但疫苗誠可貴，要終結疫情、治療長新冠，解藥更關鍵。</p> <p>地塞米松是從1950年代就開始使用的類固醇，可讓新冠重症病患的死亡率減低將近三分之一，治療方式其實有點違反直覺︰它會抑制免疫系統的防禦反應。為何要抑制免疫系統？新冠肺炎一旦過了感染初期，最危險的其實不是病毒，而是免疫系統對病毒的反應。</p> <p>大部分人的免疫系統可在感染後的五、六天內，減少體內的病毒量。但之後免疫系統會變得過度活躍，引發激烈的發炎反應，稱為「細胞介素風暴」，也就是各種訊號蜂擁而起，促使血管滲出大量體液，進入各個重要器官（新冠肺炎造成的這種滲漏特別會傷害肺部）。這種血管內體液流失的現象也會造成低血壓的危險，進而引發器官衰竭和死亡。</p> <p>然而，地塞米松有個缺點，如果患者太早使用，會在免疫系統應當全力阻止病毒複製的當頭，抑制免疫系統。如此一來，會更容易出現併發症，或染上其他趁虛而入的病原。</p> <p>抗病毒藥瑞德西韋，原本是為了治療C型肝炎和呼吸道融合病毒而研發的。後來的研究顯示，瑞德西韋很明顯有助於治療病情尚未嚴重到需要住院的病患。但仍需要在患者發病早期以靜脈注射治療三天。</p> <p>索托維（Sotrovimab）是從SARS病患體內取出分離後改造的單株抗體，可用來治療目前已知所有的新冠變異株。這讓我們有理由保持樂觀，相信科學家將創造出可以作用在不同病毒變異株的廣效抗體。</p> <p>但新冠肺炎的抗體製作昂貴，也必須在有能力為病患注射的醫療單位使用，而且只能幫助剛確診的病患。</p> <p>為了拯救更多生命，許多研究人員開始尋找終極解藥，也就是價格便宜、容易施用、可有效治療不同變異株、能防止病患病情惡化的抗病毒藥物。2021年底，這些努力終於有了成果。</p> <p>默沙東研發出抗病毒的口服膠囊莫努匹拉韋（molnupiravir），可大幅降低高危險族群入院或死亡的風險。不久後，輝瑞推出第二種新冠口服藥物帕斯洛韋（Paxlovid）。高風險病患若一有症狀就服用，並佐以一種可延長藥效的藥物，病情惡化為重症或死亡的機率可減少將近90％。</p> <p>當疫情發生，找到有效療法非常關鍵。因為要讓大部分人口都能接種疫苗需很長一段時間，尤其有些疫苗需要施打兩劑，而且並非每個可以打疫苗的人都會選擇接種疫苗，而有些接種過疫苗的人還是遭突破性感染，倘若出現疫苗無法預防的突變株，我們還是希望手邊能有一些可用的療法。</p> <p>更何況有些病原會造成長期傷害，也就是所謂新冠長期症狀（長新冠）。有些人感染新冠幾個月後，症狀依舊嚴重，包括呼吸困難、疲累、頭痛、焦慮、抑鬱、「腦霧」的認知障礙。</p> <p>有效治療不僅可以降低醫院的負荷，避免院內病患過多，造成排擠效應以致一些原本能存活的患者喪命，當更好的療法可降低重症與死亡，政府就能放鬆對學校與商家的管制，減少對教育與經濟的衝擊。</p> <p>結合疫苗、準確篩檢、有效治療、即時物資配送，新科學與新作為可以改變許多人的生命與生計。</p> <p><span style="font-size:28px;"><strong>mRNA疫苗之母，從備受質疑到締造奇蹟</strong></span></p> <p>1980年代，卡塔林．卡里柯（Katalin Karikó）在匈牙利攻讀博士時，便深信可以將mRNA的微小絲縷注入細胞，讓身體自行製造解藥。</p> <p>mRNA的作用像是某種中間人，從DNA那兒攜帶製造蛋白質的指示來到細胞裡組成蛋白質的工廠。這過程有點像是餐廳服務生寫下你的點餐，送往廚房，讓廚師幫你做菜。</p> <p>比起傳統疫苗的作用機制，利用mRNA製造疫苗是全然不同的概念。</p> <p>許多傳統疫苗都是將想要防堵的病毒減毒或將死病毒注射到人體內。當免疫系統看到新形狀病毒，就會展開行動，並因此提高免疫力。在使用減毒病毒時，總是會面對一個問題，那就是它的毒性是否夠低，如果不夠低，可能會突變成會致病的病毒；倘若毒性太低，卻又無法誘發足夠的免疫反應，有些死病毒也有同樣的問題。</p> <p>mRNA疫苗背後的原理頗具巧思。既然mRNA會將DNA製造蛋白質的指令送給細胞廚房裡的廚師，我們是否能將訂單改變成標靶呢？疫苗若能教導你的細胞製造出可以配對病毒結構的蛋白質結構，就可誘發你的免疫系統，而不需要將病毒本身注入體內了。</p> <p>只要做得出來，mRNA疫苗顯然比傳統疫苗更具優勢。一旦做出目標病毒所有蛋白質的圖譜，就能決定要讓抗體抓住哪個部分。接著你可以研究病毒的基因碼，找出製造該蛋白質的指令，然後用mRNA將這段密碼放在疫苗中。之後你若想攻擊不同的蛋白質，只要改變mRNA就好了。這個設計過程，只需要花幾週的時間。你只要跟服務生點薯條，而非沙拉，接下來免疫系統就會自行接手。</p> <p>唯一的問題是，過去沒有人以mRNA製造過疫苗，甚至這個領域的人都覺得這概念太瘋狂，不值一試。</p> <p>1993年，在賓州大學做研究的卡里柯有個重要進展：用很聰明的方法改變了一段修飾的mRNA，避開人類細胞的防禦系統，讓人類細胞製造出少量新的蛋白質。這是項重大突破，這表示若能量產，就可以用mRNA治療癌症。卡里柯一開始的研究重點不是疫苗，但其他研究人員看到以此製造疫苗的可能性。</p> <p>可惜的是，卡里柯的老闆離開學界，加入一家生技公司，她的研究因此停擺。她不再有自己的實驗室，也沒有經費可繼續研究。雖然一再申請計畫補助，卻屢次慘遭回絕。1995年，是特別令人氣餒的一年。她罹患癌症，還被大學降職。</p> <p>但卡里柯仍不屈不撓，儘管聯邦政府或私人公司幾乎沒人想嘗試用mRNA製造疫苗，大藥廠嘗試過卻都失敗，科學界也都認為，我們可能永遠無法用mRNA誘發體內足夠的免疫反應。</p> <p>2014年，卡里柯加入BioNTech，開始研發對治癌症的mRNA疫苗。早期的努力並沒有得到成果。然而，卡里柯堅持了下來。新冠疫情爆發後，她和團隊成員馬上著手針對這個新病毒研發疫苗。</p> <p>他們下對了賭注。只要取得病毒基因組的圖譜，就能在幾週內研發出mRNA疫苗，這個概念證實是對的。</p> <p>2020年3月，在科學家定序出新冠病毒基因組的六週後，莫德納公司宣布已找出一個mRNA候選疫苗，並開始執行臨床試驗。12月31日，BioNTech與輝瑞合作製造的mRNA疫苗得到WHO緊急使用的許可。</p> <p>卡里柯數十年的努力終於有了成果。mRNA疫苗對新冠疫情的影響不容小覷。未來若疫情再度爆發，mRNA幾乎肯定是新疫苗的關鍵技術。<span style="color:#696969;"><strong>（本文摘錄整理自《如何避免下一場大流行病》，天下雜誌出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%982.jpg" style="width: 340px;" /></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <strong><span style="color: rgb(51, 153, 255);">如何避免下一場大流行病：比爾‧蓋茲解析疫後新未來</span></strong></p> <p>比爾‧蓋茲（Bill Gates）／著；鄭方逸、張靖之／譯</p> <p>天下雜誌出版</p> <p>定價：600元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A4%A7%E6%B5%81%E8%A1%8C%E7%97%85_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%93%8B%E8%8C%B2%E5%9F%BA%E9%87%91%E6%9C%83.jpg" style="width: 200px;" /></p> <p><span style="font-size:14px;"><a href="https://www.gatesfoundation.org/about/leadership/bill-gates" target="_blank"><span style="color:#696969;">圖片來源／蓋茲基金會</span></a></span></p> <p><strong>比爾‧蓋茲（Bill Gates）</strong></p> <p>科技人、企業領袖和慈善家，1975年與兒時玩伴保羅．艾倫（Paul Allen）共同創辦微軟（Microsoft），目前擔任蓋茲基金會（Bill & Melinda Gates Foundation）的共同會長，長達二十餘年都致力於全球衛生與發展的工作，包括預防疫病大流行、消滅疾病、水質問題、公共衛生、衛生保健等議題。</p> <p>有暢銷書《如何避免氣候災難》等著作。</p> </div></div></div>
2022/7/2 07:00未署名https://www.ithome.com.tw/article/151698
微軟揭開Android收費詐騙程式的面紗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365 Defender研究團隊<a href="https://www.microsoft.com/security/blog/2022/06/30/toll-fraud-malware-how-an-android-application-can-drain-your-wallet/#Mitigating-toll-fraud" target="_blank">在本周發表了有關Android收費詐騙程式（Toll Fraud）的研究報告</a>，指出它雖然是Google Play上市占率第二高的惡意程式，卻顯少有業者分享相關資訊，使得該團隊決定揭露收費詐騙程式的手法，以及如何辨識及預防。</p> <p>Google在2017年至2019年間，總計自Google Play上移除了1,700款含有Joker惡意程式的Android程式，Joker即為收費詐騙的惡意程式家族，<a href="https://transparencyreport.google.com/android-security/store-app-safety" target="_blank">根據Google今年第一季的統計</a>，在Google Play上出現的惡意程式中，最多的是占了47.3%的間諜程式，其次即是收費詐騙程式，占了34.8%。</p> <p>收費詐騙的手法一般是鎖定特定的電信網路，將使用者導向一個訂閱網站，並按下訂閱，之後按月由使用者的電信帳單付款，這中間使用者幾乎都是毫無察覺的，一直到發現帳單上的異樣。</p> <p>Microsoft 365 Defender團隊說明，駭客通常是利用無線應用通訊協定（Wireless Application Protocol，WAP）來展開收費詐騙，WAP是個付款機制，讓消費者可訂閱網站服務並透過電信帳單付款，詐騙手法始於必須讓使用者透過電信網路連至提供付費服務的網站，之後使用者還必須點擊訂閱按鍵，有時會收到必須回傳給電信業者的一次性密碼以確認訂閱，但有些電信營運商則不要求使用者回傳一次性密碼。</p> <p>因此，駭客會想辦法關閉手機的Wi-Fi連線或等待使用者切換至行動網路，再偷偷地連至訂閱頁面，藉由程式自動點擊訂閱按鍵，攔截系統傳送的一次性密碼，再將密碼回傳給電信營運商，並取消訂閱的簡訊通知。這一連串的手法有些複雜，但並非無法辦到。</p> <p>而為了進駐Google Play，駭客經常使用熱門類別且方便植入木馬的開源程式，例如桌布程式、通訊程式或編輯程式等，而且一開始上傳至Google Play上的版本是乾淨的，直到下載量達到一定的數目，之後便藉由更新機制動態地載入惡意程式碼，同時還會刻意區隔原本程式與惡意流量，以避免被偵測。</p> <p>不管是哪一種熱門程式，只要被駭客用來進行收費詐騙的程式都有些共同特性，例如所要求的權限超出程式功能，包括要求可監控系統通知欄位的Notification Listener Service權限，或是要求寄送簡訊的權限等，此外，它們多半有一致的使用者介面、圖示或按鍵，擁有類似的封包名稱，採用可疑的開發者檔案（假的開發者名稱與電子郵件位址），以及收到許多使用者抱怨的評論。</p> <p>微軟建議，要閃躲收費詐騙的首要之務就是避免自不可靠的來源安裝程式，在不理解程式為何需要的狀態下不要提供簡訊、存取系統通知欄位，或是存取無障礙服務的授權，下載之前最好先瀏覽程式的評論，安裝可偵測惡意程式的解決方案，且在裝置失去安全更新時考慮換一支手機。</p> <p>雖然Google持續強化Android平臺的安全與隱私，但收費詐騙程式依然能夠辨識特定的行動網路，也能在使用者不知情的狀況透過行動網路傳送流量，還能請求使用者賦予讀取及關閉簡訊的權限，意謂著Google尚有可改善之處。</p> </div></div></div>
2022/7/1 22:21作者陳曉莉https://www.ithome.com.tw/news/151727
俄羅斯駭客鎖定挪威政府及私人網站展開DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nsm.no/aktuelt/malrettede-tjenestenektangrep-mot-norske-nettsteder" target="_blank">挪威的國家安全局（National Security Authority，NSM）在29日指出</a>，有多個當地的大型企業在24小時內遭到服務阻斷攻擊，造成某些重要的網站及服務無法存取，並宣稱背後的黑手應該是親俄羅斯的駭客組織。此外，挪威的國家資料網路也遭到攻擊。</p> <p>NSM表示，相關攻擊鎖定的是提供當地人口重要服務的大型企業，有鑑於挪威也是可能與俄羅斯交惡的北約成員國，NSM在今年5月便要求當地企業必須提防服務阻斷攻擊。</p> <p>NSM局長Sofie Nystrøm指出，最近已於其它國家看到類似的攻擊，儘管都沒有持續，但這類的攻擊一樣會帶來不確定性，突顯了挪威也處於歐洲目前政治局勢之中。</p> <p>挪威並非歐盟成員國，但同樣反對俄羅斯入侵烏克蘭的戰爭行為，也響應了歐盟對俄羅斯的制裁，因此，許多媒體皆揣測，親俄羅斯的駭客集團之所以攻擊挪威，是為了報復日前挪威不准俄羅斯過境該國，以將食物與設備送至北極圈內的斯瓦爾巴群島。</p> </div></div></div>
2022/7/1 22:26作者陳曉莉https://www.ithome.com.tw/news/151728
Google封鎖了數十個涉及駭客租賃服務的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/countering-hack-for-hire-groups/" target="_blank">Google本周指出</a>，已透過Safe Browsing服務封鎖了遭到駭客租賃服務所利用的數十個網域，並公布駭客租賃服務的生態。</p> <p>Google的威脅分析小組（Threat Analysis Group，TAG）不僅長期追蹤位於全球的逾30家商業駭客公司，亦密切觀察日益茁壯的駭客租賃（hack-for-hire）服務，前者主要銷售駭客工具或能力予客戶，並由客戶自行操作，而後者則是直接代客攻擊，不管是哪一種，都是替原本缺乏攻擊能力的客戶提供服務。</p> <p>此外，相較於商業駭客公司，駭客租賃服務的客戶需求更加的五花八門，目標對象可能是人權擁護者、政治活動家、記者，也可能只是一般民眾，或是訴訟案中的主角，也有攻擊目標是賽普勒斯的IT公司、奈及利亞的教育組織、巴爾幹半島的金融科技公司，或者是以色列的購物公司。</p> <p>TAG發現，有的駭客租賃服務光明正大地在各大地下論壇攬客，有的則相對低調，僅提供特定客戶服務，例如有些位於印度的駭客租賃服務只與某些私人調查服務合作，也有些印度駭客租賃服務會延攬自由工作者。</p> <p>本周TAG主要公布了在印度、俄羅斯與阿拉伯聯合大公國的駭客租賃服務，例如在印度發現有些從事駭客租賃服務的駭客曾在當地知名資安公司工作過，他們有一波的攻擊行動鎖定沙烏地阿拉伯、阿拉伯聯合大公國與巴林的政府、醫療照護及電信領域，針對這些領域的目標對象發動網釣攻擊以竊取憑證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-hack-for-hire-600-1(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>在俄羅斯發現的駭客租賃服務也是為了竊取電子郵件或社交網站的憑證，目標則涵蓋歐洲的記者與政治活動家，或是非政府組織及非營利組織。</p> <p>由於這些駭客租賃服務絕大多數都是透過網釣來取得目標對象的憑證，因此它們也建立了不少仿冒合法網域名稱的網釣網站，Google則已將這數十個網域名稱全數列入了Safe Browsing中，以協助瀏覽器用戶躲過這些惡意網站。</p> <p>Safe Browsing為Google所建立的惡意網站資料庫，包括 Google Chrome、Safari、Firefox、Vivaldi及Brave等眾多瀏覽器，都已採用該資料庫來保障用戶的安全。</p> </div></div></div>
2022/7/1 22:49作者陳曉莉https://www.ithome.com.tw/news/151729
【資安日報】2022年7月1日，駭客鎖定政府機關與NGO的Exchange伺服器下手、有人針對協作平臺Confluen…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，漏洞攻擊的事故占有相當高的比例。其中，去年3月被發現的Exchange Server重大漏洞ProxyLogon，當時有許多組織察覺遭到相關攻擊，而在今天的資安新聞裡，有駭客組織也從漏洞被公布的時候開始，將其用來對全球政府機關、軍事單位、NGO出手，暗中植入後門程式SessionManager，但直到最近才有研究人員察覺其攻擊行動。</p> <p>駭客組織8220鎖定Atlassian Confluence零時差漏洞CVE-2022-26134的攻擊行動，6月上旬就有資安業者提出警告，但最近又有新的發現，這些駭客同時也對Oracle WebLogic的RCE漏洞CVE-2019-2725下手，來入侵更多Linux主機。</p> <p>Follina漏洞不斷出現被駭客用於散布惡意程式的情況，最近有竊密軟體XFlies也加入利用此漏洞的行列，而引起研究人員的關注。比較值得留意的是，駭客利用加密通訊軟體Telegram將竊得資料回傳，而使得攻擊來源可能難以追蹤。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-discovers-poorly-detected-backdoor-targeting-governments-and-ngos-around-the-globe"><span style="color: rgb(0, 0, 0);">駭客鎖定全球政府與NGO，攻擊Exchange Server並植入後門</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The_SessionManager_IIS_backdoor_01.png" style="width: 300px; float: right;" /></a>有駭客針對Exchange Server，自ProxyLogon漏洞爆發後，利用後門程式發動攻擊超過一年才被發現。</p> <p>資安業者卡巴斯基最近揭露自今年4月下旬發現的攻擊行動，駭客組織Gelsemium從2021年3月開始，利用名為SessionManager的IIS後門程式，攻擊政府機關、非政府組織（NGO）、軍事單位，以及工廠下手，受害者遍及非洲、南美、亞洲、歐洲、俄羅斯，以及中東。</p> <p>研究人員指出，他們在調查的過程中發現，迄今仍有24個組織裡、34臺Exchange Server，仍存在上述後門程式，並強調此惡意軟體現在仍能逃過「知名的檔案掃描服務」檢測。</p> <p>一旦駭客藉由SessionManager入侵受害組終的網路環境後，就能存取該組織的電子郵件，或是部署其他惡意軟體來發動第二階段攻擊，這些被感染的Exchange Server也可能被駭客當作基礎設施運用。研究人員提出警告，呼籲組織仔細檢查Exchange Server是否被植入惡意工具，來避免遭到相關攻擊卻不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1542281805549764608"><span style="color: rgb(0, 0, 0);">駭客組織8220利用Atlassian Confluence漏洞進行挖礦攻擊</span></a></strong></h3> <p>在1個月前，Atlassian Confluence零時差漏洞CVE-2022-26134被公布後，有不少駭客組織相繼用於發動攻擊，其中有一個駭客組織8220，同時也運用了其他應用系統的漏洞，引起研究人員的關注。</p> <p>微軟於6月30日，針對駭客組織8220的攻擊行動提出警告，指出該組織長期鎖定Linux系統而來，且最近的攻擊行動，就是利用CVE-2022-26134漏洞來做為初期入侵受害組織的管道，進而部署挖礦軟體pwnRig（1.41.0版）與IRC機器人，來接收C2伺服器的命令，並利用IP掃描工具找尋網路環境裡其他的SSH伺服器，並使用Go語言打造的暴力破解工具spirit散布。</p> <p>此外，駭客也藉由cronjob、nohup等命令建立排程工作，並設置每60秒就執行一次，而使得挖礦軟體和IRC機器人在Linux伺服器重開機後，仍能繼續運作。但除了上述的Atlassian Confluence漏洞之外，研究人員發現，該組織也可能利用Oracle WebLogic的RCE漏洞CVE-2019-2725，來入侵受害組織。</p> <p>這個駭客組織鎖定Atlassian Confluence漏洞的挖礦攻擊行動，在6月9日<a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/">資安業者Check Point曾提出相關發現並提出警告</a>，該公司指出，駭客也利用相同的漏洞，對Windows電腦上植入惡意指令碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/xfiles-info-stealing-malware-adds-support-for-follina-delivery/"><span style="color: rgb(0, 0, 0);">竊密軟體XFiles加入利用Follina漏洞的能力</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xfiles-logs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xfiles-logs.png" style="width: 300px; float: right;" /></a>與Windows診斷工具MSDT有關的漏洞CVE-2022-30190（Follina），微軟於6月14日推修補程式後，有駭客持續將其用於攻擊行動。資安業者Cyberint發現，名為XFiles的竊密軟體，駭客近期新增了新的模組，這個模組的功能就是利用上述的漏洞Follina，將惡意酬載下載到受害電腦並執行。</p> <p>研究人員看到駭客疑似透過垃圾郵件挾帶惡意文件檔案，此文件檔案包含OLE物件，並連結外部的HTML檔案，該HTML檔案的程式碼內容，就包含了利用Follina的JavaScript指令碼。一旦受害者打開文件檔案，就有可能觸發指令碼，並對電腦下達以Base64編碼的PowerShell命令來執行惡意程式，然後，駭客使用ChimLacUpdate.exe這隻程式進行第二階段攻擊，此程式包含了硬編碼加密的Shell Code與AES解密金鑰，藉由API呼叫的方式解密Shell Code並執行，最終使得受害電腦感染XFIles。</p> <p>此竊密軟體會搜刮在網頁瀏覽器和加密貨幣錢包的帳密資料，亦會截取螢幕畫面、收集加密通訊軟體Discord和Telegram的帳密等，並將竊得的資料透過Telegram傳送到駭客手上。</p> <h3><strong style="font-size: 22px;"><a href="https://cip.gov.ua/en/news/chotiri-misyaci-viini-statistika-kiberatak"><span style="color: rgb(0, 0, 0);">烏克蘭自開戰以來遭到近800次網路攻擊</span></a></strong></h3> <p>自烏克蘭戰爭開打以來已經超過3個月，在此期間的網路攻擊不曾停歇，近期陸續有相關的統計資料出爐。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）於6月30日表示，該國自戰爭開始至今，總計有796次網路攻擊事件，其中最多的是針對政府機關，有197起，其次是104起針對國防與安全部門而來、55起鎖定金融服務業者、另各有54起針對商業機構與能源產業而來。從攻擊的目的來看，比例最高的是資訊收集，有242起，其次是惡意程式攻擊有192起。</p> <h3><strong style="font-size: 22px;"><a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea的服務供應商員工濫用權限，該市集用戶的電子郵件信箱外洩</span></a></strong></h3> <p>大型NFT市集因內部採用的服務供應商員工濫用權限，而使得客戶的資料外洩。NFT市集OpenSea於6月29日發布資安通告，指出他們的電子郵件服務供應商Customer.io，有員工的權限遭到濫用，下載並外流OpenSea用戶的電子郵件信箱，該公司指出，即使是只有訂閱他們電子報的用戶也會受到影響。</p> <p>不過，OpenSea並未說明Customer.io是如何濫用權限，但此電子郵件服務業者向新聞網站TechCrunch表示，此事是具備特殊權限的員工所為，他們已註銷相關權限並予以停職。OpenSea呼籲用戶要提高警覺，留意可能會衍生的網路釣魚攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/zimbra-pre-auth-rce-via-unrar-0day/"><span style="color: rgb(0, 0, 0);">Zimbra網頁郵件伺服器的UnRAR元件漏洞恐被駭客用於攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/691997f4-77a9-471c-bf87-3b707d51504e_Zimbra_Blog%2BDiagram%402x.png" style="width: 300px; float: right;" /></a>開源的協作平臺Zimbra，自去年底遭駭客組織TEMP_Heretic鎖定，利用零時差漏洞發動攻擊，使得相關漏洞引起不少研究人員關注。</p> <p>最近資安業者SonarSource發現了零時差漏洞CVE-2022-30333，這漏洞與Zimbra採用的UnRAR元件有關，此元件的開發者，就是推出了知名解壓縮軟體WinRAR的廠商RARLab。CVE-2022-30333是文件寫入漏洞，一旦攻擊者加以利用，就有機會在Zimbra的郵件伺服器上發送或收取郵件，並用來暗中竊取使用者的帳密，甚至有可能進一步利用這些帳密存取受害組織的其他內部應用系統。</p> <p>研究人員將上述漏洞通報了RARLab與Zimbra，前者發布了UnRAR新版6.12版予以修補，後者則調整Amavis服務的配置，改以7-Zip解壓縮RAR檔案來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/brocade-vulnerabilities-could-impact-storage-solutions-several-major-companies"><span style="color: rgb(0, 0, 0);">Brocade軟體漏洞恐波及儲存區域網路解決方案</span></a></strong></h3> <p>網通業者Brocade於6月22日發布資安通告，指出他們發布了旗下儲存區域網路（SAN）管理系統SANnav的2.2.0.2版與2.1.1.8版，來修補9個漏洞，其中的CVE-2022-28167、CVE-2022-28168，以及CVE-2022-28166與該軟體本身相關，這些漏洞的CVSS評分為7.5至8.5分，一旦遭利用，攻擊者有機會從事件記錄檔案取得交換器與伺服器的密碼，或是透過靜態加密金鑰來竊取機敏資料，該公司指出，上述漏洞尚未出現被用於攻擊行動的跡象，亦不影響Fabric OS與ASCG兩套軟體。</p> <p>不過，這些漏洞有可能波及其他合作廠商的儲存解決方案，例如，HPE發布公告指出，旗下B系列SANnav管理入口系統受到相關漏洞影響；NetApp也發布相關公告，但該公司自己的產品似乎不受影響。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/28/2022-cwe-top-25-most-dangerous-software-weaknesses"><span style="color: rgb(0, 0, 0);">美國針對25種最嚴重的漏洞提出警告</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cnbc.com/2022/06/30/cyberattack-hits-norway-pro-russian-hacker-group-suspected.html"><span style="color: rgb(0, 0, 0);">挪威遭到網路攻擊，疑親俄羅斯駭客所為</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/return-evilnum-apt-updated-ttps-and-new-targets"><span style="color: rgb(0, 0, 0);">駭客組織Evilnum鎖定從事移民業務的組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/macmillan-shuts-down-systems-after-likely-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型出版業者Macmillan疑遭勒索軟體攻擊，被迫關閉系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/codesys-patches-11-flaws-likely-affecting-controllers-several-ics-vendors"><span style="color: rgb(0, 0, 0);">Codesys修補11個可能影響數個廠牌ICS控制器的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/chromium-browsers-vulnerable-to-dangling-markup-injection"><span style="color: rgb(0, 0, 0);">Google修補Chrome懸吊標記漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151686">【2022年6月30日】中國駭客意圖藉由社群網站干預美國取得稀土金屬的計畫、大型連鎖超市Walmart傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151669">【2022年6月29日】駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartbleed的OpenSSL漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> </div></div></div>
2022/7/1 17:03作者周峻佑https://www.ithome.com.tw/news/151725
日本尼崎市外包商因遺失存放民眾個資的USB釀風波，IT業務未經授權被層層分包成資安隱憂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本兵庫縣尼崎市政府在6月下旬，發生一起資料外洩事件，是市府委外業者發生疏失，其員工將46萬民眾個資存放USB隨身碟攜出以轉移資料，直到隨身碟遺失，市府召開記者會，使此事曝光，且整起事件持續引發熱議。</p> <p>在6月23日中午，尼崎市政府與資訊服務公司Biprogy召開記者會坦承過失，Biprogy亦在同日於自家公司網站，發布資安事件公告說明這次資料外洩情況，儘管隨身碟的檔案有加密保護，隔日24日也被當地警方尋回，資料看似未有外流情況，然而，在這起事件之下，還發生官員缺乏資安意識不足，在尋回USB隨身碟之前，於直播記者會上洩漏密碼線索相關資訊，後續更揭開資訊業者違反合約將工作層層轉包給其他廠商的離譜情況。</p> <p>這樣的事件不僅受到國際新聞媒體的報導，如何確保各種IT業務委外之後的資安，也成為眾所關注的議題。</p> <h3><strong>外包商相關職員擅自攜出46萬民眾個資的隨身碟，發生裝置遺失狀況</strong></h3> <p>因應疫情，為了向尼崎市居民發放特別福利津貼，Biprogy關西分公司的相關員工，在6月21日下午5時，將這批資料存放到個人USB隨身碟，打算帶至大阪吹田市進行資料轉移作業，在完成工作後，該職員與另外3名工作同事前往餐廳吃飯喝酒，直到晚間10時30分散會。</p> <p>隔日凌晨3點，該職員發現自己醉倒在大街上，並意識到攜帶的背包與USB隨身碟遺失，因此向公司請假，尋找未果後向警方報案，並於下午2時通知Biprogy，隨後公司進行調查，並於晚間9時向尼崎市政府報告。</p> <p>尼崎市官員指出，該員工未經許可將敏感資料以隨身碟帶出辦公室，有明顯缺失，而且，工作結束後也未立即刪除隨身碟的資料。Biprogy亦公布事件影響範圍，可能洩漏的個人資訊，包含：46.5萬市民個資、36.5萬市民稅務資料，以及7萬件領取福利與兒童津貼家庭的銀行帳戶號碼等。他們強調，該USB隨身碟有密碼保護，內容也都經過加密。</p> <p>但官員在23日記者會接受媒體提問時，又犯了另一個重大錯誤。他們</p> <p>面對記者追問USB密碼設定複雜度時，未警覺相關發言的可公開程度及資安風險，在USB尚未尋回的狀況下，竟不設防地透露了更多線索。</p> <p>例如，媒體一開始問到密碼的組成，是否為只有4位數字的簡單密碼？官員回答當中有13位英數字；接下來，他們問到：密碼採亂數是否可能造成麻煩？官員回答是由有意義的英文單字，加上有意義4位數字組成；關於密碼是否使用「password」這類單字的問題，官員表示，是對尼崎市來說有意義的單字；最後媒體又問到密碼是否有大寫？官員回答首字大寫。由於尼崎的拼音為Amagasaki，這讓日本民眾紛紛猜測，密碼很可能是Amagasaki2022。</p> <h3><strong>Biprogy列出4大問題癥結，說明發生過失的原因</strong></h3> <p>對於這次事件的來龍去脈，Biprogy在24日於官方網站，發出此事件的第二份資安公告，該公司坦承，原因出在未按照資訊安全規範操作程序手冊行動，也未經過尼崎市政府確認。</p> <p>他們同時列出四大問題癥結：一、資料移轉的審核程序未能落實，由於Biprogy並未說明資料轉移的具體方法與電子媒介，因此尼崎市政府不知道會使用USB隨身碟來轉移資料；第二應使用有保障的物流運輸公司，而不是由個人攜帶；第三，完成工作後，USB隨身碟中的資料應該立即刪除，負責執行的員工缺乏這方面的指示與確認；第四，工作結束後USB隨身碟就應該保存到指定的地方，但這方面並沒有相關指示與確認。即便他們對外公開檢討自己犯錯的原因，但並未解釋為何要選擇用隨身碟來轉移資料。</p> <p>在因應方式上，Biprogy為了找到疑似遺失的包包，派出員工四處搜尋，同時向警方提交遺失報告，向當地行政機關日本個人情報保護委員會報告此事件，並且透過電信業者確認包包中手機位置，以及監控暗網是否有相關資料外流，並說明改善方式，將從管理、營運與訓練三大面向，改善自身公司安全。</p> <h3><strong>政府發包業務竟被委外業者轉包，甚至分包商在轉包</strong></h3> <p>另一值得關注的焦點是，這次事件還揭開委外業者擅自外包帶來的資安隱憂，甚至發生層層外包的情況。</p> <p>根據Biprogy公司在6月24日的公告內容，遺失USB隨身碟的關係員工，是分包商的員工，因此不是外傳的尼崎市政府職員，而在記者會上，該公司其實曾透露此人是另一家IT廠商Aifront（株式会社アイフロント）的員工。</p> <p>到了26日，Biprogy發出更正說明，出現另一個意外的轉折，那就是指出他們將這次相關業務外包給Aifront公司，內容中並解釋了該關係員工的身分，其實是屬於Aifront公司的分包商，因此，這也意味著，遺失隨身碟的人員其實也不是Aifront的員工。</p> <p>換言之，原本這項資料遷移業務，是由市政府委外給Biprogy，而Biprogy接下案子後，卻擅自將業務委給Aifront，而Aifront又將這部分工作委托另一家公司的人員處理。</p> <p>然而，這次事件引發的風暴還不是上述兩個狀況。根據日本經濟新聞（Nikkei）在6月27日的報導，尼崎市臨時福利辦公室負責人表示，根據尼崎市與Biprogy的合約，如果Biprogy要將業務分包給第三方，需事先獲得市政府批准。而另一位尼崎市的官員表示，他們並沒有被告知Aifront已將工作外包給另一家公司。</p> <p>後續，日本時事新聞社（Jiji Tsūshinsha）報導則指出，尼崎市市長稻村和美在28日表示，將仔細審查此事，並會針對承包商採取適當行動，接下來將成立第三方委員會，並會在調查後考慮是否提出賠償要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%97%A5%E6%9C%AC%E5%B0%BC%E5%B4%8E%E5%B8%82%E5%A4%96%E5%8C%85%E5%95%86%E6%90%9E%E4%B8%9F%E5%90%AB46%E8%90%AC%E5%80%8B%E8%B3%87%E7%9A%84USB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AANTV%20NEWS24.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E6%97%A5%E6%9C%AC%E5%B0%BC%E5%B4%8E%E5%B8%82%E5%A4%96%E5%8C%85%E5%95%86%E6%90%9E%E4%B8%9F%E5%90%AB46%E8%90%AC%E5%80%8B%E8%B3%87%E7%9A%84USB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AATwitter.jpg" style="width: 450px;" /></p> <p><span style="color:#808080;"><strong>在23日的記者會上，由於尼崎市政府官員<a href="https://youtu.be/8kHJ4NviV0w?t=260">回答USB密碼安全強度問題時</a>，透露密碼不容易被猜到，卻提供了相當多且明確的線索，這讓不少日本網友紛紛猜測密碼很可能就是，Amagasaki2022，因為尼崎市的拼音就是Amagasaki。（圖片來源擷取自NTV NEWS24）</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%97%A5%E6%9C%AC%E5%B0%BC%E5%B4%8E%E5%B8%82%E5%A4%96%E5%8C%85%E5%95%86%E6%90%9E%E4%B8%9F%E5%90%AB46%E8%90%AC%E5%80%8B%E8%B3%87%E7%9A%84USB.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在資訊服務業者Biprogy的官方網站上，自6月23日即發布了針對這次USB遺失造成46萬市民個資外洩的資安事件公告，並在後續陸續更新相關消息，包括24日公布初步調查結果的說明，24日公布USB已經尋回，以及在26日發布資訊更正消息。</strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%97%A5%E6%9C%AC%E5%B0%BC%E5%B4%8E%E5%B8%82%E5%A4%96%E5%8C%85%E5%95%86%E6%90%9E%E4%B8%9F%E5%90%AB46%E8%90%AC%E5%80%8B%E8%B3%87%E7%9A%84USB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AABiprogy.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#808080;"><strong>在Biprogy在6月24日發布的第二份資料外洩事件公告中，說明了更多初步調查結果、目前行動與未來因應方式，當中也詳細記錄這次事件發生的過程。</strong></span></p> <p><span style="color:#808080;"><strong>簡單來說，一開始是在16日的每週例行會議上決定資料更新作業，到了21日下午5時，由分包商員工將帶有46萬市民的資料存放到USB隨身碟，前往水田市進行資料移轉。</strong></span></p> <p><span style="color:#808080;"><strong>在下午7時30分，作業完成，該職員便與另外3名同仁一同用餐喝酒，直到晚間10時30分散會。</strong></span></p> <p><span style="color:#808080;"><strong>隔日22日凌晨3時，當事人發現自己睡在大街，並意識到遺失了背包與USB隨身碟，之後向公司請假，直到22日下午2時才通知公司。Biprogy則在晚上9時向尼崎市政府報告。</strong></span></p> <p><span style="color:#808080;"><strong>接下來，23日早上11時，尼崎市政府召開記者會並向市民道歉，Biprogy於12時在市政府要求下，參與聯合記者會並說明原委。</strong></span></p> </div></div></div>
2022/7/1 18:17作者羅正漢https://www.ithome.com.tw/news/151726
蘋果前公司秘書Gene Levoff坦承內線交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-nj/pr/apple-s-former-director-corporate-law-admits-insider-trading" target="_blank">曾擔任蘋果公司秘書暨公司法總監的Gene Levoff本周坦承</a>，於蘋果任職時有長達5年的時間曾參與內線交易。Levoff被起訴了6項與證券詐欺有關的罪名，每一項的最高罰則都能讓他入獄20年。</p> <p>公司秘書為一家企業的關鍵管理人員之一，主要負責公司的效率管理，確保公司遵守各項法規與執行董事會決議。</p> <p>調查發現，今年48歲的Levoff在2011年2月至2016年4月之間，因職務之便盜用了非公開的蘋果財務資料，並於市場上交易蘋果股票，相關的交易不僅讓Levoff獲利22.7萬美元，也讓他避免了約37.7萬美元的損失。</p> <p>這是因為Levoff當時也是蘋果披露委員會的共同主席，該委員會的任務是在提交財報予美國證券交易委員會（SEC）之前，審核蘋果的季報與年報，於是Levoff便能根據這些尚未公開的資料，於財報披露前先行進行蘋果股票的交易，例如在得知財報超乎預期時就能事先買進股票，待市場反應之後再售出，或是在財報不如預期時先出售大量的蘋果股票以避免損失。</p> <p>其實Levoff不僅受到蘋果內部「禁售期」（blackout periods）規定的約束，亦即得在財報公開揭露之後才能交易股票，也明知自身的行為違反蘋果的內線交易政策（Insider Trading Policy），更多次警告他人不得於禁售期交易蘋果股票，自己卻多次觸法。</p> <p>Levoff的每項罪行都面臨最高20年的刑期，預期於今年11月宣判。</p> </div></div></div>
2022/7/1 15:27作者陳曉莉https://www.ithome.com.tw/news/151718
烏克蘭統計自開戰以來已遭到近800次網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭國家特殊通訊暨資訊保護服務（State Service of Special Communications and Information Protection，<a href="https://cip.gov.ua/en/news/chotiri-misyaci-viini-statistika-kiberatak" target="_blank">SSSCIP）本周四（6/30）公布了該國自2月24日遭到俄羅斯入侵以來，所遭受的網路攻擊事件統計數字</a>，顯示出這4個月該國總計遭到796次的網路攻擊。</p> <p>根據SSSCIP所公布的資料，796次的攻擊中，有179起是鎖定了該國與地方政府組織，104起是針對安全與國防部門，55起是針對金融服務，54起鎖定商業機構，另有54起鎖定能源產業。另有350起為其它。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-ukraine%20cyber%20war-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SSSCIP</span></span></p> <p>至於攻擊目的則有242起涉及資訊蒐集，192起是為了植入惡意程式，還有92起的入侵行動，82起展現了入侵企圖，以及56起的滲透事件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-ukraine%20cyber%20war-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SSSCIP</span></p> <p><a href="https://www.ithome.com.tw/news/151580" target="_blank">另外根據微軟的統計</a>，自俄羅斯入侵烏克蘭的4個月以來，俄羅斯駭客至少針對48個烏克蘭的政府組織或企業發動攻擊。</p> <p>SSSCIP表示，其實敵軍的駭客持續在攻擊烏克蘭，雖然這4個月以來網路攻擊的強度並未減輕，但質量正在下滑。此外，烏克蘭的中央與地方組織、軍事、金融與能源領域，一直都是駭客首要的攻擊目標，其次則是該國的交通基礎設施與電信服務。</p> <p>事實上，不管是網路攻擊或實際的戰事，都經常讓烏克蘭的通訊故障，而SSSCIP與烏克蘭的國家電信網路運作與技術管理中心（NTNOC）也不斷地攜手修復被毀損的網路，以讓當地的民眾在戰時仍能保持聯繫。</p> </div></div></div>
2022/7/1 15:34作者陳曉莉https://www.ithome.com.tw/news/151719
南韓政府提供Hive勒索軟體解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國訊息安全局（Korea Internet & Security Agency，<a href="https://seed.kisa.or.kr/kisa/Board/133/detailView.do" target="_blank">KISA）近日宣布釋出Hive勒索軟體解密工具</a>，以回復被惡意加密的檔案。</p> <p>這項回復工具包括一個53KB的壓縮檔（Hive_Ransomware_Integrated_Decryption_Tool.zip）及使用手冊PDF檔，適用於Hive勒索軟體v1到v4加密的文件。</p> <p>Hive是去年年中興起的勒索軟體。Hive專門鎖定缺乏資安防護能力的企業組織，包括醫療機構、航空公司、硬體零售商、製造業者、法律事務所。到去年年底已經有超過350家組織受害。上個月，仍然持續活躍的<a href="https://www.ithome.com.tw/news/151268" target="_blank">Hive還攻擊中美洲國家哥斯大黎加</a>公共衛生保險單位。</p> <p><a href="https://www.ithome.com.tw/news/150706" target="_blank">南韓政府去年曾提供另一個勒索軟體Magniber的回復工具</a>。KISA網站現在還能下載Ragnar回復工具，並提供第三方REvil及Darkside回復工具的資源連結。</p> </div></div></div>
2022/7/1 14:51作者林妍溱https://www.ithome.com.tw/news/151717
美CISA要企業、政府10月前將Exchange Online轉到支援MFA的現代驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/sites/default/files/publications/switch-to-modern-authentication-in-exchange-online-062822-508.pdf" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）本周發出安全指引</a>，要求企業和聯邦政府單位在今年10月1日以前，將Exchange Online基本驗證轉到支援多因素驗證（MFA）的現代驗證（Modern Auth）。</p> <p class="rtecenter"><a href="https://www.cisa.gov/sites/default/files/publications/switch-to-modern-authentication-in-exchange-online-062822-508.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-CISA%20exchange%20MFA-600.png" style="width: 600px;" /></a></p> <p>CISA這份指引是出於微軟預定今年10月1日，永久關閉基本驗證（Basic Auth）。</p> <p>微軟解釋，基本驗證是過時的驗證方式，應用程式因應伺服器要求才傳送使用者名稱和密碼，而且這些憑證資料通常會儲存在裝置上。可能使用基本驗證的協定包括POP/IMAP（Post Office Protocol/Internet Message Access Protocol）、EWS（Exchange Web Services）、ActiveSync及RPC over HTTP（Remote Procedure Call over HTTP）等。</p> <p>基本驗證很容易設定，但並不安全。這舊式驗證可讓攻擊者更容易擷取使用者憑證（尤其當未啟用TLS連線傳送），並用這些憑證資料來存取其他重複使用密碼的端點或服務。因此微軟<a href="https://www.ithome.com.tw/news/146914" target="_blank">去年9月</a>及<a href="https://docs.microsoft.com/zh-tw/exchange/clients-and-mobile-in-exchange-online/deprecation-of-basic-authentication-exchange-online" target="_blank">今年5月</a>預告將之淘汰的計畫，並預設使用支援MFA的現代驗證。淘汰Exchange Online基本驗證也會讓不支援多因素、雙因素或兩步驟驗證（2-Factore Authentication/2-Step Verification）的App無法使用。</p> <p>CISA要求美國聯邦政府機關應儘速規畫，將用戶和App轉移到現代驗證，俟完成轉移後就應封鎖基本驗證。最後一個步驟則是求實作驗證政策；透過Microsoft 365管理員中心的「Modern Authentication」頁啟動，並勾選取消基本驗證。</p> <p>一些微軟提供的App，包括Outlook桌機版或Outlook 應用程式已經轉到現代驗證。</p> </div></div></div>
2022/7/1 13:26作者林妍溱https://www.ithome.com.tw/news/151714
Google更新Chrome與Android的密碼管理工具，可主動於Google Password Manager中輸…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/password-manager-update/" target="_blank">Google本周更新了</a>Chrome與Android平臺上的密碼管理工具Google Password Manager，包括將允許使用者直接於Google Password Manager中輸入與儲存密碼，在Android上的Chrome則提供觸控填入（Touch-to-Fill）功能，也將整合Android與Chrome上的密碼管理經驗。</p> <p>Google Password Manager中大多數的功能，都是由Google位於德國慕尼黑的Google安全工程中心（Google Safety Engineering Center，GSEC）團隊負責開發，此一功能主要奠基於Chrome上，因此不管是在Android、iOS、Windows、macOS或Linux平臺上使用Chrome，都可利用Google Password Manager來管理密碼，它會在使用者輸入密碼時自動詢問是否要儲存密碼，也能幫使用者建立安全密碼，並在需要時協助使用者填入密碼。</p> <p>過去Chrome都是在使用者要輸入程式或網站密碼時，詢問是否要儲存密碼，不過新的Google Password Manager將允許使用者主動至該服務，輸入特定程式或網站的密碼。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Blog-Asset_Add-Manually.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>此外，當Android用戶透過Chrome要造訪某一個網站並執行登入時，Google Password Manager會在頁面下方自動現身，詢問是否要幫使用者輸入所儲存的帳號與密碼，只要觸碰它就能完成填入。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/New_One_Touch_Login.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>有鑑於使用者抱怨Chrome與Android上的密碼管理使用經驗不一，Google則積極整合兩個平臺的密碼管理經驗，倘若使用者在同一程式或網站上擁有不同的密碼，Google Password Manager即會自動將它們歸類，現在還允許Android用戶直接於桌面上建立捷徑（下圖），以一鍵存取密碼功能。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Homescreen-Entry-Point.gif" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>至於iOS用戶若想利用Google Password Manager的密碼建立功能，則只要將Chrome設為自動填入供應商即可。</p> <p>另外，所有平臺上的Chrome用戶都可在特定密碼遭到危害時，收到Google Password Manager的警告，Android用戶則會額外收到密碼太薄弱或重複使用的提醒。</p> </div></div></div>
2022/7/1 13:51作者陳曉莉https://www.ithome.com.tw/news/151715
Meta對內警告今年下半年的成長將放緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周對內發表了今年下半年的投資重點，指出該公司正處於嚴重的逆風時期，必須在成長放緩的環境中完美的運作，再度反映了全球經濟所面臨的困境。</p> <p>今年以來，不管是全球股市、美國股市，或是包括Meta在內的美國科技股的股價都呈現大幅下滑趨勢，也促使Meta重整該公司元宇宙部門Reality Labs的專案，包括將終止智慧手錶專案，停止開發消費者版本的Portal智慧顯示器，連原本計畫在2024年才要發表的AR眼鏡都延期，以專注於開發核心產品。</p> <p><a href="https://www.theverge.com/2022/6/30/23190164/meta-chris-cox-internal-memo-product-bets-tiktok-metaverse?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">而根據《The Verge》所公布的Meta內部備忘錄</a>，該公司產品長Chris Cox除了列出Meta下半年的投資重點之外，也警告下半年的逆風依舊，員工應有所準備。</p> <p>Meta下半年的投資重點包括元宇宙、AI、WhatsApp及Messenger等傳訊功能、Reels 與 Discovery 引擎，以及隱私等，而在收入的創造上，Cox坦承該公司目前最大的營收風險，仍是訊號的流失與目前宏觀經濟的態勢。</p> <p>事實上，早在蘋果於2021年4月釋出的iOS 14.5、正式啟用追蹤透明化政策之後，Meta幾乎在每季的財報上都會對此提出警告，因為該政策讓任何企圖追蹤使用者的程式都必須獲得使用者的同意，意謂著Meta旗下的各個程式都會因可追蹤的用戶數量減少，而影響其廣告收入。</p> <p>不過，今年下半年情勢看起來似乎又更嚴峻了一些，Cox於備忘錄中表示，Meta的各個團隊不應期望有大量的新工程師或預算湧入，得更無情地擬定發展重點，在衡量對開發者效率的投資、公司內部的效率或是造成影響的來源時都必須更深思熟慮，以期打造更精簡也更有活力的團隊。</p> </div></div></div>
2022/7/1 14:16作者陳曉莉https://www.ithome.com.tw/news/151716
樹莓派發表支援Wi-Fi的Pico W，售價6美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142419" target="_blank">繼於去年1月推出</a>首款基於自製晶片RP2040的微控制器產品Raspberry Pi Pico之後，<a href="https://www.raspberrypi.com/news/raspberry-pi-pico-w-your-6-iot-platform/" target="_blank">樹莓派基金會（Raspberry Pi Foundation）在本周發表了第二款的Pico W</a>，它支援Wi-Fi，售價也從4美元提高到6美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-%20Raspberry%20Pi%20Pico%20W-600.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／樹莓派基金會</span></span></p> <p>與樹莓派先前推出的單板電腦相較，Pico微控制器是專為嵌入式應用所設計，它具備處理器、少量記憶體與輸入/輸出介面，尺寸小功能也簡單，通常被應用在自動控制的產品或裝置上，例如汽車引擎控制系統、植入式的醫療裝置、遙控器、或玩具等，使用者可將它當成獨立的開發板，或是搭配樹莓派的單板電腦使用。Pico的尺寸大約只有51mm x 21mm大小。</p> <p>Raspberry Pi Pico的核心是樹莓派自行研發的RP2040微控制器，它採用台積電的40奈米製程，整合兩個133MHz的Arm Cortex-M0+核心，內建264KB的靜態隨機存取記憶體，以及可程式化的輸入/輸出子系統。樹莓派指出，快速的核心、大容量的記憶體與彈性介面，讓RP2040成為物聯網（IoT）應用的天然建置區塊。</p> <p>Pico W與第一代Pico的差別在於新款支援了802.11n Wi-Fi協定，讓它更適用於IoT應用的連網需求，此外，它雖然內建藍牙功能，但出貨的當下並未啟用藍牙功能，有可能會在未來開放。</p> <p>除了Pico W之外，樹莓派也替Pico系列創造了兩個添增了針腳的Pico H（下圖）及Pico WH版本，前者是基於Pico，售價為5美元，後者則是Pico WH的針腳版本，售價為7美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-Raspberry%20Pi%20Pico%20H-600.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／樹莓派基金會</span></p> <p>自從去年初發表迄今，樹莓派基金會已售出近200萬張的Pico，而且該基金會認為全球半導體的短缺更加速了市場對Pico的採用，因為設計工程師在此一空窗期剛好空出了作實驗的時間。</p> </div></div></div>
2022/7/1 13:13作者陳曉莉https://www.ithome.com.tw/news/151710
前谷歌資深工程總監談精實創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我躺在小船頂，順著緬甸偉河（Ywe River）漂流而下，穿過兩岸茂密叢林，偶爾會看到佛塔金光燦爛，真是令我大開眼界。</p> <p>當時的緬甸正處於關鍵時刻。二○○八年的納吉斯超級颱風（Cyclone Nargis）造成將近十萬人死亡，鄰近地區直到現在才漸漸恢復正常；推動民主的領導人翁山蘇姬（Aung San Suu Kyi）解除軟禁，數十年來國會首次舉行公開選舉，這些發展都讓緬甸人民日益期盼好日子趕快到來。但是這個國家還有很多極度貧困的人，他們在自家薄田辛勤耕作，平均收入每天不到兩美元。我在這裡探訪的專案就是和三角洲地區一些農家合作，提升農作生產，改善收入。</p> <p>當我走進草屋林立的村落，巡視周遭農田，男男女女得意洋洋地向我展示豐盛成長的稻作和蔬菜。我也參觀專案人員週間工作和棲息的窄小木屋，他們在當地提供現代農業技術的培訓和改良種子，幫助農民組織農產團體，擴大農業經營規模。不管是農民或專案人員的奉獻精神都讓人感到振奮和鼓舞，大家不辭辛勞一起努力改善生活。</p> <p>參觀完農村回到鎮上後，由領導團隊說明專案管理方式。辦事處的牆上掛著大黑板，黑板上的表格列出各個村莊的名字，上面寫滿了專案要進行的各種活動和相關目標。每週結束的時候，各地專案人員一起開會檢討活動進度、統計達標人數。整套作業就像是上足油、卯足勁運轉的機器。</p> <p>不過要打破貧窮循環並不容易，畢竟箇中因素極其複雜，而我們距離解決所有問題還相當遙遠。於是我提出疑問：那麼，我們所做的努力到底效果怎麼樣？這兩年來開展的工作，又需要哪些改進或調整？而且該怎麼做才能幫助到更多的農民？但是我只看到大家的眼中一片茫然。我很快了解到，整件事不是這樣運作的。就像許多全球發展計畫，整個專案的設計從最早的援助案以來早已規畫多年，主要還是由美國總部的工作人員完成。這些在三角洲地區工作的專案人員只需負責執行計畫，達成每季設定好的目標，他們並不需要再深入理解和做出必要的改進。更糟的是，這個專案雖說有數百萬美元經費，接觸到的農民不過幾千人；而在這個人口多達六百萬的廣大地區，約莫三分之一的農民生活在貧窮線（poverty line）以下。</p> <p>我們能不能做得更好？在預定的四年之後，這個專案就會結束，不管它能否達到成效，以及那個地方或鄰近區域是否還需要更多援助，沒人會在意。我們團隊只能祈求好運，獲得更多捐款，讓更多贊助者有興趣參與。</p> <p>我躺在船上晃盪，一月的陽光曬得我暖洋洋的，我想一定還有更好的方法來處理這些事。大家都很努力，希望做出不同的改變，但他們的雙手彷彿被綁住一樣。光是執行這種一次性的僵化專案，並無法為大多數民眾帶來最大的影響。我們可以做的應該還有很多。我後來又遠赴賴比瑞亞、烏干達、辛巴威、瓜地馬拉、印度和蒙古等國家旅行，也一次又一次看到類似的狀況。</p> <p>於是我決定投入人生職涯的下半場，先深入了解這些不良運作的問題所在，再找出改進制度和體系的方法。</p> <p><span style="font-size:28px;"><strong>兩個世界的碰撞</strong></span></p> <p>我的反應似乎不太尋常。大多數人結束各地的考察後，都懷著滿腔熱血，只想趕快幫助那些民眾或生物棲息地，並不會想到要解決這套運作背後的官僚程序和管理理念。不過我本來就是個工程師嘛！</p> <p>我曾經在科技產業工作二十幾年，直到七年前才轉換新領域，這是我長期規畫後做出的改變，我準備在人生職涯的下半場致力於改變世界，讓世界變得更美好。這雖然聽來像是陳腔濫調，但我的決心確實就是如此簡單明瞭。我一向熱愛挑戰開發軟體程式，卻也想要做些更有意義的事情。問題是要做什麼呢？在解決貧窮、醫療保健、教育、環境保育、人權等重要議題上，我當然都不是專家。況且，很久以前我就從軟體程式工程師轉到管理職，現在我甚至也沒資格再去寫程式。但我還是帶著真誠熱情，希望找到一種值得努力的方法，而非只是照表操課。這次到緬甸參觀訪問就是我早期的學習過程之一。倘若我希望以後能夠有所作為，就要先搞清楚最前線的人們都做了什麼。那時我很幸運，能在美國政府、頂尖國際非營利組織和幾個合作夥伴的工作中，向業界幾個最好的組織和企業學到很多事情。</p> <p>我在Google工作八年以後，矽谷那種傲慢自大還是在我身上造成一定的影響，不管是好是壞。我那時覺得，好像什麼事情都辦得到，一切都有可能。二○○○年代末期我帶領手機工程團隊，當時Google地圖（Google Map）的街頭導航系統是手機用戶最想要的功能，但是地圖資料供應卻由兩家公司聯合壟斷。雖然我們使用資訊的費率固定，但手機用戶使用導航服務時卻要逐一收費，我們進入導航市場這條路因此受阻。如此一來，我們就無法提供免費的導航產品。後來我們向Google聯合創辦人佩吉（Larry Page）和布林（Sergey Brin）報告這個困擾，於是他們提供一項非凡的服務：派車走遍全世界的大街小巷，自行建立地圖資料庫。而過去每個月向用戶收費五到十美元的衛星導航系統業者，也被迫跟著改變。</p> <p>我在這當中不只是學會從大局來思考，也逐漸體會到實驗的價值。儘管Google已是業界領導者，但並不因而自滿或裹足不前，每天還是進行好幾百場實驗和試作，測試系統服務的主要和次要功能，增強優勢。雖然網路搜尋並不是Google的發明，但它透過測試、學習和更快速的迭代改良（iterating），超越所有競爭對手。所以Google的各種產品才會持續進步，整個系統也是逐年改良進步。</p> <p>我就是帶著這種觀點和態度來到伊洛瓦底江三角洲。我總是忍不住想問，這麼做有效嗎？我們能不能做得更好？我們可以幫助更多人嗎？而且能不能永遠改變整個體系？</p> <p>好吧，我承認我有點天真。我的無限熱情很快就撞牆面對冷酷現實，了解到社會創新──為社會及環保挑戰開發更好的解決方案──要比科技創新還困難許多：經費限制可能嚴重阻礙實驗的進行；受助者的需求與贊助者的優先目標並非總是一致；短期致勝比長期成長還要誘人。衡量社會工作成果可是比計算網站點擊次數來得更艱巨。而且，一旦涉及現實生活，冒險常常帶來更多不可預知的後果。但是我堅定相信，那些推動矽谷快速進步的創新技術，一樣可以成為創新基礎，創造更多社會公益。自從緬甸考察之旅以來，我發現愈來愈多組織率先採取創新方法，也取得令人矚目的成果。創新未必要花很多時間或金錢。事實上透過及早發現問題，還可以省下許多時間和金錢。</p> <p><span style="font-size:28px;"><strong>精實創業運動</strong></span></p> <p>幾乎每個產業的企業都想和矽谷一樣充滿活力，成為創新的溫床。科技的進步不僅顛覆我們生活的各個面向，解決大小問題的各種方法也年年突飛猛進。摩爾定律正顯現出這種持續進步、毫不鬆懈的力量多麼驚人，過去五十幾年來，這套定律準確預期晶片上的電晶體集成數量每兩年增加一倍，運算能力也因此出現指數級成長。那麼當我們解決那些世界上最棘手的問題時，為什麼不能像電腦晶片一樣勇猛精進呢？<span style="color:#696969;"><strong>（本文摘錄整理自《精實影響力》前言，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%B2%BE%E5%AF%A6%E5%BD%B1%E9%9F%BF%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96-350.png" style="width: 330px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span></strong> <span style="color:#3399ff;"><strong>精實影響力：非營利組織的創新</strong></span></p> <p>張安梅（Ann Mei Chang）／著；陳重亨／譯</p> <p>天下文化出版</p> <p>定價：500元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%85(1).jpg" style="width: 200px;" /></p> <p><a href="https://www.annmei.com/bio" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ann Mei Chang</span></span></a></p> <p>張安梅（Ann Mei Chang）</p> <p>社會創新專家。曾任美國國際開發署（USAID）創新長、美國全球發展實驗（US Global Development Lab）首任執行董事、美慈組織（Mercy Corps）創新長，以及美國國務院全球婦女問題辦公室婦女與科技資深顧問。</p> <p>在投身公共與社會部門工作以前，張安梅在科技產業工作20餘年，先後任職於Google、蘋果、財捷（Intuit）等全球企業及新創公司。在Google擔任資深工程總監期間，帶領行動應用程式與服務專案，在短短三年內便實現巨大的成長收益。</p> </div></div></div>
2022/7/1 11:08未署名https://www.ithome.com.tw/article/151695
蘋果允許南韓iOS App使用第三方程式內支付，收取佣金26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=q0feipe4&1656574242" target="_blank">蘋果昨（30）日宣布</a>將讓在南韓版App Store上架的App業者使用第三方程式內支付（in-app payment，IAP）以符合南韓法律的規定，將針對這些支付收取26%佣金。</p> <p>南韓政府去年通過並實施《電信業務法》（Telecommunication Business Act）後，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google去年10月率先宣布</a>允許Android App廠商使用Google以外的程式內支付。<a href="https://www.ithome.com.tw/news/148842" target="_blank">蘋果則在今年1月宣布</a>同意當地iOS App使用第三方支付。在最新的宣布下，蘋果公布相關細節。</p> <p>蘋果表示，為遵循南韓電信業務法，現在開發人員可以使用StoreKit外部購買權利（StoreKit External Purchase Entitlement）。這權利僅允許在南韓App Store發行的App提供另類支付處理選項。</p> <p>想使用本選項的App開發商必須具有App開發人員方案的帳號，才能要求StoreKit外部購買權利。目前蘋果允許4家第三方支付服務，包括KCP、Inicis、Toss、NICE，App開發商若有其他偏好，則需先經過蘋果審查。此外，開發商也需提供第三方支付的客戶支援網站。</p> <p>而針對使用者利用第三方支付完成的消費，蘋果會向支付業者收取26%的佣金，不包含加值稅（value-added taxes，VAT）。而開發商每個月也需提交相關銷售報告給蘋果。</p> <p>蘋果提醒，選擇這個作法的iOS App將會有些功能無法提供用戶，包括購買前詢問（Ask to Buy）以及家人共享（Family Sharing），原因是蘋果無法驗證在App Store以外發生的支付。蘋果並表示他們因此無法負責使用者退款、購買歷史紀錄、訂閱管理及處理其他交易問題。</p> <p>對於使用第三方支付機制，蘋果還有多項限制，包括開發商必須另外提供僅在南韓App Store發行的App二進位程式（binary），第三方支付不能內建於具有蘋果IAP的同一支App中。此外，交易必須在新的App完成，而不能導向App以外的網頁，除非法律要求。蘋果也要求App不得包含隱藏、未說明的支付功能和行為。如果該App涉及詐騙、或低價吸引用戶上門卻賣高價產品等誤導行為，也可能被蘋果從App Store移除。</p> <p>蘋果在歐洲，<a href="https://www.ithome.com.tw/news/149209" target="_blank">則是於今年2月允許</a>荷蘭境內App Store上架的約會App提供第三方程式內支付。蘋果收取27%的佣金。</p> </div></div></div>
2022/7/1 09:55作者林妍溱https://www.ithome.com.tw/news/151696
迎接混合辦公時代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣COVID-19疫情在6月中開始出現明確趨緩的現象，然而，Omicron新型變異株BA.4、BA.5崛起，隨著相關管制措施的鬆綁，是否會造成全球疫情大爆發，仍是眾人擔憂的可能狀況，因此，實際上，短期內應該還是無法回到2020年之前，所有人仍有心理準備，隨時回到需居家隔離的狀態，而這種參雜部分人員實體辦公、部分人員在家上班且透過網路協作的模式，被稱為混合辦公（Hybrid Work）。</p> <p>關於這項工作狀態選擇，6月底終於有臺灣調查數據出爐。根據104人力銀行旗下104玩數據對808位求職會員6月中網路問卷調查，比較2021、2022年臺灣企業上班模式，例如，在家辦公（WFH）這兩年都是5%，2022年進公司工作的比例不增反減，從30%降至22%，混合式工作從65%增加到73%。</p> <p>放眼全球而言，員工傾向混合辦公的確是大勢所趨。根據網路設備大廠思科今年1到3月進行的調查顯示，對於27個市場區域的2.8萬全職員工而言，71.2%的人偏好混合辦公，也就是結合遠距上班與到公司辦公室上班，就算是最年長的嬰兒潮世代，也有68.3%傾向混合辦公，而且並未因為性別、工作資歷而有顯著差異；以區域來看，臺灣是當中最支持混合辦公的，以73.3%的比例居冠，從混合辦公獲益最大的前三大區域，依序是印尼、香港、中國，都有8成以上的員工認可。</p> <p>而就效率與產出狀況來審視在家上班的狀況，104玩數據的調查顯示，認為WFH效率比進公司差的去年比例是32%，今年比例升高至39%，認為WFH產出比進公司差的去年比例為26%，今年比例增加到30%。</p> <p>事實上，今年因為前幾個月的疫情大爆發，臺灣經歷第二波大規模在家辦公浪潮，理應大家更駕輕就熟，但對此狀況的反應竟是不滿比例上升、滿意比例下降，顯然有些問題並非靠熟練就能解決。</p> <p>此份調查也列出影響在家上班效率與產出的三大原因，幾乎都與溝通有關。首先是線上會議大家搶話、不講話，甚至是斷訊問題，這類狀況以34.5%高居第一，其次是公司未有更完善的遠端工作規範，以及遠端設備未升級，比例均為33.3%。</p> <p>在思科的問卷調查研究中，並未著墨在這些問題的探討，而是聚焦在分析混合辦公成功的因素，他們歸納出4大重點，分別是：彈性的工作排程、增加科技的使用、大幅縮短通勤時間、善用虛擬會議與協同合作工具，具體而言，會是3大驅動力，例如優質的技術與技術支援、主動提供協助的管理風格、彈性的工作時間安排，這背後需要相應的技術投資、優秀的公司與團隊文化，以及源於領導力所提供的協助。</p> <p>思科在這裡也列出一些新型態協同合作的現象，可能會影響混合辦公成效。首當其衝的是同時進行多項工作（multitask），有的人可能會覺得這應該是優點，但若是在開會時分心做其他事情，將會降低彼此的溝通效率，根據思科的調查，有多達52.9%的員工認為此舉沒什麼問題，但有56.8%的員工認為這會影響生產力。</p> <p>而且所謂的「多工」，思科在這份調查的研究中，也區分成好幾種類型，例如，在召開線上會議的期間，同時進行其他工作、用餐、接聽與工作無關的電話或發送與會議無關的簡訊，比例都有3到4成。</p> <p>至於正面的混合辦公經驗也是有的，例如，會議更準時進行，能接受彼此開會時的穿著家常，能以更短時間完成開會，認可這些優點的員工比例都超過6成。</p> <p>總體而言，遠距與在家上班過去並未受到全球企業普遍採用，但經歷兩年多的不得不然，我們的確該重新思考舊有的工作模式，的確有改變的必要性，人們看待自身幸福的價值觀已經有很大的變化，外在環境的變化與衝擊加劇也是無可迴避的現實，如何在彈性應變與生產力確保之間取得平衡，仍是企業維持自身營運的最主要考量，從完全集中化，走向分散與混合的模式，已勢在必行。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B7%B7%E5%90%88%E8%BE%A6%E5%85%AC">混合辦公</a></div><div class="field-item even"><a href="/tags/hybrid-work">Hybrid Work</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2022/7/1 10:49作者李宗翰https://www.ithome.com.tw/voice/151691
5G趨勢月報第32期：聯發科旗艦5G晶片小改版；5G開臺2年，臺灣5G下載網速如何？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>06/01~06/27精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><strong><span style="font-size:22px;">聯發科再推5G旗艦平臺天璣9000+，GPU性能提升10%</span></strong></p> <p>繼Computex電腦展展示多項產品後，聯發科近期再發表新的旗艦5G行動平臺天璣9000+，內建CPU與GPU效能提升，預計第三季搭載該平臺的5G裝置將會在市場上亮相。</p> <p>相較於去年底推出的天璣9000，此次天璣9000+可以視為加強版，採用台積電4奈米製程及Arm v9架構，內建八核心CPU，包括1個3.2GHz的Arm Cortex-X2超大核、3個Cortex-A710大核，以及4個Cortex-A510能效核心，CPU效能提升5%；GPU則採用Arm Mali-G710，內建10核心，效能提升10%。此外，天璣9000+也採用聯發科第5代AI處理器，APU 5.0，分擔AI運算工作。</p> <p>新平臺也採用符合 3GPP R16的新5G數據機，支援Sub-6GHz 5G頻段，3CC載波聚合，下載速度最快可達7Gbps，上行方面，支援R16的超級上行技術。另外，該平臺還支援Wi-Fi 6E、最新衛星定位及藍牙5.3。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Opensignal</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網速</b></span></font></p> <p><span style="font-size:22px;"><strong>國內5G開臺將滿2年，Opensignal：三大電信5G下載均速逾240Mbps，最快達383.3Mbps</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/opensignal-5g-5g_download-600.jpg" style="width: 600px; height: 178px;" /></p> <p>臺灣電信市場吹起合併風，繼台灣大哥大與台灣之星合併之後，遠傳也宣布將合併亞太電信，電信市場將回到三大電信競爭，三家業者5G開臺已將近2年時間，國內5G網路服務品質如何，可從近期Opensignal用戶體驗報告獲得參考。</p> <p>該報告指出，在5G用戶體驗方面，中華電信用戶的5G平均下載速度達383.3Mbps，遠傳電信則是近300Mbps（296.7Mbps），台灣大哥大平均下載速度為246.7Mbps，顯示三大電信5G下載速度均達到240Mbps以上。</p> <p>隨著UGC內容分享，影像分享、視訊直播需求提高，對行動網路的上傳頻寬需求增加，報告也指出，在上傳速度方面，中華電信用戶5G上傳平均速度達47Mbps，遠傳電信為43.9Mbps，台灣大哥大為26Mbps。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>資策會MIC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>資策會MIC：去年全球衛星發射已突破1千顆，低軌衛星通訊服務快速崛起</strong></span></p> <p>企業選擇網路通訊技術，除了現有的5G之外，低軌衛星寬頻通訊服務正在崛起，衛星無線通訊的大範圍涵蓋，為網路基礎建設不足或是不經濟的偏遠地區提供寬頻網路，與集中在都會區的5G網路互補，或是在地震、颱風造成海纜中斷時，為企業在短時間內建立跨國通訊網路。</p> <p>資策會MIC近期發布報告指出，受到全球低軌衛星快速發展，去年全球衛星發射數量已突破1千顆，預估在各業者競相投入下， 2021年到2030年每年將發射逾1,700顆衛星，其中大部分為低軌衛星，以2021年為例，低軌衛星（LEO）發射數量已是高軌衛星（GEO）的61.6倍。</p> <p>目前積極投入低軌衛星的業者，包括Starlink、GlobalStar、Orbcomm、Iridium，還有Verizon與Amazon合作的Project Kuiper，英國與印度合作的OneWeb、中國航天等等。其中較具知名度的是特斯拉創辦人Elon Musk所創的太空發射事業SpaceX旗下的Starlink，目前已在全球36個國家地區擁有約40萬用戶，針對消費者及企業提供數百Mbps的衛星寬頻通訊服務。Starlink正持續擴大全球部署的低軌衛星數量，未來目標為建置超過1萬顆低軌衛星的星系。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>日本</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>富士通、NEC、DOCOMO、NTT與Nokia聯手展開6G實驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20220606-01a_tcm100-6731111_tcm100-2750236-32.jpg" style="width: 600px; height: 293px;" /></p> <p>正當全球行動通訊正由4 G走向5G，已有業者展開下一代行動寬頻通訊技術研究，日本的富士通、NEC、DOCOMO、NTT、Nokia近期聯手開始一項6G網路實驗，該實驗將採用下一代6G網路可能使用的100GHz與300GHz頻段，由於這類高頻段容易受到阻礙，因此抗阻礙也是下一代6G技術面臨的挑戰之一。同時也將實驗以AI為基礎的無線傳輸方法。</p> <p>相較於現有的5G，下一代6G被認為將具備更高的傳輸及更大的容量，更低的延遲。該項實驗將在2023年2月開始室內試驗，隔年再進行室外試驗，實驗將建置一個分散式的MIMO網路，透過多個分散的Sub-THz天線從多個方向同時發射無線電波到接收器。目的是能發展出能抗阻礙，且穩定提供達100Gbps無線傳輸速度。</p> <p>除了研究新的無線通訊傳輸技術，富士通也希望發展出運用氮化鎵 (GaN) 和銦磷 (InP) 等化合物半導體的高頻率無線設備。化合物半導體技術可讓6G的無線設備具更小體積、更低功耗表現，並可支援高速傳輸及更大容量的能力。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>桃園機場</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G專網</b></span></font></p> <p><span style="font-size:22px;"><strong>桃園機場擬建置5G專網，將測試智慧機場應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/46EDC286-41CF-EC11-BBBB-005056BD475F.jpg" style="width: 600px; height: 458px;" /></p> <p>今年4月，交通部公布一項5G帶動智慧交通補助計畫，以桃園機場為實證場域，導入5G專網，試驗5G智慧旅運應用，例如無人載具，以加速機場的智慧化，近期受委託廠商已與桃園機場合作進行場勘，準備在第二航廈建置5G獨立專網。</p> <p>根據規畫內容，其中測試的一項應用是無人車，需要繪製室內圖資，透過無人車在機場內載運有需要的旅客至登機門，減少人力駕駛的需求。無人車上配置攝影機，移動時可同時傳送即時影像至後臺，並透過影像辨識，偵測機場內人員是依規定配戴口罩，監控機場內設施是否異常。</p> <p>由於桃園機場內佔地相當大，機場內基於安全嚴格管制動線，過去員工離開辦公單位，在機場內無法使用內部應用系統，因此桃園機場也計畫未來測試5G專網核心串接內部OA網核心，讓員工不受到辦公場所限制，只要在機場內，可透過5G專網，以手機、平板電腦使用內部應用系統。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font></p> <p><span style="font-size:22px;"><strong>台灣大哥大以股東身分反對遠傳電信與亞太電信合併</strong></span></p> <p>今年2月遠傳電信宣布將合併亞太電信，成為台灣大哥大與台灣之星宣布合併後，另一項國內重大電信業者合併案，自此臺灣電信市場將呈現三雄鼎立。不過，日前亞太電信舉行股東會，台灣大哥大以亞太電信第4大股東身分，對股東會通過的合併案表達不同意的立場，並要求亞太電信以公平價格購回台灣大哥大擁有的股權，恐使這項合併案產生變數，台灣大哥大與遠傳電信的競爭角力已悄悄展開。</p> <p>台灣大哥大與亞太電信的關係，從4G時代展開網路漫遊開始，亞太電信借台灣大哥大網路資源以服務亞太用戶，在此一基礎上，台灣大哥大與亞太電信維持合作關係，但在進入5G時代，亞太電信與台灣大哥大的關係生變，改與遠傳合作共頻共網，之後台灣大哥大宣布將合併台灣之星，用戶數穩坐第二名，直逼電信龍頭中華電信，也促使遠傳電信提升用戶規模，加速合併亞太電信。</p> <p>過去國內電信市場在5家業者3大2小的競爭態勢下，亞太電信、台灣之星為與3大業者競爭，往往推出具競爭力的資費方案，未來如果NCC與公平會通過台灣大哥大與台灣之星，遠傳電信與亞太電信兩項合併案，國內市場將回到三雄的競爭。遠傳電信總經理井琪日前在股東會上表示，未來市場回歸三家電信，競爭將從過去資費為主，改為服務與網路品質的差異化。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與高雄榮總合作，高雄榮家5G智慧長照服務上線</strong></span></p> <p>5G在智慧醫療的應用再添一例。中華電信、退輔會、國發會、高雄榮總合作下，在高雄岡山的榮民之家（簡稱榮家）推出5G智慧長照服務，以國產的5G O-RAN打造5G長照專網，結合AIoT、AR眼鏡提供智慧長照服務。</p> <p>去年10月中華電信與旗下子公司中華系統整合，在高雄成功大樓宣布5G AIoT智慧醫療落地，並聯合資通訊服務業者組成團隊前進醫療場域，在退輔會支持下，結合5G智慧醫療與榮家轉型策略，在岡山榮家導入5G AIoT，讓住民可透過5G與高雄榮總遠距視訊會診，未來準備擴大至全國16所榮家共8千床。</p> <p>榮家導入的5G智慧長照服務，包括智慧照護系統、緊急送醫系統、遠距家屬探訪系統、5G智慧排班系統、生命體徵自動上傳系統等。其中3D可視化虛擬病房結合AR眼鏡、5G AIoT打造而成，緊急送院系統則透過5G實現遠距處置，由醫護將住民的第一視角即時畫面傳至後送急診室，爭取救援時間。</p> <p> </p> <p>圖片來源／聯發科、Opensignal、桃園機場公司、富士通</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.資策會MIC：5G FWA將快速成長，北美市場成長最快</strong></p> <p><strong>2.中華電信因應5G、AIoT、雲端、資安業務需求，將招募近千名資通訊人才</strong></p> <p><strong>3.遠傳與亞東科大、亞東醫院聯手，展示5G智慧診療、環境監控應用</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/7/1 11:05作者蘇文彬https://www.ithome.com.tw/news/151700
Google、Nvidia並列MLPerf機器學習效能標竿測試之冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mlcommons.org/en/news/mlperf-training-2q2022/" target="_blank">MLCommons本周公布最新機器學習標竿測試結果</a>，Nvidia和Google分別在4項測試項目中拿下第一。華碩今年也首度參加測試。</p> <p>MLPerf Training是業界組織MLCommons主持，也是業界知名的機器學習效能測試，本周公布的是MLPerf Training 2.0結果。</p> <p>MLPerf Training 2.0測試涵括AI推論應用任務的8種類別，包括圖像分類（ResNet, ImageNet）、圖像分割（KiTS19, 3D U-Net）、物件辨識light-heavy （OpenImage, RetinaNet）、物件辨識heavy-light（COCO, Mask R-CNN）、醫療影像（3D-Unet）、語言辨識（RNN-T）、自然語言處理（BERT, Wikipedia）、推薦（DLRM）及強化學習（MiniGo）。</p> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/cloud-tpu-v4-mlperf-2-0-results" target="_blank">其中Google宣布</a>其TPU v4在4個類別，包括自然語言處理、圖片分類及2項物件辨識任務測試項目拿下第一。不過Google並未說明8個項目中其他4項的測試成績。</p> <p>Nvidia則是唯一一家完成所有8項目測試的廠商，使用A100 GPU及新的Jetson AGX Orin SoC。<a href="https://developer.nvidia.com/blog/getting-the-best-performance-on-mlperf-inference-2-0/" target="_blank">Nvidia稱它的系統在其中6項測試</a>，包括圖像分類、醫療影像、圖像分割、語言辨識、推薦系統，以及強化學習拿下第一。</p> <p>今年有21家廠商提交MLPerf Training 2.0 共250項效能測試數據，包括微軟Azure、百度、富士通、Dell、技嘉、聯想、英特爾Habana Labs、聯想、浪潮等。今年有華碩等6家廠商首次參加測試。<a href="https://www.asus.com/news/dk1plobf5g1rgymq/" target="_blank">華碩2臺搭載A100 Tensor Core GPU的伺服器</a>ASUS ESC8000A-E11 及ASUS ESC4000A-E11伺服器參加包括圖像分類、自然語言處理及推薦等6項測試項目。</p> <p>主辦單位表示，除了參加廠商更多，整體效能測試結果和上一次相較也提高1.8倍。</p> </div></div></div>
2022/7/1 09:30作者林妍溱https://www.ithome.com.tw/news/151693
三星宣布開始生產3奈米晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-begins-chip-production-using-3nm-process-technology-with-gaa-architecture" target="_blank">三星電子（Samsung Electronics）周四（6/30）宣布</a>，已開始藉由基於環繞式閘極（Gate-All-Around，GAA）電晶體架構的3奈米製程來生產晶片。</p> <p>根據三星的說法，基於GAA技術的多橋通道場效電晶體FET（Multi-Bridge-Channel FET）得以挑戰鰭式場效電晶體（Fin Field Effect Transistor，FinFET）在效能上的限制，藉由減少供應電壓水平來改善能源效益，並透過增加驅動電流能力來強化效能。</p> <p>與5奈米製程相較，最佳化的3奈米製程將能減少45%的電力使用，改善25%的效能，並減少16%的表面積。三星已經開始啟動該3奈米電晶體與半導體晶片的高效能與低功耗應用，並計畫擴大至行動處理器。</p> <p><a href="https://www.trendforce.com/presscenter/news/20220425-11204.html" target="_blank">根據市場研究機構TrendForce的統計</a>，去年全球晶圓代工市場的龍頭為台積電，市占率達53%，三星以18%居次，且TrendForce還預測台積電今年的市占率會增加到56%。</p> <p>儘管三星比台積電更早進入3奈米製程，不過，三星過去幾年來的競爭都受到良率的阻礙，不確定新的3奈米製程能否翻轉頹勢，而台積電則計畫於2025年進入2奈米製程。</p> </div></div></div>
2022/7/1 09:40作者陳曉莉https://www.ithome.com.tw/news/151694
Opensea用戶的電子郵件外洩了，小心網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的NFT交易市集Opensea近日傳出一起用戶資料外洩意外，<a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/" target="_blank">該公司在29日表示</a>，其電子郵件服務供應商Customer.io濫用了員工存取權限，下載並與未經授權的第三方分享Opensea用戶的電子郵件，提醒所有曾於Opensea分享電子郵件的使用者都要小心，包括訂閱Opensea電子報的使用者在內。</p> <p>Opensea並未說明Customer.io是如何濫用其權限並與第三方分享Opensea用戶的電子郵件，僅說正與Customer.io合作進行調查，並已通知執法機構。<a href="https://techcrunch.com/2022/06/30/nft-opensea-data-breach/" target="_blank">但Customer.io向《TechCrunch》透露</a>，此事是由一名具備特定權限的員工所為，調查期間已取消該名員工的所有存取權限且暫時將他停職。</p> <p>由於外洩的資料主要是Opensea用戶的電子郵件，使得Opensea一方面以電子郵件通知可能受影響的用戶，另一方面也警告用戶可能遭到電子郵件網釣攻擊。</p> <p>為了避免潛在的網釣攻擊，並協助使用者區分非法郵件，Opensea呼籲使用者必須提高警覺，例如Opensea的合法網址為Opensea.io，應小心任何企圖仿冒該網址的郵件；也強調Opensea不會寄出任何含有附加檔案並要求使用者開啟或下載的郵件；切記不要確認或分享自己的密碼或錢包的短語密碼；也不要於郵件中執行任何的錢包交易。</p> </div></div></div>
2022/7/1 09:08作者陳曉莉https://www.ithome.com.tw/news/151690
收購後首度揭Sigfox未來發展，UnaBiz：Sigfox以後只代表技術，不再是一家公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月完成收購後，UnaBiz近日首度透露Sigfox未來發展，首先組織策略將會有重大改變，Sigfox公司將被註銷，只保留技術，也就是說，Sigfox這家公司將不復存在，以後Sigfox就只代表技術名，由UnaBiz百分之百擁有，包含旗下兩百多項的專利。</p> <div> <p>兩家公司在合併後，新的公司一樣叫UnaBiz，原本在法國當地的Sigfox員工，大約200多人，部分員工將融入到UnaBiz團隊，包括行銷、業務、RD等，新公司總部未來1~2年，也可能從註冊地的新加坡遷到法國Sigfox總部。</p> <p>在接受iThome專訪時，UnaBiz臺灣總經理何承翰證實：「我們現在正在進行註銷的程序，以後Sigfox只代表技術名，百分之百由UnaBiz擁有，包含旗下兩百多項的專利。」</p> <p>2010年成立的Sigfox，是以提供低功耗物聯網傳輸技術為主的一家法國IoT通訊服務商，員工數最多有到400多人，過去10年來，Sigfox在全球業務持續拓展，在法國、英國、日本等全球各地共有75家代理營運商，負責銷售Sigfox產品及技術。負責臺灣銷售的Sigfox代理商就是UnaBiz。</p> <p>Sigfox過去和LoRa並稱兩大LPWA（低功耗廣域網路）技術，也是主要IoT傳輸技術，其通訊網路涵蓋遍及全球75個國家及地區，估計全球1,950萬個IoT裝置採用Sigfox作為主要IoT通訊，每天更要處理7,600萬條IoT訊息發送。</p> <p>在完成收購後，何承翰表示，目前兩家公司正在進行組織與部門的整併，像是Sigfox的RD部門，以後將會和UnaBiz的RD部門整合，兩家網路部門也會合併，變成一個跨國虛擬團隊，業務單位也是。他提到，未來UnaBiz底下不會設立獨立Sigfox部門，而是完全和現有UnaBiz團隊整合在一起。</p> <p>在業務面上，何承翰指出，未來將由UnaBiz直接與70多家代理營運商來談，雙方將重新擬定新合約，合約內容和程序也會簡化，他提到說，以往Sigfox公司和各地代理商簽定合約時，不管是價格或拆帳，或是最終提供市場的售價，都太過複雜，且設有諸多限制，因此未來希望要把這部分合約加以簡化。</p> <div> <p>在併入UnaBiz後，雖然Sigfox公司將走入歷史，不過UnaBiz強調，Sigfox技術仍會繼續發展下去。</p> <p>對於未來1~2年短中期的規畫，UnaBiz內部有擬定SOS（Secure、Open、Scale）策略，首先是要確保客戶或現有合作夥伴，讓他們都能夠安心；其次，要讓Sigfox這個技術，從以往相對封閉走向更開放的路線，使生態圈合作能夠更加緊密。最後更要以大規模物聯網應用發展為目標，如水表、瓦斯表、資產追蹤等大規模應用，在推動過程中，也將持續把UnaBiz文化和精神帶到Sigfox。</p> </div> </div> </div></div></div>
2022/7/1 06:44作者余至浩https://www.ithome.com.tw/news/151689
股東會後電信電商營運與資安成焦點，網家與台哥大揭資安管理現況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年國內上市櫃公司舉行的股東常會進入尾聲，6月下旬持續有多家業者召開說明會，電信與電商成新聞焦點，如PChome（網家8044）22日舉行股東會，揭露經營成績及改善狀況，隔日，台灣大哥大（台灣大3045）召開股東會，許多媒體關注合併台灣之星後的表現，以及對亞太之星的持股可能影響遠傳併購，在這些營運概況話題外，由於金管會要求上市櫃公司年報需公開資安現況，因此，我們也找到這兩家公司的年報內容，看看他們揭露自身資安防護現況的程度，藉此了解兩家公司看待資安風險的態度。</p> <h3><strong>不只營運概況說明受關注，資安管理也成焦點</strong></h3> <p>回顧這一年多來，國內電信與電商業者發生幾起重大資安事件，像是去年初電信品牌主推的品牌手機，被揭露出廠前即被植入惡意程式，以及電商個資外洩解除分期詐騙案也頻傳，特別是2021年高風險賣場通報案件，較往年遽增的情況，去年年度前五名為誠品書店、東森購物、蝦皮購物、婕洛妮絲與金石堂。而從商業經營的角度而言，我們看待這些事故時，不僅該注意營運情形與發展策略，也須關切企業對資訊安全管理的投入程度，今年公司年報既然已記載資安現況，此處顯然也成眾人了解這些公司具體資安作為的重要管道。</p> <p>隨著證交所規範今年上市櫃公司需在年報揭露資安作為，上述兩家業者在股東常會舉辦之際，也如預期於年報登載這些公司的資安概況。</p> <p>例如，在資訊安全組織架構的揭露上，以網路家庭而言，該公司從2018年開始成立專責資訊安全部門，由資安長擔任資訊安全小組召集人，召集資安工作小組負責危機處理與安全，以及指派各事業單位高階管理者組成資安推動分組，並且透過每季召開會議，建立稽核分組與資安督導，落實資訊安全管理措施的有效性。同時，將定期向執行長與董事會審計委員會彙報資安管理成效、資安相關議題及方向。</p> <p>以台灣大哥大而言，在資安管理架構上，該公司是以董事會為最高決策機構，由總經理率領第一級控管機制，設置資通訊暨個資安全管理處，並設置第二級控管機制的資通訊暨個資隱私安全委員。</p> <p>關於具體管理方案與投入資源的部分，這兩家公司也有揭露相關資訊。舉例來說，網路家庭除了公布了四個防護重點環節，包括資安管理、外部稽核、內部稽核與課程測驗，較特別的是，還公布了具體相關具體數據，例如，在提升員工資安意識方面，針對216名IT人員，進行駭客攻擊手法認知、安全程式開發與網路系統加固防護的訓練，並針對861名員工完成資安意識教育訓練，以及751新進員工的資安與個資保護訓練。</p> <p>而在資安風險持續改善措施方面，包括每季執行資訊循環稽核，稽核項目分10大項、71小項，本年度並完成136次弱點掃描，及時修補2245個弱點，還有進行527個人天的攻防演練，以及完成595份供應鏈合約資安評估。</p> <p>至於台灣大哥大，也在年報中簡單說明畫分4大防護面向：在對外防護上，建立入侵防禦、網路區隔、防火牆與網頁防火牆；對內防護上，有資料外洩防護偵測與補強；在系統規畫建置上，納入系統開發安全規範，以及程式碼掃描；在維運監控上，建置資安監控中心、檢核與分析系統紀錄。另外，還提及將分配一定比例於資通安全預算。</p> <p>綜合來看，兩家企業均陳述自身資安管理作為，但資訊揭露的具體程度仍有改進空間。</p> <p>至於重大資安事件的揭露，也是外界關注的部分。上述兩家公司在2021年至今，未在證交所發布資安事件重大訊息，但從媒體報導來看，並非如此，如台灣大哥大自有品牌手機爆發影響民眾的資安事件，驚動政府出面協調。</p> <p>當時該公司的Amazing A32手機出廠即含有惡意程式，造成購買手機的用戶，遭網路攻擊者竊取該手機所使用的門號資訊、攔截OTP驗證碼，並成為詐領遊戲點數人頭帳戶遭警方調查，同日台灣大哥大宣布將與合作廠商「力平國際」合作，召回Amazing A32手機，替用戶升級手機作業系統。遺憾的是，這起資安事故，並未在臺灣大哥大這次年報看到相關說明，若能供具體調查與因應，應該會更讓股東們與外界更瞭解後續調查及處理情況。對此，台灣大哥大回應，在他們年報中登載的內容就是目前可提供的資訊。至截稿前，尚未取得網家對電商資安相關問題的回應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%896%E6%9C%88%E5%BA%95%E8%82%A1%E6%9D%B1%E5%B8%B8%E6%9C%83_%E5%8F%B0%E7%81%A3%E5%A4%A7%E5%B9%B4%E5%A0%B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會下令上市櫃公司需在年報記載資通安全管理現況，台灣大哥大在6月23日股東會前夕釋出公司年報（<a href="https://doc.twse.com.tw/server-java/t57sb01?step=1&colorchg=1&co_id=3045&year=111&mtype=F&">連結</a>），揭露資通安全風險管理架構與組織架構。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%896%E6%9C%88%E5%BA%95%E8%82%A1%E6%9D%B1%E5%B8%B8%E6%9C%83_%E7%B6%B2%E5%AE%B6%E5%B9%B4%E5%A0%B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會下令上市櫃公司需在年報記載資通安全管理現況，網路家庭在6月23日股東會前夕釋出公司年報（<a href="https://doc.twse.com.tw/server-java/t57sb01?step=1&colorchg=1&co_id=8044&year=111&mtype=F&">連結</a>），揭露資通安全風險管理架構與組織架構。</strong></span></p> </div></div></div>
2022/6/30 18:23作者羅正漢https://www.ithome.com.tw/news/151688
【資安日報】2022年6月30日，中國駭客意圖藉由社群網站干預美國取得稀土金屬的計畫、大型連鎖超市Walmart傳遭勒…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客利用社群網站帶風向，意圖干預他國競爭業者的攻擊行動，這樣的做法甚至有可能進一步操縱其他國家政策，而引起研究人員高度關注。尤其，這起中國駭客發起的攻擊行動Dragonbridge，是涉及稀有金屬資源，想要塑造美國業者不顧當地環境與居民健康的訊息，來拖延該公司想要在美國設立工廠開採這類金屬的進度，進而導致該國很可能不得不向中國低頭的情況。</p> <p>勒索軟體攻擊行動也相當值得留意，尤其是去年出現的駭客組織<a href="https://www.ithome.com.tw/news/147309">Yanluowang （閰羅王）</a>，他們聲稱對大型連鎖超市Walmart下手，加密數萬臺電腦，但與許多攻擊事故不同的是，駭客並未公然外洩該公司大量的內部資料，而是在索討贖金不成後，公布該公司內部網路環境的相關資料，似乎有意吸引其他攻擊團體對其動手，目的有可能是為了報復他們不付贖金。</p> <p>代管微服務的系統一旦出現漏洞，很可能影響的範圍相當廣泛。研究人員揭露微軟微服務應用系統平臺Azure Service Fabric的容器逃逸漏洞FabricScape，雖然是中度風險的漏洞，但該服務涉及百萬支應用程式的代管，同時也是許多微軟服務的底層架構，這個漏洞一旦沒處理好，有可能會嚴重影響眾多IT服務的運作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/dragonbridge-targets-rare-earths-mining-companies"><span style="color: rgb(0, 0, 0);">中國駭客鎖定北美、澳洲稀土金屬業者，發起Dragonbridge攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg" style="width: 300px; float: right;" /></a>駭客為了自己國家的利益，很可能會在社群網站上散布不實言論，來抹黑其他國家的競爭企業。資安業者Mandiant最近揭露中國駭客組織Dragonbridge的攻擊行動，駭客疑似針對澳洲稀土業者Lynas Rare Earths、加拿大稀土業者Appia Rare Earths & Uranium，以及美國稀土業者USA Rare Earth，在社群網站發出不利的訊息，企圖影響上述業者即將進行的計畫，或是開採稀土金屬的行動。</p> <p>由於這些稀土金屬運用於導彈控制系統、飛機引擎等軍事武器，也用於汽車、電腦、手機等產品，在中美貿易戰亦成為中國對付美國的手段，使得美國國防部於2021年與Lynas Rare Earths達成在德州興建工廠；再者，今年6月，Appia Rare Earths & Uranium與USA Rare Earth都宣布發現新的礦源，使得Dragonbridge決定採取行動。</p> <p>這些駭客使用社群網站與論壇的帳號，來散布引人注目的言論，例如，他們假冒德州居民，指控對於工廠可能會帶來當地的環境與居民健康問題，並引用政治人物對於美國總統拜登的國防生產法（Defense Production Act）批評，企圖塑造該工廠會為美國帶來各式問題的風向。</p> <p>研究人員指出，駭客的攻擊究竟會造成多少影響有待觀察，但這也代表駭客有可能利用類似手法來操縱其他美國政治議題，進而讓中國獲得利益。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/walmart-denies-being-hit-by-yanluowang-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型連鎖超市Walmart傳出遭到勒索軟體Yanluowang攻擊，但該公司予以否認</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg" style="width: 300px; float: right;" /></a>去年出現的<a href="https://www.ithome.com.tw/news/147309">勒索軟體Yanluowang （閰羅王）</a>，最近又有新的動作，疑似因對方不付錢，而決定公布內部網路環境的相關資料。根據資安新聞網站Bleeping Computer報導，勒索軟體Yanluowang聲稱在一個多月前，對大型連鎖超市Walmart發動攻擊，加密4萬至5萬臺電腦，並向該公司索討5,500萬美元贖金，但Walmart始終沒有回應。</p> <p>駭客於6月27日公布此事，並上傳了Walmart的內部網路資料，包含了AD使用者名單、該公司的安全憑證檔案，以及經由<a href="https://www.qomplx.com/qomplx-knowledge-kerberoasting-attacks-explained/">Kerberoasting攻擊</a>破解的加鹽密碼，假若這些都是真實資料，其他駭客將有機會用來對Walmart再度下手。</p> <p>對此，Walmart發出聲明，認為上述說法並不準確，該公司的資安團隊全天候監控，並未察覺駭客對他們攻擊得逞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/smash-and-grab-astralocker-2-pushes-ransomware-direct-from-office-docs"><span style="color: rgb(0, 0, 0);">駭客利用Word檔案投放勒索軟體AstraLocker 2.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png" style="width: 300px; float: right;" /></a>為了擴大受到影響的範圍，駭客往往可能會選擇在調查完受害組織內部環境後，才發動勒索軟體攻擊，但現在有駭客採取直接了當的作法，一旦受害者不慎開啟誘餌，就執行檔案加密的工作。</p> <p>例如，資安業者ReversingLabs近期發現勒索軟體AstraLocker 2.0的攻擊行動，駭客疑似利用另一個勒索軟體Babuk外洩的程式碼打造而成，根據駭客用於索討贖金的門羅幣錢包，此勒索軟體很可能與Chaos有關。這些駭客將勒索軟體嵌入Word檔案的OLE物件，並透過網路釣魚來散布。一旦對方開啟了這個Word檔案，並依照指示執行OLE物件，電腦檔案就會隨即被AstraLocker 2.0加密。</p> <p>研究人員指出，這種有別於一般駭客對於組織發動勒索軟體攻擊的過程，代表了運用Babuk程式碼打造的AstraLocker 2.0駭客技能不算強，但想要積極讓許多人受害並支付贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/"><span style="color: rgb(0, 0, 0);">木馬程式ZuoRAT鎖定SOHO族的家用路由器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png" style="width: 300px; float: right;" /></a>駭客鎖定缺乏防護的家用路由器設備，進而站穩腳跟，對網路環境裡的連網設備下手的情況，在許多人處於居家辦公模式的工作狀態下，相當值得留意。</p> <p>資安業者Lumen近期發現木馬程式ZuoRAT的攻擊行動，駭客疑似自2020年12月開始，鎖定中小企業與SOHO族，目標是思科（Cisco）、華碩、Netgear，以及居易（DrayTek）等廠牌的近80款家用路由器，一旦木馬程式成功挾持後，就將這些路由器當作跳板，經用內部網路，透過DNS挾持或HTTP挾持的方式，進行中間人攻擊（MitM），下載CBeacon、GoBeacon、Cobalt Strike等軟體，植入Windows、macOS、Linux電腦。</p> <p>研究人員指出，駭客埋藏攻擊的手法相當精明，只要路由器重開機就會移除ZuoRAT與活動痕跡，而且，他們也能遠端刪除ELF檔案，使得攻擊行動不被發現。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><span style="color: rgb(0, 0, 0);">美國警告駭客利用PwnKit漏洞發動攻擊，要求聯邦機構限期修補</span></a></strong></h3> <p>研究人員於今年年初，揭露存在於Linux系統元件Polkit的重大漏洞CVE-2021-4034（PwnKit），如今已出現了攻擊行動。美國網路安全暨基礎設施安全局（CISA）於6月27日，將PwnKit列為已遭利用的漏洞，並要求聯邦機構限期於7月18日前進行修補。</p> <p>由於這項漏洞影響所有版本的Linux，且公布時已存在長達12年，一旦駭客將其利用就有機會以root權限執行程式碼。CISA雖表明已掌握相關攻擊行動的證據，但沒有說明受害範圍等其他細節。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/"><span style="color: rgb(0, 0, 0);">FabricScape容器逃逸漏洞恐讓攻擊者能讓駭客挾持Azure Service Fabric管理的Linux叢集</span></a></strong></h3> <p>提供建置微服務的系統一旦出現漏洞，有可能危害用戶的容器。資安業者Palo Alto Networks揭露名為FabricScape的容器逃逸漏洞（CVE-2022-30137），存在於微軟微服務應用系統平臺Azure Service Fabric，一旦遭到攻擊者利用，就有可能在Azure叢集執行程式，甚至是接管Linux叢集。</p> <p>雖然微軟將FabricScape列為中度風險漏洞，但此微服務代管了逾百萬應用程式，同時也是Azure許多服務的底層架構，例如，Azure SQL Database、Azure CosmosDB、Cortana，以及Power BI等。微軟已於6月的每月例行修補（Patch Tuesday）修補上述漏洞。研究人員指出，這項漏洞僅影響Linux容器，無法透過Windows容器觸發。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151662"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 102，修補19個漏洞，並新增去除URL追蹤參數的功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sekoia.io/raccoon-stealer-v2-part-1-the-return-of-the-dead/"><span style="color: rgb(0, 0, 0);">竊密程式Raccoon東山再起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/research/ytstealer-malware-youtube-cookies/"><span style="color: rgb(0, 0, 0);">惡意軟體YTStealer挾持YouTuber的帳號</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151669">【2022年6月29日】駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartbleed的OpenSSL漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> </div></div></div>
2022/6/30 16:02作者周峻佑https://www.ithome.com.tw/news/151686
純網保可以申請了！金管會8月開始受理，最快明年第1季可見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會保險局今日（6/30）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202206300005&dtable=News">宣布</a>，8月1日起正式受理純網保申請業務，至10月31日止。為讓業者及早準備，金管會7月將先公布19項申請書件，待10月底受理時間結束後，再進行5個月的審理，預計明年4月給出純網保名單。</p> <p>進一步來說，金管會在去年12月公布開放純網保設立的政策，之後修正4項相關法規，並於昨（6月29日）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=97&parentpath=0%2C2">公告</a>，包括「保險業設立許可及管理辦法」、「保險業招攬及核保理賠辦法」、「保險商品銷售前程序作業準則」和「財產保險業經營傷害保險及健康保險業務管理辦法」等規範。</p> <p>今日，金管會保險局局長施瓊華宣布，金管會將於8月1日起開始受理純網保公司設立申請，並先於7月公告申請純網保公司的相關文件，像是設立許可申請書、發起人名冊、資金來源說明、營運模式及保險商品之規劃，以及自評檢核表等共19項申請書件，方便業者先行準備。</p> <p>申請期間截止後，金管會將花5個月時間審理，審查重點包括申請者的財務能力、發起人/負責人/大股東之適格性、營運模式是否可行、保險商品的創新性和管理機制等。金管會預計在明年4月，給出純網保名單。</p> <p>施瓊華透露，中信金、富邦產險曾與金管會徵詢純網保事宜，外商壽險則尚未詢問過。</p> <p>金管會先前也說明純網保申請條件，如發起人必須是金融機構或金融科技業者，申請家數並未限制。但若是產險純網保申請，資本額必須要10億新臺幣，並以創新型保單為限（如共享運具、外送平臺等碎片型商品），壽險純網保則是20億元，以保障型商品為限。</p> <p>保險局副局長林志憲先前也說明，純網保應有大數據資料分析、介面設計、軟體研發、物聯網、無線通訊業務等具金融科技專業發起人，且保險局規定董事名單中，至少要有一位是科技董事，也就是在金融科技領域工作5年以上、並擔任總公司副理級以上人士。</p> </div></div></div>
2022/6/30 18:04作者王若樸https://www.ithome.com.tw/news/151687
FCC委員希望蘋果與Google移除TikTok程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FCC）現有四名委員之一的Brendan Carr，<a href="https://twitter.com/BrendanCarrFCC/status/1541823585957707776/photo/1" target="_blank">上周去信給蘋果及Google</a>，呼籲這兩家業者自App Store及Google Play將TikTok下架。</p> <p>Carr此一舉動源自<a href="https://www.ithome.com.tw/news/151518" target="_blank">《BuzzFeed News》發現</a>，TikTok在2021年9月至2022年1月間，允許其中國工程師存取美國用戶流量，TikTok反駁了此一控訴，表示已把美國用戶的流量全部導至甲骨文（Oracle）的雲端基礎設施，目前雖然仍使用美國與新加坡的資料中心來存放備份資料，但未來也會全部移轉至甲骨文置放於美國的雲端伺服器上。</p> <p>然而，TikTok的說法並未減輕Carr對該服務可能威脅美國國家安全的擔憂。如同美國對其它中國企業的考量一樣，Carr認為TikTok為中國業者字節跳動所開發的服務，因此必須遵守中國所制定的監控法令，且《BuzzFeed News》所取得的TikTok內部會議語音紀錄中，也明白說出中國TikTok的工具可以把一切內容「看得一清二楚」。</p> <p>Carr表示，光是在今年第一季，TikTok在美國App Store與Google Play的下載量就接近1,900萬次，顯示它帶來不可接受的國家安全風險。</p> <p>Carr認為，TikTok並不僅是個供使用者分享有趣影片或迷因的程式，它是隻披著羊皮的狼，擁有可獲取大量個人及機密資訊的工具，得以蒐集使用者的搜尋、瀏覽歷史紀錄，甚至是生物身分辨識資訊。</p> <p>美國前任總統川普（Donald Trump）曾在2020年8月簽署行政命令，打算在45天之後封鎖TikTok，要求美國個人與實體不得與TikTok及字節跳動進行任何交易，當時此一禁令受到一連串的司法挑戰而遲遲未執行，新總統拜登（Joe Biden）上任後，即於2021年的6月撤銷了該禁令。至於身為FCC委員之一的Carr則與川普同屬共和黨員。</p> </div></div></div>
2022/6/30 16:02作者陳曉莉https://www.ithome.com.tw/news/151685
AI趨勢周報第192期：物件偵測模型YOLOv6新版現身，再次打破速度和準確度天花板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0624～0630)</span></p> <p>各大科技巨頭近日紛紛釋出新模型，比如美團發表新一代物件偵測模型YOLOv6，速度和準確度勝過以往YOLO系列模型，而Meta開源660億參數大型語言模型OPT-66B，同時還釋出完整的部署日誌，堪稱AI圈內第一人。另一方面，俄羅斯最大網路公司Yandex首次開源千億參數語言模型，Google則趁勝發表另一款文生圖模型Parti。除了AI模型，最近也出現重量級AI程式撰寫工具如GitHub的Copilot，AWS也不甘示弱釋出CodeWhisper預覽版。為促進AI民主化，中研院院士孔祥重日前呼籲各界應著重訓練資料、硬體加速和建立產業專屬AI軟體平臺。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">YOLOv6 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美團 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>物件偵測模型YOLOv6新版現身，再次打破速度和準確度天花板</strong></span></p> <p>YOLO系列的最新物件偵測模型YOLOv6問世了，最先<a href="https://github.com/meituan/YOLOv6">釋出的nano</a>版在COCO資料集測試中，拿下35.0%平均精度均值（mAP），用T4顯卡的推論速度可達每秒1,242幀（Fps），s版則是43.1%mAP、每秒520幀，表現比前幾代YOLO系列模型都要好。</p> <p>YOLOv6由中國購物平臺美團視覺智能研發部開發，改善了模型的訓練策略和網路結構，比如，在Backbone和Neck部分，團隊以RepVGG為基礎，設計了可重參數化、更高效的骨幹網路EfficientRep和Rep-PAN Neck，在Head部分，則設計了更簡潔有效的Efficient Decoupled Head，可一面維持精確度、一面降低一般解耦頭的額外時間成本。在訓練策略上，團隊則採用Anchor-free無錨方法，並以SimOTA標籤分配策略和SIoU邊界框迴歸損失，來強化偵測精確度。</p> <p>在部署方面，YOLOv6支援GPU（TensorRT）、CPU（OPENVINO）、ARM（MNN、TNN、NCNN）等不同平臺的部署，簡化一般部署時的配置工作。他們也預告，接下來將開源YOLOv6 m/l/x等大小的模型和量化工具。<a href="https://tech.meituan.com/2022/06/23/yolov6-a-fast-and-accurate-target-detection-framework-is-opening-source.html">（詳全文）</a></p> <p><img alt="" src="https://github.com/meituan/YOLOv6/blob/main/assets/picture.png?raw=true" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源660億參數的超大型語言模型，打破先例附上所有部署日誌</strong></span></p> <p>Meta最近開源具660億參數的大型自然語言預訓練模型OPT-66B，以及所有OPT-125M到OPT-66B等8種系列基準模型的部署日誌，打破先例成為AI圈內首家發布模型、論文和完整註釋的科技巨頭。</p> <p>進一步來說，Meta在5月發表了與GPT-3相當的大型Transformer模型OPT-175B，參數量為1,750億，但非常省能源，只產生七分之一訓練GPT-3所需的碳足跡。OPT-175B雖只支援非商業性授權，但在發表的同時，Meta也在最近補上125M、350M、1.3B、2.7B、6.7B、13B、30B和66B版本的模型部署參數，並在推特上說明。<a href="https://twitter.com/MetaAI/status/1539702714141011969?cn=ZmxleGlibGVfcmVjcw%3D%3D&refsrc=email">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI民主化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產業專屬平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訓練資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>孔祥重：AI民主化首重訓練資料、運算系統和產業AI平臺</strong></span></p> <p>孔祥重日前在陳昇瑋紀念講座中指出，為了讓更多人使用AI，臺灣產業可從3大層面著手，包括納入更多元的新訓練資料、建造有效率的AI運算系統，以及發展產業專屬AI軟體平臺。</p> <p>他解釋，資料驅動的AI系統先天有些限制，像是資料偏移和偏差，但納入更多新訓練資料、採用如自監督學習等方法，可打破限制、擴大AI使用範圍。再來，透過更多通用AI加速器和晶片的發展，可讓AI運算系統更有效率，降低資料在晶片間移動的成本。最後，他鼓勵各產業發展專屬的共享AI軟體平臺，比如由製造業龍頭建造一個AI軟體開發維護平臺，來讓中小型製造業管理資料、維護模型，而臺灣人工智慧學校，則可扮演專案協調和案例教學的角色，來讓更多企業使用模型。<a href="https://www.facebook.com/events/549878499943725/?acontext=%7B%22ref%22%3A%2252%22%2C%22action_history%22%3A%22[%7B%5C%22surface%5C%22%3A%5C%22share_link%5C%22%2C%5C%22mechanism%5C%22%3A%5C%22share_link%5C%22%2C%5C%22extra_data%5C%22%3A%7B%5C%22invite_link_id%5C%22%3A433551968553783%7D%7D]%22%7D">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-06-30%20130819.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Parti </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖生文 </span></strong></span></p> <p><span style="font-size:22px;"><strong>才剛發表Imagen逼真文生圖模型，Google再推新模型Parti</strong></span></p> <p>Google前陣子才發表令人驚艷、表現優於OpenAI DALL-E 2的文生圖模型Imagen，最近又發布一款新版進階模型Parti，可根據文字產生天馬行空但逼真的圖片，但模型未開源。</p> <p>雖然DALLE-E 2、Imagen和Parti都以Transformer架構為基礎，但有別於前兩者採用擴散模型、可將隨機的點樣式轉換為影像，Parti使用自迴歸模型，先將一組圖片轉換為一系列代碼條目，再將輸入的字句，轉換為這些代碼條目，並產生一張圖片。Google發表的Parti有幾種版本，包括3.5億參數、7.5億參數、30億和200億參數的版本，目前仍在優化模型的不足，像是特徵混合、錯誤的物件計數等。<a href="https://parti.research.google/">（詳全文）</a></p> <p><img alt="" src="https://parti.research.google/assets/parti_overview.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub正式推出AI寫程式幫手Copilot，月租10美元、學生免費</strong></span></p> <p>GitHub正式上線AI程式自動撰服務GitHub Copilot，每月訂閱費用為10美元，年費則是100美元，學生與熱門開源專案的維護者可免費使用。GitHub Copilot是GitHub與OpenAI共同開發的服務，底層技術為OpenAI打造的AI系統Codex。該系統以Transformer為基礎，以大量程式碼和自然語言訓練而成，可同時理解程式和人類語言，並根據工程師撰寫的程式碼，提出整行程式或整個函式的撰寫建議。</p> <p>在經歷過一整年共120萬名開發者的預覽後，GitHub Copilot現可整合到Neovim、JetBrains IDEs、Visual Studio與Visual Studio Code 等開發環境。<a href="https://github.com/features/copilot">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-06-30%20131536.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Yandex </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Yandex開源1千億參數語言模型</strong></span></p> <p>俄羅斯最大網路公司Yandex日前<a href="https://github.com/yandex/YaLM-100B">開源</a>1,000億個參數的YaLM 100B語言模型。為訓練模型，Yandex先從網路、書籍和眾多來源收集英文及俄文等17TB的資料，花了65天的時間，利用800張A100顯卡的叢集上，來訓練YaLM 100B。特別的是，YaLM也實際應用在Alice數位語音助理和搜尋引擎上，超過1年多了。</p> <p>Yandex表示，大型語言模型近年來已是NLP的進展關鍵，但大型模型的訓練耗時耗力也耗大量資金，如數百萬美元，導致只有科技巨頭才能發展這種先進技術，若要這個領域快速進展，就必須允許全球研究人員、開發者來使用這些解決方案，這也是Yandex決定開源的原因，並分享訓練經驗。<a href="https://medium.com/yandex/yandex-publishes-yalm-100b-its-the-largest-gpt-like-neural-network-in-open-source-d1df53d0e9a6">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 寫程式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CodeWhisper </span></strong></span></p> <p><span style="font-size:22px;"><strong>不只GitHub有，AWS也預覽程式撰寫AI小幫手</strong></span></p> <p>不只GitHub上線AI程式撰寫工具Copilot，AWS最近也預覽一項ML程式撰寫輔助服務Amazon CodeWhisper，可支援多種IDE和Python、Java、JavaScript等程式語言，可幫助學生、開發新手或資深開發人員加速開發、提高生產力。</p> <p>進一步來說，AWS用開源儲存庫、自有儲存庫、API文件和論壇上數十億行程式碼來訓練CodeWhisper，可根據使用者原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼，來提供建議。開發者可直接套用或客製化加工。AWS透露，預覽版的CodeWhisper支援Visual Studio、IntelliJ IDEA、PyCharm、WebStorm、AWS Cloud9，以及Python、Java、JavaScript，之後會新添AWS Lambda Console。<a href="https://aws.amazon.com/blogs/aws/now-in-preview-amazon-codewhisperer-ml-powered-coding-companion/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/06/14/co_s3_a_1.png" style="width: 511px; height: 209px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 負責任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉部辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟公布負責任AI指導準則，將限制部分臉部辨識能力</strong></span></p> <p>微軟近日更新負責任AI的指導準則，6月起就會限制部分AI臉部辨識。微軟更新的準則，是2019年公布的6項AI開發及應用準則，包括公平、可靠性、隱私及安全性、包容性、透明性及權責等。最近，微軟根據新研究結果加以改良，將新版負責任AI容納三點。</p> <p>首先是語音轉錄，該技術對少數族群的辨識錯誤率偏高，微軟將擴大訓練樣本多元性。再來是AI聲音模擬和臉部辨識服務，微軟Azure AI的神經網路語音服務可用AI模擬出原人物相仿的聲音，但可能被用作Deepfake影片，AI臉部辨識亦是如此，微軟將納入多層控管框架，限制可使用的客戶、明確定義使用情境。最後則是限制Azure Face臉部辨識服務，微軟將拿掉這項服務推論情緒狀態，以及辨識性別、年齡、微笑、臉部毛髮、頭髮及化妝的能力。<a href="https://blogs.microsoft.com/on-the-issues/2022/06/21/microsofts-framework-for-building-ai-systems-responsibly/">（詳全文）</a></p> <p>圖片來源／美團、孔祥重、Google、GitHub、AWS</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. AWS機器學習基準值服務SageMaker Ground Truth也支援合成資料了</strong></p> <p><strong>2. Amazon展示首款全自動化行動機器人Proteus</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/30 13:53作者王若樸https://www.ithome.com.tw/news/151684
微軟Azure Service Fabric漏洞可導致駭客接管叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/#The-Vulnerability" target="_blank">研究人員揭露</a>微軟Azure Service Fabric服務一項漏洞，最嚴重可導致Azure叢集執行程式甚至接管叢集。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30137" target="_blank">這項漏洞微軟已在6月修補</a>，發現該漏洞的安全廠商<a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/" target="_blank">Palo Alto Unit 24研究團隊於本周才說明細節</a>。</p> <p>這個漏洞影響微軟微服務應用平臺Azure Service Fabric。Service Fabric上，Azure雲端上的應用可切分成許多微服務，以便在不動到底層架構情況下獨立更新、維護。微軟表示，Service Fabric已代管超過100萬個應用程式，每日執行核心數百萬。它也是Azure許多服務的底層，包括Azure Service Fabric、Azure SQL Database和Azure CosmosDB，以及Cortana及Power BI等其他微軟服務。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2022/06/word-image-96.png" style="width: 500px;" /></p> <p>微軟6月修補編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30137" target="_blank">CVE-2022-30137</a>的漏洞時，僅描述它是容器權限擴張漏洞，列為中度風險漏洞。</p> <p>Service Fabric是以容器執行應用程式，在每次啟動容器時，Service Fabric會在每個容器內建立具有讀寫權限的新log目錄。所有log目錄又以Service Fabric的資料蒐集代理程式（DCA）集結以便稍後執行。為了存取所有目錄，DCA具有在所有節點以根權限執行的特權，但另一方面DCA處理的檔案又可為容器修改，因此只要能修改這些檔案，即可造成容器逃逸，並取得該節點的根執行權限。</p> <p>漏洞就出在DCA裏一個讀取檔案、檢查內容格式及修改、覆寫檔案內容的函式（GetIndex）。該函式又使用2個子函式負責讀取（LoadFromFile）及修改檔案（SaveToFile）的行為。研究人員指出，這裏產生了符號連結競爭（symlink race），讓進駐容器內的攻擊者先載入惡意檔案（或不知情的使用者執行檔案），在DCA讀取及覆寫處理下，利用DCA根權限，以惡意檔案覆寫掉節點檔案系統中的檔案。結果是使用者在節點內執行惡意程式，或是攻擊者接管容器甚至叢集。</p> <p>不過研究人員指出，雖然這類行為可在Linux及Windows容器內觀察，但開採漏洞僅能在Linux容器內實現，因為Windows容器內，沒有授權的攻擊者無法建立符號連結。</p> <p>微軟已針對Linux版本Azure Service Fabric釋出更新。研究人員並未發現有任何成功開採漏洞的情形，微軟建議未啟動自動更新的客戶應升級Linux 叢集到最新版Service Fabric。微軟及安全廠商也呼籲用戶，不要執行未獲信任的應用程式。</p> </div></div></div>
2022/6/30 13:22作者林妍溱https://www.ithome.com.tw/news/151683
MicroStrategy持續收購比特幣作為儲備資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1050446/000119312522184423/d374401d8k.htm" target="_blank">商業智慧軟體開發商MicroStrategy本周指出</a>，從今年的5月3日到6月28日之間，已以大約1,000萬美元的現金，陸續購入了480個比特幣（Bitcoin），平均每個比特幣的價格為20,817美元，也讓該公司的比特幣儲備資產增加到129,699個。</p> <p>MicroStrategy是在2020年的8月開始以比特幣取代現金，作為該公司主要的儲備資產，當時MicroStrategy已握有21,454個比特幣，投資金額為2.5億美元，到了2021年2月時，MicroStrategy已擁有90,531個比特幣，總成本為21.71億美元，當時平均每個比特幣的價格為23,985美元。</p> <p>這期間MicroStrategy依然陸續伺機購入比特幣，也在今年5月3日至6月28日之間，趁著全球加密貨幣價格不斷下滑之際，再以1,000萬美元買下了480個比特幣。</p> <p>現在的MicroStrategy已收購了129,699個比特幣，成本為39.8億美元，平均每個比特幣的收購價則是30,664美元。</p> <p>全球經濟不振與通貨膨脹不僅影響了全球股市，也波及加密貨幣市場，比特幣在2021年的11月曾創下67,802美元的價格，但本周只剩2萬美元左右，儘管外界曾批評MicroStrategy以比特幣作為公司主要儲備資產的政策，但該公司執行長Michael Saylor曾對外表示，他並不後悔此一決策，亦樂觀看待比特幣的未來。</p> </div></div></div>
2022/6/30 12:29作者陳曉莉https://www.ithome.com.tw/news/151681
iFixit開始提供Google Pixel手機維修套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150354" target="_blank">Google今年4月宣布</a>將加入DIY維修陣營，透過DIY維修教學網站iFixit提供Google Pixel的官方零件與工具供使用者自行維修，本周位於<a href="https://www.ifixit.com/Store/Parts/Google-Phone" target="_blank">iFixit上的Google手機零件商店</a>正式開張。</p> <p>雖然Google表示該DIY維修計畫僅支援Pixel 2至Pixel 6手機，但iFixit網站上所陳列的Pixel型號與相關工具卻溯及第一代的Pixel手機，但同樣未供應今年5月出爐的Pixel 6a零件。</p> <p>以Pixel 6為例，iFixit站上提供了螢幕維修套件，若不含工具的售價為119.99美元，包括工具的售價為126.99美元；電池售價為42.99美元，包含工具的套件為49.99美元；使用者也可自行維修相機，零件售價為199.99美元，納入工具的售價為126.99美元。</p> <p>除了工具之外，使用者亦可自iFixit取得Pixel手機的拆解與維修指南。</p> </div></div></div>
2022/6/30 13:04作者陳曉莉https://www.ithome.com.tw/news/151682
ZuoRAT攻擊SOHO路由器以感染Mac、Windows設備，華碩等產品中標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/" target="_blank">研究人員發現</a>一隻名為ZuoRAT的木馬程式攻擊多款北美及歐洲等地小型企業及家用路由器，以便感染其他連網設備，包括思科、華碩在內等近80款產品曾遭到鎖定。</p> <p>Lumen Technologies的Black Lotus Labs研究人員近日發現一波鎖定中小企業及家用（SOHO）路由器的攻擊，允許攻擊者劫持這些設備後以之為跳板，經由用戶本地網路（LAN）感染其他同網路上的Windows、MacOS及Linux連網設備。研究人員目前發現有思科（Cisco）、華碩、Netgear及居易科技（DrayTek）等品牌的家用路由器產品成為目標。</p> <p>研究人員分析，這波攻擊是一種多階段攻擊，先由ZuoRAT打頭陣。Zuo取自中文的「左」，因它包含一個asdf.a的檔案，是利用鍵盤左手的4個字母組成。ZuoRAT是一個專為SOHO路由器撰寫的MIPS檔案，可能是經由路由器產品漏洞植入。ZuoRAT具有列舉主機及內部LAN、蒐集感染裝置封包，以及進行中間人攻擊（person-in-the-middle）的能力。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig1_ProcessOverview-1.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Black Lotus Labs</span></span></p> <p>一旦進入路由器設備後，攻擊就進入第二階段。在列舉連網裝置及LAN網路，尋找到目標後， ZuoRAT利用兩種方法進行中間人攻擊以存取這些設備，包括以DNS劫持及HTTP劫持。DNS劫持是置換路由器到外部服務網域如Google或Facebook的IP位址，後者則是在裝置對外連線時注入HTTP連線，製造302錯誤訊息。兩者的目的皆是將用戶連線導向惡意IP位址。研究人員指出，這2種劫持法相當難以偵測。</p> <p>在攻擊第3階段ZuoRAT結合一個C++下載器程式，植入後續其他程式，包括CBeacon、GoBeacon及Cobalt Strike。其中CBeacon是針對Windows工作站等環境的C++木馬程式，GoBeacon則是可橫跨Linux及macOS平臺。Cobalt Strike則作為輔助之用，三者都是全功能型木馬程式。可和其他被當成C&C伺服器的裝置建立連線，上傳下載檔案，執行程式碼及在裝置內滲透潛伏。</p> <p>研究人員分析第一階段ZuoRAT活動，顯示感染源自華碩、思科、居易科技及Netgear的設備。不過在研究期間出現開採活動者僅剩一臺中國品牌Techdata的JCG-Q20路由器。研究人員解釋，這是因為攻擊者使用高明的潛伏手法。路由器重開機就能移除ZuoRAT及任何活動痕跡，此外攻擊者也能遠端刪除裝置內的ELF檔，再下載新版C&C程式。</p> <p>而被駭入的路由器產品也可以當成C&C代理伺服器，和其他被感染的路由器相互通訊，例如Black Lotus Labs研究人員觀察到，至少在去年最後3個月期間，北美的多臺路由器連到1臺位於臺灣的Vigor DrayTek路由器，但後來又轉到位於加拿大的路由器。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig3_ZuoRAT_ProxyC2_Diagram-1.png" style="width: 505px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Black Lotus Labs</span></p> <p>研究人員分析，從攻擊感染的路由器年份來看，這波攻擊至少從2020年12月開始，在一年多期間共有約80臺裝置遭到感染。</p> <p>對一般消費者及用戶，研究人員建議應定期重開路由器，並安裝安全更新及修補程式，最好有EDR（endpoint detection and response）方案。至於企業，<a href="https://github.com/blacklotuslabs/IOCs/blob/main/ZuoRAT_IoCs.txt" target="_top">研究人員建議使用廠商提供的IOC辨識可疑檔案</a>，或使用SASE（Secure Access Service Edge）或類似方案。</p> </div></div></div>
2022/6/30 11:51作者林妍溱https://www.ithome.com.tw/news/151678
美國要求聯邦機構限時修補PwnKit安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149096" target="_blank">資安業者Qualys於今年1月揭露</a>一個存在Linux系統管理元件Polkit長達12年的安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-4034" target="_blank">CVE-2021-4034</a>，該漏洞允許駭客以根權限執行程式碼，而且波及所有主要Linux版本，又被稱為PwnKit漏洞。由於已發現針對該漏洞的攻擊行動，使得美國網路安全及基礎設施安全局<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">（CISA）於本月27日將它納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中</a>，要求美國聯邦機構必須在7月18日以前修補。</p> <p>Polkit負責制定與處理在Linux系統上可允許非特權程序及特權程序通訊的政策，其中的Pkexec工具可利用setuid功能代其它使用者執行命令，PwnKit漏洞即允許非特權的本地端駭客擴張權限，繞過任何政策與身分認證，取得管理員權限，從Red Hat、Ubuntu、Debian、Fedora到CentOS等Linux版本都受到影響。</p> <p>當Qualys在1月25日公布PwnKit漏洞之後的幾個小時，相關的概念性驗證程式就問世了。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog" target="_blank">CISA僅說已發現該漏洞遭到開採的證據</a>，並未說明受害者或攻擊內容。</p> <p>值得注意的是，除了PwnKit漏洞之外，CISA當天也將另外7個漏洞納入「已知遭開採漏洞」目錄中，包括Google於去年5月就修補的Chromium漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-30533" target="_blank">CVE-2021-30533</a>，以及蘋果自2018年到2021年間所修補的5個安全漏洞。</p> <p>除了要求聯邦機構限時修補之外，CISA也強烈建議所有組織應該優先修補被列入此一已遭開採目錄的所有安全漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/files/Known%20Exploited%20Vulnerabilities%20Catalog%20_%20CISA-0627.pdf" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 參考資訊 </span></span> CISA在6月27日所新增的「已知遭開採漏洞」名單</strong></a></p> </div></div></div>
2022/6/30 12:16作者陳曉莉https://www.ithome.com.tw/news/151679
微軟揭露俄烏戰事網路安全態勢，需面對3大網路攻擊策略，並提出從早期戰事得來的5大結論
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_jie_lu_e_luo_si_gong_ji_wu_ke_lan_wang_gong_jiao_xun_960_tu_pian_lai_yuan_wei_ruan_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在6月22日發布網路戰爭報告，名為《捍衛烏克蘭：網路戰爭的早期教訓》（Defending Ukraine:Early Lessons from the Cyber War），這是微軟威脅情報與資料科學團隊所進行的研究，目的是釐清對這場持續性戰爭威脅形勢，並從蒐集與分析的數據，試圖理解在這過程發生的各種網路攻防行動。</p> <p>過去我們已經看過許多烏克蘭戰爭的分析，微軟這份報告相當特別，不僅總結出俄羅斯發動戰爭時所採取的網路攻擊戰略，同時給出面臨現代網路戰爭數項不同的重要觀察。</p> <h3><strong>攻擊並不只針對烏克蘭，也針對北約國家與烏盟國發動攻擊，還有全球網路輿論影響</strong></h3> <p>在此報告中指出，這4個月以來，俄羅斯駭客的攻擊行動，不僅是針對烏克蘭的48個政府組織與企業，同時也企圖滲透全球，計有全球42個盟國的128個組織遭俄羅斯網路攻擊，而且，還會在網路上利用複雜而廣泛的影響外國行動（foreign influence operations），也就是一般稱之內外宣、輿論操弄的攻擊策略，破壞歐美團結與壯大他們的戰爭力量。</p> <p>而且，在這份報告的開場中，微軟公司總裁Brad Smith即指出，每場戰爭的歷史通常記載了第一聲槍響，以及誰目睹了這些槍響。這場烏克蘭戰爭，俄羅斯軍隊在今年2月24日湧入烏克蘭邊境，但事實上，第一槍是在23日先打響，俄羅斯針對烏克蘭電腦，使用了一種名為「Foxblade」狐狸之刃的網路武器。這也反應了當前的戰爭型態，已經結合了軍事攻擊與網路攻擊。</p> <h3><strong>剖析俄軍有三大網路攻擊戰略，提出這場網路戰爭下5大經驗觀察與重點</strong></h3> <p>細讀微軟這份研究報告，有兩大焦點值得關注，一是揭露俄羅斯的三大網路攻擊策略，另一是提出實體與網路戰爭的五大觀察與結論。</p> <p>由於現代軍事戰爭已經與網路戰爭相結合，不像過去長期以來可由疆界、海洋來提供保護，因此要對抗俄羅斯這個網路大國，烏克蘭的網路防禦，有很大程度是依賴於國家、企業與非政府組織的聯盟。</p> <p>根據微軟這4個月來的觀察，俄羅斯在網路攻擊策略上，至少採取三大策略，分別是：（一）在烏克蘭境內發動破壞式的攻擊，（二）在烏克蘭境外展開網路滲透與間諜攻擊，（三）針對全球民眾發起網路輿論影響行動（cyber-influence operations）。</p> <p>而在這場戰事之下，是否有更好應對這類的威脅的方法？微軟提出五大觀察。</p> <h3><span style="color:#0099ff;"><strong>一、要防禦軍事入侵，對大多數國家來說，現在需要有能力將數位業務與資產，跨境轉移到其他國家</strong></span></h3> <p>戰爭發生至今，俄羅斯早期就針對烏克蘭政府資料中心，發動巡弋飛彈攻擊，並針對當地自建的電腦網路環境，發動資料刪除的毀滅式（Wiper）攻擊。而烏克蘭政府應變動作相當快速，將其數位基礎設施轉移到位於</p> <p>歐洲的代管資料中心上，因此得以維持其民事與軍事行動。這就涉及了整個科技產業的緊急行動，微軟也包括在內。</p> <h3><span style="color:#0099ff;"><strong>二，有賴於先進的網路威脅情資與端點保護，讓烏克蘭得以高比例抵抗住俄羅斯的毀滅式攻擊</strong></span></h3> <p>從針對48個烏克蘭組織的攻擊行動來看，俄羅斯駭客滲透特定網域環境後，先破壞數百臺電腦，再散播惡意程式，破壞其他數千臺電腦的軟體與資料。而在威脅情報進步與運用AI技術之下，加上連網端點保護機制的運作，讓烏克蘭得以快速辨識及封鎖惡意程式。</p> <h3><span style="color:#0099ff;"><strong>三、隨著各國聯合起來保衛烏克蘭，俄羅斯情報機構對與烏克蘭同盟國家的政府，逐步擴大進行網路滲透與間諜活動</strong></span></h3> <p>微軟發現俄羅斯對烏克蘭以外的42國、128個組織，發起滲透行動，除了美國、北約成員國是頭號目標，提供軍事與人道主義援助後勤的波蘭也是目標，近兩個月來，鄰近戰場的丹麥、挪威、芬蘭、瑞典與土耳其面臨類似的網路攻擊活動也增加。</p> <p>這些國家的政府機關、人道主義組織、IT公司，以及能源與其他關鍵基礎設施供應商，都成為俄羅斯的攻擊目標。根據微軟觀察，俄羅斯的攻擊成功比例為29％，而這可能還是一個低估的數據。</p> <p>較特別的是，微軟認為各國政府仍將大部分心力放在自建的環境，而非雲端服務，美國可能已在SolarWinds攻擊事件中學到教訓，但歐洲政府的警覺性相對較低。因此，這代表仍存在著重大的集體防禦弱點。</p> <h3><strong><span style="color:#0099ff;">四、透過其他網路活動的串連與指揮，俄羅斯機構對全球民眾展開影響網路輿論的行動，壯大戰爭力量</span></strong></h3> <p>這些行動鎖定四種民眾。第一是俄羅斯人民，目的是宣揚攻擊的正當性；第二是烏克蘭人民，企圖削弱該國抵禦俄羅斯攻擊的意願與信心；第三是美國與歐洲人民，目的是破壞歐美團結，轉移對俄羅斯犯下戰爭罪的批評；第四是其他未與烏克蘭結盟國家的民眾，煽動他們在聯合國與其他地區表態支援俄方的立場。</p> <p>根據微軟的估計，自戰爭開始後，俄羅斯在烏克蘭的影響力傳播增加了216%，在美國也增加了82%。</p> <h3><span style="color:#0099ff;"><strong>五、基於烏克蘭抵禦俄羅斯的經驗，應採取協調與全面進行的戰略，加強防禦以應對各種網路破壞攻擊、間諜活動，以及網路影響活動</strong></span></h3> <p>除了需認知俄羅斯網路威脅是俄羅斯政府內外共同發動，微軟指出，全球應體認這與傳統威脅的差異，網路安全回應必須依賴更廣泛的公私合作，促成政府之間的多邊合作也更形重要，同時，還要在維護言論自由的前提之下，抵禦各種影響網路輿論的行動。</p> <p>微軟呼籲，全球在面對網路攻擊時應該更加團結，並且必須擬定全面的策略，關鍵在於，防禦策略必須考量網路行動與軍事行動的協調，各國可藉由提高偵測、防禦、破壞及阻止威脅的能力，來作為主要防禦策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>對於俄羅斯攻擊烏克蘭的行動，微軟指出俄羅斯採用網路攻擊與軍事攻擊交互攻擊的戰略，並從蒐集與分析的數據，提出從抗戰中面對網路攻擊所觀察到的5個結論。圖片來源／微軟</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）微軟揭露俄羅斯攻擊烏克蘭網攻教訓_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>關於俄羅斯毀滅式攻擊使用的惡意程式家族，包括：●WhisperGate / WhisperKill　●SonicVote, aka HermeticRansom　●DesertBlade　●Lasainraw, aka IssacWiper　●FoxBlade, aka HermeticWiper　●CaddyWiper　●Industroyer2　●FiberLake, aka DoubleZero（</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在俄羅斯軍隊攻擊烏克蘭這四個月來，俄羅斯駭客的網路攻擊的目標，不只是攻擊烏克蘭40多個政府單位與企業，也針對北約國家與其他烏克蘭盟國，根據微軟統計，有42個國家128個組織也成攻擊目標，當中有接近半數是政府機關（49%），其次為IT企業（20%）、關鍵基礎設施(19%)、非營利事業組織（12%）。此外，微軟並估計俄國駭客的攻擊至少有29%以上的成功率。（圖片來源／微軟）</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟指出俄羅斯政府的網路影響行動（Cyber influence operations），由俄羅斯總統辦公廳，以及俄羅斯外交部（MFA）、俄羅斯情報局（GRU）、俄羅斯外國情報局（SVR）、俄羅斯聯邦安全局（FSB），以及俄羅斯國防部（MOD）主導。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> <p><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>微軟認為，對於阻止俄羅斯網路威脅需抱持四大原則，認知俄羅斯網路威脅是俄羅斯政府內外共同發動，促成更廣泛的公私合作，以及政府之間的多邊合作，同時要在民主社會維護言論自由的前提之下，抵禦各種影響網路輿論的行動，即使需採取新的全面方法來因應這樣的威脅。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/%E4%BF%84%E7%BE%85%E6%96%AF">俄羅斯</a></div><div class="field-item even"><a href="/tags/%E7%83%8F%E5%85%8B%E8%98%AD">烏克蘭</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E5%AE%B6%E7%B4%9A%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">國家級網路攻擊</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%88%AD">網路戰爭</a></div></div></div>
2022/6/30 10:14作者羅正漢https://www.ithome.com.tw/tech/151672
Meta加碼押寶短影音服務，Reels新推更多創作者營利管道和行銷用API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Meta推出多項政策，加大力道推廣短影音功能Reels。短短數周內，一口氣推推出多項新功能，更多創作者營利管道，以開放第三方行銷管理平臺串接的API，來吸引一般使用者、職業創作者及行銷公司三大族群。</p> <p>短影音平臺Tiktok崛起，快速吸引大量高黏著度使用者，讓其他社群媒體產生警覺，為避免流失使用者，Youtube、Meta相繼推出短影音服務，來搶奪短影音市場。Instagram是Meta仿Tiktok功能實驗場，Reels短影音已經占了IG總使用時間的2成。IG近日更開始跟進測試十分神似Tiktok全螢幕影音的介面，不再堅持正方形影音的設計，還掩蓋掉上方限時動態欄位，國外社群更以IG要整型成Tiktok來形容。而Meta押最多寶的仿Tiktok功能，還屬短影音IG Reels，後來也在Facebook推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/instafs.png" style="width: 300px;" /></p> <p>Reels推出後，陸續新增節奏字卡、轉場、綠幕等功能，IG社群也將不少Tiktok的玩法帶到Reels上如法炮製。IG近日又推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成短影音。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者以他人影音內容，作為創作素材的功能。IG也仿效Tiktok不斷鼓勵使用者用創作熱門畫題的衍生內容，來豐富內容、活絡參與的策略。</p> <p>除了提供一般使用者更多生成Reels內容的管道，Meta端出了更多誘因來吸引專業創作者。Meta執行長Mark Zuckerburg近日宣布，原先只適用IG創作者的獎勵計畫Reels Play Bonus，將擴及到Facebook Reels創作者，Facebook也會依照Reels表現，發送獎勵金給創作者。另外，本來只能用來打賞遊戲實況主的Facebook Stars代幣，將能用於打賞Reels創作者。讓創作能從社群端直接賺取收益，透露出Meta除了鼓勵創作者製作短影音，還企圖激勵他們用心經營社群，為平臺留住使用者。</p> <p>Meta也新推出Reels API，能串接第三方行銷管理平臺，並從外部進行內容發布、分析表現數據、管理留言、搜尋關鍵字等操作。Reels API功能將透過Meta既有的行銷用Graphs API發布，6月28日到7月6日期間逐步開放給所有安裝任一Graph API的開發者。開發者在自家App中使用Reels API不需重新送審App，或要求額外使用者權限。</p> </div></div></div>
2022/6/30 10:31作者郭又華https://www.ithome.com.tw/news/151673
【資安日報】2022年6月29日，駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartble…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月有駭客組織聲稱他們從GPU大廠Nvidia取得大量內部資料，而引發軒然大波，本週又有駭客組織宣稱他們從處理器大廠AMD取得大量資料。自去年底出現的新興駭客組織RansomHouse，甫於6月上旬對非洲大型連鎖超市下手，這個組織最近聲稱他們竊得處理器大廠AMD的內部資料，並嘲笑該公司員工使用了弱密碼，使得他們能輕鬆取得450 GB的資料。</p> <p>自2014年出現的加密程式庫OpenSSL重大漏洞Heartbleed引起關注後，最近有研究人員發現嚴重程度能夠與其比擬的新漏洞。不過，這個漏洞必須在特定版本的OpenSSL與作業環境才能觸發，其後續帶來的影響有待觀察。</p> <p>建置在企業資料中心的各種內部伺服器應用，按理來說，應該受到網路防火牆的保護，而不該暴露在網際網路上，但此類具有高風險的組態設定仍層出不窮，而本週出現類似狀況的系統是支撐雲端原生環境的Kubernetes，有資安業者發現曝露於網際網路的Kubernetes執行實體（Instance）數量，竟然超過9萬臺，並呼籲組織要做好相關防護。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/ransomhouse-group-amd-advanced-micro-devices/"><span style="color: rgb(0, 0, 0);">駭客組織RansomHouse宣稱從AMD竊得450 GB內部資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg" style="width: 300px; float: right;" /></a>日前攻擊非洲大型連鎖超市Shoprite的駭客組織RansomHouse，最近聲稱也竊得IT大廠的內部資料。根據資安防護軟體介紹網站Restore Privacy的報導，RansomHouse宣稱於今年1月，成功入侵AMD的網路，並竊得逾450 GB的資料，經研究人員對於駭客公布的部分資料進行比對，很有可能是來自AMD。</p> <p>但這些駭客如何竊得該公司的資料？駭客指出，這家IT巨頭的員工使用弱密碼，像是Password、P@ssw0rd、123456等，使得他們很容易猜到，並成功取得的該公司的機密檔案。對此，AMD表示他們知悉此事，並著手調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/revive-from-spyware-to-android-banking-trojan"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Revive疑似透過攔截簡訊來繞過雙因素驗證</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot 2022-06-27 at 14_11_58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot%202022-06-27%20at%2014_11_58.png" style="width: 300px; float: right;" /></a>駭客使用木馬程式對銀行用戶手機下手的情況，現在也變得更加針對特定銀行而來，甚至有機會突破雙因素驗證機制。資安業者Cleafy近期揭露名為Revive的安卓金融木馬程式，該軟體鎖定西班牙BBVA銀行用戶而來，並宣稱為了提升安全性，用戶必須安裝附加元件來進行強化。</p> <p>駭客為了讓對方相信確有其事，不只為該元件建置了專屬網站，還有教學影片解析整個安裝流程。一旦受害者照做，手機就會被安裝木馬程式Revive，然後要求授予此App存取簡訊與通話的權限，而這個惡意程式平時是在後臺執行的鍵盤側錄工具，記錄受害者輸入的內容，並定期傳送到C2。</p> <p>研究人員指出，駭客透過冒牌的銀行登入網頁來取得帳密，然後再攔截特定簡訊，藉此繞過雙因素驗證（MFA）流程，雖然這個惡意程式處於早期開發階段，但已具備繞過銀行身分驗證措施的能力而不容輕忽。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/22/quantum-software-lnk-file-based-builders-growing-in-popularity/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用Quantum惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png" style="width: 300px; float: right;" /></a>駭客濫用Windows捷徑（LNK）檔案來載入惡意程式的手法，在攻擊事件裡也不時會出現。資安業者Cyble最近揭露惡意軟體Quantum的動態，駭客在地下論壇兜售這款軟體與相關工具，費用為每月189歐元起，並宣稱能透過他們提供的建置工具，打造LNK、ISO、HTA格式的檔案，來包裝Quantum，此外，客戶可透過賣家提供的工具，來指定產生的Quantum能否可繞過使用者存取控制（UAC）、執行的路徑、所需搭配的DLL程式庫檔案等。</p> <p>附帶一提的是，這些駭客還聲稱能利用MSDT漏洞CVE-2022-30190（Follina），來散布惡意程式。</p> <p>研究人員針對近期出現的Quantum惡意程式，與北韓駭客組織Lazarus的手法進行比對後，發現該組織近期疑似使用此惡意程式發動發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/27/exposed-kubernetes-clusters/"><span style="color: rgb(0, 0, 0);">逾9萬個K8s實體曝露在網際網路，恐成為駭客下手的目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png" style="width: 300px; float: right;" /></a>組織的自動化容器管理系統Kubernetes（K8s）若是配置不當，很有可能曝露內部的機敏資訊。資安業者Cyble提出警告，他們近期發現至少有超過9萬個K8s實體（Instance）曝露於網際網路，當中又以位於美國的實體最多，高達6成5（58.5萬個），其次是有14%位於中國、9%於德國。</p> <p>而從這些K8s所使用的連接埠來看，又以443埠最多，約103.8萬個；10250埠其次，有23.1萬個。而這些曝露於網際網路上的K8s主機，研究人員發現有799個會直接對攻擊者公開（會向存取K8s的用戶端，發出錯誤代號200的回應），甚至有些知名公司所用的K8s主控台、管理儀表板並未啟用密碼保護，使得駭客無需密碼就有可能從從網際網路上存取K8s的重要元件，或是執行相關操作。但為何與上個月ShadowServer發現有38萬臺K8s的資料相差甚遠？研究人員認為，原因很可能與掃描的範圍有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/"><span style="color: rgb(0, 0, 0);">研究人員揭露OpenSSL的漏洞，恐導致記憶體損壞</span></a></strong></h3> <p>開源加密程式庫OpenSSL甫於6月21日發布3.0.4版，但有研究人員發現當中新的弱點，且可能會導致比Heartbleed更嚴重的後果。資安研究人員Guido Vranken揭露OpenSSL 3.0.4版存在的漏洞，一旦攻擊者觸發該漏洞，就有可能遠端執行程式碼，並強調遭到利用的後果可能會非常嚴重，有可能超越Heartbleed。</p> <p>不過，這項漏洞僅存在於特定版本OpenSSL，擁有許多用戶的1.1.1版，以及其他衍生的加密程式庫BoringSSL、LibreSSL都不受影響；再者，則是這項漏洞必須在支援AVX512指令集上的64位元Intel電腦才能觸發。OpenSSL已經著手修補，但尚未發布新版軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/nist-releases-new-macos-security-guidance-organizations"><span style="color: rgb(0, 0, 0);">NIST發布新版macOS資安指引</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/cyberattack-forces-iran-steel-company-halt-production"><span style="color: rgb(0, 0, 0);">伊朗鋼鐵公司遭到網路攻擊被迫停止生產</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/06/28/tencent_qq_qr_code_attack/"><span style="color: rgb(0, 0, 0);">騰訊坦承用於登入即時通訊軟體QQ的QR Code遭駭</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> </div></div></div>
2022/6/29 17:52作者周峻佑https://www.ithome.com.tw/news/151669
強化對YouTube、Meta等平臺業者管理及用戶權益保障，NCC公布數位中介服務法草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為加強對網路中介平臺的治理，NCC今天（6/29）公布數位中介服務法草案，該草案參考歐盟制定的數位服務法（Digital Services Act, DSA），以數位中介服務者（如YouTube、Meta等）為規範對象，提出業者的責任、免責及義務，後續公告草案2個月後，NCC將舉辦公開說明會、公聽會蒐集各界意見。</p> <p>去年底NCC即公布數位通訊傳播服務法架構，但為了進一步明定規範的對象，NCC將該法改名為數位中介服務法，以明確規範對象為數位中介服務提供者，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，其中資訊儲存服務者又包括線上平臺業者、指定線上平臺業者。不同業者服務型態，明定其責任及義務。NCC強調，不論業者為境內或境外，只要在臺灣提供服務，經認定具實質關聯者，應遵守相關的義務。</p> <p><strong>數位中介服務提供者類型，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，以及線上平臺業者、指定線上平臺業者兩小類，其中線上平臺業者，NCC暫列包括YouTube、Meta等，指定線上平臺業者則由主管機關依標準公告(圖片來源：NCC)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W1.jpg" style="width: 600px; height: 453px;" /></p> <p>當中的線上平臺業者，例如YouTube、Dcard、Yahoo!拍賣、Meta等，至於指定線上平臺業者，NCC參考公告歐盟DSA，依我國人口的十分之一為標準，在我國境內有效使用者數量達到230萬人者，由主管機關公告為指定線上平臺業者，但NCC也保留使用者數量的計算標準，例如按照用戶數或使用人次計算。</p> <p>NCC副主委暨發言人翁柏宗表示，數位中介服務法為一般法，先以業者自律、布透明度報告，或是由其他監督團體的他律，業者如仍有違法內容，實際仍介接各個部會的實體作用法，依規定處理，政府主管機關如要對業者提出資訊限制，需取得法院核發的資訊限制令，才能要求業者移除違法內容或限制存取。</p> <p>除了政府主管機關，數位中介服務法草案也參考國際上的聖塔克拉拉原則，要求平臺業者執行程序透明，並提供使用者救濟權利。一般民眾（不限制為受害民眾）也可以危害公共利益或私益，向業者檢舉平臺上的特定內容違法，由業者依平臺服務規範自律或法院判決處理，並回報檢舉民眾處理結果，同時也需向該內容的原po告知處置，例如移除被檢舉內容或是限制接取。</p> <p><strong>任何人，不限制只有受害民眾，可向平臺業者檢舉特定違法內容，由業者依服務使用條例或依法院判決處理內容，並向舉報者告知處理結果，以及向該內容的使用者告知資訊限制措施：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W2.jpg" style="width: 600px; height: 421px;" /></p> <p><strong>明定不同類型的數位中介業者應負之義務</strong></p> <p>如前所述，數位中介服務法草案將數位中介服務業者分為，連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，資訊儲存服務者再分為線上平臺業者、指定線上平臺業者，不同類型的數位中介服務業者有各自應盡的義務。</p> <p>一般數位中介服務者的義務，包括資訊揭露、境外業者指定代理人、公告服務使用條款、每年公布透明度報告、依法院裁判或行政處分提供特定使用者資料、配合資訊限制令等等。如業者違反應盡的義務，處5萬以上、50萬元以下罰鍰，限期改善，未改善得再罰。</p> <p>資訊儲存服務提供者的義務，包括建立易於使用的通知機制，供檢舉違法內容者通知及回應，並建立資訊限制告知機制，通知使用者被移除或限制存取。如業者違反其義務，主管機關得處罰10萬以上、100萬元以下罰鍰。</p> <p>至於線上平臺業者排除小型業者，應盡的義務包括內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露等義務，業者未盡義務得罰50萬以上、500萬元以下罰鍰。</p> <p>由主管機關公告的指定線上平臺業者，因這類業者服務較具規模，數位中介服務法規定其義務，要求針對系統性風險（違法內容散布、用戶基本權利負面影響）提出有效管理、要求獨立稽核等義務。其中一項比較特別的義務是，要求業者在服務使用條款提出推薦系統使用的主要參數、可供使用者調整或影響該主要參數的選項及產生的效果。</p> <p>NCC指出，數位中介服務法草案因應網路自由、開放、跨域、多元特性，依據網路治理精神，強調業者自律先行，以多方利害關係人意見訂定自律準則。因網路服務類型及內容快速變化，未來將規劃籌設專責機構，扮演網路議題研商的協商平臺角色。</p> </div></div></div>
2022/6/29 18:48作者蘇文彬https://www.ithome.com.tw/news/151671
央行通用型數位貨幣試驗成果大公開，模擬P2P轉帳、跨境匯款或店家付款情境都可行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣央行數位貨幣（CBDC）第二階段試驗計畫提早3個月達標，央行總裁楊金龍今日（6/29）指出，央行已與財金公司、外部技術團隊打造一套CBDC雛型平臺，並邀請5家銀行（中信、華南銀行、國泰世華、台新銀行和上海商銀）參與設計和模擬，這些銀行透過介接CBDC雛型平臺，可提供多種零售交易服務，像是以CBDC來購物、繳費，或是以CBDC可程式化設計發放數位券，又或是存款帳戶/現金兌換CBDC，以及以CBDC供移工跨境小額匯款等應用。</p> <p>楊金龍表示，央行下一步將繼續與有關機構溝通、精進平臺設計，以及研議法律架構。他坦言，制定法律架構是最花時間的關鍵一步，以上3者完成後，央行才會討論CBDC上路時間表。換言之，目前還未有明確的推行時程。</p> <p><span style="font-size:24px;"><strong>CBDC四大優點，促使央行投入研究</strong></span></p> <p>CBDC有許多潛在益處，是央行投入研究的原因之一。楊金龍解釋，比如，CBDC可讓民眾獲取安全的數位貨幣，猶如現在的現金，是大眾唯一能使用且非常安全的央行貨幣。再加上電子支付比率逐年上升，如從2017年的40%，到今年第一季的60%，因應未來現金數位化需求，民眾也可能希望CBDC出現，由央行發行安全、受信任，且無使用成本、無信用獲流動性風險的數位支付工具。</p> <p>再來，CBDC這種可程式化的貨幣，可滿足未來支付服務需求，像是透過智能合約（Smart Contract），來讓CBDC依程式設計條件，自動執行交易，比如政府發放振興券、福利金這類有特定期限或產業限定消費，若採CBDC發放，就能透過程式設定，在期限內落實專款專用。CBDC可程式化的特性，也能進一步延伸到更多場域。</p> <p>另一個好處是深化普惠金融。楊金龍點出，目前許多金融機構提供數位帳戶開戶服務，以及各類支付、儲蓄和貸款等服務，但這些服務並未涵蓋經濟弱勢的民眾。「CBDC不是銀行存款，只要想取得數位現金支付者，都可開立CBDC錢包，」他表示，如此一來民眾就能取得CBDC相關服務，而非一定要有銀行數位帳戶，才能享有數位金融服務。</p> <p>最後一個好處是改善跨境支付。目前現有的銀行跨境支付，涉及許多中介機構，不只程序多，手續費也高。而CBDC可利用新技術，來簡化這些流程。不過，楊金龍強調，跨境支付還有待國際研擬通用的標準、基礎設施和法律架構才行，像是制定出防範非法活動的監理準則等，才能真正落實。因此，目前世上主流的CBDC應用，都先從境內交易開始，跨境交易得等到系統互通性和法律問題解決後，才能實現。</p> <p><span style="font-size:24px;"><strong>採央行、銀行雙層架構，維持銀行金融中介角色</strong></span></p> <p>不過，CBDC也有不少潛在風險，央行也用一系列做法來因應。像是，CBDC可能影響銀行的金融中介角色，讓銀行存款流失。因此，與國際上發行CBDC的國家一樣，臺灣央行也採用傳統貨幣發行的雙層式架構，來讓銀行扮演中介角色。</p> <p>另一個則是，CBDC有可能造成銀行存款流失，特別是在金融危機期間。為保持金融穩定，央行將CBDC設有交易和持有上限。此外，楊金龍表示，為避免影響貨幣政策，CBDC視為數位現金，初期將不計息。</p> <p>至於金融犯罪風險，由於央行CBDC採雙層架構，可由銀行等中介機構現行的反洗錢、資安和個資保護機制處理，比如保存交易記錄、異常資料通報等。</p> <p>楊金龍點出，央行也考慮了CBDC系統營運的韌性，因此正思考離線支付的可能性，讓民眾在沒有網路的環境下，也能使用CBDC。</p> <p><span style="font-size:24px;"><strong>第二階段試驗：完成中心化CBDC雛型平臺、零售支付應用</strong></span></p> <p>央行自2019年6月展開第一階段批發型CBDC技術研究，但他們發現，分散式帳本技術（DLT）沒辦法滿足大量、高頻且需要即時清算的需求。後來，2020年9月，央行開始第二階段的通用型CBDC試驗計畫。有別於DLT，這次，央行採用中心化作業，再輔以DLT設計，來發展部分功能。第二階段計畫原本預計今年9月完成，但目前已先達標。</p> <p>在第二階段中，央行CBDC工作小組找來財金公司、外部技術團隊，打造一套CBDC雛型平臺，並請來中信、華南銀行、國泰世華、台新銀行和上海商銀5家銀行，在封閉環境中模擬銀行中介業務和零售支付應用。</p> <p>進一步來說，這些業務和零售支付場景可分為5大類，包括開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款。</p> <p>比如，現場中國信託示範用App開立CBDC錢包，一開始就先將CBDC分為小額（單筆交易上限3,000、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾可依需求來開立，只需填寫身份證字號等基本資料即可申請，外國人可透過手機快速認證即可，不限定中信存戶。</p> <p>之後，民眾就像使用電子支付App一樣，可用來QR Code掃碼支付、轉帳或是存提款等業務。其中，中信展示的CBDC錢包還搭配票券功能，可讓使用者將政府發放的CBDC數位振興券等轉入帳戶或信用卡，配合央行對CBDC應用的期望。</p> <p>在存提部分，民眾可至實體ATM點選CBDC錢包儲值，再將外幣或臺幣放入ATM中，反之，民眾也可在ATM提取CBDC錢包的臺幣。</p> <p>另一方面，國泰世華也展示了CBDC錢包的P2P個人對個人轉帳功能。他們先是整合央行CBDC平臺和國泰平臺，可讓國泰現有網銀客戶快速註冊CBDC錢包，將帳戶內臺幣與CBDC互相兌換，或進行現鈔存提。再來，當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓對方掃碼、匯款。</p> <p>現場，上海商銀還展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p>除了金融業務，在零售支付場域，也有不少應用案例。比如，7-11現場示範用CBDC錢包來進行OR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何這類支付方式。甚至，CBDC也能運用到捐款上。</p> <p><span style="font-size:24px;"><strong>下一步：溝通、優化平臺、制定法規</strong></span></p> <p>第二階段提早達標，楊金龍透露，央行下一步將持續與金融機構、政府單位、學界、使用者和技術提供者溝通，來取得實用的共識。此外，央行也將繼續精進平臺設計，確保平臺7x24小時不中斷的穩健性，以及能抵抗斷電、斷線的強韌性，還有平臺完整性，如納入強大的資安保護機制、避免未經授權操控的發生。</p> <p>最後，央行也將連同相關部門，研擬法律架構，比如賦予CBDC法償貨幣的法源，制定反洗錢、反資恐、隱私保護和資安防護等規範，來提高市場對CBDC的信任。他也透露，這些工作，至少需要2年來完成。</p> </div></div></div>
2022/6/29 17:55作者王若樸https://www.ithome.com.tw/news/151670
Martech雙周報第25期：打擊廣告科技潛在偏見，IBM推出AI分眾行銷模型校正技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0619~0702)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#演算法歧視</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#機器學習</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI模型偏差導正</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#分眾行銷</span></strong></span></p> <p><strong>科技界與媒體界在坎城國際創意節共同呼籲正視廣告科技演算法歧視</strong></p> <p>全球最大廣告相關產業活動，坎城國際創意節中，美國互動廣告協會及廣告委員會，<a href="https://newsroom.ibm.com/2022-06-20-IBM,-DELTA-AIR-LINES-WPP,-4AS,-IAB,-AD-COUNCIL-AND-OTHER-INDUSTRY-LEADERS-ACT-TO-MITIGATE-BIAS-IN-ADVERTISING-TECHNOLOGY">偕同IBM</a>、媒體公司WPP及Mindshare等知名品牌，共同呼籲關注隱藏於廣告科技的歧視問題，顯示出廣告科技偏見議題近年備受關注。</p> <p>廣告科技偏見意指，因為訓練分眾行銷AI模型的數據夾帶設計者潛在偏見，導致AI針對特定族群進行過多或過少廣告投放。IBM一項長達6個月的個案研究，不僅發現此情況確實存在，更提出警告，廣告科技偏見可能導致許多惡果，例如強化社會不平等、損害品牌形象以及降低行銷效率等。<a href="https://github.com/Trusted-AI/AIF360">IBM更宣布免費發布AI模型校正工具，可以檢測並導正廣告AI模型偏差。</a></p> <p>除了媒體界和科技界，法界也開始重視廣告科技歧視議題。美國法院近期指控Meta鼓勵廣告主利用種族、膚色、宗教、性別、年齡等不當標準投放房屋廣告，違反《公平住房法》，因此起訴Meta。法院與Meta達成和解協議，年底前停用並重新設計房屋廣告分眾標準，並交由法院指定的第三方機構認證不具歧視性，才能啟用。美國法院表示，這是「具歷史性的一個協議」，是Meta第一次在民事訴訟中，同意改善廣告科技系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#創作者營利</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#短影音</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#跨平臺訂閱</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#廣告媒合平臺</span></strong></span></p> <p><strong>Meta推出多項創作者營利管道，Reels短影音平臺不抽成 </strong></p> <p>Meta執行長<a href="https://www.facebook.com/zuck/posts/10114534084040871">Mark Zuckerburg宣布</a>，將推出多項創作者營利管道，且承諾2024年前，Facebook和Instagram創作者可以保留所有營利，將原本計畫的抽成實施期限延長一年，希望透過初期免平臺費來吸引創作者。 </p> <p>Meta推出創作者市集，媒合Instagram創作者及廣告主。創作者於此提出創作內容主題及形式，廣告主再根據自己需求挑選合作對象。這之前，Meta已經推出品牌合作管理平臺，用以媒合Facebook上的創作者及廣告主。 </p> <p>除了媒合新合作，Meta也拓展了新的創作營收方式，擴大Facebook Stars代幣的打賞範圍，不只是遊戲實況，現在也可以用來打賞Reels短影音、直播及VOD。此外，過去只限Instagram Reels的創作者獎勵計畫，更擴展到Facebook Reels。</p> <p>近期Meta不斷推出仿Tiktok功能，不論IG或臉書都大力借鏡Tiktok策略，例如力推的短影音Reels服務，新推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成Reels。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者創作衍生內容的功能，仿效Tiktok用社群不斷對熱門主題創作衍生內容的策略，來活絡社群參與。另外，Instagram也開始測試神似Tiktok全螢幕影音的介面，甚至掩蓋掉上方限時動態欄位，顯示Meta相當重視仿Tiktok功能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第一方數據</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Unified ID 2.0</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#自行加密數據</span></strong></span></p> <p><strong>AWS推出UID 2.0解決方案，降低未加密資料外洩風險</strong></p> <p><a href="https://aws.amazon.com/tw/blogs/industries/introducing-unified-id-2-0-private-operator-services-on-aws-using-nitro-enclaves/">AWS推出Unified ID 2.0 on AWS解決方案</a>，利用AWS Nitro Enclaves技術提供機密計算環境，進行UID Private Operator的加密工作。UID 2.0是DSP業者The Trade Desk推出的使用者追蹤標準，將使用者登入資料去識別化後，作為廣告ID使用。加密工作由Operator進行，又分為Public Operator跟Private Operator，後者只會經手特定資料來源UID。</p> <p>過去，企業若想將自家顧客資料加密為UID，需要將這些資料拋轉給其他Operator。若顧客資料較為敏感，拋轉過程的資訊安全會成為疑慮。AWS的UID解決方案，則是讓企業在機密環境中自行加密顧客數據，成為自己的Private Operator，降低資料外洩風險。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#行銷預測</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#成效追蹤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong> </span></p> <p><strong>Twitter推出廣告專案規畫工具，可事先預估行銷計畫的成效</strong></p> <p>經過半年測試後，<a href="https://twitter.com/TwitterComms/status/1539596642525003779?s=20&t=coItm4WlEW_Tmb6s0F7huQ">Twitter推出廣告專案規畫工具</a>，能根據行銷人員設定的受眾、預算、頻率跟期限等前置條件，來估算行銷計畫的觸及範圍、曝光規模、CPM等成效指標，若滿意預測結果，也能直接從此工具中建立專案。Twitter表示，此工具目前僅開放給英國、美國及日本特定業者試用，幾個月內將逐步開放給更多業者使用，也將添增更多行銷指標選項。Twitter也預告推出廣告帳號管理平臺、新廣告格式、更強大的互動測量工具以及自動分眾行銷工具，不過沒有提供更多細節。</p> <p>Twitter也發表了品牌行銷的新機制Branded Like功能，按讚時會出現特別的小動畫，希望能增加使用者的互動度，不過，目前沒有機制可以測量使用者為了看動畫而重複按讚。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#中小型企業</span></strong></span></p> <p><strong>中小企業行銷最愛FB和IG，但Tiktok來勢洶洶成為中小企業行銷新選擇</strong></p> <p>美國中小企業解決方案公司Hello Alice，<a href="https://helloalice.com/wp-content/uploads/2022/06/TikTok_HelloAlice-Digital-Marketing-Report-Designed-Version-5.31.pdf">最近做了一項調查7,000家中小企業的研究</a>，發現Facebook跟Instagram仍然是中小企業最常用行銷平臺，分別有87%和75%企業已經在使用。近7成企業認為，這兩個平臺上能獲得有機流量，而非單純付費買廣告，與第3名的Tiktok（52%）間距相當大。</p> <p>不過報告指出，Tiktok越來越受到中小企業的青睞，有43%中小企業因為同業成效，考慮開始投放Tiktok廣告，3成中小企業未來最想在Tiktok行銷，這兩項的企業比例都比其他社群媒體平臺高。已用Tiktok行銷的中小企業，有78%考慮增加廣告預算，也比其他平臺來得高。</p> <p>Hello Alice在報告中分析Tiktok吸引力增強的原因，首先是入門容易，81%企業表示在Tiktok投放廣告的操作簡單。行銷內容方面，67%中小企業認為，Tiktok最有助於企業進行創意行銷，此數據同樣高於其他平臺。另外，企業票選的Tiktok行銷的前三大優點是「觸及新受眾」、「容易被消費者發現」以及「觸及正確受眾」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷歸因</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者隱私</span></strong></span></p> <p><strong>Tiktok新增行銷歸因工具，更細緻設定不同使用者互動事件各自的追蹤時效</strong></p> <p><a href="https://www.tiktok.com/business/en-US/blog/flexible-attribution-windows-campaign-measurement">Tiktok於自家廣告管理平臺新增行銷歸因工具</a>，行銷人員能依據專案活動和產品特性，為搜尋、訂閱、點擊、購物、新增付款資訊等多種互動事件，分別設定彈性的CTA和VTA追蹤時效。</p> <p>Tiktok近期不斷嘗試增加自家平臺對廣告主吸引力，<a href="https://www.ithome.com.tw/news/151518">日前更完成使用者資料遷移，以避免美國用戶資料外流中國的疑慮</a>。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#AR顯示技術</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#NFT</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Instagram限時動態</span></strong></span></p> <p><strong>Instagram測試AR貼圖和文字功能，更能把NFT圖像放進限動</strong></p> <p>Instagram正在測試AR貼圖和文字功能，能加入與環境互動的3D物件到限時動態影像。另外，<a href="https://sparkar-partners.fb.com/">Meta AR技術商Spark AR表示</a>，今年夏天將能用AR技術，在限時動態顯示2D NFT圖像，並能顯示NFT作者等資訊。Spark AR預告，未來將製作能呈現3D NFT的功能，可顯示家具、衣服、飾品等物件，也指出未來這些技術可成為新創作者營利管道，如利用此功能製作商品原生廣告。 </p> <p> <br /> 資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/6/29 16:45作者郭又華https://www.ithome.com.tw/news/151668
WFH風險？FBI發現有人用盜來的個資與Deepfake技術求職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情蔓延後，有不少企業允許員工採用「在家工作」（Work From Home，WFH）模式，有些企業甚至讓它成為工作常態，不過，<a href="https://www.ic3.gov/Media/Y2022/PSA220628" target="_blank">美國聯邦調查局（FBI）的犯罪投訴中心（IC3）本周警告</a>，有愈來愈多的雇主投訴，許多爭取在家工作或遠端工作職缺的求職者盜用他人的資訊，同時利用Deepfake技術來面試。</p> <p>提出投訴的許多職缺涉及資訊技術、電腦程式、資料庫與軟體相關領域，有些職缺甚至可以存取客戶的身分資料、金融資料、企業資料庫或私有資訊。因為是在家工作，因此只要過了面試這一關，就能避免被識破。</p> <p>有些求職者企圖利用他人的背景與專長來獲取工作，包括藉由Deepfake技術來偽造影片。有雇主發現，當與求職者進行線上面試時，求職者的動作或嘴唇的開合，與其說話的聲音並不一致，例如當出現打噴嚏或咳嗽的聲音時，視覺上卻非如此。</p> <p>當雇主隨後針對這些求職者進行背景調查時，才發現某些求職者根本就是利用他人的身分來謀職。</p> </div></div></div>
2022/6/29 14:23作者陳曉莉https://www.ithome.com.tw/news/151666
歐洲火星探測太空船剛剛更新了它的Windows 98應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在地球上多數電腦用戶開始進入Windows 11的今天，用於探測火星的太空船火星快車號（Mars Express）在升空19年後，最近剛更新了機上Windows 98電腦的應用程式。</p> <p><a href="https://www.esa.int/Enabling_Support/Operations/Software_upgrade_for_19-year-old_martian_water-spotter" target="_blank">歐洲太空總署（European Space Agency，ESA）本周指出</a>，火星快車號上的瑪西斯雷達（MARSIS）近日將接收重大軟體更新，使其得以更高解析度探索火星及其月球Phobos地表下物質組成，包括液態水。</p> <p>火星快車號是歐洲太空總署火星研究的首個探測任務，它運行在火星軌道的飛行器，於2003年6月2日起執行任務。火星快車號上的瑪西斯雷達全稱「火星地下和電離層探測高新雷達」（Mars Advanced Radar for Subsurface and Ionospheric Sounding，MARSIS），是一臺低頻脈衝的雷達測深儀和高度計，協助探測紅色行星液態水訊息，包括火星南極1.5公里冰層下方一個疑似20x30公里的鹹水湖。</p> <p>瑪西斯雷達探測儀以其40公尺長的天線向地底發射低脈衝電波。大部份電波會被火星地表反射，但有一部份會穿越火星地殼，並在地表下冰、土壤、岩層和含水層的交界處反射。藉由分析這些反射電波訊號，科學家就能判斷火星地表下數公里的組成及特性，如厚度和兩極冰帽成份、火山及沈積岩層的特性。</p> <p>這次軟體更新任務經費來自義大利太空總署，而由義大利國家天文物理研究所（INAF）的工程師執行。負責此次任務的INAF操作管理員Andrea Cicchetti指出，他們計畫將火星快車號機上電腦上的瑪西斯雷達軟體升級，以提升其效能，是在它19年出發後的第一次。</p> <p>新版軟體是由INAF和Enginium公司MARSIS機上軟體工程師Carlo Nenna共同開發。Nenna說明，火星快車的探勘任務有不少挑戰，其中之一是MARSIS軟體是20年前設計的，這可是用Windows 98的開發環境開發的。以前工程人員必須使用複雜方法來儲存火星及Phobos月球的高解析度影像，這也產生大量資料，一下子就把機上電腦記憶體占滿。更新版軟體改良了訊號接收及機上電腦的資訊處理能力，以便能以更高解析度呈現，且傳送更多資料量回地球分析。</p> <p>Nenna指出，在去掉不需要的資料後，新軟體可使MARSIS執行時間比以前多5倍，一次任務也能蒐集更大火星地表面積。</p> <p>ESA科學家指出，以前在較低解析度時代，他們已經在火星南極多個地區偵測到液態水的訊號。在新軟體協助高解析度影像傳送後，將可更快驗證其假設，加速火星探測任務。ESA表示，現年19歲的火星快車號仍然是該中心飛行成本最低的探索任務。</p> <p>至於機上電腦的硬體規格ESA沒有說明。<a href="https://www.tomshardware.com/news/mars-probe-gets-windows-98-update" target="_blank">Tom’s Hardware網站判斷</a>這臺Windows 98電腦上可能用的是Intel Pentium 90處理器，那麼可能還能跑一些經典遊戲像是《毁滅戰士Doom》、《銀河飛將 Wing Commander Prophecy》、《創世紀7 Ultima VII》等。</p> <p>目前地球上還有多少電腦執行Windows 98不得而知。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調業者GlobalStats的統計</a>，目前最早追溯得到的獨立Windows 版本是XP，在桌上電腦占比為0.39%。</p> </div></div></div>
2022/6/29 14:46作者林妍溱https://www.ithome.com.tw/news/151667
印度暫緩實施VPN資料蒐集法令3個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度政府周二（6/28）宣布，原訂本周生效的VPN資料蒐集法令，將延後到今年9月25日實施。</p> <p>印度電子暨資訊技術部今年4月聯同該國電腦緊急應變小組（CERT-in）發布一項命令，要求印度境內VPN服務供應商、資料中心與雲端服務供應商都必須儲存用戶資訊，包括姓名、電子郵件帳號、電話號碼與IP位址，而且要保留5年，以建立「開放、安全、信任及負責的網際網路」，業者也必須在得知資安問題的6個小時內就向印度CERT回報。印度政府同時要求微型、小型到中型企業必須強化安全，以符合該國網路安全指引（Cyber Security Direction）。</p> <p>這項命令預計在6月27日正式上路。印度電子暨資訊技術部表示，在接到多方要求後，印度政府決定給中小企業完成遵法，並且讓VPN、資料中心與雲端服務業者有更多時間實作訂閱戶資料驗證的機制。兩者的期間都延後到2022年9月25日。</p> <p>這項規定遭到廠商及資安業者的反彈。<a href="https://www.accessnow.org/india-cert-in-directions-experts/" target="_blank">本周一20多位資安專家聯同隱私倡議組織</a>向CERT-In發出公開信，要求延後實施並舉行公開諮詢會議。</p> <p>該聲明指出，新法令將對網路安全及線上隱私產生負面後果。新法包含的安全事件回報作業時間僅6小時，以及要求保留用戶過於廣泛的資料，實務上難以達成而可能影響實施效果，並且斲傷線上隱私及安全性。</p> <p>此外一些外國VPN業者包括ExpressVPN本月初已宣布將退出印度市場，另二家廠商包括Surfshark和NordVPN也分別宣布跟進，都將在法規生效前關閉在印度伺服器及撤離印度。</p> <p>至於印度政府3個月後是否會撤回決定不得而知。印度電子暨資訊技術部次長Rajeev Chandrasekhar曾說不會對這些規定舉行公開諮詢會議。他並放話，不想蒐集用戶資料的廠商儘管可以離開印度市場。</p> <p>上周該部會還頒布<a href="https://www.ithome.com.tw/news/151538" target="_blank">新法規</a>，要求印度政府公務員或約聘、委外員工不得使用Nord VPN、ExpressVPN等業者提供的VPN服務以及Tor匿名服務，以及以Google Drive、Dropbox等雲端服務儲存公務檔案和文件。</p> </div></div></div>
2022/6/29 14:05作者林妍溱https://www.ithome.com.tw/news/151665
駭客宣稱取得450Gb的AMD資料，AMD展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體集團RansomHouse日前宣稱已成功入侵了AMD，並取得450Gb的AMD資料，而AMD則對外表示，正在針對此一事件展開調查。</p> <p>RansomHouse為去年底現身的新興勒索軟體集團，有別於傳統的勒索軟體，它的攻擊行動並未包含加密受害者系統上的檔案，而只是入侵受害組織，竊取機密資料，再以外洩資料向受害者勒索，<a href="https://www.ithome.com.tw/news/151465" target="_blank">非洲最大連鎖超市Shoprite Group亦於本月出現在RansomHouse的受害名單上</a>。</p> <p><a href="https://www.bleepingcomputer.com/news/security/amd-investigates-ransomhouse-hack-claims-theft-of-450gb-data/" target="_blank">RansomHouse向《BleepingComputer》透露</a>，該集團的合作夥伴是在一年前就入侵了AMD，但它們並未主動聯繫AMD，因為直接將資料出售給有興趣的對象，可能比等待AMD做出回應還有價值。</p> <p>即使今年初確實傳出AMD遭到勒索軟體攻擊，但AMD從未證實此事，且目前並無明確的證據顯示RansomHouse真的駭進了AMD。</p> </div></div></div>
2022/6/29 12:26作者陳曉莉https://www.ithome.com.tw/news/151664
Firefox 102出爐了，修補19個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/102.0/releasenotes/" target="_blank">Mozilla於28日釋出了支援Windows、macOS與Linux的Firefox 102</a>，此一版本允許使用者關閉下載時自動開啟的下載面板，進一步改善隱私功能，且其Linux版新增對GeoClue的支援，另也修補了19個安全漏洞。</p> <p>當使用者利用瀏覽器下載檔案時，瀏覽器總會自動跳出一個面板，顯示正在下載的檔案與進度，但Firefox 102允許使用者關閉面板自動跳出功能。</p> <p>新的隱私功能則存在於增強追蹤保護（Enhanced Tracking Protection，ETP）模式中，當使用者以ETP模式瀏覽網站時，Firefox 102將會去除那些用來追蹤使用者的URL參數。這是因為包括臉書等業者都會利用客製化的URL查詢參數來追蹤使用者的連結點擊，ETP模式中的Firefox 102即會剝離URL中的追蹤參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-19-firfox%20102_ETP_Enhanced%20Tracking%20Protection_strict%20mode-android-V2.png" style="width: 360px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Linux版的Firefox 102主要是新增了對GeoClue地理位置的支援，它隸屬於D-Bus服務，可依據特定網站的需求提供位置功能。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-24/" target="_blank">Firefox 102亦修補了19個安全漏洞</a>，當中有4個被列為高度風險漏洞。</p> <p>根據StatCounter的統計，全球桌面瀏覽器市場仍由Chrome以66.16%的市占率居冠，Edge為10.12%，Safari為9.14%，Firefox以7.66%位居第四。</p> </div></div></div>
2022/6/29 11:38作者陳曉莉https://www.ithome.com.tw/news/151662
最新版OpenSSL出現Intel AVX512指令集相關記憶體毁損臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/" target="_blank">研究人員發現</a>，上周才釋出的最新版OpenSSL 3.0.4版出現一個遠端記憶體毁損的臭蟲。研究人員稱某些情境下比Heartbleed更嚴重。該臭蟲雖然已經修正，但解決該問題的OpenSSL版本尚未釋出。</p> <p><a href="https://www.openssl.org/news/changelog.html" target="_blank">OpenSSL 3.0.4</a>是為了解決一個指令注入漏洞CVE-2022-2068，才剛在6月21日釋出。OpenSSL是提供TLS協定實作的開源函式庫。2014年OpenSSL成為資安界的關注焦點，因為當年Heartbleed漏洞可使系統記憶體內的機密資料被讀取，<a href="https://www.ithome.com.tw/news/86593" target="_blank">這個漏洞也號稱網路史上最嚴重的漏洞</a>。</p> <p>最新漏洞是由研究人員Guido Vranken發現位於OpenSSL加密演算法之中，屬堆積緩衝溢位漏洞，可被攻擊者輕易觸發造成記憶體毁損。他聲稱，一旦被觸發讓遠端攻擊者執行程式碼，可能比Heartbleed更為嚴重。</p> <p>所幸有許多因素限制了該漏洞的嚴重後果。一來本漏洞僅影響剛釋出1周的最新版OpenSSL函式庫，許多用戶還在用1.1.1分支，而非3這個分支，也不影響已經分叉出去的BoringSSL、LibreSSL。更重要的是，受害者的機器必須是支援Intel x86 Advanced Vector Extensions 512（AVX512）指令集CPU的x64系統。</p> <p><a href="https://github.com/openssl/openssl/issues/18625" target="_blank">GitHub討論區一名研究人員指出</a>，這不只是sanitizer相關臭蟲，而會影響所有支援AVX512的CPU。除了Intel CPU外，謠傳AMD CPU也將支援AVX 512指令集。</p> <p>有人認為這只是讓使用AVX512 CPU的機器上無法執行OpenSSL 3.0.4的臭蟲，但不是安全漏洞。<a href="https://boringssl.googlesource.com/boringssl/+/13c9d5c69d04485a7a8840c12185c832026c8315" target="_blank">Google工程師David Benjamin 也相信</a>，只是會造成運算不正確執行，不是漏洞。不過也有人認為是一個漏洞。專家Alex Gaynor相信，該漏洞可為在遠端存取時使用RSA簽章等情境觸發緩衝溢位。</p> <p><a href="https://github.com/openssl/openssl/pull/18626/commits/71ad6a8da3e39bd4caf5c6c767287ddd9bce8bae" target="_blank">現在OpenSSL 已經修正了這項問題</a>，但尚未有正式軟體更新。</p> <p>許多開發人員都認為，不管是單純臭蟲，或是一個重大安全漏洞，現在必須等OpenSSL維護單位釋出更新的3.0.5版來解決CVE-2022-2068漏洞。</p> </div></div></div>
2022/6/29 12:09作者林妍溱https://www.ithome.com.tw/news/151663
Google設立專門推動政府服務的新部門Google Public Sector
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/announcing-google-public-sector" target="_blank">Google於6月29日宣布</a>設立了新的Google Public Sector部門，專門協助美國的公共部門進行數位轉型，包括聯邦、各州或各地方政府，也納入了教育機構。新的部門將暫由Google Cloud的CTO辦公室主管Will Grannis負責帶領，Google也打算替該部門尋找新的執行長。</p> <p>Google Cloud執行長Thomas Kurian表示，Google原本就提供專門解決公共部門需求的產品，有專門的銷售團隊、合作夥伴生態體系及服務組織，新的Google Public Sector部門則是擴大了原本的編制，它將直屬Google，致力將包括Google Cloud Platform 與Google Workspace等Google Cloud技術帶給美國的公共部門客戶。</p> <p>其實Google Public Sector將具備所有Google在商業領域的服務與能力，只是它具備了公共部門所需的認證，也專門服務政府及教育機構客戶，而且將有單獨的董事會，此一董事會的任務在確保Google Public Sector的產品與服務符合客戶的需求，預測未來該領域的需求，以及創造美國公共部門市場的差異化。</p> <p>過去幾年Google早就有與美國政府合作的經驗，包括協助美國空軍維護飛機或執行飛行員訓練，或是提供人工智慧與機器學習工具予海軍以減少船隻的碰撞，也支援國防部的雲端管理解決方案，協助退伍軍人事務部改善軍人存取福利與服務的途徑，並與美國能源部簽署5年的合作協議，以人工智慧技術協助美國專利暨商標辦公室進行專利檢索等。</p> <p>今年初Google Workspace已經取得了美國聯邦風險與授權管理計畫（Federal Risk and Authorization Management Program，FedRAMP）高安全等級，迄今Google Cloud則有超過100項產品通過FedRAMP的中度或高度安全等級的認證，這是美國政府用來評估雲端產品與服務的計畫，讓政府機構得以根據認證等級部署相關產品。</p> <p>此外，Google也有多項雲端產品取得了可存取與管理受管制之非機密資訊的Impact Level 4（IL4）認證，讓美國的政府機構得以將資料存放於Google Cloud上。</p> </div></div></div>
2022/6/29 10:13作者陳曉莉https://www.ithome.com.tw/news/151660
【資安日報】2022年6月28日，勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最具威脅的勒索軟體LockBit的動態相當引起研究人員關注，在昨天的資安新聞就有2起攻擊事故，而今天有資安研究團隊發現新的動態，那就是這些駭客在推出新版勒索軟體的同時，竟祭出漏洞懸賞計畫（Bug Bounty），範圍包含了LockBit勒索軟體、該組織網站，以及加密開源加密通訊軟體TOX、洋蔥（Tor）網路等。</p> <p>駭客藉由去年3月公布的Exchange重大漏洞ProxyLogon，攻擊受害組織的大樓管理系統（BAS），超過半年才有研究人員發現！這些駭客的目標是亞洲的電信業、製造業、運輸業者，但入侵的管道過往可說是相當罕見。</p> <p>委外廠商對於使用者的資料處理不當，甚至隨意存放在隨身碟，有可能造成資料外洩的疑慮，而且還是發生在做事極為謹慎的日本。最近在日本尼崎市就發生這樣的一起事故，協助比對符合請領補助民眾的IT業者，經手的員工竟將民眾個資存放在隨身碟攜帶在身上，不慎遺失後東窗事發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/vxunderground/status/1541156954214727685"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit推出3.0版，駭客也興起漏洞懸賞專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg" style="width: 300px; float: right;" /></a>為了找尋系統可能存在的漏洞，不少IT廠商祭出漏洞懸賞計畫（Bug Bounty），卻有許多廠商處理相當消極，或是削減研究人員的獎金。但這樣的做法竟被駭客發揚光大，模仿這樣的做法來為惡意程式除錯。</p> <p>資安研究團隊VX-Underground於6月27日，揭露勒索軟體LockBit的新態勢，駭客不只製作了3.0版LockBit，還同時推出漏洞懸賞計畫而引起資安人員關注。</p> <p>這些駭客懸賞的範圍也相當廣泛，不只包含勒索軟體的漏洞，還涵蓋了該組織網站，以及開源加密通訊軟體TOX、洋蔥（Tor）網路，獎金從1,000美元起跳。此外，若是有人能找出LockBit組織首腦身分，便能得到百萬美元的獎金。若是日後其他駭客也相繼跟進，強化作案工具，很有可能讓攻守雙方更加不對等。</p> <h3><strong style="font-size: 22px;"><a href="https://usa.kaspersky.com/about/press-releases/2022_apt-uses-shadowpad-backdoor-and-ms-exchange-vulnerability-to-attack-building-automation-systems"><span style="color: rgb(0, 0, 0);">駭客組織利用後門程式ShadowPad與Exchange漏洞攻擊大樓管理系統</span></a></strong></h3> <p>中國駭客使用Exchange Server漏發動攻擊的情況，最近又有事故傳出，而且是針對大樓的管理系統而來。卡巴斯基在去年10月發現不為人知的駭客組織，針對數個亞洲國家的電信業、製造業，以及運輸機構下手，而這些駭客入侵受害組織的方式，竟然是利用微軟Exchange Server的重大漏洞CVE-2021-26855（ProxyLogon），攻擊大樓自動化系統（Building Automation System，BAS），然後在這種管理系統中部署惡意軟體ShadowPad。</p> <p>研究人員進一步追查後發現，這起攻擊行動始於2021年3月，也就是漏洞ProxyLogon公布的時間點，且駭客使用中文進行溝通，再加上他們使用惡意程式如ShadowsPad、PlugX都是中國駭客常用的工具，很有可能是中國駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www3.nhk.or.jp/nhkworld/en/news/20220624_27/#:~:text=A%20city%20in%20western%20Japan,said%20the%20USB%20was%20lost."><span style="color: rgb(0, 0, 0);">日本承包商員工隨意將尼崎市46萬民眾個資存放在隨身碟，隨身碟遺失才東窗事發</span></a></strong></h3> <p>承包政府機關業務的業者，很有可能接觸到大量民眾個資，一旦保管不慎很有可能有洩露的疑慮，但這樣的事故還是發生在以謹慎著稱的日本。根據日本NHK的報導，日本兵庫縣尼崎市政府為了要發送COVID-19疫情經困金，委託外部資訊服務廠商Biprogy彙整符合資格的民眾資料，但該市的官員指出，該廠商的員工未經市府同意，竟使用隨身碟存放該市46萬名市民的個資，並於21日工作結束後帶著隨身碟到居酒屋用餐、飲酒，事後發現隨身碟不異而飛，於22日報案並通知市政府。</p> <p><a href="https://www.city.amagasaki.hyogo.jp/kurashi/seikatusien/1027475/1030947.html">尼崎市政府表示</a>，此隨身碟設置了密碼，目前尚未發現資料外洩情事，市府承諾將會加強相關資料管理，並設立電話專線來處理民眾對本次事故的問題。</p> <p>而負責上述民眾資料彙整的資訊服務公司Biprogy坦承過失並<a href="https://www.biprogy.com/pdf/topics/info_20220624_1.pdf">公布事件發生經過</a>，他們的員工確實未經許可就利用隨身碟存放個資，也沒有遵守下班前刪除敏感資料的準則。<a href="https://www.biprogy.com/pdf/topics/info_20220624_2.pdf">這個隨身碟後來於24日尋獲</a>，該公司也<a href="https://www.biprogy.com/pdf/topics/info_20220626.pdf">於26日發布對於此事進行檢討，公布改進措施</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf"><span style="color: rgb(0, 0, 0);">美西銀行的ATM被安裝側錄裝置</span></a></strong></h3> <p>駭客不只在網路環境進行交易資料的側錄，也有針對實際環境下手的情況。法國巴黎銀行（BNP Paribas）美國子公司美西銀行於6月23日，向客戶提出警告，指出他們發現駭客在自動櫃員機（ATM）上部署了側錄裝置，可能有用戶的簽帳卡（Debit Card）資料遭竊。該公司最初察覺異狀是在去年11月，他們的資安團隊發現，有數個未經授權的帳號嘗試提款，於是該公司向警方通報，並著手檢查自家ATM的網路，結果發現，駭客已在數臺ATM上安裝了側錄裝置，這些裝置不只會記錄卡號、PIN碼，還有可能會干預簽帳卡的交易。</p> <p>該公司移除了有問題的ATM並著手調查，並呼籲用戶應時常留意自己戶頭的狀態，並承諾戶頭的存款若是遭到盜領或盜刷，他們將吸收相關損失。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-finally-shuts-down-data-leak-negotiation-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti關閉公布受害者資料的網站</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-ransomware-attack-on-med-university-of-innsbruck/"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society聲稱攻陷了奧地利醫學院</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> </div></div></div>
2022/6/28 18:46作者周峻佑https://www.ithome.com.tw/news/151656
標榜端對端加密的經期追蹤程式Stardust遭爆與第三方分享用戶電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國最高法院在上周五（6/24）推翻了1973年的「羅訴韋德案」（Roe v. Wade），認為美國憲法並未賦予女性墮胎權，隨之有超過20個州準備禁止女性墮胎之後，經期追蹤程式Stardust很快便宣稱該程式將提供端對端加密，以保障用戶隱私，使得它在上周末成為美國行動程式的下載冠軍，不過，《<a href="https://techcrunch.com/2022/06/27/stardust-period-tracker-phone-number/" target="_blank">TechCrunch》在觀察Stardust程式的流量之後</a>，卻發現它與第三方業者分享用戶的電話號碼。</p> <p><a href="https://www.tiktok.com/@stardust.app/video/7112878594275282222?is_copy_url=1&is_from_webapp=v1" target="_blank">Stardust創辦人Rachel Moranis在最高法院判決出爐的同一天就透過TikTok宣布</a>，該程式將提供端對端加密，以確保沒有任何政府或企業能夠存取屬於用戶的資料，這項聲明使得Stardust的下載量竄升，在24日創下13.5萬次的安裝數量，比前一天成長4,400%，隔天安裝數量再衝上20萬次，躍上App Store免費程式的下載冠軍，光是這兩天的安裝數量便占了Stardust總安裝數量的82%。</p> <p>這讓《TechCrunch》決定執行iPhone上Stardust程式的流量分析，發現倘若使用者是以電話號碼進行登入，而非蘋果或Google帳號，那麼Stardust便會與第三方業者Mixpanel分享用戶的電話號碼。</p> <p>Mixpanel為一分析業者，可追蹤程式的使用並協助判斷程式問題，供開發者改善程式，除了電話號碼之外，Stardust亦與Mixpanel分享用戶的手機型號、作業系統版本，以及所使用的電信服務品牌。雖然Stardust並未與Mixpanel分享使用者的其它程式資料，但光是電話號碼就足以用來辨識用戶身分。此外，《TechCrunch》也懷疑Stardust的端對端加密機制是否真的安全。</p> <p>突然大紅的Stardust很快就遭到各界的放大檢視，例如它原來的隱私政策顯示該程式會蒐集諸如裝置或位置等用戶資料，也說必須遵守政府或其它實體的法律請求，但該程式在26日就更新了隱私政策，強調任何該公司被要求分享的健康資料都不會連向使用者，也都將保持匿名。</p> <p><a href="https://twitter.com/Stardusttracker/status/1541105312018595842" target="_blank">Stardust繼之在27日藉由Twitter提出了說明</a>，指出它們加密了使用者的電子郵件、電話、Apple ID，以及使用者於Stardust上的行為，在建立帳號的當下，程式便會自動產生一個僅存放於手機上的加密金鑰，因此，就算政府發出了傳票，Stardust也無法替政府生產任何東西。</p> <p>Stardust也正著手打造一個選項，讓使用者可以不需要提供任何個人身分辨識資訊，以完全匿名的方式操作程式。</p> <p>反對剝奪女性身體自主權的團體以各種方式來聲援女性，除了Stardust之外，已有不少經期追蹤程式發出聲明，誓言保障使用者的隱私與資料安全，<a href="https://www.ithome.com.tw/news/151625" target="_blank">而微軟、Google、蘋果、Amazon與Meta等科技業者則將提供旅行補助</a>，以讓女性員工到其它可提供合法墮胎醫療服務的州別就醫。</p> </div></div></div>
2022/6/28 09:58作者陳曉莉https://www.ithome.com.tw/news/151632
勒索軟體也時興抓漏獎勵？LockBit 3.0創首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱是全球最大惡意程式原始碼、樣本及研究報告資源庫的vx-underground，在周一（6/27）發現知名勒索軟體Lockbit已釋出3.0版，而且還破天荒地推出了抓漏獎勵專案，鼓勵資安研究人員、白帽駭客、黑帽駭客等各路高手來尋找Lockbit 3.0、官網，以及所使用工具的安全漏洞，若能辨識其聯盟首腦的身分，就算是FBI幹員，都能得到價值100萬美元的比特幣獎勵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-lLockBit-bug%20bounty-600-1.png" style="width: 596px;" /></p> <p><a href="http://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／vx-underground</span></span></a></p> <p>Lockbit現身於2019年9月，於地下市集中提供勒索軟體即服務（Ransomware-as-a-Service，RaaS），Lockbit 2.0在去年6月出爐，它可主動偵測有價值的大型組織，號稱是加密速度最快的勒索軟體，可在3小時內加密25臺伺服器與225個工作站，迄今已成功感染數百個組織，包括<a href="https://www.ithome.com.tw/news/146157" target="_blank">去年曾向Accenture勒索5,000萬美元</a>，也是今年攻擊數量最高的勒索軟體，<a href="https://www.ithome.com.tw/news/151270" target="_blank">鴻海墨西哥工廠</a>也在今年6月傳出已淪為Lockbit 2.0的受害者。</p> <p><a href="https://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank">根據Lockbit駭客集團的抓漏獎勵專案內容</a>，地球上不管有沒有道德的駭客都歡迎參與該專案，獎金從價值1,000美元到100萬美元的比特幣不等，抓漏的項目涵蓋官網漏洞、Lockbit勒索軟體的漏洞、各種可以改善網站或軟體的建議、辨識開源加密傳訊軟體TOX漏洞或是Tor網路漏洞的，都歡迎提報，而只要能夠找出Lockbit聯盟首腦身分，即可得到100萬美元的獎賞。</p> <p>vx-underground也發現，Lockbit 3.0不僅鼓勵駭客騷擾受害者，也新增了所竊取資料的拍賣及銷毀功能。</p> </div></div></div>
2022/6/28 15:23作者陳曉莉https://www.ithome.com.tw/news/151655
美西銀行的實體ATM遭駭客安裝側錄裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf" target="_blank">美西銀行（Bank of the West）上周通知客戶</a>，指出駭客在該行的數個實體ATM上安裝了側錄裝置（Skimming Device），可能已盜走了用戶的簽帳卡（Debit Card）資訊。</p> <p>美西銀行為法國巴黎銀行（BNP Paribas）在美國的子公司，於美國西部及中西部擁有逾600個分行與辦公室。</p> <p>根據該行的說明，其安全團隊是在去年11月於數個ATM發現有未經授權的帳號提領嘗試，於是主動聯繫警方並著手檢查自家的ATM網路，發現駭客在數個ATM機器上安裝了側錄裝置。</p> <p>此一ATM側錄裝置可用來干預簽帳卡的交易，並記錄卡片上的號碼、PIN碼，也可能包括使用者的姓名與地址，駭客可利用所竊取的資訊來建立偽造的簽帳卡並用來領錢。</p> <p>美西銀行表示，他們在發現側錄裝置的蹤跡之後，立即移除有問題的ATM機器，以檢查這些機器是否有遭到竄改，並密切與執法機關合作，當發現可疑的帳號活動時，即會先凍結用戶的帳號，再寄送新的簽帳卡予用戶。</p> <p>該行提醒用戶應注意自己帳號的可疑活動，並向銀行回報，也強調用戶若真的因此而被盜領、盜刷或盜匯，將無需承擔責任。</p> </div></div></div>
2022/6/28 14:49作者陳曉莉https://www.ithome.com.tw/news/151653