iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Alphabet第二季財報出爐：Google Cloud營收成長，虧損也擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2022Q2_alphabet_earnings_release.pdf?cache=ed395cc" target="_blank">Alphabet周二（7/26）公布截至6月30日的2022年第二季財報</a>，該季Alphabet的營收規模為697億美元，比去年同期成長13%，但每股盈餘為1.21美元，低於去年同期的1.36美元。其中，光是Google就貢獻了691億美元，占了Alphabet總營收的99.2%。此外，Google Cloud在該季創下62.8億美元的營收，成長35.6%，但Google Cloud的虧損也從去年同期的5.9億美元擴大到8.6億美元。</p> <p>除了Google之外，Alphabet的另一項營收就是新創事業（Other Bets），該類別涵蓋了DeepMind、Waymo及Verily在內的十多家子公司，在該季帶進1.93億美元的營收，略高於去年同期的1.92億美元，虧損則從14億美元擴大到17億美元。</p> <p>整體而言，Alphabet今年第二季的表現不管是在總營收、Google廣告營收、Google Cloud或是獲利上，都低於華爾街分析師的預期。不過，Alphabet該季的全球員工數多達17.4萬人，高於去年同期的14.4萬人。</p> <p>雖然Alphabet財報表現低於預期，但該公司當天的盤後股價卻上漲了4.8%，達到110.5美元。</p> </div></div></div>
2022/7/27 14:02作者陳曉莉https://www.ithome.com.tw/news/152138
傳甲骨文將提高軟體支援服務費用以因應通膨，美國可能調漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應全球通膨、能源價格等費用調漲，企業荷包將要縮水了，因為甲骨文等軟體公司也將調漲其軟體支援服務的費用。</p> <p>由於甲骨文（Oracle）、SAP等關鍵企業軟體原廠技術支援服務高昂，企業往往轉向第三方服務供應商，如Remini Street或Spinnaker。以甲骨文而言，其軟體合約包含每年調漲技術支援費用的條款，原廠技術支援服務為軟體授權費的22%，而且會每年調漲。漲幅每年不定，有時為<a href="https://upperedge.com/oracle/oracle-support-fee-increases-win-your-next-oracle-renewal-negotiation/" target="_blank">3%</a>，有時是<a href="https://redresscompliance.com/third-party-oracle-support-spinnaker-or-rimini/" target="_blank">4%</a>。</p> <p><a href="https://www.theregister.com/2022/07/25/oracle_set_to_impose_inflationary/?td=rt-3a" target="_blank">一家提供甲骨文技術支援服務的業者Palisade Compliance執行長Craig Guarente表</a>示，由於全球通貨膨脹，美國今年消費者物價指數（consumer price index，CPI）上看成長9.4%，該公司接到潛在的企業客戶詢價，因為甲骨文通知調價，漲幅達8%。他表示，相較於美國地區過去每年大約漲價1-2%，今年的情勢下，甲骨文必然會把握機會。</p> <p>不只是美國，<a href="https://www.oracle.com/us/support/library/057419.pdf" target="_blank">根據甲骨文的授權條款</a>，支援費用還將根據各國國家每年調整。因此今年甲骨文全球客戶可望都會再看到調漲的價目表。</p> <p>另一家商用軟體大廠<a href="https://news.sap.com/2021/07/no-cpi-increase-support-contracts-2022/" target="_blank">SAP去年宣布</a>，受到疫情影響，2022年將不調整服務費用。<a href="https://support.sap.com/en/offerings-programs/enterprise-support.html" target="_blank">根據SAP收費標準</a>，SAP針對新用戶的企業支援（Enterprise Support）費用，到2025年將維持在授權費的22%。</p> <p>另一方面 SAP將向部分通路商調漲費用。<a href="https://www.bloomberg.com/news/articles/2022-03-11/sap-seeks-to-raise-fees-for-largest-partners-in-program-revamp" target="_blank">彭博報導</a>，SAP過去對軟體通路商收取15%到35%的權利金（royalty fee），今年調整，調降部分小型通路商的權利金由20%降為15%，但大型軟體通路商則將調漲授權費以彌補這部分的損失。但新的作法將以個別協商的價格取代統一費率。</p> <p>即使不是這兩家天價企業級軟體，許多中小企業使用軟體如<a href="https://www.ithome.com.tw/news/149769" target="_blank">微軟的Microsoft 365今年也調漲</a>，依不同軟體套件而定，幅度從15%到20%不等。</p> </div></div></div>
2022/7/27 14:17作者林妍溱https://www.ithome.com.tw/news/152139
AWS主管批評微軟Azure的新授權傷害自由競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS主管本周批評微軟對歐洲雲端平臺對手做的Windows、Office產品授權變更，其實骨子裏根本沒變，依然是想盡方法阻礙自由競爭。</p> <p>基於今年3月歐洲雲端代管業者如OVH、Next Cloud等業者向歐盟控告微軟壟斷手段，微軟憑藉Windows、Office產品的獨大地位，透過和Azure對手簽定的授權條款，迫使對手被迫以更高的價格提供給企業用戶。4月間歐盟啟動調查後，<a href="https://www.ithome.com.tw/news/150992" target="_blank">5月微軟做出回應</a>，宣稱可讓歐洲的雲端平臺競爭對手直接提供Windows和Office，而且即使客戶原本向其他微軟夥伴購買Windows 和Office產品，產品也可以執行在（歐洲的）競爭雲端平臺上。<a href="https://blogs.microsoft.com/eupolicy/2022/05/18/microsoft-responds-to-european-cloud-provider-feedback-with-new-programs-and-principles/" target="_blank">微軟副董事長暨總裁Brad Smith稱</a>，這變更提供授權可攜性，讓對手可提供和Microsoft 365競爭的服務。</p> <p><a href="https://www.linkedin.com/feed/update/urn:li:activity:6956025582014910464/" target="_blank">本周AWS銷售與行銷副總裁Matt Garman直接在LinkedIn上批評</a>，對於企業客戶抱怨微軟妨礙自由競爭的作法，直到歐盟介入才獲得正視。但微軟的回應卻不是提供客戶需要的，未修正其授權政策，讓所有客戶得以在他們選擇的雲端供應商平臺上執行微軟軟體，而是假藉歐洲科技需求之名，只對競爭威脅較小的特定供應商提供公平的產品授權。</p> <p>AWS的抱怨可以想見，因為微軟6月間澄清，這公平授權不適用AWS和Google。<a href="https://www.ithome.com.tw/news/151242" target="_blank">微軟說</a>，新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」。</p> <p>Garman指出，這新的授權一點公平性也沒，不是客戶想要的，AWS客戶不斷抱怨微軟的歧視性授權使他們多花數百萬美元，也無法自由和想要的雲端供應商合作。</p> <p><a href="https://www.theregister.com/2022/07/25/aws_slams_microsoft_cloud_licenses/?td=rt-3a" target="_blank">The Register分析</a>，和AWS過去在自己的部落格發表謹慎言論，偶爾發發新聞稿的作法不同，這次不但發言層級高、措詞嚴厲，而且還借用微軟的LinkedIn為媒介，挑釁意味濃厚。</p> <p>但是AWS的批評也不是所有人都同意。有人指出，Windows作為關鍵軟體，自然有其制訂規則的權力，因為AWS自己並無法提供。還有人反問，AWS批評微軟小心眼，但Amazon是否曾讓客戶在Microsoft Azure上執行AWS的技術IP。有人則認為，AWS只是為了確保自己的雲端市占發聲，客戶並不在乎科技龍頭的口水戰，AWS應該做的是如何在這種限制下盡力提供能吸引客戶的方案。</p> </div></div></div>
2022/7/27 12:26作者林妍溱https://www.ithome.com.tw/news/152136
受全球不景氣衝擊，微軟財報低於預期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2022-Q4/press-release-webcast" target="_blank">微軟周二（7/26）公布</a>該公司截至今年6月30日的2022財年第四季財報，指出該季微軟營收成長12%，達519億美元，每股盈餘成長3%，為2.23美元，微軟坦承該季的宏觀經濟與其它不可見的不利因素超出原本的預期，而對財報造成影響，不過，當天微軟的盤後股價卻上漲了3.99%，每股價格達261.95美元。</p> <p>影響該季微軟財報表現的因素包括匯率、中國的停產、PC市場的惡化、廣告支出的減少、俄烏戰爭所帶來的呆帳與撤出成本，再加上在俄羅斯以外的1.13億美元的員工遣散費用。</p> <p><a href="https://www.ithome.com.tw/news/151917" target="_blank">微軟日前對外證實已裁減部分人力</a>，僅說裁員數量占全公司1.8萬人力的不到1%，並未公布實際數字。</p> <p>在該季的財報中，包含伺服器及雲端服務的智慧雲端（Intelligent Cloud）締造了209億美元的營收，成長20%；生產力與業務流程（Productivity and Business Processes）營收為166億美元，成長13%；更多個人運算（More Personal Computing）營收為144億美元，成長2%。</p> <p>儘管全球景氣低迷，但微軟絕大多數的產品或服務仍是成長的。其中，成長最多的是Azure與其它雲端服務，成長幅度達40%，居次的是Dynamics 365成長了31%，LinkedIn亦成長26%。在微軟列出的十多項產品類別中，只有兩項是衰退的，分別是Xbox內容與服務衰退了6%，Windows OEM也衰退2%。</p> <p>為了因應不景氣，微軟已決定要將伺服器與設備的使用年限從4年延長到6年，以降低硬體成本，也預期下一季仍會有兩位數的成長，或許是微軟對未來營運指引仍保持樂觀，才推升了該公司的股價。</p> </div></div></div>
2022/7/27 12:38作者陳曉莉https://www.ithome.com.tw/news/152137
萊爾富公布三大數位經營戰略，主打異業會員導流，分析跨平臺、跨通路會員消費行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萊爾富7月26日舉行數位經營戰略記者會，公布了三大數位經營戰略及多項會員經營細節，也發表了線上商城開店、支付支援全銀行信用卡等政策。萊爾富分店數只有1,550家，但目前會員已突破500萬人，平均單店會員數在超商雙雄伯仲之間。萊爾富表示，未來三大數位經營戰略，就是要在吸引更多活躍會員同時，透過跨通路、跨產業導流及精準行銷，來提升會員貢獻度。</p> <p>萊爾富會員數今年增長50萬人，成長人數比去年多20萬，是3年來新高，較預期進度早了1個月突破500萬大關。儘管會員數相當高，萊爾富在記者會中表示，有實際消費或使用其他服務的活躍會員才是商機所在。萊爾富數位商務處也設有專責會員數據分析的團隊，分析會員消費行為，以推出精準再行銷方案，甚至新會員制度。萊爾富數位商務處會員本部長楊上緯則透露，在500萬名會員中，活躍會員占45%至50%，略高於統一超商2021年的活躍會員占比。</p> <p>萊爾富公布的三大數位經營戰略重點是，發行餐飲品牌聯合電子票券、Line購物數位策略合作、以及利用AWS數據分析技術剖析會員消費行為。這三項戰略重點，分別是為了會員引流、跨通路數據整合以及分析會員消費數據，以利後續擬定再行銷策略。</p> <p><strong>三大數位會員經營戰略：導流消費者、整合跨通路數據、統一分析後精準行銷</strong></p> <p>萊爾富坦承，儘管近年會員增長動能強勁，但以門市為中心吸引消費者加入會員的作法，終將受到地理距離限制而無法持續帶來新會員。三大戰略第一招，便是與餐飲品牌聯名，發售電子票券，來達到異業消費者相互導流的效果。楊上緯分析，不同於統一超商先從統一集團內通路整合會員的作法，萊爾富母集團（光泉集團）子公司不多，因此只能朝外部發展深度異業合作，吸引合作廠商的消費者成為會員。萊爾富數位商務處處長葉育堅進一步說明，異業合作要深度，必須從系統面做起，直接串接雙方POS系統，才能確保服務品質及行銷可歸因性，這是他們先前異業合作經驗的心得。</p> <p>葉育堅表示，串接異業合作商家系統，不僅有助於分析聯合票券的行銷成效，也能窺見會員在合作商家的消費行為。不過，合作商家數量畢竟有限，難以追蹤會員更完整的消費旅途，所以三大戰略第二招，用意正是追蹤更多消費數據點。</p> <p>萊爾富3月起與Line購物合作，推出Line Points回饋、限定優惠等誘因，嘗試將Line購物龐大的人流量導向實體門市。據萊爾富統計，Line購物不僅帶來大量新會員，還活化了40%非活躍會員，客單價更超過一般消費者3倍。當消費者用這些可追蹤的Line Points在Line購物平臺消費，Line還會將去識別化的會員消費行為洞察報告，提供給萊爾富，以結合會員線上消費習慣，和會員線下消費紀錄一併分析。</p> <p>此外，萊爾富8月底將利用電商解決方案平臺Cyberbiz服務，推出線上購物商城。葉育堅表示，屆時線下門市POS系統、線上商城的Cyberbiz系統及Line購物系統會完成串接，更有利於分析會員的跨通路消費行為。</p> <p>蒐集了跨通路消費數據，三大戰略的最後一招，是利用AWS數據分析技術，透過貼標等方法將會員分群，進行精準行銷。葉育堅舉例，購買漢堡票券的會員，在線下門市購買泡麵的頻率相當高，因此可以針對這些會員，推出速食類商品的專屬優惠。他們也是利用此技術發現，84%會員總消費金額僅由最活躍的12%會員貢獻，因此未來決定推出會員分級制度，為高貢獻度會員規畫更優惠的促銷方案。</p> <p>除了積極發展線上會員經營，萊爾富也透露線下戰略，今年目標將再展店100間門市，並在2017年開放接受全銀行信用卡後，進一步開放旗下行動支付服務HiPay綁定全銀行信用卡，用於實體門市消費</p> </div></div></div>
2022/7/26 19:21作者郭又華https://www.ithome.com.tw/news/152126
愈來愈多IIS外掛被用作駭入企業伺服器的後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/26/malicious-iis-extensions-quietly-open-persistent-backdoors-into-servers/" target="_blank">微軟研究人員發現</a>，IIS（Internet Information Services）外掛近來逐漸被駭客當成攻擊企業伺服器系統如Exchange Server的後門程式。</p> <p>過去企業伺服器攻擊較少遇到惡意IIS外掛，這倒不是因為駭客不用IIS外掛攻擊。主因是，駭客通常以腳本語言寫成的web shell作為第一階段的後門程式，導致惡意IIS外掛的偵測率較web shell來得低。另一個原因是IIS後門也比較難偵測到，因為它們植入的位置，多半和駭客目標應用程式所使用的合法模組位於同一個目錄，也和合法模組採用同樣的程式碼架構。大多數情況下，這些後門程式的邏輯很簡單，若研究人員對合法IIS外掛的整體運作不了解，也很難判定它是惡意程式，這也進一步增加偵測感染源的難度。</p> <p>隨著偵測技術的提升，惡意IIS外掛的案例也增加。一般情形下，攻擊者開採代管應用程式，例如Microsoft 365的重大漏洞進入企業網路，先植入Script web shell，再於伺服器上安裝IIS後門，以暗中長期滲透攻擊。在今年1月到5月間的Exchange Server攻擊中，微軟發現，駭客也會安裝依其目的，客製化惡意IIS外掛模組，監控目標應用程式進出的呼叫，或執行其他任務，像是執行遠端指令、或在用戶驗證Web應用程式時，於背景竊取用戶憑證資料。</p> <p>例如今年上半一次Exchange Server的攻擊中，攻擊者利用去年揭露的ProxyShell漏洞，在受害系統上植入web shell，接著安裝名為FinanceSvcModel.dll的後門程式，該程式具有執行Exchange管理作業的能力，像是序列出Exchange Server郵箱帳號，再將郵箱內容匯出，不但竊取了用戶憑證資料，還得以和外界建立RDP連線可長期接受執行指令。</p> <p>根據去年以來發現到代管應用程式上的惡意IIS外掛，微軟歸納出5類，包括web shell變種，例如經常被使用的China Chopper，包括今年初對<a href="https://www.ithome.com.tw/news/151549" target="_blank">臺灣</a>和越南Exchange Server用戶的攻擊。駭客也樂意使用GitHub等開源資源平臺的專案來開發IIS後門。第3類為IIS handler，這類後門程式和合法模組具有清楚掌握呼叫pipeline的能力。此外還有竊取用戶憑證類型的後門，可監控例如OWA的用戶登入行為模式，將憑證加密傳送出去，而竊得的憑證可讓攻擊者在目標環境中長期滲透，即使主要後門後來被偵測到。</p> <p>為防範攻擊者利用惡意IIS外掛攻擊企業伺服器，微軟建議企業使用防毒、防火牆及多因素驗證等方案，並以最小權限為原則設定應用程式存取，對於系統發出的異常通知應提高警覺。</p> <p>此外，微軟也建議應經常檢查管理員、RDP（Remote Desktop Protocol）用戶或企業管理員等高權限群組是否遭加入不明帳號，應用程式的web.config及ApplicationHost.config是否有不明檔案（如圖片檔），並定期掃瞄應用程式的bin目錄的路徑、及檢查使用appcmd.exe或 gacutil.exe的模組。</p> </div></div></div>
2022/7/27 10:47作者林妍溱https://www.ithome.com.tw/news/152135
【資安日報】2022年7月26日，駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客運用程式語言Rust打造攻擊工具的現象，可說是有越來越多人採用，不過，先前大多採用此程式語言重新開發的惡意程式，幾乎都是勒索軟體。但最近有人使用此種程式語言開發竊密軟體（Info Stealer），並免費提供他人使用，值得留意的是，在不到一個月的時間裡，該竊密軟體已被用於25起攻擊行動。</p> <p>鎖定UEFI的惡意軟體攻擊行動相當隱密，而可能事隔多年才得找到相關跡證。有資安業者最近針對自2016年發起的UEFI惡意軟體攻擊行動，揭露相關細節。這起行動<a href="https://bbs.360.cn/thread-14959110-1-1.html">在2017年已有研究人員接獲用戶通報，並對惡意軟體進行分析</a>，但直到最近新的調查結果出爐，才確認當時駭客鎖定的對象與受害範圍。</p> <p>攻擊者濫用系統內建元件發動寄生攻擊（LoL）的手法，近期再度出現，但不同的是，這次駭客在工具包裡挾帶舊版的合法程式來進行此種攻擊行動，而使得惡意軟體能在更多電腦上執行。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/25/luca-stealer-source-code-leaked-on-a-cybercrime-forum/"><span style="color: rgb(0, 0, 0);">駭客以程式語言Rust打造竊密軟體，並免費提供他人使用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png" style="width: 300px; float: right;" /></a>駭客以程式語言Rust打造攻擊工具的情況，已有數個駭客組織用來製作勒索軟體，但現在有也開發竊密軟體（Info Stealer）的人士採用此種程式語言。資安業者Cyble發現，有人在7月3日，於駭客論壇上發布以程式語言Rust開發的竊密軟體，並免費提供其原始碼，研究人員將此竊密軟體命名為Luca Stealer。</p> <p>此竊密程式主要是針對以Chrome為基礎開發的瀏覽器下手，並能針對其密碼管理與加密貨幣錢包的附加元件，竊取相關帳密資料。在瀏覽器之外，Luca Stealer還能挾持Skype、ICQ、Telegram、Discord等即時通訊軟體，以及Steam、UPlay遊戲平臺的帳號。研究人員指出，在3個星期之中，他們已經看到駭客用於25起攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/cosmicstrand-uefi-firmware-rootkit/106973/"><span style="color: rgb(0, 0, 0);">中國駭客使用UEFI惡意軟體CosmicStrand，在受害電腦上執行Shell Code</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png" style="width: 300px; float: right;" /></a>駭客鎖定UEFI韌體下手的情況，研究人員很有可能在多年之後，才找出整個攻擊鏈的樣貌。</p> <p>資安業者卡巴斯基揭露UEFI惡意軟體CosmicStrand（亦稱Spy Shadow Trojan）的攻擊行動，中國駭客約從2016年開始，鎖定採用H81晶片組的華碩、技嘉等廠牌的電腦下手，一旦CosmicStrand成功入侵電腦的UEFI韌體，就會在每次啟動時載入惡意酬載，並在每個開機流程進行掛勾，最終在記憶體內部署Shell Code來向C2連線，並下載惡意酬載，然後在Windows作業系統核心執行。</p> <p>研究人員指出，受害電腦遍及中國、越南、伊朗、俄羅斯，但這些電腦似乎都是個人所有，而無法找出所屬的組織或是產業。</p> <h3><a href="https://blog.cyble.com/2022/07/21/qakbot-resurfaces-with-new-playbook/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot利用舊版小算盤側載，確保能在受害電腦上正確執行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png" style="width: 300px; height: 141px; float: right;" /></a>攻擊者濫用系統內建的應用程式發動寄生攻擊（LoL），來側載惡意程式庫的（DLL Sideloading）現象，可說是非常頻繁，但現在有人選擇自行挾帶舊版作系統的應用程式，來確保惡意軟體能正常運作。</p> <p>研究人員ProxyLife與資安業者Cyble聯手，揭露駭客散布惡意軟體QBot（亦稱QakBot）的攻擊行動，駭客首先透過電子郵件來散布HTML檔案，一旦受害者將之開啟，就會下載受到密碼保護的ZIP壓縮檔案，內容是ISO映像檔。</p> <p>而此ISO檔的內容，包含了4個檔案，其中比較特別的是內有Windows 7版本的小算盤可執行檔（CALC.EXE），駭客將其用來載入惡意DLL檔案，最後將QBot的酬載注入檔案總管，並執行進一步的攻擊行動。這樣的手法，即使微軟在Windows 10、Windows 11移除了相關系統元件，駭客仍能載入QBot發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/stiffbizon-detection-new-attack-campaign-observed/"><span style="color: rgb(0, 0, 0);">北韓駭客使用木馬程式Konni攻擊歐洲國家，但俄羅斯駭客可能也參與其中</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bizon1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bizon1.png" style="width: 300px; height: 315px; float: right;" /></a>北韓駭客APT37近期動作頻頻，先前在今年初針對俄羅斯外交部發動網釣攻擊，現在目標已擴及歐洲多個國家。資安業者Securonix揭露名為Stiff#Bizon的攻擊行動，APT37使用Word檔案與捷徑檔案，鎖定捷克、波蘭等歐洲國家的高價值組織（High Value Target），以俄羅斯戰地記者的報導為幌子，散布RAT木馬程式Konni。</p> <p>研究人員指出，雖然從惡意軟體與攻擊手法來看，攻擊者的身分是APT37，但根據這起攻擊行動所使用的IP位址、主機代管業者等資訊，俄羅斯駭客APT28（亦稱FancyBear）也很有可能參與其中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/digital-security-giant-entrust-breached-by-ransomware-gang/"><span style="color: rgb(0, 0, 0);">資安業者Entrust遭到勒索軟體攻擊</span></a></strong></h3> <p>提供身分驗證管理解決方案的Entrust在本月初通知客戶，他們的內部網路在6月18日遭到入侵，部分資料外洩，但除此之外並未透露更多細節，此起事故直到研究人員公布Entrust通知客戶的文件才曝光。</p> <p>而根據資安新聞網站Bleeping Computer掌握的資訊，該公司是遭到勒索軟體攻擊，威脅情報業者Advanced Intelligence（AdvIntel）也證實此起事故是勒索軟體，並指出駭客是從黑市買到該公司員工帳密來入侵得逞。不過，發動攻擊的駭客身分仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://build.prestashop.com/news/major-security-vulnerability-on-prestashop-websites/"><span style="color: rgb(0, 0, 0);">以PrestaShop系統架設的電商網站遭到鎖定，駭客疑似透過SQL注入手法側錄交易資料</span></a></strong></h3> <p>駭客鎖定採用Magento、WooCommerce等知名系統架設的電商網站發動攻擊，可說是相當頻繁，但其他電商平臺的用戶也不能掉以輕心。例如，電商平臺開發商PrestaShop於7月22日提出警告，他們發現駭客正在利用漏洞於電商網站注入惡意程式碼，而可能得以執行任意指令，進而竊取客戶付款的交易資料。</p> <p>該公司表示，駭客疑似利用PrestaShop的漏洞CVE-2022-36408。這項漏洞存在於PrestaShop 1.6.0.10以上的版本，並搭配特定版本的Wishlist外掛程式就有可能被觸發，而使得駭客能進行SQL注入攻擊。該公司呼籲用戶升級最新版本PrestaShop來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288"><span style="color: rgb(0, 0, 0);">為防堵嘗試RDP帳密的攻擊行為，微軟計畫將防範暴力破解攻擊的政策提供給所有Windows用戶</span></a></strong></h3> <p>駭客利用暴力破解的方式嘗試存取遠端桌面連線（RDP），來入侵受害電腦的做法相當氾濫，對此，微軟已開始將防堵暴力破解密碼的新政策Account Lockout Policy，設為預設啟用，只要10分鐘內輸入超過10次帳密，帳號就會被鎖住。而這項新政策已在即將推出的Windows 11 22H2測試版本中，自22528.1000版開始提供，該公司也承諾日後會延伸到其他版本的Windows上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/ICS-Vulnerabilities-CVEs_SynSaber-2022-H1-Report.pdf"><span style="color: rgb(0, 0, 0);">美國2022上半揭露逾600個ICS設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://claroty.com/2022/07/25/blog-research-with-management-comes-risk-finding-flaws-in-filewave-mdm/"><span style="color: rgb(0, 0, 0);">行動裝置管理系統FileWave存在漏洞，恐成為駭客入侵組織的管道</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> </div></div></div>
2022/7/26 17:23作者周峻佑https://www.ithome.com.tw/news/152121
微軟修補Windows 11 21H2開始功能表壞掉的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/zh-tw/windows/release-health/resolved-issues-windows-11-21H2#2868msgdesc" target="_blank">微軟上周五（7/22）指出</a>，有少數Windows 11 21H2用戶在安裝了於今年6月23日釋出的KB5014668或之後的更新版本後，發現打不開開始功能表，已透過已知問題復原（Known Issue Rollback，KIR）機制解決了該臭蟲。</p> <p>此一臭蟲讓使用者不管是點選「開始」按鍵，或是在鍵盤上使用Windows鍵，都無法叫出開始功能表。</p> <p>KB5014668為Windows的功能改善更新，並未涉及安全更新，該版本修補了藍牙連線、遊戲音訊及Wi-Fi熱點不穩的問題，也新增了搜尋重點功能。微軟並未說明是哪個因素造成開始功能表故障，僅說已利用KIR將故障之處回滾至尚未更新前的狀態。</p> <p>KIR僅適用於非安全更新的修復，而且僅會針對個別問題進行回滾，值得注意的是，當微軟決定要回滾更新時，是先在雲端變更配置，使用者裝置收到通知後，必須重新啟動才會生效。</p> </div></div></div>
2022/7/26 15:10作者陳曉莉https://www.ithome.com.tw/news/152120
美國准許Google、Mandiant合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3個月的調查，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001370880/000137088022000030/mndt-20220715.htm" target="_blank">美國司法部本周同意</a>Google與資安廠商Mandiant的54億美元收購案。</p> <p>Google Cloud 3月初宣布以54億美元全現金方式收購資安服務業者Mandiant，是Google 2011年以125億美元收購Motorola以來金額第二大的收購。Mandiant與Google於3月21日向美國司法部與聯邦交易委員會（FTC）申報後，4月20日兩家公司都收到<a href="https://www.ithome.com.tw/news/150604" target="_blank">司法部要求</a>提供關於本收購案的進一步資訊，司法部必要時可縮短或延長等待期。這項文件並未透露司法部要求什麼資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-google%20cloud%20mandiant-600.png" style="width: 550px;" /></p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001370880/000137088022000030/mndt-20220715.htm" target="_blank">根據本周Mandiant向SEC提交的文件</a>，司法部於7月15日提早終止收購案的等待期，顯然美國政府的反托拉斯勢力並未盯上本案。司法部的核准已經滿足收購案的條件之一，現在本案的完成將取決其他條件。</p> <p>除了主管當局的核准外，Google和Mandiant的合併還遭到Mandiant股東控告阻撓。反對的投資人聲稱Mandiant對投資人提供的SEC文件中包含誤導及不完整聲明，企圖誘使他們同意與Google的合併。</p> <p>雖然官司還沒結束，不過<a href="https://www.theregister.com/2022/07/25/security_in_brief/" target="_blank">The Register報導</a>Mandiant仍然預期可以在2022年底前，完成和Google的合併。</p> </div></div></div>
2022/7/26 13:15作者林妍溱https://www.ithome.com.tw/news/152117
英特爾與聯發科宣布策略聯盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-july-2022-announce.html#gs.6v0ua0" target="_blank">英特爾（Intel）與聯發科（MediaTek）周一（7/25）宣布策略聯盟</a>，聯發科將利用英特爾<a href="https://www.ithome.com.tw/news/143423" target="_blank">在去年推出</a>之晶圓代工服務（Intel Foundry Services，IFS）的先進製程技術來生產晶片。</p> <p>雙方表示，此一協議將讓聯發科藉由新增一個在美國與歐洲擁有充沛產能的代工合作夥伴，打造更平衡也更有彈性的供應鏈。</p> <p>英特爾是在去年3月宣布設立IFS事業群，目標是打造世界級的晶圓代工服務，並成為美國與歐洲市場主要的晶圓代工服務業者，<a href="https://www.ithome.com.tw/news/145885" target="_blank">並計畫</a>要在2025年趕上台積電與三星等兩大競爭對手，除了聯發科之外，Amazon與高通（Qualcomm）亦為IFS客戶。</p> <p><a href="https://www.trendforce.com.tw/presscenter/news/20220620-11263.html" target="_blank">根據TrendForce所公布的第一季全球晶圓代工市場報告</a>，台積電與三星在該市場分別取得53.6%與16.3%的市占率，把其它競爭對手遠拋在後。不過，迄今英特爾尚未對外公開其晶圓代工的量產時程。</p> <p><a href="https://www.trendforce.com.tw/presscenter/news/20220609-11243.html" target="_blank">至於聯發科則是全球第五大IC設計公司</a>，落後高通、Nvidia、博通（Broadcom）與AMD。</p> <p>根據英特爾與聯發科的協議，聯發科打算透過英特爾的製程技術，來生產應用於各種智慧型邊緣裝置的不同晶片，IFS總裁Randhir Thakur表示，IFS先進的製程技術與地域的多元化，將能協助聯發科交付下一個10億連網裝置。</p> <p>負責平臺技術與製造營運的聯發科資深副總經理蔡能賢則說，該公司向來採取多元供應商的策略，繼與英特爾在5G數據卡的合作之後，雙方將進一步於智慧裝置的晶圓製造上合作，並期待與之建立長期合作關係以滿足全球客戶的需求。</p> <p>聯發科也是台積電的長期客戶之一，根據臺灣媒體的報導，聯發科與台積電都強調雙方將在先進製程上持續維持緊密的合作關係，業務往來不會受到影響。</p> </div></div></div>
2022/7/26 13:37作者陳曉莉https://www.ithome.com.tw/news/152118
FBI憂心美國軍事基地旁的華為基地臺會竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edition.cnn.com/2022/07/23/politics/fbi-investigation-huawei-china-defense-department-communications-nuclear/index.html" target="_blank">CNN本周報導</a>，美國聯邦調查局（FBI）經調查相信，華為可能利用設在美國軍事基地附近的電信基地臺，干擾軍事通訊、竊取機密通訊內容。</p> <p>FBI至少自2017年即開始調查中國政府在美國重要基礎架構附近的購地，並出手關閉位於多個軍事及政府機關所在地，美國政府懷疑是中方間諜活動據點的領事館。</p> <p>報導引述消息人士指出，在眾多調查中，FBI發現在美國中西部州的美軍基地，華為設立了大量基地臺。從商業面來看，這些基地臺的設置很不合理，因為不可能回收成本。</p> <p>許多美國中西部如懷俄明、內布拉斯加、科羅拉多州的小型電信業者，採用華為較便宜的基地臺及路由器等電信設備。報導指出，到2021年華為在美國西部5大州設置將近1,000座基地臺。</p> <p>FBI調查人員相信，這些華為基地臺可能辨識及干擾美國國防部專用頻譜的通訊，包括監管美國核子武器的戰略司令部（United States Strategic Command）的通訊內容，雖然它們也獲得美國通訊管理委員會（FCC）的認證。報導還引述專家指出，符合FCC規定、聽取非公共頻段的裝置，但暗中等待特定啟動指令以聽取其他頻段通訊內容，從技術上，可能需要一些改造技巧，但是是絕對辦得到的。</p> <p>另一方面，調查人員是否發現這些華為基地臺攔截到機密通訊內容，並傳回中國，消息人士說，這點從技術上很難證實。</p> <p>美國方面會有這類懷疑並不令人驚訝。從川普時代開始，美國政府即指控華為、中興等中國業者生產的設備，對美國造成國安風險，並在FCC執行下，以<a href="https://www.ithome.com.tw/news/147582" target="_blank">法令</a>及<a href="https://www.ithome.com.tw/news/147010" target="_blank">預算補貼</a>雙管齊下方式，要求美國小型電信業者汰換中國電信設備。</p> <p>一如過去，華為否認以其設備干擾美國軍事通訊的指控，強調該公司設備只能在FCC分配的頻譜執行，並只做商業用途，而無法存取任何分配給美國防部的電信頻譜的通訊內容。</p> </div></div></div>
2022/7/26 12:07作者林妍溱https://www.ithome.com.tw/news/152115
Meta出面呼籲停止使用閏秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際地球自轉和參考系統服務（International Earth Rotation and Reference Systems Service，IERS）為了解決國際原子時（Temps Atomique International，TAI）與地球自轉之間的時間差，自1972年以來導入了閏秒（leap second）的概念，於特定時間插入閏秒來調整世界協調時間（Temps Universel Coordonné，UTC），迄今已執行了27次，然而，光是這偶爾1秒的改變，就可能造成系統的故障，<a href="https://engineering.fb.com/2022/07/25/production-engineering/its-time-to-leave-the-leap-second-in-the-past/" target="_blank">Meta更認為它弊大於利</a>，本周出面呼籲停止使用閏秒，以其它的新技術來取代閏秒，就算維持現狀，亦可持續千年。</p> <p>UTC為目前全球主要使用的世界時間標準，它的基礎來自於以原子共振頻率標準來計算及保持時間準確性的原子鐘上，原子鐘是世界上已知最準確的時間測量與頻率標準，只是，每一天地球自轉頻率並不規則，亦有變慢的趨勢，為了讓原子時準確符合天文的變化，IERS提出了閏秒的設計，每當基於地球自轉再加上修正地球極軸運動效應的UT1（Universal Time 1）與原子時的差異達到0.9秒時，便於UTC中插入閏秒。</p> <p>簡單地說，IERS以在UTC中添加潤秒來折衷TAI與UT1的時間差，然而，Meta卻認為這是個有風險的作法，且應立即停止使用，讓它停留在27次。IERS添加潤秒的時間都是在每年的6月或12月底，上一次是在2016年的12月底，下一次可能會落在今年的12月底。</p> <p>Meta工程師Oleg Obleukhov與科學家Ahmad Byagowi指出，迄今的27次閏秒都是正的，執行的方式很簡單，只是看起來有點古怪，例如23:59:59沒有直接跳到00:00:00，而是23:59:59 -> 23:59:60 -> 00:00:00，這樣的時間戳可能會造成程式當掉或檔案損毀；但倘若地球自轉速度變快，變成負閏秒，那麼系統時間的轉換即會成為23:59:58 -> 00:00:00，其可能產生的影響尚未進行大規模測試，但估計會對仰賴定時器或排程器的軟體造成破壞性的衝擊。不管是哪一種，都會讓管理硬體基礎設施的工程師痛苦。</p> <p>其實業者已經找到因應閏秒的方法，例如Meta以17小時的時間吸收了這多出來的1秒，<a href="https://developers.google.com/time/smear?hl=en" target="_blank">而Google則是以24小時來吸收閏秒</a>。不過，吸收閏秒的這段期間容不得差錯，倘若執行吸收的網路時間協定（NTP）伺服器被重開機，或者是用來傳播閏秒的全球衛星導航系統遺失了訊號，都會導致系統故障。此外，NPT軟體還必須持續比對所採用的時間來源並進行更新。</p> <p>歷年來的閏秒添增不乏意外事故，例如Reddit在2012年時曾因此中斷網站服務半小時，<a href="https://blog.cloudflare.com/how-and-why-the-leap-second-affected-cloudflare-dns/" target="_blank">Cloudflare</a>在2017年也因閏秒導致DNS伺服器故障。</p> <p>Meta認為，隨著所有產業對於時鐘的精準需求不斷成長，閏秒現在所帶來的傷害已多過好處，將加入聲援停止閏秒的社群行列，讓閏秒停留在27次。</p> <p>支持閏秒的其中一種說法是擔心原子時與天文時的差距愈來愈大，未來也許有一天時鐘指著中午12點，外面卻是晚上，然而，就算每年都出現閏秒，到了3022年時，原子時與天文時也只差了16分鐘，這也使得Meta認為，就算沒有閏秒，現在的時間狀態也至少足以支撐下一個千年。</p> </div></div></div>
2022/7/26 12:52作者陳曉莉https://www.ithome.com.tw/news/152116
Confluence App寫死的密碼遭公布，可能致企業內部資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Atlassian旗下企業維基與協同軟體Confluence一款App寫死在程式中（hardcoded）的密碼，上周遭人透過推特公布，可能讓企業用戶的內部資料因此被外人存取。Atlassian呼籲用戶應儘速升級到最新版App。</p> <p><a href="https://confluence.atlassian.com/security/july-2022-atlassian-security-advisories-overview-1142446703.html" target="_blank">Atlassian上周三發布關於3項漏洞的安全公告</a>，其中一項是<a href="http://www.cve.org/CVERecord?id=CVE-2022-26138" target="_blank">CVE-2022-26138</a>，是發生在Confluence Server及Confluence Data Center專用的Questions for Confluence App。這項App可讓用戶快速獲得Confluence常見問題的技術支援。</p> <p class="rtecenter"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-CVE-2022-26138-Questions%20For%20Confluence%20app%20-600.png" style="width: 600px;" /></a></p> <p>該漏洞出於該App一個帳號密碼寫死（hardcoded）在程式碼中。<a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank">根據Atlassian說明</a>，在Confluence Server或Data Center啟動Questions for Confluence App後，它會建立一個用戶名稱為disabledsystemuser的Confluence用戶帳號，該帳號用於協助管理員將資料從App搬到Confluence Cloud。Disabledsystemuser建好時有個寫死的密碼，加入到用戶群組，以方便用戶查詢、編輯Confluence所有預設非管制的維基頁面。取得這個密碼的遠端非授權攻擊者將可登入Confluence及存取Confluence合法用戶具有存取權的任何頁面。</p> <p>在公布安全公告的隔天Atlassian又緊急公告，這個重要但寫死的密碼已被外部組織公布於推特上。CVE-2022-26138風險被列為重大。Atlassian指出，有鑒於密碼已公開，受影響系統應立即解決該漏洞。</p> <p>如果Confluence Server或Data Center執行個體上，出現啟用中的disabledsystemuser用戶或用戶帳號、或是dontdeletethisuser[@]email.com，表示系統曝險。但曾經安裝Questions for Confluence App，之後又移除者也可能會發現上述資訊。</p> <p>爆出漏洞的App是Confluence Server（2.7.x、3.0.x）或Data Center的Questions for Confluence App，存取Confluence Cloud的App則不受影響。Atlassian提醒，雖然有問題的App是會建密碼寫死的版本，但沒有這些版本App的Confluence環境還是可能受影響。</p> <p>解決方案有二：一是升級到更新版Questions for Confluence App，分別是2.7.38及3.0.5，最新版不會自動建disabledsystem帳號，也會移除曾建立的帳號。但如果Confluence是設定使用唯讀的外部目錄（如Atlassian Cloud），則需使用另一個方法：即關閉或刪除disabledsystem帳號。</p> <p>Atlassian警告，光是移除Questions for Confluence App並不能同時刪除disabledsystemuser帳號，必須安裝最新版App。</p> <p>上周Atlassian修補的另2個漏洞是<a href="https://www.cve.org/CVERecord?id=CVE-2022-26136" target="_blank">CVE-2022-26136</a>和<a href="https://www.cve.org/CVERecord?id=CVE-2022-26137" target="_blank"> CVE-2022-26137</a>，是同屬可讓遠端攻擊者呼叫繞過Servlet Filters的漏洞。兩項漏洞影響Confluence Server/Data Center、Bamboo Server/Data Center、Bitbucket Server/Data Center、Jira Server/Data Center、 Jira Service Management Server、Fisheye及Crucible等。</p> </div></div></div>
2022/7/26 10:38作者林妍溱https://www.ithome.com.tw/news/152113
【資安日報】2022年7月25日，網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊網站內容管理系統（CMS）的事故頻傳，其中又以針對<a href="https://w3techs.com/technologies/history_overview/content_management">市占高達6成的WordPress最多</a>，但Wix、Joomla、Drupal等其他CMS平臺的安全也相當值得留意。以Drupal為例，最近修補了4項漏洞，其中最嚴重的漏洞是CVE-2022-25277，有機會讓駭客執行任意PHP程式碼。</p> <p>開源的圖像化資料分析系統Grafana有不少組織採用，相關的漏洞也值得留意。其中，Grafana開發團隊最近修補了一項OAuth漏洞，這項漏洞存在於多個版本的Grafana，開發團隊已著手修補，並提供緩解措施。</p> <p>針對俄羅斯駭客頻頻對其他國家發動攻擊的情況，有資安業者找到駭客在多個國家架設的C2伺服器，並指出這些伺服器具備不同的功能，且已經被用於兩起勒索軟體攻擊行動。值得留意的是，臺灣也存在著上述駭客部署的C2伺服器，有關單位應該採取行動，別讓臺灣成為這群駭客的幫兇。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://censys.io/russian-ransomware-c2-network-discovered-in-censys-data/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客在臺灣等多個國家架設C2伺服器，並用於發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png" style="width: 300px; float: right;" /></a>駭客組織架設用於攻擊行動的基礎設施，很可能相當複雜且分散在全球各地。資安業者Censys公布俄羅斯駭客架設的15個C2伺服器，並指出這些伺服器不只部署於俄羅斯，還部署在臺灣，以及美國、中國等地。</p> <p>駭客將部分伺服器用於執行網站的弱點掃描工具Acunetix，或是利用滲透測試工具Metasploit來取得初步的存取權限，然後利用其他的C2伺服器散布惡意程式及勒索軟體。</p> <p>研究人員發現，這些C2伺服器被用於勒索軟體Karma、MedusaLocker的攻擊行動，前者出現於去年10月，後者則是在今年6月底引起美國發布警告。</p> <h3><a href="https://blog.talosintelligence.com/2022/07/attackers-target-ukraine-using-gomet.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軟體開發業者遭到GoMet變種後門程式入侵，駭客意圖對該國政府機關發動供應鏈攻擊</span></strong></a></h3> <p>俄羅斯駭客鎖定烏克蘭的攻擊行動，很有可能已經暗中進行一段時間才被發現。思科揭露使用GoMet變種後門程式的攻擊行動，駭客取得開源的GoMet程式碼並加以修改，約從2020年開始，用來攻擊烏克蘭大型軟體開發公司，由於此業者開發的軟體廣受該國各地地政府機關採用，研究人員推測這應該是供應鏈攻擊，且很有可能是俄羅斯政府撐腰的駭客所為。</p> <p>而對於此後門程式的來歷，研究人員表示，開發者使用Go語言打造而成，並包含攻擊者遠端控制的多數功能，且支援在x86與Arm架構的電腦上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152079"><span style="color: rgb(0, 0, 0);">烏克蘭電臺播放總統將政權移交的不實訊息，起因是遭到網路攻擊</span></a></strong></h3> <p>俄羅斯駭客不斷透過網路攻擊進行心理戰，先前有散布烏克蘭總統澤倫斯基（Vladimir Zelensky）宣布投降的假影片，現在則是宣稱此人的健康出現狀況。根據新聞網站CyberScoop的報導，烏克蘭媒體TAVR Media旗下的電臺散播不實消息，指出澤倫斯基因健康狀況非常糟糕，且已將該國政權交給他人。</p> <p>TAVR Media於7月21日發出聲明澄清，該電臺是因為遭到網路攻擊才會出現上述情況，發布與澤倫斯基健康問題相關的消息皆與事實不符。澤倫斯基也透過影片表示，自己持續在總統辦公室坐鎮，而上述宣稱他健康出狀況已經進醫院的消息，僅是俄羅斯散布不實資訊的其中之一。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberscoop.com/cyber-command-malware-ukraine/"><span style="color: rgb(0, 0, 0);">研究人員揭露白俄羅斯駭客UNC1511、俄羅斯駭客UNC2589使用惡意軟體攻擊烏克蘭</span></a></strong></h3> <p>美國網路司令部於7月20日指出，他們與烏克蘭國家安全局（SBU）合作，在最近幾個月發現數種惡意軟體，他們公布入侵指標（IoC）供各界防範。針對上述的攻擊行動內容，資安業者Mandiant指出，這些惡意軟體背後的攻擊者，很有可能是由白俄羅斯資助的駭客組織UNC1151，以及與俄羅斯政府有關的UNC2589。研究人員指出，這些駭客會假冒烏克蘭當局宣稱接下來可能會出現的攻擊行動，或是以薪資、防毒軟體為誘餌，來散布前述美國網路司令部公布的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/twitter-vulnerability-exposes-5-million-accounts/"><span style="color: rgb(0, 0, 0);">駭客外洩近550萬推特用戶資料，疑與行動裝置App漏洞有關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg" style="width: 300px; float: right;" /></a>又有駭客從社群網站竊得大量用戶資料，並宣稱是利用平臺的漏洞而得逞。根據資安新聞網站Restore Privacy的報導，有人在地下論壇Breached Forums上，兜售5,485,636名推特用戶的資料，並宣稱他們是透過系統弱點取得，受害者不乏名人與公司行號。</p> <p>駭客向該新聞網站進一步透露，這些資料是在2021年12月收集，並已有買家正在接洽當中，他們打算求售3萬美元，駭客也聲稱他們利用的漏洞，在今年一月被通報到HackerOne，存在於安卓版的用戶端程式，現在已完成修補。該新聞網站也證實部分資料的內容正確。推特則表示正在著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://fortune.com/2022/07/24/t-mobile-to-pay-350m-to-customers-due-to-data-breach/"><span style="color: rgb(0, 0, 0);">針對去年遭網路攻擊的資料外洩事件，T-Mobile決定支付3.5億美元進行和解</span></a></strong></h3> <p>去年8月傳出有駭客於地下論壇，兜售來自電信業者T-Mobile的1億用戶資料，隨後該公司證實約有7,660萬名美國使用者資料外洩，並引起用戶集體訴訟。</p> <p>T-Mobile於7月22日提交給美國證交所的文件指出，他們決定支付3.5億美元，來與受害用戶和解，並承諾今年和明年總共會提撥1.5億美元來投資資料安全。該公司的決定將有待美國法院核准及執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152084"><span style="color: rgb(0, 0, 0);">臺灣虎航公告遭網路攻擊，客戶資料恐遭外洩</span></a></strong></h3> <p>廉價航空業者臺灣虎航於7月22日傍晚，於臺灣證券交易所發布公告，證實該公司遭到網路攻擊，他們已聯合外部資安公司協同處理，並通報相關執法單位。該公司評估營運無重大影響，但在網站上公布反詐騙聲明，要旅客留意可能會衍生的網路詐騙攻擊。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/code-execution-and-other-vulnerabilities-patched-drupal"><span style="color: rgb(0, 0, 0);">網站內容管理系統Drupal的RCE漏洞得到修補</span></a></strong></h3> <p>駭客攻擊網站內容管理系統（CMS）的事故不斷發生，雖大多是針對WordPress而來，但Wix、Joomla、Drupal等系統的漏洞也值得留意。Drupal的開發團隊於7月20日發布資安通告，公告4項漏洞的細節與緩解措施，影響9.3與9.4版，當中最為嚴重的是CVE-2022-25277，一旦攻擊者加以利用，就有可能透過Apache網頁伺服器上傳惡意文件的方式，執行任意PHP程式碼。不過，要觸發這項漏洞存在限制，其中一項就是網站伺服器必須是使用Apache網頁伺服器，Drupal呼籲網站管理員要儘速檢查伺服器是否遭到入侵，並發布9.3.19與9.4.3版修補上述漏洞。</p> <p>此外，資訊洩露漏洞CVE-2022-25275也影響Drupal 7，網站管理員應升級7.91版來緩解漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://github.com/grafana/grafana/security/advisories/GHSA-mx47-6497-3fv2"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補可能會導致管理員帳號遭到接管的漏洞</span></a></strong></h3> <p>資安研究團隊HTTPVoid於6月底，在圖像化資料分析系統Grafana發現OAuth功能的漏洞CVE-2022-31107，一旦攻擊者加以利用，就有機會存取其他使用者的帳號，CVSS風險評分為7.1分，Grafana 5.3版以上都會受到影響。Grafana於7月14日發布8.3.10、8.4.10、8.5.9、9.0.3版予以修補。開發團隊指出，若是使用者暫時無法更新Grafana，也可透過停用所有的OAuth身分驗證機制，來緩解上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/zyxel-firewall-vulnerabilities-left-business-networks-open-to-abuse"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆資料夾穿越漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-patch-critical-sql-injection-bug-immediately/"><span style="color: rgb(0, 0, 0);">SonicWall修補資安治理系統GMS的重大SQL注入漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> </div></div></div>
2022/7/25 17:17作者周峻佑https://www.ithome.com.tw/news/152103
T-Mobile以3.5億美元和解逾7,000萬用戶的資料外洩案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146215" target="_blank">媒體在去年8月披露</a>，有駭客正於地下論壇兜售來自T-Mobile的1億用戶資料，最終T-Mobile證實有7,660萬名美國使用者的資料外洩，並迎來了集體訴訟案，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001283699/000119312522200065/d790999d8k.htm" target="_blank">上周T-Mobile同意以3.5億美元與受害用戶和解</a>，僅待法院核准。</p> <p>T-Mobile的資料外洩規模之所以如此龐大，是因為它涵蓋了過去的客戶，現有的客戶，以及未來的潛在客戶，包含他們的姓名、地址、生日、身分證/駕照號碼，以及部分的社交安全碼。</p> <p><a href="https://www.t-mobile.com/news/network/cyberattack-against-tmobile-and-our-customers" target="_blank">當時的T-Mobile執行長Mike Sievert曾解釋</a>，駭客不僅熟悉技術系統，也擁有專門的工具與能力，先進入了T-Mobile的測試環境，再利用暴力破解攻擊與其它手段存取了含有客戶資料的多個伺服器，駭客的目的就是為了竊取資料。</p> <p>雖然T-Mobile已提供兩年免費的身分保護服務予這7,660萬名使用者，但還是遭到集體控告。</p> <p>在此一和解協議中，T-Mobile不僅同意支付3.5億美元的和解金額，也承諾要在今年與明年提撥總計1.5億美元，進行資料安全及相關技術的投資。</p> </div></div></div>
2022/7/25 14:17作者陳曉莉https://www.ithome.com.tw/news/152099
說AI有感知能力的Google工程師被解僱了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個月公開對外宣稱Google對話應用語言模型（Language Model for Dialogue Applications，<a href="https://www.ithome.com.tw/news/151403" target="_blank">LaMDA）具備感知能力的Google工程師Blake Lemoine</a>，在上周五（7/22）被Google解僱了。</p> <p>LaMDA為Google所開發的AI對話模型，號稱可深度理解對話的脈絡，還能夠執行與使用者之間不同主題的漫談對話，於去年5月正式發表。</p> <p>而Lemoine是在6月7日被Google要求帶薪休假，理由是違反Google的員工保密協議，他不僅於當天宣布此事，也大肆宣揚他認為LaMDA具備感知能力的看法，大意是LaMDA有自己的感覺與想法，因此也需要像人類般地被尊重。</p> <p><a href="https://bigtechnology.substack.com/p/google-fires-blake-lemoine-engineer" target="_blank">Google隨後向《Big Technology》證實已解僱Lemoine</a>，指出LaMDA已經歷過11次不同的審查，並在今年初發表了研究報告，詳述如何執行負責任的LaMDA開發，且倘若有員工像Lemoine一樣擔心Google的成果，那麼Google即會展開更全面的審查。</p> <p>然而，Google發現Lemoine對LaMDA的宣稱毫無根據，而且也努力與Lemoine溝通，只是即使經過長達數月的討論，Lemoine依舊選擇繼續違反明確的受僱與資訊安全政策，包括必須保護產品資訊一事。</p> <p>Lemoine則在律師的建議下，拒絕對此事作出回應。</p> </div></div></div>
2022/7/25 14:33作者陳曉莉https://www.ithome.com.tw/news/152100
Meta替Horizon Worlds打造18禁的成人世界政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://store.facebook.com/en-gb/help/quest/articles/horizon/create-in-horizon-worlds/restrictions-to-worlds-in-horizon/" target="_blank">Meta上周替旗下的Horizon Worlds虛擬社交平臺打造</a>了18禁的成人世界政策，要求涉及成人內容的世界必須自行標註。只要特定世界的內容涉及性暗示內容、推廣成人活動，或是有太過暴力的虛構內容，就得標註為成人世界。</p> <p>像是那些近乎裸露，具備性暗示的描繪，或是有太多性暗示活動的環境；或是某些專門推廣大麻、酒精、雪茄或賭博等只限成年人才能參與的活動；以及可能讓使用者感到厭惡的過度暴力與激烈的內容。</p> <p>除了成人世界必須特別標註之外，有些內容在Horizon Worlds是完全被禁止的，涵蓋完全裸露的性內容、推廣非法藥物、推廣犯罪活動、描繪現實生活中的暴力內容，以及企圖銷售現實世界就被禁止的槍支等物品。</p> <p>Meta表示，該公司希望Horizon對於不同的社群來說都是一個有趣且熱情的世界，讓每個人都能感到安全及被尊重，只要特定的世界是專為成人打造，就必須標註。</p> <p>現階段Meta僅於加拿大、美國與英國市場推出Horizon Worlds，並只支援具備Quest的使用者，也許是因Horizon Worlds的推波助瀾，<a href="https://www.ithome.com.tw/news/151765" target="_blank">目前Quest為全球VR頭戴裝置的龍頭</a>，占全球出貨量的9成，遠遠領先身後的字節跳動、DPVR、HTC及愛奇藝。</p> </div></div></div>
2022/7/25 13:09作者陳曉莉https://www.ithome.com.tw/news/152096
Google Chrome被間諜工具開採的漏洞也影響Safari、Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 7月初修補Chrome的一項零時差攻擊漏洞，事實上也影響Safari及微軟Edge瀏覽器，蘋果和微軟也分別於上周及本月初釋出更新版軟體解決漏洞。</p> <p><a href="https://www.ithome.com.tw/news/151773" target="_blank">7月初Google釋出</a>Chrome 103版，最重要的是解決CVE-2022-2294這個已遭開採的漏洞。<a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/" target="_blank">根據首先發現該漏洞攻擊的安全廠商Avast指出</a>，開採本項漏洞的可能是以色列一家名為Candiru的間諜軟體開發商，後者提供工具給政府客戶，以鎖定黎巴嫰記者以及土耳其、葉門和巴勒斯坦用戶。以Chrome 本月初的開採行動而言，受害者Windows電腦上即被植入DevilsTongue間諜軟體以竊取資料。</p> <p>遭到開採的CVE-2022-2294為位於WebRTC堆積緩衝區溢位漏洞，可讓攻擊者設計惡意網頁內容，以待用戶瀏覽器造訪後，在用戶裝置上執行任意程式碼。</p> <p>WebRTC是支援瀏覽器進行即時語音和影像通訊的API，也提供影音引擎、壓縮、影片codec等元件。2011年開源，目前獲多種瀏覽器支援，包括Chrome、Edge、Firefox、Opera及Safari的桌機及手機版本。</p> <p>CVE-2022-2294似乎僅影響Safari及Microsoft Edge。<a href="https://support.apple.com/en-us/HT213341" target="_blank">蘋果於上周釋出</a>iOS、macOS、以及iPadOS、watchOS、tvOS等所有平臺的更新版解決70多項漏洞，其中Safari 15.6版即是為了修補CVE-2022-2294。</p> <p>微軟則已在7月初穩定通道釋出Microsoft Edge 103.0.1264.49版（目前最新版已來到103.0.1264.71）解決這項漏洞。</p> </div></div></div>
2022/7/25 13:33作者林妍溱https://www.ithome.com.tw/news/152097
身分管理業者Entrust上個月遭駭客集團盜走資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/AlvieriD/status/1550119202287013891" target="_blank">美國身分管理業者Entrust本月向客戶寄出安全通知</a>，指出在今年6月18日遭到駭客入侵，駭客盜走了內部系統的某些檔案。不過，Entrust迄今尚未對外揭露有關該攻擊的詳細資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-entrust%20photo%20by%20Dominic%20Alvieri%20on%20twitter-600.png" style="width: 391px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Dominic Alvieri on twitter</span></span></p> <p>Entrust主要提供有關身分認證的軟、硬體產品，例如用來發行金融卡、製作電子護照，以及用來存取安全網路的使用者身分認證等，且有不少美國政府客戶，如能源部、國土安全部、衛服部、退伍軍人事務部及農業部等。</p> <p>雖然Entrust僅說駭客存取了內部系統，<a href="https://www.bleepingcomputer.com/news/security/digital-security-giant-entrust-breached-by-ransomware-gang/" target="_blank">但《BleepingComputer》報導</a>，Entrust是受到勒索軟體攻擊，同時該報引用了AdvIntel執行長Vitali Kremez的說法指出，駭客是自黑市購買了Entrust的員工憑證，以此入侵Entrust系統並部署勒索軟體，只是目前並不確定兇手。</p> <p>Entrust表示，在得知安全意外的當下便通知了執法機構，並開始與第三方的資安業者合作，尚無證據顯示該公司的產品與服務的安全性遭到波及，倘若有客戶的產品或服務受到影響，將會儘快主動通知。</p> <p>Entrust的發信日期是在7月6日，尚未得知之後的發展。《BleepingComputer》則說，或許只有在Entrust拒絕支付贖金、駭客公布資料的狀況下才能確定真兇。</p> </div></div></div>
2022/7/25 14:08作者陳曉莉https://www.ithome.com.tw/news/152098
微軟正式封鎖網路下載Office文件的VBA巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>暫時延後封鎖2周後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">微軟上周宣布</a>重啟封鎖網路下載Office文件VBA巨集的措施。</p> <p>基於安全考量，微軟決定預設封鎖網路下載Office文件，微軟也的確按規畫於6月正式啟動封鎖。7月初微軟忽然宣布暫時從目前通道（Current Channel）撤回作業，並未說明理由，只表示需要改進可使用性，<a href="https://www.ithome.com.tw/news/151889" target="_blank">並在數天後澄清</a>，這只是暫時性的，微軟仍然致力於成為所有用戶的預設。</p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">微軟上周透過更新的網頁宣布</a>，重新在Office目前通道（Current Channel）部署變更措施。</p> <p>過去，用戶開啟網路下載的Office文件時，Office會顯示已關閉巨集的黃色警告，但用戶只要點擊一下即可啟用巨集。而新措施顯示已封鎖文件的VBA巨集的橘色警告，並提供說明使用巨集安全風險的文章連結。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-gb/DeployOffice/images/security/vba-security-risk-banner.png" style="width: 600px;" /></p> <p>微軟並表示根據客戶回饋意見，已更新對終端用戶及IT管理員的文件，以更清楚說明在不同情境下有哪些選項。例如，SharePoint和網路芳鄰上有檔案時該怎麼做。</p> <p>對於終端用戶，微軟說明巨集的安全風險，<a href="https://docs.microsoft.com/en-gb/DeployOffice/security/internet-macros-blocked#steps-to-take-to-allow-vba-macros-to-run-in-files-that-you-trust" target="_blank">而在給IT管理員的文件中</a>，則說明將在7月27日開始部署2206版本Office到「目前」通道、Office應用程式如何判斷要不要封鎖巨集，以及IT管理員該怎麼允許巨集執行。方法是在「屬性」中的「一般」頁中勾選「解除封鎖」的選項。同時在PowerShell使用Unblock-File cmdlet指令。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/en-gb/DeployOffice/security/internet-macros-blocked#steps-to-take-to-allow-vba-macros-to-run-in-files-that-you-trust" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-office%20vba%20block-600.png" style="width: 550px;" /></a></p> <p>如果企業已經在網路規則中設定開啟或封鎖巨集，則不會受到這波部署的影響。</p> </div></div></div>
2022/7/25 11:56作者林妍溱https://www.ithome.com.tw/news/152092
推特怪馬斯克害它上季虧損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/twitter-announces-second-quarter-2022-results-301591530.html" target="_blank">社群平臺推特（Twitter）上周公布第2季財報</a>，指出馬斯克遲遲不收購造成該公司虧損。</p> <p>推特上一季營收為11.8億美元，較去年同期衰退1%，其中廣告營收10.8億年增2%，訂閱及其他營收為1.01億，年減27%。推特將黯淡的績效表現歸咎於大環境衝擊廣告產業，以及馬斯克收購推特一事延宕所致。此外，收購推遲也使該公司衍生出3,300萬美元的成本。</p> <p>不過在可獲利每日平均用戶（monetizable daily active usage， mDAU），推特表示因為產品持續改進及現有活動帶動的全球用戶互動，仍然較去年同期成長了16.6%來到2.38億。</p> <p><a href="https://www.ithome.com.tw/news/151865" target="_blank">這是馬斯克自7月初通知推特退出收購後</a>，這家社交平臺的首次財報。4月間馬斯克提議以440億美元收購後，全球即陷入俄烏戰爭及通貨膨脹引發的經濟衰退。馬斯克聲稱不收購推特的理由在於平臺假帳號遠高於5%，且推特屢次推託不提供資料使其無法獨立驗證。但推特駁斥這個說法，指稱馬斯克是因為經濟景氣反轉而欲反悔。</p> <p>推特於7月12日狀告德拉威州衡平法院，欲迫使馬斯克遵守合約義務完成440億美元收購案。推特也力促本案審理在9月中展開，可能是推特收購合約有個「推定終止日」，在10月24日之前未完成合併，就會導致本合併案失敗。</p> <p>雖然<a href="https://www.ithome.com.tw/news/151865" target="_blank">馬斯克試圖聲請</a>本官司延到2023年2月以後，理由是需要多點時間調查推特假帳號。不過<a href="https://www.cnbc.com/2022/07/19/twitter-wins-bid-for-expedited-trial-to-force-musk-to-close-deal.html" target="_blank">德拉威州衡平法院首席法官Kathaleen McCormick 上周判</a>定本案將在10月開始審理。</p> <p>基於雙方收購未完成，推特也取消了對上季營收的分析師會議、致股東信，或提供財務指引。</p> </div></div></div>
2022/7/25 12:22作者林妍溱https://www.ithome.com.tw/news/152094
NASA擴充Aitken超級電腦，成最大HPC系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nas.nasa.gov/pubs/stories/2022/feature_Aitken_expansion_2Q2022.html" target="_blank">美國國家航空及太空總署上周公布</a>最新擴充的高效能運算（high-performance computing，HPC）系統Aitken成為全球58大超級電腦，將支援登陸火星、重返月球及太陽研究等太空任務。</p> <p>Aitken經過這次擴充，成為NASA最強高效能運算系統，超越上一代HPC系統Pleiades保持14年的地位。</p> <p>Aitken和Pleiades都是位於艾姆斯研究中心（Ames Research Center），後者則是整合節能技術的模組化超級電腦設施（modular supercomputing facility，MSF），該MSF占地1,200多坪，共含16模組的電腦及儲存設備，模組化設計提供未來擴充及支援不同任務的彈性。</p> <p>除了Aitken及Pleiades外，NASA另外還有Electra及Endeavour兩臺超級電腦。</p> <p>Aitken為NASA於2019年8月架設。在這次擴充工程中，新增4座HPE Apollo機架，包含512個位於羅馬的節點，使Aitken來到3,200個節點，308,224核心，塞滿了MSF第一個模組。Aitken曾於2021年春天及夏天各擴充過一次，當時相當於全球500大超級電腦的84名及72名。而在最新擴充中，Aitken效能再提升16%，理論運算峰值來到13.12 petaflops，約當全球第58名。</p> <p>Aitken所在的模組使用了結合戶外氣冷及風扇技術的系統，來冷卻封閉系統中的水，以移除電腦運算產生的高熱，並在周遭氣溫太高時，以鄰近模組的2臺絕熱冷卻器來冷卻水循環系統。</p> <p>未來2年，NASA將在MSF安裝第二運算模組及新的資料模組，資料模組提供的檔案系統和現有NAS設備分開，以便能獨立維護，而不影響科學家的模擬專案。</p> <p>Aitken將支援NASA各項研究專案，像是在未來的登陸火星任務Artemis中，模擬甘迺迪太空中心的發射環境，科學家將運用數千核心預測登月／登火星太空船、行動發射臺、基地臺架構及導焰槽（Flame Trench）的空氣動力負載，並加入發射臺噪音壓縮系統的水效應。模擬結果可提供發射環境更全面的極端條件，幫助NASA提供安全性、降低太空任務的風險，進而省下不必要的時間及金錢花費。</p> <p>此外，NASA戈達德太空飛行中心（Goddard institute for Space Studies）也將利用Aitken進行日冕電漿的運動模擬，以了解太陽磁區和地球磁層的互動關係，這些研究也將有助於NASA的太陽探索任務之規畫。</p> </div></div></div>
2022/7/25 12:50作者林妍溱https://www.ithome.com.tw/news/152095
TechInsights在MinerVa挖礦機中發現中芯國際生產的7奈米晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.techinsights.com/blog/disruptive-technology-7nm-smic-minerva-bitcoin-miner" target="_blank">專門提供技術分析與智慧財產服務的TechInsights上周公布了一篇研究摘要</a>，指出他們在一臺比特幣挖礦機MinerVa中，發現了由中芯國際（SMIC）以7奈米製程生產的系統單晶片（SoC）。</p> <p>TechInsights表示，該公司之前即曾分析中芯的14奈米技術，此一現身於MinerVa挖礦機的SoC是他們從中芯所看到的最先進的技術產品，初期印象覺得它與台積電（TSMC）的7奈米製程有些類似。</p> <p>但此一小批生產的產品可能只是真正7奈米製程的墊腳石，因為比特幣挖礦機對記憶體的要求有限，它們也許不具備真正7奈米技術定義所要求的記憶體位元格。</p> <p><a href="https://www.ithome.com.tw/news/141789" target="_blank">中芯國際在先進設備上受到美國的出口管制</a>，雖然不論是台積電或三星的許多7奈米節點都未使用EUV光刻技術，但它們的代價是增加了製程複雜度與設計規則的限制。TechInsights認為，就算現在所有主要晶片代工廠都在沒有EUV的情況下使用7奈米製程，但在未來引進EUV之後，便可能降低7奈米節點的複雜性與成本。</p> <p>至於中芯在中短期內則不太可能擁有此一選項，只能持續開發缺乏EUV的7奈米節點，恐進一步增加複雜性及因此而衍生的良率問題。</p> <p>TechInsights分析，不論是台積電、英特爾或是三星都已經超越了此一技術節點，而且至少領先兩個節點。不論如何，中芯成功打造出7奈米晶片還是可替被美國排除在外的中國企業提供先進製程，也能降低中國對西方技術的依賴。</p> </div></div></div>
2022/7/25 11:42作者陳曉莉https://www.ithome.com.tw/news/152091
用OKR啟動減碳轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為創投業者，我的工作就是抓住大機會、瞄準大挑戰、投資大解方。我很早就看好Google與亞馬遜（Amazon）等公司，因此才得以享譽業界，但是當前的環境危機比我見過的任何挑戰都還要大很多。我在矽谷的創投公司凱鵬華盈（Kleiner Perkins）工作超過四十年，已故共同創辦人尤金‧克萊納（Eugene Kleiner）留下一套經得起時間考驗的法則，總共十二條，第一條就是：「不管新技術看起來多有開創性，先確定消費者真的想要它。」不過，眼前的問題讓我想到另一條比較不為人知的克萊納法則：「有時候，恐慌是恰當的反應。」</p> <p>現在就是這種時候，氣候問題的緊急狀態已經不容再低估。</p> <p>醜話說在前頭，我們減少碳排放的速度還跟不上災難降臨的速度。我在2007年說過這句話，現在還要再說一遍：我們做的遠遠不夠。除非我們能夠緊急而且大規模的導正方向，否則只能眼睜睜看著末日景象降臨。極地冰冠融化將淹沒沿海城市，作物歉收則會導致大規模飢荒。到了這個世紀中葉，全球將有十億人口淪為氣候難民。</p> <p>幸好，在這場抗爭當中，我們有一位得力的盟友：創新。在過去15年間，太陽能與風力發電的價格已經大幅降低90％；清潔能源增加的速度超出所有人的預期；電池技術的發展使得更多交通工具得以電氣化，成本也愈來愈低；能源效率提升讓溫室氣體的排放量大幅降低。</p> <p>雖然我們手頭上已經有不少解決方案，不過在實際運用方面，距離解決氣候危機的路途還很遙遠。我們必須大規模投資，推出健全的政策，使這些創新技術更平價；我們必須「馬上」普及已經具備的技術，努力發明仍然欠缺的解方。換句話說，我們同時需要現有的解方，也需要未來的新科技。</p> <p>那麼，實現目標的具體計畫是什麼？坦白說，這正是我們一直以來付之闕如的東西，也就是一項可以實行的計畫。要實現「淨零碳排」（net-zero carbon emissions），讓我們排放的溫室氣體數量低於我們有辦法清除的數量，理論上的方法當然很多。但是，這些不過是一份長長的選項清單，即使選項再好，都不算是計畫。憤怒與絕望不是計畫，同樣的，希望與夢想也不是計畫。</p> <p>我們最需要的是一套明確的行動方針，我有幸獲得許多世界頂尖的氣候與潔淨科技專家協助，才能完成本書，展示出我們能夠在2050年前，把溫室氣體排放量降至淨零的確切做法。</p> <p>計畫的優劣完全取決於執行，要達成這項重責大任，我們必須把過程中的每一步都當作自己的責任。這是我從導師、也就是英特爾（Intel）傳奇執行長安迪‧葛洛夫（Andy Grove）身上學到的教訓，也成為我一再驗證有效的座右銘：點子不值錢，執行才是關鍵。</p> <p>要著手執行計畫，我們得有適當的工具。安迪‧葛洛夫為英特爾設計的一套目標設定法則，很簡單，卻非常有效，它的名稱是「OKR」，全名是「目標與關鍵結果」（Objectives and Key Results）。OKR能夠引導組織專注投入優先要務；促進組織上下契合、連結；可以激發潛能、成就突破；並且追蹤各項目標的進展，衡量最重要的事。</p> <p><span style="font-size:28px;"><strong>企業轉型運動</strong></span></p> <p>全球大企業承擔重責大任，必須減少排放以及增加淨零排放解決方案。根據《衛報》一份經常被引用的報告，光是全球前百大企業的溫室氣體排放量就占全球的71％。雖然我們知道驅動市場最大的力量在於消費，而非生產，大企業所做的決定仍然可以帶來改變。</p> <p>至今，企業永續運動已經蘊釀了一段時間。沃爾瑪為零售業的能源效率建立新標準，美國有12個州的沃爾瑪商場的電力都來自太陽能。2016年，在歐巴馬執政的最後一年，沃爾瑪等154間公司都簽署了《美國氣候承諾企業行動聲明》（American Business Act on Climate），承諾遵守《巴黎協定》。</p> <p>科技產業在營運與數據資料庫上已經率先擴大使用可再生能源。連續四年來，Google的全球用電量100％皆來自可再生能源。蘋果公司（Apple）自2020年4月起，企業營運已經達成碳中和，並且致力在2030年前將所有產品的碳足跡歸零。</p> <p>這種現象的美妙之處在於漣漪效應。如果企業做出有利於氣候的承諾，供應商往往會跟著做，改變的步調因此加快。為了製造對環境零影響的產品，蘋果公司正努力敦促供應商承諾實施減碳計畫。我們看到企業的積極改變，不只做到「碳中和」，更承諾會達成「淨零排放」。就已排放的所有溫室氣體，不限於二氧化碳，企業承諾會在一年內抵銷任何殘餘的部分。</p> <p>我們的「企業」關鍵結果追蹤全球商業界在2040年前實現淨零排放的承諾。我們的關鍵結果是讓《財星》全球前五百大企業100％都做出相同的承諾。我們要怎麼做？在商業界，來自業界領袖的壓力最有成效。亞馬遜創辦人傑夫．貝佐斯就設立了一項新標準。我第一次跟他見面是在1996年，5年後，他送我一份令人難忘的禮物，那是一根木槳而且還刻了一句話：「如果你要在溪中逆流而上，多一根備用的槳總是不會出錯。」最近，我們談到氣候危機，我拿出他送我的木槳。他發出眾所皆知的尖銳大笑，說道：「約翰，看來我們需要很多根備用槳！」</p> <p>亞馬遜建立了一支永續發展專家團隊，成員來自競爭對手、學術界與自家公司。他們在2016年舉行的一次營運會議上傳播淨零目標的種子，當團隊成員從50人增加到200人，就有能力去量化整個企業各部門、從送貨卡車到倉儲系統的碳排放量。有了研究結果，亞馬遜便設立一個大膽的目標。2019年9月，貝佐斯提出一項計畫，宣布亞馬遜將在2040年前達到淨零排放。他的承諾在公司龐大的網絡與連結產生漣漪效應，讓地球變得更好。亞馬遜不會因自家公司脫碳就心滿意足，而是會積極拉其他人一起做。</p> <p>亞馬遜全球永續發展業務總監卡拉．赫斯特（Kara Hurst）指出，為了落實企業領導，氣候承諾要求簽署公司定期報告溫室氣體排放情況。她說：「我們沒有規定每一間公司應該做到什麼地步，只是指引他們應該朝向目標努力去做。這不是為了報告而做的報告，而是分享經驗的機制，讓大家了解未來還有什麼不同的做法。」透過衡量、追蹤與分享進度，簽署氣候承諾的公司也為其他打算採行相同做法的公司鋪好了路。</p> <p>對企業氣候運動者來說，動力已經累積得愈來愈強。2019年8月，美國商業界的指導委員會「商業圓桌會議」（Business Roundtable）發表一份聲明，重新定義「企業的使命」。商業圓桌會議是由美國企業巨頭領導者創始於1972年，自此之後企業的核心使命就是要以創造資金最大回報率為唯一依歸，永遠不變，因此組織章程定為「企業存在的目的主要是為了服務股東」。所以儘管永續發展是好事，但卻從未被視為企業管理的原則。</p> <p>然而，時代已經改變。隨著愈來愈多執行長擴展自身任務，商業圓桌會議也做出相同的回應，在新的聲明中強調，企業必須重視顧客服務；要建立多元化、包容與相互尊重的工作團隊；以及採用永續發展的措施保護環境。在嚴峻的氣候考驗之下，圓桌會議此時提出新的方針，再適切不過。<strong><span style="color:#696969;">（本文摘錄整理自《OKR實現淨零排放的行動計畫》，天下文化提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(7).jpg" style="width: 350px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> <strong>書名</strong> </span> </span><span style="color:#3399ff;"><strong>OKR實現淨零排放的行動計畫</strong></span></p> <p>約翰‧杜爾（John Doerr）、萊恩‧潘查薩拉姆（Ryan Panchadsaram）／著；廖月娟、張靖之／譯</p> <p>天下文化出版</p> <p>定價：700元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_OKR%E6%B7%A8%E9%9B%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kleiner%20Perkins.png" style="width: 200px;" /></p> <p><strong>約翰‧杜爾（John Doerr）</strong></p> <p>創投公司凱鵬華盈（Kleiner Perkins）董事長，1980年加入公司。投資全球最成功的創業者與公司，如Amazon、Google、Intuit、網景（Netscape）和推特（Twitter），創造超過425,000份工作機會。<a href="https://www.kleinerperkins.com/people/john-doerr/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Kleiner Perkins</span></span></a></p> <p><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_OKR%E6%B7%A8%E9%9B%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kleiner%20Perkins.png" style="width: 200px;" /></span></span></p> <p><strong>萊恩‧潘查薩拉姆（Ryan Panchadsaram）</strong></p> <p>致力於解決系統性社會難題的工程師與專業投資人，在凱鵬華盈擔任約翰．杜爾的技術顧問，專門投資以改變世界為目標的公司創辦人與技術。和杜爾合作完成《OKR實現淨零排放的行動計畫》，以及暢銷書《OKR：做最重要的事》。歐巴馬執政時期，潘查薩拉姆擔任美國副科技長（Deputy Chief Technology Officer），大力鼓吹創新、創業精神與開放資料。<a href="https://www.kleinerperkins.com/people/ryan-panchadsaram/" target="_blank"><span style="color:#696969;"><span style="font-size: 14px;">圖片來源_Kleiner Perkins</span></span></a></p> </div></div></div>
2022/7/25 09:17未署名https://www.ithome.com.tw/article/152069
電子病歷上雲開放了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是電子病歷實施17年來最大的變革，不只打通了醫院全面無紙化的最後一哩，更讓醫院IT可以大舉上雲，甚至可以加速遠距醫療，催生更多智慧醫療的應用</p> </div></div></div>
2022/7/25 09:24未署名https://www.ithome.com.tw/article/152064
遠傳打造電信服務信任基石，資安長間接介入營運成必然
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期最熱門的工作職缺就是資安長（CISO）一職，在各行各業當中，尤其是符合金管會規定的第一級上市櫃公司，最遲在2022年底前，都必須在公司設立資安長，並且成立包括資安專責主管，以及至少二名以上資安專責人員的資安專責單位。</p> <p>這樣的規定對於電信產業而言，其實難度並不高，尤其是，全世界許多國家，包含臺灣，都將電信產業認定為提供關鍵基礎設施（CI）的業者，而主管機關對於電信業在資安方面的要求強度，原本就高於其他產業。</p> <p>由於5G有高速、低延遲和多裝置連結的特性，電信業者在5G開臺後，都為了提供申請企業5G專網頻譜而傷透腦筋。因為2022年號稱為5G專網商機落地的關鍵年，如何做到建構5G專網、頻譜、整合產業鏈，以及滿足客戶需求，成為商機能否落地的重要關鍵。</p> <p>其中，主管機關NCC（國家電信傳播委員會）對於企業5G專網的「資安維護計畫」，應該採取「審查制」還是「備查制」，也因為審查委員意見不一而受到關注，這也證明，資安已經成為電信業者申請5G專網能否開通的重要關鍵。</p> <p>面對外界早已認定資訊長（CIO）應該要介入企業營運的理所當然，身為遠傳電信資安長朱建國表示，各界對於資安長應介入企業營運的呼聲，有後來居上的趨勢。</p> <p>他說，尤其對於關鍵基礎設施的電信業者而言，提供客戶的相關電信服務早就要做到「預設資安」（Security By Design），沒有資安的電信服務，是無法滿足客戶需求的。</p> <p>因此，朱建國坦言，要形塑客戶對遠傳電信提供電信服務的信任度，資安長介入企業營運是必然的，畢竟，數位時代的「信任」是無價的，建立客戶的信任度很難，但要破壞客戶的信任，往往在電光石火之間就可以做到。</p> <p>他說，或許資安部門現在還不能如同資訊部門，扛起公司營收的角色，但在資安不能獨立於業務之外存在的前提下，資安長可以帶領資安部門做到業務整合，藉由降低企業營運風險，也間接承擔協助公司營運發展的重責大任。</p> <p><span style="font-size:28px;"><strong>沒有內建資安的電信服務，無法被客戶接受</strong></span></p> <p>隨著企業逐漸仰賴資訊部門提供的IT系統支援企業營運，資訊部門也開始逐漸轉型，有許多產業的資訊部門已經從傳統的成本中心，慢慢轉為利潤中心，像是金融、電信產業的資訊部門，更慢慢成為企業數位轉型的重要推手。</p> <p>以遠傳電信為例，資訊部門身兼企業數位轉型的重責大任，但若回頭看看資安部門，在企業中究竟扮演何種角色？</p> <p>朱建國指出，資安部門並不是第一線提供客戶服務的單位，但在各界看重電信服務必須是安全、可信任的電信服務前提下，資安部門則成為重要的幕後推手，最重要的任務就是：協助企業形塑信任資產；並透過信任，驅動企業提供客戶更好、更安全的服務，累積營運所需的資產。</p> <p>他認為，在這個企業營運的正向循環中，資安部門即便沒有走向幕前，卻已經成為企業營運不可或缺的合作夥伴，因為，沒有內建資安的電信服務，是不可能被客戶所接受的。</p> <p>他說：「資安不能置外於業務而獨立存在，」也就是說，企業提供的各種服務，必須要有安全元件在內，資安只有跟業務整合時，才能降低企業營運的風險。朱建國指出，不管是遠傳電信或是其他子公司，一旦遭遇到各種資安風險或威脅，相關的作戰經驗都可以被累積、傳承和複製，這也讓遠傳電信在提供企業各種服務時，可以融合其他子公司面對資安風險的經驗，提供內建資安的客戶服務。</p> <p><span style="font-size:28px;"><strong>取得資安認證的目的不是為了合規，而是為了降低風險</strong></span></p> <p>遠傳電信早在2005年就成立資安相關部門，但這原先是資訊部門其中的一個功能單位，而不是獨立的資安部門。朱建國表示，在金管會於2021年11月正式對外公告，要求臺灣第一級上市櫃公司，必須在2022年底前，設立資安長且成立有2名專責人員的獨立資安部門前，遠傳電信便已在2021年7月，成立直屬總經理辦公室的資安辦公室，並指定他接任資安長一職。</p> <p>他表示，重視資安是遠傳電信的傳統，甚至，在政府尚未下令A、B級機關須取得ISO 27001資安認證前，遠傳電信已於2006年取得ISO 27001資安認證。</p> <p>朱建國早期服務於行政院資訊處，後續因離開政府部門轉而到產業工作的經驗，也讓他可以從不同構面去看資安，例如，從政府、產業、客戶和供應商等不同角色對於資安有不同的要求，他可以從更高層次去理解資安的重要性。</p> <p>以ISO 27001資安認證為例，朱建國表示，這樣的資安認證，可以協助企業從稽核的角度去掌握資安的量能，並滿足相關法規遵循和企業資安稽核的需求。</p> <p>不過，隨著資安威脅越來越複雜，企業取得ISO 27001資安認證，究竟是為了合規？還是為了資安？合規到底是資安稽核的目的？還是只是過程？朱建國坦言，這一切都是在做資安的過程中慢慢釐清，確認資安認證的目的並非合規，而是為了降低風險，只不過，政府和企業對於風險的定義有所不同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E6%9C%B1%E5%BB%BA%E5%9C%8B_%E9%81%A0%E5%82%B3_%E8%B3%87%E5%AE%89%E9%95%B7_20220715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 490px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /> <strong style="color: rgb(105, 105, 105); font-size: 20px;">遠傳電信總經理是技術背景出身，對資安風險更為重視，透過成立隸屬總經理室的資安辦公室和設立資安長，希望讓提供電信服務的同時，可以做到預設資安。── 遠傳電信資安長朱建國</strong></p> <p><span style="font-size:28px;"><strong>籌組不同階層的資安委員會，讓資安通報直達天聽</strong></span></p> <p>總經理井琪是技術背景出身，對於資安重視和理解程度非常高，而成立直屬總經理辦公室的資安辦公室並設立資安長，不僅反映總經理對資安的重視，專責資安部門也需要投入更多組織能量，而他身為企業資安長，不僅可以直接跟公司營運管理階層，反映企業面臨的資安和營運風險，更可以有效校準資安部門所需的組織資源和量能，不像以往須透過層級節制的方式，逐一向上通報。</p> <p>朱建國同意，身為資安長，可以直接向懂技術的總經理通報資安風險，對於企業推動資安，帶來很大助益；而這種最短通報路徑的溝通方式，更有助於爭取經營管理階層對資安資源的投入。</p> <p>他認為，感受資安風險的急迫性是資安長的責任，但組織對資安量能的聚焦與否，則必須讓經營管理階層直接看到資安風險所在，並且能和資安部門感受到同樣的資安風險帶來的壓力時，企業投入資安的資源才不會短少，面對風險的執行力道和意志，也就不會匱乏。</p> <p>不過，朱建國也意識到，公司每個環節都需要資安，每個部門都要面對不同的風險，但實際上，不同部門對資安投入的資源雖然有落差，每個部門，都是駭客入侵企業的可能缺口，「每個資安風險帶來影響，都是全公司要共同承擔的。」他說。</p> <p>雖然組織編制的限制，會帶來跨部門溝通的困難，朱建國試圖打破組織藩籬，希望透過跨部門任務編組或是籌組委員會的形式，讓經營階層、管理階層、技術階層都成立各自的資安委員會，藉由設定不同議題，讓第一線和駭客作戰的同仁，可以將不同層次的資安議題，直接對應到不同階層的主管，而不需要透過層層轉譯，才能掌握第一手資安風險資訊。</p> <p><span style="font-size:28px;"><strong>從全公司角度看資安資源分配，從源頭改變資安投資心態</strong></span></p> <p>由於朱建國是從內部升任資安長一職，相較其他空降的資安長，減少和其他部門磨合的困難。他也意識到，當資安部門的組織位階改變時，必須從單一部門的本位主義，轉而關注全公司的資安風險時，因為組織高度不一樣，優先項目也不一樣，「身為資安長的他，也必須重新校準資安策略，才能夠重新調整需要投入的資安配置。」他說。</p> <p>以遠傳電信這樣的大型企業，投入資安資源不少，但過往都是從部門或單一組織的角度來看資安，不僅片面，還會受到組織分工和框架的限制。如果可以從全公司的角度，確認資安政策的優先順序，並重新分配資安資源，將可以獲得最大的資安投資效益，並透過彼此的分工合作再磨合，讓政策可以更好落實、資源可以更好分配，組織成員可以更融入現行運作模式，達到資安投資最佳效益。</p> <p>舉例而言，很多部門服務上線前都需要做資安檢測，以往都由個別業務單位進行委外發包，但從全公司的角度來看，如何協助整併需要資安檢測部門的需求，並從全公司角度提供滿足需要資安檢測部門的需求，真正從源頭解決問題，讓企業資源可以更有效運用，才是從全公司角度看資安所帶來的改變。</p> <p>朱建國也說，資安不可能零風險，協助企業具有承受資安或是轉嫁資安風險的能力，都是企業資安韌性的一環。因此，他接任資安長後，致力於縮短不同部門的資安資訊空窗期，即便看到以前不曾發生過的資安風險，也都希望可以做到「預見」問題的可能性，事先找出問題解決之道、降低企業承受的風險。</p> <p><span style="font-size:28px;"><strong>資安是團體戰，是否具備資安技術看企業型態</strong></span></p> <p>資安長究竟是否需要具備專業的資安技能呢？朱建國認為，資安其實是一種團體戰，單打獨鬥是做不好資安的。所以，他關注的重點在於，資安長是否有一個可信任、強而有力的資安技術團隊作為後盾，資安長本身是否具備資安技術反而在其次。</p> <p>朱建國本身就是技術出身的資安長，多年的產業歷練，讓他熟知企業組織的運作模式，對上、對下以及平行部門的協同合作都可以做到游刃有餘，重點在於企業如何界定資安部門，如果資安部門在企業內偏重維運相關的安全，資安長具備技術能力比較容易獲得信任；若資安部門偏重資安治理的角色，資安長需要聚焦企業營運，相關技術問題則可以依賴專業的資安技術部門協助。</p> <p>他認為，一個稱職的資安長不能抗拒新事務，且必須要做到持續學習，並且要有面對問題、解決問題的熱忱，才是稱職的資安長特質。畢竟，每年至少會出現一萬多個漏洞，加上資安問題包含各種資安技術和管理議題，資安長一旦停滯不前，不敢面對資安問題，就可能會被駭客打敗。</p> <p>朱建國指出，他接任資安長所面對的挑戰就是，如何聚焦不同層級的資安委員會所面對的資安風險，並且在一個共通的討論平臺上解決問題，甚至可以把討論的資安議題解決方式，變成企業內部的資安指引；如果遇到的問題無法有效溝通，也需要有一個仲裁角色，協助解決部門疑慮，配合營運目標，協助擬定公司資安政策。</p> <p>他說，遠傳電信在實際的運作上，每個專案都已內建資安的角色，現在更精進的作法就是，把專案進一步分類，讓高風險的專案配置資安角色，例行性專案可以用檢核表取代，透過持續調整，讓資安發揮最大效益。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CISO小檔案 </span></span></strong></p> <p><strong>遠傳電信資安長朱建國</strong></p> <p>學經歷：世新大學資訊管理學系碩士，先前曾擔任過行政院資訊處副研究員、數聯資安資安顧問、104資訊科技資安長；在遠傳電信則歷任資訊暨數位轉型科技群資安副理、資安經理，後升任網路暨技術群資安協理，並於2021年7月成立資安辦公室後，接任遠傳電信資安長一職，直屬總經理辦公室</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>遠傳電信</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/26_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E9%81%A0%E5%82%B3_20220715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 200px;" /></strong></p> <p>成立時間：1997年</p> <p>公司地址：台北市內湖區瑞光路468號</p> <p>業務種類：通訊/網路等相關業務</p> <p>資本額：325億元</p> <p>年營收：853.2億元（2021年）</p> <p>董事長：徐旭東</p> <p>總經理：井琪</p> <p>員工人數：約6,300人</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司大事紀 </span></span></strong></p> <p>資安部門成立時間：2021/07/15</p> <p>資安部門主管：資安長朱建國</p> <p>資安部門直屬主管：總經理井琪</p> <p>資安部門人數：12人</p> <p>資安角色與分工：</p> <p>1. 擬定公司資安防護策略、推動和宣導</p> <p>2. 綜理各安全委員會及BCM緊急應變機制運作</p> <p>3. 規畫審核資安預算和計劃</p> <p>4. 建立跨部門統合的資安監控機制</p> <p>5. 統籌跨部門資安事宜和全公司員工資安訓練</p> <p>6. 對外和政府部門聯絡溝通資安事宜</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資安大事記 </span></span></strong></p> <p>2005年：成立企業安全部門</p> <p>2006年：取得ISO 27001資安管理認證</p> <p>2014年6月：遠傳4G開臺</p> <p>2020年7月：遠傳5G正式開臺</p> <p>2021年7月：成立資安辦公室，隸屬總經理辦公室</p> <p>2021年7月：指派朱建國接任遠傳電信資安長</p> <p>2022年2月：遠傳電信宣布合併亞太電信，暫定9月30日完成合併</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_4.jpg" width="960" height="420" alt="" title="遠傳電信資安長朱建國　（攝影／洪政偉）" /></div></div></div>
2022/7/25 07:00作者黃彥棻https://www.ithome.com.tw/people/152068
台灣虎航公告遭駭客網路攻擊，疑客戶資料外洩，是本週第二起資安事件重大訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內資安事件重大訊息一週兩起，在7月22日（週五）傍晚，國內興櫃公司台灣虎航在臺灣證券交易所發布公告，說明遭受駭客網路攻擊事件，並不影響營運。</p> <p>值得關注的是，由於<a href="https://www.ithome.com.tw/news/152030">7月18日（周一）上櫃生技醫療</a>業者永昕才發生資安事件，相隔不到五天，興櫃航運公司台灣虎航也遇害，更加引發關注。但較需要留意的是，在這次台灣虎航的公告中，同時亦提醒民眾當心詐騙。</p> <p>關於這次事件，台灣虎航在7月22日下午5時17分發布公告，指出當公司查知遭受駭客網路攻擊時，資訊部門已全面啟動相關防禦機制。在事件因應上，他們表示已經與外部資安公司技術專家協同處理，並通報政府執法單位與資安單位。</p> <p>對於這起事件帶來的影響，該航空公司指出，目前評估對公司營運無重大影響，而在改善與因應方面，說明該公司已於其官方網站張貼「反詐騙聲明」，共同防制網路詐騙，並將持續強化網路與資訊管控以確保資料安全。</p> <p>雖然台灣虎航在這份公告中，沒有特別說明是如何偵測與查知這次事件，不過從公布「反詐騙聲明」來看，這是否意味可能發生客戶資料外洩情形，可惜公告中並未直接明確說明。因此我們也在晚間傳訊該公司發言人確認情形，截稿前尚未得到回覆。</p> <p>而在台灣虎航官方網站上，根據<a href="http://uat-www.tigerairtw.com/zh-tw/about-tigerair/news/anti-fraud">7月22日更新的反詐騙聲明公告內容</a>，提醒顧客慎防新型態網路詐騙，並列出4大重要須知，包括當心假冒虎航名義的解除分期ATM詐騙，更換會員密碼、應妥善保管個人資料，以及不明的電子郵件或簡訊勿點連結。</p> <h2 style="font-weight: normal; line-height: 1.2em; color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-thickness: initial; text-decoration-style: initial; text-decoration-color: initial;"><strong>2022-07-22 台灣虎航</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="border: 1px dotted rgb(211, 211, 211); color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; font-weight: 400; letter-spacing: normal; orphans: 2; text-align: start; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-thickness: initial; text-decoration-style: initial; text-decoration-color: initial; width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">公告中表示說明遭受駭客網路攻擊</td> </tr> <tr height="48"> <td height="48" style="border: 1px dotted rgb(211, 211, 211); height: 48px; width: 170px;">事中應變措施</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">查知遭受駭客網路攻擊時，資訊部門已全面啟動相關防禦機制，同時與外部資安公司技術專家協同處理。已通報政府執法與資安單位</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px;">初步調查結果</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事件影響範圍</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">提及於公司官網張貼「反詐騙聲明」，共同防制網路詐騙，</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事件對營運的影響</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">對營運無重大影響</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事後復原與檢討</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">本公司將持續強化網路與資訊管控以確保資料安全。</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">對外公告資安事件</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">在7月22日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px;"> 資料來源：iThome整理，2022年7月</td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%B8%8A%E6%AB%83%E8%87%BA%E7%81%A3%E8%99%8E%E8%88%AA%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%B8%8A%E6%AB%83%E8%87%BA%E7%81%A3%E8%99%8E%E8%88%AA%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A_%E6%93%B7%E5%8F%96%E8%87%AA%E5%8F%B0%E7%81%A3%E8%99%8E%E8%88%AA%E5%AE%98%E6%96%B9%E7%B6%B2%E7%AB%99.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>值得關注的是，在台灣虎航官方網站上的反詐騙聲明特別指出，該公司不會主動要求民眾操作ATM與完成任何設定。基本上，多年來我國刑事警察局165反詐騙不斷呼籲民眾：當心解除分期詐騙、ATM並不提供解除分期功能。</strong></span></p> </div></div></div>
2022/7/23 21:53作者羅正漢https://www.ithome.com.tw/news/152084
【資安週報】2022年7月18日到7月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周發生與揭露的攻擊與威脅中，有幾個焦點事件，包括有駭客透過供應鏈手法，從WordPress外掛WPBakery Page Builder的Kaswara元件程式下手攻擊；有駭客宣傳PLC與HMI密碼破解工具，真能破解但其實還暗藏木馬程式Sality；有中國米可達斯（MiCODUS）車用GPS追蹤器存在六大重大漏洞，廠商遲遲未修補，促使業者通報未果後請美國CISA協助示警；以及有駭客打造CloudMensis惡意軟體，是專門鎖定蘋果Mac電腦用戶。</p> <p>在漏洞修補方面，微軟上月修補的一項Windows NFS漏洞CVE-2022-30136，趨勢科技最近特別警告，該漏洞將比Follina漏洞更為容易利用，呼籲還沒修補的企業盡速因應。</p> <p>此外，關於Log4j漏洞的嚴重性再受關注，美國網路安全審查委員會首份報告出爐，指出最大問題是──使用者或軟體開發商並不知道自己使用軟體內含有漏洞的Log4j元件，或是專案有很高的相依性，這將導致漏洞問題將影響企業長達十年，因此報告中也提出四大因應上的建議。</p> <p>勒索軟體的動向中，以程式語言Rust打造的勒索軟體增加，除了BlackCat、Hive，又有資安業者揭露全新的Luna。這裡我們認為要注意的是，用這類語言編寫的勒索軟體，可以很容易地從一個平臺移植到其他平臺，包括Windows、Linux版本，以及近來逐漸增加鎖定VMware ESXi，因此可同時針對不同的作業系統攻擊。此外，近年RaaS的興起，已降低勒索軟體攻擊門檻，最近又出現以免費下載在抽成的勒索軟體Redeemer 2.0。</p> <p>此外，在新興攻擊手法研究中，紐澤西理工學院（NJIT）的研究受關注，指出攻擊者能透過特製的網站，讓瀏覽器在載入網頁時，透過旁路攻擊方式，發出對於社群網站嵌入式資源的跨網站請求，藉此解析目標身分並拚湊用戶的數位生活圈。</p> <p>另外較特別的是，本周有多國政府與重要單位傳出引發關注的資安事件，其中阿爾巴尼亞上周六晚上遭到網路攻擊最嚴重，該國未因應攻擊，直接關閉了許多政府網站與線上申辦服務，還有以色列衛生局遭網路攻擊，當地媒體報導有自稱Altahrea Team親伊朗的駭客組織表示是他們所為，還有印度證交所也傳出資安事件。</p> <p>而以國內而言，本周有生技醫療上櫃公司遭遇資安事件，是近一年來的第二起。此外，國內科技製造業機密資料被內鬼竊取事件層出不窮，可成科技在2020年發生陸續有14名員工離職，背後卻是收取立訊提供數百萬元安家費，竊取可成機密投靠立訊，由於涉及營業秘密，檢方經過1年6個月的偵查及蒐證，今年7月中旬新北地方檢察署起訴14人。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152082#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_WP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_ICS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Mac.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_DD.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_PL.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Luna.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_GPS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_NFS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_G.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_MA.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong></p> <p id="A"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客透過老舊外掛程式鎖定近160萬個WordPress網站，目標是外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p id="B">研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">駭客宣傳可提供15家業者PLC與HMI破密工具但暗藏惡意程式</span></a><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">Sality</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、台達自動化、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p id="C">研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在7月19日揭露，他們最早在4月時發現一款名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p id="D">研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p id="E">Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p id="F">研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p id="I">以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p id="J">新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p id="G"> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p id="H">由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">資安業者呼籲修補NFS漏洞CVE-2022-30136，比Folina漏洞更容易被利用</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152073"><span style="color: rgb(0, 0, 0);">微軟Windows 11 22H2將帳號鎖住原則列為預設，提高RDP暴力破解難度</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0722-微軟-defenses-against-human-operated-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="text-align: center; width: 220px; float: right;" /></a></p> <p>為降低RDP相關暴力破解密碼攻擊，微軟預計下半年新版Windows 11 22H2中，將把帳號鎖住原則（Account Lockout Policy）設為預設啟用，也就是10分鐘內10次登入錯誤即鎖住帳號，提高破解難度，而未來之前的Windows版本也可能實施。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/e9eb6bb1-2c8d-4e4f-8f95-17b9107bb07f"><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 20px;">我國資通安全處在7月15日發布６月資通安全月報</span></strong></span></a></span></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出</span></a></span></strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">引發火災</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></strong></p> <p> </p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></strong></p> <p class="rtecenter"><strong><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152082"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-7-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></strong></p> </div></div></div>
2022/7/23 11:08作者羅正漢https://www.ithome.com.tw/news/152082
【官方剖析：衛福部資訊處處長龐一鳴】衛福部揭露電子病歷上雲未來配套，建議醫院上雲前先做3件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在這個時代，不開放電子病歷上雲，智慧醫療就很難實現！」衛福部資訊處處長龐一鳴點出電子病歷上雲，不只加速遠距醫療，還可以帶來更多的效益和影響。</p> <p>他解釋，病歷屬高機敏性資料，也是醫學發展的核心資料，早年受醫療法、醫師法以及後來個資法規定，病歷只能存放於醫院內部，即使後來電子化、電子病歷推行了十餘年，依然沿襲這個傳統。</p> <p>但是，近幾年新技術崛起，許多國家吹起智慧醫療風，運用雲端技術、大數據分析和AI，發展出各種醫療應用。龐一鳴認為，個人健康資訊屬電子病歷範疇，開放上雲，醫院可用雲端運算、雲端儲存和雲端服務，來創造更核心的醫療AI應用，有助於推動智慧醫療。</p> <p>甚至，不少智慧醫療設備，採用國外設備，如MRI、達文西手術、ICU病房監控系統等，開放電子病歷上雲，就可以改用遠端維護模式來提高效率，也有助於智慧醫療的發展。</p> <p>不只智慧醫療，電子病歷上雲還有第三個目的，對許多臺灣基層診所、小醫院而言，向來缺乏IT人力，多購買套裝軟體自設伺服器，但近年健保或防疫政策要求，得配合修改IT系統，委外修改成本很高，也有資安風險，改用醫療SaaS服務模式，也有助於強化基層醫療的資安和整體效益。</p> <p>特別是，符合歐盟GDPR或美國醫療資料保護法案HIPAA的業者，能提供更嚴格的醫療資料保護，對人力不足的小型醫療院所來說，有助於強化資安體質。龐一鳴強調：「政府要做的，就是監管雲端業者和代管業者。」</p> <p><span style="font-size:28px;"><strong>明定11項委外契約重點，將公布合格雲端業者白名單來強化監管</strong></span></p> <p>過去中小醫院委外最常見的困擾是，出事後的責任歸屬不清。雖然醫療機構電子病歷製作及管理辦法屬於醫療法架構，該法為行政法，雖可約束醫療院所，但無法管轄接受委託的資訊業者。但是，龐一鳴表示，衛福部在這次新版辦法中，更進一步規範了醫療院所與資訊業者的契約簽訂原則，責任歸屬將以醫療院所與業者簽訂的契約而定，他期望以兩者間的民法契約精神，讓醫院可以透過合約關係來要求資訊業者。</p> <p>比如，該辦法第七條，要求醫院與受託業者須簽訂書面契約，並明訂11項原則，像是委託事項範圍、受託機構的權利義務、落實個資保護和資安防護措施（如傳輸加密機制、安全事故處理機制等）等，來劃定受託的資訊業者工作範圍與責任。</p> <p>第八條修正條文中，也規範了醫院用雲或受託機構採用雲端服務時須遵守的事項，像是要採取風險管控措施、具備避免醫療業務中斷的措施，還要監督雲端服務業者（自行監督或委託第三方輔助監督），最後，醫院還要備妥一套資料移轉機制，遇到雲端服務中斷或終止時，能將資料轉回醫院或改放到其他雲端服務上。新辦法更明確要求，除特殊情形外，電子病歷所用雲端服務的資料儲存地點必須位於臺灣境內。</p> <p>不過，另一方面，新版辦法提供了衛福部把關雲端服務業者品質的法源，要提供給醫院使用的雲端服務業者，得先通過中央主管機關認可才行，包括通過資安標準的驗證。</p> <p>龐一鳴更透露，衛福部未來將公布合格雲端業者白名單，供醫療院所選擇。「將開放業者申請，只要符合資格、具備國際認證，如ISO 27001，就會列入白名單，」他強調，未來衛福部還會視情況調整監理強度，比如進一步納入國際醫療資料交換標準FHIR互通認證、歐盟個資保護法GDPR等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%BE%90%E4%B8%80%E9%B3%B4-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>衛福部資訊處處長龐一鳴指出，開放電子病歷上雲不只是為醫療AI解套，也能強化中小型醫療院所資安體質。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>醫院上雲建議：先盤點資料、理解雲端服務模式</strong></span></p> <p>在法規鬆綁和官方力推之下，電子病歷開放上雲後，醫院有機會產出更多智慧醫療應用。但這些智慧醫療應用往往涉及大量數據，因此，龐一鳴建議，上雲前，醫院可以先做好3件事。</p> <p>首先，醫院可以設立獨立的資料長或數據長（CDO）角色，來統管全院資料治理。而且，「不只是病歷資料，」龐一鳴強調，就連監視器資料、員工資料等也要盤點，釐清資料量、資料形式、資料來源和存放處、資料可用性，以及這些資料分別得遵循哪些法規。</p> <p>他強調，醫療屬高度專業產業，一家醫院聚集了許多高專業度的科別，各自每日產出大量多元的數據，供其所需。但對整家醫院來說，要發展大數據應用，就得有個獨立的資料長，將這些四處散落的資料統整，盤點資料屬性後，才有助於規畫後續應用。</p> <p>完成資料盤點後，接下來，上雲前的第二件事是了解不同雲端服務模式的特性，不只SaaS、PaaS、IaaS或其他類型的雲端服務，都得有一番認識，醫院才能根據自身需求尋找合適服務。</p> <p>最後一件事是，醫院得深入了解雲端業者，評估不同業者的服務模式可靠性、相關認證，依照新版辦法條文的注意事項來衡量業者能力，得涵蓋第三條管理機制的項目，包括標準作業、權限管控、緊急應變、系統安全、傳輸加密、安全事故處理等機制，才決定是否簽約。</p> <p><span style="font-size:28px;"><strong>衛福部角色將從EEC維運者轉為標準維護者</strong></span></p> <p>新版辦法還有條條文，允許公私立機構設置電子病歷交換平臺，來增加交換便利性。但龐一鳴認為，交換病歷更重要的一步是要有共通標準，才能更容易實現以病人為中心的照護。</p> <p>這也是他力推衛福部角色轉換的原因。去年，他公開表示，衛福部資訊處維運電子病歷交換中心EEC長年來，只公布4張電子病歷交換表單，「醫療院所在實際交換的情境下，使用率非常低。」他分析，原因之一是原有的交換標準CDA難以執行，「既然國際HL7已發展至FHIR，國內CDA架構是否也該改為FHIR？」他希望將EEC升級為FHIR交換中心。</p> <p>電子病歷是醫院和多個政府單位最常交換的資料，這些政府單位包括EEC、健保署、國健署、疾管署、地方衛生所等。但，這些單位的系統彼此不互通，醫療機構得針對不同單位，採用不同交換標準，並配合不同網路工具來執行交換作業。甚至，健保署還會針對不同專案，開設專屬API搭配VPN讓醫療院所傳輸資料之用。醫院要對接的客製化API越多，維護複雜度越高，也會帶來越高的資安風險。</p> <p>因此，龐一鳴認為，要是能先將EEC交換平臺改為FHIR交換平臺，採用主流的國際醫療資料交換標準HL7 FHIR，就能簡化交換流程，不必一對一客製化介接，也能簡化醫院需使用的網路工具，減少資安破口出現。</p> <p>他希望推動衛福部帶頭使用FHIR，並將衛福部角色，從過去的EEC維運者，轉換為標準維護者，來維護電子病歷交換標準，並制定不同電子病歷使用情境的交換規格與各類情境表單。同時，衛福部也要擔任情境的協調者，協助解決醫療機構間的資料交換問題。</p> <p>龐一鳴期望，除了EEC和健保VPN，醫院之間也能發展更多電子病歷交換平臺，呼應到新版辦法的第18條。甚至，未來若採用FHIR架構，各醫療機構只需決定交換情境即可，可使用自有平臺或衛福部提供的公用交換平臺，來提供更便利的醫療服務。</p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:23作者王若樸https://www.ithome.com.tw/news/152056
17年來最大修法，電子病歷新法四大重點帶來根本性變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，衛福部因應疫情開放了居家隔離、檢疫者適用遠距醫療之後，打開了遠距醫療的大門。統計到今年6月，超過1萬2千家診所和427家醫院實施，全臺一個月的視訊診療次數超過3百萬次。</p> <p>雖然，遠距醫療成了後疫情時代看病最重要也是民眾高度依賴的手段，但是，臺灣仍然沒有一家醫院，可以獨自做到從預約、看診、繳費到領藥都全程遠距進行，民眾得切換不同系統、平臺，甚至不少醫院只能線下繳費或找人代領藥。</p> <p>衛福部常務次長石崇良最近在一場活動中坦言，遠距醫療各環節的接續性仍有改善空間。</p> <p>實現遠距醫療第一道關卡正是電子病歷實施17年來的最大限制，直到今年7月18日才解開束縛。</p> <p>臺灣早在2005年就實施了電子病歷製作及管理辦法，希望醫療院所將紙本病歷電子化。但是，這個電子病歷辦法只能適用醫療院所，而在個資法上路後，將電子病歷視為不可利用的特種個資，只有法規允許或在特定情況下才能使用的資料類型。這就導致非醫療院所要利用電子病歷的門檻很高而窒礙難行。</p> <p>去年受到疫情衝擊、遠距醫療需求大增，作為醫療看診體系中重要基礎設施的電子病歷，面臨調整的需求。</p> <p>衛福部自去年以來就不斷透露，要開放醫療機構使用雲端服務，來處理電子病歷資料。去年12月8日，衛福部進一步預告電子病歷上雲草案，除要讓醫院能使用雲端服務處理電子病歷，也要讓醫院能更徹底無紙化。</p> <p>該草案預告至今年2月，後來經過近半年討論，新版辦法終於在7月18日公告，正式實施。</p> <p>修正後的新版電子病歷辦法，不只打破了電子病歷難以走出醫療院所的限制，更打通醫院全面無紙化的最後一哩，甚至帶來了醫院IT全新維運模式的可能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E8%A6%96%E8%A8%8A%E8%A8%BA%E7%99%82%E6%95%B8%E9%87%8F-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20%E7%9F%B3%E5%B4%87%E8%89%AF(2).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 視訊診療數量 </span></span><br /> <span style="color: rgb(105, 105, 105);">根據衛福部統計，全臺一個月的視訊診療次數超過3百萬次。但從預約、看診、繳費到領藥的流程仍無法全程線上完成。電子病歷難以在第三方平臺上利用是遠距醫療服務的一大困難。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／石崇良</span></span></p> <p><span style="font-size:28px;"><strong>新版電子病歷辦法有4大修法重點</strong></span></p> <p>石崇良曾歸納出新版辦法涵蓋了四大重點，包括了資料安全、雲端服務、資料管理和資料應用。</p> <p>第一項修法重點是資料安全，明定了更完整的資安管理機制的要求，不只是對病歷管理和系統設計有更多安全要求，還涵蓋了軟體開發與維運、到緊急應變、安全事故處理，甚至還包括了發生資料外洩的後續通知與通報等（第3～5條），幾乎涵蓋了資料生命周期的資安考量。</p> <p>甚至，在該新版辦法第七條中，要求醫院與受託業者須簽訂書面契約，來進一步要求委外廠商的資安作為。衛福部列出了11項委外契約必須涵蓋的重點，像是委託事項範圍、受託機構的權利義務、落實個資保護和資安防護措施，例如傳輸加密機制、安全事故處理機制等等。簽訂契約也等於律定了醫院與委外業者之間的權責關係，讓醫院可以透過合約來要求業者落實該做的資安措施。</p> <p>第二項重點是開放電子病歷系統可以委託使用雲端服務。這對醫院IT現代化是重要的一步法規鬆綁，不只是大型醫院可以善用雲端的擴充彈性和可用性，對中小醫院來說，也可以減少自行維護伺服器或機房的人力負擔，也有助於催生醫療SaaS服務模式的發展。</p> <p>不過，衛福部也在新法中也訂出了醫院上雲時要落實的多項要求，例如要採取適當風控措施、建立預防醫療業務中斷的措施，也就監督雲端服務業者，或是在雲端服務終止使用時能將資料移轉回醫院或其他朵雲上。另外，新法更特別要求，電子病歷系統的資料儲存地點必須位於境內。</p> <p>衛福部資訊處處長龐一鳴透露，衛福部未來將公布合格雲端業者白名單，供醫療院所選擇，甚至，會視情況調整監理強度，比如進一步納入國際醫療資料交換標準FHIR互通認證、歐盟個資保護法GDPR等。</p> <p>而在第三重點則在資料管理面的修法上，新版辦法擴大了醫院紙本文件數位化的範圍，不只限於病歷，還包括了其他需要和病歷共同保存的文件，其他法規要求的書面同意書，或是電子病歷實施以前的紙本病歷，現在通通都可以數位化，不再需要保存紙本。</p> <p>尤其，臺灣病歷資訊管理學會理事長暨臺大醫院病歷資訊管理室主任莊秋華直言，醫療法規定，醫院必須保存病人最後一次就醫7年內的資料，而人體試驗病例更要永久保存，這都讓醫院手上得保存大量紙本資料，光是臺大醫院就有高達300萬冊的紙本病歷，在新法上路後，現在終於可以數位化了。</p> <p>石崇良點出第四項修法重點是資料應用面的變革，新辦法第19條，允許公私立機構建置電子病歷交換平臺。只要是衛福部審查認可的企業或機構，就可以建置電子病歷交換平臺，來進行跨機構的電子病歷資料交換。</p> <p>不過，為了確保病人能決定自身病歷資料的利用或交換，新法仍要求必須經過病人同意才行，只有特殊情況，例如，病人情況危急又無法即時取得同意書時。</p> <p><span style="font-size:28px;"><strong>從集中式交換模式轉為多中心分散架構</strong></span></p> <p>這一步修法，對現行電子病歷交換體制而言，是另一項顛覆性的重大改變，打破了過去以衛福部維護的電子病歷交換中心（EEC）為主的集中式交換模式，改為多中心分散式的交換架構。</p> <p>也正因日後將會出現不少電子病歷交換平臺，如何讓這些平臺可以互通，成了日後電子病歷運用的一大挑戰。</p> <p>龐一鳴表示，未來將推動衛福部帶頭使用FHIR，並將衛福部角色，從過去的EEC維運者，轉換為標準維護者，來維護電子病歷交換標準，並制定不同電子病歷使用情境的交換規格與各類情境表單。衛福部也要擔任情境的協調者，來協助解決醫療機構間的資料交換問題。新版電子病歷辦法的實施，不只帶來了醫院全面無紙化和上雲架構的根本性變革，更有助於更多遠距醫療服務、雲端醫療資訊模式的誕生。</p> <p><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/152064" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong></a> <a href="https://www.ithome.com.tw/article/152064" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></span></p> </div></div></div>
2022/7/22 18:23作者王宏仁https://www.ithome.com.tw/news/152054
【醫院第一線觀點：臺灣病歷資訊管理學會理事長莊秋華】電子病歷新法出爐解決醫院實務痛點，無紙化條文可解放百萬冊紙本病歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「非常感謝衛福部，這次醫療機構電子病歷製作及管理辦法修正法案，非常貼近醫院實務！」臺灣病歷資訊管理學會理事長暨臺大醫院病歷資訊管理室主任莊秋華一句話，道出新版電子病歷辦法對醫療院所的影響。</p> <p>因為該辦法，讓臺大醫院實施電子病歷以前既有的300萬冊紙本病歷得以電子化，醫事人員因突發事故無法在24小時內以醫事人員憑證簽章時，也有暫時可行的替代方案了。</p> <p><span style="font-size:28px;"><strong>全面無紙化打破限制，醫院百萬冊紙本病歷可銷毀</strong></span></p> <p>莊秋華指出，早在2018年，衛福部就開始蒐集各家醫院對電子病歷的實作意見，也邀集臺灣病歷資訊管理學會與醫院代表來討論改善方向，相關意見就呈現在這次修訂條文中。</p> <p>其中，她認為，對醫院實務影響深遠的一項解套是第20條修正條文，允許醫院將同意書及相關文件電子化。</p> <p>「依醫療法規範，醫院需要保存病人最後一次就醫7年的整本病歷，人體試驗病歷更是要永久保存。」莊秋華解釋，這些過去產生的紙本紀錄，在未達法定銷毀年限前都得保存紙本形式，「這是相當驚人的數量！」像臺大醫院這樣規模的醫學中心，在實施電子病歷以前，所累積的紙本病歷，高達300萬冊！不只臺大，龐大的紙本病歷對其他大型醫院也都是沈重的負擔。</p> <p>但在這次新版辦法的第20條中，允許醫院可將原本需要書面簽署的同意書或電子病歷，改為電子檔、以電子簽章封存，還能將原本院內儲存的紙本同意書和紙本病歷，轉錄為電子檔，確認無誤、以電子簽章封存，向地方主管機關報備後，就可銷毀紙本文件，來實現全面無紙化。</p> <p>在莊秋華眼中，無紙化是這次修正法案相當大的突破，對各家醫院來說，有著正面影響。</p> <p><span style="font-size:28px;"><strong>醫事人員因故無法在24小時內簽章，可先用醫事機構憑證代替</strong></span></p> <p>另一個對醫院實務作業有重大影響的解套，則是修正條文第11條，允許醫事人員因故、無法在24小時內以醫事人員憑證進行電子病歷簽章時，可先以醫事機構憑證代替，之後補簽即可。</p> <p>這是因為，醫事人員可能因卡片毀損、遺失，或其他緊急突發事件，又可能是因醫療業務忙碌，難免會忘記攜帶醫事人員卡，無法在規定時間內完成簽章，需要其他替代的解決方案。</p> <p>也因此，在法規面，第11條先是說明，醫療機構製作電子病歷時，應於24小時內完成電子簽章，但文末補充，要是醫事人員因突發事故，像是卡片遺失、毀損或忘記攜帶醫事人員卡，無法於24小時內完成簽章時，醫療機構可以醫事機構憑證簽章代替。不過，醫事人員仍須於事後補簽。</p> <p><span style="font-size:28px;"><strong>醫院上雲還得留意管理機制，以及下雲成本</strong></span></p> <p>這兩大規範鬆綁，對醫院有著實務上的深遠影響。除此之外，在這次修正辦法中，莊秋華也點出幾項醫院需要注意的關鍵條文，其一就是開放電子病歷上雲的管理規範。</p> <p>「開放電子病歷上雲，會催生更成熟的雲端系統，應用也會越來越多，」她認為，新辦法為因應未來趨勢，對電子病歷系統也會有相對應的管理機制。欲採用雲端系統的醫院，該更留意相關的條文，尤其是新辦法要求需有適當風險管控措施、避免醫療業務中斷的機制，還得負起雲端服務業者的監督責任，甚至要建制所用雲端服務終止後的資料移轉機制等要求。</p> <p>她特別補充，上雲和下雲的成本都不低，醫院得謹慎考量。</p> <p><span style="font-size:28px;"><strong>委外建置電子病歷系統，應搭配更嚴謹的檢查辦法</strong></span></p> <p>另一個值得留意的條文是第3條，醫院委外建置電子病歷系統時，得簽訂書面契約，訂定符合法規規範的11項內容外，也得監督委外廠商。但只有大方向還不夠，莊秋華認為，得有一套細緻的檢查基準與操作型定義，才能把關系統品質。</p> <p>她舉例，2009年衛福部開始推動電子病歷時，對實施電子病歷的醫療機構進行實地訪查，並分為管理組、軟體組和硬體組等3組委員，來分別審查醫院是否符合實施條件。</p> <p>審查內容是依據8項條文展開，共有26項次檢查項目、62項次檢查基準，由專業團隊逐一審查、確認符合資安標準或具相關機制後，才能開始實施電子病歷給予互通補助的經費。</p> <p>回顧新版辦法第3條，雖規範醫療機構將電子病歷系統委外建置和管理時，應簽訂書面委託契約，載明委託事項範圍、受託機構之權利義務等事項，以免發生爭議。</p> <p>但她建議，在雲端電子病歷系統的監理部分，可發展出一套如當初推動「加速醫療院所實施電子病歷系統計畫」及「電子病歷互通應用補助計畫」時的檢查辦法，讓醫院及廠商可以遵循，兼顧民眾及醫療機構電子病歷的方便性和安全性。</p> <p><span style="font-size:28px;"><strong>未來將催生HIS雲端新模式、新機會和新挑戰</strong></span></p> <p>這次法規更新，也帶給醫院和產業不少機會。</p> <p>像是，醫院可藉雲端運算、雲端儲存和雲端服務來改善原有醫療服務，也能為後續的AI導入與資料整合立下基礎。而對資源不足的診所或地區醫院等中小型醫院來說，廠商提供的雲端服務，可望加速這些醫院的資訊化、自動化和無紙化，也可能降低技術建置成本和維護成本。甚至，莊秋華認為，未來可能發展出HIS雲端廠商角色的新模式。</p> <p>不過，現有醫資廠商多以技術背景為主，對醫療臨床流程和需求經驗不足，雖然目前已有少數資訊廠商與醫院的合作案例，但她認為，尚不能滿足醫療端需求。這對推動電子病歷上雲，就會是一大挑戰。尤其，各家醫院醫療流程仍有差異，連臺大醫院體系的總院和分院也有差異，醫院仍偏愛客製化系統，這也是雲端HIS服務的課題。</p> <p><span style="font-size:28px;"><strong>醫院盤點需求痛點外，還要考量流程與預算</strong></span></p> <p>不過，既有機會，就有挑戰。莊秋華從醫院使用者角度點出，醫院首先得思考，將電子病歷上雲，對第一線醫師及醫事人員的醫療服務、教學研究可產生哪些助益，以及能為病人服務產生多少價值，衡量後再決定如何採用新技術，而非為上雲而上雲。</p> <p>此外，由於各家醫院醫療流程有所差異，難以一套系統一體適用，因此客製化系統對醫院來說，是較好用的選擇。但這也帶出經驗無法複製的問題，且開發和維運成本也會增加，業者得找到利基點，才能讓醫院買單。</p> <p>面對這些機會與挑戰，她建議，醫院首先得盤點自身需求和痛點，了解哪些系統和工作環節急需改善，可用何種技術處理，再盤點現有資源、人力以及合理的預算規畫，進一步思考要自行建置或委外開發，同時考量這些解決方案對臨床流程的影響與因應措施。</p> <p>這些流程改善的討論，得與臨床醫師和醫事人員實際溝通操作步驟、介面使用，不斷磨合才能打造出符合使用者需求的系統，即便是滑鼠少點一次都可節省時間。</p> <p>她總結，導入雲端系統還是得回歸到兩個關鍵問題，要解決什麼問題，以及要花多少經費。前者，不外乎與系統主要利害關係人溝通、進行需求訪談。而經費上，醫院則得衡量自家系統屬性，使用標準化系統來降低成本，或是願意付出較高的開發及維運成本，來取得客製化又更好用的系統。「這是各家醫院需要抉擇、評估的問題，」她說。</p> <p><span style="font-size:28px;"><strong>下一步：學會將提供相關教育訓練和輔導</strong></span></p> <p>新版辦法出爐後，對一路參與修改討論的臺灣病歷資訊及管理學會來說，下一步會是什麼？</p> <p>莊秋華解釋，臺灣病歷資訊管理學會擁有3,000名成員，每位都是負責各醫院病歷資訊管理制度和病歷資料管理的關鍵人物，因此，在新版辦法上路後，學會將負責教育訓練和輔導工作。</p> <p>比如，提供病歷掃描作業標準化和稽核、電子病歷系統受託機構的系統檢查基準，甚至，要發展出雲端病歷管理的實作方法，並制定電子病歷管理程序和機制，這些都是學會未來要積極推動的作業。</p> <p>她也期待，衛福部推出更多相關配套措施，來協助醫院、診所強化電子病歷的應用與安全。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">｜醫界建議｜</span></span> <span style="color:#3399ff;">中央帶頭建置示範性交換平臺，來統一交換標準 </span></strong></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>這次修法開放了公私立機構可以自建電子病歷交換平臺，不過，電子病歷資訊管理學會理事長莊秋華提醒，過去，醫院遠距醫療和視訊診療時，只是逐次授權取得病歷的小規模資料交換，但是建置交換平臺是更大規模和自動化的資料交換機制，莊秋華認為，病歷紀錄屬於特種個資，醫院得謹慎考量。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>所以，她建議衛福部，先從疾管署、健保署與國健署著手建置電子病歷交換平臺。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>這些機關與全臺醫院，都有例行性且相當頻繁的資料傳輸需求。比如在疫情期間，醫院得上傳PCR檢測資料與疫苗施打情況給疾管署，「衛福部可以先建置一套標準統一的交換平臺來試行。」</strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152057
【醫院上雲先行者經驗：中附醫】醫院上雲第一步可從異地備援做起，未來擁抱雲原生讓效益更大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「開放電子病歷上雲非常正面，讓醫院可把基礎建設（Infrastructure）往外移！」中國醫藥大學附設醫院資訊室副主任孫培然說。</p> <p>中附醫是臺灣少數將單體醫療資訊系統（HIS）逐步改為微服務架構的先行者。孫培然是核心推手，他自2017年開始推動自家HIS優化再造，要分階段將HIS中500多套子系統拆解、轉換為一支支微服務，部署到更輕巧的容器環境中執行，建立一朵體系醫院的私雲，來集中管理醫療資料、服務和研究。對他們來說，開放電子病歷上雲是實現最終目標的一大助力。</p> <p>不過，要像中附醫般大動作改造HIS來善用雲端資院，並不容易。這次法規鬆綁電子病歷上雲，一般醫院現階段可以做什麼？</p> <p><span style="font-size:28px;"><strong>基礎應用情境：可善用雲端進行異地備份</strong></span></p> <p>孫培然舉例，利用雲端異地備份、異地備援，或是藉雲端平衡負載、調節醫院系統流量爆量，又或是將原本對外開放的服務搬遷上雲，都是醫院可立即實作的上雲應用。一如開宗明義那句，醫院可以雲端技術來分擔HIS維運工作。</p> <p>其中，「雲端異地備份」是孫培然建議醫院，現階段可以做的第一件事。醫院可先將電子病歷相關資料打包、儲存至雲端，作為異地備份，立即就能感受到成效。其他基礎應用情境，還包括將對外提供的服務搬上雲，像是醫院官網、網路掛號系統、衛教影片、電子教學，以及電子郵件伺服器等，來降低院內網路頻寬和系統工程師負擔。</p> <p><span style="font-size:28px;"><strong>進階應用情境：善用網路雙備援或混合雲因應高流量</strong></span></p> <p>另一方面，對具一定IT現代化基礎的醫院來說，開放電子病歷上雲後，可採取網路雙備援機制。比如，中附醫HIS微服務化，未來打算淘汰體系下各醫院機房，建立一朵體系私雲，來管理所有院區的智慧醫療應用，發展以病人為歸戶、全院區統一的電子病歷資料管理系統。孫培然計畫採用2家電信業者來串連體系醫院之間網路，來避免網路斷線，也就是網路雙備援作法，再搭配公私有雲作為混合雲備援機制，讓醫療服務永續營運。</p> <p>這種模式，還可延伸出混合雲調度模式。孫培然指出，大型醫院通常有日常營運經濟規模容額，比如預估每日門診病人5,000位，此時IT就會事先保留足夠運算力的資訊設備。一旦遇到爆量，比如當日多湧入2,000名病患，就可以調度公雲來支援。</p> <p><span style="font-size:28px;"><strong>要善用雲端，推薦先將HIS架構微服務化</strong></span></p> <p>不過，孫培然認為，醫院要真正享有完整的雲端好處，還是得將HIS微服務轉型才行。</p> <p>這是因為，雲端服務部署方式可分為雲端託管（Cloud host）服務和雲端原生（Cloud native）服務。目前不少醫院的HIS採取單體式架構，要用雲端服務來執行包含電子病歷系統的HIS，就得採取雲端託管方式，需租賃與地端HIS一樣大的虛擬機器（VM），「這得付出昂貴的運算成本，無法像使用微服務搭配容器般，按更準確的使用量來計價，」他說。</p> <p>要真正享有雲端好處，孫培然建議，醫院得先將HIS改為微服務架構，並搭配輕量級容器，就能以雲端原生方式使用雲服務。除了價格更便宜，也能享受更多雲端效益。</p> <p>另一方面，對無人力維運機房，或連伺服器尚未採購的小診所、地區醫院來說，他認為可直接使用雲端醫療服務，不只價格與傳統作法差不多（甚至更划算），且雲端業者多具有高強度資安機制，比自行管理地端系統更安全。</p> <p><span style="font-size:28px;"><strong>未來可期如Uber Eats般的遠距醫療新模式</strong></span></p> <p>開放電子病歷上雲，不只能降低醫院IT的工作負荷，長遠看來，也能加速智慧醫療發展。最令孫培然期待的下一步是，新版醫療機構電子病歷製作及管理辦法公告後，衛福部將隨之修改通訊診察治療辦法（簡稱通訊診療辦法），放寬遠距醫療的適用條件。</p> <p>「比如擴大適用身分、實施情境和有條件開放處方。」他認為，有電子病歷上雲基礎，下一步的通訊診療辦修法解套，更能將遠距醫療的資訊流、金流、物流建置到位，也就可能發展出，如外送平臺模式般的遠距醫療平臺。</p> <p>「透過單一平臺，在線上集中各醫院的醫師在線上，讓病人自行選擇、看診，就像是遠距醫療界的UberCare平臺。」他舉例，需定期看診拿藥的慢性病患者，就可上去平臺選擇醫師，並提供平時在家量測的血壓數據，醫師問診無誤後，就能開立電子處方箋，再由患者選定的方式送藥到府。這是孫培然期待的遠距診療新模式，也是不少醫院和政府機關的願景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90960%E5%9C%96%E3%80%911087-%E5%B0%81%E9%9D%A2P4P5-%E8%8B%A5%E6%A8%B8-%E4%B8%AD%E9%99%84%E9%86%AB.jpg" /></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152058
【先行者經驗分享：國泰醫院】先建雲中臺推動HIS轉型，下一步打造FHIR平臺、發展生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰醫院是臺灣醫界中，少數系統化展開醫療資訊系統（HIS）雲端轉型的醫院。他們去年啟動這項計畫，要分階段將HIS拆解為數個雲中臺和一支支微服務，並打造一套FHIR電子病歷交換雲平臺。這不只呼應開放電子病歷上雲的新法規，也與衛福部這2年持續推動的國際醫療資料交換標準FHIR方向一致。這位先行者經驗，可給其他醫院更多策略面和實務上的參考。</p> <p><span style="font-size:28px;"><strong>十多年前先Web化轉型，疫情間遇痛點決定再轉一次</strong></span></p> <p>這不是國泰醫院第一次轉型。早在2003、2004年，國泰醫院就大膽將HIS砍掉重練，把大型主機主從式架構轉換為Web開放式架構，程式語言也從老舊的COBOL轉為當時剛爆紅的Java。</p> <p>這個開放式架構，讓團隊能快速開發、快速更新，他們也在當時剛開業的汐止分院和新竹分院，部署這套新HIS，並在2008年，統一總院和3家分院的系統，全數改用同一套Java架構，奠定「集中式管理、分散式處理」的作業原則，讓IT人力配置更精簡。開放式架構不只有功能模組化、開發更快速的好處，對醫護使用者來說，Web操作介面更舒適也更友善。</p> <p>但，國泰綜合醫院資訊部部主任曾景平話鋒一轉，指出，即便國泰醫院早在10多年前，就將HIS轉型為後來主流的Web架構，但2008年至今，自家系統也面臨不少數位轉型需求。</p> <p>比如，醫院近幾年投入智慧醫療領域，導入不少AIoT物聯網、疾病預測等應用，但資料量大，再加上有些資料不在HIS原本的處理範圍內，導致系統無法即時處理。此外，這2年受疫情影響，健保署政策頻繁更新，醫院HIS更得具備快速反應的能力。</p> <p>這些需求和痛點，促使國泰醫院思考，是時候該翻新HIS，「該定義下一代HIS架構了！」曾景平說。</p> <p><span style="font-size:28px;"><strong>雲端轉型鎖定3目標，先上線雲端掛號系統</strong></span></p> <p>於是，國泰醫院借鏡集團在金融業豐富的IT轉型經驗，在去年啟動HIS雲端轉型計畫，要用雲中臺和微服務這2種技術架構，來實現3個目標。</p> <p>首先是提供更好的使用者體驗，不論是對外的就醫民眾，還是對內的醫護人員與員工，國泰醫院希望打造一套平臺，來提供更流暢的操作體驗。再來是提供更可靠穩定的服務，「因為HIS涉及病人健康資訊、資料隱私，」曾景平認為，HIS穩定，服務營運才能持續、長久。</p> <p>第3個目標則是加速資訊流通。因為，隨著智慧醫療發展，HIS所傳遞的資訊越來越大量且複雜，但舊的IT架構，無法即時傳遞某些資料，這對需掌握病人病情變化的第一線醫護來說，會是個困擾。因此，國泰醫院要用雲端新架構，來即時傳遞資訊至醫護人員手中，「或至少身邊的裝置，」讓醫護不必移動到定點電腦才能查詢。「我們希望資訊流通到必要的地方，要實現Anytime，anywhere，any device for anyone！」他說。</p> <p>設定目標的同時，國泰醫院也盤點需求，先挑出可獨立運作和驗證的系統，作為雲端轉型先導專案。他們選的第一套系統，是民眾最常使用的門診預約掛號系統，因使用量大，最能作為代表，來驗證微服務和雲端化可行性。</p> <p>他們去年開始組隊學習雲端和微服務關鍵技術，並著手開發掛號系統，完成後於Google雲平臺執行。他們要讓國泰醫院4家院所都使用這套系統，並由規模最小的內湖國泰診所先上線，再擴大到總院。不過，曾景平坦言，因疫情緊張、團隊擔心系統出問題無暇顧及，至今只先於內湖國泰診所上線。隨著疫情降溫，他們預計今年下半年，要陸續在其他院區與總院上線，成為國泰醫院第一套雲端化系統。</p> <p>另一個雲端化的試點專案則是疫苗護照。去年，國泰醫院IT與集團合力開發一套疫苗護照平臺，整合疫苗施打紀錄、PCR檢測報告和區塊鏈技術，作為驗證單位。後來因國家政策考量，國泰醫院將該雲端專案轉型為疫苗通行證，於iOS和Andriod兩大App平臺上架，目前已有2萬人次下載量。</p> <p><span style="font-size:28px;"><strong>打造FHIR電子病歷雲平臺，以雲中臺緩衝HIS微服務切分工作</strong></span></p> <p>有了這些先導經驗，曾景平指出，團隊將下一階段目標鎖定在FHIR電子病歷雲平臺，一方面配合衛福部提倡的新世代FHIR電子病歷架構發展，一方面為日後的醫療生態圈練兵。</p> <p>該專案自去年底啟動，預計今年9月完成第一階段開發，包括實作出衛福部規定的7張FHIR電子病歷表單。曾景平點出，有別於一般微服務開發、直接將單體式架構拆解為一支支微服務的做法，國泰醫院採用雲中臺搭配微服務來開發，與一般微服務開發方式不同。</p> <p>「我們先將單體架構拆解為單位較小的雲中臺，作為緩衝，才不會過度拆解，造成日後維運困難。」他解釋，微服務雖有彈性、靈活的好處，但挑戰是微服務後續管理及維運。要是拆解過細，就得付出額外管理成本，要是拆解顆粒度過大，又會導致實務上運作問題。</p> <p>「雲中臺就像是小單體，再分出微服務，」他指出，用這種階段式的開發方式，從單體過渡到微服務架構，系統會比較穩定。這也呼應到他們想實現的第2個目標：可靠穩定的系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E7%89%A9%E7%85%A7(1).jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>國泰醫院資訊部部主任曾景平指出，國泰醫院HIS雲端轉型採用雲中臺搭配微服務架構，來避免將單體架構拆分顆粒過大和過小的問題，讓系統更穩定。</strong></span><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>打造平臺解決資料不同步問題，統一標準提高AI資料前置工作效率</strong></span></p> <p>現在，電子病歷上雲法規上路了，國泰醫院看到不少機會。</p> <p>比如，他們可打造一套病歷資料管理雲平臺，來解決資料不同步問題。因為，國泰醫院共有4家院所，每家院所的病歷資料處理方式為就源保存，也就是儲存於各院所內，每日晚上再定時更新。也就是說，病人病歷資料異動，醫院醫師最早也要隔日凌晨才能查到。為解決問題，國泰醫院IT也打造一個功能，來提供醫師，查詢不同院區資料的服務，但仍有所不便。</p> <p>因此，開放電子病歷上雲後，國泰醫院可望建置一套專屬平臺，來管理4家院區資料，方便醫師查詢之外，也能解決體系院區內資料不同步問題。</p> <p>甚至，在新辦法第19條允許公私立機構建置電子病歷交換平臺的基礎上，曾景平認為，這個概念可從體系內交換平臺，進一步擴大至醫院聯盟平臺，甚至由中央打造專屬交換平臺，來讓全臺醫院使用，提高資料交換效率，甚至解決現行官方維護的電子病歷交換中心（EEC）及健保雲端藥歷交換問題，如資料可能不同步，或是資料讀取需等待時間等。</p> <p>曾景平眼中的機會不只如此。他往前想一步，電子病歷交換平臺採用統一的標準，如國際醫界主流的FHIR，就可解決許多問題。像是，醫院開發AI專案時，須與設備廠商討論資料蒐集格式、客製化API，得花大量時間溝通，若統一標準，就不必花時間和人力成本與每家廠商詳談。</p> <p><span style="font-size:28px;"><strong>資安、IG、人才挑戰也不少</strong></span></p> <p>不過，挑戰總是伴隨機會出現。曾景平認為，開放上雲雖可加速智慧醫療發展，但資安也是一大考量。在新版辦法中，也有不少相關規範，比如要求醫院需加密傳輸，並使用國際規範的標準。但他分享經驗，團隊在設計雲端系統時，特別是FHIR電子病歷平臺，就採用Security by Design方法，在系統開發之初先思考資安問題，並參考美國醫療資料交換安全法規HIPAA，將資安元素融入開發架構中，而非靠事後的弱點掃描等手段，來檢視資安強度、再補強。</p> <p>另一個挑戰，則是FHIR實作指引（IG）問題。他表示，FHIR雖有望解決交換問題，但也還需制定IG，也就是互通規格書，才能有效交換所需資料。通常，交換資料的兩方可制定IG，但他建議，衛福部應出面制定公版IG，來讓全臺醫療機構和醫資廠商遵循。若無公版，各體系醫院或廠商容易發展出專屬IG，當這些利害關係人需要跨機構交換資料時，又得另外製作IG，就會提高互通複雜度。</p> <p>除此之外，FHIR人才也是個議題。國泰醫院在打造FHIR電子病歷平臺時，協同總分院人力，花了不少時間研究FHIR組成元件，包括IG的實作與測試。而臺灣許多醫院，平時光是處理日常IT工作就已相當忙碌，要撥出人力與資源學習FHIR，更是一大挑戰。對於大多委外處理的中小型醫院來說，要進行FHIR轉型，也會面臨人才問題。</p> <p><span style="font-size:28px;"><strong>要分享經驗邀請醫療機構參與POC測試，營造醫療生態圈</strong></span></p> <p>因此，國泰醫院打算在FHIR第一階段完成後，開放醫療機構同業參與POC測試，以降低大家進入的門檻，一起來推動臺灣FHIR電子病歷，也幫助加速未來電子病歷交換的時程。「我相信，我們開發FHIR時遇到的挑戰，其他醫院也會遇到，」曾景平認為，透過資源分享和其他醫院加入使用，可營造出醫療健康生態圈，甚至，未來還可延伸出醫界與保險業的資料交換應用，打造永續的多贏生態。</p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152060
【擴大遠距醫療，推動健康照護模式大轉型】電子病歷上雲是基礎，衛福部下一步是通訊診療辦法修法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新冠肺炎疫情爆發，把遠距醫療推上史無前例的應用高峰，許多國家更視為疫後新常態。衛福部常務次長石崇良也這麼認為，這2年來，他不斷透露，開放電子病歷上雲，是擴大遠距醫療法規面的第一步調整。</p> <p>這是因為，「新常態之下的健康照護模式，將面臨轉型。」他舉例，如從以醫療機構為中心轉為以病人為中心，照護模式也從過去的分段照護，轉變為整合型照護。這就需要電子病歷、雲端數據、IoT遠端照護和AI等IT架構，來輔助過渡。為因應這個轉變，衛福部決定先從法規下手。</p> <p><span style="font-size:28px;"><strong>為發展遠距醫療，先從電子病歷辦法下手</strong></span></p> <p>他們先鎖定醫療機構電子病歷製作及管理辦法。這是因為，該法是遠距醫療相關法規中，修改難易度較低的法。舉例來說，在遠距醫療情境中，當醫院以遠距醫療平臺，直接面對病人進行B2C遠距醫療服務時，會牽涉醫師法、通訊診察治療辦法（簡稱通訊診療辦法），以及電子病歷製作及管理辦法，而醫院與診所進行B2B2C的遠距會診服務時，不只涉及醫療法和電子病歷製作及管理辦法，還會在藥局交付藥物給民眾這一段，牽涉藥事法。</p> <p>因此，衛福部在醫療法、醫師法、藥事法、通訊診療辦法和電子病歷辦法等法規中，先從容易下手的後者開始，並在這次上路的新版電子病歷辦法中，賦予了醫療機構上雲、委外、無紙化的法源依據，允許醫療機構、公私立機構建置電子病歷交換平臺，來促進跨機構資料交換。甚至，石崇良點出，衛福部也可建置交換平臺，來供醫療機構進行遠距醫療交換使用，讓醫師查閱病歷資料，但不涉及資料儲存。</p> <p>無紙化部分，則允許醫療機構，將過去保存的紙本文件，轉錄為電子檔案，確認與原文件相符後以電子簽章封存，就可不必保留書面文件。而且，醫療機構也能將過去許多需要書面簽署的文件，以電子簽章簽核、以電子檔案方式保存。這也為未來的數位醫療，埋下伏筆。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%9F%B3%E5%B4%87%E8%89%AF.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>衛福部常務次長石崇良在去年臺灣醫院資訊主管會議中揭露，開放電子病歷上雲是擴大遠距醫療的法規面調適第一步。接下來，衛福部將針對規範遠距醫療的通訊診療辦法來修改。</strong></span></p> <p><span style="font-size:28px;"><strong>下一步：修正通訊診察治療辦法</strong></span></p> <p>電子病歷上雲法規鬆綁，是推動遠距醫療的法規面第一步，那麼第二步，就是修改通訊診察治療辦法。石崇良點出，目前，衛福部正聚焦調整通訊診療辦法的4大方向，包括適用情境、實施項目、開放處方和簡化行政程序。</p> <p>首先，衛福部計畫納入10種通訊診療情境，像是急性後期照護、慢性病長期用藥、長期照護、居家醫療、矯正機關收容照護、國際醫療等。再來，通訊診療的實施項目也要再擴大，納入詢問病情、診察、診斷、開立檢查檢驗單、會診、開立處方，以及原處方調整和衛教等醫療行為。</p> <p>接著，通訊診療還得有條件開放處方，比如擴大適用身分，將病情穩定的複診病人、通訊診療辦法第3條第7款至第9款初診及複診病人，以及山地、離島、偏遠地區和急迫情形的初診及複診病人都考量進去。最後，就簡化行政程序而言，衛福部要讓實施通訊診療的醫院，繳交核定文件給中央主管機關即可，代替原本需要撰寫的實施計畫。</p> <p>他預告，今年底前，衛福部將完成通訊診療辦法的修改。為了讓遠距醫療成為臺灣後疫情時代的新常規，未來，政府還要進一步針對財務規畫和定位來規範。</p> <p><span style="font-size:28px;"><strong>遠距醫療進化推手：疫情催生的輕重症分流模式</strong></span></p> <p>臺灣遠距醫療法規能進一步鬆綁，也是因為在疫情間，累積不少進化經驗。</p> <p>像是今年4、5月，疫情再次緊張起來，衛福部為了讓確診居家照護者，接受合適的醫療照護，因此推動搭配遠距醫療的輕重症分流配套措施。比如，自4月18日起，衛福部祭出COVID-19視訊診療照護對象就醫取藥作法。</p> <p>這個流程可分為掛號和看診取藥2部分。在掛號階段，有醫療需求的確診者，可尋求提供視訊診療服務的醫療機構資訊，撥打專線預約。或是到該醫療機構網站，進行網路預約。之後，民眾得下載該醫療院所指定的App，等待院所提供更多看診訊息。</p> <p>在看診領藥部分，進行視訊診療時，民眾得秀出健保卡，與醫師確認身份後再開始問診。問診完會有兩種情況，也就是依病情分流，一是醫師判斷可以遠距診療方式處置，根據患者病情開給藥物，並製作電子病歷。之後，患者可請家屬或代理人，至遠距看診醫療院所繳費、過健保卡並取藥，或是在取藥部分，由藥師送藥至病人住所。要實現送藥到府，患者可透過藥師公會全聯會服務專線，或是藥師調劑諮詢送藥到府網頁來選擇。若醫師開立慢性病連續處方箋，在這步驟就得交付處方箋。</p> <p>另一種情況是，醫師與病人視訊問診後，依病情判斷需面診，並另外安排至醫院就診。</p> <p>在這段期間內，衛福部也將與急診醫學會開發的遠距醫療平臺：健康益友App，用來提供確診民眾24小時急診專科醫師的緊急醫療諮詢服務，一樣採輕重症分流，也就是病情穩定者，醫師建議在家休養，病情嚴重者，則安排119救護車出動，將病人送至附近有ICU病房的急救責任醫院。</p> <p>除政府提供平臺，一般醫院也有不少自建的視訊診療門診平臺，提供專屬App來讓患者下載使用，如前述情境。</p> <p>石崇良透露，光是疫情短短1年多（自2021年5月15日至2022年6月22日）的時間裡，全臺遠距醫療量「高達312萬件，超過185萬人使用！」他點出，不只視訊診療占了76%大宗，也有不少是電話問診，占了24%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/600-%E5%9C%965-%E7%96%AB%E6%83%85%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1284,height=696'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%965-%E7%96%AB%E6%83%85%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 疫情遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>衛福部常務次長石崇良指出，在這次疫情間，臺灣也發展出專屬遠距醫療模式，比如，由政府推動建立遠距醫療平臺健康益友App，來供民眾諮詢，再依病情程度來分流治療。</strong></span></p> <p><span style="font-size:28px;"><strong>疫情下凸顯遠距醫療痛點：流程接續性差</strong></span></p> <p>他也表示，疫情間，不少臺灣醫院都發展出專屬遠距醫療模式。比如，林口長庚開放民眾使用長庚e指通App和官網來預約，臺北慈濟醫院則提供官網和電話預約，北醫則限電話預約，振興醫院則依病人身分來區分，如初診病患需使用電話預約，複診病患才能用醫院App。</p> <p>在看診媒介部分，醫院也有不同方法，像是林口長庚使用思科Webex、臺北慈濟使用Line、北醫則是微軟Teams；在處方箋部分，各家醫院也各有作法，如林口長庚提供郵寄服務、北醫和高醫則無。至於繳費也是如此，有些醫院開放病人使用醫指付App，有些則是醫院App，還有些是醫院窗口或自助繳費機等選擇。而領藥方式也不盡相同，比如，林口長庚允許民眾至醫院過卡領取，也能至社區藥局領藥，高醫則限於醫院過卡領藥。</p> <p>石崇良認為，這些多元作法，點出了臺灣遠距醫療可再精進之處，特別是領藥部分，還得要至醫院刷健保卡才行。他期望，接下來要發展出涵蓋更完整的遠距醫療流程，從預約看診、線上診療到繳費領藥等各環節的整合，更具有接續性，減少虛實切換或不同通路間的斷點。這些是他在疫情間看見的遠距醫療痛點，也是他積極展開通訊診療辦法修法，想突破的關卡。</p> <p class="rtecenter"><strong><span style="color:#3399ff;"><span style="font-size:36px;">標竿國家如何實現遠距醫療</span></span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/600-3-%E6%A8%99%E7%AB%BF%E5%9C%8B%E5%AE%B6%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=yes,fullscreen=no,scrollbars=yes,dependent=no,width=1164,height=648'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-3-%E6%A8%99%E7%AB%BF%E5%9C%8B%E5%AE%B6%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 標竿國家遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>在疫情影響下，不少國家發展出專屬遠距醫療模式，比如，美國在疫情間就放寬規定，准許醫院使用一般通訊軟體，來與民眾進行遠距診療。</strong><span style="font-size:14px;">圖片來源／石崇良</span></span></p> <p><strong>經過COVID-19疫情洗禮，不少國家也都面臨遠距醫療轉型的挑戰。衛福部常務次長石崇良特別以3個先進國家為例，來說明法規如何鬆綁、輔助遠距醫療施行。</strong></p> <p><strong>首先，遠距醫療包括三階段，也就是遠距醫療行為、線上開立處方箋，以及調劑與送藥部分。在遠距醫療行為部分，也包含醫院施行遠距醫療的科別、使用的媒介等規範，開立處方箋則有對系統的要求，送藥則有責任歸屬規範。</strong></p> <p><strong>以美國來說，其准許的遠距醫療行為有諮詢、看診、開處方箋和用藥諮詢，並適用所有科別。在疫情間，他們也特別放寬法規，允許醫院使用一般通訊軟體作為遠距醫療媒介，而在疫情之外，醫院就得使用符合醫療資料交換安全法規HIPAA的軟體才行。</strong></p> <p><strong>在開立處方箋部分，美國政府則要求，處方箋開立系統得符合HIPAA，至於適用科別則無限制。在遠距醫療的最後步驟：調劑和送藥部分，美國政府特別要求，送藥由藥局或第三方物流配送，並由藥局負責。</strong></p> <p><strong>另一方面，英國允許的遠距醫療行為與美國相同，但科別僅限於家醫科、心理治療和牙科，醫院可用一般通訊軟體或電話，來進行遠距診療。特別的是，在線上開立處方箋部分，則有一套國家電子病歷數據架構系統，來提供醫師開立處方箋，當然，醫師也可使用其他系統。在用藥指引部分，英國則要求藥師隨藥附上聯絡資訊，以供病人諮詢。</strong></p> <p><strong>而德國也與美國類似，遠距醫療不限科別，但對使用媒介有嚴格要求，通訊軟體得通過政府三重認證才行。此外，在用藥指引部分，則要求告知用藥風險，並提供用藥諮詢服務給患者。</strong></p> <p class="rtecenter"><strong style="color: rgb(51, 153, 255);"><span style="font-size: 36px;">臺灣遠距診療法規的演變</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P7P8-%E8%8B%A5%E6%A8%B8-%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-600-5.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>衛福部常務次長石崇良表示，在新冠疫情間，臺灣遠距醫療照護大幅突破，不只擴大通訊診療適用對象至居家隔離/檢疫民眾，後來還納入慢性病患者，同時也提升視訊診療所需之基礎設施布建，如升級為5G網路。</strong><span style="font-size:14px;">圖片來源／石崇良</span></span></p> <p><strong>早在1986年，政府修訂醫師法第11條，規範醫生必須親自看診，否則不得進行治療、開藥或交付診斷書。但對於山區、離島、偏僻地區，或有特殊、急迫情形患者，醫生得以通訊方式診療，奠下了通訊診療基礎。</strong></p> <p><strong>後來，政府在2006年擴大通訊診察治療適用範圍，新增偏僻地區，2018年更推動通訊診察治療辦法（簡稱通訊診療辦法），一口氣放寬5種特殊情形，如居家醫療、急性住院後3個月內患者、長照機構住民等對象，都可實行通訊診療。</strong></p> <p><strong>2018年後，衛福部更展開一系列遠距醫療照護計畫，比如當年12月，啟動了智慧醫療區域聯防試辦計畫，由臺大雲林分院和數家基層醫療、長照機構展開遠距醫療服務。</strong></p> <p><strong>2020年疫情爆發，衛福部也以兩次函示放寬通訊診療適用對象，納入居家檢疫民眾與居家隔離民眾。</strong></p> <p><strong>同年5月，衛福部還啟動偏鄉五官科遠距醫療專科門診試辦計畫，7月更上線緊急醫療創新平臺，以臺灣專科醫師來服務遠端海外華僑。2020年12月，在這些遠距醫療計畫的成功經驗上，健保署正式發布「健保遠距醫療給付計畫」，揭開2021年遠距醫療健保給付元年的序幕。</strong></p> <p><strong>2021年更有另一波進展。5月，疫情加劇擴散、全國進入三級警戒，衛福部祭出新方法，將門診病人（如慢性病患者）納入視訊診療適用對象，直到疫情結束、指揮中心解散為止。同年，政府也加碼投資遠距醫療硬體設施，不只啟動前瞻2.0計畫改善偏鄉5G發展、提高遠距醫療傳輸品質，衛福部還進一步佈建原鄉離島的遠距醫療專科門診基礎設施。</strong></p> <p><strong>今年，遠距診療適用對象更進一步擴大，納入快篩陽性民眾，作為加速確認與治療的手段。與此同時，支援遠距醫療身份驗證的虛擬健保卡機制也不斷擴張，至今年7月1日，全臺已有600多家醫療院所提供虛擬健保卡，擁有虛擬健保卡的民眾更高達27萬多人。健保署視為發展重點，預計年底前達到全面使用的程度。</strong></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152061
零售IT雙周報第4期：Amazon推出新型無人收銀智慧購物車，能在移動中瞬間過磅，還能推薦鄰近商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0710~0723)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人收銀</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧購物車</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#店內智慧導引</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#移動中過磅</span></strong></span></p> <p><strong>Amazon推出新型無人收銀購物車，能即時顯示鄰近商品，也能移動中瞬間完成過磅</strong></p> <p>Amazon<a href="https://www.aboutamazon.com/news/retail/amazon-dash-cart-new-features-whole-foods">推出新型無人收銀智慧購物車Dash Cart</a>，不僅減輕重量、增加兩倍容量並強化堅韌性，也升級了商店內定位功能，以即時顯示消費者鄰近商品和優惠項目。為了讓Dash Cart可以在移動中過磅商品，而不用每次加入商品就要求消費者停下，Amazon也開發出演算法，可以抵消車體移動造成的秤重誤差，瞬間完成過磅。</p> <p>新型Dash Cart，將在旗下生鮮超市Whole Foods的部分門市，以及自家無人超市Amazon Fresh中啟用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#新世代POS機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自助結帳</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#會員經營</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span></p> <p><strong>揭密統一新POS機，可以切換成自助結帳模式，更是未來10年OMO零售服務基礎建設</strong></p> <p>統一超商花費4年、斥資11億打造的新型POS機，將在今年底前於全臺門市部署完畢。統一超商POS機產品生命週期為8至10年，意味著統一設計時，就已經為了未來將推出的新服務及功能，預留軟硬體擴充彈性。</p> <p>其中一項功能，就是自助結帳模式。此POS機可以自由在店員結帳及自助結帳兩種模式間切換，不僅可以彈性釋出人力，也能節省放置自助結帳專門機臺的店面空間。新型POS機有不少硬體用來支援自助結帳，能涵蓋自助結帳各項流程，包括新型掃描機、新型讀卡機、出發票機等。</p> <p>此外，新POS機也強化了智慧推薦功能，可以就掃描商品適用的不同促銷活動，推薦出優惠組合、支付方法等方案。未來若結合會員資料，甚至有機會發展（<a href="https://www.ithome.com.tw/news/152021">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#外送機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動導航機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電腦視覺</span></strong></span></p> <p><strong>英國超市巨頭Co-op擴大使用外送機器人送貨，搭載誤差在1英吋內的電腦視覺技術以達成自動導航</strong></p> <p><a href="http://https://www.starship.xyz/press_releases/service-expands-to-north-northamptonshire/">英國超市巨頭Co-op將擴大自主外送機器人服務範圍</a>，預計能送達北安普敦郡33,000戶家庭。此服務運作模式是，消費者從Starship App下單，再由鄰近的Co-op商店出貨，在1小時內送達。消費者可以在App上即時追蹤機器人送貨進度，並在機器人抵達時用App發送解鎖機器人載貨空間的指令，取得外送商品。</p> <p>這個服務的技術廠商Starship表示，此外送機器人搭載精準到一英吋誤差內的電腦視覺及感應器，以及AI、ML技術，來達到自動導航及自動障礙迴避。此機器人也相當節能，一趟外送的耗能，等同於燒開一杯水的所需能量。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電商網站SRE</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#微服務架構</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#千人IT團隊管理</span></strong></span></p> <p><strong>歐洲電商巨頭Zalando揭露6年來導入SRE技術歷程，未來要從企業等級高度嵌入SRE到產品管理流程 </strong></p> <p>一年營收超過3千億臺幣的歐洲快時尚電商巨頭Zalando，揭露自家從2016年起導入SRE的歷程。Zalando當初導入SRE，主要是為了解決待命支援不足的問題，截至2022年分為三個階段。</p> <p>第一階段，Zalando從2016年開始導入SRE，將超過1,000 人的工程師團隊，按照產品叢集來分為SRE團隊，一個團隊負責一個叢集，一個SRE團隊負責同一個產品網域下的所有維運責任。</p> <p>然而，後來Zalando發現，蒐集了大量網站SLI（服務水準指標）維運資料後，工程團隊仍沒有解決原本待命支援不足的問題，也沒有善用這些維運數據來改善開發，甚至隨著微服務數量增加，積累過多微服務工程層級的SLI數據，卻難以綜合判讀。</p> <p>於是，Zalando SRE進入第二階段，調整監控項目為搜集可能造成當機事件的事前訊號，來提前發布預警。同時，他們也改變了SRE團隊的組織編制方式，取消了原本在各產品下所設置的SRE團隊，改由各產品團隊中的交付小組接手SRE工作，負責維運他們自己產品中關鍵服務。</p> <p>到了2020年，由於SRE實踐成效佳，SRE團隊的組織位階從任務編組提升成一個獨立部門，跟其他產品或研發部門並行。SRE部門要負責規畫更長期的企業SRE戰略，將SRE做法更普及到各項產品和服務，也設計了一套SRE課程，列入工程師的新人訓練內容。</p> <p>下一階段，Zalando計畫將產品管理對標到SRE戰略，要建立一系列KPI，讓產品管理可以和SRE對標，從高階主管和產品管理的角度，來促成SRE與各業務部門的合作。（<a href="https://www.ithome.com.tw/article/151851">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#開店平臺</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影片商品目錄</span></strong></span></p> <p><strong>Pinterest新增多項電商功能，開放所有開店平臺串接商品目錄，還能用影片呈現商品</strong></p> <p>Pinterest<a href="https://newsroom.pinterest.com/en/post/pinterest-doubles-down-on-shopping-introducing-api-for-shopping-and-product-tagging-for-pins-0">持續擴增電商功能</a>，過去，自動更新商品目錄的功能僅開放Shopify、Woocommerce等特定開店平臺使用，現在此功能將透過API開放給所有人使用。Pinterest商業帳號的資料頁面中，也直接加入商店欄位，集中展示商家的可購物釘圖，顯示Pinterest將自家平臺進一步商業化的意圖。</p> <p>之前的可購物釘圖（Shoppable Pins），一張圖片只能對應一個商品，現在商家也能在一張圖片裡面標註多個商品標籤，增加商品陳列的可能性，例如在一張情境圖片中一次標註多個相關商品。除了增加用靜態圖片呈現商品的方法，現在商家在商品目錄中，以影片形式呈現商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#物業管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位化管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#百貨業</span></strong></span></p> <p><strong>遠百利用物管App數位化物業管理，導入一年多盤點效率增加17%</strong></p> <p>遠東百貨近年積極推動數位管理，3年來建置和升級了多達240套系統，近日也在2021永續報告書中，揭露了物業管理App導入1年多來成果，讓全臺十多座百貨公司的資產盤點效率提升了17%，對外包人員的抽查作業時間更從100分鐘縮短到50分鐘。</p> <p>遠百為了物業管理作業，開發了巡檢App與物管App來管理機電設備巡檢、資產管理及人力管理等情境。巡檢App透過數位化巡檢流程，有效解決了檢查不準時、巡檢不到位、紀錄不正確且難以存取等問題。物管App則針對作業繁雜的資產管理、公務車管理、人力管理及清潔巡檢四大項目，降低人為疏失情形及增進作業效率。（<a href="https://www.ithome.com.tw/news/152037">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#私訊付款</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span></p> <p><strong>Instagram商家能在私訊功能中請款，省下消費者跳轉頁面的時間</strong></p> <p>Meta表示，有鑑於消費者每周透過自家App私訊商家的頻率高達10億人次，<a href="http://https://about.fb.com/news/2022/07/buy-products-on-instagram-in-chat/">將推出商家能在Instagram私訊中直接請款的功能</a>。商家能在私訊中設定請款描述及金額，消費者則能在App內，透過綁定的Meta自家支付工具完成付款。</p> <p>商家能在私訊談論商品後直接請款，等於省去消費者跳轉頁面的時間，也有助於減少猶豫時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#直播購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影片購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電商功能</span></strong></span></p> <p><strong>Youtube與Shopify合作推出購物功能，可以在直播及影片陳列商品，更在頻道頁面中新增商店欄位</strong></p> <p><a href="https://blog.youtube/news-and-events/youtube-shopify-integration-merch-shopping/">Shopify商家將能連結自家商店到Youtube頻道中</a>。連結商店後，商家可以再將這些商品陳列於直播、隨選影片或頻道頁面中新增的商店欄位。Youtube上的商品狀態會跟Shopify電商即時同步，甚至能結合Shopify內建的行銷功能。美國的使用者，還能在Youtube中直接結帳，不須再跳轉到店家的Shopify網頁。 </p> <p>更多零售IT動態：</p> <ol> <li><a href="https://www.aboutamazon.com/news/transportation/amazons-drone-delivery-is-coming-to-texas">Amazon擴大送貨無人機試營運範圍，顯示在加州的實驗相當順利</a>。</li> </ol> <p>資料來源：iThome整理，2022年7月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/7/22 18:11作者郭又華https://www.ithome.com.tw/news/152083
【資安日報】2022年7月22日，勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Fra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊的方式，已出現軟體經營者和攻擊者分工的情況，其中最常被提及的就是軟體以服務的型式提供（Ransomware-as-a-Service，RaaS），讓攻擊者可透過購買或訂閱的方式取得，但現在有了新的做法，有開發者以免費的方式提供勒索軟體，直到收到贖金之後再和攻擊者拆帳獲利。這樣的情況，不只使得發動勒索軟體攻擊的門檻變得更低，攻擊者也無須付錢就能先行取得作案工具。</p> <p>惡意軟體Lightning Framework也引起研究人員注意，首先，它與近期出現的Linux惡意軟體（如：<a href="https://www.ithome.com.tw/news/150914#bpfdoor">BPFDoor</a>、<a href="https://www.ithome.com.tw/news/151388#Symbiote">Symbiote</a>等）都同樣難以偵測，但不同的是，此惡意軟體採用了模組化設計，而使得駭客可透過擴充元件增加攻擊能力，這樣的做法在Linux惡意軟體可說是相當罕見。</p> <p>思科針對旗下資料中心網路管理系統Nexus Dashboard著手修補，當中修補了3項弱點，其中一項為CVSS評分達9.8分的重大漏洞，由於沒有緩解措施，該公司呼籲用戶要儘速升級相關軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p>以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> </div></div></div>
2022/7/22 13:51作者周峻佑https://www.ithome.com.tw/news/152074
烏克蘭廣播集團TAVR Media遭駭客攻擊，以播放澤倫斯基狀況危急的不實消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/tavrmedia/posts/pfbid0voE4Ft6pfrDKKQ5iyrkk11ydPtBYcZJsMAW3VW27HQQy3nn6cRyLUSLZysqsSNyHl" target="_blank">旗下擁有9個廣播電臺的烏克蘭廣播集團TAVR Media周四（7/21）貼出公告</a>，指出該集團的伺服器與網路遭到網路攻擊，澄清那些關於烏克蘭總統澤倫斯基（Vladimir Zelensky）身體欠安、狀況危急的消息與事實不符。</p> <p>根據《CyberScoop》的報導，有烏克蘭民眾自TAVR Media旗下的某個電臺聽到澤倫斯基的健康狀況非常糟糕，已將對烏克蘭的掌控權轉移給他人的消息。</p> <p>然而，TAVR Media很快就出面澄清它們是遭到網路攻擊，正努力解決問題並恢復服務，同時也強調任何有關澤倫斯基健康問題的資訊都與事實不符。</p> <p>澤倫斯基則是在TAVR Media發布訊息之後的幾個小時，<a href="https://www.instagram.com/p/CgRjvSHoty1/" target="_blank">就透過其Instagram帳號出聲</a>，表示俄羅斯正在散布更多的不實資訊，包括他正面臨嚴重的健康問題而進駐醫院。澤倫斯基也強調他正好好的待在辦公室內。</p> <p>先前駭客也曾挾持烏克蘭其它的廣播電臺，並播放俄羅斯搖滾樂團的反戰歌曲。</p> </div></div></div>
2022/7/22 16:02作者陳曉莉https://www.ithome.com.tw/news/152079
Blockchain準備裁撤25%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資深加密貨幣平臺Blockchain.com本周對外證實，將關閉位於阿根廷的所有辦公室，並準備裁撤150名員工，約占總員工數的25%。</p> <p>Blockchain.com於2011年創立於盧森堡，為一加密貨幣金融服務公司，除了建立加密貨幣交易平臺外，也打造加密貨幣錢包，並提供機構市場的借貸業務、資料、表格與分析服務。</p> <p><a href="https://www.coindesk.com/business/2022/07/21/blockchaincom-cuts-25-workforce-amid-crypto-bear-market/" target="_blank">根據《CoinDesk》的報導</a>，Blockchain.com裁員的主要原因除了嚴酷的市場狀況之外，也包括必須吸收財務上的損失。《CNBC》證實了Blockchain.com裁員的消息，並說該平臺曾出借2.7億美元予已於本月初聲請破產保護的三箭資本（Three Arrows Capital），而這筆資金應已付諸流水。</p> <p>Blockchain.com裁員的速度或許還比不上擴張，因為在加密貨幣市場交易暢旺的這一年半之間，該公司的員工人數快速從150名增加到600名。在此次裁撤的150人中，有44%位於阿根廷，26%位於美國，16%位於英國。</p> </div></div></div>
2022/7/22 16:22作者陳曉莉https://www.ithome.com.tw/news/152081
近5年研發，Google發布開源量子程式開發框架Cirq 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四年前，Google人工智慧量子團隊在第一屆量子軟體和量子機器學習國際研討會（QSML）上，發表了Cirq公開測試版，經過開源社群的共同努力與貢獻，<a href="https://opensource.googleblog.com/2022/07/Cirq-Turns-1.0.html">Google現在正式對外宣布Cirq達1.0</a>。</p> <p>Cirq是一個由Google發起的開源量子程式開發框架專案，其作為Python框架，可供開發者編寫、執行和分析量子電腦程式的結果，由於Cirq是專為近代的量子電腦設計，因此可以支援數百量子位元和數千量子閘。Google提到，Cirq 1.0版本的意義，在於Cirq已經可以支援這些近代量子電腦系統絕大多數的工作流程，並且擁有一個公認穩定的API。</p> <p>Cirq是Google硬體團隊用來編寫Google量子電腦程式的通用語言，而且基於Cirq之上，也已經發展出一個函式庫社群，能夠支援不同量子計算研究領域，這些函式庫包括探索量子機器學習的TensorFlow Quantum，用於化學模擬的OpenFermion，甚至是用於錯誤緩解技術的Mitiq。</p> <p>目前許多量子計算雲端服務也整合Cirq，將其視為標準，使用Cirq所開發的程式，已經可以在AQT、IonQ、Pascal、Rigetti和IQM等量子電腦供應商的硬體上運作，同時，Cirq也可以在Azure Quantum上執行，以及於最新的Google量子虛擬機器，對Google的量子計算硬體進行逼真雜訊模擬。</p> <p>另外，Cirq不只能用於研究領域，也能夠用於應用量子疊加和量子糾纏所開發的量子西洋棋。Cirq的貢獻者不只有Google成員，還包括來自產業界、學界的學者與開發者，在Cirq剛開始研發階段，量子電腦僅能操作很少數的量子位元和量子閘，在Cirq經過近5年的開發時間，量子電腦硬體現在已經擴展到數百量子位元。</p> <p>Google表示，量子計算的硬體規模和複雜性不斷增加，在未來硬體將可能達到數千量子位元，屆時為量子計算開發的軟體，需要支援更龐大的系統，而Cirq的發展將成為關鍵，提供更廣泛的框架、程式語言和函式庫，來實現未來的量子計算應用。</p> </div></div></div>
2022/7/22 15:17作者李建興https://www.ithome.com.tw/news/152077
Coinbase產品經理涉嫌內線交易被逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/three-charged-first-ever-cryptocurrency-insider-trading-tipping-scheme" target="_blank">美國紐約南區的檢察官辦公室本周控告</a>Coinbase的前產品經理Ishan Wahi 涉嫌內線交易，在得知Coinbase即將上架的加密資產之後，再與弟弟Nikhil Wahi及朋友Sameer Ramani分享，以協助親友獲利。Wahi兄弟倆在本周遭到逮捕。</p> <p>Coinbase為美國最大的加密貨幣交易中心，不定期會上架新的加密資產供使用者交易，但禁止員工分享這些即將上架的加密資產或執行內線交易。</p> <p>Ishan Wahi約是在2020年10月時，擔任Coinbase加密資產上架團隊的產品經理，因此能事先知道哪些資產即將上架的機密資訊，且自2021年8月到2022年5月間，Ishan Wahi加入了一個專門討論資產上架資訊的內部群組，包括即將上架的資產名單與時間等。</p> <p>調查發現，從2021年6月到2022年4月間，Ishan Wahi開始將此一機密資訊分享給Nikhil Wahi與Sameer Ramani，在這期間Coinbase大約公布了14次的新資產上架消息，涉及25款加密資產，而Nikhil Wahi與Sameer Ramani即在得到內部消息之後事先部署，至少獲利150萬美元。</p> <p>Ishan Wahi在這期間並未執行交易，只是將機密資訊告知親友，<a href="https://twitter.com/cobie/status/1513874972552355846" target="_blank">事跡的敗露源自於有一名在加密貨幣社群頗有名氣的Cobie在4月12日發現</a>，Coinbase在4月11日公布了6款即將上架的加密資產，但某個以太坊錢包就在該消息曝光的前24小時內，以數十萬美元購買了一模一樣的6款加密資產。這則推文引起了Coinbase的注意，還回覆說已經展開調查，最終發現此一錢包隸屬於Ramani。</p> <p>接著Ishan Wahi在5月11日收到Coinbase的安全經營總監的郵件，跟他約好在5月16日單獨碰面討論Coinbase的資產上架流程，但Ishan Wahi卻買好了5月16日一早飛往印度的單程機票，只是在登機前被執法人員攔下。</p> <p>33歲的Ishan Wahi、26歲的Nikhil Wahi與33歲的Sameer Ramani主要被檢察官指控電信詐欺，然而，<a href="https://www.sec.gov/news/press-release/2022-127" target="_blank">美國證券交易委員會（SEC）也在同一天控告這3名被告違反美國證券法令</a>，因為在他們所交易的25款加密資產中，至少有9款屬於證券。</p> <p>SEC的作法惹來了Coinbase的不滿，很快就發文反擊，<a href="https://blog.coinbase.com/coinbase-does-not-list-securities-end-of-story-e58dc873be79" target="_blank">宣稱該平臺上並未陳列任何的證券</a>。</p> <p>Coinbase指出，該平臺所上架的加密資產都必須經過一個嚴格的分析及審核流程，且此一流程也已通過SEC的審核，然而，SEC並未針對這些被它們視為證券的加密資產與Coinbase溝通，而是直接提出訴訟。</p> <p>Coinbase批評SEC的作法是打算透過一次性的法律行動，試圖將所有的數位資產納入管轄範圍，而非先制定一個清楚且可行的立法框架來規範所謂的數位資產證券。</p> <p>總之，當加密資產成為證券，勢必會受到更嚴格的監管，<a href="https://blog.coinbase.com/the-crypto-securities-market-is-waiting-to-be-unlocked-but-first-we-need-workable-rules-c0ba63eabab3" target="_blank">而Coinbase也已向SEC提出請願</a>，要求SEC著手制定數位資產證券的規則。</p> </div></div></div>
2022/7/22 15:49作者陳曉莉https://www.ithome.com.tw/news/152078
微軟Microsoft Store禁止使用WebKit等引擎的新瀏覽器App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152038" target="_blank">微軟本周撤回</a>禁止開發商在Microsoft Store上販售開源軟體的規定，不過另一些開發商就沒這好運了，因為Microsoft Store將禁止使用蘋果WebKit或自己EdgeHTML等引擎的新瀏覽器App上架。</p> <p><a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies#108-financial-transactions" target="_blank">微軟6月間公布</a>Microsoft Store新政策中，除了較具爭議性、關於開源碼軟體收費的10.8.7規定，另一則是10.2.1條。該規則規定，為了確保使用經驗的相容性及安全性，在Microsoft Store上架的瀏覽器，必須使用Chromium或Gecko兩種開源引擎。同時新上架的App使用的引擎版本，必須至少在最新開源專案版本早2個版本以內。例如最新Chromium為85版，則App至少必須使用Chromium 83版以上。</p> <p>其他引擎（如WebKit）或是微軟舊式引擎EdgeHTML，在新上架的App中不得使用。Gecko是Mozilla Firefox及Thunderbird郵件軟體使用的排版引擎，因而不受影響。WebKit則用於iOS、Amazon Kindle、三星Tizen上的預設瀏覽器，如Safari。雖然Edge HTML未來不得用於新App，但預料不會有太多人受到影響，因為根據微軟最新規定，但現有瀏覽器App若使用EdgeHTML引擎，微軟是准許的。</p> <p>相較於10.8.7關於開源軟體收費的規定，微軟最後在開發商壓力下撤回，關於10.2.1，微軟迄今並未動搖。</p> <p>Microsoft Store政策在其他瀏覽器的規定方面，瀏覽器內含的私有或專屬元件，必須獲得任何可行的授權，App開發商需做好相容性及網站一致性的測試，若有任何已知安全漏洞，App開發商也必須及早修補。</p> </div></div></div>
2022/7/22 14:20作者林妍溱https://www.ithome.com.tw/news/152075
Zoom擴大全程加密到雲端VoIP、分組會議室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom持續增加產品支援全程加密（end-to-end encryption，E2EE），<a href="https://blog.zoom.us/end-to-end-encryption-zoom-phone-breakout-rooms/" target="_blank">本周宣布其VoIP服務「雲端電話系統」（Zoom Phone）及分組會議室（Breakout Rooms）將支援全程加密</a>。</p> <p>這是Zoom最新支援全程加密的服務。<a href="https://www.ithome.com.tw/news/136701" target="_blank">Zoom 2020年初爆發全程加密宣稱不實</a>，隨後發表產品安全宣言並買下Keybase，<a href="https://www.ithome.com.tw/news/140798" target="_blank">同年10月全程加密陸續推向其免費版服務</a>，包括桌機及手機版。</p> <p>Zoom Phone服務為VoIP電話服務，可提供無線國內通話、簡訊訊息、語音郵件轉錄文字、及來電錄音等。在最新宣布下，Zoom Phone支援全程加密，但是還有一些限制，包括僅支援1對1通話，且雙方必須在同一個企業Zoom帳號下且雙方都須使用Zoom Phone桌機或手機App（即不支援PSTN通話），且還必須關掉自動錄音。另外，帳號管理員必須先透過Web Portal管理介面啟用E2EE。</p> <p>另外，Zoom會議（Zoom Meetings）的E2EE也將在短期內擴大到分組會議室。Zoom表示使用方式和Zoom Meetings一樣，除了每間分組會議室有自己一把會議加密金鑰，可以為特別在意隱私的會議提供多一層安全性。</p> </div></div></div>
2022/7/22 14:38作者林妍溱https://www.ithome.com.tw/news/152076
Amazon以39億美元買下醫療供應商One Medical
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon持續探索跨足數位醫療業。<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-one-medical-sign-agreement-amazon-acquire-one-medical" target="_blank">周四（7/21）Amazon宣布</a>以近39億美元收購美國實體及數位醫療服務業者One Medical，成為該公司最大手筆收購。</p> <p>Amazon計畫以每股18美元，總計近39億美元全現金收購，而One Medical執行長Amir Dan Rubin也將持續執掌該部門。</p> <p>One Medical提供虛擬、遠距看診服務，也有實體看診服務，其中實體看診服務由One Medical業務下裝潢精緻舒適的診所提供，並由1Life Medical姐妹公司提供虛擬看診的基礎架構維護管理。<a href="https://www.cnbc.com/2022/07/21/amazon-to-buy-primary-health-care-provider-one-medical-for-roughly-3point9-billion.html" target="_blank">CNBC報導</a>One Medical 2020年上市，迄今管理全球的188間診所，客戶涵括25個市場77萬會員。</p> <p>Amazon希望借助One Medical的遠距看診服務加速其數位醫療的布局。Amazon健康服務資深副總裁Neil Lindsay指出，實體看診從預約、數星期或數月的等待期、開始前往看診到在候診室苦候，匆匆看診數分鐘後，還要再分開領藥，這些都急待革新。Amazon希望未來幾年間能大幅改善這些痛點，減少民眾看病的時間、金錢花費等成本。</p> <p><a href="https://www.vox.com/recode/2022/7/21/23273207/amazon-one-medical-merger-telehealth-antitrust" target="_blank">分析師認為</a>Amazon這次可能會從較單純的消費者醫療服務切入。</p> <p>本案是Amazon迄今最大金額的收購案，突顯Amazon跨足數位醫療的決心。有鑒於美國昂貴且低效率的醫療服務、Amazon貴為最大電商平臺很早就想跨足遠距健康照護，但並不順利。Amazon、摩根大通集團及華倫巴菲特的Berkshire Hathaway <a href="https://www.ithome.com.tw/news/142039" target="_blank">於2018年合組健康照護服務公司Haven</a>，宣稱想提供高效率及合理價格的醫療服務。然而新式服務無法突破美國醫院、保險商、藥廠、中間商等錯綜複雜運作體系，新公司也在去年2月底結束營業。</p> <p>不過有鑒於Amazon成為當局反托拉斯調查的目標，本案是否能獲得核准是另一個疑問。</p> <p>Amazon 數位醫療的其他投資，還包括<a href="https://www.ithome.com.tw/news/124224" target="_blank">2018年收購線上藥商PillPack</a>，以及開發自有品牌的醫療設備。</p> <p>但Amazon 最新動作是否會成功還有待時間證明。Google 也曾成立獨立健康照護部門並試圖發展AI技術輔助看診，但Google Health去年大幅縮編，蘋果也縮編了開發員工健康管理App的內部專案。</p> <p>不過COVID-19重振市場對數位醫療的需求。大廠們持續投資。<a href="https://www.ithome.com.tw/news/151399" target="_blank">甲骨文上個月完成</a>美國最大電子病歷商Cerner的收購，而<a href="https://www.ithome.com.tw/news/150974" target="_blank">Google也招募</a>了前FDA數位醫療主管出掌其Google Health。</p> </div></div></div>
2022/7/22 13:24作者林妍溱https://www.ithome.com.tw/news/152071
Windows 11 22H2預設即封鎖RDP暴力破解攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288" target="_blank">負責作業系統安全與大型企業的微軟副總裁David Weston周四（7/21）透過Twitter宣布</a>，微軟已於Windows 11 22H2 22528.1000版本中把帳號鎖住原則（Account Lockout Policy）列為預設值，以降低遠端桌面協定（Remote Desktop Protocol，RDP）與其它暴力破解密碼的相關攻擊。此一預設功能不僅支援之後的版本，也將回溯至之前的Windows版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-Account%20Lockout%20Policy%20windows%2011-600.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>預計於今年下半年推出的Windows 11 22H2目前仍在預覽階段，因此參與Windows測試人員計畫（Windows Insider Program）的使用者得以率先取得該功能。</p> <p>當Account Lockout Policy成為預設值之後，只要有人在10分鐘之內執行10次的登入錯誤，該帳號就會被鎖住。</p> <p>Weston表示，這將有助於緩解RDP與其它暴力破解密碼攻擊，此一技術經常被應用在人為操作的勒索軟體攻擊中，新的控制將提高暴力破解的難度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-says-140-million-paid-to-ransomware-offers-defense-tips/" target="_blank">《BleepingComputer》在2020年曾引用聯邦調查局（FBI）特別幹員Joel DeCapua的分析指出</a>，勒索軟體駭客入侵受害系統的首選就是RDP，有超過7成的勒索軟體攻擊行動透過RDP。</p> <p>RDP允許個人透過網路控制遠端電腦上的資源與資料，在建立遠端桌面連線時，本地端及遠端機器必須藉由使用者名稱與密碼來進行身分驗證，一旦密碼被破解，駭客即可遠端部署勒索軟體或其它惡意程式。</p> <p>其實Windows作業系統的本機群組原則（Local Group Policy）早就具備Account Lockout Policy選項，還允許使用者設定帳戶鎖住的閥值，或是鎖住的時間，只是它們並非預設值，需要使用者手動啟用。</p> </div></div></div>
2022/7/22 13:50作者陳曉莉https://www.ithome.com.tw/news/152073
Cloud周報第151期：微軟正式推出主權雲，不只加強對政府敏感性數據的保護及加密措施，還提供Azure機密運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/14～07/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主權雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>瞄準政府部門轉型上雲趨勢，微軟正式發布主權雲</strong></span></p> <p>微軟近日<a href="https://blogs.microsoft.com/blog/2022/07/19/microsoft-cloud-for-sovereignty-the-most-flexible-and-comprehensive-solution-for-digital-sovereignty/">推出主權雲服務（Microsoft Cloud for Sovereignty）</a>，要協助政府轉型上雲過程中，能夠更好地管理自己的數據，以符合合規性、安全性和政策要求，並提高營運和治理透明度。微軟將從擁有逾60個區域（region）的Azure資料中心提供該項服務。。</p> <p>根據微軟說明，微軟主權雲建立在自家公雲之上，除了可以根據政府部門需求進行客製外，還可使用許多現有公雲服務，包括現代化開發者服務、敏捷基礎設施、安全DevOps、開源平臺以及現代協作與低程式碼開發等功能。政府單位也能使用微軟Global Security Signals安全分析服務，協助他們進行偵測、識別和對抗外部網路攻擊。</p> <p>為提高雲端上數據保護，除了原本雲端安全防護外，在主權雲上還多加一層防護，來加強對敏感性數據的保護及加密措施，這項防護涵蓋了微軟雲端，包括雲端基礎架構，還有Microso 365、Dynamics 365及Power Platform等SaaS產品，而且還提供Azure機密運算服務，可透過機密虛擬機器和機密容器，來建立可信執行環境，以強化其防護。</p> <p>為了區分公雲上不同類型數據的法遵要求，在微軟主權雲中還提供一個主權登陸區域（Sovereign Landing Zone），可簡化數據架構、部署流程和協調各種安全服務和策略控制的操作，因為是以企業級Azure Landing Zone為基礎，可使用Azure中內建的IaC（基礎架構即程式）和PaC（政策即程式）功能，以自動化部署方式簡化數據分類的複雜度，來配合法遵執行的要求。該服務也能涵蓋到Azure資訊保護（AIP），可提供電子郵件和檔案數據存取控制及防護策略。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端訂閱</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>VMware vSphere+和vSAN+正式推出，雲端訂閱期最長3年，按使用CPU核心數計價</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 335px;" /></p> <p>虛擬化龍頭VMware近日宣布vSphere+和vSAN+雲端訂閱服務已正式推出，讓企業能夠從雲端來管理本地vSphere虛擬機器和vSAN叢集，同時公布訂閱計價方式，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買CPU最小容量不能低於16個實體核心。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS續約的優惠價格，協助企業用戶將既有vSphere與vSAN軟體授權逐步轉到訂閱制vSphere+與vSAN+。</p> <p>VMware更簡化vSphere+採購流程，有別於以往需採個別購買授權的作法，可以提供全套式訂閱方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包。Tanzu本身除了提供標準Tanzu Runtime，之後也將加入Tanzu Mission Control Essentials功能，可用於VMware Cloud on AWS 等VMware Cloud 產品上的Tanzu服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Arm</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud首款基於Arm架構處理器的Tau VM運算實例終於現身</strong></span></p> <p>去年推出採用AMD EPYC 7003系列處理器的Tau系列虛擬機器後，Google Cloud最近替Tau家族新增另一款名為<a href="https://cloud.google.com/blog/products/compute/tau-t2a-is-first-compute-engine-vm-on-an-arm-chip">Tau T2A的全新虛擬機器</a>，還是第一款基於Arm架構處理器的Compute Engine運算實例。</p> <p>雖然目前仍是預覽版，不過，T2A VM採用Ampere的Altra系列處理器，用戶可快速啟用高達48核心、192GB記憶體的Arm架構虛擬機器，可在Google Cloud環境上執行各種工作負載，且支援GKE等多項服務。</p> <p>如同前一款Tau TD2虛擬機器，以高性價比著稱，新推出的T2A也是如此，若以啟用32核心、128GB記憶體的虛擬機來計算，每小時收費1.232美元。Tau T2A初期將於美國愛荷華州、荷蘭、新加坡等部分區域推出，並於數月內全面上市。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端資料倉儲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器版Redshift資料倉儲服務全面上市</strong></span></p> <p>經過半年多公開預覽測試後，AWS最近終於推出AWS Redshift無伺服器服務。當企業用戶使用Redshift資料倉儲服務時，只要選擇無伺服器的選項，Redshift就會根據請求的資料倉儲規模大小、成本及符合SLA要求的特定應用程式，自動配置計算資源可供用戶載入的資料查詢使用，且不需要管理資料倉儲的基礎架構。當計算量增加時，系統會自動擴展，並在不使用時關閉，以符合彈性需求，並根據使用運算和儲存用量收費。</p> <p>該服務推出時，AWS還增加了新功能，像是用戶可透過命名空間（namespaces）與工作小組（workgroups）在AWS區域建立多個無伺服器端點，用來管理數據、查看儲存容量，或進行網路和安全設置等。AWS還調降了無伺服器版Redshift計算成本費用，比平均預覽版的價格減少25%。該服務目前已在美國、歐洲及亞洲多個區域推出。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>IBM本季混合雲增長強勁，帶動軟體、諮詢、基礎架構3大關鍵業務成長最多破2成</strong></span></p> <p>近日，IBM公布該公司第2季營收，顯示該季營收達155 億美元，比2021年同期增長9%，其中混合雲增長強勁是本季營收成長的一大關鍵，帶動不少關鍵部門的營收成長。像是軟體部門的混合雲營收，跟去年同期相比增加14％，諮詢部門和基礎架構兩大部門的混合雲收入，也分別達到20%和24％的增長。根據IBM營收報告指出，過去一年來混合雲營收增長16％，達到217億美元，占整體營收36％。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 惡意軟體 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>研究員發現有惡意軟體以Dropbox等雲端儲存作媒介，暗中竊取Mac用戶資訊</strong></span></p> <p>ESET研究員<a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/">今年4月揭露</a>一個新的macOS惡意軟體CloudMensis，會以常見的雲端儲存服務作為命令控制（C&C）的通訊管道，伺機從受感染的蘋果Mac設備中進行監控，進而竊取用戶的敏感資訊。</p> <p>研究員發現，該惡意軟體至少利用Dropbox、pCloud、Yandex Disk三家雲端業者儲存服務來完成對Mac用戶資訊的竊取，先是利用macOS後門取得程式執行和管理權限後，接著在用戶的Mac上下載並執行惡意軟體，再透過雲端儲存平臺發送多達39條命令，藉以竊取Mac上的用戶資訊，包括螢幕截圖、郵件附檔及敲鍵行為等。</p> <p>Apple後來似乎默認有間諜軟體存在於該產品中，因此隨後在預覽iOS、iPadOS和macOS上加入封鎖模式（Lockdown Mode），來禁用產品上容易被利用來取得程式執行和部署惡意軟體的功能。</p> <p> </p> <p><strong>圖片來源／</strong> VMware、微軟</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任 </strong></strong></p> <p><strong><strong>2.微軟加入Eclipse基金會Jakarta EE與MicroProle工作組，協助推動雲端Java應用程式發展</strong></strong></p> <p><strong><strong>3.亞馬遜AWS更新全球EKS服務，修復Kubernetes服務中存在多年的身分驗證錯誤 </strong></strong></p> <p><strong><strong>4.Azure全代管閘道負載平衡服務已在全區域推出</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/7/22 14:04作者余至浩https://www.ithome.com.tw/news/152072
新的Google Wallet全球正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150881" target="_blank">繼5月宣布之後</a>，Google新一代電子錢包服務Google Wallet周四（7/21）正式在全球包括臺灣等多個市場上線。</p> <p>這是Google最新的數位支付服務發展。Google 2011年就發展Google Wallet作為數位支付及個人間轉帳工具。2015年這家公司推出Android Pay，Google Wallet則退縮為個人間轉帳功能。<a href="https://www.ithome.com.tw/news/120327" target="_blank">2018年Google將兩者合併</a>，更名為Google Pay，並沿用到今年。今年5月Google 再次起用Google Wallet，挑戰蘋果Apple Wallet及Apple Pay，也預告將在全球推出這項服務。</p> <p>新一代的Google Wallet了數位支付外，還可儲存各種票券、身分證明文件、會員證或出入管制卡，也可存放信用卡或簽帳金融卡。Google也和運輸服務商、零售商、票券商、衛生機構、航空公司合作，以開發適用於 Google Wallet的數位卡片或票券，以便可以Google Wallet作為支付或通行、身分證明。</p> <p><a href="https://support.google.com/wallet/answer/12060037?hl=en-GB#zippy=%2Cuse-google-wallet%2Cpay-for-travel-by-train-and-bus%2Cpay-with-wear-os" target="_blank">根據Google網頁</a>，目前全球40多國可用Google Wallet支付或通行，這些國家用戶若擁有Apple Watch，也可以用智慧手錶支付或通行。目前有6個國家可以用Google Wallet搭乘火車或巴士等大眾運輸工具，包括美、英、新加坡、澳洲、加拿大、烏克蘭。</p> <p>要安裝使用Google Wallet，用戶裝置作業系統必須在Android 5.2版本以上，並具備Google帳號。</p> <p><a href="https://play.google.com/store/apps/details?id=com.google.android.apps.walletnfcrel&hl=zh_TW&gl=US" target="_blank">正體中文版Android App「Google錢包」現在也已上架</a>。不過根據這幾個月來使用測試版的用戶反映意見，似乎穩定性及可使用性有待改進，包括應銀行方面要求，付款時必須螢幕解鎖的要求造成使用不便。Google臺灣表示正在解決。</p> </div></div></div>
2022/7/22 10:18作者林妍溱https://www.ithome.com.tw/news/152059
Google發表欲繼承C++的程式語言Carbon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷來不斷有新程式語言革新或試圖取代舊語言，像是Kotlin之於Java，或蘋果的Swift之於Objective-C，以及微軟的TypeScript之於Javascript。<a href="https://github.com/carbon-language/carbon-lang#why-build-carbon" target="_blank">Google本周在CppNorth公布新的程式語言Carbon</a>，自詡將成為C++的繼承者。</p> <p>Google核心程式語言部門技術主管<a href="https://twitter.com/code_report/status/1549383435642445824" target="_blank">Chandler Carruth本周在專門討論C++的CppNorth大會上公布</a>並宣布開源Carbon，並稱Carbon是C++的「實驗中的繼承者（experimental successor）」。他同時也是LLVM及Clang語言的貢獻者。</p> <p>Carruth表示，雖然C++是開發重視效能應用的主流語言，但是它已發展50年，累積的技術債使其創新變得極端困難。一個方法是移轉到其他語言，如Kotlin、Swift、Go或是Mozilla開發的Rust。但Google希望提出另一個版本。</p> <p>Google表示，這些語言和C++之間並不具備類似Java和Kotlin之間的「雙向相容性（bi-directional interoperability）」，因此將C++專案搬移需要一些變更，而且也會有效能降低的問題。</p> <p>Carruth強調Carbon和C++之間具備雙向相容，不但大規模使用或現有C++程式碼搬移順暢，對C++開發人員而言也容易上手學習。對企業或開發人員而言，將可沿用既有投資、程式碼，以及開發人員社群。</p> <p class="rtecenter"><a href="https://github.com/carbon-language/carbon-lang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-carbon-language-by%20GitHub.png" style="width: 500px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p><a href="https://github.com/carbon-language/carbon-lang" target="_blank">Google已經將Carbon透過GitHub開源</a>，並強調Carbon的設計目標是支援重視效能的應用開發、程式碼簡單易讀、易懂、易寫、支援安全及測試工具、適合快速和大規模開發，也支援現代化OS、硬體架構及環境，最重要的是和C++程式碼相容。Google宣稱雖然許多語言也都滿足部分目標，但Carbon特色是做到全部。</p> <p>Google預計今年內完成Carbon的0.1版，2023年進入0.2版，而在2024或2025年推出1.0版。</p> </div></div></div>
2022/7/22 10:41作者林妍溱https://www.ithome.com.tw/news/152062
LinkedIn蟬聯網釣冒用冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/" target="_blank">資安業者Check Point本周公布了今年第二季的品牌網釣報告</a>，顯示微軟旗下的專業人才社交網站LinkedIn連續兩季成為最熱門的網釣品牌。</p> <p><a href="https://www.checkpoint.com/press/2022/social-media-network-linkedin-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2022/" target="_blank">LinkedIn在今年第一季</a>首度登上網釣冒用品牌的冠軍，該季有52%的網釣攻擊假冒了LinkedIn的名義，第二季的比例雖然下滑至45%，但依然穩居龍頭位置。</p> <p>Check Point分析，假冒LinkedIn的網釣活動所寄出的惡意電子郵件，通常模仿LinkedIn平常的郵件主旨，像是「你本周出現在8筆搜尋中」或是「你有一個新訊息」，不過，駭客所使用的電子郵件位址與LinkedIn截然不同，因此很容易識破。</p> <p>今年第二季最受網釣歡迎的前五大品牌依序是LinkedIn（45%）、微軟（13%）、DHL（12%）、Amazon（9%）與蘋果（3%），其中，冒用微軟的比例從今年第一季的6%成長到13%，雖然仍遠低於LinkedIn，但Check Point警告，一旦駭客成功掌握了使用者的帳號登入資訊，那麼就能存取使用者的所有微軟程式，包括Teams與SharePoint，亦有可能危害使用者的Outlook電子郵件帳號。</p> </div></div></div>
2022/7/22 09:13作者陳曉莉https://www.ithome.com.tw/news/152053
以Rust撰寫的全新勒索軟體Luna可加密Windows、Linux及ESXi系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/luna-black-basta-ransomware/106950/" target="_blank">資安業者卡巴斯基（Kaspersky）本周揭露了一個全新的勒索軟體Luna</a>，此一以Rust撰寫的勒索軟體可同時鎖定Windows、Linux及ESXi作業系統，印證了跨平臺勒索軟體的趨勢，而相準VMware替大型企業設計的裸機虛擬化管理程序ESXi，亦顯示駭客企圖儘可能造成更大的傷害。</p> <p>卡巴斯基是在駭客論壇的廣告中發現Luna，分析後顯示它使用非典型的加密手法，結合了勒索軟體中少見的x25519及AES，此外，它的Linux與ESXi版本都是以Windows版的程式碼為基礎，僅有一些小小的變更。</p> <p>駭客在廣告中強調Luna只與說俄羅斯文的對象合作，再加上Luna內建的英文勒索信中有些用字錯誤，使得卡巴斯基推測它應該是來自說俄羅斯文的駭客。</p> <p>此外，近來有愈來愈多勒索軟體以Rust及Golang等方便跨平臺的程式語言撰寫，例如BlackCat與Hive，代表它們很容易就從一個平臺移植至另一個，並同時針對不同的平臺展開攻擊，也印證了跨平臺勒索軟體的趨勢，而這些跨平臺的程式語言也有助於閃避靜態分析。</p> <p>另一個趨勢是鎖定VMware ESXi的勒索軟體也愈來愈多，從去年的HelloKitty、Python，到今年的Black Basta、RedAlert（N13V）及Luna，曾有資安專家分析，ESXi是個很合理的攻擊目標，因為駭客只要能存取ESXi 主機，就能影響在該主機上執行的所有虛擬機器，或是其它於同一叢集中運作的虛擬機器，這不只能擴大駭客的收益，也能更快造成傷害。</p> </div></div></div>
2022/7/22 09:27作者陳曉莉https://www.ithome.com.tw/news/152055
Android 11新增對DNS-over-HTTP/3的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了保障Android用戶查詢DNS的隱私，<a href="https://www.ithome.com.tw/news/128168" target="_blank">Google於Android 9嵌入Private DNS功能</a>，透過DNS-over-TLS（DoT）來保護DNS查詢，<a href="https://security.googleblog.com/2022/07/dns-over-http3-in-android.html" target="_blank">但Google本周宣布</a>，除了DoT之外，Android 11與之後的版本將新增對DNS-over-HTTP/3（DoH3）的支援。</p> <p>DoT是藉由傳輸層安全協定TLS來加密網域名稱系統（DNS）的查詢，以防範駭客透過中間人攻擊來監聽或操控DNS數據，不過，DoT卻會對每次的DNS查詢帶來負擔，而另一個加密DNS協定DNS-over-HTTPS（DoH）也愈來愈熱門。</p> <p>Google表示，光是採用HTTPS並不能明顯減少負擔，但HTTP/3使用了QUIC通用傳輸層網路協定，該傳輸只要使用一個具備會話恢復的TLS會話，即能透過使用者資料包協定（UDP）有效地多路複用不同的串流，而這些便是可於行動裝置上高效運作的關鍵。<a href="https://www.ithome.com.tw/news/152044" target="_blank">HTTP/3是甫於今年6月出爐的第三代HTTP版本</a>，其最大改變就是以奠基於UDP的QUIC協定取代了TCP。</p> <p>具體而言，DoH3可避免DoT所帶來的許多問題，例如伺服器可能面臨的隊頭阻塞，將會因DoH3以不同的串流來執行查詢而迎刃而解；又或是當行動裝置隨著使用者的移動而切換網路時，DoT需要全面重新協商，但DoH3所採用的QUIC只要一個單一的封包往返時間（RTT）就能恢復所暫停的連結；此外，DoH3的查詢效能不僅超越DoT，在不穩定的網路狀態下甚至有可能超越傳統的DNS，因為QUIC的流量控制機制可在未收到封包時提出警告，而非等到查詢超時。</p> <p>根據Google的測量，在DoT與DoH3都成功解決97%查詢的條件下，若以DoH3取代DoT，其中位數查詢時間減少了24%。</p> <p>目前包括Google DNS及Cloudflare DNS都已支援DoH3，未來Google也打算支援DDR（Discovery of Designated Resolvers），可根據使用者的配置自動替使用者找出最佳供應商。</p> </div></div></div>
2022/7/22 08:57作者陳曉莉https://www.ithome.com.tw/news/152052
統一出手要買下家樂福，開採900萬會員資料金礦需要通過哪些難關？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一集團7月19日宣布買下家樂福所有股份，若取得公平交易委員會許可，統一旗下零售通路，將囊括百貨、超商、餐飲、超市、電商及量販。如此一來，統一不僅能接觸到更多消費者，也能涵蓋更完整的消費者購物旅途，對統一近年會員經營策略而言，無疑是一大助力。然而，要將近900萬筆家樂福會員資料整合統一現有會員體系，不論就IT面還是政策面，都是挑戰。 </p> <p>截至今年，統一已經打通18個通路的會員資料，坐擁超過1,400萬Open Point會員。儘管會員基數龐大，2021年活躍會員僅有600萬人左右。統一想要掌握更多有消費紀錄的活躍會員，進行再行銷來提高貢獻度，因此會員經營方向，從過去只是追求會員總數，轉為提高活躍會員數。為了活化會員，統一也以整合後的Open Point會員資料為基礎，在生態系內開發了許多應用情境，包括電子支付、會員點數以及Open Point App上的諸多功能。</p> <p>統一整合旗下會員資料後，為日後對接家樂福龐大會員資料及諸多系統，打下了良好的基礎。儘管如此，要統一想將家樂福會員整合進既有生態系中，仍須面臨不少挑戰。</p> <p>據家樂福統計，光是在家樂福App註冊的會員，就有近900萬筆會員資料，其中更有460萬筆屬於半年內有消費數據的活躍會員，對有意增加活躍會員數的統一而言，無疑是一座會員金礦。然而，龐大會員數背後，也有相當複雜的制度及系統，都是日後的整合課題。 </p> <p>制度上，家樂福的會員種類，除了以電商服務及電子支付為主的App會員，還有線下購物好康卡會員以及聯名信用卡會員，這三套會員制度推出時間、加入管道跟使用情境各有不同，光是內部會員資料清洗、整合，再與統一會員資料比對是否有重疊會員，就是一大工程。</p> <p>系統上，家樂福電子商務平臺及會員管理系統，串接了許多服務，例如行銷科技、ERP系統、資料治理系統及金流服務等。家樂福App上，也有大大小小的會員服務及功能。這些系統服務、會員服務及功能，乃至於App本身，與統一現行App的功能有不少重複，甚至互相衝突之處，例如家樂福錢包和Open錢包，就是功能接近又彼此競爭的服務。</p> <p>不僅如此，家樂福這些服務及功能，都必須蒐集並運用相對應的會員資料。但會員資料架構不盡然和統一相似，家樂福的會員服務項目也略有不同，會有不少統一過去沒有蒐集的資料種類。例如，家樂福會蒐集會員車牌號碼，以利進出賣場停車場時自動折抵停車費。</p> <p>服務繁多、會員制度和資料型態的差異，都會帶來雙方會員服務和資料高度整合的挑戰，也是統一併購家樂福後必須面對的問題。不論是後臺系統服務，還是前臺App功能，抑或是這些服務及功能所衍生的資料及資料格式，要照舊沿用在家樂福會員？擴大沿用至統一所有會員？與統一現有功能取長補短形成新作法？抑或是廢除不用？對統一來說，從評估到決策，從串接、整合或移除，到後續維護作業，都是政策面及IT面的雙重挑戰。</p> </div></div></div>
2022/7/21 18:32作者郭又華https://www.ithome.com.tw/news/152049
【資安日報】2022年7月21日，上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊臺灣生技公司的情況，最近再添一例。上櫃公司永昕生物醫藥證實遭到電腦病毒攻擊，並表示有部分資通訊系統受到波及。</p> <p>網釣攻擊裡，駭客假冒知名廠商的情況相當普遍，而根據資安業者Check Point的分析，他們偏好的品牌依序是LinkedIn、微軟，以及DHL。由於大部分使用者對這些廠商寄來的信件相當習以為常，很有可能降低戒心而上當。</p> <p>進行網站側錄攻擊（Web Skimming）的駭客，過往目標集中於線上商城，但最近有研究人員發現，駭客開始將目標轉向線上訂餐平臺，發動Magecart攻擊，因為，這麼做很有可能竊得所有餐廳交易的金融卡資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p>由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> </div></div></div>
2022/7/21 18:37作者周峻佑https://www.ithome.com.tw/news/152050
台灣網路報告出爐! 行動寬頻普及率首次超越固網寬頻，逾半數民眾透過數位平臺瀏覽新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣網路資訊中心（TWNIC）發表2022台灣網路報告，指出18歲以上、近三個月有上網經驗的民眾，比率達84.3%，行動寬頻普及率（81%）已超越固網寬頻普及率（61%）。民眾獲得新聞的來源，儘管從單一管道來看，近4成民眾從電視獲得新聞內容，但從整體來看，超過半數民眾透過搜尋引擎、社群等數位平臺獲得新聞，超越新聞媒體。</p> <p><span style="color:#B22222;"><strong>未上網以高齡居多</strong></span></p> <p>這份報告是由中研院調查研究專題中心執行，在今年2月至3月期間，以電話訪問國內18歲以上民眾，訪問約2,228位民眾。研究顯示，近三個月有上網經驗的民眾比率達84.3%，雖然較兩年前的比率略為提升，但從2015年開始，上網比率即在8成到9成之間上下起伏變化，始終未突破9成。</p> <p>進一步分析各年齡層民眾的上網比率，發現未上網的原因和世代有關，上網比率較低的年齡，以60到69歲之間，70歲及以上居多，由於網際網路的出現，錯誤該世代學習階段，因此相較其他世代上網比率來得低。未上網者，詢問不上網的原因，包括沒有需要、年齡太大、沒有設備、沒有興趣、對電腦恐懼。</p> <p>由於超過9成沒有意願學習，超過5成無人協助，因此為縮減世代造成的數位落差，報告也建議可從增加「數位幫手」，協助這群人使用數位服務，此外，新服務不能只有數位管道，也應同時從傳統管道來提供服務。</p> <p><span style="color:#B22222;"><strong>行動寬頻普及率超越固網寬頻，5G上網普及率近2成</strong></span></p> <p>進一步看民眾上網的方式，行動寬頻的普及率首次超越固網寬頻，國內行動上網普及率從2011年只有13%，一路成長到2022年的81.47%，相反地，固網寬頻普及率過去10年都相當穩定，普及率在8到9成間上下起伏，但特別的是在2022年跌至65%。此一現象也出現唯行動上網族群，也就是沒有使用固網寬頻服務，只使用行動上網的使用者，唯行動上網的比例達到18.72%。</p> <p>該調查也指出，國內5G上網普及率，從2020年調查（當年調查以12歲以上民眾為對象）的2.26%，成長到2022年調查（最新調查以18歲以上民眾）的18.98%，若以所有行動寬頻用戶來看，使用5G比例更達到23.29%，近四分之一採用。探究未採用5G的原因，有意願申辦5G者，多為合約尚未到期，至於沒有意願申辦的人，理由以費用太高為主。</p> <p><span style="color:#B22222;"><strong>行動支付及串流影音服務成長快速</strong></span></p> <p>就民眾使用的網路應用服務來看，透過網路購買商品、觀看免費影音是國人較常使用的服務，其中觀看免費影音的比例高達72.82%，顯示娛樂為民眾重要網路應用。值得一提的是，行動支付快速成長，從2020年的使用率21.64%，提高到2022年的34.27%，增幅為調查的11項網路應用服務中居第一名。另外，加密貨幣也納入調查的網路應用服務之一，使用比率為2.01%。</p> <p><strong><span style="color:#B22222;">上網人口中約6成使用臉書，逾9成使用Line</span></strong></p> <p>針對社群媒體、即時通訊服務作調查，以台灣所有人口為例，7成使用社群媒體，若以上網者來看，臉書使用比率達61.22%，其次是Instagram（17.17%），第3名是抖音（2.19%），其他依序為PTT、Dcard。</p> <p>調查結果顯示，社群媒體出現遷徙現象，年輕用戶從臉書出走，改投入Instagram的現象，臉書用戶集中在30到59歲的族群，Instagram的使用者集中於18到29歲者。</p> <p>至於即時通訊軟體，所有人口中，8成3的民眾使用即時通訊軟體，若以上網人口來看，Line以94.48%穩居第一，幾乎佔據整個市場，其次是FB Messenger、微信、Facetime、WhatsApp等。</p> <p><strong><span style="color:#B22222;">語音助理為使用最高的AI應用</span></strong></p> <p><strong><span style="color:#B22222;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1432.jpg" style="width: 600px; height: 195px;" /></span></strong></p> <p>隨著人工智慧的應用逐漸普及，調查顯示52.48%民眾在一個月內曾使用過至少一項人工智慧產品及服務，其中數位語音助理使用率達42.75%，是使用比率最高的AI應用，高於聊天機器人、智慧手環或手錶、AI股票基金軟體。但是民眾對AI能保障人身或財物安全則有保留，雖然認同AI能保障者的比例為38.49%，但不信任的比例達43.47%。</p> <p><span style="color:#B22222;"><strong>半數以上民眾從數位平臺獲得新聞內容</strong></span></p> <p><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture563351.jpg" style="width: 600px; height: 310px;" /></strong></span></p> <p>在網路時代，數位平臺的影響力反映在新聞內容的取得來源。從個別的管道來看，電視仍是民眾獲得新聞內容最多使用的管道，比例為38.25%，搜尋引擎（19.15%）位居第2名，社群媒體（14.13%）居第3名，新聞媒體網站或應用程式為4.79%、報紙雜誌為1.77%。</p> <p>但若以新聞產製與否，將所有管道分為數位平臺及新聞媒體，搜尋引擎、社群媒體、即時通訊、YouTube等數位平臺加總合計佔52.49%，超過電視、新聞媒體網站及應用程式、報紙與雜誌、廣播等新聞媒體合計的45.24%。</p> <p>近年來新聞媒體嚐試付費訂閱模式，研究發現網路新聞付費比例只有1.42%，顯示新聞媒體轉型朝向付費訂閱模式，採用付費訂閱的比例相當低，媒體在轉型上仍有挑戰。</p> <p>針對大型數位平臺對新聞媒體的影響，先前澳洲、歐洲國家試圖促使大型數位平臺業者付費給新聞媒體的新聞媒體議價議模式，調查也發現4成3的民眾支持數位平臺付費給新聞媒體，反對者則為3成6。該報告認為，臺灣也應跟隨其他國家推動新聞議價法。</p> <p>另外，鑑於大型數位平臺的影響力不容忽視，調查顯示54.32%認同數位平臺應受政府規範，但不能侵犯言論自由，26.64%的人不同意。至於民眾使用新聞，衍生出是否能辨別假新聞的問題，該調查進一步詢問上網的受訪者，是否有信心能查詢新聞的真假，有信心的比例為48.94%，只略高於沒有信心的47.11%。</p> </div></div></div>
2022/7/21 20:13作者蘇文彬https://www.ithome.com.tw/news/152051
HPE目前9成IT應用系統皆採用混合雲及公雲部署，IT維運人力釋放後更站上第一線打造電子商務系統替公司年年進帳20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE在8年前做出一個重大決定，要展開內部數位轉型，其中一個重要目標，就是要翻新舊有的IT架構，導入更現代化IT架構，來擁抱混合雲，<span><span data-offset-key="3j5ek-1-0"><span data-text="true">加速公司轉型。</span></span></span>在歷經4年IT架構轉換後， 2018年時，HPE IT已轉型成混合雲架構，目前9成IT應用系統都已採用<span><span data-offset-key="6nnoj-1-0"><span data-text="true">混合雲及純公雲</span></span></span>部署，在近日一場活動上， HPE揭露內部IT轉型上雲經驗。</p> <p>全球800多套業務資訊系統、6.2萬臺伺服器、4.9萬臺虛擬機器、86.1 PB 存取資料、1,600支生產App，全球3萬個聯絡中心和13.9萬名員工。這些統計數字是這家伺服器大廠的全球IT團隊，2014年以前，每年進行資料中心IT管理和維運所要面對的龐大IT挑戰。</p> <p>HPE數位轉型技術服務部副總經理王綸基表示，2014年前的HPE全球IT架構，就像其他大型跨國企業一樣，需管理的IT架構龐大且複雜，不僅要維運全球800個資訊系統，管理超過6萬臺伺服器和上萬個VM，就連關鍵業務核心ERP就有10多套，分散各地。</p> <p>不單是資料中心維運就得耗掉許多IT人力，需要開發人力也不少，IT團隊必須要根據內部單位需求不斷開發新功能或應用，來支撐業務發展所需，在當時，IT團隊所開發出來的生產力App就有1,600支，數量相當多。此外，這群人不僅僅要負責內部IT管理和維運，對外服務，更要能夠支援全球56個國家地區3萬個聯絡中心（Contact Center）的售後或行銷服務。</p> <p>HPE在2014年以前的IT架構，幾乎都採實體主機方式部署在本地資料中心，採公雲或混合雲部署只有少數，比例大約只有1成。</p> <p>轉向混合雲發展後，截至目前，HPE全球IT的混合雲應用比例已經達到5成，其中多是以VM、容器為主的雲端應用，提供給內部使用者單位來運用。另外有4成是公雲的SaaS應用，像是 HR、CRM等系統都已搬上公雲，而部署在本地應用迄今仍有1成，以高效能運算應用為主，如ERP等。</p> <p>在混合雲架構基礎上，HPE IT團隊也針對AP架構大改造，將分散各地資料加以整合，用於全球營運資料分析，讓決策者可以更快取得資料加速決策行動，另外也針對資訊系統大瘦身，將原來800多個應用系統數量減半，並把全球10多套ERP系統合併為一套，再提供給全球各據點使用。</p> <p>王綸基表示，因為擁抱混合雲，這些年為HPE帶來不少效益，像在資料中心管理上，跟2014年相比減少了50％營運管理面積，因為要管的地方變少，IT維運人力負擔因此大幅降低，IT人力釋放後，更能站在營運第一線，運用IT技術協助公司營運發展。像是這段期間打造出了許多電子商務系統，讓企業客戶可以自行上網完成MA（維護合約）簽約或是訂閱購買部分HPE服務等，也為這家公司每年多賺進20億美元的營收。</p> </div></div></div>
2022/7/21 17:22作者余至浩https://www.ithome.com.tw/news/152046
全球已有25.5%網站採用HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門制定網路標準的網際網路工程任務組（Internet Engineering Task Force，IETF）<a href="https://www.ietf.org/blog/http-updates/" target="_blank">在今年6月正式發表</a>了新的HTTP/3標準，<a href="https://w3techs.com/technologies/details/ce-http3" target="_blank">而W3Techs的統計則顯示</a>，全球前1,000萬個網站中，已有25.5%的比例採用HTTP/3。</p> <p>HTTP/3為超文本傳輸協定（HyperText Transfer Protocol，HTTP）的第三個主要版本，HTTP是全球網路資料通訊的基礎，所謂的超文本文件包含了可連至其它資源的超連結，像是使用者只要點選滑鼠就能存取；而HTTP/3最大的改變在於以基於使用者資料包協定（User Datagram Protocol，UDP）的QUIC通用傳輸層網路協定取代了傳輸控制協定（Transmission Control Protocol，TCP）。至於QUIC則是Google於2012年發表的協定，隨後被IETF採用。</p> <p>IETF說明，HTTP/3專注於解決HTTP/2所出現的問題。例如雖然HTTP/2搞定了應用層協定的隊頭阻塞（head-of-line blocking）問題，卻在底層的TCP傳輸協定出現隊頭阻塞，而QUIC即可解決該問題；此外，HTTP/3也能加速網路瀏覽，在處於容易丟失封包的網路環境時，HTTP/3具備更穩定的表現。</p> <p><a href="https://blog.cloudflare.com/cloudflare-view-http3-usage/" target="_blank">Cloudflare指出</a>，在全球主要瀏覽器中，Google Chrome與Microsoft Edge都已在2020年11月支援HTTP/3，Mozilla Firefox也在2021年4月支援HTTP/3，只剩蘋果Safari需要手動啟用，而且尚處實驗功能，不過，這已意味著全球有超過7成的網路用戶都採用了相容於HTTP/3的瀏覽器。</p> <p>此外，IETF也推測，HTTP/3的成長速度讓它應該會在不久的將來，便超越HTTP/2。因為HTTP/2在2015年5月就問世了，但迄今全球前1,000萬網站支持HTTP/2的比例還不到50%，但已有超過25%的網站支持才剛剛成為標準的HTTP/3。</p> </div></div></div>
2022/7/21 16:30作者陳曉莉https://www.ithome.com.tw/news/152044
中國GPS追蹤裝置軟體漏洞，可洩露車輛位置、甚至切斷油料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全署<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-200-01" target="_blank">（CISA）本周針對一款受歡迎的GPS定位追蹤器發布安全公告</a>，警告6項漏洞可致車輛位置曝光，甚至讓駭客控制油料和車輛控制系統的風險。</p> <p><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker" target="_blank">安全廠商BitSight研究人員</a>Pedro Umbelino、Dan Dahlberg和 Jacob Olcott在中國深圳業者MiCODUS出品的GPS迷你追蹤器裝置MiCODUS MV720發現6個重大漏洞。這款裝置據信已出貨150萬臺，遍及169國，用戶涵括個人消費者、政府、軍隊、警方及企業。BitSight指出，這款裝置的使用者至少包括財星50大能源、石油及天然氣公司、一家航太公司、專家服務、製造業集團和一家科技業者、南美一國國軍、西歐一國執法機關、核電廠營運商、一中東政府、一北美政府部門及美國東岸一個州政府。</p> <p>這6項漏洞包含軟體使用寫死（hard-coded）的用戶憑證、驗證不當、跨站腳本攻擊（Cross-site Scripting）、以及經由用戶控制的金鑰繞過授權檢查。細部而言，CVE-2022-2107和 CVE-2022-2141皆為風險值9.8的重大漏洞，前者讓攻擊者登入Web伺服器，假冒用戶傳送SMS指令到GPS追蹤器，後者則讓攻擊者不需密碼傳送SMS指令給GPS追蹤器。CVE-2022-2199為高風險的跨站腳本攻擊，攻擊者可誘使用戶發出呼叫，以取得車輛系統控制。</p> <p>CVE-2022-34150和CVE-2022-33944則是GPS追蹤器端點上Web伺服器上的不安全直接物件參考（Insecure Direct Object References，IDOR）漏洞，對POST呼叫中的Device ID參數驗證不足，因而接受任意Device ID的呼叫，兩者分別為高度及中度風險漏洞。</p> <p>安全廠商相信，這些漏洞讓MV 720可能遭到多種型態攻擊，包括中間人攻擊、驗證繞過、滲透式監控。成功的攻擊可讓攻擊者接管任何MV 720 GPS追蹤器、存取位置、路線資訊、或傳送切斷油料指令、關閉防盜等多種功能。</p> <p>此外研究人員也發現，烏克蘭是歐洲國家中擁有最多MiCODUS GPS追蹤器的國家。國營運輸系統及基輔一家大銀行都是MiCODUS用戶。研究人員甚至貼出一個顯示MiCODUS用戶位置的全球地圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-CISA-MiCODUS%20MV720%20GPS%20tracker-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／BitSight</span></span></p> <p>CISA表示，這家廠商尚未提供軟體更新來緩解這些漏洞。CISA建議用戶減少控制系統裝置對外網曝露、儘可能從防火牆後定位控制系統及遠端裝置，且應和公司網路切開。需要開啟遠端存取時，應使用VPN等安全連線方式。此外CISA也提醒用戶不要點選不明連結或郵件附件，以免遭社交工程攻擊，而讓駭客取得車輛控制權。</p> </div></div></div>
2022/7/21 15:21作者林妍溱https://www.ithome.com.tw/news/152042
OpenAI文字轉圖像模型DALL-E 2擴大測試規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150301" target="_blank">OpenAI繼於今年4月發表</a>新版文字轉圖像模型DALL-E 2預覽版之後，<a href="https://openai.com/blog/dall-e-now-available-in-beta/" target="_blank">本周宣布擴大DALL-E 2的測試規模</a>，將在未來幾周邀請於等候名單上的100萬名使用者免費試用該模型。</p> <p>DALL-E是一個以文字描述就會自動產生圖像或藝術畫作的AI系統，奠基在具備1,750億個參數GPT-3上，但它僅使用120億個參數，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像，與去年1月發表的第一代版本相較，2.0大幅度地改善了精確度、寫實度及解析度。</p> <p>在DALL-E 2於本周進入測試階段之後，受邀的使用者第一個月將可得到50個免費額度，每個額度可用來執行1個DALL-E原始提示，並產生4個圖片，或者是獲得一個編輯過的變化提示，可產生3個圖片，之後的每個月則能持續獲得15個免費額度。</p> <p>自預覽版問世3個月以來，全球已有超過118個國家的逾3,000名藝術家參與該系統的測試，包括插畫家、AR設計師、作家、景觀設計師、紋身藝術家、服裝設計師到導演，<a href="https://childrenscancer.org/resources-for-families/big-dreams-tour/" target="_blank">James Orrigo夫婦亦利用DALL-E 2替罹癌的兒童建立了Big Dreams Virtual Tour專案</a>，實現他們想像中的故事，並讓這些兒童擔任故事中的主角。</p> <p>雖然剛邁入測試階段，但DALL-E 2已開始支援商業活動，除了每月15個免費額度之外，使用者可花費15美元額外購買115個額度，而且即日起，使用者將獲得自DALL-E 2產生圖像的所有商業使用權，包括轉載、銷售或商品化等。</p> </div></div></div>
2022/7/21 15:56作者陳曉莉https://www.ithome.com.tw/news/152043
外洩資料不只用來勒索，也成攻擊情報共享利器，多個駭客組織著手打造受害者資料搜尋資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織付錢，勒索軟體普遍在加密檔案之前竊取機密資料，來做為後續索討贖金的籌碼，但現在陸續有3個駭客組織將這些資料彙整起來，供他人搜尋，使得外洩資料危害可能會更加嚴重。</p> <p>6月中旬起，有個勒索軟體駭客組織BlackCat（亦稱Alphv）鎖定單一受害組織，設置個資外洩查詢網站，聲稱是讓他們的員工與客戶，能夠得知自己的個資是否外洩；後來，對於不願支付贖金的受害組織，這個膽大妄為的攻擊團體，居然又建立外洩資料的搜尋引擎。</p> <p>這樣的做法，很快就有其他駭客組織跟進。</p> <p>例如，勒索軟體駭客LockBit將公布受害者的網站改版，加入了搜尋功能。Conti旗下的駭客組織KaraKurt，也仿效LockBit在網站新增搜尋功能，便利其他網路犯罪者找尋可下手的目標。</p> <p>由於KaraKurt專門接手不願向Conti付錢的受害組織，進一步向其勒索，現在有了系統化的搜尋機制，恐怕將帶來更大、更長久的威脅。</p> <p>從一連串駭客針對受害資料提供不同搜尋機制的過程，我們看到，除BlackCat的個資搜尋網頁，是為了利害關係人（飯店的員工和客戶）而設，後續這些團體開發的其他搜尋機制都用於網路犯罪生態圈，打算讓更多的駭客能夠濫用竊得的資料。</p> <p>雖然駭客這麼做無法立竿見影，馬上就出現顯著的成效，也很難確認受害組織是否就會因此願意向駭客低頭，但是可以想見的是，受害組織外流的資料，將會被其他駭客多次利用於攻擊行動，或是利用先前找到的入侵管道，不斷找受害組織的麻煩。</p> <p>過往勒索軟體駭客組織很可能在得手後，自己再重覆對受害組織發動攻擊索討贖金。但如今，這些駭客很可能不需再自行動手，而是交由其他組織處理後續處理。</p> <p>例如，勒索軟體駭客Conti將相關業務進行分工，就成立獨立的駭客組織KaraKurt，來接手後續索討贖金的業務。</p> <p>而在駭客提供了上述的搜尋功能之後，他們很可能藉此另闢新的業務。</p> <p>除了能將資料交給專門負責向受害組織勒索的駭客，他們也能和其他攻擊者交換情報，讓別人運用搜尋的功能，找到能用於攻擊的資訊。</p> <h3><strong><span style="color:#0000FF;">駭客團體設置個資外洩搜尋網站，借此向受害組織施壓</span></strong></h3> <p>關於駭客嘗試以資料搜尋的功能，迫使受害組織支付贖金的情況，可追溯自6月上旬揭露的勒索軟體攻擊行動。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat在上個月，攻擊美國俄亥俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。</p> <p>特別的是，駭客不只在洋蔥網路（Tor）公布資料，還架設類似「Have I Been Pwned」的個資外洩查詢網站，讓該飯店員工或是客戶，能以此確認自己的個資，是否因為攻擊事件而遭到外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg" style="width: 580px;" /></a></p> <blockquote><p><strong><span style="color:#808080;">勒索軟體駭客BlackCat攻擊美國俄亥俄州的飯店後，建立了類似Have I Been Pwned的個資查詢網站，希望讓該飯店的員工與客戶得知自己的資料遭到外洩後向飯店進行施壓，要求支付贖金取回資料。（圖片來源／Bleeping Computer）</span></strong></p> </blockquote> <p>該新聞網站指出，客戶的資料包含了姓名、入住日期，以及住宿費用。</p> <p>但員工個資涉及了更多敏感的資料，除了姓名，還包含社會安全碼、出生日期、電話號碼，以及電子郵件信箱等。此外，駭客也針對每個員工在飯店的工作經歷，製作了資料包供人下載。</p> <p>值得留意的是，這個查詢網站設置在公開的網際網路上，相關資料查詢結果，很有可能被其他網路搜尋引擎擷取、建立索引，而使得這些資料外流的情況更加嚴重。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金。</p> <p>而該飯店可能為了避免員工與住戶的集體訴訟，在上述人士不斷施壓之下，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><span style="color:#0000FF;"><strong>駭客食髓知味，建置更大的受害組織資料搜尋引擎</strong></span></h3> <p>在有了上述建置個資外洩資料庫的嘗試後，BlackCat企圖將受害者資料更加充分運用，但目標不再只是這些組織的利害關係人。</p> <p>資安團隊VX-Underground在7月12日，發現BlackCat有了新的行動。</p> <p>該組織架設了一個名為Alphv Collections的外洩資料庫，存放不願支付贖金組織的資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。</p> <p>這個駭客組織宣稱，資料庫的搜尋引擎的功能相當強大，用戶不只能利用檔案名稱或是關鍵字，尋找想要的資料，也能從Word、Excel、PDF文件，找出特定文字，甚至還能從JPG、PNG圖片檔案，進行文字內容的搜尋。</p> <p>更令人驚恐的是，資安業者Cyble指出，這套匯集受害者數據的資料庫系統，甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料，持續發起各種攻擊行動，例如，若找到遠端桌面連線（RDP）的存取資料，而能夠入侵特定類型的伺服器主機。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了建置個資查詢網站的經驗，勒索軟體駭客BlackCat進一步對受害組織的資料提供搜尋功能，讓其他駭客能從中找出用於網路入侵行動所需的資訊，如RDP的帳密、IP位址等。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>研究人員指出，過往駭客必須先耗費大量時間，從資料來源的提供管道下載，取得外洩資料後，往往還需要經過抽絲剝繭，才能撈出可用於攻擊的內容。</p> <p>而駭客組織BlackCat建置的Alphv Collections，則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，無需浪費時間去下載整個資料庫，而出現這樣的情況之後，很可能讓外洩資料的危害更加擴大。為了要遏止上述問題繼續蔓延，研究人員認為，企業應監控外洩資料的流向。</p> <h3><strong><span style="color:#0000FF;">其他駭客組織跟進，在受害組織公布網站提供搜尋功能</span></strong></h3> <p>繼BlackCat針對受害組織的資料提供搜尋功能，接著也有其他駭客採取這樣的手法，但做法略有不同，他們將公布受害者的網站，加入搜尋功能。</p> <p>根據資安新聞網站Bleeping Computer的報導，駭客組織LockBit、KaraKurt，約在7月中旬，相繼將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了BlackCat的經驗後，勒索軟體駭客LockBit也運用類似手法，在公布受害組織的網站提供搜尋功能，雖然只能得知特定組織是否受害，但這些檢索內容很有可能會被其他駭客進一步利用，來找尋攻擊目標。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>該新聞網站進一步指出，雖然兩組駭客僅提供搜尋受害組織名稱功能，不若BlackCat外洩資料全文檢索強大，KaraKurt網站相關功能也還無法使用，但其可能帶來的危害與影響，仍不能小覷。</p> </div></div></div>
2022/7/21 14:26作者周峻佑https://www.ithome.com.tw/news/152041
遠百全臺12座百貨物管全面行動化，導入1年多盤點效率提升1成7，外包抽查時間更省下一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東百貨近年積極推動數位管理，3年來建置和升級了多達240套系統，要讓百貨商場的人、事、物管理都行動化。近日在2021永續報告書中更公布了物管行動化導入1年多來的成果，讓全臺十多座百貨公司的盤點效率提升了17%，對外包人員的抽查作業時間更從100分鐘縮短到50分鐘。</p> <p>百貨業是一項高度依賴人力的產業，要維護和管理賣場各項設備，得仰賴大量物業管理人力，天天從早到晚的長時間巡查，但隨著人力成本越來越高，遠百在2018年時開始思考，如何提升工作效能來降低物管人力需求，成立了智慧物管App小組，希望透過大數據來管理商場資產和設備，利用App即時搜集更完整的管理數據，做為日後發展智慧零售的基礎之一。</p> <p>花了2年開發，遠百在2020年時，陸續上線測試了兩款智慧物管的App，包括了巡檢App和物管App，2021年導入到全臺11座百貨公司（註：遠百2022年才設立遠百竹北店，故2021年僅11座），來提升管理效率，也能提醒異常狀況和人員執勤到位管理。</p> <p>在巡檢App中，內建了時程管理功能，要求管理人員必須親自到機電設備旁的巡檢點，才能讀取電子巡檢表單，填妥巡檢紀錄後傳送到雲端儲存。遠百表示，這樣的做法有效解決了檢查不準時、巡檢不到位、紀錄不正確且難以存取等問題。巡檢App也搭配了一套後臺系統，可以分析雲端的巡檢紀錄，產出巡檢基準分析、趨勢分析等資料，協助預測設備狀況，在設備數值異常時自動提醒管理人員處理。</p> <p>而物管App則包含了資產管理、公務車管理、人力管理及清潔巡檢四大項目。遠百物管作業繁雜，因此物管App首要目標就是降低人為疏失。物管人員只要用手機掃描資產，資產管理功能就會自動產出盤點數據。此功能不僅提升了17%盤點時效，更直接將人為錯誤案件降至0件。此外，由於遠百物管作業流程，需要總公司管理部門及分公司執行部門之間跨部門溝通，因此無紙化跟遠端控管功能，也大幅提升了物管效率。例如，外包人員管理作業改為遠端抽查後，每件抽查案件所需時間隨之減半，從每件100分鐘降至50分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image001(8).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image001(8).jpg" style="width: 600px;" /></a></p> <blockquote><p>遠百物管App將人力密集的作業智慧化，降低了人為疏失的可能並提升工作效率。圖-遠百提供</p> </blockquote> <p>2021年，遠百在管理會議中開始討論，如何擴大物管App的經驗，將各百貨分店業務管理也行動化，未來要進一步邁向全方位行動化管理。</p> <p>不只智慧物管，遠百在永續報告書中透露了在稽核作業智慧化的最新進度。2021年，遠百導入了風險導向稽核管理（RAP）平臺，串接現有CSA法遵系統及ACL智能稽核系統，將遠百旗下零售事業的稽核功能進一步整合。遠百正在進行內部教育訓練，預計於2022年Q2正式啟用RAP平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1658132804970.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1658132804970.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/7/21 12:18作者郭又華https://www.ithome.com.tw/news/152037
微軟撤回Microsoft Store禁售開源軟體的決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到強烈反彈後，微軟本周撤回禁止開發商在Microsoft Store銷售開源軟體的新政策。</p> <p><a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies" target="_blank">上個月Microsoft Store App的2項新政策10.8.7和11.2</a>，分別是關於上架App的訂價及侵權通報的規定。其中10.8.7遭到開發商反彈，促使微軟本周一修改。</p> <p>目前10.8.7的規定寫道：「在決定產品或In-App購物訂價時，所有訂價應相對產品功能訂合理價格，不宜過高。」上個月這項規定原本還包含一些關於開源軟體的新規範，旨在禁止開發商在Microsoft Store上販售以開源軟體重新包裝後的軟體，企圖從自由軟體或開源軟體獲利，預定8月18日正式生效。消息一出引發使用者的不滿及抗議，促使微軟上周決定暫緩執行，並決定在本周一進一步撤回新規定。</p> <p><a href="https://twitter.com/gisardo/status/1549055382684925957" target="_blank">Microsoft Store總經理Siorgio Shardo指出</a>，這項變更原是為了保護用戶免受「誤導性的產品」之害，但聽取用戶的回饋意見後，公司已從10.8.7和11.2中移除之前關於開源軟體的規定。他說微軟致力於建立開放的Microsoft Store，實現開發人員選擇權及彈性，也強調Microsoft Store上有很多免費及付費OSS，期待未來會有更多。</p> <p>另一項變更則是在11.2 App的智財或侵權疑慮，<a href="https://www.microsoft.com/en-us/legal/intellectualproperty/infringement" target="_blank">微軟加入了線上侵權通報表格的連結</a>。</p> <p>對於開源軟體是否可以經重新包裝成為少數人或平臺的獲利來源，開源組織向來有不同態度，有人則認為不應如此。例如<a href="https://www.ithome.com.tw/news/151797" target="_blank">開源軟體組織Software Freedom Conservancy（SFC）指</a>稱，GitHub的AI輔助程式撰寫服務Copilot利用開源軟體社群的資產卻轉成獲利工具，而且可能還用到了授權的程式碼，這點並不可取，而決定終止使用GitHub，還將協助開發商從GitHub轉移。</p> </div></div></div>
2022/7/21 12:21作者林妍溱https://www.ithome.com.tw/news/152038