iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 14:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

目標未來3～5年完成全集團100套系統上雲，國泰金控實現大規模上雲的關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從一家子公司到協助集團各公司上雲，從一套系統發展到上百套系統上雲」國泰金控數數發雲端技術架構師顏勝豪直言，這正是國泰金控集團所要面對的大規模上雲的考驗。</p> <p>為了克服這項IT大挑戰，該公司不只擬定大規模上雲策略，還建立一套方法論，來協助各子公司進行大量系統遷移，更透過系統化方式幫助子公司評估，加快上雲腳步。而顏勝豪正是負責執行集團雲端轉型計畫的關鍵人物，擬定集團上雲策略。他近日在一場雲端大會上首度揭露集團內部大規模上雲的轉型歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11(8).png" style="width: 600px; height: 333px;" /></p> <h3><strong>目標3～5年完成全集團100套系統上雲</strong></h3> <p style="margin-left:.05pt;">早在幾年前，國泰就已經展開集團上雲旅程，開始將一些新系統和服務部署於地端的私有雲，更要建立私雲和公雲的混合雲架構，以取得雲端更多好處，包含敏捷、彈性、全球部署和成本優勢。而國泰雲端戰略第一步，就是要把集團內系統逐一搬上公雲，還擬定上雲策略，希望透過雲環境就緒（Cloud Readiness）、雲端採用（Cloud Adoption）、雲端優化（Cloud Optimization）及雲端應用現代化（Cloud Modernization）分4階段，完成集團上雲。</p> <p style="margin-left:.05pt;">國泰擁抱雲端，不只是想要獲取上雲效益，更希望利用雲端資源協助集團建構國泰雲端數位發展能力，這些能力都是國泰金控數位轉型整體戰略的重要一環。在這個戰略之下，顏勝豪和數數發團隊一肩扛起重任，要協助集團各子公司完成系統遷移，更以未來3～5年完成全集團100套系統上雲為目標。</p> <p style="margin-left:.05pt;">國泰於2021年展開第一階段上雲計畫，從基礎建設、應用程式、管理、組織4個面向發展上雲的準備，先從銀行開始，之後人壽、產險、證券子公司跟進。</p> <p style="margin-left:.05pt;">顏勝豪表示，這階段上雲的重點，先從子公司單一系統上雲做起，以建立搬遷雲端所需的相關資安、系統遷移和環境基礎設計機制，完成第一階段目標後，今年進到第2階段雲端採用。</p> <h3><strong>國泰實現大規模上雲的關鍵，靠一套方法論協助子公司做遷移分類</strong></h3> <p style="margin-left:.05pt;">但一進到這個階段，國泰數數發團隊馬上遇到考驗，因為需要處理子公司越來越多大量系統上雲的需求，尤其，跟過去上一套系統相比，他指出：「進入大量雲端使用階段，面對的是上百套系統的挑戰，其複雜度、規模和以往截然不同。」</p> <p style="margin-left:.05pt;">他進一步解釋，因為每套上雲系統架構都不一樣，有些可能採用傳統單體架構，有的則導入微服務新架構，甚至相依性、開發架構、SLA要求，每個系統都不一樣，不僅如此，有時還得考量有無個資、特殊大流量需求等，這些都會影響到其上雲模式，「100套系統中可能就有50種不同的類別，必須要有對應策略。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20(3).png" style="width: 600px; height: 334px;" /></p> <blockquote><p>國泰金控實現大規模上雲的策略關鍵，就是靠一套方法論，來協助各子公司進行大量系統遷移。他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，對應到IaaS、PaaS、SaaS三種不同上雲模式。圖片來源:國泰金控</p> </blockquote> <p style="margin-left:.05pt;">國泰金控實現大規模上雲的策略關鍵，就是靠一套統一的方法論，協助各子公司進行大量系統遷移。</p> <p style="margin-left:.05pt;">但不像其他企業大多使用現成方法論來實踐，國泰反而選擇自建集團自己的方法論，除了透過顧問團隊協助，還參考Gartner 5R和AWS 7 Rs雲端遷移模型定義，進而形成自己的Cathay 6R雲端遷移方法論。他表示，以此建立出來的方法論，更能夠符合國泰金融上雲實際情況。</p> <p style="margin-left:.05pt;">在這套方法論中，他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，並能對應到IaaS、PaaS、SaaS三種不同上雲模式。</p> <p style="margin-left:.05pt;">在這6種上雲方式中，採用Rehost方式上雲的系統開發成本最低，幾乎不需改動，僅需將本地VM搬上雲，常見的工作負載平移（lift and shift），就是屬於這種上雲方式。而Re-platform則在系統上雲過程中開始採用雲生原應用服務，如改用雲端代管服務提供SQL資料庫服務等，或將應用程式容器化。Refactor是Re-platform更進階作法，不光是資料庫，連AP層跟著容器化，部署在雲端容器管理平臺上，它也是第三種上雲方式。</p> <p style="margin-left:.05pt;">該方法論提到第四種上雲方式是Rewrite，相較於前三種上雲方式，不光是改寫應用程式，連系統架構也進行大幅更改，轉為Cloud Native架構，如將前端網頁從MVC架構改為前後端分離的SPA單頁式應用架構。他指出，這種上雲作法，雖然更能支援雲端原生環境，但系統開發成本相對較高。如果採用Replace方式上雲的話，對轉換雲原生架構更徹底，等於是全面改以SaaS服務型態進行上雲。最後Retain作法則因考慮到合規性、系統合併等不確定因素，系統仍維持於地端。</p> <p style="margin-left:.05pt;">顏勝豪表示，國泰今年在進行大規模系統上雲時，開始透過這套方法論，來對於這些上雲系統進行分析、分類，找出其適合上雲的方式，確保整個遷雲過程能順利完成。</p> <p style="margin-left:.05pt;">他表示，雖然系統上雲有更快交付市場、資源申縮彈性、省錢、天然高可用等諸多好處，但獲得這些好處的前提，取決於系統如何上雲，「6R方法論的實踐很重要，因為它不只決定整套系統上雲後的服務顆粒度大小，甚至影響到之後上雲效益。」</p> <p style="margin-left:.05pt;">舉例來說，在6R方法論中，採用不同遷移方式，對應到的上雲模式有所不同，比如Rehost分類對應到的上雲模式是IaaS，Re-platform和Refactor上雲模式則是IaaS或PaaS，而Rewrite對應到的是PaaS或SaaS，至於Replace則屬於SaaS模式。</p> <p style="margin-left:.05pt;">但對國泰系統上雲來說，他強調，最終希望是採用PaaS或SaaS方式上雲，大量使用虛擬機的IaaS模式雖是最快又簡單的上雲方法，但獲得的雲端效益也最低。他更用一句話直白說明 Cathay 6R 策略：「就是消滅虛擬機」。</p> <p style="margin-left:.05pt;">也因為採取這個策略，目前國泰系統上雲過程中，如果各子公司提交的系統架構圖出現VM，他會特別詢問理由，除非這些應用只能在VM上執行，不然會要求子公司盡量避免使用VM，改用容器來取代。</p> <h3><strong>導入自評系統，加快子公司系統上雲評估</strong></h3> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/26(4).png" style="width: 600px; height: 336px;" /></strong></p> <p style="margin-left:.05pt;">有了6R方法論之後，他表示，執行上，團隊會透過系統訪談，依據所收集到的資訊，產出該系統上雲的評估建議，包括技術、風險、業務衝擊等面向，作為各子公司系統上雲的參考。經過他們的歸類，目前系統上雲方式以Refactor分類的情況最多，也就是屬於低度應用程式的調整，可能採用PaaS服務或者把應用程式容器化。</p> <p style="margin-left:.05pt;">為了縮短系統上雲評估作業，國泰後來自行開發一個CCMA（國泰系統上雲評估分析平臺）系統，將6R分類方法轉為系統化方式，來協助各子公司評估，除了協助其快速了解應用系統的資料性質、開發者、資安需求等等，也提供子公司作為整體應用遷移策略的選擇參考。</p> <p style="margin-left:.05pt;">顏勝豪表示，過去沒透過Excel進行資料蒐集和整理，產出分析結果和報表，容易有資料保存版本的問題，導入系統後不再有這個問題，甚至子公司IT團隊能上網站預填問卷，不需要等訪談人員到現場才能填，有助於縮短系統的評估時間。問卷填完的數據分析結果，從系統上就能看得到，他們將原本人工邏輯判斷，轉為規則引擎建立在系統裡，只要填妥資料，系統就會產出6R評估結果，所有報表經過系統化，都可以直接匯出，方便各子公司來查看。</p> <p style="margin-left:.05pt;">像是從系統上的問卷管理平臺，就能看到每個上雲系統的列表和上雲的評估，在列表中，除了有6R評估結果，還提供風險、業務衝擊、技術適合度等不同面向的系統分數和整體平均分數比較，作為各子公司總體上雲策略的判斷，另外也整合不少分析功能，像是透過整體分群分析，可以看到不同上雲系統在空間分布上的點位，有助於做上雲分類的判斷，該系統還提供參數分析功能，可提供子公司決定如何上雲，甚至上雲優先順序的建議。</p> <p>除了提供參數分析和圖表，他表示，針對每一套系統，還會提供質化分析報告，包含系統是否適合上雲的種種因素，供各子公司IT團隊參考。</p> </div></div></div>
2022/8/9 14:46作者余至浩https://www.ithome.com.tw/news/152373
雲端通訊平臺Twilio遭駭客以網釣簡訊取得員工帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" target="_blank">雲端通訊平臺Twilio周日（8/7）指出</a>，駭客透過網釣簡訊騙取了內部員工的登入憑證，再藉由盜來的憑證存取內部網路，並取得了客戶的資料，除了對外說明之外，也藉此呼籲其它企業要小心防範這類的社交工程攻擊。</p> <p>Twilio表示，該公司是在8月4日察覺有特定的客戶帳號資訊遭到未經授權的存取，主要是成功騙過了員工，讓員工提供了自己的登入憑證。</p> <p>駭客的手法是先傳送簡訊給許多Twilio的前任與現任員工，簡訊內還寫上了員工姓名，指出員工的密碼已經過期，或是班表變更了，要求員工連至簡訊內所附上的連結，並輸入登入憑證。</p> <p class="rtecenter"><img alt="" src="https://twilio-cms-prod.s3.amazonaws.com/images/qW2ZzlnYlUuHE0s8fvaje_KFgw5kBhKsgQTtvBEYREmMVa.width-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Twilio</span></span></p> <p>這些連結所使用的網址都是駭客先行註冊的網釣網站，像是http[:]//twilio-okta.com/或http[:]//twilio-sso.com/，以欺騙Twilio員工點選並輸入憑證。接著駭客再以盜走的Twilio員工憑證存取客戶資料。</p> <p>Twilio並未說明有多少員工的登入憑證遭到竊取，也未提供外洩的客戶數量或資料內容，僅說已一一通知受到影響的客戶，並撤銷所有被盜走的員工憑證，與鑑識公司合作，通知執法機構。此外，Twilio也通知了駭客寄送網釣簡訊所使用的電信營運商，以及網釣網站的代管服務供應商，請求它們撤銷駭客的帳號。</p> <p>值得注意的是，Twilio還說也有其它公司遭到類似網釣手法的攻擊，有些業者同樣也通知了電信營運商與代管服務供應商，但在它們撤銷駭客的帳號之後，駭客很快就利用其它服務另起爐灶，顯然是個有組織且有條不紊的犯罪集團，惟目前尚無法辨識駭客的身分。</p> <p>Twilio警告，社交工程攻擊非常的複雜且先進，甚至能挑戰最先進的防禦系統，該公司已針對相關攻擊展開了額外的員工訓練，也正在研究其它的技術性防禦措施，同時呼籲其它業者亦應小心防範。</p> </div></div></div>
2022/8/9 13:09作者陳曉莉https://www.ithome.com.tw/news/152379
Google讓Cloud Storage資料去識別化更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/announcing-easier-de-identification-of-google-cloud-storage-data">Google對其Cloud Storage服務提供去識別化操作</a>，現在用戶不需要執行自定義的工作管線或是程式碼，就能夠對Cloud Storage中的物件、資料夾和儲存桶去識別化，另外，Google還提供一種新的字典替代方法，強化資料隱私保護，在像是客服聊天日誌等資料以自訂值取代個人資料。</p> <p>Cloud DLP（Cloud Data Loss Prevention）是全託管的服務，可針對檢視的物件創建一份去識別化的資料副本，也就是當用戶啟用DLP檢視Cloud Storage儲存桶中敏感資料，像是個人可識別資訊（PII），便可以在控制臺UI透過簡單滑鼠點按，創建經編輯過的資料副本，而且因為是全託管的服務，因此能夠自動擴展來處理龐大的資料。</p> <p>Cloud DLP服務可以處理圖片和文字檔案，就連用逗號或是空格分開的值也都能處理。Cloud DLP提供了一系列針對敏感資料的轉換功能，包括刪除、取代、遮蔽、加密特定值，或是將特定值以範圍數值取代，也能調整日期以及擷取時間。用戶藉由在Job Triggers服務設置觸發條件，就能夠在新內容出現時，自動執行去識別化工作，這項整合將有助於用戶設置需要的工作流程。</p> <p>Google提供字典替代方法，讓用戶能夠將特定敏感元素，更換成更真實的替代數值，例如將客服聊天日誌中的名字和電子郵件地址，利用Cloud DLP對敏感元素去識別化，避免有人看到這些敏感資料。Cloud DLP可選取字典中定義的值替換敏感元素，除了可以生成更加真實的輸出外，也因為這些更真實替代資料，反而能夠隱藏殘留未被處理的名字。</p> </div></div></div>
2022/8/9 13:18作者李建興https://www.ithome.com.tw/news/152377
為扶植國內業者，印度擬出手限制中國業者銷售低於150美元的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-08-08/india-seeks-to-oust-china-firms-from-sub-150-phone-market" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，印度政府準備出手限制中國業者於境內銷售低於1.2萬印度盧比（150美元）的手機，以扶植國內的手機製造商。</p> <p>印度為全球第二大手機市場，其手機用戶超過4.9億，僅次於中國的9.5億，在中國業者大舉進入印度市場之前，當地的Lava與MicroMax等手機製造商還占據了接近一半的市場。</p> <p>然而，<a href="https://www.counterpointresearch.com/india-smartphone-shipments-decline-5-qoq-5g-smartphone-installed-base-crosses-50-million/" target="_blank">根據市場研究機構Counterpoint今年第二季的調查</a>，現在的印度市場前5大手機品牌中，有4家為中國業者，另一家則是三星，排名與市占率依序是小米（19%）、三星（19%）、Vivo（17%）、Realme（16%）與Oppo（11%），而它們便占了印度手機市場的82%。</p> <p>這次印度的政策不管有沒有指名道姓，很明顯都是針對中國品牌而來，因為高階手機市場主要由三星與蘋果把持，例如三星在3萬印度盧比（377美元）以上價格的手機品牌上居冠，居次的是蘋果。</p> <p>《彭博社》則引用Counterpoint的資料指出，150美元以下的機種大約占據了印度第二季手機出貨量的1/3，當中有8成為中國品牌。</p> <p>不過，目前並不確定印度政策是否會公開此一政策，或僅是私下要求中國業者配合。</p> </div></div></div>
2022/8/9 13:35作者陳曉莉https://www.ithome.com.tw/news/152380
Google Apps轉成付費Workspace挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年宣布將把免費版雲端應用Google Apps轉為付費的Workspace，<a href="https://regmedia.co.uk/2022/08/08/strtford_v_google.pdf" target="_blank">遭到早期用戶集體控告違約</a>，要求恢復免費服務。</p> <p>原告是美國華盛頓一家不動產開發業者及其他用戶，是最早使用的Google Apps用戶，他們認為Google片面改變免費服務是違約行為。</p> <p>原告指控，Google當初做出終身免費的承諾，以吸引早期用戶註冊其服務，好讓Google學習用戶使用經驗來開發及改善其服務，進而開發出付費版服務。2006年Google Apps最後改名為Workspace時，也向他們承諾會持續提供免費版Workspace。不料卻在今年違反約定，停止提供免費服務，要他們若非付錢，否則就要中止其Workspace服務，並轉到其他服務上，使其可能喪失儲存在Google系統上的寶貴資料。</p> <p>原告指控Google違約行為，也反映在這家科技巨擘將初創時的公司精神「Don’t be evil」移除。他們要求Google賠償500萬美元，並要求退回先前已付給Google的費用，同時恢復免費服務。</p> <p><a href="https://www.ithome.com.tw/news/148976" target="_blank">Google今年1月宣布</a>，推行多年的免費雲端生產力服務將停止，7月1日開始收費。Google於2006年推出包含Gmail、Google Docs、Sheet等生產力應用，一開始稱為Google Apps，2016年這項服務改名為G-Suite，2020年再一次改名為Workspace，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等）。對於G-Suite用戶，Google要求5月1日提供帳單支付資料，預定7月1日（後來延至8月1日）開始自動轉為付費訂閱制，不提供者屆時將予以停權。配合15GB免費空間的限制，Google最終目的是企業及個人用戶都能付費使用。</p> <p>但Google此舉遭到強烈批評，因而於5月又小小退讓，<a href="https://www.ithome.com.tw/news/150722" target="_blank">宣布個人及家用帳號可op-out</a>，退出付費訂閱制，而繼續使用免費版本。但這項優惠並不包含企業用戶，未主動op-out的用戶也會喪失免費版使用權利。</p> </div></div></div>
2022/8/9 13:54作者林妍溱https://www.ithome.com.tw/news/152381
美國制裁替北韓駭客Lazarus洗錢的混幣平臺Tornado Cash
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/jy0916" target="_blank">美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）周一（8/8）制裁了</a>替北韓駭客集團Lazarus洗錢的混幣平臺Tornado Cash，這是OFAC第二次出手制裁混幣平臺，<a href="https://www.ithome.com.tw/news/150828" target="_blank">第一次是在今年5月制裁了Blender</a>，原因同樣是Blender替Lazarus集團洗錢。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">美國早在2019年便制裁了北韓的3大駭客集團</a>，包括Lazarus、Bluenoroff與Andariel，指責它們鎖定重大基礎架構發動網路攻擊，因而禁止美國任何人或實體與這3大集團交易。</p> <p>不過，這些駭客集團並未因此而停止活動，專為NFT遊戲Axie Infinity設計的區塊鏈網路<a href="https://www.ithome.com.tw/news/150181" target="_blank">Ronin Network在今年3月遭到駭客入侵</a>，駭客成功盜走價值6.2億美元的加密貨幣，成為去中心化金融（DeFi）史上最大宗的失竊案，兩周後<a href="https://www.ithome.com.tw/news/150447" target="_blank">FBI便宣稱該犯罪行動是由Lazarus集團所為</a>。</p> <p>至於不管是對Blender或Tornado Cash的制裁，原因之一都是這兩個混幣平臺協助Lazarus轉換自Ronin Network盜來的加密貨幣。</p> <p>OFAC指出，Tornado Cash從2019年成立迄今，至少已被用來清洗超過70億美元的不法所得，當中有逾4.55億美元是Lazarus自Ronin Network盜來。不僅如此，Tornado Cash也涉及今年6月發生的Harmony Bridge跨鏈橋被駭案，以及<a href="https://www.ithome.com.tw/news/152280" target="_blank">8月Nomad遭駭事件</a>的洗錢活動。</p> <p>美國財政部指出，該部門一直致力於揭露加密貨幣生態體系的組成份子，像是Blender與Tornado Cash，駭客利用這些服務來混淆非法網路活動與其它犯罪的收益，儘管大多數的加密貨幣活動都是合法的，但同時也被用於非法活動，包括藉由混幣平臺、交易平臺或是暗網市集來逃避制裁，並強調將會持續積極打擊那些替犯罪份子洗錢的混幣平臺。</p> </div></div></div>
2022/8/9 12:04作者陳曉莉https://www.ithome.com.tw/news/152376
Office 2016、2019用戶明年連Microsoft 365會出現問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/deployoffice/endofsupport/microsoft-365-services-connectivity" target="_blank">微軟本周宣布</a>，由於線上版Office的功能更新和買斷版Office脫勾，Office 2016和Office 2019 明年起，在使用Microsoft 365時會逐漸出現效能或穩定性問題。但Office 2013及Mac版Office 2019，明年10月就無法再存取微軟線上服務。</p> <p>微軟網頁說明，從2023年10月之前，「仍將支援Office 2016和2019連結Microsoft 365」。微軟說，Office用戶端必須要是微軟支援的版本才能使用Microsoft 365 Apps，像是Exchange Online、SharePoint Online和OneDrive for Business等。</p> <p>微軟的用意是要用戶轉到雲端版Office。另一方面，微軟又表示，對仍在支援範圍的Office用戶端（像是Office 2013 with Service Pack 1），目前他們還不會出手封鎖連結Microsoft 365服務，但是警告，久而久之，這些用戶端可能會遭遇效能或穩定問題。</p> <p>微軟解釋，從2020年10月13日起，其雲端服務的投資已不再考量舊版Office用戶端軟體，因此長期而言，舊版Office用戶端將會碰到效能和穩定性問題。而使用這些Office的企業幾乎也會面臨安全風險，以及產業合規問題。</p> <p>因此微軟建議，企業管理員最好將舊版Office用戶端軟體更新到可連結Microsoft 365的版本。</p> <p><a href="https://docs.microsoft.com/zh-tw/deployoffice/endofsupport/resources" target="_blank">根據微軟公布的支援生命周期表</a>，明年1月10日不再支援Windows 8.1連結M365 App。接著，Office 2013及Mac版Office 2019明年4月11日及10月10日，也會終止支援。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/zh-tw/deployoffice/endofsupport/resources" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-office%202016%202019-600.png" style="width: 579px;" /></a></p> <p>如果你是Windows 7和Office 2013以前的用戶，應該在2020年10月起就再也無法存取Microsoft Apps了。</p> </div></div></div>
2022/8/9 12:42作者林妍溱https://www.ithome.com.tw/news/152378
駭客利用美國運通、Snapchat網域開放重導向漏洞，發送騙取M365憑證的信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" target="_blank">安全廠商發現</a>，駭客利用美國運通（American Express）及Snapchat網域的開放重導向（open redirect）漏洞，發送以騙取用戶帳密為目的的釣魚信件。</p> <p>重導向（redirect）是將用戶從其目的地網站導引到另一網站。最主要用途是利用廣告將網路用戶導向廣告主的網站以誘使其購物。重導向作法中的開放重導引，則是某一網站允許任何人都能指定任意URL為重導向的目的地，就可能成為歹徒的犯罪工具。</p> <p>今年5月到7月，Inky Security偵測到攻擊者利用知名品牌公司，包括美國運通和Snapchat網站上的開放重導向漏洞寄送數千封釣魚信件，將用戶導向竊取用戶帳密及憑證資訊的惡意網站。</p> <p>這些網域的開放重導向漏洞未能驗證用戶輸入指令，致攻擊者可修改網域URL，而將用戶流量導向第三方惡意網站。</p> <p>安全研究人員分別偵測到，Snapchat網站發出的近7,000封釣魚信件，將用戶導向假的DocuSign、FedEx及微軟網頁，而美國運通網域發送的2,000多封釣魚信件，則皆導向釣魚微軟網頁。兩波攻擊都是透過以假亂真的釣魚頁面，騙取用戶的Microsoft 365帳密。</p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-19-13-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-19-13-PM.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-19-56-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-19-56-PM.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-18-38-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-18-38-PM.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Inky Security</span></span></p> <p>在這兩波攻擊中，駭客在變造的URL插入可辨識個資（personally identifiable information，PII），使惡意登陸頁（landing pages）可依不同人隨時變化。此外，攻擊者都使用Base 64編碼器將插入的PII轉為隨機符號，大部分用戶往往無法辨識。</p> <p>Snapchat的漏洞去年8月初就有人通報過，但Snapchat一直未修補直到安全廠商的通知，致其發送的釣魚信件數量奇高。美國運通則是在釣魚信件發出後很快就修補，現在點入惡意信件的連結，就會導向正牌American Express的錯誤頁。</p> <p class="rtecenter"><a href="https://www.openbugbounty.org/reports/2105997/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-snapchat%20Open%20Redirect%20Vulnerability%20by%20openbugbounty.png" style="width: 500px;" /></a></p> <p>為防範此類郵件攻擊，研究人員提醒用戶要小心URL中的「url=」、「redirect=」、「external-link」或「proxy」，另一個特徵是，這些郵件URL會多次使用「http」。</p> <p>至於網站管理員，研究人員建議儘量不要實作重導向，若是一定要實作的話，也應實作核准的安全連線清單（即白名單）以防被駭客上下其手。</p> </div></div></div>
2022/8/9 11:28作者林妍溱https://www.ithome.com.tw/news/152375
丹麥小7遭網路攻擊致PoS系統無法運作，全國門市關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven周一（8/8）遭到網路攻擊，致其銷售結帳PoS（Point of Sales）系統無法運作，迫使其關閉全國超商門市。</p> <p>7-Eleven周一透過臉書公布此事。這家連鎖超商懷疑當天遭受駭客攻擊，無法使用結帳系統及接受支付，因此將關閉所有門市直到釐清影響範圍。7-Eleven也承諾會儘速重啟營運。</p> <p><a href="https://twitter.com/GossiTheDog/status/1556766191326298127" target="_blank">安全專家Keven Beumont指稱</a>，業界流傳起因是委外的MSP發生勒索軟體攻擊。但目前7-Eleven並未說明是何種網路攻擊。</p> <p>MSP受網路攻擊而波及用戶的事件並不少見。去年夏天REvil勒索軟體藉IT管理軟體Kaseya感染歐美多家企業及政府，剛好為瑞典Coop超市代管PoS系統的一家MSP正是Kaseya用戶，導致惡名昭彰的勒索軟體經由MSP感染這家超市，迫使其關閉800家門市。</p> <p>若是零售業者本身因勒索軟體攻擊中斷營運者更是常見。包括去年底的英國超市SPAR及<a href="https://www.ithome.com.tw/news/151465" target="_blank">上個月的非洲最大連鎖超市Shoprite Group</a>，分別遭勒索軟體干擾PoS系統及後端系統。</p> <p>而丹麥的7-Eleven攻擊事件也是繼臺灣7-Eleven後，最新一起網路資安事件。上周三（8/3）在美眾議院長裴洛西訪臺後，7-Eleven遭疑似駭客攻擊，使原本播放商品價目的數位看板螢幕被置換成要求「裴洛西滾出臺灣」的訊息。</p> </div></div></div>
2022/8/9 09:57作者林妍溱https://www.ithome.com.tw/news/152374
媽咪愛電商創辦人張瑜珊接任PChome執行長，以工程背景領軍發展科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome網路家庭集團8月8日宣布邀請母嬰電商平台「媽咪愛」創辦人張瑜珊接任下任執行長。張瑜珊具資訊工程及管理科學背景，並有在Google工作及經營電商10年的經驗，專業領域與近期PChome著重發展科技的策略方向相符。</p> <p>前任執行長蔡凱文在疫情及快速變動的市場趨勢中請辭，留下了不少須由科技解決的題目，例如6月股東會中，<a href="https://www.ithome.com.tw/news/151576">PChome就提到有意翻新電商網站資訊架構</a>，將大系統拆解成更多小模組，並將系統從地端搬上雲，以更彈性的維護並更新系統。</p> <p>2022年後半，PChome還計畫發展CDP，結合現有AI推薦系統，提供更精準的個人化商品推薦服務，也投資了智慧物流科技新創，將於10月進駐中華郵政A7智慧物流園區後，透過AI及自動化倉儲技術，增加物流量能。PChome近年也有意發展Fintech，從收購BNPL公司，到推出保險、供應鏈金融服務，甚至宣布未來要打造融合Fintech及電商系統的新平臺。這些計畫，都仰賴IT部門大力支援，新執行長有工程背景，並有在國際知名科技公司的工作經驗，無疑有助於推動PChome科技發展政策。</p> <p>PChome董事長詹宏志也提到，張瑜珊創辦的母嬰電商媽咪愛，不僅有92%客群是女性，且主打商品都是非3C或家電類產品。PChome也將以現金2.26億元策略投資媽咪愛電商平臺，以期借鏡此平臺經驗，增進PChome非3C商品的選品能力及溝通力。</p> </div></div></div>
2022/8/8 20:28作者郭又華https://www.ithome.com.tw/news/152371
微軟推出可用於除錯任何UI框架的.NET社群工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出<a href="https://devblogs.microsoft.com/dotnet/announcing-the-dotnet-community-toolkit-800/">新的.NET社群工具包（.NET Community Toolkit）</a>，該工具包針對應用程式開發者以及函式庫作者設計，現在以8.0.0版本在NuGet上發布。.NET社群工具包8.0.0為一個主要更新版本，因此有許多新功能、改進和重構，同時也是從這個版本開始，專案開源存放在GitHub上的CommunityToolkit/dotnet儲存庫中。</p> <p>.NET社群工具包是由微軟維護和發布，適用所有.NET開發人員，無關特定UI平臺的一組幫助程式和API，由於.NET社群工具包所有可用的API，都不相依於任何特定的Runtime或是框架，因此所有.NET開發人員皆可以使用，而且之中的函式庫目標從.NET Standard 2.0到.NET 6支援眾多平臺，在較新的Runtime上最佳化，使得程式可獲得更好的效能。</p> <p>之所以8.0.0是.NET社群工具包的第一個版本，微軟解釋，.NET社群工具包的所有函式庫，皆源自Windows社群工具包，該工具包為幫助程式、擴充套件和自定義控制元件的集合，可以簡化UWP和.NET應用程式的建置工作。隨著發展，僅針對.NET且不相依於Windows的API數量不斷增加，所以微軟決定把這些部分拆分成獨立發展的專案，使得不從事Windows開發的.NET開發者更容易找到這些工具。</p> <p>.NET社群工具包的演進過程，因承襲Windows社群工具包的最後一個版本號7.1.x，因此第一個版本便是8.0.0。</p> <p>.NET社群工具包8.0.0最大特點是MVVM（Model–View–Viewmodel）程式碼產生器，目的是大幅減少MVVM配置應用程式時，所需要的樣板程式碼，而與微軟在7.1.0的程式碼產生器相比，8.0.0的功能更加完善，運作效能更好，即便處理大型專案，也能夠維持快速回應。</p> <p>.NET社群工具包的主要元件之一是MVVM工具包，這是一個無關平臺的模組化MVVM函式庫，與Microsoft Store和照片等應用程式所使用的MVVM函式庫相同。MVVM函式庫現在成為MvvmLight的官方替代函式庫，由於MvvmLight函式庫已經棄用，因此微軟在開發MVVM函式庫的時候，也和MvvmLight函式的開發者合作，使得現有MvvmLight用戶使用體驗得以延續。</p> </div></div></div>
2022/8/8 18:12作者李建興https://www.ithome.com.tw/news/152364
特斯拉遭加州車輛管理局指控錯誤廣告車輛自動駕駛能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州車輛管理局（Department of Motor Vehicles，DMV）指控特斯拉（Tesla）因為使用Autopilot這個名稱，以及Full Self-Driving（FSD）功能在網頁上的描述，在行銷上可能使消費者誤認該車輛具有完全自動駕駛的能力，而這與事實背離。特斯拉需要在15天內做出回應，否則DMV可能撤銷特斯拉車輛製造商和汽車經銷商等許可。</p> <p><a href="https://www.latimes.com/business/story/2022-08-05/dmv-false-advertising-tesla">外媒Los Angeles Times報導</a>DMV指控特斯拉使用非真實或是具誤導性的陳述宣傳其Autopilot和FSD功能。<a href="https://www.scribd.com/document/585743312/California-DMV-Accusation-Against-Tesla-Inc-Vehicle-Dealer">CNBC上傳</a>的<a href="https://www.scribd.com/document/585743318/California-DMV-Accusation-Against-Tesla-Inc-Vehicle-Manufacturer">DMV文件</a>中提到，DMV認為特斯拉用來描述這兩個功能的名稱，以及所使用的語言，錯誤暗示搭載該技術的車輛能夠自動駕駛。</p> <p>在特斯拉FSD頁面的文字，稱該系統「is designed to be able to conduct short and long distance trips with no action required by the person in the driver’s seat」（設計成可讓坐在駕駛員座位上的人，無須採取任何行動就能進行短程和長程車旅），並且能夠找出最佳路徑「navigating urban streets, complex intersections and freeways」（在市區街道、複雜的十字路口和高速公路導航）</p> <p>目前特斯拉所有車輛都包含Autopilot功能，網頁上提到Autopilot能讓車輛在車道內自動轉向、加速和煞車，文字有提到當前Autopilot功能需要駕駛員主動監督，還不能使車輛自動駕駛。如果車主想要擁有FSD系統，則需要再支付12,000美元，該功能則提供自動停車、自動車道變換，駕駛員還可以在遠處招喚停車場中的車輛移動至所在位置。</p> <p>DMV提到，無論是Autopilot這個名稱，還是FSD在網頁上的描述，並不能簡單識別產品或是品牌，而是表示搭載進階駕駛輔助系統的車輛能夠自動駕駛，但搭載進階駕駛輔助系統的車輛，不能在廣告上稱其能夠自動駕駛。DMV表示，這是一種欺騙性作法。</p> <p>無論是Autopilot還是FSD，都還不能讓車輛擁有完全自動駕駛功能，駕駛員仍然需要將手放在方向盤上，隨時注意道路狀況，以便在突發狀況中做出回應。雖然特斯拉已經在其駕駛輔助系統中加入免責聲明，但DMV認為，這仍不能扭轉其誤導性陳述所造成的影響。</p> </div></div></div>
2022/8/8 18:25作者李建興https://www.ithome.com.tw/news/152366
【資安日報】2022年8月8日，駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多個臺灣政府機關、公司行號發動在上週陸續遭到攻擊，但攻擊者的身分為何？名為APT27的駭客組織宣稱是他們所為，並透過影片宣稱掌控了6萬至20萬臺設備的資料，並打算公布竊得的政府資料。</p> <p>北韓駭客組織Lazarus假冒大型公司，並以徵才名義發動網釣攻擊的情況再度出現，這次是以熱門的加密貨幣交易所職缺為幌子。而在此之前，這些駭客主要鎖定的是國防產業。</p> <p>Atlassian Confluence零時差漏洞CVE-2022-26134在5月底被公布，最近有資安業者指出當時利用此漏洞的駭客身分，並公布其攻擊手法與目的。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/165bear/posts/359921669512230"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千</span></a></strong></h3> <p>刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響選舉結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> </div></div></div>
2022/8/8 15:38作者周峻佑https://www.ithome.com.tw/news/152365
Twitter漏洞讓駭客取得用戶電話與郵件位址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月有人在Breached Forums駭客論壇上兜售540萬名Twitter用戶的資料，包括其電話號碼與電子郵件帳號，售價3萬美元，<a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts" target="_blank">Twitter上周五（8/5）證實了此事</a>，並說造成該批資料外洩的漏洞早在今年初就修補，只是當時不知該漏洞已遭濫用。</p> <p>根據Twitter的說明，它們是在今年1月透過抓漏獎勵專案得知該平臺有一個安全漏洞，若有使用者於Twitter系統上輸入電話號碼或是電子郵件帳號，系統就會告知該資訊屬於哪個帳號所有；該漏洞是在Twitter於2021年6月更新程式碼時所造成的，但在修補的當下並無證據顯示該漏洞已遭到開採。</p> <p>不過，在媒體於7月揭露有人正在兜售Twitter用戶資料時，Twitter即比對了賣家所公布的資料，判斷駭客是開採了今年初所修補的漏洞。Twitter已通知了所有已知的受到波及的用戶，由於不確定遭到開採的範圍，因此發布此一通知以提醒所有用戶。</p> <p>雖然駭客所兜售的僅有Twitter用戶的電話號碼或電子郵件帳號，並無密碼，但其他駭客也許可自其它的外洩資料庫找到使用者慣用的密碼，使得Twitter建議所有用戶應該啟用雙因素認證，藉由身分認證程式或硬體安全金鑰來保障自己的帳號安全，以避免自己的帳號被擅自登入。</p> </div></div></div>
2022/8/8 18:01作者陳曉莉https://www.ithome.com.tw/news/152367
Meta聊天機器人BlenderBot 3問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/blenderbot-ai-chatbot-improves-through-conversation/" target="_blank">Meta上周五（8/5）釋出了</a>第三代的聊天機器人BlenderBot 3，<a href="https://www.ithome.com.tw/news/150753" target="_blank">它奠基在1,750億個參數的OPT-175B語言模型</a>，使用更多的資料集，宣稱其對話效能比上一代好上31%，知識能力是前一代的兩倍，錯誤率則少了47%，<a href="https://geo-not-available.blenderbot.ai/" target="_blank">並開放美國用戶試用及提出意見</a>。</p> <p>Meta指出，BlenderBot系列在各種對話技巧上日益進步，包括個性、同理心與知識，它還結合了長期記憶，並能搜尋網路來進行有意義的對話，除了這些之外，BlenderBot 3更採用了OPT-175B語言模型，約是BlenderBot 2規模的兩倍。已與科學社群分享了BlenderBot 3的模型、資料與程式碼。</p> <p>值得一提的是，所有的AI聊天機器人都不免模仿或學習到一些不安全、具偏見或冒犯的言論，Meta對此展開了大規模的研究，以發展各種新技術來替BlenderBot 3建立保障措施，但BlenderBot 3仍舊會說出無禮或冒犯的內容，這使得Meta決定讓使用者與BlenderBot 3互動，而且可在BlenderBot 3的每個回答上按讚或遜，並註明理由，以協助Meta改善BlenderBot 3。</p> <p>不過此一互動介面目前僅於美國市場開放，預計未來才會擴大至其它國家。</p> <p>此外，為了增進BlenderBot 3與人們互動的能力，Meta AI團隊亦自行建立了許多的資料集，以強化BlenderBot 3的應對能力，以及對不同主題的了解，為了避免有人刻意餵養BlenderBot 3惡意的想法，Meta AI團隊亦打造了新的學習演算法，讓系統能夠區別有幫助或有害的內容。</p> </div></div></div>
2022/8/8 14:48作者陳曉莉https://www.ithome.com.tw/news/152362
Python網頁開發框架Django 4.1加入非同步處理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.djangoproject.com/en/4.1/releases/4.1/">熱門Python網頁開發框架Django推出最新的4.1版本</a>，這次主要更新包括加入非同步處理程式（Asynchronous Handler）以及非同步ORM介面（Object-Relational Mapping Interface），並且包含部分無法向後相容的更改。</p> <p>非同步基於類別的View是Django 4.1的一大重點，除了之前同步方法處理程式之外，View的子類別現在可以定義非同步HTTP方法處理程式。在單個View類別中所有用戶定義的方法，View只能是同步或是非不同步的，當兩者混在一起則會產生異常。</p> <p>ORM非同步介面QuerySet則提供在基於類別的View上，定義非同步處理程式的能力，QuerySet可用於所有資料存取操作，介面的命名參考同步操作，只是加入前綴a，像是acreate()或aget()。官方提到，在這個階段，底層資料庫的操作都仍然維持同步，接下來他們的工作會繼續將非同步支援下推至SQL編譯器中，並整合非同步資料庫驅動程式。</p> <p>新的非同步查詢QuerySet介面封裝了必要的sync_to_async()操作，讓開發者可以隨著之後ORM的發展，擴展程式碼對非同步的支援。</p> <p>Django 4.1有不少非向後相容的更改，影響範圍涵蓋一系列資料庫後端API，像是調整特定行為預設值，以反映大多數資料庫的行為等。Django 4.1支援的Python版本包括3.8、3.9、3.10，另外，Django 4.1將不再支援PostgreSQL 10，僅支援PostgreSQL 11或更高版本，而Django也不再支援MariaDB 10.2，用戶需要使用MariaDB 10.3或更高版本。</p> </div></div></div>
2022/8/8 12:18作者李建興https://www.ithome.com.tw/news/152358
Nomad追贓款：還款9成就不追究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152280" target="_blank">跨鏈協定Nomad上周二（8/2）遭到駭客入侵</a>，來自四面八方的駭客藉由系統安全漏洞盜走了近1.9億美元的加密貨幣，<a href="https://mobile.twitter.com/nomadxyz_/status/1555293965049630722/photo/1" target="_blank">隨後Nomad即向駭客呼籲</a>，只要還款9成就把他們當作白帽駭客，所留下的10%將作為獎賞，且不會對他們採取法律行動。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FZWBPaVWYAEt1PF?format=png&name=900x900" style="width: 500px;" /></p> <p><a href="https://medium.com/nomad-xyz-blog/nomad-bridge-hack-root-cause-analysis-875ad2e5aacd" target="_blank">根據Nomad的分析</a>，該系統有個實現漏洞，造成副本合約（Replica Contract）無法妥善地認證訊息，進而可用來偽造任何尚未處理的訊息，使得只要是仰賴Replica作為認證所進入訊息的合約，都會遭受安全故障，而讓詐欺訊息傳送到Nomad的BridgeRouter合約。</p> <p>Nomad表示，此一漏洞現身於6月21日，當時該平臺升級了智慧合約，雖然在升級前曾經進行程式碼的稽核，也曾發表公開的抓漏專案，卻沒有人發現或提報此一漏洞。</p> <p>現在Nomad已回滾了Nomad Bridge與Nomad Governance合約的Replica功能，也關閉NomadBridge使用者介面，除了努力修復系統之外，也強力呼籲透過該漏洞轉走數位資產的使用者可以歸還到Nomad所指定的錢包0x94a84433101a10aeda762968f6995c574d1bf154。</p> <p>Nomad指出，除了駭客盜轉該平臺的資產之外，也有一些資安研究人員是為了保全它們不被駭客轉光，也出手轉走了部分資產，並暫時保管。不管這是不是動之以情的說法，截至8月7日，Nomad從39個錢包位址收到了價值3,580萬美元的數位資產。</p> <p>此外，為了鼓勵駭客們歸還款項，Nomad也宣布會把任何歸還至少9成資產的駭客當作白帽駭客，允許他們保留10%作為獎勵，而且不予追究，並強調Nomad正與加密貨幣社群、執法機關及區塊鏈分析業者合作，以確保所有的款項都會被歸還。</p> </div></div></div>
2022/8/8 13:15作者陳曉莉https://www.ithome.com.tw/news/152360
DuckDuckGo宣布也封鎖微軟追蹤器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎DuckDuckGo在今年5月遭爆因與微軟簽署廣告協議，而獨厚且放行微軟追蹤器，<a href="https://www.ithome.com.tw/news/151124" target="_blank">而引起使用者的撻伐</a>，本周DuckDuckGo承認自己不符使用者期待，<a href="https://spreadprivacy.com/more-privacy-and-transparency/" target="_blank">宣布將封鎖微軟追蹤器</a>。</p> <p>當使用者以瀏覽器造訪特定網站，在載入該網站內容的同時也會載入該網站所嵌入的第三方腳本程式，例如最普遍的第三方腳本程式為Google Analytics，可協助網站分析使用者於該站的行為，只是該腳本程式也將允許Google獲得使用者資訊以用來建立個人檔案，而DuckDuckGo所內建的第三方追蹤載入保護即可封鎖這類的腳本程式。</p> <p>不過，由於DuckDuckGo使用Bing作為私人搜尋結果的來源，而減少了對微軟追蹤腳本程式的限制，但本周DuckDuckGo宣布將對微軟一視同仁，會在DuckDuckGo行動程式與瀏覽器擴充程式中同時封鎖來自臉書、Google與微軟的第三方追蹤腳本程式，相關程式的測試版預計於下個月出爐。</p> <p>此外，在DuckDuckGo與微軟所簽署的廣告協議中，為了要計算廣告效果，會使用來自bat.bing.com網域的微軟追蹤腳本程式，而這也是現階段唯一的例外。DuckDuckGo指出，他們正著手打造一個新架構，得以取代bat.bing.com的廣告評估能力，還能完整保護使用者隱私。</p> <p>除了DuckDuckGo之外，Safari與Firefox也都在開發可用來計算廣告轉換率，卻不出賣使用者資訊的機制，可望在未來讓隱私成為整個數位廣告產業的預設。</p> </div></div></div>
2022/8/8 13:57作者陳曉莉https://www.ithome.com.tw/news/152361
AWS執行個體匯入服務向Windows 11用戶招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準Windows 11對硬體規格的要求對企業產生壓力，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/08/vm-import-export-windows-11/" target="_blank">Amazon Web Services（AWS）宣布</a>VM Import/Export支援Windows 11，讓用戶將Windows 11執行個體映像（image）搬到AWS上執行。</p> <p>VM Import/Export可讓用戶將虛擬機器（VM）映像從本地部署環境匯入Amazon EC2執行個體，也可以匯回本地部署環境。它原本是為主打VMware用戶市場而設計。Windows 11則是最新支援的本地部署平臺，允許企業把Windows 11的VM映像匯入到EC2 Dedicated Hosts和EC2 Dedicated Instances上啟用新的執行個體。匯入映像可使用AWS CLI或其他開發人員工具。</p> <p>根據Windows 11的要求，執行最新Windows作業系統的硬體必須具備UEFI韌體、TPM 2.0及安全開機支援。對許多Windows 10用戶而言，這意謂著現有PC將無法執行，利用VM Import/Export，用戶即可將開機模式設為UEFI，而將Windows 11的映像檔匯入到AWS上。</p> <p>這項新功能目前已在美國的AWS GovCloud政府雲及所有公開AWS區域上線，惟設於印尼雅加達的AWS亞太區域例外。</p> </div></div></div>
2022/8/8 13:01作者林妍溱https://www.ithome.com.tw/news/152359
Google讓引號搜尋完全只呈現含有確切文字的搜尋結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google搜尋的其中一項功能是允許使用者利用引號來執行搜尋，以找到包含這些確切關鍵字的頁面，<a href="https://blog.google/products/search/how-were-improving-search-results-when-you-use-quotes/" target="_blank">上周Google改善了引號搜尋的結果呈現</a>，讓它只出現含有確切關鍵字的結果。</p> <p>引號搜尋是超級使用者常用的功能，因為這些使用者需要找到的是擁有確實關鍵字的頁面，例如搜尋"無線手機充電器"，那麼Google的搜尋結果頁面就只會呈現含有「無線手機充電器」字樣的段落。</p> <p>雖然引號搜尋的宗旨就在於僅呈現符合使用者輸入關鍵字的頁面，但由於有時這些關鍵字在文件或網頁中出現的位置，並不適合用來建立有用的搜尋結果摘要，例如有些關鍵字出現在網頁的選單中，或是出現在網址上，因此有時Google就會跳過該關鍵字，於結果頁中以可讀取的描述來取代。</p> <p>然而，有使用者向Google建議，他們之所以採用引號搜尋，就是想看到這些關鍵字在網頁上實際出現的位置，而不是想得知該網頁的整體描述。</p> <p>這使得Google在上周變更了引號搜尋的結果呈現，讓該功能真實呈現該有的樣子，並在桌面的引號搜尋結果上以粗體來顯示符合的關鍵字。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/quotesinSearch.max-1000x1000.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google指出，現在的搜尋引擎已經很能理解自然語言，而且會同時搜尋確切單字、字串或相關術語的概念，不再像過去一樣需要利用引號來提供額外的指導，建議使用者不管執行任何搜尋都可從自然語言搜尋開始，因為引號搜尋可能會錯失一些採用類似字串的重要資訊。</p> </div></div></div>
2022/8/8 11:20作者陳曉莉https://www.ithome.com.tw/news/152356
雲端業者EA、Epic Games及Reddit在印尼遭封鎖連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括PayPal、Yahoo及遊戲業者Valve等遭到印尼政府封鎖的雲端業者上周補辦註冊後恢復營運，但EA、Epic Games、Ubisoft及Reddit則無法使用。</p> <p><a href="https://www.ahp.id/deadline-for-electronic-system-operators-is-set-20-july-2022/" target="_blank">印尼通訊及資訊技術部去年6月公告</a>一項電子系統營運管理法，以資訊安全及防範網路犯罪為由，要求在印尼境內執行的「電子系統營運商」（Electronic System Operators），包括公家單位、民間業者、個人及社群經營的平臺必須向政府註冊，其中民間業者被歸類為「私營電子系統營運商（Electronic System Operator for Private Scope）」。<a href="https://siplawfirm.id/registration-of-electronic-system-operators-in-indonesia/" target="_blank">新規定要求</a>ESO提供負責人及公司身分、印尼用戶數及來自印尼的交易值，這些ESO也應遵守印尼法規，包括維護個資、維持系統安全、以及移除印尼政府認為非法或擾亂公共秩序的線上內容等義務。</p> <p>註冊期限為2022年7月20日。印尼政府揚言在期限後將開始封鎖未註冊的業者。<a href="https://www.ithome.com.tw/news/152232" target="_blank">7月30日起PayPal、Yahoo、Steam、Epic Games等多家服務在印尼無法使用</a>。</p> <p><a href="https://www.kominfo.go.id/content/detail/43412/siaran-pers-no-309hmkominfo072022-tentang-pernyataan-kementerian-kominfo-terkait-perkembangan-terbaru-pendaftaran-pse-lingkup-privat/0/siaran_pers" target="_blank">印尼政府證實共5家公司，</a>包括PayPal、Yahoo、Epic Games、Valve 公司的Steam（包括《Dota》、《Counter Strike》2項遊戲）和EA的Origin平臺被切斷連線。<a href="https://kominfod.angelo.fyi/id" target="_blank">根據印尼政府網站</a>，Reddit也已被封鎖。</p> <p>由於這些服務皆為使用者眾的大型服務，印尼政府的封鎖上周引發該國民眾不滿，批評政府管制言論自由。為平息眾怒，當局在7月31日起短暫重啟PayPal 5天。</p> <p><a href="https://www.reuters.com/technology/paypal-registers-indonesia-access-unblocked-company-says-2022-08-03/" target="_blank">路透社</a>及<a href="https://twitter.com/ZhugeEX/status/1554379671155998723" target="_blank">遊戲產業記者</a>報導，Valve/Steam、PayPal、Yahoo上周完成註冊，已經恢復服務，但Epic Games 及EA、動視暴雪的《魔獸戰紀Battle.net》、遊戲公司Ubisoft則處於無法連線狀態。</p> <p><a href="https://kominfod.angelo.fyi/id" target="_blank">印尼政府網站顯示</a>，AWS、Google Cloud、YouTube、推特（Twitter）、微軟LinkedIn、Facebook等服務已經註冊，微軟Azure、Amazon、Nintendo、Ubisoft、Wikipedia等則尚未註冊。</p> </div></div></div>
2022/8/8 11:48作者林妍溱https://www.ithome.com.tw/news/152357
Amazon 17億美元買下掃地機器人廠商iRobot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-irobot-sign-agreement-amazon-acquire-irobot" target="_blank">Amazon 上周五（8/5）宣布</a>已經和iRobot談定合併協議，將以17億美元全現金方式收購這家掃地機器人供應商。</p> <p>iRobot是1990年由麻省理工學院研究航太機器人的人工智慧實驗室畢業生Colin Angle、Helen Greiner與其教授Rodney Brooks 成立。他們在2002年推出了Roomba，相當成功，2005年11月於那斯達克股票上市，3個人當中，Colin Angle持續擔任CEO至今。iRobot之後還推出了拖地機器人等自動化清掃機器。其旗艦產品Roomba到2020年全球賣出3,000萬臺。</p> <p>Amazon將以每股61美元，總價近17億美元收購iRobot，本交易還需經過主管機關及iRobot股東的同意。而Colin Angle也將持續擔任iRobot的執行長一職。</p> <p>Amazon裝置部門副總裁Dave Limp指，iRobot的產品能按客戶需要清理特定地方、避開常見障礙物，還自動清空集塵箱，具備高度實用性及創造力，很高興能和iRobot團隊合作，為客戶創造更輕鬆而愉悅的生活。</p> <p>過去Amazon也買過機器人公司，例如2012年以7.75億買下倉儲機器人製造商Kiva System，此後也有Pegasus、Xanthus、Hercules，不過都是部署在自家物流配貨中心。但這次iRobot的收購可能為了實現智慧家電藍圖。iRobot的軟體iRobot OS內建的AI技術使其不但能繪製家中地形圖，或避開衣物、無線耳機等常見物體，還能支援Google Assistant、Alexa等數百種語音助理指令，以及根據使用者習慣建議吸地時間。結合Amazon現有智慧家庭產品如無線路由器Eero、Alexa、Echo，或是智慧門鈴Ring，可使Amazon提供涵蓋消費者住家的智慧連網設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-irobot-2-500.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／iRobot</span></p> <p>隱私權人士擔心，這樁收購讓Amazon可以蒐集到更多消費者隱私資訊。<a href="https://www.wired.com/story/amazon-irobot-roomba-acquisition-data-privacy/" target="_blank">The Wired引述數位權組織Fight for the Future主席Evans Greer指出</a>，Amazon不再只是電商平臺，而是蒐集消費者資訊的業者；Amazon 想將其監控之眼深向更多消費者家中，蒐集iRobot這個已掌握消費者家中地形的廠商，再自然不過。</p> <p>Amazon官方未說明會如何使用iRobot的資料，但公司官方回應指出，他們將致力於確保客戶資訊，以建立客戶信任。</p> </div></div></div>
2022/8/8 10:40作者林妍溱https://www.ithome.com.tw/news/152354
Slack修正會導致憑證曝險的系統漏洞，要求部分用戶重設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets" target="_blank">協同平臺Slack上周四（8/4）公告</a>，系統出現一項漏洞可導致用戶登入憑證曝光，已經對少數用戶重設密碼。</p> <p>Slack這項漏洞發生在工作空間裏建立共用邀請連結的功能上，由於「程式異常」，讓Slack意外將密碼傳送給其他工作空間成員。但Slack表示，密碼經過雜湊處理，因此所有Slack用戶端都無法直接查看到密碼內容，而且除非長時間監控Slack伺服器的網路流量，也不會發現到這組密碼。</p> <p>這漏洞是由一位外部研究人員發現，於7月17日通報Slack。</p> <p>受到影響的用戶是4月17日到7月17日之間建立或撤銷共用邀請連結的用戶，Slack估計占總用戶的0.5%，並在8月4日對這些用戶發送通知。</p> <p>Slack在接獲通報後已經修補根本問題，並調查可能的影響。該公司表示不認為有任何人會因此取得用戶純文字格式的密碼。不過Slack表示為安全起見，仍然為這些用戶重設密碼，他們必須設定新密碼才能再次登入。</p> <p>使用者可在<a href="https://my.slack.com/account/logs" target="_blank">https://my.slack.com/account/logs</a>檢視帳號的個人存取記錄或下載完整的 CSV 報告。Slack也建議用戶啟用雙因素驗證、使用的服務建立不重複的全新密碼，以及善用密碼管理工具，並確保電腦軟體和防毒軟體更新到最新版本保護帳號安全。</p> </div></div></div>
2022/8/8 11:03作者林妍溱https://www.ithome.com.tw/news/152355
整合端網雲改善資訊基礎架構，桃園捷運透過數據分析強化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2017年桃園捷運機場線通車後，這一條全長53公里，跨越桃園市、新北市、臺北市及桃園國際機場的路線，不只是國外觀光客抵達臺灣，前往市區的重要交通運具，也是國人上下班、上下學的重要通勤方式。</p> <p>然而，在新冠肺炎全球大爆發後，嚴格管控出入境的防疫策略下，國外旅客驟減，國人也減少出國旅遊計畫，民眾減少外出活動，使得桃園大眾捷運公司（以下簡稱桃園捷運或桃捷）旗下這條線路的運務量大減。</p> <p>疫情爆發前，2019年時，機場捷運一年總運量為2,796萬人次，平均每日運量約7.6萬人次，而在疫情影響的2020年，年度運量大減至1,852萬人次，平均每日運量也縮減至約5萬人次。</p> <p>儘管機場捷運受疫情衝擊而運量銳減，但並沒有停下發展腳步。去年桃園捷運與交通部鐵道局合作，推動5G智慧鐵道運輸及監理環境，從端、網、雲三部分，為桃園捷運的智慧化營運奠定基礎。其中雲的部分，桃捷規畫打造私有雲平臺，推手正是在桃園捷運企畫處資訊組擔任正工程師兼經理的李鴻志。</p> <p>在進入桃園大眾捷運公司之前，李鴻志曾在資訊服務產業工作，具有豐富的軟體開發及系統整合經驗，在機場捷運線正式通車營運前，他在2016年加入桃園捷運，待過負責車輛、機電、軌道等維修及研發的維修處。</p> <p>在維修處期間，李鴻志曾花約一年時間自建一朵測試雲環境，蒐集IoT物聯網數據，包括車載號誌擷取數據、空氣盒子數據、MMS維修管理系統數據進行分析，與維修處研發團隊合作，打造列車舒適度即時監控儀表板，透過儀表板顯示空氣品質、車廂擁擠程度、震動感測等，以掌握旅客乘車舒適度。他還參與開發車載號誌即時健康指數儀表板，顯示列車動向、車輛健康狀態。</p> <p>李鴻志後來轉至負責行車控制、車務、站務、票務的運務處，再調到負責策略規畫的企畫處，今年成為資訊組正工程師兼經理，帶領桃捷IT團隊</p> <p><span style="font-size:28px;"><strong>打造私有雲架構</strong></span></p> <p>雖然桃園捷運機場線2017年才通車，但由於桃園捷運規畫較早，採用IBM主機切分VM虛擬主機，每臺機器資源不易共享，去年，資訊團隊開始規畫私有雲架構，從2022年開始建置。</p> <p>為了提升資源的共享，這個私有雲在IaaS層，規畫採用OpenStack加上K8s，並搭配Ceph數位定義儲存，當資料庫資源不足時，將儲存資源定義分配給個別的資料庫使用。PaaS層的資料交換，將採用MQTT及Kafka，透過MQTT蒐集IoT設備資料，並以Kafka作為資料匯流排，處理大量資料，送到NoSQL或SQL Server作資料倉儲，搭配Log紀錄告警。</p> <p>鑑於舊有系統仍採用Windows環境，私有雲除了支援容器，追求資源的靈活調度，也順應舊系統的需要，繼續支援VM虛擬主機。</p> <p>李鴻志表示，相較於以單機主機切分VM的架構，除了資安的問題之外，資源不易共享，雲架構可以加入集群方式，讓CPU、RAM、儲存等資源共享，當微服務需要更多的資源時，就能以數位定義擴充。這個私有雲也為未來推動5G IoT大數據處理作好準備。</p> <p>李鴻志解釋，當微服務或數據蒐集在特定的主機，隨著數據量的增加，傳統的方式需要移機到另一臺更大的主機，採用雲系統的優勢是，可利用平行擴充增加資源。私有雲將於2023年完成，未來新架構逐步取代舊架構。</p> <p>「任何數據的蒐集都是為了智慧化，這是基本功」，大量的數據蒐集回來後，搭配私有雲系統，承接龐大的數據量，透過私有雲的橫向擴充優勢，能夠更靈活擴充資源，也善用雲來提供備援。</p> <p>「IT建立雲系統等基礎建設，營運單位從端取得資料，透過IT的標準化雲使用方式，將資料拋到雲，進行BI分析」，李鴻志說明桃捷的端、雲策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%96%87%E5%BD%AC-%E6%A1%83%E6%8D%B7-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 472px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span><br /> <span style="color:#696969;"><strong>桃園捷運企畫處資訊組正工程師兼經理李鴻志表示，IT建立雲系統等基礎建設，營運單位從端取得資料，透過IT的標準化雲使用方式，將資料拋到雲，進行BI分析。</strong></span></p> <p><span style="font-size:28px;"><strong>從OT端蒐集更多數據輔助決策</strong></span></p> <p>在這波新冠肺炎疫情衝擊之下，民眾基於防疫減少外出，使得鐵道業者的旅客載運量驟減，在經營上面臨更為嚴峻的考驗，桃園捷運也不例外，需要更精準的下決策，例如依據乘客數量的增減，判斷某個時段加開或是減少班車。</p> <p>然而，營運決策需要蒐集OT設備端的運作數據，例如軌道旁號誌資料、月臺資料、車站內電梯資料，這些資料在鐵道業而言，過去都在封閉的OT環境，由行控中心監控即時數據，確保系統設備的正常運作，要自行控中心以外取得資料並不容易。</p> <p>李鴻志表示，過去，OT領域常將封閉網路環境視為安全，但現在意識到OT不一定能做到完全封閉，因為一方面想要確保資安，另一方面又想要獲取其中的資料來進行分析，協助營運、維修或供決策之用。</p> <p>為此，桃園捷運在強化端、網、雲的基礎架構中，端的部分由各個單位研發相關技術，例如從OT端透過自行研發、委外研發的技術蒐集數據，目前已有一些成果。</p> <p>以行控系統的中央列車自動監視（Automatic Train Supervision, ATS）控制系統為例，為提供全面的捷運營運控管，包括列車動態，開往哪裡、經過哪些軌道電路、轉轍器、月臺門、供電資料等等，最直接的方式是自系統取得原始數據，但可能是原廠一連串位元組，只能透過SCADA圖控畫面，才能瞭解列車將進入哪個車站、哪個月臺門狀態。</p> <p>為了取得ATS系統數據作分析之用，他們委外開發，運用AI影像辨識SCADA的圖控畫面，以間接的方式轉換為數位資料，作為後續的數據分析，輔助經營決策。</p> <p>除了軌旁號誌的數據，還需要取得車載號誌的數據，兩者相互對應，才能掌握捷運列車前方的路能不能行駛、車速應該多快，由於列車行駛速度快，以時速80公里為例，列車1秒行駛距離達22公尺，指令晚下1秒就可能錯過時機，因此車載號誌每秒回傳即時資訊。</p> <p>透過自行研發，以側錄取得車載號誌系統每秒回傳資訊，包括列車位置、駕駛模式、目的地，哪輛車在北上方向哪個車站月臺，該列車為自動駕駛或手動駕駛，列車ATP保護裝置是否有效，車載設備是否健康等等。</p> <p>因捷運列車移動，目前桃捷是透過4G網路，回傳車載號誌數據及車廂內監控影像畫面，因監控影像只有300萬畫素，利用4G網路回傳資料已足夠，但考慮到未來更高畫質的影像傳輸或AI應用需要，視捷運沿線5G基地臺涵蓋情況，明年計畫改用5G網路取代4G。</p> <p><span style="font-size:28px;"><strong>透過數據分析輔助決策</strong></span></p> <p>明年私有雲上線後，根據不同的數據分析需求，送到私有雲架構不同資料庫，如非關聯性資料庫MongoDB，可直接餵入JSON格式資料，用於資料交換、網頁呈現，或將數據送至關聯性資料庫，如MySQL、SQL Server，透過儀表板呈現數據或BI商業智慧分析。</p> <p>李鴻志表示，從OT取得的數據的目的是進一步分析運用，在這個過程中， IT的角色是完成基礎建設，例如私有雲系統及標準化的使用方式，各營運單位從端取得OT數據後，拋到雲端資料庫使用BI工具進行分析。未來桃園捷運新的路線通車，也能從新系統撈取更多值得分析的數據。</p> <p>儘管桃捷IT團隊規模並不大，資訊組人數為15人，和其他捷運同業的資訊部門相比規模較小，但編制在企畫處底下，IT扮演資料匯流、資料管理者，協助經營管理層所需資料，如人員、財務、會計等，協助與成本、收入有關的資料分析，輔助經營決策。</p> <p>李鴻志表示，蒐集OT數據加以分析輔助決策，甚至可發展出專家系統。舉例來說，當發生4級以上地震時，列車放慢速度進行巡軌，過去是交由人工依據經驗判斷如何巡軌，未來發展出專家系統後便能自動計算巡軌時間，安排A、B、C列車執行巡軌。</p> <p>在車輛維修方面，蒐集車載號誌系統每秒回傳的數據，維修單位能掌握車輛的健康情形，甚至做到預測性維修，一些設備故障在發生前有前兆訊息，前兆可能出現僅僅1秒，側錄車載系統每秒回傳數據，當發現前兆訊息，預估故障的可能性高，在發生之前先進行維修，以避免故障發生後才維修的高成本，例如列車因故障無法發車，為旅客處理退票或安排換乘其他列車、交通工具，媒體大篇幅報導還會造成公司商譽損失等。</p> <p>另外，因機場捷運經過桃園棒球場，每當舉行棒球比賽或演唱會，旅客就會增加，捷運公司需要研判是否需加開班車，雖然各車站的售票資料每15分鐘回傳一次，但僅集中至票務中心，如經營管理層要求票收數據，需要以人工方式取得售票資料，處理相當費時，最快取得昨天的資料，因此過去捷運公司得在活動前一晚作決策，而且仰賴人工經驗判斷。</p> <p>未來私有雲上線後，每15分鐘的票收數據蒐集至私有雲，綜合其他系統的數據進行BI分析，由於更貼近各車站真實售票數據，不再需要前一晚依據人工經驗判斷，在比賽或演唱會當天，根據更即時的數據下決策。</p> <p>「過去以人工處理資料，花費許多時間，自動化的目的是加快分析速度，提供有效的分析，並且提升決策速度」，李鴻志說。</p> <p>由於鐵道事業售票金額並不高，鐵道業經營並不容易，業者均希望從大數據中煉金，設法增加營收，特別是加開列車班次，意謂著用電成本增加，同時需要安排服務人力，因此對鐵道業而言，依據數據分析輔助經營決策相當重要。</p> <p>桃捷曾從售票數據發現，許多到桃園棒球場觀看比賽的球迷來自臺北市、新北市，不少球迷可能2到4人自行開車到棒球場，為了吸引球迷搭捷運看棒球，桃捷和棒球場異業合作，推出看球賽回程免費搭捷運，以吸引球迷願意搭捷運看比賽。</p> <p>透過端、網蒐集更多營運數據，再經由私有雲分析運用，桃捷希望加快分析改善內部經營決策，未來這個私有雲也會和交通部的鐵道營運安全雲介接，將部分營運數據上傳至鐵道雲，讓主管機關根據鐵道業者的數據，研究擬定鐵道管理政策。目前桃捷正與鐵道局合作，為營運資料上傳至鐵道雲制定標準，未來不只是桃園捷運，其他鐵道業者也會依這個標準上傳資料至鐵道雲，讓主管機關掌握營運資料，協助改善我國鐵道監理決策。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>桃園大眾捷運企畫處資訊組正工程師兼經理李鴻志</strong></p> <p>學歷：世新大學傳播管理學系</p> <p>經歷：曾在資訊服務產業工作，具有軟體開發、系統整合經驗，2016年進入桃園大眾捷運，在維修處、運務處、企畫處擔任正工程師、正管理師等職務，在維修處曾參與IoT數據分析運用，並自建智慧維修測試雲，後來升任企畫處資訊組經理帶領IT團隊</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E6%8D%B7-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 200px;" /></p> <p><strong>桃園大眾捷運</strong></p> <p>地址：桃園市大園區領航北路四段251號</p> <p>成立時間：2010年</p> <p>主要業務：機場捷運服務</p> <p>員工數：約1,140人</p> <p>董事長：劉坤億</p> <p>總經理：鄭德發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：企畫處資訊組正工程師兼經理</p> <p>資訊部門主管姓名：李鴻志</p> <p>資訊部門人數：15人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：ERP/EIP系統上線</p> <p>2016年：通過CNS27001/ISMS資安驗證</p> <p>2017年：推出MMS維修管理系統、遺失物管理系統上線</p> <p>2018年：文件管理系統、物品管理系統上線</p> <p>2019年：推出站務管理系統</p> <p>2020年：票務帳整系統上線</p> <p>2021年：運務支援系統上線</p> <p>2022年：車務行控系統上線、規劃建置桃捷雲私有雲系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cio_talkzhu_tu_.jpg" width="960" height="420" alt="" title="桃園大眾捷運企畫處資訊組正工程師兼經理李鴻志　（攝影／洪政偉）" /></div></div></div>
2022/8/8 07:00作者蘇文彬https://www.ithome.com.tw/people/152311
【iThome 2022 CIO大調查(上)】因應新常態挑戰，企業IT投資今年2位數大成長
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p2-ittou_zi_-150dpi-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣今年進入了截然不同的新常態，與疫情共存，成了企業的日常。臺灣大型企業的IT投資再次出現了2位數的大成長，但是，今年CIO的任務有了根本性的改變。</p> <p>臺灣大型企業今年IT投資成長率高達了10.8％，這是6年來的新高，連續兩年達到2位數的成長力道。去年IT預算的暴漲，是為了因應疫情突然爆發的應變，尤其是一般製造業、高科技業和金融業的IT預算都有2位數的成長，超過了10％。</p> <p>到了今年，整體平均IT投資高達10.8%的成長率，略高於去年，2022年的平均IT投資金額則達到了1億6千多萬元，和去年相當。但從產業來看，明顯與去年不同。服務業、醫療業、一般製造業和金融業的成長率都達到了2位數，更多企業大幅成長，但去年暴增的高科技業，在今年反而只有7.4%的成長。</p> <p>值得注意的是，醫療業和服務業在去年是IT投資力道較弱的兩個產業，今年反而超車，成了領先者，尤其服務業從去年的7.9%，在今年暴增到14.6％。新常態帶來的蓬勃零接觸經濟，更多線上消費模式的崛起，外送甚至成了各種生活產品到家的常見手段，人們逐漸習慣了因疫情而興起的新數位消費方式，這也讓服務業在今年大力加碼投資IT，來發展更多數位服務和平臺。</p> <p>而站在抗疫最前線的醫療業，今年首度面臨了新一波疫情帶來的爆量就診考驗，這是過去醫院少見的新挑戰，但也加速了政府推動遠距醫療的決心。<a href="https://www.ithome.com.tw/article/152064" target="_blank">衛福部在今年7月公告了新版醫療機構電子病歷製作及管理辦法，不只允許醫院委外建置電子病歷系統，更開放電子病歷可以上公有雲，也同意醫院可以做到全面無紙化。</a></p> <p>這些變革都需要仰賴IT技術的支援，也帶來了一波醫院IT現代化的趨勢，已有少數醫院已經展開HIS系統大改造，有些醫院例如中國醫藥大學附設醫院用容器技術和微服務架構，分階段改造500多套HIS子系統，來推動HIS優化再造，或像是國泰醫院則在去年展開了HIS雲端轉型專案，將過去的單體式系統，拆解成多套雲端的中臺系統，也同樣要採用微服務，還計畫要打造一套FHIR電子病歷交換雲平臺。今年可以看到更多醫院投入IT現代化。</p> <p>投入數位轉型的企業今年持續增加，近7成開始進行，但有3成企業今年更因為新常態的考驗，決定加入推動轉型。IT部門和全公司遠端能力的強化是多數企業已經具備的基本能力，近3成企業開始提高上雲比重或是加速IT現代化，也有14.2%企業要提升DevOps能力，這些都是為了讓IT更敏捷，更能因應新常態的變化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi(1).png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi.png" style="width: 595px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a></span><span style="color: rgb(255, 255, 255);"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152318
【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p3-ciomu_biao_-150dpi.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年CIO年度目標的排序，出現了很大的變化，這也反映出CIO在2022年的挑戰有別於往年。</p> <p>除了年年看重的資安和IT穩定依舊名列一、二名之外，在與疫情共存的新常態之下，企業更需要IT的敏捷能力，來滿足更多零接觸與數位化的業務需求，讓加快IT反應能力和彈性的目標，超越了數位轉型，成了CIO今年名列第三的年度工作目標。反倒是提升營運效率和降低成本這兩項目標，掉出了CIO十大目標排名之外，重視的CIO不再像過去那麼多。</p> <p>另一個新興的CIO工作目標是ESG企業永續發展，這是近兩年崛起的企業發展課題。往年只有近2成CIO同時會考慮企業永續議題，但在今年，多達30.5%企業CIO，將ESG列為年度目標，遠高於去年的16.3%。</p> <p>為了因應新的目標，企業越來越仰賴IT開發能力，平均企業IT人數近50人，開發人力比重超過一半，甚至IT 規模排名前5％的企業，他們至少都建立了超過230人的團隊，開發人力也超過百人。今年更有4成企業要擴編IT團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi-V2.png" style="width: 589px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A84%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A85%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a></span><span style="color: rgb(255, 255, 255);"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152319
【iThome 2022 CIO大調查(上)】IT成為ESG浪潮關鍵角色，金融和高科技最積極
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p4-esg-150dpi.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月國發會公布了臺灣的「臺灣2050淨零排放路徑」，對臺灣企業永續發展帶來了很大的影響。KPMG安侯永續發展顧問公司執行副總林泉興強調，這項路徑圖將永續議題的影響，從少數產業，跨大到政府部門和各企業。</p> <p>林泉興解釋，這份淨零路徑最大的特色是「高度生活化」，要從電力，消費、商業行為等各種生活化場景，全都要一起來做到。「本來淨零浪潮以工業、製造產業為主，但未來會影響到所有的人。」</p> <p>淨零目標帶來了更多IT的責任和挑戰。林泉興表示，從這份新路徑圖，可以看到臺灣能源配置策略的調整，要提高再生能源的比重，也帶來企業對供電不穩的擔憂，帶動了儲能系統建置需求，另一方面，為了追蹤碳足跡，不少製造業積極建置數位電表來監控製程設備的能耗，這些都需要聯網才能即時監控，這些為了淨零的數位手段，逐漸成為IT維運的重點。</p> <p>在今年CIO大調查中，也反映出這股新的趨勢，ESG成為企業CIO在2022年的重要目標之一，整體產業來看，今年有30.5%企業CIO將ESG列為年度工作目標，金融業和高科技更是超過了4成。</p> <p>不少金融業紛紛宣示了2030年的淨零目標，也有不少企業因此開始進行溫室氣體排放量的盤查，進一步提高機房和營運設備的能源效率，甚至會考慮改投資高能效的IT基礎設施，或者逐漸將實體機房雲端化。這也讓1成企業CIO，今年也將淨零碳排列為重要的年度目標，又以政府與學校（18.9%）和一般製造業（16.8%）的CIO居多。</p> <p>許多企業紛紛利用數位或資訊手段來因應ESG的需求，例如56.3%企業要推動內部作業的無紙化，或是近半數企業則想提升機房節能省電效率，更有27.2%企業認為提高上雲比重也是一種因應ESG的IT做法。</p> <p>2成企業開始將數位轉型大戰略對齊ESG目標，IT也開始參與企業ESG績效的指標設計，方便在資訊系統上埋設各種監測機制即時搜集數據。這些做法都需要IT涉入許多企業業務運作，因此，企業營運高層的永續發展委員會，也開始納入CIO和資安長，例如有12.7%CIO已經加入，也有1成企業是找來資安長參加。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-122dpi.png" style="width: 595px;" /></p> <p><span style="font-size:28px;"><strong>給企業CIO推動ESG的四個建議</strong></span></p> <p>林泉興認為，擁有數據和開發人力的CIO，得從過去幕後支援的角色，轉變為第一線主導者，用數位手段或監控技術，來提高企業的能源效率，甚至得影響到物流、綠電、企業商業模式等。</p> <p>第一步，他建議，企業先盤點出內部營運能效的使用者需求，第二步才導入內部的碳排管理平臺，第三，CIO應該參與永續委員會，善用數位手段支援各部門淨零。</p> <p>最後一項建議是，林泉興指出，因為企業日後需要搜集外部的碳排數據，因此往來的上下游業者日後都會要求企業提供碳排放數據，CIO必須擴大EGS的思考高度，從企業營運面的價值鏈，來思考IT的ESG做法，例如可以預先思考更多營運環節來搜集相關碳排數據和節能省電的優化做法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-117dpi.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#FF8C00;"> 問卷執行說明 </span> </strong></span><span style="color:#696969;"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></a></span><span style="color:#FFFFFF;"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152320
【iThome 2022 CIO大調查(上)】企業永續新常態下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與疫共存，成了企業的新常態，CIO的責任和挑戰也有很大的轉變，從短期IT抗疫以強化韌性，轉而聚焦ESG來實現企業永續。IT必須更深入企業營運，IT投資成長率再度創新高</p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152321
開發者的知識焦慮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年iT邦幫忙鐵人賽時，iThome社長谷祖惠曾經談過鐵人賽的創辦原因，她說：<a href="https://bit.ly/3NaBvvF" target="_blank">「2008年時有感於IT人面對不斷變化的環境，必須時時刻刻學習新知，是一個格外辛苦的工作」</a>，為此希望鐵人賽作為舞臺，以發掘更多優秀人才。</p> <p>雖說時時刻刻學習新知，各行各業都一樣，然而在程式開發這個領域，知識的誕生、累積的速度實在太快了，這就使得步入此一領域的開發者，必然會面對知識焦慮的問題。畢竟人的時間有限，試圖跟上、吸收一個知識無限增長的領域，本質上就是不可能的事情。</p> <p><span style="font-size:28px;"><strong>擺脫不了的焦慮</strong></span></p> <p>有不少的書談如何處理資訊焦慮，有人鼓勵運用處理資訊焦慮的方式，來處理開發者的知識焦慮，也有不少開發者專門針對開發領域，談怎麼處理知識焦慮，有些教你按部就班，有些建議放棄無止盡的追逐，有些鼓勵開發者構築個人專屬的領域……但這麼做的話，就能夠擺脫知識焦慮嗎？</p> <p>不會！這並不是說談知識焦慮處理的相關內容沒有用，適當地採納走過焦慮之人的建議，確實是可以緩和焦慮，然而，我可以告訴你，每個階段都會有每個階段不同的焦慮，但別想著去擺脫焦慮，就我認為，最好的方式是，去認知到知識焦慮的存在，知道它的來源或處於哪個階段，才能採取適當方式，來滿足焦慮跟開發者之間的平衡。</p> <p>為什麼是滿足焦慮跟開發者之間的平衡？焦慮會造成壓力，然後壓力並非不好，有位職能治療師的朋友曾經跟我說過「人沒有壓力會死」。適當的處理方式可以滿足焦慮，焦慮就可以提供適當的壓力，滿足開發者成長的需求。</p> <p><span style="font-size:28px;"><strong>入門新手的焦慮</strong></span></p> <p>就每個開發者而言，必然會歷經的階段，應該是入門新手焦慮吧！其實，在這之前，還有個蜜月期階段，而開發者會走過蜜月期的原因很多，也許是參加過人人都能寫程式之類的活動，覺得程式很好玩，或許是因為好奇摸索做出了個不錯的玩具而成就感大增，可能是因為想轉職，參加了課程按表操課，像是使用材料包般地，糊了個看來還像樣的作品等。</p> <p>以我來說，大概就是畢業後覺得電機非我路，還是換條跑道，然後回想過去大學時喜歡接觸電腦，數值方法課程用Visual Basic硬搞了視窗介面的作業，自以為有興趣地就進入程式開發領域，玩了一陣子，蜜月期過後就進入知識焦慮，因為察覺了「在這個領域我的能力如此不足」。</p> <p>那時的焦慮嚴重到出現下列狀況：我經常跑到書局裡，摸著書架上一本一本的程式開發相關書籍，想像著以後自己會有這些知識，就能覺得有安全感。而對於我這種轉換跑道的人來說，焦慮來源是很現實的，關乎能不能在職場上存活下來，畢竟我也無法確切地得知，自己在這個領域的知識是否Job Ready了！</p> <p>有些人並不是轉換跑道，然而Job Ready的概念也可以看成：面對自己想完成的目標（專案、比賽等），不確定是否具備了足夠的知識，心裡總覺得有著不安之處。這個階段的尷尬之處在於，想在社群裡做個有智慧的提問，都會是種壓力！</p> <p><a href="https://bit.ly/2MWABnN" target="_blank">〈Why Learning to Code is So Damn Hard〉</a>貼切地將入門新手的焦慮畫分為四個階段，第一個階段就是蜜月期，其中，也談到怎麼度過信心的谷底，來到Job Ready的狀態；<a href="https://bit.ly/3n8oPL3" target="_blank">〈How I’m working to overcome my struggles as a junior developer〉</a>也談到了一些實際的案例，以及關於怎麼處理焦慮。</p> <p><span style="font-size:28px;"><strong>閃亮症候群的焦慮</strong></span></p> <p>該怎麼離開入門新手的焦慮階段？每個人的方式不同，開發者一定也看過許多的相關書籍或文件，但大抵來說，也就只能一步一腳印，直到某天發現，其實這陣子工作上面對的任務，大致都能完成了，而接下來的可能發展之一是，這種暫時舒緩的感覺帶來一些餘裕，讓開發者有機會伸展觸角，涉獵相關或跨足其他領域。</p> <p>若說Job Ready面對的是知識深度的問題，涉獵相關或跨足領域就是面對廣度問題，只不過就程式開發而言，這個「廣」實在太廣了，這很容易令人陷入選擇困難，然後就開始進入另一個焦慮階段，開發者會跟隨（follow）各個大神、加入一大堆討論社團、參與各種社群活動等，就深怕遺露什麼，被技術給拋下了。</p> <p>另一個可能的發展樣態是，好不容易才來到Job Ready狀態，正想暫時喘口氣時，各種新技術會因為某些因素，未經同意地就堆砌到開發者的眼前，於是開發者開始厭惡那些將知識帶來的人們，心想著為什麼要告訴我這些？何必再學這些？有人幹嘛吃飽沒事推廣這麼多技術？這些技術大神們憑什麼擁有發言權？</p> <p>對於那些閃耀著光芒的玩意兒或大神，有些人嚮往，也有些人厭惡，無論開發者察覺到自己是前者或後者，甚至兩者都有，大概就是有了閃亮症候群（Shiny Object Syndrome）的焦慮。</p> <p>許多人談到開發者知識焦慮時，多半談的就是這個階段，有人說工作上用得到的再學就好，有的建議不要碎片化學習，有些鼓勵建立自己的知識體系，從心態上著手的方式也有，像是倒空自己、以終生學習為目標等，這類建議甚至出了一本書《學徒模式》。</p> <p>另一方面，除了少數想假裝大神的詐神，我相信，多數倡議技術者並不是想成為大神，至少以我而言，倡議某些事，往往目的是為了「輸出」，無論輸出的形式是透過文件、書籍或參與社群活動等，作為一名開發者，輸出可以帶來許多好處，至少我就是這麼跨過這個階段的焦慮。</p> <p><span style="font-size:28px;"><strong>冒牌者症候群的焦慮</strong></span></p> <p>在閃亮症候群之後，很容易面對的是冒牌者症候群，例如，雖然我不這麼認知，然而，我相信很多人將我視為大神，畢竟在資訊不對稱的情況下，大多數人在缺少某些知識背景的情況下，看到我的輸出，會誤以為我玩弄了什麼神奇的魔法。</p> <p>其實「知道的就是知道」，有相關知識的人，自然知道我在玩弄什麼，而且，知道那並不是什麼了不起的東西。</p> <p>如果開發者有冒牌者症候群的想法，其實沒有關係，因為這並不是什麼太壞的東西，只要我們能夠意識到它的存在，不要因此而逼迫自己負擔過多的壓力就好。冒牌者症候群其實是資訊不對稱下產生的，有時稍加利用，也不見得是壞事，畢竟工作謀生有時也需要，只是別過火而成為詐神就是了。</p> <p>即便過了冒牌者症候群的階段，開發者的知識焦慮還是會有新的來源，例如，有些人可能知道，我每隔一或兩星期就會有新的繪圖或3D創作，這是因為若太久沒從事這類活動，我就會覺得自己是不是沒有靈感，沒有前進的方向了，有天我意識到這是創作者的焦慮，就稍微體會到，有些藝術家為什麼會為了創作而瘋狂了。</p> <p>開發者面臨知識焦慮不見得是壞事，重點在於能夠意識到它的存在、與之共處，才能找到彼此滿足的平衡點，至少每次我因焦慮而又找到新靈感，之後做出了有趣的繪圖或模型而開心，焦慮也會安份一陣子，至於下次又出現焦慮，那就是作為前進的動力罷了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%9F%A5%E8%AD%98%E7%84%A6%E6%85%AE">知識焦慮</a></div><div class="field-item even"><a href="/tags/%E9%96%83%E4%BA%AE%E7%97%87%E5%80%99%E7%BE%A4">閃亮症候群</a></div><div class="field-item odd"><a href="/tags/%E5%86%92%E7%89%8C%E8%80%85%E7%97%87%E5%80%99%E7%BE%A4">冒牌者症候群</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E6%89%8B">新手</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC">程式開發</a></div></div></div>
2022/8/8 07:00作者林信良https://www.ithome.com.tw/voice/152322
【資安週報】2022年8月1日到8月5日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周數十起全球資安新聞中，國人最關心的莫過於近日一連串國內發生的事件。面對中國常年持續不斷的軍事恐嚇行為及網路攻擊，在美國眾議院議長裴洛西（Nancy Pelosi）出訪新加坡、馬來西亞、臺灣、韓國與日本之際，隨著國際目光聚焦於臺灣，臺灣網路攻擊活動水準上升已是常態，因此我國政府也嚴正以待，而國內也確實遭遇了許多網路攻擊事件，成為本周資安焦點。</p> <p>例如，本周裴洛西抵臺前後，攻擊者使用網路攻擊常見的DDoS攻擊手法，造成我國多個政府組織官方網站服務無法正常運作，所幸有所因應之下，影響時間不長。更受普遍民眾關注的是，國內還發生數位電子看板內容遭置換的攻擊，包括統一超商7-11櫃臺後方數位電子看板、還有台鐵左營站與南投路邊的電視牆，這也讓大家關注到，場域合作的聯播廣告業者，可能普遍存在資安管理不足情形，但因這些設備多布署在公共場域，將為社會層面帶來不小影響，而場域業者對於合作夥伴的資安要求，以及這類產業不是政府關鍵CI所擴及的範圍，都將成為討論焦點。另外，網站置換的攻擊也仍發生。</p> <p>雖然這些置換內容的攻擊行動，多半不是使用高階的攻擊技術，但也要注意這些破口是否被更多利用，是否還有橫向移動攻擊擴散的行為，這方面的偵測、監控能力，也將是國內更須關注的面向，其他機關與民間產業同樣需引以為戒。</p> <p>國際間也發生不少資安事故，並是牽扯高科技製造、能源產業、軍事產業，而備受注目，包括德國半導體製造商Semikron遭LV勒索軟體攻擊、歐洲大型能源業者Encevo遭勒索軟體BlackCat攻擊、歐洲導彈製造商MBDA遭竊取機敏資料。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152346#1"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_AA.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#2"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_CC.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_EE.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#4"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#6"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong><br /> </p> <p id="3"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA警告Confluence漏洞已被駭客鎖定利用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg" style="width: 220px; float: right;" /></a></p> <p id="4">兩週前Atlassian旗下企業協同軟體Confluence修補三個漏洞，其中CVE-2022-26138的密碼寫死漏洞最受注目，美國CISA在7月29日警告，發現已有駭客鎖定該漏洞攻擊，因此納入「Known Exploited Vulnerabilities」清單，要求聯邦機構在3週內儘速完成修補。事實上，對於這項漏洞Atlassian之前已警告，已經有人將該服務的密碼公布在網路上，而另一家資安業者在7月27日也曾發布報告指出該漏洞正被廣泛利用，如今CISA證實該漏洞備索定利用的情形，尚未修補的用戶應儘速採取行動，避免成為易受攻擊的Confluence伺服器。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/living-off-windows-defender-lockbit-ransomware-sideloads-cobalt-strike-through-microsoft-security-tool/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客利用Log4j漏洞以微軟防毒軟體側載部署LockBit 3.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="cursor: default; width: 300px; float: right;" /></a>在勒索軟體攻擊行動裡，駭客濫用受害電腦內建工具的情況相當常見，就連防毒軟體也不例外。例如，資安業者SentinelOne發現，使用LockBit 3.0發動勒索軟體攻擊的駭客，近期鎖定受害電腦內建防毒軟體Microsoft Defender下手，以DLL側載（DLL Side-loading）的方式，載入滲透測試工具Cobalt Strike的Beacon，目的是為了規避各式資安防護系統。</p> <p id="1">研究人員指出，這些駭客使用遠距工作平臺VMware Horizon的Log4Shell漏洞入侵組織，然後透過PowerShell執行Microsoft Defender的命令列程式MpCmdRun.exe，此程式在運作過程會載入mpclient.dll，最終解密並於受害電腦投放Cobalt Strike的Beacon。研究人員認為，駭客這麼做的目的，是為了規避現行針對VMware Horizon的各式偵測手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府網站傳出遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></h3> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日晚間抵達臺灣，引起全球矚目。但在此之前，我國數個政府機關傳出網站遭到DDoS攻擊的情況。總統府表示在昨日傍晚約5時15分起，網站遭到境外DDoS攻擊，流量為平時的200倍，經處置後約於20分鐘恢復正常。但遭到DDoS攻擊的可能不只有總統府，根據<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">美國媒體NBC News報導，國防部、外交部，以及桃園國際機場的網站，疑似也遭到攻擊</a>，不過，僅外交部<a href="https://www.ettoday.net/news/20220802/2307742.htm">有國內媒體指出</a>，網站可能因遭到攻擊而一度無法運作。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">國防部證實8月3日網站遭到DDoS攻擊</span></a></strong></h3> <p>國防部於8月4日證實，他們的網站約於3日晚間11時4分起，陸續遭到DDoS攻擊，並於11時27分流量過大導致服務中斷，經流量清洗與封鎖惡意中繼站，該網站於4日零時30分恢復運作。</p> <p>而這起事故似乎已經不是國防部網站因裴洛西訪臺而遭到攻擊。<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144" style="color: rgb(7, 130, 193);">根據美國新聞網站NBC News的報導</a>，8月2日至少有4個政府網站遭到DDoS攻擊，而其中一個就是國防部的網站。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></h3> <p>美國聯邦眾議院議長裴洛西訪臺引起中國不滿，該國解放軍在今日中午12時於臺灣周邊軍演，傳出桃園國際機場取消部分航班因應。但在軍演之前，卻傳出機場網站遭到攻擊而無法運作的情況。根據<a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);">經濟日報</a>、<a href="https://www.ettoday.net/news/20220804/2308824.htm" style="color: rgb(7, 130, 193);">聯合新聞網</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4014051" style="color: rgb(7, 130, 193);">自由時報</a>的報導，今日上午8時起，桃園國際機場的網站出現無法運作或是執行緩慢的現象。</p> <p id="2">根據上述的報導，知情人士透露這起事故發生的原因。起因疑似駭客持續發動攻擊，並屢次企圖登入網站，消耗伺服器大量運算資源，導致網站無法瀏覽。對此，<a href="https://www.taoyuanairport.com.tw/pressrelease/653115D9-AA13-ED11-BBC8-005056BD475F" style="color: rgb(7, 130, 193);">桃園國際機場也發出聲明</a>，表示網站從上午8時許出現連線不穩定的情況，他們在11時排除。該公司亦指出內部網路、行動裝置App，以及機場營運皆正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 300px; float: right;" /></a>美國聯邦眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺後，今日早上許多民眾臉書分享在不同7-11便利商店，看到結帳櫃臺後方的廣告螢幕，播放「戰爭販子裴洛西滾出台灣」的影像，有民眾質疑是廣告還是被駭？對此事件，7-11表示由他們統一回應：「廠商受不明來源干擾播放訊息。」中央社報導指出，刑事局初步調查為駭客入侵。</p> <h3><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg" style="width: 300px; float: right;" /></a></p> <p>前民進黨桃園市議員王浩宇在臉書張貼照片表示，臺鐵新左營站的大型電子看板竟成為中國駭客統戰工具。該看板出現了簡體中文的文字與五星旗，並指控裴洛西此次來到臺灣，是對中國主權的挑釁。</p> <p>此貼文發布後受到熱烈討論，當中有人指出，其實不光是臺鐵，南投48線道路旁的電子看板，也被竄改成相同的訊息。</p> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p id="6">針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/semiconductor-manufacturer-semikron-hit-by-lv-ransomware-attack/"><span style="color: rgb(0, 0, 0);">德國半導體製造商Semikron遭LV勒索軟體攻擊</span></a></strong></h3> <p>德國半導體元件製造商Semikron於8月1日發出公告，表示該公司遭到勒索軟體攻擊，部分IT系統與檔案遭到加密，並指出駭客宣稱竊得了該公司的資料，但究竟有那些資料外洩？仍有待釐清。</p> <p>根據資安新聞網站Bleeping Computer的報導，此製造商遭到LV勒索軟體攻擊，駭客竊得2 TB資料。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.darkreading.com/risk/european-energy-supplier-encevo-breached-in-attack" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">歐洲大型能源業者Encevo遭到勒索軟體BlackCat攻擊</span></a></strong></h3> <p>勒索軟體駭客組織BlackCat攻擊行動頻頻，這次是針對歐洲能源供應商而來。根據新聞網站Dark Reading的報導，總部位於盧森堡的能源集團Encevo於7月25日發布公告，旗下的供電網路Creos與能源供應商Enovos，先後於7月22日、23日遭到網路攻擊，駭客盜走部分資料。勒索軟體駭客組織BlackCat於29日宣稱是他們所為，總共竊得150 GB資料、共18萬個檔案。Encevo表示，電力與能源供應並未因網路攻擊而中斷，但他們尚在調查資料外洩的情形。</p> <h3><a href="https://securityaffairs.co/wordpress/133881/data-breach/mbda-alleged-data-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客聲稱入侵歐洲導彈製造商MBDA並竊取60 GB機敏資料</span></strong></a></h3> <p>根據Security Affairs報導，指出暗網上有一使用者名稱為Adrastea的攻擊者，宣稱自己入侵了歐洲導彈製造商MBDA，該公司是一間由英國、法國與意大利合組的導彈開發與製造商，駭客聲稱從該公司基礎架構中發現嚴重漏洞，並竊取了60 GB的機密資料，包含員工參與的軍事項目，例如PLANCTON、CRONOS、CASIRIUS、EMADS、MCDS、B1NT等，以及該公司為歐盟國防部進行的商業活動資訊，還有合約協議，以及與其他公司通訊的資訊，目前尚不清楚攻擊者入侵的詳細資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/"><span style="color: rgb(0, 0, 0);">歐洲導彈製造商MBDA證實資料外洩</span></a></strong></h3> <p>在7月下旬，有名自稱是Adrastea的「獨立研究人員」在多個地下論壇聲稱，他找到歐洲導彈製造商MBDA資訊系統的漏洞，並取得相關存取權限，竊得約60 GB機密資料並求售，內容包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約，以及設計文件等資料。</p> <p id="5">到了8月1日，MBDA坦承確實有資料外洩的情況，但宣稱駭客是從外接式硬碟偷得資料，這些資料並非機密，該公司亦強調內部網路並未遭到入侵。但駭客究竟如何透過外接式硬碟取得該公司資料？MBDA不願說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <h3><a href="https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲ENISA發布勒索軟體研究報告，分析過去一年623起事件外洩136TB資料，並指出這只是冰山一角</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg" style="width: 220px; float: right;" /></a></p> <p>歐洲網路資訊安全局（ENISA）在7月29日發布Threat Landscape for Ransomware Attacks報告，當中收集並分析了2021年5月至2022年6月的623起的勒索軟體攻擊事件，當中揭露幾項重點與值得注意的統計數據，例如，他們透過LEDS矩陣（鎖住、加密、刪除、偷竊）與各式資產形式（檔案、記憶體、資料夾等9種），來分類勒索軟體的能力，並對勒索軟體生命週期進行分析。而在他們統計中發現，每月平均有10TB資料被勒索軟體攻擊過程竊取；在95.3%的事件中，受害者是不知道駭客是如何獲取進入企業內部的初始權限，只有29起得出結論；推估有6成受害者支付贖金；至少發現47個不同的勒索軟體攻擊者。特別的是，當中公布受害產業占比統計，以重工業件數最多近130件，資訊服務業超過70件，政府機關超過50件，而ENISA也特別強調，這些已對外揭露的事件，僅冰山一角。</p> <h3><a href="https://www.coveware.com/blog/2022/7/27/fewer-ransomware-victims-pay-as-medium-ransom-falls-in-q2-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近期最常見的勒索軟體為BlackHat與Lockbit 2.0</span></strong></a></h3> <p id="7">CoveWare公布2022第二季勒索軟體報告，當中指出幾個重點趨勢，包括攻擊者的攻擊技術不斷進步，一年前只有少數勒索軟體能加密非Windows作業系統，然而現在卻是幾乎RaaS的勒索軟體服務，都有針對Windows、Linux與ESXI環境提出穩定的版本，他們同時公布第二季常見勒索軟體，前三名為BlackCat（16.9%）、Lockbit 2.0（13.1%）、Hive（6.3%），而第四名Quantum新入榜值得關注。再以產業別來看，受害比例最高的是專業服務機構（21.9%），其次為政府公部門（14.4%）、醫療機構（10%）、軟體服務業（9.4%）、材料業（8.1%）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://cloudsek.com/whitepapers_reports/how-leaked-twitter-api-keys-can-be-used-to-build-a-bot-army/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">3,200款行動裝置App恐洩露推特的API金鑰</span></a></strong></h3> <p>行動裝置App的開發者若是採用了不當的配置，就有可能洩露使用者的社群網站帳號資料，而成為駭客攻擊的目標。資安業者CloudSEK近期找到3,207個App，會洩露推特API金鑰，攻擊者有可能用來存取受害者的帳號。</p> <p id="9">研究人員指出，其中有230個App會洩露全部4種推特身分驗證的憑證，而使得攻擊者能夠完全掌控受害的推特帳號，執行像是轉推、移除追隨者、取得帳號設定等。而駭客在取得這些推特帳號的控制權後，很有可能會組成機器人（Bot）軍隊，以這些帳號來散布假消息。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客鎖定UEFI韌體的惡意攻擊行動，華碩提出進一步說明</span></strong></h3> <p>卡巴斯基研究人員日前公布<a href="https://www.ithome.com.tw/news/152121#CosmicStrand" style="color: rgb(7, 130, 193);">中國駭客鎖定電腦UEFI韌體的攻擊行動</a>，駭客在採用華碩與技嘉H81晶片組主機板上植入惡意軟體CosmicStrand，但表示他們並不清楚駭客部署惡意軟體的方法。對此，華碩向iThome表示，經過他們的調查，駭客並非透過主機板UEFI BIOS的漏洞攻擊，而是主機板的BIOS韌體燒錄器遭到不明外力竄改，或是在更換ROM元件時被植入此惡意軟體。</p> <p id="10">華碩表示，若是使用者購買二手的主機板，有可能會取得內有惡意軟體的產品，他們呼籲這些用戶儘速從華碩網站下載BIOS更新。該公司亦強調購買全新主機板的用戶不會遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://web3isgoinggreat.com/?id=nomad-bridge-exploit"><span style="color: rgb(0, 0, 0);">跨鏈協定Nomad遭入侵，1.9億美元加密貨幣慘遭清空</span></a></strong></h3> <p>駭客鎖定加密貨幣平臺漏洞發動攻擊，並將資金洗劫一空的情況，最近似乎越來越頻繁。跨鏈橋服務業者Nomad於8月2日清晨遭到攻擊，一群發現漏洞的駭客不斷把加密貨幣轉走，導致此系統上價值1.9億美元的加密貨幣，在數個小時後只剩下7.7萬美元。</p> <p>該公司已著手調查，並感謝白帽駭客協助保住部分加密貨幣。然而雪上加霜的是，在此起事故發生之後，竟有詐騙集團假冒Nomad的名義行騙。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">區塊鏈平臺Solana遭到攻擊，近8千個錢包遇害</span></a></strong></h3> <p>在8月2日3日，區塊鏈平臺Solana出現了大量加密貨幣錢包資產被盜的情況，此事亦得到Solana的證實。根據區塊鏈分析業者Elliptic的統計，7,947個Solana熱錢包中的數位資產被盜轉，共有580萬美元數位資產被盜，當中有260萬美元為美元穩定幣（USDC）、180萬美元的SOL幣。研究人員指出，此起攻擊事件疑似與軟體錢包有關，而非Solana平臺程式碼的臭蟲。</p> <h3><a href="https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客開發新的攻擊框架Manjusaka</span></strong></a></h3> <p>駭客在攻擊行動中經常濫用滲透測試工具Cobalt Strike進行偵察，但現在開始有人打算開發新的工具來代替Cobalt Strike，而使得相關攻擊更難被察覺。思科旗下的威脅情報團隊Talos，近期在調查客戶網路環境遭到Cobalt Strike攻擊的過程中，意外發現名為Manjusaka的攻擊框架。此框架的惡意程式使用程式語言Rust開發，並能攻擊Windows與Linux電腦，C2中繼站的部分則是使用Go語言開發，且採用簡體中文介面。</p> <p>研究人員認為，雖然Manjusaka仍在開發階段，但已具備相當強大的功能，駭客日後很可能會用來全面取代Cobalt Strike。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/35-000-code-repos-not-hacked-but-clones-flood-github-to-serve-malware/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客複製逾3.5萬個GitHub儲存庫，意圖散布惡意軟體</span></a></strong></h3> <p>程式碼儲存庫提供的複製功能，讓開發人員能引用他人的程式碼並進一步改寫，但這樣的功能也有可能遭到濫用。軟體開發員Stephen Lacy近日在GitHub上發現，有35,613個儲存庫被用於惡意軟體攻擊，但這些儲存庫並非駭客自行建置，而是複製他人的儲存庫而來。</p> <p>另一名開發者James Tucker表示，這些被複製的儲存庫很有可能還會曝露原始儲存庫的API密鑰、Token、AWS的帳密。GitHub獲報後已刪除上述複製的儲存庫，並強調尚未有證據顯示開發者的帳號遭駭。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">大規模微軟電子郵件信箱服務攻擊再度鎖定企業而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Zscaler近期揭露針對微軟電子郵件用戶的網路釣魚行動，駭客在今年6月，使用了Adversary-in-the-Middle（AiTM）的攻擊手法，來規避多因素驗證（MFA）的身分驗證流程，並使用URL重新導向的方式來規避企業的防護系統偵測。</p> <p>這些駭客攻擊的目標主要位於美國、英國、紐西蘭、澳洲，並鎖定金融、能源、製造業下手。研究人員指出，為了延長攻擊的有效時間，駭客濫用了雲端程式碼編譯平臺，如：CodeSandbox、Glitch等。</p> <p>駭客利用AiTM手法攻擊微軟企業用戶的情況並非首例──<a href="http://www.ithome.com.tw/news/151924" style="color: rgb(7, 130, 193);">微軟在上個月揭露在2021年9月開始出現的攻擊行動</a>。相較之下，發生在今年6月的事故裡，駭客利用了更多隱匿攻擊意圖的手法。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">烏克蘭破獲俄羅斯在基輔架設的機器人農場</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="cursor: default; width: 300px; float: right;" /></a>為了誤導烏克蘭人對戰爭情勢的了解，俄羅斯駭客試圖透過機器人（Bot）農場來大量散播假消息，而且還是在烏克蘭境內部署相關設備。烏克蘭國家安全局（SSU）於8月2日指出，他們破獲俄羅斯人在基輔架設的機器人農場，這個農場擁有超過百萬個機器人，並使用了5千張SIM卡來建置社群網站帳號，該農場亦架設200個代理伺服器，以便隱匿來源IP位址。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">出現鎖定竊取Discord Token與金融資料的惡意NPM套件</span></a></strong></h3> <p>資安業者卡巴斯基在7月28日揭露一起惡意NPM套件活動，其目的是竊取社群平臺Discord的Token與金融資料，該公司說明，他們是透過內部自動化系統監控開源儲存庫時，在7月26日發現NPM中有四個可疑套件包，當中都具有高度混淆的Python與JavaScript程式碼，他們將此惡意活動稱之為「LofyLife」。具體而言，卡巴斯基所發現Python的惡意程式，是Volt Stealer開源Token記錄器的修改版本，其作用是在受感染的機器上竊取Discord Token與受害者IP位址，並透過HTTP上傳，另一名為Lofy Stealer的JavaScript惡意軟體，則是為了感染Discord用戶端檔案而建立，主要是監控受害者的行為，包括用戶何時登入、更改電子郵件或密碼、MFA的啟用與關閉，以及增加金融卡等付款方式，而這些收集到的資訊將會上傳到3個遠端的特定網域。</p> <h3><a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=880&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%90%E9%83%B5%E4%BB%B6%E3%80%91%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=07%2F27%2F2022%2000%3A00%3A00"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠通電收警告當心冒名釣魚簡訊後，再呼籲慎防假冒eTag通知的釣魚郵件</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg" style="width: 220px; float: right;" /></a></p> <p>假冒eTag名義的網路釣魚詐騙橫行，7月27日遠通電收發布公告，指出有人透過電子郵件發送網釣郵件，像是假冒遠通電收以eTag儲值失敗贈送儲值金的名義，或是eTag認證通知的名義，引誘使用eTag的車主點擊信中連結，可能騙取民眾個資。值得關注的是，這種以遠通電收名義的網釣攻擊持續發生，像是今年5月2日遠通電收也曾警告，發現有假冒該公司名義，發送到期繳費通知的SMS簡訊，內含不明網址，而刑事警察局在6月曾揭露一起事件，說明有民眾接獲通行費58元即將到期的簡訊，誤信點擊連結，依欄位輸入車號、身分證字號、信用卡卡號等資料，遭詐騙美金2千元。刑事局表示，網路詐騙會假冒各式名義，民眾務必自行找尋官方機構聯繫管道確認，或撥打110、165查詢。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/xss-vulnerabilities-in-google-cloud-google-play-could-lead-to-account-hijacks"><span style="color: rgb(0, 0, 0);">Google Cloud中的XSS漏洞，可能導致Google Play帳戶遭劫持</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg" style="width: 220px; float: right;" /></a></p> <p>根據The Daily Swig報導，有研究人員通報Google Cloud、DevSite與Google Play存在的兩個XSS漏洞，共獲得8千多美元的獎勵。根據該研究人員NDevTK的說明，一個漏洞屬於Google DevSite中的反射型XSS漏洞，一個被攻擊者控制的連結，可以在原<a href="http://cloud.google.com">http://cloud.google.com</a>與<a href="http://developers.google.com">http://developers.google.com</a>執行JavaScript，這意謂著攻擊者可以繞過同源政策（Same-origin policy），讀取與修改其內容。另一個是屬於Google Play上的DOM-based XSS，通常發生在JavaScript執行過程，從攻擊者控制的資源像是URL獲取資料時，被帶入了惡意指令，將其傳遞給執行程式碼的eval()或innerHTML，這通常讓攻擊者可以利用來執行惡意JavaScript，竊取其他用戶身分。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.volexity.com/blog/2022/07/28/sharptongue-deploys-clever-mail-stealing-browser-extension-sharpext/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意瀏覽器擴充套件，讀取受害者的Gmail、AOL電子郵件信箱</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="cursor: default; width: 300px; float: right;" /></a>網頁瀏覽器的擴充套件再度成為駭客竊密的管道！資安業者Volexity揭露名為Sharpext的攻擊行動，北韓駭客組織Kimsuky於去年9月開始，鎖定Chrome、Edge，以及Whale等網頁瀏覽器，利用VBS指令碼部署名為Sharpext的惡意擴充套件，並藉由此擴充套件竊取受害者Gmail與AOL帳號的電子郵件，駭客在美國、歐洲、南韓等地，針對外交政策、核能等具有戰略利益的人士發動攻擊。</p> <p>研究人員指出，這起攻擊的手法相當特別，駭客並非透過擴充套件竊取受害者儲存在瀏覽器的相關帳密，而是在受害者已經成功存取上述的電子郵件信箱帳號後，才竊取所需的信件。這樣的手法使得電子郵件服務業者難以察覺相關攻擊，也不會觸發受害者電子郵件帳號的可疑活動警報，而使得資安人員發現此類攻擊的難度相當高。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/investment-scams-europe" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客架設1.1萬個投資詐騙網站，針對歐洲用戶而來</span></a></strong></h3> <p>駭客假冒名人的名義行騙的情況越來越猖獗，不只規模極為龐大，還同時結合了網路與實體的手法。資安業者Group-IB揭露擁有11,197個網站的大型詐騙網路，這些駭客鎖定歐洲各地的民眾，以投資比特幣或黃金的名義進行詐騙，宣稱只要有750歐元（約新臺幣2.3萬元）就能入場，3天能獲利700歐元。</p> <p>研究人員指出，駭客不只在詐騙網站盜用名人身分行騙，還會在受害者填寫聯絡資訊後，致電要受害者存錢，然而匯入款項後，駭客便會提高兌現的門檻，要求匯入更多的資金，使得受害者無法取回獲利與本金。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.ironnet.com/blog/robin-banks-a-new-phishing-as-a-service-platform" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">Robin Banks向駭客出售網釣工具包，鎖定美、英、澳銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="cursor: default; width: 300px; float: right;" /></a>網路釣魚攻擊也出現分工的現象！資安業者IronNet指出，有駭客組織自今年3月開始，推出名為Robin Banks的網路釣魚工具包，此工具包可讓網路犯罪者取得美國、英國、加拿大、澳洲人士的財務資料，駭客透過軟體訂閱服務的方式（Phishing-as-a-Service）提供相關工具。此工具包在6月中旬被用於發動大規模攻擊，駭客將其用於竊取花旗銀行用戶的帳號資料與財務資料，並企圖盜取微軟帳號的帳密。研究人員指出，此網路釣魚工具包很可能被駭客加以利用，將其用於取得入侵受害組織的初期存取管道，以便進行後續的攻擊行動（如勒索軟體攻擊）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.afp.gov.au/news-media/media-releases/afp-charges-man-creating-global-spyware-tool" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">澳洲男子開發間諜軟體Imminent Monitor提供給家暴者</span></a></strong></h3> <p>間諜軟體不只是被用於監控政治人物，還有可能成為家暴者監控受害人的幫兇。澳洲聯邦警察（Australian Federal Police，AFP）於7月30日宣布，他們逮捕涉嫌製作RAT木馬程式Imminent Monitor的24歲男子，這名男子自2013年至2019年，打造木馬程式並進行販賣，目前遭到6項指控。此人與另一男子合作，將木馬程式賣到128個國家，擁有超過14,500個用戶。</p> <p>值得留意的是，買家當中可能有不少是家暴者。澳洲聯邦警察指出，他們確定當地有201人購買此木馬程式，而當中使用PayPal付款的買家，有14.2%是受到家庭暴力保護令（Domestic Violence Order，DVO）列管的人士，比例可說是相當高。此外，另有一名是孩童性犯罪者。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/08/woody-rat-a-new-feature-rich-malware-spotted-in-the-wild/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯航空公司遭到Woody RAT惡意軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Malwarebytes發現為期超過一年的木馬程式Woody RAT攻擊行動，駭客疑似鎖定俄羅斯聯合航空製造公司下手，並透過壓縮檔或是惡意Office檔案來散布此惡意軟體。</p> <p>研究人員指出，在惡意Office檔案中，駭客利用了Follina漏洞在受害電腦植入木馬程式。此外，為防範資安人員追查源頭，該惡意軟體與C2通訊的流量，使用了RSA-4096和AES-CBC等演算法來進行加密。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.trendmicro.com/en_us/research/22/h/solidbit-ransomware-enters-the-raas-scene-and-takes-aim-at-gamer.html" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SolidBit鎖定電玩玩家與社群網站用戶而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="cursor: default; width: 300px; float: right;" /></a>趨勢科技發現勒索軟體SolidBit變種，駭客將此惡意軟體上傳到GitHub，並偽裝成遊戲工具或是社群網站工具，如英雄聯盟（League of Legends）的帳號檢測工具、Instagram追隨者機器人，來引誘受害人上當。</p> <p>研究人員指出，此勒索軟體採用.NET開發，並以勒索軟體Yashma（亦稱Chaos）為基礎進行修改，並擁有類似LockBit的勒索訊息及通訊網站。開發SolidBit的駭客以訂閱服務型式（Ransomware-as-a-Service）提供相關工具，並以收到的贖金8成為誘因，吸引攻擊者上門。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.cyble.com/2022/08/02/fake-atomic-wallet-website-distributing-mars-stealer/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以提供加密貨幣錢包軟體的名義散布惡意軟體Mars Stealer</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-impersonating-Atomic-Wallet-website.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-impersonating-Atomic-Wallet-website.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Cyble揭露近期竊密軟體Mars Stealer的散布手法，駭客打造冒牌的Atomic加密貨幣錢包網站，吸引投資加密貨幣的Windows使用者上勾。</p> <p>一旦投資者依照指示下載、安裝應用程式，此安裝程式的批次檔（AtomicWallet-Setup.bat）將會觸發PowerShell命令，來提升權限，並執行以AES或Base64演算法加密的程式碼，進而於受害電腦植入Mars Stealer。研究人員呼籲使用者要留意下載應用程式管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-patch-critical-auth-bypass-bug-immediately/"><span style="color: rgb(0, 0, 0);">VMware多項產品存在身分驗證繞過漏洞，恐被攻擊者用來取得管理員權限</span></a></strong></p> <p>VMware於8月2日發布資安通告，針對旗下身分驗證解決方案提供修補程式。當中最值得留意的是身分驗證繞過漏洞CVE-2022-31656，CVSS風險評分為9.8分，影響Workspace ONE Access、Identity Manager、vRealize Automation。一旦遭利用，駭客很可能在不需通過身分驗證的情況下取得管理權限。該公司呼籲用戶要儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/"><span style="color: rgb(0, 0, 0);">大華IP視訊鏡頭存在漏洞，恐遭攻擊者挾持</span></a></strong></h3> <p>資安業者Nozomi Networks指出，大華吸頂式IP監視器IPC-HDBW2231E-S-S2存在漏洞CVE-2022-30563，一旦攻擊者加以利用，就有可能藉由該公司對網路影像互通標準ONVIF的驗證機制實作不當，來進行中間人（MitM）攻擊，進而建立管理員帳號並取得最高權限，進而接管監視器設備。大華獲報後於6月28日發布修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.wpsoffice.com/article/571"><span style="color: rgb(0, 0, 0);">WPS Office出現OLE物件處理漏洞，PPS、PPSX簡報檔案恐被用於攻擊</span></a></strong></h3> <p>WPS Office臺灣總代理無敵科技於8月3日發布資安通告，他們發現特定版本的Windows版辦公室軟體，在處理物件連結與嵌入（OLE）的過程中，存在邏輯漏洞，可被攻擊者用來製造惡意的PPS與PPSX簡報檔案，使用者若是不慎開啟這種惡意檔案，並在播放投影片的過程移動滑鼠或點選OLE物件，就有可能從遠端伺服器下載惡意程式碼並執行，使得攻擊者能在電腦重開機後進行控制。該公司表示將發布新版修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p id="8">資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.appledaily.com.tw/property/20220801/FEF6E86970F847E3941970388B"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電推動「營業秘密註冊制度同學會」，鼓勵中小企業及早建立，金融、旅遊、餐飲也應採用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg" style="width: 280px; float: right;" /></a></p> <p>營業祕密保護一直是國內高科技製造業的重中之重，在上週舉行的科技產業誠信治理與營業秘密保護高峰論壇的一場議程中，台積電揭露今年將推動營業秘密註冊制度，希望能夠帶動供應鏈，更完善營業秘密管理的實力。該公司副法務長<a href="http://u.cyberlink.com/live/1081623511225165249">謝福源</a>表示，今年2月與供應鏈策略夥伴的光洋應用材料、新應材，建構營業秘密註冊系統並實施註冊制度，到了6月16日進一步舉行「營業祕密註冊制度同學會」第一次開會。特別的是，台積電不僅分享營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，同時建議中小企業在公司規模還沒很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業也可以仿效，無論是金融業、旅遊業、餐飲業。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/152275"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業上雲安全應首重雲端的安全治理，多雲、混合環境成主流，簡化管理複雜性是關鍵</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://tw.xrex.io/xrex-%E8%B3%87%E5%AE%89%E9%95%B7%E9%96%8B%E6%BA%90%E5%85%A9%E5%A5%97-web3-%E8%B3%87%E5%AE%89%E5%B7%A5%E5%85%B7-%E5%BC%B7%E5%8C%96%E6%99%BA%E8%83%BD%E5%90%88%E7%B4%84%E5%AE%89%E5%85%A8%E9%96%8B%E7%99%BC-4177d0bc2b7e?fbclid=IwAR0TR1TndLjTi3-5EN1wqqxaWKiVr2AGjdfqaeTE90S4uFFMktaYKESib3g&gi=4ee0a2ad1d"><span style="color: rgb(0, 0, 0);">為強化智慧合約的開發安全，臺灣區塊鏈新創Xrex開源相關資安工具</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152334"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷加入抓漏洞的丹麥學生找到Cloudflare新測試服務的漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152351"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">唐鳳擔任首任數位發展部長，數發部預計8月27日正式掛牌</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/"><span style="color: rgb(0, 0, 0);">思科修補小型企業VPN路由器重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://source.android.com/security/bulletin/2022-08-01"><span style="color: rgb(0, 0, 0);">Google修補安卓重大漏洞CVE-2022-20345，若不修補有可能讓攻擊者透過藍牙發動RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-paid-out-90000-vulnerabilities-patched-chrome-104"><span style="color: rgb(0, 0, 0);">Google發布Chrome 104，共修補27個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/golang-parameter-smuggling-attack"><span style="color: rgb(0, 0, 0);">研究人員揭露Go語言的ParseThru漏洞，恐波及此程式語言開發的應用程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/tinder/exploiting-github-actions-on-open-source-projects-5d93936d189f"><span style="color: rgb(0, 0, 0);">GitHub持續交付與整合服務存在漏洞，恐被用於取得GitHub儲存庫存取權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://techcrunch.com/2022/08/01/wiseasy-android-payment-passwords/"><span style="color: rgb(0, 0, 0);">行動支付服務業者Wiseasy遭駭，14萬付款用戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nextgov.com/cybersecurity/2022/08/nist-cisa-finalizing-guidance-identity-and-access-management-post-solarwinds/375279/"><span style="color: rgb(0, 0, 0);">NIST、CISA改良身分與存取管理指南，已接近完成階段</span></a></span></strong></p> <p><a href="https://www.trendmicro.com/en_us/research/22/g/examining-new-dawdropper-banking-dropper-and-daas-on-the-dark-we.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技揭露惡意droppers攻擊活動DawDropper散布金融木馬</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://taiwan.newsroom.ibm.com/2022-08-02-IBM-2022?social_post=7347344577&linkId=175634330"><span style="color: rgb(0, 0, 0);">IBM發表2022年企業資料外洩成本報告，6成企業在資料外洩後以提高產品價格來轉嫁損失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-understanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/#DEV-0206-DEV-0243"><span style="color: rgb(0, 0, 0);">駭客組織Evil Corp疑似利用惡意軟體Raspberry Robin發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-hiddenads-malware-that-runs-automatically-and-hides-on-google-play-1m-users-affected/"><span style="color: rgb(0, 0, 0);">駭客利用臉書廣告「推廣」於Google Play市集上架的惡意軟體</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152218"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法院系統的重大網路安全漏洞曝光</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152220"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因應手機送修安全，三星將推「維修模式」安全性功能</span></span></strong></a></p> <p><a href="https://securelist.com/apt-trends-report-q2-2022/106995/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露2022第二季APT攻擊趨勢報告</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger"><span style="color: rgb(0, 0, 0);">英國同意NortonLifeLock併購Avast</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152226"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站</span></span></strong></a></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152346"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/8/5 17:21作者羅正漢https://www.ithome.com.tw/news/152346
新一代資安分享標準TLP 2.0問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.first.org/newsroom/releases/20220805" target="_blank">資安事件應變小組論壇（Forum of Incident Response and Security Teams，FIRST）</a>在本周五（8/5）公布了<a href="https://www.first.org/tlp/" target="_blank">紅綠燈協議（Traffic Light Protocol，TLP）2.0</a>版，這是一個規定資安資訊分享範圍的協議，計畫在明年1月以前就會受到全球的廣泛採用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-TLP20-600.png" style="width: 575px;" /></p> <p>FIRST的宗旨在於聚集全球的資安事件應變與安全團隊，確保世界擁有一個安全的網路，最主要的任務就是分享全球的重要資安訊息，並於2015年主導了TLP的標準化，以4種顏色來區分訊息的機密性及分享範圍，確保資訊是與適當的受眾分享，新的TLP 2.0將就地取代1.0版。</p> <p>TLP所採用的4種顏色為紅（TLP:RED ）、黃（TLP:AMBER）、綠（TLP:GREEN）與白（TLP:WHITE），紅色代表資訊的接受者不得與自己以外的其它人分享，例如只限與會人士得知；黃色代表只能與自己組織內的成員、或是必須知道才能避免危害的客戶分享；綠色則是能與同一領域的同儕或社群分享；白色代表可向大眾分享。</p> <p>新的TLP 2.0主要是文字上的變化，包括移除了一些俗語以利其它語言進行翻譯，使用更一致的語言並新增對可分享社群或組織的定義，將白色的文字改為TLP:CLEAR，以及在黃色類別中新增一個TLP:AMBER+Strict標籤，要求不得與組織之外的任何人分享。</p> <p>它的使用也有一些規範，例如在電子郵件中必須於主旨及郵件內容中表明TLP的顏色，而且必須以大寫表示，若是於文件中使用，則應於文件標題及每頁的頁腳標註TLP顏色。</p> <p>FIRST表示，愈多人採用TLP 2.0，安全社群就能在愈不焦慮的狀況下，更順利地合作及解決資安事件。</p> </div></div></div>
2022/8/5 19:12作者陳曉莉https://www.ithome.com.tw/news/152352
微軟實驗Visual Studio視窗著色擴充套件，供開發者輕易辨識不同解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正計畫要將好用的<a href="https://devblogs.microsoft.com/visualstudio/differentiating-visual-studio-instances/">Peacock擴充套件功能添加到Visual Studio</a>中。Peacock只提供一個簡單的功能，便是著色VS Code，使得個別VS Code視窗容易被分辨，目前Peacock擴充套件已經被安裝170萬次，Visual Studio開發者社群正醞釀想在Visual Studio中添加相同功能。</p> <p>一般情況，當開發者同時開啟多個VS Code實例，特別是同一專案的不同分支，由於視窗外觀看起來幾乎相同，因此很難區別不同的實例，而Peacock能夠著色不同的VS Code實例，使每個視窗都有一個獨特的顏色，因此開發者便能馬上區分各個實例。</p> <p>微軟提到，因為Visual Studio的UI有別於VS Code，因此可能無法直接將Peacock移植到Visual Studio，可能會需要不同的UI範式和配色方法。現在官方號召Visual Studio社群加入實驗，找出最佳解決辦法。</p> <p>微軟現在釋出了一個配色擴充套件，會在Visual Studio的狀態列加上一條3像素的顏色線條，開發者可以替解決方案設定專屬顏色，在之後每次開啟解決方案後，Visual Studio視窗便會自動應用該色。微軟將會視社群的反應，逐步迭代視窗著色功能。</p> </div></div></div>
2022/8/5 19:17作者李建興https://www.ithome.com.tw/news/152333
Meta強化電腦視覺AI高效辨識不常見物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發表最新的物體偵測研究，採用新方法的<a href="https://ai.facebook.com/blog/efficient-accurate-object-detection-for-hundreds-of-uncommon-object-classes/">ViTDet</a>模型，在LVIS（Large Vocabulary Instance Segmentation）資料集的電腦視覺表現優於其他基於ViT（Vision Transformers）的模型。ViTDet不僅能夠偵測桌椅等標準物體，還能夠找出包括餵鳥器、花圈和甜甜圈等物品。</p> <p>這項研究之所以重要，是因為物體偵測是電腦視覺一個重要的任務，應用範圍從自動駕駛、電子商務甚至是增強實境，要使物體偵測更有用，就需要能夠辨識出更多不常見的物件，或是在訓練資料中很少出現的物件。</p> <p>以過去物體偵測的任務來說，FPN（Feature Pyramid Networks）基本上是標準設計，但Meta這項新研究，顯示這並非必然，僅從單一尺度的特徵圖，就可以建構簡單的特徵金字塔，不需要用到過去常見的FPN設計，直接使用ViT最後一層特徵，就可以重建出FPN，這樣的做法更為簡單直覺，對運算效能來說，記憶體使用下降，訓練和推理的速度也更快。</p> <p>新的ViTDet模型受益於其更大的主幹，以及更好的MAE（Masked Autoencoders）預訓練方法，即便ViTDet模型運算量少上許多，但是效能仍優於過去的領先方法。Meta現在於開源Detectron2物體偵測函式庫中釋出ViTDet程式碼和訓練方法，作為新的基線。</p> </div></div></div>
2022/8/5 19:24作者李建興https://www.ithome.com.tw/news/152349
唐鳳擔任首任數位發展部長，數發部預計8月27日正式掛牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院政務委員兼發言人羅秉成於今（5）日行政院記者會公布新成立的數位發展部人事，將由現任行政院政府委員唐鳳接任首任數位發展部部長一職，政務次長則由陽明交大電機工程學系副教授、國發會亞洲矽谷計畫執行中心人資長闕河鳴，以及現任一卡通董事長李懷仁擔任，並宣布數位發展部將於8月27日掛牌成立。</p> <p>至於另外的常務次長缺，以及數位發展部下設的數位產業署和資通安全署署長等相關人事任命，會由唐鳳部長於正式掛牌後對外公布。</p> <h2><strong>數發部去年通過組織法，預計今年8月27日正式掛牌</strong></h2> <p>行政院於總統蔡英文在2020年520就職演說中提到，要邁向國家數位轉型並推動六大核心關鍵產業，要成立一個專責的數位發展部，負責資訊、資安、電信、傳播和網路等五大領域的業務內容。</p> <p>行政院為了促進全國通訊、資訊、資通安全、網路與傳播等數位產業發展、統籌數位治理與數位基礎建設及協助公私部門數位轉型等相關業務，特設數位發展部。</p> <p>行政院於2021年3月25日的院會通過「數位發展部」相關組改法案，送交立法院由司法及法制以及交通委員會進行審查，並於2021年12月28日立法院第六會期的院會中，通過《數位發展部組織法草案》以及《數位發展部資通安全署組織法草案》，經過半年多的籌備和相關部會的業務移撥，今年8月27日正式掛牌運作。</p> <h2><strong>唐鳳任數發部首任部長，闕河鳴、李懷仁為政務次長</strong></h2> <p>羅秉成指出，唐鳳原先在資訊界便享有盛名，在擔任政務委員期間，負責開放政府、社會創新、青年參與等相關業務表現傑出，於去年十二月代表臺灣出席民主峰會，以及在今年四月，與五十多國共同簽署網際網路宣言，都讓國際友人印象深刻。</p> <p>而羅秉成也說，唐鳳未來擔任數位發展部長後，將致力於三大政策目標：建構數位服務跨域的協力典範，完備數據供應生態及應用，並且促進跨國公民科技與資料民主化共同發展。</p> <p>擔任政務次長的闕河鳴，現任陽明交大電機工程學系副教授，曾經在ISSCC多項期刊發表專業論文，近年參與開發中低軌道衛星各項電路與系統設計開發，並於2020年協助國發會規畫並推動5G開放網路計畫，他也是國發會亞洲矽谷計畫執行中心人資長，負責亞矽學院、物聯網資安與人才培育等事項。</p> <p>另外一位政務次長李懷仁，則是現任一卡通票證公司董事長，也是高雄市政府智慧城市推動委員會顧問。他曾經擔任行政院院長室顧問、行政院副院長辦公室主任、總統府副秘書長室辦公室主任，任職期間，曾參與5G、AIoT、大數據、智慧城市、政府開放資料、政府數位轉型與發展等政策領域；後來擔任一卡通董事長，累積數位支付和純網銀等政策經驗；防疫方面，他也參與規畫協調建置防疫口罩實名制1.0、2.0和3.0；以及簡訊實聯制、振興三倍券銷售管理系統、紙本三倍券民眾訂購綁定與查詢系統等。</p> <h2><strong>專家學者質疑報派常務次長葉寧對服貿的態度</strong></h2> <p>羅秉成表示，數位發展部統籌數位治理與數位基礎建設，協助公私部門數位轉型，打造數位韌性環境，連結公民與技術，提升產業與安全，實現智慧國家願景，讓臺灣模式持續成為民主陣營的標竿。</p> <p>即將掛牌運作的數位發展部，下設：數位策略司、韌性建設司、資源管理司、數位政府司、民主網路司、以及多元創新司等六個司，以及成立「數位產業署」和「資通安全署」兩個署級機關，並籌設行政法人「國家資通安全研究院」。</p> <p>根據《數位發展部組織法》規定，會有部長一人，政務次長兩人、常務次長一人，其中，行政院今天公布的政務次長人選，與先前報派人事任命一致，但尚缺的常務次長，則延後到數位發展部正式掛牌後才會對外公布。</p> <p>原先報派人選為國家通訊傳播委員會參事葉寧，但葉寧先前在陸委會法政處長的工作經歷，遭到經濟民主連合智庫召集人賴中強的質疑外，成大電機系教授、也是「反對服貿協議開放資通訊產業聯盟」三位發起人之一的李忠憲也同樣質疑葉寧對服貿協定的態度，並認為其經歷不適合擔任數位發展部常務次長一職。所以，數位發展部的常務次長人選，在面對各界的關注後，葉寧是否能如期出線，值得關注。</p> <p>此外，攸關數位經濟相關產業發展與數位科技應用事項政策規畫及執行的數位產業署，以及辦理國家資通安全政策規劃、計畫核議及督導考核，執行國家資通安全防護、演練與稽核業務及通訊傳播基礎設施防護的資通安全署，則是數位發展部最關鍵的兩個署級機關，唐鳳會指定由誰擔任重要的署長人選，將於正式掛牌運作後揭曉。</p> </div></div></div>
2022/8/5 18:23作者黃彥棻https://www.ithome.com.tw/news/152351
DrayTek路由器遭爆含有遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html" target="_blank">由McAfee Enterprise與FireEye所合併的資安業者Trellix本周警告</a>，他們在臺灣網通設備業者居易科技（DrayTek）所生產的29款路由器中，發現了遠端程式攻擊漏洞CVE-2022-32548，且其CVSS風險評分高達10分。不過，居易已在收到通知後，藉由韌體更新修補了該漏洞。</p> <p>Trellix表示，隨著全球過去兩年都實施了在家工作的政策，經濟實惠的網通設備成為中小企業讓員工可透過VPN存取的重要裝置，使得其漏洞研究團隊決定一窺居易旗艦產品的安全性，並發現Vigor 3910高效能負載VPN專業路由器含有一安全漏洞，是由登入頁面的緩衝區溢位觸發的，可造成未經授權的遠端程式執行，且完全不需使用者的互動。</p> <p>至於其它的28款居易裝置由於採用了與Vigor 3910一致的程式碼，因而也含有CVE-2022-32548漏洞。</p> <p>Trellix的研究也顯示，在全球公開網路上約有超過20萬個含有該漏洞的裝置，而那些含有漏洞卻未現身於公開網路的，亦可透過內網執行相關攻擊。</p> <p>當駭客取得了路由器的控制權之後，即可存取裝置上所儲存的機密資訊，諸如金鑰或管理員密碼，也能藉此觸及企業內部的網路資源，或是監控DNS請求，以及將它變成殭屍網路的成員等。</p> <p><a href="https://www.draytek.com/support/latest-firmwares/" target="_blank">居易則在收到Trellix通知的30天內便釋出了更新程式以修補該漏洞</a>，且目前尚未傳出鎖定該漏洞的攻擊報告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-Draytek-CVE-2022-32548-600-1.png" style="width: 480px;" /></p> </div></div></div>
2022/8/5 17:19作者陳曉莉https://www.ithome.com.tw/news/152345
【資安日報】2022年8月5日，高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自8月2日美國眾議院議長裴洛西訪臺，反對者發動網路攻擊的情況接連傳出。但即使裴洛西已經前往南韓、日本，臺灣在8月4日晚間到今天早上，仍有許多滋擾的事故發生。這包含了高雄市環保局部分網站被置換五星旗，以及國防部、外交部網站再傳出遭到DDoS攻擊而癱瘓的情況。</p> <p>再者，行政院、臺電、臺灣網路資訊中心（TWNIC）公布這幾天遭到攻擊的情況。而對於日前電子看板出現恐嚇內容的情事，TWNIC指出，有可能是廣告業者使用了中國軟體，導致攻擊者有機可乘。</p> <p>而在國際的資安新聞裡，有研究人員揭露了C2中繼站租賃服務，這種服務的出現，不只讓駭客無須自行架設相關設施，也可能會使得網路攻擊更難追查源頭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p>針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p>資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> </div></div></div>
2022/8/5 15:14作者周峻佑https://www.ithome.com.tw/news/152331
偷偷加入抓漏競賽的丹麥學生找到Cloudflare未上市服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名丹麥學生未獲邀請偷偷參加Cloudflare抓漏方案，但並未因此受罰，反而因在尚未上市的服務找到漏洞，獲得6,000美元的報酬。</p> <p>Cloudflare去年9月公布 Email Routing服務不公開測試版（private beta），只邀請少數使用者及研究人員試用，只有特定網域獲准存取這項服務。<a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/" target="_blank">年輕的丹麥安全研究人員Albert Pedersen坦承自己並未受邀</a>，於是決定自己偷偷參加。在利用工具擷取變造了向Cloudflare網頁發送的呼叫後，他意外通過Cloudflare伺服器端的驗證，成功加入封閉測試，並在其網域上設立了Email Routing服務。</p> <p>而這也正是他發現漏洞的時候。他在其Cloudflare帳號下，以主要Gmail郵件信箱設立Cloudflare Email Routing服務，以其作為郵件轉寄的目的地信箱。正常情況下，一個Cloudflare帳號只能將該服務設立在一個網域上，因為該網域已獲得驗證。但是同一個網域在不同帳號下可能則可以是未經驗證的狀態。</p> <p>在完成第1個合法信箱的註冊後，他又以同一網域，以另一個（尚未驗證的）電子郵件信箱註冊為Email Routing服務的目的地信箱。結果研究人員發現，寄向第1個合法帳號的郵件流向了第2個信箱。而第1個信箱的郵件路由設定，則被第2次信箱設定覆寫掉。</p> <p>這意謂著，攻擊者可以藉由這個漏洞，註冊和受害者相同的電子郵件信箱，將郵件導向自己的信箱，可以阻止郵件送到受害者手上，讀取其信件，也可以變更信箱密碼而接管該信箱。</p> <p>研究人員在去年12月7日透過抓漏平臺HackOne通報漏洞，2天後，Cloudflare就修補了這項漏洞。 <a href="https://hackerone.com/albertspedersen?type=user" target="_blank">根據HackerOne上的資訊</a>，Pedersen因此項發現獲得3,000美元的抓漏獎金，不過上周他的獎金又提高為6,000美元。</p> <p>這項服務還未上市，目前是公開測試版階段，Cloudflare表示本漏洞沒有遭到開採。</p> </div></div></div>
2022/8/5 16:50作者林妍溱https://www.ithome.com.tw/news/152334
Canalys預測，今年中國手機出貨量可能退回10年前
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構Canalys本周公布<a href="https://www.canalys.com/newsroom/china-smartphone-market-Q2-2022" target="_blank">今年第二季（Q2）的中國手機市場報告</a>，指出該季中國的手機出貨量為6,700萬支，比去年同期下滑10%，並高於<a href="https://www.canalys.com/newsroom/global-smartphone-market-Q2-2022" target="_blank">全球的9%下滑幅度</a>。此外，Canalys預期，今年一整年中國手機出貨量可能略低於3億支，將是中國自2012年以來表現最差的一年。</p> <p><a href="https://www.statista.com/chart/25207/countries-with-the-highest-number-of-smartphone-users/" target="_blank">根據Newzoo在2021年的統計</a>，中國是全球最大的手機市場，手機用戶超過9.5億，居次的是印度的4.9億，美國則以2.7億排名第三。</p> <p>身居全球最大手機市場，今年第二季的出貨衰退比例卻高於全球平均，包括Canalys與<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49549622" target="_blank">IDC</a>都將主要原因歸咎於中國的封城政策。Canalys指出，疫情讓中國政府封鎖了許多重要城市，再加上中國境內的景氣低迷，人們擔心可支配的收入下滑，也擔心失業，而使得手機出貨量下滑。</p> <p>此外，不管是Canalys或IDC也都認為中國下半年的手機需求將持續受到影響，Canalys更說中國今年的手機年度出貨量可能低於3億支，使得它成為2012年以來表現最差的一年。</p> <p>不過，Canalys與IDC對於中國市場龍頭品牌的看法不一，Canalys認為該市場仍由Vivo領先，IDC則說Honor的出貨量已超過Vivo，雙方的差距並不大，而中國市場的前五大業者還包括Oppo、小米與蘋果。</p> </div></div></div>
2022/8/5 15:57作者陳曉莉https://www.ithome.com.tw/news/152332
零售IT雙周報第5期：全家推出智慧零售店動車，以實體店為基地出發深入人口密集場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0724~0806)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#移動超商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#延伸店面</span></span></strong></p> <p><strong>全家將超商店面「開著走」，未來不只要支援自動結帳，還要即時尋找人口密集熱點</strong></p> <p>全家便利商店在臺南科學園區啟用智慧零售電動車Famimobi，8月底起將在三餐及消夜時段開進園區營業，以販賣食物類商品為主。Famimobi車上POS機透過Wifi連網到附近店家後臺電腦，以支援APP隨買跨店取、APP訂便當、代收繳費等數位服務。車後也安裝了自助結帳機，以分散結帳人潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/famizzjzj.JPG" style="width: 600px;" /></p> <p>全家表示，Famimobi將分三階段，逐步發展新零售樣態及功能，第一階段是將綠能電動車與科技零售服務結合；下一階段要推動無人收銀功能，自動感應消費者所取商品後，直接在App中扣款；第三階段則是透過大數據分析，動態調整出車時裝載的商品，並結合熱點定位技術，將Famimobi開到人口密集熱點。</p> <p>全家近年除了設立高成本大型科技概念店來實驗新型零售科技，也嘗試以一家母店面為管理中心，將超商服務小規模延伸到更接近消費者的場域。例如2020年推出的科技簡配店，搭載智能咖啡機、自助結帳機、影像辨識貨架、人形辨識、人臉辨識及物聯網設備監控等技術，讓母店面只需付出少量額外勞力，就能管理科技簡配店。本次推出的Famimobi，則是以可移動超商形式，將服務透過Wifi連接回店面，並透過車輛來延伸母店面服務到人口密集地區。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#資源回收機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員點數</span></span></strong></p> <p><strong>統一推出新型聯網資源回收機，除了吸引人流，還能蒐集Open Point會員數據</strong></p> <p>統一超商推出「循環經濟資源回收機」，提供折抵金或Open Point點數回饋給回收PET寶特瓶或乾電池的消費者。統一超商先前就有與高雄市政府合作，在店面中擺設由政府提供的第三代資源回收機，讓消費者透過回收獲取折抵金。本次推出的回收機，則是統一超商與集團旗下統奕包裝合作研發，不僅有聯網環境以支援Open Point集點，也搭載AI光學辨識功能來辨識寶特瓶材質，以避免誤放其他材質的物品進入機器。回收的寶特瓶會進行絞碎、壓扁並消毒，之後再製成再生材料，作為統一超商制服或其他商品原料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sevrcc.jpg" style="height: 400px;" /></p> <p>導入資源回收機，除了吸引消費者到店回收時順便用折抵金消費，更是增加了一個收集Open Point會員數據的接觸點。統一超商表示，今年年底前將於雙北及離島50家門市鋪設，明年則要拓展到超過2百家門市。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#異業合作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路零售</span></span></strong></p> <p><strong>萊爾富會員突破500萬人大關，未來將主打異業會員導流，分析跨平臺、跨通路會員消費行為</strong></p> <p>萊爾富近日公布三大數位經營戰略及多項會員經營細節。萊爾富500萬名會員中，活躍會員占45%至50%，以平均分店。未來將以發行餐飲品牌聯合電子票券、Line購物數位策略合作、以及利用AWS數據分析技術剖析會員消費行為等三個做法，用來引流異業會員、整合跨通路數據以及分析會員消費數據，以利後續擬定再行銷策略。</p> <p>萊爾富坦承，所屬母集團的子公司不如統一集團多，要累積會員人數及消費數據，只能從跨產業、跨平臺業者合作下手。因此，他們線下與餐飲業者合作，線上則與Line購物合作，由萊爾富發售餐飲票券或回饋Line Points，以吸引合作業者的消費者成為會員，並獲取消費者在合作業者端的消費行為數據分析。</p> <p>下一步，萊爾富要將這些會員行為數據，透過AWS數據分析技術將會員分群，以進行精準行銷，進而提升會員貢獻度。（<a href="https://www.ithome.com.tw/news/152126">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售巨頭投資</span></span></strong></p> <p><strong>英國及德國零售巨頭Tesco及Aldi Nord紛紛設立無人收銀店面</strong></p> <p><a href="https://retailtechinnovationhub.com/home/2022/7/28/tesco-getgo-store-coming-to-chiswell-street-london-powered-by-trigo-tech">英國零售巨頭Tesco表示，</a>對先前測試無人收銀技術成果非常滿意，將推出第二家無人收銀商店。Tesco無人商店利用以色列新創Trigo的無人收銀技術，結合入口身分確認、影像辨識及貨架重量感應，達到類似於Amazon Just Walk Out的效果。消費者只需入店後拿取商品，離開時就會自動線上結帳。</p> <p>無獨有偶，德國廉價零售商巨頭<a href="https://www.businesswire.com/news/home/20220718005758/en">Aldi Nord上個月也利用Trigo技術開設了首家無人收銀商店</a>，說明無人收銀技術不只是Amazon的新噱頭，更受到其他零售巨頭青睞。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動掃描</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人收銀</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong></p> <p><strong>英國研究：2027年全球支援行動掃描結帳的店家將從3萬多家成長到超過16萬家</strong></p> <p>除了Amazon及Trigo等較少見的無人收銀技術，另一項更普及的無人收銀技術是，由消費者邊購物邊用手機等行動裝置掃描商品（而非到自助結帳機前一次掃描）的自助掃描結帳服務，例如臺灣就有大潤發及家樂福提供此服務。</p> <p>不同於Amazon Just Walk Out跟Dash Cart等無人收銀技術需要安裝大量攝影機、貨架偵測裝置、購物車光學辨識裝置及重量感應裝置等硬體設備，行動掃描結帳主要仰賴App等掃描介面系統跟POS系統串接，建置成本較低，因此有利於普及。</p> <p><a href="https://www.rbrlondon.com/wp-content/uploads/2022/08/MSS_Press_Release_010822.pdf">英國研究機構Retail Banking Research發布報告指出</a>，全球提供此類功能的店家，從2020年36,600家增加到2021年46,000家，並預測未來將加速成長，2027年將達到161,000家。報告中也提到，除了自行開發，市場上也有專門技術提供商、行動支付商及POS系統商能協助零售商開發行動掃描系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位服務縮小空間需求</span></strong></span></p> <p><strong>美國家電零售巨頭Best Buy推出小型店，結合線上下單服務以縮小陳列空間需求</strong></p> <p><a href="https://corporate.bestbuy.com/small-format-store/">在美國有超過1,000家的大型家電零售商Best Buy推出新店型</a>，將部分服務數位化，以節省店面空間需求。Best Buy店面通常有1,100坪左右，新型店面則縮小到140坪。</p> <p>新型店面最大改變，就是改變商品陳列模式以節省空間。首先，新型店面不會陳列電視以外的大型家電，而是要消費者到網路下單後，於實體店面提貨。其他商品大多也只會陳列樣品，消費者若想購買，就要透過App掃描下單，店員才會從倉儲將存貨拿至結帳櫃檯。少數小型商品，則可以掃描後直接線上付款，不須再經過結帳櫃檯。</p> <p>除了店面寬闊，Best Buy另一個特色就是門市現場常駐訓練有素的客服人員，即時提供家電及其他電子設備的疑難排解。由於小型店能容納的客服人員較少，Best Buy也推出即時線上客服服務，以減少店面人力需求。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CryptoPunk</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#另類NFT行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#飾品化NFT圖像</span></span></strong></p> <p><strong>奢侈品牌Tiffany將發售把CryptoPunk NFT圖像做成實體Tiffany飾品的服務</strong></p> <p>珠寶奢侈品牌Tiffany將<a href="https://www.retaildive.com/news/tiffany-nft-custom-necklaces/628625/">限量發售把CryptoPunk NFT圖像做成實體Tiffany飾品的服務</a>。CryptoPunk是2017年發行的熱門NFT系列，現今轉讓價動輒超過百萬新臺幣，在NFT社群中相當具地位。Tiffany做法，是對CryptoPunk持有者發售資格證明，可以讓Tifanny工匠以所持CryptoPunk圖像為原型，打造由寶石及貴金屬所製成的吊墜，同時獲得以吊墜為原型的NFT圖像。</p> <p>奢侈品牌常見的NFT行銷操作，只是將限量商品與NFT聯合發售，因此大多只吸引到對品牌忠誠度高到願意高價購入NFT商品的客戶。Tiffany則是以CryptoPunk在NFT社群地位為基礎，發售飾品化資格，因此不只能吸引Tiffany忠實客戶，更有機會能吸引到希望彰顯所持CryptoPunk NFT價值的人。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">其他零售IT動態</span></span></strong></p> <p>1. <a href="http://www.ithome.com.tw/news/152141">電商平臺巨頭Shopify CEO坦承對電商發展預期過於樂觀，近日裁員約1,000人。</a></p> <p>資料來源：iThome整理，2022年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/8/5 14:25作者郭又華https://www.ithome.com.tw/news/152329
微軟更新VS Code Python擴充套件，加入網頁應用程式自動除錯配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-august-2022-release/">VS Code的Python和Jupyter擴充套件8月更新</a>，這個版本有多項新功能，能夠提升開發者的工作效率。首先，這個版本針對網頁應用程式加入自動儲存配置，官方提到，由於要簡化配置VS Code執行和除錯網頁應用程式的過程，這個Python擴充套件版本針對Flask、Django或FastAPI專案提供自動化除錯配置。</p> <p>當開發者在工作區沒有除錯器配置，而且專案是遵循Flask、Django或FastAPI格式的網頁應用程式，此版本Python擴充套件便能根據執行和除錯專案，動態產生除錯配置，供開發者簡單查看所有錯誤。</p> <p>另外，微軟還提供了一個Python工具擴充套件模板。微軟透過語言伺服器協定，在Black、pylint和isort擴充套件提供格式化和linting功能，官方提到，他們意識創建Python linter或是格式化程式非常簡單，甚至不需要會編寫VS Code擴充套件的語言TypeScript，就能夠完成。因此微軟創建了一個模板，讓用戶透過修改Python程式碼，來創建專屬的Python linter或是格式化程式。</p> <p>同時，微軟也改進Python的入門體驗，現在可以更輕鬆的指引用戶在需要時安裝Python，並且在VS Code中選取使用。</p> <p>其他相關擴充套件的更新，還包括Pylance現在提供一項方便的程式碼操作，當專案中有一個或多個匯入的函式庫，但是卻沒有在程式碼中的任何位置被呼叫，則開發者可以輕鬆選擇刪除這些函式庫。最新的Jupyter擴充套件版本加入了一項小功能，能夠跳轉到最近失敗的單元格，當開發者執行所有單元格，但其中之一失敗時，便可以點按Go To按鈕，跳轉到停止執行的那個單元格。</p> </div></div></div>
2022/8/5 15:13作者李建興https://www.ithome.com.tw/news/152326
Chainalysis：跨鏈橋漏洞已成為DeFi最大安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周跨鏈協定<a href="https://www.ithome.com.tw/news/152280" target="_blank">Nomad遭到入侵</a>，駭客幾乎清空該協定上價值1.9億美元的加密貨幣，隨之區塊鏈分析業者<a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/" target="_blank">Chainalysis即警告</a>，今年以來已發生過13次的跨鏈攻擊駭客事件，總計被盜走了價值20億美元的加密貨幣，占今年加密貨幣失竊案的69%。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/bridge-hacks-1024x476.png" style="width: 600px;" /></p> <p><a href="http://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Chainalysis</span></span></a></p> <p>跨鏈協定或跨鏈橋（Cross-chain Bridge）主要是為了解決不同區塊鏈之間的互動問題，允許使用者將數位資產從一個區塊鏈移植到另一個區塊鏈，由於跨鏈橋經常具備用來接受橋接資產的中央資產存放處，而成為駭客的攻擊目標。</p> <p>此外，在今年透過跨鏈橋或其它去中心化金融（DeFi）協定被盜走的20億美元中，就有10億美元的攻擊事件與北韓駭客有關。</p> <p>Chainalysis表示，幾年前加密貨幣領域最熱門的攻擊目標還是交易平臺，但現在成功駭進加密貨幣交易平臺的已是少數，一方面是因這些平臺持續強化安全，另一方面則是因為駭客一直在尋找更新及更有價值的服務來展開攻擊；特別是有效的橋接設計還是個未解的技術難題，業者仍在開發與測試新模型。</p> <p>其實業者還是有一些防範的機制，除了強化安全之外，也能藉由區塊鏈技術的透明化特性，追蹤遺失資產的流向，並避免駭客兌現不法所得。</p> <p>Chainalysis認為，解決區塊鏈協定遭到攻擊的關鍵之一應是讓嚴格的程式碼審核成為DeFi的黃金標準，以打造更強化與安全的各種智慧合約，以讓它們成為開發者的範例。</p> </div></div></div>
2022/8/5 13:35作者陳曉莉https://www.ithome.com.tw/news/152325
微軟推出為Apple Silicon優化的Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Apple M1晶片及相關Mac電腦推出將近2年後，微軟通訊協同軟體Teams終於也要支援了。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/announcing-microsoft-teams-optimized-for-apple-silicon/ba-p/3589463" target="_blank">微軟本周宣布</a>，針對Apple Silicon筆電系列最佳化的Microsoft Teams 服務即將正式釋出（General Available），可提供更快的執行效能。</p> <p>在聽到搭載M1及M2晶片的Mac電腦用戶心聲後，微軟已開始部署生產力等級的Teams通用二進位檔。這意謂著Teams可以在所有Mac產品上原生執行，包括搭載Apple Silicon晶片的機種，而且Teams的執行效能大幅提升，可有效使用電腦資源，即使同時使用多個高解析度螢幕進行通話或會議，也能提供良好的使用經驗。</p> <p>為Apple Silicon最佳化的Teams將在未來幾周內陸續部署給用戶。部署完成後用戶端會自動升級，使用者無需自己下載。等不及的用戶可以參加<a href="https://docs.microsoft.com/en-us/microsoftteams/public-preview-doc-updates" target="_blank">Teams預覽版測試計畫</a>，即可更早試用新功能，包括Apple M1適用的Teams。至於用戶若想及早測試其他Office功能，則可加入Office insider測試方案下的Mac頻道。</p> <p>有趣的是微軟並未公布下載Apple Silicon適用的Teams連線。用戶找到的<a href="https://statics.teams.cdn.office.net/production-osx/1.5.00.21565/Teams_osx.pkg" target="_blank">下載連結</a>在此。</p> </div></div></div>
2022/8/5 13:58作者林妍溱https://www.ithome.com.tw/news/152327
思科修補中小企業路由器2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR" target="_blank">思科本周發布安全公告</a>，修補中小企業路由器軟體上可能導致駭客執行任意程式碼、或發動阻斷服務（DoS）攻擊的3項漏洞，包括2個風險值在9.0以上的重大風險漏洞。</p> <p>這3項漏洞為CVE-2022-20827、CVE-2022-20841及CVE-2022-20842。其中CVE-2022-20842最為嚴重，是CVSS 9.8的重大漏洞。本漏洞出在中小企業路由器RV系列的Web管理介面上，起於對用戶發送呼叫的驗證不足，可讓未獲授權的遠端攻擊者傳送改造過的HTTP呼叫開採漏洞。成功的攻擊可使攻擊者以root用戶權限在路由器底層作業系統執行任意程式碼，或使機器不斷重覆載入，導致服務阻斷。</p> <p>本漏洞為CLP-team研究人員Peanuts揭露，影響產品包括Cisco RV340、RV340W、RV345和RV345P Dual WAN Gigabit VPN Routers。</p> <p>另一個重大漏洞為CVSS 9.0的 CVE-2022-20827，為趨勢科技Zero Day Initiative和IoT Inspector Research Lab研究人員合作發現。它是出在路由器產品的網頁安全防護（Web filter）的資料庫更新功能對用戶輸入指令的驗證不足。本漏洞讓攻擊者對該功能傳送改造過的呼叫指令。成功開採漏洞也能讓攻擊者以root權限在機器底層作業系統執行指令。</p> <p>CVE-2022-20841則為路由器Open Plug and Play（PnP）模組對用戶呼叫的驗證不足，來自Chaitin Security Research Lab的通報。攻擊者可以傳送惡意呼叫來開採漏洞，而得以在底層的Linux作業系統執行任意指令。不過欲開採本項漏洞，攻擊者必須透過中間人攻擊（man-in-the-middle）取得發送指令的位置，或是先駭入連接目標路由器的某臺網路裝置上作為據點，因此風險值稍低，為CVSS 8.0。</p> <p>後2項漏洞皆影響RV160、RV260、RV340和RV345機種。</p> <p>思科已經針對3項漏洞釋出最新版軟體。由於沒有緩解風險的方法，思科呼籲用戶儘速更新。</p> </div></div></div>
2022/8/5 14:10作者林妍溱https://www.ithome.com.tw/news/152328
人才是致勝關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近電影《捍衛戰士：獨行俠》熱映，佳評如潮，重新帶動了疫後觀影人氣，從5月底上映到本期週刊截稿這天，全球票房已來到12.88億美元，除了故事情節與拍攝難度高的空中訓練與戰鬥場景，片中提到主角面臨的職涯危機，不由得讓我們重新思考人與技術孰輕孰重的關係。</p> <p>關於此項議題的探討，其實不只是現在這部電影才提到，2005年上映的《機戰未來（Stealth）》也有類似命題，不僅呈現飛行員空戰技能的必要性，也提及無人機取代飛行員的可能性，但捍衛戰士續集則改用國家想要發展無人機作為劇情轉折，後續又出現須仰賴飛行員完成特殊任務的狀況，而將後續故事的情節聚焦在戰技的磨練與實踐。</p> <p>該多花心力發展新技術，還是維持以人為本的既有步調？企業日常營運過程也經常面臨這樣的方向選擇。我們想要節省更多開支，因此，會積極發展各種技術，減少人力依賴，然而，各種可提升效率的技術創新雖然的確減輕一些負擔，時至今日，終究無法徹底取代「人」的角色。舉例來說，從生產、製造、銷售到服務，我們或許已經能夠運用部分自動化處理機制，將制式工作交由不感到厭煩、無情緒的機器來執行，但仍有許多環節必須仰賴人員從旁銜接、審視、控制，以及因應各種例外狀況。</p> <p>當然，人是血肉之軀，會感到疲倦，對於傳染病的抵抗力、極端環境的適應力，也很有限，在很多狀況下，如果能有器械輔助，人的能力就得以延伸、擴展，使其靈巧的心智能夠針對許多事情的變化，找出其他的解決方法。而各種技術再強大，其能耐同樣受限於先天的設計，若出現意外狀況，若無人力介入，往往不能敏捷應變。</p> <p>以電影中的情節而言，飛行員若要發揮戰技，需克服過程中產生的龐大重力負荷，這不只是需要合適裝備，本身也要有強健體魄，並經歷扎實訓練，才能勝任。在空中面臨各式戰況的變化下，飛行員如要精確對準目標投彈，時至今日也不如大家想像容易實現；另外，為了達成任務，我們不僅要熟悉手上的武器裝備，有時也會發生一些意外而用到舊裝備，若無經驗與彈性應變能力，將會無法解決突然出現的危機而導致失敗。</p> <p>關於人與技術的探討，在武俠小說與動漫當中也經常出現，讀者不只是著迷於許多神奇武功、超能力、兵器的厲害之處，更令大家回味再三的部分，往往是身負這些絕學與器具的人，如何發揮成效，凝聚眾人，改變時局甚至創造時局。</p> <p>這些故事裡面，我們常會看到當中的人物憑藉自身的武功、智謀、甚至所謂的運氣，而得以勝過實力可能比自己強大很多倍的對手。當然，我們也看到許多角色即便佔盡優勢，掌握了關鍵，最終仍因未妥善運用，出現墨守成規、不知變通等狀況而敗下陣來。</p> <p>回歸現實，人依舊是成就許多事情的關鍵，若有技術，需要人去運用，若無技術，更需要人去補救，誠如「人對了，事就對了」這句話大家都耳熟能詳，但對的人並不會無端出現在我們的面前，或許只能設法營造合適的環境，培育可造之材、幫助大家成長，積極發掘、吸引這樣的人與我們工作。</p> <p>時代不斷變化，人心也是，歷經兩年來的疫情洗禮，許多企業固然體認到數位轉型的必要與迫切性，然而，長期發展而成的全球與區域職場文化、工作方式，也面臨前所未有的重大挑戰，如何重新吸引人才共同努力、留下對組織未來發展至關重要的人才，持續而穩定地推動各種工作，都將成為企業能否在商場上致勝的關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%89%8D">人才</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93">技術</a></div></div></div>
2022/8/5 10:15作者李宗翰https://www.ithome.com.tw/voice/152310
好UX策略讓創新加速落地
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我的車被撞壞了，油箱已經鬆動了。幸運的是，沒有人受傷。對方有保險，也不斷道歉。但無論如何，當我站在路邊，面對眼前這位陌生人，心中感到五味雜陳時，我知道下一個任務是弄清楚如何向高科技汽車保險公司Metromile申請第一次理賠。</p> <p>Metromile是一家舊金山的中型新創公司，透過創新商業模式和智慧車載系統的導入，來顛覆汽車保險業。他們不向客戶收取每年保單的固定保費，而是使用較低的每月基本費率加上按里程計費的定價費。雖然我住在洛杉磯，但實際上並不經常開車，因為我沒有每天都要通勤的全職工作。所以在2018年時，我決定試試看，如果從傳統的保險業者轉向這個科技顛覆者，每月付款會減少多少。註冊幾天後，我收到了一個小型無線Metromile Pulse裝置，然後我將裝置插入車上診斷連接埠來追蹤我的車輛運行資料。第一個月，每月保費下降了40%！我整個上鉤了。</p> <p>Metromile與傳統業者的不同之處在於不同的接觸點。例如，它有一個精心設計的行動App，運用他們的智慧車載系統，提供駕駛人車輛的健康狀況、位置、和駕駛模式的資訊。作為一個好奇的UX人，我時不時就會與之互動一下。但一般來說，當美國的顧客要與保險公司接觸時，都得在一個對使用者很不友善的複雜官僚系統中穿梭。那麼，Metromile會如何對待我和我被撞壞的車呢？也許省了很多錢，但是整個流程會更麻煩嗎？</p> <p>通常，美國車主在發生事故後做的第一件事就是致電保險公司的客服熱線。一位客服代表會記下事件和另一位車主的詳細資訊，為你辦理理賠手續，這樣就開啟了保險調查的流程，然後支付理賠的費用。</p> <p>但是Metromile用App來進行這個流程，我很想嘗試一下。因此，當我站在另一位車主旁邊時，就經歷了一段直觀的流程，直接進入了他們的理賠漏斗。它還用地理定位來找到事故的確切位置，所以我不需要記下街道標誌。此外，我跟發生事故後的所有人一樣，感到很慌張。但是App裡的待辦清單會協助處理所有事情：確保我有記下另一位車主的姓名和地址，將對方的駕照和汽車保險證拍照下來，蒐集所有詳細證據資料，並拍照雙方車損，以記錄損壞情況。這樣的引導方式讓我能保持冷靜，並專注於當下重要的事情。全程只花了不到10分鐘。</p> <p>送走另一位車主，回到家時，我收到了一封來自Metromile的電子郵件，信內列出了當地維修店的名單，還讓我選擇一家租車公司，這樣他們可以在我將車送到維修廠時，到現場與我見面。當車在維修時，他們提供一台很酷的黑色吉普車讓我開，而Metromile則與另一名車主的保險公司進行談判，讓我免於支付500美金理賠金額。基本上，這家新創公司不知怎麼的，將許多美國人都非常緊張的顧客經驗轉化成無痛的體驗。他們成功的不僅僅在於使用者經驗（UX）設計，而是UX策略。</p> <p>在2015年，本書第一版裡，我提到UX策略是一個在設計或開發數位產品前就要先導入的流程。它是一個解決方案的願景，並能被真實的潛在顧客所驗證，證明市場的確有這樣的需求。</p> <p>UX設計涵蓋許多像是視覺設計、內容訊息、易用性等細節，而UX策略則是一個「大方向」，比較像是上層的計畫，幫助我們在各種不確定的狀況下達成商業目標。</p> <p>本書第一版裡收錄了Adaptive Path創辦人Peter Merholz的一段訪談內容，他表示：</p> <p>在最理想的狀態下，是不需要UX策略的，因為UX策略就是產品的一部分或商業策略本身。我認為，我們有在朝著這個理想方向前進了，愈來愈多人開始將UX視為策略廣義的一部分。但UX策略本身獨立、獨特的概念對我們來說還是必要的，至少讓人們能重視它，並發展工具包，再整併至產品策略裡。</p> <p>六年後的今天，Merholz當時所說的大多應驗了。第一版書中描述的UX策略至今幾乎已是產品策略的同義詞。「UX策略」一詞通常是指在一個特定組織或公司內有策略地執行UX，也就是UX部門運作的方式、如何評估和幫助團隊成長、如何擴展UX團隊的觸及與影響力、如何聚焦能帶來最多投資報酬率的UX專案。它變得比較流程導向了。</p> <p><span style="font-size:28px;"><strong>那到底產品策略是什麼？</strong></span></p> <p>傳統的產品策略描述顧客是誰、產品如何因應當前市場需求、以及將如何實現商業目標。它是從產品願景開始，發展成路線圖，說明如何從戰術上達成目標。在企業環境中，用明確的產品策略讓利害關係人對焦是很重要的。這通常是由產品總監、產品負責人、或者產品經理來領導，策略流程包括將產品推向市場，開始成長、成熟，並且最終經歷衰退。</p> <p>但產品策略的領域也不斷在發展。現在，它更加強調透過使用者研究和設計實務來滿足顧客的需求。職稱也隨之不斷發展。UX設計師現在變成了產品設計師，也有許多前UX策略師將自己的職稱改為產品策略師。也許我也會這麼做。</p> <p><span style="font-size:28px;"><strong>為什麼產品策略很重要？</strong></span></p> <p>所有策略的目的都是要提出計畫，幫助你從現在的位置往目標狀態邁進。策略一定要依著自己的優勢，也要留意弱點，並靠著實證、輕量的方法將團隊快速地推往理想的終點。策略把設計從抽象的本質帶往批判性思考的領域，以嚴謹的方法，用清晰、理性、開放的心態看證據說話。成敗往往只有一線之隔，關鍵就是紮實有效的策略，在這個數位產品的世界裡，如果團隊間沒有共同的產品願景，時間延遲、成本增加、不良使用者經驗等這些混亂就會加劇。</p> <p>共同的產品願景意即團隊和利害關係人都對未來的產品抱持相同的心智模型。心智模型（mental model）指的是一個人心中對一件事情運作的概念。比如說，10歲的時候，我認為我媽領錢的方式是去銀行，在紙上簽名，然後從櫃檯行員那裡收到現金。20歲的時候，我知道要用提款卡，在ATM輸入密碼來領。但如果問我16歲的兒子怎麼領錢，他會跟你說，去超市買東西的時候，可以請結帳櫃檯的人員當場領給你。2021年領錢的心智模型跟1976年是差很多的，因為新科技和新商業手法讓人們能更有效率地完成任務。</p> <p>這就是為什麼我很喜歡跟心胸開放的新創公司創辦人、企業主管合作。心胸開放的態度代表了他們樂於接受挑戰和嘗試，也明白他們最初的商業理念有可能無法永續經營。如果我發現潛在合作對象對一個想法非常固著，沒有接受偏差的可能性，那麼他們就不需要我的幫助。我最喜歡的是那些真正想要改變心智模型，並願意用不斷嘗試來取得成果的客戶。</p> <p>即使規劃創新產品很有趣，但要改變人們的行為其實很難。要能讓顧客看到新的價值，不然大家不會願意拋棄舊有的東西。開發新產品來解決困難的問題並不適合心臟不夠強大的人，你一定得要有滿腔熱忱，或者至少有一點瘋狂，願意淌這灘混水，去面對所有的困境和阻礙。</p> <p>沒錯，就是要用這種熱情來解決問題、改變世界、讓人們日子更好一點。熱情並不是那些辭職來創業的人所專屬，許多產品經理、UX／產品設計師、或開發者都很熱血地運用科技來創造顧客真正渴望的產品。當這些人聚在一起，就很有機會能創造奇蹟，推翻過時的心智模型。<span style="color:#696969;"><strong>（本文摘錄整理自《UX策略》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(9).jpg" style="width: 350px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>UX策略：設計創新數位解決方案的產品策略心法（第二版）</strong></span></p> <p>Jaime Levy／著；吳佳欣／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_UX%E7%AD%96%E7%95%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Jaime%20Levy.png" style="width: 200px;" /></p> <p><strong>Jaime Levy</strong></p> <p>Jaime Levy是一位產品策略師、教授、和創新數位產品設計的先驅，專門協助客戶將商業概念轉為創新獨特的數位解決方案。Jaime常到世界各地舉辦產品策略工作坊與培訓課程。她的網站是jaimelevy.com。<span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Jaime Levy</span></span></p> </div></div></div>
2022/8/5 10:40未署名https://www.ithome.com.tw/article/152316
信義房屋數位轉型從人才出發，要打造更好、更快、更簡單的IT工作環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>信義房屋近日揭露5年來推動數位轉型的成果，信義房屋轉型辦公室執行經理施閔堯說，信義房屋將IT人才視為數位轉型根本，敏捷開發作法、上雲、DevOps文化及個人化IT進修輔導就是為了提供IT人員先進的技術環境、聰明的做事方法、好的組織文化以及成就感，進而提升讓IT人才在信義深耕的意願。</p> <p><strong>導入雲端架構及敏捷方法解放基礎架構人力，提供「做好事情」的環境 </strong></p> <p>隨著市場快速變化發展，信義房屋2018年起開始數位轉型，不僅拓展數位服務範疇，更要串接不同服務的數據，還要數位化各部門工作流程。至今，IT部門已經從40人增加到130人，負責開發及維護業務用App、顧客用App、加上公司內外部網站及關係企業網站上的數位服務等，超過30項產品。 </p> <p>施閔堯表示，隨著IT部門開發、維護及使用的服務增加，信義房屋開始將服務搬遷到雲端環境，以降低基礎架構維護及SRE所需人力。目前信義房屋採取混和雲架構，將官方網站、顧客用App、及業務用App部署至GCP公有雲，內部其他重要服務與數據中臺，則是放在Azure私有雲。施閔堯說，信義房屋5年來對外提供的數位服務，不僅增加了許多類型，數量也提升數倍，但負責基礎架構維護與SRE的IT人員非但沒有增加，反而能在維護更多新服務同時，還有餘裕支援產品小組的工作。 </p> <p>信義房屋在2018年先逐步導入敏捷文化。施閔堯舉例，當時成立的數據應用發展部，先從進行每日站會，定期回顧等活動開始，學習敏捷方法，並小規模的嘗試混合專業組織模式。以數據分析組來說，雖然核心是數據分析，但組內就同時包含UX/UI 、前端、後端與數據專業多元能力的人才。 </p> <p>2021年，進入數位轉型第二階段時，信義房屋IT組織架構就改為以產品、功能雙軌並進。數據、資安、雲端、DevOps等門檻較高的專業，仍然維持功能型組織架構。面對第一線客戶，或需持續發展的App產品，則改交給能快速反應需求的敏捷型產品組織，不僅實體辦公位置鄰近容易溝通，指揮系統也大幅簡化，團隊成員能共同決定大部分時程與方法。施閔堯說，這種做法對於團隊自主性思考及專業能力的發展，都有顯著成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x1fw1.png" style="width: 600px;" /></p> <blockquote><p>信義房屋的IT組織架構分為技術門檻高，以專業為分類的功能型組織，以及注重快速反應需求，以產品或產品使用者為分類的產品型組織。下一階段，信義房屋要將更多功能型組織重組成敏捷的產品型組織。圖－信義房屋提供</p> </blockquote> <p><strong>引進DevOps文化提升開發效率，從集團高度協助個人職涯進修</strong></p> <p>2021年起，信義房屋除了從組織架構下手，進一步推動敏捷文化，也導入了DevOps做法，加速產品開發及交付效率。 </p> <p>施閔堯說，過去信義房屋的數位產品，需要統一蒐集新版本需求與開發變動需求後，才會由IT部門著手開發，一個版本的迭代周期通常長達1至2個月。為了加速開發及更新時間，信義房屋引進DevOps文化，並自行建立開發框架，作為.NET應用及iOS App的開發基礎建設，將常用網路服務封裝成開發人員能快速取用的基礎元件。例如，近期信義房屋為了鏈路追蹤，將OpenTelemetry、Tempo、Grafana等服務整合後，埋設於框架底層，用於微服務觀測。此外，自動化交付功能上，目前新開發的業務端App及中臺API服務，都能做到即時修改、自動化測試重要功能，並即時自動化部署。施閔堯說，這種簡潔俐落的開發及交付環境，不僅能快速反應業務前線需求，更能吸引後端技術人員。</p> <p>施閔堯表示，引入敏捷開發、DevOps及雲端架構，是為了打造「更好、更快、更無負擔」的IT工作環境，提升IT人員工作體驗，進而吸引並留下人才在信義房屋深耕。吸引到人才後，他們也準備了個人化培訓計畫，從集團高度協助IT人員進修專業能力。 </p> <p>為了協助IT人員制定個人化培訓計畫，信義房屋外聘人力發展顧問公司，先將IT數位專業細分為產品經理、數據科學家、UX、UI、前端、後端、SRE等15種類別，再由專家教練替不同專業職涯，設計發展路徑範本。接著，IT人員會在接受職能評估後與主管深度訪談，共同決定要發展的能力方向。這些能力除了專業IT能力，也包括溝通能力等提升職場工作效率的能力。 </p> <p>施閔堯表示，這樣的做法，除了能替每個IT人才制定適合的進修方向，也能透過與主管高頻溝通與輔導，依照IT人才在組織中的職能與協作關係，動態追蹤並調整進修情況。他並指出，由集團方先制定好進修方向，便能從集團技術發展的角度出發，更能系統性培訓符合集團發展所需能力，也能讓IT人員進修成果更直接的反映在工作中，進而獲得更多成就感。主管也能以此進修計畫為依據密集輔導員工，而不再只憑個人魅力及溝通力來領導IT人員。</p> <p>施閔堯也提到了信義房屋未來的數位發展規畫。近年來，信義房屋除了積極用科技強化核心的房屋仲介業務，更拓展到家電修繕、清潔、網路維護、健身、保全，甚至外送等服務，「只要是跟居家活有關的服務，都在考慮範圍內。」為此，信義房屋積極蒐集並分析使用者相關數據，除了用於精準推薦不動產物件給個別使用者，也能用於評估要優先開發的數位服務。</p> <p>信義房屋的數據來源主要四，分別是App及網站上的不動產相關服務數據、居家生活服務數據、線上線下廣告相關數據，以及活動接觸數據。信義房屋會在數據中臺彙整這些資料後，藉由特徵貼標等分析方法，歸納出使用人口屬性、消費性格、物件偏好、人生階段等資訊。這些數據不僅能用來掌握個別使用者需求以進行精準行銷，也能將地域資料相鄰的使用者數據結合起來進行社區分析，以掌握社區需求。施閔堯表示，信義房屋數位轉型後的理想樣貌，就是創造客戶導向的組織文化，經由數據了解使用者核心需求，再透過敏捷方法，迅速開發對應的數位服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/xyfw2.jpg" style="width: 600px;" /></p> <blockquote><p>信義房屋外聘人力發展顧問公司，將IT專業細分為15種類別後，還會依照IT人才在組織中的職能與協作關係，分不同發展方向。這些能力也包括溝通、管理等能力，讓組織運作不再只依靠主管個人魅力及能力，而是由所有IT人員共同促成良好合作環境。圖－信義房屋提供</p> </blockquote> <p> </p> </div></div></div>
2022/8/4 18:17作者郭又華https://www.ithome.com.tw/news/152304
Amazon EC2開始提供含授權的Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-run-visual-studio-software-on-amazon-ec2-with-user-based-license-model/">AWS於EC2上開始提供授權Visual Studio</a>，進一步支援微軟開發生態系。用戶可以透過支付訂閱費用購買AWS所提供的Visual Studio授權，以使用EC2上提供的Visual Studio Enterprise 2022和Visual Studio Professional 2022。</p> <p>該更新讓用戶藉由使用預配置Amazon系統映像檔，按需啟動Windows執行個體，並使用Visual Studio和Windows Server授權，但又無需承諾長期授權，提供Visual Studio開發者一個靈活且方便的解決方案，</p> <p>用戶可以使用包含授權的Amazon系統映像檔，簡單地啟動EC2執行個體，並且以遠端桌面軟體連接到這些EC2執行個體，管理員可以運用AWS License Manager和AWS Managed Microsoft Active Directory（AD）工具，來集中授權用戶。</p> <p>AWS於EC2提供包含授權的Visual Studio，使得用戶能夠更靈活的執行工作負載。現在所有AWS商業和公開地區都已經在EC2上，提供包含授權的Visual Studio，用戶需要替每個使用者按月訂閱Visual Studio授權，並且對包含授權Windows Server執行個體的每個vCPU支付費用。</p> </div></div></div>
2022/8/4 21:20作者李建興https://www.ithome.com.tw/news/152297
烏克蘭關閉用來散布不實資訊的機器人農場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video" target="_blank">烏克蘭國家安全局（SSU）周二（8/2）宣布</a>，已關閉了一個機器人農場，該農場管理了100萬個機器人，以及散布在各個社交網路上、擁有40萬名粉絲的多個社團。</p> <p>SSU說，此一機器人農場在各個社交網站上散布各種不實資訊，像是烏克蘭軍方首領或總統之間不和的傳聞，或是詆毀烏克蘭的第一夫人，且調查發現，此一機器人農場是由一名居住在基輔的俄羅斯人所負責，他自詡為政治專家。</p> <p>根據SSU的調查，該名機器人農場的負責人是受到烏克蘭境內一個政治力量的唆使，同時也受到俄羅斯特種部隊的利用，他開發了一個軟體，得以自動管理熱門社交網路上的眾多假帳號，並在烏克蘭的Kyiv、Kharkiv與Vinnytsia等城市設有伺服器。</p> <p>烏克蘭的執法機關在搜索這些據點之後，扣押了該機器人農場所使用的硬體與軟體，以及5,000張用來建立假帳號的SIM卡，再加上200個用來偽造IP位址以避免遭到封鎖的代理伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-SSU%20shuts%20down%20%20bot%20farm-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／烏克蘭國家安全局（SSU）</span></span></p> <p>SSU的目的是確保烏克蘭民眾不受到親俄勢力的影響，自從俄羅斯在今年2月全面入侵烏克蘭迄今，SSU已請求關閉500個親俄的YouTube頻道、逾1,500個Telegram頻道，以及逾1,500個Facebook、Instagram與TikTok帳號。</p> <p>對於要散布不實資訊而言，100萬個假帳號或機器人可能很多，但對Meta來說，消滅假帳號已是家常便飯，<a href="https://transparency.fb.com/data/community-standards-enforcement/fake-accounts/facebook/" target="_blank">該公司光是在今年第一季</a>就移除了16億個臉書假帳號。</p> </div></div></div>
2022/8/4 21:47作者陳曉莉https://www.ithome.com.tw/news/152307
Go 1.19改進泛型程式碼效能可達20％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/go1.19">Go官方推出了1.19版本</a>，這個版本因為Go 1.18大改版延後發布的關係，釋出的時程顯得有些緊湊。該版本的一大重點便是修正Go 1.18所加入的泛型功能，官方根據社群所回報的問題以及邊角案例，進行了不少調整，同時也改進了效能表現，部分泛型程式碼的效能提升甚至可高達20％。</p> <p>文件註解現在支援連結、列表和標題語法，官方提到，這些改進將有助於用戶編寫更清楚，且易於閱讀的文件註解，特別是針對大型API套件，清楚的註解有助於降低套件的採用障礙。另外，Go的記憶體模型現在也明確定義了sync/atomic套件的行為，修改後的happens-before關係定義，現在與C、C++、Java、JavaScript、Rust和Swift等程式語言一致。當前程式不受此修改影響。</p> <p>Go的垃圾回收器則加入了一個軟性的記憶體限制，該限制對於在專有記憶體容量的容器中，最佳化Go程式盡可能提高運作效率特別有用。</p> </div></div></div>
2022/8/4 21:51作者李建興https://www.ithome.com.tw/news/152298
全球第四大晶圓代工廠GlobalFoundries與Google合作，開源180nm晶片製程設計工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續推進免費開源晶片設計和製造計畫，現在宣布與全球第四大晶圓代工廠GlobalFoundries合作，使用Apache 2.0授權，發布<a href="https://opensource.googleblog.com/2022/08/GlobalFoundries-joins-Googles-open-source-silicon-initiative.html">GlobalFoundries 180MCU製程設計工具包</a>（Process Design Kit，PDK）。</p> <p>180nm晶片應用領域相當廣，包括電機控制器、RFID、通用MCU和物聯網感測器等，新興應用的發展帶動180nm晶片的生產製造，根據GlobalFoundries的資料，180nm晶片生產將持續成長，預計從目前全球每年1,600萬片成長到2026年2,200萬片。</p> <p>GlobalFoundries和Google的合作成果，將有助於推動該領域應用程式和晶片工程師創新，並且對代工生態系開源模型帶來明確的正面影響，GlobalFoundries的180nm技術平臺替開源晶片設計人員提供大量生產、成本降低和多電壓選擇等優勢。</p> <p>這個開源的180MCU PDK，是Google與GlobalFoundries合作的第一個成果，Google提到，藉由GlobalFoundries的技術與製造專業，將能夠進一步在半導體開發和製造上獲得創新。這並非Google以Apache 2.0授權發布的第一個PDK，Google之前就與SkyWater合作推出SkyWater PDK，該PDK擁有社群提交的350個獨特設計，其中約有240個供免費製造使用。</p> </div></div></div>
2022/8/4 21:57作者李建興https://www.ithome.com.tw/news/152300
使用微軟郵件服務的企業正遭到大規模網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services" target="_blank">資安業者Zscaler本周警告</a>，他們在今年6月發現了一個大規模的網釣活動，此一惡意活動鎖定了使用微軟電子郵件服務的企業，而且採用了先進的中間人（Adversary-in-The-Middle，AiTM）攻擊，以繞過多因素認證（Multi-Factor Authentication，MFA）機制，目的是挾持受害者的微軟帳號，並展開商業電子郵件詐騙（Business Email Compromise，BEC）。</p> <p>在AiTM網釣攻擊中，駭客在使用者與所造訪的網站之間建立一個代理伺服器，藉以竊取使用者所輸入的憑證，以及已通過身分認證的期間Cookie，因而得以挾持使用者的帳號。</p> <p>微軟在今年<a href="https://www.ithome.com.tw/news/151924" target="_blank">7月初也曾揭露類似的攻擊行動</a>，強調駭客是藉由AiTM盜走了期間Cookie，因而不論使用者採用任何身分認證方法，都無損於駭客獲准進入期間的能力，並非為MFA的安全漏洞。</p> <p>根據Zscaler的觀察，駭客的攻擊對象遍布美國、英國、紐西蘭與澳洲，涵蓋金融科技、借貸、保護、能源與製造業，雖然坊間已有常見的AiTM網釣套件，諸如Evilginx2、Muraena與Modlishka，但駭客在這波攻擊中使用的是客製化套件，且在文章發表時，相關攻擊仍在持續中，每天都會註冊新的網釣網站。</p> <p>所有的攻擊都是始於網釣郵件，並於郵件中嵌入惡意連結，有些企業的主管在被駭之後，其帳號還被用來寄送更多的網釣郵件，駭客亦濫用合法的CodeSandbox與Glitch等服務（下圖），以及部署了各種偽裝，以確保不被資安管理人員或安全機制發現。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/J8OJWEjgzKJK-z0O4nckrU_wFFF_haVLtYTVdZhXkX7ExC-bdZgGbErWexv2L_s_6SadYsAuz3kC4DZPlrPvaLxmWNcxKUT3tBtmd73wPQIFT04crYp3LxVcORJewzdGTpWOZPsZ_UjnlYjsjFUsOPk" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/iKcxJpAzYAPrEzzeJlNmlzGC3hiK8fNEv6MUPbRtz6Hpq3siALJ49_EvGK-RQz7EsoODwWKcezMy2aN_7OX3nzbCd2SVLsMUEZ570TyWp5akDLqcn2DEl42ek-00e9y8cm4Wi-b3LilPAYJ560OiwCw" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Zscaler</span></span></p> <p>Zscaler也部署了一個誘捕系統（Honey Pot），造訪駭客所提供的網釣網頁、輸入了憑證並完成多因素認證，發現駭客在取得憑證的8分鐘之後，便登入了Zscaler所設立的帳號，不過，駭客只是檢查了該帳號的使用者檔案，並讀取了電子郵件，並未執行其它的惡意行動。但這8分鐘令Zscaler猜測帳號被危害之後的攻擊行動，是手動而非自動化的。</p> <p>另一方面，根據<a href="https://www.ithome.com.tw/news/150775" target="_blank">美國聯邦調查局（FBI）網路犯罪投訴中心（Internet Crime Complaint Center，IC3）2021年的統</a><a href="http://www.ithome.com.tw/news/150775" target="_blank">計</a>，商業電子郵件詐騙（Business Email Compromise，BEC）是去年網路犯罪投訴數量排行榜上的第九名，遠不如網釣、交易詐騙、個資外洩、身分竊盜或勒索等，但該類型的詐騙卻高居損失排行榜的第一名，去年因BEC而造成的損失為24億美元，占所有網路犯罪金額的35%，也無怪乎駭客費力部署AiTM的最終目的是進行商業電子郵件詐騙。</p> <p>Zscaler亦已公布<a href="https://github.com/threatlabz/iocs/blob/main/aitm_phishing/iocs.txt" target="_blank">此波大規模網釣攻擊的網路入侵指標（IOC）</a>供外界參考。</p> </div></div></div>
2022/8/4 18:55作者陳曉莉https://www.ithome.com.tw/news/152306
【資安日報】2022年8月4日，駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西已經結束訪問行程離開臺灣，然而相關的網路攻擊仍持續發生──國防部與桃園國際機場的網站，先後於昨天半夜和今天早上遭到攻擊。</p> <p>為了散布惡意軟體，駭客經常濫用免費的檔案共享服務，或是程式碼儲存庫來存放作案工具，但最近出現了新的手法，駭客大量複製他人的程式碼儲存庫來加以濫用，有開發者認為很可能會波及原本專案的開發安全。</p> <p>駭客鎖定雲端電子郵件服務的攻擊行動，也開始能突破多因素驗證（MFA）的機制來挾持使用者的帳號，且這樣的攻擊行動還是針對企業而來。比較值得留意的是攻擊者用於繞過MFA的攻擊手法，<a href="https://www.ithome.com.tw/news/151924">在上個月也引起微軟提出警告</a>，並指出駭客的目的很可能是商業郵件詐騙（BEC）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部證實8月3日網站遭到DDoS攻擊</span></a></strong></h3> <p>國防部於8月4日證實，他們的網站約於3日晚間11時4分起，陸續遭到DDoS攻擊，並於11時27分流量過大導致服務中斷，經流量清洗與封鎖惡意中繼站，該網站於4日零時30分恢復運作。</p> <p>而這起事故似乎已經不是國防部網站因裴洛西訪臺而遭到攻擊。<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">根據美國新聞網站NBC News的報導</a>，8月2日至少有4個政府網站遭到DDoS攻擊，而其中一個就是國防部的網站。</p> <h3><a href="https://money.udn.com/money/story/10511/6511538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></h3> <p>美國聯邦眾議院議長裴洛西訪臺引起中國不滿，該國解放軍在今日中午12時於臺灣周邊軍演，傳出桃園國際機場取消部分航班因應。但在軍演之前，卻傳出機場網站遭到攻擊而無法運作的情況。根據<a href="https://money.udn.com/money/story/10511/6511538">經濟日報</a>、<a href="https://www.ettoday.net/news/20220804/2308824.htm">聯合新聞網</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4014051">自由時報</a>的報導，今日上午8時起，桃園國際機場的網站出現無法運作或是執行緩慢的現象。</p> <p>根據上述的報導，知情人士透露這起事故發生的原因。起因疑似駭客持續發動攻擊，並屢次企圖登入網站，消耗伺服器大量運算資源，導致網站無法瀏覽。對此，<a href="https://www.taoyuanairport.com.tw/pressrelease/653115D9-AA13-ED11-BBC8-005056BD475F">桃園國際機場也發出聲明</a>，表示網站從上午8時許出現連線不穩定的情況，他們在11時排除。該公司亦指出內部網路、行動裝置App，以及機場營運皆正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/35-000-code-repos-not-hacked-but-clones-flood-github-to-serve-malware/"><span style="color: rgb(0, 0, 0);">駭客複製逾3.5萬個GitHub儲存庫，意圖散布惡意軟體</span></a></strong></h3> <p>程式碼儲存庫提供的複製功能，讓開發人員能引用他人的程式碼並進一步改寫，但這樣的功能也有可能遭到濫用。軟體開發員Stephen Lacy近日在GitHub上發現，有35,613個儲存庫被用於惡意軟體攻擊，但這些儲存庫並非駭客自行建置，而是複製他人的儲存庫而來。</p> <p>另一名開發者James Tucker表示，這些被複製的儲存庫很有可能還會曝露原始儲存庫的API密鑰、Token、AWS的帳密。GitHub獲報後已刪除上述複製的儲存庫，並強調尚未有證據顯示開發者的帳號遭駭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services"><span style="color: rgb(0, 0, 0);">大規模微軟電子郵件信箱服務攻擊再度鎖定企業而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="width: 300px; float: right;" /></a>資安業者Zscaler近期揭露針對微軟電子郵件用戶的網路釣魚行動，駭客在今年6月，使用了Adversary-in-the-Middle（AiTM）的攻擊手法，來規避多因素驗證（MFA）的身分驗證流程，並使用URL重新導向的方式來規避企業的防護系統偵測。</p> <p>這些駭客攻擊的目標主要位於美國、英國、紐西蘭、澳洲，並鎖定金融、能源、製造業下手。研究人員指出，為了延長攻擊的有效時間，駭客濫用了雲端程式碼編譯平臺，如：CodeSandbox、Glitch等。</p> <p>駭客利用AiTM手法攻擊微軟企業用戶的情況並非首例──<a href="http://www.ithome.com.tw/news/151924">微軟在上個月揭露在2021年9月開始出現的攻擊行動</a>。相較之下，發生在今年6月的事故裡，駭客利用了更多隱匿攻擊意圖的手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/"><span style="color: rgb(0, 0, 0);">區塊鏈平臺Solana遭到攻擊，近8千個錢包遇害</span></a></strong></h3> <p>在8月2日3日，區塊鏈平臺Solana出現了大量加密貨幣錢包資產被盜的情況，此事亦得到Solana的證實。根據區塊鏈分析業者Elliptic的統計，7,947個Solana熱錢包中的數位資產被盜轉，共有580萬美元數位資產被盜，當中有260萬美元為美元穩定幣（USDC）、180萬美元的SOL幣。研究人員指出，此起攻擊事件疑似與軟體錢包有關，而非Solana平臺程式碼的臭蟲。</p> <h3><strong style="font-size: 22px;"><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video"><span style="color: rgb(0, 0, 0);">烏克蘭破獲俄羅斯在基輔架設的機器人農場</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="width: 300px; float: right;" /></a>為了誤導烏克蘭人對戰爭情勢的了解，俄羅斯駭客試圖透過機器人（Bot）農場來大量散播假消息，而且還是在烏克蘭境內部署相關設備。烏克蘭國家安全局（SSU）於8月2日指出，他們破獲俄羅斯人在基輔架設的機器人農場，這個農場擁有超過百萬個機器人，並使用了5千張SIM卡來建置社群網站帳號，該農場亦架設200個代理伺服器，以便隱匿來源IP位址。</p> <h3><a href="https://blog.malwarebytes.com/threat-intelligence/2022/08/woody-rat-a-new-feature-rich-malware-spotted-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯航空公司遭到Woody RAT惡意軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes發現為期超過一年的木馬程式Woody RAT攻擊行動，駭客疑似鎖定俄羅斯聯合航空製造公司下手，並透過壓縮檔或是惡意Office檔案來散布此惡意軟體。</p> <p>研究人員指出，在惡意Office檔案中，駭客利用了Follina漏洞在受害電腦植入木馬程式。此外，為防範資安人員追查源頭，該惡意軟體與C2通訊的流量，使用了RSA-4096和AES-CBC等演算法來進行加密。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/h/solidbit-ransomware-enters-the-raas-scene-and-takes-aim-at-gamer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SolidBit鎖定電玩玩家與社群網站用戶而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="width: 300px; float: right;" /></a>趨勢科技發現勒索軟體SolidBit變種，駭客將此惡意軟體上傳到GitHub，並偽裝成遊戲工具或是社群網站工具，如英雄聯盟（League of Legends）的帳號檢測工具、Instagram追隨者機器人，來引誘受害人上當。</p> <p>研究人員指出，此勒索軟體採用.NET開發，並以勒索軟體Yashma（亦稱Chaos）為基礎進行修改，並擁有類似LockBit的勒索訊息及通訊網站。開發SolidBit的駭客以訂閱服務型式（Ransomware-as-a-Service）提供相關工具，並以收到的贖金8成為誘因，吸引攻擊者上門。</p> <h3><a href="https://blog.cyble.com/2022/08/02/fake-atomic-wallet-website-distributing-mars-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以提供加密貨幣錢包軟體的名義散布惡意軟體Mars Stealer</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-impersonating-Atomic-Wallet-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-impersonating-Atomic-Wallet-website.png" style="width: 300px; float: right;" /></a>資安業者Cyble揭露近期竊密軟體Mars Stealer的散布手法，駭客打造冒牌的Atomic加密貨幣錢包網站，吸引投資加密貨幣的Windows使用者上勾。</p> <p>一旦投資者依照指示下載、安裝應用程式，此安裝程式的批次檔（AtomicWallet-Setup.bat）將會觸發PowerShell命令，來提升權限，並執行以AES或Base64演算法加密的程式碼，進而於受害電腦植入Mars Stealer。研究人員呼籲使用者要留意下載應用程式管道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tw.wpsoffice.com/article/571"><span style="color: rgb(0, 0, 0);">WPS Office出現OLE物件處理漏洞，PPS、PPSX簡報檔案恐被用於攻擊</span></a></strong></h3> <p>WPS Office臺灣總代理無敵科技於8月3日發布資安通告，他們發現特定版本的Windows版辦公室軟體，在處理物件連結與嵌入（OLE）的過程中，存在邏輯漏洞，可被攻擊者用來製造惡意的PPS與PPSX簡報檔案，使用者若是不慎開啟這種惡意檔案，並在播放投影片的過程移動滑鼠或點選OLE物件，就有可能從遠端伺服器下載惡意程式碼並執行，使得攻擊者能在電腦重開機後進行控制。該公司表示將發布新版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger"><span style="color: rgb(0, 0, 0);">英國同意NortonLifeLock併購Avast</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://techcrunch.com/2022/08/01/wiseasy-android-payment-passwords/"><span style="color: rgb(0, 0, 0);">行動支付服務業者Wiseasy遭駭，14萬付款用戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/"><span style="color: rgb(0, 0, 0);">思科修補小型企業VPN路由器重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://source.android.com/security/bulletin/2022-08-01"><span style="color: rgb(0, 0, 0);">Google修補安卓重大漏洞CVE-2022-20345，若不修補有可能讓攻擊者透過藍牙發動RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-paid-out-90000-vulnerabilities-patched-chrome-104"><span style="color: rgb(0, 0, 0);">Google發布Chrome 104，共修補27個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/golang-parameter-smuggling-attack"><span style="color: rgb(0, 0, 0);">研究人員揭露Go語言的ParseThru漏洞，恐波及此程式語言開發的應用程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/tinder/exploiting-github-actions-on-open-source-projects-5d93936d189f"><span style="color: rgb(0, 0, 0);">GitHub持續交付與整合服務存在漏洞，恐被用於取得GitHub儲存庫存取權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nextgov.com/cybersecurity/2022/08/nist-cisa-finalizing-guidance-identity-and-access-management-post-solarwinds/375279/"><span style="color: rgb(0, 0, 0);">NIST、CISA改良身分與存取管理指南，已接近完成階段</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> <p><a href="https://www.ithome.com.tw/news/152268">【2022年8月2日】勒索軟體LockBit透過微軟防毒軟體側載偵察工具、3千款行動裝置App恐導致用戶推特帳號遭冒用</a></p> <p><a href="https://www.ithome.com.tw/news/152230">【2022年8月1日】 Atlassian Confluence密碼寫死漏洞已有駭客攻擊鎖定利用，台積電擴大推動營業祕密註冊制度</a></p> </div></div></div>
2022/8/4 16:35作者周峻佑https://www.ithome.com.tw/news/152302
臺牙醫科技新創打造牙周病判讀AI，今年拼TFDA取證還要整合保險給付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本土牙醫科技新創台灣牙e通（dentall）打造牙科影像判讀AI，不只能判斷基本的口腔X光片牙位、分辨牙齒位置和牙肉，還能預測蛀牙病灶和牙周病期別，其中，牙周病預測準確率達97%。目前，他們正準備申請衛福部食藥署智慧醫材SaMD認證，通過後，將把AI軟體嵌入自家雲端牙科醫療資訊系統（HIS）中，銷往國內外牙科診所。接下來，團隊也計畫將牙周病AI判讀結果，結合保險給付，來簡化民眾保險申請流程。</p> <p><span style="font-size:22px;"><strong>牙科醫師跳下成立科技新創，要數位化也要打破資訊藩籬</strong></span></p> <p>台灣牙e通創辦人暨執行長陳欽章透露，自己原是名牙科醫師，在2015年成立牙科診所執業後，發現許多資訊整合痛點，比如牙科病歷系統介面老舊、功能局限等，因此他決定成立台灣牙e通，定位為牙科診所解決方案供應商，來解決這些痛點。</p> <p>他們先是打造牙科HIS系統，從使用者角度改良介面，比如將文字病歷視覺化，以牙齒圖示和不同顏色來呈現患者口腔狀況，以及適合的治療方法，讓民眾更理解醫師的治療決策。又比如，團隊打造如Google日曆般的約診系統，醫師移動滑鼠，就能查看預約患者資料。</p> <p>另外，他們也將傳統需要複寫紙的牙技流程數位化，讓醫師可在系統填寫假牙製作需求和資訊，再傳給牙體技術所（也就是技工所）。其中，他們導入AI技術，在醫師拍下患者牙齒照片、上傳雲端後，來校正牙齒顏色，讓牙技師傅做假牙時，不必再到診所進行比色驗證。他們打造的系統，已銷往15國共150家診所。</p> <p><strong><span style="font-size:22px;">自組研發團隊打造牙周病預測AI，今年拼TFDA取證</span></strong></p> <p>後來，2019年，他們自組研發團隊，開始打造牙科影像辨識AI。他們與北醫聯手，透過北醫提供去識別化且經標註的牙齒影像，來訓練AI模型。第一階段，他們先訓練模型辨識牙位，比如上、下排或左、右排牙齒。台灣牙e通研發副總傅懷磊解釋，目前，牙科診所拍完患者口內影像或X光片，「影像都是散的，需要人工排序定位，」而他們的模型，現已可在大量散亂的影像中，自動排序牙位。再來是第二階段，讓模型辨識牙肉與牙齒位置（如第幾顆）。</p> <p>傅懷磊指出，在這些基礎上，團隊訓練模型辨識其他疾病，比如牙周病。因為，牙周病的辨識是根據牙肉和牙齒露出牙肉的比例來計算，有了牙位和牙齒牙肉定位基礎，就能判斷每顆牙齒的牙周病風險。</p> <p>在風險的判斷上，他們根據美國牙周病學會標準，讓模型學會辨識4種期別的牙周病，來預測每顆牙齒的期別風險。陳欽章表示，目前，牙周病判讀AI的準確率達97%，而這些期別預測值，會顯示在X光片的牙齒上，便於醫病溝通。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3381.jpg" /><br /> 模型判讀牙周病期別風險後，會於醫學影像上顯示個別牙齒的牙周病期別，便於醫病溝通。</p> </blockquote> <p>像是，醫師可解釋不同期別的治療方式，比如，第一期別屬於正常，第三期別較嚴重，需要進行牙周病再生治療，「這就符合保險給付項目，未來可與保險業者串接，簡化給付流程。」陳欽章指出，團隊目前正準備食藥署SaMD認證，也考慮申請美國FDA和歐盟CE的智慧醫材認證。</p> <p>取證後，他們將把該功能嵌入自家HIS產品中，來實際改善臨床診斷流程。如此一來，也就能發展後續的保險給付串接，來簡化給付手續。</p> <p>除了牙周病，團隊也正開發蛀牙病灶偵測功能，接下來也打算進一步延伸治療計畫書功能，要讓病患走出診所，就能在手機App上查看治療計畫。</p> </div></div></div>
2022/8/4 16:57作者王若樸https://www.ithome.com.tw/news/152303
英執政黨黨內選票作業因擔心駭客攻擊而延後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國媒體<a href="https://www.bbc.com/news/uk-politics-62402642" target="_blank">BBC</a>、<a href="https://www.theguardian.com/politics/2022/aug/02/ballot-papers-for-tory-leadership-vote-delayed-after-security-concerns" target="_blank">《衛報》</a>等報導，英國保守黨即將投票選出下任首相，但因資安理由決定將選票作業延後數天。</p> <p>英國在Boris Johnson辭去首相後，保守黨將在兩名角逐者Liz Truss和Rishi Sunak之間選出繼任者，他們分別現任英國外交、國協及發展事務大臣及財政大臣。而保守黨也將於本周向16萬黨員發送紙本選票，但選民拿到的時間從原本的本周一延到最晚本周四。</p> <p>根據媒體取得保守黨發出的通知說明，選票抵達時間最晚到8月11日，原因是他們多花了一點時間強化投票的安全，使得作業些微耽擱。</p> <p><a href="https://www.telegraph.co.uk/politics/2022/08/02/tory-leadership-voting-delayed-gchq-hacking-warning/" target="_blank">媒體報導</a>，保守黨是因應英國資安主管機關GCHQ轄下的國家網路安全中心（National Cyber Security Centre, NCSC）日前警告，駭客可能竄改選票結果後而決定強化安全措施。</p> <p>原本的設計是紙本和線上投票制並行。紙本選票寄出後若選民改變心意還可以安全碼在線上系統變更。但在資安疑慮下，保守黨決定只採第一階段的投票結果。選民必須在9月2日前完成投票，而9月5日就會完成統計，選出下任首相。</p> <p>保守黨發言人表示，經過和NCSC諮詢後，該黨決定強化投票過程的安全措施。NCSC也證實對保守黨的線上黨魁投票提出安全建議。NCSC指出，維護英國民主和選舉過程是其優先任務，該機構向來和所有政黨、地方政府和議員合作提供安全指引及支援。</p> </div></div></div>
2022/8/4 16:28作者林妍溱https://www.ithome.com.tw/news/152301
Google修補Android重大藍牙RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2022-08-01" target="_blank">Google本周發布8月份Android安全更新</a>，修補影響核心、系統、框架及晶片元件的30餘項漏洞，包括一項可經由藍牙發動攻擊的重大漏洞。</p> <p>這些漏洞公布前至少1個月前，Google已經通知Android合作夥伴，而原始碼的修補程式將會在公布後48小時內釋出到Android Open Source Project（AOSP）儲存庫。</p> <p>本月修補的漏洞中，最嚴重的是CVE-2022-20345，Google未提供細節，僅說明它可讓攻擊者在未取得執行權限情況下，經由藍牙遠端執行程式碼，是本月唯一被列為重大風險的漏洞，影響AOSP 12及12L。</p> <p>除了RCE漏洞外，Android作業系統還修補了6項高風險漏洞，包括5項權限擴張（escalation of privilege，EOP）及1項阻斷服務攻擊（DoS）漏洞。</p> <p>其他漏洞方面，Google也修補了框架部份9項高風險漏洞，當中有5項EoP漏洞及4項資訊洩露漏洞，以及媒體框架2個高風險的資訊洩露漏洞。</p> <p>這些修補程式僅適用於Android 10以上版本。</p> <p>Google同時以另一份安全公告，修補核心檔案系統內1項EoP漏洞（CVE-2022-1786），並釋出第三方晶片商提供的修補程式，影響元件包括Imagination Technologies的GPU、Qualcomm音訊元件、MediaTek GPU、Unisoc（紫光展銳）VSP。</p> </div></div></div>
2022/8/4 15:06作者林妍溱https://www.ithome.com.tw/news/152299
傳甲骨文美國地區開始裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/oracle-axes-u-s-staff-part-of-plan-to-lay-off-thousands" target="_blank">The Information</a>、<a href="https://www.bloomberg.com/news/articles/2022-08-01/oracle-cuts-workers-in-us-customer-analytics-division" target="_blank">彭博</a>等媒體報導，甲骨文已開始裁撤美國地區的公司人力，可能會再擴及印度、加拿大及歐洲等地。</p> <p>7月初已有媒體披露，受到景氣反轉直下、前景不明影響，甲骨文將展開10億美元成本削減計畫，包含裁減數千名員工。此後裁員消息蔓延開來，顯示受影響的可能是客戶服務及電子商務應用部門。</p> <p>本周各大網路論壇傳出裁員行動已經開始。消息人士指出，美國地區的裁員大刀向舊金山灣區開鍘，但波及人數不明。而印度、加拿大及歐洲也可能會是下一波裁員的地區。</p> <p><a href="https://www.theregister.com/2022/08/02/oracle_layoffs/" target="_blank">The Register報導</a>，一些被裁的員工在<a href="https://www.linkedin.com/news/story/oracle-begins-layoffs-in-us-5933642/" target="_blank">LinkedIn</a>、推特上公布自己的遭遇。這波主要影響行銷及售前技術工程師，後者每個團隊可能裁減7到10人。但是也不乏客服、投資人關係、開發人員及人力招募等職位。被裁者資歷從剛加入者到20年老鳥都有，也有整個部門被裁撤的傳言。有人認為，要裁減10億美元成本，砍掉1萬人也是有可能的。</p> <p>甲骨文並未對此評論。</p> <p>根據甲骨文截至5月底的資料，該公司全職員工有14.3萬人。</p> <p>另一方面，報導指出，Dell、微軟及AWS已經透過LinkedIn向這些前甲骨文員工招手。</p> <p>根據<a href="https://investor.oracle.com/investor-news/news-details/2022/Oracle-Announces-Fiscal-2022-Fourth-Quarter-and-Fiscal-Full-Year-Financial-Results/default.aspx" target="_blank">甲骨文截至5月31日的財報</a>，上一季甲骨文整體營收僅較前一年成長5%，雲端及本地部署軟體授權成長18%，雲端服務業務、服務業務各成長3%，硬體業務則較去年同期衰退3%。</p> <p>為追求更新的營收來源，<a href="https://www.ithome.com.tw/news/151399" target="_blank">甲骨文6月完成</a>以283億美元收購最大電子病歷商Cerner，欲提供集中化的雲端電子病歷等醫療應用。</p> <p>而在大環境不佳及通膨等挑戰下，<a href="https://www.ithome.com.tw/news/152139" target="_blank">市場傳言</a>甲骨文已通知客戶將調漲軟體支援服務費，美國地區漲幅高達8%，而其他地區也都會調價。</p> </div></div></div>
2022/8/4 13:19作者林妍溱https://www.ithome.com.tw/news/152296
華碩聯手台哥大、英特爾及台智雲打造5G AI Ready整合平臺，要讓企業專網、混合雲、AI、擴增實境應用都能在單一平…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好未來5G物聯網、企業專網市場龐大商機，華碩於4日聯合台灣大哥大、英特爾及其子公司台智雲共同推出一個5G AI Ready整合平臺，整合5G通訊、公雲、邊緣雲，還結合AI平臺及各種AI場景應用，希望打造成為一個單一平臺，讓所有應用都能在這個平臺來部署和執行，包括邊緣AI、AR、VR以及智慧製造、智慧醫療和智慧城市三大垂直產業應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220803_015845956.jpg" style="width: 600px; height: 341px;" /></p> <p>這次聯合4家業者推出的5G AI Ready平臺，主要提供三種解決方案，包括針對企業用戶推出的5G與AI數位服務方案、整合的ISV解決方案，以及5G電信整合方案。</p> <p>華碩電腦協理暨台智雲技術長陳忠誠表示，透過這些方案，能夠整合客戶和應用開發商需要的複雜基礎建設、平臺和解決方案，加快企業5G AI導入速度，包括整合5G、雲端、物聯網裝置、AI、VR、AR基礎建設等，不只企業用戶馬上能用，也能讓應用開發商在這個平臺上進行開發和驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220803_011316036(1).jpg" style="width: 600px; height: 374px;" /></p> <p>為了建造該平臺，華碩找來了台哥大、英特爾和其子公司台智雲等軟硬體、雲端業者合作，其中，最底層運算及加速硬體層，由英特爾負責提供，包括OneAPI框架、電腦視覺開發工具OpenVINO等；至於電信和通訊層部分，則有台灣大哥大和亞旭電腦來負責，將提供5G專網相關基地臺或核網設備等，之後也會加入O-RAN開放電信架構的方案，另外，華碩會提供IoT與Edge端的硬體解決方案，NetAPP則會提供高速儲存設備，並透過台智雲一站式MLOps服務OneAI，支援雲端和邊緣不同應用任務，包括AI、AR、VR，以及智慧製造、智慧醫療和智慧城市三大垂直產業應用。</p> <p>因為整合英特爾OneAPI框架，陳忠誠表示，使用者從平臺上可以很方便使用OneAPI工具來開發跨硬體架構的功能或應用，平臺也內建自動標註輔助功能，能夠縮短AI應用開發時間，像是可以利用內建CVAT影像標註工具，快速完成車牌框及車牌號碼的標註等。</p> <p>該平臺也結合台智雲混合雲技術，在台哥大5G專網和公網環境下，可供企業建置專網的邊緣雲與公網公雲，來因應不同應用任務需求，如果是屬於即時性、低延遲的應用，就能部署到專網邊緣雲，若是需較複雜運算或是立即性需求的應用，就能採用公網公雲模式來部署。也因為兩者採相同介面，企業可以根據需求跨專網邊緣雲與公網公雲執行。</p> <p>華碩表示，原本華碩就有不少跨產業的AIoT應用，涵蓋智慧製造、智慧醫療和智慧城市等，還提供各種不同雲端平臺或物聯網設備，如AI雲平臺、智慧物聯網終端、伺服器、通訊設備等，未來可藉由5G AI Ready平臺，導入到更多企業應用場域。</p> <p>除了推出5G AI Ready平臺外，華碩還在華碩AI雲創園區建立5G AI共創實驗室，未來可以讓合作夥伴在這個實驗室開發和驗證其應用，除了用於產品或應用展示，也能加速企業客戶導入。</p> </div></div></div>
2022/8/4 10:45作者余至浩https://www.ithome.com.tw/news/152292
Windows 11安全工具SAC加入封鎖ISO、LNK等多種檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著駭客找出Office預設封鎖巨集的因應之道，微軟也跟著強化安全工具。<a href="https://twitter.com/dwizzzleMSFT/status/1554276804868771840" target="_blank">微軟宣布</a> Windows 11的智慧應用程式控管（Smart Application Control，SAC）也將預設封鎖來自網路上的ISO及LINK等檔案。</p> <p>微軟企業及OS安全部門副總裁David Weston指出，Windows 11的SAC現在也支援封鎖和巨集一樣具有Mark of the Web（MoTW）的檔案，如ISO及LNK檔。</p> <p>這是在<a href="https://www.ithome.com.tw/news/152193" target="_blank">安全廠商本周公布惡意郵件附檔新趨勢</a>後，微軟做的安全強化。Proofpoint指出，微軟關閉Office XL4及VBA巨集後，釣魚詐騙使用包含巨集的附檔次數驟減66%，但使用ISO、RAR、LNK等類型檔案感染用戶則大增數十倍。</p> <p><a href="https://www.ithome.com.tw/news/150331" target="_blank">微軟於4月首次公布SAC</a>（下圖），宣稱是安全防護的一大進展。根據微軟的說明，<a href="https://support.microsoft.com/en-us/topic/what-is-smart-app-control-285ea03d-fa88-4d56-882e-6698afdb7003" target="_blank">SAC是根據微軟AI雲端安全分析服務</a>，為用戶欲執行的App給定安全預測評分。若App被認定為惡意或不安全檔案，就會被SAC封鎖執行。若無法使用該雲端服務，SAC會檢查App是否具有有效的簽章，未獲得簽章，或是簽章過期，也會被SAC判定不安全而封鎖。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/880638ed-3120-4d38-8320-8a408d155033.png" style="width: 518px;" /></p> <p>圖片來源／微軟</p> <p>知名安全專家<a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank">Will Dormann</a>發現，SAC會預設封鎖.img、.VHD和.VHDX等檔案類型（下圖）。<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-smart-app-control-blocks-files-used-to-push-malware/" target="_blank">Bleeping Computer</a>的測試則證實，.appref-ms、.bat、.cmd、.chm、.cpl、.js、.jse、.msc、.msp、.reg、.vbe、.vbs、.wsf也在預設封鎖之列。</p> <p class="rtecenter"><a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZKbhjpX0AAHnVI?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="http://twitter.com/wdormann/status/1554475849365291010" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="https://twitter.com/wdormann/status/1554475849365291010" target="_blank"><span style="color:#696969;">Will Dormann</span></a></span></p> <p>SAC僅在Windows 11以全新安裝（clean install）時啟動。但用戶可以手動關閉，或是在評估版（evaluation mode）中，「微軟認為用戶不適用SAC」而將之關閉。</p> <p>目前只有Windows 11有SAC，這功能僅釋放給Windows測試版的Insider用戶。安裝Windows 11 22H2預覽版的用戶已可測試。</p> </div></div></div>
2022/8/4 12:03作者林妍溱https://www.ithome.com.tw/news/152295
Amazon百億參數模型小樣本學習勝過GPT-3、PaLM千億參數大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/blog/20b-parameter-alexa-model-sets-new-marks-in-few-shot-learning">Amazon以新範式改善Alexa人工智慧</a>，模型只需最少的人工輸入，就能將知識在不同語言中轉移，官方提到，這樣的模型有效提高新功能的開發速度，並且能夠同時在多種語言上改進Alexa。當前人工智慧的主要進步都來自監督式學習，也就是使用帶注解的資料訓練模型，但Amazon提到，隨著商業人工智慧規模不斷擴大，仰賴注解的方法變得不可行。</p> <p>為了解決這個問題，Amazon發展出了新方法，引入基於Transformer的大規模多語言模型AlexaTM（Alexa Teacher Models），只需要給幾個任務提示，AlexaTM就能夠將已知的知識，從一個語言轉移到另一個新語言，而這過程不需要額外的人工監督。</p> <p>僅有200億參數的AlexaTM 20B，在多種語言任務上優於擁有數千億參數的大型模型。AlexaTM 20B不僅可以跨語言遷移所學知識，還可以從小樣本中學習新任務，官方提到，他們的研究是受到OpenAI GPT-3模型的啟發，但是相較於其他唯解碼器架構的大型語言模型，AlexaTM 20B採用序列到序列（seq2seq）的編碼器-解碼器架構。</p> <p>AlexaTM 20B在翻譯和文本摘要的效果優於GPT-3，同時也支援更多的語言，包括阿拉伯語、英語、法語、泰米爾語和泰盧固語等。而且因為AlexaTM 20B的參數數量較少，且Amazon對訓練引擎的改進，因此AlexaTM 20B在訓練期間的碳足跡，只有GPT-3的五分之一。</p> <p>不只如此，在給定單個文章摘要的情況下，AlexaTM 20B可以比擁有5,400億參數的PaLM 540B模型，生成更高品質的英語、德語和西班牙語摘要。</p> <p>而在Flores-101資料集上，AlexaTM 20B的小樣本機器翻譯，幾乎大勝所有語言模型，特別是在馬拉地語、泰米爾語和泰盧固語等低資源語言間翻譯的效果更好。官方提到，這表示他們大規模seq2seq方式的預訓練，可以提高低資源語言的機器翻譯品質，與需要平行翻譯資料進行訓練的多對多機器翻譯系統相比，從不同語言進行翻譯對AlexaTM 20B可說是毫無難度。</p> <p>AlexaTM 20B是目前最大的多語言seq2seq模型，能夠進行小樣本學習，Amazon現在對外釋出，限用於非商業用途，以促進開發和評估多語言大型語言模型。</p> <p>而Amazon經過分析，發現AlexaTM 20B與其他大型語言模型一樣，產生的內容可能包含來自訓練資料中的有毒語言、社會偏見和刻板印象，因此官方提醒用戶，需對該模型的使用進行完整的公平和偏見分析，以充分瞭解可能產生的危害。</p> </div></div></div>
2022/8/4 10:24作者李建興https://www.ithome.com.tw/news/152283
駭客清空近8,000個Solana錢包，疑似與錢包所使用的軟體有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Solana區塊鏈這幾天成為駭客主要的攻擊目標，從8月2日到8月3日，已有大約8,000個Solana錢包中的數位資產被盜轉。<a href="https://twitter.com/SolanaStatus/status/1554721709357498368" target="_blank">Solana平臺已證實了此事並展開調查</a>，而<a href="https://hub.elliptic.co/analysis/over-5-8-million-drained-in-solana-wallet-exploit/" target="_blank">區塊鏈分析業者Elliptic</a>則統計，在遭到盜轉的、價值580萬美元的數位資產中，約有260萬美元的USDC與180萬美元的SOL幣，其它資產則占了140萬美元。</p> <p>根據Solana的初步調查，駭客的攻擊行動影響了多個錢包，包括Slope與Phantom，而且不管是行動版或是擴充程式版皆受害，此外，受到波及只有熱錢包，基於硬體的冷錢包則完好無缺，使得Solana再度建議使用者採用硬體錢包，但不要使用同樣的（Seed Phrase）。</p> <p class="rtecenter"><a href="https://twitter.com/SolanaStatus/status/1554695981781901312" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-Solana%20Status-600-1.png" style="width: 581px;" /></a></p> <p>Elliptic指出，所有用來執行攻擊的帳號都是由同樣的帳號所建立，顯示這是由單一駭客所展開的攻擊。Solana則強調，此次的攻擊並非源自於Solana程式碼的臭蟲，而是因這些軟體錢包所使用的軟體所造成。</p> <p>Solana現為全球第四大的開源區塊鏈專案，僅次於以太坊（Ethereum）、Polkadot與Cosmos。</p> </div></div></div>
2022/8/4 10:45作者陳曉莉https://www.ithome.com.tw/news/152291