iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 28篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 139 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Apple要求新版Telegram刪除Telemoji功能才給上架App Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152466">在Telegram創辦人Pavel Durov大動作發文抱怨Apple</a>，審查新版Telegram時間長達兩星期，之間又都沒有任何解釋之後，Apple終於回應了，要求Telegram必須把新版中，他們稱為Telemoji的高品質向量動畫表情符號移除，才能在App Store上架。</p> <p><a href="https://t.me/durov/191">Pavel Durov表示</a>，他無法理解Apple的這個舉動的意義何在，因為Telemoji能夠豐富Apple的生態系。Telemoji是Telegram用來取代標準表情符號的高品質版本，透過增加表情符號的解析度來提升用戶體驗。</p> <p>不過即便少了Telemoji，<a href="https://telegram.org/blog/custom-emoji">Telegram的新版</a>仍然有許多新的表情符號功能，對於訂閱Telegram進階功能的用戶，開始可以上傳自定義動畫表情包，官方也在新功能釋出的同時，額外提供10個初始的動畫表情包，其中包含500個，付費用戶可以用於文字訊息以及媒體附加說明中的動畫表情符號。另外，新的互動式表情符號功能，可以在使用者1對1對話時，透過點按表情符號，同步在雙方的裝置上播放特效。</p> <p>現在Telegram進階用戶也有更多操作，除了能限制可傳送聲音和影片訊息給他們的對象外，也可以向朋友贈送進階訂閱身分。</p> </div></div></div>
2022/8/16 11:54作者李建興https://www.ithome.com.tw/news/152520
程式人的線性代數
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為一名程式人，如果想接觸、結合數學，我在先前<a href="https://www.ithome.com.tw/voice/109597" target="_blank">專欄〈程式人的數學書〉</a>曾經提過一些建議，若這引起了你對數學的興趣，下一步你可能會想知道：對於寫程式來說，實用的數學是？離散數學嗎？</p> <p>雖然離散數學的非連續性運算，是電腦可以表達的運算，不過，離散數學的範圍太廣，包含了邏輯、集合、圖論、狀態機等，有些你可能早就接觸過，只不過沒意識到那是離散數學的範疇罷了。</p> <p><span style="font-size:28px;"><strong>寫程式實用的數學？</strong></span></p> <p>就我個人經驗而言，至今為止接觸過、寫程式時最有用的一門數學是……？線性代數！我知道很多學生時代曾接觸線性代數的人，聽到線性代數會感到驚恐，別擔心，我也一樣。</p> <p>就算是擅長線性代數，出版過《有限維向量空間》（Finite-Dimensional Vector Spaces）的美國數學教授哈爾莫斯，談到自己第一次學習線性代數時，遭遇也是滿悲慘的，對此，「線代啟示錄」作者在<a href="https://bit.ly/3nrulsC" target="_blank">〈如何學好線性代數？〉</a>也描述了哈爾莫斯的這段歷程。</p> <p>回想起大學時代接觸線性代數的經驗，那就像：還沒熟練第一門程式語言是怎麼一回事之前，就要理解物件導向、函數式等抽象的純粹性，這都是不可能的事情。在沒有看過足夠的（爛）程式碼之前，你說你可以理解那些抽象的前因後果？類似地，如果沒看過足夠的運算轉換場合，就要能理解線性代數的定義、定理、證明，怎麼可能？更別說「證明」這件事，基本上並不是程式人的工作。</p> <p>〈如何學好線性代數？〉談到，明白線性代數是指「有一天你在洗澡時豁然開悟，奔出浴室光著身子在馬路上邊跑邊叫」對我來說，在那個「豁然開悟」的時間點之前，我已經寫了不少與線性代數相關的程式碼——具體來說，就是在面對運算轉換問題時，特意練習、思考該如何以向量、矩陣來描述，當這個習慣成為自然，伴隨著實作的經驗，回頭看看線性代數時，才終於有了「原來是這麼一回事」的領悟。</p> <p><span style="font-size:28px;"><strong>向量、矩陣的幾何意義</strong></span></p> <p>我寫過不少的2D/3D繪圖、建模程式，而這類程式的入門，一開始脫不了三角函式等幾何轉換，在我早期的程式實作，是基於逐條的幾何公式，例如座標點(x,y)要位移(tx,ty)，我會以nx=x+tx、ny=y+ty來實現，後來才發現在OpenSCAD這麼寫很蠢，因為，只要寫n_coord=[x,y]+[tx,ty]就可以了，理由是OpenSCAD的[x,y]不只是list，而是個向量。</p> <p>就如同直角座標(x,y)提供x軸、y軸的位移資訊，極座標(r,a)代表長度與度數資訊，向量是用來描述方向與大小，雖然向量不包含位置資訊，不過，常會使用向量(x,y)來表示直角座標(x,y)，這是因為隱含著「從原點開始，以向量(x,y)移動」的意思。如此一來，我們就可以用各種向量運算來解決幾何的問題，例如，有些用三角函式等幾何公式描述上很複雜的問題，透過向量內積、外積等作法，就可以輕鬆地描述。</p> <p>至於矩陣，可以想想一條線性的數學公式。例如nx=a*x+b*y+c*z，就是將x、y當成是輸入，nx當成是輸出。如果是一組數學公式呢？你可以當成是三次輸入，三次輸出：</p> <pre> nx=a*x+b*y+c*z ny=d*x+e*y+f*z nz=g*x+h*y+i*z</pre><p>不過，你也可以把這樣的狀況看成：輸入一個向量[x,y,z]，得到一個向量[nx,ny,nz]，實作其中轉換機制的，就是矩陣，若用二維陣列表示該矩陣的話，就是。</p> <p>這其實是一個有趣的觀點，向量像是程式語言中函式的參數，矩陣像是函式的實作，轉換過程不過就是個函式呼叫，<a href="https://bit.ly/3QV7N0M" target="_blank">〈程式設計大佬眼裡的線性代數〉</a>就是從程式語言的觀點來看線性代數。</p> <p>也就是說，線性代數所談的，就是在描述一組線性方程式時，將變量視為向量，將轉換過程（線性方程式的係數）以矩陣表示，將向量轉換為另一個向量，線性代數就是討論向量之間、矩陣與向量之間關係的一門學問。</p> <p>就幾何來看，因為經常用向量來代表座標，而座標與座標之間的轉換，也就是：向量之間的轉換方式，可以使用矩陣表示。由於幾何可以視覺化，我們如果能夠從幾何觀點來認識向量、矩陣，從而認識線性代數當中的行列式、特徵向量、特徵值等，這些部分就會顯得更加具體，在<a href="https://bit.ly/3A8DKwE" target="_blank">〈如何理解線性代數？〉</a>裡，就闡明了那些高深名詞，各意謂著幾何中的哪些東西。</p> <p><span style="font-size:28px;"><strong>從做中學的程式工具</strong></span></p> <p>若想從做中學，使用可撰寫程式碼、提供向量、矩陣運算方案的繪圖工具，從幾何中認識、熟悉向量、矩陣，自然是最好的方式。例如OpenSCAD裡，向量、矩陣是一級公民，是個不錯的方案，自從體認到向量、矩陣的優異性之後，我花了很多時間改寫dotSCAD程式庫，而基於向量、矩陣的實作不但簡明，效率也上升了不少。</p> <p>對OpenSCAD沒興趣的話，不妨考慮p5.js，因為它入門簡單、提供p5.Vector，也可以透過applyMatrix套用矩陣轉換；若想進一步運用，可以試試Three.js，或者甚至WebGL等基於JavaScript的方案，這必然會接觸不少向量與矩陣變換。</p> <p>方才談到，線性代數探討的課題之一，是向量透過矩陣如何轉換為另一向量。就幾何而言，這可以是二維座標轉換至二維座標，或是二維轉三維、三維轉二維等。這麼一來，你可以說座標變動了，然而以相對的觀點而言，也可說是座標系統變動了。</p> <p>p5.js的translate、rotate等就是這樣的概念，透過這些函式可以改變座標系統，然而，point、circle等繪圖函式並不知道自己的座標系統改變了，它們還是在自己的空間裡繪圖，被指定的x、y資訊會被轉換至畫布的座標系統，也就是在畫布的空間裡繪圖。</p> <p>而這就是向量空間變換的概念，談到這個，若你接觸過資料科學、機器學習，應該就有印象了，其中談到主成分分析（Principal Component Analysis, PCA）、核方法（Kernel method）等維度變化技巧時，其實就是空間變換（降維、升維）的概念。</p> <p>也就是說，就工具而言，接觸NumPy、Pandas時資料科學工具時，有不少機會可從向量、矩陣來思考，因此，當我們使用這些工具時，不要將公式逐條看待，而是可以試著將變數組織為向量，公式的係數實現為矩陣（可參考先前專欄〈陣列程式設計〉），這麼一來，我們若要進一步往機器學習scikit-learn、PyTorch等相關方案前進時，就會是很大的助力。</p> <p><span style="font-size:28px;"><strong>線性系統轉換的抽象化</strong></span></p> <p>在幾何、資料科學甚至是機器學習等領域裡，當我們習慣用向量、矩陣來思考、描述後，此時，就會發現：雖然被轉換的系統不同，然而其中有許多共通的計算與考量，如果將這些共通部分從幾何、資料科學、機器學習裡等實際應用中抽離出來，就是極為純粹（然而抽象）的線性代數了。</p> <p>如果你跟我一樣，學生時代沒明白過線性代數，或許可以透過程式設計，從幾何等實際應用程式的實作，來理解線性代數，等到哪天解的問題夠多了，再回頭看看線代課本，或許就如同看物件導向、函數式等的理論書籍，可以別有一番體會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%9A%E6%80%A7%E4%BB%A3%E6%95%B8">線性代數</a></div><div class="field-item odd"><a href="/tags/%E5%90%91%E9%87%8F">向量</a></div><div class="field-item even"><a href="/tags/%E7%9F%A9%E9%99%A3">矩陣</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/8/16 08:56作者林信良https://www.ithome.com.tw/voice/152502
【資安日報】2022年8月15日，中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月初有人聲稱是中國駭客APT27，企圖對美國參議院議長裴洛西訪臺進行網路攻擊，最近有兩家資安業者也發現了APT27攻擊行動──這些駭客竄改一款中國廠商開發的即時通訊軟體MiMi，主要鎖定macOS的用戶。</p> <p>臺廠瑞昱半導體（Realtek）於3月下旬，針對軟體開發套件eCos SDK修補CVE-2022-27255漏洞，研究人員指出，雖然瑞昱提供了SDK的更新軟體，但受影響的連網設備仍有待製造商進行修補。</p> <p>使用小米手機的用戶要注意了，搭載聯發科晶片的小米手機存在漏洞CVE-2020-14125，攻擊者很可能將其用來洗劫用戶的存款，使得研究人員呼籲用戶要儘速更新韌體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-backdoor-chat-app-with-new-linux-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27竄改即時通訊軟體MiMi，攻擊Mac電腦，遭鎖定目標集中在臺灣</span></strong></a></h3> <p>資安業者Sekoia、趨勢科技於8月12日，不約而同對遭駭的中國即時通訊軟體MiMi提出警告，駭客主要針對Mac電腦的用戶而來，約從今年5月26日開始，竄改MiMi的2.3.0版軟體，植入後門程式RShell，攻擊者的身分是中國駭客組織APT27（亦稱Iron Tiger、LuckyMouse）。</p> <p>趨勢科技總共找到13個遭鎖定的目標，有10個在臺灣、3個在菲律賓，且疑似有臺灣IT開發公司受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mnews.tw/story/20220812sot12014"><span style="color: rgb(0, 0, 0);">台灣銀行9日和兆豐銀行11日遭到DDoS分散式阻斷式攻擊</span></a></strong></h3> <p>因裴洛西8月初訪臺，中國駭客頻頻對臺灣發動網路攻擊的情況，財政部啟動資安警戒應變小組，動員八大行庫與事業機構，進行為期一週的高度警戒，傳出有銀行遭到攻擊的情況。根據工商時報、鏡新聞等媒體的報導，台灣銀行、兆豐銀行先後傳出於9日和11日遭到DDoS攻擊，兩家銀行都在第一時間向財政部通報，且增加頻寬因應，皆並未因這些攻擊而導致網頁癱瘓。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152492"><span style="color: rgb(0, 0, 0);">健保資料庫侵犯隱私權，憲法法庭判健保法應3年內修法</span></a></strong></h3> <p>個資保護也與資安息息相關，而在國內主要的法規依據是個人資料保護法，但對於公部門如何運用民眾個資，仍有所不足。例如，憲法法庭8月12日判決健保資料庫違憲，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。</p> <p>健保署回應尊重憲法法庭判決，承諾將修法或制定法制，包括健保資料利用法制與當事人健保資料停止利用權（即退出權）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.storm.mg/article/4469272"><span style="color: rgb(0, 0, 0);">中國威脅加劇恐影響臺灣金融，在野黨提出金融漢光演習，並認為金融業應3個月內全面設置資安長</span></a></strong></h3> <p>經濟日報、新新聞的報導，國民黨團於8月12日提出呼籲，針對中國的文攻武嚇加劇，政府應該針對金融業進行「金融漢光演習」，由財經部會及國安部門通力合作，進行相關的兵棋推演，內容應包含網路攻擊，以及股匯市的因應。該黨團彙整18套劇本，並認為金融業應3個月內全面完成資安長設置，行政院也必須落實相關的資安防護業務。</p> <p>對此，<a href="https://money.udn.com/money/story/5613/6532877">金管會表示</a>，他們對金融機構的日常監理工作已涵蓋各項演練及壓力測試，評估不需另外辦理金融漢光演習。而對於上述限期全面設置資安長的看法，金管會沒有表示意見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/acn/202208120290.aspx"><span style="color: rgb(0, 0, 0);">中國上海疫調App「隨申碼」遭駭，4,850萬用戶個資流入地下論壇</span></a></strong></h3> <p>在6月有人在地下論壇Breach Forums兜售10億中國民眾個資後，又有駭客在該論壇求售竊得的資料。根據中國媒體南方都市報的報導，上海市疫情防控的應用程式「隨申碼」疑似遭到入侵，駭客竊得4,850萬用戶個資，並於Breach Forums以4千美元的價格出售。</p> <p>為取信買家，該名駭客提供47組資料，經該媒體打電話確認後，有部分民眾證實資料正確。對此，上海市大數據中心表示，他們只負責研發隨申碼，資料並非由該單位流出；上海市民服務熱線12345工作人員表示無法處理相關事件，並建議個資外洩民眾向公安報案。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/"><span style="color: rgb(0, 0, 0);">全球逾8千臺VNC伺服器未受密碼保護</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-–-Top-5-countries-with-exposed-VNCs.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-%E2%80%93-Top-5-countries-with-exposed-VNCs.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble於8月12日提出警告，全球發現至少有8千個未受密碼保護的VNC伺服器，當中又以中國、瑞典最多，皆超過1,500個，美國835個次之。由於不少伺服器隸屬關鍵基礎設施（CI），如，水處理廠、研究設施等，一旦這些系統遭到入侵、竄改組態，很有可能造成嚴重的危害。</p> <p>研究人員指出，近期出現大規模掃描VNC實例（Instance）的現象，駭客試圖存取這類系統的預設連接埠5900，相關流量主要來自荷蘭、俄羅斯，以及烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly"><span style="color: rgb(0, 0, 0);">安卓惡意程式Sova納入了勒索軟體功能</span></a></strong></h3> <p>資安業者Cleafy發現，駭客近期在安卓木馬Sova第5版裡，新增了檔案加密功能，研究人員表示，雖然第5版仍在開發階段，但7月出現的第4版Sova已可偽裝成200種以上的App，並具備攔截雙因素驗證所需資料，以及竊取Cookie的功能，還能鎖定多種Google服務下手，如Gmail、行動支付GPay，以及密碼管理器等，此外，該惡意程式能阻止使用者將其移除。研究人員提出警告，使用者應防範此木馬程式的相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek eCos SDK存在RCE漏洞，恐波及採用RTL819x晶片的連網設備</span></strong></a></h3> <p>資安業者Faraday Security在8月12日於DEF CON大會上，公布他們找到並向臺廠瑞昱半導體（Realtek）通報的高風險漏洞CVE-2022-27255，此漏洞存在於eCos SDK軟體裡，影響採用RTL819x晶片的連網設備，一旦攻擊者加以利用，可導致SIP ALG模組出現記憶體緩衝區溢位，進而發動RCE攻擊。瑞昱半導體於3月25日發布資安通告，並提供修補程式。</p> <p>研究人員指出，他們至少確認有4個廠牌、13款連網設備受到影響，而且光是在拉丁美洲，就賣出了13萬臺存在漏洞的設備，他們認為此漏洞很可能會被駭客用於大規模攻擊，呼籲相關設備製造商應儘速修補。</p> <h3><a href="https://research.checkpoint.com/2022/researching-xiaomis-tee/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搭載聯發科晶片的小米手機存在支付系統漏洞，攻擊者有可能用來洗劫手機用戶的銀行帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，搭載聯發科晶片的小米手機可能存在CVE-2020-14125漏洞，此漏洞與該廠牌手機使用的Kinibi受信任執行環境（TEE）有關，一旦攻擊者加以利用，就有可能讓手機的行動支付功能無法使用，或是將受害者的存款轉給自己。</p> <p>小米於今年6月完成修復，研究人員呼籲使用者要儘速安裝新版韌體。</p> <h3><a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom修補macOS版用戶端軟體更新元件弱點，攻擊者有機會取得root權限</span></strong></a></h3> <p>研究人員Patrick Wardle於8月12日，於DEF CON大會公布Zoom兩個macOS版用戶端軟體漏洞CVE-2022-28756、CVE-2022-28751，CVSS風險評分皆達到8.8分。上述漏洞都與握有Super User權限的自動更新元件有關，一旦加以串連利用，就有可能取得root的執行權限，部署、更動、刪除Mac電腦的任何檔案。Zoom於8月13日發布5.11.5版予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-blocks-uefi-bootloaders-enabling-windows-secure-boot-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現UEFI韌體簽章漏洞，23家廠商可能受到影響</span></strong></a></h3> <p>資安業者Eclypsium公布他們發現的UEFI漏洞CVE-2022-34301、CVE-2022-34302、CVE-2022-34303，並指出很可能波及近10年推出的x86電腦與Arm電腦，一旦上述漏洞遭到利用，攻擊者很有可能藉此破壞開機過程的完整性，進而竄改作業系統配置，或是部署後門程式等行為。</p> <p>CERT/CC指出，可能有23家廠商的電腦或軟體會受到影響，但目前只有3家廠商發布相關公告，其中，微軟發布KB5012170安全更新，Phoenix Technologies、紅帽則表示旗下產品不受影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html"><span style="color: rgb(0, 0, 0);">Google加碼Linux核心懸賞計畫kCTF的獎勵</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-125-customers-affected-by-data-breach-no-passwords-stolen/"><span style="color: rgb(0, 0, 0);">雲端通訊平臺業者Twilio表示125名用戶受到攻擊事件影響，尚未發現密碼外洩情事</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-223a"><span style="color: rgb(0, 0, 0);">美國CISA對勒索軟體Zeppelin攻擊行動提出警告</span></a></span></strong></p> <p><a href="https://tw.stock.yahoo.com/news/%E9%99%B8%E9%AB%98%E9%90%B5%E5%8F%B2%E4%B8%8A%E6%9C%80%E5%A4%A7%E7%AF%84%E5%9C%8D%E8%AA%A4%E9%BB%9E-%E7%B6%B2%E6%B0%91%E8%B3%AA%E7%96%91%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5-121123608.html"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國高鐵大範圍誤點，疑資料外洩讓駭客有機可趁，而能夠入侵相關系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></strong></p> </div></div></div>
2022/8/15 17:41作者周峻佑https://www.ithome.com.tw/news/152514
Android金融木馬Sova即將新增勒索軟體功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly" target="_blank">資安業者Cleafy上周披露</a>，Android金融木馬Sova不斷地進化，他們已在尚未發表的Sova v5中發現了嵌入勒索軟體功能的設計。</p> <p>Sova出現在2021年的9月，問世迄今尚未滿一年，但Sova作者在發布該金融木馬時，就規畫了它可能具備的12種功能，在今年7月以前的版本即具備攔截雙因素認證、竊取Cookie或注入其它程式碼等能力。</p> <p>第一個Sova版本僅鎖定不到90個品牌，但7月釋出的Sova v4不僅可偽裝成超過200種行動程式，涵蓋金融程式與加密貨幣交易中心/錢包，而且具備多項新功能。例如從Sova v4開始，駭客即可獲得受害裝置的螢幕截圖，以取得更多資訊；此外，它納入了更廣泛的Google服務作為攻擊對象，包括Gmail、GPay，甚至是Google Password Manager；並嵌入保護模組，以避免它遭到使用者移除；另有一個專為幣安交易中心與幣安官方錢包Trust Wallet所設計的專用模組。</p> <p>當Cleafy在檢查Sova v4的文件時，意外發現了屬於Sova v5的多個範例，而它嵌入了勒索軟體模組，意謂著該金融木馬程式未來將企圖加密Android裝置上的檔案並向使用者勒索。</p> <p>Cleafy認為，這是一個非常有趣的功能，因為勒索軟體功能在Android金融木馬程式領域並不常見，而這很可能是因為近年來行動裝置已經成為人們存放重要個人資料與企業資料的重心，儘管Sova v5還在開發中，但應嚴陣以待。</p> </div></div></div>
2022/8/15 15:33作者陳曉莉https://www.ithome.com.tw/news/152513
揭穿AI榮景的真面目
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-aiwu_suo_bu_zai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高寶</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從一些科幻作品首先創造出家用個人機器人以來，這個未來就引起了我們的集體想像，期望著一台可以打掃房間和洗衣服，還能像一位不會疲倦的管家般隨時準備提供服務的機器問世。這樣的機器前景又是如何呢？目前而言，我們先把大多數人都熟悉的例子，包括《傑森一家》（The Jetsons）的機器女傭蘿西（Rosie the Robot）與《星際大戰》（Star Wars）中C-3PO拋開不談，然後想一下某種比較不那麼有野心的景象：一個功能性的機器人，具有實用的功能，雖然功能蠻有限的，但是能夠整理房間、執行多種基本家庭清潔任務，然後，甚至有可能依據我們的指令而從冰箱拿啤酒給我們。我們多快可以看到價格合理，我們認為非常實用，甚至沒它不行，以致廣大注重性價比的消費者願意買單的個人機器人呢？</p> <p><span style="font-size:28px;"><strong>你所下單的家用機器人將延遲交貨</strong></span></p> <p>非常遺憾，現實是，這樣的機器人可能存在於很遠的未來。事實上，個人機器人的問題在於它們根本沒辦法做很多事。對於一台真正有用的機器人的最低要求，包括在像家這樣不可預測的環境運作所需的視覺感知、移動能力與靈巧性，是機器人科學中最艱鉅的挑戰之一。到目前為止，試圖將消費機器人推向市場的公司，甚至還沒有真正開始克服這些挑戰。反之，他們所生產的機器能力非常有限，而大多數人對這樣的價值主張（value proposition）都是存疑的。</p> <p>這些挑戰的代表性例子是「Jibo」，這是被宣傳為第一個「社交機器人」的機器，由美國麻省理工學院的辛西亞．布雷齊爾（Cynthia Breazeal）所開發，她是世界頂尖的機器人專家。2017年秋季推出的Jibo能夠在社交與情感層面上與人互動，是一款高約12英吋的桌上型塑膠機器人。Jibo沒有手臂、腿或輪子，但是它確實具備能夠傾斜與轉頭的能力，在與主人交流時至少可以營造出一種類似人類連結的錯覺。這款機器人可以參與基本的對話，並做一些圍繞著資訊檢索為中心的事情，它可以在網路上查找東西、取得天氣和交通報告、播放音樂等等。也就是說，Jibo提供了一系列與亞馬遜搭載了Alexa的Echo智慧喇叭大致相似的功能。當然，Echo無法移動，但是Echo的背後是亞馬遜龐大的雲端運算設施與規模更大的高薪人工智慧開發團隊，Echo的資訊檢索和自然語言功能可能更強大（而且肯定會隨著時間而越來越強大）。Jibo最大的問題在於其900美元左右的定價。事實證明，雖然這款機器人可以模仿人類的頭部姿勢，而且隨著它所播放的音樂起舞的能力很討人喜歡，但對於大多數的消費者而言，這樣的能力根本不值得多花那大約800美元（Echo智慧喇叭的價格約為56.98∼79.98美元）。製造Jibo的新創公司在燒了7,000萬的創投資金後，於2018年11月倒閉。</p> <p>據報導，亞馬遜正在開發自己的家用機器人「Vesta」。這款機器人被形容是「有輪子的Echo」，能夠在家中來去並依照命令移動。儘管如此，我還沒有看到任何報告是有關亞馬遜計畫為機器人加上手臂或是這款機器人將具備用身體操作環境的能力。在缺乏這些功能的情況下，其價值主張將同樣地受到大家的質疑。由於最便宜版本的Echo價格為50美元左右，為什麼要花高價買會移動（速度可能很慢）的Echo，而不是簡單在家裡四處放上便宜的Echo？這些都是一直困擾著機器人產業的問題，就算是亞馬遜，其是否能在短期內成功推出商業性的家品，目前仍然不太明朗。</p> <p><span style="font-size:28px;"><strong>自動駕駛汽車與卡車：比預期更漫長的等待</strong></span></p> <p>特斯拉執行長伊隆．馬斯克承諾在2020年底，會有100萬輛機器人計程車上路營運只是自動駕駛汽車過度繁榮的例子。也許是因為汽車在我們的生活方式中占據了中心的位置，特別是在美國，沒有任何人工智慧的應用像是自動駕駛汽車那樣，受到如此大的關注與誇張的熱情歡迎。這個產業隨著2004年與2005年美國的國防高等研究計畫署大挑戰（DARPA Grand Challenge）而興起，並在技術上取得了驚人的進步，卻也經常未能達到過度誇大的預期目標。在2015年時，業內最知識淵博的人都普遍預測，全自動駕駛汽車將在五年內上路。克里斯．厄姆森（Chris Urmson）是這個領域的先驅，他曾擔任從Google獨立出來的自動駕駛汽車公司Waymo的科技長，現在是自動駕駛新創公司Aurora的執行長與創辦人，他曾提出著名的預測，說他當時11歲的兒子，在16歲的時候可能不需要去考駕照。此外，包括豐田與日產在內的主要汽車製造商，也都承諾會在2020年推出自動駕駛汽車。厄姆森對此充滿信心，並在2019年表示，他預計至少有「數百輛」全自動駕駛汽車會在五年內在公共道路上使用，且可能有1萬輛以上這類的汽車在十年內投入使用。我個人的觀點是，這些預測可能都是過於樂觀的。我會說，真正的自動駕駛汽車具有高度風險，因此在未來的許多年內，將會維持「即將在五年內實現」。</p> <p>現實狀況是，自動駕駛汽車在高速公路和更多市區環境中的日常操作（或者說，在工作或多或少能如預期般運作的情況）在很大程度上已經得到了解決。如果公共道路的整體可預測程度和亞馬遜的倉庫內部一樣，自動駕駛汽車可能已經被廣泛使用了。問題就在於所謂的「極端狀況」，也就是幾乎無窮無盡的異常互動與狀況，讓自動駕駛汽車難以正確預測，或是不可能準確預測，甚至在許多情況下，難以正確解讀。大多數自動駕駛汽車的駕駛路線經過的街道，都需要有對街道高度精準的進階地圖繪製。因此，意外的道路關閉、施工或交通事故都可能造成問題。惡劣的天氣，尤其是大雨或大雪，也會是主要的障礙。但最大的挑戰，將是與一個由無法預測的行人、騎自行車的人與駕駛所組成的生態系統安全地互動。在像是舊金山這樣的城市，遇到分心或喝醉的行人的情況並不少見。即使是那些有警覺的人，也經常有難以被理解的行為，有時候是在特定的情況下或在特定的街區試探性地離開人行道，而在其他情況下則會有更激進的行為等。在人口密集的地區，駕駛和行人間的大部分協調有賴於社會互動，而這對於自動駕駛汽車來說是非常難以理解或複製的。透過眼神示意、揮手、跨出大步後停在中間等駕駛確認，以及許多其他微小的行為所交織而成的一種不用說話的語言，是每個共享道路的人都能理解的。我認為，透過談判協商的這類互動很可能已經超出當今深度學習系統的能力。換句話說，真正能夠自動駕駛的汽車可能需要的是在往通用機器智慧前進的這條路上所開發的科技，而這可能需要漫長的等待。</p> <p>許多分析師認為，鑑於自動駕駛汽車在都會環境中所碰的種種困難，第一批出現在路上真正可行的無人駕駛車輛，將會是長途貨車。畢竟，在高速公路上駕駛這個問題，在很大程度上已被像是特斯拉的自動駕駛等系統解決了。雖然在高速公路上發生不可預測事件的可能性低於繁忙的城市十字路口，但是因為其中的速度與牽涉的車輛，是一輛滿載貨物、以龐大動能行駛的卡車，發生錯誤的後果會更嚴重。而且，雖然伊隆．馬斯克對此有著滿腔熱情，特斯拉的自動駕駛系統絕不會在沒有一個專注的駕駛員在車上的情況下上路。由於這些原因，我認為我們還需要很長的時間才能在公共高速公路上看到真正的無人駕駛卡車。<span style="color:#696969;"><strong>（摘錄整理自《AI無所不在的未來》第三章，高寶提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%981.jpg" style="width: 253px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_高寶</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">AI無所不在的未來：當人工智慧成為電力般的存在，人類如何控管風險、發展應用與保住工作？</span></strong></p> <p>馬丁．福特（Martin Ford）／著；曾琳之／譯</p> <p>高寶出版</p> <p>定價：490元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_AI%E7%84%A1%E6%89%80%E4%B8%8D%E5%9C%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Martin%20Ford.jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Martin Ford</span></p> <p><strong>馬丁．福特（Martin Ford）</strong></p> <p>他是傑出的未來學家、《紐約時報》暢銷書作者，以及人工智慧與機器人技術及其對就業市場、經濟和社會的潛在影響方面的領先專家。擁有密歇根大學安娜堡分校的電機工程學位和加州大學洛杉磯分校安德森管理學院的商業研究生學位。</p> <p>他也是矽谷一家軟體開發公司的創辦人，在電腦設計和軟體開發領域擁有逾25年經驗。他針對人工智慧對社會影響所做的TED演講已被觀看超過300萬次。</p> </div></div></div>
2022/8/15 15:57未署名https://www.ithome.com.tw/article/152496
人人必備的資料識讀力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-zi_liao_gu_shi_shi_dai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大牌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>古希臘哲學家赫拉克利特（Heraclitus）認為，變化是宇宙的根本。據傳他說過：「變化是人生中唯一不變的東西。」我們活在不斷演變的世界裡，這個世界比我們願意承認的還要隨機、吵雜、不可預測。對個人與組織來說，善於適應不斷變化的環境很重要。誠如奇異（GE）前執行長傑克．威爾許（Jack Welch）所言：「在不得不改變之前就要改變。」與其停滯不前或將就現況，我們通常會想辦法改善自己及周遭的世界。</p> <p>從古至今，人類的創新都是源自於想要追求更好的狀態，像是更快、更便宜、更安全、更有效率、更多產等等。比方說，印刷、電話、汽車、電腦、網路等突破性的創新，都帶來了重大的變化。這些科學突破需要打破既有的信念、技能、體系以取代它們。改變是進步無可避免的副產品。想要進步與改善，你就必須追求新的見解，落實新的概念，那免不了會帶來改變。</p> <p>然而，不是所有的改變都有強大的破壞性。二戰後的日本製造商發展出「改善」理念（kaizen philosophy），鼓勵員工在整個工廠中不斷地導入漸進式的小改進。最終，這些小改進積少成多，幫豐田、Sony等日本企業，在產品品質與製造效率上，獲得很大的競爭優勢。如今，多數創新的新創企業、甚至大公司，也採用類似的「精實方法」（lean methodology），透過漸進式的實驗與敏捷開發來持續精進。</p> <p>「改善」與「精實」方法的根本都是資料。沒有資料的話，使用這些方法的公司根本不知道要改進什麼，或不知道漸進式改變究竟有沒有效果。資料為推動正向的改變，提供必要的透明度與明確性。然而，不是只有在商業界，確立基線、基準、目標才重要，而是從個人發展到社會理念，各領域都適用。正確的見解可以帶來勇氣與信心，幫忙打造新方向，讓你不再只是有勇無謀地豁出去，而是放膽展開明智的探險。</p> <p><span style="font-size:28px;"><strong>人人都能成為資料分析師</strong></span></p> <p>過去50年的大部分時間，在多數商業組織中，資料主要是交給兩個擁有特權的群體：需要資料以管理事業的高階主管；為管理高層收集、分析、報告數據的資料專業人士（例如商業分析師、統計學家、經濟學家或會計師等等）。其他人接觸資料的機會相當有限，或是間接接觸，或只是偶爾接觸。</p> <p>在當今這個數位時代，資料變得更普遍，更多人可以接觸到事實與資料。每年的資料量預期將成長61％，到2025年將達到175ZB（1ZB=1兆GB）（Patrizio 2018）。這種爆炸性的成長大多歸因於這個世界的連結日益密集，以及機器創造額外的資料，而不只是人類或商業實體創造資料而已。</p> <p>資料迅速變成關鍵的策略資產，在多數組織中，資料已經從「可有可無」變成不可或缺。例如，對亞馬遜、Google、Facebook、Netflix等科技巨擘來說，資料早已是締造商業成就所不可或缺的根基。無論是從資料如何推動營運，還是從資料提供的巨大策略價值來看，都是如此。從亞馬遜與Netflix利用資料所啟動的推薦引擎，到Google與Facebook那些資料豐富的廣告網路，那些精通資料的公司利用資料與技術，取得強大的競爭優勢。不過，精通資料不再是業界領導者的專利，創新公司不分規模大小都能因此受惠。比方說，我認識一家俄勒岡州的小型建商，它可以從審核過程中獲得絕佳的資料透明度。相較於那些採用低效率紙本流程的在地競爭對手，那家公司享有明顯的優勢。</p> <p>在現今這個步調明快、瞬息萬變的商業環境中，只讓一小群高階主管及資料專業人士取得資訊已經不合理了。前瞻性的組織希望以資料來增強更多員工的能力，讓他們做更明智的決策，更快因應商機與挑戰。為了讓資料普及並培育資料導向的文化，公司依賴各種分析技術，從隨處可見的試算表，到進階的資料發現工具，應有盡有。</p> <p>即使你的職稱沒有「資料」或「分析師」等字眼，你的工作也可能沉浸在數字中，而且需要運用資料。如今，資料是每個人的責任。事實上，缺乏背景知識或脈絡是任何分析師的致命傷。另一方面，多數參與日常業務的人，則擁有豐富的背景知識或脈絡。舉例來說，精明的分析師可能忽視資料中的某個東西，但資深的事業參與者可以憑藉多年的專業經驗，輕易抓到重點。資料不在乎你是誰，也不在意你的分析技巧高低。只要你夠勤奮好奇，就可以從資料中發現洞見。資料取得變得更容易以後，各種背景的人都可能從資料中發現寶貴的見解，那不再是技術人員的專利。</p> <p>在工作之外，你可能沒注意到自己在「閒暇時」做了多少分析，因為資料日益融入日常生活的各方面。例如，你規劃度假或上網評估不同產品時，可能是根據一些資料做決定，像是陌生人的推薦與評價。事實上，89％的消費者表示，線上評價會影響他們的購物決定（PowerReviews 2018）。如果你是狂熱的球迷，整個球季你都會經常關注愛隊的戰績（或缺乏戰績）。此外，你可能是美加近6,000萬名「夢幻賽」（fantasy game）遊戲的熱情粉絲之一，而夢幻賽完全是靠資料啟動的。</p> <p>以我的居家生活來說，我太太從來沒想過她會接觸到分析與資料的世界。後來，她開始跑馬拉松及參加鐵人三項後，生活突然充滿了資料分析。現在，她持續以可靠的Garmin GPS手錶來分析自己的健康狀況與訓練績效。透過努力、決心與資料，她達成了健身的目標，包括完成鐵人三項比賽及著名的波士頓馬拉松賽。無論是追求個人健身、還是商業目標，最近數位資料的激增，以及資料日益增加的實用性與重要性，促使每個人都變得更精通資料。</p> <p><span style="font-size:28px;"><strong>資料經濟中的必備技能</strong></span></p> <p>儘管如今有更多人接觸資料，這不表示每個人都做好了解讀資料的準備，能夠有效地運用資料。隨著我們越來越需要資料的指引以及從資料中獲得見解，資料識讀力的提升變得更加迫切。如果識讀力是指讀寫能力，那麼資料識讀力就是了解及傳達資料的能力。</p> <p>現今的資料工具很先進，可以提供無與倫比的見解，但它們依然需要能夠解讀資料的操作人員。畢竟，一座收藏全球最優秀文學作品的圖書館，對不識字的人來說毫無價值。同樣的，豐富的資料庫對不知道怎麼運用資料的人來說，也毫無意義。</p> <p>幸好，了解英文不需要高深的英文學位。同理，資料識讀力也不必先有進階的統計知識，以及Python或R之類的程式技能。不過，你需要基本的算數技巧。例如，能夠了解、處理、解讀標準的資料圖表。我假設你已經具備了發現見解的必要算數技巧。無論是透過良好的教育、工作經驗、課外活動，還是靠天生的好奇心，你已經培養了這個技能。現在，你正在尋求改善資料識讀力的另一半能力，也就是能夠有效傳達或分享資料。</p> <p>誠如Google首席經濟學家威里安所述，發現有價值的見解，並有效地分享見解，是「未來數十年非常重要的技能」（McKinsey & Company 2009）。換言之，要從資料中創造價值，大多是靠這些重要的技能。如果你無法解讀那些數字的意義，資料的潛在價值永遠無法發揮出來。假如你能找到有價值的見解，但無法有效地交流，它恐怕還是無法發揮潛在的價值。發明家愛迪生曾說：「創意的價值在於如何運用它。」如果你的驚人發現令人困惑，或沒有吸引力，大家不會有動力採取任何行動。然而，越多人能夠藉由分享見解來推動行動，我們就會看到資料促成更多的正面改變與價值。沒有付諸實踐，見解就只是空洞的數字罷了。<span style="color:#696969;"><strong>（摘錄整理自《資料故事時代》第一章，大牌出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%982(2).jpg" style="width: 250px;" /></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">資料故事時代：大數據時代的未來，將由資料「說書人」定義！</span></strong></p> <p>布倫特．戴克斯（Brent Dykes）／著；洪慧芳／譯</p> <p>大牌出版</p> <p>定價：580元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B3%87%E6%96%99%E6%95%85%E4%BA%8B%E6%99%82%E4%BB%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Brent%20Dykes.jpg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Brent Dykes</span></p> <p><strong>布倫特．戴克斯（Brent Dykes）</strong></p> <p>布倫特．戴克斯為資料敘事顧問公司AnalyticsHero, LLC創辦人，曾為微軟、Sony、Nike、亞馬遜等世界知名品牌提供諮詢服務。過去，身為Omniture、Adobe、Domo等公司的分析師、經理、技術推廣大使，戴克斯親眼目睹了有效傳達資料的挑戰。</p> <p>在創立超人氣的PowerPoint部落格（Powerpointninja.com）並發表上百篇文章後，戴克斯把注意力轉向資料相關議題。他定期為《富比士》撰稿，發表了三十多篇談多元資料主題的文章。2016年，他榮獲數位分析協會（Digital Analytics Association）所頒發的「最具影響力產業貢獻獎」。</p> </div></div></div>
2022/8/15 16:08未署名https://www.ithome.com.tw/article/152500
全球有逾8,000臺沒有密碼保護的VNC曝露於網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/" target="_blank">資安監控業者Cyble上周警告</a>，縱使於公開網路曝露虛擬網路運算（Virtual Network Computing，VNC）的風險多數人都知道，但全球網路上仍有8,000個關閉身分認證機制的VNC實例。</p> <p>VNC為一圖像化的桌面分享系統，可以透過遠端框架緩衝器（Remote Frame Buffer，RFB）從遠端控制另一臺機器，它能在把鍵盤及滑鼠輸入透過網路傳送到另一臺機器時，傳遞畫面的變更。</p> <p>Cyble之所以特別提出警告，是因為他們在最近發現VNC已成為駭客鎖定及掃描的對象，在曝露於公開網路上的VNC實例中，中國與瑞典都占了超過1,500個，美國則有超過800個，西班牙與巴西也都超過500個，而且這些缺乏密碼保護的，不乏隸屬於重大基礎設施的VNC實例，像是水處理廠、製造工廠或研究中心等。</p> <p>駭客大多針對VNC的預設傳輸埠5900展開攻擊，主要的攻擊來源為荷蘭、俄羅斯與烏克蘭，攻擊的對象可能是連結VNC的人機介面系統、資料採集與監控系統（Supervisory Control And Data Acquisition，SCADA）（下圖）及工作站等。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/08/Figure-11-%E2%80%93-Exposed-SCADA-System-connected-via-VNC-.png?w=993&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>其中有一家曝露VNC的石油與天然氣業者，允許駭客變更其儀表板上的各種設定，涵蓋溫度、流量或壓力等，並可因此向設備施壓而造成實際的損害。相關的攻擊還能造成營運中斷或是存取各種機密設定資訊，或是造成勒索軟體攻擊。</p> </div></div></div>
2022/8/15 14:38作者陳曉莉https://www.ithome.com.tw/news/152510
Google新一波kCTF計畫，懸賞能擊敗漏洞緩解工具的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html" target="_blank">Google上周宣布</a>最新kCTF計畫，提供Linux漏洞的緩解工具，另一方面也透過抓漏獎勵計畫，大幅提高突破這些緩解工具的研究人員獎金。</p> <p>2020年Google首次推出kCTF（Kubernetes-based Capture-the-Flag）專案。其下漏洞獎勵方案讓研究人員連到Google GKE上尋找漏洞。研究人員找到漏洞後標示出來，經認可後能獲得獎金。</p> <p>而在今年，Google推出最新kCTF計畫。首先，<a href="https://www.ithome.com.tw/news/147633" target="_blank">今年初Google加碼</a>kCTF獎勵Linux抓漏的承諾仍然會持續進行，找到Linux核心漏洞的研究人員可獲得20,000到91,337美元不等的獎金。而在此之外，Google上周又宣布Linux核心的新獎勵措施。</p> <p>Google根據去年kCTF發現到的安全漏洞及開採程式，發展出實驗性緩解工具，Google相信能讓Linux核心更難被駭。<a href="https://google.github.io/kctf/vrp.html#new-mitigations" target="_blank">Google將公開</a>這些正在測試中的工具，並提供懸賞獎金。凡是能找到最新Linux核心的漏洞，研究人員會額外支付2.1萬美元，而如果能在安裝最新緩解工具的特製Linux核心找到新的漏洞，研究人員還可再獲得2.1萬美元（前提是能突破Google的緩解工具）。這麼一來，最高獎金最高可以來到133,337美元。</p> <p>Google希望可以藉此評估其緩解工具究竟能耐如何。目前<a href="https://github.com/thejh/linux/blob/slub-virtual/MITIGATION_README" target="_blank">Google發展出的緩解工具</a>是為了解決slab界外寫入（out-of-bounds write）、跨快取（Cross Cache）攻擊、Freelist毁損、Elastic物件的攻擊。他們希望長期下來，可以製作出盡可能提高Linux核心漏洞攻擊難度的緩解工具。</p> </div></div></div>
2022/8/15 13:12作者林妍溱https://www.ithome.com.tw/news/152507
RealTek晶片爆零點擊RCE漏洞，影響20款設備品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱半導體（RealTek）推出的晶片一項軟體元件被發現有安全漏洞</a>，可讓駭客在使用其軟體的路由器上遠端執行程式碼，至少有20多項品牌受到影響。</p> <p>這項漏洞是由安全廠商Faraday研究人員Octavio Gianatiempo發現並通報，<a href="https://forum.defcon.org/node/241835" target="_blank">同時在安全大會Def Con公布</a>。編號CVE-2022-27255漏洞位於瑞昱提供給其他路由器、AP或放大器廠商的系統單晶片（SOC）的eCOS SDK上，可造成網路設備的SIP ALG模組發生緩衝溢位情形。</p> <p>SIP ALG是使網路封包由公有網路進入私有網路的NAT穿透技術。在此過程中路由器的SIP ALG模組會呼叫strcpy函式將SIP封包內容複製到預先定義的固定緩衝。最新漏洞主因出在廠商對這網路功能安全實作不當，使網路設備的緩衝對複製內容的長度檢查不足。駭客可以改造SIP封包內的SDP資料引數或SIP標頭，利用WAN介面傳送到路由器開採漏洞。成功的開採可造成緩衝溢位，引發裝置崩潰或遠端程式碼執行。</p> <p>本漏洞屬於高風險，影響2個版本RTL819x SoC系列產品的SDK，包括rtl819x-eCos-v0.x Series和rtl819x-eCos-v1.x Series。<a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱已在3月釋出修補程式</a>（20220314_ecos_fix_crash_caused_by_vulnerability_of_sip_alg.rar）。</p> <p class="rtecenter"><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0815-realtek-cve-2022-27255-600-1.png" style="width: 600px;" /></a></p> <p><a href="https://forum.defcon.org/node/241835" target="_blank">根據研究人員Gianatiempo指出</a>，這項漏洞屬於零點擊RCE漏洞，用戶無需互動即會中招。研究團隊也展示，利用低成本裝置，即可自動在其他韌體映像中偵測漏洞的方法。</p> <p><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks" target="_blank">Gianatiempo等人發現</a>，大約有20個廠商的產品使用有問題的SDK，包括Tenda、Nexxt、Intelbras和D-Link，可能還有尚未發現的。所幸他們尚未發現有實際開採的活動跡象。</p> <p>研究人員指出，本漏洞雖然容易偵測，且影響不同廠牌，風險重大，但值得注意的是，大部分路由器未紀錄這項功能，也無法從路由器的網頁介面關閉，是OEM連網裝置隱藏式攻擊表面最好的例子，也突顯IoT裝置供應鏈安全的隱憂。</p> </div></div></div>
2022/8/15 13:48作者林妍溱https://www.ithome.com.tw/news/152508
荷蘭逮捕遭美國制裁的Tornado Cash開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fiod.nl/arrest-of-suspected-developer-of-tornado-cash/" target="_blank">荷蘭財政部旗下的財政資訊暨調查服務（Fiscal Information and Investigation Service，FIOD）上周宣布</a>，已於阿姆斯特丹逮捕了混幣平臺Tornado Cash的29歲開發者，而<a href="https://www.theblock.co/post/163297/arrested-tornado-cash-developer-is-alexey-pertsev-his-wife-confirms" target="_blank">《The Block》</a>則報導該名男子為Alexey Pertsev，並已獲得Pertsev妻子的證實。</p> <p>FIOD說明，Tornado Cash是個加密貨幣的混合服務，可用來遮掩加密貨幣交易的源頭或去向，這類的服務通常不檢查加密貨幣來源，因此使用者的最大目的就是提高匿名性。</p> <p>FIOD的金融先進網路團隊是在今年6月針對Tornado Cash展開調查，懷疑該服務被用來掩飾大規模的犯罪金流，包括由北韓駭客執行的加密貨幣竊盜行動。</p> <p>調查顯示，2019年上線的Tornado Cash迄今所經手的加密貨幣價值超過70億美元，其中至少有10億美元透過混合器執行，並猜測Tornado Cash的開發者透過這些交易獲得了大量的利潤。</p> <p>在Pertsev被逮捕的前幾天，美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）便宣稱Tornado Cash涉及替駭客集團洗錢<a href="https://www.ithome.com.tw/news/152376" target="_blank">而宣布制裁該平臺</a>。</p> <p>FIOD並沒有公布所逮捕的Tornado Cash開發者身分，但當《The Block》猜測是Pertsev時，很快就獲得了Pertsev妻子的證實。</p> <p><a href="https://twitter.com/bantg/status/1558028123224014849" target="_blank">有不少開發者替Pertsev抱屈</a>，認為逮捕平臺的開發者是件很荒謬的事，倘若此事是可行的，那麼所有金融平臺的開發者都要小心了，因為每個平臺都可能被用來洗錢。亦有開發者認為，Tornado Cash的問題並不在洗錢或隱私，而是因為它讓美國無法控制是誰在使用這些平臺，而威脅到該帝國所使用的經濟武器。</p> </div></div></div>
2022/8/15 14:08作者陳曉莉https://www.ithome.com.tw/news/152509
Zoom緊急修補Mac版App可讓駭客取得Root權限的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom於周末釋出更新版Mac版App</a>，解決可讓駭客取得Mac電腦最高執行權限的2項漏洞。</p> <p>這項漏洞為安全專家<a href="https://twitter.com/patrickwardle/status/1558220950558035968" target="_blank">Patrick Wardle上周在安全大會Def Con的演說示範項目</a>。經過<a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle" target="_blank">The Verge</a>報導後，Zoom於周末緊急釋出最新Mac版Zoom 5.11.5版本。</p> <p>編號CVE-2022-28756的漏洞為一本地權限擴張漏洞，出在以Zoom更新程式時對套件驗證不足。在首次安裝時，Zoom 安裝器（installer）會要求用戶輸入密碼，若是自動更新Zoom App版本時，自動更新器（Auto Updater）只會檢查更新套件檔是否符合憑證，通過檢查後就會自動更新，這個Auto Updater具備super user權限，可以在背景執行。但Wardle發現的漏洞在於，只要攻擊者修改新套件檔名就能通過updater的簽章驗證，即使是假的更新套件，也能順利安裝到Mac電腦。</p> <p>Wardle在同一場大會中，還公布另一個相關漏洞，編號CVE-2022-28751。這項漏洞是將經過Auto Updater安裝驗證的套件加以改造，像是注入程式碼。研究人員發現一個方法，騙Zoom重新安裝（已經改造過的）新套件，藉此取得享受Zoom　Auto Updater的super user權限。利用這兩個漏洞，攻擊者即可取得最高權限，即Root執行權限，執行安裝、變更、搬移或刪除Mac電腦上的任何檔案。</p> <p>這兩個漏洞被列為CVSS 8.8，屬重大風險，影響Zoom Client for Meetings for macOS 5.7.3到5.11.5以前版本，包括標準及IT Admin版。下載<a href="https://support.zoom.us/hc/en-us/articles/201361963-Release-notes-for-macOS" target="_blank">Zoom Mac版5.11.5版本</a>可解決問題。</p> </div></div></div>
2022/8/15 12:46作者林妍溱https://www.ithome.com.tw/news/152506
網路守門人必懂新課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是一份臺灣網路業者必懂的新法規草案，預告了網路守門人日後必須擔起的新責任。</p> <p>NCC在6月底終於公布了《數位中介服務法》草案（簡稱中介法），這是臺灣第一份數位中介服務的專法，凡是經手了各種使用者的數位資料、聲音、影像、文字的中間服務業者，就得負起守門人的責任。這就幾乎涵蓋了臺灣網路產業、電信產業，只是要提供連線服務、快速存取服務或是資訊儲存服務的業者，就得負擔起一定程度的義務，來把關所經手處理的資料。</p> <p>哪些服務屬於上述這三大類？雖然NCC沒有名列出一份完整的納管清單，但從法條中的初步定義來看，連線服務像是中華電信光世代、凱擘大寬頻、亞太電信、台灣固網這類電信業者，以及提供人際傳播服務的Line、WhatsApp、WeChat等，而第二類快速存取服務則像是CDN或邊緣雲服務，如Akamai、Cloudflare等，第三類資訊儲存服務則像是單純的雲端儲存服務Google Drive、Dropbox，或是AWS、Azure和GCP等公有雲。</p> <p>中介法草案還進一步細分資訊儲存服務，訂出2小類納管對象，一類是可將用戶資料開放公共存取的線上平臺服務，例如臉書、YouTube、Instagram等社群平臺，或是Dcard、巴哈姆特、ptt等網路論壇，還有如C2C模式的Yahoo!拍賣、蝦皮拍賣等；另一類則是有效用戶數超過人口10分之1的指定線上平臺，將會由主管機關公告。</p> <p>NCC參考了歐盟DSA的做法，來定義數位中介要規範的對象，因此，資訊儲存服務的範疇還不只如此，我們記者向NCC詢問，程式碼或App的資訊中介服務模式是否也要規範，因為如App Store、Google Play等都是DSA規範對象，NCC給了肯定的回覆，這些也都會納管，同理可證，開發者愛用的GitHub或GitLab開發專案代管服務，也都是中介法草案未來的納管對象之一。因為中介法參考的是前一版DSA規範，因此，中介法沒有將搜尋引擎列入。</p> <p>光從規範對象的定義，就可以看到中介法的影響範圍之廣，幾乎涵蓋了常見的消費性或商用網路服務。</p> <p>知道了誰將被管，下一個問題就是，要負起什麼樣的守門人義務？這三大兩小類，各有不同的義務要求，其中人人都得遵循的基本義務像是配合政府依法提供使用者個資（資料調取），或者依據法院或行政處分限制內容（資訊限制或緊急資訊限制），這兩項是政府公權力的手段。另外，只要超過5人規模的業者，每年就得公布透明度報告，以清楚易懂的方式揭露政府資料調取、內容自律、異議處理的執行情況。</p> <p>提供資訊儲存服務的業者，則還需要負起「通知與回應」和「資訊限制告知」的義務，前者是違法內容檢舉機制，後者是對內容遭下架當事人的通知義務。</p> <p>對民眾而言，中介法最大好處就是，要求中介平臺必須提供下架內容的救濟管道，如果民眾對業者下架的決定不服，可以提出異議來申請平反，甚至可以透過外部第三方來申訴，不像過去只能任憑大型業者決定。</p> <p>正是因為這部新法草案幾乎衝擊了整個電信和網路產業，甚至裁罰手段不只罰款，主管機關最重可以祭出斷網處分，這也讓各界用放大鏡來檢視草案，草案中有多項規範不夠明確，要求過度嚴苛，執行難度太高，容易遭濫用的條款，引起了學界或業界不少質疑聲浪。</p> <p>NCC在8月11日第一場公開說明會中也坦言，這份中介法草案仍是草案版本，還有不少需要更明確敘述，或需要參考各界建議之處，例如230萬人的指定平臺納管標準只是參考歐盟做法，可以廣納建議來調整。</p> <p>只要你是經手各類使用者資料的網路服務業者，現在就需要開始仔細研讀，甚至對草案提出修改建議，因為這將成為中介服務業者營運最重要的法遵規範之一。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/152493" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/152493" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" style="width: 550px;" /></a></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E4%B8%AD%E4%BB%8B%E6%9C%8D%E5%8B%99%E6%B3%95">數位中介服務法</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E4%BB%8B%E6%B3%95">中介法</a></div></div></div>
2022/8/15 12:08作者王宏仁https://www.ithome.com.tw/voice/152495
只看結果不問過程的管理有風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些人在管理部門時，會誤學一個說法：「只問結果，不問過程」；理由是尊重個人與個人能力發揮，只用結果的達成來評核。</p> <p>這種說法看似不錯，但是往往得到的潛藏後遺症卻是：</p> <p>一、用錯誤的方法、無效率的方法、或浪費錢的作法，做出結果。</p> <p>二、用不擇手段、作假的方式，做出結果。</p> <p>三、根本做不出好結果。</p> <p>持這個觀念的人會大聲說：「達不到目標、做不好結果，就汰換」。或許在西方確實會立即汰換；但是在東方，又是體諒他很努力、又是說他很資深…總有一堆的理由，而且也没有人可以換。所以做不好也沒人被汰換，反正代價公司去付。而且那些用不擇手段、作假、無效率或浪費錢的作法，雖然潛藏著後遺症，但不是立即會被發覺；直到爆發時，必已造成嚴重後果。當然，這種事發生時，不但當事者被汰換，連主管都自身難保……。</p> <p><span style="font-size:28px;"><strong>只看結果不問過程潛藏的績效風險</strong></span></p> <p>大家要知道，西方的個人主義環境，每個人都是「五日京兆」的心態：亦即在一家企業或一個職位本來就不打算久待，所以也不會投注心力輔導部屬。而且雖知這些做法會有潛藏的問題，只要自己任内不要爆發就好；即使爆發，走人就是了，很習慣！</p> <p>所以，這種說法高舉「尊重個人、發揮才能」的大旗，背後卻是隱藏著便宜行事、偷懶卸責的心態；只顧自己私利，反正出問題的話，代價都由公司去承擔。</p> <p>西方善表達、善舉大旗的作風，有其環境特質：他們能不顧情面的立即汰換，同時因為就業市場成熟各類人員充沛，也容易找到替補的人。</p> <p>但是在東方，社會尚在提升開發，部屬是需要主管予以輔導的！同時，主管也需要了解部屬做事的過程、方法，適時提供經驗供部屬參考。並且主管也藉由了解部屬做事的過程預知結果，必要時預先加強或補救不足處；而不是到結果出來，補救也來不及。當然，這過程不但可提高效率、精簡成本，還可以防止不肖部屬的作假與不擇手段。</p> <p>有些人崇洋，只要西方的就盲目學習，洋洋得意的炫耀，而没去了解背後的價值觀與文化差異，以及是否有配套措施，結果形成四不像。這樣的主管，部門管理是鬆散的，績效是不穩定的，經常會爆發問題；而且部門内培養不出人才，有人才是運氣，所以長期績效增長有限，是上層主管會經常關照的對象。當耐心已盡，就是撤換的時候。</p> <p>有經驗、盡責且有長期經營觀念的主管，自然知道這個道理：對人要「聽其言、觀其行、理其思」。說得很好聽、談得很「大器」的主管，要長期穩健拿出好績效才是硬道理；否則，英雄變狗熊。</p> <p><span style="font-size:28px;"><strong>一個方法，識破部屬報喜不報憂</strong></span></p> <p>月報，是公司很重要的人才培育制度。重點在訓練同仁養成「觀察、思考｣「系統｣、「結構｣「整理、分析｣的習慣，且使同仁長期、持續在演練與培訓這「六大根源能力｣。</p> <p>因此，當我們每次在聽月報時，就可以從月報整體的完整性，了解同仁系統思考、系統化工作的情況(系統能力)；從月報內容的先後順序、整體拆分的架構與論述說明，可以知道他「結構能力｣的火候。另外，也能從他發掘議題(觀察力與思考能力)、收集資料、歸納整理、分析邏輯及推演結論，而知道同仁的「整理、分析能力｣。</p> <p>所以，從月報中就可以了解一位部屬的能力狀況，也可猜測出他背後潛藏的思維與想法。針對不理想的部分，主管就可以加以指點；而好的部分也可以給予正面的讚許，做為在場其他人的參考。</p> <p>當然，主管在聽取月報時，除了關注同仁對圖表、文字、話語的表達與理解外，更要注重其論述是否「一致｣或「前後矛盾｣。有些人習慣性「報喜不報憂｣，對一件事情在不同時間點，會用不同角度、方法來「分拆｣；他不是依最佳角度與方法選擇分析方式，而是依「怎樣可以呈現最漂亮的數字｣來表功，而掩蓋掉不良的部分。</p> <p>理性的分析，必須在考量最佳方法後，維持一貫性與一致性，才能前後比較。像前述所講情況的人，是不想面對事實，習慣掩蓋欺瞞，將月報當做表功、應付的報告。這樣的人，將不會從執行月報的過程得到成長。</p> <p>另外，主管也要觀察，他所報告的內容與「所說的｣、「所做的｣是否一致。有些人很會「做報告｣，但仔細看前看後，會發現有很多矛盾；同時事後也不依循「所報的｣、「所說的｣去做，這就呈顯了「隨便說說｣、「說一套做一套｣的人格特質。假如主管不仔細的察覺並予以指正，就這樣輕忽放過；那他就吃定主管，認為這樣就可以矇騙過關，以後也就持續「混騙｣下去。</p> <p>「月報｣是一個人獨立自主的，將自己的工作、自己的發掘、自己的創意、自己的執行規劃⋯⋯，完整表達呈現出來。他表達了什麼？不表達什麼？為何這樣表達？解析的邏輯與角度是什麼？從這內容及其言行，就可以看出很多資訊，是讀人識人很重要的報告。</p> <p>因此，善用「月報｣來「聽其言、觀其行、理其思｣，是強化了解人、積極輔導人，很重要的制度。</p> <p><span style="font-size:28px;"><strong>「化繁為簡」才有執行力，才有落實度</strong></span></p> <p>制度機制的建立，都是從粗略開始。經由運用執行累積實務經驗，不斷的改善優化，逐漸提升細緻度及增加涵蓋度。這是精益求精、不斷提升制度機制效益的必要做法。</p> <p>但是長久下來，制度機制往往變成一個非常龐大、複雜的系統。設計的人甚至會自傲的認為：這是一個幾近完美的制度機制。</p> <p>然而，組織是一群不同經驗、不同能力層級的人所組成；一個龐雜的系統是很難讓組織的一般人員，易於學習及清楚掌握的，更難奢望融會貫通。所以，要求所有人都能落實執行制度規範，不但緣木求魚，且效率品質反而低落。假如一個公司各方面的制度都已十分龐雜，那更容易陷入全面性的低效率及僵固化。</p> <p>「化繁為簡」，就如同「見山是山，見山不是山，見山又是山」的道理。制度設計，經過長時間累積豐富的實務經驗、細緻的整理規劃、以及充分的融會貫通，我們必然會發覺：哪幾個部分是真正的核心，哪些是疊床架屋；哪些只要確實掌控幾個源頭關鍵點，相關狀況就幾乎不會發生。也有很多情況，發生的機率非常非常低，寧可放棄或禁止，反而能省去大量的人員精力耗損與成本的節省。</p> <p>所以，「化繁為簡」是有方法的。透過去蕪存菁、專注提升，就能從「見山不是山」，跳脫提升到「見山又是山」這個層次；而這個經過「精淬」過的很精實的制度，會更「易學易用」，自然執行度強、落實度高。</p> <p>另外，一個組織必須要注重三個面向，來協助制度的精簡：</p> <p>一、建立優質組織文化。</p> <p>二、注重讀人識人用人。</p> <p>三、善用數位智能工具。</p> <p>因為制度的設計與運用的場域，是息息相關的。場域由人組成，招募時注重人員的素養、品格、價值觀，在場域正向行為規範的薰陶下，形成優質的組織文化，制度就不需要在一些很基本的部分做闡述，也不需要制定過多的「防呆機制」，同時也會減少防弊機制的設計。這些也都是導致制度龐雜的原因。</p> <p>工具，永遠是解決問題最好的幫手。智能工具更是能將複雜的機制自動化，是「化繁為簡」最為有效的工具。</p> <p>制度機制設計者應該時時刻刻關注制度如何「化繁為簡」，注重制度的「塑身」，讓制度清爽，執行與落實就簡易多了。<span style="color:#696969;"><strong>（摘錄整理自《深思考的鍛鍊》）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%983.jpg" /></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span><span style="color:#3399ff;"> <strong>深思考的鍛鍊</strong></span></p> <p>杜書伍／著</p> <p>天下雜誌出版</p> <p>定價：400元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%B7%B1%E6%80%9D%E8%80%83%E7%9A%84%E9%8D%9B%E9%8D%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88(1).jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><strong>杜書伍</strong></p> <p>1974年交通大學計算與控制學系畢業後，即積極投入引進推廣英特爾CPU技術，被推選為影響台灣電子資訊產業發展的十大關鍵人物之一。1988年創辦聯強國際集團，連續十二年為《天下雜誌》評選為「標竿企業」。杜書伍卓越的經營管理能力，獲《哈佛商業評論》評選為「台灣執行長50強」、被基金投資經理人選為「最佳專業經理人」，並榮獲交大傑出校友。2020年榮膺工業技術研究院院士，2021年獲交通大學頒授名譽工學博士學位。</p> </div></div></div>
2022/8/15 12:18未署名https://www.ithome.com.tw/article/152501
Palo Alto防火牆RDoS漏洞已遭駭客企圖開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.paloaltonetworks.com/CVE-2022-0028" target="_blank">Palo Alto Networks上周（8月11日）公布</a>設備作業系統軟體上一個可能被用以發動反射式放大DoS攻擊漏洞，表示會在本周一（8/15）前更新所有受影響產品，因為網路上已經有企圖開採的活動跡象。</p> <p>近日一家服務供應商發現，有駭客試圖在網路上反射與放大TCP阻斷服務（Reflected Amplification Denial-of-Service, RDoS）攻擊，駭客使用了多種防火牆設備，包括Palo Alto的設備，促使該公司進行調查及修補漏洞。</p> <p>這項漏洞編號CVE-2022-0028，是出於設備底層作業系統PAN-OS的URL過濾（URL Filtering）的政策配置不當，造成對網路送入的呼叫訊息量未能有效控管，可讓攻擊者發送惡意呼叫，導致RDoS攻擊。本漏洞風險值8.6。</p> <p>Palo Alto Network強調用戶成為受害者的機會不太高，因為受影響的防火牆設備必須在安全規則中的URL過濾資料設定（profile）中，要有1個以上的封鎖類別，而且來源區（source zone）要面向外部網路。該公司表示這類並非一般常見的URL過濾設定，也不太可能管理員會沒發現。</p> <p>廠商指出，一旦真的發生攻擊，不會影響Palo Alto產品的安全性、完整或可用性，但是駭客會藉此隱藏來源，冒充是由Palo Alto對受害目標發動攻擊。</p> <p>這項漏洞影響PAN-OS 8.1、9.0、9.1、10.0和10.1、10.2以前版本，包括PA系列設備、VM系列（虛擬）或CN系列（容器式）防火牆，以及Cloud NGFW、Prisma Access，但不影響Panorama M系列或Panorama虛擬機器。</p> <p>Palo Alto表示已經著手修補PAN-OS上的漏洞，預計會在周一（8/15）之前釋出所有軟體更新。雲端防火牆服務，包括Cloud NGFA及Prisma Access上的問題則已經解決，用戶無需做任何動作。</p> <p>在此之前，為防範DoS攻擊，廠商也提供了包含URL過濾的2種安全政策設定提供暫時保護。</p> </div></div></div>
2022/8/15 09:14作者林妍溱https://www.ithome.com.tw/news/152497
NFT買家花在汽車NFT的錢超過車子本尊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非同質化代幣（Non-Fungible Token，NFT）吸引眾多投資者及愛好者投入，也推升稀有NFT價格。<a href="https://thenextweb.com/news/crypto-fans-paying-more-for-nft-cars-than-real-ones" target="_blank">The Next Web報導</a>，一些車子的NFT的價格甚至超過真實車款的售價。</p> <p>汽車產業跟上NFT熱潮，名車車廠也推出NFT，以其稀有性增加吸金力，有些則是由獨立藝術家製作。汽車NFT一般當作數位藝術收藏，但也可以用於元宇宙中，以VR頭戴裝置存取，例如NFT可用於識別某個人是否擁有某輛虛擬汽車。</p> <p>透過精細運作切中買家心理，讓汽車NFT奇貨可居。<a href="https://www.vanarama.com/blog/cars/revealed-the-most-expensive-car-related-nfts" target="_blank">汽車租賃業者Vanarama的部落格作者歸納整理發現</a>，一些汽車NFT價格高得令人不可思議，例如<a href="https://opensea.io/assets/matic/0x2953399124f0cbb46d2cbacd8a89cf0599974963/97434623937043090382039959417131219050906835457968616068542215511501296369665" target="_blank">Car Man Logo 2D NTF價格約940萬美元</a>，是英國平均車價（2萬英鎊，約2.5萬美元）的311倍有餘，也可以讓你買到真正的夢幻跑車Aston Martin DB5（690萬美元）。</p> <p>根據調查，Nissan GT-R跑車的3D NFT為230萬美元，是實車（20萬美元）將近10倍。法拉利Ferrari 250 GT SWB Berlinetta 2985低於GT-R NFT（760萬美元）。</p> <p>電影《回到未來》中載著主角時空旅行的DeLorean，它的NFT版（約7.4萬美元）價格超越複刻版實車。真實世界的DeLorean DMC-12 平均售價5萬美元，僅是NFT版（18.3萬美元）的1/3。</p> <p>不僅如此，名車的影片版NFT也身價不斐。<a href="https://twitter.com/SHL0MS/status/1494446592463720448" target="_blank">名為Shloms的藝術家買入2015年的Lamborghini Huracan將之爆破的影片做成的NFT</a>賣得25萬美元，超出本尊售價20萬。</p> <p>想投資NFT，需注意NFT獲利並不如想像中容易。<a href="https://go.chainalysis.com/nft-market-report.html" target="_blank">根據市調公司Chainalysis報告</a>，僅44%的NFT交易有獲利，新創作的NFT更只有29%賺錢。NFT也面臨市場波動劇烈的挑戰；<a href="https://www.ithome.com.tw/news/150419" target="_blank">一家公司去年3月以291萬美元的價格買下了Twitter創辦人Jack Dorsey於2006年發布第一則推文的NFT</a>，今年4月欲出售時，最高出價不到5,000美元。</p> <p>今年春天起全球景氣反轉，數位加密貨幣價格暴跌，分析機構Chainalysis相信加密貨幣市場減速帶動NFT市場下滑；<a href="https://www.ithome.com.tw/news/151772" target="_blank">NFT今年6月的銷售額度</a>僅略高於10億美元，遠低於今年1月創下的126億美元高峰，創下NFT市場最近一年來的新低。</p> <p>NFT另一個問題是，即使你擁有汽車NFT，不代表你具有版權；它的版權還是在原創作者手上，他可以複製、散布與修改該NFT，但你不行。</p> <p>最後，NFT是極不環保的投資。<a href="https://memoakten.medium.com/the-unreasonable-ecological-cost-of-cryptoart-2221d3eb2053" target="_blank">根據一名學者估計</a>，交易1個NFT平均排出二氧化碳48公斤，若你擁有1個NFT（在區塊鏈上公布並兜售），意謂著你排碳211公斤，等於開著汽油車跑將近1,000公里。</p> </div></div></div>
2022/8/14 23:27作者林妍溱https://www.ithome.com.tw/news/152494
【資安週報】2022年8月8日到8月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科發布資安事件公告，揭露遭遇網路攻擊的事件，最受各界關注，而臺灣持續遭遇多起且零星的網路攻擊與騷擾事件，亦成國內與國際上的焦點。</p> <p>在漏洞修補方面，本周除了關注微軟、IBM、思科、SAP、Adobe，以及Palo Alto Networks、F5，還有西門子、施耐德等產品安全性公告，加上新處理器漏洞的消息，另外，最近駭客組織鎖定一些漏洞攻擊，需要特別重視，包括關於Windows的DogWalk漏洞、關於Linux、Unix的UnRAR漏洞，VMware本月初修補的兩個漏洞，以及Atlassian Confluence的重大漏洞。</p> <p>在攻擊趨勢上，Twilio與Cloudflare都揭露遭遇SMS簡訊網釣被入侵的經驗，關於網站Open Redirect的漏洞問題，本週亦有兩起揭露。</p> <p>在國際重大資安事故，有兩起事件最受廣泛關注，一是丹麥7-11便利商店遭勒索軟體攻擊，使得門市無法作業營運2天，另一是英國衛生福利部NHS的MSP業者遭勒索軟體攻擊，造成111急救系統無法運作，需要3週以上修復時間。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152490#cisco"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#pelosi"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#microsoft"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a></strong><br /> <strong><a href="https://www.ithome.com.tw/news/152490#7-Eleven-DK"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#Advanced"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7A.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#165"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#zimbra"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#logokit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#OCSF"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" id="cisco" name="cisco"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科坦承遭網路攻擊，公布完整攻擊鏈，駭客集團Yanluowangg聲稱是其所為並竊得2.75 GB資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></p> <p>同時身肩資安大廠的思科（Cisco）於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。<a href="https://www.ithome.com.tw/news/152437">Cisco揭露此事件攻擊者使用的MITRE ATT＆CK攻擊技法，而勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為</a>，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><a href="https://www.ithome.com.tw/news/152445" id="pelosi" name="pelosi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段</span></strong></a></h3> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" id="twilio" name="twilio" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></h3> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/" id="zimbra" name="zimbra"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/" id="zimbra" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/" id="Advanced" name="Advanced"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/" id="7-Eleven-DK" name="7-Eleven-DK"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><a href="https://www.ithome.com.tw/news/152456" id="165" name="165"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千，誠品連續五季上榜</span></strong></a></h3> <p>網路平臺的個資外洩，以及民眾面對假冒及詐騙的識別能力，持續是社會關注議題。我國刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" id="snapchat" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" id="logokit" name="logokit"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/"><span style="color: rgb(0, 0, 0);">駭客攻擊加密貨幣平臺的目標轉向跨鏈橋系統</span></a></strong></h3> <p>為了解決不同區塊鏈互動的需求，近期有不少提供跨鏈協定或跨鏈橋（Cross-chain Bridge）的系統業者出現，但他們的系統也成為駭客攻擊的頭號目標之一。區塊鏈分析業者Chainalysis近日提出警告，今年已發生13起跨鏈攻擊事件，盜走20億美元加密貨幣，規模占所有被竊的加密貨幣69%。此外，這些針對跨鏈橋的攻擊行動中，有10億美元與北韓駭客有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/" id="microsoft" name="microsoft"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，過半不需身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets"><span style="color: rgb(0, 0, 0);">協作平臺Slack要求部分用戶重設密碼，起因是系統處理密碼的方式存在弱點</span></a></strong></h3> <p>協作平臺Slack於8月4日發布資安業者，指出他們的系統出現漏洞，有可能會將使用者的加鹽密碼傳送給工作空間的其他成員，估計有0.5%用戶受到影響。這些使用者曾在4月17日至7月17日之間，建立、撤銷共用邀請的連結，而可能曝險，雖然所有用戶端程式都無法直接檢視上述提及的加鹽密碼，但為保險起見，Slack還是重設了這些用戶的密碼。</p> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" id="OCSF" name="OCSF"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS、Splunk等十多家業者發布OCSF開放網路安全概要框架，以標準化不同資安產品資料互通格式</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/article/152319"><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點</strong></span></span></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p> </p> </div></div></div>
2022/8/12 17:54作者羅正漢https://www.ithome.com.tw/news/152490
數位平臺大衝擊！中介法草案出爐
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相隔4年，數位中介服務法草案，以新的姿態捲土重來，重新參考歐盟DSA架構，不只衝擊5大類業者，高達20項法遵義務，也賦予政府更多權力，甚至民眾有了新的救濟管道，但也引起業界的質疑聲浪</p> </div></div></div>
2022/8/12 23:59未署名https://www.ithome.com.tw/article/152493
Google搜尋現在會避免回答「史努比何時暗殺林肯」這類有錯誤前提的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/information-literacy/">Google搜尋更新一系列人工智慧功能</a>，以改進搜尋結果，同時也提供更多資訊素養功能，來協助使用者驗證資訊的正確性。</p> <p>在精選片段功能，Google搜尋更換使用新模型，以預測更好的答案以及出現時機。精選片段是Google搜尋頁面頂端的一個文字框，會針對用戶的搜尋關鍵字，突出顯示結果和來源資訊，以回應使用者所查詢的資訊。而現在Google在這個精選片段功能，採用最新的多任務統一模型（Multitask Unified Model，MUM），現在系統能從不同的高品質來源匯總出共識，提供更好的解答。</p> <p>同時，該人工智慧模型也能夠理解精選片段適用的場景，像是最近使用者只要在Google搜尋「史努比何時暗殺林肯」，Google搜尋便會給出一個林肯遇刺的日期和資訊片段，但Google認為，精選片段並不適合用來回應這類搜尋。在更換模型之後，Google能夠更好地檢測這類型的錯誤前提，減少精選片段觸發40％。</p> <p>除了提供搜尋資訊之外，Google發現，使用者經常使用Google搜尋來驗證，在其他平臺接收到的資訊，因此Google也持續投入資源，建構更多資訊素養功能。現在Google會在應用程式中的關於此結果功能，添加更多的背景資訊，包括來源的傳播範圍，或是公司的線上評論等重要背景資訊，協助使用者判斷資訊的正確性。</p> <p>針對部分突發新聞傳播速度快過事實真相，或是特定主題線上資訊還不夠可靠，也就是出現資料空隙（Data Voids）的情況，現在Google會在主題快速發展時提供內容建議，並向用戶表明稍後有更多可用資訊再來查看為佳。</p> </div></div></div>
2022/8/13 00:06作者李建興https://www.ithome.com.tw/news/152471
臺灣8月初因裴洛西訪臺而遭到網路攻擊的事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日至3日，率領美國眾議院國會訪問團來臺訪問，此行引發中國政府高度不滿，不只進行軍演，相關的網路攻擊更是從訪臺前就不斷出現，且前後持續了長達9天。這些攻擊手法大致可區分為分散式阻斷服務（DDoS）攻擊、內容置換（Deface），以及幾可亂真的假訊息等。</p> <p>而在這段期間風聲鶴唳，也有一些公務機關的系統服務出現異常，而被外界懷疑可能也遭到相關攻擊。這些包含了警務系統、司法院法學資料檢索系統、電子發票入口網站等，但都被證實是系統部分元件故障所致。</p> <p> </p> <h3><strong>【8月1日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.facebook.com/YaitaAkio/posts/pfbid0t2GABjXqmFmzEZ9m8fA3JRiZairn9WAFyz3k1yUV1v6iAVBC6vpWJsnYsKh2yYC1l"><span style="color: rgb(0, 0, 0);">有小粉紅假冒日本產經新聞支長矢板明夫的名義，謊稱美國眾議院議長裴洛西造訪日本的行程中，出現中暑症狀並就醫</span></a></strong></p> <p> </p> <h3><strong>【8月2日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">DDoS攻擊</span></span><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府證實網站遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://www.appledaily.com.tw/politics/20220803/5BFE6F062E9E9AD5DDAC0E6409"><span style="color: rgb(0, 0, 0);">政府入口網站、外交部網站傳出因遭到DDoS攻擊而無法存取，外交部指出網站收到每分鐘多達850萬次請求</span></a></strong></p> <p> </p> <h3><strong>【8月3日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">內容置換</span></span><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span></strong><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部8月3日網站遭到DDoS攻擊</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.youtube.com/watch?v=nReXcIEqNqE"><span style="color: rgb(0, 0, 0);">自稱是APT27的駭客組織宣稱將對臺灣發動特別網路攻擊行動</span></a></strong></p> <p> </p> <h3><strong>【8月4日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://money.udn.com/money/story/10511/6511538" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">台電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p> </p> <h3><strong>【8月5日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p> </p> <h3><strong>【8月6日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></p> <p> </p> <h3><strong>【8月7日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span></strong><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></p> <p> </p> <h3><strong>【8月9日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> </div></div></div>
2022/8/12 18:05作者周峻佑https://www.ithome.com.tw/news/152491
憲法法庭判健保資料庫違憲，相關機關須於3年內修法改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憲法法庭今日（8/12）<a href="https://www.youtube.com/">判決健保資料庫違憲</a>，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。健保署後續將以新聞稿回應。</p> <p><strong><span style="font-size:22px;">憲法法庭：健保資料庫欠缺獨立監督機制，以及公務學術目的外的請求停止機制</span></strong></p> <p>憲法法庭審判長許宗力先是引述法源，指出個資法第6條第1項規定，有關病歷、醫療、基因、健康檢查之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限，如公務機關或學術研究機構，基於衛生醫療目的，為統計或學術研究而有必要，且資料經提供者處理後，或經蒐集者依其揭露方式無從識別特定之當事人。</p> <p>而健保資料庫，並不違背法律明確性原則、比例原則，不牴觸憲法第22條，保障人民資訊隱私權之意旨。</p> <p>不過，憲法法庭從個資法和其他法律整體觀察，認為健保資料庫欠缺個資保護的獨立監督機制，對個人資訊隱私保障不足，有違憲之餘。相關機關應於判決宣布3年內，制定或修正相關法律、建立相關法制，來補足憲法第22條對人民資訊隱私權的保障。</p> <p>再來，在個人健保資料處理方面，憲法法庭點出，全民健康保險法第79條、第80條及其他相關法律中，並未明確規定以下事項：個人健保資料得由健保署以資料庫儲存、處理、對外傳輸及對外提供利用的主體、目的、要件、範圍和方式，及相關組織程序上的監督、防護等。</p> <p>該部分不符合憲法第23條保留原則，且違反憲法第22條保障人民資訊隱私權之意旨，許宗力宣布，相關機關應於3年內修正全民健康保險法，或制定專法來改善。</p> <p>另一方面，憲法法庭認為，資料健保署就個人健保資料，提供公務機關或學術研究機構原始蒐集目的外的利用時，欠缺讓當事人請求停止利用的相關規定，因此違反憲法第22條保障人民資訊隱私權之意旨。相關機關一樣得在3年內修法，或制定相關法律，明定請求停止和例外不許停止的主體、事由、程序、效果等事項。逾期未制定或修正相關法律，當事人可請求停止目的外利用。</p> <p>許宗力也補充解釋判決理由，個資法第6條第1項、健保法第79條和第80條規定，構成對個人資訊隱私權限制，而憲法隱私權保障民眾在資料被利用前，具有控制權，也就是同意權，即便事前未經過當事人同意，或是經過當事人同意，事後，當事人依然具有同意權。因此，憲法法庭認為，就算當事人事前同意，或是法律規定資料收集不需經當事人同意，當事人事後應具有控制權，來要求刪除、停止利用、限制利用。</p> <p>再來，個資法第6條第1項第4款指出，高敏感特種個資，即使經去識別化，還是有極端的可能被還原、介接識別出當事人，因此當時人對這些資料的自主控制權，一樣受到憲法保障。</p> <p>許宗力總結，依照判決，個人健保資料依然可以依法利用，但法制仍有不足之處，如欠缺獨立監督機制、缺乏第三方利用資料的法律規定，也欠缺當事人退出權，若相關機關未於3年內修法改善，當事人有權退出健保原目的外的資料利用。</p> </div></div></div>
2022/8/12 18:18作者王若樸https://www.ithome.com.tw/news/152492
【資安日報】2022年8月12日，協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月駭客頻頻利用Atlassian Confluence漏洞發動攻擊，但近期也有針對協作平臺Zimbra漏洞的情況──近期又有資安業者揭露新的漏洞攻擊事故，而且，這次駭客串連了兩個漏洞CVE-2022-27925、CVE-2022-37042，於受害伺服器植入Web Shell。</p> <p>本週有兩組研究人員不約而同公布Intel、AMD的處理器漏洞ÆPIC Leak及SQUIP，但這次的兩個漏洞性質與過往有所不同，出現在架構層面，與推測執行較無關連。有研究人員指出，一旦駭客能夠利用漏洞，成功竊得機敏資料的機會比推測執行來得高。</p> <p>Palo Alto Networks防火牆作業系統的漏洞CVE-2022-0028也相當值得用戶留意，此漏洞已被用於攻擊行動，但該廠商僅對部分版本作業系統完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> </div></div></div>
2022/8/12 16:09作者周峻佑https://www.ithome.com.tw/news/152468
【圖解數位中介服務法草案】5大業者未來新增的20項法遵義務（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《數位中介服務法》草案中，一共規範了5大數位中介服務提供者，多達20項法遵義務，更訂出明確裁罰的標準，違者單次最高罰千萬元。從這張大表中，可以更詳細了解5大業者各自應負的法遵義務的項目與差異。</p> <p>表格中的前7項義務（當中資訊限制令義務以一項計算，包含一般和緊急程序），為所有業者應負的基本義務，未遵守者最高可裁罰50萬元，得按次處罰。除此之外，資訊儲存、線上平臺和指定線上平臺服務提供者，更負有額外的遵守義務。資訊儲存服務業者增加兩項額外義務，違者可處翻倍的罰金。線上平臺服務提供者共有16項義務，除了前面累加義務之外，另外新增的相關義務有7項，最高可處500萬元罰金。指定線上平臺服務提供者有最多20項義務要遵守，其中更有4項增加的義務，違者處最重一千萬元罰鍰，並有按次連續罰的規定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1090-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-%E8%87%B3%E6%B5%A9V6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-WEB%E5%9C%96-600(1).png" style="width: 600px;" /></a></p> <p> </p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解五大中介業者20項法遵義務</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/iumHi+">下載連結 https://r.itho.me/iumHi+</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/8/12 17:45作者余至浩https://www.ithome.com.tw/news/152460
英特爾研發TRC晶片安全技術阻擋針對硬體的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾研發<a href="https://www.intel.com/content/www/us/en/newsroom/news/the-story-behind-new-intel-security-feature.html#gs.8d4y84">TRC晶片安全新技術</a>，來補充該公司現有的故障注入攻擊緩解措施，透過改進處理器內部的邏輯，將安全防護技術根植在晶片硬體中，更全面地抵禦駭客攻擊。</p> <p>當前已有多項機制強化軟體安全保護，包括虛擬化、堆疊金絲雀（Stack Canary）和執行前程式碼授權等，但英特爾提到，這些強化保護機制，促使惡意攻擊者將攻擊矛頭轉向計算平臺，像是故障電壓（Glitching Voltage）、時脈針腳、電磁輻射等故障注入攻擊，都可能導致電路時序故障，最終允許執行惡意指令或是洩漏機密資料。</p> <p>現在英特爾在其晶片加入可調副本電路（Tunable Replica Circuit，TRC）技術，以明確偵測因攻擊而導致的電路時序故障（Circuit Timing Faults）。TRC最先被應用在第12代Intel Core處理器系列產品中，賦予融合安全管理引擎（CSME）擁有故障注入偵測的能力，以發現對時脈和電壓針腳的非侵入式物理攻擊，同時也能用來偵測電磁故障。</p> <p>TRC技術原是由英特爾實驗室開發來監控處理器的動態變化，諸如電壓下降、溫度和老化，以進一步提高效能和能源效率，隨著技術的發展，TRC被應用在安全保護上，透過更改監控配置和建置基礎設施，使TRC可敏感偵測故障注入攻擊，同時英特爾也能針對安全應用程式調整電路。</p> <p>TRC的目標是要專注於監控特定類型的數位電路延遲，防範某些類型的物理攻擊，TRC被校準在超過CSME標準工作範圍的電壓時發出錯誤訊號，因此只要有來自TRC的錯誤訊號，就代表資料可能遭到毀損，如此系統便能觸發安全緩解技術，以確保資料完整性。</p> <p>英特爾提到，生產這類型硬體感測器最關鍵的部分是校準，因為一旦感測器過於敏銳，正常工作負載的電壓檢測將產生偽陽性誤報，偽陽性誤報會因雜訊導致平臺不穩定，並且為資安團隊帶來額外負擔。偽陰性誤報同樣需要避免，因此英特爾開發了一套以回饋為基礎的校準流程，以維持感測器的準確性。</p> <p>與純軟體實作比較，架構改進可以大幅減少執行開銷，英特爾表示，物理攻擊方法在過去一直不被包含在威脅模型之中，不過，隨著更多的運算被帶到邊緣，他們開始投資物理攻擊防護功能，將安全性根植在系統之中，使得軟體到晶片都能保護資料的安全。</p> </div></div></div>
2022/8/12 16:36作者李建興https://www.ithome.com.tw/news/152462
Meta將推出全程加密E2EE聊天訊息備份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/testing-end-to-end-encrypted-backups-and-more-on-messenger/" target="_blank">Meta本周宣布</a>正在測試全程加密（end to end encryption，E2EE）聊天訊息備份，允許用戶必要時可以在另一臺裝置回復資料。該公司說這功能和近日涉及青少女因FB Messenger對話資料被用於起訴無關。</p> <p>Meta表示正在開發Messenger及Instagram（IG）上預設全程加密訊息和通話的功能。目前Meta計畫測試Messenger全程加密聊天訊息的安全備份，未來也會陸續加入新功能，並推展到IG上。</p> <p>Meta的WhatsApp 2016年就預設啟用全程加密，但Messenger及IG則一直在緩慢測試中，預計要2023年才會正式成為預設。全程加密交談功能的備份讓用戶遺失手機或其他原因下，在新裝置上回復交談紀錄。由於只有用戶擁有加密金鑰，一如全程加密交談，Meta、ISP、電信商或第三方單位都無法存取交談內容，除非用戶向Meta通報。</p> <p>Meta表示，未來Messenger將預設啟用安全儲存。用戶備份資料時，需製作PIN碼或產生一組驗證碼作為未來存取之用，這兩種碼用戶都必須自己儲存。用戶也可以選擇將密碼儲存在第三方雲端服務，並在雲端上回復Messenger交談內容，例如iOS裝置可選擇iCloud。但Meta表示，這種方式就無法獲得Meta全程加密的保護。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/08/01_Secure-Storage.jpg?resize=890%2C816?w=1178" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>本周Meta已開始測試Android和iOS版，不過網頁版、桌機版或其他沒有全程加密的訊息服務則還不支援。</p> <p>這項功能發布同時，本周Facebook訊息服務涉及<a href="https://arstechnica.com/tech-policy/2022/08/teens-jailing-shows-exactly-how-facebook-will-help-anti-abortion-states/" target="_blank">一項案件</a>。美國一名內布拉斯加州青少女產下死胎，FBI探員懷疑是吃了墮胎藥的結果。該探員在蒐證過程中要求Meta提供該少女和母親在Messenger的交談紀錄，並要求不要通知本人。由於該州明文禁止墮胎，該青少女遭到起訴。</p> <p>Meta雖然稱警方出示的搜索令未提及墮胎一事，但也因此受到批評。不過Meta表示，本周測試的加密訊息儲存功能和新聞無關。</p> <p>Meta也公布其他全程加密開發的計畫。首先，刪除訊息同步化將擴及全程加密交談內容，也將加入回收訊息、回覆Facebook Stories影片及照片集等功能。此外，全程加密交談功能也將支援Meta智慧眼鏡Ray Bay Stories。</p> <p>Meta也開源瀏覽器外掛程式，名為Code Verify，在使用網頁版Messenger時可自動驗證密碼的真假，這功能旨在提供網頁版Messenger的全程加密。該程式支援<a href="https://chrome.google.com/webstore/detail/code-verify/llohflklppcaghdpehpbklhlfebooeog" target="_blank">Chrome</a>、<a href="https://microsoftedge.microsoft.com/addons/detail/code-verify/cpndjjealjjagamdecpipjfamiigaknk" target="_blank">Edge</a>及<a href="https://addons.mozilla.org/en-US/firefox/addon/code-verify/" target="_blank">Firefox</a>。</p> <p class="rtecenter"><img alt="" src="https://addons.mozilla.org/user-media/previews/full/272/272039.png?modified=1659651752" style="width: 600px;" /></p> <p>Meta也宣布移除Messenger上的Vanish mode。去年實作在Messenger上的Vanish mode讓用戶可傳送短暫存在的訊息。未來這項功能只會留在IG等沒有全程加密的訊息服務。</p> <p>Meta去年開始在IG上提供少數入測試全程加密，今年初擴及俄羅斯及烏克蘭。Meta表示即將推廣到更多國家。</p> </div></div></div>
2022/8/12 16:52作者林妍溱https://www.ithome.com.tw/news/152473
Telegram創辦人發文抱怨Apple審核新版本兩星期仍無聲無息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人<a href="https://t.me/durov/190">Pavel Durov發文</a>抱怨計畫發布的Telegram新版本，已經進入Apple應用程式審查程序兩個星期，到現在還沒有收到解釋尚未完成審查的原因，Pavel Durov提到，他們所要發布的新版本包含可以徹底改變人們傳遞消息表達自己的方式，但到現在仍未獲得批准。</p> <p>Pavel Durov認為，所有行動應用程式都需要經過技術壟斷企業的審查，這流程艱澀難懂，使得Telegram應用程式經常無法發布新版本，最新的Telegram版本也遭遇相同的問題，在審查流程中停留了兩個星期，而Apple完全沒有提供任何的解釋和說明。</p> <p>Apple和Google向應用程式開發人員收取30％的稅，以支付審查應用程式所需要的資源，Pavel Durov表示，Telegram是全球十大最受歡迎的應用程式之一，如果連Telegram都遭受到這種待遇，那可以想像更小的應用程式開發者所經歷的困難。</p> <p>這樣的障礙對應用程式造成直接的經濟損失，他指出，目前歐盟與其他國家的監管單位開始調查這樣濫用行為，但開發者所經歷的損失已經無法挽回。</p> </div></div></div>
2022/8/12 17:03作者李建興https://www.ithome.com.tw/news/152466
FTC有意立法規範商業監控與資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/08/ftc-explores-rules-cracking-down-commercial-surveillance-lax-data-security-practices" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（8/11）指出</a>，該機構有意探索透過各種規定來掃盪有害的商業監控，以及鬆散的資料安全，於既有的線上隱私保護規定之外，再築一道牆來強化民眾的隱私。</p> <p>FTC主席Lina Khan說明，現階段許多公司在各種環境下蒐集大量的個人資料，隨著經濟的數位化，再加上那些可無止境蒐集敏感的使用者資料並廣泛利用的商業模式，意味著非法行為可能很普遍。</p> <p>FTC指出，業者監控了使用者在網路上的所有行為，從他們的人際網路、瀏覽與購買紀錄、地點及實際移動路線，到其它的個人細節等，而這些大規模的監控進一步增加了資料外洩、欺騙、操縱或其它濫用行為的風險，此外，由於外界對自動化系統如何分析所蒐集而來的資料知之甚少，但研究顯示，這類的演算法容易出現錯誤或偏差，最終可能會造成歧視，影響特定使用者獲得居住、信貸或就業等資訊的能力。</p> <p>就算業者制定了隱私政策，但期間也可能更改該政策，或是使用隱諱的手法，以及透過行銷手段來迫使消費者分享個人資訊。</p> <p>上述都讓FTC認為應有制定相關規定的必要，近日便將透過《聯邦公報》（Federal Register）公布通知，外界可在60天內提供意見。</p> </div></div></div>
2022/8/12 15:20作者陳曉莉https://www.ithome.com.tw/news/152464
研究人員踢爆：臉書與IG行動程式會跨站追蹤用戶行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank">行動程式開發工具fastlane的作者Felix Krause本周披露</a>，Meta旗下的Facebook與Instagram（IG）的iOS程式可利用程式中的客製化瀏覽器來追蹤使用者的行為，當使用者於Facebook或IG程式中點選廣告或連結之後，這兩個程式即可追蹤使用者於外部網站上的所有活動，恐有侵犯使用者隱私之嫌。</p> <p>Krause曾任職於Google與Twitter，之後自行創立了fastlane，打造專供Android與iOS開發者用來建置及發布程式的同名開源工具。</p> <p class="rtecenter"><a href="http://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Felix%20Krause.png" style="width: 500px;" /></a></p> <p>根據Krause的分析，只要Facebook與IG用戶點選了程式中的連結，程式就會啟用內建的瀏覽器造訪，並於所造訪的網頁注入JavaScript程式碼，以用來追蹤使用者於該站的所有活動，包括所點選的按鍵、所選擇的文字、所輸入的表格，或是購買行為等。</p> <p>除了使用者的行為完全被掌控之外，以行動程式內建的客製化瀏覽器造訪第三方網站，將喪失Safari等全功能瀏覽器的完整保護，且於外部網站注入JavaScript可能會引起網站的故障。</p> <p>另一方面，<a href="https://www.theguardian.com/technology/2022/aug/11/meta-injecting-code-into-websites-visited-by-its-users-to-track-them-research-says" target="_blank">Meta向《衛報》解釋</a>，這些行動程式都是在使用者同意被追蹤的設定下，才會於第三方網站注入JavaScript追蹤程式，而且這些資料只被用在目標式廣告或測量上。</p> <p>Krause則建議若使用者要避免這類的追蹤，可複製Facebook或IG程式中的連結，再以手機上的Safari或Firefox瀏覽器造訪，而不要於程式中直接點選連結。</p> </div></div></div>
2022/8/12 15:46作者陳曉莉https://www.ithome.com.tw/news/152465
鎖定全球工業控制系統的勒索軟體攻擊在Conti關閉後少了2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank">資安業者Dragos本周指出</a>，全球工業控制系統（Industrial Control System，ICS）在今年第二季受到勒索軟體攻擊的次數為125次，低於上一季的158次，疑似因為該領域的主要勒索軟體之一<a href="https://www.ithome.com.tw/news/151058" target="_blank">Conti在今年5月關門大吉</a>的緣故。</p> <p>Dragos總計追蹤了43個鎖定ICS展開攻擊的勒索軟體駭客集團，今年第二季只有23個集團發動攻擊，而125次僅為曝光數量，實際攻擊次數可能更多。</p> <p>Dragos會將第二季攻擊數量的降低歸因於Conti，是因為在去年第四季與今年第一季時，Conti總計占了該領域所有攻擊數量的25%與18%，但今年第二季驟降為13%，位居第二，第一名則是Lockbit 2.0的33%。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/RansomwareByGroup_Q2_2022-1024x569.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">Dragos</span></a></span></p> <p>在第二季的ICS勒索軟體攻擊行動中，主要是歐洲的46起，北美的36起與亞洲的32起，若從行業別來看，有86起發生在製造業，10起為食物及飲料業，10起為能源業，6起為運輸業，還有5起是醫療業，再加上石油、化學與基礎設施等。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/Ransomware_Continent_Q2_2022-1024x663.jpg" style="width: 600px;" /></p> <p><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">Dragos</span></a></p> <p>Lockbit 2.0在該季最知名的事蹟，是加密了富士康多個墨西哥廠的逾1,200臺伺服器，造成當地工廠停工數周。Dragos也注意到新興的Black Basta在該季發動了兩次攻擊，且認為該勒索軟體集團是由Conti與REvil之前的成員所組成。</p> <p>在Conti關閉之際，即有研究人員認為該勒索軟體集團是因為遭到美國封鎖而關閉，並未真正結束操作，而是再改以Black Basta等新品牌另起爐灶，因此未來Black Basta的活動值得關注。</p> <p>美國已在今年5月<a href="https://www.ithome.com.tw/news/150845" target="_blank">懸賞千萬緝拿Conti組織駭客</a>，本周更進一步公布<a href="https://twitter.com/RFJ_USA/status/1557804081552523267" target="_blank">了其中一名駭客的長相</a>。</p> </div></div></div>
2022/8/12 16:07作者陳曉莉https://www.ithome.com.tw/news/152467
Cloudflare員工也遭簡訊網釣攻擊，因採硬體金鑰而逃過一劫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在雲端通訊平臺Twilio日前傳出，<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客以簡訊網釣攻擊</a>盜走了員工的登入憑證之後，<a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/" target="_blank">資安業者Cloudflare也說自己亦是駭客的攻擊對象</a>，而且至少有3名員工被騙，然而，由於Cloudflare每名員工都使用公司發的硬體安全金鑰，而逃過了一劫。</p> <p>Cloudflare的安全團隊是在7月20日接獲同事的報告，說他們收到一個似乎是合法的簡訊，該簡訊是以T-Mobile電話號碼寄送，簡訊上寫著Cloudflare時程表已更新，請造訪Cloudflare-Okta.com來檢視變更，且在短短的一分鐘之內，就有76名同事收到簡訊，還有同事的家人也收到簡訊。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/08/image3-5.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>Cloudflare-Okta.com雖然看起來像是真的，但它卻是一個網釣網址，而且是在發動簡訊網釣攻擊的前40分鐘才申請的。Cloudflare說，他們原本就打造了安全註冊產品，得以監控所有企圖使用該公司品牌的網站，若是惡意的就檢舉並封鎖它們，但因為Cloudflare-Okta.com實在太新了，甚至尚未被公開，而讓該監控服務失靈。</p> <p>使用者點選連結之後就會被導至一個偽造成以Okta身分辨識服務登入Cloudflare的網頁，並被要求輸入帳號及密碼。</p> <p>Cloudflare分析了該網釣網站，發現在使用者輸入帳號及密碼之後，它會立即將此一憑證透過Telegram傳送給駭客，接著頁面就會再度提醒使用者輸入有時間限制的一次性密碼（Time-based One Time Password，TOTP），雖然有3名同事輸入了憑證，但Cloudflare員工並未使用TOTP，而是採用了硬體金鑰，使得駭客無功而返。</p> <p>倘若駭客成功藉由該網頁通過了多因素認證，除了可取得使用者的登入憑證之外，該頁面還會下載一個含有AnyDesk遠端存取工具的酬載，在安裝之後將允許駭客自遠端控制受害者的裝置。</p> <p>在察覺駭客針對該公司展開簡訊網釣攻擊之外，Cloudflare即封鎖了該網域，重設所有受害員工的憑證，通知了該網域的註冊商及代管業者，強化對後續攻擊的偵測，以及稽核服務存取日誌。Cloudflare強調，該公司於此一攻擊中全身而退，並無任何系統遭到入侵。</p> </div></div></div>
2022/8/12 14:24作者陳曉莉https://www.ithome.com.tw/news/152461
代管業者遭勒索軟體攻擊，英急救專線網路恐中斷3周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供英國衛生服務部（NHS）急救專線111代管服務的供應商遭到勒索軟體襲擊，迫使英國急救任務分配以手動進行，預估可能影響急救服務數星期之久。</p> <p><a href="https://www.bbc.com/news/uk-wales-62442127" target="_blank">BBC</a>及<a href="https://www.pulsetoday.co.uk/news/breaking-news/gps-told-to-expect-influx-of-calls-from-patients-redirected-due-to-111-outage/" target="_blank">Pulse</a>等英國媒體報導，負責提供NHS 111急救專線代管服務的Advanced上周四（8/4）早上發生「嚴重技術」問題，造成111系統中斷服務。</p> <p><a href="https://www.oneadvanced.com/cyber-incident/" target="_blank">Advanced</a>判斷是勒索軟體攻擊所致，該公司表示已經採取措施，預防對英國醫療照護服務產生進一步風險。</p> <p>111急救專線網路負責支援救護車派遣、夜間看診預約或緊急藥物處方等緊急治療服務。根據報導，所有使用111網路進行預約或病患轉診、收治的醫院都受影響，這些醫院上周起必須手動紙本或電話進行，且召回休假員工支援作業。</p> <p>這家MSP表示，勒索軟體攻擊影響的系統相當廣泛，包括臨床病患管理軟體、長照中心管理軟體、臨床決策系統、電子病歷軟體、公部門財務管理軟體，以及其他臨床或照護相關系統。</p> <p>事發後廠商提供緊急方案維護系統運作，<a href="https://www.independent.co.uk/news/health/nhs-cyber-attack-staff-it-b2142245.html" target="_blank">Independent報導</a>，業者估計要3周到4周才能完全恢復作業。</p> <p>目前調查正在進行，但Advanced並未說明是何種勒索軟體、惡意程式駭入系統的管道，以及有哪些資料遭加密或竊取。</p> <p>這也突顯MSP資安事件的嚴重性。本周丹麥便利超商7-Eleven也傳網路攻擊影響PoS運作，迫使全國175家門市關閉。有消息指，可能是其使用的MSP遭勒索軟體攻擊所致。</p> </div></div></div>
2022/8/12 15:04作者林妍溱https://www.ithome.com.tw/news/152463
AWS推出檔案快取服務，更新EBS快照功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其一年一度的AWS Storage Day，<a href="https://aws.amazon.com/tw/blogs/aws/welcome-to-aws-storage-day-2022/">發表新儲存服務Amazon File Cache</a>，並對既有儲存服務包括Amazon EBS以及AWS Transfer系列推出功能更新。</p> <p>Amazon File Cache是AWS即將推出的儲存新服務，該服務將可加速和簡化混合雲工作負載，Amazon File Cache提供高速快取，無論資料儲存在什麼位置，用戶都可以更簡單地處理檔案資料。AWS表示，Amazon File Cache針對儲存在本地端檔案伺服器、檔案系統或是AWS物件儲存服務中的資料，提供一個臨時且高效能的儲存位置。</p> <p>該服務讓用戶能夠以亞毫秒級的延遲，和每秒高達數百GB的吞吐量，迅速匯集分散各地的資料集，供應給AWS上需要讀取這些檔案的應用程式使用，Amazon File Cache可支援各種雲端爆發工作負載和混合工作流程，從媒體渲染、轉碼到電子設計自動化，甚至是分析龐大資料等。</p> <p>另一項重要的更新是Amazon EBS快照功能，Amazon EBS讓用戶可以隨時運用快照來備份磁碟區（Volume），快照保留所有已經完成的I/O操作資料，供用戶將磁碟區回復到備份前的狀態。快照一般的使用情境，是創建關鍵工作負載的備份，諸如大型資料庫或是檔案系統，用戶可以選擇個別創建每個EBS磁碟區的快照，也可以針對附加到單個EC2執行個體的EBS磁碟區，創建多個磁碟區快照。</p> <p>AWS新推出的EBS快照功能，提供EBS磁碟區子集的崩潰一致性快照，過去當用戶想要創建EC2執行個體EBS磁碟區的多磁碟區快照，並且僅含有特定的EBS磁碟區時，用戶需要進行多次API呼叫，以選取保留真正想要的快照，但現在用戶可以使用API呼叫，在創建快照的過程排除特定磁碟區，以大幅節省成本。</p> <p>在早前，AWS也宣布在其檔案傳輸服務Transfer系列，支援AS2（Applicability Statement 2）協定，因此仰賴AS2交換重要業務資料的醫療保健、金融服務和保險等產業，現在可運用AWS Transfer系列服務，安全且高效地與其貿易夥伴交換資料。</p> </div></div></div>
2022/8/12 13:38作者李建興https://www.ithome.com.tw/news/152443
誠品連五季列網購高風險平臺，博客來單季件數破2,700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年東森購物、誠品網路書店客戶個資外洩問題嚴重，許多民眾表示，詐騙者知道自己的個資與下單資訊，包含詳細的購買金額與日期，而且這類事件不斷，仍延續到今年第一季。</p> <p>在第二季，個資外洩與詐騙事件數量不僅居高不下，甚至再創新高！在8月7日，刑事警察局165公布今年第二季高風險賣場名單，指出這類解除分期詐騙手法幾乎完全一樣，但被列入名單的廠商有極大的變化。</p> <p>風險最高的賣場是博客來網路書店（2,725件），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。這些通報總共有3,737件。</p> <h3><strong>警方第二季接獲3,737件通報，是前一季的3倍</strong></h3> <p>最值得注意的是，單就嚴重程度最高的博客來網路書店而言，今年第二季的通報數量就達到2,725件，前所未見，此前單一平臺單季多在300到500件通報之間，相較之下，差距足足5到8倍。名列第三的誠品網路書店也備受關注，因為這家業者已經連續5季入榜高風險賣場。</p> <p>如果將五大高風險賣場通報件數加總起來，2022年第二季（3,737件）是前一季度（1,127）件的3.3倍，是去年同期（895件）的4.1倍以上。甚至，單是今年第二季的五大高風險賣場通報總量，也超過2021整年（3,586件）。</p> <p>這樣的狀況相當棘手，畢竟多年來警方持續呼籲民眾要小心，並公布詐騙話術與手法，這些平臺業者也紛紛發布反詐騙聲明的警告資訊，聲明不會主動打電話給客戶。</p> <p>但有很多民眾仍不知道詐騙集團假冒來電的手法，也不知道可能存在客戶資料外洩情形，以為只有平臺業者知道消費資訊，如果不清楚的人很容易受騙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 290px;" /></a></p> <p><strong style="color: rgb(0, 153, 255);"><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></p> <h3><strong>受害者指出假冒平臺客服知曉用戶訂單資訊</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物是2022年新入榜的高風險賣場，實際上，是否真有客戶資料外洩情形？</p> <p>以博客來網路書店平臺而言，例如，<a href="https://www.dcard.tw/f/mood/p/238690432">有網友表示在4月21日接到詐騙電話</a>，對方假冒博客來網路書店人員，清楚說明了網友的身分與買過的書，表示掌握到網友的個資與下單資訊，後續再接到假冒銀行客服的電話，在各種詐騙話術誘導之下，被詐騙近十萬元。</p> <p>而在遠傳friday購物平臺的部分，<a href="https://www.youtube.com/watch?v=edQaT-oQfAs">有網友提到他接到假冒遠傳friday購物的詐騙電話</a>，對方知道自己曾在1月於購物平臺買過萬巒豬腳，並以電商被駭客入侵導致信用卡被盜刷為由，再由假冒銀行客服來電，要求受害者配合到ATM提款機操作，透過一連串精心設計話術，騙稱是要取消，騙走用戶十萬元。我們後來也聯繫上這位網友，想了解遇害狀況，他指出在今年4月6日遭遇此事。</p> <p>至於迪卡儂，他們擁有網路購物平臺與實體通路，<a href="https://youtu.be/BsOk7qS47Do?t=24">有其會員接受媒體採訪時表示</a>，駭客很明確指出他的姓名，以及1月在迪卡儂購買的品項，後續曾遭同樣手法詐騙，匯款14筆金額達50萬元，直到警方看見民眾在提款機操作太多次而上前關切，他才驚覺自己被詐騙。根據相關的報導指出，迪卡儂表示本身並未發現資料外洩，但已經聯繫其合作的後端物流廠商徹查。</p> <p>另一方面，我們也詢問了刑事警察局，警方指出從本季的通報案例來看，詐騙集團所掌握的資訊，都是最近幾個月民眾的購物明細。至於2022年解除分期詐騙的財損，目前資料統計到4月20日，這類詐騙件數達198件，財損金額高達1億9,589萬元，比去年同期高出5千萬元。</p> <h3><strong>客戶資料外洩原因仍然不明</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物都宣稱他們持續進行反詐騙宣導，卻並未公開說明調查結果，到底是內部系統發生客戶資料外洩？還是業者沒管好平臺的合作物流廠商？還是用戶端發生帳密被駭客盜用登入，因而得知訂單資料？各家狀況有待釐清。若從事件發生規模的角度來看，整批客戶資料外洩可能性較高。</p> <p>對此，我們也詢問博客來、迪卡儂、遠傳Friday購物這三家平臺業者，了解業者對於個資外洩事件的調查狀況，但對方的回覆竟然都是未能調查出駭客入侵的狀況，因此無相關調查結果可以公開。</p> <p>例如，本季最嚴重的博客來，他們公開表示：「該公司已於官網加註反詐騙宣導警語、並主動發送反詐騙宣導簡訊通知消費者，會持續與專業資安防護公司合作，進行資安檢測及強化保護，降低風險。」對於是否有相關調查結果，僅表示目前未能找出駭客入侵情況。</p> <p>其他兩家業者因為曾回應其他媒體的相關提問，所以，我們也向他們詢問，試圖挖掘出更多消息。</p> <p>例如，迪卡儂曾表示，本身未發現資料外洩，但已聯繫其合作的後端物流廠商徹查；遠傳friday購物曾表示，查無駭客入侵系統情事，仍持續密切觀察事件發展。不過，這兩家業者未能再有更多公開的回應。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>即便查無駭客入侵狀況，是否也該對外公告說明？</strong></span></h2> <p>日前台灣虎航在7月23日發布資安事件重大訊息，公開說明發現遭駭客網路攻擊，並先行發布反詐騙向民眾宣導，疑客戶資料外洩，相較之下，上述業者存在個資外洩並利用於解除分期詐騙的情況，儘管發布了反詐騙宣導，但可能因為一直沒有查出根因，至今都沒有發布重大資安事件公告，或公開客戶資料外洩相關調查結果，變成民眾變成需要自我警惕。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>假冒平臺、銀行客服來電的偽冒是否能防範？</strong></span></h2> <p>詐騙集團過去可透過二類電信，偽造出完全與平臺、銀行一模一樣的來電顯示號碼，但這樣的漏洞已經防堵。</p> <p>現在的詐騙集團來電號碼偽冒方式，多是來電號碼前段會顯示+886與+02，後段可能假冒成與業者電話完全一樣，也可能根本不同。</p> <p>在電信業的防範上，雖有相關防範，但可能受限於筆數設定無法逐一封鎖，也無法針對+號的國際電話全面封鎖。而且，有些民眾可能根本沒查證是否為業者來電，有些民眾則對顯示+886與+02的來電號碼，依然缺乏警惕，出現鬆懈防備的心態，事實上，來電顯示時，對方的號碼開頭若有「+」號，有很高的機率是詐騙電話，同時警方也一再強調ATM沒有解除分期相關功能。</p> </div></div></div>
2022/8/12 12:14作者羅正漢https://www.ithome.com.tw/news/152456
【專家看中介法：台灣網路資訊中心董事暨執行長黃勝雄】肯定中介法保護使用者，但法定義務仍需考量業者承擔能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於NCC近期公布數位中介服務法草案，財團法人台灣網路資訊中心（TWNIC）董事暨執行長黃勝雄持肯定的看法，過去在網路空間產生的違法行為難以有效規範，現行的司法系統因嚴謹的審理程序，無法很快的因應處理網路上的犯罪行為，例如限制接取，因此儘管網路犯罪或遭受不公平對待的案例相當多，但進入法院的少之又少，大部分人在網路上受到不當的對待，沒有受到合理保護。</p> <p><span style="color:#B22222;"><strong>政府聲請資訊限制由法院把關</strong></span></p> <p>在數位中介服務法草案中，賦予行政機關權力，向法院聲請資訊限制令，要求平臺業者配合移除內容，黃勝雄認同此一做法，由於政府需經過法院嚴格的審查程序，法院審查時徵詢該內容的使用者意見，必要時得徵詢第三方民間事實查核機構意見，最後才同意核發資訊限制令。</p> <p>「過去沒有行政機關向法院提出資訊限制令，這是全新的作法」，黃勝雄說。資訊限制令採取法官保留的原則，將限制人民基本權利的政府作為，交由法官經審查後裁定，使用者不認同法院裁定結果，可依司法系統救濟管道處理。</p> <p>至於外界擔心政府以行政處分要求平臺針對內容暫時加註警語，恐箝制言論自由，黃勝雄則認為，行政機關不會隨便對特定的新聞或內容提出限制令，必定蒐集完整的資料、調查程序，將功課及法律要件備齊，有一定的把握後才會聲請限制令，否則法院最後駁回聲請，浪費行政機關的時間，形成龐大行政成本，並留下濫訴的印象。</p> <p>此次中介法草案也規定中介業應配合政府的資料調取義務，黃勝雄認為，傳統上，政府資料調取有兩條路徑，第一條是循法院審議，只要經過法院審議裁定，就可對資料進行扣押，第二條是針對特定業者如電信事業，電信事業依法律規定需保留資料、配合資料調取的法定義務。而數位中介服務法保留原來法院裁定的路徑，但將原本限縮在特定事業的調取義務，擴大到所有中介平臺者。</p> <p>他認為，中介法擴大政府單位資料調取的權力，確實仍有討論的空間，包括如何限制行政機關的資料調取行為、業者如何保存資料、保留多久時間等等。</p> <p><strong><span style="color:#B22222;">政府提出中介法草案，業者承擔法定義務仍有協商空間</span></strong></p> <p>政府提出數位中介服務法，強化對數位中介平臺的管理，黃勝雄認為中介法有些部分直接從歐盟DSA移植過來的，但是臺灣在數位經濟的規模有沒有比歐盟大？歐盟提出DSA，背後有經濟實力作為後盾，作為協商的要求。臺灣是否具備這麼大的實力或條件，要求平臺業者承擔更多的法律義務，這是相當現實的問題。如果條件不存在的話，政府有什麼方法去要求，政府基於保障公益提出額外的法律限制義務，平臺業者能不能接受，他認為這是需要討論的。</p> <p>網路事業和傳統事業不同，網路事業可以說不，可以選擇完全不落地，如果政府限制人民使用，就會面對人民的譴責，如果人民需要這項服務，它又沒有落地的需求，政府需要去思考有哪些籌碼來討論，得到政府想要的限制措施，這是需要協商的。</p> <p>黃勝雄表示，不論提出哪些限制措施，都要知道自己背後的籌碼在哪裡。以電子商務規模為例，臺灣去年為4,300億元臺幣，歐盟為27個國家環繞的經濟體，規模將近5,000億歐元，是臺灣的將近30、40倍以上，以歐盟如此大的經濟規模提出限制性要求，平臺業者需要認真思考法遵的問題。</p> <p>反觀臺灣，有沒有對等的經濟規模提出協商談判的空間，如果中介平臺業者不願意承擔這麼大的法律義務，不在臺灣提供服務，承擔壓力、人民責難的將會是政府，以目前中介法草案提出的法定義務，他相信未來政府與業者協商應仍有下修空間。</p> </div></div></div>
2022/8/11 19:24作者蘇文彬https://www.ithome.com.tw/news/152450
美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。</p> <p>但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。</p> <p>另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <p>中國對於裴洛西旋風式訪臺高度不滿，並藉該事件加强對臺灣的各種威脅手段，對此過激的反應，不僅有力道加强的無煙硝網攻：DDoS（分散式阻斷式）攻擊、假訊息和網頁置換（Deface），更有實質發射彈道飛彈、環臺軍事演習的武嚇手段。「網攻武嚇」或將成為中國對臺威嚇手段的基本款。</p> <h2><strong>中國網攻手段層出不窮，從DDoS、假訊息到網頁置換</strong></h2> <p>在裴洛西國會訪問團飛抵臺灣之前，中國官方和民間便透過各種管道，強烈「要求」裴洛西不可以率團訪問臺灣，當裴洛西訪問團從馬來西亞出發時，並沒有公布下個航班行程，在全球超過二十萬多網友的關注下，才於8月2日晚間10點43分於臺北松山國際機場落地，隨即展開來臺不到24小時的旋風式訪問。</p> <h3><span style="color:#0000FF;"><strong>駭客發動DDoS攻擊，癱瘓網頁</strong></span></h3> <p>不過，中國的威脅手段早在裴洛西抵臺前便已經展開。</p> <p>首先便是臺灣代表性網站遭到駭客發動DDoS（分散式阻斷式）攻擊，癱瘓網頁，讓民眾無法連上、瀏覽該網頁。中國對臺灣政府網站發動DDoS攻擊，就是一種直面對決，希望讓民眾意識到，原來政府和企業的網站其實很容易被中國駭客攻陷、導致無法運作。</p> <p>第一波受駭單位多以政府網站為主，包括：8月2日傍晚約5時15分起，總統府官網遭到境外DDoS攻擊。總統府表示，該網站流量為平時的200倍，已於20分鐘內恢復正常運作。</p> <p>8月2日同日也傳出政府入口網站、外交部網站，其他像是臺電以及桃園機場等，同樣傳出遭到DDoS攻擊。外交部則表示，該部官網和政府入口網兩個網站遭到來自中國、俄羅斯等地的大量IP，每分鐘有多達850萬次的流量請求。</p> <p>此外，國防部官網也遭到DDoS攻擊，他們也發布聲明指出，國防部官網於8月3日晚間11點4分起，陸續遭到DDoS攻擊，並於11點27分因為流量過大、導致服務中斷；經流量清洗以及阻擋惡意中繼站後，國防部官網已經於8月4日凌晨0點30分恢復正常連線。</p> <p>在裴洛西離臺後，這類的網路攻擊手段也並未停止。像是政黨傾向親綠的媒體民視新聞網，也在8月6日、8月7日、8月8日和8月10日都遭到DDoS攻擊，民視遭到DDoS攻擊時間長短不一，但每秒攻擊流量超過300 Mbps，民視以分流方式處理，仍可以提供服務。</p> <p>不過，民視的YouTube直播節目，則在8月6日遭到駭客竄改播出內容，民視有立即處理並通報主管機關NCC（國家通訊傳播委員會）。</p> <h3><span style="color:#0000FF;"><strong>駭客攻陷小七、臺鐵電子看板系統，替換惡意文字內容</strong></span></h3> <p>到了8月3日，裴洛西開始一系列的訪問行程，早上九點多，全臺各地的統一超商（7-11）輪播廣告的電子看板系統，突然播出正體中文字樣的「戰爭販子裴洛西滾出臺灣」惡意內容，超商店員多在第一時間關閉電子看板作為因應。</p> <p>之後十點多的時候，前桃園縣議員王浩宇則在臉書貼出，在高雄臺鐵新左營站售票大廳的電子看板系統，則播放遭到被竄改的簡體中文內容，文中寫道：「老巫婆竄訪臺灣，是對祖國主權的嚴重挑釁；那些積極迎接的人，終將受到人民的審判；同種同族的血親關係割捨不斷；偉大華夏終將統一！」同樣的「老巫婆竄訪臺灣」簡體中文內容，在大約同時間，也出現在南投縣竹山鎮48縣道旁的電子看板。</p> <p>駭客此次鎖定攻擊的小七和臺鐵的電子看板系統，多是與民眾生活息息相關，粗俗直白的恐嚇文字，明晃晃的彰顯中國政府（民眾）對裴洛西訪臺的恨意；民眾因為首度在超商、臺鐵等場域直接「體驗」到中國網軍的惡意，「前所未見」的網路攻擊手法，對民眾也帶來一定程度的心理衝擊。</p> <h3><span style="color:#0000FF;"><strong>假冒知名駭客組織、散布各種假消息，擾亂臺灣民心士氣</strong></span></h3> <p>由於現在資訊氾濫，有許多內容農場和中國微信、臺灣Line群組，都會流傳許多似是而非、未經證實的假訊息，目的就是為了擾亂民心士氣，造成民眾恐慌的預期心理，更試圖創造臺灣民眾「未戰先敗」的心因性環境。</p> <p>裴洛西還未抵臺時，日本《產經新聞》臺北支局長矢板明夫8月1日晚間在臉書揭露，有小粉紅假冒他的名義，宣稱裴洛西亞洲行行程飛抵日本，並在日本中暑、住院。而這則假訊息最大目的就是要證明，裴洛西並沒有率團訪問臺灣，而是更改行程飛抵日本。</p> <p>另外最引人注目的假訊息之一便是假冒知名駭客組織、宣稱駭入臺灣重要單位系統，手中並掌握20萬臺物聯網裝置的「零時差漏洞」，足以發動撼動臺灣的網路攻擊。</p> <p>有部分駭客出面自稱為「APT 27」，該組織在8月3日同時創立YouTube頻道以及推特帳號，該組織宣稱：「將針對裴洛西訪臺，對臺灣發動特別網路攻擊行動。」</p> <p>之後連續幾天，「APT 27」更在推特上張貼包括：內政部警政署、交通部公路總局、臺灣電力公司、總統府、財金資訊公司、神腦國際，以及擁有金智洋科技公司旗下IoT（物聯網）和路由器的等相關單位的系統截圖和程式碼截圖。</p> <p>這些外洩的系統和程式碼截圖，引發相關單位的警覺心，紛紛自行檢查是否真的遭駭、是否有未修補的漏洞，導致系統與程式碼等相關資訊外洩。</p> <p>為了配合中國的軍事演習的進度，「APT 27」也於軍演結束的8月7日凌晨發表影片宣布：「網攻暫時結束」，但該組織宣稱：「確實掌握臺灣20萬臺物聯網設備的零時差漏洞，以及政府相關部門的外洩資料，」他們也說，未來臺灣若繼續挑起緊張局勢，「我們會再回來。」「APT 27」說道。</p> <p>資安公司奧義智慧執行長邱銘彰笑說，APT 27其實是外界資安公司針對某駭客組織的攻擊行為和中繼站等資訊所做的命名代稱，不應該有駭客組織跳出來宣稱自己是其他資安公司口中的「APT 27」。</p> <p>專精研究威脅情資以及各種APT（進階持續性威脅）攻擊的TeamT5（杜浦數位）執行長蔡松廷也說，從惡意程式和中繼站等各種資訊，都無法發現這個自稱「APT 27」組織，和之前研究的APT 27有任何的關聯性，他期待各界可以提供證據證明。</p> <p>此外，中國通訊軟體微信在此期間也傳出「共軍擊落我國伴飛戰機」的對話截圖，對話中指出「聽說已經擊落一架飛機」、「出動戰機擊落一架臺灣伴飛的飛機」；國防部8月4日在臉書澄清上述傳言為假訊息，臺灣空軍並沒有此一伴飛任務。</p> <p>臺灣最大bbs論壇PPT，近來已經成為各種假消息傳播的溫床。8月4日在PPT有網友爆掛指稱：臺灣付費給政治公關公司，希望遊說裴洛西來臺訪問，期間共付費9,400萬元。到8月5日，PPT爆料文章更升級，遊說裴洛西支付公關公司的費用，更已經升級到5.5億元。</p> <p>不管是擊落軍機，或是付費遊說裴洛西來臺訪問的假消息，最終目的就是要打擊民眾對於國軍和政府信心的一種手段罷了。</p> <h3><span style="color:#0000FF;"><strong>網頁置換技術難度不高</strong></span></h3> <p>在此次裴洛西訪臺後，中國駭客的攻擊手法，也出現以往常見的網頁置換（Deface）方式。這種網頁置換的手法，技術含量並不高，通常是那些以駭客自居的網路攻擊初學者Script Kiddie（脚本小子）所發動的網路攻擊模式。</p> <p>這些脚本小子掌握網站漏洞後，便在網站首頁上傳置換的惡意內容，通常會出現攻擊組織的標誌、Logo以及宣示的字眼，宣示和炫耀的性質濃厚。</p> <p>高雄市環保局飲用水管理網站在8月4日晚間被置換網頁，掛上中國共產黨的五星旗；另外，在8月7日也傳出臺灣大學教務處、硏發處官網首頁遭到駭客置換網頁，網頁中出現紅色背景以及大大的「世上只有一個中國」、「中國一點都不能少」字樣，校方知情後，不久便進入「無法連上這個網站」的網站關閉狀態。</p> <h2><strong>武嚇手段升級，發動72小時環臺軍事演習</strong></h2> <p>為了抗議裴洛西高調、19小時旋風式訪問臺灣（8月2日晚上10點43分抵臺，8月3日下午5點29分離臺），中國在8月1日結束例行性軍事演習後，在確認裴洛西率團抵臺後，更在8月2日晚上10點59分於新華網公開宣布：解放軍將於8月4日12點～8月7日12點，於臺灣周邊6個海、空領域進行72小時軍事演習，也會有實彈射擊。</p> <p>國防部對此也公布中國軍機動態，指出共有27架戰機（5架殲16、6架殲11、16架蘇愷30）侵擾臺灣防空識別區（ADIZ），並有6架殲11、16架蘇愷30穿越臺灣海峽中線。</p> <p>國防安全研究院網路安全與決策推演研究所助理研究員曾怡碩則表示，裴洛西訪臺後，中國藉此為由大張旗鼓發動軍演、恫嚇臺灣，利用網攻製造民心恐慌，透過假訊息混淆視聽，加上軍演發動的實彈射擊，可以驗證類封鎖的震懾效果。</p> <p>曾怡碩說：「在共軍啟動實體軍事演習之前，網路攻擊與認知作戰結合的混合戰即已開打，並持續貫穿軍演期程。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/800-%E5%8F%B0%E5%A4%A7%E9%81%AD%E9%A7%AD%E5%85%A8%E7%B6%B2%E9%A0%81_%E7%B6%B2%E9%A0%81%E6%88%AA%E5%9C%96.png" style="width: 625px; height: 1200px;" /></p> <blockquote><p>在8月7日，臺大教務處和研發處官網遭到網頁置換（Deface），駭客上傳紅色背景以及「世界上只有一個中國」的圖片內容。一般而言，網頁置換的技術難度並不高，通常是腳本小子（Script Kiddie）為了炫耀或宣示的攻擊行為。圖/網頁截圖</p> <p> </p> </blockquote> </div></div></div>
2022/8/11 17:52作者黃彥棻https://www.ithome.com.tw/news/152445
【資安日報】2022年8月11日，思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天有許多資安新聞都與勒索軟體駭客有關。其中，又以同時身肩資安大廠的思科公布遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵的事故最受到矚目，但主要的原因並非駭客是否部署了勒索軟體，而是駭客經由員工個人的Google帳號，取得了進入思科內部環境的管道。</p> <p>另一個引起注意的攻擊行動，是有關原本隸屬於勒索軟體駭客組織Conti旗下的團體，他們重新利用惡意軟體BazarCall及電話客服，來進行網路釣魚攻擊，目的是入侵受害者所屬的組織。</p> <p>VMware再度針對8月初修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，呼籲用戶儘速修補，原因是研究人員公布概念性驗證攻擊等細節，可能很快就會有駭客用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科證實遭勒索軟體駭客閰羅王入侵，駭客聲稱竊得2.75 GB資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></a>繼雲端服務業者Twilio、Cloudflare公布駭客針對員工下手，意圖入侵公司網路環境的情況，又有公司坦承因員工被駭而遭到攻擊。</p> <p>同時身肩資安大廠的思科於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">18家IT業者聯手成立資安系統共通資料規格專案，目的是讓資安團隊能在不同系統進行互通</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部公布組織規畫，預告年底將成立國家資安研究院</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> </div></div></div>
2022/8/11 18:02作者周峻佑https://www.ithome.com.tw/news/152446
【中介法衝擊分析】業界對中介法草案的5大質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，NCC公開了臺灣第一份數位中介專法《數位中介服務法》（簡稱中介法）草案，這是一份影響全國民眾、關鍵網路與電信服務業者的新法草案，也涉及14個目的事業主管機關公權力作為的草案，所以，草案一公布，就立刻引起了許多討論，尤其，各界對於中介法草案中的諸多法規要求、政府執法作為和業者遵循實務上，提出了多項質疑。</p> <p>我們向十多家相關業者，如電信、公有雲或網路業者，來了解業界對中介法草案的看法，不少業者以草案處於立法早期不便回應或正在了解法案中而無法回應。</p> <p>不過，業者們的態度，大多數都願意配合新法的規範來執行，但是，也有少數業者，對於如何遵循的具體執行方式，提出不少疑惑，或是窒礙難行的質疑。我們綜整了草案公開後，多方的熱門討論意見，再加上實際查訪網路業界的第一線意見，歸納出了5項業界對中介法草案的主要質疑。</p> <h3><span style="color:#FF0000;"><strong>質疑1：納管對象定義和分類不清，業者實際執行難遵循</strong></span></h3> <p>在草案中以數位中介行為來區分規範對象的分類，以及各自應盡的義務，但這就衍生了遵循上的困難，甚至讓業者難以分辨，自己符合哪一類規範的對象，因而不知該提供哪些義務，或該做到哪些規定才能免責。業者恐人人自危，擔心沒盡到應盡義務而不自知。</p> <p>例如草案要納管的連線服務，包括了人際通訊服務，參考歐盟定義將網路電話或一對一聊天室的服務也納管，但這是許多軟體常見功能，如主要OS、企業ERP、協作軟體、會員服務App皆常見。但只有面對公眾的「線上平臺服務」可用「非主要服務內容」為由不用遵循連線服務的義務，或是微型（NCC說法指5人以下）企業可以排除納管，其餘皆要遵循。換句話說，超過5人規模，不論盈利與否、應用場景，只要提供聊天室功能的App或平臺，都得盡到連線服務業者的義務，得接受資料調閱、揭露透明度報告等。</p> <p>再者，NCC參考歐盟十分之一人口的標準，也就是以230萬人有效用戶來定義指定平臺業者，但「有效」如何定義？註冊人數數百萬人，月活躍用戶可能不到百萬人，是否屬於納管對象，也成了模糊地帶。</p> <p>NCC讓業者自行判斷，有人檢舉才查證的做法，可能得等到有人舉報，業者才會知道自己該遵循而沒有做到，卻得面臨主關機關的罰款。</p> <p>另外，不同規範類型的義務不同，當平臺同時提供多種服務，例如有私人聊天室的連線服務和公共討論區的資訊儲存服務，光是透明度報告要求就不同，該合併揭露或依照不同服務類型分別揭露，都會帶來不同的法遵成本，但草案沒有進一步說明。</p> <p>中介法對納管對象和分類，得有更明確的定義，否則在執行實務上，將導致業者無所適從，不知該如何遵循。</p> <h3><span style="color:#FF0000;"><strong>質疑2：業者難判斷違法內容，導致避風港條款虛設又得承擔誤刪賠償</strong></span></h3> <p>草案雖然設置了業者免責的避風港條款，但在資訊儲存服務的免責條件上，要求業者得承擔違法判斷責任，同時要執行「立即」移除或限制行為，才能免責。但這兩項要求都有技術執行困難，尤其內容違法與否，業者得依照14個事業主管機關各自法規和解釋才能判斷是否違法，要第一時間對內容做出違法判定的難度很高，也就難以實現「立即」刪除，無法符合免責條件，等於避風港條款虛設。業者容易因判定困難而採取有人檢舉就刪文的極端做法，但草案又要求業者得向用戶說明刪文理由，若最後屬於「不需刪除的合法」內容，業者還得承擔賠償責任。</p> <p>不刪文，恐遭主管機關開罰，但刪文又得面臨誤刪後的使用者賠償，草案讓業者陷入兩面不是人的困境。</p> <h3><span style="color:#FF0000;"><strong>質疑3：各主管機關資料調取權限過大，不給最嚴重恐遭斷網</strong></span></h3> <p>NCC雖然強調，在中介法草案中，對資料調取權的設計，採用了嫁接法的設計，也就是說，各事業主管機關在各自主管法規中，也得具有資料調取的法律授權，才能向業者提出資料調取的請求，而不是憑空賦予行政機關有新的資料調取權。</p> <p>但是，原本在各機關的相關資料調取法規中，對於業者拒絕提供的罰則規定不一，甚至有些法規沒有罰則，業者可以拒絕提供，或業者可以要求得經法院同意才提供。但中介法草案賦予各事業主管機關，對於違反情節重大者，有權給予斷網處分，等於擴大了原本主管機關的調取權力。例如兒少性剝削條例第8條第1項要求業者配合移除並提供資料給主管機關，違反者最高罰30萬元。但在中介法通過後，兒少法主管機關可以用斷網手段，來處罰連續拒絕配合的業者，比原本兒少法賦予的罰則更重的懲罰。</p> <p>根據2020臺灣網路透明報告，光是2017～2018年間共12個機關提出4萬多次對網路服務供應商的使用者個資調取請求，雖然只有252次遭拒絕，但中介法若通過，各事業主管機關就掌握了斷網生殺大權，業者很難拒絕而必須配合。而且不限定主管機關，任何行政機關都可以依行政處分進行調取權，不少縣市政府所屬衛生局都曾向業者請求調閱用戶個資，日後，每一次調取都將對業者帶來不配合恐遭斷網的壓力。</p> <h3><span style="color:#FF0000;"><strong>質疑4：暫時加註警語容易遭濫用，恐淪為言論打壓手段</strong></span></h3> <p>草案中要求資訊限制需經由法院程序的設計，獲得多方肯定，但在法院裁定前，草案賦予行政機關可以要求數位中介服務業者對「謠言或不實訊息且違法的訊息」暫時加註警語，而且這些要求加註警語的行政處分效力長達30天，恐怕遭有心人濫用，淪為打壓競爭對手形象或言論的手段，尤其對不實資訊或謠言的判斷方式難有標準，為了避免承擔責任，業者容易遇到檢舉就先加註警語，更不利於多方言論的討論，尤其在選舉期間，這個加註警語的機制，可能遭濫用發動大量檢舉來抹黑對手的言論。</p> <h3><span style="color:#FF0000;"><strong>質疑5：資訊透明度化要求過細，小型業者難以負擔龐大法遵成本</strong></span></h3> <p>不少國家對網路平臺或內容服務業者也會要求定期揭露透明度報告，例如歐盟、美國、奧地利、印度、土耳其、南韓等都有，但相較於國外透明度報告的揭露要求，臺灣業界質疑，新版中介法草案中要求的透明度報告揭露項目太多，也太細了，恐怕會帶來了龐大的法遵成本。</p> <p>一家臺灣線上平臺業者評估，為了因應中介法的資料透明度義務，得付出的法遵成本恐怕高達千萬元之多，一方面得擴大人力來處理各項檢舉、申訴和異議處理，還得依據法遵要求紀錄處理過程、理由和時間，例如得追蹤線上救濟管道每一項檢舉和異議的處理時間。</p> <p>另一方面，得整理和搜集來自各行政機關的資料調取請求詳細資訊，甚至也得搜集對每一調閱請求的作業時間，才能產生符合中介法草案的透明度報告的要求。對影響力較大的平臺，甚至得揭露內容自律所用自動化技術的說明，如所用成效指標的準確度等。</p> <p>甚至，中介法草案還賦予了主管機關日後可以隨時指定透明度報告揭露項目的權利，不需經由立法，就可以自行透過行政辦法的修訂來增加，這也意味著，透明度報告日後還得面臨更多客製化調整的法遵成本。文⊙王宏仁、蘇文彬、余至浩</p> </div></div></div>
2022/8/11 19:05作者王宏仁https://www.ithome.com.tw/news/152449
《數位中介服務法》草案帶來新衝擊，NCC要中介業者擔起更多責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月底，NCC公布《數位中介服務法》（後續簡稱中介法）草案，這項草案在設計上相當大程度參考歐盟早先公布的數位服務法（Digital Services Act，DSA）架構，隨後DSA與數位市場法（Digital Market Acts，DMA）在7月獲歐洲議會通過，象徵歐盟加強對大型數位平臺義務及責任，以及對科技業者市場主導力量的監管力道。</p> <p>中介法可被視為臺灣版本的DSA，加強對數位中介服務的規範，一方面迎合國際上認為中介服務具備守門人（gatekeeper）特性，對數位中介服務予以規範，以建立安全、可信賴的網路環境，同時也符合平臺問責（Platform accountability）的概念。</p> <p>由於網路產業關係到民眾的言論自由、隱私權，NCC對外再三強調對網路中介平臺的規範是以治理取代傳統監理，鼓勵中介業者自律或是透過產業共識的他律，處理中介平臺上的違法或不當內容，同時也賦予政府公權力，為減輕非法內容對公共利益的損害，得向法院聲請資訊限制令、暫時加註警語等手段，要求業者協助移除或限制接取內容，或暫時加註警語。</p> <p><strong><span style="color:#B22222;">規範對象廣泛，Line、三大公有雲、網路論壇都被管</span></strong></p> <p>儘管NCC澄清中介法管理的對象並非包山包海，但主要規範的數位中介服務提供者，依據草案的說明，數位中介服務指，透過有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供的通訊傳播中介服務。因數位中介服務相當廣泛，因此草案參考DSA的設計，將中介服務分為連線服務，快速存取服務、資訊儲存服務3大類，其中資訊服務再分為線上平臺、指定線上平臺2小類。</p> <p>連線服務包括中華電信光世代、凱擘大寬頻、亞太電信、台灣固網，以及Line、WhatsApp、WeChat等；快速存取服務則是提升資訊轉傳效率，經過通訊網路自動、中介、暫時儲存使用者資訊，例如CDN或邊緣雲服務；資訊儲存服務主要儲存使用者提供的資訊，涵蓋的服務像是Google Drive、Dropbox、三大公有雲。</p> <p>線上平臺服務則是進一步將儲存用戶的資訊開放公眾存取，例如Dcard、巴哈姆特、ptt等網路論壇，或是Meta、YouTube、Instagram、Yahoo!拍賣等等；指定線上平臺則是有效用戶數超過人口10分之1，由主管機關公告的大型線上平臺業者。</p> <p>上述幾家業者只是簡單的列舉，因NCC只根據認定標準公告的指定線上平臺業者，不會主動區分其他業者屬於什麼類型服務，相信還有許多潛在業者受到中介法規範，但業者自己可能並不知情。</p> <p>中介法草案將中介服務畫分為3大類加2小類，並為不同類型中介服務提出相對應的法定義務，一般中介業者應遵守的透明度報告、資訊限制令、資料調取8項義務，若為資訊儲存服務、線上平臺服務或是規模更大的指定線上平臺，需要額外遵守更多的法定義務，以指定線上平臺業者為例，最多需遵守約20項義務（將緊急資訊限制令併入資訊限制令計算），對業者的衝擊不小。</p> <p>另外，在草案中也設有安全港的免責條款，即平臺上有違法內容或遭到用戶求償，只要符合特定的條件，得以免除民事或刑事責任，對中介服務業者提供免責的保障。</p> <p><strong><span style="color:#B22222;">增加政府對平臺內容的限制權力</span></strong></p> <p>在數位中介服務基本的8項義務中，業者需遵守資訊限制令、緊急資訊限制令，資料調取義務，這3項義務擴大了政府對平臺上違法內容的限制權力，並可向中介業者索取用戶儲存資料的權力。</p> <p>例如中介法第18條規定，各主管機關對於平臺的內容如認為違法，可向法院聲請資訊限制令，並且在法院審查核發限制令之前，主管機關可以行政處分，對該內容暫時加註警示，第19條要求法院審查認為有理由者，核發資訊限制令，以移除或限制接取該資訊，中介業者需配合限制令處理。如業者拒絕配合執行限制令，則可能被罰最多50萬元罰鍰。</p> <p>草案第17條則賦予行政機關資料調取的權力，行政機關在其主管法律規定可不需經法院裁定，以行政處分向中介業者調取資料．相當大程度的授予行政機關資料調取的權力。</p> <p><span style="color:#B22222;"><strong>建立用戶異議機制</strong></span></p> <p>相較於過去，沒有法律明確規定數位中介服務業者提供救濟機制，多仰賴業者服務規範的自主決策，此次中介法草案採納國際上的聖塔克拉拉原則，該原則主要精神為要求中介服務業者執行程序透明，並且提供使用者救濟的管道。</p> <p>因此在中介法裡，規定使用者如對線上平臺服務的限制，包括移除或限制接取內容，或是帳號被停權，可以服務內部異議或外部申訴管道尋求救濟，保障用戶的使用權益。</p> <p> </p> <p><span style="color:#B22222;"><strong>NCC：中介法要求平臺透明與可問責，維護網路言論自由</strong></span></p> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA_20220713.jpg" style="width: 600px; height: 400px;" /></p> <p>「數位中介服務法草案的立法精神是，維護網路上的言論自由，建立自由、安全、可信賴的網路環境」，NCC副主委兼發言人翁柏宗今年6月公布數位中介服務法（簡稱中介法）草案時開宗明義點出草案的立法精神，NCC希望一方面迎合國際上對中介服務的監理趨勢，也滿足國內對中介平臺的實際監理需要，因此參考歐盟數位服務法（DSA）架構制定草案。</p> <p>他表示，中介法草案的目的是希望建立數位中介服務的社會問責，並引入多方利害關係人共同維護網路環境及溝通平臺的專責機構。中介法類似普通法的地位，介接各部會作用法，由於網路世界是實體世界的延伸，因此網路上違法內容，由各部會依據作用法認定，並採納馬尼拉中介者責任原則，由司法機關協助維護言論自由的最後裁定，要求社群平臺建立透明及內外部異議的救濟制度，讓使用者主張維護自己的權益。</p> <p>翁柏宗指出，中介服務業者與使用者間的互動屬於私契約關係，使用者需遵守與平臺間的服務條款、社群條款，中介服務業者多以違反服務或社群守則為由，貼黃標下架使用者在平臺的特定內容。隨著中介平臺的發展，民眾交易、社交互動都在平臺上進行，逐漸成為一種準公共空間，因此需要對業者提出應遵守的義務，且可被公眾問責。</p> <p>未來中介法上路後，平臺業者如果下架使用者的內容，翁柏宗指出，業者需做到3點義務，首先最基本的是，必需清楚說明下架理由，解釋違反哪一條社群守則或服務規範，其次是當使用者表達異議時，業者必需提供內外部救濟制度，最後是，平臺業者每半年或一年需公開透明度報告，讓公眾可以檢視問責。透過對平臺治理內容的透明度，以及可被問責。「實現對民眾網路言論自由的保障」。</p> <p>儘管臺灣的中介法草案參考DSA架構，但NCC強調立法設計上有兩點與DSA不同。首先是中介法授權各法規主管機關調查平臺上的資訊，如認為有違法，為避免對公共利益造成損害，得向法院聲請資訊限制令，DSA則沒有資訊限制令，而是由其他作用法規定限制違法內容。</p> <p>其次是設立專責機構，由多方利害關係人組成議事架構，一方面形成中介產業的自律共識，另方面扮演政府各主管機關與中介業者間的單一溝通窗口。</p> <div> </div> </div> <div> </div> </div></div></div>
2022/8/11 19:08作者蘇文彬https://www.ithome.com.tw/news/152447
十多家業者發表開放資安框架以標準化不同產品的監控資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括AWS、Splunk、賽門鐵克、Cloudflare、Palo Alto Networks、IBM及趨勢科技等十多家科技與資安業者，<a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" target="_blank">在本周三（8/10）共同發表</a>了開放網路安全模式框架<a href="https://github.com/ocsf/" target="_blank">（Open Cybersecurity Schema Framework，OCSF）專案</a>，以協助組織更快也更有效率地偵測、調查與阻止網路攻擊。</p> <p>此一專案的創始者為AWS與Splunk，<a href="https://aws.amazon.com/tw/blogs/security/aws-co-announces-release-of-the-open-cybersecurity-schema-framework-ocsf-project/" target="_blank">根據AWS的解釋</a>，OCSF專案包含一個開放規格，以用來建立各種安全產品及服務之安全遙測的標準化資料，以及各種可支援及加速採用OCSF模式的開源工具。</p> <p>AWS指出，客戶經常反應不同安全產品之間的互動與資料的標準化令它們傷透腦筋，安全團隊必須以專有的格式才能統一來自不同供應商的多種產品的資料，使得安全團隊無法專注於偵測及回應事件，而且還要花時間將這些資料標準化。</p> <p>開源的OCSF主要作為開發各種模式的延伸框架及無關供應商之核心安全模式，供應商與其它的資料產生者可根據特定領域採用或延伸該模式，資料工程師則可比對不同的模式以協助安全團隊簡化資料攝取與標準化，進而讓資料科學家及分析師得以利用通用的語言，進行威脅偵測與調查。</p> <p>其最終目標是提供一個支援所有環境、應用程式或解決方案的開放標準，同時彌補現有安全標準與程序的不足。</p> <p>除了AWS與Splunk之外，另外16家加入該框架的業者還包括博通（Symantec）、Salesforce、Rapid7、Tanium、Cloudflare、Palo Alto Networks、DTEX、CrowdStrike、IBM Security、JupiterOne、Zscaler、Sumo Logic、IronNet、Securonix與趨勢科技。</p> </div></div></div>
2022/8/11 17:24作者陳曉莉https://www.ithome.com.tw/news/152444
Visual Studio Code 1.70改善標題列客製化，預設啟用三向合併編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_70#_command-line-option-merge">VS Code 1.70</a>是微軟甫推出的7月更新，這次的更新有不少重點在於介面改進，提升使用者的操作體驗，並且簡化開發者解決Git合併衝突的程序。</p> <p>Windows、macOS和網頁用戶都會注意到，微軟正在VS Code標題列加入更多的互動式內容，雖然開發人員原本就有能夠隱藏這些元素的配置選項，但在新版本中，現在能夠更方便地右鍵點擊標題列，來存取切換選單列、命令中心和布局控制元件的右鍵選單。</p> <p>想要使用系統右鍵選單的Windows用戶，仍然可以右鍵點擊視窗左上的VS Code圖標，或是Alt+Space來觸發選單，由於滑鼠游標的位置，就是觸發選單的位置，因此當游標在標題列頂端，就會出現自定義選單。</p> <p>早前選單在VS Code視窗縮小時，會折疊成三條橫線的漢堡選單，以騰出更多的空間，但在用戶反應後，微軟調整選單列的折疊邏輯，現在選單會先切換成舊的選單列折疊行為，直到大部分菜單折疊，最後才會切換到漢堡菜單。</p> <p>此外，微軟改進命令中心體驗的部分工作，在macOS的標題列出現互動式元件時，標題列現在將隨其他UI一起縮放，來提高可存取性。</p> <p>微軟進一步改善三向合併編輯器，並在VS Code 1.70中預設啟用，用戶可以透過點擊原始碼控制檢視圖中的衝突檔案來啟用這個合併編輯器，這次的更新功能亮點包括改進選單、強化差異用色，以及突出顯示衝突與非衝突的變更。</p> </div></div></div>
2022/8/11 16:25作者李建興https://www.ithome.com.tw/news/152439
【中介法政府面衝擊分析】中介法兩大對政府公權力擴權的執法手段，也引發政府濫權爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC近期公布的《數位中介服務法》草案，不只衝擊臉書、YouTube、Dcard、ptt在內等數位中介服務平臺業者，還賦予政府自身更多權力，最直接影響就是，未來政府機關若認定有違法資訊在網路上散播，可要求平臺業者配合加註警語、下架資訊，甚至不用經法院同意，依法就能直接向業者調取使用者個資，此舉也引起外界高度關注。</p> <p>草案中關於政府擴權的條文有兩項規定，一個是資訊限制令，另一個是資料調取，就列在草案第18條和第17條。</p> <p>首先，根據草案第18條對「資訊限制令」的規定，明定政府模式下違法內容的處理，可由各主管機關依各自法規，向法院聲請資訊限制令，當取得法院限制令後，業者必須配合辦理，就違法的內容做資訊移除或限制其接取等必要措施，違者開罰。</p> <p>過去，政府要禁止或限制相關網路違法內容，多仰賴和平臺業者之間不成文的默契，基於雙方協定，由業者提供協助，但即使最後拒絕，也不會遭罰。</p> <p>但有了18條規定，法規主管機關未來可依法院核發的資訊限制令，要求業者配合移除或下架資訊，若拒絕配合也有明定罰則，最高可處50萬元罰鍰。</p> <p>不僅如此，法院裁定前，聲請機關也有權要求業者加註圖文警示，甚至最多可放置30天。這項規定為政府機關帶來新的執法手段，而且不需要法院同意，也不用考慮情況有無急迫性，就能要求業者配合執行。甚至涉及重大公共利益且有急迫必要性時，政府可採取緊急程序，由法院48小時內迅速裁定。</p> <p>資料調取權則是草案所賦予政府另一項公權力，有別以往執法單位調取網路使用者資料，必須依法院搜索票，才能以此請求業者提供，除非法律特別規定，大多情況下，數位中介平臺業者，並沒有配合政府提供資料的義務，也沒有相關罰則。</p> <p>但草案17條明定，業者以後必須依政府各機關所作的行政處分，來提供手上的資料，甚至不須經法院裁定，就能調閱所需資料，雖然僅限於特定使用者資料，不包含其他資料，但這條規定，等於擴大了政府對於資料調取的權限，甚至對調取機關也沒有設限，只要是行政機關，不分中央或地方，依其主管法律有相關規定就能調取。</p> <h3><strong>不只有罰則，情節嚴重還可命電信業者對不遵守者斷網</strong></h3> <p>若業者拒絕提供用戶資料，不僅會面臨裁罰，更得按次處罰。此項規定為政府提供了一個連續處罰的有力的執法武器，甚至裁罰後仍不改正，且情節嚴重時，各該法規主管機關得命電信業者採取斷網行動，可以說是政府最嚴厲的執法手段。這項斷網規定也適用於未配合法院限制令辦理或加註警示要求的情況。</p> <p>資訊限制令和資料調取規定，都是對於政府公權力的擴充，也引起外界的擔憂，認為付出代價太高，可能會為政府機關大開方便之門，有濫用政府權力之虞。。</p> <p>元智大學資訊管理學系教授周韻采就認為，草案對資訊限制令的授權範圍和行使模式過於廣泛，包括加註警語的方式，可能產生寒蟬效應，且對緊急資訊限制令要件需嚴格限縮，比如限縮為重大事件，且需經過法院審核，避免政府假借緊急程序之名，行濫權之實。</p> <p>台灣網路資訊中心董事暨執行長黃勝雄也認為，17條資料調取權等於是讓原本僅限縮在特定事業的調取義務，未來可以擴大到所有中介平臺者，皆適用。</p> <p dir="ltr">單從條文來看，對這兩項規定也有不夠明確之處，像在緊急限制令上，雖需經過法院程序，但是條文中對「重大公共利益且有急迫必要性」構成要件說明並不明確，在判斷上不容易解釋。另外，對於資料調取執行程序上，不需要經過法院同意，就能要求業者依把提供使用者資料的作法，也可能過分擴權侵害用戶隱私的疑慮。</p> <p dir="ltr">根據台權會2020台灣網路透明報告統計，光是2017～2018年，政府機關向平臺業者要求調取使用者個資，就有超過4萬多次，涵蓋多個公家單位，從這項統計中，顯示出政府對於資料調取的頻率，其實並不低，甚至對於限制網路內的請求，2年內就多達800次。</p> <p>為防止政府濫權，草案中也有相關配套措施，像是要取得緊急資訊限制令，聲請機關須向法院釋明緊急請求必要性，包括符合違法內容，需馬上處理，否則將造成重大損害的情況，且對涉及資訊限制的結果皆須公開透明，可供公眾線上查詢。法院裁定前應給予提供資訊使用者陳述意見，必要時得諮詢產業自律或事實查核組織的意見，避免聽信一方的意見或說法。</p> <p>其次，要求業者配合暫時加註警示的前提，主管機關法規必須對該類不實訊息違法內容定有構成要件及禁制規定，且已向法院申請限制令，這些條件都具備後，才能以此作出處分。</p> <p>另外在資料調取方面，更要求行政機關調取資料前必須有法律授權，若其作用法沒有授權，除非另外修法，否則對於行政機關的資料調取要求，業者可以明確拒絕。文☉蘇文彬、余至浩</p> </div></div></div>
2022/8/11 16:39作者余至浩https://www.ithome.com.tw/news/152442
【中介法用戶面衝擊分析】下架內容將有平反救濟新管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於民眾遭到臉書、YouTube下架的內容，法律並未強制要求設置事後救濟管道，必須仰賴業者自律，但中介法草案未來立法通過後，將賦予民眾除了司法救濟之外的新的法定救濟權，對不服決定可直接向線上平臺服務業者提出異議和申訴，以恢復自身的權益。</p> <p>根據草案第24、25條規定，民眾若不服線上平臺服務業者的決定，包括資訊遭移除或限制接取、無法使用線上平臺服務，以及使用者帳戶被停權，皆可循內部異議、外部申訴兩大救濟管道，替自己遭到限制的權利平反。</p> <p>當移除民眾提供的內容時，業者依法必須告知當事人不服決定的救濟措施，包括內、外部救濟和司法救濟途徑。</p> <h3><strong>民眾內部異議救濟期間至少要有6個月</strong></h3> <p>針對草案第24條的異議機制和程序，也有特別要求，像是至少須提供6個月異議期間，可供當事人提出異議申請，這也是對於異議者救濟期間的保障，其次，業者必須建立一套e化異議機制，讓使用者可線上提出申請，操作介面設計也要簡單易懂，方便使用。</p> <p>在異議審查程序上，也不允許業者僅以自動化決策處理的結果，作為審理唯一判斷依據，而是必須基於客觀和盡職原則，來達到實質有效的異議審查。業者於審理後，認為異議有理由，就應該將非屬違法的內容或停權用戶帳戶回復原狀。</p> <h3><strong>外部申訴救濟管道，需擇定公正且獨立第三方機構</strong></h3> <p>除了內部異議機制外，當事人如果對異議結果不服時，仍可循外部申訴救濟管道來解決。</p> <p>草案25條明定，平臺業者依法必須建立訴外爭議解決機制，對於其擇定的外部申訴機構也有嚴格要求，像是必須是由公正且獨立第三方機構，來負責處理當事人申訴爭議，爭議處理也要結合數位化通訊技術，方便接近使用。而對於該機構最後所做出的決定，業者必須加以遵守。</p> <p>值得一提的是，考量到雙方條件的不對等，當外部申訴機構做出有利於申訴者的決定時，將由平臺業者負擔對方申訴產生的相關費用或支出。</p> <p>反之，若是做出支持業者決定時，申訴者無須替平臺業者支付申訴相關費用。這是對於使用者選擇外部救濟管道的有利保障。</p> </div></div></div>
2022/8/11 16:40作者余至浩https://www.ithome.com.tw/news/152441
AI趨勢周報第196期：史丹佛研發陪審團學習方法，要解決標註者造成的ML偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0805～0811)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陪審團學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偏差 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛研發陪審團學習方法，要解決標註者分布不均造成的ML偏差問題</strong></span></p> <p>史丹佛大學團隊研發一種陪審團學習方法，可控制ML模型輸出值的偏差（Bias），不受到標註者的身分背景影響，例如因標註者的年齡、性別、教育程度、居住地不同而帶來的標註偏差。</p> <p>他們先是訓練分類器，來模擬不同標註者的標註行為，如女性、黑人，而不像常見的分類器，只模擬一般標註者行為。這種分類器，還能讓使用者依其所需，產出特定標註者的標籤，來對訓練資料貼標。</p> <p>在實作上，團隊利用社交平臺留言資料集來訓練分類器，讓分類器模擬不同標註者，對這些留言給出的惡意性評分。該資料集包含了17,280位標註者，對留言的惡意性評分（0至4分），每位標註者也提供自己的年齡、性別、種族、教育水準、政黨派別，以及是否為人父母和宗教信仰等特徵。接著，團隊利用BERTweet模型來產生每條留言的表徵，再將這些表徵集結起來，作為Deep & Cross類神經網路的輸入值，來產出不同標註者對留言的評分。在推論上，團隊設置特定特徵組成的虛擬陪審團，讓模型隨機挑選12合適的位標註者，來預測評分，並經多數決選出最佳標籤。團隊發現，模型平均絕對誤差為0.61，在預測不同種族標註者時，模型也有一致的錯誤率，如亞洲人0.62、黑人0.65、西班牙裔0.57、白人0.6。<a href="https://arxiv.org/abs/2202.02950">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 招潮蟹 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>模擬招潮蟹！MIT專家打造出陸地水下都能看的360度人造眼</strong></span></p> <p>MIT電腦科學與人工智慧實驗室CSAIL聯手首爾國立大學，打造一款可同時分辨陸地和水下景象的仿生人造眼系統，外形有如一個黑色的小球，透過混合材質來處理光線訊息，視野不再只限於半球形，而是近360度的全景視角。</p> <p>團隊表示，這款人造眼是受招潮蟹啟發，因為招潮蟹有獨特的視覺系統，平坦的角膜和漸變折射率處理能力，可解決因外部環境變化而產生的散焦，此外，特殊的眼睛結構還讓招潮蟹具備3D全景視角。因此，團隊將一系列具漸變折射率分布的平面微透鏡，以及梳狀的柔性光電二極管陣列，整合分布在一個3D球體上。</p> <p>如此，就算光線從多處射出，也會聚集在圖像感測器的同一點上，不論周遭折射率如何變化。為測試系統，團隊將這個人造眼半浸於水中，並在水陸和不同距離之處擺設5個物件。他們發現，不論陸地還是水下，系統可呈現一致的圖像品質，也能呈現近乎360度的陸地和水下景象。<a href="https://news.mit.edu/2022/first-artificial-vision-system-for-both-land-and-water-0804">（詳全文）</a></p> <p><img alt="" src="https://news.mit.edu/sites/default/files/styles/news_article__image_gallery/public/images/202208/MIT-Amphibious%20Eye.jpg?itok=KFb93mUp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BlenderBot 3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開發新演算法Director，要讓新一代Chatbot談吐更優雅</strong></span></p> <p>Meta以自家的語言模型OPT-175B為基礎，開發出1750億參數的新一代聊天機器人BlenderBot 3，效能比第二代要好31%，再加上以58倍大的資料庫來訓練，第三代的知識量是前一代的2倍，錯誤率則降低47%。</p> <p>為了讓BlenderBot 3不受有心人濫用、說出沒禮貌的回應，Meta設計一款新學習演算法Director，可利用語言建模和分類方法，來產出BlenderBot 3給用戶的回應。其中的分類器，可訓練來處罰低於標準、有害、矛盾或重複的言論，團隊測試發現，這種方法比獎勵學習機制、重新排名和傳統語言建模方法要好。<a href="https://ai.facebook.com/blog/blenderbot-3-a-175b-parameter-publicly-available-chatbot-that-improves-its-skills-and-safety-over-time/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/293605752_371107728534595_766213306642541705_n.jpg?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=wc9g2gaD-ywAX-xMFw_&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT_WjetGwRjNJ-xmm4Q-u4lCTM72tEcK2C4K8pMBm1eHMw&oe=62FA60DD" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ViTDet </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源新電腦視覺模型，可偵測更多不常見物件</strong></span></p> <p>Meta發表最新物件偵測模型ViTDet，經LVIS資料集測試的表現，比其他基於ViT的模型還要好。ViTDet不僅能偵測桌椅等標準物件，還能找出如餵鳥器、花圈和甜甜圈等較不常見的物品。這項研究之所以重要，是因為物件偵測是一項重要的電腦視覺任務，而物件偵測要更有用，就得辨識出更多不常見的物件，或是在訓練資料中很少出現的物件。</p> <p>有別於傳統方法，Meta僅從單一尺度的特徵圖，就可建構簡單的特徵金字塔，不需用到過去常見的FPN設計，直接用ViT最後一層特徵，就可重建FPN，這種作法更簡單直覺，更不耗費記憶體，訓練和推理的速度也更快。Meta現已開源ViTDet程式碼和訓練方法。<a href="https://ai.facebook.com/blog/efficient-accurate-object-detection-for-hundreds-of-uncommon-object-classes/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/296441347_1256417291853650_7568776143346380791_n.jpg?_nc_cat=100&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=b3B25MizUFYAX_lkpdK&_nc_ht=scontent.ftpe7-1.fna&oh=00_AT_VjGHli9vIS2bXVPhhjDKokY8nSm53i2K2O1h3J1jCQA&oe=62FA3EF2" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 牙周病 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TFDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>牙醫科技新創打造牙周病判讀AI，今年拼TFDA取證</strong></span></p> <p>國產牙醫科技新創台灣牙e通（dentall）打造牙科影像判讀AI，不只能判斷基本的口腔X光片牙位、分辨牙齒位置和牙肉，還能預測蛀牙病灶和牙周病期別，其中牙周病預測準確率達97%。</p> <p>2019年，他們與北醫聯手，透過北醫提供去識別化且經標註的牙齒影像，來訓練AI模型。第一階段，他們先訓練模型辨識牙位，比如上下左右排牙齒，目前已能取代人力，自動將散亂的影像自動排序。接著，模型進一步學會辨識牙肉與牙齒位置，有這些基礎後，他們開始打造牙周病偵測AI，根據牙肉和牙齒露出牙肉的比例，以及美國牙周病學會標準，來計算牙周病期別。今年，他們準備申請衛福部食藥署智慧醫材SaMD認證，下一步要整合保險給付，比如模型判斷出第3期別，需要牙周病再生治療，就可整合保險端來簡化給付作業。<a href="https://www.ithome.com.tw/news/152303">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3381.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小樣本學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon小樣本學習模型勝過千億參數大模型</strong></span></p> <p>Amazon改良Alexa AI，開發出200億參數的語言模型AlexaTM 20B，只需少量人工輸入，就能在不同語言間，轉移已習得的知識。進一步來說，AlexaTM 20B是以Transformer架構為基礎，只需給幾個任務提示，AlexaTM就能將已學習的知識或任務，從一個語言轉移到另一個語言，且不需要額外的人工標註。</p> <p>AlexaTM 20B具200億參數，在多種語言任務上優於上千億參數的大模型。有別於大部分Transformer架構的語言模型、只採用解碼器，AlexaTM 20B採序列到序列（seq2seq）的編碼器-解碼器架構，在翻譯和文本摘要的效果優於GPT-3，還支援更多語言，像是阿拉伯語、英語、法語、泰米爾語和泰盧固語等。由於AlexaTM 20B的參數數量較少，再加上Amazon對訓練引擎的改進，AlexaTM 20B在訓練期間的碳足跡，只有GPT-3的五分之一。<a href="https://www.amazon.science/blog/20b-parameter-alexa-model-sets-new-marks-in-few-shot-learning">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/3eb4148/2147483647/strip/true/crop/2486x1384+0+0/resize/1200x668!/format/webp/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2Fc1%2F92%2F9fb5ffc2475985df97aff167ba2c%2Fmultilingual-annotation.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 印度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 即時監控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>印度導入AI強化邊境即時監控和社交平臺危險偵測</strong></span></p> <p>印度軍方近日宣布導入一套AI系統，來即時監控北部和西部的邊境狀況，以及偵測社交平臺活動，來即時掌握危機狀況。進一步來說，印度與中國、巴基斯坦接壤，長年以來存在不少邊界衝突，為此，印度計畫重用AI來強化軍事能力。比如，他們已採用人臉辨識、語言翻譯（中文到英文）、遠程武器操作站、探雷機器人和入侵偵測系統等，來加強軍事防禦。</p> <p>而這次導入的AI系統，則搭配印度可疑車輛登記系統，再加上可轉動視角的監視器和熱成像監視器，來即時偵測可疑車輛，並通知士兵阻攔。印度媒體稱，該系統已於8區域上路。<a href="https://analyticsindiamag.com/how-does-the-indian-army-want-to-use-ai/">（詳全文）</a></p> <p>圖片來源／MIT、Meta、Amazon</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 英國未來2年要建無人機專屬高速公路</strong></p> <p><strong>2. CMU開源ML工具來解決時序事件問題</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div></div></div>
2022/8/11 15:44作者王若樸https://www.ithome.com.tw/news/152440
思科坦承遭網路攻擊，公布完整攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" target="_blank">思科（Cisco）周三（8/10）坦承</a>，該公司在5月24日察覺遭到入侵，並由思科資安事件應變小組（CSIRT）與旗下資安公司Cisco Talos攜手補救，起因是一名員工的個人Google帳號遭到駭客入侵。雖然思科並未發現系統被部署勒索軟體，但勒索軟體集團Yanluowang宣稱已取得2.8GB的思科資料。</p> <p>根據思科的調查，駭客是先取得了一名思科員工的個人Google帳號，該名員工在Chrome中啟用了帳號同步功能，並於瀏覽器上存放了思科憑證；在得到思科憑證之後，駭客藉由語音網釣，以及頻繁發送多因素認證（MFA）請求至員工手機，最終成功進入了思科的VPN網路。</p> <p>該名憑證被盜用的員工還說，他在幾天之內收到無數的電話，對方以各種國際腔調說著英文，宣稱來自於受到該員工信任的組織。</p> <p>隨後駭客還註冊了多個裝置以供MFA使用，並將自己升級到管理權限以登入多個系統，便是此舉觸發了思科內部的安全警報。</p> <p>此外，駭客亦於思科系統內植入了各種工具，諸如LogMeIn與TeamViewer等遠端存取工具，以及 Cobalt Strike、PowerSploit、Mimikatz與Impacket等攻擊型安全工具，還新增了多個後門帳號以方便自己出入。</p> <p>思科指出，該攻擊的初始存取掮客（Initial Access Broker，IAB）與UNC2447及Lapsus$駭客集團有關，前者是基於金融動機的俄羅斯駭客集團，藉由部署各式勒索軟體獲利，後者則是一個鎖定企業網路的駭客集團，目的是竊取機密資訊。雖然駭客所使用的戰術流程（TTP）與勒索軟體駭客如出一轍，但駭客並未於此一攻擊行動中部署勒索軟體。</p> <p>然而，就在思科公布攻擊報告的同一天，<a href="https://twitter.com/Cyberknow20/status/1557419082210676736" target="_blank">勒索軟體集團Yanluowang便在資料外洩名單上納入了思科</a>（下圖），根據<a href="https://www.bleepingcomputer.com/news/security/cisco-hacked-by-yanluowang-ransomware-gang-28gb-allegedly-stolen/" target="_blank">《BleepingComputer》</a>的報導，駭客宣稱取得了2.8GB的思科資料，並向思科提出了贖金的要求。</p> <p class="rtecenter"><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZ0QZtoUEAAAVVF?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CyberKnow on Twitter</span></span></a></p> <p>思科則向《BleepingComputer》表示，此一意外並未對思科的業務造成任何影響，包括思科產品、服務、機密的客戶或員工資料、智慧財產，以及供應鏈運作等。</p> </div></div></div>
2022/8/11 14:43作者陳曉莉https://www.ithome.com.tw/news/152437
伊朗正式以加密貨幣支付進口商品，規避美國制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗工業、礦業和貿易部副部長<a href="https://twitter.com/peymanpak_ir/status/1556927239907835904" target="_blank">Alireza Peyman-Pak本周透過Twitter宣布</a>，該國已完成第一個以加密貨幣付款的進口訂單，而且在今年9月底以前，將會與更多的國家以加密貨幣進行國際貿易。</p> <p>Peyman-Pak僅說首筆加密貨幣交易訂單的價值為1,000萬美元，並未公布商品內容、往來國家，或是以何種加密貨幣付費。</p> <p>美國是在1979年以伊朗發展核武並支持恐怖組織為由對該國展開制裁，自此伊朗就被隔絕在由美元主導的全球金融體系之外，也讓伊朗對於加密貨幣的政策相對寬鬆，並藉由加密貨幣來規避美國的制裁。</p> <p>該國自2017年就開始擁抱加密貨幣，於2020年10月進一步修法以讓加密貨幣可用來支付進口商品，去年6月伊朗政府還頒發了30張加密貨幣挖礦證照，只是所挖到的加密貨幣必須出售給伊朗的中央銀行，此外，近來伊朗也正在研擬央行數位貨幣的可行性。</p> </div></div></div>
2022/8/11 15:03作者陳曉莉https://www.ithome.com.tw/news/152438
OpenAI改進並免費提供AI內容過濾工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-and-improved-content-moderation-tooling/">OpenAI</a>引入高效且精確的審查端點，使得開發人員得以保護他們的應用不被濫用，該端點提供OpenAI API開發者一個基於GPT技術的分類器，偵測不受歡迎的內容，以AI系統協助人類監督AI產生的內容，目前開發者已經可以免費使用該AI內容過濾工具。</p> <p>把文本作為出入，審查端點便會評估其中是否包含性、仇恨、暴力和宣揚自殘內容，官方提到，該端點經過訓練，可以快速準確地在應用程式中執行，而且重要的是，該工具能夠在大規模部署時，減少應用程式說錯話的機會，使得人工智慧能夠在教育等敏感場景中使用。</p> <p>開發者不需要建構和維護自己的分類器，只要透過呼叫單一API，就能存取精確的分類器。OpenAI現在提供該審核端點，免費審核所有OpenAI API所生成的內容，另外，用戶也可以選擇付費，使用審查端點來監控非OpenAI API所產生的內容，目前這項服務仍在私人測試中。</p> </div></div></div>
2022/8/11 15:11作者李建興https://www.ithome.com.tw/news/152436
數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部候任政務次長兼發言人李懷仁今（8月11日）<a href="https://www.youtube.com/watch?v=8YfBz6IodwA&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">揭露</a>數發部籌備重點，包括旗下6司2署職責，如數位策略司負責推動國家數位發展政策、資安署要推動國家資安防護演練，他也預告，數發部將於今年底前成立國家資安研究院，要搭配數位政府司和資安署，來定期檢核政府資安韌性。在人才聘用上，數發部將以人才經驗為原則，並提高約聘比例達50%，亦即首批所需的600人中，最高可約聘300人。</p> <p><span style="font-size:22px;"><strong>揭露6司2署職責，年底前要成立國家資通安全研究院、加強政府資安韌性</strong></span></p> <p>數發部英文簡稱MODA，「就像是臺灣數位發展的馬達，」李懷仁首先點出，數發部的宗旨是要連結公民和技術，來提升產業與安全發展。而數發部的職責是，推動國家數位政策的創新和變革，未來政策重點將涵蓋電信、資訊、資安、網路和傳播等5大領域，來統籌國家基礎建設、環境整備和資源運用等業務。</p> <p>在組織架構部分，數發部旗下有6司2署，其中，數位策略司負責推動國家數位發展政策、統籌協調來規畫施政計畫與資源，韌性建設司則是要強化通傳網路韌性，並維持數位應用的順暢。再來，資源管理司專責分配、管理數位通傳資源，來確保資源使用符合公共利益。另一方面，數位政府司要加強政府數位應用，來提高施政效能，而民主網絡司則要積極參與國際數位民主網絡，提高臺灣對國際的貢獻。最後，多元創新司的職責，是要發展資料運用，來打造資料創新應用生態。</p> <p>除了6司，數發部旗下還有數位產業署和資通安全署，前者是要推動數位科技應用政策、數位經濟產業發展政策，後者則是規畫國家資安政策、計畫核議與督導考核，另外也要進行國家資安防護演練、基礎設施防護等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20132837.png" /></p> <p>李懷仁透露，數發部還有2大職責，也就是監督國家資通安全研究院這個行政法人，以及主管3大財團法人，包括資策會、電信技術中心、臺灣網路資訊中心。</p> <p>將接任數發部部長的行政院數位政委唐鳳特別補充，數發部預計今年底成立國家資通安全研究院，將搭配數位政府司與資安署，將針對政府機關，進行例行巡檢，不再只是單純的資安稽核。「就像危老建築重建，不要等別人來攻擊，我們自己看到韌性可加強的部分，就來補強，」她說。</p> <p>在人才聘用上，李懷仁指出，因組織法放寬人才聘用方式，因此招人原則以經驗為主，並提高約聘比例，可達50%。也就是說，數發部2023年的預算員額為600人，其中300人可為約聘人員。未來，數發部將分2處辦公，部本部將落腳原NCC北區監理處，中繼辦公室則進駐新光辦公大樓部分樓層。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20133351.png" /></p> </div></div></div>
2022/8/11 13:36作者王若樸https://www.ithome.com.tw/news/152433
微軟開源逾1,500種3D表情符號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/microsoft-design/designing-in-the-open-source-5c62be73a599" target="_blank">微軟本周表示</a>，已透過圖形編輯平臺<a href="https://www.figma.com/community/file/1138254942249677742" target="_blank">Figma</a>與<a href="https://github.com/microsoft/fluentui-emoji" target="_blank">GitHub</a>開源1,538個3D表情符號。</p> <p><a href="https://medium.com/microsoft-design/emotionality-at-work-398182387adc" target="_blank">微軟是在2021年7月宣布</a>要大幅翻修Microsoft 365中的逾1,800個表情符號，新版本將以3D取代2D，而且會替大多數的表情符號設計動畫，並將新版表情符號稱為Fluent Emojis。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-public-preview/now-in-public-preview-fluent-emojis/m-p/3163841" target="_blank">Fluent Emojis在今年2月邁入了公開預覽</a>，但只支援Teams。</p> <p>雖然微軟開源了絕大多數的3D表情符號，但仍保留了熱門的小幫手迴紋針（Clippy），也缺少了遊戲，原因是涉及商標問題。</p> <p>微軟認為，表情符號已隨著疫情的發展而進一步成為人們遠距交流時期的關鍵溝通工具，它可克服語言障礙，傳遞細微的差異或幽默感，也能讓回應不那麼刺耳，堪稱是數位舞臺上的主角。</p> <p>開源Fluent Emojis將允許使用者隨意混合、改造及使用這些表情符號，且共同創作將能使事物變得偉大。微軟指出，一年多以來的開發已讓Fluent Emojis可用在任何需要的格式中，如同隱藏式字幕有不同的語言一樣，表情符號也應能以SVG、PNG及JPG格式存在，並有向量、平面或黑白的版本，以讓它們更加靈活。</p> </div></div></div>
2022/8/11 13:43作者陳曉莉https://www.ithome.com.tw/news/152435
Google要求蘋果採用RCS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google多年來推動以RCS（Rich Communication Service）取代簡訊，Google最近大動作指出，都是因為蘋果，讓使用者處於無法順暢互通，並停留在簡陋的純文簡訊時代。</p> <p>RCS為新式GSM標準，旨在取代過去的純文字簡訊，能顯示聯絡人線上狀態，傳送包含圖片、影片、URL的訊息，也能執行影像通訊、聊天室、互動、使用表情符號、位置分享、檔案分享等功能，完全不用跳離訊息App。</p> <p>Google力推RCS服務，也有相當成果，包括<a href="https://www.ithome.com.tw/news/125888" target="_blank">2018年和三星合作</a>，確保Android Messages和Samsung Message傳訊服務可以互通，包括在Wi-Fi網路上通話或傳送多媒體訊息、看見對方正在輸入、或是讀取回條。<a href="https://www.ithome.com.tw/news/145778" target="_blank">去年Verizon加入AT&T 與T-Mobile行列</a>，在手機內建由Google打造的Messages，使三家電信業者用戶可以RCS應用程式互相通訊。</p> <p>然而蘋果iMessage始終不願加入。iPhone上以iMessage傳訊息時，如果對方也是iPhone用戶，訊息泡泡會呈現藍色，否則就是綠色。這會造成年輕用戶感到被標示為綠色泡泡會遭到排擠，因而從Android手機換成iPhone。</p> <p>Google在一個<a href="https://www.android.com/get-the-message/" target="_blank">「Help @Apple #GetTheMessage」</a>的行銷活動網頁上，呼籲現在是蘋果修補通訊問題的時候了。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ED4es0-j8M4" title="YouTube video player" width="560px"></iframe></div> <p>該網頁指出，問題不在訊息泡泡的顏色不同，更大的問題在於影片模糊、群組聊天中斷、讀取回條或是打字顯示狀態遺失、無法在Wi-Fi網路傳文字訊息等。而這些問題之所以無法解決，都是因為蘋果拒絕採用現代簡訊標準，造成iPhone及Android手機用戶傳訊時的困難。</p> <p>Google表示蘋果讓iPhone及Android手機用戶傳訊時轉成SMS及MMS，分別是1990年代及2000年初的過時技術。Google說，蘋果採用RCS可以解決問題，不影響iPhone和iPhone用戶的對話，又能使所有人的通訊經驗變得更好。</p> <p>除了iMessage，Meta的 WhatsApp、Facebook Messenger、Line等通訊程式也都不支援RCS。</p> <p>不過這個各自為政的局面可能很快會改變。<a href="https://www.ithome.com.tw/news/150100" target="_blank">歐盟3月通過《數位市場法》（Digital Markets Act，DMA）</a>，將強迫大型傳訊服務與小型傳訊平臺互動，代表未來使用不同傳訊服務的使用者，都可以彼此傳遞訊息或分享檔案。</p> </div></div></div>
2022/8/11 11:34作者林妍溱https://www.ithome.com.tw/news/152430
Disney發表月租費7.99美元的含廣告Disney+服務，無廣告從7.99漲到10.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://thewaltdisneycompany.com/the-walt-disney-company-reports-third-quarter-and-nine-months-earnings-for-fiscal-2022/" target="_blank">迪士尼公司（The Walt Disney Company，Disney）本周公布</a>截至今年7月2日的2022財年第三季財報，<a href="https://thewaltdisneycompany.com/ad-supported-disney-subscription-tier-to-launch-in-the-u-s-on-december-8/" target="_blank">同一天也宣布</a>在美國推出內含廣告的Disney+ 影片串流服務，月租費為7.99美元，並把無廣告的入門訂閱方案月租費，從7.99美元調漲到10.99美元，新價格將於今年12月8日上線。</p> <p>迪士尼該季創下215億美元的營收，比去年同期成長26%，每股盈餘為0.77美元。在迪士尼的營收中，來自於影片服務的占了141億美元，迪士尼樂園與周邊商品的收入則是74億美元。</p> <p>而迪士尼也提供了多種內容的訂閱服務，目前Disney+ 的訂閱用戶數為9,360萬，印度子公司推出的Disney+ Hotstar有5,840萬的訂閱用戶，ESPN+的訂閱用戶數為2,280萬，Hulu為4,620萬，所有服務的總訂閱用戶數達2.21億，比Netflix今年第二季所公布的數字略多了33萬。</p> <p>另一方面，迪士尼也在本周發表了由廣告支撐的Disney+服務，過去Disney+都是無廣告的付費訂閱服務，最低門檻為每月7.99美元，不過，新的Disney+含廣告服務月租費就要7.99美元，因此將無廣告訂閱方案的月租價格調高至10.99美元，新方案將於今年的12月8日上線。</p> <p>至於Hulu原本就有廣告及無廣告訂閱版，但迪士尼也趁此將Hulu的含廣告訂閱方案的月租費從6.99美元調高到7.99美元，而無廣告訂閱方案的月租費則是從12.99美元調高到14.99美元。</p> <p>目前Netflix的三種付費訂閱方案分別是基本方案的9.99美元、標準方案的15.49美元，以及高級方案的19.99美元，Netflix亦打算推出由廣告支撐的付費訂閱方案，預計於明年上線，但尚未公布價格。</p> </div></div></div>
2022/8/11 12:05作者陳曉莉https://www.ithome.com.tw/news/152431
丹麥7-Eleven證實遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven周三（8/10）證實，本周一導致門市關閉的網路攻擊事件為勒索軟體。</p> <p><a href="https://www.ithome.com.tw/news/152374" target="_blank">本周一丹麥7-Eleven公告遭到網路攻擊</a>，導致結帳系統無法運作，迫使其在釐清災害範圍前關閉全國門市。<a href="https://www.bleepstatic.com/images/news/security/7-eleven-updated-statement.jpg" target="_blank">昨日7-Eleven透過臉書表示</a>，這是一樁勒索軟體攻擊。在經過報警後，7-Eleven已經配合當地警方調查此事，該公司表示之後不會再獲得調查細節、攻擊範圍或結果。</p> <p>7-Eleven表示持續和股東說明，但目前沒有跡象顯示有客戶、合作夥伴或供應商受到攻擊影響。</p> <p>7-Eleven在丹麥是由當地一家零售商以品牌授權方式經營，目前全國有175家門市。7-Eleven表示，截至周三中午，已經有110家店恢復營業。</p> <p>不過到目前為止還沒有任何組織宣稱犯下攻擊丹麥7-Eleven一事。</p> </div></div></div>
2022/8/11 10:20作者林妍溱https://www.ithome.com.tw/news/152427
微軟傳裁撤一消費市場業務部門，影響約200人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/microsoft-layoffs-modern-life-experiences-mileiq-2022-8" target="_blank">Business Insider報導</a>，微軟悄悄裁撤一個旨在「贏回消費者」的業務部門，名為「消費生活體驗（Modern Life Experience，MLX）」部門。</p> <p>「消費生活體驗」是微軟2018年成立的部門，宗旨是將消費產品送到需要它們的顧客手上，像是協助家庭學習、以有趣而安全方式從事網路探索及相互連繫。這個部門約有200名員工。</p> <p>微軟要求該部門員工在60天內找到願意接收他／她的部門，否則就得走人。</p> <p>MLX負責的軟體包括Excel中可用於記錄消費紀錄的Money、計算里程的Mile IQ及提供家人聯繫及上網安全的Family Safety。<a href="https://www.zdnet.com/home-and-office/microsoft-adjusts-its-consumer-strategy-priorities-yet-again/" target="_blank">ZDnet報導</a>，這可能顯示微軟的消費業務策略又將調整：Mile IQ是收購自Mobile Data Labs，但微軟2021年又將公司賣回給了創辦人，而Money才上路不到2年，<a href="https://www.ithome.com.tw/news/151278" target="_blank">微軟2個月前宣布</a>將於2023年中止。但Family Safety可能會持續。</p> <p>微軟官方尚未對此回應。</p> <p>本消息也呼應了上個月微軟裁員的傳言。<a href="https://www.ithome.com.tw/news/151917" target="_blank">7月彭博（Bloomberg）報導</a>，微軟啟動「事業群及職位角色的調整」中，裁減部分人力，占全公司18萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">6月微軟頭戴裝置HoloLens也傳出一分為二</a>，軟、硬體開發團隊分別併入Windows裝置及Teams部門。HoloLens 原推動消費者導向及娛樂應用，但從第二代起就逐漸轉變成商務應用，包括發展醫療手術、製造維修、教學等。</p> <p>但微軟還有許多面向消費者的產品，包括Surface筆電、Xbox 360，還有Home版Windows，以及家用版Teams或Outlook、Microsoft 365 等。</p> </div></div></div>
2022/8/11 10:33作者林妍溱https://www.ithome.com.tw/news/152428
美司法部傳即將控告Google壟斷數位廣告市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google等科技巨擘再面臨行政壓力。<a href="https://www.bloomberg.com/news/articles/2022-08-09/doj-poised-to-sue-google-over-ad-market-as-soon-as-september" target="_blank">彭博報導</a>，美國司法部正在進行最後準備作業，最快在9月間對Google提出壟斷數位廣告市場的控告官司。</p> <p>報導引述三名消息人士報導，司法部正在對線上出版商發出問卷，以確定官司的所需資料，最快下個月提出。</p> <p>這也是美國政府繼2020年底以來，對Google數位廣告進行的另一樁壟斷控告。<a href="https://www.ithome.com.tw/news/140636" target="_blank">2020年，司法部和佛州、德州等10州聯合控告Google</a>以不法手法維持其在美國搜尋服務、搜尋廣告及一般搜尋文字廣告市場上壟斷地位的行為。當時Google否認此事，本官司還在進行中，預定下個月會有一場公聽會。</p> <p>近兩年歐美行政系統對科技龍頭業者壓力更甚。<a href="https://www.ithome.com.tw/news/143363" target="_blank">去年路透社報導</a>，Google計畫封鎖第三方cookies的作法引發美國司法部注意、不排除介入調查。7月歐盟通過《數位市場法》以規範蘋果、Google及Meta等大型科技公司在電子商務及應用程式可能造成壟斷、排擠小型業者的行為。此外美國參議院也在類似目的下計畫推動《美國線上創新與選擇法案》（American Innovation and Choice Online Act）的立法。</p> <p>美司法部拒絕評論。<a href="https://www.cnet.com/news/politics/doj-will-sue-google-over-ad-tech-business-in-september-report-says/" target="_blank">Google則回應指出</a>，Google廣告科技協助網站和應用程式獲得資金，並幫助小型業者連結全球客戶。Google表示，線上廣告的競爭激烈，也讓線上廣告科技變得更便宜，出版商和廣告主可獲得更多選擇。</p> <p>而為了消除司法部的疑慮，<a href="https://www.ithome.com.tw/news/151876" target="_blank">《華爾街日報》7月報導</a>，Google準備拆分廣告業務來避免可能的反托拉斯訴訟。</p> </div></div></div>
2022/8/11 10:52作者林妍溱https://www.ithome.com.tw/news/152429
【中介法產業面衝擊分析】新增多達20項法定義務，違者單次最高罰千萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位中介服務法（後簡稱中介法）草案參考歐盟DSA的做法，以數位中介服務提供者為規範的對象，依據草案的定義，數位中介服務指，以有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供之通訊傳播中介服務。</p> <p>草案將數位中介服務分為連線服務、快速存取、資訊儲存服務3大類業者，其中的資訊儲存再分為線上平臺與指定線上平臺2類業者。連線服務指通過通訊網路傳輸使用者的資訊，提供通訊網路接取服務者或人際通訊服務；快速存取服務指為提升資訊傳遞給其他使用者的效率，減輕網際網路負擔，自動、中介及暫時儲存使用者資訊的服務。</p> <p>資訊儲存服務則是應使用者要求，儲存使用者提供資訊的服務。線上平臺業者為資訊儲存服務的一種分類，將所儲存的使用者資訊傳達給公眾的特定型態資訊儲存服務。</p> <p>值得注意的是，中介法參考歐盟數位服務法DSA的超大型業者定義，將線上平臺業者裡，超過一定規模的大型線上平臺業者，畫為指定線上平臺業者，依據中介法草案第32條，線上平臺服務業者在國內有效使用者數量達230萬人者，由主管機關公告為指定線上平臺業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_41_43.jpg" style="width: 600px; height: 424px;" /></p> <p><strong>數位中介服務法草案，將中介服務類型分為連線服務、快速存取服務、資訊儲存服務3大類，以及線上平臺服務、指定線上平臺服務2小類，各類型業者應遵守的法定義務。（圖片來源：NCC）</strong></p> <p>值得注的是，網路上有各種的服務，中介法並非要管所有的服務，主要是以在臺灣設有商業據點，或是雖然沒有在臺設商業據點，但在國內有顯著的使用者數量，或以我國為主要商業活動市場。另外，所謂的線上平臺服務不只是網站，也包括軟體及行動裝置應用程式。</p> <p>另外，中介法規範的是服務行為，而非業者。如一家業者旗下有多項服務，這些服務依照商業模式不同，在中介法裡可能被視為連線服務、資訊儲存服務或是線上平臺服務，需遵守不同的法定義務。</p> <p>今年6月底NCC公布數位中介服務法草案，曾對外公開簡報資料，其中列舉各類型服務示例供外界參考，其中連線業者及快速存取服務業者，因兩者界線模糊，當時列舉的規範示例，包括中華電信光世代、凱擘大寬頻、亞太電信、速博、台灣固網。</p> <p>而在資訊儲存服務部分，當時曾列舉VMware與紅帽，線上平臺服務則有Meta、Yahoo!拍賣、Dcard、YouTube。指定線上平臺因國內有效使用者數量達230萬人的標準、如何認定，未來需由NCC公告。</p> <p>值得注意的是，在今年8月的首場公聽會更新簡報資料，因VMware、紅帽的商業模式存在爭議，NCC尚在釐清是否適用中介法草案，故已將舊簡報中的舉例資料拿掉。</p> <p><strong><span style="color:#B22222;">Line、Google、AWS也可能被管</span></strong></p> <p>未來中介法上路，受影響的業者可能不只上述幾家業者，從中介法的草案說明來看，連線服務業者定義參考DSA的規範，將人際通訊服務放進連線服務裡，因此Whatsapp、Line等即時通訊服務也是連線服務。Line在臺灣因為擁有2,100萬用戶，幾乎人人使用，有相當高的普及率，除了屬於連線服務，因為Line在臺灣也提供其他多元服務，可能涉及資訊儲存服務，未來中介法如果上路，Line的類型還需個案認定。</p> <p>至於資訊儲存服務的定義是，應使用者要求，儲存使用者所提供資訊的服務，NCC補充說明，資訊除了文字、影像、圖片，還包括檔案、軟體、程式碼等形式，因此資訊儲存服務可能涵蓋Google Drive、Microsoft OneDrive、Dropbox等雲端儲存，以及AWS、Google Cloud、Azure等公有雲業者，以及IG、App Store、Google Play、GitHub等等。</p> <p>若以歐盟DSA規範的Hosting業者（對照臺灣中介法的資訊儲存服務），DSA將Hosting細分幾類服務，包括網站代管（Web Hosting）、線上媒體分享平臺（Online Media Sharing Platforms，分享影片、影像、音樂、部落格及新聞訊息，包括YouTube、Vimeo、Medium、Wordpress等），檔案儲存及分享（File storage and sharing，檔案類型包括影片、影像、文件、軟體，例如Dropbox、box.com等）、IaaS及PaaS（雲端服務包括AWS、Google Cloud、Microsoft Azure）。不過，臺灣的中介法目前沒有納入搜尋引擎，這是目前與歐盟DSA規範的不同處之一。</p> <p>至於電子商務，依據B2C或C2C交易型態不同，可能被認定為買、賣雙方交易資訊的中介平臺，因此而被列為受規範的線上平臺業者，例如Yahoo!拍賣、蝦皮拍賣等等，但是電商業者自行販賣商品，就不算是中介平臺業者，由於現今電商業者的服務模式較為複雜，具體屬於哪一類業者，可能還是需個案去認定。</p> <p><span style="color:#B22222;"><strong>中介業者負擔8項基本義務</strong></span></p> <p>依據不同服務類型的定義，需遵守相對應的法定義務。以一般數位中介服務為例，有8項基本的法定義務：資訊揭露、指定代理人、公告服務使用條款、透明度報告、資料調取、資訊限制令、緊急資訊限制令、登載義務。未來中介法上路，增加業者的法遵成本，否則違反8項義務，主管機關依法可罰5萬元以上、50萬元以下罰鍰，限期要求改善，未改善者得按次處罰。</p> <p>8項基本義務中的指定代理人義務，要求境外業者指定境內代表人，另一項義務公告服務使用條款，要求清楚公告內容自律的政策、程序、工具及措施。</p> <p>至於透明度報告，要求業者以清楚易懂方式，每年公布透明度報告，內容需包含配合政府資料調取、收到政府通知處理、內容自律、異議處理等數據，中介法考量規模較小的業者影響力較小，系統風險較小、法遵成本較高，可免除透明度報告義務，但草案裡並沒有說明規模多小能免除透明度報告義務，根據NCC補充說明，主要參考經濟部「中小企業認定標準」的小規模企業，即經常僱用員工數未滿五人的事業，以此為標準，不少業者都需遵守透明度報告這項義務。</p> <p>資料調取、資訊限制、緊急資訊限制三項義務與政府權力有關，要求中介業者需配合行政機關，調取特定用戶儲存的資訊，或是依照法院核發資訊限制令、或依行政處分，對平臺被認定非法或不實的訊息內容予以移除、限制接取，或是加註警示語。最後一項登載義務則要求中介業者將法院判決、政府處分、資訊限制告知登載於共同資料庫。</p> <p>至於資訊儲存業者的法定義務，除了8項中介業者基本義務外，還需遵守2項義務：通知及回應、資訊限制告知。前者指的是業者應提供易於使用的電子通知機制，讓任何人可針對特定涉及違法的內容向業者提出通知，後者則是當業者移除或限制接取特定內容後，應告知該使用者。資訊儲存業者違反兩項義務，可處罰10萬以上、100萬元以下罰鍰，限期改善，可按次處罰。</p> <p><span style="color:#B22222;"><strong>指定線上平臺業者法定義務最多，罰鍰最高1千萬元</strong></span></p> <p>線上平臺業者除了數位中介、資訊儲存業者的義務，需額外盡到7項義務，包含內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露，還有加重透明度報告，需增加營業規模類型、申訴處理、暫停服務等數據，還有線上廣告揭露，要求線上平臺業者標示廣告、廣告主、決定廣告投放的參數資訊。違反可罰50萬元以上、500萬元以下罰鍰，同樣可按次處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_54_10.jpg" style="width: 600px; height: 428px;" /></p> <p><strong>中介法草案規定，線上平臺服務業者需遵守加重透明度報告、賣方資訊揭露、認證舉報者等7項義務。（圖片來源：NCC）</strong></p> <p>至於有效使用者達到230萬人以上有效使用者數量的指定線上平臺，因影響力更大，除了線上平臺業者義務，還有4項額外義務：風險管理、風險評估、獨立稽核、推薦系統。</p> <p>其中的風險管理要求指定線上平臺業者需對系統性風險做好管理措施，風險評估則要求每年分析及評估重大的系統性風險，例如違法內容散布、用戶基本權利的負面影響等等。獨立稽核則是依照主管機關要求，委託獨立的機構或團體針對特定事項進行稽核作業，並交主管機關備查。另外，有鑑於大型平臺的推薦系統直接影響使用者所看到的內容訊息，因此也要求業者在其服務使用條款記載推薦系統所使用參數，可供使用者調整或影響使用者主要參數之選項。4項義務違反者最高可罰1,000萬元，且可按次處罰。</p> <p>如果中介業者經處罰後，未改善且情節嚴重者，主管機關NCC或各法規的主管機關的最後手段，可要求連線服務業者、電信事業、公眾網路拒絕提供該中介業者所需電信或通訊傳遞服務。</p> <p>另據NCC說明，因網際網路服務多元且變化快速，不會主動搜索網路上所有服務是否遵守中介法草案的義務，但當業者未配合法院資訊限制令或行政機關行政處分，以及違反義務導致民眾權益受損時，NCC會就違反義務部分開罰。</p> <p><span style="color:#B22222;"><strong>提供安全港免責規定</strong></span></p> <p>除了義務之外，草案也提供業者的免責規定，即所謂安全港條款，規定業者符合哪些情況下，能夠免除民事或刑事上的責任。</p> <p>以連線服務業者為例，由使用者傳送資訊，業者沒有篩選特定的接收者，且依賴自動化技術處理資訊、沒有修改或調整資訊，連線業者可免除民事或刑事責任。</p> <p>資訊儲存服務業者如果不知道平臺的違法內容，也無法察覺該內容明顯違法，或是在收到舉報或通知後，立即移除或限制接取涉及違法的資訊，也不需負民事或刑事責任。</p> <p>為了鼓勵業者自願性對平臺的內容進行調查、辨識、移除等自律行為，中介法在安全港條款中設計，即使業者自律行為下仍有疏漏的違法內容，也不會喪失安全港的免責效果。</p> </div></div></div>
2022/8/11 08:06作者蘇文彬https://www.ithome.com.tw/news/152422
【專家看中介法：元智大學資管系教授周韻采】中介法賦權政府處理違法內容，應限縮裁量幅度避免濫權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>此次數位中介服務法草案，未來通過立院三讀，將授予政府公權力，針對平臺上的非法或不當內容，向法院聲請資訊限制令，並在限制令尚未取得前，先以行政處分要求業者對該訊息加註警語，待法院同意核發限制令，再要求平臺配合拿下非法內容或限制接取。</p> <p>元智大學資訊管理系教授周韻采認為，中介法對資訊限制令的授權範圍和行使模式太過廣泛，以加註警語為例，如果警語充滿警告的意味，例如警告傳播或散布該內容可能觸犯法律坐牢，則可能產生寒蟬效應，因此應該明確說明加註警語的內容形式。</p> <p><strong><span style="color:#B22222;">增加政府權力的同時，也要避免政府濫權</span></strong></p> <p>「中介法表面上符合行政程序，實際上容許很大的行政裁量權」，周韻采說。</p> <p>以資訊限制令為例，程序上需向法院聲請，經過法院審查後，決定發出或是駁回限制令，周韻采認為，最後政府機關可能只是按照程序聲請限制令，真正目的是以行政處分，立即要求平臺業者配合加註警語，如警告意味濃厚，迫使使用者不敢推播，就有濫用公權力，打壓言論自由的疑慮。另外，加註警語時間最長為30天，警語告示時間可能太長，例如對選舉期間的不實謠言訊息標註警語長達1個月，選舉可能已結束。</p> <p>如果最後法院經過一番嚴密審查後，認為政府機關聲請限制令的說明理由不夠充分，而裁定駁回限制令聲請，那麼對該則訊息內容事先加註警語的做法，就會損害用戶言論自由，周韻采建議中介法草案可納入國家賠償概念，降低主管機關恣意認定、濫用權力的行為。</p> <p>此外，當主管機關認為某個內容違法，若不立即移除或是限制接取，恐對公共利益造成重大損害，限制違法內容有急迫性的需要，主管機關可向法院聲請緊急資訊限制令，相較於一般資訊限制令需經過正常審查程序，法院需在48小時內核發緊急資訊限制令。</p> <p>由於縮短法院正常審理程序，加上對平臺內容產生更立即的影響性，如果政府恣意聲請緊急資訊限制令，淪為鉗制言論的工具。周韻采建議，可對其定出非常嚴苛的條件，例如國家遭受恐怖分子攻擊、地震或天然災害等重大事件才能向法院聲請，且超過30天自動撤銷，否則容易導致政府濫權。</p> <p>另外，有鑑於過去機關申請針對特定對象的監聽令，卻發生擴大監聽其他對象的濫權情形，政府依中介法，依法院裁判或行政處分要求業者提供特定用戶的資料也應避免類似的問題。她建議提高政府資料調取門檻，符合某些條件如影響重大公共利益，或是基於犯罪偵查需要，並且在法律明確定義資料索取範圍，以避免政府過度索取資料，侵害民眾言論自由及隱私。</p> <p><span style="color:#B22222;"><strong>對使用者權益保障不足</strong></span></p> <p>儘管NCC立法主要目的是，保護平臺使用者的權益，但周韻采認為：「臺灣數位中介服務法對使用者的保護，還不夠」。</p> <p>在數位時代，使用各種網路服務都會留下足跡，業者蒐集、串連這些數位足跡，根據演算法，向個人推送精準廣告，可能侵犯使用者隱私，例如民眾可能剛在Airbnb搜尋某城市的旅宿資訊，不久便在臉書看到相關廣告資訊。她建議，為保障隱私，可採納歐盟DSA中對廣告行為的相關規範，如暗黑模式（dark pattern）、開放消費者對精準廣告推送的選擇性。</p> <p>目前國內中介法只要求業者透明度報告、使用者條款opt-in（選擇同意）的通知，她認為，這些還不夠，應該如歐盟一樣要求大型平臺業者提供消費者選擇調整演算法推播的選項，尤其是opt-out（選擇退出）運用個人特徵的選項，歐盟甚至明確規定，業者不得以個人特徵對13歲以下的青少年推播廣告，但在臺灣則少有這方面的討論。</p> <p>另外，大型網路平臺上經常看到具爭議或不實的廣告，在未經當事人許可下，擅自以知名人物為廣告內容背書，且廣告內容涉及有爭議性的投資理財，企圖利用名人的影響力來進行宣傳。周韻采認為，中介法內沒有特別區分出廣告，「應將廣告視為平臺內容的一部分，根據安全港的概念，當平臺業者發現內容不實的廣告，也需下架，才有免責的可能。」</p> <p><span style="color:#B22222;"><strong>專責機構可由公會代替</strong></span></p> <p>至於政府將以25億元成立法人性質的專責機構，作為政府各機關與中介平臺業者間的溝通單位。</p> <p>周韻采認為，中介法既已將違法內容認定交由15個主管機關負責，專責機構只剩下一項法定義務，即傳達主管機關裁定的通知，功能較為薄弱，可改為建立公開資料庫，讓平臺業者查詢即可。她觀察過去政府機關運作，鮮少有法人機構面對多個部會，各部會似乎更願意交由自己所信任的法人機構處理。「以大筆預算成立專責機構，不免讓外界對專責機構的合理性有疑慮。」</p> <p>專責機構的部分功能和產業的公會角色相近，例如銀行公會、律師、醫師公會等，這些公會扮演產業和政府溝通的角色，並非由政府成立，因此她建議專責機構可由成立公會取代，由法律規定，所有平臺業者必需加入公會，以法律明定公會的權限，公會也能發揮產業自律，邀多方利害關係人加入形成自律規範。</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152424
【專家看中介法：資策會科法所經理鄭嘉逸】中介法參考歐盟定人口10%納管標準，本地業者恐負擔跨國大企業的法遵成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院在2017年曾提出數位通訊傳播服務法草案，但最後未通過立院三讀，草案最終廢止，去年底NCC捲土重來，參考歐盟DSA提出新版數位通訊傳播服務法架構，後來改名為數位中介服務法草案，6月底公告草案內容，長期觀察歐盟立法的資策會科技法律研究所經理鄭嘉逸指出，過去的數位通訊傳播服務法為現在中介法草案的前半段，安全港條款部分，此次中介法草案針對不同類型業者提出法定義務，例如對數位中介者提出透明度報告等基本義務，對線上平臺業者也要求建立內部異議機制、信賴舉報者等，也新增對於指定線上平臺的特別義務。</p> <p>鄭嘉逸認為，制定中介法的好處是帶來一套法遵標準，不會因為多個主管部門、不同的流程而提高法遵成本，單一法案提供一套標準流程，增加確定性，降低法遵成本。以Google、臉書、Twitter等大型數位平臺為例，在各國提供服務，通常有較強的法遵意識，如果新法沒有太大問題，提供業者法遵指引，在有法可遵下願意協助政府防堵違法訊息或內容。</p> <p><span style="color:#B22222;"><strong>本地業者法遵負擔可能過重</strong></span></p> <p>不過，鄭嘉逸認為國內制定的中介法草案可能對本地業者帶來不小的衝擊，尤其是中介法對指定線上平臺的230萬認定標準部分，可能使得本地線上平臺業者負擔過重的義務，除了負擔一般數位中介業者的8項義務，還有資訊儲存、線上平臺，以及指定線上平臺業者的特殊義務，包含系統性風險管理、評估、獨立稽核、演算法等等。</p> <p>中介法的指定線上平臺230萬有效用戶認定標準，為採考歐盟DSA對超大型平臺業者的判斷標準，DSA以歐盟地區4.5億總人口的10分之1以上，將在歐盟地區擁有4,500萬以上用戶定義為超大型平臺業者，臺灣也採用人口的10分之1作為認定標準，即230萬以上有效用戶數為，由主管機關公告為指定線上平臺業者。</p> <p>但鄭嘉逸認為，總人口10分之1的標準在歐盟施行沒有問題，但是將跨國聯盟層級的法規認定標準直接植入臺灣，相關義務的制定應該要很小心，臺灣人口的10分之1，即230萬以上有效用戶數，可能使許多本地業者成為指定線上平臺業者，承擔相當於跨國聯盟經濟體4,500萬以上用戶的超大型平臺業者法定義務，合理與否值得思考。</p> <p>如Google、臉書這些超大平臺業者，他們在歐盟地區可能有4,500萬以上用戶，放到全球市場則有上億或更多用戶，對跨國業者要求系統性風險管理、評估、推薦系統演算法等義務是合理的，反觀臺灣擁有230萬以上用戶的本地企業，放到國際可能還是230萬，或是稍大一點到300至400萬用戶，本地業者在臺灣可能不小，但在國際市場來看非常小，以國際級業者負擔的義務，同樣要求本地業者遵守，負擔可能太沈重。</p> <p>「並非本地業者就不需承擔義務，而是應該去評估他們能夠做到多少，以國外聯盟層級的法案認定標準，要求國內的本地業者屢行相同義務，將付出相當多的法遵成本」，鄭嘉逸說。</p> <p><span style="color:#B22222;"><strong>透明度報告義務可能過重</strong></span></p> <p>另一個值得思考的是，中介服務法規定的基本義務之一透明度報告，可能對業者而言負擔過重。</p> <p>鄭嘉逸以歐盟為例，法規排除小型業者，規定50人以下或資產總額在1,000萬歐元以下，免除透明度報告的義務，德國的網路執行法也規定，社交網路平臺或視訊內容分享平臺，在德國境內註冊人數達200萬以上，每半年需發布透明度報告。</p> <p>國內中介法草案第16條對透明度報告的規定，指一定規模以上的業者負擔透明度報告，但在草案裡沒有說明一定規模是多少，未來還要看NCC提出執行細則公布認定標準。但鄭嘉逸推測，依指定線上平臺業者判斷標準為230萬來看，透明度報告的一定規模以上應低於230萬，推測可能是50或100萬，「這個標準可能是不合理的」。如果以流量作為判斷標準，他相信不少國內業者可能都符合標準，將被要求每年公開透明度報告，對業者而言，增加額外的法遵成本。</p> <p><span style="color:#B22222;"><strong>政府可要求平臺配合處理違法內容，擴權不等於濫權</strong></span></p> <p>另外，中介法除了增加平臺業者的透明度、問責之外，也增加政府的權力，包括向法院聲請資訊限制令，以要求業者移除內容或限制接取，在法院核發限制令之前，主管機關可要求業者暫時加註警示。</p> <p>鄭嘉逸認為中介法雖增加政府公權力執行手段，但也設計避免政府濫權的機制，例如中介法規定主管機關需經過法院審查同意，才能取得資訊限制令。</p> <p>另一個避免政府濫權的是，政府機關向法院審查通過資訊限制令之前，如認為內容為謠言或不實訊息，違反法律強制或禁止規定，可以行政處分要求對該訊息內容加註警示，由於要辨別訊息是否為謠言或假消息不易，因此中介法草案規定行政機關加註警示之前，宜徵詢第三方認可的民間事實查核組織的意見。</p> <p>為了降低外界對政府機關濫權的疑慮，恣意限制訊息內容，鄭嘉逸建議在加註警示在執行上，可以搭配一些機制，例如在加註警示附上政府的說明連結，說明該訊息為違法或假新聞的理由。如果政府解釋限制的說明過於恣意，長期以來會失去人民的信任，政府加註警示的公信力降低。</p> <p>鄭嘉逸認為，如果政府太過恣意限制內容，失去民眾的信賴，對政府也不是件好事。如同曾擔任NCC委員的世新大學廣電系兼任副教授何吉森日前在立法院公聽會所說，數位中介服務法本身就是一個信任機制，「政府本身也要行的正、坐的直，否則長期而言，民眾就會知道政府控制言論，警示也不會受到民眾的信任」。</p> <p><span style="color:#B22222;"><strong>立法對外溝通不夠充分</strong></span></p> <p>儘管政府提出數位中介服務法草案的立意良好，但他認為沒有充分考慮到治理本地平臺業者，是否有足夠的能量承擔這些義務，其次，也沒有考慮到從歐盟或先進國家將整套法律制度搬到臺灣，政府本身有沒有執行法律的能量，如果缺乏執行的能量，制定這個法就是不可行的，只是加重業者的負擔，沒有任何效果。當初立法規畫時應該考慮到各個面向，經過評估確認都能執行再推出法案。</p> <p>他認為中介法草案在制度面上沒有問題，但在規畫法案時，缺乏對執行面的充分評估，應該重新審慎評估法案的執行性。</p> <p>臺灣制定中介法的另一個問題是，歐盟制定DSA，過去有相當長的的立法發展過程，從2000年電子商務指令開始，建立相關的安全港條款概念，到2011年檢討電子商務指令的合適性，到2017、2018年開始對網路平臺出現大量不實虛假訊息，與數位平臺業者制定自律公約，到後來制定DSA，這是一個20年的發展過程。但臺灣直接跳過歐盟20年的發展，一步到位趕上趨勢，一步到位制定新法案對產業帶來相當大的衝擊，因為過去臺灣在這方面沒有任何法律規範，產業或使用者都沒有心理準備，一下子提出草案，難免引起大家質疑，過去都沒有相關規範，為什麼現在要做規範。</p> <p>面對外界的質疑，他建議NCC應該更仔細說明，例如其他國家如歐盟或美國是怎麼做的，臺灣引進相同的做法是否合理可行，和外界充分溝通制定這部法案的必要性。以歐盟DSA為例，歐盟在2019年12月公布DSA初稿，到今年才要通過立法，花費2年半的時間投入法案諮詢、與外界溝通協商，整個立法過程相當長，但臺灣立法過程相當短，只短短幾個月時間完成立法，就要和業者談影響衝擊，「政府和產業的溝通、產業對新法的理解根本是不足的」，這也是為什麼草案一推出，引發外界擔心限制言論自由，因為政府對外的溝通不夠充分。文⊙蘇文彬</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152426
【資安日報】2022年8月10日，微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在昨天發布了本月份的每月例行修補（Patch Tuesday），當中總共列出121個漏洞，而這些漏洞裡最受到矚目的是名為DogWalk的漏洞CVE-2022-34713，微軟指出駭客已將其用於攻擊行動，美國亦要求公部門限期修補。</p> <p>中國駭客在烏克蘭戰爭中，多次對於俄羅斯或是烏克蘭發動網路攻擊，而最近有研究人員指出，中國駭客TA428在戰爭爆發之前，就在這些國家進行網路間諜行動，並在受害電腦部署PortDoor、CotSam等多個後門程式與惡意軟體。</p> <p>駭客針對員工寄送網釣簡訊的攻擊行動也值得留意。繼雲端通訊服務業者Twilio公告因上述攻擊而遭到駭客入侵後，雲端服務業者Cloudflare也表示有近80個員工收到這類簡訊，且有人上當填寫相關資料，所幸因防護措施得宜，駭客並未得逞。Cloudflare將相關發現公布，希望其他企業也能提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image3-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/152388#twilio">雲端通訊平臺業者Twilio於8月7日公告遭到網路攻擊</a>，並指出駭客是藉由向員工寄送網釣簡訊挾持帳密，要其他公司提高警覺，事隔兩天，有另一家公司揭露他們遭遇的攻擊情況。</p> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，逾半數不需通過身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> </div></div></div>
2022/8/10 18:13作者周峻佑https://www.ithome.com.tw/news/152414
Nvidia推出Omniverse Avatar Cloud Engine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/virtual-assistants-and-digital-humans-on-pace-to-ace-turing-test-with-new-nvidia-omniverse-avatar-cloud-engine" target="_blank">Nvidia在周二（10/9）發表了Omniverse Avatar Cloud Engine（ACE）</a>，它是一個用來協助開發者打造數位分身、虛擬助理，或稱虛擬人類（Avatar）的雲端服務，所建立的數位人類可望通過圖靈測試（Turing Test），相關的Avatar應用還能部署在任何雲端或引擎上。</p> <p>ACE奠基於Nvidia的統一運算框架（ Unified Compute Framework，UCF）（下圖）上，該框架具備了可用來建置逼真且互動Avatar的豐富軟體工具與API，像是用來打造語音AI應用的Nvidia Riva，執行電腦視覺與智慧影片分析的Nvidia Metropolis，高效能推薦系統Nvidia Merlin，擁有自然語言理解能力的Nvidia NeMo Megatron，以及基於AI的動畫平臺Nvidia Omniverse。</p> <p class="rtecenter"><img alt="" src="https://developer.nvidia.com/sites/default/files/akamai/nvidia-ucf-ecosystem.svg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span></span></p> <p>目前Nvidia已利用ACE開發了<a href="https://developer.nvidia.com/maxine" target="_blank">Project Maxine</a>與<a href="https://resources.nvidia.com/en-us-ai-for-quick-service-restaurants/watch-klosk-tokkio" target="_blank">Project Tokkio</a>兩個專案，前者是用來展示結合影片、聲音、翻譯與擴增實境（Augmented Reality，AR）的通訊能力，後者則是用來展示Avatar與客戶之間的客製化互動能力（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Customer%20Service%20Kiosk%20with%20NVIDIA%20Omniverse%20Avatar%20for%20Project%20Tokkio.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> <p>總之，ACE是以Nvidia強大的繪圖運算能力為基礎，透過雲端提供一個方便打造Avatar的服務，不管這些Avatar將應用於哪個領域。Nvidia則說ACE將會改變遊戲、娛樂、金融、交通及飯店產業的互動能力。</p> <p>TIRIAS Research首席分析師Kevin Krewell表示，各個產業對數位人類或虛擬助理的需求持續呈爆炸性成長，但建立並擴充這些數位人類卻日趨複雜，而ACE則在雲端上彙集了所有可大規模輕鬆打造Avatar的各種微服務。</p> </div></div></div>
2022/8/10 19:29作者陳曉莉https://www.ithome.com.tw/news/152420
加密貨幣交易平臺Coinbase第二季營收下滑61%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s27.q4cdn.com/397450999/files/doc_financials/2022/q2/Q2-2022-Shareholder-Letter.pdf" target="_blank">全美最大加密貨幣交易平臺Coinbase周二（8/9）公布了該公司第二季財報</a>，顯示該季僅締造8億美元的營收，比去年同期下滑61%，交易量與平臺上的資產也只有去年同期的一半，而讓Coinbase當天股價下滑10.55%，以87.68美元作收，且盤後又下挫了5%。</p> <p>Coinbase在今年6月宣布裁撤1,100名員工，約占該公司的18%人力，<a href="https://www.ithome.com.tw/news/151434" target="_blank">並說加密貨幣已進入另一個冬天</a>。</p> <p>而這個冬天直接於Coinbase第二季的財報上呈現了。該季Coinbase平臺上每月平均交易用戶數為900萬人，與去年同期的880萬人及上一季的920萬人差不多，然而，第二季的交易量就從去年同期與上一季的4.6億美元及3.1億美元下滑到2.17億美元，平臺上的資產則從去年同期的1.8億及上一季的2.6億美元下滑到9,600萬，不管是交易量或平臺資產都僅為去年同期的一半。</p> <p>此外，今年第二季Coinbase的營收只有8億美元，遠低於去年同期的20.3億美元與上一季的11.7億美元，使得Coinbase該季虧損了11億美元，高於上一季的4.3億美元虧損，而去年第二季Coinbase則有16億美元的獲利。</p> <p>Coinbase指出，今年的第二季是對所有加密貨幣公司的持久性測試，也是複雜的一季，劇烈的市場波動改變了用戶行為與交易量，也影響了交易收入，該平臺將專注於主要業務並更嚴格地管理成本。</p> <p>此外，Coinbase認為，加密貨幣是周期性的，即使這次的衝擊來得又快又猛，但該平臺堅持打造出色的產品，也積極適應市場狀況，包括裁撤了18%的員工。由於該平臺對風險管理採取謹慎的態度，因此其融資活動並無信用損失，沒有曝露在交易對象破產的狀況下，亦並未阻止用戶提款，也依然看好加密貨幣的未來。</p> </div></div></div>
2022/8/10 18:53作者陳曉莉https://www.ithome.com.tw/news/152417
AppLovin提議與遊戲業者Unity Software合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220809005530/en/AppLovin-Submits-a-Compelling-Non-Binding-Proposal-to-Combine-with-Unity" target="_blank">專門提供行動行銷、廣告與分析平臺的美國上市公司AppLovin周二（8/9）宣布</a>，提議以每股58.85美元的價格與開發3D遊戲引擎Unity的Unity Software合併，溢價18%，並全數以股價交易，消息一出，AppLovin當天股價下滑了10.29%，以36.01美元作收，而Unity Software則微幅上漲了1.19%，收盤價為50.35美元。</p> <p>AppLovin為一行動技術業者，打造了行動廣告、行銷及分析平臺供行動開發者使用，其中，行動遊戲開發者不僅是AppLovin的主要客戶，AppLovin也投資了許多行動遊戲出版商。<a href="https://s27.q4cdn.com/966411597/files/doc_financials/2022/q1/05/1Q22_AppLovin_-Shareholder_Letter_FINAL-2022-05-11.pdf" target="_blank">AppLovin今年第一季的營收</a>為6.25億美元，其中有1.19億美元來自於軟體平臺，另外的5.07億美元來自程式營收，該季虧損1.15億美元。</p> <p>至於Unity則為總部設於丹麥的遊戲公司，但最知名的產品為同名的3D遊戲引擎。<a href="https://investors.unity.com/news/news-details/2022/Unity-Announces-First-Quarter-2022-Financial-Results/default.aspx" target="_blank">Unity Software今年第一季的營收</a>為3.2億美元，虧損2,300萬美元。</p> <p>根據AppLovin的提案，每股Unity將可換得AppLovin的1.152股可投票普通股及0.314股的非投票普通股，若成功合併，那麼現有的Unity股東將可取得55%的新公司股份，但投票權僅占49%。</p> <p>AppLovin執行長Adam Foroughi表示，他相信AppLovin與Unity的合併將能造就一個具備龐大成長潛力的公司，在2024年底前達到30億美元的營收，替兩家公司的股東創造最佳利益。AppLovin也提議讓Unity執行長John Riccitiello擔任新公司的執行長，Foroughi則退居營運長。</p> </div></div></div>
2022/8/10 17:41作者陳曉莉https://www.ithome.com.tw/news/152405
Google雲端開始支援多身分供應商SSO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://cloud.google.com/blog/products/identity-security/google-now-supports-multi-idp-sso-in-google-workspace-and-google-cloud" target="_blank">現在Google雲端提供多身分供應商SSO（Single Sign-On）</a>，使得用戶可以透過多個第三方身分供應商，來簡單存取Google雲端服務，目前這項功能已經全面推出。</p> <p>過去Google使用SAML協定來支援SSO，目前Google雲端客戶可以使用SAML 2.0協定，對其使用者啟用單一的身分供應商，而現在Google發布的多身分供應商SSO新功能，透過支援多個基於SAML的身分供應商，來進一步強化SSO功能。</p> <p>使用者需要將身分和多個第三方供應商關聯的原因很多，通常是因為合併、併購，甚至是由於公司部門或子公司的IT戰略不同，組織擁有多個身分供應商，而Google透過支援多個身分供應商，使得組織中的用戶都能使用Google雲端，而不需要歷經繁瑣和成本高昂的搬遷。另一個常見的原因則是資料主權，企業需要將員工資料儲存在特定司法管轄區，就會需要使用不同的身分供應商。</p> <p>企業能夠使用多身分供應商SSO來支援搬遷策略，即便過渡到新身分供應商，也可在過渡階段，同時使用新系統又保持舊系統處在活動狀態。要使用新的身分聯合功能，Google雲端管理員需要在控制臺中，配置一個或是多個身分供應商配置檔案，目前最多可以支援到100個配置檔案。</p> <p>目前SSO支援熱門的SAML 2.0協定，Google預計在今年稍晚時候，增加對OIDC的支援，官方提到，OIDC在企業SSO中越來越受歡迎，透過支援OIDC，Google雲端客戶可以選擇最符合需求的協定，同時OIDC也支援多身分供應商功能，因此管理者可以使用SAML和OIDC來配置多身分供應商。</p> </div></div></div>
2022/8/10 17:49作者李建興https://www.ithome.com.tw/news/152401