iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

VS Code 1.71改進合併編輯器並加入實驗性Fish Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新版本<a href="https://code.visualstudio.com/updates/v1_71#_markdown-language-server">VS Code 1.71</a>整體來說並沒有重大功能更新，但是微軟進行許多UI和控制的調整，目的是要讓用戶的開發工作更順暢，同時也實驗性整合好用的Fish Shell，Linux和macOS用戶將能夠用到這個設計更現代的命令列殼層。</p> <p>微軟改進開發者解決衝突的操作方法，現在於存在衝突的檔案，VS Code將會自動顯示合併編輯器按鈕，點擊之後，開發者的操作介面，就會從原本的文字編輯器切換到合併編輯器。除此之外，微軟還微調了一些解決衝突時的功能與限制，官方提到，在這個版本他們把焦點放在合併編輯器最重要的UX問題，並且修復了諸多已知問題。</p> <p>過去VS Code僅支援FLAC編解碼器，但現在還加入了FFmpeg共享函式庫，該函式庫可以支援包括Flac、H.264、MP3和Ogg等編碼，這將讓開發者可以在筆記本或是擴充套件，播放嵌入的音訊和影片。</p> <p>VS Code 1.71還整合Fish Shell，這是一個更為現代，支援Linux和macOS的命令列殼層，整體來說對使用者更為友善，介面不只有黑白，Fish Shell還會透過顏色來提示用戶輸入指令錯誤，並且提供命令建議。Windows的開發者也有新玩具，Windows殼層現在提供Git bash，由於這與Fish Shell一樣同樣為實驗性功能，因此需要使用者手動安裝。</p> <p>另外，在VS Code 1.71中Sticky Scroll已經成為正式功能，這種頁面捲動方式常被應用在網站中，在使用者捲動頁面的時候，把Logo或是選單列等內容留置在同一畫面中，來增加頁面捲動的層次感，而VS Code中的Sticky Scroll功能，則是會將當前的範疇（Scope）留在視埠（Viewport）的上方，在開發者瀏覽程式碼的時候，能夠更清楚的分辨函式中的程式碼。雖然這個功能已經脫離實驗性功能，但仍需要開發者手動啟用，並且可以設定Sticky Scroll的行數。</p> <p class="rtecenter"><img alt="" src="https://code.visualstudio.com/assets/updates/1_71/sticky-scroll-ctrlclick.gif" style="width: 580px; height: 321px;" /></p> <p>微軟改進VS Code的Code Action控制UI，現在Code Action將會提供客製化控制，讓用戶可以更快速地找到需要的Code Action選項，同時VS Code也能夠顯示更多額外資訊，像是當用戶將滑鼠懸停在停用的Code Action選項上時，便會看到無法使用的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/code-action-widget.png" style="width: 580px; height: 425px;" /></p> <p>VS Code中的Markdown支援也獲得升級，微軟已經重新實作功能更加齊全的Markdown語言伺服器，能夠提供包括尋找所有參照、重新命名編碼符號和偵測損壞連結等程式語言功能。</p> </div></div></div>
2022/9/8 09:30作者李建興https://www.ithome.com.tw/news/152927
iOS 16、watchOS 9將在9/12釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於臺北時間9月8日凌晨舉行Far Out產品發表大會。除了受人矚目的iPhone 14、Apple Watch 8、AirPod等裝置外，蘋果也宣布了<a href="https://www.apple.com/ios/ios-16/" target="_blank">iOS 16</a>、watch OS 9正式版將在幾天後的9月12日（臺北時間9月13日）釋出。</p> <p>另二個作業系統iPadOS 16及macOS Ventura則可望於10月釋出。</p> <p>蘋果早在今年6月的WWDC開發者大會上已公布<a href="https://www.ithome.com.tw/news/151314" target="_blank">iOS 16</a>及watch OS 9的功能，並花了一整個夏天透過發布Beta版進行測試，蘋果也在近日發布最後一個正式版前的Beta版iOS 15.6.1。</p> <p>最新版iOS功能包括可個人化設定的螢幕鎖定、透過iMessage使用螢幕共享聊天功能SharePlay、可回收和編輯已發出的訊息、影片和圖片中的文字辨識、在美國推出的先買後付（BNPL）Apple Pay Later以及改善訊息通知及「專注」模式（下圖）的設定等。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/iphone/standard/Apple-WWDC22-iOS16-Focus-switcher-220606_inline.jpg.large.jpg" style="width: 350px;" /></p> <p>一項新功能為iCloud共享相簿（iCloud Shared Photo Library）（下圖），蘋果說會今年稍晚推出。這項功能可讓用戶最多和其他5人共享iCloud相簿，所有人也都能共同編輯相片。此外還增加以Camera程式中的按鍵、藍牙鄰近（Bluetooth proximity）、或是按iOS的個人化建議分享給親友。用戶也可以自行設定依據日期或相片中人物分享過往相片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/iphone/standard/Apple-WWDC22-iOS16-iCloud-Shared-Photo-Library-selected-photos-220606_inline.jpg.large.jpg" style="width: 350px;" /></p> <p>此外，新iOS終於讓用戶可以檢視Wi-Fi熱點密碼。過去iOS的Wi-Fi網路共享僅限於蘋果裝置，但想將Nintendo Switch或智慧電視連網得另外找出Wireless AP密碼。最新功能下，用戶可以在「設定」中檢視AP密碼，也可以貼到文字訊息或郵件中分享給友人。</p> <p>WatchOS 9除了提供更多錶面選擇等個人化介面上的提升外，和iOS 16一樣，watchOS 9提供強化的運動監測功能、可追蹤不同睡眠階段的睡眠監測，新版Medication App可提供用藥管理，心律不整功能則加入心房顫動（AFib）歷史紀錄。另外針對有身體障礙的用戶設定了Apple Watch Mirroring，可利用配對的iPhone，以語音或頭部動作、及外部裝置來遠端操作Apple Watch。</p> <p>iOS 16支援iPhone 8以後版的手機，包括最新的iPhone 14/14 Plus/14 Pro/14 Pro Max，而watchOS 9則執行於Apple Watch Series 4以後的蘋果手錶、Apple Watch SE 1/2、Apple Watch Ultra。</p> </div></div></div>
2022/9/8 10:10作者林妍溱https://www.ithome.com.tw/news/152942
國泰世華銀行與國泰人壽聯手推新保險服務，銀行定存用戶可以利息申請意外險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼銀行與證券合作之後，國泰金控整合集團資源再推出跨界金融服務，國泰世華銀行、國泰人壽聯手推出「利即保」，讓銀行定存用戶透過網路銀行App，以定存利息申請意外險，該服務已獲金管會銀行局、保險局通過試辦許可。</p> <p>這項新的金融服務鎖定數位原生族群，因涉及銀行、保險，由國泰金控、國泰世華銀行、國泰人壽三方合作，從產品設計、數據分享、風控、IT、真人客服、網銀認證約定數位授權扣款，到與主管機關的溝通，促成新服務通過試辦，國泰也將銀行定存利息轉為保障的機制也申請專利保護。</p> <p>銀行定存用戶可以設定定存利息的一定比例，例如一半或全部利息，轉換為意外險的保障，例如每年定存1.5萬元起，可投保10萬元一般意外身故保障，如果定存為7萬元，則有一般意外身故保障20萬元，以及實支實付醫療傷害2萬元保障。定存戶可選擇定存金額，以及3種日常生活的交通場景選擇，當發生意外事故時，享有150%保障。</p> <p>國泰世華網銀的用戶約有600萬，每月流量約2,800萬人次，國泰金控將網銀App視為數位服務的大門，網銀用戶透過App取得集團下各個金融服務。這次利即保也以國泰世華網銀App作為線上投保管道，鎖定網銀不到1成的定存客戶，國泰強調該服務可讓客戶5分鐘完成保險申請，因新服務同時涉及銀行定存、保險，也設有專門的真人客服服務，背後也有國壽線下的保險業務員提供支持。</p> <p>國泰人壽數位轉型辦公室協理廖玉如表示，利即保是以數據驅動服務，當客戶授權後，可取得客戶在銀行的資產負債及消費的財務資訊，作為保險的風控參考，一方面提升對客戶核保體驗，另方面也強化內部的風控能力。未來不只如此，還會推出保險結合刷卡消費的情境，以及AI智能理財服務。</p> <p>至於銀行與保險結合的新商業模式，主管機關通過6個月的試辦期，保險局進一步提出試辦成功的目標為達到500件，且必需讓客戶清楚知道定存、保險兩個業務的權利義務關係，知道交易的主體是誰等等。</p> <p>國泰人壽總經理劉上旗表示，過去人壽在網銀核保不成功，有很大的比例是因為無法取得投保人的財務資料，新的服務為銀行與保險業合作，只要客戶的同意之下，這次核保就能通過雙方數據串接，取得客戶的金流、財務資料，判別客戶的經濟狀況，提高核保的成功率。</p> <p>目前國內已有三家純網銀，日前將來銀行獲金管會通過產險、壽險代理業務許可，未來也會銷售保險產品，可能帶動其他純網銀跟進，加上國內今年將開放純網保申請，讓國內保險市場競爭逐漸升溫。</p> <p>此次為了推出利即保，國泰世華銀行、國泰人壽跨公司、跨部門動員合作，從商品設計、服務面、客戶體驗、申辦流程等，未來面對來勢洶洶的純網保競爭，國泰世華銀行總經理李偉正認為，國泰金控將網銀App視為數位大門，網銀App的600萬用戶，每月近3千萬流量，讓用戶透過網銀App就能取得國泰的各種產品服務，就純網保而言，目前國泰現在做的就是純網保將來想做的事，甚至是純網保想做卻還沒做到的事，例如國泰世華網銀App的龐大用戶、流量基礎。</p> <p> </p> </div></div></div>
2022/9/7 19:36作者蘇文彬https://www.ithome.com.tw/news/152931
【ZTA 101】NIST SP 800-207第五章：零信任架構的相關威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zta101-ch5.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於零信任架構（Zero Trust Architecture，ZTA）的介紹，NIST從基礎認知，談到元件組成與部署方式，特別的是，NIST還針對零信任架構的相關風險進行探討。</p> <h2><strong>第五章零信任架構相關威脅</strong></h2> <p>在SP 800-207的第五章中，NIST希望用戶對於網路安全及零信任的觀念，要有正確的認知，因此，他們一開始就強調，任何企業都不可能完全防範網路安全風險，並不會有百分百的安全。</p> <p>在現有的網路安全政策與指南之下，加上身分識別與存取管控、持續監控、普遍網路衛生的相輔相成，實施ZTA的主要目標就是，降低總體風險，防範共同威脅。</p> <p>然而，在導入ZTA時，也將面臨一些特定的風險。NIST共歸納出七大威脅面，並說明其風險，這將成為企業與業者在設計或導入ZTA時，可以考量或注意的面向。</p> <h2><strong>第五章第一節　ZTA決策過程遭破壞</strong></h2> <p>零信任架構的第一個風險，就是存在於策略引擎（PE）與策略管理器（PA），因為它們是整個系統的關鍵組成，企業資源的請求都需經由此機制來存取放行。這意味著，這些元件必須要被正確的設置與維護。</p> <p>據理來說，若是可存取PE政策的任一企業的系統管理者，執行了未經授權的變更或是犯了錯，都可能擾亂企業的運行；同樣地，遭入侵的PA可能允許存取未經核准的資源，例如個人裝置遭入侵。</p> <p>因此，要防範PE與PA的相關風險，就必須具有適當的設定與監控，對於任何變更設定，都要做到紀錄與稽核。</p> <h2><strong>第五章第二節　遭遇DoS阻斷服務或網路中斷</strong></h2> <p>如上所述，PE與PA是整個系統的關鍵，而零信任架構的第二個風險，就是若是攻擊者透過DoS攻擊，或是路由劫持等方式，造成與PEP或PE/PA連線的中斷或拒絕存取，也可能對企業系統運行造成影響。</p> <p>基本上，企業可以遵照SP800-160v2網路彈性指南，將政策落實放在安全可靠的雲端環境或是設於多個位置，來緩解這樣的威脅。</p> <p>不過，這並無法完全消除風險，畢竟，過去Mirai等僵屍網路曾發起大規模的服務阻斷攻擊，而攻擊者也可能只攔截或中斷部分流量，使部分用戶受影響，此外，還有像是雲端服務提供者也可能發生意外，使設於雲端的PE或PA離線。</p> <h2><strong>第五章第三節　帳密被盜／內部威脅</strong></h2> <p>由於零信任原則是不再有隱性的信任，攻擊者只能靠入侵既有的帳戶或裝置，才能在企業中獲得立足點，因此，對於企業組織而言，要能正確開發與實施ZTA，應防止遭入侵的帳戶或資產以超出其正常權限或存取模式的行動。這意味著，具有資源存取權限的有價值帳戶，將成為攻擊者的主要目標。</p> <p>攻擊者將如何獲取這類具有價值的帳戶？一般而言，攻擊者慣用網路釣魚、社交工程，以及兩者合併使用的手法。對於成為目標的具有價值帳號，NIST提醒，這需要從攻擊動機來看，企業管理者的帳號通常被認為很有價值，但對於財務有興趣的攻擊者，可能還會考慮具有財務與支付資源存取權限的帳號。</p> <p>在因應上，NIST表示，實施多因子身份驗證（MFA），將可降低資料遭被入侵帳戶存取的風險。不過，一旦攻擊者或是惡意的內部人員獲得了有效憑證，仍然能夠存取已授予權限的資源。因此，這樣的風險仍需要注意。</p> <p>NIST強調，零信任架構可降低風險，以及防止被入侵帳戶或資產在整個網路中的橫向移動。</p> <p>防止橫向移動攻擊是關鍵。因此，被入侵帳戶若原本沒有的存取權限，其實依然會被繼續拒絕存取。而且，在第三章說明ZTA演算法時，曾提到基於裝置情境（Contextual）的信任演算法，這將比傳統的邊界防護策略，更容易偵測出超過正常存取模式的攻擊行為，並拒絕遭入侵帳戶或內部威脅去存取敏感資源。</p> <h2><strong>第五章第四節　網路可視性</strong></h2> <p>在第三章說明ZTA網路環境元件時，NIST提到對於網路上的所有流量，都需經過檢查、記錄與分析，目的是要識別與應對潛在的攻擊活動。</p> <p>然而，企業網路中的多數流量，對於第三層（Layer 3）的網路分析工具而言，可能並不透明，加上這些流量可能並非來自所有企業資產，或是應用程式與服務本身可抵抗這類被動監控。因此，企業無法執行深度封包檢測（DPI）或檢查加密流量，必須使用其他方法來評估，網路上是否可能存在攻擊者。</p> <p>但NIST指出，這並不代表企業無法分析這些加密流量，企業還是可以蒐集加密流量元資料（metadata），並使用這樣的資料來檢測網路上的攻擊者活動，或是可能存在的惡意軟體通訊行為。此外，機器學習技術將有助於分析這類無法被解密的流量。</p> <p>在此，NIST提及了2017年一篇由Blake Anderson與David McGrew發表的研究報告，名為「用於加密惡意軟體流量分類的機器學習－考慮雜訊標籤與非平穩性」，並說明使用此類型的機器學習，將幫助企業將流量分類，包括有效的流量，以及可能存在惡意有待補救的流量。</p> <h2><strong>第五章第五節　系統與網路資訊的儲存</strong></h2> <p>當企業針對網路流量進行監控與分析時，這裡同樣存在一個相關的威脅，那是分析元件本身的安全性。</p> <p>如果有監控機制進行的掃描結果、網路流量、備用作裝置情境（Contextual）演算的元資料、鑑識結果，以及後續調查等資料，這些資料也將成為攻擊者的目標。這就如同網路拓樸、配置文件，以及各種網路架構文件一般，這些資訊也都應受到保護。一旦攻擊者能夠存取這些資訊，意謂著對方能夠深入瞭解企業架構並識別資產，幫助他們未來進一步的偵測與攻擊。</p> <p>在零信任企業環境中，另一個攻擊者資訊偵察的來源，是編碼存取政策的管理工具，這如同網路流量的儲存，這個元件包含資源存取政策，將提供給攻擊者資訊，瞭解那些帳號最有價值被入侵，例如，知曉可存取特定資源的帳戶。</p> <p>因此，對於所有具有價值的企業資料，都應採取適當保護措施，防止未經授權的存取與嘗試存取的行為。由於這些資源的安全更是至關重要，因此需採取最嚴格的存取政策，只能透過指定或專用的管理者帳戶去存取。</p> <h2><strong>第五章第六節　依賴專有資料格式或解決方案</strong></h2> <p>從ZTA核心元件來看，零信任架構會依據多方資料做出存取決策，這當中包括請求的主體、使用的資產，以及企業與外部威脅情資等資訊。</p> <p>普遍而言，這些資訊的交換並沒有一個通用的開放標準，這樣的互動性問題，將導致企業可能被限制在同一個供應商。如此一來，當該供應商出現安全問題或服務中斷時，可能無法搬移到新的供應商，除非是要付出高昂成本更換多項資產，或是需要經歷漫長的轉換計畫。</p> <p>基本上，這樣的風險並非ZTA特有的問題，但因為ZTA非常依賴動態存取政策控管，因此，這樣的問題將會影響到企業核心業務功能。</p> <p>因此，NIST指出了供應鏈安全的議題。為了要降低相關風險，企業需要對服務提供商進行整體評估，不只是考量效能、穩定性，並要考量供應商資安控管，以及企業轉換成本與供應鏈風險管理等因素。</p> <h2><strong>第五章第七節　ZTA管理者採非人實體的風險</strong></h2> <p>最後一個威脅面，NIST談到的是自動化引發的風險，也就是具有數位身分的實體、非人類實體（Non-person Entities，NPE），也將會與ZTA核心元件的互動，因此而帶來風險。</p> <p>隨著AI與其他基於軟體的代理程式的部署，用以管理企業網路上的安全問題。這些元件，將與ZTA的核心元件（如PE、PA）互動，有時也將代替人工管理者去執行，在零信任架構中，這些元件該如何做到本身的驗證，是一個仍未解決的問題。基本上，假設大多數自動化技術系統在使用資源組件的API時，將以某種方式進行身分驗證。</p> <p>不過，當政策設定與政策執行使用自動化技術時，這時的最大風險，就是「誤報」，當中包括兩種情形，分別是無害行為被認定為攻擊，或是攻擊行為被判為正常活動。</p> <p>因此，相關風險就是攻擊者可能透過誘使或強迫方式，讓NPE執行攻擊者無權執行的動作。NIST解釋，與人類用戶相比較，軟體代理程式在執行管理或安全相關任務上，可能採用較低的身分驗證標準，例如API金鑰與多因素驗證，一旦攻擊者可與代理程式互動，理論上可以欺騙代理程式，允許攻擊者獲得更大的存取權限，或是執行某項任務。另外，還有一種風險要注意，攻擊者可獲得軟體代理程式的憑證，並在執行任務時冒充代理程式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/zta">ZTA</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%9E%B6%E6%A7%8B">零信任架構</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8">網路安全</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2022/9/7 18:38作者羅正漢https://www.ithome.com.tw/tech/152930
【資安日報】2022年9月7日，殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用D-Link路由器的用戶要注意了！有資安業者揭露殭屍網路MooBot的攻擊行動，而駭客鎖定的目標，就是尚未修補4個重大漏洞的D-Link路由器。值得留意的是這些漏洞D-Link已經修補，但用戶很可能沒有更新韌體而曝險。</p> <p>美國國家安全局傳出針對中國的大學發動網路攻擊，企圖竊取機密的情況，而遭到中國政府指控，並指出攻擊次數及武器數量。這起事故的攻擊目標，是中國政府專門發展航空、航太、航海技術的西北工業大學。</p> <p>研究人員公布駭客組織Worok的攻擊行動，並根據這些駭客的犯案手法，認為該組織與中國駭客組織TA428有關。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/moobot-d-link-devices/"><span style="color: rgb(0, 0, 0);">殭屍網路MooBot鎖定D-Link路由器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/moobot-image-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/moobot-image-19.png" style="width: 300px; float: right;" /></a>Mirai變種殭屍網路MooBot在去年出現，<a href="https://www.ithome.com.tw/news/148252#moobot">鎖定海康威視（Hikvision）網路視訊監控系統的漏洞發動攻擊</a>，但現在駭客已經轉移了目標。資安業者Palo Alto Networks揭露近期的MooBot攻擊行動，駭客針對D-Link路由器下手，並利用CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等漏洞來入侵設備。這些漏洞多半可被用於RCE攻擊，CVSS風險評分達到了9.8分至10分。</p> <p>研究人員指出，雖然D-Link已經提供新版韌體予以修補（但該公司的網站上找不到相關公告資訊），但仍有尚用戶未修補而讓駭客有機可趁。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/china-accuses-us-tens-thousands-cyberattacks"><span style="color: rgb(0, 0, 0);">中國指控美國國家安全局對當地大學發動大規模網路攻擊</span></a></strong></h3> <p>中國政府在背後資助的駭客組織對全球發動攻擊不時傳出，但如今該國組織傳出遭到美國政府入侵的情況。<a href="http://english.scio.gov.cn/pressroom/2022-09/06/content_78406151.htm">中國外交部於9月5日指出</a>，根據中國國家計算機病毒應急響應中心（CVERC）與當地IT業者奇虎360的調查，美國國家安全局（NSA）旗下的「特定入侵行動辦公室（TAO）」，透過釣魚郵件對中國西北工業大學的師生發動攻擊，並指出有13名美方人員涉及此次事故。TAO使用41種武器進行上千次攻擊，意圖竊取該校的核心技術與相關資料。對此，美國駐北京大使館以及NSA皆尚未公開提出說明。</p> <h3><strong style="font-size: 22px;"><a href="https://english.kyodonews.net/news/2022/09/b0209467f263-japan-govt-website-hit-by-cyberattack-pro-russia-group-claims-role.html"><span style="color: rgb(0, 0, 0);">日本政府網站傳出遭俄羅斯駭客組織Killnet攻擊而癱瘓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg" style="width: 200px; float: right;" /></a>俄羅斯駭客組織Killnet近半年來持續對聲援烏克蘭的歐洲國家發動DDoS攻擊，現在他們也將目標轉向了亞洲國家。根據共同社、NHK、日經新聞等日本媒體報導，日本政府的電子服務入口網站e-Gov約在9月6日下午4時30分，遭到DDoS攻擊而導致無法存取，直到深夜才恢復運作，當地的稅務入口網站eLTAX也同樣遭到癱瘓。Killnet隨後在Telegram頻道聲稱是他們所為，原因很可能是日本公開表態支持烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/06/worok-big-picture/"><span style="color: rgb(0, 0, 0);">駭客組織Worok鎖定亞洲、非洲知名企業發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為Worok的駭客組織，他們攻擊範圍橫跨亞洲與非洲，但約自今年2月開始，該組織將中亞的能源公司，以及東南亞的公部門實體視為主要目標。</p> <p>這些駭客利用ProxyShell漏洞攻擊受害企業的Exchange伺服器，並植入Web Shell來持續在網路環境進行後續行動，接著，駭客利用Mimikatz、EarthWorm、ReGeorg、NBTscan進行偵察，然後部署PowerShell後門程式PowHeartBeat，以及惡意程式載入器PNGLoad。根據Worok發動攻擊的時間，以及所使用的工具，研究人員認為這些駭客很可能與中國的TA428有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://achieve.lausd.net/site/default.aspx?PageType=3&DomainID=4&ModuleInstanceID=4466&ViewID=6446EE88-D30C-497E-9316-3F8874B3E108&RenderLoc=0&FlexDataID=122768&PageID=1"><span style="color: rgb(0, 0, 0);">美國洛杉磯學區LAUSD遭勒索軟體攻擊</span></a></strong></h3> <p>9月5日，美國第二大學區洛杉磯聯合學區（LAUSD）表示，他們在上週末偵測到IT系統出現不尋常的活動，經確認後是一場勒索軟體攻擊。LAUSD表示，他們旗下的學校師生，有可能會無法使用電子郵件及部分應用系統，但該學區的學校緊急安全系統，或是員工醫療保健系統則不受影響。至於攻擊者的身分，以及是否有資料遭竊？LAUSD沒有說明。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/gaming-related-cyberthreats-2021-2022/107346/"><span style="color: rgb(0, 0, 0);">駭客偏好以電玩遊戲Minecraft、Roblox埋藏惡意軟體</span></a></strong></h3> <p>資安業者卡巴斯基指出，近年來駭客常假借熱門遊戲的名義，以提供遊戲主程式、破解軟體、作弊工具來發動攻擊，進而散布惡意程式，進而在受害電腦上竊密，或是進行挖礦。其中駭客主要針對的遊戲族群，大多是Minecraft與Roblox的玩家，且無論是透過電腦或手機進行遊戲用戶都有可能成為目標，一旦下載來路不明的軟體，玩家的電腦或手機就會被植入惡意軟體。</p> <p>根據研究人員的統計，從2021年7月1月到今年6月底，總計有超過9萬個以遊戲為名稱的檔案含有惡意軟體或垃圾程式，且全球至少有超過38萬名玩家曾遭遇相關威脅。他們呼籲遊戲玩家要提高警覺。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://fortbridge.co.uk/research/a-csrf-vulnerability-in-the-popular-csurf-package/"><span style="color: rgb(0, 0, 0);">NPM套件csurf存在跨站偽造請求漏洞</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152907">【2022年9月6日】威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客論壇</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月5日】 8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> </div></div></div>
2022/9/7 15:57作者周峻佑https://www.ithome.com.tw/news/152923
駭客謊稱竊取TikTok使用者資料，官方出面否認被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TikTok才遭微軟揭露，Andoid平臺應用程式存在嚴重漏洞，便有人趁機作亂，一位駭客在知名的駭客論壇上，貼文表示已經竊取TikTok大量的使用者資料，這個訊息被大量的傳播，甚至有獨立資安研究團隊，在推特上以非常肯定的口吻，發文確認TikTok資料洩漏的訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201324%20-%20(6)%20Twitter%20%E4%B8%8A%E7%9A%84%20BeeHive%20CyberSecurity%EF%BC%9A_Update_%20%23TikTok%20%23Breach%20is%20%23Co_%20-%20twitter_com.jpg" style="width: 500px; height: 375px;" /></p> <p>而<a href="https://twitter.com/troyhunt/status/1566580237663551488?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1566583578850254851%7Ctwgr%5Ede40bb608927701a8c1e478395c34a00c50d9fb0%7Ctwcon%5Es2_&ref_url=https%3A%2F%2Fsiliconangle.com%2F2022%2F09%2F05%2Ftiktok-denies-breach-hacker-claims-user-data-source-code%2F">Have I Been Pwned創建者Troy Hunt</a>則在消息釋出之初，在推特上公開他檢視資料真實性的過遲，並懷疑駭客自導自演，而官方最後也證實後臺並沒有被駭客入侵，論壇也刪除該篇貼文，並且確認為假消息。</p> <p>該名駭客在論壇發文，提到已經擷取了10幾億筆的資料庫紀錄，還下載了TikTok完整的使用者資訊表格，有20多億筆使用者紀錄，同時他也發現WeChat使用相同的資料庫，駭客提到，他目前沒有決定這些資料是要出售或是公開，並歡迎新聞媒體聯絡他。駭客還說他找到一個稱為Cabinet cloud的資料庫，總共有34GB，雖然不了解這個資料庫的用途，但他覺得不會需要這裡面的資料，因此決定對外釋出。</p> <p>Troy Hunt試圖從駭客釋出的資料中驗證資料的正確性，他隨機挑選資料表格中的影片ID，發現的確可以在TikTok上找到相對應的影片，而且影片描述也都相符合，但他懷疑，這些資料都是公開資料，駭客可以透過存取公開的訊息，重建這個他宣稱從TikTok竊取來的使用者資料。</p> <p>由於Troy Hunt發現資料表裡面的資料原本就是公開資訊，因此轉而嘗試尋找假資料的蹤跡，結果的確發現了數個資料表充滿重複且不正確的填充資料。雖然當時情況還沒有明朗，但由於使用者的資料都可從公開資訊取得，其他的資料存在錯誤，他認為，這些訊息不足以證明來源如同駭客所說。</p> <p><a href="https://www.forbes.com/sites/daveywinder/2022/09/06/has-tiktok-us-been-hacked-and-2-billion-database-records-stolen/?sh=43667631105d">外媒Forbes</a>聯絡上TikTok發言人，TikTok官方表示，安全團隊已經進行調查，但是沒有發現任何資料洩露的證據，而駭客論壇也隨後封鎖了該駭客的帳號，並且原因顯示為謊稱資料洩露，整齣鬧劇宣告落幕。</p> </div></div></div>
2022/9/7 16:24作者李建興https://www.ithome.com.tw/news/152922
Go發布漏洞資料庫與工具提供漏洞管理支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/vuln">Go官方推出漏洞資料庫以及工具</a>支援Go應用程式的漏洞管理，使得開發人員可以更容易了解，可能影響應用程式的已知漏洞。Go提供工具讓用戶分析程式碼庫，發現已知的漏洞，該工具背後由漏洞資料庫提供支援，官方提到，該工具僅會顯示呈現真正被呼叫函式中存在的漏洞，不會提供無用充滿雜訊的訊息。</p> <p>Go在漏洞資料庫公開Go模組可匯入套件中，所包含的已知漏洞訊息，這些漏洞資料來自CVE、GHSA現有漏洞資料庫，另外，漏洞資料庫也會包含來自Go套件維護者回報的漏洞，Go安全團隊會負責審查這些資訊，並將其添加到資料庫中。</p> <p>官方表示，他們鼓勵套件維護者在自己的專案中，提供有關公開漏洞的資訊，並根據已知的漏洞資訊更新自己的Go套件。官方會持續降低回報過程的摩擦，用戶也可以直接使用瀏覽器查看漏洞資料庫的內容。</p> <p>開發者可以使用Govulncheck指令來分析程式碼庫，可靠地獲得可能對專案造成影響的已知漏洞，Govulncheck只會顯示程式碼庫中，實際被呼叫且存在易受攻擊漏洞的函式，官方解釋，目前Govulncheck是以獨立工具的形式發布，讓他們可以在收集到用戶回饋的時候，更頻繁地進行更新和迭代，但是在長遠的計畫中，Govulncheck將會整合到Go的發布版本中。</p> <p>vulncheck套件將Govulncheck的功能匯出成為Go API，因此開發者可以將漏洞檢測，整合到其他工具和流程中。官方也提到，開發和部署過程越早發現漏洞越好，因此官方也將漏洞檢測整合到現有的Go工具和服務中，像是Go套件探索網站，該頁面除了會顯示套件資訊，也會列出每個版本的已知漏洞，此外，官方也即將在VS Code Go擴充套件推出漏洞檢測功能。</p> </div></div></div>
2022/9/7 16:47作者李建興https://www.ithome.com.tw/news/152924
最常被駭客當作誘餌的遊戲是Minecraft與Roblox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/gaming-related-cyberthreats-2021-2022/107346/" target="_blank">卡巴斯基（Kaspersky）本周整理了</a>最常被駭客用來當作誘餌的桌面與行動遊戲，顯示不管是哪個平臺，前兩名皆為Minecraft與Roblox。</p> <p>駭客通常假借各種熱門遊戲的名義，包括免費下載、盜版或是遊戲作弊工具來吸引受害者。但這些軟體已被駭客嵌入了惡意程式，有的可用來竊取使用者憑證或加密貨幣錢包資料，有的可以蒐集系統資訊並拍下螢幕截圖，有的則能於系統上植入挖礦程式。</p> <p>最受駭客青睞的前5大桌面遊戲依序是Minecraft、Roblox、Need for Speed、Grand Theft Auto 與Call of Duty，行動遊戲則是Minecraft、Roblox、Grand Theft Auto、PUBG與FIFA。</p> <p>根據卡巴斯基的統計，從2021年7月1月到今年的6月底，總計有超過9萬個以遊戲為名的檔案含有惡意或垃圾程式，且全球至少有超過38萬名玩家曾遭遇相關威脅。</p> <p>其中，最令人擔心的應該就是專門用來竊取使用者資訊的木馬，在各種伴隨遊戲而植入的木馬程式中，專門蒐集使用者各種憑證的占了76.87%，專門竊取支付資料的占22.14%，只有1%單純只為了駭進遊戲帳號。這一年來約有近6,500名玩家受到這類木馬程式的影響。</p> <p>駭客也會透過網釣攻擊來誘使玩家揭露帳號憑證或金融資訊，例如這一年來，駭客就在線上遊戲中發動了超過311萬次的網釣攻擊，主要目的是為了接管玩家帳號。</p> <p>玩家亦可能被植入挖礦程式，卡巴斯基在這一年來偵測到1,367個不同的挖礦檔案，影響超過3,000名玩家。</p> <p>卡巴斯基奉勸遊戲玩家不要因為想作弊卻反而被騙，以雙因素認證來保護自己的帳號，每個帳號都使用不同的強大密碼，從官網下載遊戲，小心各種網釣攻擊，以及在需要輸入自己憑證之處提高警覺等。</p> </div></div></div>
2022/9/7 15:17作者陳曉莉https://www.ithome.com.tw/news/152921
美國與葡萄牙聯手破獲專門出售身分資訊的Wt1shop網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-md/pr/website-selling-stolen-login-credentials-and-other-personally-identifying-information" target="_blank">美國司法部於周二（9/6）宣布</a>，葡萄牙執法機構已在當天扣押了專門出售身分資訊的Wt1shop網站，另一方面美國也出手扣押了Wt1shop所使用的4個網址，分別是wt1shop.net、wt1store.cc、wt1store.com與wt1store.net，同時指控36歲的摩爾多瓦人Nicolai Colesnicov為Wt1shop的經營者，涉嫌串謀與出售未經授權的存取設備。</p> <p>荷蘭警方在2020年6月就盯上Wt1shop，當時該平臺擁有6萬個註冊用戶，91名賣家，提供240萬個使用者憑證，包括零售商或金融機構的登入憑證、電子郵件帳號憑證、PayPal憑證、身分證，或是可用來存取遠端伺服器、電腦及網路裝置的憑證。</p> <p>而到了去年12月，Wt1shop的註冊用戶規模增加到10.6萬人，賣家有94名，而可購買的憑證數量則成長至585萬。</p> <p>執法機關追蹤了Wt1shop平臺上的比特幣交易，支付給代管服務供應商的Wt1shop款項，與該平臺有關的電子郵件，以及登入資訊，認定Colesnicov就是Wt1shop的負責人，一旦被定罪，Colesnicov則將面臨最高10年的刑罰。</p> </div></div></div>
2022/9/7 13:20作者陳曉莉https://www.ithome.com.tw/news/152920
巴西要求蘋果不得銷售未附充電器的iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西的消費者保護局周二（9/6）<a href="https://www.in.gov.br/en/web/dou/-/despacho-n-2.343/2022-427275225" target="_blank">宣布</a>，禁止境內繼續銷售未附充電器的iPhone 12與之後的機種，並向蘋果判罰238萬美元。</p> <p>蘋果是在2020年以環保為由，宣布新一代iPhone將不再附上充電器及耳麥，因此從iPhone 12、iPhone 13到今年的iPhone SE 3，盒子內都不再出現充電器與耳麥，僅提供了一條USB-C至Lightning的充電與資料傳輸線。</p> <p>巴西政府並不認同蘋果的環保說詞，指出移除充電器就能減少碳足跡的說法毫無根據，反而讓iPhone成為不完整的產品，因為消費者可能需要充電器。</p> <p>其實巴西去年就曾因同樣的理由要求蘋果支付200萬美元的罰款，今年不僅再續罰了一次，更進一步要求蘋果暫停銷售任何未附充電器的iPhone版本。</p> <p>另一方面，<a href="https://www.bloomberg.com/news/articles/2022-09-06/apple-will-appeal-brazil-s-move-to-ban-phones-without-chargers" target="_blank">蘋果則向《彭博社》（Bloomberg）表示</a>，蘋果使用最多塑膠與鋅的裝置就是充電器，去除它可減少了200萬噸的碳排放，等於是每年移除50萬輛道路上的汽車。蘋果亦打算針對此一裁決提出上訴。</p> </div></div></div>
2022/9/7 12:52作者陳曉莉https://www.ithome.com.tw/news/152919
美國第二大學區LAUSD遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://achieve.lausd.net/site/default.aspx?PageType=3&DomainID=4&ModuleInstanceID=4466&ViewID=6446EE88-D30C-497E-9316-3F8874B3E108&RenderLoc=0&FlexDataID=122768&PageID=1" target="_blank">美國洛杉磯聯合學區（Los Angeles Unified School District，LAUSD）周一（9/5）表示</a>，它們在周末偵測到IT系統的不尋常活動，經確認是遭到勒索軟體攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0907-LAUSD-600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Los Angeles Unified School District</span></span></p> <p>LAUSD為全美第二大學區，學區內約有1,000所學校，聘僱了2.6萬名老師，並擁有66萬名學生。根據LAUSD的初步分析，重大業務系統並未遭到破壞，包括員工醫療保健與薪資系統，或是學校的安全及緊急系統，但電子郵件、電腦系統或部分應用程式可能無法存取。</p> <p>美國白宮在得知LAUSD遭到網路攻擊之後，立即指派教育部、聯邦調查局（FBI）及美國網路安全及基礎設施安全局（CISA）予以協助，LAUSD亦於資安專家的協助下，展開對學區的額外保護。此外，LAUSD也將設立一個獨立工作小組，於90天內提出建議措施並定期更新復原狀態。</p> <p>目前並不確定攻擊LAUSD的勒索軟體集團，<a href="https://techcrunch.com/2022/09/06/los-angeles-unified-school-district-ransomware/" target="_blank">但Emsisoft分析師Brett Callow向《TechCrunch》透露</a>，LAUSD已是今年以來第五十個受到勒索軟體攻擊的學區了。不論如何，LAUSD在修復系統的同時，已經於本周二（9/6）重新開放。</p> </div></div></div>
2022/9/7 11:27作者陳曉莉https://www.ithome.com.tw/news/152917
中國譴責美國對一所大學發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國官方周一罕見<a href="http://english.scio.gov.cn/pressroom/2022-09/06/content_78406151.htm" target="_blank">公開譴責</a>美國國安局對中國一所大學發動網路攻擊，竊取用戶個資及其他重要資訊。中國研究人員認為，美國近年已控制了中國大量伺服器、路由器等設備。</p> <p>中國的國家電腦病毒緊急回應中心及安全廠商360周一分別針對中國西北大學的網路攻擊發布調查報告，指向美國國安局相關組織TAO（Tailored Access Operations）對中國目標組織發動數萬次網路攻擊。</p> <p>中國外交部發言人毛寧指出，中國強烈譴責美方這波攻擊，要求美國立即停止不法行動並提供解釋。</p> <p>遭到攻擊的山西省西北工業大學是以航空及太空研究知名的學校。<a href="https://www.vice.com/en/article/k7b3bz/china-accuses-nsa-hacking-military-research-university" target="_blank">西北工業大學六月稱</a>其師生接到一則包含學術活動邀請函的釣魚信件，藉此以木馬程式竊取個資、密碼及其他資料。</p> <p>中國媒體<a href="https://www.globaltimes.cn/page/202209/1274627.shtml" target="_blank">《環球時報》</a>報導，經過分析，TAO用了41種武器竊取該校關於重要網路設備配置、網管及核心營運資料。</p> <p>分析團隊還發現，近幾年美國對中國發動數萬次惡意攻擊，控制了大量網路設備，包括網頁伺服器、終端、交換器、電話交換機、路由器及防火牆等，並成功竊取超過140GB高價值資料。</p> <p>此外，中國宣稱這次調查有充分及明顯證據支持，顯示美國有13人直接發動網路攻擊，還有60多份合約及170多項文件指向美國電信業者建立環境協助美方對中國的攻擊。</p> <p>中國指出，美國長期對中國手機用戶採取歧視性的語音監控，不法竊取文字訊息，還對他們執行無線定位，嚴重威脅中國國家安全及人民個資安全，這次NSA對中國西北大學的攻擊行動是美國政府對中國的最新網路攻擊。</p> <p>《<a href="https://www.bloomberg.com/news/articles/2022-09-05/china-accuses-us-of-repeated-hacks-on-polytechnic-university" target="_blank">彭博</a>》報導，美國駐北京大使館以及NSA皆尚未此做出評論。</p> </div></div></div>
2022/9/7 12:11作者林妍溱https://www.ithome.com.tw/news/152918
GovTech月報第10期：數位部要研究非同步軌道衛星強化我國網路通訊服務可能性；中華郵政在新竹尖石試飛無人機投遞服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0813~0902)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位發展部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> </strong></p> <p><span style="font-size:22px;"><strong>數位部擬以非同步軌道衛星強化我國通訊網路韌性</strong></span></p> <p>近期因為預算、約聘人員引起關注的數位發展部（簡稱數位部），除了承接各部會前瞻計畫外，數位部最近也提出2項新的第四期前瞻計畫，其中之一「應變或戰時應用新興科技強化通訊網路數位韌性」，因應天災、戰爭等原因，導致海纜或行固網失能或遭破壞，透過非同步軌道衛星，確保必要的應變訊息能對國內國外傳遞，例如視訊會議、語音、直播等。</p> <p>目前國內尚未開放非同步軌道衛星提供商用服務，因此數位部期望先以PoC概念性驗證的四式，實驗當海纜、行固網因特定原因故障時，透過非同步軌道衛星，確保應變訊息對國內外傳遞。</p> <p>數位部期望透過這項前瞻計畫，在國內700多處、國外3個站點，建置非同步軌道衛星設備，驗證以非同步軌道衛星服務加強臺灣通訊網路韌性的可行性，並提出2023年、2024年共5.5億元的經費。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-09-06%20%E4%B8%8B%E5%8D%886_17_04.jpg" style="width: 600px; height: 334px;" /></p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">中華郵政</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size: 22px;"><strong>中華郵政在新竹尖石鄉試飛無人機物流投遞服務</strong></span></p> <p>配合交通部無人機發展政策，中華郵政在新竹尖石鄉地區試飛無人機物流投遞，展示以25公斤以上的無人機，在超過25公里以上的山區固定路線，投遞口罩、快篩試劑、郵件，從尖石鄉公所經無人機送至新光部落的新光國小。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone-1(1).jpg" style="width: 600px; height: 317px;" /></p> <p>此次試飛使用中光電智能機器人的無人機，飛行距離21.2公里，海拔高度1,580公尺，歷經至少65小時以上共700次起降，全程54趟驗證飛行路線及運送安全。試飛的最大特色是在偏遠地區，以固定航路飛行，投遞郵件或緊急物資。</p> <p>民航局表示，目前已建立國內無人機物流作業指引標準，包括無人機實體飛行控制、機體結構、動力、通訊、全自動飛行等項目審驗，為無人機飛行審查建立標準程序。</p> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>靠空拍照及AI，法國政府一年揪出逾2萬個非法泳池</strong></span></p> <p>為找出未登記的游泳池，法國稅務機關正進行一項試驗，利用第三方打造的系統，結合空拍照及AI技術，辨識空拍照的游泳池，比對已登記的泳池資料庫，找出未依法登記的游泳池，經過1年實驗就找出逾2萬個非法泳池，估計法國政府短少1千萬美元稅收。</p> <p>依照法國的稅務規定，私人泳池需登記、納稅，每30平方米的泳池得繳交每年200歐元的稅金。經由這項實驗，發現需提高AI辨識，降低誤判的比率，目前只有9個法國政府部門採用，未來改善辨識後可能擴大到全法，估計可為法國帶進4千萬歐元的稅收。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">嘉義</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>嘉義縣成立亞洲無人機AI創新應用研發中心</strong></span><span style="font-size:22px;"><strong>，無人機國家隊成軍</strong></span></p> <p>為推動AI無人機的創新應用，嘉義縣政府與中山科學院、工研院、虎尾科大，以及雷虎科技、經緯航太、航見科技等無人機業者，8月中正式成立亞洲無人機AI創新應用研發中心，象徵無人機國家隊成軍。</p> <p>目前該中心已吸引約20家廠商及單位進駐，目的在吸引相關業者形成產業聚落。嘉義縣政府計畫未來和中科院共同發展無人機產業創新及研發測試驗證中心，包括推廣無人機應用、無人機學校、國家級無人機競技場、國際合作及產發、無人機測試驗證場域等等，透過無人機國家隊，幫助國內業者走到海外市場。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">伊朗</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> </strong></p> <p><span style="font-size:22px;"><strong>突破美國貿易制裁，伊朗以加密貨幣支付價值約千萬美元的進口交易</strong></span></p> <p>受到美國貿易制裁的伊朗，近期對外宣稱已採用加密貨幣支付進口交易，為伊朗官方首次以加密貨幣完成的進口訂單，價值約1千萬美元。為擺脫美元主道的國際貿易市場，加密貨幣可能被廣泛應用在伊朗與其他國家的交易中。</p> <p>伊朗並未說明所採用的加密貨幣，也沒有說明交易內容及國家，但外界猜測交易對象可能是其他同樣受到美國制裁的國家，例如俄羅斯、委內瑞拉等，以突破受到美國限制的對外貿易。在此之前，伊朗相當早就支持加密貨幣，包括頒發加密貨幣挖礦許可證，積極納管加密貨幣挖礦行為，目前已發出1千多張許可證，今年5月伊朗宣稱已關閉近7千個非法加密礦場。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技救災</span></font></strong></p> <p><span style="font-size:22px;"><strong>無人機投入救災救援有成，臺南市擬培訓更多飛手擴大科技救災應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/348c4d50-614d-40a5-8ebe-ec9710fe3552%40710x470.jpg" style="width: 626px; height: 470px;" /></p> <p>為使無人機投入救援工作，臺南市積極培養無人機操作的專業飛手，市府在2020年設立無人機模擬訓練中心，以3D擬真畫面讓人員練習考照航線，同時模擬各類災害情境，目前取得無人機高級操作證的飛手有37名，每個救災救護大隊配置4到6人，未來將再培訓12名飛手，確保充足的飛手因應救災空中勘查。</p> <p>臺南市消防局表示，無人機隊及無人機模擬訓練中心成立已滿2年，投入火警、搜尋溺水者及山區搜救等工作53次，透過無人機第一時間回傳資訊，提升搜救的效率。</p> <p>以火災為例，利用無人機結合熱顯像設備，顯示現場建物環境、燃燒情形、判斷延燒的方向，供現場指揮官調整人員、資源運用。救援團隊搜尋溺水者或是在山區搜尋迷途的登山客，利用空拍機空中勘查，搭配Google地圖定位，協助研擬搜救計畫，提升搜救效率。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">警察</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>桃園市警局導入AI巡防系統查找失竊車輛，半年尋獲169輛汽機車</strong></span></p> <p>桃園市警局在今年2月底全市擴大導入AI巡防系統，巡邏攝影機拍攝的畫面經由AI辨識車牌，比對警政署協尋車輛資料庫，協助警方巡邏時快速查找贓車及失竊車輛，同時節省人力，這套系統導入半年，市警局統計已尋獲103輛機車、66輛汽車，現行犯案共22件。</p> <p>傳統上，警員在路上巡邏查緝涉案車輛及尋找失竊車輛時，以人工方式在警用設備上輸入車牌號碼，現在利用AI自動辨識，尋獲率提高至31.37%，並節省近3分之1的警力。目前桃園市已擴大導入這套系統，在各個派出所、保安警察大隊、各分局偵查隊、刑事大隊等，共建置101套。</p> <p>這套系統的行動車牌辨識功能，可連線協尋車輛資料庫，當巡邏車以時速30到50公里行駛時，雙攝影機覆蓋前方多車道，以及右側路邊停放車輛，辨識率白天可達95%、夜間達90%，同時系統可將現場影像回傳後臺，方便即時溝通、調度。</p> <p> </p> <p>圖片來源／臺南市政府、數位發展部、中華郵政</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美國陸軍招募國家級駭客</strong></p> <p><strong>2.美國FCC聯手4大電信商，發布首個4G網路覆蓋地圖</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div> </div></div></div>
2022/9/7 12:11作者蘇文彬https://www.ithome.com.tw/news/152908
DeepMind訓練AI踢足球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016的<a href="https://www.ithome.com.tw/news/104563" target="_blank">圍棋人機大戰</a>後，Google姐妹公司DeepMind科學家開發的新AI系統，可學習人類動作，學習成為一組虛擬足球隊。</p> <p><a href="https://www.deepmind.com/blog/from-motor-control-to-embodied-intelligence" target="_blank">DeepMind在科學期刊《Science Robotics》公布一篇論文</a>，披露該公司的NPMP（neural probabilistic motor primitive）模型如何從人或動物動作中學習複雜技能，並以代理程式或實體機器人，將技能體現出來，像是踢足球。</p> <p>DeepMind科學家指出，足球向來是體現智慧（embodied intelligence）研究的一大挑戰，因為足球是結合個人技能及團隊合作的運動。DeepMind使用NPMP模型為基礎引導學習足球的動作技能。</p> <p>NPMP（neural probabilistic motor primitive，NPMP）是一組通用運動控制AI模型，能將立即的運動意圖轉化為低階控制訊號。NPMP是在離線環境下訓練，或是模仿感測器蒐集到人或動物的資料（稱為運動捕捉motion capture/MoCap資料），透過增強式學習（reinforcement learning）訓練。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Team%20Play%20in%20Simulated%20Humanoid%20Football-by%20DeepMind-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DeepMind</span></span></p> <p>這個模型包含兩部份，一是編碼器（encoder），其功用是把未來動作軌跡壓縮進運動意圖。第二個部份為低階控制器。低階控制器能依代理程式目前狀態及現有運動意圖，產生下個動作。</p> <p>低階控制器能被包成一個可插拔式的運動控制模組，可重覆利用以便學習新技能，並由經過最佳化的高階控制器直接輸出運動的意圖。DeepMind指出，這可以讓探索過程更有效率，並限縮最後的解決方案。</p> <p>利用NPMP，DeepMind的「球員」（即代理程式）從學習追球的技能開始逐漸學會如何合作。DeepMind過去一項專案中，兩組互相競爭的團隊出現合作行為。在最新專案中，NPMP也出現同樣行為，不同的是，這個情境需要更高階的運動控制能力。</p> <p>DeepMind的代理程式學到的技能包括靈敏的移動、傳球及分工合作。「球員」們展現出靈敏的高頻運動控制，及摻雜預期隊友行為的長期決策，形成足球的團體戰。</p> <p>AI模型學習以手臂和物件互動是另一個控制挑戰。研究團隊以少量搬箱子的動作捕捉資料，包括第一人視角及少數回饋訊號，即可訓練NPMP的代理程式將一個箱子由一地搬到另一地。另外也能訓練代理程式接、拋球、或是執行在迷宮中蒐集目標物的任務。</p> <p>這個NPMP模型還能用來控制真正的機器人。DeepMind利用人類及狗的動作捕捉資料訓練NPMP技能及控制器，然後分別部署到真正的人形機器人（OP3）及四腳機器人（ANYmal B），這讓使用者可以透過控制桿控制機器人，或者以自然動作將球運到目的地。他們證實，NPMP可以既有生物動作資料為基礎訓練，學習高度規律化、自然及可重覆使用的動作技能，再由真正的機器人體現出來。</p> </div></div></div>
2022/9/7 10:22作者林妍溱https://www.ithome.com.tw/news/152915
Google測試部分國家開放第三方Play Store支付機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歐盟、南韓等政府要求下，Google逐漸開放官方軟體商店Play Store上應用程式使用第三方支付機制。<a href="https://support.google.com/googleplay/android-developer/answer/12570971" target="_blank">上周Google啟動</a>在歐盟、日本、澳洲等地測試，開放遊戲類以外的App開發商申請，以便在程式內支付（in-app purchase，IAP）中使用Google以外第三方支付機制。</p> <p>這項測試將在Android App同時提供Google Play支付系統及第三方支付選項，旨在探究「用戶選擇支付」（user choice billing）方案的可行性。Google說將在特定國家蒐集反饋意見，確保提供良好的用戶體驗。</p> <p class="rtecenter"><img alt="" src="https://lh5.googleusercontent.com/KILPjtlx8vmeGHKgIAXEZVLvj32vy_0nbIRcqj5BXsY2sLwlVVkjPotkANpdP2RJRV27swnfYO-AEHcm1PhN4TaUcq9e9As1zrtqwNOy0YwqxM65O6sc-BCg70-CD2aUoUL7OgFjUnQDL0qrZBSVh80ki3qiwg0dpBAReHc2FfxgSn5J" style="width: 256px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>測試從9月1日開始，<a href="https://support.google.com/googleplay/android-developer/contact/alternative_billing" target="_blank">申請</a>參加測試的App必須是非遊戲類的行動或平板App，且開發商必須是註冊在案的公司組織。實施的地區包括歐洲經濟區（European Economic Area，EEA）國家、日本、澳洲、印度及印尼。</p> <p>Google和蘋果近來開放App的程式內支付提供其他支付選項，主要是為了避免歐盟及美國主管機關的壓力。除了南韓以法令強制兩公司開放外，美國聯邦交易委員會（FTC）及司法部，也都有意調查兩家科技巨擘強迫推行自家支付的行為。Google三月首先開放Match Group實行這項方案，不過<a href="https://www.ithome.com.tw/news/150838" target="_blank">後者指稱</a>Google是玩假的。</p> <p>在Google最新測試中，提供第三方支付選項的App還是必須支付Google Play Store的服務費用（即比例為30%或15%的Google稅），但是若消費者選擇以第三方機制支付，開發商可少付4%。這個費率和去年Google提供給<a href="https://www.ithome.com.tw/news/147678" target="_blank">南韓開發商</a>的方案一樣。</p> <p>不過Google並未說明測試期間會多久。</p> <p>其他要求包括App必須遵循安全標準PCI-DSS，開發商也應提供相關的客服支援。Google說會在接下來幾周內公佈相關的使用經驗指引，且等Google的自動化API公布後，開發商也必須轉成這些API。</p> </div></div></div>
2022/9/7 10:48作者林妍溱https://www.ithome.com.tw/news/152916
【資安日報】2022年9月6日，威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定威聯通NAS的勒索軟體攻擊再度出現！該公司的資安團隊在上週末偵測到勒索軟體DeadBolt的攻擊行動，並指出駭客是針對相片管理軟體Photo Station的漏洞下手而得逞，緊急推出修補程式因應。針對該廠牌NAS的DeadBolt攻擊行動，今年已出現數起，但值得留意的是，這次威聯通罕見地呼籲用戶停止使用Photo Station軟體。</p> <p>抖音、微信驚傳存放於公有雲的資料出現大規模外洩事故，有人將聲稱竊得逾20億筆記錄的資料，但究竟駭客如何取得仍不得而知。</p> <p>鎖定開發者的木馬程式攻擊也值得留意。研究人員發現名為CodeRAT的惡意軟體，該木馬程式不只能針對電子郵件、Office檔案下手，還可對於多種整合式開發環境發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E8%AB%8B%E7%AB%8B%E5%8D%B3%E6%9B%B4%E6%96%B0-photo-station-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt再度攻擊威聯通NAS，原因是相片管理套件漏洞的遭到利用</span></a></strong></h3> <p>9月3日威聯通（QNAP）發布資安通告，勒索軟體DeadBolt鎖定曝露於網際網路的NAS設備、透過相片管理套件Photo Station的漏洞入侵，該公司亦於同日緊急推出新版軟體修補。但與過往的攻擊事故不同的是，他們這次呼籲使用者最好停止使用Photo Station，並建議轉換至另一款軟體QuMagie。</p> <p>由於這起攻擊行動發生在週末，<a href="https://www.facebook.com/groups/771468783554131/">傳出不少用戶的NAS中招</a>，他們在網路上公開遭到勒索的畫面，但大家遇到的情況有所不同。例如，有些人已將NAS作業系統QTS升級到最新版本，但Photo Station可能還是採用存在漏洞的版本，NAS還是遭到入侵而受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-denies-security-breach-after-hackers-leak-user-data-source-code/"><span style="color: rgb(0, 0, 0);">抖音、微信資料庫流入駭客論壇，曝露逾20億筆記錄</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為AgainstTheWest的駭客組織，他們成功入侵抖音（TikTok）和微信（WeChat）的資料庫，竊得790 GB的資料，內含20.5億筆記錄，類型涉及使用者資料、系統平臺分析數據、軟體程式碼，以及身分驗證的Token等。駭客表示，資料來自於阿里雲的執行個體（Instance）。對此，抖音的母公司字節跳動向Bleeping Computer表示並未遭駭，駭客取得的原始碼與該平臺無關；而微信沒有針對上述事故提出說明。</p> <p>駭客流出的資料是否來自上述兩家公司？研究人員Bob Diachenko認為是真實資料，但來源有待進一步調查；經營外洩密碼查詢網站Have I Been Pwned的資安人員Troy Hunt則指出，他看到了有效資料，但也有部分可能是測試用的假資料，並研判駭客應該是透過系統漏洞取得。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safebreach.com/resources/blog/remote-access-trojan-coderat/"><span style="color: rgb(0, 0, 0);">木馬程式CodeRAT鎖定使用特定語系的開發者，軟體與攻擊者之間透過即時通訊軟體的API傳遞命令</span></a></strong></h3> <p>資安業者SafeBreach揭露名為CodeRAT的木馬程式，駭客的目標主要是針對使用波斯語的軟體開發者而來。研究人員指出，伊朗駭客透過含有動態資料交換（DDE）漏洞的Word檔案來散布木馬程式，而文件內容主要與硬體設計程式語言、超高速積體電路硬體描述語言（VHDL）有關。</p> <p>此木馬程式具備約50種命令，不只能針對電子郵件、Office檔案、資料庫下手，也能監控受害者所使用的整合式開發環境（IDE）。此木馬程式與駭客之間的通訊方式較為特別，主要是採用Telegram機器人（Bot）的API，而非C2中繼站，有可能因此難以被研究人員發現。</p> <p>值得留意的是，當研究人員聯繫上開發CodeRAT的駭客後，對方竟將此木馬程式的原始碼上傳到GitHub，這樣一來很可能會有其他駭客用來打造新的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/evilproxy-phishing-as-a-service-with-mfa-bypass-emerged-in-dark-web"><span style="color: rgb(0, 0, 0);">網釣攻擊相關工具也能租用！有人提供網釣攻擊套件租用服務EvilProxy，當中的工具包能繞過知名服務的雙因素驗證</span></a></strong></h3> <p>過往駭客發動網釣攻擊很可能會利用網釣工具包，但現在有相關的軟體工具訂閱服務，駭客無須具備相關技能，就可繞過已經相當普及的雙因素驗證機制來發動攻擊。</p> <p>資安業者Resecurity揭露名為EvilProxy的網釣攻擊套件租賃服務（PhaaS），賣家宣稱他們的工具包不僅可用於攻擊蘋果、微軟、Google、臉書、推特的帳號，也能對開發者所使用的GitHub、PyPI、NPM帳號下手，來進行敵對式中間人攻擊（AiTM）──此服務提供了反向代理伺服器及釣魚網站，在受害者與伺服器進行身分驗證的過程中，竊得所需的Cookie，而使得駭客能在不需經過雙因素驗證的情況下，挾持受害者的帳號。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/damart-clothing-store-hit-by-hive-ransomware-2-million-demanded/"><span style="color: rgb(0, 0, 0);">法國服裝業者Damart遭勒索軟體Hive攻擊</span></a></strong></h3> <p>8月15日，法國服飾連鎖品牌Damart的網路商城暫停服務，迄今仍未恢復營運，亦出現影響實體門市運作──130家門市有92家於24日被迫暫停營業。根據當地新聞網站LeMagIT的報導，該公司遭到勒索軟體Hive攻擊，並被索討200萬美元贖金，且傳出駭客不打算讓母公司Damartex討價還價的情況。</p> <p>Damart對此表示，駭客成功入侵AD並加密部分系統，他們為了避免災情擴大，關閉部分系統而導致相關服務受到影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-attack-on-italian-energy-agency/"><span style="color: rgb(0, 0, 0);">義大利再生能源業者GSE遭到BlackCat攻擊，外洩700 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/"><span style="color: rgb(0, 0, 0);">美式足球隊2月遭勒索軟體BlackByte攻擊調查結果出爐，逾2萬人個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/defending-the-expanding-attack-surface-trend-micro-2022-midyear-cybersecurity-report"><span style="color: rgb(0, 0, 0);">鎖定Linux作業系統的惡意軟體攻擊呈現顯著增加的情況</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月5日】 8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> </div></div></div>
2022/9/6 16:45作者周峻佑https://www.ithome.com.tw/news/152907
Node.js與Deno創建者Ryan Dahl發公開信望甲骨文釋出JavaScript商標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Node.js與Deno創建者Ryan Dahl發表了一篇標題為<a href="https://tinyclouds.org/trademark">〈親愛的甲骨文，請釋出JavaScript商標〉</a>（Dear Oracle, Please Release the JavaScript Trademark）的公開信。</p> <p>Ryan Dahl希望甲骨文把手中目前沒有在積極使用的JavaScript商標，釋出到公有領域中，他表示，商標是目前籠罩在JavaScript這個世界上最流行程式語言上的一片烏雲，細心且守法的工程師會盡量避免使用，但也因此出現像是ECMAScript這類令人困惑的名詞。</p> <p>在1995年的時候，網景（Netscape）和昇陽電腦（Sun Microsystems）合作發布了JavaScript，JavaScript的設計目的之一，便是要與Java互補，期望Java和JavaScript程式同時在伺服器和客戶端執行，讓開發者可以創建更加靈活的網際網路應用程式。</p> <p>JavaScript之父Brendan Eich用極短的時間創造了JavaScript的第一個版本，而其中大部分的語法，繼承來自昇陽電腦的Java語言，也因為如此，昇陽電腦擁有JavaScript商標，在2009年，甲骨文收購了昇陽電腦，因此甲骨文輾轉獲得了JavaScript商標。</p> <p>但Ryan Dahl提到，JavaScript商標並沒有任何商業價值，除了JavaScript Extension Toolkit之外，甲骨文沒有任何使用該商標的產品，而且也可能沒有計畫使用。甲骨文沒有參與任何JavaScript引擎諸如V8、JavaScriptCore或Spidermonkey的開發。</p> <p>Ryan Dahl認為，由於甲骨文不使用JavaScript商標，一旦發生商標侵權事件，在法庭上很可能為不可強制執行（Unenforceable）。</p> <p>雖然如此，甲骨文握有JavaScript商標仍對開發者造成影響，部分開發者會避免使用，而ECMAScript這類令人混淆的名詞也因此被創造出來。Ryan Dahl公開信希望甲骨文可以將JavaScript商標授予公有領域使用，而這將同時為甲骨文帶來商譽，他認為，將一個毫無商業價值的商標換取品牌行銷和商譽，將會是正確的決定。</p> </div></div></div>
2022/9/6 15:25作者李建興https://www.ithome.com.tw/news/152905
伊朗將利用人臉辨識技術來找出不戴頭巾的女性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗總統 Ebrahim Raisi在8月15日通過一項加強監管女性服飾的法令，而根據<a href="https://www.theguardian.com/global-development/2022/sep/05/iran-government-facial-recognition-technology-hijab-law-crackdown" target="_blank">《衛報》（The Guardian）</a>的報導，伊朗的勸善懲惡（Promoting Virtue and Preventing Vice）部長Mohammad Saleh Hashemi Golpayegani近日接受媒體採訪時透露，伊朗正計畫以人臉辨識技術來找出於公共場所不戴頭巾或不遵循規定的女性。</p> <p>伊朗是在1979年強制要求女性配戴頭巾，不過，當地的女性逐漸突破相關限制，更在今年7月12日的頭巾與貞潔日（Hijab and Chastity Day）發動了全國性的抗議活動，她們在社交網路上刊登了於街道上、公車或火車上拋頭露臉的照片及影片，主張穿著自由。</p> <p>但在此一抗議活動之後，伊朗官方即開始逮捕、拘留她們，或是強迫她們在電視上道歉，更在8月15日簽署了更嚴格的頭巾與貞潔法，除了原先的頭巾與服裝限制之外，額外祭出了罰款規定，於網路上發布不戴頭巾的照片則可能會被剝奪半年至一年的社會權利，且倘若為政府員工，只要是社交網站上的檔案照片不符規定就會被開除。</p> <p>除了新規定之外，伊朗政府也計畫於公共場所部署人臉辨識技術，以辨識違規的女性，以新的技術來從事老式的暴力極權控制。</p> </div></div></div>
2022/9/6 13:08作者陳曉莉https://www.ithome.com.tw/news/152904
9月29日起，幣安將自動把USDC等穩定幣轉成BUSD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺<a href="https://www.binance.com/en/support/announcement/e62f703604a94538a1f1bc803b2d579f" target="_blank">Binance（幣安）在周一（9/5）宣布</a>，為了強化流動性與資本效率，自世界協調時間9月29日凌晨3點（臺北時間同日早上11點）起，該平臺就會自動將用戶帳戶中既有、或是新存入的USDC、USDP與TUSD等穩定幣，以1:1的比例全數自動換成Binance USD（BUSD）。</p> <p>未來使用者依然可繼續存入USDC、USDP或TUSD，只是存進去後就會被轉成BUSD；同樣的，使用者還是可提出USDC、USDP或TUSD，只是在提款的當下直接由BUSD以1:1轉成所要提出的幣別。</p> <p>此外，幣安亦將停止相關穩定幣的現貨交易、期貨交易與融資。</p> <p>根據<a href="https://coinmarketcap.com/" target="_blank">CoinMrketCap</a>的統計，目前全球規模最大的穩定幣為USDT（Tether），市值為675億美元，居次的是USDC的518億美元，BUSD則以194億美元位居第三。雖然有人猜測幣安此舉是為了擠下第二名的USDC，不過目前看來雙方仍有一定的差距。</p> </div></div></div>
2022/9/6 12:15作者陳曉莉https://www.ithome.com.tw/news/152903
LG發表整合智慧電視的NFT市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lgnewsroom.com/2022/09/lg-tvs-turn-living-room-into-digital-art-gallery-with-new-nft-platform/" target="_blank">LG本周宣布</a>非同質化代幣（NFT）市集<a href="https://www.lgartlab.com/" target="_blank">LG Art Lab</a>，讓消費者可以經由LG智慧電視買、賣NFT。不過目前僅在美國推出這項服務。</p> <p>這項宣布是實現LG今年初公布智慧電視產品將加入NFT功能的承諾。消費者可透過執行WebOS 5.0作業系統的LG智慧電視，以其LG Art Lab App買賣NFT。</p> <p>LG最新交易市集是建立在Hedera Network獨特的安全網路Hedera Hashgraph基礎之上，執行身分認證。LG是在2020年加入Hedera Hashgraph治理委員會，打造分散式身分識別技術。這個委員會成員還包括Google、IBM、德意志電信等知名業者。</p> <p>這個平臺提供QR Code，消費者可利用手機讀取、再以LG電子錢包Wallypto購買NFT。購入後消費者即可在LG Art Lab的Marketplace上交易，或是在My Collection一覽手中的NFT。使用者可在LG電視主頁下載這款App。</p> <p>LG預計在本月22日推出第一批NFT，以及新平臺功能名為Drops，該功能可允許創作者預覽展示其數位作品及基本介紹。另一名為Live Drops的功能則可即時通知使用者剛下架的NFT以便入手。</p> <p>另一南韓電子巨人三星則是年初已<a href="https://www.ithome.com.tw/news/148697" target="_blank">宣布</a>三大系列智慧電視可供消費者買、賣NFT。</p> </div></div></div>
2022/9/6 11:50作者林妍溱https://www.ithome.com.tw/news/152902
美FTC傳調查Amazon的iRobot、OneMedical收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon近2個月接連買下掃地機器人業者iRobot及醫療服務商One Medical，媒體報導，美國聯邦交易委員會（Federal Trade Commission，FTC）將著手調查這兩樁收購案。</p> <p>Amazon先是在7月間<a href="https://www.ithome.com.tw/news/152071" target="_blank">宣布</a>斥資39億美元買下有實體診所及線上醫療服務業者One Medical，成為該公司金額最高的收購案。次月再<a href="https://www.ithome.com.tw/news/152354" target="_blank">宣布</a>以17億美元收購掃地機器人Roomba的供應商iRobot。</p> <p>在iRobot案方面，<a href="https://www.politico.com/news/2022/09/02/amazons-ftc-problem-keeps-growing-with-irobot-one-medical-probes-00054749" target="_blank">Politico</a>引述消息人士報導，FTC是在兩周前接獲Amazon通報這樁收購案後考慮調查。FTC歷來陸續關切Amazon的收購案，其新任主席Lina Khan更是知名的反托拉斯學者，對Amazon、Meta等科技大廠的市場競爭行為嚴加審視。</p> <p>消息人士指出，FTC可能即將正式啟動iRobot案的調查。調查重點包括這樁收購是否將強化Amazon在連網裝置，以及更廣泛的零售市場的市占率，以及相對於直接競爭對手的威脅。</p> <p>Amazon也提供家用機器人名為Astro，此外還有Ring智慧門鈴、Echo系列智慧助理及顯示器等。此外，一如許多隱私權人士，FTC也擔心，經由Roomba等掃地機器人蒐集到的消費者家中地圖與生活習慣等資訊，可能讓Amazon比競爭業者掌握更多優勢。</p> <p>在One Medical方面，《<a href="https://www.wsj.com/articles/ftc-investigating-amazon-deal-to-buy-one-medical-network-of-health-clinics-11662157363" target="_blank">華爾街日報</a>》及《Politico》引述消息人士報導，FTC想調查這項收購為Amazon帶來的效益。One Medical是會員制的醫療服務業者，FTC已經透過諮詢保險公司及業者，了解它手上的用戶個資以及收購這家公司將讓Amazon獲得多少競爭優勢。</p> <p>此外，FTC也想了解，Amazon是否是為了消滅對手而出手收購。<a href="https://www.bloomberg.com/news/articles/2022-08-24/amazon-plans-to-shut-down-primary-care-and-telehealth-service" target="_blank">彭博</a>報導，Amazon在宣布收購One Medical後，就計畫把業務重疊的線上醫療服務部門Amazon Care關掉。但該公司當時表示，關閉舊服務，是因為未能提供夠好的客戶服務。</p> <p>Amazon、iRobot和One Medical都拒絕對傳聞做出評論，但Amazon重申將確保客戶的資料隱私。</p> </div></div></div>
2022/9/6 10:45作者林妍溱https://www.ithome.com.tw/news/152895
Meta因侵犯青少年隱私，被愛爾蘭判罰逾4億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭的資料保護委員會（Data Protection Commission，DPC）在上周裁決，Meta旗下的Instagram因外洩青少年資料，違反《歐盟通用資料保護規則》（EU General Data Protection Regulation，GDPR），<a href="https://www.politico.eu/article/instagram-fined-e405m-for-violating-kids-privacy/" target="_blank">而判罰4.05億歐元</a>，成為GDPR史上罰款第二高的案例，迄今的最高紀錄是<a href="https://www.ithome.com.tw/news/145975" target="_blank">Amazon的目標式廣告</a>被判罰7.46億歐元。</p> <p>DPC是自2020年9月開始調查Instagram如何處理青少年的資料，該委員會目前僅對外證實了罰款金額，詳細的裁決內容預計下周才會公布。</p> <p>不過，根據媒體報導，Instagram受罰的原因為該平臺當時允許13至17歲的青少年經營商業帳號，這類帳號的預設值是公開的，因而曝露了青少年的電子郵件帳號與電話號碼。</p> <p>其實<a href="https://www.ithome.com.tw/news/145911" target="_blank">Meta已在去年改變了此一措施</a>，只要是16歲（某些國家是18歲）以下的青少年申請Instagram帳號，預設即會是私人帳號，亦即僅允許粉絲看到該帳號所張貼的文章，而且無法留言。</p> </div></div></div>
2022/9/6 11:05作者陳曉莉https://www.ithome.com.tw/news/152896
ChromeOS 105添加觸控模擬控制，提升Android遊戲遊玩體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromeos.dev/en/posts/game-controls-for-android-games">ChromeOS 105針對支援的Android遊戲添加新的控制方法</a>，來確保原本僅提供觸控方式控制的Android遊戲，能夠在ChromeOS擁有較好的遊戲體驗。目前遊戲控制僅針對搖桿、單按鈕、多按鈕遊戲，以及2048這類滑動遊戲。</p> <p>ChromeOS用戶現在可以透過Google Play存取Android遊戲，但因為行動裝置Android遊戲都是以觸控居多，並沒有針對ChromeOS的鍵盤和滑鼠進行最佳化，導致即便ChromeOS支援了Android遊戲，但實際上不少遊戲仍無法正常遊玩的窘境。因此Google從ChromeOS 105開始，推出遊戲控制功能Alpha測試版，該遊戲控制將鍵盤按壓轉換成模擬觸碰事件，以縮小純觸控Android遊戲在ChromeOS上體驗差異。</p> <p>大多數的ChromeOS用戶皆使用滑鼠和鍵盤操作應用程式，但Google Play中許多應用程式在設計時，只考慮到觸控操作，這樣的差別對遊戲來說，成了一個重要的問題，因為遊戲通常需要快速移動和點擊按鈕，這些很難使用滑鼠來執行，透過將鍵盤按鍵轉換成觸控事件，遊戲控制功能可讓玩家以鍵盤，操作螢幕上的按鈕和虛擬搖桿，彌補有限的遊戲體驗。</p> <p>但Google提到，新的遊戲控制功能並無法取代，開發人員在應用程式中添加鍵盤和滑鼠支援的需求。要在手機、平板、桌機和大螢幕裝置上提供最佳和一致的遊玩方法，Google仍建議開發人員需要支援多種輸入模式，包括滑鼠、鍵盤和遊戲搖桿，遊戲控制功能僅是克服ChromeOS遊戲障礙的一種方法。</p> <p>目前Google釋出的僅是Alpha測試版本，Google先添加必要的元素，以及針對少數預選遊戲啟用鍵盤支援，提供包括自定義按鍵配置、顯示/隱藏按鍵配置，以及停用特定遊戲的控制功能，在用戶第一次啟用支援遊戲控制的遊戲時，介面會出現一個覆蓋圖層，顯示可用鍵盤模擬的各種觸控按鍵。</p> <p>遊戲控制可以將鍵盤輸入轉換為點擊動作，並模擬常用於螢幕虛擬搖桿的觸控和拖動操作，Google特別強調，這個版本僅解決部分遊戲的特定操作問題，但是對於遊戲內的對話和選單導航，用戶仍需要使用滑鼠進行操作，另外，該遊戲控制也沒有解決遊戲在部分視窗大小，或是調整大小時出現的預期外行為。</p> </div></div></div>
2022/9/6 01:26作者李建興https://www.ithome.com.tw/news/152891
微軟更新VS Code Python擴充套件，改進Jupyter筆記本的IntelliSense支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新<a href="https://devblogs.microsoft.com/python/pvsc-sept-2022/">9月VS Code Python擴充套件更新</a>，這個版本更新重點包括除了改進Jupyter筆記本的IntelliSense支援外，還新加入了Flake8擴充套件，另外，Unittest和筆記本圖像貼上功能也在這個版本獲得改進。</p> <p>由於語言伺服器協定的更新，加入了對筆記本的支援，因此現在Python使用語言伺服器Pylance時，對帶有Python核心的Jupyter筆記本，IntelliSense將提供更好的支援。當開發者在筆記本檔案編寫Python程式碼的時候，不僅可以獲得更好的自動完成建議，也可以使用重構功能，像是擷取變數、擷取方法以及自動匯入。</p> <p>微軟分離Python擴充套件功能發布獨立擴充套件的工作持續進行，在pylint、black和isort之後，現在又有一個新擴充套件Flake8，這也是一個使用語言伺服器協定提供linting支援的擴充套件，開發者現在就可以從市集中安裝這個新的擴充套件，官方提到，Flake8能夠與Pylint一起使用，兩者不會互相衝突。</p> <p>Python擴充套件新版本改進Unittest的運作，同時用戶現在也可以方便地將圖片檔案和螢幕截圖，貼上到筆記本的Markdown單元格中，雖然是簡單的小功能，卻能夠在編寫筆記本時更方便。</p> </div></div></div>
2022/9/6 01:27作者李建興https://www.ithome.com.tw/news/152893
【資安日報】2022年9月5日，8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末有許多資料外洩事故發生，其中針對中國的大量資料曝光情況，相當引人注目，這些資料包含了人臉與車牌的高解析度照片，數量達到了8億筆，僅次於6月10億中國民眾資料庫外流的規模。</p> <p>疫情嚴重影響到民眾生計，不少國家政府也針對這樣情況提供補助，而在臺灣，以防疫補助為幌子的詐騙行動在8月變得極為猖獗，值得留意的是，資安業者指出，駭客用於詐騙的網域多半都有gov、gov.tw的字串，而可能讓民眾以為就是隸屬政府的網域，降低戒心填寫相關資料上當。這使得該公司提出識別真假網域的方法。</p> <p>Google於上週末修補了電腦版瀏覽器的零時差漏洞CVE-2022-3075，其他基於Chromium平臺開發的瀏覽器也可能會受到影響，使用者應留意相關公布並儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/30/china-database-face-recognition/"><span style="color: rgb(0, 0, 0);">8億中國車牌、人臉資料曝露在公開網路上，為期數個月之久</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg" style="width: 300px; float: right;" /></a>繼6月有10億中國民眾個資出現於地下論壇，且內含犯罪記錄與就醫情形，引發全球關注，又有大量中國民眾的資料曝露在網際網路。根據新聞網站TechCrunch的報導，資安研究員Anurag Sen在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，曝露時間長達數個月，直到8月相關存取才被封鎖。內容包含了民眾臉部照片，以及在車道路口拍下的車牌號碼，都是高解析度的照片。其中，這些個資會被留存的原因，主要是民眾進入工地或辦公室洽公進行登記。</p> <p>此資料庫隸屬位於杭州的Xinai Electronics，資料量總共超過8億筆。研究人員表示，他還發現有人在資料庫留下勒索訊息，但不清楚資料是否有外流或是遭到破壞的情形。TechCrunch通報後，該公司已悄悄關閉存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.trendmicro.com.tw/?p=73912"><span style="color: rgb(0, 0, 0);">臺灣防疫補助詐騙網址數量8月爆增，已超越上半年總和</span></a></strong></h3> <p>資安業者趨勢科技提出警告，他們發現臺灣與防疫補助有關的詐騙攻擊，在8月份出現大幅增加的現象，與之相關的網址數量較7月多出20倍，且超過今年上半總和。該公司指出，今年8月出現665種與防疫補助相關的變種假網域，如：gov[.]com、wsflsgov[.]tw等，他們呼籲民眾收到相關簡訊應優先檢查網址，並透過政府網站直接申請相關業務，才能減少受騙上當的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi"><span style="color: rgb(0, 0, 0);">俄羅斯大型計程車叫車系統Yandex Taxi遭駭，莫斯科交通大亂</span></a></strong></h3> <p>獨立新聞記者Russian Market在9月1日發現，俄羅斯大型計程車叫車系統Yandex Taxi疑似遭駭，攻擊者叫了大量計程車到莫斯科市的同一條街道上，使得當地交通大亂。Yandex也在3日向新聞網站The Verge證實確有此事，並表示當時街道壅塞現象約在1小時後得到疏通。</p> <p>而對於此起事故的攻擊者身分，駭客組織匿名者（Anonymous）聲稱是他們所為，並表示此次攻擊是與烏克蘭政府號召的IT軍隊聯手，為Operation Russia攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/irs-data-leak-exposes-personal-info-of-120-000-taxpayers/"><span style="color: rgb(0, 0, 0);">美國國稅局不慎披露12萬報稅民眾個資</span></a></strong></h3> <p>9月2日，美國國稅局表示，有部分應視為機密的990-T表單，不慎在免稅組織搜尋服務（TEOS）曝光。華爾街日報（WSJ）指出，這些敏感資料約影響12萬人，疑似在去年美國國稅局開始提供990-T的電子表單就出現，與程式撰寫有關，直到現在才被國稅局員工察覺，該單位開始進行補救，移除不應公開的文件，並重新提供TEOS服務。</p> <h3><strong style="font-size: 22px;"><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/"><span style="color: rgb(0, 0, 0);">三星美國分公司遭駭，客戶個資外洩</span></a></strong></h3> <p>三星於9月2日發布資安通告，他們的美國分公司內部網路環境在7月遭不明人士存取，導致客戶姓名、生日、聯絡方式等個資外洩，並強調社會安全碼（SSN）、金融卡資料則不受影響，不過，對於外洩資料筆數、受害人數，或是攻擊者入侵的管道，該公司並未揭露。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-new-zero-day-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Chrome、Edge瀏覽器已遭用於攻擊行動的漏洞獲得修補</span></a></strong></h3> <p>Google於9月2日針對Chrome電腦版發布105.0.5195.102版更新，當中主要修補了CVE-2022-3075，此漏洞在8月30日獲報，與Mojo程式庫的資料驗證不充分有關，且已經出現攻擊行動。</p> <p>由於這項漏洞很可能影響所有採用Chromium打造的網頁瀏覽器，Edge、Brave、Vivaldi等瀏覽器已發布對應的更新檔案來緩解漏洞。CVE-2022-3075是今年Chrome的第六個零時差漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-falsely-detects-win32-hivezy-in-google-chrome-electron-apps/"><span style="color: rgb(0, 0, 0);">微軟防毒軟體誤將Chrome、Edge瀏覽器當作病毒</span></a></strong></h3> <p>根據科技部落格BornCity的報導，微軟於9月4日發布的防毒軟體Microsoft Defender威脅情報更新檔1.373.1508.0版，竟將同廠牌的瀏覽器Edge識別為惡意軟體，並標示為Behavior:Win32/Hive.ZY威脅。</p> <p>經過使用者互相討論後，發現Chrome與以Chromium為基礎的瀏覽器，以及採用Electron應用程式框架開發的軟體，如WhatsApp、Spotify、Discord，都被微軟的威脅情報視為惡意程式。微軟已發布新的威脅情報定義檔修補上述誤判現象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/10930/6588209"><span style="color: rgb(0, 0, 0);">數位發展部編列1.3億推動國防資安國產化</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3146465/nsa-cisa-odni-release-software-supply-chain-guidance-for-developers/"><span style="color: rgb(0, 0, 0);">美國針對軟體開發者提供軟體供應鏈安全指南</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://koreajoongangdaily.joins.com/2022/09/04/entertainment/television/Korea-Hacking-The-Ministry-of-Sports-Culture-and-Tourism/20220904124247692.html"><span style="color: rgb(0, 0, 0);">南韓政府經營的YouTube頻道遭駭，變成加密貨幣詐騙網站</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/9/5 17:15作者周峻佑https://www.ithome.com.tw/news/152892
Cloudflare還是把Kiwi Farms下架了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供雲端服務代管與安全服務的Cloudflare，<a href="https://blog.cloudflare.com/kiwifarms-blocked/" target="_blank">終於在周日（9/4）宣布</a>封鎖了備受爭議的Kiwi Farms。不過，根據Cloudflare的說法，外界的輿論壓力並非是Cloudflare封鎖Kiwi Farms的直接原因，而是Kiwi Farms上的偏激言論已對生命造成緊急威脅。</p> <p>成立於2013年的Kiwi Farms是一個美國論壇，專門討論與騷擾網路人物與社群，且目標經常是女性、少數民眾、同志暨跨性別（LGBTQ）社群，或是神經多樣性（Neurodiversity）族群，該論壇不僅肉搜這些目標對象，也會展開有組織的煽動與跟蹤行為，透過散布假消息來搞亂目標對象的生活，或是駭進目標對象的網路帳號。有人將Kiwi Farms稱作是騷擾活動的溫床，外界亦將某些自殺事件歸因於Kiwi Farms。</p> <p>Kiwi Farms用戶最近嚴重騷擾的對象之一是加拿大的跨性別擁護者Clara Keffal Sorrenti，駭客入侵了Sorrenti的Uber帳號，並訂購了價值數百美元的食物，還有人向警方報案，宣稱Sorrenti即將展開大規模槍擊行動，就算她逃往歐洲依然被跟蹤，Kiwi Farms的使用者張貼了她所居住的地方，還附上威脅訊息。</p> <p>Kiwi Farms用戶騷擾的對象並不僅限於Sorrenti，Sorrenti與其支持者在兩周前組織了「把Kiwi Farms下架」（Drop Kiwi Farms）的活動，呼籲Cloudflare與其它平臺封鎖Kiwi Farms。</p> <p>Kiwi Farms並非Cloudflare的代管客戶，而是Cloudflare的安全客戶。目前全球有超過20%的網站使用Cloudflare所提供的安全服務，且絕大多數都僅使用免費服務，由Cloudflare協助它們防禦網路攻擊。</p> <p>Cloudflare原本並不同意封鎖Kiwi Farms，<a href="https://blog.cloudflare.com/cloudflares-abuse-policies-and-approach/" target="_blank">指出該公司的代管服務與安全服務的政策是不同的</a>，前者有許多對代管內容的限制，但後者的原則是：任何形式的網路攻擊都應被丟進垃圾桶。</p> <p>依據Cloudflare的看法，終止對Kiwi Farms的服務就如同要求消防隊不應替道德低落的住家滅火一樣，不管是對實體還是網路世界，這都是一個危險的先例，長期還可能對弱勢與邊緣化社群造成重大傷害。</p> <p>不過，支持Sorrenti的使用者愈多，Kiwi Farms用戶便愈偏激，在騷擾升級到生命威脅時，Cloudflare才決定封鎖Kiwi Farms。</p> <p>Cloudflare表示，Kiwi Farms經常張貼令人反感的內容，但這並不足以讓該平臺封鎖它，在一個守法的世界，就算是違法內容也不應透過諸如DDoS攻擊等非法手段來壓制它，這兩周以來該平臺已主動聯繫不同地區的執法機構，提醒可能有潛在的犯罪事件，有鑑於威脅的發展快過於警方的調查，讓Cloudflare決定採取行動。</p> <p>Cloudflare強調，這是因為此案涉及迫在眉睫的生命安全所採取的緊急行動，該平臺對安全服務的政策仍是一致的，這是一個棘手的案例，亦不應被視為先例，法律程序才是處理網路非法內容的正確途徑。</p> <p><a href="https://kiwifarms.net/threads/community-driven-happenings-feed-version-2.114933/" target="_blank">目前使用者已無法藉由Cloudflare基礎設施造訪Kiwi Farms網站</a>，但Kiwi Farms隨時可能透過其它服務東山再起。至於代管Kiwi Farms服務的FiberHub也可能成為Drop Kiwi Farms活動的下一個遊說目標。</p> </div></div></div>
2022/9/5 16:05作者陳曉莉https://www.ithome.com.tw/news/152888
以Rust重新實作讓Tor更安全，官方釋出新專案Arti
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Tor官方釋出一個用Rust重新實作的Tor版本<a href="https://blog.torproject.org/author/nickm/">Arti 1.0.0</a>，目前這個版本已經可用於生產環境。Arti與C客戶端Tor具有類似的隱私度、可用性和穩定性，而嵌入器（Embedder）API也接近完全穩定階段。</p> <p>用戶現在已經可使用Arti代理連接Tor網路，匿名化網路連接，官方提醒，不建議用戶使用傳統網路瀏覽器指向Arti，因為網路瀏覽器會洩漏許多隱私和可識別資訊，最好使用Tor瀏覽器。</p> <p>從2020年Tor官方就已經開始著手以Rust實作Tor協定，而之所以要用Rust重寫Tor，官方解釋，在2001年的時候，C是一個合理的選擇，但他們逐漸發現C的限制，像是C鼓勵以不必要的低階方法，解決程式開發問題，而且要安全地使用C，需要付出許多心力，也由於這些限制，C語言的開發速度總是比期望更慢。</p> <p>還有另一個重要原因，C實作發展這麼多年，早已成為一個不那麼模組化的設計，幾乎所有東西都連結在一起，而這使得程式碼分析和進行安全性改進都變得困難。而轉向以Rust開發，是這些問題的好解方，在2017年的時候，官方就曾嘗試在C Tor程式碼庫中添加Rust，希望有一天能逐步替換程式碼。</p> <p>因為C Tor實作不夠模組化，但要獲得Rust帶來的好處，需要一次重寫整個模組，而非僅重寫單一函式，但能夠被隔離出來用Rust重寫的模組，大部分微不足道，真正需要更換的部分又全部交織在一起，因此要在不破壞程式碼穩定性的情況下，要逐步替換成Rust實作，官方認為是不可能的工作。</p> <p>在2020年，Tor共同創辦人Nick Mathewson開始著手Rust Tor專案，隨後更名Arti作為Tor官方專案，並獲得Zcash Community Grants的資助，使得Tor公司得以聘雇更多的開發者加入開發，歷經數個測試版本，現在終於達到1.0.0里程碑。</p> <p>從開發語言改變來看，官方提到，在每個可比較的開發階段，以Rust實作碰到的臭蟲，都比C開發階段少得多，會遇到的錯誤幾乎都是語意或是演算法錯誤，也就是真正的程式語言開發問題，而非是使用Rust語言及其工具所遭遇到的問題。</p> <p>Rust以學習梯度陡聞名，而且編譯器非常嚴謹，官方提到，一般而言，只要Rust程式碼可以通過編譯測試，在相同條件下，就可能比C程式碼更加正確。雖然是第二次建構Tor，類似功能開發速度本來就會比較快，但官方強調，部分速度提升是因為Rust更具表達式語意，且更可用的函式庫生態系，但主要還是歸功於Rust安全性所帶來的信心。</p> <p>不過Rust還是有一些缺點，像是雖然Rust可移植性比C更好，但還是需要處理作業系統之間的差異，另外，因為Rust的標準函式庫並不會預設安裝在目標系統上，也因此增加二進位檔案的大小，雖然透過使用平臺原生TLS實作改進支援，已經足以消除這個問題，但是仍有一些工作要進行。</p> <p>比起C Tor，官方發現Arti更吸引貢獻者，獲得的程式碼貢獻量更大且摩擦更小，由於Rust強大的類型系統、API文件支援和安全性，極大程度幫助新的貢獻者入手。</p> </div></div></div>
2022/9/5 16:20作者李建興https://www.ithome.com.tw/news/152886
美國國稅局不慎披露12萬民眾的個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irs.gov/newsroom/irs-statement-on-forms-990-t" target="_blank">美國國稅局上周指出</a>，某些應視為機密的990-T表格（Form 990-T）不小心在免稅組織搜尋（Tax Exempt Organization Search，TEOS）服務中曝光了，<a href="https://www.wsj.com/articles/irs-says-it-exposed-some-confidential-taxpayer-data-on-website-11662145232?mod=djemalertNEWS" target="_blank">而《華爾街日報》（The Wall Street Journal，WSJ）則說</a>，這曝露了約12萬名美國人的報稅資料。</p> <p>990-T表格為免稅實體的營業稅申報表格，適用的對象包括免稅組織、政府實體與退休帳戶，用來申報與支付收入中任何與免稅無關的稅賦，可能是投資、房地產或其它資產，但只有慈善機構的990-T表格必須公開，而隸屬於個人的退休帳戶則是機密。</p> <p>然而，國稅局卻在TEOS中允許使用者下載大批屬於個人的990-T表格資料，包含納稅人姓名、聯絡資訊與特定收入，但並未含有社交安全碼、詳細個人資訊或是完整個人所得申報內容。</p> <p>根據《華爾街日報》的報導，此一錯誤是在美國國稅局於去年開始支援990-T電子表格時就出現的，為程式撰寫問題，並在最近幾周才被員工發現。</p> <p>美國國稅局則展開了亡羊補牢的行動，除了已移除這批文件外，也通知那些經常使用該服務的組織刪除不應出現的文件，並準備補上正確的文件。</p> </div></div></div>
2022/9/5 16:40作者陳曉莉https://www.ithome.com.tw/news/152890
Zoom讓用戶使用自有金鑰加密雲端資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對部分具有獨特監管需求企業，視訊會議軟體<a href="https://blog.zoom.us/zoom-customer-managed-key/">Zoom推出客戶管理金鑰（Customer Managed Key，CMK）</a>，使得企業能夠使用自有金鑰來保護重要資訊維持法遵。</p> <p>在2020年4月的時候，Zoom遭踢爆其所宣稱的的端對端加密，僅有文字通訊功能，不適用視訊和音訊，而Zoom也在之後的5.0版本，緊急對所有帳戶啟用AES 256位元GCM加密演算法強化加密安全性。</p> <p>Zoom試圖添加更多的安全性功能，來增加其視訊會議服務對用戶所提供的安全性，特別是醫療保健和金融服務等受嚴格監管的行業，而CMK則是讓用戶使用自己的加密金鑰，以保護特定儲存在Zoom Cloud基礎設施的資料。</p> <p>用戶使用自有的金鑰，可以加密的Zoom資產包括雲端錄音、語音郵件、行事曆存取令牌，以及微軟Teams存取令牌等，而目前用戶自有的金鑰，需要託管在AWS金鑰管理服務（KMS）中，才能使用CMK功能。</p> </div></div></div>
2022/9/5 16:58作者李建興https://www.ithome.com.tw/news/152889
微軟Microsoft Defender更新後誤將Edge及Chrome當作威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周日（9/4）釋出Microsoft Defender 1.373.1508.0安全情報更新，不料卻有不少Windows用戶發現，該更新似乎把Chrome、Microsoft Edge、WhatsApp或Spotify都誤判為Behavior:Win32/Hive.ZY威脅。</p> <p><a href="https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/Hive.ZY&ThreatID=2147830806" target="_blank">根據微軟的說明</a>，此一新的Behavior:Win32/Hive.ZY是用來偵測潛在的惡意程式檔案，使用者在下載或是收到郵件檔案時，開啟前應先確保它們來自可靠來源。</p> <p><a href="https://borncity.com/win/2022/09/04/windows-defender-meldet-flschlich-behaviourwin32-hive-zy-4-9-2022/" target="_blank">Windows暨科技部落格《BornCity》報導</a>，Behavior:Win32/Hive.ZY已成為許多論壇的熱門話題，眾多Windows用戶都遭遇類似的問題，在開啟特定程式時跳出Behavior:Win32/Hive.ZY警告，包括Chrome、Edge、WhatsApp、Discord及Spotify。</p> <p>歸類後則顯示，所有基於Chromium的瀏覽器，或是任何採用Electron框架的應用程式，都會被誤判。</p> <p>微軟似乎發現了此事，已於同一天再釋出1.373.1537.0以修補該臭蟲，Windows用戶可藉由Windows Security中的病毒與威脅防護，來檢查及安裝新版本。</p> <p> </p> </div></div></div>
2022/9/5 14:22作者陳曉莉https://www.ithome.com.tw/news/152885
Google、微軟分別修補已遭開採的瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google和微軟上周分別發布最新版Chrome及Edge，以修補瀏覽器中一個已經有開採活動的高風險漏洞。</p> <p><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop.html" target="_blank">Google表示</a>，Windows、macOS及Linux三個主要平臺的Chrome穩定通道已經更新到版本105.0.5195.102，將在未來幾天或幾周內部署到用戶端，呼籲用戶儘速安裝。</p> <p>Google說明，新版本修補編號CVE-2022-3075的高風險漏洞，出於Mojo的資料驗證不足。Mojo是Chromium中用於進程間或進程內模組間通信（IPC）的runtime函式庫。新漏洞8月底由外部研究人員通報，Google沒有多做解釋細節，只說得知網路上已出現針對CVE-2022-3075的開採程式。</p> <p>這項漏洞也會影響Chromium為核心的Edge瀏覽器。為此，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank">微軟也釋出 Edge 最新版105.0.1343.27版</a>。事實上，<a href="https://www.ithome.com.tw/news/152569" target="_blank">新加坡網路安全主管機關警告</a>，基於Chromium的瀏覽器包括Brave、Opera和 Vivaldi都已更新到最新版本。</p> <p>Google 也曾在2020年4月修補了Mojo元件的沙箱逃逸漏洞，能讓攻擊者在Chrome用戶電腦上執行惡意程式碼。而這也是Chrome今年修補的第6個零時差漏洞，其他漏洞分別在<a href="https://www.ithome.com.tw/news/150121" target="_blank">2、3</a>、<a href="https://www.ithome.com.tw/news/150434" target="_blank">4</a>、<a href="https://www.ithome.com.tw/news/152097" target="_blank">7</a>、<a href="https://www.ithome.com.tw/news/152569" target="_blank">8</a>月安全更新中修補。</p> <p><a href="https://lapcatsoftware.com/articles/clipboard.html" target="_blank">Google上周才被安全廠商Lapcat Software揭露</a>，在Chrome 104版存在一個可讓惡意網站在不需用戶同意下覆寫系統剪貼簿內容的漏洞。不過本漏洞還未獲得Google的證實。</p> </div></div></div>
2022/9/5 13:18作者林妍溱https://www.ithome.com.tw/news/152882
印度法院要求Telegram揭露盜版者個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/09/02/telegram_court_ip/" target="_blank">上周印度法院要求Telegram</a>必須揭露於該平臺上散布盜版內容的使用者個資，宣稱盜版者不受隱私法令或言論自由的保護。</p> <p>此案的控方為一名專門撰寫各科考題及講義的Neetu Singh，Singh先前即曾要求Telegram封鎖那些專門散布其盜版內容的頻道，Telegram也從善如流地關閉了這些頻道，但新的盜版頻道卻依然每天出現，使得Singh請求法院要求Telegram揭露相關頻道的使用者個資，從IP位址、電話號碼、電子郵件帳號，以及所使用的裝置等。</p> <p>Telegram則說，依據其隱私政策，只有在用戶涉及恐怖主義或行動時，才能揭露使用者個資，此外，Telegram的伺服器位於新加坡，且資料是加密的，只有在新加坡法院的要求下才能解密。</p> <p>然而，印度法院的法官Prathiba Maninder Singh指出，盜版並不受到隱私法令或言論自由法令的保護，同時他也不認為此事與Telegram伺服器位置有關，因而要求Telegram在兩周內交出用戶個資。</p> </div></div></div>
2022/9/5 14:00作者陳曉莉https://www.ithome.com.tw/news/152884
聯想公布定位為顯示器的智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯想推出針對娛樂與遠端工作用的<a href="https://news.lenovo.com/pressroom/press-releases/glasses-t1-wearable-display-for-gaming-streaming-privacy-on-the-go/" target="_blank">消費型智慧眼鏡Lenovo Glasses T1</a>，定位為搭配手機或平板的顯示器，預計今年底先於中國市場問世。</p> <p>Glasses T1相容於多數搭載USB-C介面的Windows、MacOS及Android裝置，也可透過聯想或蘋果推出的轉接頭連結iOS裝置的Lightning介面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-%20Lenovo%20Glasses%20T1-600.png" style="width: 450px;" /></p> <p> </p> <p>聯想智慧眼鏡主打具備1080p micro-OLED螢幕，各為解析度1920x1080，可將遊戲或娛樂影音內容，從較小螢幕的智慧型手機、或平板串流至Lenovo Glass T1眼鏡上，享受更寬廣的視覺體驗，而低耗電設計可支援數小時的使用。另一方面，用戶也可以在外工作時將敏感內容串流到隱私螢幕上，可避免機密資訊為旁人讀取。</p> <p>如果用戶剛好用的是聯想Motorola手機，則可以透過Ready For App簡化和這隻智慧眼鏡的整合使用。</p> <p>Lenovo Glass T1預計今年底先在中國上市，2023年起在其他市場開賣，屆時才會公布價格。</p> <p>聯想去年初已宣布了可支援擴增實境（AR）應用的<a href="https://www.lenovo.com/us/en/p/smart-devices/virtual-reality/thinkreality-a3/wmd00000500?orgRef=https%253A%252F%252Fwww.google.com%252F" target="_blank">智慧眼鏡ThinkReality A3</a>，在美國售價為1,500美元。</p> </div></div></div>
2022/9/5 12:37作者林妍溱https://www.ithome.com.tw/news/152881
三星美國系統7月遭駭，客戶姓名、生日等個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/" target="_blank">三星周五公告</a>，該公司美國分公司部分系統於7月遭不明人士存取，導致為數不詳的客戶姓名、生日、聯絡方式等個資外洩。</p> <p>三星是在8月初偵測到系統異常，而在8月4日前後確定此事，證實部分客戶個資受影響。三星表示已強化受影響的系統，已和外部安全業者合作進行調查。該公司也在上周通知受影響的用戶。</p> <p>三星表示，這次事件「可能影響」客戶姓名、聯絡方式及人口學資料、生日、產品註冊資訊。這些資訊是三星為提供相關產品和服務而蒐集。但這家電子業巨人強調客戶社會安全碼、信用卡或簽帳卡號不受影響。</p> <p>三星表示，在調查過程中，用戶不必有什麼特別動作，但建議用戶小心帳號是否有可疑活動，並留意任何詢問個資的網頁，也不要點選不明郵件附件或連結。</p> <p>這也是三星今年證實的第二宗資料外洩。三月間因駭入Nvidia、微軟而聲名大噪的青少年駭客集團<a href="https://www.ithome.com.tw/news/150067" target="_blank">Lapsus$，也曾經駭入這家南韓電子業大廠</a>，並宣稱取得包括Galaxy裝置原始碼在內的機密資料，這些駭客並公布了三星190GB的資料檔案。</p> </div></div></div>
2022/9/5 11:46作者林妍溱https://www.ithome.com.tw/news/152879
俄國最大叫車軟體遭駭，造成鬧區交通大亂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯最大叫車軟體Yandex Taxi上周遭駭，大量計程車同時被叫到同一個地方，造成莫斯科鬧區交通大亂。</p> <p><a href="https://twitter.com/runews/status/1565319649683804160" target="_blank">當地媒體上周報導</a>，俄羅斯最大計程車Yandex Taxi的叫車App遭不明人士駭入，把所有計程車同時叫到莫斯科車水馬龍的大街Kutuzov Prospect上同一目的地，大量計程車造成的壅塞令莫斯科市交通大亂。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Someone hacked <a href="https://twitter.com/hashtag/YandexTaxi?src=hash&ref_src=twsrc%5Etfw">#YandexTaxi</a> and ordered all available taxis to Kutuzov Prospect in Moscow</p> <p>Now there is a huge traffic jam with taxis.</p> <p>It‘s like James Bond movie. <a href="https://t.co/IatuAEtA2i">pic.twitter.com/IatuAEtA2i</a></p> <p>— Russian Market (@runews) <a href="https://twitter.com/runews/status/1565319649683804160?ref_src=twsrc%5Etfw">September 1, 2022</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="http://twitter.com/runews/status/1565319649683804160" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Russian Market on Twitter</span></span></a></p> <p><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi" target="_blank">Yandex也在周日對《The Verge》證實</a>，子公司Yandex Taxi於9月1日遭到擾亂服務的攻擊，數十臺計程車司機接到大量發出的叫車訊息到Kutuzov Prospect大街所在的區域。但Yandex指這場混亂只持續不到一小時，該公司也升級偵測與防範攻擊的演算法，以防止未來此事重演。</p> <p><a href="https://twitter.com/YourAnonTV/status/1565786732901048323" target="_blank">知名駭客組織Anonymous主動出面承認此事是其所為</a>。Anonymous表示這是該組織與烏克蘭IT軍隊合作發動名為Operation Russia的網路攻擊行動的一環。</p> <p>俄烏戰爭自3月爆發以來，西方與俄羅斯陣營的駭客相互發動攻擊行動。在戰火持續7個月期間，站在西方陣營的駭客組織Anonymous陸續駭入<a href="https://www.ithome.com.tw/news/149630" target="_blank">俄羅斯政府單位及國家電視臺網站</a>、衛星系統、國有油管業、<a href="https://www.ithome.com.tw/news/150157" target="_blank">石油業設備業者網路</a>，公布大量內部機密資料，也曾駭入企業的多處<a href="https://www.ithome.com.tw/news/149982" target="_blank">攝影機</a>及<a href="https://www.ithome.com.tw/news/149630" target="_blank">印表機</a>以公布抗議俄羅斯軍事行動的訊息。</p> </div></div></div>
2022/9/5 12:07作者林妍溱https://www.ithome.com.tw/news/152880
美國科羅拉多州把美術比賽冠軍頒給以AI創作的作品，惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國科羅拉多州博覽會在今年的美術（Fine Art）競賽中，把數位藝術類別的冠軍頒給了Jason Allen，由於Allen的畫作是由AI圖像自動生成系統Midjourney所產生的，而惹來了爭議。</p> <p>這幅畫作名為《歌劇院空間》（Théâtre D’opéra Spatial），利用Midjourney合成具備華麗巴洛克風格的裝飾與人物，以及詭異又磅礴的氣氛。</p> <p class="rtecenter"><a href="https://commons.wikimedia.org/wiki/File:Th%C3%A9%C3%A2tre_D%E2%80%99op%C3%A9ra_Spatial.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jason%20Allen%20via%20Midjourney-Public%20domain-via%20Wikimedia%20Commons-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://commons.wikimedia.org/wiki/File:Th%C3%A9%C3%A2tre_D%E2%80%99op%C3%A9ra_Spatial.jpg" target="_blank">Jason Allen via Midjourney, Public domain, via Wikimedia Commons</a></p> <p>雖然Allen得獎的類別為數位藝術，但仍受到許多創作者的批評，例如<a href="https://twitter.com/GenelJumalon/status/1564651635602853889" target="_blank">視覺效果藝術家Genel Jumalon認為</a>這真的太糟糕了。底下則充斥著許多認同Jumalon觀點的留言，指出以AI創作的人不應稱為藝術家；質疑Allen連數位畫筆都沒拿就得了冠軍；還有人認為大家正在見證藝術的死亡，並說倘若連創意都無法自絕於機器之外，那麼各種高技能的工作也將會被機器淘汰。</p> <p>但也有少數聲援Allen的民眾，包括說他獲得「數位藝術」類別的首獎是實至名歸，也有人呼籲應該要將AI創作獨立成一個藝術類別。</p> <p>Allen所使用的Midjourney是由同名的實驗室所開發的AI專案，藉由創作者的文字就能自動生成圖像，類似<a href="https://www.ithome.com.tw/news/150301" target="_blank">OpenAI的DALL-E 2</a>，英國新聞期刊《經濟學人》（The Economist）今年6月號的封面便是利用該系統產生，<a href="https://www.midjourney.com/home/" target="_blank">Midjourney也在今年7月開放外界試用</a>。</p> <p>至於Allen則說，他利用Midjourney創作了超過100幅的作品，挑選了其中的3幅列印並參賽，最喜歡的那一幅獲得了首獎，之後他也打算公布所使用的文字敘述。</p> </div></div></div>
2022/9/5 10:40作者陳曉莉https://www.ithome.com.tw/news/152875
EFF：美國警方藉由資料掮客私下追蹤嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會<a href="https://www.ithome.com.tw/news/152774" target="_blank">（FTC）甫於本周控告</a>蒐集行動裝置位置資料的資料掮客Kochava侵犯使用者隱私，<a href="https://www.eff.org/deeplinks/2022/06/what-fog-data-science-why-surveillance-company-so-dangerous" target="_blank">電子前線基金會（Electronic Frontier Foundation，EFF）緊接著就點名另一家資料掮客Fog Data Science</a>，指控該公司提供給警方的Fog Reveal服務，可在未取得法院搜索票的情況下追蹤民眾的生活。</p> <p>Fog與Kochava的業務類似，它蒐集了全美2.5億手機的即時位置資料，估計每天會產生150億個位置訊號，包括裝置的經緯度、時間戳與裝置ID，除了將相關資料出售給廣告主之外，還特別替警方設計了Fog Reveal訂閱服務，年費介於6,000~9,000美元之間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Fog%20Data%20Science%20by%20%E9%9B%BB%E5%AD%90%E5%89%8D%E7%B7%9A%E5%9F%BA%E9%87%91%E6%9C%83%20(EFF)-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／電子前線基金會（EFF）</span></span></p> <p>Fog Reveal服務每月可執行100次的查詢，包括區域搜尋與裝置搜尋，前者可用來蒐集某個時刻在某個地點所出現的所有裝置ID，後者則可用來追蹤特定裝置ID的位置。因此，即使這些資料都是匿名的，但警方將可藉由比對位置資料來得知裝置主人的身分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Fog%20Data%20Science%20by%20%E9%9B%BB%E5%AD%90%E5%89%8D%E7%B7%9A%E5%9F%BA%E9%87%91%E6%9C%83%20(EFF)-600-2.png" style="width: 512px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／電子前線基金會（EFF）</span></p> <p>更值得爭議的是，Fog並未要求警方在查詢之前必須取得法院的搜索票，代表這些警察客戶任何時候都可查詢曾聚集在某處的裝置，或是追蹤某個裝置的足跡，而這是違反美國憲法《第四修正案》的。</p> <p>EFF呼籲美國立法者應該要立即採取行動，禁止美國政府機構購買於公開市場上出售的地理位置資料，也需要建立更全面的消費者資料保護法令，同時封鎖網路上的行為定向廣告，才能減少這類掮客的存在。</p> </div></div></div>
2022/9/5 11:04作者陳曉莉https://www.ithome.com.tw/news/152876
Meta開源可加速並簡化資料管理系統開發的統一執行引擎Velox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源與英特爾、字節跳動與Ahana共同開發的統一執行引擎<a href="https://engineering.fb.com/2022/08/31/open-source/velox/">Velox</a>，這是一個加速資料管理系統並簡化其開發的函式庫，Velox目前仍在開發中，但是已經被驗證可提高資料管理系統的效率和一致性，Meta認為，Velox有助於整合和統一資料管理系統，因此希望開源社群加入專案貢獻，加速函式庫開發和採用。</p> <p>在Meta有數十個資料運算引擎，組成龐大的基礎設施生態系，以支撐Meta所提供的產品和服務，這些引擎處理著不同的工作負載，包括SQL分析、串流處理以及資料擷取等，而且在人工智慧和機器學習用例快速發展下，特徵工程、資料預處理和其他用於機器學習和服務的引擎和函式庫隨之增加。</p> <p>Meta提到，雖然資料運算引擎有其相似之處，但是引擎大多是獨立發展，這種碎片化讓維護和改善這些系統變得困難，而且執行這些工作負載的硬體也會逐漸更新，最終導致系統具有不同的功能集和不一致的語義，降低整體資料功能集的生產力。</p> <p>為了要解決這個問題，Meta打造了Velox來建構更高效的基礎設施架構，Meta提到，這是一個最新的統一執行引擎，目的是要加速資料管理系統，並且簡化開發。Velox統一了資料運算引擎常見的資料密集元件，但同時又可擴充和適應不同的計算引擎，其擴展原本僅能在個別引擎進行的最佳化，並且實現一致語義框架，如此能夠減少重複工作，提高重用性同時增加了效率和一致性。</p> <p>Meta進一步解釋，資料運算引擎皆由相似的邏輯元件組成，包括語言前端、中介表示、最佳化程式、Runtime和執行引擎，而Velox提供建構執行引擎所需要的模塊，包括所有在單個主機執行的資料密集操作，像是表示式評估、聚合、排序和聯合等，簡言之就是資料平面。</p> <p>Velox透過統一函式庫整合資料運算系統的執行引擎，能夠讓資料運算系統更具適應性，目前Meta已於十幾個資料系統整合Velox，包括Presto、Spark和TorchArrow，還有各種內部串流處理平臺、資料擷取系統和用於特徵工程的機器學習系統等。Meta希望透過建構開源社群來支援Velox專案，並且統一各資料運算引擎孤島，模糊機器學習基礎設施和傳統資料管理系統之間的界線。</p> </div></div></div>
2022/9/5 11:09作者李建興https://www.ithome.com.tw/news/152868
【iThome 2022 CIO大調查(下) 政府與學校IT趨勢】大幅強化資安投資，政府機關加碼AI、Cloud兼顧數…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_-1p-wen_bin_-zheng_fu_xue_xiao_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年政府與學校的IT預算為1億5,233萬元，較2021年成長5.1%，從CIO們對今年的前10大IT目標來看，資安仍然是大多數政府與學校CIO的目標之一，高達8成的CIO的今年目標就是強化資安，顯示政府機關面臨日益頻繁的駭客攻擊風險，如何提升資安防護已是政府與學校面臨的重大挑戰。</p> <p>然而，公部門的轉型腳步沒有停滯，近6成的CIO今年仍將持續推動數位轉型，而為了支援機關業務的變革，屬於後勤性質的IT也要跟上腳步，包括推動IT現代化、確保IT穩定與一致、加快IT反應能力與彈性、用AI強化分析與決策、推動資料治理都是10大目標之一，接近半數或半數以上CIO將其列為重要的工作。值得一提的是，這兩年在疫情衝擊之下，強化數位韌性也成為重要課題，甚至在全球趨勢興起下，公部門也開始重視ESG，首次進入前10大目標中。</p> <p>從八大重點投資來看，呼應前面10大目標，今年對數位轉型的投資雖小幅下滑2.1%，但是在強化資安的目標之下，政府與學校對資安的投資金額今年大增2成，從1,672萬元增加至 2,009萬元。</p> <p>至於Big Data方面的投資大幅下滑27.6%，可能已完成資料蒐集、分析的基礎工作，相對地，對AI機器學習、Cloud、邊緣運算（IoT）的投資都有增加，尤其是對AI機器學習的投資增幅31.9%最高，對Cloud也增加24%、邊緣運算（IoT）則是15.8%。</p> <p>政府與學校導入AI的目的，包括優化內部流程、優化營運決策、解決人力不足問題，讓員工從事更有價值的工作，並累積AI經驗及實力。目前僅有1成7已在產品或服務採用AI，3成4規畫導入AI，尚處於技術測試及驗證階段，還有2成7有興趣採用，正在規畫但還沒進行。</p> <p>至於對Cloud的投資，一方面呼應加快IT反應能力及彈性的目標，另方面也是因應新常態的IT對策之一，從調查中可以看到，除了強化遠端工作能力、工作場所的數位化，提高IT上雲比重被視為重要的對策。此外，這次調查也發現政府與學校CIO對ESG永續發展的做法，除了加速內部作業的無紙化、提升機房節能省電耗電，另一個做法就是提高上雲比重。</p> <p>從今年將採用前10大科技來看，大數據分析、AI/ML、敏捷開發、Kubernetes、多雲混合雲等仍受青睞，顯示政府學校推動數位轉型，內部IT也追求現代化，以迎合資源的彈性運用、快速開發及部署需求，值得一提的是，FIDO網路身分識別、區塊鏈進入前10名，其中FIDO更排名第2，僅次於大數據分析，FIDO受到高度重視的原因可能和內政部結合FIDO推出行動自然人憑證有關，以生物辨識取代密碼，滿足身分識別與使用的便利性，提高公部門採用FIDO的意願。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者蘇文彬https://www.ithome.com.tw/article/152828
【iThome 2022 CIO大調查(下) 服務業IT趨勢】持續加碼轉型，服務業大力發展數位通路經營顧客數據
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_-1p-you_hua_-fu_wu_ye_960zhu_tu__0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從iThome 2022 CIO大調查結果可見，今年服務業格外積極加碼數位轉型，投入轉型的預算比去年大幅增加了近5成，比整體企業平均高出近900萬元。疫情持續延燒，大幅改變了消費和生產型態，仰賴與客戶接觸的服務業，也逐漸找到因應新常態的方向：發展新服務通路、積極經營顧客關係，來累積更多顧客數據，作為優化業務和行銷的重要參考。</p> <p>連續2年疫情，許多過去完全沒有線上業務，重度依靠實體通路的服務業者，遭受嚴重打擊。為了彌補線下通路的損失，從今年調查可以看到，比起其他產業，服務業CIO更重視發展電商模式和提升業績，將這2項目作為今年目標的CIO比例，幾乎高出其他產業1倍。</p> <p>新常態的考驗下，服務業IT也比其他產業更欲增強與業務部門合作，還要增加數位通路的投資，將商業模式與產品更數位化和服務化。服務業者不是要放棄線下轉攻線上，而更想要兼顧或者整合兩種截然不同的通路型態。約17%的服務業者今年要發展OMO策略，強化實體與數位通路整合，在前端，整合全通路面向消費者的業務，以提升服務品質，甚至導流顧客到不同通路以增加消費頻率，後端系統上，則要整合財務、顧客管理等系統，以在服務重心逐漸偏向全通路的同時，掌握企業營運情況。</p> <p>服務業的新常態IT對策中，有一項採用率遠高於其他產業的項目，就是增加顧客大數據的投資。通路多元化帶來的挑戰，就是顧客數據會分散在不同的接觸點，增加數據梳理難度。越是依賴數位通路，雖然帶來更多潛在顧客，相對也帶來了更多的潛在競爭者。為了在競爭更激烈、規模更大的市場中獲客及留客，服務業者需要深度了解客群特徵，才能強化經營策略的差異化競爭力。在麗緻餐飲集團服務16年的前資訊部經理林峻正表示，為了掌握客群樣貌，再加上近年第三方數據用於行銷逐漸失靈，服務業者開始建置顧客數據平臺等數據蒐集技術或服務。</p> <p>服務業今年另一大IT投資重點是行動應用，預算比去年多了16%。隨著顧客數據經營的重要性提升，更多服務業者開始重視行動應用的跨通路數據蒐集功能。行動應用不只可以累積顧客瀏覽行為和訂單內容等個人化資訊，也能觀察消費者偏好的通路或服務項目，作為未來發展的參考。不過，餐旅業者薰衣草森林資訊管理部經理張志豪提醒，若自家行動應用在消費者裝置的留存率跟使用率不高，可以考慮尋找替代方案，例如通訊平臺，作為新的顧客接觸點，來彌補顧客數據的缺口。</p> <p>另一個服務業值得觀察的趨勢是，採用雲端技術的企業占比高達72.3%，比整體產業平均比例高出約15%，其中，54.5%的企業上雲程度較輕，AP上雲比例不到一半。因疫情重創營收的服務業，更加重視成本控管，由於初期建置成本較低，財務彈性讓更多服務業願意開始上雲，也成了新常態發展線上服務的重要基礎建設。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者郭又華https://www.ithome.com.tw/article/152829
薰衣草森林整合多業態系統，將IT難題轉為會員精準行銷助力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們連一個月賣幾杯咖啡都不知道，山裡一下雨就怕網路斷線，怕得冒雨修一整天的網路！」薰衣草森林資訊管理部經理張志豪至今記憶猶新，他剛到職時，公司軟硬體老舊到連日常營運都難以維持。</p> <p>創立超過20年的薰衣草森林是中部的熱門景點，不只休閒農場，後來更發展出了複合式餐廳、婚宴會場、民宿、青年旅館、選物零售店等不同的經營型態，多達8個品牌。</p> <p>雖然薰衣草森林據點不到30處，但涵蓋了園區、婚宴、零售、餐飲及住宿等5種很不一樣的業態。張志豪指出，業態不同，對資訊系統的功能需求大相逕庭，例如餐飲業必備劃位功能，而住宿業仰賴訂房管理。甚至，單一品牌涉及多種業態時，例如園區內有餐廳和紀念品銷售，系統還得更彈性。</p> <p>由於業態需求太多元，2017年時，薰衣草森林有意更換前端POS及後端ERP系統時，遲遲無法找到一套可以適用這5種業態的系統，也難以和廠商有效溝通繁多的客製化需求。張志豪就是此時進入薰衣草森林，首要任務就是負責導入新系統。但是，他沒有料想到，薰衣草森林的IT困境，遠不只如此。</p> <p><span style="font-size:28px;"><strong>系統過時導致日常工作繁複，日常工作繁複又拖延系統更新進度</strong></span></p> <p>到職後，張志豪才發現「追帳」是公司一大難題。總公司的會計常常會遇到前線回傳的財務資料錯誤或缺漏，必須聯繫營運現場釐清狀況，才能再到財務系統手動修正紀錄。因為涉及營運現場、會計部門及IT部門三個單位的溝通，追帳一次得花1到2周。可是，錯帳情況每天發生，導致待處理的錯帳問題堆積如山，大幅拖累其他日常工作。薰衣草森林當時IT只有2人，支援追帳的處理嚴重影響了新系統導入進度。</p> <p>錯帳頻繁最大原因是，當時的POS沒有串接ERP，資料需要手動拋轉，且途徑相當複雜。張志豪以園區帳務舉例，POS資料要先集中到園區內伺服器，再往總公司拋轉，然後才能儲存到ERP系統歸檔。拋轉途徑複雜，常常又遇到網路斷線，導致錯漏百出。帳務錯漏的起因是資訊系統老舊，但繁複的追帳作業又拖慢了新系統導入，形成了雞生蛋、蛋生雞的難解關係。張志豪坦言，那時相當煎熬，但是，「除了堅持推動軟硬體改革，別無他法。」</p> <p><span style="font-size:28px;"><strong>翻新網路硬體建設，耗費2年在深山中架設光纖網路及Wi-Fi</strong></span></p> <p>薰衣草森林4個觀光園區是當時的營收主力，維持日常營運跟帳務正確尤其重要，然而這四處園區位於偏鄉，網路最容易發生問題。以山上園區為例，網路訊號全靠一條同軸電纜提供，隨著園區內擴大服務，電纜越鋪越密，形成了錯綜複雜的地下網絡。可是，張志豪坦言，電纜的缺點是，一旦下大雨、打雷，網路設施就可能故障，IT就得親自上山。為了清查數百公尺長網路線的故障範圍，IT必須冒著風雨，花上一整天，來回測試所有網絡節點。網路硬體問題，不僅讓薰衣草森林的資訊系統錯誤百出，日常維護工作也成了IT人員的惡夢。</p> <p>為了根治網路問題，張志豪決定重新架設網路線路，改用光纖取代同軸電纜。然而園區的位置越偏遠，光纖網路架設的成本就越高，薰衣草森林與網路供應商花了超過1年，才翻新所有園區的網路建設，並同步架設Ｗi-Fi網路，為線上訂劃位等未來數位應用布局。</p> <p><span style="font-size:28px;"><strong>釐清各品牌資訊系統需求及痛點，整合多業態前後端系統</strong></span></p> <p>薰衣草森林先前汰換系統碰壁的主要問題是，難以跟廠商準確溝通複雜的系統客製需求，因此張志豪從釐清各品牌IT需求著手。不過，困難的是，薰衣草森林旗下各品牌分別由各自獨立的事業處管理，導致各自的資訊相當零碎，又不易在跨品牌間流通。缺乏資訊完整全貌，公司又時逢人事變動，難以找到熟知全局的關鍵人物。</p> <p>張志豪只好一一到每個品牌訪談大量員工，自己從中拼湊資訊。過程中，張志豪遇到兩大問題，分別是各品牌對特定用詞定義不同，以及各品牌的使用者數據缺乏統一的系統參數，這不只讓他更難解讀集團營運的整體狀態，也不容易對外溝通系統開發需求。</p> <p>用詞定義問題，以不同業態對來客數的定義為例，餐廳會用實際到店數來計算來客，紀念品店卻用開立的發票數來計算，一家人來園區吃飯購物，卻在兩家店計算的來客數完全不同，會帶來製作整體營運報表時的整合困難。張志豪說，「關鍵用詞若只用概略意義來溝通，得出來的資訊系統需求會大幅偏離實情。」</p> <p>第二個問題是跨品牌參數統一的挑戰，由於不同品牌管理和營運各自獨立，過去沒有從集團角度來設計資訊系統，缺乏了一套通用的編碼規則。例如，同樣都是黑咖啡的品項，在餐廳的系統代碼是G2，到了園區咖啡廳卻用T1來紀錄，當這兩處的銷售資料回傳到總公司製作報表時，因為代碼不同而被視為兩種不同的商品，增加了數據解讀的複雜度。當時在舊系統出現許多這類問題，不只增加報表解讀難度，總公司也難以盤點中央倉庫和各地存貨，來交叉比對產銷存數據的正確性。</p> <p>花了一番功夫，彙整出各品牌的用語定義及系統使用習慣，才逐步掌握了每個品牌的業務細節及系統需求。整理出各方需求後，張志豪發現只有住宿業的系統需求和基礎建設，與其他業態差距較大，因此決定先整合住宿業以外的4種業態，重啟系統客製專案，由原供應商調整POS系統，再找來國外ERP產品，進行報表的本地化法遵調整及系統串接，才於2020年完成POS和ERP的導入。張志豪當初臨危受命的任務，歷經兩年半終於告一段落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-CIO-2P-%E5%8F%88%E8%8F%AF-%E8%96%B0%E8%A1%A3%E8%8D%89%E6%A3%AE%E6%9E%97.png" style="width: 480px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span><br /> <span style="font-size: 20px;"><strong>薰衣草森林資訊部管理部經理張志豪認為，IT最重要的責任就是確保日常營運順利，如果系統跟網路不穩定，公司只會停滯不前。</strong></span></span></p> <p><span style="font-size:28px;"><strong>線下業績衰退，疫情中緊急數位轉型，發展線上通路及顧客關係</strong></span></p> <p>薰衣草森林軟硬體建設相繼落成，公司日常營運順利許多，尤其POS跟ERP直接串聯後，錯帳情況便鮮少發生。然而，薰衣草森林卻開始面臨業績衰退問題，隨即而來的疫情，更是讓大部分線下通路的業績直接歸零。2020年的薰衣草森林，只有一個簡單的電商網站，沒有App，也沒有任何數位行銷手段，張志豪形容，那時公司好像從沒有網路的平行世界，突然被拉回現實。</p> <p>線下業績大幅衰退，薰衣草森林不得不展開數位轉型，但如何執行，只有線下經驗的他們毫無頭緒。後來，他們偶然發現，自家民宿有家合作旅行社，竟然在疫情影響下，依然能帶來穩定的客源。張志豪很好奇，一問才知道，這家旅行社主打瑜珈行程，薰衣草森林高層才發現，自家民宿有一群瑜珈愛好者的穩定客群。</p> <p>「原來我們不認識自己的客人，也不知道如何與他們溝通。」張志豪恍然大悟，也因此，他找到了兩大轉型方向，一是打造會員系統來接觸顧客，二是優化線上顧客接觸點，讓顧客更容易發現薰衣草森林的品牌。</p> <p>張志豪強調，數位轉型最重要的前提是高層主管的認同，因此，他們舉辦了多場事前會議，與高階主管溝通來獲得對轉型計畫的支持後，才開始著手打造會員制度跟系統。張志豪甚至找來多位高階主管到處參訪，從手搖飲料店、健身房以及服飾品牌等異業企業，向他們學習會員經營思路和做法，作為發展自家會員經營的基礎。</p> <p>薰衣草森林發展會員制度的目標是，讓會員跨品牌相互導流，來增加消費頻率。他們也從會員系統介面著手，強化線上與線下通路會員數據的搜集，匯入到後端CRM資料庫統一分析，作為行銷和產品開發參考。</p> <p>服務業常用App作為向會員行銷和溝通的窗口，不過，張志豪指出，薰衣草森林顧客平均回訪周期長達兩年，App在顧客手機中的留存率一定不高。因此，他們最後決定不用App，改用通訊軟體Line官方帳號功能來打造會員服務入口，也導入商用顧客行銷服務，進行會員資料貼標分析及行銷。從此，「我們只要專心經營會員，不用說服顧客下載App，更不用維護App。」他說。</p> <p>挑選CRM廠商時，張志豪才發現當年與POS廠商的合約已經包含了CRM。考量到成本跟系統相容性，薰衣草森林決定採用原廠商CRM作為會員資料庫。然而，儘管CRM容易與自家同廠商的POS系統串接，卻難以和薰衣草森林的電商系統及通訊軟體進行串接。為此，薰衣草森林又找了數據服務商，打造中臺串接CRM、通訊軟體及電商系統，這才完成所有系統的資料拋轉路徑，將數據蒐集點完整覆蓋所有通路。</p> <p>除了打造新的會員單一窗口後，薰衣草森林也積極優化顧客線上接觸點，包括各品牌的官網以及Google公開資訊。張志豪認為，線上接觸點就是顧客找到自己的管道，必須資訊清晰、操作容易。對使用者體驗不佳的品牌官網，張志豪要求品牌事業處重新設計，甚至直接淘汰只提供最基本資料的簡單官網，轉而直接在Google商家資料處更新，確保顧客有單一準確的資訊來源，甚至連在Google地圖上的園區定位點，都重新定位到營運處正門口。這些看似簡單的小動作優化，是引導顧客的重要環節，讓顧客更容易找到想到訪的品牌，甚至可以避免顧客在山上迷路，而留下園區難找的負面印象。</p> <p><span style="font-size:28px;"><strong>下一步要強化會員跨品牌間的導流</strong></span></p> <p>薰衣草森林新一代會員系統在2022年6月上線，各品牌線上接觸點整頓完成，住宿業系統也在期間完成更新，以利後續串接至其他系統，達成了第一階段的數位轉型目標。會員系統上線2個月，就以30%人流捕獲率（訪客成為會員的比例）累積了超過2萬名的會員。張志豪說，下一步除了要持續優化接觸點，更要強化會員制度的跨品牌導流功能。</p> <p>張志豪透露，未來各品牌都要開發會員兌換品項，如民宿住宿券、餐飲抵用券等，來吸引顧客使用會員功能，更能透過獎品讓會員接觸旗下其他品牌，實現跨品牌導流及累積會員數據。</p> <p>累積足量會員數據後，薰衣草森林將進行進階會員分析及精準行銷，也計畫開發跨品牌的旅遊行程和商品組合，依據會員喜好進行智慧推薦。多業態特性不再是資訊系統開發的負擔，而將成為創造會員客製化、多元化體驗的優勢。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT經理人小檔案 </span></strong></span></p> <p><strong>薰衣草森林資訊管理部經理張志豪</strong></p> <p>學歷：政治大學資訊管理系</p> <p>經歷：曾在台灣大哥大服務6年，期間擔任資訊工程師，累積系統程式開發經驗。於2013年至越南美豐鞋業擔任越南當地資訊主管，歷時3年半。2017年至薰衣草森林任職，先完成新ERP、POS系統導入，而後全力推動集團數位轉型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/26_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%96%B0%E8%A1%A3%E8%8D%89%E6%A3%AE%E6%9E%97_%E5%AE%98%E7%B6%B2.jpg" style="width: 400px;" /></p> <p><strong>薰衣草森林</strong></p> <p>成立時間：2001年</p> <p>主要業務：旅遊園區、民宿、生活選品、婚宴莊園、餐飲</p> <p>員工數：270人</p> <p>董事長：王村煌</p> <p>資訊部門主管職稱：資訊管理部經理</p> <p>資訊部門主管姓名：張志豪</p> <p>直屬主管：董事長王村煌</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門人數：2人</p> <p>IT預算：200~500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2020年1月：集團新ERP及POS系統上線</p> <p>2021年2月：導入新人事薪資系統</p> <p>2021年5月：民宿新線上訂房及管理系統上線</p> <p>2021年7月：新電商系統上線</p> <p>2021年9月：導入Google Workspace</p> <p>2021年12月：旅遊園區餐廳導入線上訂劃位系統</p> <p>2022年6月：推出森旅人會員制度，以Line做為會員溝通介面，整合線下實體門市POS、線上電商及CRM系統。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-cio-2p-you_hua_-xun_yi_cao_sen_lin_.jpg" width="960" height="420" alt="" title="薰衣草森林資訊管理部經理張志豪　（攝影／洪政偉）" /></div></div></div>
2022/9/5 07:00作者郭又華https://www.ithome.com.tw/people/152834
【iThome 2022 CIO大調查(下) IT對焦新挑戰】聚和靠IT因應兩面向的挑戰，將分5階段達到ESG低碳轉型…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣今年進到後疫新常態，2年來歷經疫情多次起伏，如今每日確診人數維持2～3萬人不等，加上全臺近四分之一的人口染疫，防疫政策跟著調整，走向與疫情共存的新常態，不只民眾，許多企業開始學習與COVID-19病毒共存。</p> <p>身為40年本土老牌化工廠，聚和國際早在本土疫情爆發前，就展開數位轉型旅程，這段期間導入非接觸式門禁刷臉，生產線也結合AGV與機械手臂等自動化設備，搭配AOI瑕疵檢測，來達成檢驗、封裝到搬運的全自動流程，後來順利幫助這家公司度過了疫情的難關。</p> <p>進到2022年，面對不同以往的新常態，聚和國際資訊中心協理王邦畯就表示，今年將持續推動數位轉型，強化全公司遠端工作能力，仍是今年後疫新常態的首要重點，但他強調，這麼做的原因，不是要所有人全面改為居家辦公，而是要做好因應疫情變化的準備，以便隨時調整成遠端辦公的工作模式，來維持企業營運。</p> <p>疫情下的共存，遠距工作成為常態，許多員工改為遠端工作、遠端會議頻率也大幅升高，所以，對於資安強化，成為聚和資訊部門今年因應新常態另一項IT考驗，來確保遠端連線安全，乃至終端裝置安全存取等，避免資安破口。</p> <p>除了應對新常態的改變，王邦畯今年還有另一項IT挑戰需克服，就是運用IT因應ESG目標實現低碳，甚至是零碳轉型。這也與今年iThome CIO大調查中的趨勢不謀而合。</p> <p>王邦畯解釋，化工廠雖不像鋼鐵、石化業首當其衝，但聚和許多國際客戶，都因為ESG永續目標，開始對供應商提出減碳需求，也因為國際趨勢如此，所以，「我們必須要跑在前頭」他說。</p> <p>王邦畯將聚和低碳轉型過程分5階段，有前期準備、碳排放盤查、碳足跡分析、碳減量，以及外部抵換機制，來抵銷碳排，以此達到碳中和的目標。</p> <p>2年前，聚和IT先從建置能源管理系統做起，透過系統即時掌握設備能耗來調整用電，逐步減少碳排。接著全面展開碳盤查工作，像是在主要耗電設備上安裝感測器，透過各種數據蒐集，來進行碳足跡盤查計算，今年初更取得國際認證，包含ISO14064溫室氣體盤查及ISO 14067碳足跡盤查。經過盤查後，聚和在範疇一、二與範疇三的碳排量占比，約為6比4。完成碳盤查後，今年接著進到數據分析、碳減量的執行階段。</p> <p><span style="font-size:28px;"><strong>由資訊長高度參與ESG委員會決策</strong></span></p> <p>身為聚和數位轉型的重要推手，王邦畯今年一方面持續推動內部數位轉型，另一方面，也將數位轉型計畫對齊ESG目標。他表示，低碳轉型過程中，各類碳盤查會產生龐大資訊量，如何透過數據蒐集、分析及監測，來達到減碳目標，必須高度仰賴IT。</p> <p>也因此，聚和推動ESG減碳過程中，不論是設定減量目標、推動策略和執行方案，都由IT部門主導，王邦畯還因此加入經營高層組成的ESG委員會，協助公司制定長期永續策略，更由他擔任召集人，在每個月定期會議中，提出改善永續對策。這是在一般製造業少見的做法，只有在高科技製造業較為常見。</p> <p>接下來，王邦畯還要建置碳排放儀表板，透過視覺化儀表板來掌握各種設備、生產項目產生的碳排量變化，不只方便查看，也用於落實各項減量目標。</p> <p>而這些年來，聚和IT團隊為了提高工廠製程良率，所打下的資料科學應用基礎，在今年也獲得更深、更廣的應用，像是用於節能減碳上，結合AI數據分析提供更好的改善方案。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者余至浩https://www.ithome.com.tw/news/152835
【iThome 2022 CIO大調查(下) IT對焦新挑戰】高雄市靠資訊向上集中強化資安，將導混合雲提升資源調度彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高雄市府這兩年投入最多的是強化資安，高雄市政府資訊中心主任劉俊傑表示，尤其是勒索病毒攻擊興起，如果沒有強化資安，不只是企業無法營運，政府機關也無法正常運作，危害到整個組織的營運，因此強化資安列為高雄市政府IT投資的重點。</p> <p>傳統上，公務機關多向外部廠商採購防火牆等軟硬體設備，但劉俊傑認為，資安最大問題還是管理面，如果沒有灌輸人員資安的意識，駭客就有可趁之機，強化員工資安意識相當重要，「管理做不好，買再好的設備都沒有用」，劉俊傑說。</p> <p><span style="font-size:28px;"><strong>資訊向上集中強化資安</strong></span></p> <p>為了強化資安，高雄市政府的做法是推動資訊向上集中，將原本各局處的主機、網路都收到資訊中心統一納管，過去，市府各局處有小機房，各自營運管理，各自申請網路，往往造成管理上的困難，有些資訊人員不足的單位，甚至只使用簡易的防火牆，難以阻擋現在的資安攻擊。因此資訊中心將所有對外網路，從各局處的小機房統一集中到市府的大機房，透過專線連接網際網路。劉俊傑指出，集中管理後，根據統計，資安事件明顯少很多。</p> <p>高雄市去年開始規畫從虛擬機器改為私有雲架構，目前正在做管理的訓練，未來由資訊中心負責管理資源的大水庫，畫分小水庫給各局處使用，由各單位再進行更細的資源分配。相較於原有純虛擬化做法，所有VM得由資訊中心開通和管理，導入雲架構後，可以改為分層負責管理。</p> <p>劉俊傑表示，從一臺臺實體主機，到虛擬化、到現在採用私有雲架構，相同經費，可執行的虛擬機器較以前多了2倍，閒置資源可以如同共享單車、汽車般共享共用。為了更有效運用私有雲的資源，也朝結合公有雲的混合雲架構發展，例如在疫情期間，市府網站在特定時段流量特別高，未來借助公有雲，流量高時改用公雲，可以更充分運用私雲資源，可靠度也更好。</p> <p>下一步是推動軟體向上集中，例如由資訊中心建置網站模板，讓較小的單位例如區公所，不需自己花經費做網站，可使用網站模板。另外，過去各局處各自建置AI文字客服，現在也由資訊中心統一建置，目前高雄市1999的文字客服即由資訊中心提供。先前各局處自有小腦，集中後變成一顆AI大腦，中心現已訓練出6、7個局處的文字問答，預計明年會上線，透過試辦讓民眾協助訓練。</p> <p>向上集中更全面的管理，以一致的保護、規則強化資安管理。第三步是人員向上集中，鑑於中央成立數位發展部，未來高雄市可能調整組織，使資訊單位躍升為一級機關，實現人員向上集中。</p> <p>儘管建立妥善管理制度很重要，但他認為，落實制度的的關鍵還是在人，如果人員便宜行事，不照章辦事，還是會產生風險。另外，智慧城市的轉型關鍵之一是，資料的蒐集整理，過去各單位IT各自營運，造成資料取得不易，未來人員向上集中，更容易取得資料來分析，供市府高層決策。「智慧城市的發展，科技導入是一部分，另一部分來自資料整合，整合不同領域的資料、分析後產生新的知識」。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者蘇文彬https://www.ithome.com.tw/news/152836
【iThome 2022 CIO大調查(下) IT對焦新挑戰】拜耳加速系統上雲腳步，擁抱新常態試元宇宙水溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>問及今年的IT重點工作，臺灣拜耳資訊部資深經理錢令儀直截了當地說：「上雲和數位轉型！」</p> <p><span style="font-size:28px;"><strong>將共通系統全數上雲，藉數位工具加速轉型</strong></span></p> <p>以上雲來說，拜耳今年的目標是，將各國分部通用、影響層面大的系統先搬上公有雲，再將各地的在地AP上雲。臺灣拜耳目前已有5成系統上雲，像是員工差旅費用管理系統SAP Concur、視訊和虛擬桌面等系統，而管理企業資源最重要的ERP系統，也正搬遷上雲中。</p> <p>將共用系統上雲，不只能節省成本、彈性擴充，還方便營運管理。比如，拜耳各國分公司可將特定主機搬至美國或德國分部的雲端來集中管理，免除自行管理的人力成本。這對委外開發模式，也有便利管理的好處。</p> <p>甚至，拜耳意識到，上雲是維持企業持續營運的關鍵之一。錢令儀點出，拜耳不只要在疫情間維持業務營運，也往前一步思考，要在其他危機爆發時也維持業務營運。他們走訪發現，只要系統上雲且網路暢通，物流等所有作業就能順利進行，不必回歸紙本作業。另一個維持企業營運關鍵的網路設備，拜耳則關注臺灣主管機關對低軌衛星的開放動態。</p> <p>同時，疫情也加速了拜耳數位轉型進程。他們一改過去鼓勵各地發起數位轉型的模式，今年統一由總部引進數位工具和技術，再導入各分部。比如，總部部署AI情境式防護工具，可透過情境模擬找出潛在惡意帳號，來先行防範，今年該工具也將部署至臺灣分公司。其他例子還有AI客服、RPA流程自動化工具等。</p> <p><strong style="font-size: 28px;">擁抱遠距辦公新常態，試用元宇宙方案</strong></p> <p>這次疫情，也促使拜耳擁抱遠距辦公新常態，允許員工一周可在家工作2、3天。但這也意味著，拜耳得優化網路通訊和線上會議體驗，像是藉助VR來提高與會者專注度。因為，他們發現，進行遠端大型電話會議時，與會者容易分心。為解決問題，拜耳今年開始試用Meta元宇宙解決方案，要用VR來讓會議更有臨場感，提高與會者專注力。這項技術，首先用於拜耳高階主管會議中。</p> <p>同樣為了讓線上會議和通訊更順暢，拜耳除提升全球分部的網路速度，也導入不少遠端會議設備，並改善系統，如增加客戶關係管理系統CRM的遠端通話功能，方便業務拜訪客戶、發送相關資訊。而且，他們也在系統中導入BI工具，要來強化客戶分析。</p> <p>不只從軟硬體因應疫後新常態，拜耳還進一步將新常態融入辦公文化中。錢令儀分享，今年開始，拜耳開放員工遠端跨域辦公，比如，居住臺灣的員工不必舉家搬遷至德國，也能進行德國分部的工作，甚至，居住臺北的員工也不必移動，就能執行臺中據點的工作。這麼做，更能善盡人才所長。</p> <p>在臺灣拜耳今年新啟用的辦公室中，還有其他新常態元素。比如，辦公座位全採開放式座位，以無固定座位的設計，方便遠距員工進公司辦公。為提高辦公設備使用率，新辦公室也採用不少環控系統，如會議室管控系統，可透過平板裝置調整燈光、聲音外，還有報到功能，能將使用者逾期未到的會議室釋出供他人使用，解決過往使用率不佳的問題。</p> <p>就連辦公室燈光設計，也講究使用效率。因為，新辦公室燈光是根據上下班時間設置，若員工需要加班，就得另外按「加班燈」按鈕，才能繼續辦公。錢令儀指出，這些新辦公室設備是拜耳IT的重點投資；這些作法，也呼應了這兩年熱烈討論的ESG精神。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王若樸https://www.ithome.com.tw/news/152841
【iThome 2022 CIO大調查(下) IT對焦新挑戰】四個智能化攻使用者體驗，光田要由外而內推IT現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年受疫情衝擊，「醫療服務需求變化快速、要求即時，驅使醫院聚焦IT現代化。」這是光田綜合醫院資訊部部長林政杰的第一線觀察，也為iThome 2022 CIO大調查醫療業IT趨勢下了貼切的註解。</p> <p>他點出，多數醫院系統老舊，難以招架疫情間頻繁更新的健保政策，因此，醫院將目光轉向微服務、容器、雲端等IT現代化技術，要來加速IT反應力。但對光田醫院來說，「IT現代化是我們想做的事，但不是首要目標，」林政杰解釋，微服務這類技術雖能優化IT管理工作、對IT人員很有感，但對醫護、民眾使用者來說，功能面的優化才更有感。</p> <p><span style="font-size:28px;"><strong>攻使用者體驗，要實現4個智能化</strong></span></p> <p>因此，光田醫院鎖定使用者體驗，將4個智能化列為今年首要目標，特別是醫療照護智能化和就醫環境智能化。醫療照護智能化是指，以病人為中心的數據整合，比如將病人檢驗檢查報告、會診資料等資料整合起來，即時提供給第一線臨床醫護，作為治療決策參考，解決過去需至不同系統撈資料的痛點。林政杰補充，光田醫院未來也將隨衛福部政策，來推動採用國際醫療資料交換標準FHIR，促進資料互通和整合。</p> <p> </p> <p>而就醫環境智能化，則要改造病患服務，要藉數位工具打造虛實整合的虛擬醫院架構，來銜接病患在家到醫院看診的歷程。比如透過行動應用、雲端和RPA流程自動化等技術，來優化病人就診前的照護服務。</p> <p>其他智能化目標，還包括行政流程、經營管理的改善。為實現這些目標，光田醫院將採用上述技術，像是以行動開發技術，來打造臨床端和行政管理端服務，又或藉RPA優化IT管理工作，由AI先判讀資訊，再觸發一連串自動化作業，來節省IT人力。</p> <p>這4個智能化對光田醫院來說很重要，因為，他們將在明年底、後年初開幕新院區，屆時將以新模式服務內外部顧客。而今年力推的4個智能化目標，就會是光田醫院很關鍵的練兵經驗。</p> <p>除了4個智能化，隨著新版電子病歷管理辦法上路，光田醫院今年還要落實全面無紙化，不只將病歷無紙化，也鎖定內部管理單位，要開發系統來降低紙張使用。</p> <p><span style="font-size:28px;"><strong>IT要由外而內推動現代化，AI持續採合作模式</strong></span></p> <p>今年，光田醫院的IT策略是「核心系統自行打造、周邊系統委外。」林政杰特別強調，這些委外開發的新系統，將採用新架構、新技術（如微服務、容器），他希望由廠商帶頭，把新IT技術和觀念帶入院內，以這種由外而內的方式，讓IT人員邊做邊學、累積IT現代化經驗，進一步促進內部技術升級。</p> <p>對於各醫院大力投資的AI，他坦言，光田醫院資源不如醫學中心豐沛，難以建置多個AI中心和硬體設備，來一條龍式打造AI系統。因此，他們將繼續採取與廠商、學術機構合作的模式，針對臨床需求來打造AI應用，既低成本也能解決實務問題。</p> <p>但他也觀察到，近年醫界面臨AI落地和回收成本問題，比如醫院大力投資、研發醫療AI，卻可能連同科醫師都不願意用，難以在院內擴大使用，更遑論擴展到不同醫院。也因此，光田醫院AI策略除了瞄準臨床實務需求，也將鎖定較易落地的行政、管理領域，來提高AI落地率。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王若樸https://www.ithome.com.tw/news/152845
【iThome 2022 CIO大調查(下) 各產業IT投資和人力總論】三大產業今年IT預算破億，金融與服務業上雲投資…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-feng_mian_-2p-dou_zi_-itzong_lun_-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業新常態的挑戰，今年進入新的「與疫共存」階段，再一次加速各產業數位轉型的腳步，IT現代化成了對抗新常態，快速因應市場變化，掌握新機會的關鍵。服務業、醫療業，甚至是一般製造業今年IT投資的成長力道，高於向來最積極發展IT的金融，反映出這些產業加碼投資，來跟上IT現代化浪頭的企圖。</p> <p>IT投資規模年年都是金融業居冠，今年金額再度創新高，平均超過了10億元。服務業、政府與學校今年IT預算也雙雙超過1億元。</p> <p>進一步細看企業在8大IT重點的投資，金融業數位轉型投資雖然居冠，但和去年相比，金融數位轉型投資其實下滑了1成多，因為，金融業逐漸從擴大轉型規模，開始邁向精煉和收穫成果的階段，也因此樽節了非必要的投資。反倒是服務業今年數位轉型投資比去多了5成，高科技業者也增加了3成，這都反映出這兩個產業今年大步轉型的野心。</p> <p>雲端投資最多的產業是金融和服務業，零接觸挑戰加速企業發展數位服務和數位通路，服務業去年受到疫情快速轉向線上電商發展，今年持續加碼雲端投資，小幅增加近1成。金融業上雲策略則略有不同，考量法遵和資料安全，不會全面上公雲，而是轉而聚焦多雲混合雲架構，也有更多金融業者今年更積極嘗試雲原生架構，從指標性服務開始練手和驗證雲原生架構，為日後有能力彈性上下雲調度來做準備，也讓金融雲端投資比去年翻了一倍。</p> <p>除了錢，人也是IT戰力另一項重要資源。金融業平均IT規模多達224.2人，開發人力也超過百人。服務業IT團隊則以51.4人，不到金融業IT人力的四分之一。製造業則開始提高開發人力的比重，不論一般製造或高科技均達到6成之多，製造業更加重視自行開發的能力，才能因應新常態帶來的種種突發性開發需求。整體來看，IT人力在企業組織中仍是少數，平均只有5%員工是IT人力，就算金融業較高，也只有7.6%。要像新加坡星展銀行那樣，為了讓科技成為企業關鍵競爭力，高達三分之一是IT人力，超過1萬名IT人，臺灣企業仍有不小的距離。</p> <p>超過4成企業今年要擴編IT，平均一家企業有7.2個資訊職缺，金融業對IT人才的需求更是迫切，近7成金融業要找IT人，平均提供了20個資訊職缺。以兩千大企業來估算，今年大型企業IT職缺需求至少超過了1萬人，讓原本就不足的IT人才更加搶手。企業IT技術的未來性和IT職涯發展性，都成了吸引優秀IT人才的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/files/600(2)-BIG-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1462,height=480'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(4)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(5)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(6)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(7)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(8)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(9)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(10)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王宏仁https://www.ithome.com.tw/article/152871
【iThome 2022 CIO大調查(下) 金融業IT趨勢】更多金融積極擁抱雲原生，ESG成CIO爆紅新挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-feng_mian_-1p-dou_zi_-jin_rong_it-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融數位轉型的重頭戲就是IT現代化，為了支援更多數位通路和無所不在的新金融需求，越來越多金融機構展開關鍵系統汰換、瘦身甚至是架構轉型。國泰金控靠雲原生技術成功打造出新中臺架構，或像玉山銀行用微服務自行開發的新一代核心系統順利上線，這兩個實例都強化了金融業者對雲原生技術的信心，容器、Kubernetes、微服務架構等技術，成了臺灣多家金融者推動IT現代化的首選。金融業今年更是加速導入雲原生技術，也帶動了相關雲端投資和相關技術的採用。</p> <p>受限法規要求，金融全面上公雲仍有諸多侷限，但今年將有意採用多雲混合雲架構的金融業者，從去年9.1%，增加到今年的15.9%，等於是，每七家，就有一家金融機構今年決定開始採用混合雲架構。這個架構調整作法，帶動了金融在雲端的投資金額，今年足足比去年翻了一倍，達到1,335萬元之多。</p> <p>不過，相較於金融業今年平均高達10億元的IT預算，這個雲端投資規模相對還是偏低，這意味了，不少金融業者對於混合雲架構和雲原生技術的採用，多處於嘗試和驗證階段。例如，第一銀行選定在核心系統中提供的外匯匯入服務，嘗試改用雲原生技術和架構來建置，要驗證雲架構和DevSecOps流程的可行性，也趁機強化自家團隊和委外廠商的能力，來為中期核心瘦身或長期逐步轉核開始做準備。</p> <p>甚至，有少數銀行看得更遠，已經開始強化自家大規模雲端服務的維運能力，今年有9.1%的金融業者，計畫要採用源自Google的SRE（網站可靠性工程）方法論，這個比例比去年多了三成，更凸顯出，雲原生成為金融IT現代化的主流目標。</p> <p>另一個今年突然竄紅的CIO話題是ESG。高達43.2%的金融業CIO，將ESG列為今年的年度工作目標，甚至比數位轉型更受到關注。2成多金融業者將CIO納入企業永續發展委員會，參與各項ESG績效設計和推動，近3成金融業因此調整數位轉型計畫來對齊ESG目標。</p> <p>對金融業而言，ESG的挑戰來自第三方溫室氣體排放的認列影響，也就是範疇3的溫室氣體如碳排放量。雖然金融業自家直接或使用外部能源間接產生的溫室氣體排放量，遠低於製造業，可是在範疇三的認列方式上，會將金融業投融資對象，依照投資金額占對方資產的比例，讓金融業者來認列對方的溫室氣體排放量，像玉山銀行在2020永續報告書中就估算，投融資活動帶來的碳排放量高達91.6萬噸，遠高於玉山自身營運產生的2.5萬噸碳排量。不過，IT如何因應ESG，多以作業無紙化或發展更多數位服務為主，也有2成企業提高上雲比重來因應。要如何更有效因應範疇3的挑戰，仍舊是許多金融CIO的新課題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王宏仁https://www.ithome.com.tw/article/152872
【iThome 2022 CIO大調查(下)】各產業數位轉型加速，IT大步邁向雲原生
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新常態加速各產業數位轉型和IT現代化腳步，三大產業今年的IT預算規模破億，金融、服務和高科技業紛紛加碼雲端投資，微服務促使醫療業擁抱DevOps，ESG成CIO新焦點，更加速企業數位化和上雲腳步，雲原生技術成了IT現代化的新主流</p> </div></div></div>
2022/9/5 07:00未署名https://www.ithome.com.tw/article/152873
【資安週報】2022年8月29日到9月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內有不少DDoS攻擊的消息，先前<a href="https://ctee.com.tw/news/finance/696276.html">有幾家銀行業也遭遇</a>，幸因清洗流量加大並未導致網頁癱瘓，但國內第三方支付<a href="https://www.ithome.com.tw/news/152801">藍新金流因DDoS攻擊發生資安事故</a>，在8月中下旬發生數次金流平臺服務不穩定或服務中斷情形，由於針對金融服務的DDoS攻擊，比起針對一般網站的攻擊影響更嚴重，值得政府單位與金融相關業者密切關注。</p> <p>在漏洞修補方面，近期Atlassian修補了Bitbucket伺服器與資料中心的一項RCE重大漏洞，其CVE風險評分達9.9分，WordPress在8月30日亦修補一項高風險的SQL注入漏洞。此外，研究人員揭露Linux核心漏洞DirtyCred細節，其中CVE-2021-4154的漏洞，Debian、Ubuntu與Red Hat在今年3月修補，CVE-2022-2588漏洞在8月上半已經釋出修補新版。</p> <p>另外要注意的是，本周美國CISA在8月25日將10個已知漏洞，列入已遭成功利用的高風險漏洞（Known Exploited Vulnerabilities）名單，提醒組織應優先處理，當中有一個關於台達電子DOPSoft 2軟體的漏洞CVE-2021-38406，由於該產品生命週期結束，由於已有攻擊行動，因此呼籲工控系統用戶盡速移除。</p> <p>在國際資安態勢上，近來位於南歐的蒙特內哥羅，其關鍵CI與政府系統疑遭俄羅斯駭客團體攻擊，以及南美智利政府機關疑遭遇RedAlert或Conti勒索軟體攻擊，都發生政府機關服務中斷的情況。</p> <p>Twilio資安事件有後續消息，該公司確定有163個客戶受到影響，而針對駭客竊取MFA之簡訊OTP驗證碼的活動，資安業者Group-IB與雲端身分驗證Okta也公布其掌握到的相關消息。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152867#藍新"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#BianLian"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Delta"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Montenegro"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#MODA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ArmyCyber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ScanBox"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Deepfake"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/152801" id="藍新" name="藍新"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">藍新金流在兩週內遭遇數波DDoS攻擊，國內至少十多家線上平臺揭露期間暫時無法交易或付款</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-26_214105(1).png" style="width: 220px; float: right;" /></p> <p>在8月26日藍新科技公司發布公告，說明藍新金流因IDC機房遭受數波來自海外惡意攻擊，導致金流服務暫時中斷，事實上，這已經是藍新金流最近兩周內第六次因DDoS攻擊導致服務中斷或不穩的情形，以至於業者的因應有效性，格外受到外界關注，同時有多家線上中小型平臺表示交易付款受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/" id="BianLian" name="BianLian"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/25/mercury-leveraging-log4j-2-vulnerabilities-in-unpatched-systems-to-target-israeli-organizations/"><span style="color: rgb(0, 0, 0);">伊朗駭客利用IT服務管理系統的Log4Shell漏洞，攻擊以色列組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png" style="width: 300px; float: right;" /></a>駭客利用Log4Shell漏洞發動攻擊的情況，有許多事故都針對VMware Horizon遠距工作平臺而來，但有攻擊者將目標轉向存在相同漏洞的其他應用系統。微軟的研究人員指出，伊朗駭客組織MuddyWater（亦稱Mercury）在針對以色列企業的攻擊行動中，透過IT服務管理系統系統SysAid的Log4Shell漏洞進行滲透，然後使用惡意PowerShell程式碼來投放Web Shell。</p> <p>接著，駭客試圖取得受害電腦的管理員權限，使用Mimikatz來竊取帳密，並以WMI和遠端管理工具RemCom進行橫向移動，最終使用隧道工具Ligolo將竊得的資料傳送到C2。研究人員公布入侵指標（IoC）供企業識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/26/twilio-breach-authy/" id="Twilio" name="Twilio"><span style="color: rgb(0, 0, 0);">Twilio證實163個組織受到8月初攻擊事件影響</span></a></strong></h3> <p>雲端服務業者Twilio於8月初遭駭，經過2星期的調查後，該公司確定有163個組織受到影響，其中有93個使用者的雙因素驗證應用程式Authy帳號遭到挾持，駭客將其用於註冊額外的裝置，Twilio已移除駭客登錄的裝置，並呼籲Authy用戶儘速檢查帳號是否出現可疑存取行為，以及確認註冊的裝置名單。</p> <h3><strong style="font-size: 22px;"><a href="https://sec.okta.com/scatterswine"><span style="color: rgb(0, 0, 0);">駭客利用雲端服務Twilio的漏洞竊取Okta帳密資料</span></a></strong></h3> <p>針對Twilio遭駭的事故，資安業者Group-IB指出與名為0ktapus的大規模攻擊行動有關，駭客專門鎖定採用Okta身分驗證解決方案的組織下手，竊取雙因素驗證的簡訊OTP驗證碼犯案，Okta也透露他們所了解的情況。</p> <p>8月25日，Okta發出公告指出，發起上述攻擊行動的駭客能透過Twilio主控臺，存取少量使用者的電話號碼，以及內含OTP密碼的簡訊內容。駭客至少存取了38個與Okta有關的電話號碼。Okta也發現，駭客會打電話給目標組織的員工，甚至是這些員工的家人。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/25/doordash-customer-data-breach-twilio/"><span style="color: rgb(0, 0, 0);">美國餐點外送業者DoorDash傳出資料外洩，疑與Twilio攻擊事件有關</span></a></strong></h3> <p>又有企業聲稱資料外洩與Twilio的攻擊事故有關！8月25日，美國餐點外送業者DoorDash發出公告，他們發現有人能透過外部供應商竊得的帳密，取得DoorDash內部工具的存取權限，曝光的資料包含訂餐者的姓名、送餐地址、電話號碼、電子郵件信箱，以及員工的姓名、電話號碼、電子郵件信箱。</p> <p>雖然上述公告沒有提及外部供應商的身分，但DoorDash向新聞網站TechChunch透露，Twilio員工遭到網釣簡訊而導致公司資料外洩的事故，與DoorDash的資料外洩有關，引發外界聯想。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cisa-vulnerability-delta-ics-software-exploited-attacks" id="Delta" name="Delta"><span style="color: rgb(0, 0, 0);">美國CISA提出警告，台達電子ICS軟體漏洞已被用於攻擊行動</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月25日，將10個漏洞列入已被用於攻擊行動的名單，其中，罕見地出現與工控系統（ICS）有關的漏洞CVE-2021-38406，此漏洞存在於台達電子DOPSoft 2軟體，為越界寫入漏洞，CVSS評分為7.8分。由於DOPSoft 2產品生命週期已經結束，台達電子不會進行修補，並建議客戶轉換其他的解決方案，CISA呼籲用戶應儘速移除DOPSoft 2。</p> <h3><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA在8月25日公布10項已知漏洞開始被攻擊者成功利用，呼籲組織盡速因應</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/20220902周報已知成功利用漏洞.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220902%E5%91%A8%E5%A0%B1%E5%B7%B2%E7%9F%A5%E6%88%90%E5%8A%9F%E5%88%A9%E7%94%A8%E6%BC%8F%E6%B4%9E.jpg" style="width: 600px;" /></a></p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/chasing-currents-espionage-south-china-sea" id="ScanBox" name="ScanBox"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定澳洲政府官員，以ScanBox惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint與資誠聯合會計師事務所（PwC）的威脅情報中心聯手，揭露中國駭客組織TA423（亦稱APT40、Leviathan、Red Ladon）在今年4月至6月的攻擊行動，駭客假冒澳洲媒體，鎖定當地政府機關、新聞媒體，以及在南海維護風力渦輪發電機的重工業廠商，以病假、使用者研究，以及合作請求等名義寄送釣魚郵件，目的是投放惡意程式框架ScanBox，進而對目標組織進行偵察。</p> <p>ScanBox框架可載入多種攻擊模組，包含鍵盤側錄器、瀏覽器指紋收集器等。研究人員認為，這起攻擊行動是TA423自2021年3月以來的第3階段情蒐任務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.binance.com/en/blog/community/scammers-created-an-ai-hologram-of-me-to-scam-unsuspecting-projects-6406050849026267209" id="Deepfake" name="Deepfake"><span style="color: rgb(0, 0, 0);">駭客透過Deepfake假冒大型加密貨幣交易所幣安的高階主管</span></a></strong></h3> <p>加密貨幣交易所幣安（Binance）公關長Patrick Hillmann表示，有人以Deepfake手法，利用他受訪的影片來製作全像圖（Hologram），對加密貨幣專案團隊發送Zoom會議通知來進行詐騙。Patrick Hillmann強調他的工作不涉及交易平臺專案的上架，也不認識這些專案的團隊。</p> <p>但不只Patrick Hillmann，駭客假冒幣安員工在推特、LinkedIn、Telegram行騙的情況大幅增加，對此，<a href="https://www.binance.com/zh-TW/official-verification">該公司提供了Binance Verify網站</a>，讓用戶可透過對方的電子郵件信箱、電話號碼、推特帳號等資料進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cybercriminals-apparently-involved-russia-linked-attack-montenegro-government" id="Montenegro" name="Montenegro"><span style="color: rgb(0, 0, 0);">南歐蒙特內哥羅當地政府疑遭勒索軟體Cuba攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png" style="width: 300px; float: right;" /></a>8月26日，蒙特內哥羅的政府系統與關鍵基礎設施遭到網路攻擊，美國大使館指出這起事故可能會擾亂當地交通、公營事業，以及電信服務的運作，蒙特內哥羅指控攻擊是多個俄羅斯駭客組織所為。</p> <p>事隔數日，勒索軟體Cuba聲稱他們在8月19日入侵該國議會，竊得了財務資料，以及銀行員工個資、資產負債表等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-claims-attack-on-portugals-flag-airline/"><span style="color: rgb(0, 0, 0);">葡萄牙航空公司疑遭勒索軟體Ragnar Locker攻擊</span></a></strong></h3> <p>8月26日，大型葡萄牙航空公司TAP Air Portugal證實遭到網路攻擊，但表示不影響飛航安全，旅客資料也沒有出現異常存取的情況。該公司於30日再度公告，上述網路攻擊導致網站與應用系統無法使用。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Ragnar Locker於31日宣稱，這起攻擊事故是他們所為，並竊得數百GB的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/leading-library-services-firm-baker-and-taylor-hit-by-ransomware/"><span style="color: rgb(0, 0, 0);">大型圖書館書商Baker & Taylor遭勒索軟體攻擊</span></a></strong></h3> <p>大型圖書館供應商Baker & Taylor於8月23日，傳出因伺服器故障，導致所有系統及應用程式受到影響，該公司於29日證實是勒索軟體攻擊事故。Baker & Taylor表示，他們在23日就發現書籍搜尋系統Title Source 360、電子資料交換服務EDI、辦公室電話系統、服務中心無法使用，24日聘請外部專家協助。不過，該公司並未透露勒索軟體名稱，也沒有駭客宣稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/golang-attack-campaign-gowebbfuscator-leverages-office-macros-and-james-webb-images-to-infect-systems/"><span style="color: rgb(0, 0, 0);">檔案挾帶的方式出現新手法！連資安人員都可能以為是憑證，而沒有發現惡意軟體的蹤跡</span></a></strong></h3> <p>資安業者Securonix揭露惡意軟體攻擊行動Go#Webbfuscator，駭客透過釣魚郵件夾帶惡意Word檔案，目的是要在受害電腦植入以Go語言打造的惡意程式，但駭客藏匿惡意程式的方式相當特別，他們運用韋伯太空望遠鏡（James Webb Space Telescope）所拍攝的SMACS 0723星系團照片，並將此惡意軟體偽裝成憑證檔案，而未曾被防毒軟體發現異狀。此惡意程式的主要功能為長駐受害電腦，讓駭客可藉由C2伺服器控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/malicious-cookie-stuffing-chrome-extensions-with-1-4-million-users/"><span style="color: rgb(0, 0, 0);">5個惡意Chrome擴充套件濫用網站Cookie，一旦使用者購物，駭客就能向電商網站收取傭金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0011.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0011.png" style="width: 300px; float: right;" /></a>資安業者McAfee揭露5個會濫用受害者上網行蹤記錄的Chrome擴充套件：Netflix Party、Netflix Party 2、Full Page Screenshot Capture – Screenshotting、FlipShope – Price Tracker Extension，以及AutoBuy Flash Sales，這些套件總共已被下載140萬次，其中最多人下載的是Netflix Party，達到80萬次。</p> <p>研究人員指出，駭客的目的是經由監控受害者瀏覽電子商務網站，竄改Cookie，讓網站認為使用者是透過推薦連結存取，而使得駭客能在受害者購物中抽成。由於這些擴充套件也確實具備Chrome Web Store市集上宣稱的功能，而使得用戶難以察覺有異，但因為這些擴充套件會衍生用戶隱私曝露的疑慮，使得研究人員呼籲用戶在安裝擴充套件時要更加小心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.esentire.com/security-advisories/hacker-infrastructure-used-in-cisco-breach-discovered-attacking-a-top-workforce-management-corporation-russias-evil-corp-gang-suspected-reports-esentire"><span style="color: rgb(0, 0, 0);">思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊</span></a></strong></h3> <p>針對思科5月下旬遭駭的資安事故，該公司認為發動攻擊的駭客組織包含了UNC2447、Lapsus$，以及勒索軟體駭客閰羅王，但似乎還有其他駭客組織參與。</p> <p>資安業者eSentire指出，隸屬於Evil Corp的駭客組織UNC2165，在1個月前對他們客戶發動攻擊，其基礎設施與思科事故裡所使用的相同，因而引起他們注意並進一步調查。而在思科的攻擊事故裡，研究人員發現了名為HiveStrike的Cobalt Strike基礎設施，而這是勒索軟體駭客組織Conti前成員架設，用於散布FiveHands與Conti勒索軟體。</p> <p>究竟這兩個組織執行了那些攻擊行動？研究人員認為，有可能Evil Corp與Conti旗下的組織進行合作，或是Evil Corp取得初始存取思科內部網路環境的管道，再由Conti旗下、使用勒索軟體Hive的駭客發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/Y2022/PSA220829"><span style="color: rgb(0, 0, 0);">美國警告DeFi平臺漏洞成駭客竊取加密貨幣的主要目標</span></a></strong></h3> <p>美國聯邦調查局（FBI）於8月29日提出警告，攻擊者偏好鎖定去中心化金融（DeFI）平臺，挖掘智慧合約的安全漏洞來竊取加密貨幣。該單位看到數起攻擊行動，例如，有人發現DeFi平臺代幣橋（Token Bridge）的簽名驗證漏洞，進而將該平臺的資產提領一空，導致3.2億美元損失。FBI呼籲投資人與DeFi平臺業者應嚴加防範，並提供相關預防措施。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">下載免費工具也可能成為駭客的攻擊目標！駭客以提供實用軟體為由，逐步控制受害電腦並進行挖礦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Check Point指出，有個開發人員Nitrokod製作了不少Windows電腦版的應用程式，如：Google Translate Desktop、Mp3 Download Manager等，乍看之下這些軟體擁有網站上描述的功能，且在Google搜尋排行相當前面，亦有軟體下載網站Softpedia、Uptodown予以推薦。</p> <p>但研究人員發現，這些「應用程式」在部署到受害電腦後，埋伏一個月後才會下載XMrig挖礦軟體，而這段埋伏的過程裡，駭客會經由6個階段，慢慢下載相關工具、停用防毒軟體、對Windows防火牆加入例外規則等。研究人員呼籲使用者應儘量從服務提供者取得應用程式，來防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布多種竊密軟體，已出現用戶加密錢包遭盜款的災情</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg" style="width: 300px; float: right;" /></a>研究人員Iamdeadlyz發現，駭客假借名為Cthulhu World遊戲測試的名義，在推特上尋求願意測試的玩家，並宣稱玩家能獲得以太坊作為報酬，但實際上是為了散布竊密軟體。</p> <p>一旦玩家依照指示操作，駭客的遊戲網站便會將他們引導到下載測試版的網頁，並要求玩家輸入特定序號。然而這些序號實際上代表了不同的竊密軟體：AsyncRAT、RedLine Stealer，以及Raccoon Stealer。已有受害者因電腦被植入上述竊密軟體，加密貨幣錢包遭到清空。駭客疑似複製Alchemic World遊戲網站的大部分內容，且有Discord群組，而讓玩家難以分辨真假，使得Alchemic World再度呼籲玩家要提高警覺。</p> <div> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/kimsukys-golddragon-cluster-and-its-c2-operations/107258/"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定南韓政治人物下手，並進行一連串檢查機制迴避資安人員調查</span></a></strong></h3> <p>卡巴斯基揭露北韓駭客組織Kimsuky的攻擊手法，該組織專門鎖定南韓組織下手，以地緣政治相關的主題進行釣魚郵件攻擊，但與許多攻擊行動不同的是，這些駭客會先利用C2伺服器確認目標後，才對受害者傳送惡意文件，收信人開啟檔案後，指令碼會把受害者的IP位址傳送至另一個C2伺服器驗證，駭客再度確認完才會進一步行動。這一波攻擊行動Kimsuky的主要目標，是與政治及外交有關的南韓實體，以及政治人物、外交官、記者、脫北者等。</p> </div> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html"><span style="color: rgb(0, 0, 0);">Atlassian修補CI/CD解決方案的重大漏洞</span></a></strong></h3> <p>Atlassian針對旗下的持續整合及持續部署（CI/CD）解決方案Bitbucket發布資安通告，該系統存在指令注入漏洞CVE-2022-36804，一旦攻擊者利用這項漏洞，就有可能在具備程式碼儲存庫或是私有Bitbucket存取權限的情況下，發送惡意HTTP的呼叫來執行任意程式碼，CVSS風險評分為9.9分。</p> <p>受影響的範圍涵蓋了Bitbucket的Server及Data Center元件，6.10.17以上的版本都可能存在相關風險。該公司已發布新版軟體，並呼籲用戶儘速安裝，或暫時關閉公開的儲存庫來降低風險。此外，由Atlassian代管的服務不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/blog/dirty-cred-what-you-need-to-know/"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg" style="width: 300px; float: right;" /></a>美國西北大學的研究人員揭露名為DirtyCred的Linux核心漏洞，該漏洞已存在長達8年，為記憶體釋放後濫用（UAF）的漏洞，攻擊者可用來提升權限。此漏洞涵蓋CVE-2021-4154與CVE-2022-2588兩個弱點，擁有類似另一個漏洞Dirty Pipe（CVE-2022-0847）的特性，能針對Linux與Android作業系統發動攻擊，但最大的不同之處在於，DirtyCred可被用於逃逸容器的攻擊，再者，駭客利用該漏洞的難度也較Dirty Pipe低。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上進行概念性驗證（PoC）攻擊，並於執行CentOS 8與Ubuntu 20.04作業系統的主機裡，透過此漏洞成功提升權限。他們呼籲使用者要留意Linux開發團隊的公告，並儘速安裝修補軟體。</p> <h3><a href="https://www.wordfence.com/blog/2022/08/wordpress-core-6-0-2-security-maintenance-release-what-you-need-to-know/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress修補高風險SQL注入漏洞</span></strong></a></h3> <p>8月30日，WordPress開發團隊發布6.0.2版，總共修補3個漏洞，其中包含CVSS風險評分達8.0分的高風險漏洞（尚未有CVE編號），此漏洞與WordPress提供的書籤（Bookmarks）有關，有可能被用於SQL注入攻擊。資安業者Wordfence表示，駭客要利用該漏洞的難度相當高，不只需要管理者權限，在WordPress預設組態的配置下也難以利用，但網站很有可能會因為部署了外掛程式或佈景主題而曝險。研究人員呼籲網站管理者應儘速檢查WordPress是否已經升級。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/ArmyChiefCyber/status/1563295564380250113" id="ArmyCyber" name="ArmyCyber"><span style="color: rgb(0, 0, 0);">美國陸軍公開招募有志人士加入陸軍網路作戰單位</span></a></strong></h3> <p>在今年初爆發的俄羅斯進軍烏克蘭的戰事，使得各國不只在意陸海空戰力，網路戰力也越顯重要，美國陸軍為了因應總統拜登的強化資安政策，在8月底也宣布公開招募網路作戰軍種，以抵禦外國政府透過網路發動的各式攻擊，此一編制從2009年起，特別是這次公開擴大招募，當中軍缺包含「網路及電子作戰官」、「網路作戰官」、「密碼情報分析師」、「網路防衛員」，還有「網路作戰專員」，同時美國陸軍也將提供相關訓練課程，包括網路作戰技能、IT安全認證、電腦鑑識、惡意程式分析，以及駭客訓練等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=_JdCv9uJ-T0" id="MODA" name="MODA"><span style="color: rgb(0, 0, 0);">我國數位發展部8月27日正式成立</span></a></strong></h3> <p>經過兩年多籌備的數位發展部（MODA）於8月27日舉行揭牌儀式，總統蔡英文、行政院院長蘇貞昌皆到場見證。而預計要在掛牌這天公布的人事任命，也在網站揭露，<a href="http://moda.gov.tw/ACS/aboutus/director-general/975">其中的資通安全署長將由國發會資訊管理處長謝翠娟擔任</a>，資通安全署旗下將設立綜合規劃組、通報應變組、輔導培訓組、稽核檢查組、法規及國合組，以及秘書室、人事室、政風室、主計室等部門。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152815"><span style="color: rgb(0, 0, 0);">數位發展部公布資通安全署副署長人選</span></a></strong></h3> <p>數位發展部資通安全署署長確認由原國發會資訊處處長謝翠娟擔任，兩位副署長名單在今天（9月1日）公布，其中一位為原行政院資通安全處副處長林春吟，另外一位副署長則是臺灣科技大學資訊工程學系教授鄭欣明。</p> <h3><a href="https://www.ithome.com.tw/news/152824"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部提前瞻計畫，要驗證以非同步軌道衛星強化我國通訊網路韌性的可行性</span></strong></a></h3> <p>為因應天災、戰爭導致國內通訊網路中斷，這方面數位韌性的提升，一直是國內關注的焦點，最近數位發展部提出一項新計畫，主因是我國尚未開放非同步軌道衛星提供商用服務，如今則將開始規畫相關PoC概念驗證，將於全球700處與3個國外站點，設置非同步軌道衛星設備，目的是希望在海纜或行固網通訊系統受破壞或失能時，能確保必要應變訊息能緊急通訊傳遞。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://security.googleblog.com/2023/08/Announcing-Googles-Open-Source-Software-Vulnerability-Rewards-Program%20.html"><span style="color: rgb(0, 0, 0);">Google針對旗下開源軟體祭出抓漏獎勵</span></a></strong></h3> <p>為了強化旗下的開源軟體安全，Google於8月30日宣布推出抓漏獎勵計畫Open Source Software Vulnerability Rewards Program（OSS VRP），初期範圍涵蓋Bazel、 Angular、Golang、Protocol buffers，以及Fuchsia等軟體，獎金從100美元至31,337美元。</p> <p>OSS VRP不只適用於Google經營的開源軟體，也包含這些專案涉及的相依項目。該公司偏好徵求的漏洞類型，主要為能夠造成供應鏈攻擊的弱點，或是軟體設計不良的瑕疵等。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年臺灣資安相關支出將達到近9億美元</span></strong></h3> <p>市場調查機構IDC發布對於全球資安支出有關的調查，預計2022年亞太區（不含日本）的資安解決方案及服務支出，將超過310億美元，較2021年增加15.5%，並預計到2026年，相關投資會達到576億美元。企業投資成長的主要原因與網路攻擊增加、混合工作模式盛行，以及法規遵循等。其中，臺灣資安相關支出在2022年將達到8.94億美元，並在2026年出現18%複合成長率。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/announcing-open-sourcing-of-paranoids.html"><span style="color: rgb(0, 0, 0);">Google開源加密物件漏洞測試工具Paranoid</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/22/dissecting-iban-clipper/"><span style="color: rgb(0, 0, 0);">惡意軟體IBAN Clipper挾持電腦的剪貼簿，盜取銀行帳號資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://permiso.io/blog/s/down-with-idp-impersonate-me/"><span style="color: rgb(0, 0, 0);">研究人員發現在雲端環境冒充Okta使用者的攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/08/modernloader-delivers-multiple-stealers.html"><span style="color: rgb(0, 0, 0);">惡意軟體ModernLoader被用於投放竊密軟體、挖礦軟體、RAT</span></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/"><span style="color: rgb(0, 0, 0);">安卓版抖音App弱點恐讓攻擊者挾持用戶帳號</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/apple/apple-backports-fix-for-actively-exploited-ios-zero-day-to-older-iphones/"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 12.5.6，修補iPhone 5s的零時差漏洞CVE-2022-3289</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/29/mini-stealer-possible-predecessor-of-parrot-stealer/"><span style="color: rgb(0, 0, 0);">駭客免費提供竊密軟體Mini Stealer給其他網路罪犯</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">為了埋藏攻擊意圖，駭客入侵受害電腦一個月後才部署挖礦軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布竊密軟體AsyncRAT、RedLine Stealer、Raccoon Stealer</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nelnet-servicing-breach-exposes-data-of-25m-student-loan-accounts/"><span style="color: rgb(0, 0, 0);">IT服務業者Nelnet Servicing遭駭，250萬學生貸款資料恐曝光</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.png" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/9/2 18:17作者羅正漢https://www.ithome.com.tw/news/152867
Twilio遭駭波及163家企業，背後很可能是一起針對身分驗證服務業者而來的大規模供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端客戶溝通系統Twilio最近面臨資安事故，為此在8月7日公告。他們表示，有人透過網路釣魚簡訊（SMS phishing，Smishing），拿到該公司員工帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>事隔數日，另一家雲端服務業者Cloudflare，也傳出員工遭類似攻擊而帳密遭竊，但因搭配使用硬體Token而倖免於難。經過兩個星期的調查，這起網路釣魚攻擊行動受害對象，可能不只Twilio與他們的163個客戶，有些資安業者指出，先前針對Okta客戶的供應鏈攻擊，可能是這起事故的源頭。</p> <h3><span style="color:#0000CD;"><strong>Twilio、Cloudflare皆傳出員工遭到釣魚簡訊攻擊</strong></span></h3> <p>透過SMS簡訊對雲端通訊服務業者用戶進行網釣的事故，最初曝光源於8月7日有一家這類廠商Twilio發布公告，坦承在8月4日這天，察覺部分客戶的帳號資料遭未經授權存取，滲透管道是攻擊者用網釣簡訊，誘導員工不小心提供自己登入系統內部的所需資訊。</p> <p>令人難辨真假的是，這些簡訊所列出的URL網址，都使用與該公司有關的網域名稱，像是http[:]//twilio-okta.com/、http[:]//twilio-sso.com/，目的可能是為了降低Twilio員工的戒心，使其不疑有他地依照指示輸入帳密。接著，駭客再將取得的這些員工帳號，用來存取Twilio的客戶資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/twilio-sms-okta.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/twilio-sms-okta.png" style="width: 580px;" /></a></p> <blockquote><p>雲端客戶溝通系統Twilio表示，他們的員工收到圖中的網釣簡訊，而不慎上當提供帳密資料，導致該公司內部的系統遭到入侵。值得留意的是，駭客使用了含有Twilio名稱的網域，而使得員工難以察覺異狀。<span style="color:#808080;"><strong>圖片來源／Twilio</strong></span></p> </blockquote> <p>與許多企業遭駭事故的因應方式不同，Twilio不只通報了執法單位，尋求鑑識公司協助調查，該公司也通知發送網釣簡訊的電信服務商，以及釣魚網站的主機代管業者，請求撤銷駭客的帳號。值得留意的是，該公司表示有其他公司也遭到類似攻擊，但通報電信業者與主機代管業者，由其撤銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動，令人防不勝防。</p> <p>上述的資安通告公布兩天之後，雲端服務業者Cloudflare也反映他們先前面臨類似狀況，7月下旬也遭遇類似的攻擊。</p> <p>Cloudflare表示，他們的安全團隊在7月20日接獲員工通報，表示自己收到以T-Mobile電話號碼寄送的SMS簡訊，內容指出員工的工作排程已經更新，請收訊者瀏覽Cloudflare-Okta.com網站檢視行事曆。</p> <p>而且，更奇怪的是，短短1分鐘內，就有76名員工收到這類簡訊，同時，有部分員工的家人也收到簡訊。整體而言，Cloudflare至少有3名員工上當，所幸這些人使用該公司配發的硬體Token，導致駭客無法得逞。</p> <p>根據Cloudflare的調查，這個釣魚網站用的網域名稱，在簡訊發送的40分鐘之前才申請，由於此網域名稱尚未正式公開，使得Cloudflare的網域監控機制無法發揮作用。一旦員工輸入帳密，釣魚網站就會將資料經由Telegram後送給駭客，並進一步要求員工提供OTP驗證碼。假如駭客通過雙因素驗證，就有可能透過遠端桌面軟體AnyDesk控制受害者裝置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-chain.png" style="width: 580px;" /></a></p> <blockquote><p>類似的網釣攻擊也發生在雲端服務業者Cloudflare，駭客先透過惡意簡訊引誘企業員工上當，目的是促使他們在釣魚網站輸入自己的帳密，當駭客側錄到相關資料，會用來入侵受害企業的內部環境。<span style="color:#808080;"><strong>圖片來源／Cloudflare</strong></span></p> </blockquote> <p>雖然Cloudflare在此起攻擊事件算是全身而退，但資安團隊還是封鎖了惡意網域，並重設受害員工的帳密，以及通報網域註冊業者與主機代管業者。</p> <h3><span style="color:#0000CD;"><strong>採用Twilio服務的企業證實遭駭</strong></span></h3> <p>Twilio傳出遭駭後，有些客戶的使用者也被波及。例如，8月17日，即時通訊軟體Signal表示，他們採用Twilio的服務，進行電話號碼的驗證，結果卻有1,900名Signal用戶受影響，而且，駭客有可能用遭外洩的用戶電話號碼，接收或發送這些Signal帳號的訊息。</p> <p>駭客疑似透過Twilio客戶支援控制臺，存取上述Signal用戶資料，並搜尋了其中3個電話號碼，其中之一是已被用於註冊新的Signal帳號。所幸此款即時通訊軟體的通訊記錄，都儲存在用戶裝置上，而未受到這起事故影響。</p> <p>隔了一週之後，美國餐點外送業者DoorDash發出公告，疑似也跟Twilio遭駭的事故有關。</p> <p>DoorDash發現有人能透過外部供應商竊得的帳密，取得內部工具的存取權限，曝光的資料包含訂餐者的姓名、送餐地址、電話號碼、電子郵件信箱，以及員工的姓名、電話號碼、電子郵件信箱。</p> <p>雖然上述公告未提及外部供應商的實際身分，但DoorDash向新聞網站TechChunch透露，Twilio員工遭到網釣簡訊攻擊而導致公司資料外洩的事故，與DoorDash的資料外洩有關，此話一出，引發外界聯想。</p> <h3><span style="color:#0000CD;"><strong>鎖定身分驗證服務業者的大規模供應鏈攻擊</strong></span></h3> <p>經過2星期的調查後，Twilio在8月24日，確定有163家企業或組織受到影響。</p> <p>其中有93個使用者的雙因素驗證程式Authy帳號遭挾持，駭客將其用於註冊額外的裝置，Twilio已移除駭客登錄的裝置，並呼籲Authy用戶儘速檢查帳號是否出現可疑存取行為，以及確認註冊的裝置名單。</p> <p>關於Twilio、Cloudflare員工陸續遭網釣簡訊攻擊的狀況，有研究人員認為案情不單純，他們發現背後可能是一起大規模攻擊行動。</p> <p>在Twilio公布受害規模後，資安業者Group-IB揭露名為0ktapus的網路釣魚攻擊，駭客自今年3月開始，鎖定使用Okta身分驗證解決方案的企業下手，駭客不只試圖取得用戶帳密，用戶收到的雙因素驗證（2FA）的驗證碼，也被用於第二階段的攻擊行動。</p> <p>根據Group-IB的分析，總共有130個組織受害，攻擊者竊得近1萬筆帳密資料，且大部分都針對美國企業而來，有114個美國組織、5,503筆帳密資料。研究人員指出，不只Twilio、Cloudflare的事故，就連行銷管理業者MailChimp、Klaviyo遭駭，都與0ktapus有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/0ktapus-geo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0ktapus-geo.png" style="width: 580px;" /></a></p> <blockquote><p>根據資安業者Group-IB的調查，有130家採用Okta解決方案的企業遭到網釣攻擊，其中大部分受害的企業（114家），總部都位於美國。<span style="color:#808080;"><strong>圖片來源／Group-IB</strong></span></p> </blockquote> <p>而且，資安業者Group-IB提出的這份說法，後續也得到Okta證實。Okta進一步指出，發起此波攻擊行動的駭客能透過Twilio主控臺，存取少量使用者的電話號碼，以及內含OTP密碼的簡訊內容。</p> <p>Okta分析駭客足跡與受影響的用戶，而這裡觀察到的結果顯示，駭客透過Twilio控制臺搜尋了38組電話，而它們幾乎都隸屬於同一個組織，意味著這是個極度針對性的攻擊。</p> <p>依據這樣的狀況而言，Okta推測，駭客事先可能就已透過其他網釣活動，取得這些使用者的帳密，並觸發基於簡訊的多因素認證，企圖藉入侵Twilio系統找到相關的OTP密碼。這些駭客鎖定的攻擊對象，包括科技業者、電信業者，以及與加密貨幣有關的組織，而駭客採用的網域名稱註冊、網站代管服務，都能接受比特幣付款。</p> <p>對此，Okta也呼籲，企業應採用更嚴謹的身分驗證政策，封鎖陌生網域的存取，並部署使用者異常行為的偵測系統。文☉周峻佑</p> </div></div></div>
2022/9/3 00:06作者周峻佑https://www.ithome.com.tw/news/152870
零售IT雙周報第7期：統一超商開始測試短程機器人外送及偏鄉無人機外送服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0821~0903)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#偏鄉物流</span></span></strong></p> <p><strong>統一測試短距離外送機器人及偏鄉無人機送貨服務</strong></p> <p>統一超商10月將在高雄軟體科技園區開始測試無人外送服務，由工研院AMR（Autonomous Mobile Robot，自主移動機器人）外送食物至附近商辦大樓內。此AMR一趟最多能載送24份餐點，不僅可以於室內外移動，還能自行呼叫並搭乘電梯。統一超商表示，此技術最多能節省70%外送員人力成本。</p> <p>統一集團也將於2022年第4季開始，結合中光電智能機器人技術，測試偏鄉無人機送貨服務。當消費者下單購買7-Eleven及統一旗下藥妝店康是美的商品，貨品會透過同集團物流服務黑貓宅急便的車隊集運到停機坪，再由中光電無人機運送到收貨據點。由於運送成本較高，此模式在送貨跟收貨端分別採取集運跟統一收貨據點的作法。統一超商表示，此服務預計先導入偏遠地區及露營區域，未來也要結合公益計畫，服務偏鄉購物不便的居民。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人收銀</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#餐廳應用</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧倉儲管</span></strong></span></p> <p><strong>美國連鎖餐廳在店內設置無人收銀商品區，節省人力還能分析消費數據</strong></p> <p>美國連鎖娛樂及餐飲複合式餐廳Dave & Buster's在店內<a href="https://www.getzippin.com/blog/the-worlds-first-in-restaurant-checkout-free-experience?utm_campaign=Thought%20Leadership%20and%20trends&utm_content=219603359&utm_medium=social&utm_source=twitter&hss_channel=tw-1027293789616885760">利用Zippin無人收銀技術，嵌入自助商品區</a>，以節省人力並活化餐廳內動線。此技術能支援店家隨時更換商品品項，也會在存貨不足時通知商家補貨。此解決方案還會蒐集並分析店內消費數據，不僅能作為進貨及行銷參考，對於Dave & Buster's這類店面較大的娛樂餐廳來說，還可以了解店內各服務的熱門程度，做出相應動線優化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#通訊軟體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物流程優化</span></span></strong></p> <p><strong>印度連鎖超市Jiomart將在Whatsapp聊天室中推出線上購物功能</strong></p> <p>印度大型連鎖超市<a href="https://twitter.com/rutujax/status/1564225555335036928?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1564225555335036928%7Ctwgr%5E0f66431826cdf96fc809a99b332a2a1f4c7e39ab%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fretailtechinnovationhub.com%2Fhome%2F2022%2F8%2F30%2Fmeta-launches-grocery-shopping-on-whatsapp-with-jiomart">Jiomart進軍Meta旗下通訊軟體Whatsapp通路</a>。消費者對Jiomart號碼發送指令，就會在聊天室中開啟商品目錄。整個購物流程從瀏覽商品目錄到下單結帳，都在Whatsapp內完成，無須跳轉到其他App或網頁。</p> <p>儘管Jiomart 有自己的行動應用，但下載數量仍在千萬級別，相對的，Whatsapp在印度已經有近5億使用者，有望接觸更多潛在消費者。Meta表示，這次與Jiomart的合作也是首次在End-to-end聊天室提供完整購物體驗的作法。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#新型宅配</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;"> #智慧車庫</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#宅配防盜</span></strong></span></p> <p><strong>Walmart推出新型外送服務，能將貨物送到消費者車庫冰箱中</strong></p> <p>美國零售巨頭Walmart跟智慧居家系統商myQ合作，<a href="https://newsroom.myq.com/2022-08-25-myQ-Smart-Technology-Will-Soon-Expand-Walmart-InHome-Deliveries-to-the-Garage">推出送貨到車庫服務</a>。過去，為了避免貨物放在家門口遭竊，收貨通常需要留人在家，相當不便。新型外送模式下，myQ會提供Walmart外送員一次性車庫鐵門開啟權，讓外送員可以直接把貨送到室內，但又不會直接進屋。若貨品中有生鮮食品，外送員還能幫忙放進冰箱，並在離開前消毒。</p> <p>myQ號稱自家服務已經被20%美國家庭採用，普及率相當高。甚至，如果沒有採用myQ服務的消費者想使用Walmart車庫外送功能，myQ還會免費改造消費者車庫門禁系統，以支援此外送功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時庫存</span></span></strong></p> <p><strong>分店存貨也納入即時庫存的調度，進一步強化Levi's電商平臺的供貨能力</strong></p> <p>服飾品牌Levi's用即時庫存管理技術，<a href="https://www.levistrauss.com/2022/08/22/machine-learning-makes-it-easier-to-get-the-denim-you-want/?utm_campaign=boost&utm_source=unzipped&utm_medium=organic_social">優化電商平臺系統尋找現貨的功能</a>。過去若配送中心缺貨，消費者就無法在電商平臺上購買該品項。現在Levi's電商平臺將能同步搜尋實體店面的即時庫存資訊，在配送中心缺貨時，從實體店面調貨。</p> <p>另外，Levi's也透過智慧訂單管理系統，來降低配送中心工作量。若消費者短時間內下了多個訂單，此系統會將訂單合併為一個訂單處理，在揀貨、包裝、運送上，省下重複作業的程序。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#創作者行銷</span></span></strong></p> <p><strong>開店平臺Shopify推出創作者跟商家的行銷媒合平臺</strong></p> <p>不少社群媒體平臺會打造行銷媒合平臺，讓外部廣告主能接洽社群媒體上的創作者。現在，代表廣告主的開店平臺巨頭Shopify也<a href="https://news.shopify.com/connecting-creators-with-shopifys-millions-of-merchants-introducing-shopify-collabs">推出行銷媒合平臺</a>，吸引外部平臺創作者到Shopify尋找業配合作對象。</p> <p>此平臺的運作模式是，創作者到平臺上透過業主分類，尋找到符合自己客群品牌，並取得業配商品的網路連結。若消費者透過此連結購買商品，創作者就會獲得分潤。</p> <p><strong>#智慧物流 #線上超市 #智慧進銷存管理</strong></p> <p><strong>美國外送平臺Doordash導入進貨建議技術，來優化自家線上超市送貨效率</strong></p> <p>美國外送平臺Doordash使用零售供應鏈技術商Relex的進貨建議系統，<a href="https://www.relexsolutions.com/news/relex-and-doordash-partner-to-provide-ai-driven-supply-chain-optimization/">優化自家線上超市送貨效率</a>。沒有實體店面的生鮮超市要進行外送服務，通常是從配送中心出貨。若單一配送中心無法提供訂單上所有品項，外送員就需要前往多個配送中心取貨，大幅降低效率。此技術利用機器學習技術分析個別配送中心進銷存紀錄，來預測進貨需求，以降低缺貨發生頻率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI語音接單</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#得來速優化</span></span></strong></p> <p><strong>靠AI幫忙賣麵包，美國連鎖麵包店Panera Bread得來速用語音辨識取代人力接單</strong></p> <p>美國分店數超過2,000家的連鎖麵包店Panera Bread<a href="https://www.businesswire.com/news/home/20220829005536/en/">開始測試AI接單服務</a>，透過語音辨識等技術在得來速車道取代人力接單，Panera Bread員工只需偶爾在AI系統出錯時接手。</p> <p>因應疫情新常態，Panera Bread近月相繼採取節省勞動成本的科技解決方案，包括自動煮咖啡機以及零接觸App點餐等做法。</p> <p>資料來源：iThome整理，2022年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/9/2 20:02作者郭又華https://www.ithome.com.tw/news/152869
【資安日報】2022年9月2日，上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳密寫死（Hard-coded）在軟體的程式碼內，一旦有人將其反組譯，就能用來存取系統服務業者的內部系統。有研究人員發現近2千個內含AWS帳密資料App，然而出乎許多人意料的是，絕大多數都是iOS應用程式。</p> <p>過往駭客針對臉書的藍勾勾機制來騙取臉書用戶帳號的情況，現在也在Instagram的用戶上演！有資安業者揭露針對Instagram的釣魚郵件攻擊行動，一天最多有上千封這類攻擊郵件。</p> <p>勒索軟體BianLian的危害有擴大的趨勢！繼資安業者Cyble揭露此勒索軟體後，另一家資安業者也公布他們的發現，並提供較為完整的攻擊鏈。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152781">【2022年8月30日】駭客以測試遊戲為幌子散布竊密軟體、美國警告台達電子ICS軟體漏洞已被用於攻擊行動</a></strong></strong></strong></p> </div></div></div>
2022/9/2 16:07作者周峻佑https://www.ithome.com.tw/news/152863
Nvidia取得高階GPU出口中國的許可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152819" target="_blank">美國政府在8月26日</a>針對AMD與Nvidia的高階GPU祭出了出口限制，要求業者在出口相關產品至中國與俄羅斯之前，必須取得許可，以避免相關GPU被部署在軍事用途上，不過，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001045810/000104581022000151/nvda-20220831.htm" target="_blank">Nvidia周四（9/1）曝光的SEC文件顯示</a>，已取得出口A100與H100的許可。</p> <p>被美國點名的高階GPU包括AMD的MI100及MI200，以及Nvidia的A100與H100，其中，Nvidia的A100為既有產品，H100則是尚在開發的產品，而且有部分的研發位於中國。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001045810/000104581022000146/nvda-20220826.htm" target="_blank">在上周（8/26）SEC文件中</a>，Nvidia坦承此一限制可能會造成該公司4億美元的銷售損失，影響H100的上市時程，也可能迫使Nvidia把特定的營運移出中國。周三的消息讓Nvidia當天股價大跌7.67%，以139.37美元作收。</p> <p>但Nvidia在隔天提交的SEC文件中，則說美國政府已允許Nvidia繼續執行開發H100所需的出口、再出口或國內轉讓，並在明年3月以前支援美國客戶所需的A100出口，以及於明年9月1日以前可透過Nvidia的香港公司履行A100與H100的訂單。</p> <p>不過，Nvidia並未揭露此一許可的範圍與規模，是否滿足了之前這兩項高階晶片的潛在營收預估，或是所占比例。</p> </div></div></div>
2022/9/2 16:04作者陳曉莉https://www.ithome.com.tw/news/152862
蒙特內哥羅政府遭勒索軟體攻擊，美國出手協助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於亞得里亞海東岸的蒙特內哥羅（Montenegro）在8月20日遭到駭客入侵，<a href="https://www.bleepingcomputer.com/news/security/montenegro-hit-by-ransomware-attack-hackers-demand-10-million/" target="_blank">該國公共行政部部長Maras Dukaj本周對外表示</a>，駭客向該國提出1,000萬美元的贖金，且<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/" target="_blank">外傳美國已派出FBI團隊前往協助調查</a>。</p> <p><a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/" target="_blank">根據專門報導東南歐新聞的《Balkan Insight》</a>，蒙特內哥羅遭到一系列的網路攻擊，蒙特內哥羅的資安負責人Dusan Polovic則向外界表示，有10個政府組織的150臺工作站被危害，而且駭客所使用的惡意程式在黑市叫價10萬至250萬美元。</p> <p>包括蒙特內哥羅的政府官員在內，有不少人猜測相關攻擊是由俄羅斯所主導，因為蒙特內哥羅不僅是北約成員國，而且在歐美制裁俄羅斯時積極配合。然而，勒索軟體集團Cuba本周即將蒙特內哥羅列入受害者名單，並開放外界下載所盜來的各種文件。</p> <p>不過，<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament" target="_blank">該國政府在8月31日發出聲明</a>，指出Cuba所公布的文件，都是政府原本就開放外界存取的文件，並非什麼機密文件。蒙特內哥羅還強調，駭客在20日所發動的攻擊，已被該國的資訊部門阻止，系統在21日就恢復正常。</p> </div></div></div>
2022/9/2 16:25作者陳曉莉https://www.ithome.com.tw/news/152864
自然語言生成圖像模型Dall-E現具有延伸繪製原圖以外內容的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧研究組織OpenAI更新自然語言生成圖像模型Dall-E，加入<a href="https://openai.com/blog/dall-e-introducing-outpainting/">Outpainting</a>功能，該功能會基於給定圖像的風格和視覺元素，延伸繪製原始圖像邊界以外的內容，使用者也能以自然語言描述，引導圖中的故事往新方向發展。</p> <p>用戶可以利用Dall-E新的Outpainting功能，擴展原始圖像，像是OpenAI所舉的範例《戴珍珠耳環的少女》，除了頭像之外，更延伸繪製了下半身以及所處空間，Outpainting考慮了該圖片現有視覺元素，包括陰影、反射和材質，使繪製後的圖像與原圖風格一致。</p> <p>官方提到，目前有超過100 萬人在使用 DALL·E，而作為創造藝術的工具，Outpainting將能夠更進一步擴展使用者創造力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(103).jpg" style="width: 580px; height: 621px;" /></p> </div></div></div>
2022/9/2 16:28作者李建興https://www.ithome.com.tw/news/152860
USB 4 Version 2.0將帶來80 Gbps的傳輸能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220901005211/en" target="_blank">USB推廣組織（USB Promoter Group）本周宣布</a>，即將來臨的USB 4 Version 2.0規格將達到最高80 Gbps的傳輸能力。</p> <p>USB應用論壇（USB Implementers Forum，USB-IF）是在2019年8月發表USB 4 Version 1.0規格，這個版本的USB協定已需要配備USB-C連接器，其電力輸送亦必須支援USB Power Delivery（USB PD），最少要支援20 Gbps的傳輸能力，最高則可達40 Gbps。</p> <p>新的USB 4 Version 2.0最高傳輸能力則可達80 Gbps，它基於新的實體層架構，使用既有的40 Gbps USB Type C被動纜線，以及新的80 Gbps USB Type C主動纜線；新規格也將更新USB資料架構，以讓USB 3.2的資料傳輸速度可超過20 Gbps，並將DisplayPort及PCIe規格升級到最新版本。此外，USB 4 Version 2.0將向後相容於USB 4 Version 1.0、USB 3.2、USB 2.0與Thunderbolt 3。</p> <p>USB推廣組織主席Brad Saunders表示，新的USB 4規格可達到兩倍的資料傳輸效能，將替USB Type C生態體系迎來更高的功能性，受益最大的解決方案包括高效能的顯示器、儲存裝置，以及基於USB的集線器與擴充埠。</p> <p>不管是USB 4 Version 2.0或是USB Type-C與USB Power Delivery（USB PD）規格的更新，都預計於今年11月舉行USB DevDays之前就會發表。</p> </div></div></div>
2022/9/2 16:52作者陳曉莉https://www.ithome.com.tw/news/152866
微軟打包票.NET 7超級快！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 7候選版本發布在即，微軟.NET團隊開發者Stephen Toub按過去慣例<a href="https://devblogs.microsoft.com/dotnet/performance_improvements_in_net_7/">大篇幅介紹.NET 7的效能改進</a>。.NET 7的7,000多個拉取請求中，有1,000個與效能相關，Stephen Toub詳細介紹了其中500個大幅影響效能的拉取請求。</p> <p>微軟在每個.NET版本都強調效能改進，因此也有開發者對此產生質疑，甚至是認為.NET 6的效能已經提升到一個程度，.NET 7是否還有效能提升的空間，Stephen Toub給的答案是肯定的，.NET 7的開發目標跟過去版本一樣，效能仍然是貫穿整個堆疊的焦點，無論是針對效能而明確創建的功能，還是非效能相關的功能，效能仍然是設計和實作的重點。</p> <p>Stephen Toub強調.NET 7的速度非常快，Runtime和核心函式庫加入了1,000個效能相關的拉取請求，而且在ASP.NET Core、Windows Forms和Entity Framework也有各種改進，他打包票.NET 7是有史以來最快的.NET，他甚至提到，當開發者被經理問到為什麼要升級到.NET 7，可以直接回答「.NET 7 is super fast.」</p> <p>Stephen Toub所做的基準測試在Windows 11 64位元系統上進行，對於.NET支援的Linux和macOS，他表示在不同的平臺上，也都能獲得類似的結果。</p> <p>但Stephen Toub也表示，一定有人不同意他的說法，所以花了大篇幅講解這1,000個效能相關拉取請求中的500個，讓有興趣的人可以理解.NET 7的實作方法、各種決策的原因以及評估下的權衡，而該篇部落格獲得許多開發者的正面回應。</p> <p>有開發者回應到，.NET 7運作快速固然是好事，但是當開發者寫的程式碼本身執行效能不佳，那便失去.NET 7帶來的效益，Stephen Toub則回應，微軟正嘗試將最佳實踐以及避免故障的設計封裝到分析器中，降低開發者程式碼遭遇這些問題的可能性。</p> </div></div></div>
2022/9/2 16:54作者李建興https://www.ithome.com.tw/news/152865
英國準備針對微軟與動視暴雪併購案展開深度調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在7月啟動對微軟與動視暴雪（Activision Blizzard）併購案的初步調查之後，周四（9/1）宣布此一交易可能造成競爭問題，限期業者在5個工作天內提出有效的提案，否則即會進入第二階段的深度調查。</p> <p>CMA指出，微軟、Sony與任天堂為全球三大遊戲機業者，在過去20年來顯少出現新的競爭對手，而動視暴雪擁有許多最暢銷與知名的遊戲，像是《決勝時刻》（Call of Duty）或《魔獸世界》（World of Warcraft），該機構擔心，一旦微軟買下了動視暴雪，將會損害最近或未來的競爭對手，例如讓它們無從存取動視暴雪的遊戲。</p> <p>CMA還擔心，微軟為許多領域的主要供應商，像是遊戲機（Xbox）、雲端平臺（Azure）與桌面作業系統（Windows），這些都是雲端遊戲成功的重要因素，取得動視暴雪資產的微軟也許會破壞新興雲端遊戲市場的競爭。</p> <p>總之，現在CMA要求微軟與動視暴雪要在5個工作天內提供必要的說明與提案，以解決CMA的疑慮，否則就會進入由獨立專家參與的第二階段調查。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/09/01/gaming-everyone-everywhere/" target="_blank">微軟遊戲執行長Phil Spencer當天就回應了CMA</a>。Spencer說，遊戲機並不是人們玩遊戲的唯一選擇，現階段全球最大也成長最快的遊戲領域是在行動平臺，而微軟必須擁抱玩家的選擇，把更多的遊戲帶到行動平臺上。</p> <p>然而，將遊戲移植到行動平臺需要新能力，動視暴雪即具備行動遊戲的專業知識；微軟也希望讓玩家可藉由微軟的雲端遊戲串流技術，自任何平臺存取由動視暴雪所開發的遊戲機遊戲。這些承諾不僅可釋放行動遊戲，也會替其它遊戲的開發者建立新的發行管道。Spencer亦承諾，《決勝時刻》新版本誕生的同一天就會支援PlayStation，將繼續讓人們可於不同的平臺上執行遊戲。</p> </div></div></div>
2022/9/2 15:47作者陳曉莉https://www.ithome.com.tw/news/152861
雲端混亂時代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到數位化、數位轉型，每個人因為所處的IT發展階段不同，心中自有一把尺來定義，然而，若單就目前而言，雲端服務應是目前企業IT最關注的技術，從早期思考公有雲、私有雲、混合雲的使用，到現在多雲環境並存並用是常態，該如何選雲、上雲、用雲、管雲、跨雲、換雲、下雲，都將會是大家越來越常面臨的議題。</p> <p>然而，面對新技術的導入，必須去用並不等於懂得如何用，因此失控失序狀況，正在許多公司上演。這樣的轉型挑戰，也發生在IT廠商身上，他們同樣需設法因應、甚至進行大幅度路線調整、產品與技術的擴充，以及市場生態系統與廠牌形象的重新塑造。</p> <p>舉例來說，長期推動伺服器虛擬化平臺發展的VMware，這幾年以來，也積極在雲端服務布局。他們目前已拉攏了6大公有雲業者，為其提供VMware解決方案服務，讓用戶能夠在這些環境上，繼續使用熟悉的軟體定義資料中心軟體平臺，例如，vSphere與VMware Cloud Foundation。</p> <p>而在雲端原生應用的支援，他們藉由2019年併購Pivotal，逐步踏入平臺即服務（PaaS）領域，之後更大力推動K8s這類容器即服務平臺（CaaS）的發展，最終促成了Tanzu系列的產品線，並且也讓vSphere 7結合K8s，讓伺服器虛擬化與雲端原生軟體技術得以交融。</p> <p>除了提供可建置IT基礎架構的軟體平臺與雲端部署，VMware本身也經營SaaS型態軟體代管雲端服務，以VMware Cloud作為主要的品牌識別，陸續將旗下的IT管理軟體上雲，以及透過併購其他SaaS公司等方式，提供基於雲端服務而成的系統管理解決方案。</p> <p>除此之外，VMware在2012年併購網路虛擬化廠商Nicira，2014年買下企業行動管理廠商Airwatch，以及2019年併購資安廠商Carbon Black，而分別開展出軟體定義網路NSX與SD-WAN，整合數位辦公平臺與既有桌面虛擬化應用的Workspace ONE，以及強化整體資安防護的Carbon Black系列產品與管理服務。</p> <p>經過多年來的產品線擴張與持續併購新創廠商，VMware這段期間不斷強調的發展策略，主要是能夠支援任何雲端服務、任何應用程式、任何設備。到了今年，VMware終於決定提出新主張，而8月底舉行的全球用戶大會的名稱異動，就顯露出這個企圖。</p> <p>因為沿用17年的VMworld，突然在今年3月宣布改為Explore。我認為，這反映他們期許自己轉型成更有能力的IT廠商，不再受限於VM、伺服器虛擬化等技術的範疇，似乎有意將發展重心轉向為主動的「探索」，協助企業與組織用戶開創更多的可能性，而不只是扮演技術支援的角色。</p> <p>或許是因為公司本身就是長期處於因應雲端服務需求而持續轉型的狀態，在這次Explore大會上，VMware執行長Raghu Raghuram對於雲端服務的運用，特別提出三階段的發展策略，以此呼應與展現他們實際的體悟，以及對於未來商機的期許。</p> <p>VMware的分法相當簡單好記，那就是將上雲的過程，定為：雲端優先（Cloud First）、雲端混亂（Cloud Chaos）、雲端智慧（Cloud Smart），而許多企業現在就處於前兩個階段。</p> <p>事實上，用Chaos來形容目前企業上雲一團亂的狀況相當貼切，尤其是這兩年COVID-19疫情的影響之下，很多公司為了維持正常辦公與溝通，難以堅持IT集中控管的政策，不得不放寬員工使用雲端服務，然而，一些副作用現在也開始受到大家的重視，例如：資安風險提高、浮濫使用資源而衍生龐大的成本支出等問題，都必須設法改善。此時，顯然僅靠企業本身來克服這些挑戰是相當困難的，會需要廠商的幫忙，之後，理論上，可趨向有效管理的狀態，使企業能夠更懂得如何妥善運用雲端服務，又可避免安全性不足、資源浪費等狀況的發生。</p> <p>透過這樣簡化到極致的發展狀態畫分，其實勝過技術與管理人員的千言萬語，或許這也是VMware自身經歷轉型過程的最佳寫照，以及未來期許。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%84%AA%E5%85%88">雲端優先</a></div><div class="field-item even"><a href="/tags/cloud-first">Cloud First</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%B7%B7%E4%BA%82">雲端混亂</a></div><div class="field-item even"><a href="/tags/cloud-chaos">Cloud Chaos</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%99%BA%E6%85%A7">雲端智慧</a></div><div class="field-item even"><a href="/tags/cloud-smart">Cloud Smart</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div></div></div>
2022/9/2 12:00作者李宗翰https://www.ithome.com.tw/voice/152833
5G趨勢月報第34期：聯發科測試新晶片，5G手機可連接衛星通訊；T-Mobile與Space X聯手要擴大手機涵蓋範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>07/27~08/26精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科完成新晶片測試，可讓5G手機連接衛星通訊</strong></span></p> <p>聯發科近期宣布完成5G NR NTN（Non-Terrestrial Networks）衛星通訊功能的晶片測試，在實驗室中成功連線，未來可望讓智慧型手機連接衛星通訊。</p> <p>這項測試遵循3GPP Rel-17定義的功能和程序，使用具有5G NR NTN衛星網路功能的行動通訊晶片，搭配羅德史瓦茲的衛星模擬器、工研院開發的測試基地臺，模擬在600公里高度下、每小時移動2.7萬公里的低軌衛星。</p> <p>聯發科指出，5G NR NTN衛星網路可提供更完整的全球覆蓋，當地面網路無法觸及的地區，透過智慧型手機實現5G衛星通訊服務，整合5G地面網路及衛星形成無縫銜接的通訊網路，讓智慧型手機用戶不需新配件就能使用。未來，可望擴大5G連接的可用性，應用在通訊、交通、農業、車隊、物聯網等。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Space X</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>T-Mobile</b></span></font></p> <p><span style="font-size:22px;"><strong>Space X與T-Mobile聯手，要用低軌衛星擴大手機訊號覆蓋範圍</strong></span></p> <p><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/TMobile.jpg" style="width: 600px; height: 469px;" /></strong></span></p> <p>Space X與T-Mobile合作推動衛星到蜂巢網路（satellite to cellular）服務，該服務將結合Space X第2代Starlink衛星與T-Mobile的中頻5G頻譜。T-Mobile聲稱這項服務將相容於絕大多數的智慧型手機，如果計畫順利進行，用戶將可期待幾近覆蓋全美國，包含領海的服務。</p> <p>在美國仍有許多地方，可能因為山脈或沙漠等地形限制，或是法令對土地使用的限制，例如國家公園，因而缺乏行動通訊服務覆蓋。雙方合作目的在這些先前手機訊號無法提供的地區，也能使用通訊服務。</p> <p>雙方計畫建立一個新網路，從Starlink的衛星上使用T-Mobile涵蓋全國的中頻頻段，T-Mobile表示，這項從衛星到蜂巢網路的新服務，讓用戶在可看到天空的任何地方都能得到幾乎完整的覆蓋。透過這項服務，文字訊息傳送可涵蓋美國大陸、夏威夷或阿拉斯加部分地區、波多黎各及領海，甚至是T-Mobile訊號之外的地區，待2023年底Space X發射衛星之後，在特定地區推出測試版服務，剛開始可傳送SMS、MMS及特定參與的通訊App。之後，將提供全面的語音、數據覆蓋。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>IDC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>企業服務</b></span></font></p> <p><strong><span style="font-size:22px;">IDC：亞太區5G企業服務2026年將達80億美元規模，企業FWA、網路切片服務合占近60億美元</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IDC(1).jpg" style="width: 600px; height: 663px;" /></span></strong></p> <p>隨著5G網路逐漸普及,5G企業服務市場也快速成長。IDC最新報告指出,亞太地區不含日本,5G服務收入將從2021年的1.06億美元,成長至2026年約80億美元規模,年複合成長率達137%。</p> <p>IDC將5G企業服務分為4類,MNO 5G專網託管服務(不包括設備租賃)收入、企業FWA固定無線接取收入、MEC邊緣雲服務收入、網路切片服務收入。從2021年到2026年5G企業服務中,企業FWA將達到30.5億美元,其次是網路切片達到28.7億美元,MEC邊緣雲服務為15.3億美元,5G專網託管服務為5.8億美元。</p> <p>IDC指出,電信業全面發展 5G 企業服務需要3到5年時間,領先企業決定採用5G之前,也同樣需要時間進行概念驗證和試驗。就目前觀察的趨勢,專網在亞太地區所有國家均受關注,網路切片最初將部署於工廠、倉庫、智慧機場,最終可能在智慧港口、智慧體育場、智慧校園、交通樞紐等落地。另外,5G FWA在一些國家,可作為臨時性網路接取的應變措施,或是特定建物、偏遠的聚落無法使用光纖的替代方案,包括澳洲、印度、香港、紐西蘭、菲律賓、馬來西亞、泰國和越南正計畫部署。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G用戶</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NCC</b></span></font></p> <p><strong><span style="font-size:22px;">國內5G開臺滿2年，5G用戶數逾560萬</span></strong></p> <p>國內5G開臺已滿2年，NCC近期公布最新5G用戶數統計數據，國內5G用戶數已達到567.18萬，普及率為24.46%，相當於每4人就有1人為5G用戶。</p> <p>以同樣開臺2年時間作為比較基準，4G在2014年開臺後，4G用戶數就突破1,400萬，普及率超過6成；對照之下，5G開臺2年後，用戶數成長速度，不如4G剛開臺的盛況。</p> <p>根據TWNIC近期公布的2022臺灣網路報告，臺灣的行動寬頻普及率首次超越固網寬頻，其中5G行動上網方面，近2成受訪者未來一年有意申辦5G。該報告進一步調查民眾未採用5G的原因，以「現有3G/4G/WiFi已夠用」居多，其次是「合約尚未到期」、「費用太高」等等。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>開放網路</b></span></font></p> <p><strong><span style="font-size:22px;">英國政府投入近3千萬美元加速開放網路研究</span></strong></p> <p>英國政府近期宣布一項計畫，以2,500萬英鎊，將近3千萬美元展開未來開放網路研究挑戰（Future Open Networks Research Challenge），學術及產業界合作，申請資金投入未來網路的開放架構及可互操作（interoperable），例如Open RAN。</p> <p>2,500萬英鎊是英國政府2.5億英鎊開放網路基金的一部分，該基金的目的是支持可互操作方案的研究，以改善英國的國家電信網路、降低部署成本，同時讓新創業者得以和現有業者競爭。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>嘉義</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠距醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>阿里山鄉啟動5G遠距醫療，民眾免到大醫院就能線上看</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/db83acdf-1df6-437f-8200-c697501f752b(1).jpg" style="width: 600px; height: 400px;" /></p> <p>嘉義阿里山鄉近期啟動5G遠距醫療，阿里山鄉衛生所完成5G網路建設，偏鄉民眾到衛生所看診，由衛生所家醫科醫師初步判定，並使用相關檢查設備檢查視力、耳腔，就可透過5G將影像送至大型醫院，由專科醫師線上問診、解說病情，降低當地交通不便，民眾可就近獲得治療及照護。</p> <p>根據嘉義縣衛生局的統計，110年阿里山鄉前十大死因第一名為惡性腫瘤，當地糖尿病、腦血管疾病、慢性肝病、肝硬化、腎炎等高於嘉義縣平均。男性前列腺癌、女性乳癌等死亡率也高於全國山地鄉，偏鄉醫療的便利性不足。</p> <p>這項遠距醫療服務結合3所醫院的專科醫師來提供診療服務，奇美醫院每周限定時段提供遠距眼科服務，嘉義基督教醫院提供眼科、耳鼻喉科、皮膚科服務，聖馬爾定醫院在石棹醫療站提供眼科、皮膚科遠距醫療。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>西班牙</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><strong><span style="font-size:22px;">西班牙將投入2億歐元，補助發展5G與6G技術</span></strong></p> <p>為加速5G產業應用，以及下一代6G技術的發展，西班牙政府近期宣布將以2億670萬歐元，補助相關業者投入5G應用及6G技術研究。</p> <p>其中在5G的產業應用方面，包括工業物聯網、連網車輛、數位健康醫療、數位化農業、智慧觀光旅遊等，以加速西班牙產業的數位化發展。超過一半的資金將投入6G技術研究，補助研究機構相關的研究計畫。西班牙政府寄望藉由這項計畫，能讓該國得以成為5G應用與6G技術領先國家。</p> <p> </p> <p>圖片來源／聯發科、T-Mobile、嘉義縣政府、IDC</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.遠傳結合5G專網、自動化倉儲設備推出5G智慧倉儲物流方案</strong></p> <p><strong>2.華碩、英特爾、台灣大哥大聯手推5G AI Ready平臺，為5G應用開發助攻</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div></div></div>
2022/9/2 11:30作者蘇文彬https://www.ithome.com.tw/news/152858