iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

美國國防部揭露零信任框架與藍圖，預計於2027年完成零信任部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部（Department of Defense，DoD）周二（11/22）<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/" target="_blank">發表了該部門的零信任（Zero Trust）政策與藍圖</a>，並計畫在2027年完成部署。</p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank">根據DoD所公布的藍圖</a>，該部門計畫採用3種行動方案（Course of Action，CoA）來達到零信任，首先是Brownfield作法，先建立零信任的基準線，再利用現有的基礎設施與環境來開發，而為了加速零信任的採用，也正發展互補方案，包括採用既有的商用雲端服務，或是由政府以Greenfield作法重新建立一個私有雲。本周所發布的藍圖與規畫則是以Brownfield作法為主。</p> <p class="rtecenter"><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1124-DoD%20Zero%20Trust%20Capability%20Execution%20Roadmap-1.png" style="width: 512px;" /></a></p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf" target="_blank">美國國防部資訊長John Sherman表示</a>，敵人正在國防部的網路中竊取國防部資料，剝削國防部用戶，相關威脅的快速成長彰顯了該部門改善網路安全的必要性，此外，透過強大與愈來愈複雜的外圍防禦來保護國防部網路已不足以支撐網路彈性，也不足以保護跨地域、介面與外部合作單位的資訊安全，更何況在DoD的數百萬用戶中，有許多在家工作的必須於傳統的邊界之外存取DoD網路。</p> <p>Sherman認為，這意味著國防部的每一個用戶都必須採用零信任的心態，以對DoD設備、應用程式、資產及服務的安全負責，讓用戶只能在需要時存取所需的資料，所有人都必須在防禦敵人時派上用場。</p> <p>Sherman還強調零信任不僅是個IT解決方案，它要求所有的DoD元件都必須整合零信任的能力、技術、解決方案與程序，或許更重要的是，也必須在員工、訓練及專業開發程序中整合零信任。</p> <p>於是，在國防部所公布的Brownfield藍圖中所定義的零信任能力涵蓋了所有DoD元件，從使用者、裝置、應用程式與任務、資料、網路與環境、自動化與調度，到能見度與分析，而且針對不同的元件都提出了更多的能力要求，令人一窺其工程的浩大與複雜度。</p> </div></div></div>
2022/11/24 16:39作者陳曉莉https://www.ithome.com.tw/news/154403
歐洲議會認證俄羅斯支持恐怖主義，被回敬DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism" target="_blank">歐洲議會（European Parliament ）在本周三（11/23）早上宣布</a>，在俄羅斯政權入侵烏克蘭，並向烏克蘭平民施暴之後，決定承認俄羅斯是個支持恐怖主義的國家，當天下午歐洲議會英文官網就遭到分散式服務阻斷（DDoS）攻擊，據稱該行動是由親俄的駭客集團Killnet所發動。</p> <p>歐洲議會表示，俄羅斯軍隊蓄意攻擊烏克蘭平民，並破壞民用基礎設施，也執行其它嚴重違反國際法與人道主義的行為，構成戰爭罪，因而決定承認俄羅斯是個支持恐怖主義及使用恐怖主義手段的國家。歐洲議會的此一決議獲得494票的贊成、58票反對，以及44票的棄權。</p> <p>不過，歐盟目前並無指定恐怖主義支持國的法律框架，只能鼓勵歐盟與其成員國建立適當的法律，再指定俄羅斯為支持恐怖主義的國家，估計將會對俄羅斯帶來一系列的重大限制措施。</p> <p>此外，歐洲議會還呼籲歐盟應於國際上進一步孤立俄羅斯，包括減少與俄羅斯的官方接觸，以及加速完成對俄羅斯的第9個制裁方案。</p> <p>歐洲議會在早上發出了聲明，下午議長<a href="https://twitter.com/EP_President/status/1595443471518777345" target="_blank">Roberta Metsola</a>與發言人<a href="https://twitter.com/jduch/status/1595433790809284614" target="_blank">Jaume Duch</a>就證實官網遭到了一個親俄駭客集團的DDoS攻擊。</p> <p><a href="https://twitter.com/_bettercyber_/status/1595458694673825793" target="_blank">資安業者BetterCyber則說</a>，此一攻擊源自親俄的駭客集團Killnet，該集團宣稱它們讓歐洲議會官網休息了4小時。</p> </div></div></div>
2022/11/24 15:22作者陳曉莉https://www.ithome.com.tw/news/154391
資安人員發現新一波針對美國企業的Black Basta勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cybereason在調查其客戶的資安事件，發現了<a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies">新一波針對美國企業的勒索軟體攻擊</a>，這系列勒索攻擊由Black Basta組織發起，並透過殭屍網路Qakbot快速傳播，資安人員提醒，由於遭到攻擊後IT基礎設施可能迅速被嚴重破壞，企業必須要特別注意這波攻擊。</p> <p>Black Basta是一個勒索軟體組織，在2022年4月才出現，專門針對美國、加拿大、英國、澳洲和紐西蘭的企業，該組織慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。</p> <p>在Black Basta最新的攻擊活動中，他們使用Qakbot惡意軟體創建初始進入點，並在企業網路內橫向移動。Qakbot是一種銀行木馬，主要被用來竊取被害者的財務資料，包括瀏覽器資訊和憑證等，一旦Qakbot成功感染系統，便會安裝上後門，使得攻擊者能夠投放後續的惡意軟體，像是勒索軟體等。</p> <p>Cybereason團隊描述了這次攻擊活動的流程，一開始會從Qakbot感染開始，並在組織中多臺重要機器載入Cobalt Strike，最終將Black Basta勒索軟體部署到全球。而為了讓恢復更加困難，攻擊者會禁用DNS服務，將被害者鎖在網路之外。</p> <p>這次的攻擊行動有幾個特點，首先是整個攻擊行動很快，在不少案例中，攻擊者會在不到2小時內就獲得網域管理人員權限，並在12小時內開始部署勒索軟體。由於攻擊者向美國公司大量撒下Qakbot，並且進行魚叉式網路釣魚行動，在過去2個星期，Cybereason已經發現10多起企業受攻擊案例。</p> <p>原先資安人員並未發現Black Basta勒索軟體和Qakbot的關聯性，但因為一個快速入侵並且部署Black Basta的案例，才發現Qakbot參與其中。Cybereason提醒企業，應該要對這個攻擊活動提高警覺，因為IT基礎設施可能會迅速地被嚴重破壞。</p> <p>針對Black Basta勒索軟體攻擊的緩解措施，除了更新網路攻擊防禦平臺之外，資安人員也提出許多建議，包括要封鎖已受感染的用戶，避免或減緩攻擊者在網路上傳播，辨識且切斷惡意IP和網域的流量。當用戶的網域控制器遭到攻擊者存取，就可能所有帳戶被盜用，資安人員建議在重建網路的時候，應重置所有Active Directory存取權限，事後也應該徹底調查攻擊者的行為，確保沒有任何疏漏。</p> </div></div></div>
2022/11/24 15:25作者李建興https://www.ithome.com.tw/news/154390
台積電積極招募AI人才，預告明年成立臺北辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電智慧應用整合處機器學習分析部部經理局荊玲在近日一場活動中表示，台積電明年將成立臺北辦公室，不過沒有進一步透露更多細節。同時，台積電也積極招募AI人才，來推動更智慧化的半導體製造流程。</p> <p>台積電指出，派工決策是半導體製造業中非常仰賴AI的一個環節。由於半導體製程極度複雜，1座20個足球場大的超大晶圓廠中，AI排程系統每天模擬超過10的200次方種排列組合，每分鐘會發出超過600至800萬個派工命令，且生產變數大，需要有高速應變能力。</p> <p>不只如此，台積電表示，從智慧製造、良率分析、生產力提升、研發到公司營運，幾乎所有的AI領域都能應用於他們的半導體製程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TCMCAI1(1).jpg" style="width: 600px;" /></p> <p>資料提供：台積電，iThome整理，2022年11月</p> <p>對於AI人才的需求，台積電特別重視有尖端AI科技應用經驗的人，台積電舉例，像是熟悉自主監督學習、聯邦學習、注意力機制模型、零樣本學習、強化學習、對比學習、圖神經網路及生成對抗網路等技術的人才，就非常歡迎。</p> </div></div></div>
2022/11/24 09:33作者郭又華https://www.ithome.com.tw/news/154381
今年第三季的GPU出貨量下滑25%，創2009年以來的最大跌幅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.jonpeddie.com/press-releases/q322-biggest-qtr-to-qtr-drop-since-the-2009-recession" target="_blank">Jon Peddie Research本周公布今年第三季的全球繪圖處理器（GPU）市場報告</a>，指出該季全球的GPU出貨量為7,550萬個，比去年同期減少25.1%，出現2009年以來的最大降幅。</p> <p>對於GPU出貨量的大幅下滑，各家製造商所歸納的原因差不多，涵蓋加密貨幣礦場的關閉、中國清零政策所帶來的經濟衝擊、美國的制裁、遊戲玩家在等待新的擴充卡、通貨膨脹，再加上庫存過多等。</p> <p>在7,550萬個GPU中，用於筆電的出貨量下滑了30%，應用在桌上型電腦的則下滑15.43%。</p> <p>今年第三季GPU市場的前三大業者依序是Nvidia，市占率為72%，居次的英特爾占了16%，AMD以12%位居第三。該季AMD出貨量下滑了47.6%，Nvidia下滑19.7%，英特爾該季的GPU出貨量卻逆勢成長4.7%，使得去年同期與上一季都落後AMD的英特爾，在今年第三季超越AMD，成為全球第二大GPU業者。</p> </div></div></div>
2022/11/24 13:51作者陳曉莉https://www.ithome.com.tw/news/154389
零售IT雙周報第10期：Amazon將推出新型揀貨機器人，能辨識出上百萬種貨物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#揀貨機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>Amazon正在開發可以辨認出上百萬種貨物的揀貨機器人</strong></p> <p><a href="https://www.aboutamazon.com/new/transportation/amazon-robot-sparrow-streamlines-order-fulfillment-process">電商巨頭Amazon揭露一款開發中的揀貨機器人Sparrow</a>，能利用電腦視覺和AI技術，辨認出倉儲中上百萬種貨物，並將貨物用機械手臂取出後送去包裝區。</p> <p>Amazon物流中心已經有許多環節利用機器人自動化，包括能自動閃避障礙物及人類員工的AGV Proteus、可以辨認包裹形狀及相關資料的包裹分類機器人Cardinal和Robin等。</p> <p>去年，Amazon全球物流中心打包了50億個包裹，也就是1天1,300萬個包裹。等Sparrow正式啟用後，能省下巨量人力勞動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#口袋占有率</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#超商 #會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#POS </span></span></strong></p> <p><strong>3大超商會員戰略大轉變，不再拚人數改搶口袋占有率</strong></p> <p>全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為利用數據分析，攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。</p> <p>要做到這點，全臺前3大的超商不約而同採取了3種工具：App、支付工具及POS機。App在超商會員經營戰略中的地位逐漸提升，如今已兼具OMO數據蒐集、行銷和提供會員體驗等功能；支付工具則能讓超商蒐集跨通路消費數據，同時也是高客單價、高投入度客戶的指標；運算能力逐漸增強的POS機，更有能力紀錄並處理更多會員及銷售現場相關的數據，讓行銷更加精準。</p> <p>為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，會員功能使用情境已經拓展到超過50個品牌能使用，能加速累積跨通路會員數據。</p> <p>起步最早的全家，則根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。他們更將這些數據用於RMN的廣告業務，為自己增加一種毛利率遠高於零售本業的商業模式。</p> <p>今年才開始正式利用數據驅動會員經營的老三萊爾富，與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。（<a href="http://www.ithome.com.tw/article/154287">詳全文</a>）<br /> </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#人工結帳</span></span></strong></p> <p><strong>2億消費者研究：純自助結帳店面恐錯失高價值客戶商機</strong></p> <p>美國研究機構Catalina一份樣本有2.45億個消費者、45億次交易的<a href="https://www.catalina.com/shopper-insights/self-checkout-retail-experience">研究顯示</a>，雖然近期零售業掀起一股自助結帳風，但在店內保留人工結帳，才能抓住高價值客戶帶來的商機。</p> <p>研究發現，目前只使用人工結帳的消費者高達49%，只有12%消費者是純自動結帳派，39%消費者會兼用兩種結帳方法。其中，以這39%消費者，客單價跟消費頻率最高，且平均家庭收入也比其他兩種消費者高。</p> <p>因此，報告建議零售業者，仔細研究這些高價值消費者使用不同結帳方法時的消費行為，作為精準行銷參考，並妥善安排店內店內自助結帳和人工結帳的比例，在勞動成本及高價值客戶營收間取得平衡。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#搜尋引擎購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試穿</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試用</span></strong></span></p> <p><strong>Google推出鞋類及化妝粉底的AR購物輔助工具</strong></p> <p>Google將於<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/">搜尋頁面新增兩種AR購物輔助工具</a>，分別是鞋類3D模型預覽及粉底顏色預覽。鞋類預覽功能支援商家上傳鞋類商品的3D建模，讓消費者能看到360度商品樣貌，還能開啟相機鏡頭，預覽鞋子在使用者當下空間中的樣子。</p> <p>粉底顏色預覽則是讓消費者搜尋粉底商品時，能從148名膚色不同的模特兒中選取與自己膚色最接近的人，作為預覽模特兒，來模擬使用該款式粉底的效果。此功能支援上千種不同品牌的粉底色。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong></p> <p><strong>Amazon更高規格的新型無人機亮相</strong></p> <p>年中宣布無人機配送服務Amazon Prime Air即將上線後，<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-delivery-drone-reveal-photos">Amazon近日公開了新型無人機MK30的設計</a>。這款無人機比現行機行MK27-2更輕、更小、飛行距離更遠、耐溫範圍更廣、安全配備更完善，可以在小雨中飛行，且降低25%噪音。這些改良中，最重要的是安全性及可服務範圍提升，有利於未來無人機物流更加普及。</p> <p>Amazon表示，這款無人機將持續改良並測試，並爭取美國聯邦航空總署認證，預計2024年正式啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#業配媒合平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#比價功能</span></span></strong></p> <p><strong>先買後付業者Klarna推出比價上千家電商的商品搜尋工具</strong></p> <p>有上億使用者和45萬家合作零售業者的瑞典BNPL業者Klarna於<a href="https://www.klarna.com/international/press/introducing-klarna-spotlight-a-collection-of-product-innovations-for-a-new-era-of-shopping/">自家App推出比價搜尋工具</a>，不僅有像電商一樣的商品分類搜尋選項，還號稱會搜尋上千家電商即時和歷史價格來比價，並在結帳時自動搜尋折價券來使用。</p> <p>Klarna同時於App中新增了可直接購物的影片廣告，以及業配媒合功能，來一站式搓合創作者及廠商業配案，並提供業配創作的發布平臺。</p> <p>這些比價與電商功能，與Amazon在自家電商上的比價功能，及Google近月積極開發的搜尋引擎購物體驗優化、Youtube電商功能和業配搓合平臺功能，都不謀而合，透露出Klarna與兩家巨頭競爭的企圖。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商品</span></span></strong></p> <p><strong>Nike推出Web3虛擬商品平臺</strong></p> <p>運動服飾品牌<a href="https://about.nike.com/en/newsroom/releases/nike-launches-swoosh-a-new-digital-community-and-experience">Nike推出Web3虛擬商品平臺</a>，可以在上面蒐集、交易甚至與Nike共同創作虛擬商品。若創作的虛擬作品成功商品化，作者還可以分得版稅。這些虛擬商品未來可以在其他遊戲或是沉浸式體驗中使用。</p> <p>目前此平臺已經進入Beta測試，在經營平臺社群一段時間後，Nike計畫於2023年推出第1套虛擬收藏品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="http://https://news.adidas.com/originals/virtual-gear-for-new-realities--adidas-originals-launches-inaugural-nft-wearables-collection/s/b9c13f73-b7b4-412f-9e19-f8a4d9781621">Adidas新增了一個元宇宙產品線分類。</a></p> <p>2. <a href="https://www.globenewswire.com/news-release/2022/11/15/2556300/0/en/Victoria-s-Secret-Co-Expands-its-Bra-Fit-Services-Making-Finding-the-Perfect-Bra-Easier.html">維多利亞的秘密推出App新功能，利用3D掃描技術自動推薦消費者內衣尺寸。</a></p> <p>3. <a href="https://twitter.com/AaronandML/status/1592581288401440768/photo/1">加拿大大型量販店Giant Tiger完全淘汰舊有電商科技，用Shopify等新零售科技業者的技術取代。</a></p> </div></div></div>
2022/11/24 10:55作者郭又華https://www.ithome.com.tw/news/154382
Meta發現首個來自美國軍方的帶風向行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2022/11/Quarterly-Adversarial-Threat-Report-Q2-2022-1.pdf" target="_blank">Meta於本周發表了今年第三季的對抗威脅報告（Adversarial Threat Report）</a>，揭露了首個源自美國軍方的「協作不真實行為」（Coordinated Inauthentic Behavior，CIB），美國國防部旗下的中央司令部則拒絕回應此事。</p> <p>這些協作不真實行為主要是以偽造的身分在網路上帶風向，操縱自己或是其它國家的議題，根據Meta近年來的調查，全球有超過50個國家會藉由社交平臺執行各種CIB活動，在2017年至2020年間，<a href="https://www.ithome.com.tw/news/144667" target="_blank">最常於臉書上執行CIB活動的國家</a>依序是俄羅斯、伊朗、緬甸、美國與烏克蘭。</p> <p>然而，過去由美國所執行的CIB活動，主要來自邊緣政治人物、公關或顧問公司，以及媒體網站，這次是第一次發現美國軍方涉身其中。</p> <p>今年第三季時，Meta以違反該平臺CIB政策為由，移除了由俄羅斯在臉書上所建立的1,633個帳號、703個粉絲頁，1個社團，以及Instagram上的29個帳號。中國則有81個臉書帳號、8個粉絲頁、1個社團與2個Instagram帳號被移除。美國有39個臉書帳號、16個粉絲頁、2個社團與26個Instagram帳號被移除。</p> <p>該季由Meta所移除的美國CIB活動帳號屬於同一個網路，有不同的叢集來操縱有關伊朗、中亞、中東或北非的議題，且除了利用臉書與Instagram之外，也透過Twitter、YouTube或Telegram等平臺宣傳，Meta的研究顯示，此一網路背後的某些人與美國軍方有關。</p> <p>其實<a href="https://public-assets.graphika.com/reports/graphika_stanford_internet_observatory_report_unheard_voice.pdf" target="_blank">史丹福大學網路觀察站（Stanford Internet Observatory）與社交媒體情報業者Graphika在今年8月便曾公布類似的報告</a>，指出有一個CIB網路透過8個社交媒體平臺在中東與中亞宣傳親西方的言論，而且是一系列的計畫，而非單一操作，目的是為了促進美國與其盟國的利益，並反對包括俄羅斯、中國與伊朗等國家，也撻伐極端主義，所宣傳的網站有些是由美國軍方所贊助的。</p> </div></div></div>
2022/11/24 11:12作者陳曉莉https://www.ithome.com.tw/news/154385
美國扣押了7個偽裝成新加坡國際貨幣交易平臺的加密貨幣詐騙網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pig-butchering-scheme" target="_blank">美國司法部於本周二（11/21）宣布</a>，已扣押了7個偽裝成新加坡國際貨幣交易平臺（Singapore International Monetary Exchange）的詐騙網域，已確認的5名受害者總損失超過1,000萬美元，同時鼓勵其他受害者出面。</p> <p>這類的詐騙案件被稱為「殺豬」（Pig Butchering）投資詐騙，詐騙犯先透過交友程式、社交媒體或隨機文字來認識受害者，進而與受害者建立關係並取得信任，再介紹各種投資機會以騙走受害者的資金。</p> <p>根據調查，從今年5月到8月間，這群詐騙犯至少引誘了5名美國受害者，讓他們於偽造的網站上投資加密貨幣，當受害者透過這些網站把款項轉進詐騙犯所指定的帳戶之後，款項很快就被移轉到大量的其它加密貨幣錢包，並執行混幣，以隱藏資金來源，且之後詐騙犯即人間蒸發。這5名受害者的損失金額超過1,000萬美元。</p> <p>與加密貨幣有關的詐騙近年來層出不窮，<a href="https://www.justice.gov/usao-edny/pr/eleven-defendants-arrested-investment-fraud-money-laundering-and-unlicensed-money" target="_blank">美國司法部甫於今年10月逮捕並起訴了11名嫌犯</a>，他們同樣是以投資加密貨幣來吸引受害者，向美國逾200名受害者騙走了1,800萬美元。</p> </div></div></div>
2022/11/24 09:31作者陳曉莉https://www.ithome.com.tw/news/154380
Google要求TV應用程式轉換使用App Bundles發布格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/11/app-bundles-for-google-tv-and-android-tv.html">Google宣布</a>其Google TV和Android TV，從2023年5月開始將要求使用App Bundles應用程式發布格式，原因是Google TV和Android TV裝置儲存空間有限，但是可安裝的應用程式越來越多，為了提升用戶應用程式使用體驗，於是決定全面使用App Bundles。</p> <p>Android TV作業系統現在可用應用程式超過1萬個，雖然可使用的軟體數量呈指數上升，但是Android TV裝置非常有限，與手機比起來，在2022年時，手機最小儲存容量為64 GB，但是智慧電視的平均儲存只有8 GB，儲存空間有限使得用戶必須卸載應用程式，進而影響用戶體驗。</p> <p>因此Google針對這個問題，在2020年的時候，在Android上推出了App Bundle，這是手機、平板和TV上Google Play的標準發布格式，目前已經取代APK（Android Package Kits）。App Bundle有許多好處，因為能夠針對每臺裝置最佳化，與同等的APK相比，App Bundle的總大小平均減少20％，因此可節省更多的儲存空間。</p> <p>由於App Bundle讓用戶可以選擇封存應用程式，這能夠回收60％的應用程式儲存空間，TV裝置內建快速封存和取消封存的用戶介面，因此就算裝置儲存空間有限，用戶仍可以將更多的應用程式，留在Google TV和Android TV裝置上，同時開發人員也可以維護狀態，提供開發者無摩擦的取消封存體驗。</p> <p>App Bundle交付也更簡單安全，由於Play Store擁有應用程式的原始碼和資源，因此可以針對每個裝置的配置，動態提供最佳化應用程式，而且當開發者上傳的金鑰丟失或是洩漏，也可以輕鬆進行重設。</p> <p>距2023年5月，Google TV和Android TV要求使用App Bundles約有6個月的過渡期，但Google提到，一般情況工程師只要花3天，就能夠將現有的電視應用，從APK移植到App Bundle。如果屆時應用程式仍未轉換使用App Bundles，則Google可能會選擇在電視介面隱藏這類應用程式，官方建議正在開發新TV應用程式的開發者，應該直接選擇使用App Bundles。</p> </div></div></div>
2022/11/24 09:36作者李建興https://www.ithome.com.tw/news/154375
Windows 10、11用戶可於Microsoft Store直接下載安裝WSL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/the-windows-subsystem-for-linux-in-the-microsoft-store-is-now-generally-available-on-windows-10-and-11/">Microsoft Store中的WSL（Windows Subsystem for Linux）現在移除預覽標籤</a>，成為最新的正式版本，直接使用wsl--install指令，就會預設替新用戶安裝商店的中的WSL版本，與之前作為Windows元件的WSL版本相比，使用商店中的WSL能夠更快地獲得更新。另外，除了Windows 11，現在用戶在Windows 10也可以從商店下載WSL，並且獲得systemd和Linux GUI應用程式等新功能支援。</p> <p>WSL現在作為Microsoft Store中的應用程式，能夠讓用戶快速在Windows中實際執行Linux。官方提到，這次的更新目標是簡化WSL版本控制，使Microsoft Store成為WSL安裝預設位置。</p> <p>商店的WSL版本具有一些重大更新，包括用戶可以選擇使用systemd支援，也讓Windows 10用戶可以在WSL執行Linux GUI應用程式，這是之前只有Windows 11可以使用的功能。而當用戶使用wsl--update指令，系統則會預設開啟Microsoft Store，所有WSLg和WSL核心都被打包進同一個WSL套件，這代表用戶不再需要進行額外MSI安裝。</p> <p>目前商店版本的WSL版本，就是當前WSL預設版本，在此次更新，微軟還將WSL功能向後移植至Windows 10和Windows 11。wsl.exe--install指令現在將自動安裝WSL商店版本，並且不會再啟動WSL可選元件，也不需要安裝WSL核心或是WSLg MSI套件，不過，用戶仍然可以選擇虛擬機平臺，目前會預設安裝Ubuntu。wsl.exe--update指令則會檢查Microsoft Store並應用WSL MSIX套件更新，而不會更新WSL核心MSI。</p> <p>使用者暫時需要手動搜尋，才能獲得最新的WSL正式版本，微軟預計在12月中旬會自動推送更新，要使用最新WSL，用戶需要安裝Windows的可用更新，作業系統要求Windows 10 21H1、21H2或22H2版本，或是Windows 11 21H2。</p> <p>如果用戶是使用WSL 1發行版，便仍需要WSL可選元件，WSL 1雖然仍可以獲得重要錯誤修復，但是WSL商店版本則會持續更新功能，官方提到，用戶需要特別辨識所使用的WSL版本，因為兩者的基礎架構不同，運作和行為也都不一樣，WSL 2具有更好的檔案系統效能，並使用真正的Linux核心，但是需要執行虛擬化。</p> </div></div></div>
2022/11/24 09:41作者李建興https://www.ithome.com.tw/news/154376
Visual Studio for Mac 17.4開始支援跨平臺開發框架.NET MAUI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟跨平臺開發框架.NET MAUI開發應用程式，現在於最新的<a href="https://devblogs.microsoft.com/visualstudio/net-maui-is-now-available-in-visual-studio-for-mac-17-4/">Visual Studio for Mac 17.4</a>提供支援，開發者可以在Mac上開發其他平臺目標的應用程式。作為.NET 7的一部分，這個版本的.NET MAUI SDK，也獲得許多效能與可靠性更新。</p> <p>.NET MAUI的單一專案功能，讓開發者不需要煩惱跨平臺的資源管理，微軟解釋，.NET MAUI單一專案是一個抽象特定平臺開發體驗和工具的單一共享專案，可讓開發者從Mac機器，對Android、iOS和Mac，甚至是Windows建構相同的應用程式。</p> <p>透過使用多目標和SDK樣式專案，.NET MAUI供開發者在單一專案中共享資源檔案、單一跨平臺應用程式進入點。開發者能夠在擁有最佳化開發體驗的同時，跨多個目標平臺和裝置，存取平臺特有的功能和API。</p> <p>微軟也最佳化視覺設計工具，提高開發者在建構UI時的工作效率，借助XAML熱重載功能，在XAML更改時，開發者可即時看到應用程式中的UI變化，也就是說不需要重新建構和部署應用程式，就能驗證UI變更。透過Live Visual Tree，開發者還可以看到執行中XAML程式碼的即時檢視圖，即時呈現應用程式中所有UI元素的階層結構。</p> </div></div></div>
2022/11/24 09:43作者李建興https://www.ithome.com.tw/news/154377
【資安日報】2022年11月23日，已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網設備近年來成為駭客鎖定的目標，因為這類系統往往缺乏足夠的防護，甚至相關的開發套件因包含已停止支援的元件，而使得用戶陷入安全性漏洞無人處理的風險。例如，中國駭客日前入侵印度電網的事故裡，就針對名為Boa的網頁伺服器下手。Boa系統已停止更新長達17年，但許多物聯網裝置的SDK仍廣泛採用其元件，而使得這些裝置也曝露於Boa漏洞的危險當中。</p> <p>我們過往報導了數款基板管理控制器（BMC）的漏洞，這些BMC多半是安裝在伺服器主機，但最近用於物聯網裝置的BMC出現漏洞而引起研究人員注意。有資安業者揭露臺廠立端科技（Lanner）的BMC韌體漏洞，一旦遭到利用，攻擊者就有機會對搭載該公司BMC元件的物聯網裝置進行控制。</p> <p>以近日時事為誘餌的網釣攻擊事件頻傳，這些話題包含即將到來的黑色星期五購物季、剛在上週末開打的世界盃足球賽，以及加密貨幣交易所FTX破產等情況。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已中止發展與維護的Boa網頁伺服器系統成為攻擊目標，駭客藉此對能源組織下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Supply-chain-affected-by-known-vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Supply-chain-affected-by-known-vulnerabilities.png" style="width: 300px; float: right;" /></a>微軟安全威脅情報中心（MSTIC）在調查中國駭客入侵印度電網的攻擊行動時，發現其入侵管道為Boa網頁伺服器，此為開源的物聯網系統解決方案，但早在2005年就不再更新。</p> <p>研究人員指出，此網頁伺服器系統全球迄今有逾百萬臺裝置採用，但為何Boa仍非常普遍？很可能是廣泛受到許多軟體開發套件（SDK）採用，而使得透過這些SDK開發的裝置存在Boa相關漏洞，例如：目錄越界漏洞CVE-2017-9833，以及資訊洩露漏洞CVE-2021-33558，這些漏洞目前都尚未得到修補。</p> <p>研究人員舉出採用Boa的瑞昱SDK為例，該公司修補此SDK漏洞，但並未處理上述兩個Boa漏洞，而使得採用此SDK開發的路由器、無線AP都存在這些弱點，可被駭客用於攻擊行動。</p> <h3><a href="https://www.bitdefender.com/blog/hotforsecurity/just-your-yearly-dose-of-black-friday-spam-cybercrooks-get-ahead-of-the-game-to-steal-shoppers-info"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">黑色星期五相關的垃圾郵件逾半數有詐</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/graf1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/graf1.jpg" style="width: 300px; float: right;" /></a>黑色星期五即將在11月25日來臨，相關的釣魚郵件也隨之出現。防毒業者Bitdefender在10月26日至11月9日觀察到這類惡意活動，他們發現，與黑色星期五有關的垃圾郵件，自11月7日急劇增加——6日為4%，7日爆增至19%，9日來到26%。</p> <p>這些垃圾郵件有27%是針對美國而來，愛爾蘭24%次之。值得留意的是，這裡面有56%與詐騙相關。</p> <p>研究人員指出，駭客除了會利用名牌商品大幅降價作為誘餌，也可能會使用免費的禮物卡、問卷來行騙，而且往往會使用攻擊目標慣用的語言，讓購物者降低警覺。</p> <h3><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/email-cyberattacks-on-arab-countries-rise.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以世界盃足球賽為幌子的釣魚郵件攻擊升溫，被用於散布Emotet、QBot、Remcos惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/email-cyberattacks-arab-countries-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-cyberattacks-arab-countries-11.jpg" style="width: 300px; float: right;" /></a></p> <p>世界盃足球賽於11月20日在卡達開打，是近期該賽事首度在阿拉伯地區舉辦，在此之前，駭客已鎖定該地區的球迷、球隊下手，發動釣魚郵件攻擊。資安業者Trellix發現當地10月的惡意郵件數量，較9月爆增一倍，原因與世足賽有關。</p> <p>研究人員看到各式各樣與這場比賽有關的網釣郵件，像是假借國際足球總會（FIFA）的名義，聲稱球迷購票付款沒有成功，或是佯稱合作夥伴Snoonu將送出免費門票等，此外，也有針對球隊而來的郵件，例如，以FIFA的名義宣稱禁止登記新球員的通知信。</p> <p>上述的釣魚郵件主要被用於散布木馬程式與竊密軟體，如QBot、Emotet、Formbook、Remcos，以及QuadAgent。</p> <h3><a href="https://www.vice.com/en/article/v7vj9a/sam-bankman-fried-deepfake-offers-refund-to-victims-in-verified-twitter-account-scam"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因加密貨幣交易所FTX破產受害的用戶被駭客盯上，透過推特認證的帳號流傳Deepfake影片吸引想翻本的人</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1669045790229-deepfake.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1669045790229-deepfake.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/154165">大型加密貨幣交易所FTX日前破產</a>，債權人試圖追討自己投入的資金，駭客也看上這樣的情況來進行詐騙。根據新聞網站Motherboard的報導，11月18日推特上出現了FTX創辦人Sam Bankman-Fried的Deepfake影片，該影片聲稱為彌補投資人的損失，他們提供了專屬網站，投資人只要依照指示，就有可能將手中持有的加密貨幣翻倍來獲得補償，但實際上這是標準的加密貨幣詐騙。</p> <p>然而這起詐騙與過往有所不同的是，駭客不僅使用該創辦人名字縮寫SBF做為使用者名稱，還取得了推特的藍勾勾驗證（Twitter Blue）──疑似<a href="https://www.ithome.com.tw/news/153964">馬斯克宣布以8美元供所有用戶購買</a>後取得。</p> <h3><a href="https://blog.sekoia.io/aurora-a-rising-stealer-flying-under-the-radar/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Aurora攻擊行動升溫，至少有7組駭客採用</span></strong></a></h3> <p>資安業者Sekoia指出，以Go語言開發的竊密軟體Aurora，最近幾個月因為防毒軟體難以偵測而受到駭客歡迎。根據他們的調查，至少有7個惡名昭彰的駭客組織將其用於攻擊行動，有些駭客將其與兩款竊密軟體RedLine、Raccoon搭配使用。</p> <p>研究人員指出，這款竊密軟體是由殭屍網路發展而來，賣家BrazzzersLogs自8月下旬開始向駭客兜售，標榜能竊取逾40種加密貨幣錢包，具備反向尋找密碼資料集的功能，並且能自動解析MetaMask錢包的通關密語（Seed Phrase），駭客可選擇每月以250美元的代價租用，或是支付1,500美元購買終身授權。這些駭客已透過釣魚網站、YouTube影片，以及免費軟體下載網站等多個管道來散布Aurora。</p> <h3><a href="https://www.withsecure.com/en/whats-new/pressroom/ducktail-attacks-costing-victims-hundreds-of-thousands-of-dollars"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Ducktail藉由WhatsApp散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exodus_phishing_page_aurora.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exodus_phishing_page_aurora.png" style="width: 300px; float: right;" /></a>資安業者WithSecure揭露越南駭客組織Ducktail近期的攻擊行動，該組織原先濫用LinkedIn網站鎖定經營臉書廣告業務的人士與組織，但研究人員發現，駭客約自今年9月初開始改變做法。</p> <p>例如：透過即時通訊軟體WhatsApp做為散布竊密軟體的新途徑、Ducktail啟動的時候一併開啟文件檔案或是影片，進而卸下受害者的心防；再者，這些駭客也更換不同的編譯工具，並使用數位簽章，來規避資安系統的偵測；此外，他們甚至在越南成立假的公司做為幌子，藉此吸收成員。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/vulnerabilities-in-bmc-firmware-affect-ot-iot-device-security-part-1/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺廠Lanner基板管理控制器韌體被揭露13個漏洞，其中4個最嚴重，恐使OT與IoT設備遭到攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fg2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fg2.png" style="width: 300px; float: right;" /></a>資安業者Nozomi Networks在臺廠立端科技（Lanner）的基板管理控制器（BMC）擴充卡IAC-AST2500A上，總共發現了13個漏洞，其中有4個CVSS風險層級達到10分的漏洞CVE-2021-26727、CVE-2021-26728、CVE-2021-26729、CVE-2021-26730，這些漏洞都與記憶體的緩衝區溢位有關，多半能被用於命令注入攻擊。研究人員將CVE-2021-26728串連另一個漏洞CVE-2021-44467，展示概念性驗證（PoC）攻擊，攻擊者可在未經身分驗證的情況下，透過網頁管理介面，進而在BMC使用root權限遠端執行任意程式碼（RCE）。</p> <p>立端科技獲報後，已製作新版BMC韌體修補上述漏洞。若是管理者無法更新韌體，研究人員建議透過防火牆的網路存取控制規則，限縮能存取網頁管理介面的人士，來降低上述漏洞帶來的風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154345"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首設部長級資安首長，澳洲運用資安政策發揮國際影響力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154344"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google雲端部署可抵抗量子攻擊的加密演算法</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154361"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟中小企業雲端DDoS防護服務正式上線</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/donut-extortion-group-also-targets-victims-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索駭客組織Donut也開始加密受害電腦檔案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154359"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows版iCloud顯示其他用戶照片，引發資安疑慮</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> </div></div></div>
2022/11/23 18:41作者周峻佑https://www.ithome.com.tw/news/154378
Meta開發新人工智慧CICERO，可在《外交》遊戲與真人玩家談判並獲勝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta研究開發具有談判、說服和合作能力的人工智慧<a href="https://ai.facebook.com/blog/cicero-ai-negotiates-persuades-and-cooperates-with-people/">CICERO</a>，CICERO如同Deep Blue和AlphaGo等人工智慧一樣，是在遊戲中進行試驗，CICERO能夠遊玩策略遊戲《外交》webDiplomacy.net，與其他人類玩家以自然語言溝通，甚至是說服其他玩家結盟，最終取得遊戲勝利，並進入遊戲參與者排名前10％。</p> <p>《外交》這款遊戲過去被認為是人工智慧難以克服的挑戰，因為需要掌握理解其他玩家的動機和觀點，並制定複雜的計畫以自然語言與其他人類玩家達成協議，在過程中還需要不斷調整策略，最終建立夥伴關係和聯盟。研究人員提到，CICERO具有非常好的溝通能力，導致人類玩家偏好與CICERO合作，而非其他人類參與者。</p> <p>與國際象棋和圍棋等遊戲不同，《外交》需要處理的不是遊戲規則本身，而是與其他玩家的關係，因此要能在遊戲中獲得勝利，CICERO需要能夠辨識其他玩家的虛張聲勢，或是避免無意做出會被其他玩家視為具攻擊性的行動，否則可能很快就會輸掉遊戲，而且CICERO還需要像真人玩家一樣對話，表現出同理心、建立關係並且談論遊戲，才能找到願意一起合作的玩家。</p> <p>CICERO的貢獻在於，能夠交叉運用人工智慧兩個不同領域的技術，綜合戰略推理和自然語言處理贏得遊戲，CICERO有能力在《外交》遊戲的後期，推論出需要某個特定玩家的支持，然後制定策略獲得該玩家信任，甚至是從該玩家的角度找出風險與機會，以提高說服該玩家結盟的機率。</p> <p>在《外交》遊戲中，與其他玩家交談比移動棋子的方法還要重要，CICERO具清楚且有說服力溝通，能制定短中長期的策略，像是在立即要求一名玩家提供支援的同時，說服另一名玩家在遊戲後期結盟，CICERO能夠說明為什麼這些玩家要跟他合作，這個行為如何能夠互利互惠，CICERO還會一邊收集資訊，替未來的行動奠定基礎。但CICERO仍然有一些需要改進的部分，像是可能會產生與行動不一致的對話。</p> <p>CICERO在《外交》的試驗，展示在合作和競爭遊戲中，以目標為導向的對話系統，解決人工智慧與人類在達成共同目標上，所出現的社交和技術挑戰，《外交》提供了一個環境，讓利益衝突的玩家相互搏鬥，並將複雜的目標轉成自然語言，像是玩家可能會選擇在短期利益上妥協以維持盟友，並希望該盟友在下一回合幫助他們進入更好的位置。</p> <p>Meta現在開源CICERO程式碼，讓其他研究人員可以繼續相關的研究，CICERO也採用零樣本分類對話模型，監測和刪除有害的對話訊息。</p> </div></div></div>
2022/11/23 16:43作者李建興https://www.ithome.com.tw/news/154365
南韓開發者被收取33%佣金，蘋果同意改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.go.kr/solution/skin/doc.html?fn=0aef0cc7ba1d09257a3afd7dc4386318d674e9e1199aedb48bd0334031c83b03&rs=/fileupload/data/result//news/report/2022/" target="_blank">南韓公平交易委員會（FTC）周二（11/22）宣布</a>，蘋果已經同意要解決南韓開發者於App Store中支付33%佣金的問題。</p> <p>蘋果App Store既有佣金政策，是要求開發者所銷售的程式或訂閱服務必須依據修件支付15%或30%的佣金，然而，南韓的行動遊戲協會在今年8月向當地FTC申訴，指控蘋果非法向當地開發者收取33%的佣金，在2015年至2020年間，替蘋果帶來3,500億韓圓（約2.6億美元）的不法收益，促使FTC於9月展開調查。</p> <p>根據<a href="https://biz.chosun.com/it-science/ict/2022/09/26/DPQQMMOGBJCUXHZAWZWAWE3O2U/" target="_blank">《朝鮮日報》</a>的報導，這主要是增值稅所造成的問題，例如一款程式原始價格為3,000韓圓，但消費者所看到的卻是加了10%增值稅之後的3,300韓圓，而蘋果則依據消費者所購買的價格抽了30%的佣金，最後卻是開發者要將10%的增值稅交給南韓國稅局。因此，算起來是蘋果收了33%的費用，而開發者則受到了剝削。</p> <p>本周南韓則宣布已與蘋果達成協議，蘋果將自願更正此一作法。</p> </div></div></div>
2022/11/23 16:49作者陳曉莉https://www.ithome.com.tw/news/154371
駭客利用2005年就停止更新的IoT解決方案Boa入侵組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/" target="_blank">微軟安全威脅情報中心（Microsoft Security Threat Intelligence Center，MSTIC）本周揭露</a>，當他們調查中國駭客入侵印度電網的攻擊行動時，發現駭客的入侵管道為Boa網頁伺服器，這是一個開源的IoT解決方案，而且早在2005年就不再更新。MSTIC相信此一安全風險可能還影響著全球上百萬個裝置與其它組織。</p> <p>資安業者Recorded Future自2021年開始追蹤中國駭客RedEcho針對印度電力基礎設施所展開的攻擊行動，<a href="https://www.recordedfuture.com/continued-targeting-of-indian-power-grid-assets?__hstc=156209188.65c2d309abc7befc704e210a65154bf8.1666196607997.1666196607997.1666196607997.1&__hssc=156209188.1.1666196607998&__hsfp=2445685111" target="_blank">並在今年初發現</a>同樣來自中國的TAG-38駭客組織持續針對類似的目標進行攻擊，微軟在分析此一最新的攻擊行動之後，發現其入侵指標（IOC）的所有IP位址都含有同樣的Boa元件，且駭客鎖定了執行Boa的IoT裝置展開攻擊。</p> <p>在1995年發表的Boa是個開源的小型網頁伺服器，適用於嵌入式應用，包括路由器或監視器等IoT裝置，且經常可用來存取設定、管理及登入畫面，只不過，該專案在2005年就停止更新了。然而，根據MSTIC的統計，全球仍有超過100萬臺採用Boa的裝置曝露於公開網路。</p> <p>MSTIC推測，Boa依然普及的原因之一可能是它被嵌在許多熱門的SDK中，這些SDK又被部署在系統單晶片（SoC）上，這使得它們所內含的安全漏洞經常藉由裝置而散布，形成供應鏈風險，例如瑞昱半導體（RealTek）用在SoC上的SDK就被用來生產路由器、無線AP或中繼器等裝置，使得不管是Boa或SDK的安全漏洞也會隨之蔓延。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2022/11/Figure-2.-Supply-chain-affected-by-known-vulnerabilities-1536x489.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>迄今Boa至少有兩個已知且未被修補的安全漏洞CVE-2017-9833與CVE-2021-33558，它們分別是檔案存取與資訊揭露漏洞，允許駭客自遠端執行任意程式；而RealTek SDK上亦含有曝露管理介面 CVE-2021-35395漏洞，以及可遠端執行程式的緩衝區溢位漏洞CVE-2022-27255。</p> <p>MSTIC說，即使RealTek已修補了SDK的安全漏洞，但許多製造商或許未將它們納入裝置的韌體更新，此外，RealTek的修補並未涵蓋Boa漏洞。這也意味著就算IoT業者更新了韌體，卻不一定有修補SDK或特定的SoC元件漏洞。</p> <p>Boa的安全漏洞允許駭客藉由蒐集檔案中的資訊秘密存取網路，更重要的是，受害者或許完全不知道，它們所使用的裝置採用了已不再更新的Boa網頁伺服器，因而不管是更新韌體或其它修補都無法解決Boa上的已知漏洞。</p> <p>微軟則建議各組織應該要儘可能地修補裝置上的安全漏洞，啟用漏洞評估機制來辨識含有漏洞的裝置，把漏洞偵測功能延伸至防火牆以外，在網路上移除沒必要連網的IoT裝置，使用主動式的病毒掃描，制定偵測規則來辨識惡意行為，以及採用全面性的IoT與OT解決方案。</p> </div></div></div>
2022/11/23 15:43作者陳曉莉https://www.ithome.com.tw/news/154363
英國針對Google與蘋果的雙頭壟斷正式展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/investigation-into-cloud-gaming-and-browsers-to-support-uk-tech-and-consumers" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）周二（11/22）宣布</a>，將針對Google與蘋果在行動生態體系的雙頭壟斷局面正式展開調查，特別是瀏覽器與遊戲領域。</p> <p><a href="https://www.ithome.com.tw/news/148381" target="_blank">其實CMA早在去年就對此進行初步調查</a>，並<a href="https://www.gov.uk/government/news/cma-plans-market-investigation-into-mobile-browsers-and-cloud-gaming" target="_blank">在今年6月發布調查報告</a>，指出蘋果與Google在行動生態體系的確擁有有效的雙頭壟斷，令它們可控制相關市場，包括行動作業系統、行動應用程式商店，以及瀏覽器，若不進行干預，這兩家業者可能維持甚至強化對該領域的控制，進一步限制了競爭與創新。</p> <p>本周CMA說明，瀏覽器為行動裝置上最普遍的程式之一，絕大多數的使用者每天都會透過瀏覽器存取資訊、新聞、影片或進行購物，去年英國所有的行動瀏覽中，就有97%是透過蘋果或Google的瀏覽器引擎，因此，在這些瀏覽器引擎上的任何限制，都可能對使用者經驗帶來重大的影響。</p> <p>至於遊戲在英國也是個價值數十億英鎊的產業，擁有數百萬名玩家，當中包括超過80萬的雲端遊戲玩家，但遊戲若僅能透過行動裝置散布，卻可能阻礙該領域的成長。</p> <p>因此，CMA將調查蘋果與Google在行動瀏覽器市場的獨霸地位，以及蘋果如何藉由App Store限制雲端遊戲。相關的調查有很大一部分是因為CMA收到了來自其它瀏覽器業者、網頁開發者及雲端遊戲服務供應商的抱怨，指稱現在的情況正在危害它們的業務，妨礙創新，而且增加了不必要的成本。</p> <p>其中，網頁開發者認為蘋果對瀏覽器技術的投資不足，再加上蘋果要求的諸多限制，使得它們在建置網頁時必須處理許多錯誤，因而提高了成本，還增加挫敗感，有時候在網頁應該便足矣的狀態下還必須另行打造行動程式。</p> <p>不過，不論是蘋果或Google都宣稱這些限制是用來保護使用者。CMA現則針對兩方的說法展開深度調查，最終可能迫使Google及蘋果變更其限制或行為，目的是改善競爭，以替消費者帶來更多選擇與更好的產品。</p> </div></div></div>
2022/11/23 15:54作者陳曉莉https://www.ithome.com.tw/news/154364
HP將在未來3年裁員10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.hp.com/news/press-release-details/2022/HP-Inc.-Reports-Fiscal-2022-Full-Year-and-Fourth-Quarter-Results-Announces-Dividend-Increase-and-Future-Ready-Transformation/" target="_blank">HP周二（11/22）公布</a>該公司截至10月31日的2022財年第四季財報，顯示該季的淨營收（Net Revenue）為148億美元，下滑11.2%，同時宣布了「未來就緒轉型」（Future Ready Transformation）計畫，預計在2025年10月以前，裁撤4,000~6,000名員工，最多將占員工總數的10%。</p> <p>在後疫情時代，與PC相關的交易都出現衰退，<a href="https://www.gartner.com/en/newsroom/press-releases/2022-10-10-gartner-says-worldwide-pc-shipments-declined-19-percent-in-third-quarter-of-2022" target="_blank">根據Gartner的統計</a>，今年第三季全球PC出貨量為6,800萬臺，比去年同期減少了19.5%，此一情況也直接反映在HP的財報上。HP該季的個人系統營收為103億美元，下滑了13%，印表機印收為45億美元，下滑了7%。</p> <p>不過，對HP而言，這已是該公司連續至少第三波的裁員行動。在2016年10月，<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000047217/acadb117-ecc5-469f-aafd-6fd9a4a4cf7b.pdf" target="_blank">HP便曾展開重整計畫</a>，於2019年10月以前減少3,000~4,000名員工；2019年10月再發起<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000047217/f326665a-eccf-47f1-87dc-d5451a364b07.pdf" target="_blank">另一波的重整計畫</a>，於2022年10月以前減少7,000~9,000名員工；最新的重整計畫則是在2025年10月以前減少4,000~6,000名員工。</p> <p>HP對減少人力的規畫都是以3年為期，除了裁員外也鼓勵員工提早退休。不過，即便長期規畫減少人力，也難逃因疫情的需求而擴編，去年10月HP的全球員工數為5.1萬，但現在則有6.1萬。最近一次的3年重整計畫預計產生10億美元的費用，其中的7億美元與裁員有關，但完成該計畫之後，每年可望節省14億美元的成本。</p> </div></div></div>
2022/11/23 12:56作者陳曉莉https://www.ithome.com.tw/news/154362
微軟中小企業版雲端DDoS防護服務正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2個月的<a href="https://www.ithome.com.tw/news/153758" target="_blank">測試</a>後，<a href="https://techcommunity.microsoft.com/t5/azure-network-security-blog/azure-ddos-ip-protection-is-now-available-in-public-preview/ba-p/3669075" target="_blank">微軟本周宣布</a>針對中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）正式上線。</p> <p>微軟10月在Ignite大會上為Azure DDoS IP保護切分成2個版本，一是原本的大型企業版，另一是新的中小企業版。中小企業版繼承Azure DDoS IP保護產品名稱。適用於大型企業的版本則將改名為Azure DDoS網路保護（Azure DDoS Network Protection）。</p> <p>微軟強調Azure DDoS IP保護雖為SMB客戶設計，但提供企業級保障。它提供L3/L4 DDoS攻擊防護，可提供Always on流量監控、適應性動態調校（adaptive tuning）、自動DDoS攻擊警示、緩解、政策設定及提供緩解報告等功能，也強調可和Firewall Manager、統一Azure Sentinel管理中控臺服務整合。它另一項特色是可允許以單一公開IP為單位的採購。大型企業版則是以100個公開IP為採購單位。</p> <p><a href="https://azure.microsoft.com/en-us/pricing/details/ddos-protection/" target="_blank">根據微軟網站</a>，Azure DDoS IP保護在臺灣的定價為每一公開IP每月6,382元新臺幣。</p> </div></div></div>
2022/11/23 11:53作者林妍溱https://www.ithome.com.tw/news/154361
iCloud for Windows出現陌生人相片影片，疑為Bug所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.macrumors.com/2022/11/21/icloud-for-windows-corrupt-video-bug/" target="_blank">MacRumors報導</a>，iCloud可能出現未知臭蟲，使部分使用Windows PC的用戶，在自己的iCloud相簿中看到陌生人的相片及影片。</p> <p><a href="https://forums.macrumors.com/threads/icloud-for-windows-corrupting-videos-downloading-other-peoples-photos.2370666/" target="_blank">部分iCloud for Windows 用戶本周在MacRumors</a>上反映iCloud的數項問題。其中之一是他的iCloud Library出現完全陌生的相片，包括從沒見過的人的家庭相片、足球比賽及其他主題相片。</p> <p>根據論壇用戶的回饋，這問題似乎出現在iPhone 13 Pro及iPhone 14 Pro拍攝的相片或影片，但可能僅限啟動HDR及HEVC高畫質影像功能設定的手機。App則只影響iCloud for Windows版，包括Windows 10和11。Windows 11可整合iCloud Photos的Photo App則似乎也不受影響。</p> <p>此外，刪除iCloud for Windows App並不能解決問題，顯示問題應該是出現在蘋果伺服器端。<a href="https://9to5mac.com/2022/11/21/icloud-for-windows-photos-videos-strangers/" target="_blank">9to5mac推測</a>可能是iPhone到Windows版iCloud之間檔案轉換不當所致。</p> <p>這只是iPhone用戶抱怨的問題之一。另一個問題是用戶上傳到iCloud Library的影片全變黑還出現掃瞄線，影片也變得無法讀取。這問題影響iPhone 13 Pro及iPhone 14 Pro拍攝的影片。</p> <p>目前問題原因不明，由於用戶已經通報，蘋果應該已知情，但還未提供說明。</p> <p>這也令人憂心蘋果是否真能確保用戶隱私。近日蘋果才因官方App如App Store、Apple TV、Books、Stock會追蹤已設定隱私選項的用戶行蹤，<a href="https://www.phonearena.com/news/apple-sued-for-tracking-its-users-using-native-ios-apps_id143657" target="_blank">遭到用戶集體控告</a>。</p> </div></div></div>
2022/11/23 11:03作者林妍溱https://www.ithome.com.tw/news/154359
Meta開始在資料中心採用奈秒級精確度的時間協定PTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/11/21/production-engineering/future-computing-ptp/">Meta更換資料中心所使用的時間協定成精確時間協定（PTP）</a>，使得網路和資料中心得以提供更高準確度和精確度的時間，Meta現在開源支援PTP的網路硬體和軟體，來加速PTP在產業資料中心的擴大採用。</p> <p>由於訊息傳遞、視訊會議、線上遊戲，甚至是更新和刪除內容，都仰賴跨伺服器甚至是跨資料中心的精確計時，當端點之間的伺服器越多，同步也就更加重要，只要有一臺伺服器與其他伺服器不同步，就會造成明顯的延遲和錯誤。</p> <p>Meta提到，隨著技術的改進和新產品的推出，原本所使用的網路時間協定（NTP）已經到達極限，PTP提供了NTP所無法達到的準確度和精確度，並且能明顯降低網路延遲和錯誤的發生。在Meta的試驗計畫成功後，便會將PTP擴展到所有資料中心。</p> <p>Meta解釋PTP之所以重要，是因為其提供的準確度和精確度，準確度可以看作是電腦量測時間與實際時間相近的程度，而精確度也就是不同電腦彼此量測時間的接近程度。PTP原本是一種分散式系統同步時間的方法，由一個稱作Stratum的網路電腦保存當前時間，並向訊問時間的電腦發送時間參照。</p> <p>因爲網路延遲的關係，時間封包到達接收電腦的時候，因為各種延遲原因，時間已經不再準確，但延遲是無法避免的，只能透過量測來進行補償，當能夠量測延遲，就有能力在客戶端同步當前的時間。</p> <p>不過，量測參照電腦和客戶端電腦之間的延遲並非一件容易的事，因為缺乏全域時鐘，而且每臺電腦都有自己的時間，因此要量測兩端的延遲，必須要基於兩個假設，一致性和對稱性，一致性代表封包在經過網路傳輸時面臨的延遲都是一致的，而對稱性則代表在兩端來回的延遲相同。</p> <p>所以只要盡可能提高一致性和對稱性，就能最大程度提升時間同步精確度，而PTP運用硬體時間戳記和透明時鐘機制，可分別提高一致性和對稱性。即便電信業使用PTP已經有十多年，但是大規模資料中心的採用仍十分緩慢，與NTP相比，PTP讓主機以更高的精確度同步至同一個時間來源，NTP已能夠精確到毫秒，但是PTP更可以精確到奈秒。</p> <p>Meta舉出PTP能夠在各種應用帶來的好處，除了對未來元宇宙應用相當重要之外，當前的應用也能獲得好處，訊息傳遞能夠因為伺服器時間精確度時間更同步，線上遊戲也能夠因為PTP避免延遲，特別是基於雲端架構的遊戲，更能發揮其作用。</p> </div></div></div>
2022/11/23 09:07作者李建興https://www.ithome.com.tw/news/154346
Google運用AI大規模分析美國10年電視節目，探索不同性別與膚色的螢幕時間變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項由Geena Davis媒體性別研究機構、Google研究院、南加大訊號分析和解釋實驗室共同合作的<a href="https://blog.google/technology/ai/using-ai-to-study-12-years-of-representation-in-tv/">研究</a>，透過分析近10年來的美國電視節目，以了解性別和膚色在螢幕時間上的變化趨勢。</p> <p>這是第一個使用大規模人工智慧模型，進行的電視節目研究，總共分析了440小時的節目，發現即便到了2021年，女性演員在螢幕上出現的時間，仍較男性少，而且深膚色的演員說話時間僅占16％。</p> <p>這項研究調查2010年到2021年，每一季Nielsen媒體指標前10名，且有劇本的美國電視節目，這些節目包括喜劇、政治劇、愛情劇到科幻片等總共440小時。Google在24小時內處理完所有鏡頭，每秒處理超過100個影格，並使用機器學習模型，大規模分析1,200萬個在螢幕上出現的臉部。</p> <p>報告呈現幾個重要結果，第一，女性角色在螢幕出現時間上升，但男女仍然存在差距，到了2021年，男性角色的螢幕時間仍然較女性角色多16％。第二，淺膚色和深膚色的角色，螢幕時間差距從2010年的81％，縮小到2021年的55％，每年大概增加8到9個百分點，但即便如此，這仍是很大的差距。</p> <p>第三，年長的男性和年輕女性的螢幕時間更長，螢幕上男性角色最常出現的年齡段是33歲到66歲，女性角色則是18到33歲，外觀年齡超過60歲的女性，僅有不到1％的螢幕時間。第四，這10年間，深膚色女性角色的說話時間上升最多，每年以平均1.2％增加，但即便如此，他們仍是在螢幕上最不可能有臺詞的族群，說話時間僅占總螢幕時間的16％。</p> <p>南加大訊號分析和解釋實驗室研究團隊提到，計算性媒體智慧能夠以前所未有的規模以及細節，分析媒體所講述的故事，並且獲得細微的結果，同時也創造了包容和公平體驗的工具。</p> <p>Google提到，他們會繼續與這兩個組織合作，研究世界其他地區的跨文化和混合媒體內容，除了檢查「出現」訊號，也要進一步檢驗「描述性」訊號，包括領導社交互動的角色，甚至是某些社群是否被以刻板印象看待。</p> </div></div></div>
2022/11/23 09:12作者李建興https://www.ithome.com.tw/news/154348
美光揭露轉型智慧工廠多年成果，不只大量運用AI、數位分身技術，下一階段更要朝向智慧企業來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「美光工廠的AI模型每周就要分析2,300萬張晶圓影像，來優化製程與提升製造效率。」美光科技技術部門資深總監曾耀瑩如此說道。這正是這家跨國記憶體大廠多年數位轉型的成果，這些年智慧製造推動成果，也成了這家高科技半導體公司朝向下一階段智慧企業來發展的關鍵助力。</p> <p>美光很早就展開數位轉型，從轉型智慧工廠做起，多年發展下來，美光全球工廠在上千道晶圓製程中已經運用到許多ML、AI技術，來提升良率和確保產品品質。在今年臺灣AI年會上，有更多成果揭露。</p> <h3><strong>全球工廠部署57萬個IoT感測器，成了發展大數據分析與AI應用的關鍵數據</strong></h3> <p>為了發展智慧製造，美光很早就開始在晶圓廠安裝大量IoT感測器，迄今一共部署了57萬個IoT感測器在全球工廠中，能存取超過2.3億個資料控制點（control points）。這些年來，美光在全球工廠累積了34 PB的資料，這些資料都成為了美光用來發展大數據分析與AI應用的關鍵數據。並以每天新增30TB的速度持續增長。</p> <p>有了這些感測器產生的大數據後，為蒐集與分析這些數據，美光還建立IIoT平臺和Hadoop大數據分析平臺，從多種感測器的大數據中，用於建立預防性設備維護和製程異常檢測機制，更用這些數據訓練不同AI模型，全力發展AI應用，解決工廠製程問題。</p> <p>像是為了提高良率，美光不只打造YMS良率管理系統，還結合ML演算法，能夠即時分類與辨識出有瑕疵的晶圓，提供更精準的結果給產線人員，甚至經由大數據分析，系統能馬上給出造成晶圓製程問題的建議，讓設備工程師能基於這些建議來檢測機臺的狀況。他們建立KM知識管理系統，將這些造成良率問題的事件建立一套知識和經驗，只要ML系統偵測到有異常情況（如陰影），就會比對KM系統，找出過去有無發生相似的情況，提供給產線工程師建議，能夠更快找出問題加以解決。</p> <p>美光的晶圓製程有上千多道製程工序，黃光製程是其中一個關鍵製程，但以往機臺噴頭偶爾會出現液體漏滴的現像，對於良率影響甚大，但過去難以靠人工判斷，為了解決這個問題，後來美光在工廠導入噴嘴液滴檢測系統，結合AI影像辨識，能夠更快偵測到機臺有無漏滴，減少良率損失。</p> <p>另外在洗淨製程中，噴灑機臺會在晶圓上噴灑多種不同的化學液體，但以往機臺上容易因為液體殘留產生結晶體造成噴嘴口堵塞，導致出現噴灑不均勻的情況，這些都會影響到洗淨的效果，後來他們也導入影像AI偵測模型加以解決。其他AI應用，還有像是因為長期使用，使得放置晶圓的底座表面容易產生沉積物而附著在晶圓上，對良率產生影響，他們也結合AI影像識別技術做運用，一旦偵測到有殘留物的地方就會告警，通知相關人員盡速處理。</p> <p>不光大量運用大數據、AI技術，來提高生產良率，Fab廠內近年來也導入自動化倉儲，結合地面AGV無人搬運車，來提高物料搬運效率，舉例來說，以往設備工程師進行設備維護前須自行到倉庫領料，再把這些料搬到機臺旁，現在只需透過App就能進行物料搬運排程，系統就會自動把維護用到的物料放進搬運箱中，再由AGV送到指定的機臺附近位置，能夠提高人員工作效率。</p> <h3><strong>導入數位分身系統模擬工廠運作，能根據生產排程變化靈活調度產線</strong></h3> <p>美光更打造一套數位分身系統，用於模擬廠內運作狀況，包括晶圓製程流程、機臺的使用狀況，讓生產人員能更快根據生產排程變化靈活調度產線機臺，來縮短周期支援更大產能，不光如此，這套系統也能透過模擬方式提供跨廠區不同產品組合的建議。此外，目前在機臺設備的維修巡檢、遠端培訓上，都已結合AR與VR應用。</p> <p>幾年下來，美光因為推動智慧製造帶來不少效益，不只製造設備工具可用性提高4%，新產品推向市場和品質問題改善的時間大幅減半，晶圓報廢減少20％以上，就連員工生產力也因此提高近2成。也因為這些轉型成果，讓美光台中A3廠在2年前獲世界經濟論壇評選為工業4.0燈塔工廠。</p> <p>這些重要智慧製造成果，更仰賴美光的資料科學團隊，協助這家公司掌握智慧製造關鍵技術與應用，美光目前全球超過600位資料科學家、資料工程師及解決方案架構師，其中有100位在臺灣。</p> <h3><strong>從智慧製造邁向智慧企業</strong></h3> <p>對美光來說，不只是要讓工廠智慧化，更進一步開始推向企業內部，從設計、研發、採購到供應鏈等，都開始運用AI來協助公司解決問題與增加更多營收。</p> <p>像是採購部分，美光就找來相關廠商合作，運用AI加強供應鏈風險控管和透明性，如他們開始結合不同地域、國家、天災等資料，透過數據分析找出影響交期的潛在風險並提供警訊給採購部門，進而避開向高風險的原料供應商下單。其他還有廠內物料庫存管理上，也改用AI預測每月有多少用料來決定叫料數量，取代過去人工判斷，因此能夠更準確掌控物料數量，也能預防斷料的問題。</p> <p>甚至在產品定價策略上，美光也開始通過蒐集各個供應商、客戶狀況、歷史資料、市場動向以及產品特性，建立AI定價策略模型，他說，希望透過AI給出定價的建議，未來能夠幫助公司增加營收。另外因應ESG永續發展潮流，美光也有相關結合AI的做法，目標是希望訓練出來的AI模型能夠預測公司未來3年永續績效指標。</p> <p>供應鏈管理結合AI更是美光未來幾年重點發展之一，曾耀瑩表示，供應鏈管理對於半導體廠越來越重要，尤其製程演進從20奈米縮小到10奈米，越來越多製程容易受供應商原料的影響，嚴重甚至可能造成良率損失，他強調，之後將透過AI、大數據分析來加以解決。</p> </div></div></div>
2022/11/23 05:51作者余至浩https://www.ithome.com.tw/news/154358
首設部長級資安首長，澳洲如何用資安政策發揮國際影響力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年澳洲政府新增了資安部長一職，是G20中唯一設立部長級資安主管的國家，更為詐騙、隱私、網路人身安全等重點資安議題成立專責監管機關，並由總主管機關每年發布官方資安威脅報告，列出通報資安案件趨勢及應對建議。</p> <p>澳洲資安法規發展成熟，也曾成為臺灣擬定相關法案時的參考對象，例如管制通訊戰的《境外勢力影響透明法》草案，就有參考澳洲《2018 外國勢力透明化法案》。不只如此，蒙納許大學犯罪學副教授張耀中說，澳洲於不少臺灣有加入或往來意願的國際策略聯盟中，都積極提倡資安，來發揮國際影響力。</p> <p>舉例來說，澳洲在評估臺灣是否應加入CPTPP時，便將資安成熟度作為重要標準。在ASEAN和PIF等組織中，澳洲更扮演著資安建設和資安成熟度評估的角色。張耀中說，臺灣在與中國競爭國際組織加入權時，資訊安全是一個重要籌碼，因此澳洲對資安的態度與做法，不只是資安教材，更是外交教材。</p> <p><strong>監管機關分工細緻、重視民間資安意識和關鍵基礎設施，甚至協助他國建立安全網路硬體環境</strong></p> <p>澳洲網路安全中心ACSC隸屬於國防情報局，2014年成立，早於其他主管機關。ACSC統管所有資安相關議題，包括受理資安通報及制定資安政策，每年也會發布《年度資安威脅報告》，供澳洲資安產官學界參考。</p> <p>隨著資安議題受到更多重視，澳洲其他政府部門紛紛於旗下設立了資安管轄單位，包含競爭及消費者委員會ACCC旗下的Scamwatch，專門管轄網路詐騙等犯罪；澳洲通訊與媒體管理局旗下的eSafety Commissioner，管轄例如兒童安全、復仇色情、深度偽造、網路霸凌等人身安全案件；以及司法部旗下的Office of the Australian Information Commissioner，管轄數據防護、隱私及侵犯案件。</p> <p>張耀中以ACSC發布的《2021 資安威脅報告》及其資安政策，來說明澳洲近年資安政策發展及重視的資安議題。</p> <p>ACSC觀察，澳洲2020年歷經了兩百多天的封城，因此利用疫情議題進行釣魚攻擊的通報數大幅增加。同時段，商務電子郵件詐騙情形加劇，且往組織化攻擊發展，讓澳洲政府更加積極提倡民間資安意識。</p> <p>張耀中說，澳洲政府相當重視資安教育，時常發布提醒民眾提升資安意識的宣傳廣告。澳洲內政部2020頒布的《澳洲網路安全策略》中，更宣布加碼16.7億澳幣，來加強10項資安措施，超過一半項目與強化企業及民眾的資安意識有關。<br /> 這些措施包括：增加資安時事敏感度及分享威脅資訊的效率、增加社群資安威脅意識、透過資安計畫加強與企業合作力度、為中小企業提供資安諮詢、對企業和消費者宣導物聯網資安重要性、提供中小企業及一般家戶24小時資安諮詢熱線等。</p> <p><strong>澳洲資安法規發展概覽，重視基礎設施防禦及國外勢力滲透</strong></p> <p>2020年澳洲另一大資安威脅是關鍵服務及基礎建設遭受攻擊。據ACSC統計，他們接獲的網路威脅通報案中，約25%與澳洲關鍵基礎設施有關。值得注意的是，澳洲政府視高等教育機構為關鍵基礎設施，且高等教育機構因握有與政府合作的研究案及高階公務人員培訓資料，近年頻繁成為國家級駭客攻擊標的。</p> <p>張耀中說，雖然澳洲從未表示這些國家級駭客主要來自哪裡，卻用行為透露出他們主要防備對象。2018年起，澳洲全面禁用華為裝置及5G設施。不僅如此，他們還積極遊說邦交國不用華為網路設施，並提議協助自行建立網路基礎建設，來聯合往來國家一同拉起資訊安全的封鎖線。</p> <p>不只對外利用外交手段來防禦國家級駭客攻擊，澳洲2018年也設立了《關鍵基礎設施安全法》、《間諜與外國干預法》及《外國勢力透明化法案》，以建立國內基礎設施資安即時通報和潛在國外勢力入侵管理機制。</p> <p>《2018 關鍵基礎設施安全法》（The Security of Critical Infrastructure Act 2018）規定關鍵基礎設施有義務通報網路事件。此法規定義11類關鍵基礎設施，包括通訊傳播、金融及市場服務、數據儲存或處理、國防、高等教育及研究機構、能源、食物及雜貨、保健及醫療機構、太空科技、交通、水利設施等。相較之下，臺灣定義的關鍵基礎設施為能源、水資源、通訊傳播、交通、金融、緊急救援與醫院、政府機關、科學園區與工業區8大分類，不包含教育研究機構和數據服務等資安相關領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D(6).png" style="width: 600px;" /></p> <p>規定通報義務，有利於澳洲政府評估基礎設施資安風險。隨著關鍵基礎設施遭受攻擊的通報持續增加，澳洲當局也在《2020 澳洲網路安全策略》10項投資項目中，設立了加強關鍵基礎設施防護以及加強政府機關網路跟資料防護兩條項目。2022年，澳洲政府進一步追加行政規則，定義執法細節，並更加強硬的要求基礎設施通報。</p> <p>《2018 間諜與外國干預法》（Espionage and Foreign Interference Bill 2018）和《外國勢力透明化法案》（Foreign Influence Transparency Scheme Act 2018），則是參考參考美國《外國代理人註冊法》，規定外國資助的活動項目必須登記並持續通報。張耀中以自身情況舉例，他從臺灣申請經費到澳洲研究時，就會有通報義務。他補充，此法規是報備制而非審核制，因此只要項目負責人依照義務通報，活動內容通常不會受到澳洲政府干預。</p> <p>張耀中指出，儘管普遍認知上，這兩條法律是用來預防極權國家滲透，不過澳洲執法時會針對所有國外資助的活動項目，且戰略上也沒有明確假想敵，因此此法並未引起太大爭議。「反觀臺灣的戰略情形特殊，制定類似法規時，需要考量得更周全。」</p> <p>另一項澳洲近年強調的概念是資安GEDSI（性別平等、殘疾及社會包容，Gender Equality, Disability and Social Inclusion）。張耀中解釋，隨著IoT科技開始成熟，智慧家庭跟智慧汽車等產品逐漸普及後，澳洲發現大部分設定或安裝這些設備的人以男性居多，因此更加重視性別在物聯網資安領域的角色。他舉例解釋資安GEDSI，像是汽車駕駛知不知道自己的路線能被家人監控？智慧家庭設備是誰控制的，我能不能調整設定？現在澳洲已經會鼓勵廠商將這些GEDSI相關的資訊在產品說明中揭露。</p> <p>不只國內大力推行GEDSI，澳洲還有意將此概念大力推廣到其他國家。澳洲外交部在資安和關鍵科技合作計畫CCTCP中就有強調GEDSI，作為協助ASEAN及PIF會員國建立資安基礎能力時的一個面向。</p> <p><strong>澳洲資安法規也有負面教材，竟提供政府「查水表」法源依據</strong></p> <p>澳洲資安法規雖然較早發展，但也有不值得效仿的做法。張耀中舉例，《協助及存取法案2018》（Assistance and Access Act 2018）是澳洲一條備受爭議的法案。此法大意是，安全或執法部門可以要求在澳洲營運的企業協助，解密並存取特定個人的通訊資料，而不被當事人所知。執法者更能直接將硬體沒收，存取裡面的資料。「簡單來說，企業所有軟硬體都要開後門給政府擷取資料。」張耀中直言。</p> <p>這個有政府濫權嫌疑的法律，不僅影響澳洲國內企業，更有可能影響在澳洲有營運據點的外國企業。張耀中舉例，在五眼聯盟加盟國（紐、澳、英、美、加）中，若其他4國政府調查犯罪時有需要調取特定企業資料，而這個企業在澳洲有據點，便能透過澳洲政府輕鬆取得解密後資料。</p> </div></div></div>
2022/11/22 17:10作者郭又華https://www.ithome.com.tw/news/154345
【資安日報】2022年11月22日，駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客在攻擊行動濫用合法服務的情況可說是相當值得留意，這種情況往往騙過使用者與許多資安系統，不只讓攻擊者得逞，也讓提供相關服務的業者蒙受商譽損失，除了使用者需要提高警覺，服務供應商若是能進一步偵測相關異常行為，才有機會減少這類濫用情事。</p> <p>首先是駭客組織Luna Moth的網釣攻擊，他們假借寄送訂閱服務發票的名義，誘使收信人撥打電話取消付款，然而一旦依照指示聯絡「客服」，對方就會企圖在電腦上安裝遠端連線軟體來進行控制。另一個運用「客服」的攻擊行動，則是針對加密貨幣投資者而來。駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin等交易所的用戶，發出釣魚信竊取相關帳密，並假借客服的名義，通過上述交易所的進階身分驗證或裝置驗證。</p> <p>Google商業圖像化分析工具Looker Studio也成為駭客濫用的對象！資安新聞網站Bleeping Computer發現有人藉此提升盜版網站在搜尋引擎的排名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/luna-moth-callback-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth發動電話網釣攻擊，遠端協助工具Zoho Assist遭濫用而成為綁架受害者電腦的幫凶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/luna-moth-59.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/luna-moth-59.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露駭客組織Luna Moth（亦稱Silent ransomware group）自今年3月以來的攻擊行動，該組織鎖定法律與零售等多個行業的企業而來，假借寄出訂閱服務的發票通知信，並聲稱該服務即將生效及扣款，收信人如有疑問可透過信中的電話聯繫客服。</p> <p>一旦收信人依照指示撥打電話，就有可能被對方說服在電腦部署遠端支援工具Zoho Assist，使得攻擊者能夠控制受害電腦，並植入另一款軟體Syncro以便能持續存取，然後使用Rclone與WinSCP傳送竊得的資料。研究人員指出，由於駭客避免使用不必要的攻擊工具，而能夠規避各式資安系統的偵測。</p> <h3><a href="https://pixmsecurity.com/blog/phish/coinbase-attacks-bypass-2fa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣交易所Coinbase、MetaMask雙因素驗證被繞過，駭客透過TeamViewer、冒牌客服支援得逞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/coinbase2d.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/coinbase2d.png" style="width: 300px; float: right;" /></a>資安業者Pixm揭露鎖定多個加密貨幣交易所用戶的網路釣魚攻擊，駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin的使用者下手，於微軟Azure Web Apps上架設釣魚網站，假借交易請求確認，或是偵測到異常登入活動的名義，引導使用者存取這些網站，一旦使用者照做，就會被要求填寫帳密資料，提供雙因素驗證碼或通關密語（Seed Words），而這些輸入的資料將會被駭客用於挾持加密貨幣錢包。</p> <p>而在此同時，駭客也宣稱使用者帳戶出現可疑活動被停用，需要聯絡網頁上的「客服」處理，駭客藉此確認受害者輸入的資料，並利用TeamViewer通過加密貨幣交易所的裝置驗證流程。研究人員指出，這些駭客過往主要針對Coinbase用戶而來，但現在範圍擴及多個加密貨幣交易所。</p> <h3><a href="https://decoded.avast.io/janrubin/vipersoftx-hiding-in-system-logs-and-spreading-venomsoftx/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體VenomSoftX假冒Google試算表瀏覽器擴充套件，竊取加密貨幣錢包</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png" style="width: 300px; float: right;" /></a>防毒業者Avast揭露名為VenomSoftX的惡意程式，此軟體以Chrome瀏覽器擴充套件的型式散布，目的是竊取Windows電腦使用者的加密貨幣，以及使用者上網的記錄。研究人員發現，該擴充套件是經由惡意軟體ViperSoftX植入受害電腦的瀏覽器，而攻擊者藉由破解軟體名義（如Activator.exe或Patch.exe）來散布ViperSoftX。根據上述惡意程式的加密貨幣錢包，截至11月8日已為駭客竊得13萬美元。</p> <p>為了降低被害者警覺，攻擊者將VenomSoftX偽裝成Google Sheets 2.1，一旦成功部署，將會針對Binance、Coinbase、Gate.io、Kucoin、Blockchain.com等加密貨幣交易所的API請求進行監控，在請求發出前竄改交易內容，將加密貨幣轉給駭客。此外，VenomSoftX也會監控電腦的剪貼簿內容來加入錢包位置。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/google-search-results-poisoned-with-torrent-sites-via-data-studio/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google提供的Data Studio遭到濫用，影響搜尋引擎結果</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，有人利用Google商業圖像化分析工具Looker Studio，來竄改搜尋引擎的排名，發動搜尋引擎最佳化（SEO）中毒攻擊，目的是推廣非法網站。這些網站提供盜版內容、垃圾資訊，以及Torrent檔案。</p> <p>該新聞網站接獲讀者的通報進行調查，結果發現有部分Google搜尋結果，出現許多datastudio.google.com網域的連結，這些連結多半透過Bit.ly短網址服務轉址，最終將使用者導向垃圾網站，這些網站使用關鍵字填充（Keyword stuffing）手法，來提升網站在搜尋引擎的排名。研究人員已向Google通報，但尚未得到回應。</p> <h3><a href="https://thehackernews.com/2022/11/meta-reportedly-fires-dozens-of.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta開除挾持使用者臉書與IG帳號的員工</span></strong></a></h3> <p>根據華爾街日報於11月17日的報導，IT業者Meta過去一年解僱及處份超過20名員工與承包商，理由是他們涉嫌入侵及接管臉書或Instagram用戶的帳號。這些被解偏的人士，包含了社群網站公司的保全，他們擁有能協助認識的人復原密碼的內部工具使用權限，此系統名為Online Operations（簡稱Oops），使得有人向用戶收取數千美元的費用，接洽社群網站員工來重設特定帳號的密碼。</p> <p>華爾街日報指出，有安全承包商協助外部人士以詐欺手段接管Instagram帳號；另一個承包商則是收取比特幣為酬勞，為駭客重設多個帳號，直到該公司內部調查發現後解僱。Meta向華爾街日報表示，買賣帳號或是提供復原帳號的付費服務，都違反了他們的服務條款。</p> <h3><a href="https://www.databreaches.net/airasia-victim-of-ransomware-attack-passenger-and-employee-data-acquired/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞洲航空遭到勒索軟體駭客Daixin攻擊，5百萬旅客與員工資料外洩</span></strong></a></h3> <p>根據資安新聞網站DataBreaches.net的報導，駭客組織Daixin約在11月11日至12日，攻擊廉價航空業者亞洲航空（AirAsia），並宣稱竊得5百萬旅客及員工的個資，在駭客公布的資料樣本裡，包含了旅客資料、預約編號，以及該公司員工的個人資料。而對於能夠成功入侵亞洲航空，駭客向DataBreaches.net透露，原因是該航空公司貧乏的資安防護，以及混亂的網路組織架構，而讓他們能夠得逞。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布微軟Exchange漏洞ProxyNotShell的概念性驗證攻擊程式</span></strong></a></h3> <p>越南資安業者GTSC於9月底發現微軟Exchange重大漏洞ProxyNotShell（CVE-2022-41082、CVE-2022-41040），當時已有攻擊行動，但微軟直到11月的例行修補（Patch Tuesday）才提供更新軟體。在此之前，尚未有公開的概念性驗證（PoC）攻擊程式。</p> <p>事隔一週，研究人員Janggggg於17日發布了<a href="https://github.com/testanull/ProxyNotShell-PoC">概念性驗證攻擊程式</a>，另一名研究員<a href="https://twitter.com/wdormann/status/1593311129874403335">Will Dormann進行驗證</a>，確認該PoC程式可在Exchange Server 2016、2019執行，稍加調整亦能攻擊Exchange Server 2013。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154301"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為讓組織能發現Cobalt Strike遭濫用的跡象，Google發布YARA規則</span></strong></a></h3> <p>滲透測試工具Cobalt Strike常被用於攻擊行動，但由於此工具原本的用途是用於攻防演練，究竟要如何辨別被濫用於攻擊還是內部使用？有IT業者提供相關工具。Google於上週發布YARA規則，目的是讓社群能精準標記和辨識Cobalt Strike遭濫用的元件，該公司收集自2012年以來所有Cobalt Strike的JAR檔案，可比對340個版本的元件，進而讓組織能確認是內部使用的合法版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202211180172.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">涉收陸企資金對臺認知作戰，法務部調查局約談6人送辦</span></span></strong></a></p> <p><a href="https://www.hackread.com/leaky-server-mastodon-users-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">15萬Mastodon用戶資料遭到網頁抓取而洩露</span></span></strong></a></p> <p><a href="https://wojciechregula.blog/post/macos-sandbox-escape-via-terminal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布macOS沙箱逃逸漏洞的概念性驗證程式</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/aurora-a-rising-stealer-flying-under-the-radar/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Aurora攻擊行動升溫，至少有7組駭客採用</span></span></strong></a></p> <p><a href="https://www.scmagazine.com/analysis/data-security/white-house-sets-six-month-timeline-for-agencies-to-kick-off-post-quantum-encryption-migration-work"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府要求聯邦機構半年內導入後量子加密防護措施</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> </div></div></div>
2022/11/22 15:48作者周峻佑https://www.ithome.com.tw/news/154342
Google雲端內部開始部署可抵抗量子攻擊的加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端現在於原本ALTS（Application Layer Transport Security）協定，所使用的X25519加密演算法外，額外<a href="https://cloud.google.com/blog/products/identity-security/why-google-now-uses-post-quantum-cryptography-for-internal-comms">再以NTRU-HRSS演算法進行加密</a>，避免未來駭客使用量子運算技術，破解當前經加密的資料。</p> <p>當開發者存取URL為HTTPS開頭的網站，該連線受到安全公鑰加密協定保護，避免用戶資訊遭駭客竊取。目前廣泛部署的公鑰密碼演算法，足夠抵禦當前的駭客攻擊手法，但是由於量子運算技術的發展，普遍認為量子電腦將徹底破解這些演算法，因此密碼學界也開始發展能夠抵禦基於量子電腦攻擊的方法。</p> <p>雖然現在量子電腦仍不具備破解RSA等加密方法，之所以Google現在就開始規畫防禦措施，是因為攻擊者可能會先儲存加密資料，等到量子電腦足夠強大後再進行破解，又或是部分產品的生命周期，可能與未來量子電腦重疊，並且之後難以進行系統更新，因此需要提早準備。</p> <p>考量這兩個主要原因，Google雲端已經在內部的ALTS（Application Layer Transport Security）協定上啟用NTRU-HRSS演算法，來加強抵禦量子電腦攻擊的能力。</p> <p>Google提到，目前美國國家標準與技術研究院（NIST）仍未決定後量子密碼（Post-Quantum Cryptography，PQC）標準，也因為目前的後量子演算法仍屬於臨時性質，所以Google內部的ALTS便成為了良好的試驗對象，藉由控制所有端點抵禦先儲存後解密攻擊，同時，當未來NIST決定採用不同的標準，Google也可以相對簡單地進行切換。</p> <p>但是部署新密碼系統有其風險，因為仍未經實際測試，為了避免新密碼系統存在漏洞的風險，Google將NTRU-HRSS演算法作為額外的防護層，如此便能夠確保系統，仍受到原本經驗證加密方法的保護。</p> <p>之所以Google選擇部署NTRU-HRSS演算法，是因為在抵抗量子的演算法中，NIST更青睞基於格（Lattice）的演算法，最近NIST批准第一個後量子密碼金鑰封裝機制（KEM）Kyber，Kyber具有高效能的優點，但是目前仍有一些知識產權的爭議。</p> <p>另外一個格演算法便是NTRU-HRSS KEM演算法，Google提到，專家認為該演算法是在格解決方案中，更為保守的選擇。因此有鑒於效能和成熟度，Google選擇在ALTS協定，使用NTRU-HRSS KEM演算法。</p> <p>目前Google使用混合方法來部署加密機制，同時在ALTS中使用X25519和NTRU-HRSS，也就是說，攻擊者現在必須要突破兩層防禦，才能成功破解存取資料。</p> </div></div></div>
2022/11/22 16:27作者李建興https://www.ithome.com.tw/news/154344
從程式語言層級確保記憶體安全，不只美國NSA建議，今年Prossimo專案也在推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_mei_guo_nsajian_yi_kai_fa_zhe_duo_yong_bao_zhang_ji_yi_ti_an_quan_cheng_shi_yu_yan_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月10日，美國國家安全局（NSA）公開發表一份軟體開發指南，是針對軟體記憶體安全（Memory Safety）而來，建議開發者應多使用保障記憶體安全的程式語言，如C#、Rust、Go、Java、Ruby、Swift，以這些來取代C與C++，引起軟體開發界的討論。</p> <p>事實上，關於C、C++的資安爭論已持續多年，但隨著記憶體安全問題受到越來越大的重視，開發者輕忽指標、記憶體配置的狀況太過普遍，而願意花心力檢測、有足夠經驗處理這類問題的程式設計者太少，而使得軟體資安漏洞層出不窮。</p> <p>儘管為了降低這方面犯錯的機會，開發界持續宣導C/C++程式設計要重視記憶體管理，有些開發者的確能夠寫出足夠安全的C/C++程式碼，但對大多數程式設計師來說，卻可能並非易事，有些科技業者祭出記憶體安全機制來因應，但多年下來，犯錯比例仍是居高不下，這也使得另一條因應路線被持續探討，也就是多用具記憶體安全特性的程式語言，如此一來，即便是資安意識不足的開發人員，也因為開發環境的局限，而不用擔心記憶體管理的問題，減少犯錯的機會。而且，如今這類軟體開發安全措施的推動態勢，也從一些科技大廠而開始擴及國家政府機構。</p> <h3><strong>多數軟體漏洞可歸咎於記憶體安全性不足</strong></h3> <p>在今年5月，我們看到開源社群、科技大廠與美政府二度商討開源軟體安全對策，會後Linux基金會與開源安全基金會（OpenSSF）發布的開源軟體安全動員計畫白皮書中，替換不具記憶體安全（non-memory-safe）的程式語言，就是十大對策之一，並預計前兩年針對這方面投入經費550萬美元。</p> <p>到了11月，美國NSA也對此公開表態。針對軟體記憶體安全問題，他們建議各組織在可能情況下，對於程式語言的採用，應考慮做出戰略性的轉變，從不具記憶體保護的C/C++，轉而使用具記憶體安全的其他程式語言，例如C#、Go、Java、Ruby與Swift等。</p> <p>在這份公開文件中，NSA首先強調軟體記憶體安全的重要性，指出雖然開發人員經常進行嚴格測試，為軟體中的邏輯準備好應對意外情況，然而，各種可濫用的軟體漏洞，仍經常是基於記憶體問題而成。例如：記憶體緩衝區溢位，以及管理記憶體失當而導致的洩漏問題。</p> <p>最近幾年已有更多這方面的研究，例如，微軟在2019年曾公開提出自我檢討，他們表示，在2006年到2018年間的安全漏洞，有70%源自記憶體的安全問題，Google在2020年也針對自家發展的瀏覽器Chrome提出檢討，當中也存在同樣高比例的記憶體安全漏洞。由於存在規模如此龐大的軟體開發缺失，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>而在程式語言中，現今應用範圍最大且最常見的C與C++，方便之餘，多年來大家也經常詬病其安全性管制太少，而使得記憶體類型的漏洞總是無法徹底根絕。事實上，這兩種語言在記憶體管理上，提供了很大的自由度與彈性，相對地，用這些語言所開發的應用程式，其安全性將高度依賴開發者的處理方式，例如，是否對記憶體參照執行必要的檢查與驗證。因此，可能只要出現一個簡單的錯誤、疏忽，就會導致記憶體遭濫用的安全漏洞。</p> <p>固然我們可以透過軟體分析工具偵測出許多記憶體管理問題，透過作業系統環境本身內建的機制，也能帶來某些程度的保護，但NSA認為，若能藉由已內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <h3><strong>緩衝區溢位、管理不當，均是常見記憶體安全問題</strong></h3> <p>記憶體安全，也就是有關於程式如何管理記憶體的一大類問題。這當中有哪些常見問題？</p> <p>NSA指出，記憶體「緩衝區溢位」（buffer overflow）就是一例，也就是資料的存取意外超出緩衝區邊界（outside the bounds），另一個常見的安全問題則與記憶體分配有關。</p> <p>簡單來說，系統程式在執行時可以分配新的記憶體位置，然後在不需要記憶體時，將其取消分配，此舉稱為釋放記憶體，但如果開發者不小心這麼做，新的記憶體可能會在程式執行過程中被重複分配，因此，記憶體並非總是在不再需要時被釋放，進而出現記憶體洩漏（memory leak）的問題，最終甚至導致可用的記憶體資源被使用殆盡。</p> <p>此外，也有因邏輯錯誤而出現記憶體存取不安全的狀況。因為這樣的問題，程式可能試圖使用已經被釋放的記憶體，甚至重複釋放原本已被釋放的記憶體。例如，當程式語言允許使用尚未初始化的變數時，就會出現另一個問題，導致該變數使用之前在記憶體中該位置設置的值。</p> <p>另一個值得注意的問題，則是條件競爭（Race condition）。例如，當程式存取相同資料，此時若出現兩個操作順序，可能會因此影響程式的結果，而發生這個問題。NSA強調，所有這些記憶體問題都是相當常見的現象。</p> <p>而且，記憶體管理問題衍生安全漏洞只是其中一種類型的狀況，就算是不會遭到濫用的記憶體，也可能因為一些疏失而造成錯誤的程式結果，例如，降低執行效能或軟體本身無法執行。</p> <p>針對上述種種軟體記憶體安全的問題，NSA指出，採用能夠自動管理記憶體的程式語言，像是C#、Rust、Go、Java、Ruby、Swift等，可協助避免開發者陷入某些類型的記憶體問題，以預防無意採用錯誤的記憶體管理方式。</p> <p>但NSA也提醒，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時仍需要執行不安全的記憶體管理功能，才能完成任務，而且，各種程式語言對記憶體的安全保護程度不一，因此不能單靠更換程式語言而確保軟體安全。</p> <p>另一方面，對於無法立即轉向採用內建記憶體安全的程式語言的開發者，NSA建議，應透過安全測試來強化應用程式的安全性，包括進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個SAST及DAST工具，以提高找出記憶體問題的機率，確保應用程式的安全。儘管這可能會增加大量的工作負擔，卻可以帶來更安全的程式碼。</p> <p>總之，NSA鼓勵組織儘可能採取多管齊下的方式，來強化記憶體管理的安全性。除了採用記憶體安全程式語言，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> <h3><strong>今年出現Prossimo專案，開始推動安全程式語言的廣泛採用</strong></h3> <p>對於NSA的這項建議，根據IT新聞媒體The Register的<a href="https://www.theregister.com/2022/11/11/nsa_urges_orgs_to_use/">報導</a>，Acronis資安長Kevin Reed認為，NSA正在做正確的事情，但他懷疑這是否會有立竿見影的效果，因為多年來使用C/C++撰寫的程式碼數量龐大，即便明天就開始改用Rust與Go，也需要幾十年才能清理這個爛攤子。</p> <p>而且，真的能夠如此順利推動嗎？微軟Azure技術長Mark Russinovich在今年9月就曾針對這樣的議題，於社群媒體推特發表了看法。他指出，在安全性與可靠性考量下，現在該停用C/C++開發任何新專案，並建議改用Rust。但在此則貼文回應中，有相當多開發者持反對意見，畢竟C與C++仍是熱門程式語言。</p> <p>但無論如何，記憶體安全問題已不容忽視。對照MITRE公布的2022年25大常見CWE通用弱點列表名單，我們可以發現，記憶體越界寫入（Out of Bounds Writes），記憶體越界讀取（Out of Bounds Reads），以及使用已釋放的記憶體（Use after Free），都在前七名內，尤其是記憶體越界寫入，持續居於第一嚴重的地位，而這樣居高不下的排名，也呼應多數軟體漏洞可直接歸因於缺乏記憶體安全性的推論。</p> <p>而在今年5月Linux基金會與OpenSSF發布的「開源軟體安全動員計畫」白皮書中，其實已經針對此問題提出對策，此計畫的主要目標，是減少記憶體安全性漏洞的數量。</p> <p>首先，他們希望，在網際網路上最關鍵的軟體，能夠遠離C/C++等不安全的程式語言，並強調會優先升級對安全最敏感的元件，其次，系統級程式碼的工具需要受到更大的關注，因為這些是生態系統中最普遍與最脆弱的軟體，也最有可能是以不安全的系統程式語言所寫成，而產生了資安漏洞。</p> <p>同時，這項戰略的執行，將透過非營利組織網際網路安全小組（ISRG）的Prossimo專案來推動。目前這項計畫鎖定那些面向？例如，針對用C語言撰寫的Linux Kernel，如今已有Rust for Linux專案啟動；針對用C語言撰寫的OpenSSL，在替代方案上，也有一套名為Rustls的開放軟體專案正在發展。其餘面向還包括：網路時間協定NTP、Apache httpd的mod_tls模組、Trust-DNS、網路傳輸程式curl，Prossimo專案將針對相關工具進行投資，目的是讓建構更安全軟體變得簡單。</p> <p>而在這些消息中，我們可以發現支持採用Rust的聲浪最大，而且，許多大型企業與開源專案也都嘗試用Rust來撰寫，像是Google的Android與Chrome、Amazon的虛擬化技術Firecracker等。</p> <p>無論如何，因應軟體開發造成的記憶體安全性問題，已不只是口頭呼籲，而是有所行動，再加入美國NSA難得表態力挺使用安全程式語言，使得這項一再受到討論與思考的問題，出現了更多大幅改善的機會。文⊙羅正漢、陳曉莉</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong>根據Wikipedia上對於<span class="mw-page-title-main">Stack buffer overflow</span>的說明，當中也特別以圖像化方式表達緩衝區溢位的攻擊利用方式。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%E5%85%AC%E5%B8%83%E7%9A%842022%E5%B9%B425%E5%A4%A7%E5%B8%B8%E8%A6%8BCWE%E9%80%9A%E7%94%A8%E5%BC%B1%E9%BB%9E%E5%88%97%E8%A1%A8%E5%90%8D%E5%96%AE.jpg" style="width: 600px;" /></strong></p> <p><b>根據</b><strong>MITRE在今年8月3日<a href="http://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html">公布的2022年25大常見CWE通用弱點列表名單</a>（2022 CWE Top 25 Most Dangerous Software Weaknesses），我們可以看出在漏洞根因中，記憶體越界寫入（Out of Bounds Writes）居於第一，且指標分數高達64.20，記憶體越界讀取（Out of Bounds Reads）居第五，使用已釋放的記憶體（Use after Free）居第七。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80_201902-07%E5%BE%AE%E8%BB%9FBlueHat%20IL.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2019年2月7日</span> 微軟MSRC研究人員Matt Miller在<a href="https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2019_02_BlueHatIL/2019_01%20-%20BlueHatIL%20-%20Trends%2C%20challenge%2C%20and%20shifts%20in%20software%20vulnerability%20mitigation.pdf">BlueHat IL</a>資安會議的演講中表示，從2006年到2018年間，每一年發布的漏洞修補更新，有70%是與記憶體安全問題有關。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2020-05-16_Google.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2020年5月16日</span> Chromium專案研究人員<a href="https://www.ithome.com.tw/news/137826">指出</a>，此項軟體有超過70％的嚴重安全漏洞來自記憶體安全漏洞，也就是因C/C++指標操作錯誤所造成，其中一半的錯誤是釋放後使用（Use-After-Free）的問題。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2022-05-13_Replacement%20Non-Memory-safe.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年5月13日</span> 為了解決開源軟體安全問題，開源社群、科技大廠與美政府二度商討對策，會後發布「開源軟體安全動員計畫」白皮書，<a href="https://www.ithome.com.tw/news/151045">針對10大關鍵挑戰提出投資戰略</a>，當中1項就是聚焦於替換不具記憶體安全的程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_%E5%BE%AE%E8%BB%9FMark%20Russinovich.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年9月20日</span> 微軟Azure技術長Mark Russinovich在推特發文<a href="https://www.ithome.com.tw/news/153156">表示</a>，在安全性與可靠性考量下，現在應停用C/C++開發新專案，建議改用Rust。但許多開發者表示反對，因為C與C++畢竟是熱門程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Tor.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年10月4日</span> 以洋蔥路由聞名的開源軟體專案Tor，釋出以Rust重新實作的版本時<a href="https://www.ithome.com.tw/news/152886">表示</a>，在2001年用C語言是合理選擇，但他們發現安全使用C語言需付出許多心力，程式碼分析與安全性改進也變得越來越困難。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%963%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年11月10日</span> 美國NSA公開<a href="https://www.ithome.com.tw/news/154180">發表防範軟體記憶體安全問題的軟體開發指南</a>，建議開發人員使用保障記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby或Swift，以取代C與C++。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Prossimo.jpg" style="width: 600px;" /></p> <p><strong>因應記憶體安全（Memory Safety）問題，不再只是呼籲口號，根據「開源軟體安全動員計畫」白皮書指出，已有非營利組織網際網路安全小組（ISRG）的Prossimo專案負責推動相關工作，當中建議使用Rust、Go、C#、java、Swift、Python與JavaScript等語言，來取代使用不具記憶體安全的C、C++與assembly。該專案網站：<a href="https://www.memorysafety.org/">https://www.memorysafety.org/</a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/memory-safety">Memory Safety</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8">軟體記憶體安全</a></div><div class="field-item even"><a href="/tags/c-1">C</a></div><div class="field-item odd"><a href="/tags/c">C++</a></div><div class="field-item even"><a href="/tags/rust">Rust</a></div><div class="field-item odd"><a href="/tags/non-memory-safe">non-memory-safe</a></div><div class="field-item even"><a href="/tags/%E7%B7%A9%E8%A1%9D%E5%8D%80%E6%BA%A2%E4%BD%8D">緩衝區溢位</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B4%A9%E6%BC%8F">記憶體洩漏</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E5%AF%AB%E5%85%A5">記憶體越界寫入</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E8%AE%80%E5%8F%96">記憶體越界讀取</a></div><div class="field-item even"><a href="/tags/use-after-free">Use After Free</a></div><div class="field-item odd"><a href="/tags/prossimo">Prossimo</a></div><div class="field-item even"><a href="/tags/nsa">NSA</a></div></div></div>
2022/11/22 12:04作者羅正漢https://www.ithome.com.tw/tech/154339
歐盟將推動新的自家低軌衛星網路IRIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_6952" target="_blank">歐洲議會（European Parliament）與歐盟成員國上周達成共識</a>，將在2023年至2027年間以24億歐元的經費，建造歐盟安全連結計畫（Union Secure Connectivity Programme），部署具備彈性、互連性與安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite，IRIS），讓歐洲擁有一個自家的通訊衛星星座。</p> <p>歐盟現已贊助了兩個衛星系統，一個是用於全球導航的Galileo，另一個則是觀察地球之用的Copernicus，至於新的IRIS則是為了確保全球可存取安全及具經濟效益的衛星通訊服務，以及讓全歐的組織與民眾都能存取可靠的衛星服務。</p> <p>歐盟執委會（European Commission，EC）表示，當地的經濟與安全愈來愈仰賴可靠的連結，發展一個主權、自主及安全的連結基礎設施是歐洲最重要的事，確保能夠不受限制地存取網路，藉由避免對第三國家的依賴來強化歐盟價值鏈的彈性，並將整合歐洲的量子通訊技術進行安全加密。</p> <p>IRIS未來將支援政府、軍事與民間商業服務的使用，預期可提升歐洲產業的競爭力，特別是衛星通訊領域。</p> <p>在歐洲議會、歐盟高峰會（European Council）與EC就該計畫達成政治協議之後，必須再得到歐洲議員及歐盟高峰會的正式批准，接著由EC負責執行，包括制定實施細節與招標規範。</p> </div></div></div>
2022/11/22 13:44作者陳曉莉https://www.ithome.com.tw/news/154340
美國控告兩名經營Z-Library的俄羅斯人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/154057" target="_blank">美國在11月初扣押了號稱全球最大電子圖書館Z-Library所使用的多個網址</a>，當時Z-Library的狀態撲朔，不過，<a href="https://www.justice.gov/usao-edny/pr/two-russian-nationals-charged-running-massive-e-book-piracy-website" target="_blank">美國司法部在上周指出</a>，兩名經營Z-Library的俄羅斯人Anton Napolsky與Valeriia Ermakova已應美國的請求，在11月3日於阿根廷被逮捕，並遭到美國指控侵犯版權、電信詐欺與洗錢。</p> <p>美國紐約東區聯邦檢察官Breon Peace表示，Napolsky與Ermakova經常在書籍剛出版的幾個小時後，就將它們上傳到Z-Library，讓作者、出版社與書店受害，還藉由這些偷來的作品非法營利。</p> <p>成立於2009年的Z-Library提供包括英文、法文、簡體中文及繁體中文在內的逾20種文字的學術論文、教科書及大眾圖書供使用者免費下載，在今年10月初時，該平臺總計供應了逾1,100萬本電子書及超過8,000萬篇文章。</p> <p>根據調查，Z-Library提供不同格式的電子書檔案，除去它們的版權保護，並鼓勵使用者上傳與下載內容，當中有不少電子書受到版權的保護，或是理應為獨家出版，卻在Z-Library上對全球大開免費之門。此外，除了首頁之外，Z-Library還經營了249個相關的網域，不過，它們已全被美國政府封鎖並扣押。</p> <p>這起行動整合了許多單位的合作，包括美國司法部旗下的國際事務辦公室、電腦犯罪與智慧財產權處、FBI駐外法律專員、包括阿根廷在內的多個國家的執法機關，美國司法部還特別感謝美國作家協會（Authors Guild）與英國出版商協會（The Publishers Association）等受害者在調查上所提供的關鍵協助。</p> </div></div></div>
2022/11/22 13:51作者陳曉莉https://www.ithome.com.tw/news/154341
傳IBM Cloud將不再使用Watson IoT平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/11/15/ibm_set_to_retire_watson/" target="_blank">The Register</a>》報導，IBM可能在其公有雲IBM Cloud將不再使用自家的Watson IoT平臺。</p> <p>《The Register》取得IBM 近日對客戶發出的一份信件指出，藍色巨人計畫IBM Cloud將終止使用Watson IoT Platform服務，預計從2023年12月1日生效，但並無直接取代的服務。在這個日期之後，平臺API將不再接受存取。</p> <p>IBM提醒客戶，屆時客戶的裝置也將無法再連接MQTT和HTTP端點，而現有連線也會被關閉。所有使用這服務的客戶都應及早規畫在此之前搬到其他服務。</p> <p>不過IBM官方並不願多做說明。</p> <p>IBM是在大約10年前推出Watson IoT平臺，它的角色是管理IoT裝置、監控使用、蒐集和處理裝置產生的資料。這類服務主要是部署在工廠，強調可蒐集工廠IoT裝置營運資料，以分析流程及作業效率。</p> <p>IBM近年漸漸淡化Watson的重要性。藍色巨人前任執行長原本獨立Watson部門，希望貢獻AI營收，不過新執行長Arvind Krishna上任後就轉向混合雲路線，並清算Watson業務。<a href="https://www.ithome.com.tw/news/149027" target="_blank">今年初IBM將AI醫療部門Watson Health出售私募基金業者</a>。</p> <p>不過IBM還是持續發展IoT方案，IBM藉由支援開源碼專案Open Horizon，以支援同時管理1萬多件邊緣運算裝置，這項專案也整合到IBM Edge Application Manager中。</p> </div></div></div>
2022/11/22 10:39作者林妍溱https://www.ithome.com.tw/news/154334
獲利策略失效，Amazon Alexa可能虧損超過100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Amazon證實<a href="https://www.ithome.com.tw/news/154241" target="_blank">將裁員1萬</a>。《<a href="https://www.businessinsider.com/amazon-alexa-job-layoffs-rise-and-fall-2022-11" target="_blank">Business Insider</a>》報導，其中AI語音助理Alexa是受創最深的部門，因為這部門今年可能會讓公司虧損超過100億美元。</p> <p>報導指稱已採訪過10多名Alexa部門現任及前任員工，員工指出，這個部門因為多年來獲利計畫皆失敗，已經失去執行長的關愛眼神，而成為搖搖欲墜的部門。</p> <p>Amazon AI語音助理和Amazon Prime影音業務同屬於Amazon的全球數位（Worldwide Digital）部門。報導指出，這個部門光是今年第一季就虧損了30億美元，其中大部份來自Alexa。Alexa的虧損是其他部門的2倍，而單單硬體部門，今年全年可能就將虧掉100億美元。</p> <p>Amazon以該公司收購的Ivona語音合成軟體改造成Alexa，於2013年發表。它被用於智慧喇叭Echo系列，可讓用戶以語音指令查詢資訊、天氣、播放音樂或讀報，之後還成為智慧家庭控制中樞，能控制家中空調、照明或車庫門等設備。</p> <p>雖然Alexa帶動了AI語音助理風潮，且是Google Assistant及微軟Cortana追趕對象，但Amazon未曾透過Alexa獲利。Amazon原本寄望以Alexa帶進獲利，而非靠硬體賺錢，因此Echo幾乎是以成本價銷售，Alexa部門希望從消費者和Alexa的互動中找到獲利機會。</p> <p>Alexa 2019年人事凍結時，部門提出種種獲利計畫。例如Amazon曾經試圖從消費者以Alexa在其電商網站購物分潤，不過消費者並不信任沒見到產品或評價就下單的語音購物。該部門也曾和知名品牌如Uber或達美樂合作，希望經由消費者叫車或訂披薩時分潤，無奈消費者用量也不高。報導指出，消費者和Alexa之間的互動多數是播放音樂、查天氣這類瑣碎而無法產生利潤的行動，這讓Alexa團隊後來再也不提供有效使用預測，因為幾乎沒有。一名員工指Alexa是「想像力的重大失敗」、「浪費掉的大好機會」。</p> <p>Alexa曾是前執行長Jeff Bezos的重點項目，但是長年沒有獲利還不斷虧損，報導指出，Bezos 2020年就心灰意懶，而後Andy Jassy接任執行長後更無意保留。</p> <p><a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations" target="_blank">Jassy上周在員工公開信中</a>仍然表示將持續發展Alexa。不過一名員工表示，Amazon基本上未對Alexa及硬體業務提供明確方向，不但導致了設計有點莫名其妙的Astro機器人，在硬體未獲利情況下，未來暢銷機種恐怕也難無以為繼。</p> <p>Alexa部門裁員幅度並不清楚。</p> <p><a href="https://arstechnica.com/gadgets/2022/11/amazon-alexa-is-a-colossal-failure-on-pace-to-lose-10-billion-this-year/" target="_blank">Ars Technica報導</a>，Alexa部門裁員也反映AI語音助理的獲利能力問題。例如Google Assistant也在最近一波裁員中受到影響。</p> </div></div></div>
2022/11/22 11:00作者林妍溱https://www.ithome.com.tw/news/154335
Meta開發MultiRay平臺最佳化大型AI模型訓練、使用成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta透過開發<a href="https://ai.facebook.com/blog/multiray-large-scale-AI-models/">MultiRay</a>平臺來最佳化人工智慧模型運作，降低整體的模型運算成本。這個平臺的想法，是要集中化大型模型的使用，以共同分擔大部分的處理成本，除了能夠有效降低成本之外，可以獲得的模型服務，也比公司內各團隊自己發展的模型更大更好。</p> <p>現在人工智慧可以處理文字、圖像和各種形式的內容，但要產生高品質的結果，那就需要以非常多的資料訓練大型模型，但Meta表示，這個過程代價高昂，當有許多問題要解決，就需要產生非常多的大型模型，如此成本便會迅速失控。也就是說，事實上在生產環境中使用的模型，通常更小且更簡單。</p> <p>而MultiRay平臺便要透過重複使用，模型運算成本最昂貴的嵌入（Embedding），來最佳化人工智慧模型的訓練和託管成本。將整個企業的運算整合到單個模型中，更簡單地使用人工智慧加速器，並且以公司層級來權衡運算和儲存能力。MultiRay的通用模型經過訓練，可以廣泛應用在各種任務中，研究人員提到，這種通用模型比之前針對每個任務建立的小型模型表現更好。</p> <p>藉由使用MultiRay，使得所有Meta的團隊，都可以更快改進和迭代應用程式的機器學習模型，從貼文主題標記到仇恨言論偵測，比起每個團隊從頭開始建構的大型端到端模型，MultiRay能夠以更高的效率和更少的人力完成任務。</p> <p>MultiRay的第一個投入生產的模型是TextRay，支援文字理解應用，偵測虛假內容並改善用戶的搜尋體驗。但只有理解文字是不夠的，因為貼文可能包含文字、圖像和影片，要理解一篇文章，系統需要分析每個元素，並且綜合元素進行整合性分析。</p> <p>因此MultiRay的第二個模型PostRay，是將文字和圖像理解整合到同一個模型中，其應用的範圍很廣，包括臉書和Instagram上包含文字和圖像的資料，這包含用於Reels的主題分類。由於PostRay模型結合多個領域的研究，因此訓練、部署和維護也更複雜，透過MultiRay能夠將所有服務整合使用同一個通用模型，不只減省成本也能夠使應用更快投入生產。</p> </div></div></div>
2022/11/22 09:10作者李建興https://www.ithome.com.tw/news/154325
前端框架Angular 15加入Standalone API，簡化框架使用並加速編譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google領導開發的前端框架Angular，釋出最新的主要更新版本<a href="https://blog.angular.io/angular-v15-is-now-available-df7be7f2f4c8">Angular 15</a>，這個版本有許多效能和開發人員體驗更新，但最引人關注的重點，莫過於Standalone API已經進入開發者預覽階段。</p> <p>Standalone API是一種讓Angular不需要NgModules，就可以建構應用程式的方法，也就是說，Angular應用程式現在能夠使用單一元件啟動應用程式。NgModules是Angular管理相依關係的方法，目前是Angular的核心概念之一，而這個模組提高了新進開發人員的進入門檻，因為就連創建最簡單的「Hello, World」應用程式，都需要先了解使用NgModules的方法</p> <p>更重要的是，NgModule被當作推理（Reasoning）和重用的單位，像是延遲載入便需要以NgModule為中心進行考量，而NgModule在Angular的核心地位，使得開發者很難單獨地對元件、指令和管道進行推理。Standalone API則能夠簡化Angular的心智模型，擺脫以NgModule為中心的重用模型。好處是讓Angular使用起來簡單，程式碼撰寫不冗長，而且編譯速度更快。</p> <p>Angular 15所提供的Standalone API，已可在包括HttpClient、Angular Elements和路由器等Angular各部分良好運作。</p> </div></div></div>
2022/11/22 09:13作者李建興https://www.ithome.com.tw/news/154326
【資安日報】2022年11月21日，駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.armorblox.com/blog/instagram-credential-phishing-email-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構遭到駭客鎖定，以Instagram異常登入的名義發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒Instagram的釣魚郵件攻擊行動，針對教育領域的大型國家機構發動攻擊，目標是在裡面任職的人員。駭客針對2.2萬個電子郵件信箱寄送網釣郵件，佯稱有來路不明的登入行為，要收信人儘速處理。一旦收信人依照指示點選信中連結，就有可能被導向冒牌的變更密碼網站，而使得帳密資料落入駭客手中。</p> <p>研究人員指出，這起攻擊行動的信件內容與Instagram寄出的信件極為相似，釣魚網站甚至在地圖上顯示異常登入的地點，再加上寄件者的電子郵件信箱是<a href="mailto:[email protected]">[email protected]</a>，而使得用戶難以分辨真假。此外，釣魚郵件本身亦通過DKIM、DMARC、SPF等郵件檢查，而能繞過Exchange的安全機制與郵件安全閘道的偵測。</p> <h3><a href="https://www.securityweek.com/omron-plc-vulnerability-exploited-sophisticated-ics-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐姆龍PLC設備重大漏洞被用於散布工控系統惡意軟體</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於11月10日發布兩則資安通告，當中提到駭客鎖定歐姆龍（Omron）的NJ、NX系列可程式化邏輯控制器（PLC）系統產品線發動攻擊，針對<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-08">CVE-2022-34151（CVSS風險評分為9.4分）</a>、<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-07">CVE-2022-33971（CVSS風險評分為8.3分）</a>等漏洞下手，其中以前者為寫死（Hardcoded）帳密的重大漏洞，攻擊者能用於存取PLC設備。通報上述漏洞的資安業者Dragos表示，CVE-2022-34151實際上已被駭客納入<a href="https://www.ithome.com.tw/news/150428#sandworm-ics">攻擊框架Pipedream、Incontroller</a>，並用於攻擊ICS系統。</p> <h3><a href="https://techcrunch.com/2022/11/18/cdsl-malware-internal-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度證券保管服務商CDSL遭惡意軟體攻擊，內部系統也受到破壞</span></strong></a></h3> <p>根據新聞網站TechCrunch報導，印度證券託管機構Central Depository Services Limited（CDSL）於11月18日向當地股市交易所通報，該公司偵測到惡意軟體攻擊，部分電腦受到波及，為了防止災情擴大，他們隨即隔離受害電腦，並切斷與其他系統的連結。</p> <p>根據初步調查的結果，CDSL尚未發現機密檔案或是投資者資料遭到外洩。該新聞網站指出，在CDSL通報此事時，網站亦無法存取，但CDSL不願透露網站是否遭到這起攻擊事件影響。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/earth-preta-spear-phishing-governments-worldwide.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Preta濫用Google Drive散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Earth Preta（亦稱Mustang Panda、TA416）的攻擊，本次行動自3月開始進行，目標是臺灣、日本、菲律賓、澳洲、緬甸，主要針對政府機關及法律機構而來（83.9%），但也傳出教育機構、商業公司受害。攻擊者以密件副本來寄送網釣郵件，並濫用雲端檔案共享服務Google Drive、Dropbox來散布壓縮檔（RAR、ZIP、JAR等），進而於受害電腦植入惡意程式ToneShell、ToneIns、PubLoad。</p> <h3><a href="https://blog.cyble.com/2022/11/18/axlocker-octocrypt-and-alice-leading-a-new-wave-of-ransomware-campaigns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體AXLocker結合加密受害電腦檔案及竊取Discord帳號能力</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露3種新的勒索軟體AXLocker、Octocrypt，以及Alice Ransomware，其中最值得留意的是AXLocker，該勒索軟體不僅具備加密檔案的能力，亦擁有竊密軟體的功能──可從受害電腦竊取Discord的使用者ID、系統詳細資訊、瀏覽器個人設定，透過Discord Webhook網址傳送至駭客的頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/samba-patches-vulnerability-can-lead-dos-remote-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補可被用於阻斷服務、遠端執行任意碼的漏洞</span></strong></a></h3> <p>11月15日Samba發布安全性更新4.15.12、4.16.7、4.17.3，當中修補了CVE-2022-42898，此漏洞出現在使用者的代理服務元件S4U2proxy，影響32位元作業系統，通過身分驗證的攻擊者可藉由16位元區塊，來造成記憶體緩衝區溢位，成功利用可能導致阻斷服務（DoS），或是遠端執行任意程式碼（RCE），CVSS風險評分為6.4分，若現行Samba執行於64位元作業系統，則不受此漏洞影響。</p> <p>這項漏洞發生的原因，是在32位元作業系統上解析特權屬性憑證（PAC）的過程中，Samba的Kerberos程式庫會出現記憶體整數溢位的情況，而使得攻擊者能透過偽造的PAC發動攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/atlassian-fixes-critical-command-injection-bug-in-bitbucket-server/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補Bitbucket伺服器的重大命令注入漏洞</span></strong></a></h3> <p>Atlassian針對旗下的持續整合與持續開發（CI/CD）平臺Bitbucket、身分驗證解決方案Crowd發布資安通告，修補重大漏洞CVE-2022-43781、CVE-2022-43782。前者為Bitbucket伺服器的命令注入漏洞，攻擊者可在特定情況下，於目標系統執行程式碼，CVSS風險評分為9.8分，影響7.0版至7.21版、8.0版至8.4版Bitbucket，但由Atlassian代管的執行個體，或是執行PostgreSQL資料庫的執行個體不受影響；後者為Crowd伺服器的配置錯誤漏洞，攻擊者在註冊Crowd應用程式時能繞過密碼查核的流程，並呼叫具有特珠權限的API端點，影響3.0.0版以上的Crowd；但從低於3.0.0版升級的系統不受影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體Zeppelin漏洞，並用於製作解密金鑰</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png" style="width: 300px; float: right;" /></a>資安業者Unit 221B揭露2020年初挖掘勒索軟體Zeppelin漏洞的過程，研究人員根據另一家資安業者Cylance在2019年12月發布的調查報告進行分析，找到在加密過程隨機產生的RSA-512公鑰，並藉由雲端基礎設施供應商DigitalOcean贊助的伺服器主機，透過暴力破解得到能復原檔案的AES金鑰。Unit 221B自2020年2月開始，將其研究成果用於協助受害組織解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/">資安新聞網站Krebs On Security指出，該公司已幫助近20個組織恢復檔案</a>。Unit 221B指出，Zeppelin鎖定的目標往往缺乏資安事件回應能力，如：非營利組織、慈善機構，促使他們找出復原檔案的方法。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Exchange漏洞ProxyNetShell出現概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-attacks-use-windows-security-bypass-zero-day-to-drop-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過MoTW漏洞入侵受害電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154274"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客在美國聯邦機構網路上植入挖礦程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154311"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PyPI再傳惡意套件，數百人受害，駭客運用隱寫技術將程式碼埋藏在圖片</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154208"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android漏洞恐讓攻擊者繞過手機螢幕鎖定保護</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/21 16:46作者周峻佑https://www.ithome.com.tw/news/154324
微軟發表可打造太空應用的Azure Orbital Space SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://azure.microsoft.com/zh-tw/blog/any-developer-can-be-a-space-developer-with-the-new-azure-orbital-space-sdk/">Azure Orbital Space SDK</a>預覽版，這是一個包括託管平臺和應用程式工具包的開發工具，目的是要讓開發人員能夠在衛星上，創建、部署和運作應用程式。</p> <p>過去10年所發展的物聯網技術，至今都未被應用於太空任務中，而Azure Orbital Space SDK可以藉由現代敏捷軟體部署、容器、先進程式語言以及雲端託管等技術，將物聯網技術帶上太空。微軟提到，藉由將Azure雲端擴展到太空，降低太空應用的開發時間、成本，並讓更多的開發者跨足太空開發生態系。</p> <p>Azure Orbital Space SDK安全託管平臺和套件，目標要在太空船上安全地部署和運作應用程式，這個主機平臺在太空船上運作，包含了一個容器化、可擴展，且具有資源和調度管理能力的運算基礎設施。該應用程式套件提供一組模板、範例和文件，太空開發人員可以簡單地啟動和執行常見工作負載模式，像是地球觀測圖像處理等模板應用程式，使開發人員在地球上，就能針對主機平臺執行個體測試應用程式。</p> <p>該套件可用於開發不同的應用，像是遠端感測以及通訊。在太空中觀測地球，可以對商業、經濟、人道主義、情報和軍事應用上，提供無法替代資訊。由於大多數遠端感測衛星的連接時窗和頻寬有限，沒辦法將資料傳回地球處理，而且隨著感測器傳真度提高，他們所產生的資料超過可用頻寬，因此要將訊息經過處理後傳回地面，才能大幅改善成本和速度，提升衛星應用的價值。</p> <p>Azure Orbital Space SDK讓開發人員可以在衛星上，編寫和託管更智慧的應用程式，也就是說，可以更有效地擷取資料和使用時間，甚至在邊緣自動重新配置應用程式。Azure Orbital Space SDK不需要開發者，每次都建構獨特的應用程式，像是處理影像的任務，該套件就提供了一個通用模版，讓開發者可以更簡單地將模型和應用程式，從一個衛星配置轉移到另一個衛星配置。</p> <p>衛星通訊也是被廣泛使用的太空功能之一，藉由Azure Orbital Space SDK在衛星上提供應用程式和智慧運算能力，可以降低衛星通訊管理成本和提高效率，該套件提供了一種具有網路通訊能力的運算結構，可託管電信工作負載，使電信商更簡單地將應用程式，從地面基地站移動到軌道衛星，進而實現更大的彈性和網路利用率。</p> </div></div></div>
2022/11/21 16:35作者李建興https://www.ithome.com.tw/news/154322
AI程式開發助理先驅Kite宣布收攤，並開源產品程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kite.com/blog/product/kite-is-saying-farewell/">Kite</a>早在2014年，就開始研發可以協助開發人員編寫程式碼的人工智慧，但是創辦人Adam Smith現在宣布，Kite將結束並且開源產品程式碼。原因是，即便Kite擁有每月高達50萬的活躍使用者，但是這些開發人員卻不願意付費使用，缺乏成功的獲利模式，Kite最終只好收攤。</p> <p>創始團隊懷抱著極大的願景創立Kite，但現在他們已經停止開發Kite，不再繼續支援Kite軟體，Adam Smith表示，Kite主要在兩方面失敗，技術未成熟且未能建立獲利模式，他認為，Kite在技術未成熟的時候，過早發展人工智慧輔助程式開發技術。</p> <p>Kite並沒有達到當初承諾提供開發人員10倍改進的目標設定，這是因為在程式碼上使用機器學習的技術仍不夠成熟，Adam Smith提到，就連是由GitHub和Open AI合作所開發的Copilot，雖然有很大的前景，但是仍有一大段路要走。</p> <p>最大的問題在於，即便是最先進的模型，也無法理解程式碼的結構，Kite在更先進的模型有一些進展，但要解決這個問題，還要投入更多的資源，Adam Smith估算要建構能夠可靠合成程式碼的生產工具，花費可能要超過1億美元。</p> <p>除了技術不夠成熟外，Kite也沒有成功的獲利模式能支撐公司營運，自2014年公司成立以來，Kite一直到2019年才發展出能夠被市場接受的產品，而這個產品也獲得不少的用戶，在他們幾乎未投入行銷資源的情況下，每月可達50萬活躍開發者。</p> <p>但是Kite的產品並未能產生收入，50萬開發成員不付費使用服務，Adam Smith認為，個人開發者不會付費使用工具，會付錢的是工程經理，但是工程經理只想對個別功能付費，像是提高開發人員程式開發速度18％的工具，不過即便如此，仍無法引起足夠的共鳴。</p> <p>Kite在經過多次模索和業務轉型，他們找到新方向，便是運用人工智慧技術和開發人員足跡，來執行程式碼搜尋，但Adam Smith提到，在7年緊張工作以及創業壓力下，團隊已經累了，因此選擇讓Kite業務告一個段落。</p> <p>Kite的大部分程式碼都已經在GitHub上開源，包括Python類別推理引擎、Python公共套件分析器、桌面軟體、編輯器整合、GitHub爬蟲和分析器等。</p> <p>同為人工智慧程式碼輔助開發系統的GitHub Copilot，目前則正面臨訴訟風波，GitHub和Open AI因為使用公開程式碼訓練機器學習模型，卻未列出歸屬、版權聲明和授權，美國律師事務所Joseph Saveri代表眾多的開發者，對業者發起違反授權法律訴訟。</p> </div></div></div>
2022/11/21 15:11作者李建興https://www.ithome.com.tw/news/154319
研究人員發現勒索軟體Zeppelin漏洞，協助受害者打造解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin" target="_blank">美國資安業者Unit 221B上周揭露了勒索軟體Zeppelin的多個安全漏洞</a>，但其實Unit 221B早在2020年便得知相關漏洞，而且已協助逾20家受害者打造解密金鑰，只是一直到近日才對外公布。</p> <p>Zeppelin現身於2019年，是以Delphi撰寫的俄羅斯勒索軟體，對受害者提出的平均贖金為5萬美元。Unit 221B表示，該公司之所以決定針對Zeppelin展開行動，是因為此一勒索軟體鎖定收容所、非營利機構與慈善機構等缺乏回應能力的組織進行攻擊，這觸發了該團隊的過動症狀。</p> <p>Unit 221B先參考了BlackBerry Cylance在2019年底、對一款Zeppelin變種所撰寫的分析報告，了解Zeppelin使用3種不同型態的加密金鑰來加密檔案，並於被感染的每臺機器上隨機產生臨時的RSA-512公鑰，用它來加密存取加密資料的AES金鑰。駭客會在完成資料加密之後，刪除系統上的RSA-512公鑰，但只要能夠復原該公鑰，就能破解它並取得AES金鑰。</p> <p>BlackBerry Cylance的分析報告協助Unit 221B找到了Zeppelin的安全漏洞，繼之獲得美國雲端基礎設施供應商DigitalOcean的贊助，利用20臺每臺具備40個CPU的伺服器叢集以進行RSA-512公鑰的因數分解，大概需要4~6小時來得到兩個主要的因數，再計算出私鑰。</p> <p>其實Unit 221B有關Zeppelin漏洞的研究報告在2020年2月就已出爐，但並未大張旗鼓地公開，而是秘密地協助Zeppelin受害者解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/" target="_blank">資安部落格《KrebsOnSecurity》專訪了一名Zeppelin受害者Peter</a>。Peter是位IT管理員，他的公司在2020年5月遭遇Zeppelin攻擊事件，當時他進這家公司才不到半年，而且不管是生產系統或備份系統都被駭客加密了，老板拖延了兩周之後，已經打算支付贖金，結果接到了FBI的電話，要求他們不要支付贖金，並推薦由Unit 221B協助解鎖。</p> <p>過去只要有資安業者公布了特定勒索軟體的解密金鑰，駭客就會得知自己的軟體含有安全漏洞並加以修補，這使得Unit 221B決定低調地提供協助，僅將漏洞報告提供給執法機構及少數的研究人員。</p> </div></div></div>
2022/11/21 14:00作者陳曉莉https://www.ithome.com.tw/news/154317
歐盟有意把資料中心放在太空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）已委由Thales Alenia Space主導一項可行性研究《歐洲淨零排放與資料主權的先進太空雲》（Advanced Space Cloud for European Net zero emission and Data sovereignty，ASCEND），調查能否將資料中心置放於太空軌道上，以緩解地球上日益嚴重的氣候變遷。</p> <p>此一研究為歐盟Horizon Europe科學研究計畫的一環。Horizon Europe為一經費多達955億歐元的7年專案，著眼於解決氣候變遷，協助實現聯合國的可持續目標，同時推動歐盟的競爭力與成長。至於Thales Alenia Space則是由來自法國Thales（67%）與義大利Leonardo（33%）共同組成的公司，它們皆為航太、國防與安全領域的設備設計與製造商。</p> <p><a href="https://www.thalesgroup.com/en/worldwide/space/press-release/ascend-thales-alenia-space-lead-european-feasibility-study-data" target="_blank">Thales Alenia Space指出</a>，數位化的需求讓全球與歐洲的資料中心數量快速成長，對能源與環境造成重大影響，該公司的野心是在太空軌道上設立資料中心，並由太陽能電場供電，與地球的唯一連結為高吞吐量的光通訊，不僅能協助歐洲實現2050年的碳中和目標，也將成為歐洲太空與數位生態系統前所未有的發展。</p> <p>ASCEND可行性研究的首要目標為評估這些太空基礎設施的發射與生產，能否大規模減少地面資料中心所產生的碳排放，次要目標則是證明是否能夠發展出所需的發射解決方案，並以歐洲正在研發的機器人輔助技術來確保這些資料中心的部署與可操作性。</p> <p>總之，該專案若能證明在太空部署的資料中心可減少對地球環境與能源的衝擊，歐洲未來即可針對相關解決方案進行重大投資，例如打造可重複使用的重型運載火箭。</p> <p>Thales Alenia Space已設立一個聯盟，用以諮詢所需的各種專業與技術，涵蓋環境業者、雲端運算業者、運載火箭業者及軌道系統業者。</p> </div></div></div>
2022/11/21 12:50作者陳曉莉https://www.ithome.com.tw/news/154316
【資安週報】2022年11月14日到11月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週加密貨幣交易所FTX宣告破產後傳出遭駭客攻擊的消息，超過5億美元加密貨幣被盜取，甚至傳出FTX社群管理員警告移除FTX App的消息，成為國際矚目焦點。</p> <p>在國內，本週傳出有上市公司遭駭客網路攻擊的消息，業者已經發布資安事件重大訊息，說明部份資訊系統受影響，儘管事故細節未有太多揭露，但我們認為可能是勒索軟體攻擊導致。</p> <p>在漏洞消息方面，最受關注的是，微軟在17日發布例外更新，緊急修補Windows關於Kerberos登入問題，以及F5發布產品安全公告修補旗下BIG-IP、BIG-IQ系統重大漏洞的消息。其他值得注意的包括，開發人員入口網站平臺Backstage的重大漏洞SandBreak的修補，網頁伺服器軟體OpenLiteSpeed修補重大漏洞的修補，以及Android手機可繞過解鎖畫面漏洞的修補。</p> <p>還有一些威脅趨勢值得留意，例如，賽門鐵克指出中國駭客組織持續鎖定亞洲多個國家政府與國防單位攻擊，並會攻擊憑證認證機構（CA），進而運用具合法簽章的惡意軟體來規避偵測；有資安業者指出，AWS提供公開的RDS快照功能，可能成為駭客組織覬覦的目標受關注，提醒企業注意；威脅情報業者Cyjax指出駭客組織Fangxiao發動大規模的網釣攻擊行動，主要鎖定中國以外市場攻擊，將使用者導向4.2萬個惡意與釣魚網站。另外，還有惡意軟體載入器BatLoader攻擊行動升溫，關於PCspooF漏洞的漏洞研究。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154187"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</span></strong></a></h3> <p>加密貨幣交易所FTX宣告破產的效應如雪球般越滾越大，但雪上加霜的是，該交易所傳出可能因遭到駭客攻擊，導致5億美元的加密貨幣被轉走，此起事故發生的原因有待後續調查。</p> <p>於8月中旬出現的勒索軟體Venus，駭客專門透過遠端桌面連線（RDP）入侵受害電腦，如今該勒索軟體的攻擊行動已引起政府的關注。美國提出警告，此勒索軟體鎖定當地醫療機構而來，且已出現受害單位。</p> <p>又是連鎖零售業者遭到勒索軟體攻擊的事故！加拿大食品零售業者Sobeys傳出遭到勒索軟體Black Basta攻擊，波及部分服務，但因為POS機臺與支付系統採用專屬網路而倖免於難，使得多數門市仍能營業。</p> <h3><a href="https://www.ithome.com.tw/news/154205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</span></strong></a></h3> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><a href="https://www.ithome.com.tw/news/154223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</span></strong></a></h3> <p>中國駭客組織發動攻擊的情況屢見不鮮，資安業者揭露駭客組織Billbug的行動，當中值得留意的是，已經有憑證認證機構（CA）受害，而可能讓該機構的簽章工具用於簽署惡意軟體。</p> <p>多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現了重大漏洞SandBreak，該漏洞源於此系統採用的VM2沙箱，而可能讓攻擊者存取開發團隊擁有的各式開發系統。</p> <p>推特被馬斯克（Elon Musk）買下後引發用戶出走潮，不少人選擇改用去中心化社群網站Mastodon，但有研究人員發現該社群網站出現可竊取使用者密碼的漏洞，使得Mastodon用戶可能曝險。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154277"><strong><span style="color: rgb(0, 0, 0);">【11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</span></strong></a></strong></p> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154295"><strong><span style="color: rgb(0, 0, 0);">【11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</span></strong></a></strong></strong></p> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> </div></div></div>
2022/11/21 09:38作者羅正漢https://www.ithome.com.tw/news/154307
Alphabet的Waymo將測試真正無人的自駕車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下自駕車子公司Waymo將在加州提供真正無人的自駕計程車服務。<a href="https://www.cpuc.ca.gov/news-and-updates/all-news/cpuc-approves-new-driverless-autonomous-vehicle-service-under-pilot-program" target="_blank">加州公共設施委員會（California Public Utilities Commission，CPUC）宣布准許Waymo參加加州的測試計畫</a>，將對大眾提供真正無人的載送服務。</p> <p><a href="https://www.ithome.com.tw/news/113700" target="_blank">Waymo 2017年就提供</a>自駕車載送乘客的服務，但是駕駛座上都需要有個人以確保安全。CPUC指出，這次Waymo獲得許可是無人載送服務的里程碑，可將無人載送服務擴大提供給更多加州居民，並增加與大眾互動的機會。Waymo在測試中的任何載送服務都不能向乘客收費。</p> <p>CPUC表示，這計畫讓無人車業者一方面可測試其技術，另一方面測試無人車廠商是否能滿足安全、無障礙服務及環境效益的目標。Waymo是繼通用汽車旗下的Cruise後，第二家參加CPUC無人測試計畫的業者。</p> <p>在這項許可下，Waymo將可在舊金山全境和部份戴利市（Daly City）、洛斯阿圖斯（Los Altos）、洛斯阿圖斯山丘（Los Altos Hills）、山景市（Mountain View）、帕洛奧圖（Palo Alto）及桑尼維爾（Sunnyvale）市提供無人載送服務。Waymo的無人車可以在加州公路上以不超過時速104公里的速度提供服務，且不限白天或夜晚。</p> <p>參加測試的業者應每季提供當局要求的報告，以及說明其如何規劃確保乘客安全的乘客安全計畫。</p> <p>2018年Waymo已獲得加州車輛管理局（Department of Motor Vehicles，DMV）的真正無人車輛測試許可。無人車服務廠商要先具有DM許可的無人車輛，才能利用CPUC許可提供載客服務。</p> <p>Waymo另外還獲得CPUC二項測試計畫許可。二項都是車上有安全駕駛的服務，但一項是可測試收費，這只有在舊金山和部份戴利市。另一項則不可收費，範圍更廣，除了本次的服務地區，還包括洛杉磯市、聖塔莫尼卡（Santa Monica）及英格爾伍德（Inglewood）市。</p> </div></div></div>
2022/11/21 10:13作者林妍溱https://www.ithome.com.tw/news/154309
Meta AI科學用文字語言模型被批訛誤太多，上線三天後被撤下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不斷推進人工智慧（AI）模型的Meta上周公布一項以協助撰寫科學報告文獻的AI模型Galactica，但被研究人員批評可能撰寫出有偏見及謬誤文獻的倫理問題，<a href="https://www.technologyreview.com/2022/11/18/1063487/meta-large-language-model-ai-only-survived-three-days-gpt-3-science/" target="_blank">MIT Technology Review報導</a>，這模型上線三天後就被撤下。</p> <p>Meta是在上周公布Galactica，並邀請科學家測試，它是一個大型語言模型（large language model，LLM），旨在協助研究人員撰寫科學報告。Meta團隊宣稱它是以超過4,800萬份報告、課本、教學筆記、科學家網站及百科全書訓練而成。Galactica號稱研究人員只要在其網站輸入一些提示詞，背後的AI模型就能產出像是文獻回顧、Wiki文章、教學筆記、或是單純回答科學提問，能加速科技研究。</p> <p>但Galactica對科學家來說，存在LLM相同的問題，即這些LLM即使能產出看似有條理的文字，但其實並無法理解其中意義。因此科學家發現LLM模型可能產出具有偏見的文章，或是出現事實謬誤。</p> <p>而一些研究人員測試Galactica ，也發現有許多問題。<a href="https://twitter.com/Michael_J_Black/status/1593133722316189696" target="_blank">例如一名研究人員測試Galactica數次發現</a>，它的問題包括，雖然寫出看似合理的文章，也引述了確有其人的作者，但引述來源文獻是錯的，另一次則是引述了一篇根本不存在的文獻。</p> <p>研究人員認為Galactica是很有趣的計畫，但它在產出符合文法、具權威感文字的能力下，卻引進謬誤但難以察覺的科學知識，反而相當危險，可能危害真正的科學研究，也傷害被錯誤引述的學者。</p> <p>在眾多批評下，Meta已將Galactica暫時下線。<a href="https://twitter.com/ylecun/status/1593293058174500865" target="_blank">Meta AI的首席AI科學家Yan LeCun說</a>，外界已無法誤用它來取樂了。</p> <p><a href="https://www.galactica.org/" target="_blank">如果點入Galactica網頁</a>，現在只看到一段文字顯示感謝社群的回饋意見，這項展示已經暫停，該模型目前只提供給想進一步了解、且複製報告結果的研究人員。</p> <p>這也顯示AI雖然進步很快，但在價值判斷的能力上則像個人類小孩。<a href="https://www.ithome.com.tw/news/104851" target="_blank">微軟2016年測試的AI語音助理Tay</a>在上線1天就被網友「教壞」而發表種族歧視、性別偏見的言論，隔天就被微軟撤下，而後<a href="https://www.ithome.com.tw/news/110045" target="_blank">新一代的Zo則被設定不能談種族或政治議題</a>。</p> </div></div></div>
2022/11/21 10:25作者林妍溱https://www.ithome.com.tw/news/154310
PyPI再傳惡意套件，數百人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/" target="_blank">安全廠商Check Point發現</a>惡意程式經由PyPI儲存庫感染Python開發人員，是近日發現的最新一波攻擊。研究人員發現已有數百人受害。</p> <p>Check Point於10月底偵測到一隻PyPI出現的惡意套件，該套件運用隱寫術（steganography），將惡意程式碼藏在圖片中，再上傳到GitHub上的開源專案，感染PyPI用戶。</p> <p>Checkpoint發現到的套件為Apicolor。研究人員分析，該套件包含三個部份，一是感染套件，負責以名稱誘騙使用者下載安裝。其次是載體程式碼，功能是將惡意程式碼導到受害系統中；在apicolor中，這部份程式碼是以代碼混淆手法藏在圖片中（即隱寫術），而圖片則是從看似無害的setup.py檔編寫的URL下載。之後載體程式碼再啟動第2階段程式下載。第3階段則是最後的惡意程式碼，Checkpoint研究人員分析，它安裝到開發人員電腦中最後會植入竊密木馬程式。</p> <p>這是繼本月初Phylum之後，發現的最新惡意PyPI惡意套件。<a href="https://www.ithome.com.tw/news/153998" target="_blank">Phylum研究人員發現</a>20多個出版的PyPI套件中，內含W4SP Stealer竊密程式。這波主要攻擊是首先發生於10月12日，並在10月22日爆發，但該公司今年7月就發現GitHub上有一小撮套件出現類似感染特徵。</p> <p><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192" target="_blank">另一家安全廠商Checkmarx歸納</a>Checkpoint及Phylum的研究，認為是同一攻擊者所為，並將攻擊者稱之為WASP。</p> <p>該公司分析惡意樣本顯示，WASP使用多型態手法，每次第2、3階段都會下載不同程式碼，目的在以不同程式碼監控個別受害機器的資料蒐集。此外，下載的Python程式碼還會以不同名稱儲存在暫存檔內，並修改機碼，以便每次用戶電腦重開機都會重新啟動，維持長期運作。最後釋出到開發人員系統的WASP竊密程式目標在蒐集Discord帳密、加密貨幣錢包、信用卡及其他檔案，最後回傳到攻擊者的Discord webhook位址。</p> <p>Checkmarx研究人員追蹤到，WASP的作者以20美元出售給其他有意犯罪者，宣稱幾乎無法偵測。他們還發現攻擊者的「名人堂」，顯示有數百起成功感染。</p> <p>此外，WASP作者和PyPI單位上演貓捉老鼠戲碼。例如經過CheckPoint通報後，PyPI將Apicolor這款套件移除，攻擊者就改名Apicolors、以及Colorapi、Colorsapi並以同一PyPI帳號重覆上傳。研究人員說，開源碼社群安全情報分享管道不暢通，是攻擊活動得以愈來愈猖獗的原因。</p> </div></div></div>
2022/11/21 10:34作者林妍溱https://www.ithome.com.tw/news/154311
破產監督人宣稱FTX的混亂內控前所未見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺FTX在11月11日聲請破產保護，並由破產專家John Ray III接任FTX執行長，負責監督FTX集團的清算，然而，<a href="https://pacer-documents.s3.amazonaws.com/33/188450/042020648197.pdf" target="_blank">Ray在上周四（11/17）提交的法院文件中指出</a>，在他的職業生涯中，尚未見過企業控制如此失敗，且金融資訊如此不可靠的公司。另一方面，<a href="https://www.scb.gov.bs/wp-content/uploads/2022/11/Media-Release-SCB-Assumes-Control-of-Assets-of-FTX-Digital-Markets-Ltd.pdf" target="_blank">巴哈馬證券委員會（ Securities Commission of The Bahamas）出面證實</a>，是該組織在11日轉走並扣押了FTX的資產。</p> <p>現年64歲的Ray是名美國律師與破產專家，有超過40年的法律及重組經驗，曾監督過安隆（Enron）與北電網路（Nortel）破產案的執行。</p> <p>Ray於文件中表示，他所參與的破產或重組案件幾乎都具備內控、合規、人力資源或系統完整性上的缺陷，然而，在他的職業生涯中，從未見過內控如此失敗，財務資訊如此不可靠的公司。FTX集團不僅缺乏系統完整性，不當的監管，而且控制權集中在極少數缺乏經驗、天真又脆弱的個人手中，這樣的情況真是前所未見。</p> <p>具體而言，對於旗下的數位資產，FTX集團並未保留適當的帳本、紀錄或安全控制，還以不安全的電子郵件帳號作為存取機密私鑰與資料的使用者名稱，沒有每日核對區塊鏈上的款項，以軟體來隱瞞對客戶資金的濫用行為，以及大開方便之門予Alameda。</p> <p>另一個令人大開眼界的是，在FTX聲請破產保護之際，有人發現該平臺有價值數億美元的大批資產流出，原本外界猜測是駭客或內賊所為，結果巴哈馬證券委員會在17日發表了聲明，指稱該組織在當時獲得了最高法院的命令，將FTX的所有數位資產移轉到由該委員會控制的錢包中，進行妥善的保管。</p> <p>巴哈馬證券委員會表示，這是為了保護FTX客戶與債權人的利益，在必要時所採取的緊急臨時監管行動，未來也會與其它國家的監管機構合作，共同解決此一影響全球投資人的事件。</p> </div></div></div>
2022/11/21 09:15作者陳曉莉https://www.ithome.com.tw/news/154305
Google建立YARA規則集，供用戶偵測遭濫用的紅隊工具Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>常被紅隊用於測試網路防禦韌性的工具Cobalt Strike，在經過十幾年的更新與改進，現在已經發展成為一個成熟的點擊系統，而該工具近期被惡意攻擊者濫用，並將其用作在被害者網路中橫向移動的強大工具，成為第二階段攻擊有效負載的一部分。</p> <p>雖然Cobalt Strike供應商Fortra透過審查程序，試圖降低該軟體被濫用的可能性，但是因為Cobalt Strike不停地被洩露破解，導致未授權的Cobalt Strike與一般版本一樣強大。<a href="https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse">Google現在向社群發布一組開源的YARA規則</a>，使社群能夠精準標記和辨識Cobalt Strike遭濫用的元件。</p> <p>Cobalt Strike是多個軟體工具的集合，這些工具被整合到一個JAR檔案中，惡意攻擊者需要啟用團隊伺服器（Team Server）元件，該元件配置一個集中式伺服器，作為命令與控制端點，以及控制受感染裝置的協調中心。</p> <p>攻擊者透過啟用JAR來連結團隊伺服器，客戶端擁有視覺化介面，攻擊者可以從中控制團隊伺服器和受感染主機，團隊伺服器生成大量攻擊框架元件，攻擊者可以部署這些元件來感染和控制遠端端點。Cobalt Strike包含多個用於Javascript、VBA巨集和Powershell腳本的提交模板，這些模板可以部署小型植入程式，並透過各種網路協定呼叫團隊伺服器，並且下載最終感染元件Beacon。</p> <p>Beacon是核心二進位檔案，可讓攻擊者控制受感染的電腦，支援各種命令和操作，同時也能夠擴展下載和執行攻擊者開發的模組。</p> <p>Google收集2012年至最新的Cobalt Strike JAR檔案版本，針對各種野外Cobalt Strike元件集變體，建構YARA高精確度偵測規則，可偵測340個各版本元件的二進位檔案，官方提到，他們的目標是建立高傳真偵測，精確鎖定特定Cobalt Strike元件版本。</p> <p>Google偵測Cobalt Strike確切版本，來確定非惡意使用者的使用，官方提到，部分版本已經被惡意攻擊者大量濫用，透過精確偵測版本，來維持合法版本的正常使用。由於Cobalt Strike被濫用的版本，通常至少落後最新版一個版本，因此藉由製作專門的簽章來鎖定這些版本，這些簽章被整合成VirusTotal中集合。Google同時也將這些簽章開放給網路安全供應商，來提高整個產業的開源安全性。</p> </div></div></div>
2022/11/21 09:19作者李建興https://www.ithome.com.tw/news/154301
微軟擴展健康保健用AI技術，可辨識多語言非結構化病歷資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/expanding-ai-technology-for-unstructured-text-beyond-english/">微軟Azure認知服務中的健康保健用文字分析服務</a>，現在可以從7種語言的非結構化文字，擷取出有意義的分析，並且經過進一步處理，用於臨床決策支援上。微軟提到，全面支援多語言非結構化生物醫學資料分析，是自然語言服務中的創舉。</p> <p>除了英文，現在健康保健用文字分析功能還支援西班牙語、德語、法語、義大利語、葡萄牙語和希伯來語，這些語言支援，使得全球更多衛生組織，得以分析多語言非結構化臨床筆記。</p> <p>微軟提到，當前自然語言處理服務的挑戰之一，就是要跨出英文的限制，而困難之處是要找到多種語言資料，來訓練人工智慧模型，並針對特定國家進行微調，畢竟語法在不同語言之間是不同的，特別是非拉丁語言。</p> <p>不同國家所面對的健康保健挑戰不同，像是書面文字是口語、醫學術語和該國慣用速記方法的混合體，微軟的合作研究對象之一Leumit Health Services，其所提供的病歷，通常混合希伯來語和英語單詞，而巴西等地因為缺乏互通或是資料收集標準，導致出現許多非結構化資料。藉由微軟的AI技術，將可使這些病歷資料更為可用。</p> <p>健康保健用文字分析功能使用自然語言處理技術，來偵測和辨識文字中的醫學術語，並且進行分類後，與標準臨床編碼系統關聯，以推論資料中的語意關係和斷言，進而實現更深入的脈絡理解，微軟表示，透過整合非結構化資料和結構化資料，能夠揭露關鍵分析、辨識風險、自動填寫表格和配對臨床實驗者等，使更多潛在健康保健使用案例得以實現。</p> <p>過去多數健康保健相關技術都僅限英文，阻礙了非英語系國家的採用，新的自然語言處理技術可以彌補語言造成的健康平等差距。</p> </div></div></div>
2022/11/21 09:21作者李建興https://www.ithome.com.tw/news/154302
馬斯克透過網路投票恢復川普的Twitter帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底才接手Twitter的馬斯克（Elon Musk），上周五（11/18）於Twitter上舉辦了一場網路投票，詢問是否該恢復美國前總統川普（Donald Trump）的Twitter帳號，結果在1,500萬的投票數中，<a href="https://twitter.com/elonmusk/status/1593767953706921985" target="_blank">有51.8%的使用者贊成</a>，確定投票結果之後，川普的Twitter帳號就被恢復了。</p> <p class="rtecenter"><a href="http://twitter.com/elonmusk/status/1593767953706921985" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-twitter-trump.png" style="width: 541px;" /></a></p> <p>在周末之前，<a href="https://web.archive.org/web/20221114024603/https://twitter.com/realDonaldTrump" target="_blank">造訪川普Twitter帳號@realDonaldTrump</a>只會看到該帳號因違反Twitter規定而被停用的訊息，並不會看到任何推文，不過現在該帳號已被復原，只是川普尚未發言，<a href="https://twitter.com/realDonaldTrump" target="_blank">上一次的推文</a>停留在2021年的1月8日，那是在美國國會暴動事件（2021/1/6）發生的兩天後，川普被指責煽動暴力而相繼遭到各社交平臺的封鎖。</p> <p>川普甫於上周二（11/15）宣布角逐2024年的美國總統大選，還誓言擊敗拜登。</p> <p><a href="https://www.wsj.com/articles/elon-musk-says-twitter-would-reinstate-donald-trumps-account-after-online-poll-11668906083?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（WSJ）分析，曾經宣告要設立內容委員會來處理帳號回復問題的馬斯克，最終還是自己發動了投票，彰顯了目前Twitter所有事情的主要決策者仍是他。</p> <p>馬斯克還在Twitter上表示，人們發聲了，川普的帳號恢復了，「人民之聲，上帝之聲」（Vox Populi, Vox Dei）。</p> <p>不過，川普迄今似乎不為所動，曾在網路投票當天表示，他有自己的社交平臺，沒有重新回到Twitter的理由。川普旗下媒體科技集團Trump Media & Technology Group於今年2月正式推出Truth Social社交平臺，提供行動程式及網路版，但目前僅支援美國、加拿大與巴西等市場。</p> </div></div></div>
2022/11/21 09:36作者陳曉莉https://www.ithome.com.tw/news/154306
Amazon將於明年關閉消費版加密傳訊程式Wickr Me
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wickr.com/our-focus-on-end-to-end-encrypted-enterprise-communications/" target="_blank">Amazon上周宣布</a>，將在明年12月31日關閉消費版加密傳訊程式Wickr Me，且自今年12月31日起就不再接受新用戶註冊。</p> <p>Amazon在2021年<a href="https://www.ithome.com.tw/news/145299" target="_blank">收購</a>的Wickr為一端對端加密的通訊平臺，支援各大平臺，提供傳訊、語音、視訊、檔案分享與協作能力，原本提供Wickr Me、Wickr Pro、Wickr RAM與Wickr Enterprise等不同的產品。Wickr最被傳頌的是它曾<a href="https://media.defense.gov/2020/Aug/14/2002477667/-1/-1/0CSI_%20SELECTING_AND_USING_COLLABORATION_SERVICES_SECURELY_FULL_20200814.PDF" target="_blank">被美國國安局（NSA）遴選為最安全及隱私的協作工具</a>，擊敗思科Webex、Google Workspace、Microsoft Teams、Signal與Slack等產品。</p> <p>納入麾下後，Amazon將其整併成Wickr Me、Wickr Enterprise與AWS Wickr，當中只有Wickr Me為免費的消費者版本，其它皆為付費版；現在即將退役的也只有Wickr Me，Wickr Enterprise與AWS Wickr都將持續存在。</p> <p>Amazon表示，該公司正努力讓AWS Wickr可符合用戶的安全通訊需求，這不僅是個端對端加密企業通訊服務，也支援資料保留義務，適用於企業與公部門客戶，此外，他們知道某些客戶會透過Wickr與組織外的個人通訊，未來也會啟用此一功能。</p> </div></div></div>
2022/11/21 09:55作者陳曉莉https://www.ithome.com.tw/news/154308
英特爾新FakeCatcher偵測技術，能以96%準確度即時辨識Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾推出可準確偵測Deepfake虛假影片的偵測器<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-introduces-real-time-deepfake-detector.html#gs.iiv85u">FakeCatcher</a>，準確度高達96％，官方提到，這是目前全球第一個，能夠以毫秒速度即時回傳結果的Deepfake偵測器。英特爾即時平臺所使用的偵測器FakeCatcher，由英特爾與紐約州立大學研究人員共同開發，並在英特爾的硬體和軟體上運作。</p> <p>Deepfake影片氾濫成為網路上一大威脅，這些影片使用名人的臉部，合成他們未說過或是做過的事情，過去偵測應用程式需要上傳影片進行分析，通常需要數小時才能得到結果。英特爾提到，Deepfake詐欺可能造成傷害並產生嚴重負面結果，而FakeCatcher可以在伺服器端，迅速偵測這些Deepfake影片。</p> <p>目前大多數深度學習偵測器，都是查看原始資料，試圖找影片中不合理的線索，辨識出影片不真實的部分，官方解釋，FakeCatcher判斷影片人像的血流，也就是說其特別之處在於，尋找影片中真實的部分，來證明影片非合成。當人類的心臟跳動泵血作用發生時，靜脈的顏色會發生改變，FakeCatcher收集臉部的血流訊號，並將這些訊號轉換成時空圖（Spatiotemporal Map），深度學習演算法可以立刻判斷影片真偽。</p> <p>FakeCatcher的潛在使用案例包括在社交平台部署該技術，避免用戶上傳有害的Deepfake影片，新聞機構也可以使用該偵測器，避免無意放大遭人刻意操縱的影片，非營利組織也可以部署該平臺，使更多人可以偵測Deepfake影片。</p> </div></div></div>
2022/11/21 09:04作者李建興https://www.ithome.com.tw/news/154292
Google強化搜尋與地圖的AR功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google日前強化旗下搜尋及地圖服務的擴增實境（Augmented Reality，AR）功能，<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/" target="_blank">前者</a>提供新的AR購物功能，方便使用者於網路上購買粉底與球鞋，後者則<a href="https://blog.google/products/maps/new-maps-updates-to-help-you-make-the-most-of-the-holidays/" target="_blank">宣布</a>將在紐約、洛杉機、舊金山、倫敦、巴黎與東京提供基於AR的Live View徒步導航功能。</p> <p>AR通常是在不需要搭配頭戴式顯示器的狀態下，呈現整合現實與虛擬的畫面，Google在2020年就針對線上購物推出AR功能，提供虛擬化的化妝服務，以讓使用者於網路上試用產品。本周則改善了網路購買粉底的AR功能，提供148名代表不同膚色、年齡、性別、臉型、種族與皮膚類型的模特兒，測試特定品牌的粉底塗上臉龐的效果，以協助使用者作出購買決定。</p> <p>也能利用AR於網路上購買球鞋，讓使用者可縮放及旋轉球鞋，或是模擬將鞋子放在使用者空間中的樣子。</p> <p>在Google Maps上對AR的應用則是Live View徒步導航功能，除了可看到基於實景的箭頭導航之外，也能看到特定建築物或品牌的介紹，下周起將部署在倫敦與東京等更多的國際城市。</p> <p>此外，原本就可顯示電動車充電站的Google Maps也將新增快速充電選項，方便電動車駕駛找到最合適的充電服務。</p> </div></div></div>
2022/11/21 09:07作者陳曉莉https://www.ithome.com.tw/news/154304
IBM聯合PyTorch大幅改進在雲端訓練大型AI模型的效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-pytorch-cloud-ai-ethernet">IBM研究院與PyTorch合作</a>，發展一個稱作rate_limiter的控制元件，能夠透過配置訓練時的記憶體，使得具有數十億參數的模型，也能夠在標準雲端網路基礎設施，像是乙太網路上運作。</p> <p>當前的人工智慧模型，只要使用簡單的文字題事，就能創造出圖像、歌曲甚至是網站，而這種具有數十億參數的模型，被稱為基礎模型，不需要大量時數的訓練與標記，基礎模型就可以被簡單地重新用於另一項任務。</p> <p>基礎模型主要在高階的高效能運算（HPC）基礎設施上運作，雖然這些系統很可靠，但IBM提到，對於許多想要自己訓練基礎模型，並且僅供自己使用的人來說，HPC設備是一個極高的門檻，包括高階GPU搭配低延遲InfiniBand網路系統，以及各種專門的操作流程等。</p> <p>而IBM研究人員與PyTorch分散式團隊合作，尋找出可在網路硬體上，訓練大型人工智慧模型的方法，而這個聯合小組也已經驗證，可以在Red Hat的OpenShift平臺上，使用基於乙太網路的常規網路，來擴展和訓練大型模型。</p> <p>使用PyTorch的完全分片資料平行技術（FSDP），該團隊可以在IBM Cloud上的標準乙太網路，訓練具有110億參數的模型，實現與HPC網路系統同等規模的高效率訓練。研究人員提到，過去嘗試使用乙太網路，在PyTorch上訓練數十億參數的模型，但是效果不佳，遠低於訓練基礎模型所需要的效能，隨著模型規模成長，只有當GPU能夠完整包存模型副本和訓練狀態時，資料平行訓練的標準方法才能發揮作用。</p> <p>雖然FSDP或DeepSpeed等新方法可以在訓練期間，有效地將模型和資料分散到多個GPU上，但也只限於HPC系統，而無法在由乙太網路連接的系統上運作。為此，聯合研究團隊開發了一個FSDP API，並建構rate_limiter控制元件，該元件可以控制用於發送和接收張量所使用的記憶體，進而緩解系統的記憶體壓力，使效率較之前提高達4.5倍。</p> <p>這項研究使用的基礎設施為現成的硬體，該系統在IBM Cloud上運作，由200個節點組成，每個節點有8張Nvidia A100 80GB顯示卡，與96 vCPU、1.2TB CPU記憶體，節點內的顯示卡以NVLink連接，顯示卡之間頻寬為600 GBps，而節點之間透過兩條100 Gbps乙太網路連結，提供120 GBps可用頻寬。</p> <p>該GPU系統自5月來持續運作，研究人員配置Red Hat OpenShift容器平臺執行人工智慧負載，用於大型人工智慧模型的端到端訓練、微調和推理。研究人員提到，這是目前該產業中，第一個使用Kubernetes、PyTorch FSDP API和標準乙太網路，高效率實現高達110億個參數模型的用例，而這將有助於其他組織以更具成本效益的方式，在雲端訓練大型模型。</p> </div></div></div>
2022/11/21 09:11作者李建興https://www.ithome.com.tw/news/154297
以數據為核心，超商會員經營3大關鍵新做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣超商上萬家，一年來客次數超過32億人次，產生的數據規模非常可觀。</p> <p>三大超商很早就開始挖掘龐大數據的價值，分析會員大數據來幫助行銷，不過，傳統分析做法的顆粒度較粗，通常聚焦整體消費者的消費趨勢，來進行各種分眾行銷，但是，難以分辨不同消費者各自對不同產品的需求，因此無法進一步做到更個人化的行銷。</p> <p>但這幾年超商會員行銷的做法不一樣了，為了更精準的行銷，超商開始聚焦在個人等級的會員數據，例如消費喜好、消費頻率、來店時間以及支付方法等，從不同角度去剖析每一個會員。超商更開始嘗試拓展數據蒐集範圍到其他通路，來了解會員更全面的消費需求。</p> <p>到了2022年，三大超商各自展開會員經營策略的大調整，雖然發展策略和擅長各有不同，但是可以歸納出3種以會員數據為核心的會員經營做法，是臺灣超商今年會員經營戰略的3大重要基礎。</p> <p><span style="font-size:28px;"><strong>做法1：利用App連結OMO零售資料及服務</strong></span></p> <p>為自己品牌推出App的做法早已被服務和零售業者廣泛採用。不過超商App的優勢是，客人消費頻率高，且服務和商品多元，有更多機會紀錄會員行為和習慣。因此，App在超商會員經營戰略中，扮演著非常關鍵的角色。</p> <p>3到5年前，超商經營App的策略以衝刺開啟率為主，希望透過提供方便的功能，讓消費者願意打開App。常見功能包括集點、促銷，以及跨店咖啡寄杯等。提升App開啟率，不僅代表會員黏著度提升，也能讓App其他功能及行銷內容曝光。至今，超商仍不斷在App功能上推陳出新，不過這些新功能不只為了衝高開啟率，還有了更多元、更深度的戰略意義。</p> <p>其中一個重要戰略意義是蒐集會員數據，來分析他們喜好、需求及習慣。隨著超商數據分析能力增加，新功能還會力求涵蓋會員生活不同面向，以進一步分析會員。例如全家內部便定義會員點數、App記帳本、交易資料以及支付工具為4大會員數據蒐集管道。這4種資料中，有3種是非App蒐集不可，說明App對超商數據蒐集的重要性。</p> <p>不只消費相關的數據，超商還會蒐集App功能使用狀況，從功能整體熱門度、單人使用頻率，到更細緻的使用時段、停留時間、子功能使用情況分析，都可以用來優化App體驗及行銷內容。</p> <p>過去，每個會員打開App都會看到同樣內容及介面，也會收到相同行銷推播訊息。為了提供更個人化的體驗，超商曾經嘗試提供面向不同分眾的介面模板，或讓會員自訂常用功能。不過，隨著超商採用更成熟的數據分析跟行銷科技，未來還能提供更自動化、更個人化的行銷及會員體驗。一個例子是，萊爾富對一群平均客單價150元的會員，發出滿200折50的優惠。他們發現最後有高達30%會員使用此折價券，效率遠高於一般行銷活動。</p> <p>會員點數是超商App中最核心、使用率最高的功能。從點數功能發展歷程，也能觀察出超商開始用App蒐集數據的意圖。最原始的App點數功能只是數位集點卡，將活動點數貼紙數位化，用來兌換紀念商品。後來，超商開始延長點數期限，並增加可兌換商品來增加累積點數誘因，並觸及更廣的客群。近兩年，超商不只要增加點數功能使用率，還要進一步拓展點數在超商以外的使用場域及情境，來分析會員更多消費需求。如今，點數已經是App開啟誘因、跨通路會員數據蒐集點及行銷工具。</p> <p><span style="font-size:28px;"><strong>做法2：利用支付工具蒐集跨通路消費數據</strong></span></p> <p>長年研究數據與決策分析的政治大學資訊管理學系教授莊皓鈞指出，超商商品、服務、甚至是點數跨通路用途，種類終究有限，就算是頻繁在超商及會員點數生態系消費的活躍會員，仍無法留下足夠紀錄，反映出該會員所有消費需求。近年開始熱門的支付工具，則能蒐集更完整的跨通路消費紀錄。</p> <p>跨通路點數用途通常是兌換商品或折抵消費，超商只能知道會員在哪裡使用、以及喜歡哪些兌換商品，可獲得的數據有限。相對來說，跨通路支付工具可以直接獲得消費者於其他通路消費的完整消費明細，使超商能更全面分析會員需求。莊皓鈞直言，「超商推動自家支付工具，是數據蒐集的Game Changer。」</p> <p>現在，3大超商都有經營自己的支付工具，統一超和全家的支付工具能在自家通路外消費，因此兩家超商積極拓展支付工具可用通路，以求紀錄更完整的消費者購物需求。同時，連結了App其他功能，並在會員使用支付工具時提供點數回饋，來吸引會員使用支付工具。</p> <p>萊爾富支付工具則只能用於萊爾富店面消費。不過，儘管還無法跨通路消費，萊爾富還是從支付工具使用數據中看到了值得參考的發現。他們發現，使用自家支付工具的會員，客單價明顯較高。萊爾富數位商務處處長葉育堅說，支付工具前置設定較多，形成一定使用門檻。不過進入門檻高，讓支付工具使用者成了品牌忠誠度及活躍度的一個標竿，「所以如果會員是VIP，那支付工具使用者就是VVIP。」因此就算還無法紀錄外部通路消費紀錄，萊爾富還是計畫透過各式活動來積極推廣支付工具。</p> <p><span style="font-size:28px;"><strong>做法3：利用POS機作為數據處理終端</strong></span></p> <p>超商的銷售時點情報系統機（POS機）一直以來都是蒐集進銷存資訊的端點。不過，現代POS機在數據驅動會員經營的戰爭中，被賦予了新意義。轉變關鍵是，計算能力及超商會員服務數量雙雙提升，POS機開始有能力能蒐集、分析許多過去無法利用的數據，並將分析結果化為個人化會員體驗的端點。</p> <p>過去，超商POS機上有「客層紀錄按鈕」，店員會依據消費者外貌，紀錄消費者性別跟大概年齡，用作後續銷售紀錄分析。不過，全家數位科技暨企劃部部長陳盈州說，單憑外貌難以準確猜測出年齡，且店員通常不會認真紀錄客層，只是為了打開收銀機而隨便按一個順手的按鈕。</p> <p>近5年，超商開始經營數位會員後，便會在消費者結帳時詢問會員身分，直接連結起會員資料及銷售紀錄，這才有了更準確的會員消費紀錄。不過，就算POS機辨認出當前消費者是會員，當時仍無法於結帳當下提供個人化體驗。</p> <p>今年，3大超商不約而同的更新POS機，會員個人化服務也是新POS機重點支援項目。例如，全家計畫開發的一個功能是，在辨認會員身分後，自動提醒包裹到店，或推薦根據個人偏好推薦點數兌換商品等。由於超商POS機已經串接會員功能系統及行銷系統，未來，超商還可能開發更多會員個人化行銷功能，例如依據結帳會員偏好決定POS機廣告顯示內容。</p> <p>另一項可以開發的個人化行銷功能是，結帳時自動追加及交叉銷售。莊皓鈞說，追加和交叉銷售相當仰賴店員行銷功力，超商店員又流動率高、培訓周期短，因此一直難以成為超商標準化流程。不過，若是讓POS機能像電商平臺一樣，透過大數據分析可以推銷的商品，有可能降低推銷難度門檻。</p> <p>POS機現有的兩項功能，也可以加入會員數據成為個人化行銷功能。第一個是優惠組合計算功能，根據消費者所購商品對應的促銷活動，計算出多種可能組合方式，甚至能追加推薦其他商品，形成更優惠組合。另一個是進貨訂單推薦功能，可以依據店內鄰近環境及進銷存數據等資訊，預測出店鋪未來銷售情況，來提供最佳進貨建議。</p> <p>這兩項功能所用資料，若再加入會員數據一併分析，便能成為結帳時追加銷售的依據。例如，計算優惠組合時，將會員常購買品項納入優先考量，甚至進一步計算訂貨時用到的進銷存、天氣及時間數據，決定推薦商品及促銷幅度。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154216
【全家會員新戰略】率先布局家庭式採購需求，更用會員數據開發高毛利業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【全家會員新戰略】</span></span><br /> <span style="color:#3399ff;">●會員經營焦點從個人擴大到家庭<br /> ●推出家庭訂閱制及可轉贈票券平臺<br /> ●推出支付工具蒐集跨通路消費數據</span></strong></span></p> <p>今年，全家根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。全家會員經營戰略發展進程中，早已內化了活躍會員這一概念，因此今年已經脫離單純累積活躍會員的階段，進一步發展更多活躍會員經營方法。</p> <p><span style="font-size:28px;"><strong>超商會員數據經營起步最早，6年前就提出可追蹤會員概念</strong></span></p> <p>2016年，全家手握200萬會員，不過，為了強化會員消費行為追蹤及數位經營能力，全家決定將整個會員制度打掉重練，改用以App為中心的會員制度。全家是超商中最早提出「可追蹤會員」概念的超商，透過全面數位化會員功能，並不斷推出具高度吸引力的新功能讓會員累積使用數據，在數位會員經營賽道上領跑了好幾年。數年間，靠著領先統一超多年的咖啡跨店寄杯功能，以及開放點數兌換實用的民生用品，全家會員人數穩定增長，2019年率先達到千萬人等級。</p> <p>從公開資料中，可以窺見全家達到千萬會員後，透過數據經營會員的計畫進程。2019年，全家法說會資料中提到，自家CRM精細到以單店作為為經營單位。2020年，開始計畫進一步蒐集、分析會員數據，到了2021年更導入AI行銷科技解決方案，進行線上線下會員數據分析及自動化行銷，並延續單店會員經營方針，計畫進行單店活躍會員經營及單店單品建議研究。全家也揭露數位行銷策略擬定的4大支柱，是廠商行銷主檔、商品行銷主檔、單店行銷主檔以及會員數據，將供應方、總公司及分店的行銷需求，與購買方需求媒合。</p> <p>2022年，全家首次提及養成內部數據團隊計畫，要內化數據驅動到公司核心政策，主要職責也包括自行開發自動化行銷及AI/ML演算法模型。全家有信心落實這些做法，就是因為已經掌握這些措施背後不可或缺的大量會員數據。</p> <p><span style="font-size:28px;"><strong>推出家庭訂閱制及票券平臺，增加數據分析面向</strong></span></p> <p>全家App上五花八門的各項行銷模組是會員數據的重要來源，包含折價券、活動集章、成就積分系統、小遊戲、珍食等各類地圖，全家利用歷史數據分析結果推送給潛在目標受眾，再記錄發送數、兌換率、再購率等數據，用於未來行銷優化。</p> <p>今年推出的家庭訂閱制功能，就是建立在過往數據分析結果的基礎上。經過會員App使用數據分析，全家發現將購買商品轉贈給其他會員的功能，一年累計高達上億次使用筆數，且轉贈對象重覆性高。確認消費者需求後，全家才順勢推出家庭訂閱制行銷模式，鼓勵會員與親友帳號連接，以家庭為單位一次購買大量商品。</p> <p>有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓評論，家庭訂閱制提供了會員數據新面向，讓全家能以家庭或親友團為單位觀察會員需求，也能讓活躍會員帶動其他人使用會員App功能，是一種高效率獲客方法。他說明，家庭訂閱制會提供活躍會員誘因，主動幫全家過濾出潛在客群，全家便能積極將這些已經有需求的潛在客群轉為常客。他也推測這個商業模式可能對IT帶來的技術挑戰，包括加入新資料分類方法、建立消費需求歸因機制以及設計以家庭需求為單位的行銷模式等。</p> <p>今年另一項瞄準轉贈需求的做法是推出票券平臺，販售餐旅及生活類品牌的票券。今年年底，全家與票券廠商合作，一口氣推出了數十家異業品牌票券。特別的是，這些票券中有許多是批量販售且折扣幅度較有限，甚至有原價商品票券。不過全家表示，票券平臺主打的是提供各種品牌商品的線上通路，與一般主打優惠程度的票券功能不同，主要目的是讓會員能直接透過App購買多種品牌的異業商品，並相互轉贈。</p> <p><span style="font-size:28px;"><strong>推動能個人化行銷的智慧聯播網，將會員數據變現為廣告收入</strong></span></p> <p>全家變現會員數據價值的手法，除了嘗試提升會員消費貢獻，還有另一種做法，脫離了超商原本薄利多銷的利潤結構。那就是把以自家會員數據為籌碼，將自家零售媒體聯播網（RMN）的可精準化行銷廣告版位開放給供應商競標。</p> <p>全家RMN開放了自家數位廣告版位，包括店面內電子看板、數位自媒體、會員App、線上商城等，以及多元溝通管道，例如電子郵件、手機簡訊、Line官方帳號等，給廠商置入廣告。在可以呈現差別化內容的通路，更能根據會員樣貌、品牌關聯、競品關聯、併買關聯等數據，進行自動化分眾行銷，並追蹤行銷成效，回饋給廠商。</p> <p>高端訓指出，傳統變現會員數據的方法是，將數據分析結果用於自家行銷活動。這種做法，變現會員價值的階段在於消費，行銷只是促成消費的手段。雖然確實會帶來會員消費營收，不過銷售商品需考量進貨成本及營業費用，因此利潤較低。從全家年報可以看到，歷年毛利率約36%，營業利益率則不到5%。</p> <p>不同於傳統做法，經營RMN則是把行銷行為本身作為商品，販賣給自家供應商，將會員變現為廣告利潤。與此同時，由於廣告商品多在自家通路販賣，超商仍然能獲得會員消費的營收。高端訓表示，「當年王品聯播網App的40人團隊，完全都由外部廣告及聯名卡抽成等合作收入自給自足」，推測這種商業模式為全家帶來相當可觀的商機。他也認為，用會員數據經營RMN，需要有大量會員數據、嫻熟的會員數據分析能力及自動化行銷技術，顯示出全家數位化會員經營模式已經相當成熟。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154217
【萊爾富會員新戰略】要靠策略聯盟突圍，累積活躍會員人數及跨通路數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【萊爾富會員新戰略】</span></span><br /> <span style="color:#3399ff;">●今年開始積極強化會員數據經營<br /> ●販售優惠票券吸引線下異業消費者<br /> ●結盟電商平臺累積線上通路數據</span></span></strong></p> <p>在超商雙雄相繼達標1,500萬名會員之際，今年萊爾富便利商店會員人數剛達到500萬人。作為規模第3大的超商，萊爾富會員經營起步較超商雙雄晚，但今年也要開始用數據驅動會員行銷。萊爾富數位商務處處長葉育堅認為，超商要做分眾行銷，理想中一個分眾要5萬人，才能兼顧精準度及規模，這也是萊爾富達到500萬會員才開始論及會員數位經營的原因。</p> <p>萊爾富數位會員經營戰略分成3部分，發行餐飲品牌聯合電子票券、發展電商平臺策略結盟、以及利用數據分析技術剖析會員消費行為，意圖從線下異業和線上異平臺同盟，獲取更多會員及會員數據來分析。</p> <p>萊爾富每家分店會員數超過3,200人，活躍會員比例近5成，與超商雙雄不相上下。因此，以門市為中心吸引消費者加入會員的作法，萊爾富和其他兩家超商一樣，終將受到地理距離限制而無法持續帶來新會員。但論總會員人數，萊爾富則只有兩家的三分之一。從臺灣總消費人口的角度來看，萊爾富似乎還有很多獲客空間。</p> <p>為了持續衝刺會員人數，萊爾富今年三大會員數位戰略中，就包含了線下獲客及線上兩種獲取會員的做法。</p> <p><span style="font-size:28px;"><strong>突破地理距離限制，嘗試吸納異業消費者成為會員</strong></span></p> <p>第一部分是在會員App長期販售異業優惠電子票券。這是透過線下異業來獲取會員的做法。比起在超商通路銷售限量聯名商品，來獲得短期促銷效果，萊爾富異業合作模式更要將消費者變成會員，來開發更多長期價值。</p> <p>葉育堅說，電子票券看似簡單，但仍有兩個最大的關鍵挑戰，是「利潤分配談判及系統即時串接。」</p> <p>首先是利潤分配問題。萊爾富並非大型票券平臺，行銷能力還沒受到市場肯定，再加上為了提供更高折扣來吸引消費者，優惠票券單價也不高。這些都會壓縮萊爾富商議利潤分配的空間。不過，萊爾富深知販售票券的最終目的不是為了賺抽成，而是要透過差異化服務，持續引導消費者成為會員並來店消費。因此，「若能提高廠商合作意願和消費者購買意願，萊爾富壓縮票券收益」葉育堅說。</p> <p>另一個挑戰是帳務系統必須即時同步。由於票券本身在萊爾富App系統，但使用場景在異業店面中，因此當消費者兌換票券時，雙方系統都要立即核銷票券，才能避免消費者重複使用票券或用完之後還能退貨，造成帳務混亂。這就需要萊爾富票券核銷系統與業者POS系統整合，技術不難，但萊爾富需要協調自家IT與POS系統商的時程，光是協調排程可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p><span style="font-size:28px;"><strong>進行電子商務策略結盟，洞察會員跨通路消費行為</strong></span></p> <p>雖然串接異業合作商家系統，有助於分析票券的行銷成效，還能窺見會員在合作商家的消費行為，不過線下異業合作主要以餐飲業為主，因此涵蓋的面向不算廣。相對來說，跟電商平臺形成策略聯盟，就更容易獲得大量且多面向的會員消費數據。</p> <p>今年，萊爾富與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。</p> <p>萊爾富與Line購物合作主要是希望藉由加入Line Points生態系，同時獲得新會員及會員網購數據。萊爾富提供Line Points回饋、限定優惠等誘因，嘗試將Line購物龐大的人流量導向實體門市。據萊爾富統計，Line購物不僅帶來大量新會員，還活化了40%非活躍會員，客單價更超過一般消費者3倍。當消費者用這些可追蹤的Line Points消費，Line還會將去識別化的消費數據洞察報告提供給萊爾富，結合萊爾富自身消費數據一同分析。</p> <p>另一方面，過去萊爾富就有與Cyberbiz平臺合作，時常推出物流免運服務，期待將人流導致線下店面，以增加消費機會。今年，萊爾富進一步利用Cyberbiz服務，推出線上購物商城，提供線下店面沒有的商品，來探索會員更多面向的消費需求。</p> <p><span style="font-size:28px;"><strong>開始貼標分析會員，擬定未來會員分級制度，強調非消費型服務</strong></span></p> <p>獲得了大量會員數據後，萊爾富會員數位經營的最後一招，是利用數據分析技術，透過貼標等方法將會員分群，進行精準行銷。儘管才剛開始進行會員數據分析，但已經發現不少洞察，值得作為行銷策略擬定參考。葉育堅舉例，購買漢堡票券的會員，在線下門市購買泡麵頻率相當高，因此可以針對這些會員，推出速食類商品的專屬優惠。他們還發現，84%會員總消費金額僅由最活躍的12%會員貢獻，因此未來決定推出會員分級制度，為高貢獻度會員規畫更優惠的促銷方案。</p> <p>葉育堅補充，萊爾富會員分級不只要考慮消費頻率及客單價等消費相關指標，更要納入其他非消費性服務的使用頻率，因為它們也能創造來店誘因。「尤其是代收服務，這是剛性需求。」</p> <p>萊爾富提供2,000種以上的代收種類，且根據經濟部統計，每個人一個月最多可以繳費到10種帳單，因此會員代收種類及頻率等數據夠多、夠廣，也可以用來分析，並用於優化行銷手法。例如代收後附贈的優惠券是一個葉育堅看到可以優化的行銷管道。他說，目前這些優惠券，都只是當下超商想促銷的商品，完全沒有考慮會員身分或喜好，若依照會員偏好決定推銷商品，有望大幅提升轉換率。未來，萊爾富打算從代收項目分出10種客群做行銷。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154219
【會員戰略大轉向，單一顧客貢獻度成決勝關鍵】3大超商會員數據大賽白熱化，顧客口袋占有率成新目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，臺灣3家分店破千超商的新戰略轉向，將為全臺灣線上線下零售業者的競合版圖帶來變動。這是因為，總計坐擁12,000家分店、3,500萬筆會員資料的零售王者，開始更積極將觸角伸進消費者更多面向的消費需求。</p> <p>2022年，統一超商、全家便利商店、萊爾富便利商店的會員人數紛紛達成重大里程碑。超商雙雄都超過1,500萬人，萊爾富則突破500萬人大關。這家3超商，平均一家分店的會員數約3,000人，其中約一半是近期有到店消費紀錄的活躍會員。</p> <p>萊爾富數位商務處處長葉育堅指出：「分店會員數達到這種規模後，以實體店面為中心招募會員的模式，無法繼續高速累積會員。」會員經營要往下走，超商必須另尋他法，3家超商不約而同都採取了相同的策略，就是深化數位經營，來增加單一會員的貢獻。</p> <p>就此，全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。這個戰略轉向，不僅會使業內更加激烈的互相搶奪消費需求，開發新市場以及形成各式異業策略聯盟的過程中，也將改變全臺灣線上線下零售業的競合關係。</p> <p>爭奪口袋占有率的關鍵是，用分析會員數據的結果，來驅動更精準、更個人化的行銷活動。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600-big-V2(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600(1).png" style="width: 589px;" /></a></p> <p><span style="font-size:28px;"><strong>會員數據經營賽開跑，誰贏在起跑點上？</strong></span></p> <p>今年，3家超商經營會員的戰略中，都脫離不了以數據為會員經營基礎。不只是宏觀的整體銷售數據──超商更要分析微觀的、深度的個人消費行為數據，來提升個別會員貢獻。因此，有近期消費數據的活躍會員，開始受到超商更高度重視。他們是超商提煉行銷和營運參考數據的來源，也是個人化行銷的對象，還能轉化為新會員磁鐵和廣告收入籌碼。</p> <p>將彼此視為頭號競爭者的超商雙雄之間，全家便利商店比統一超商更早開跑。全家搶先統一超推出會員點數數位化、紅利化，以及咖啡跨店寄杯等App功能，搭配以個別店面為單位的在地化會員經營，成為最早達標1,500萬名會員的超商。不只最早開始用數位化方法經營會員，他們也最早在公開資料中提及個人化數據分析策略。到了今年，全家已經要從個人級別的活躍會員數據分析，進階到更複雜的人際網絡級別數據分析。對會員數據的高掌握度，也讓他們能將會員數據變現為額外廣告收入。</p> <p>統一超商雖然起步較晚，但有著統一集團龐大規模撐腰，任何會員經營做法的效益都會被放大。例如2019年，統一超會員人數只有650萬人，但2020年整合集團其他通路會員資料後，人數直接突破千萬人大關。受益於龐大集團生態圈，統一超的會員優惠、點數折抵、數位支付等會員功能，這一年已經能在超過18個品牌間使用。統一超高速追趕全家進度，今年也加入了1,500萬會員人數的俱樂部，會員經營目標從累積總會員數，轉向提升活躍會員數，更訂下增幅60%的高成長目標，透露出大力推動會員數位經營的企圖心。</p> <p>超商界老三萊爾富便利商店規模不如超商雙雄，但超過1,500家分店的通路優勢，放眼零售業仍然不容小覷，連超市界龍頭全聯福利中心的1,117家分店都略少於萊爾富。因此萊爾富今年積極利用通路優勢，和線上線下異業結成策略聯盟，來拓展會員生態圈及跨通路消費數據來源，作為未來長期萃取會員價值的基礎。</p> <p>這場數位會員經營賽，3家超商的起跑點各不相同，但殊途同歸，都是要善用會員數據作為精準行銷及提供差異化服務的養分，來提升自家活躍會員的數量及貢獻。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154237
【統一超商會員新戰略】善用集團規模優勢，靠超大型生態圈擴大會員經營效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【統一超商會員新戰略】</span></span><br /> <span style="color:#3399ff;">●提升活躍會員比例成首要戰略<br /> ●用集團優勢放大會員經營效益<br /> ●將會員生態圈拓展到更多集團外品牌</span></span></strong></p> <p>今年年初，統一超商正式將會員經營目標從衝刺總會員人數，轉向增加活躍會員比例，今年要一口氣增加60%活躍會員，目標是1,400萬名（現已達1,500萬名）會員中，960萬人是近期有消費數據的活躍會員。這意味著，統一超會員經營戰略態度，已經不再只是提供大量功能讓會員自己選擇，而是從被動轉為主動，用數據分析鎖定會員需求，推出高使用率、高行銷價值的會員功能。</p> <p>達到此目標關鍵是，用會員生態圈內眾多消費情境，吸引消費者使用會員功能，再透過生態圈內品牌互相導流這些會員。</p> <p><span style="font-size:28px;"><strong>經營龐大會員生態圈，增加會員功能使用情境</strong></span></p> <p>統一超是統一集團內最大的通路，也是整個集團會員數據分析、行銷策略擬定及執行的主要負責單位。不過在會員經營上，統一超特別強調集團會員生態圈的概念。統一超會員生態圈橫跨統一集團數十個品牌，近年更開始向集團外拓展。</p> <p>統一集團旗下零售通路類別囊括百貨、超商、餐飲、超市、電商，若成功收購家樂福，還會包括量販。統一集團的龐大規模及跨通路特性，在近年統一超會員經營策略中扮演著重要角色。</p> <p>統一超有一支獨立於官方App的會員App。這與全家和萊爾富官方App就是會員App的做法不同。</p> <p>統一超會員App的名稱都是以生態圈點數Open Point命名，體現出統一超用跨品牌點數貫穿整個集團會員的策略。</p> <p>打開會員App首頁，便會看到大量統一集團各個品牌的促銷活動及熱銷商品資訊。進入點數兌換頁面，更會發現統一超的商品並未被特別凸顯，而是作為生態圈內眾多品牌的其中之一，低調融入其中。</p> <p>由於統一超會員生態圈龐大，且積極創造會員App使用情境，根據資策會今年調查，統一超會員App是2022年超商類App使用率第一名。</p> <p>此策略可以追溯到2019年，統一超開始逐步整合統一集團旗下18個通路的會員資料，使會員人數從650萬人大幅成長到1,200萬名，一口氣追上全家人數規模，也讓會員點數使用情境大幅擴增。</p> <p>統一超深知生態圈規模的重要性，因此將集團內品牌會員整合至一定程度後，更開始與集團外部品牌合作，構建龐大會員生態圈，推出多通路累積點數及消費折扣方案，讓會員能依據自身生活中各式消費需求，來選擇會員優惠使用情境。直到今年，統一超會員系統已經串聯50個以上的品牌，會員只要開啟一個App、用同一個會員帳號，就可以在這些品牌進行支付、點數累積及兌換折扣。</p> <p>不過，這個階段，統一超運用龐大生態圈優勢的做法仍相當被動，仰賴會員自發選擇符合自身需求的功能，而非超商以數據分析為基礎，主動對會員精準行銷。</p> <p><span style="font-size:28px;"><strong>無所不在的服務，也是無所不在的數據蒐集點</strong></span></p> <p>從法說會和年報等資料可以觀察到，進入2021年，統一超內部開始更加強調會員經營，並積極思考如何用數據驅動精準行銷，要主動推出與會員需求相關的產品及行銷方案，而非一味推出新服務後讓會員選擇。</p> <p>今年，為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，以期涵蓋更廣的會員使用情境，能加速累積跨通路會員數據。新措施包括將會員生態圈推至集團外的美廉社及國泰人壽等企業、推出咖啡及愛心捐款訂閱制、中獎發票智能兌獎以及點數折抵代收項目等功能。</p> <p>當統一超能分析消費者使用會員功能所產生的數據，用於產品及行銷設計的優化參考，建構龐大會員生態圈就有了新的戰略意義：不僅是為會員增加選擇，更為統一超增加會員行為數據蒐集點。政治大學資訊管理學系教授莊皓鈞也推測，收購有900萬名會員的家樂福後，就算會員系統無法立即整合，統一超也會盡快串聯支付、會員點數系統跟雙方會員資料，來進行更全面的會員數據分析。</p> <p>不只透過積極增加會員生態圈品牌，來拓展數據蒐集點跟涵蓋面向。統一超還有另一個增加超過1,700個數據蒐集點的方法。</p> <p>這個做法就是推出獨立於店面的機臺，包括號稱一坪一間迷你超商的各式智慧販賣機，以及可以回饋消費金或會員點數的資源回收機。這些機臺有與會員App功能串接的功能，例如咖啡跨店寄杯可以於智慧販賣機兌換。超商也會在會員購物或進行資源回收時提供點數回饋，作為消費者表明會員身分的誘因，進而蒐集會員行為數據。目前智慧販賣機已經有4種機型、鋪機超過1,500臺，資源回收機則預計明年增設至200臺，成為實體店面以外的龐大線下數據蒐集網絡。</p> <p>從被動提供大量選擇，到主動根據數據分析結果推動會員經營策略，這個思維轉變，今年逐漸落實在更多統一超做法中。例如，統一超內部分析發現，會員App較常開啟的服務包括行動支付、點數兌換及折抵、活動集點卡、咖啡跨店寄杯、愛心捐款捐點等功能，統一超今年推出的咖啡及捐款訂閱制，便是以此為依據。年營收150億的咖啡產品線City Cafe，累積了大量相關消費數據，因此統一超今年也計畫導入精準化行銷模組，來持續增加此產品線的會員兌換率跟業績。統一超推動的會員經營政策，已經開始顯露成效，至2022年第3季，會員貢獻金額已經較去年同期成長超過2成。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154245
【專家意見：政治大學資管系教授莊皓鈞】超商可更用個人化數據行銷，減少任何不必要的降價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商固然樂見透過促銷增加銷量，不過透過降價吸引消費者購買，利潤也會相應降低。長年研究零售數據分析的政治大學資訊管理學系教授莊皓鈞觀察，「零售界的新觀念是，任何不必要的降價都是一種浪費。」</p> <p>「零售業現在要提升行銷精細程度，更大幅減少無謂的降價。」莊皓鈞進一步解釋，行銷技術從無差異化行銷發展到分眾行銷，現在已經再進階到個人化行銷，超商能更精細地根據消費者需求，給出最合適的折扣方案。不過，「要實現個人化行銷，首先便要提升會員需求數據的掌握程度。」</p> <p>傳統上，零售業訂價時，大多用整體銷售量數據來分析，一方面要找出需要促銷的商品，但又得兼顧折扣成本不能造成虧損。莊皓鈞說，這種方法得出的行銷方案無法區分消費者，容易造成不必要的浪費。例如，當所有人買飲料都是第2件8折時，對於願意第2瓶9折購買的人而言，這樣的折扣就會造成浪費。</p> <p>「若從個人層級分析數據，便能開始針對不同族群或個人，給出不同程度的降價。」莊皓鈞指出。目前零售業界較常使用的差異化訂價策略是分眾行銷，將消費者依照不同特徵分為不同群體，祭出專屬群體的行銷方案。莊皓鈞說，分眾越精細，就越能達到個人等級的訂價及行銷，更大程度的避免過度降價。</p> <p>莊皓鈞認為，要從個人等級避免過度降價，最理想的做法是，排除原價就會購買的消費者，再分析其他消費者分別需要給出多少折扣才會買單，並對每個人給出最剛好的訂價。以美國零售巨頭Amazon為例，每一個會員在電商頁面上看到的商品推薦跟訂價都是量身打造的結果。他說，當臺灣超商會員數據分析及個人化行銷能力再進步，也能做到。</p> <p>不同於線上電商，實體超商如何做到個人化訂價及優惠？莊皓鈞說，個人化訂價原理都相同，都要在後端處理龐大數據的分析。雖然電商容易在網頁前端顯示個人化訂價及行銷，但超商透過App、POS機等終端，一樣可以做到會員身分辨認及個人化行銷，例如在App上推播個人化行銷訊息。</p> <p>莊皓鈞也指出，線下個人化訂價技術上可行，不過，比線上更容易因消費者間互相比較價格而衍生不滿，因此實務上需要數據分析團隊和行銷團隊合作。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154248
【專家意見：高科大行銷與流通管理系教授吳師豪】超商得更善用顧客現場消費行為數據，及時抓住行銷機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年超商紛紛升級了作為店內運算核心的超商POS機，提升了單店邊緣運算能力。有多年零售業產學界經驗的高雄科技大學行銷與流通管理系教授吳師豪說，當店面有更強的運算能力，就能有意識的蒐集銷售現場數據，來及時行銷，抓住稍縱即逝的行銷機會。</p> <p>消費者在線上瀏覽商品頁面的行為能反映出當下興趣及需求，因此電商多會分析這些瀏覽行為，用於調整行銷內容。吳師豪指出，超商也能利用邊緣運算能力，在實體店面蒐集消費者停留、徘徊或查看商品的行為，並及時推播行銷訊息，來捕捉消費者一閃而過的興趣或需求。</p> <p>他舉例，現在已經有一些零售業者會利用Beacon微定位技術，對經過店面附近的會員推送行銷訊息，嘗試將會員吸引進店內。若感應到會員在店內一處停留較久，店家便會推測會員對此處商品有興趣但仍在猶豫中，並推送該區域商品的促銷優惠給會員。</p> <p>吳師豪說，這些消費者行為資訊一直都存在，可以對行銷帶來很大的幫助，但過去超商沒有善用這些數據。他認為，有了更強的POS機，超商便能開始蒐集消費者位置資訊、店內會員操作App行為、影像辨識消費者店內行為等數據，即時應用於店內行銷。</p> <p>另一項能用於即時調整行銷方案的數據是單店近期銷售數據。目前，超商POS機已開始利用銷售數據推薦進貨品項及數量的功能。吳師豪說，進貨是銷售的事前準備，難以考量銷售現場變數，因此銷售當下的行銷策略，更應該利用銷售數據分析來提升應變能力，尤其是針對時效性高的商品行銷。</p> <p>以超商即期鮮食為例，目前的行銷策略是，到了晚上固定時間便開始打折促銷。吳師豪說，這個策略難以應對銷售現場狀況。更好的做法是，考量當天銷售情況，甚至是周邊環境資訊，來即時決定恰當的行銷方案。例如，若有些品項近日熱銷，就不需要打折，或是減少折扣幅度，甚至當超商發現當天下雨，來店人數較少，可以考慮提早打折，根據現場情況最大化行銷效益。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154249
【專家意見：亞太行銷數位轉型聯盟協會理事長高端訓】改用商品消費頻率分析個人化需求周期，更適時促銷維持會員活躍度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商為了分析會員消費數據，將活躍會員定義為有近期消費紀錄的會員，這是從來店頻率來定義活躍度。不過，有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓說，超商只從來店頻率來看會員活躍度不夠精細。要主動維持會員活躍程度，應該以商品消費頻率為單位，依照個人對不同商品的需求周期來行銷，以牢牢抓緊會員每一種需求。</p> <p>高端訓將會員活躍度依照消費頻率及產品需求周期分為3種狀態：活躍、預備冬眠跟冬眠。活躍會員每輪需求周期都會購買商品，若超過1個需求周期還沒消費，就進入預備冬眠狀態，超過3個需求周期則進入冬眠狀態。他認為，會員一旦進入冬眠狀態便很難喚醒，因此超商要在會員進入休眠狀態時有所警覺，盡早對會員進行相對應的促銷，喚醒會員對商品需求。</p> <p>依照會員消費周期來推銷的概念，類似於有些零售業者會幫消費者整理常買或愛買清單，在每次消費時提醒消費者，以避免流失消費者固定消費需求。不過採用這種做法的零售業者，會員消費模式與超商有很大的差別。這種清單通常針對定期大量採購需求，或容易在同一類型商品中形成固定品味的需求。兩者共通點是，每次訂單內容都很相似，因此業者只要觀察每次訂單重複品項，就能大致掌握消費者偏好。</p> <p>高端訓指出，超商進行周期性推銷的考量則更複雜，因為商品種類繁多且消費頻率高，消費者對不同種類的商品會有不同長度的需求周期，這些周期起訖甚至會橫跨數次消費間隔，導致每天訂單內容都不同。若會員每天都有消費紀錄，從消費頻率的角度來看，活躍度並未降低，但若從個別商品的角度來看，可能會發現特定商品回購率逐漸降低，需要透過促銷來嘗試喚醒消費需求。</p> <p>要辨認出這類警訊，高端訓建議，超商必須以個別產品為單位，分析大量歷史訂單，才能辨認出會員對每一項商品是否有固定需求周期，以及這些周期的長度，進而在會員購買間隔過長時，即時促銷以挽留消費意願。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154251
世界級超商再進化的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的超商世界有名！不只是門市密度全球第二，僅次於南韓，但在超商服務項目的種類，包山包海，遠勝其他各國的超商。幾乎每一個到臺灣長住的外國人，返國後，最不習慣的一點就是，生活中少了一個無所不服務的超商。臺灣超商是世界級有名的產業。</p> <p>這個高度成熟發展的超商，總是可以找到服務創新的出口。尤其這幾年，三大超商紛紛展開數位轉型，投入超商科技化的研發，引進機器人手臂、無人結帳櫃檯、臉部辨識進行更多服務實驗，甚至發展出了販賣機超商、行動超商等，商業模式也從店面零售增加了物流、金流服務，成為小店家的出貨、進貨、收款的櫃檯等。</p> <p>會員App成了這幾年超商OMO戰略的發展重心，不只是成為超商2樓虛擬賣場，App點數促銷，成了提高會員到店黏著度的重要媒介，也讓超商累積更多顧客消費數據，甚至更多不同類型通路的消費行為紀錄，成為日後個人化行銷的重要參考。而超商App結合支付工具，則成了超商擴大會員生態圈的新策略，透過金流服務，將超商會員生態圈延伸到餐飲、百貨、生活、藥妝等不同類型產業的通路。</p> <p>2022年，兩大超商龍頭相繼展開了新一代POS機的大升級，淘汰用了10年的POS，改成多功能，多結帳模式的新世代POS機。</p> <p>不論是，統一超商或全家，都開始支援雙模式結帳，可由店員結帳，也可切換成顧客自助結帳，讓櫃臺動態調整更有彈性。不只如此，也大幅升級螢幕和POS機硬體，甚至可以在POS機進行邊緣AI運算，未來將有能力依據門市現場和顧客屬性，提供每一個人都不一樣的專屬精準行銷，將POS變成面對顧客的新OMO數位通路。</p> <p>用App發展OMO戰略、整合支付生態圈、發展新世代POS，這些策略都為了因應日益白熱化的超商會員大戰。尤其，今年開始，三大超商的會員經營戰略，不約而同都展開了大改變。</p> <p>最先達成1,500萬名會員的全家便利商店，很早就善用數位化方式來經營會員，率先將超商會員點數數位化、紅利化，也很早就開始善用會員數據來經營，今年更進一步，以個人為主的數據戰略，進階到更複雜的人際網絡，以家庭為單位來分析和運用數據，也開始建立廣告聯播網，提供程序化廣告服務，將會員紅利變現。</p> <p>統一超商的會員經營雖然起步較慢，但善用自家統一集團的優勢，在2020年整合集團各通路會籍資料後，以點數App為核心，串連了18個品牌的會員生態圈，帶動會員規模快速成長，今年會員數也突破了1,500萬人。統一超今年也改變戰略，不再追求會員人數，轉而聚焦活躍會員人數的提升，訂下今年要成長60%的高目標。</p> <p>分店數平列第三的萊爾富今年也開始聚焦會員大數據運用，今年新戰略要利用上千家通路優勢，和更多線上、線下異業結盟，一方面發展生態圈，也累積更多跨通路的消費數據。</p> <p>超商營運科技化，到超商會員經營數據化，世界級的臺灣超商產業，正展開全新一波的進化。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E5%95%86">超商</a></div><div class="field-item odd"><a href="/tags/%E6%9C%8D%E5%8B%99%E5%89%B5%E6%96%B0">服務創新</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/omo">OMO</a></div><div class="field-item even"><a href="/tags/%E6%9C%83%E5%93%A1%E7%B6%93%E7%87%9F">會員經營</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E6%93%9A">數據</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E9%8A%B7">行銷</a></div></div></div>
2022/11/21 00:00作者王宏仁https://www.ithome.com.tw/voice/154286
3大超商會員戰略大轉變
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3,500萬名超商會員大戰進入新階段，從擴大會員數，轉為瞄準會員口袋深度，統一超集團生態優勢繼續發威，全家率先經營家庭式會員，萊爾富則主攻異業策略聯盟</p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/article/154287
【資安日報】2022年11月18日，勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blogs.blackberry.com/en/2022/11/arcrypter-ransomware-expands-its-operations-from-latin-america-to-the-world"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png" style="width: 300px; height: 62px; float: right;" /></a>IT業者BlackBerry的威脅研究團隊指出，在今年8月與10月，鎖定智利政府、哥倫比亞國家食品暨藥物監督研究所Invima發動攻擊的勒索軟體駭客，很可能是同一組人馬，並將他們所使用的勒索軟體命名為ARCrypter。這個駭客組織當時的目標主要是拉丁美洲，但研究人員指出，如今駭客也攻擊中國、加拿大等其他國家。<a href="https://www.bleepingcomputer.com/news/security/previously-unidentified-arcrypter-ransomware-expands-worldwide/">資安新聞網站Bleeping Computer也觀察到類似狀況</a>，並發現有德國、美國、法國的受害組織。</p> <p>而對於攻擊的途徑，BlackBerry指出駭客疑似透過匿名檔案共享網站AnonFiles，散布win.exe及win.zip，一旦攻擊者下載到受害電腦並搭配特定參數與密碼來執行相關的壓縮與解壓縮動作，電腦將會感染ARCrypter，大部分檔案也會遭到加密。與其他勒索軟體相同的是，ARCrypter也會刪除磁碟區陰影複製（Volume Shadow Copy）的備份資料，但駭客為了持續在受害環境運作，他們不僅利用登錄檔在電腦開機就啟動勒索軟體，還會保持所有網路磁碟機為連線狀態。</p> <h3><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-scam-abusing-holiday-sentiment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歲末購物季來臨，美國、加拿大消費者遭到駭客鎖定，冒用當地知名品牌發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg" style="width: 300px; float: right;" /></a>雲端網路與資安服務業者Akamai的威脅情報團隊揭露從今年9月出現的釣魚攻擊，駭客鎖定在網路上找尋假日促銷活動的購物者，他們佯稱是知名的零售商或是產品製造者，宣稱購物者只要在5分鐘之內提供信用卡資料並支付運費，或是填寫簡單的問卷，就有機會獲得獎品。然而一旦購物者上當，他們的信用卡資料就會被駭客用於盜刷。研究人員指出，有89%存取釣魚網站的用戶為美國人及加拿大人。</p> <p>值得留意的是，這起攻擊行動裡，駭客的釣魚網站不只內容極為完整，甚至有收到禮物的用戶「評價」，駭客亦搭配了多種手法來規避偵測──這包含了濫用短網址服務、合法雲端服務（如Google Cloud、AWS主機服務、Azure blob儲存空間等），來降低受害者的戒心。</p> <p>此外，研究人員還發現了過往未曾出現的手法。例如，駭客在重新導向使用者的過程裡，濫用了統ㄧ資源識別碼片段識別符號（URI fragment identifier），以及針對每個遭到鎖定的目標產生專屬URL，而能夠躲過各式資安系統的偵測。</p> <h3><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織WASP鎖定Python開發者而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx指出，在本月初由<a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack">Phylum</a>、<a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/">Check Point</a>揭露兩起惡意PyPI套件的攻擊行動，雖然手法存在顯著的差異，但攻擊者其實都是名為WASP的駭客組織，此組織專門利用竊密軟體WASP Stealer（編按：Phylum將其稱為W4SP Stealer），盜走開發者的Discord帳密、加密貨幣錢包、信用卡資料，並透過特定的Discord webhook網址將偷到的資料傳給駭客。</p> <p>根據研究人員的分析，攻擊者使用的是多型態（polymorphic）的惡意軟體，每次部署的酬載都會改變；此外他們也透過圖像隱碼術（steganography）來埋藏惡意程式碼，還會製造假的GitHub評價，來讓開發者上當。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/new-rapperbot-campaign-ddos-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遊戲伺服器遭殭屍網路RapperBot鎖定，被用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1668464186293.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1668464186293.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露殭屍網路RapperBot近期的攻擊行動，他們發現此殭屍網路於10月上旬出現新的變種病毒，駭客鎖定《俠盜獵車手：聖安地列斯》多人連線遊戲（Grand Theft Auto: San Andreas Multiplayer）的伺服器而來，目的是要將其用於DDoS攻擊。</p> <p>研究人員指出，此殭屍網路病毒透過Telnet連線目標裝置，並採用內建的密碼本，嘗試暴力破解目標設備，不像過往採用SSH連線，也並非透過C2取得相關帳密資料；根據他們的分析，該病毒針對Arm、MIPS、PowerPC、Sparc架構的電腦而來，假如偵測到在Intel處理器的電腦上，就會停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.rapid7.com/blog/post/2022/11/16/cve-2022-41622-and-cve-2022-41800-fixed-f5-big-ip-and-icontrol-rest-vulnerabilities-and-exposures/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補BIG-IP、BIG-IQ的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7發現F5旗下BIG-IP、BIG-IQ系統的重大漏洞<a href="https://support.f5.com/csp/article/K94221585">CVE-2022-41622</a>、<a href="https://support.f5.com/csp/article/K13325942">CVE-2022-41800</a>，分別存在於iControl SOAP、iControl REST元件，前者可被用於跨網站偽造請求（CSRF）攻擊，且攻擊者無需通過身分驗證；後者則是攻擊者通過身分驗證並取得管理員權限後，可繞過設備模式（Appliance mode）的限制，濫用未公開的iControl REST端點。</p> <p>這兩個漏洞的CVSS風險層級為8.8分及8.7分，但研究人員認為影響有限，因為最嚴重的CVE-2022-41622需要多種條件搭配，攻擊者才能觸發漏洞，而F5表示，一旦這些漏洞被成功利用，後果將會相當嚴重。F5獲報後，近日發布了資安通告與修補程式。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-kerberos-auth-issues-in-emergency-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟緊急修補Windows的Kerberos登入問題</span></strong></a></h3> <p>11月17日，微軟發布例外更新（OOB），目的是針對網域控制器（DC）在部署本月例行修補（Patch Tuesday）的更新軟體後，可能會衍生Kerberos認證問題，進行解決。</p> <p>這項問題有可能影響所有的Kerberos認證，網域群組的受管理服務帳號（gMSA）將無法進行身分驗證，遠端桌面連結也會失效，亦導致工作站電腦無法存取共用檔案，此外，需要網域用戶身分驗證的列印工作亦無法執行。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-phishing-abuses-windows-control-panel-exe-to-infect-devices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows控制臺主程式感染受害電腦</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-321a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已有1,300個組織遭勒索軟體Hive加密檔案</span></span></strong></a></p> <p><a href="https://maybuys.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">海外購物代運業者美買國際網站故障，疑為前技術人員破壞所致</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/misconfigured-server-exposed-phi-600000-inmates-a-20482?"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保險業者伺服器配置不當，曝露60萬囚犯個資</span></span></strong></a></p> <p><a href="https://www.bloomberg.com/news/articles/2022-11-15/fbi-is-extremely-concerned-about-future-tiktok-deal-christopher-wray-says"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI指控中國大規模竊取商業機密與個資，尤以TikTok最讓人感到威脅</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android版DuckDuckGo瀏覽器新增程式追蹤保護功能</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-107-patches-high-impact-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla基金會發布Firefox 107，修補19個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> </div></div></div>
2022/11/18 17:19作者周峻佑https://www.ithome.com.tw/news/154295