iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2023年1月4日，蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蠕蟲程式Raspberry Robin的攻擊行動在去年出現數起，由於此惡意軟體行蹤相當隱密，<a href="https://www.ithome.com.tw/news/150805#raspberry-robin-qnap">駭客甚至濫用威聯通（QNAP）的設備來架設基礎設施</a>，而引起研究人員高度關注。而最近的攻擊行動中，研究人員發現駭客採用更為隱蔽的手法，採用了過往未曾出現的反分析機制。</p> <p>駭客散布木馬程式有新的招式！他們在釣魚郵件夾帶的惡意Excel檔案裡，輸入了從銀行偷到的近42萬筆資料，疑似是為了避免讓受害者懷疑而這麼做。</p> <p>勒索軟體LockBit的攻擊事故近期變得非常頻繁，其中，洛杉磯市房屋管理局（HACLA）遭到攻擊的情況相當值得留意，因為這不只導致該政府機構的財務資料外洩，也波及向該單位尋求協助的民眾。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.securityjoes.com/post/raspberry-robin-detected-itw-targeting-insurance-financial-institutes-in-europe" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/e17082_0317d407e7f741b8a2f2f988bc3e348e_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e17082_0317d407e7f741b8a2f2f988bc3e348e_mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes揭露近期蠕蟲程式Raspberry Robin的攻擊活動，駭客主要針對使用西班牙語與葡萄牙語的組織而來，研究人員觀察到歐洲的金融和保險業者成為目標，在其中一起攻擊行動裡，他們調查出駭客使用7-Zip檔案來散布惡意MSI安裝檔，透過誘使用戶下載安裝，以植入多種攻擊模組；另一起攻擊行動中，受害者是從詐欺廣告網域下載了存放在Discord伺服器的ZIP檔案，內有JavaScript程式碼，執行後會於電腦植入惡意軟體下載器。</p> <p>相較於之前此蠕蟲程式的攻擊行動，研究人員指出，這次駭客收集比過往更多的受害電腦資料，並在下載器加入新的反分析機制，此外，駭客也透過RC4編碼加密竊得的受害電腦資料。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/01/03/bitrat-now-sharing-sensitive-bank-data-as-a-lure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用竊得的銀行資料來製作惡意Excel檔案，藉此散布木馬程式BitRAT</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BitRAT-Fig_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BitRAT-Fig_1.png" style="width: 300px; float: right;" /></a>資安業者Qualys揭露木馬程式BitRAT最近一波攻擊行動，研究人員在調查該木馬程式的網路釣魚攻擊的過程中，發現駭客使用包含惡意的Excel檔案，開啟後會濫用電腦上的WinHTTP程式庫，從GitHub下載BitRAT惡意酬載，並將啟動器複製到Windows的啟動資料夾來維持在受害電腦上運作。</p> <p>特別的是，他們還比對該惡意Excel檔案的表單內容，查出資料是來自一家哥倫比亞的銀行，進而發現該銀行資料外洩，駭客取得418,777筆客戶資料，包含了客戶姓名、電話號碼、電子郵件信箱、住址，薪資、付款記錄，以及哥倫比亞身分證字號（Cedula）。研究人員指出，駭客疑利用SQLmap找尋SQL注入漏洞得逞。</p> <h3><a href="https://techcrunch.com/2023/01/03/hackers-claims-ransomware-attack-on-los-angeles-housing-authority/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">洛杉磯市房屋管理局傳出遭到勒索軟體LockBit攻擊</span></strong></a></h3> <p>根據科技新聞網站TechCrunch的報導，勒索軟體駭客LockBit於去年12月31日聲稱攻擊了洛杉磯市房屋管理局（HACLA），並竊得15 TB資料，內容包含了向市政府尋求協助的民眾個資，以及HACLA的會計資料、人力資源、薪資單等檔案。HACLA發言人Courtney Gladney證實他們面臨網路攻擊，導致相關系統可能出現中斷的情況。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/crypto-platform-3commas-admits-hackers-stole-api-keys/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資機器人3Commas坦承資料外洩，駭客聲稱竊得10萬個API金鑰</span></strong></a></h3> <p>去年12月底有人在推特聲稱，他們從加密貨幣交易平臺3Commas竊得10萬個API金鑰，並公布其中的十分之一資料。該交易平臺於12月29日發布聲明，說明調查狀況，指出上述遭到公布的資料包含了有效的API金鑰，呼籲有進行合作的加密貨幣交易所Kucoin、Coinbase、Binance等，儘速撒銷與3Commas連結的金鑰。</p> <p>3Commas表示，他們懷疑此起事故是內部洩露並著手調查，但目前尚未找到相關證據，該公司強調僅有少數技術人員能夠存取相關基礎設施，他們亦於11月19日移除相關權限。但從10月開始就有該平臺用戶帳戶資產因帳密遭到洩露後，損失6百萬美元，當時3Commas認為這些用戶是因為遭到網釣攻擊而成為受害者。</p> <h3><a href="https://www.ithome.com.tw/news/154990"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Volvo汽車資料外洩，200 GB資料流入駭客論壇兜售</span></strong></a></h3> <p>資安研究人員Anis Haboubi在駭客論壇發現，名為IntelBroker的人士聲稱取得了Volvo汽車200 GB資料，並在論壇求售價值2,500美元的門羅幣（Monero），賣家聲稱內有Volvo資料庫、網域、CI/CD、API、Atlassian等系統的帳密，以及軟體授權、員工名單、Wi-Fi熱點、金鑰、系統檔案等。除此之外，這批檔案還有該公司現行與未來車款的資料。</p> <p>而這些資料取得的管道，該名賣家表示，是勒索軟體Endurance於去年12月31日發動攻擊而得，並表示不打算向該公司勒索。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.synology.com/en-us/security/advisory/Synology_SA_22_26"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">群輝修補VPN路由器的重大漏洞</span></strong></a></h3> <p>群輝於去年12月30日發布資安通告，該廠牌的路由器作業系統Synology Router Manager（SRM）存在重大漏洞CVE-2022-43931，可被用於在VPN Plus Server元件執行任意命令，影響執行SRM 1.3版與1.2版的路由器，該公司發布1.4.4-0635版及1.4.3-0534版VPN Plus Server元件修補。此漏洞的CVSS風險層級達到了10分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/over-60-000-exchange-servers-vulnerable-to-proxynotshell-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾6萬臺Exchange仍未修補ProxyNotShell漏洞</span></strong></a></h3> <p>非營利組織Shadowserver基金會的研究人員於12月21日指出，有8.4萬臺Exchange伺服器尚未完整修補ProxyNotShell漏洞（CVE-2022-41082 、CVE-2022-41040），但到了今年1月2日，仍有近6.1萬臺曝露於相關風險，其中歐洲有3.1萬臺，美國及加拿大則有1.8萬臺。這樣的情況使得研究人員呼籲IT人員應加速修補的腳步。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.hackread.com/erp-firm-expose-india-job-seekers-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國ERP業者伺服器配置不當，曝露50萬印度求職者資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-claims-attack-on-queensland-university-of-technology/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲昆士蘭科技大學遭到勒索軟體Royal攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rail-giant-wabtec-discloses-data-breach-after-lockbit-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國鐵路公司Wabtec遭勒索軟體LockBit攻擊而資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/poland-warns-of-attacks-by-russia-linked-ghostwriter-hacking-group/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">波蘭警告俄羅斯駭客Ghostwriter的攻擊行動</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154957">【2022年12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154930">【2022年12月29日】 NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy</a></strong></strong></strong></p> </div></div></div>
2023/1/4 16:45作者周峻佑https://www.ithome.com.tw/news/154994
數位發展部下設法人資通安全研究院，首任院長由何全德擔任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部下設的法人資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，董事會決議通過由前總統府第二局局長何全德擔任院長一職；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文以及陽明交通大學講座教授林盈達擔任。</p> <p>資通安全研究院設置條例於2022年1月19日經總統公布，行政院核定於2023年1月1日正式施行，並由數位發展部部長唐鳳兼任資安院董事長一職。資安院將依循「資安即國安」政策，及數位發展部強化「全民數位韌性」作為施政重點，結合各界力量推動資通安全科技研究及應用發展，並協助處理國家資通安全防護機制及關鍵基礎設施防護、培訓資通安全人才、策進產學服務及國際合作，確保民眾數位生活福祉，提升國家數位韌性。</p> <p>唐鳳之前在數位部媒體茶敘時也曾表示，成立資安院的任務目標很明確，就是4年之內可以應用到的各種資安工作，包括攻防、相關建設等等，都是資安院的工作目標；未來資安院的人才選任，也會有專業的考試、甄選等，除了筆試以外，也規畫藍隊模擬機考的平臺，以確保甄選的人才都具有即戰力。</p> <h2><strong>何全德嫻熟資安與行政，唐鳳力邀擔任資安院首任院長</strong></h2> <p>何全德2021年7月從總統府第二局局長退休後，也持續發揮所長，不僅在數位部成立過程中，發揮近四十年在公務體系任職、嫻熟公務運作的經驗，擔任行政院數位發展部籌備工作小組諮詢委員並提供相關建言，也持續關心資安即國安的政策運作與落實。</p> <p>何全德行政資歷豐富，任職研考會30多年，並督導行政院技服中心超過10年，也是許多包括公鑰基礎建設（PKI）、電子簽章法等推動先驅；加上國家關鍵資訊基礎建設（CIIP）已經是國家資通安全重點防護工作，他在擔任國發會管制處處長期間，更是負責包括國營事業臺灣銀行、臺電、中油和臺水等國營事業在內的績效考核工作。</p> <p>中研院院士李德財在2016年擔任國家安全會議諮詢委員一職時，則借重何全德的專業，擔任國發會管制處處長同時兼任國家安全會議資通安全辦公室主任；之後，何全德也於2019年，調任總統府第二局局長，負責總統府相關的資通安全業務。</p> <p>何全德長期從事政府資訊及資安工作，其中，推動資通安全工作逾25年，並參與國家各項重大資通安全政策及法規研擬推動，兼具資安與行政兩種專長，何全德也在唐鳳親自邀請下，允諾擔任首任院長。唐鳳則期勉何全德擔任院長時，可以協調各方，共同為國家資通安全建立最堅實的專業科研及服務團隊，並提升國家資通安全科技實戰力。</p> <p>由於資安院的規模約為180人～200人，會從國家高度配合政府整體資安推動策略，扮演資通安全防護、資安人才培力及資安關鍵技術發展角色，協助規畫及推動國家資通安全防護機制，並協助政府機關與關鍵基礎設施重大資通安全事件應變處置等，資安院也會在成立後，持續對外徵才。</p> <h2><strong>唐鳳兼任資安院董事長，計董事11人、監事4人</strong></h2> <p>資安院董事會成員11人，董事長由數位發展部部長唐鳳兼任，其餘董事包括：數位部政務次長闕河鳴、資安署署長謝翠娟與產業署署長呂正華；國安會、國防部指派的當然董事，分別為國家安全會議研究員尤暖霞、國防部通信電子資訊參謀次長室次長盧建中。</p> <p>另外也有多位學者與資通訊領域專家擔任資安院董事一職，如中研院院士李德財、前通傳會委員現臺大資管系教授孫雅麗、前中興大學資工系教授兼資通安全研究中心主任廖宜恩、臺大資工系教授許永真、工研院執行副總余孝先等11人。</p> <p>資安院監事共4位，分別為：哈佛大學講座教授暨中央研究院孔祥重院士、臺大國發所所長劉靜宜，及兩位政府機關代表為行政院人事行政總處人事長蘇俊榮與數位發展部主計處專門委員江靜瑜。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-20230104%E8%B3%87%E5%AE%89%E9%99%A2%E9%96%8B%E6%9C%83_%E6%95%B8%E4%BD%8D%E7%99%BC%E5%B1%95%E9%83%A8%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 420px;" /></p> <blockquote><p>數位發展部下設法人資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，董事會決議通過由前總統府第二局局長何全德擔任院長一職；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文以及陽明交通大學講座教授林盈達擔任。</p> </blockquote> <h2> </h2> <h2> </h2> <h2><strong>資通安全研究院院長副院長簡歷</strong></h2> <p><strong>何全德院長</strong></p> <p>學歷：政治大學公共行政研究所碩士</p> <p>經歷：</p> <p>⚫ 數位發展部籌備工作小組諮詢委員</p> <p>⚫ 總統府第二局局長</p> <p>⚫ 國家安全會議資通安全辦公室主任(兼任)</p> <p>⚫ 行政院資通安全辦公室副主任(兼任)</p> <p>⚫ 行政院資訊通信發展推動小組副執行秘書(兼任)</p> <p>⚫ 行政院國家資通安全會報副執行長(兼任)</p> <p>⚫ 國家發展委員會主任秘書</p> <p>⚫ 國家發展委員會管制考核處處長</p> <p>⚫ 行政院研考會資訊管理處處長、副處長、高級分析師、科長</p> <p> </p> <p><strong>吳啟文副院長</strong></p> <p>學歷：美國聖地牙哥州立大學電腦科學研究所碩士</p> <p>經歷：</p> <p>⚫ 行政院國家資通安全會報技術服務中心主任</p> <p>⚫ 數位發展部資通安全署高級分析師</p> <p>⚫ 行政院資通安全處高級分析師</p> <p>⚫ 行政院資通安全辦公室副主任</p> <p>⚫ 科技部高級分析師</p> <p>⚫ 國家發展委員會高級分析師</p> <p>⚫ 行政院研究發展考核委員會專員、高級分析師</p> <p> </p> <p><strong>林盈達副院長</strong></p> <p>學歷：美國加州大學洛杉磯分校電腦科學博士</p> <p>經歷：</p> <p>⚫ 陽明交通大學講座教授</p> <p>⚫ 銓隼科技共同創辦人</p> <p>⚫ 財團法人國家實驗研究院副院長</p> <p>⚫ 財團法人電信技術中心執行長</p> <p>⚫ 交大網路測試中心(Network Benchmarking Lab, NBL) 主任</p> <p>⚫ 利基網路(後被併入 D-Link) 共同創辦人</p> </div></div></div>
2023/1/4 18:36作者黃彥棻https://www.ithome.com.tw/news/155003
Shopify透過API開放自家基礎設施，供企業在自家網站整合Shopify電商元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Shopify宣布推出<a href="https://news.shopify.com/shopify-enters-its-next-era-of-growth-redefining-enterprise-retail-introducing-commerce-components-by-shopify">Commerce Components</a>工具包，這是一個現代化前端可組合堆疊，供零售商在自家系統上整合Shopify元件，也就是說，Commerce Components讓用戶取用諸如Shopify Checkout等Shopify基礎元件，並且透過具彈性的API與用戶後臺無縫整合。</p> <p>Shopify為一個雲端平臺，讓企業能夠開發和託管電子商務網站，Shopify提供一系列軟體工具，以簡化各種電子商務工作，但過去用戶都只能以單一同捆包的方式使用這些工具，而Commerce Components現在讓企業只選購需要的功能，而不需要同捆包一起購買。</p> <p>用戶可以使用Shopify用來建置電商平臺的元件，建置自己的電商網站，Shopify總裁Harley Finkelstein表示，透過使用Shopify所開發的基礎設施，企業不需要自己花費時間、工程資源和金錢，建立這些既有的功能，就能依照需求自訂和擴充使用。</p> <p>Commerce Components提供豐富開發工具，以及超過30種模組元件，包括稱為Hydrogen的無頭SDK，供企業自定義電子商務網站的介面，用戶也能運用購物車元件，在現有網站添加購物車功能，或是使用低程式碼商店前端，快速建立新店面進行商業試驗。</p> <p>Commerce Components元件之一的Shopify Checkout，可以接受訂單並在線上收款，進而簡化電子商務網站結帳流程。當電子商務網站顧客將商品添加到購物車，就會需要在下單前，使用結帳功能輸入運送資訊和付款資料。</p> <p>Shopify的基礎設施提供可靠穩定的服務，官方表示，以Checkout元件來說，正常運作時間為99.99%，可處理每家店每分鐘40,000次結帳，而Shopify基礎設施在全球擁有275個網路邊緣站點，使終端使用者獲得順暢的結帳體驗。</p> <p>用戶可以透過API來介接Commerce Components，官方提到，API現在沒有速率限制，能夠支援大型電子商務應用。企業可以將其現有服務和Shopify模組化元件整合，並且最佳化各種裝置的使用體驗，用戶只需要使用需要的元件，自由地在任何前端框架進行建置。</p> </div></div></div>
2023/1/4 16:16作者李建興https://www.ithome.com.tw/news/154993
研究人員揭露可遠端控制Google Home Mini的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://downrightnifty.me/blog/2022/12/26/hacking-google-home.html" target="_blank">研究人員揭露Google智慧喇叭Home Mini一項漏洞</a>，讓攻擊者可在Home Mini上加入帳號，藉此遠端傳送指令或發出任意HTTP呼叫，包括開門鎖或車庫門，或控制麥克風。</p> <p>Google Home提供App及「routine」，前者讓用戶得以在Home Mini加入帳號，後者則允許用戶將數個動作組合起來建立捷徑，例如用戶可設定「Good Morning」，由Home Mini執行「開燈」、「報氣象」等其他指令。建立帳號連結Home Mini後，即能控制這個50美元的迷你智慧喇叭，小則讓它在某些天某些時間點自動啟動，大者可遠端傳送指令、以及在Home Mini上安裝名為「actions」的小型應用程式。</p> <p>但研究人員發現即使沒有Home App也能在Home Mini上建立帳號，只要攻擊者和欲駭入的Home Mini處於同一無線網路。他設立Proxy Server進行中間人攻擊，攔截Home App連結帳號過程中，連向Mini的HTTP呼叫。透過置換其中的裝置資訊，即可成功在Home Mini上建立後門帳號。接著他以Python script重新實作連結Home Mini過程，可完全跳過Home App。</p> <p>此後，研究人員即可設定各種「routine」進行想要的控制。例如由Home Mini開啟智慧車庫門、線上購物、啟動車輛或開啟門鎖。研究人員實際利用一個通話指令，讓攻擊者可以Home Mini撥號給其他人，並以Home Mini麥克風遠端和對方通話。其他攻擊情境包括在Home Mini上安裝自動偵測連線的惡意App，使Mini斷線後自動偵測Wi-Fi 熱點並建立連線。</p> <p>研究人員說這漏洞並不只限於Home Mini，而是所有Google Home裝置。他在2021年1月通報了這項漏洞，Google於當年4月頒發抓漏獎金，隨後在2022年4月又加發Google Nest及Fitbit裝置的相關抓漏獎金。他一共獲得107,500元美金。</p> </div></div></div>
2023/1/4 15:24作者林妍溱https://www.ithome.com.tw/news/154992
Nvidia運用AI改進機器人模擬，Isaac Sim現可真實模擬人與機器人協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/01/03/isaac-sim-major-updates/">Nvidia更新機器人模擬和訓練平臺Isaac Sim</a>，現在用戶可以從雲端存取Isaac Sim，並使用新的人工智慧功能，加速機器人訓練。Isaac Sim建構在元宇宙平臺Nvidia Omniverse之上，讓用戶在各種操作條件下模擬真實環境，建置和測試虛擬機器人，促進物流、製造和零售等產業的自動化應用。</p> <p>隨著供應鏈技術的發展，企業對自動機器人的需求增加，人類與機器人協作的機會增加，因此將人和常見行為添加進機器人模擬中，也就變得重要。Isaac Sim新的人物模擬功能，能夠在倉庫和製造設施中添加人物角色，並且賦予其執行像是堆放包裹和推送手推車等行為。</p> <p>如此，在同一模擬中，工程師就能同時觀察人物和機器人的運作，透過觀察兩者互動發現設計缺陷，同時機器人也可學習避開人和潛在意外。當模擬發現危險狀況，工程師就可以及早重新調整機器人行為，或是重新設計工廠和倉庫，讓兩者更安全地共存。</p> <p>由於在模擬中，力求最大程度縮小虛擬與現實世界的差異，因此也必須考量物理感測器模型，Isaac Sim現在可以即時呈現感測器的準確資料，並運用光線追蹤技術模擬光達（Lidar），在各種照明或是反射材質條件下，獲得更準確的感測器資料。由於光達是機器人導航的重要技術，該功能使得模擬中機器人的行為，能夠與真實世界的機器人完全相同。</p> <p>Isaac Sim更新還提供更多可供模擬的3D物件庫，包括倉庫零件和熱門的機器人，用戶可透過拼湊預建置的物件，快速建置模擬。Nvidia同時也更新其他Isaac模擬工具，改進包括用於增強學習的Isaac Gym，和協作機器人程式開發的Isaac Cortex，另外，新工具Isaac ORBIT提供了機器人學習和運動規畫的模擬操作環境和基準。</p> <p>用戶現在可以從雲端存取Isaac Sim，更靈活地進行跨團隊協作，藉由提高可存取性、敏捷性和可擴展性，加速機器人測試和訓練。對於訓練機器人需要的資料，Isaac Sim可利用Isaac Replicator，創建大量模擬環境物理特性的真實資料集。</p> </div></div></div>
2023/1/4 15:42作者李建興https://www.ithome.com.tw/news/154991
200GB Volvo汽車公司資料疑似外洩，遭人上網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/HaboubiAnis/status/1610037011213058049" target="_blank">安全研究人員發現</a>，一批疑似來自瑞典汽車業者富豪（Volvo Cars）公司內部系統資料，包括員工資料、資料庫存取憑證、軟體及系統檔案被人放上暗網銷售。</p> <p>法國安全研究人員Anis Haboubi在一個駭客論壇發現，名為IntelBroker的人在兜售這批資料。他宣稱Volvo汽車去年12月31日遭到了Endurance勒索軟體攻擊，攻擊者洩露了200GB敏感資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-volvo%20leak-3.png" style="width: 600px;" /></p> <p>IntelBroker銷售的文件包含Volvo資料庫、網域、CI/CD、API及Atlassian等系統存取憑證、軟體授權、員工名單、Wi-Fi熱點、金鑰和系統檔案等。此外還有所有現行Volvo及未來新車款資料。他將這批文件以2,500美元等值門羅（Monero）幣出售，並貼出部分文件證明所言真實性。</p> <p>他並說不會去勒索Volvo汽車，因為他相信後者不會支付贖金。</p> <p>而這批資料外洩時間點不得而知。<a href="https://breached.vc/Thread-Documents-Full-leak-of-volvo-cars-200GB-https-www-volvocars-com" target="_blank">另一個駭客論壇</a>去年4月也有名為sm4rt的人張貼號稱超過200GB的Volvo內部資料。不過該論壇管理員12月31日表示連結已經無法使用，可能貼了大約6個月多。</p> <p>本周傳出在駭客論壇銷售的也有可能是Volvo汽車2年前外洩的資料。<a href="https://www.media.volvocars.com/global/en-gb/media/pressreleases/292817/notice-of-cyber-security-breach-by-third-party-1" target="_blank">2021年12月這家瑞典汽車大廠證實</a>Snatch勒索軟體對其發動攻擊並成功存取了檔案資料庫，導致「小部分」研發智財遭竊。</p> </div></div></div>
2023/1/4 13:33作者林妍溱https://www.ithome.com.tw/news/154990
蘋果3月起調漲Mac、iPhone、iPad過保固期後換新電池價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果近日針對過保固期的iPhone、iPad及Mac電腦悄悄調漲了換新電池的費用，新方案將從今年3月1日生效。</p> <p><a href="https://www.reddit.com/r/apple/comments/1014acd/effective_march_1_2023_the_outofwarranty_battery/" target="_blank">Reddit用戶首先發現此事</a>。現有iPhone 14、全螢幕iPhone 13及以前版本，以及具有Home鍵的iPhone在過保固期後，換新電池費用各為99、69及49美元。根據新方案，iPhone 14不變，但iPhone 13等全螢幕機種、以及具Home鍵機種則將雙雙加價20美元，來到89及69美元。</p> <p>iPad及Mac電腦換新電池的代價也更高了。iPad將漲價20美元，而MacBook Air及MacBook/MacBook Pro則分別調漲30和50美元。</p> <p>臺灣蘋果方面，<a href="https://support.apple.com/zh-tw/mac/repair" target="_blank">根據蘋果網站</a>，現有iPhone 13及舊款iPhone（iPhone 8及以前）過保固電池換新價各為2,050及1,490元臺幣。3月1日起都將漲價800元臺幣。（iPhone 14則維持3,190元臺幣）。</p> <p>同樣地，3月1日之後，大部分iPad換新電池要多花840元臺幣（現為3,150元）。MacBook Air換新電池漲價1,400元，而MacBook及MacBook Pro則將多花你2,190元臺幣。目前各為3,790及5,900元臺幣。</p> </div></div></div>
2023/1/4 11:42作者林妍溱https://www.ithome.com.tw/news/154988
6萬臺Exchange Server仍未修補ProxyNotShell漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Shadowserver/status/1609849345490255880" target="_blank">安全研究人員發現</a>，9月間揭露的ProxyNotShell漏洞，迄今全球仍有6萬多臺Exchange Server伺服器未修補。</p> <p>ProxyNotShell是三個月前由越南安全業者GTSC揭露，是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082" target="_blank">CVE-2022-41082</a>及<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040" target="_blank">CVE-2022-41040</a>這2個漏洞的合稱。這個漏洞頗為麻煩，微軟緊急釋出的緩解措施、以及第三方研究人員提供的修補程式先後被其他攻擊者繞過。直到11月初微軟終於在Patch Tuesday完成釋出具有最終修補程式的Exchange Server更新。</p> <p>不過非營利組織Shadowserver基金會安全研究人員12月21日針對ProxyNotShell之一的CVE-2022-41082進行網路掃瞄，發現仍有將近8.4萬個IP的Exchange Server仍然沒有最新版本。去年12月底該基金會公布數據時，降到6.9萬個，各國之中以美國1.7萬最多。</p> <p>到了本周1月2日時還有6.1萬臺伺服器還於曝險狀態。其中歐洲占了3.1萬，北美包含美、加則有1.8萬。</p> <p class="rtecenter"><a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=scan%2Bscan6&tag=exchange&style=stacked" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-Shadowserver%20Foundation-scan-ProxyNotShell-0102.png" style="width: 600px;" /></a></p> <p><a href="http://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=scan%2Bscan6&tag=exchange&style=stacked" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Shadowserver基金會</span></span></a></p> <p>ProxyNotShell影響Exchange Server 2013、2016及2019，可能讓攻擊者擴張權限而在受害伺服器上執行任意或遠端程式碼。研究人員呼籲IT管理員應儘早修補。</p> </div></div></div>
2023/1/4 13:08作者林妍溱https://www.ithome.com.tw/news/154989
Check Point整合英特爾威脅偵測技術，強化端點抵禦勒索軟體能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/12/29/2580546/0/en/Check-Point-Software-Technologies-Enhances-Endpoint-Security-with-Intel-vPro-Platform.html">資安公司Check Point與英特爾擴大合作</a>，強化端點安全解決方案Check Point Harmony的勒索軟體偵測能力。該公司在Harmony Endpoint中整合英特爾的威脅偵測技術，透過結合硬體和軟體功能，提供企業處理器層級的反勒索軟體安全，這項合作成果將會在2023年初提供Check Point用戶。</p> <p>Harmony Endpoint本身藉由識別、阻擋和修復完整攻擊鏈，來抵禦端點上的安全威脅，而英特爾vPro平臺上的威脅偵測技術，使得Harmony Endpoint能夠進一步，運用人工智慧和機器學習技術分析CPU遙測資料，在攻擊流程早期，就辨識出勒索軟體加密指令。</p> <p>Check Point透過與英特爾的合作，使端點解決方案能夠獲得處理器層級的安全性，進而及早預防並擴大攻擊面的覆蓋，使其更有能力抵禦勒索軟體。</p> </div></div></div>
2023/1/3 22:20作者李建興https://www.ithome.com.tw/news/154979
跨平臺開源遊戲引擎Godot預計在年初正式推出4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2019年開始，歷經COVID-19疫情，跨平臺開源遊戲引擎Godot預計在2023年初正式推出<a href="https://godotengine.org/article/2022-retrospective">Godot 4.0</a>。目前已經有越來越多的遊戲使用Godot開發，包括Steam遊戲平臺上的Dome Keeper、Brotato和The Case of the Golden Idol等。</p> <p>Godot 4.0原本只是Godot引擎創建人Juan Linietsky，想要使用圖形API Vulkan重寫Godot 3.1，隨著用戶提出越來越多需求，而且Godot專案也收到許多資金捐贈，因此開發團隊就以更大的規模，調整Godot核心使其更現代化。</p> <p>Juan Linietsky提到，由於Godot 3.x核心架構仍是2000年代後期的引擎架構，當時電腦仍是單核，且CPU和記憶體間的差異並不像現在這麼大。Godot的現代化計畫引來許多有興趣的貢獻者，導致4.0專案變得更大，大量的引擎核心和GDScript都被重寫。</p> <p>Godot 4.0開發期間剛好碰到COVID-19疫情，一直到2022年才步上軌道，引擎逐漸穩定且解決許多重大問題，2022年9月Godot 4.0釋出第一個測試版，雖然無法在2022年結束前推出穩定版本，但是Juan Linietsky表示，在2023年初期幾個月就會推出Godot 4.0第一個穩定版本。</p> <p>Godot能有今天的發展，軟體自由保護組織功不可沒，使得Godot能夠獲得捐款，有能力聘請全職和兼職貢獻者改進項目，而隨著專案的發展，Juan Linietsky認為Godot需要有一個專責組織，才能有自主權、控制權和靈活性，因此Godot也成立了基金會，由於基金會剛成立尚未完全運作，預計Godot專案會在2023年從軟體自由保護組織轉移到Godot基金會。</p> </div></div></div>
2023/1/3 22:24作者李建興https://www.ithome.com.tw/news/154980
隱私安全通訊軟體Telegram更新，加入零儲存和隱藏群組成員功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已擁有超過7億使用者的隱私安全通訊軟體<a href="https://telegram.org/blog/hidden-media-zero-storage-profile-pics">Telegram</a>，趕在2022年底推出新功能，除了提供控制裝置空間的新方法外，也讓用戶能夠傳送防劇透圖片，以及運用新的繪圖工具，在照片加上插圖。</p> <p>官方提到，Telegram幾乎不會占用裝置上的空間，用戶可以從手機儲存中刪除媒體和文件，並且從Telegram雲端重新下載。過去用戶可以配置最大快取，並且設定自動刪除未使用檔案的時間，而最新的Telegram，將讓用戶可以針對私人聊天、群組和頻道的快取媒體，添加自動刪除設定。</p> <p>同時，Telegram還提供圓餅圖，讓用戶一目了然占用空間的媒體、文件和音樂比例，並且能在頁籤中，簡單地清除最占空間的大型檔案。另外，在最新版本，官方也大幅改善iOS裝置計算應用程式快取大小所需的時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-telegram-1(1).png" style="width: 425px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Telegram</span></span></p> <p>開發團隊重新設計Telegram的媒體編輯器，繪圖工具會根據繪圖速度，動態更改寬度，並且使繪製的線條更加平滑。用戶也可以自由地在圖像中添加自定義動畫表情符號，並且在添加文字時，也能夠調整大小、字體和背景。</p> <p>Telegram群組近來受虛假帳號攻擊嚴重，官方除了提供工具供管理員清理假帳號之外，在本次更新中，對超過100個成員的群組，管理員現在可以選擇隱藏成員列表，當成員未發送訊息，就不會暴露其存在，藉此保護成員免受個人訊息騷擾。</p> </div></div></div>
2023/1/3 22:29作者李建興https://www.ithome.com.tw/news/154981
【資安日報】2023年1月3日，Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體鎖定存在漏洞的WordPress外掛程式而來的情況，不時傳出攻擊事故，而最近的惡意軟體攻擊行動一口氣針對30個已知漏洞而來，值得留意的是，這當中大部分外掛程式的漏洞可能沒有CVE編號，有編號的可能是6至7年前的漏洞，這樣的情況使得研究人員呼籲網站管理員應部署最新版的外掛程式。</p> <p>在2022即將結束的前夕，有人利用PyPI套件庫發動攻擊，不過，這次並非利用拼寫錯誤來散布惡意套件，而是針對Python套件安裝工具pip找尋套件的機制而來──該安裝工具會優先從PyPI套件庫下載相依套件，而使得部署Nightly版機器學習框架PyTorch的電腦，會一併安裝駭客上傳的惡意套件。</p> <p>勒索軟體攻擊的情勢也相當值得留意，其中又以駭客組織BlackCat要脅受害組織的新手法引起研究人員關注。這些駭客不只在暗網公布受害組織資料，也在網際網路架設受害組織的冒牌網站，來公布竊得的資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://news.drweb.com/show/?i=14646&lng=en&c=23" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站遭到Linux惡意軟體鎖定，利用30種外掛程式漏洞注入惡意指令碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/inject.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/inject.png" style="width: 300px; float: right;" /></a>防毒業者Dr.Web揭露鎖定WordPress網站的惡意程式，此為32位元的Linux軟體，針對約30種WordPress外掛程式的已知漏洞而來，一旦偵測到網站使用了尚未修補特定漏洞的外掛程式，此惡意軟體就會從C2中繼站下載惡意JavaScript指令碼，並在網站上注入，使得瀏覽網站的用戶就有可能會被重新導向到其他網站──在網頁被瀏覽器載入的過程中，惡意指令碼會先執行，一旦用戶點選網頁的任何區域，就會被導向至惡意網站。</p> <h3><a href="https://pytorch.org/blog/compromised-nightly-dependency/#how-to-check-if-your-python-environment-is-affected"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PyTorch機器學習框架感染惡意程式碼，原因是相依元件遭到駭客竄改、置換</span></strong></a></h3> <p>機器學習框架PyTorch開發團隊提出警告，使用者若是在去年12月25日至30日利用pip管理員部署Linux版的PyTorch-nightly套件，電腦就有可能被植入惡意軟體，他們呼籲使用者不只要移除PyTorch-nightly，也要一併移除相依套件torchtriton，然後再重新安裝12月31日之後的Nightly版PyTorch。開發團隊表示，此為「相依元件混淆（Dependency Confusion）」的軟體供應鏈攻擊，駭客於PyPI上架惡意相依性套件torchtriton，使得pip優先從PyPI套件庫下載惡意套件。</p> <p>開發團隊指出，這個惡意二進位檔需在使用者匯入triton套件，且需要下達特定指令才會執行，這並非PyTorch的預設行為。截至1月1日為止，冒牌相依套件已被下載超過2,300次。PyTorch穩定版的用戶不受影響，開發團隊也提供相關指令供用戶檢查是否遭到供應鏈攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-cloned-victim-s-website-to-leak-stolen-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客架設偽造網站來公布受害組織資料</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）最近使用了新的威脅手法，企圖使受害者就範。這些駭客在攻擊金融機構後，不只在暗網公布受害機構的資料，也在公開網路架設網站以暴露相關資料，這個網站的樣貌與網域名稱，皆與受害組織的網站雷同，但駭客在網站上公布員工備忘錄、支付表格、員工資料、公司資產和支付、合作夥伴財務資訊，以及護照掃描畫面等資料。資安業者Emsisoft的研究人員認為，駭客應該是因為沒有收到贖金才這麼做。</p> <h3><a href="https://cumtn.com/investors/press-releases/2022/copper-mountain-mining-subject-to-ransomware-attac-4881/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大銅礦業者遭勒索軟體攻擊被迫關閉</span></strong></a></h3> <p>加拿大銅礦業者Copper Mountain Mining Corporation（CMMC）證實於12月27日遭到勒索軟體攻擊，為降低損害，該公司將運作系統獨立，改以人工作業因應，為了避免發生意外，而暫時關閉礦場，且強調本次資安事故並未衍生工安意外。</p> <p>而對於該公司遭到入侵的管道，資安新聞網站Bleeping Computer發現，有人疑似於12月13日在駭客市集兜售CMMC員工的外洩帳密，極可能與本次勒索軟體攻擊事故有關。</p> <h3><a href="https://www.ithome.com.tw/news/154967"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大兒童醫院SickKids收到勒索軟體LockBit的解密金鑰，恢復部分受害系統</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-site-sickkids.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-site-sickkids.jpg" style="width: 300px; float: right;" /></a>加拿大兒童醫院SickKids<a href="https://www.sickkids.ca/en/news/archive/2022/sickkids-responding-to-cybersecurity-incident/">於12月18日傳出遭到勒索軟體LockBit攻擊</a>，導致檢驗室與醫療影像攝影系統無法存取，院方被迫改為手動作業，而這起事故最近出現了新的進展。<a href="https://twitter.com/AlvieriD/status/1609253113436700678">資安研究員Dominic Alvieri發現</a>，該組織於12月31日指出，有聯盟成員違反LockBit不攻擊醫院的政策，他們對此向院方致歉，並提供解密金鑰。</p> <p><a href="https://www.sickkids.ca/en/news/archive/2022/update-on-sickkids-response-to-cybersecurity-incident/">SickKids於2023年1月1日證實收到解密金鑰</a>，已復原約6成重要系統，該院表示他們沒有支付贖金，並指出目前尚未發現證據有個資或是醫療資訊外洩。<a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-apologizes-gives-sickkids-hospital-free-decryptor/">資安新聞網站Bleeping Computer取得駭客的解密工具</a>，指出駭客這次應是加密了醫院的VMware ESXi環境。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://9to5google.com/2022/12/28/chrome-block-insecure-http-downloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器將擴大封鎖HTTP網站存取</span></strong></a></h3> <p>最近傳出Google有意擴大Chrome封鎖HTTP連線網站的功能。根據科技網站9to5Google的報導，Google在Chromium專案引入新的程式碼變更，將Chrome 93推出的HTTPS-only模式適用範圍增大，屆時使用者瀏覽的網站如果只能透過HTTP存取，Chrome將不會載入相關內容；此外，若是存取HTTPS網站的過程由HTTP網站重新導向，也可能會被封鎖。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://therecord.media/poland-warns-of-pro-kremlin-cyberattacks-aimed-at-destabilization/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">波蘭針對俄羅斯駭客不斷發動攻擊提出警告</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/ukraine-russian-hackers-focus-civilian-infrastructure-a-20831"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭民用基礎設施成俄羅斯駭客偏好攻擊的目標</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-claims-attack-on-port-of-lisbon-in-portugal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">葡萄牙大型港口傳出遭到勒索軟體LockBit攻擊</span></span></strong></a></p> <p><a href="https://www.thesunchronicle.com/news/local_news/bristol-community-college-admits-it-was-ransom-hacked/article_31cd33a3-f58d-58ef-ab4c-00ebdc4e1afd.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國布里斯托爾社區大學遭勒索軟體攻擊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154957">【2022年12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154930">【2022年12月29日】 NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154920">【2022年12月28日】 GuLoader惡意軟體下載器又有新Shellcode規避偵測技術；台積電在年底前設置資安長一職</a></strong></strong></strong></p> </div></div></div>
2023/1/3 15:18作者周峻佑https://www.ithome.com.tw/news/154975
Cloudflare盤點2023年HTTP發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HTTP協定發展至今已受到廣泛採用，而且仍持續發展，2022年是HTTP/3發布重要的一年，<a href="https://blog.cloudflare.com/the-state-of-http-in-2022/" target="_blank">Cloudflare在部落格說明目前現況</a>，並盤點接下來2023年的HTTP發展計畫。HTTP工作組在新的一年，已經開始著手討論和開發新的HTTP功能，包括QUERY方法、可恢復上傳（Resumable Uploads）和變體等。</p> <p>2022年是HTTP/3正式發布的一年，Cloudflare提到，HTTP/3提高網路使用效率，使現代應用程式和網站的需求得以滿足。在HTTP/0.9和HTTP/1.0時代，每一個請求都需要重新使用一個TCP連接，為了緩解這個問題HTTP/1.1加入持久連結功能，但其仍存在隊頭阻塞（HOL Blocking）的侷限。</p> <p>但是現代網頁頁面動輒數百萬個物件爭奪網路資源，HTTP/1.1也已經無法負荷，因此2015年出現了HTTP/2，雖然HTTP/2在HTTP層解決隊頭阻塞的問題，但是底層TCP仍然存在同樣問題，Cloudflare解釋，問題根本在於HTTP使用TCP這種有序且可靠的傳輸協定，要徹底解決這個問題，最佳解決方案便是取代TCP。</p> <p>HTTP/3使用QUIC來替代TCP的工作，QUIC在2021年發布，HTTP/3可以說是QUIC的HTTP版本，雖然工作組在2021年完成QUIC的同時，也完成了HTTP/3的規範，但是因為考慮與其他文件發布同步，因此HTTP/3直到2022年才正式發表。</p> <p>HTTP工作組在2023年將持續完善HTTP規範，添加像是QUERY方法，目的是要規範一個安全的請求方法，並且在請求的同時攜帶請求內容，QUERY就像是Get方法，但主要用途是當請求附帶資料太大，無法編碼到請求的URI時，開發者便可使用QUERY方法。</p> <p>可恢復上傳也將會是HTTP接下來的重點新功能。由於請求取消和連結中斷，HTTP客戶端常會遇到資料傳輸中斷，以可恢復檔案上傳的開源協定TUS為基礎，HTTP工作組將讓HTTP客戶端能夠恢復傳輸，從中斷連結之前所交換的部分繼續完成工作。</p> <p>HTTP還將加入變體，這是一種基於請求標頭，從快取選取HTTP回應的方法。開發者只要使用Variants和Variant-Key回應標頭欄位，就可以主動進行內容協商，對快取更加友善。同時，HTTP引入結構化標頭，希望新的HTTP欄位能使用比傳統HTTP欄位值更具限制性的通用語法。</p> <p>另外，HTTP社群也針對新功能進行更多討論，像是提供發布和訂閱功能（Pub/Sub），或是透過標準化規範在WebSockets上的作業，Cloudflare提到，這些Media over QUIC的工作，在2023年可預期會有更多進展。</p> </div></div></div>
2023/1/3 16:48作者李建興https://www.ithome.com.tw/news/154976
PyPI軟體儲存庫新年假期間被上傳PyTorch冒牌相依性套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pytorch.org/blog/compromised-nightly-dependency/#how-to-check-if-your-python-environment-is-affected" target="_blank">PyTorch團隊本周警告PyPI被上傳了一個冒牌相依性套件</a>，呼籲去年最後一星期下載機器學習框架PyTorch-nightly版的開發人員應儘速移除。</p> <p>PyTorch團隊指出，如果在12月25日到12月30日之間透過pip管理員安裝Linux 版PyTorch-nightly測試套件，應立即移除該套件及相依套件torchtriton，並安裝12月30日以後的nightly二進位檔。</p> <p>這是因為在假期間出現在PyPI程式庫的相依套件torchtriton內有一個惡意二進位檔，為冒牌貨。這是名為「相依元件混淆（dependency confusion）」的軟體供應鏈攻擊手法，直接影響在公開PyPI上的套件相依套件。</p> <p>PyTorch團隊在12月30日發現到惡意的相依性套件torchtriton被上傳到PyPI，其套件名稱和<a href="https://download.pytorch.org/whl/nightly/torchtriton" target="_blank">正牌torchtriton套件</a>相同（冒牌者名稱為torchtriton v3.0.0）。由於PyPI index具有優先性，使得冒牌torchtriton會比正牌先被開發人員的pip下載安裝，這是因為其設計允許某人可以用早先存在第三方index的名稱來註冊套件名稱，而pip會預設先安裝PyPI的版本。</p> <p>但PyPI團隊指出，這個惡意二進位檔需在使用者匯入triton套件，且需要明顯下執行指令才會執行，這並非PyTorch的預設行為。</p> <p>截至1月1日為止，冒牌torchtriton套件已被下載了2,300多次。</p> <p>安裝PyTorch穩定（stable）版的用戶不受影響。PyTorch團隊也公布指令以便開發人員或企業檢查其Python環境是否受到惡意套件的影響：</p> <pre> python3 -c "import pathlib;import importlib.util;s=importlib.util.find_spec('triton'); affected=any(x.name == 'triton' for x in (pathlib.Path(s.submodule_search_locations[0] if s is not None else '/' ) / 'runtime').glob('*'));print('You are {}affected'.format('' if affected else 'not '))"</pre> </div></div></div>
2023/1/3 13:34作者林妍溱https://www.ithome.com.tw/news/154974
MedTech醫療科技雙周報第14期：健保署將研議健保沙盒與FHIR標準轉換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1216～1231)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健保署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保沙盒 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署將研議健保沙盒與FHIR標準轉換</strong></span></p> <p>健保署署長李伯璋日前透露，針對去年行政院生技產業策略諮議委員會議（BTC）提出的健保沙盒制度，健保署將與藥品查驗中心聯手執行。健保沙盒的目的，是要讓有潛力的創新醫材，先在健保平臺試用一段時間，進行成本效益分析後，符合資格再正式納入健保給付。</p> <p>健保沙盒計畫經費不會採用健保基金，而是由藥品查驗中心申請經濟部跨部會科技計畫經費。審核通過後，健保署將配合查驗中心，收集健保沙盒創新醫材的實證文獻和經濟效益評估資料，再評估是否納入健保給付。李伯璋認為，有助於國民健康和健保資源運用的醫療AI，如早期癌症病灶輔助偵測AI系統，會是健保署的考量重點之一。</p> <p>對於衛福部近年力推的FHIR標準轉換政策，李伯璋分析，健保署要求上傳資料有兩類，一是健保給付和費用申報相關，這類資料已有統一格式，並非轉換優先考量。另一類是院所上傳的醫療相關資料，這類資料若要改為FHIR，就得考量一些問題，如目前欄位是否能以HL7 FHIR官方定義的Resource來套用，以及院所與相關部門的資料交換方式。此外，若要更改，臺灣所有健保特約醫事機構都得配合，因此，健保署接下來要綜合評估，辦理內部和醫療機構說明會，來蒐集各界意見，找出版本更新的可行性和適當性。<a href="https://www.ithome.com.tw/people/154941">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健康資料也能準確生成！Google發表新方法</strong></span></p> <p>Google AI研究院日前發表一種新方法，能以更安全的方式，生成更可靠的電子健康記錄（EHR）資料，來推進醫療AI的發展。進一步來說，用EHR訓練的模型，可用來預測民眾發生特定疾病的風險，如糖尿病，或是對藥物的反應。不過，EHR屬於高機敏資料，要用來訓練模型，得先去識別化，這一步可能扭曲原本資料中的關鍵資訊，不僅降低效果，也有資料隱私的風險。</p> <p>因此，Google AI研究院想出一種新的資料生成方法，打造一套EHR資料生成模型EHR-Safe，可兼顧高真度和隱私。EHR-Safe由序列性編碼器-解碼器和GAN組成，因為團隊認為，GAN很難根據原始EHR資料直接合成新資料，因為EHR多為異質性資料。因此，他們認為，以序列性編碼器-解碼器架構來學習原始EHR資料到潛在表徵的映射，能解決數字分布和分類分布嚴重不對稱的問題。</p> <p>後來，團隊也以2個EHR資料集MIMIC-III和eICU來驗證模型，並發現，在大多數情況下，合成數據和原始數據的最高分布函數（CDF）差距小於0.03，表示合成數據和原始數據在統計上非常接近。此外，在保真度指標上，團隊選定死亡率預測，來比對原始數據訓練的模型，以及以合成數據訓練的模型。結果，兩類中表現最好的模型相比，MIMIC-GBDT III的差異只有2.6%，eICU差異則是0.9%。在隱私測試方面，Google則發現，要從合成數據中推導出原始資料的機率，等於隨機猜測，表示資料隱私可被保護。<a href="https://ai.googleblog.com/2022/12/ehr-safe-generating-high-fidelity-and.html#:~:text=EHR%2DSafe%20is%20based%20on,key%20challenges%20of%20EHR%20data.">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgIVXJyPsbEBaZPB0bGtQiVEIXncCaRK-YNoCA3UxxHMt2jqZbcRQpGUGr0H8G-RRQkVNMr-RNYynIA9xaWios54uOkQ41XXYtN2rqkJlPYqkWD_My2OT_BwtbnU12rDPAzJsE1x3ydu5A248Had7DJrMqda5oPD3SGaz4tbKEsuD37SgRqvPogWBFr9A/s16000/image3.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 南韓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新醫材 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>南韓政府通過首批創新醫材</strong></span></p> <p>為加速醫療AI產品化，南韓衛福部和食藥署在2022年8月底開始規畫AI/ML智慧醫材相關法規，包括產品篩選、審核和評估等步驟，並在去年10月底，正式將基於AI/ML和穿戴式裝置的醫療設備，定義為創新醫材，並釋出相關規範。南韓政府也設置新的審核系統，來核准這類創新醫材、加速上市。</p> <p>自法規生效後，總共有8項產品向南韓政府申請上市，但最終通過的只有3項，南韓政府也在去年12月中宣布。這些第一批AI/ML創新醫材，包括了來自Welt和Aimmed的失眠治療解決方案，以及來自JLK Bio的缺血性中風輔助偵測AI。<a href="https://www.koreabiomed.com/news/articleView.html?idxno=20018">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">健康存摺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料授權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SDK </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保署推健康存摺SDK讓民眾授權分享資料</strong></span></p> <p>健保署上個月分享健保快易通健康存摺SDK應用成果，目前已有31家機構和業者介接、共64支App上架。這些單位可透過健康存摺SDK，將民眾同意分享的健康存摺資料，整合至自家App中，來提供更多健康管理服務。對民眾而言，他們可自主選擇健康存摺中特定時間、特定就醫資料，來匯入常用的健康管理App。比如，北醫附醫將自家iTPass App整合民眾健康存摺資料，來進行血友病患者的疾病控管，北榮則設計一款慢性腎臟病健康管理App，彙整民眾就醫資料和自行量測的生理數值，來讓民眾健康的自我控管。</p> <p>進一步來說，健康存摺SDK開放第三方免費申請，但也有申請者身分限制。首先，身分類別有4種，包括政府機關、健保特約醫事機構、財團法人、合法登記的本國公司和外國公司，陸資企業則無法申請。就申請步驟來說，申請者先提出線上申請，取得API Key、測試通過後，就能提出正式完整功能申請，提供符合數發部行動App資安檢測的證明，健保署將審查、開通權限，接著就能介接App。健保署署長李伯璋鼓勵醫事機構和業者申請介接SDK，來提供更完善的健康照護服務給民眾，民眾也能透過授權機制，來保障自己的資訊。<a href="https://www.ithome.com.tw/news/154906">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A8%E8%80%85.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 商之器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端診所 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>商之器用AWS本地雲支援PACS備份，另要推雲端診所服務</strong></span></p> <p>專攻醫療資訊服務的商之器分享採用AWS Local Zone臺灣本地雲服務進展，目前已用來支援自家輕量化醫療影像儲傳系統PACS微型伺服器產品，該產品是一個如手掌大小的黑盒子，能讓診所等使用者用來儲存PACS資料，也能選擇是否要同步到雲端。而這個雲端備份，就是以AWS本地雲端來支援。</p> <p>此外，商之器也用AWS境外雲服務來打造雲端診所，比如用來開發顧客管理系統，來給自費、非健保體系的VIP診所管理病患資料。商之器臺灣區總經理丁偉能點出，接下來，他們也要根據衛福部FHIR政策，來與AWS發展FHIR相關應用。<a href="https://www.ithome.com.tw/news/154846">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保雲端查詢系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬健保卡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UX</span></strong></span></p> <p><span style="font-size:22px;"><strong>健保雲端查詢系統2.0版來了，還要整合更多虛擬健保卡功能</strong></span></p> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署近日揭露新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，比如使用者可拖拉式調整頁籤和欄位，字體大小也能調整，此外還放寬醫事人員登錄權限，提供第一線各職類醫事人員使用。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現來治療。</p> <p>健保署預告，接下來他們要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。健保署署長李伯璋表示，健保署長年推動醫療資訊整合、鼓勵醫院即時上傳就醫資料至雲端系統，目的就是要落實分級醫療，減少病人重複檢驗檢查（如拍X光片）和來回申請資料的時間成本，同時讓他院醫師更容易調閱判斷，提高診斷治療效率。<a href="https://www.ithome.com.tw/news/154486">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國泰金控 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料交換 </span></strong></span></p> <p><span style="font-size:22px;"><strong>國泰金控打造新一代電子病歷平臺，要加速醫療保險資料交換</strong></span></p> <p>國泰金控旗下數數發團隊開發一套新一代電子病歷交換平臺iFHIR Center，採用國際醫療資料交換標準FHIR，要來加速不同機構間的醫療資料交換作業，如醫院與保險公司、健管中心等。該平臺已完成第一階段功能，能透過轉換引擎，將醫院常用的非結構化資料，轉換為FHIR格式。國泰金控表示，該平臺未來能用於多種場景，如核保理賠、健康照護/健檢、智慧醫療整合應用等。</p> <p>該平臺也在去年11月通過第三屆臺灣FHIR聯測，且平臺採用微服務架構，有著擴充性，能讓使用者不需動到核心系統、不必撰寫大量程式，就能透過API將病歷資料轉換為FHIR格式。目前，iFHIR Center不只與國泰綜合醫院合作，也與中山附醫等3間院所簽訂合作備忘錄。國泰金控表示，未來將與保險公司合作，要打造金融醫療生態圈。<a href="https://www.cathayholdings.com/holdings/information-centre/intro/latest-news/detail?news=fU-3_zX71EaWbdz_x_Q2Eg">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基隆長庚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D列印 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顏面重建</span></strong></span></p> <p><span style="font-size: 22px;"><strong>基隆長庚聯手陽交大，用3D列印精準重建顏面</strong></span></p> <p>基隆長庚與陽明交大合作，用3D列印技術開發新型顏面金屬骨板，兼具輔助骨折復位和固定功能，能根據不同病患情況和需求，來精準重建。因為，透過術前電腦模擬規畫打造金屬骨板，再透過術中影像系統輔助，來完成骨折復位、確認金屬骨板固定位置，重建病患受傷前的顏面形狀和對稱性。這個做法，讓外科醫師不必單單仰賴顏面重建經驗，而且也能在手術中即時判斷骨折復位是否到位，有效又省時。</p> <p>基隆長庚也以這個方法，成功治愈一名機車車禍、顏面骨折的患者，重建患者右側顴骨和眼窩骨、恢復顴骨對稱性與眼球位置，患者臉麻、複視問題也逐漸改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 偏鄉 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫事人力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 媒合 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保署上線新平臺，要加速媒和偏鄉醫事人力缺口</strong></span></p> <p>健保署以2020年開發的全國偏鄉醫師人力需求平臺為基礎，擴增為全國偏鄉醫事人力需求平臺，將原本只招募醫師人力，擴大為各類醫事人員，像是藥師、護理師、醫檢師等醫事人員都包括在內。這套平臺，也在2022年12月上線。</p> <p>新開發的平臺，不只能讓有意願的醫事人員，依身分來查詢偏鄉醫療院所缺額，健保署還主動收集全國偏鄉73個地區相關資訊，如交通、景點、美食地圖和住宿推薦，來提高醫事人員至偏鄉離島地區服務的意願。健保署統計，目前，全臺已有62家醫事服務機構使用該平臺，且至2022年12月8日止，已成功媒合108位、45類專科醫師。接下來，健保署也會請縣市衛生局、醫療院所和各醫事人員公會通知會員來使用，有需求者，還能進一步與醫療院所窗口直接接洽，協助偏鄉民眾就近就醫。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=496DFC8B51F29A74">（詳全文）</a></p> <p>圖片來源／健保署、Google、長庚</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 語氣總是透露負面情緒嗎？泰國朱拉隆功大學<a href="https://biospectrumasia.com/news/46/21611/thailand-develops-speech-recognition-ai-technology-for-screening-depression.html">打造</a>憂鬱症預測AI</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/2 11:37作者王若樸https://www.ithome.com.tw/news/154972
勒索軟體新招式：山寨不付贖金的受害企業網站以公布資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入2023年，駭客持續更新手法。ALPHV勒索軟體背後組織會仿造不支付贖金的受害企業網站並公布其資料，以其知名度擴大資料外洩，以增加對受害者的壓力。</p> <p>ALPHV又名BlackCat，是近年活動頻繁的勒索軟體。<a href="https://twitter.com/BrettCallow" target="_blank">Emsisoft研究人員</a>上周發現ALPHV似乎正在測試新手法。在攻擊了一家金融機構後，除了如過去在暗網網站上公布受害者資料，駭客也設了一個很類似該機構的網站，用以張貼資料。</p> <p>這網站在外觀和網域都很類似受害者官網，但駭客改成想要的標題。遭到公布的內容包括對員工備忘錄、支付表格、員工資料、公司資產和支付、合作夥伴財務資訊，及掃瞄的護照等。這網站是在一般網際網路上，因此任何連結該網站的人都可以讀取到這些資訊。</p> <p class="rtecenter"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-cloned-victim-s-website-to-leak-stolen-data/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-Ransomware%20cloned%20victim%20website%20to%20leak%20stolen%20data%20by%20BleepingComputer.png" style="width: 600px;" /></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-cloned-victim-s-website-to-leak-stolen-data/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／BleepingComputer</span></span></a></p> <p>研究人員相信，可能是受害者不支付贖金而遭到報復。透過這種將公司資料放在明網散布，可以帶來更大壓力或羞辱。他認為駭客還可能傳送連結以便將受害企業的客戶導引過來。</p> <p>雖然這新手法效果如何還有待觀察，但顯示駭客創造恫嚇的手法上不斷演進。之前駭客還發展出駭入網站廣告或是打客服電話等手法，逼迫不願就範的企業支付贖金。</p> </div></div></div>
2023/1/3 11:14作者林妍溱https://www.ithome.com.tw/news/154971
Google和解與美國政府的2樁隱私官司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周同意以近3,000萬美金和華盛頓特區及印第安那州達成協議，以和解追蹤用戶位置的隱私官司。</p> <p><a href="https://apnews.com/article/north-america-science-technology-business-ap-top-news-828aefab64d4411bac257a07c1af0ecb" target="_blank">Google 2018年遭《美聯社》爆料</a>，其隱私設定中的地點紀錄（Location History）預設關閉，讓用戶以為自己未被追蹤，卻未告知用戶，預設開啟的網頁行蹤（Web & Activity）其實也能追蹤用戶所在位置。報導引發40州調查。<a href="https://www.ithome.com.tw/news/154200" target="_blank">Google在2022年11月以3.9億美元和這些州和解</a>。</p> <p>印第安那州則是退出上述40州聯合控告，單獨控告Google。上周Google同意支付2000萬美元和該州和解。<a href="https://twitter.com/AGToddRokita/status/1608867708665462784" target="_blank">印第安那州檢察長Todd Rokita指出</a>，這和解金可讓該州拿到比聯合控告多了近2倍的金額。</p> <p>另一方面，<a href="https://twitter.com/AGKarlRacine/status/1608827218616287234" target="_blank">華盛頓特區檢察官Karl Racine 也宣布</a>獲得網路巨人支付950萬美元，以和解Google「欺騙和操弄消費者，包括使用暗黑手法矇騙使用者，存取其地點資料」的官司。他並說，拜和解之賜，Google必須清楚向消費者說明如何蒐集、儲存和使用地點資料。</p> <p>解決完這樁隱私官司後，Google還有其他多州控告的官司，包括<a href="https://www.ithome.com.tw/news/148922" target="_blank">以德州為首的美國10州於2020年1月控告</a>Google廣告提高價格、剝削網站出版商，以及<a href="https://www.ithome.com.tw/news/141776" target="_blank">同年12月38州控告</a>Google行銷自家搜尋引擎的作法，在多種平臺上排擠對手、壟斷市場。</p> </div></div></div>
2023/1/3 12:00作者林妍溱https://www.ithome.com.tw/news/154973
【資安週報】2022年12月26日到12月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月最後一周的漏洞消息中，主要焦點包括：Linux核心CVE-2022-47939漏洞（CVSS評分10）被揭露，Apache ShardingSphere-Proxy的CVE-2022-45347漏洞修補，Kubernetes政策管理引擎Kyverno的CVE-2022-47633漏洞修補，以及月前Citrix ADC與Citrix Gateway漏洞修補後的企業更新狀況。</p> <p>特別要注意的是，TIBCO Software在2018與2019年針對JasperReports伺服器修補的兩個已知漏洞（CVE-2018-5430與CVE-2018-18809），最近有攻擊者正針積極鎖定利用，本周新聞中尚未提到，值得先行留意。</p> <p>至於威脅趨勢上，有兩起值得留意，首先是美國電信業者Comcast Xfinity用戶帳號遭入侵的事件，駭客疑繞過雙因素驗證挾持帳號；其次是駭客在Google廣告散布竊密軟體利用masquerAds規避審核，以及又有新針對WordPress外掛程式的攻擊行動。</p> <p>還有一些國際資安新聞受到不小的關注，例如：美國參議院通過公務裝置全面禁用抖音的法案，南韓警方揭露當地外交智庫學者有近千人遭網釣攻擊，以及俄羅斯駭客企圖入侵北約國家煉油廠，在國內方面有金融資安行動方案2.0出爐消息受注目。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154895"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】容器驗證系統的弱點可被用於上傳惡意映像檔、WordPress禮物卡外掛程式重大漏洞出現攻擊行動</span></strong></a></h3> <p>駭客入侵Kubernetes環境的管道，很可能藉由Docker映像檔來傳送惡意程式，但有專門把關這種映像檔的資安系統出現漏洞，一旦駭客加以利用，就能使得相關驗證流程形同虛設。研究人員提出警告，這樣的漏洞有可能會出現其他同類型的資安系統。</p> <p>又有針對WordPress外掛程式的攻擊行動了！在聖誕節前夕，駭客鎖定讓電商平臺WooCommerce支援禮物卡的外掛程式下手，針對近期被修補的一項漏洞而來，此漏洞在研究人員公布相關細節後就被積極利用，使得資安業者呼籲網站管理者應儘速安裝新版外掛程式。</p> <p>Linux核心的漏洞也相當值得留意，漏洞懸賞計畫Zero Day Initiative公布他們在7月向Linux基金會通報的漏洞，這些漏洞都與SMB元件ksmbd有關，其中最嚴重者CVSS分數達到了10分。</p> <h3><a href="https://www.ithome.com.tw/news/154908"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】逾4億筆推特用戶資料出現於駭客論壇、竊密軟體RisePro疑透過惡意軟體下載器PrivateLoader散布</span></strong></a></h3> <p>推特於今年1月修補的漏洞，駭客在尚未修補之前運用的情況恐怕遠超過先前研究人員的發現！近日有人在駭客論壇兜售超過4億筆的推特用戶資料，與先前公布的資料不同之處在於，這次的資料量極為龐大，而且，賣家向推特喊話，要該公司把資料贖回。</p> <p>美國電信業者Comcast Xfinity的用戶帳號遭竊的情況也相當值得留意，駭客疑似發動帳號填充攻擊，然後使用特製的動態密碼（OTP）繞過工具，而能成功挾持部分用戶的帳號，之後駭客還會對其他雲端服務下手，利用相同的帳密企圖入侵。</p> <p>我們之前介紹過惡意軟體散布服務Pay-per-install，業者透過惡意軟體下載器PrivateLoader來散布客戶的惡意程式，最近有兩家資安業者發現名為RisePro的竊密軟體就以這種方式發動攻擊，且至少有2千臺電腦受害。</p> <h3><a href="https://www.ithome.com.tw/news/154920"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月28日】GuLoader惡意軟體下載器又有新Shellcode規避偵測技術；台積電在年底前設置資安長一職</span></strong></a></h3> <p>在資安分析技術不斷進步之下，攻擊者也持續找出新的規避偵測的技術，本日有兩起資安人員研究公布亦突顯此一情形，包括新的Shellcode技術與新繞過Windows MoTW的方法。</p> <p>南韓警察廳揭露集權鄰國發動大規模網釣與勒索軟體攻擊行動，值得關注，近千位外交專家與數十個購物網站成為鎖定攻擊目標。</p> <p>在國內，金管會要求臺灣上市櫃大型企業在2022年底需設置資安長，今年已有多家公司陸續任命，如今台積電亦推出副總經理林錦坤擔任，明年底上市櫃第二級公司也要注意，必須設置資安專責主管與人員。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154930"><strong><span style="color: rgb(0, 0, 0);">【12月29日】NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy</span></strong></a></strong></p> <p>北韓駭客鎖定加密貨幣發動攻擊的情況不時傳出，最近有組織將目標轉向非同質化代幣（NFT）投資者身上。有資安業者在9月初發現大規模釣魚攻擊，這些駭客使用近200個網域來兜售惡意NFT，並在知名市集上架，而使得投資人可能降低警覺而受騙。</p> <p>手機的揚聲器及動作感知器經過多年的發展，功能日益強大，但這也可能成為攻擊者監聽手機用戶的管道！有5所美國大學的研究人員揭露名為EarSpy的攻擊手法，就是利用動作感知器來收集揚聲器振動的頻率，來得知受害者通訊的對象特徵。</p> <p>駭客投放Google廣告，以提供知名應用程式的名義來散布惡意軟體，但為何這些惡意廣告能躲過Google的審核機制？有資安業者指出，原因是駭客利用無攻擊特徵的masquerAds網域來上架廣告。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154957"><strong><span style="color: rgb(0, 0, 0);">【12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</span></strong></a></strong></strong></p> <p>Citrix針對旗下的Citrix ADC與Citrix Gateway，於上個月和本月各修補了1個CVSS風險層級近乎滿分的重大漏洞，但最近有資安業者提出警告，超過7千臺採用這系列產品的系統尚未完全修補，至少存在其中一個漏洞，而有可能成為駭客鎖定的目標。</p> <p>智慧音箱提供聲控的功能為使用者帶來便利，一旦這類設備出現漏洞，就有可能成為駭客用來監控使用者的管道。有研究人員發現了能挾持Google Home智慧音箱的漏洞，Google認為此項漏洞也可能波及Google Nest與Fitbit等連網裝置，而二度頒發獎勵。</p> <p>微軟日前針對來自網際網路上的Office檔案，大幅限縮執行VBA巨集的功能，而使得駭客改以濫用Excel範本檔案XLL來發動攻擊，有威脅情報研究團隊揭露其手法的演進，並指出駭客濫用應用程式開發框架來打造這種惡意範本檔案。</p> <p> </p> </div></div></div>
2023/1/2 21:49作者羅正漢https://www.ithome.com.tw/news/154961
Lockbit向被加密的醫院致歉，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Lockbit於12月31日向被它加密的加拿大專門救治病童的醫院致歉，並釋出免費解密金鑰。</p> <p>Lockbit是一個勒索軟體即服務（ransomware -as-a-service），他們提供工具及網路，由聯盟成員發動攻擊，Lockbit則分潤20%。</p> <p><a href="https://www.sickkids.ca/en/news/archive/2022/sickkids-responding-to-cybersecurity-incident/" target="_blank">一名聯盟成員於去年12月18日襲擊了</a>位於加拿大的病童醫院SickKids（The Hospital for Sick Children，SickKids）。雖然急診及預約、診療服務未受影響，但攻擊影響檢驗室及醫療影像攝影系統無法存取，以及醫院企業系統、部分電話線路、以及對外網站服務，包括資訊網站及招募入口網站，使院方被迫啟動手動程序。<a href="https://www.sickkids.ca/en/news/archive/2022/update-on-sickkids-response-to-cybersecurity-incident/" target="_blank">SickKids當時評估</a>需要數周才能回復正常。</p> <p><a href="https://twitter.com/AlvieriD/status/1609253113436700678" target="_blank">安全專家Dominic Alvieri發現</a>，Lockbit駭客於新年前夕發出公告，對SickKids醫院正式致歉，並提供免費解密金鑰，他們稱由於其聯盟成員違反了不攻擊醫院的政策，已經遭到封鎖，從其聯盟網路排除。</p> <p><a href="https://www.sickkids.ca/en/news/archive/2022/sickkids-aware-of-and-assessing-decryptor-following-cybersecurity-incident/" target="_blank">SickKids醫院昨（1）日指出已經得知駭客聲明</a>，他們已偕同外部專家驗證解密金鑰的真實性。截至1月1日該院已經回復60%的重點系統，也說並未支付贖金。此外，醫院宣稱至今沒有證據顯示個資和個人醫療資訊外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-apologizes-gives-sickkids-hospital-free-decryptor/" target="_blank">資安網站BleepingComputer報導</a>，駭客稱解密金鑰提供Linux/VMware ESXi環境，但沒有提供Windows版本，顯示這次攻擊只加密了醫院的虛擬機器環境。</p> <p>雖然某些勒索軟體或網路犯罪組織有一些倫理規範，但醫院受害的案例卻仍屢見不鮮。美國路易西安那州的一家醫院LCMHS（Lake Charles Memorial Health System）及奧克拉荷馬州的Avem Health Partners 12月<a href="https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf" target="_blank">通報美國衛生主管機關資料外洩</a>。後者<a href="https://avemhealth.com/AvemWebsiteNotice.pdf" target="_blank">出於合作的資料中心今年春天被駭</a>，超過27萬筆個資外流，前者則是在10月底遭網路攻擊，可能導致近27萬人個資外洩。</p> </div></div></div>
2023/1/2 16:43作者林妍溱https://www.ithome.com.tw/news/154967
Google Chrome下一安全更新將可封鎖HTTP網站下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome計畫進一步防止使用者造訪不安全網站。<a href="https://9to5google.com/2022/12/28/chrome-block-insecure-http-downloads/" target="_blank">9to5Google報導</a>，Google正在開發中的新版Chrome安全更新，將加入可封鎖HTTP網站載入的功能。</p> <p>Chrome從幾年前就開始以HTTPS網站為準，而抑制用戶造訪HTTP網站。<a href="https://www.ithome.com.tw/news/124765" target="_blank">2018年的Chrome 68開始</a>在用戶造訪HTTP網站時發出「不安全」的警告。<a href="https://www.ithome.com.tw/news/145426" target="_blank">2021年的Chrome 93加入</a>HTTPS-only模式。它是包含在「永遠使用安全連線（Always use secure connections）」設定下。啟動後，當瀏覽器發現用戶欲造訪網站不支援HTTPS時會跳出警告，使用者必須手動同意以HTTP造訪才會建立連線。</p> <p><a href="https://chromium-review.googlesource.com/c/chromium/src/+/4126471/7" target="_blank">報導發現Chromium的專案網站</a>一項新的程式碼變更，將2021年的功能再擴大，會封鎖任何HTTP網站直接下載或位於下載路徑中。若用戶要造訪的網站只能經由HTTP協定下載，在Chrome就無法存取。若用戶要造訪HTTPS網站，但中間會經由HTTP網站重導引，Chrome也一樣預設封鎖。</p> <p>這項功能為選擇性功能，用戶必須經由Chrome flag才找得到。不過未來將整合到「永遠使用安全連線」功能的一部分。</p> <p>不過和Chrome之前封鎖HTTP網站的設定一樣，這項新功能還是允許用戶關閉。</p> </div></div></div>
2023/1/2 13:49作者林妍溱https://www.ithome.com.tw/news/154966
加拿大銅礦場遭勒索軟體攻擊被迫關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大一家主要銅礦場上周遭到勒索軟體攻擊，被迫以手動作業，並關閉採礦設備。</p> <p>加國<a href="https://cumtn.com/investors/press-releases/2022/copper-mountain-mining-subject-to-ransomware-attac-4881/" target="_blank">銅山採礦公司（Copper Mountain Mining Corporation）表示</a>，去年12月27日該公司IT系統和公司辦公室遭到勒索軟體攻擊。該公司為了減低損害而將運作系統獨立開來、轉為手動操作，並預防性關閉礦場以判斷控制系統受到的影響。</p> <p>銅山採礦公司已經通報主管機關，合作的外部安全廠商及其IT部門正在評估風險，也已增加防範措施，表示攻擊沒有造成安全事件或環境影響。</p> <p>這家採礦業者目前正在調查攻擊來源。<a href="https://www.bleepingcomputer.com/news/security/canadian-mining-firm-shuts-down-mill-after-ransomware-attack/" target="_blank">資安媒體BleepingComputer報導</a>，安全業者KELA發現，事件發生前約2周，有人在駭客論壇上販售這家公司員工的存取憑證，極可能直接或間接造成攻擊事件的發生。</p> </div></div></div>
2023/1/2 12:53作者林妍溱https://www.ithome.com.tw/news/154965
健保署力推虛擬健保卡整合資訊金流，還要研議健保沙盒與FHIR
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">自1995年全民健保開辦以來，健保卡先後歷經了紙卡、第一代和第二代IC卡時代，也成為整合各種就醫資訊的關鍵。醫師能透過民眾健保卡連結健保雲端查詢系統，讀取過往醫療紀錄，包含12類資料和36類醫療影像，而新產生的就醫資訊，也會回饋至系統；甚至疫情間，健保卡還串聯各類資訊、化身為抗疫工具，是臺灣醫療生態圈中的重要媒介。</p> <p dir="ltr">推動健保卡和健保業務發展，就是健保署的一大任務。問及任內最想實現的目標，健保署署長李伯璋說：「虛擬健保卡和使用者付費部分負擔！」</p> <p dir="ltr">虛擬健保卡的出現，是要解決實體卡長久難治的痛點。比如，卡片晶片毀損難以讀取、遺失需等待補辦，或醫護進行居家醫療時，得攜帶讀卡機和相關設備來讀取患者健保卡，讀取時間還可能耗上1、2小時。為此，2018年，健保署開始與行政院公共數位創新空間小組（PDIS）討論，找來專家聯手設計出虛擬健保卡，要讓民眾透過手機，就能完成過所有就醫手續，不必仰賴實體卡。</p> <p dir="ltr"><span style="font-size:28px;"><strong>鎖定3大看診場景，祭出配套措施先落實</strong></span></p> <p dir="ltr">具體的方法是，民眾在健保快易通App中申辦虛擬健保卡，就醫時秀出虛擬健保卡QR Code，讓院所掃描或授權遠端讀取，就能進行看診。2019年，健保署開始試辦，後來COVID-19疫情爆發，健保署加強力道，針對疫情催生的視訊診療，大力推廣虛擬健保卡。2022年，虛擬健保卡也大幅用於遠距醫療、居家醫療場域，李伯璋更喊出，要在視訊診療、遠距醫療和居家醫療這3大領域，「全面落實虛擬健保卡！」</p> <p dir="ltr">在他眼中，這3大領域是最適合虛擬健保卡練兵的場域。因為，這些情境難以讓實體健保卡發揮效用，不是病人隔著鏡頭與遠端醫師溝通、醫師無法插卡讀取病人資料，就是醫護出動到院外服務病患，得攜帶沉重的設備來讀卡，還可能等上1、2小時。虛擬健保卡可解決這些問題，以QR Code來提高看診效率。</p> <p dir="ltr">為全面落實，健保署也有不少配套措施。首先，健保署祭出獎勵措施，鼓勵醫療院所在這3大領域採用虛擬健保卡，再來，對於居家醫療、醫護訪視人員需攜帶讀卡相關設備，健保署開發了輕量藍牙App，可用來掃描虛擬健保卡QR Code，可立即讀取、減輕設備負擔。</p> <p dir="ltr">健保署還針對視訊診療和遠距醫療，打造了「虛擬健保卡整合視訊門診憑證管理程式及API」。這套授權程式，優化了虛擬健保卡QR Code讀取作業。原本，院所得靠民眾截圖QR Code、切換程式（如Line）傳送截圖給院所，不只民眾不便，醫院也可能因螢幕亮度、畫面模糊等因素難以讀取。健保署開發的授權程式，讓院所發出授權請求、民眾同意後，醫師就能取得虛擬保卡QR Code，馬上查詢雲端就醫記錄資料、進行看診。這麼做，院所不一定要有掃描機設備，也能讀取QR Code。</p> <p dir="ltr">不只對醫院釋出利多和配套措施，健保署今年7月還前進偏鄉離島，展開在地培力訓練，要提高偏鄉民眾的虛擬健保卡使用率。李伯璋指出，他們舉辦了16場在地培力訓練實體活動、同步271個視訊點，首站就到海拔最高的阿里山據點，也搭船至連江縣辦理教育訓練，要讓當地民眾、醫事人員、社區照服人員和意見領袖等成為在地種子，來縮短數位落差。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要串接常用系統，補足加值應用</strong></span></p> <p dir="ltr">為讓虛擬健保卡也有實體卡的加值應用，健保署也正將虛擬健保卡系統串接衛福部其他系統。目前，虛擬健保卡已介接健保雲端查詢系統，供醫師看診時查詢病人醫療資料，但這還不夠，健保署還與民眾最常接觸的業務主管單位，如疾管署、國健署和衛福部口腔健康司，來討論讓民眾持虛擬健保卡接受預防保健、預防接種、癌症篩檢、戒菸服務等業務的可行性，當中也包括各系統對虛擬健保卡的支援。</p> <p dir="ltr">健保署的策略是，先將民眾常用的業務系統與虛擬健保卡系統串接，再擴張到其他周邊系統。這個策略也適用於醫事功能，健保署計畫在2023年，先在虛擬健保卡上線重要的醫事功能，如重複開立醫囑提示功能、藥品交互作用暨過敏藥提示功能，以及單一個案即時下載等API，來支援虛擬健保卡認證，讓虛擬健保卡一一具備實體卡加值功能。</p> <p dir="ltr"><span style="font-size:28px;"><strong>診間報到也行，還要整合銀行支付</strong></span></p> <p dir="ltr">另一方面，健保署也鼓勵院所發想虛擬健保卡應用情境。比如，高醫比照實聯制QR Code，將門診診間的插卡報到看板，加上「報到QR Code」，民眾開啟健保快易通App虛擬健保卡掃描，就能完成報到。又或是，健保署發想，在健保快易通App中，再設計一組含使用者身分證字號和出生年月日的條碼，來讓醫院門診掃描、完成報到。</p> <p dir="ltr">不只串接資訊，虛擬健保卡還要串起診療的金流與物流。李伯璋表示，虛擬健保卡目前已串接醫指付、阿佩支付，並計畫納入更多支付選項，像是財金公司、銀行支付App，特別是與醫院有合作關係或優惠的銀行。他也點出，未來在法規允許下，虛擬健保卡也將結合電子處方箋，來讓民眾領藥更便利。</p> <p dir="ltr">甚至，虛擬健保卡也能走出醫療場景，成為身分驗證工具。李伯璋舉例，目前有電商將虛擬健保卡視為領貨身分證件，健保署也計畫將虛擬健保卡置於手機錢包，來激發更多身分驗證應用。</p> <p dir="ltr"><span style="font-size:28px;"><strong>下一步配合新辦法擴大應用</strong></span></p> <p dir="ltr">遠距醫療、視訊診療、居家醫療成為虛擬健保卡力推場域，但不代表只能在這3大領域應用。李伯璋點出，臺灣已有不少醫院在全院門診推動虛擬健保卡，等於民眾到醫療院所門診看診，也能使用虛擬健保卡，包括彰化宏仁醫院、常春醫院、嘉南療養院、奇美醫院、臺南市立醫院、高醫和花蓮慈濟醫院等。</p> <p dir="ltr">放眼2023年，虛擬健保卡將持續在遠距醫療場域推動，將比照2022年8月1日修訂的全民健保遠距醫療給付計畫（放寬會診科別和適用場域）辦理，並視將上路的新版通訊診察治療辦法，來擴大應用。衛福部在2022年11月預告通訊診察治療辦法修正草案，擴大遠距醫療適用對象為10類、放寬開立處方，2023年1月底截止意見收集後，就會安排公告。</p> <p dir="ltr">虛擬健保卡另一個適用場域：視訊診療，是因疫情而開設，未來也會在疫情趨緩、指揮中心解散而停止。李伯璋指出，若指揮中心解散，健保署將視預算和新版通訊診察治療辦法，來研議視訊診療相關給付方式和配套措施，虛擬健保卡也將持續用於其中。</p> <p dir="ltr">不只如此，診所也是健保署推動虛擬健保卡的努力方向，特別是診所看重系統改版費用，得找出解決辦法。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-CXO%20Talk-%E5%85%A7%E6%96%87%E5%9C%961.png" style="width: 550px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>健保雲端查詢系統整合醫療院所上傳資料，是分級醫療的重要工具，能讓不同院所醫師查詢、為患者提供相對應治療。── 健保署署長李伯璋</strong></span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>推動使用者付費部分負擔，健保雲端系統也是關鍵</strong></span></p> <p dir="ltr">使用者付費部分負擔，是李伯璋任內最想實現的另一個任務。</p> <p dir="ltr">這個制度是要有效運用有限的健保資源，透過階層式收費差距，來引導民眾接受適當的醫療服務，也就是急、重、難、罕等傷病才去大醫院就醫，小病和穩定慢性病到基層院所就醫，來減少非必要檢驗檢查和用藥、落實分級醫療。</p> <p dir="ltr">李伯璋認為，這麼做能建立民眾醫療費用意識，「每年每人減少一次不必要的就醫，就能減少健保支出378億點！」他指出，這比部分負擔調整的預估年收入99.9億還要高出許多，若能減少2、3次就醫，效果更可觀。而節省下來的健保點數，就能用來支援新藥、新療法，也能為罕病提供更好的照護。</p> <p dir="ltr">為讓民眾放心大病去大醫院、小病至診所，或從大醫院轉至診所追蹤病況，就得靠醫療資訊的互通。2013年，健保署開發健保雲端藥歷系統，就是要讓不同醫療機構的醫事人員，能查詢民眾就醫記錄，來避免重複檢驗檢查和用藥。</p> <p dir="ltr">2016年，該系統進一步擴大為雲端查詢系統，提供更豐富的12類醫療資料供查詢，甚至在2018年，還納入醫療影像分享平臺，提供醫療院所上傳的36項檢查醫令影像，如X光片、MR影像、電腦斷層掃描（CT）等，讓跨院所醫事人員能查詢更多類資料。如此，不論是大醫院、小診所，都能透過健保雲端查詢系統，根據病人病況來給予適當治療。</p> <p dir="ltr"><span style="font-size:28px;"><strong>新挑戰1：健保沙盒</strong></span></p> <p dir="ltr">健保署實踐新任務的同時，也有新挑戰出現。如何運用有限的健保給付資源、支援醫療AI發展，就是一大難題。</p> <p dir="ltr">為讓有限的健保資源支持創新醫材，行政院生技產業策略諮議委員會議（BTC）在2022年9月就建議實行健保沙盒，來讓有潛力的醫材產品，先在健保平臺試用一段時間、進行成本效益分析，符合效益再正式納入健保給付。</p> <p dir="ltr">這個健保沙盒計畫，將由藥品查驗中心和健保署來執行。李伯璋指出，沙盒經費不會使用健保基金，已由藥品查驗中心申請經濟部跨部會科技計畫，待經費審核通過後，健保署將配合查驗中心，來收集健保沙盒創新醫材的實證文獻，以及經濟效益評估資料，來累積臨床真實世界證據，再評估是否納入健保給付。</p> <p dir="ltr">他也透露，有助於國民健康和健保資源運用的醫療AI，如早期癌症病灶輔助偵測AI系統，就會是健保署的考量重點之一。</p> <p dir="ltr"><span style="font-size:28px;"><strong>新挑戰2：FHIR轉換</strong></span></p> <p dir="ltr">健保署所面臨的另一個新挑戰，則是衛福部近年力推的FHIR標準轉換政策。近幾年，衛福部力推將電子病歷交換標準，改為國際醫療資料交換標準FHIR，部內也有不少單位開始用來互通資料。</p> <p dir="ltr">李伯璋分析，健保署要求上傳的資料大致分為兩類，一是健保給付和費用申報相關。這類資料不一定是病歷，目前也有統一的上傳格式和醫療費用申報格式，如健保IC卡就醫資料、檢驗檢查資料等，並非標準轉換的優先考量。</p> <p dir="ltr">另一類則是院所上傳的醫療相關資料。健保署盤點發現，這類資料若要改為FHIR，得考量目前欄位是否能以HL7 FHIR官方定義的Resource（類似資料表）來套用，以及院所與相關部門的資料交換方式。此外，若要更改，臺灣所有健保特約醫事機構都得配合，將原本的XML格式改為FHIR，這就會是場浩大工程。</p> <p dir="ltr">也因此，健保署非常謹慎，不僅要展開全面性的綜合評估，也要辦理署內和醫療機構說明會，來蒐集各界意見，找出版本更新的可行性和適當性。健保沙盒計畫和FHIR支援，將是健保署接下來的新課題。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CXO小檔案 </span></strong></span></p> <p dir="ltr"><strong>衛福部健保署署長李伯璋</strong></p> <p dir="ltr">學歷：成功大學科法所碩士畢</p> <p dir="ltr">經歷：1993年至1995年間，分別於日本國立癌症中心、美國約翰霍普金斯大學和明尼蘇達大學擔任訪問學者。回臺後，2004年至2008年於成大附設醫院擔任外科主任，2012至2016年5月擔任衛福部部立臺南醫院院長，之後接任衛福部健保署署長至今。此外，他也自2001年至今，擔任成大醫科外科學科教授</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-CXO%20Talk-%E5%85%A7%E6%96%87%E5%9C%962.jpg" style="width: 301px;" /></p> <p dir="ltr"><strong>健保署</strong></p> <p dir="ltr">成立時間：1995年成立中央健保局，2013年改組為衛福部健保署</p> <p dir="ltr">主要業務：推動全民健保作業、改善醫療品質</p> <p dir="ltr">地址：臺北市大安區信義路三段140號</p> <p dir="ltr">網址：<a href="http://www.nhi.gov.tw">www.nhi.gov.tw</a></p> <p dir="ltr">年預算：約8千億元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關大事記 </span></strong></span></p> <p dir="ltr">●1995年：發行健保紙卡</p> <p dir="ltr">●2002年：發行第一代健保IC卡，與紙卡並行</p> <p dir="ltr">●2004年：全面換發健保IC卡，取代紙卡</p> <p dir="ltr">●2013年：開發健保雲端藥歷</p> <p dir="ltr">●2014年：推出健康存摺</p> <p dir="ltr">●2016年：健保雲端藥歷擴增為健保雲端查詢系統，提供12類醫療資料供查詢；推動居家醫療照護整合計畫</p> <p dir="ltr">●2017年：建置弱勢民眾通報平臺</p> <p dir="ltr">●2018年：設計虛擬健保卡；改版健康存摺，可用手機快速認證；推動醫療影像分享平臺，涵蓋36項檢查醫令影像</p> <p dir="ltr">●2019年：虛擬健保卡試辦、開發輕量藍牙App；開發健保快易通健康存摺SDK；開放產學合作申請健保醫療影像應用</p> <p dir="ltr">●2020年：跨部會開發健保卡TOCC程式；健保快易通App整合口罩實名制；建置全國偏鄉醫師人力需求平臺</p> <p dir="ltr">●2021年：遠距醫療健保給付；規畫部分負擔新制；宣導就醫識別碼；開放慢性病患視訊和電話診療；健康存摺SDK申請作業電子化</p> <p dir="ltr">●2022年：全國偏鄉醫事人力需求平臺上線；健保快易通App串接快篩購買實名制和確診個案自主通報系統；展開虛擬健保卡在地培訓、虛擬健保卡在3大領域全面落實；健保雲端查詢系統2.0改版</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1110-cxo_talk-960tu_.jpg" width="960" height="420" alt="" title="衛福部健保署署長李伯璋" /></div></div></div>
2023/1/2 00:00作者王若樸https://www.ithome.com.tw/people/154941
Martech雙周報第32期：Appier推出CDP，主打No code視覺化商業分析及AI顧客行為預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1218~1231)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客行為預測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#No Code工具</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#視覺化分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Cookie同意管理</span></span></strong></p> <p><strong>Appier推出CDP，主打No code進行AI顧客行為預測及視覺化分析</strong></p> <p>10月收購美國視覺化分析業者Woopra後，臺灣AI行銷科技商Appier結合Woopra No code視覺化分析技術與自家顧客資料科學平臺Aixon功能，<a href="https://www.appier.com/zh-tw/products/airis">推出新CDPAiris</a>。此產品支援英文、日文、韓文和繁體中文四種語系。</p> <p>Airis主打行銷人員能用No code介面來操作AI模型進行顧客行為預測。沒有IT背景的行銷人員只要透過輸入行銷需求，Airis便會自動設定好AI模型參數，來提供顧客行為預測，不需要AI科學家團隊或資料工程師來調校複雜的AI模型特徵值及參數。如此一來，行銷人員可以省下與資料工程師溝通商業邏輯的成本。</p> <p>Airis還採用了Woopra的分析技術與視覺化介面，使行銷人員能從顧客資料庫中自行定義顧客屬性，並從時間軸、受眾群、轉換率、流失率等不同參數來交叉分析，快速生成各式報表。Appier一直以來都相當重視行銷人員自主使用No code工具來進行視覺化數據分析，例如Appier個人化行銷平臺Aiqua上就有拖拉式生成報表功能。</p> <p>另一項值得注意的功能是，為了因應隱私權抬頭及未來第三方Cookie退場，Airis也有管理顧客Cookie同意聲明（CMP, Cookie Consent Management）的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#App廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DMA</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方App市集</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#iOS</span></span></strong></p> <p><strong>蘋果要允許iOS上有第三方App市集，更允許使用者側載App</strong></p> <p>由於歐洲數位市場法（DMA）要求，<a href="https://www.bloomberg.com/news/articles/2022-12-13/will-apple-allow-users-to-install-third-party-app-stores-sideload-in-europe">蘋果將於歐洲市場開放iOS有第三方App市集，且使用者將能不透過App市集自行側載App</a>。這意味著蘋果對iOS App的廣告市場掌控度會降低。</p> <p>自從iOS 14.5隱私權條款上線後，App廣告商接觸iOS用戶的管道就被大幅限縮。App開發商若想在iOS裝置打廣告，不得不屈就於蘋果廣告體系。同時，蘋果也積極推動自家廣告業務，包括打造大型DSP以及增設官方App市集App Store的廣告版位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/apad.png" style="height: 400px;" /></p> <blockquote><p>蘋果近期開始在自家App Store新增廣告版位，例如這個占版面比例一半的Today Tab</p> </blockquote> <p>當App Store不再是唯一上架App到iOS的管道，可以想像大量App開發商逃離──帶著他們原本在App Store打廣告的預算。不只因為有更多廣告體系可以選擇，也因為App Store上架費用遠高於直接競爭者Google Play Store，而且蘋果還會對App內消費抽取高達30%的分潤。</p> <p>過去，蘋果一直以隱私權為由拒絕開放第三方市集和側載，不過若歐洲市場實行後沒有出現大問題，恐怕蘋果也無法再以相同理由守住其他市場的App Store，以及App Store廣告獨佔地位。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售媒體聯播網</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#IAB標準</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span></strong></p> <p><strong>IAB明年將著手制定RMN廣告形式標準，零售媒體廣告格式和行銷成效追蹤將更容易</strong></p> <p>美國互動廣告協會（IAB）程序化及數據中心負責人<a href="https://www.adweek.com/programmatic/consistent-reporting-and-accuracy-buyers-face-retail-media-growing-pains/">Jeffrey Bustos表示，IAB明年將會組織團隊，來研擬零售媒體聯播網（RMN）廣告的標準</a>，預計2024年正式發布。他補充，這些標準也會參考其他廣告形式標準，以利整體廣告成效分析。</p> <p>這意味著RMN已經成為一個相當成熟的程序化廣告投放管道。根據美國研究機構Insider Intelligence，美國RMN市場今年會成長30%到400億美元，明年還會再成長25%到510億美元。今年Q3，美國線下零售龍頭Walmart廣告業務成長了30%，線上龍頭Amazon的廣告營收也成長了25%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#品牌安全</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#出版商控管</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#GDN</span></strong></span></p> <p><strong>Google讓遭禁用的網站主用同一個帳號重新加入多媒體聯播網</strong></p> <p>近日美國調查報導機構ProPublica踢爆，<a href="https://www.propublica.org/article/google-display-ads-piracy-porn-fraud">Google對於惡質廣告出版商（Publisher）的控管出現嚴重缺失</a>。有一個使用Google多媒體聯播網（Google Display Network）的出版商，曾經營假新聞網站，還鬧到遭輝瑞提告。雖然當時他的網站遭停權。如今卻仍能使用同一組GDN帳號來展示廣告，只是新開一個網站就能躲過審查。</p> <p>儘管Google曾經鼓吹廣告業界使用出版商透明化文件Seller.json，GDN自己還是使用去識別化的ID來表示自家出版商，而非出版商的網址和網站主。若Google對於惡質出版商的控管機制如此薄弱，廣告主又無法自行調查出版商底細，便會對廣告主構成品牌安全風險。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#事前過濾</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#事後審核</span></span></strong></p> <p><strong>Twitter推出新品牌安全選項，廣告主能事前過濾內容並事後透過第三方機制驗收</strong></p> <p>Elon Musk掌權社群媒體平臺Twitter後，已經有大量廣告主離開這個平臺，<a href="https://www.mediamatters.org/elon-musk/less-month-elon-musk-has-driven-away-half-twitters-top-100-advertisers">包括原本前100大廣告主中的半數</a>。面臨這個廣告危機之際，Twitter推出<a href="https://business.twitter.com/en/blog/adjacency-controls-third-party-measurement.html">2個新品牌安全措施</a>。</p> <p>第1個是相鄰內容選項，廣告主能在下標前過濾自家廣告不能出現於有指定關鍵字相鄰的內容。Twitter表示，自家平臺原本就會先自動排除部分會造成廣告主困擾的內容，此選項則是進一步增加廣告主對品牌安全的掌控。</p> <p>另一項則是跟2家第三方廣告分析商DoubleVerify及Integral Ad Science合作，依照全球負責任媒體聯盟（GARM）品牌安全標準，提供廣告投放後的品牌安全分析。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#脫離GoogleMap</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#定位資訊</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#位置行銷</span></span></strong></p> <p><strong>LBS行銷圖資新選擇：Linux基金會聯合許多AWS、Meta、微軟等科技大廠一同開發開放地圖資料庫</strong></p> <p>用地理資訊作為行銷依據，是近期Martech的一大新趨勢。若要開發以地理位置為依據的相關服務，通常免不了要花錢從Google Map接API到自家系統。不過，未來可能會有一個同等強大，而且免費的地圖數據來源。Linux基金會聯合AWS、Meta、微軟以及提供Apple Maps地圖資料的導航廠商TomTom，<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-overture-maps-foundation-to-build-interoperable-open-map-data">宣布要開發開源的地圖資料庫Overture</a>，供開發者使用。</p> <p>Overture Maps基金會表示，由於地圖開放資料庫通常會有多個資料來源，因此往往難以有條理的整合所有資料並提供簡單易懂的資料綱要。結合這些大廠商之力，Overture將嚴格審查地圖資料正確性，並開發一個物件檢索系統，整合多種地圖資料來源，並確保這些資料結構仍簡單易懂。預計2023年上半年就會釋出第一版的全球地圖數據集，並提供相關開源程式碼來協助開發者能處理和有效利用這些地圖數據和及物件檢索系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. Disney+的<a href="https://martech.org/ad-supported-streaming-expands-with-new-disney-tier">廣告訂閱模式正要上線</a>，不過<a href="https://www.adexchanger.com/ad-exchange-news/friday-16122022/">Netflix剛因為廣告成效不如預期而退廣告主錢</a>。</p> <p>2. <a href="https://www.axios.com/2022/12/20/google-meta-duopoly-online-advertising">廣告雙巨頭Google及Meta的合計廣告營收8年來首度低於美國廣告總花費一半</a>。</p> <p>3. <a href="https://www.mediapost.com/publications/article/380936/microsoft-store-ads-to-become-generally-available.html?edition=128715">微軟終於要正式推出App市集廣告及顯示在搜尋引擎和地圖上的飯店廣告</a></p> <p>資料來源：iThome整理，2022年12月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2022/12/30 15:09作者郭又華https://www.ithome.com.tw/news/154958
【資安日報】2022年12月30日，數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Citrix針對旗下的Citrix ADC與Citrix Gateway，於上個月和本月各修補了1個CVSS風險層級近乎滿分的重大漏洞，但最近有資安業者提出警告，超過7千臺採用這系列產品的系統尚未完全修補，至少存在其中一個漏洞，而有可能成為駭客鎖定的目標。</p> <p>智慧音箱提供聲控的功能為使用者帶來便利，一旦這類設備出現漏洞，就有可能成為駭客用來監控使用者的管道。有研究人員發現了能挾持Google Home智慧音箱的漏洞，Google認為此項漏洞也可能波及Google Nest與Fitbit等連網裝置，而二度頒發獎勵。</p> <p>微軟日前針對來自網際網路上的Office檔案，大幅限縮執行VBA巨集的功能，而使得駭客改以濫用Excel範本檔案XLL來發動攻擊，有威脅情報研究團隊揭露其手法的演進，並指出駭客濫用應用程式開發框架來打造這種惡意範本檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數千臺Citrix伺服器存在重大漏洞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/update-adoption-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/update-adoption-1.png" style="width: 300px; float: right;" /></a>Citrix於11月、12月上旬先後修補了CVE-2022-27510及CVE-2022-27518兩個重大漏洞，CVSS風險層級分別達到9.8分與10分，影響Citrix ADC與Citrix Gateway，後者更已傳出被用於攻擊行動，但仍有不少設備尚未修補上述漏洞。資安業者Fox IT指出，在網際網路上公開的設備約有2.8萬臺，當中約有3,000臺同時存在上述兩項漏洞，約1,000臺受到CVE-2022-27510影響，約3,500臺可能曝露在CVE-2022-27518的風險之中。</p> <p>研究人員指出，公開於網際網路的Citrix ADC與Citrix Gateway設備，數量最多的依序是美國、德國、英國，分別有42%、57%、45％修補上述2個漏洞。</p> <h3><a href="https://blog.talosintelligence.com/xlling-in-excel-malicious-add-ins/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因應微軟圍堵VBA巨集，駭客濫用.NET開發框架製作惡意Excel範本檔案，並用於網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/xll-pasted-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xll-pasted-image.png" style="width: 300px; float: right;" /></a>思科的威脅情報小組Talos揭露近期駭客濫用Excel範本檔案（XLL）的攻擊行動，指出隨著微軟對於來自網際網路（MoTW）的Office檔案限縮VBA巨集的功能，駭客開始偏好使用惡意XLL來發動攻擊，且於去年年底達到高峰。這些駭客採用Excel-DNA和Add-In Express等應用程式開發框架，以.NET程式語言開發惡意Excel範本檔案。</p> <p>其中，名為Warzone（亦稱Avemaria）的木馬程式在今年8月就是透過這類XLL檔案散布，駭客假冒匈牙利警方對當地使用者發動釣魚郵件攻擊。</p> <h3><a href="https://economictimes.indiatimes.com/news/new-updates/indian-railway-data-leak-30-million-railway-customers-data-for-sale-on-the-dark-web/articleshow/96569440.cms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度鐵路公司外洩大量資料，3千萬筆乘客個資流入暗網</span></strong></a></h3> <p>根據新聞網站Economic Times的報導，12月27日，印度鐵路餐飲暨旅遊公司（IRCTC）傳出大規模資料外洩事件，駭客於暗網兜售相關資料，聲稱掌握了3千萬筆曾經搭乘的旅客個資與發票，個資內容包括使用者名稱、電子郵件信箱、手機號碼、性別、城市代碼、偏好使用的語言等。而發票的部分，其中有些的到期日為今年的12月31日。</p> <p>駭客表示政府人員與重要人物的個資已被盜用，他們的資料已有10個人購買。這並非IRCTC首度遭駭，該公司曾於2019年遭到攻擊，而在隔年有900萬人個資出現在網際網路上。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://downrightnifty.me/blog/2022/12/26/hacking-google-home.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google智慧音箱弱點恐讓駭客能偷窺語音指令</span></strong></a></h3> <p>研究人員Matt揭露於去年通報的Google Home智慧音箱漏洞，這項漏洞一旦遭到利用，攻擊者有可能在該智慧音箱新建帳號，然後在網路環境裡部署後門程式，以便遠端進行控制，並且存取麥克風來監聽使用者說話的內容。研究人員對此也公布了3個概念性驗證程式，分別利用該漏洞監控麥克風、發出任意HTTP請求，以及在智慧音箱讀寫任意檔案。Google獲報後於2021年4月修補，研究人員得到10.7萬美元獎勵。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154929"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國將全面禁止公務裝置安裝抖音</span></strong></a></h3> <p>根據華盛頓郵報、路透社報導，美國參議院12月14日無異議通過名為《No Tiktok on Government Devices Act》的法案，將禁止美國政府或國營企業的任何裝置下載或使用抖音。一旦獲得該國總統拜登簽署，將成為正式法律。美國行政管理與預算局（Office of Management and Budget）將於法律發布後的60天內，和其他相關單位諮詢後制定標準和指引，要求行政部門移除這個中國應用程式。這並非參議院首度封殺抖音──他們曾在2020年通過類似法律，但當時的總統川普並未簽署而沒有實施。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/crypto-platform-3commas-admits-hackers-stole-api-keys/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資機器人3Commas坦承資料外洩，駭客聲稱竊得10萬個API金鑰</span></span></strong></a></p> <p><a href="https://cointelegraph.com/news/defrost-finance-breaks-silence-on-exit-scam-accusations-denies-rug-pull"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DeFi平臺Defrost Finance聖誕節前夕遭閃電貸攻擊，損失1,200萬美元，被社群懷疑是自導自演</span></span></strong></a></p> <p><a href="https://www.financialexpress.com/life/technology-govt-of-india-issues-advisory-against-potential-phishing-attacks-in-wake-of-lastpass-data-breach-2930866/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度針對LastPass資料外洩事件可能衍生的網釣攻擊提出警告</span></span></strong></a></p> <p><a href="https://kb.netgear.com/000065495/Security-Advisory-for-Pre-Authentication-Buffer-Overflow-on-Some-Routers-PSV-2019-0208"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Netgear針對路由器的預先身分驗證記憶體溢位漏洞發出公告，呼籲用戶儘速修補</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukraine-shuts-down-fraudulent-call-center-claiming-18-000-victims/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭查獲詐欺客服中心，受害者達1.8萬人</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154930">【2022年12月29日】 NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154920">【2022年12月28日】 GuLoader惡意軟體下載器又有新Shellcode規避偵測技術；台積電在年底前設置資安長一職</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154908">【2022年12月27日】逾4億筆推特用戶資料出現於駭客論壇、竊密軟體RisePro疑透過惡意軟體下載器PrivateLoader散布</a></strong></strong></strong></p> </div></div></div>
2022/12/30 14:49作者周峻佑https://www.ithome.com.tw/news/154957
數位成癮背後的根本問題
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-mo_fang_yu_wang_-960tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">有一天，一位導師建議我研究一套思想。他告訴我，這些思想可以解釋我為什麼會想要這些我想要的東西，以及我的欲望如何讓我陷入熱情與幻滅更迭的循環中。</p> <p dir="ltr">這些思想來自一位相當沒沒無聞但是深具影響力的學者——勒內．吉拉爾（René Girard）。他在二○一五年辭世，享年九十一歲，生前被封為法蘭西學院的不朽人物，並被稱為「社會科學界的新達爾文」。一九八○年代至一九九○年代中期，他在史丹佛大學任職教授期間，啟發一小群追隨者。他們當中有些人認為，吉拉爾的思想將是理解二十一世紀的關鍵，而當我們在二一○○年左右書寫二十世紀歷史時，他會被視為他這一代最重要的思想家。</p> <p dir="ltr">吉拉爾指出一個關於欲望的基本真理，將看似無關的事物連結起來，像是聖經故事與股市波動；古代文明的瓦解與工作場所的失能；職涯路徑與飲食趨勢。早在臉書（Facebook）、Instagram（IG）以及後續流行的各種社群媒體出現之前，他就已經提出解釋，解析它們銷售商品與夢想為什麼可以如此大受歡迎而有效。</p> <p dir="ltr">吉拉爾發現，我們的渴望大部分是出於模仿（mimetic），也就是有樣學樣，而不是源自內在。人類是通過模仿才學會想要其他人想要的那些東西，就像學會如何說相同的語言並按照相同的文化規則行事一樣。模仿在我們的社會所發揮的作用，比任何人公開承認的還要廣泛。</p> <p dir="ltr">我們的模仿能力，任何其他動物都相形見絀。我們靠著模仿，建構複雜的文化和技術。同時，模仿也有它黑暗的一面。模仿會讓人們追求起初看起來令人嚮往、但最終卻無法為他們帶來滿足感的事物。它將人們鎖在欲望和敵對競爭的循環中，而我們很難逃脫這些循環——可以說是不可能。</p> <p dir="ltr">但是，吉拉爾給了他的學生希望。我們有可能超越令人挫敗的欲望循環。我們也有可能擁有更多的力量，形塑我們想要的生活。</p> <p dir="ltr">認識吉拉爾的著述，讓我從「噢，真糟糕！」轉變為「啊，真奇妙！」模仿理論幫助我辨識人們行為與當前事件的模式。那是容易的部分。後來，在我觸目所及都看到模仿欲望、但就是在自己的生活裡看不到之後，我也開始在自己身上看到它——這是我的奇妙時刻。模仿理論最終幫助我發現、整理自己凌亂的欲望世界。這是一個困難的過程。</p> <p dir="ltr">我現在確信，要從人性深層了解理解商業、政治、經濟、體育、藝術，甚至愛情，理解模仿欲望就是關鍵。如果金錢是你主要的驅力，理解模仿欲望能幫助你賺錢。或者，它可以幫助你避免等到中年或更晚才知道，金錢、聲望或舒適的生活並不是你想要的東西。</p> <p dir="ltr">模仿理論揭露經濟、政治和個人緊張局勢背後的刺激因素是什麼，並指出擺脫它們的方法。對於那些具有創新精神的人來說，它可以引導他們的創造力，用於能創造真正的人類和經濟價值的計畫，而不只是財富轉移。</p> <p dir="ltr">我並不是說我們有可能、甚或應該要克服模仿欲望。本書的主要目的是讓讀者更認識模仿欲望，以能夠更好地駕馭它。模仿欲望就像重力——它恰恰就是一種引力。重力始終都在運作。有些人的核心肌群和脊椎周圍的肌肉發展得不夠強壯，無法抵抗向下的重力，他們因而無法抬頭挺胸、打直腰桿來面對世界，身體痛個不停。同樣活在重力世界裡，有些人卻有辦法登陸月球。</p> <p dir="ltr">模仿欲望就像這樣。倘若我們沒有意識到它，它將會把我們帶到我們不想去的地方。但是，如果我們鍛鍊正確的社會與情感肌群來因應它，模仿欲望就會成為正向改變的實現之道。</p> <p dir="ltr"><strong><span style="font-size:28px;">與不健康的榜樣劃清界線</span></strong></p> <p dir="ltr">你可能至少會追蹤幾個對你的模仿欲望來說是不健康的榜樣。那可能是相識的朋友，又或者是之前的同事，又或者只是某個你在社群網路上追蹤的人物，多年來你一直關注著他的職涯發展。你需要知道他們在做些什麼。你關心他們的想法，你也關心他們想要什麼。</p> <p dir="ltr">與他們在你身上施加的力量保持距離是很重要的。取消追蹤這些人。不要再問到關於他們的一切。</p> <p dir="ltr">我有個朋友曾是舊金山一間新創公司的早期員工，當時他發現自己與一位才華洋溢的同事建立了一段高度模仿的關係。公司快速成長，因此他們有好幾個月不得不日以繼夜地一起工作才能趕上進度。如果他的對手傳訊息給團隊說他在辦公室忙到晚上十點才離開，那我這位朋友隔天晚上就會在公司留到十點半，而且也讓每個人都知道這件事。</p> <p dir="ltr">過沒多久，我的朋友與他的對手都通宵工作。並不是因為工作需要他們這樣做，而是因為他們的模仿競爭。</p> <p dir="ltr">最後，我朋友的對手離開，開了一間和自己同名的公司。三個月後，我朋友也這麼做。（他看到一個「市場上的機會」，當然，和他的競爭對手恰好在同一個時間。）</p> <p dir="ltr">長達幾個月的時間，他追蹤這位競爭對手的公司與社群媒體每天的貼文。他不會向任何人（包括他自己）承認，他的一舉一動都取決於對方做了什麼。</p> <p dir="ltr">距離他們單飛創業已經過了八年。去年的某一天，我偶然發現一篇關於那個競爭對手的新聞報導，然後把那篇文章傳給我朋友，附上一段話說：「嘿，看一下湯尼（非當事人的真名）最近在做什麼。」出乎我意料之外的是，我朋友只是禮貌地回應：「感謝分享，但是我馬上刪掉了。約莫一年前，我完全擺脫湯尼的束縛，我甚至不再想知道他在做些什麼，我也希望可以繼續這樣。」</p> <p dir="ltr">不傳這樣的東西，我其實很開心。而今天，我朋友更開心。</p> <p dir="ltr"><span style="font-size:28px;"><strong>社群傳遞</strong></span></p> <p dir="ltr">我們常說的「社群媒體」，其實已經不只是媒體，而是一種傳遞（mediation）：無數人告訴我們該想要什麼，為我們對那些事物的認知染色。</p> <p dir="ltr">前Google 倫理長、人本科技中心（Center for Humane Technology）領導者崔斯坦．哈里斯（Tristan Harris）談到科技中成癮設計的危險。他聲稱智慧型手機就像吃角子老虎機。兩者都透過間歇變動獎勵的力量發揮作用——拉著吃角子老虎的拉把帶來高度變動的獎勵，可以將神經性的成癮最大化；你的智慧型手機也在做相同的事情，在你每一次滑手機更新你的IG動態消息時，你永遠不知道何時會有什麼有趣的事情出現在螢幕上。</p> <p dir="ltr">我尊敬哈里斯提倡以人為本的設計，但他忽略了一個根本問題。更好的設計有幫助，但是只能處理部分的問題。</p> <p dir="ltr">危險不在於我們的口袋裡裝著吃角子老虎機。危險在於我們的口袋裡有一個夢想機器。智慧型手機透過社群媒體、Google搜尋引擎，以及餐廳與飯店的評論，傳遞全球數十億人的欲望給我們。我們的神經對於智慧型手機上癮是真的；智慧型手機是一個入口，讓我們可以無拘無束地自由進出他人的欲望世界，造成我們對於其他人的欲望上癮，而這是形而上的威脅。</p> <p dir="ltr">模仿欲望是社群媒體真正的引擎。社群媒體其實是社群傳遞——而我們的榜樣現在幾乎總是在我們的個人世界裡。</p> <p dir="ltr">我們住在新鮮人島上。每一個人都必須審視這在我們的生活中意味著什麼——模仿欲望如何在我們所處的環境中表現出來，以及我們應該如何生活。</p> <p dir="ltr">這個新世界代表一種威脅，但也是一個機會。有哪些新的欲望路徑出現？我們又可以抓住哪些新機會？我們如何傳播以及感染那些最終帶來自我實現而不是自我毀滅的欲望？這些是我們身為個人和社會最終必須提出和回答的問題。<strong><span style="color:#696969;">（本文摘錄整理自《模仿欲望》，天下文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%A8%A1%E4%BB%BF%E6%AC%B2%E6%9C%9B-%E5%85%A7%E6%96%87%E5%9C%961.png" style="width: 350px;" /></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>模仿欲望：從人性深處理解商業、政治、經濟、社會現象，還有你自己</strong></span></p> <p dir="ltr">柏柳康（Luke Burgis）／著；楊姝鈺／譯</p> <p dir="ltr">天下文化出版</p> <p dir="ltr">定價：480元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%A8%A1%E4%BB%BF%E6%AC%B2%E6%9C%9B-%E5%85%A7%E6%96%87%E5%9C%962.jpg" style="width: 200px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Luke Burgis</span></span></p> <p dir="ltr"><strong>柏柳康（Luke Burgis）</strong></p> <p dir="ltr">紐約大學史登商學院畢業，並在羅馬的一所宗鐸大學取得神學學位。曾創辦並領導數家新事業。目前在美國天主教大學（Catholic University of America）的喬卡原則性創業中心（Ciocca Center for Principled Entrepreneurship）擔任常駐創業家與計畫主任、教授商業學並開發新教育專案。他是新創事業育成中心第四牆創投（Fourth Wall Ventures）的創辦人和管理合夥人，為人類健康生態領域的企業與人員提供訓練與輔導。</p> </div></div></div>
2022/12/30 14:42未署名https://www.ithome.com.tw/article/154943
起訴比特幣幕後黑手
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-jia_mi_huo_bi_zhi_wang_-960tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行路出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">凱蒂．霍恩（Katie Haun）在新的犯罪檔案上輸入字母「F-N-U L-N-U」（名未知，姓未知）。聯邦檢察官尚未確認嫌犯的身分時，就是以這種方式來指稱嫌犯，念法是「fe-new el-new」。</p> <p dir="ltr">不管這個嫌犯是誰，霍恩都很慶幸自己有機會追查這個傢伙。</p> <p dir="ltr">霍恩是個活力充沛的金髮女子，二〇〇九年來舊金山時，是法律界炙手可熱的精英。</p> <p dir="ltr">霍恩的上司只告訴她，這個案子涉及電腦及一大堆非法活動。霍恩回憶道：「老闆只對我說：『你有興趣起訴一種名叫『比特幣』的新玩意兒嗎？』當時我連聽都沒聽過比特幣。」</p> <p dir="ltr">儘管如此，她還是一口答應了。</p> <p dir="ltr"><span style="font-size:28px;"><strong>非法貨幣</strong></span></p> <p dir="ltr">起訴一種貨幣，這個概念似乎聽起來很荒謬。審判比特幣，就好比在法庭上交互詰問百元美鈔。不過儘管二〇一二年的檢察官不清楚比特幣是什麼，卻知道它周遭正在發生什麼事情，因此對他們來說起訴比特幣很合理。當時數位貨幣在一系列犯罪活動中不斷出現——從洗錢、販毒，到敲詐勒索，都看得到數位貨幣的蹤跡。</p> <p dir="ltr">然而沒過多久霍恩就發現，那個代稱FNU LNU的嫌犯根本不是犯罪頭目或黑幫組織，而是一種全新科技。</p> <p dir="ltr">比特幣區塊鏈上的第一個區塊，出現在二〇〇九年，是比特幣的神祕創造者「中本聰」開創出來的。從那時起，世界各地的電腦陸續創造出五十幾萬個區塊。二〇一九年底，接在第599,999塊區塊之後，第六十萬個區塊誕生了。它就像之前的其他區塊一樣，包含多筆交易，顯示交易者如何使用比特幣。區塊鏈不會顯示每批比特幣究竟由誰擁有，它只會顯示跟擁有者有關的一長串字母與數字。區塊鏈上的每個人都有一串由數字與字母組成的亂數代碼，稱為地址（address）。比特幣的擁有者是以私鑰取得某個地址的比特幣。</p> <p dir="ltr">阿姆斯壯設計Coinbase的初衷，是為了免去地址與私鑰引起的麻煩事，讓大家可以像使用網路銀行那樣取得比特幣。不過，Coinbase依然是使用區塊鏈。它代表客戶買賣比特幣時，會產生交易，那些交易也會集結成區塊，添加在不斷增長的區塊鏈後方。但除非你知道Coinbase是用哪個地址做交易，否則你很難知道Coinbase參與了交易。這就是比特幣特別的地方：即使區塊鏈是公開的，每個人都看得到，但你不知道某個比特幣是誰的，除非持有者表明那個地址是他的。如今，在某些情況下，有些區塊鏈鑑識公司可以猜出誰掌控某個比特幣的地址。但是在許多情況下，尤其是帳戶擁有人小心掩護自身蹤跡時，任何人都無法知道出現在總帳上的交易出自誰。</p> <p dir="ltr">不過，儘管比特幣在技術上如此精妙，為了讓比特幣運作，還是需要動用一點人為操作——這是指社交上。區塊鏈的總帳，需要依賴一個由志願者的電腦組成的分散式網絡。一般人何必把自己的電腦出借給這個全球記帳系統呢？中本聰也想到了這個動機問題，所以他把一種巧妙的彩券系統嵌入比特幣的核心。這個系統邀請任何人來參加一個競賽，只要解開一個數學題，就可以獲得比特幣。那道數學題只能靠大量的試誤流程（trial and error）來推斷。比賽約每十分鐘舉行一次，誰率先算出答案，就把答案廣傳給網絡上的其他電腦。那個贏家廣傳答案時，也把最新的區塊（裡面包括那道數學題的答案，以及最新一批的比特幣交易）添加到總帳中。只要答案正確，那些參與彩券系統的人（稱為「礦工」）就會繼續解下一個數學題。解開數學題的人，可以得到與那個區塊有關的費用（小量新創造的比特幣）作為獎賞，有些人把那種小量新創的比特幣稱為「區塊獎勵」（block reward），也有人稱之為coinbase。</p> <p dir="ltr">比特幣的區塊鏈與獎勵系統都很巧妙，甚至很聰明，但這無法解釋為什麼比特幣一開始就有價值。畢竟它連硬幣都不是，不過是一小段你看不見、也摸不著的電腦程式碼罷了。</p> <p dir="ltr">但這不重要。比特幣是貨幣，貨幣代表信任。重點是，只要有夠多的人認同比特幣的價值，而且願意以有價值的東西去獲取比特幣，比特幣就值錢。</p> <p dir="ltr">一開始，比特幣的價值就像懷疑論者所說的：一文不值。二〇一〇年初，出現了幾筆網上交易，買家只花幾便士就買到幾十個比特幣。那些交易讓人以比較輕鬆的方法取得比特幣，不需要辛苦解數學題（亦即挖礦）。但是，當時對多數人來說，用美元買比特幣，就好像拿一頭牛去換幾顆魔豆一樣。</p> <p dir="ltr">到了二〇一〇年五月二十二日，比特幣開始流通了，變成了通貨。佛羅里達州一位名叫拉斯洛．漢耶茲（Laszlo Hanyecz）的男子試圖向全世界證明，比特幣在現實世界中也有價值。他在一個線上論壇上出價：「我願意花一萬個比特幣買幾個披薩……比如兩個大披薩，這樣我可以留一點明天再吃。」英國有一個人接下這個訂單，他收到一萬個比特幣——當時價值約三十五美元——然後送了兩個披薩到漢耶茲的家。這個交易在世界各地的科技媒體上成為新聞，那一波宣傳推動了比特幣價格上揚。</p> <p dir="ltr">二〇一二年阿姆斯壯創立Coinbase時，比特幣不再只值幾便士，而是幾美元。這時全球已有數百萬人知道比特幣是什麼、以及該怎麼用，只是大家依然不知道究竟是誰在幕後操縱著比特幣，就連美國助理檢察官霍姆和她的上司也不知道。大家只知道有個化名「中本聰」的人寫了那篇白皮書。那份白皮書究竟是誰寫的。種種跡象都指向美國博物學家尼克．薩博（Nick Szabo）。</p> <p dir="ltr">薩博是法學家，也是資深的程式設計師，與實驗數位貨幣多年的線上社群「加密龐克」（cypherpunks）關係深厚。「加密龐克」匯集了一群喜好密碼學的人士，他們都非常不信任政府。這點也反映在薩博的推特發文中，而且他鮮少公開露面。比特幣剛出現時，加密龐克的一些成員也與比特幣密切相關，尤其是已故的程式設計師哈爾．芬尼（Hal Finney），但一些重要的線索顯示，那篇白皮書是薩博寫的。例如《紐約時報》記者、撰寫《數位黃金》（Digital Gold）一書的納撒尼爾．波普爾（Nathaniel Popper）講述的軼事，把薩博列為比特幣早期發展的核心。此外，語言學家也拿那份白皮書與中本聰的電郵，跟薩博、芬尼以及其他幾位可能人選的書寫內容做比較。薩博的用字遣詞最接近中本聰，而且中本聰（Satoshi Nakamoto）的首字母（S與N）正好和尼克．薩博（Nick Szabo）相反——這可能是巧合，上述一切都可能是巧合，但是如果你認同「奧坎剃刀」（Occam's Razor）這個哲學原則（簡單的解答比複雜的解答更有可能是正確答案），那麼比起堅稱中本聰另有他人或稱這是個無法解開的謎團，你應該更傾向接受薩博就是中本聰才對。</p> <p dir="ltr">如今，薩博是不是中本聰已經不重要了。比特幣的發展早已超越了那份白皮書和一個人或一小群人。那種貨幣及其主幹（區塊鏈）如今在世界各地成千上萬台電腦上活動，任何軍隊或政府都無法消除它，除非關閉網際網路。</p> <p dir="ltr">早在二〇一二年，這個祕密就已經眾所皆知。霍姆的上司要求她調查FNU LNU先生時，清剿比特幣的機會已經消失。或許早個兩年，在比特幣剛開始流通時，還有可能藉由圍捕早期用戶以及扣押他們的電腦，來阻止比特幣流通，但那個契機早就過了。霍恩越是了解比特幣，越覺得「對比特幣提出刑事指控」一點也不合理。<span style="color:#696969;"><strong>（摘錄自《加密貨幣之王》第2章，行路出版提供）</strong></span></p> <p class="rtecenter" dir="ltr"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E4%B9%8B%E7%8E%8B_%E5%85%A7%E6%96%87%E5%9C%961.png" style="width: 300px;" /></strong></span></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>加密貨幣之王：從矽谷到華爾街，虛擬貨幣如何顛覆金融秩序</strong></span></p> <p dir="ltr">傑夫．約翰．羅伯茲（Jeff John Roberts）／著；洪慧芳／譯</p> <p dir="ltr">行路出版</p> <p dir="ltr">定價：450元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E4%B9%8B%E7%8E%8B_%E5%85%A7%E6%96%87%E5%9C%962.png" style="width: 200px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Jeff John Roberts</span></span></p> <p dir="ltr"><strong>傑夫．約翰．羅伯茲（Jeff John Roberts）</strong></p> <p dir="ltr">傑夫．約翰．羅伯茲是《財星》雜誌的記者，專門報導加密貨幣、專利改革、區塊鏈技術、駭客與社群媒體時代的隱私等主題，其作品亦散見於其他媒體，包括《彭博商業週刊》、《路透社》與《紐約時報》。他是版權法及其他智慧財產權的權威，擁有在紐約州及安大略省執業的執照，曾獲邀上BBC、CNN、NBC、CheddarTV等媒體分享科技與法律觀點。</p> </div></div></div>
2022/12/30 14:49未署名https://www.ithome.com.tw/article/154948
電子支付新戰局
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1110-feng_mian_p1-open-wen_bin_-960x420_kao_bei_.jpg?itok=y_LMoSf4" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新版電支機構管理條例上路後，開放業者經營國內外小額匯兌、外幣買賣、提供訊息傳遞服務，賦予業者更多商機，加上兩大零售業者加入，零售、金融、支付、網通、電信資服5大類業者搶進，電子支付市場進入新競局</p> </div></div></div>
2022/12/30 13:48作者蘇文彬https://www.ithome.com.tw/article/154954
OMO跨業整合新世界
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">臺灣走進後疫新常態的2022年，確診後的痛苦和辛苦不減，但逐漸成為日常一環。我們可以上街、吃館子、出國，但是人們不再對外送平臺的運費斤斤計較，甚至願意付出一筆虛擬世界的路費，只為了在家滑滑手指，就能將線上購物車內的商品，直接送到家門口。人際隔離生活、遠距互動的體驗，讓消費習慣從此也改變了。</p> <p dir="ltr">臺灣電子支付產業也在2022年發生了根本性的變革，正好趕上臺灣新常態的數位生活習性轉型潮，兩者相加，就像是氫氣遇上氧氣，產生了爆炸式的化學變化。</p> <p dir="ltr">新版電支機構管理條例在2021年7月上路，不只將儲值卡、電子支付合而為一，更吸引了全聯、全家、PChome加入競爭，超商巨頭、零售巨頭、電商巨頭紛紛跨界而來，讓這個金融產業的新賽場，變成了異業競爭的新場域。</p> <p dir="ltr">除了不同產業的融合，新版電支機構管理條例中，開放電支機構經營金融服務、代理收付款項、外幣買賣、國內外小額匯兌、紅利積點整合及折抵服務等，甚至還包括了使用者間及使用者與特約機構間訊息傳遞等服務，不只讓電子支付業者可以具備微型純網銀的能力，甚至可以創造更多型態的非典型金融服務模式。</p> <p dir="ltr">電子支付的影響力，不只可以通吃實體世界和虛擬世界的消費現場，更能將金流與資訊流整合，透過支付交易，串連了消費者在各種生活場景、不同產業的消費行為，也彙整了背後的消費資訊，涵蓋越廣，橫跨產業越多，這個金流與資訊流的整合效應也就能越強。</p> <p dir="ltr">而零售和超商實體世界巨頭的加入，更將實體的人流、物流整合到虛擬的金流、資訊流上，電子支付反成了這群實體巨頭深化會員經營，拉高會員貢獻度（購買量），甚至串連其他異業結盟的重要數位手段，以電子支付服務所串起的多產業異質生態圈，將會成為最大的OMO產業生態圈，這正是吸引各巨頭覬覦，紛紛跨界而來的緣故。</p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/154954" target="_blank">2022年iThome最後一期封面故事「電子支付新戰局」</a>，正是報導臺灣電子支付產業的新變局，不只是市場變大，競爭者變多，更關鍵的是經營模式也產生本質上的轉變。</p> <p dir="ltr">四大關鍵業者，一卡通、街口支付、全支付、全盈支付，合計超過千萬用戶，支付據點累計超過百萬個，遍布全臺灣，也串連到各業者原本擅長的交通生態圈、生活生態圈、零售生態圈和超商生態圈。</p> <p dir="ltr">在人流、物流、金流、資訊流整合之下，補貼獲客戰略成了過時做法，數據導向的會員深度經營，成了各家不同戰略背後的共通精神。</p> <p dir="ltr">截稿之際，突然出現了另一個金融服務創新的重要催化劑政策。<a href="https://www.ithome.com.tw/news/154907" target="_blank">金管會趕在12月最後一周，宣布了金融資安行動方案2.0版</a>，其中一項新措施是，金管會為了因應金融產業數位轉型和網路服務開放的需求，將修訂多項自律規範，包括eKYC相關規範，例如電子銀行安控機制等，或是金融業與第三方合作風險評估的相關規範，例如跨機構資服業者合作廠商的風險評估與查核方式，規範重點也將納入金融服務韌性與網路邊際防護等重點。這些自律規範的修訂勢必會影響金融數位服務接下來的發展，甚至讓原本不可行的金融服務模式，有機會實現。</p> <p dir="ltr">電子支付融合出全新的產業世界，而後疫新常態則帶來了新的消費生活習性，線上消費線下取用的物流代價，變成了可接受的成本，降低了OMO商業模式最大的心理阻力。</p> <p dir="ltr">兩者相乘，創造了一個可以有更多創新可能的電子支付新藍海，同時也是新紅海，因為業界巨頭也來了。這正是我們2023年的OMO新生活。</p> <p dir="ltr"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154954" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154954" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1110-feng_mian_p1-open-wen_bin_-960x420_kao_bei_.jpg?itok=y_LMoSf4" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E5%85%A8%E6%94%AF%E4%BB%98">全支付</a></div><div class="field-item even"><a href="/tags/%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98">全盈支付</a></div><div class="field-item odd"><a href="/tags/%E4%B8%80%E5%8D%A1%E9%80%9A">一卡通</a></div><div class="field-item even"><a href="/tags/%E8%A1%97%E5%8F%A3%E6%94%AF%E4%BB%98">街口支付</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E5%AD%90%E6%94%AF%E4%BB%98">電子支付</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E7%89%88%E9%9B%BB%E6%94%AF%E6%A9%9F%E6%A7%8B%E7%AE%A1%E7%90%86%E6%A2%9D%E4%BE%8B">新版電支機構管理條例</a></div><div class="field-item odd"><a href="/tags/omo">OMO</a></div><div class="field-item even"><a href="/tags/%E8%99%9B%E5%AF%A6%E6%95%B4%E5%90%88">虛實整合</a></div><div class="field-item odd"><a href="/tags/%E8%A1%8C%E9%8A%B7">行銷</a></div></div></div>
2022/12/30 13:54作者王宏仁https://www.ithome.com.tw/voice/154949
推特競爭對手Mastodon拒絕矽谷資金以維持非營利性質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交平臺網站Mastodon近日因推特（Twitter）風波爆紅，不過媒體報導，這家網站志在維持非營利性質而於近日拒絕了矽谷投資。</p> <p>Mastodon是由德國軟體開發人員Eugen Rochko於2016年創辦的開源微型部落格，類似美國的推特。近來由於科技首富馬斯克買下推特後封鎖用戶帳號及新功能引發用戶反彈，致使用戶流向這個之前默默無名的小網站。</p> <p><a href="https://www.ft.com/content/de808736-2e05-4c3b-a53c-55b170ae9efd" target="_blank">Rochko本周接受《金融時報》訪問時指出</a>，近幾個月他拒絕了來自美國矽谷創投圈5筆投資提議，原因是為了維持獨立地位及其特殊的平臺仲裁方式，因此「不得觸及」（untouchable）其非營利性質。</p> <p><a href="https://blog.joinmastodon.org/2022/12/twitter-suspends-mastodon-account-prevents-sharing-links/" target="_blank">Rochko說明</a>，不同於推特，Mastodon使用開源軟體建立在聯邦式伺服器網路上，每臺伺服器全權自行管理，但又連到去中心網路。任何人都能加入其中一臺伺服器，但連結的其他人可能是在其他伺服器上。他說推特事件說明了中央管理平臺可讓平臺持有人對用戶行使任意且不公平的管制，還掌握用戶的社交網路聯絡人。</p> <p>他說這也是Mastodon對用戶的最大吸引力所在。Rochoko指出，從10月（馬斯克入主推特）到11月，他的平臺每月經常用戶由30萬爆增到250萬。</p> <p>由於本月推特封鎖了一個公開馬斯克私人飛機即時行蹤的帳號@ElonJet，引發CNN、NBC、《紐約時報》、The Incept等媒體記者批評，並有用戶轉貼@ElonJet在Mastodon的連結，致推特短暫封鎖了這些帳號。馬斯克上任後的強硬作風，<a href="https://www.ithome.com.tw/news/154784" target="_blank">也讓推特用戶贊成他應辭去執行長一職</a>。</p> </div></div></div>
2022/12/30 12:25作者林妍溱https://www.ithome.com.tw/news/154955
Citrix ADC、Gateway高風險漏洞仍有數千用戶未補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Citrix分別在11月初及12月中傳出ADC及Gateway產品高風險漏洞，雖然Citrix已經釋出修補程式，<a href="http://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/" target="_blank">但安全研究人員發現</a>，仍然有數千家客戶還未修補2項漏洞，迄今仍曝露在風險下。</p> <p>這2項影響Citrix ADC（原名NetScaler）及Gateway的漏洞，分別為<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27510" target="_blank">CVE-2022-27510</a>及<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-27518" target="_blank">CVE-2022-27518</a>。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27510" target="_blank">前者</a>可讓未經授權的攻擊者得以獲得Gateway使用者權限，<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-27518" target="_blank">後者</a>則允許攻擊者遠端執行程式碼。兩者皆為風險值9.8的重大漏洞。其中CVE-2022-27518已經遭到駭客濫用，美國國安局則宣稱攻擊者是中國駭客APT5。這家業者也已釋出更新軟體版本以解決漏洞。</p> <p><a href="https://www.ithome.com.tw/news/154774" target="_blank">12月中Citrix公告</a>，旗下Citrix ADC、Citrix Gateway存在CVE-2022-27518。同時Citrix發出資安通告，有人正利用CVE-2022-27518攻擊旗下的Citrix ADC、Citrix Gateway。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>資安廠商Fox IT近日針對Citrix產品修補狀況做了調查，顯示仍有大量企業未修補。Citrix ADC和Gateway的產品特性，其伺服器一般對網際網路開放。因此以一些搜尋引擎如Shodan和Censys掃瞄網際網路，可以辨識出連網伺服器。安全廠商Fox IT以此蒐集到SSL VPN及閘道服務曝險的ADC、Gateway伺服器清單。截至11月11日他們發現有2.8萬臺連網的Citrix ADC、Gateway伺服器。</p> <p>經過了一番比對，研究人員比對出這些Citrix ADC和Gateway伺服器中，大部份已升級到13.0-88.14版，不受這兩個漏洞影響。但另外仍有1,000多臺受到CVE-2022-27510影響，有3,500臺執行的是受CVE-2022-27518影響的12.1-65.21版。有近3,000臺伺服器仍然存在兩項漏洞。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.fox-it.com/wp-content/uploads/2022/12/top-versions-1.png?resize=1024%2C728&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Fox IT</span></p> <p>研究人員指出，要濫用CVE-2022-27518還需要伺服器預設啟用SAML，因此並不一定意謂著這3,500多臺伺服器一定會被駭，但用戶還是應該需要儘速更新軟體。</p> <p>研究人員並未指出未補漏洞的Citrix伺服器的國家分布，但說明修補進度最快的國家，管理員在NSA發布安全公告後即快速回應，升級的比例分別是美國（42%）、德國（57%）、法國（56%）、加拿大（41%）、澳洲（50%）及瑞士（51%）、荷蘭（62%）。其中美國和德國也是原本曝險伺服器最多的國家，分別有近7,500臺及3,000多臺，顯示可能也是未補全漏洞的伺服器主要所在地。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.fox-it.com/wp-content/uploads/2022/12/update-adoption-1.png?resize=1024%2C708&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fox IT</span></span></p> </div></div></div>
2022/12/30 12:56作者林妍溱https://www.ithome.com.tw/news/154956
1張表看懂4家電支業者新布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 電支業者類型：電票跨電子支付業者 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 代表性業者／電支產品名稱 </span></strong></span></p> <p><strong>一卡通</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%80%E5%8D%A1%E9%80%9A-%E5%85%A7%E6%96%87%E5%9C%96.png" style="width: 250px;" /></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 業務屬性 </span></strong></span></p> <p><strong>以電子票證起家，現同時經營儲值卡、電子支付兩業務</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 既有優勢 </span></strong></span></p> <p><strong>儲值卡是大眾交通工具巨頭，搭乘交通運輸為穩定剛性需求。電子支付則涵蓋零售通路支付、生活繳費、Line社群轉帳</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電支用戶數（統計至2022年10月） </span></strong></span></p> <p><strong>約530萬用戶</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 支付據點（特店數） </span></strong></span></p> <p><strong>約有41萬個據點</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 未來營運策略 </span></strong></span></p> <p><strong>1. 推動組織文化轉型，以數據應用思維來經營</strong></p> <p><strong>2. 發揮4大場景消費數據價值，創造新的商業模式，增加更多營收</strong></p> <p><strong>3. 強化會員經營，不再大規模補貼，以數據分析為基礎，針對不同用戶需求，提供差異化補貼、行銷資訊</strong></p> <p><strong>4. 2023年將推獨立App，不再局限於Line App</strong></p> <p><strong>5. 爭取政府標案及專案厚植競爭力</strong></p> <p><strong>6. 加強與股東合作，發展移工小額匯兌服務</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 技術準備重點 </span></strong></span></p> <p><strong>1. 將電票、電支兩大資料庫全歸戶，以識別同一用戶在電票、電支的消費行為數據，打造數據中臺</strong></p> <p><strong>2. 提升內部數據運用，強化用戶需求分析，對商家提供數據應用</strong></p> <p><strong>3. 2023年一卡通Q1準備推出獨立App，打造自己的電支服務入口</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 電支業者類型：原生電子支付業者 </span></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代表性業者／電支產品名稱 </span></strong></span></p> <p><strong>街口支付</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-%E8%A1%97%E5%8F%A3-%E5%85%A7%E6%96%87%E5%9C%96.jpg" style="width: 250px;" /></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 業務屬性 </span></strong></p> <p><strong>專營電子支付業者</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 既有優勢 </span></strong></p> <p><strong>從消費通路出發，擴大至街邊店，夜市、商圈攤商等微型商家，近幾年更擴展到各類型生活繳費</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 電支用戶數（統計至2022年10月） </span></strong></p> <p><strong>約587萬用戶</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 支付據點（特店數） </span></strong></p> <p><strong>近30萬支付據點</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 未來營運策略 </span></strong></p> <p><strong>1. 公司獲利為目標，拼3年單月獲利損益兩平</strong></p> <p><strong>2. 善用平臺規模議價能力，將毛利由負轉正</strong></p> <p><strong>3. 扮演訊息傳遞角色，協助商家傳遞訊息給目標用戶，導流導客，來增加營收</strong></p> <p><strong>4. 深化會員經營，以分眾方式行銷，提高交易頻次、黏著度、忠誠度</strong></p> <p><strong>5. 開放平臺擴大與異業合作，提供保險、旅遊等服務</strong></p> <p><strong>6. 與國際組織合作規畫發行附隨電子支付帳戶的儲值卡</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術準備重點 </span></strong></p> <p><strong>1. 持續優化開放平臺，擴大與更多業者合作，在街口平臺上架第三方服務（如旅遊服務、保險服務），利用平臺用戶流量來增加服務曝光度，進而提高轉換率</strong></p> <p><strong>2. 打造資料倉儲，從資料分析需求來設計資料架構，也要強化分析人員取得資料的效率</strong></p> <p><strong>3. 透過數據分析，對會員行為進行更細微的主題分類或標籤，來實現差異化補貼與行銷，取代大規模無差別行銷補貼，為明年會員分級制度打基礎</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 電支業者類型：通路跨界經營 </span></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代表性業者／電支產品名稱 </span></strong></span></p> <p><strong>全支付</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-%E5%85%A8%E6%94%AF%E4%BB%98-%E5%85%A7%E6%96%87%E5%9C%96.jpg" style="width: 250px;" /></strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 業務屬性 </span></strong></p> <p><strong>專營電子支付業者</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 既有優勢 </span></strong></p> <p><strong>以1,300萬全聯會員及830萬PX Pay用戶為基礎，以全聯會員生態圈來擴張通路，積極建立跨通路合作</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 電支用戶數（統計至2022年10月） </span></strong></p> <p><strong>約214萬用戶</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 支付據點（特店數） </span></strong></p> <p><strong>約10萬個支付據點</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 未來營運策略 </span></strong></p> <p><strong>1. 持續以全聯會員、830萬PX Pay會員為目標，動員門市人員面對面推廣採用全支付</strong></p> <p><strong>2. 積極擴大外通路合作品牌，吸引年輕族群</strong></p> <p><strong>3. 先以短期行銷補貼來吸引用戶，未來將改以服務價值取代補貼，增加用戶黏著度</strong></p> <p><strong>4. 擴大合作推出金融服務，與網路證券業者合作，2023年試辦用電子支付買基金</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術準備重點 </span></strong></p> <p><strong>1. 在長期維運、擴充服務、優化考量上，採用微服務架構打造系統，依功能、業務邏輯拆分微服務</strong></p> <p><strong>2. 全支付提供開放API規格、規範，讓各通路商去串接，在特殊的合作上，則提供客製化，例如與全盈支付合作</strong></p> <p><span style="font-size:22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 電支業者類型：通路跨界經營 </span></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代表性業者／電支產品名稱 </span></strong></span></p> <p><strong>全盈支付</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-%E5%85%A8%E7%9B%88-%E5%85%A7%E6%96%87%E5%9C%96.png" style="width: 250px;" /></strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 業務屬性 </span></strong></p> <p><strong>專營電子支付業者</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 既有優勢 </span></strong></p> <p><strong>以4,100多家全家便利商店為核心，以全家會員生態圈來擴張通路，建立跨通路合作</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 電支用戶數（統計至2022年10月） </span></strong></p> <p><strong>約90萬用戶</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 支付據點（特店數） </span></strong></p> <p><strong>約10萬個通路據點</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 未來營運策略 </span></strong></p> <p><strong>1. 聚焦B2B2C支付場景，首波以零售、社區生活服務、企業職場支付需求。下一波瞄準銀行行動支付需求</strong></p> <p><strong>2. 持續透過SDK與API，整合更多第3方服務，滲透至更多場景、通路，發展共享會員生態圈</strong></p> <p><strong>3. 不只現有的寵物險、貸款服務，將持續擴大與金融業者異業合作</strong></p> <p><strong><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 技術準備重點 </span></strong></strong></p> <p><strong>1. 持續發展SDK與API，以擴大滲透至更多場景與通路</strong></p> <p><strong>2. 由於全盈+Pay會員同時具有全家會員身分，雙方資料團隊將合作，透過聯盟式學習，建立全盈+Pay會員標籤，加深對會員交易行為、偏好的了解</strong></p> <p><span style="color:#696969;">資料來源：iThome採訪整理，2022年12月</span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1110-%E5%B0%81%E9%9D%A2P3-%E6%AF%94%E8%BC%83%E8%A1%A8-%E6%96%87%E5%BD%ACV3-OK-big.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1110-%E5%B0%81%E9%9D%A2P3-%E6%AF%94%E8%BC%83%E8%A1%A8-600.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/12/30 12:00作者蘇文彬https://www.ithome.com.tw/news/154939
AI趨勢周報第204期：更可靠生成EHR資料！Google AI研究院發表新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1223～1229)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">EHR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>更可靠生成EHR資料！Google AI研究院發表新方法</strong></span></p> <p>Google AI研究院日前發表一種新方法，能以更安全的方式，生成更可靠的EHR（電子健康記錄）資料，來推進醫療AI的發展。進一步來說，用EHR訓練的模型，可用來預測民眾發生特定疾病的風險，如糖尿病，或是對藥物的反應。不過，EHR屬於高機敏資料，要用來訓練模型，得先去識別化，這一步可能扭曲原本資料中的關鍵資訊，不僅降低效果，也有資料隱私的風險。</p> <p>因此，Google AI研究院想出一種新的資料生成方法，打造一套EHR資料生成模型EHR-Safe，可兼顧高真度和隱私。EHR-Safe由序列性編碼器-解碼器和GAN組成，因為團隊認為，GAN很難根據原始EHR資料直接合成新資料，因為EHR多為異質性資料。因此，他們認為，以序列性編碼器-解碼器架構來學習原始EHR資料到潛在表徵的映射，能解決數字分布和分類分布嚴重不對稱的問題。</p> <p>後來，團隊也以2個EHR資料集MIMIC-III和eICU來驗證模型，並發現，在大多數情況下，合成數據和原始數據的最高分布函數（CDF）差距小於0.03，表示合成數據和原始數據在統計上非常接近。此外，在保真度指標上，團隊選定死亡率預測，來比對原始數據訓練的模型，以及以合成數據訓練的模型。結果，兩類中表現最好的模型相比，MIMIC-GBDT III的差異只有2.6%，eICU差異則是0.9%。在隱私測試方面，Google則發現，要從合成數據中推導出原始資料的機率，等於隨機猜測，表示資料隱私可被保護。<a href="https://ai.googleblog.com/2022/12/ehr-safe-generating-high-fidelity-and.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhNBA0Pyf2Mzwq1ZNt--vy6g0t8uNtdTPOp0NkIm_slI7PVbTKpe7Iq7MWf4tEL6wBZ6e7PephWMQKnacVj6oE7w0dszI1c1wnBiCAzx2DJcLjbUqysXX_9FP4QsW95S20V-lgnt51SVy6LdwtlWzm65vNfD7dz_5cMdgprUqXW9TZyXqaq4cIai2KSZQ/s16000/image5.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療QA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Benchmark </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google打造醫療QA Benchmark，要來驗證大型語言模型生成能力</strong></span></p> <p>科技巨頭和各路好手打造各種大型語言模型，最近爆紅的ChatGPT也是其一，這些模型可生成各種看似縝密的回答，但在醫療問答等專精領域，卻未有一套基準測試（Benchmark）來衡量。</p> <p>於是，Google與DeepMind聯手，開發一款專門用於醫療QA的基準測試MultiMediaQA。該基準測試包含7大醫療QA資料集，也就是MedQA、MedMCQA、PubMedQA、LiveQA、MedicationQA、MMLU和HealthSearchQA。這些資料集涵蓋專業醫學檢查、研究和顧客詢問等領域，其中，HealthSearchQA包含顧客詢問資料集，有3千多個常見的醫療查詢問題。</p> <p>該基準測試可用來衡量模型的真實性、準確性、潛在危害和偏見。團隊也用MultiMediaQA來測試Google開發的大型語言模型（5,400億參數）和其變形Flan-PaLM，發現後者在每項MultiMediaQA多選題資料集中都達SOTA水準，甚至在美國醫學執照考試資料集MedQA得到67.6%準確率，比現有最佳模型高出17%。不過，在人工評估階段，卻發現該模型的回答有些關鍵鴻溝。於是，團隊用指令提示微調方法，來改善模型，讓大型語言模型能更對齊新領域知識。新模型Med-PaLM雖進步很多，但與臨床醫師仍有一段差距。<a href="https://arxiv.org/abs/2212.13138">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人工標註 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 指令 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>大型模型人工標註成本好高？華盛頓大學新方法省時省力</strong></span></p> <p>要打造ChatGPT這類大型模型，需要大量人工標註訓練資料才行，但並非所有人都能負擔。為此，華盛頓大學聯手艾倫AI研究院、約翰霍普金斯大學等機構，設計一套SELF-INSTRUCT框架，能用模型自行生成的指令，來引導模型，強化大型語言模型遵循指令的能力。</p> <p>具體的工作流程是根據一個語言模型生成指令、輸入值和輸出值樣本，接著修剪這些生成值，再用來微調模型。經測試，該方法可提高GPT-3的效能達33%，與人工標註資料訓練的InstructGPT_001一樣。<a href="https://arxiv.org/abs/2212.10560">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-12-30%20at%209_46_28%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 簡報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>史丹佛博士生打造ChatBCG，輸入文字就能生成英文簡報</strong></span></p> <p>受ChatGPT啟發，史丹佛大學兩位博士生Silas Alberti和Joseph Semrai打造一款生成模型<a href="https://www.chatbcg.com/">ChatBCG</a>，來實作BCG-3雙向條件生成模型，使用者只要輸入一個主題或提示，就能得到一分簡報。該簡報自有一套配色，也能圖文並茂，還會穿插粗體關鍵字和條列式的Bullet point。生成後，使用者也能調整配色和編輯內容，其他功能如資料圖表生成、對話式編輯和部落格文章匯入，則是接下來將新增的功能。</p> <p>使用者可將簡報以PPTX或PDF格式輸出。不過，官網貼出公告，由於受到大量使用，其用量已快超過OpenAI API限額，使用者只能使用範例，團隊正想辦法克服問題中。<a href="https://mobile.twitter.com/SilasAlberti/status/1608037989623414791">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-12-30%20at%209_48_58%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 降噪 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 錄音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe提供免費降噪AI服務</strong></span></p> <p>Adobe近日開放一款免費工具，能替錄音去除背景噪音，讓一般環境下錄製的Podcast也能有專業錄音室品質。這項工具名為Enhanced Speech，源自Project Shasta的AI研究專案，Adobe不久前才將Project Shasta改名為Adobe Podcast。</p> <p>用戶註冊或登入Adobe帳號，就能使用Enhanced Speech。這項服務以桌機瀏覽器登入，體驗最好。使用者可以上傳最多1GB的MP3或WAV檔案，幾分鐘就能完成降噪。用戶可在瀏覽器器聽取，或將聲音檔下載到電腦。<a href="https://podcast.adobe.com/enhance">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 嵌入模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Davinci </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI新嵌入模型比Davinci更優更便宜</strong></span></p> <p>OpenAI發表新嵌入模型text-embedding-ada-002，功能更強大、成本更低，且用起來也更容易，可取代文字搜尋、文字相似性和程式碼搜尋等5個獨立模型，價格還比之前最強大的模型Davinci，便宜了99.8％。</p> <p>OpenAI表示，嵌入是指將概念的數字表示轉換為數字序列，讓電腦能簡單理解概念之間的關係，Text-embedding-ada-002就是一種嵌入模型。text-embedding-ada-002也能夠處理更長的上下文，是舊模型長度的4倍，從2048增加到8192，用戶能更簡單處理長文件。text-embedding-ada-002還有較小的嵌入，新嵌入只有1536維，是davinci-001的八分之一，較小的嵌入使向量資料庫更具成本效益。與相同大小的舊模型相比，text-embedding-ada-002價格降低了90％，只要0.2％的舊模型價格，就能獲得比Davinci更好或類似的效能。<a href="https://openai.com/blog/new-and-improved-embedding-model/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/new-and-improved-embedding-model/draft-20221214a/vectors-3.svg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size:22px;"><strong>輸入文字就能快速產出3D模型！OpenAI釋出新AI</strong></span></p> <p>OpenAI發表一套AI模型Point-E，可根據文字輸入產生3D模型，還比其他方法快上一到兩個量級。目前，文字生成圖像模型發展成熟，先進的模型在數秒內，就能生成高品質圖像，但3D模型生成仍不如文生圖成熟。</p> <p>而OpenAI採用整合方法，利用文字轉圖像和圖像轉3D模型技術，來打造Point-E。因此，Point-E首先用文字生成圖像模型進行採樣，然後將採樣圖像作為條件生成3D物件樣本，這兩個步驟可在數秒鐘內完成模型點雲，不需要昂貴的最佳化程序。最後，團隊採迴歸方法，從點雲生成網格，整個過程只要1、2分鐘，就能在單個GPU上生成3D模型。雖然目前Point-E所產出模型品質較差，但在需快速回應的案例上，是一個權衡方法。<a href="https://github.com/openai/point-e">（詳全文）</a></p> <p><img alt="" src="https://github.com/openai/point-e/raw/main/point_e/examples/paper_banner.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Document AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OCR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PDF </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google OCR引擎預覽新功能</strong></span></p> <p>專門提供OCR辨識服務的Google Document AI更新OCR引擎，加入3個預覽功能，讓Document AI可評估文件光學品質、支援數位PDF，以及OCR版本控制。</p> <p>Document AI採用Google雲端和自家研究院團隊開發的ML模型，能處理非結構化文件、從中擷取文字和段落，能處理200多種語言。Document AI OCR引擎的第一個更新，是針對頁面層級的智慧文件品質（IDQ）評估，含模糊、小字體、眩光等八個維度頁面品質指標。第二個新功能可完全支援數位PDF檔案，能擷取和來源文件完全相同的文字和符號。而OCR版本控制功能，能讓用戶凍結OCR模型行為，確保OCR行為一致，不受模型更新影響。<a href="https://cloud.google.com/blog/products/ai-machine-learning/top-reasons-to-use-gcp-document-ai-ocr">（詳全文）</a></p> <p>圖片來源／Google AI、華盛頓大學、ChatBCG、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. ML.NET 3.0加入英特爾oneDAL函式庫加速模型訓練</strong></p> <p><strong>2. Amazon釋出ML不確定性量化函示庫Fortuna</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/30 09:57作者王若樸https://www.ithome.com.tw/news/154940
【電支戰略分析：全盈支付】聚焦B2B2C集合場景需求，聯手業者擴大微金融服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">「我們要做的不是支付，而是支付科技(PayTech)。」全盈支付總經理劉美玲一語道出全盈支付對自己的定位，走的是和一般電子支付業者不同的道路。她解釋，會員、場景仍然相當重要，但全盈支付將資源投入與其他業者不同的差異點，是全盈支付在經營策略上異於其他業者的原因。</p> <p style="margin-left:.05pt;">全盈支付背後股東來自全家、玉山銀行、PChome底下拍付國際，2022年4月正式推出電子支付服務全盈+Pay，以全家旗下4千多家門市為基礎，跨通路與鼎王、怡客咖啡、清心福全、伯朗咖啡、神腦國際、嘟嘟房、大都會計程車、屈臣氏等合作，讓用戶在不同通路能夠使用全家點數。但是，有別於其他電子支付推出專屬的支付App，全盈+Pay並沒有推出自己的App，而是將支付整合於其他業者的服務中，目前在全家App、智生活社區服務平臺上可以使用。</p> <p style="margin-left:.05pt;">相較其他支付業者，以自己為中心向外輻射發展生態系統，「全盈支付要做的生態系統是，成就別人的生態系統，用戶可以共同發展、成就」，劉美玲說。</p> <p style="margin-left:.05pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong>聚焦B2B2C，從集合場景出發</strong></span></span></p> <p style="margin-left:.05pt;">全盈支付具有零售通路、金融、電商背景，全盈支付成立後，劉美玲經常問自己3個問題，首先，全盈支付成立後，對全家能帶來什麼綜效？其次是，如何吸引全家會員使用全盈？最後，消費者皮包裡不會只有一張信用卡，通常會有多張信用卡，手機裡的電子支付也是如此，全盈+Pay要如何從眾多支付工具中脫穎而出，吸引消費者使用？</p> <p style="margin-left:.05pt;">因此，全盈支付選擇藍海，聚焦於B2B2C，選擇從集合場景出發，首先鎖定3個集合場景，包括零售業者，例如與全家App合作，讓全盈+Pay成為全家會員的支付選項之一，其次是和以社區住戶為對象的社區服務平臺合作，全盈+Pay在智生活App，成為社區居民繳管理費、各項生活服務的支付模組或功能。第3個集合場景則是職場金融，協助企業提供薪資、零用金等服務給員工，全盈準備和MAYO鼎恒數位合作，將電子支付推進企業員工福利平臺。</p> <p style="margin-left:.05pt;">「全盈可以成為第三方生態系統的一部分，不一定以全盈為中心，全盈可以是配角，輔助第三方的生態發展更成功」，劉美玲強調，全盈支付扮演賦能角色。</p> <p style="margin-left:.05pt;">展望下一步，2023年全盈支付將進入下一個場景，服務銀行，劉美玲表示，部分銀行可能規模不大，但是他們想要經營行動支付，必需增加會員、擴大支付場景，對這些銀行而言，自己經營的成本很高，許多銀行沒有自己的行動支付，全盈支付和銀行商談合作，讓全盈+Pay成為銀行行動App的支付模組，賦能銀行的行動App。</p> <p style="margin-left:.05pt;">然而，為什麼銀行對支付感興趣？劉美玲表示，支付對銀行經營用戶相當重要，因為銀行對支付有憧憬，想要更了解顧客。銀行現有服務與顧客的互動頻次很低，以房貸或信貸為例，與客戶互動可能只有幾次，儘管理財服務有比較高的互動頻次，但定期定額買基金可能也只有1個月幾次。反觀零售通路交易，多為剛性需求、高頻次交易，如果增加與顧客的互動頻次，愈能接觸顧客、了解顧客，進而產生更多商機。</p> <p style="margin-left:.05pt;">劉美玲認為，全盈支付與銀行合作的優勢是，可跨通路累兌全家點數，加上全家提供隨買跨店取等剛性服務，對銀行經營用戶而言，能為其帶來賦能的效益。「成就別人的生態系，才能吸引其他業者彼此合作，共享會員、共享數據合作」。</p> <p style="margin-left:.05pt;">聚焦於B2B2C策略，從集合場景出發，使得全盈支付並未像其他電支業者一樣，投入大量資源在行銷補貼，在短時間吸引大量用戶，劉美玲形容這是細水流長的經營。而在賦能第三方業者策略下，全盈支付借用晶片的概念提出Payment inside，提供SDK與API，讓全盈+Pay能整合到第三方服務裡，除了標準的SDK與API，也會依合作業者客製化，討論雙方如何共同會員經營。</p> <p style="margin-left:.05pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong>以數據為基礎更了解會員</strong></span></span></p> <p style="margin-left:.05pt;">目前，全盈支付約有90萬電支用戶，由於會員註冊必需透過全家App，具有全家會員身分，才能註冊成為全盈支付會員，全盈會員來自全家會員移轉而來，可能是全家既有的老會員，或是因為想加入全盈支付會員，而註冊為全家新會員，全家、全盈支付相互為對方帶進會員。</p> <p style="margin-left:.05pt;">國內非現金支付市場競爭激烈，全盈支付也從不同的數據源，試圖更深一步了解消費者。劉美玲指出，以全盈自己的第一方數據分析可發現，剛註冊進來的會員有一半會立即消費，如果連續兩個月都沒有消費，有78%很難再消費，因此如何留住顧客的忠誠是關鍵。</p> <p style="margin-left:.05pt;">由於全盈支付會員與全家會員的重疊性，全盈支付也從全家的第二方數據，加深對全盈+Pay會員的了解，為了更了解用戶，全盈支付與全家的數據團隊討論，希望透過聯盟式學習，從全家會員數據產生標籤，再比對全盈支付的會員數據，產生會員貼標，加深對會員消費偏好的了解，例如知道消費者為咖啡愛好者、注重體態、家庭採買類型，協助全盈支付更清楚消費者的輪廓，甚至全盈支付反過來也能成為他人的第二方數據，發展出新商業模式。</p> <p style="margin-left:.05pt;">劉美玲指出，過去廣告投放，仰賴具有一定規模、人口紅利的廣告平臺，因為不了解個別用戶的需求，發送廣告給所有人，例如投放寵物用品廣告給所有人，吸引有養寵物的人上門購買。然而，透過數據分析運用，對會員貼標分群，可以更了解哪些會員經常購買寵物用品，推測他可能飼養寵物，提供相關的寵物服務或商品，甚至是和保險業者合作，向他們推廣寵物險。「支付成為串起了解的引擎，成為了解用戶的Hub」，換言之，對金融或零售業者來說，支付是了解顧客最好的方式。</p> <p style="margin-left:.05pt;">為了做到上述的目的，全盈支付與全家的聯盟式學習應用，未來會分為兩階段，首先應用在會員貼標，結合分群作精準行銷，第二階段是和金融業者討論，如何結合零售標籤與金融標籤，更清楚描繪用戶的生活輪廓，根據他們的需要提供電子支付的微金融服務。為了未來數據應用做好準備，全盈支付內部規畫數據基礎建設，包括建立資料市集（Data Mart）及私有雲。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>金融代理收付具發展潛力</strong></span></span></p> <p style="margin-left:.05pt;">在電子支付經營上，目前尚未有電支業者能夠獲利，已成為所有電支業者在經營上勢必面臨的難題，剛進入市場的全盈支付也不例外，</p> <p style="margin-left:.05pt;">對於全盈支付未來如何獲利，劉美玲表示，去年金管會新版專營電子機構法規上路，開放電支業者經營核心、衍生業務，這些業務大抵都屬於手續費，包括特店的支付手續費收入、轉帳的手續費收入，還有境內境外的匯兌手續費，其中一個相當具有發展潛力的是金融代理收付，相信也是接下來各家電支業者投入較多資源發展的部份。金管會開放金融代理收付，原則開放、例外禁止。在過去，電子支付主要營收來源為民生消費代理收付手續費，法規開放金融代理收付，為電支業者帶來新商機，過去銀行在金融代理收付經營頗有斬獲，現在銀行可做的，電支業者也能做，例如保險、貸款的代理收付，證券、基金代理收付，這些代理收付較可能結合行銷收入。</p> <p>至於電子支付與金融業者合作的微金融服務，她相信未來服務體驗會愈來愈好。她以使用者申請全盈+Pay綁定銀行數位帳戶為例，如果用戶要綁定多家銀行帳戶，需要個別申請各家銀行數位帳戶，再綁定電子支付，流程較繁瑣。目前金管會已公布金融機構資料共享指引，用戶申請端資料在顧客同意、資料保護下可共享，簡化用戶申請不同銀行數位帳戶、綁定電子支付的流程，提升微金融服務的使用體驗。「如果我們把資料分享做的更好，未來顧客跨界申請各項金融服務，服務體驗會更能滿足其需求，提供更無縫服務」。</p> </div></div></div>
2022/12/29 18:21作者蘇文彬https://www.ithome.com.tw/news/154936
【從大量補貼獲客，改為深度會員經營提高忠誠度】通路業者掀起電支市場新戰局，善用數據經營成決勝關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">新版電支機構管理條例在2021年7月上路，電子支付市場進入新的里程碑。根據金管會2022年10月公開資料，電子支付帳戶數突破2千萬，比前一年多了500萬人，光是當月代理收付的金額，去年10月85.6億元，過了一年也增加到115.8億元，即使在疫情影響之下，不論用戶數或是單月交易金額都有成長。</p> <p style="margin-left:.05pt;">過去2年，國內電子支付市場，主要以街口支付、一卡通、玉山銀行幾家業者為主，其中街口支付過去大量行銷補貼，居市場第1名的位置，一卡通則以過去電票（現稱儲值卡）在交通領域打下的基礎，後來與Line聯手推出電子支付服務，同樣在補貼下吸引用戶，街口與一卡通穩坐第1與第2名電支市場。</p> <p style="margin-left:.05pt;">但是，全球整體經濟也為市場帶來變局，包括俄烏戰爭持續，因國際間關係緊張，提高能源成本，通貨膨脹、升息等影響消費支出等等，科技業也因應大環境不佳，緊縮投資或裁員撙節成本。對於營運虧損的專營電支業者而言，獲得資金挹注也更為困難，營運上更需要步步為營，將錢花在刀口上，不再能像過去投入大筆行銷經費、大規模補貼。</p> <p style="margin-left:.05pt;">新版電支機構管理條例開放了更多業務模式，對電支業者帶來可能的衍生商機，讓業者有機會解決經營虧損難題，吸引了更多企業加入電子支付市場，讓電子支付市場從藍海成為競爭激烈的紅海。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>新進電支業者挾通路優勢競爭</strong></span></span></p> <p style="margin-left:.05pt;">2022年市場迎來新業者，由全家、玉山銀行、拍付國際投資成立的全盈支付，還有全聯百分百投資的全支付，兩家業者各自具有通路消費的硬底子，相較於街口、一卡通、悠遊卡需要從無到有建立與零售通路的關係，全盈、全支付在零售通路發展上，先天就具有一定的優勢。</p> <p style="margin-left:.05pt;">全盈支付以全家超商建立的會員生態為基礎，包括4000多家門市、1,500萬超商會員、點數為基礎，跨通路合作，目前合作的跨通路數量已達到10萬，相較於其他業者以民生消費為主，全盈支付聚焦B2B2C，讓支付成為工具，整合到其他業者的服務中，首波鎖定零售、社區居民生活、企業職場福利等。</p> <p style="margin-left:.05pt;">全盈的背後股東之一，玉山銀行熟悉金融服務、銀行業知識驗，進一步發展電子支付結合金融服務，較其他電支業者具有優勢，儘管全盈+Pay用戶規模和其他業者相比仍有不小的落差，但目前已與富邦產險、台新銀行合作推出寵物險、貸款服務。由於全盈+Pay會員與全家會員重疊，全盈支付還透過和全家數據團隊合作，從會員的超商交易行為，來加深對全盈+Pay會員的了解，例如針對超商經常購買寵物用品的會員，推薦寵物險。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>鼓勵固定通路的忠誠消費者走出去</strong></span></span></p> <p style="margin-left:.05pt;">全支付在全聯門市人員面對面推廣下，上線不到2個月就達到200萬電支用戶，交易金額達24億元，迅速在國內電支市場佔有一席之地。全支付能夠快速崛起，得益於全聯已建立的龐大零售會員生態，全聯這幾年陸續透過併購，擴大旗下門市數量，現在已有1,100多家門市，深入到社區居民，從過去實體全聯福利卡、PX Pay手機電子錢包，成功經營一群固定會到全聯採買的婆婆媽媽消費族群。全聯透過獎金制度，鼓勵門市人員向全聯會員、PX Pay會員推廣全支付，將超市的固定消費族群轉為電子支付會員，是全支付短時間內達到200萬規模用戶、數十億元交易金額的關鍵。</p> <p style="margin-left:.05pt;">不論是全家與全盈支付，全聯與全支付，在連鎖超商、超市培養一群忠誠的消費者，過去，這群人在固定的通路消費，現在藉由電子支付鼓勵他們走出全家、全聯，到其他通路也能消費，即使其他通路支援多元支付，可使用街口支付、一卡通、Line Pay等工具，基於過去培養的消費習慣，他們可能仍使用全盈支付、全支付。全家、全聯則藉著跨通路合作，擴大觸及到更多的消費者。</p> <p style="margin-left:.05pt;">全盈支付總經理劉美玲表示，相較於銀行與消費者的互動頻次較低，零售通路交易多為剛性需求、高頻次交易，愈增加與顧客的互動頻次，愈能接觸顧客，就愈能了解顧客，產生更多商機。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>大規模補貼獲客，走向以數據為基礎深化會員經營</strong></span></span></p> <p style="margin-left:.05pt;">背後有強大通路背景支持的新業者，除了原通路培養的忠誠顧客外，運用強大零售通路讓利，例如提供消費折抵，來吸引消費者，快速累積電子支付用戶數，然而，儘管為新進業者，但也認知到，補貼只是短期建立用戶規模的策略，長遠而言，電子支付增加營收，必需加強服務價值，提高用戶的黏著度、使用頻次。</p> <p style="margin-left:.05pt;">全支付總經理游金榮表示，全支付未來會以服務價值取代補貼競爭，增加用戶數黏著度。他解釋，並非不再補貼用戶，是不再常態補貼，配合短期主題性的活動吸引用戶。將以增加服務價值提高使用者黏著度，例如全支付與網路券商合作，明年試辦以電子支付帳戶通過身分、授權及款項收付購買基金。</p> <p style="margin-left:.05pt;">不只全支付，全盈支付也重視數據分析了解用戶，全盈支付總經理劉美玲指出，從數據分析發現，剛註冊的會員近半會立即消費，如果連續兩個月沒有消費，相當大的比例很難再消費，因此留住顧客的忠誠是關鍵。全盈通過支付更好的了解消費者，異業合作提供服務來投其所好。</p> <p style="margin-left:.05pt;">新業者為國內電支市場帶來新一波競爭，新業者在原通路建立的龐大會員基礎，培養的剛性消費習慣搶攻電支市場，既有業者在沒有原通路支持下，只能依靠大量補貼回饋來吸引消費者，雖然短時間內可以快速獲客，卻難以建立一群忠誠的用戶，消費者往往比較哪種支付工具補貼回饋最多，決定使用什麼支付工具，如何建立忠誠的用戶，避免用戶流失是既有業者營運面臨的難題。</p> <p style="margin-left:.05pt;">在電支市場發展較早的街口支付，在大規模補貼下，用戶數成長至接近600萬，但公司營運虧損，面臨更大的獲利壓力，今年6月接任街口支付董事長的梅驊對外提出，3年單月獲利損益兩平的目標。梅驊直言，未來要將服務精緻化，不靠補貼獲客，要增加用戶往來頻率，提高黏著度及忠誠度。</p> <p style="margin-left:.05pt;">街口支付總經理范庭甄指出更實際面的問題，相同的行銷經費，當用戶規模量體提高後，無法再以大規模行銷，因為每個用戶的感受有限，例如2億元用於500萬用戶，每位用戶只會分到40元，補貼金額不高，用戶可能無感。雖然不再大規模補貼，但用戶愈常使用，還是會發現街口的回饋很多。未來深化會員經營，有價值的客戶，愈能獲得更多的回饋。</p> <p style="margin-left:.05pt;">過去街口以補貼獲客，無差別的補貼，衝高用戶數規模，現在轉以強化會員經營，差異化的補貼、回饋，對每位用戶的貢獻，交易的行為、頻次、金額勢必要有更深的掌握，才能針對有價值的顧客提供更多補貼。街口打造資料倉儲，強化內部數據應用，會員經營從新會員加入，活躍用戶到用戶留存，更細緻的貼標用戶交易行為，評價對街口貢獻，街口更準備在明年推動會員分級制度，依照會員的交易頻次、金額分等，等級愈高享有愈多回饋。</p> <p style="margin-left:.05pt;">通過對用戶的了解，根據用戶的需求提供服務。梅驊舉例，例如某位用戶經常洗車，可以推播服務給他，提供自動扣款、洗車券，或是汽車美容等相關服務，創造更好的服務價值。雖然這是過去街口6、7年做的事，但還可以做的更好，「街口最有資格做的公司之一，畢竟用戶多、店家也多，服務也比較廣，有力道、利基去做」。</p> <p style="margin-left:.05pt;">另一家既有業者一卡通，今年也更換新的經營階層，由iKala創辦人暨營運長鄭鎧尹擔任總經理，擅長數據分析行銷的他表示，過去一卡通在交通、生活消費、生活繳費、社群轉帳4大場景打下支付基礎，大量的交易數據，一卡通接下來將發揮全通路、全數據優勢，發揮數據價值，創造新的商業模式。</p> <p style="margin-left:.05pt;">一卡通打造數據中臺，讓不同支付場景的數據調用更靈活，並應用在一卡通Money的電子支付會員經營上。</p> <p style="margin-left:.05pt;">鄭鎧尹指出，用戶量增加，不再像過去以大量補貼吸引用戶，隨著用戶規模的成長，推動大規模的無差別補貼，徒增營運成本，用戶對補貼的有感度也有限，未來會以數據分析為基礎，提供用戶針對性的補貼。通過數據分析用戶，例如性別比例、消費金額多少、活躍程度、消費的通路等，對用戶面貌更深的了解，更精細的分眾，推動廣告行銷、提供補貼。</p> <p style="margin-left:.05pt;">儘管不再大規模補貼，鄭鎧尹認為，一卡通支援消費場景相當完整，用戶的消費動能並不會因此降低消費。以數據應用為基礎，利用更精準與差異化行銷優惠，提高用戶使用頻次與消費金額。</p> <p style="margin-left:.05pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong>擴大跨業合作，金融服務是焦點</strong></span></span></p> <p style="margin-left:.05pt;">去年新版電子支付機構管理法規上路，其中附隨及衍生業務項目之一，電支業者得提供收付機構訊息整合傳遞，還有使用者及使用者與特約機構間訊息傳遞，這類訊息傳遞，讓電子支付業者在交易手續費之外，為合作商家傳遞資訊給目標的消費客群。舉例來說，根據汽車美容或汽車保險業者、寵易美容店，依照商家設定的條件，如年齡、性別、消費金額、地理位置，針對開車族或家中有毛小孩的消費者提供訊息，促使商家的業績提升。</p> <p style="margin-left:.05pt;">這類訊息傳遞服務，除了使用電子支付付款的手續費，利用電支平臺的龐大用戶，為商家提供精準行銷服務，導流、導客提升轉換率，也讓電支業者根據促成的轉換率，向其收取訊息傳遞的費用。</p> <p style="margin-left:.05pt;">另一項開放的業務，讓電支作為金融商品代收付支付工具，也促成電子業者與金融業者的合作基礎。</p> <p style="margin-left:.05pt;">曾在玉山銀行推動信用卡及支付金融業務的劉美玲認為，金融代理收付是接下來各家電支業者積極發展的部分。金管會開放金融代理收付，原則開放、例外禁止，過去電子支付主要營收來自民生消費的代理收付手續費，金融代理收付讓電支業者也能像銀行，提供金融服務例如保險、貸款的代理收付，可為業者增加行銷收入。</p> <p style="margin-left:.05pt;">電支業者異業合作推出金融服務，儘管新進電支業者才剛進入市場，尚處於衝刺用戶規模的階段，也同樣看好金融產品代理收付的商機，例如全盈支付與產險、銀行業者聯手，提供用戶寵物險、貸款；全支付與網路證券業者聯手，明年將試辦電子支付購買基金。街口支付與保經代合作推出保險服務，一卡通則將和股東合作移工小額匯兌等等。</p> <p style="margin-left:.05pt;">隨著更多業者投入，法規開放，過去電子支付聚焦在零售通路，擴大到網路電商，以及水電費、稅費、學費、停車費更多的生活場景，擴大與民眾日常生活的連結。電子支付透過數據應用、異業合作，從消費者角度而言，提供符合消費者需求的資訊及服務，建立更緊密的關係，而從品牌商家的經營角度來看，結合大量用戶、消費數據，支付平臺成為精準行銷的管道之一，金流、行銷服務成為企業數位化轉型的幫手。</p> </div></div></div>
2022/12/29 18:36作者蘇文彬https://www.ithome.com.tw/news/154938
【電支戰略分析：街口支付】開放平臺擴大異業合作，將推分級制度深化會員經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">街口支付在國內擁有超過580萬用戶，儘管為用戶最多的電子支付業者，但至今仍未轉虧為盈，2021年財報虧損擴大至4.57億元。2022年6月街口董事會決定新的經營高層，前將來銀行資深副總經理梅驊接任街口支付董事長，總經理由產品長范庭甄升任。梅驊甫上任就接下經營轉虧為盈的挑戰，定下3年單月獲利損益兩平的目標。</p> <p style="margin-left:.05pt;">「今年之前，過去街口支付聚焦於用戶數增加、金額的增加，今年特別重視獲利，街口需要對外證明獲利能力，」街口支付總經理范庭甄表示，過去強調流量、規模化經濟，以獲得更多資金挹注，今年全球經濟較為低迷、加上升息影響，資金投資也趨向保守，經營需要轉虧為盈，才能永續經營。</p> <p style="margin-left:.05pt;">過去街口用戶數尚未達到相當規模，難以發揮影響力，願意合作的商家有限，必需犧牲與商家交易手續費比例，以及與銀行Account Link帳戶連結費用，以推出服務吸引用戶擴大規模，營運成本比較高。范庭甄表示，由於影響力不夠，議價能力有限，投入大量行銷資金，導致公司毛利是負的，用戶愈多，交易金額愈大，營運虧損愈多。</p> <p style="margin-left:.05pt;">現在,街口支付已成長至一定的規模,可發揮較大的影響力、議價能力,與商家的手續費議價回歸正常,毛利由負轉正,范庭甄表示,代表用戶增加,使用者的黏著度提升,使用次數愈頻繁,交易金額愈大,不會再導致營運虧損的增加。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>發揮平臺規模優勢，異業合作增加收入</strong></span></span></p> <p style="margin-left:.05pt;">為了增加營收，街口開始運用具有龐大用戶流量的支付平臺，與第三方業者合作，借助其專精領域，在平臺上提供服務給街口用戶，例如2021年街口與保經代公司合作推出保險專區，提供車險、意外險等服務，還和銀行業者合作提供貸款服務等。當用戶使用街口支付購買保險商品，除了收取交易手續費，平臺為保經代業者導流、導客，帶來轉換率，收取導流的廣告費用。</p> <p style="margin-left:.05pt;">街口也善用數據的價值，向使用者推薦保險，以汽車險為例，從消費數據分析，識別某些用戶可能為開車族，對汽車險有需求，與保險業者合作向這些用戶推薦汽車險。</p> <p style="margin-left:.05pt;">更早推出的街口券也是一種精準行銷服務，由商家設定想要觸及的目標客群，例如性別、年齡、商店距離等等，由街口執行數據分析出符合條件用戶，代替商家發送優惠訊息給這些用戶，為商家提高轉換率。</p> <p style="margin-left:.05pt;">「通過數據運用，優化廣告效果，協助商家獲得比較好的客單量，讓商家覺得和其他服務相比，在街口下廣告能獲得比較好的轉換率」，范庭甄表示。</p> <p style="margin-left:.05pt;">街口與銀行合作，針對店家提供貸款服務則是另一個例子，街口將店家去識別化的交易資料，分享給合作銀行建模，商家同意申請貸款，再將其在街口的真實交易資料提供給銀行，取代財力證明。這個例子為銀行貸款服務導客，街口與銀行合作優化流程，簡化核貸流程，例如帶入資料，減少商家需要填寫的資料，提高驗證成功率，讓轉換率提升。</p> <p style="margin-left:.05pt;">「我們會發展各式各樣的金融產品」，范庭甄形容電子支付就像一間小網銀，但電支與銀行最大差異在於，電支業者不能經營放款業務，因此透過與銀行合作，促成街口用戶申請貸款，展現電子支付平臺的價值。</p> <p style="margin-left:.05pt;">目前街口透過開放平臺、工具套件，以擴大與第三方的異業合作，在這些工具服務中，包括街口登入，可讓使用者以街口支付會員身分登入第三方服務。范庭甄表示，第三方服務可能對街口登入感興趣，因為電子支付會員通過實名制，相較於其他線上服務的身分登入方式，街口登入能夠協助降低身分詐欺的風險。甚至，街口會員也可以做為其他金融服務開戶的驗證工具，不過，這部分仍需與主管機關討論。</p> <p style="margin-left:.05pt;"><strong><span style="color:#B22222;"><span style="font-size:18px;">打造資料倉儲平臺，滿足更多數據應用需求</span></span></strong></p> <p style="margin-left:.05pt;">街口支付董事長梅驊曾對外表示，街口未來要將服務做得更精緻，不靠補貼獲客，要增加用戶往來頻率，提高黏著度及忠誠度。</p> <p style="margin-left:.05pt;">為了讓服務更精緻，提高用戶使用頻次、忠誠度，必須善用數據分析，才能更了解用戶。</p> <p style="margin-left:.05pt;">街口分析師使用原始資料分析，由於資料量龐大、複雜，要花費較多的時間才能取得需要的資料，分析效益不好。街口支付在2022年打造資料倉儲平臺，過去工程師設計資料表，不會針對資料分析需求調整資料表結構，現在將資料分析的需求納入第一次的系統設計，產品開發文件也要考慮到未來服務上線，所需要分析的資料。</p> <p style="margin-left:.05pt;">范庭甄表示，過去街口為了加快推出市場，後續再以人工處理資料，資料表往往沒有整理好，效率也不好，經歷幾次技術重構，過去只有DBA，沒有資料工程師，現在仰賴資料工程師先清理資料，經過處理後再建立資料倉儲，先整理好分析師需要的資料，如用戶、交易、銀行等，提高資料分析的效率。</p> <p style="margin-left:.05pt;">原始資料經過清洗、整理後，更適合開發應用。例如街口相當重視用戶完成會員註冊後，第一次交易的時間，因為用戶註冊後一個月內發生3筆交易，留存率會比還沒交易的用戶高出很多。</p> <p style="margin-left:.05pt;">范庭甄指出，過去用戶的首次交易資料沒有被整理出來，每次要分析行銷活動的首次交易效果，分析都需要花費較長的時間，現在首次交易時間整理出來後，加快對行銷活動效果的分析。</p> <p style="margin-left:.05pt;"><span style="font-size:18px;"><span style="color:#B22222;"><strong>提高活躍用戶留存、使用頻次</strong></span></span></p> <p style="margin-left:.05pt;">為了強化會員經營，街口也將活躍用戶作更細的分群，包括30天活躍、60天活躍、90天活躍，針對不同活躍程度用戶，設計不同的行銷方案，但以前每次要重新取得這些資料，現在重新設計的資料表更易取得資料，評估不同活躍程度對廣告轉換率的影響。</p> <p style="margin-left:.05pt;">范庭甄指出，過去街口針對所有用戶推出行銷活動，街口在2022年嘗試分眾行銷，對用戶作更細的分類，加強用戶的經營，從吸引新用戶進來，轉化為活躍用戶，活躍用戶到用戶留存等。對用戶行為更細緻的分類，包括如何定義活躍用戶，為交易活躍、轉帳活躍，或是繳費活躍用戶，或是依照消費的行為，分為純繳費、純超商消費或是純電商型用戶等等。通過觀察客戶的不同行為，了解對廣告轉換率、營收變化的影響。</p> <p style="margin-left:.05pt;">「目標是將行銷預算花在投報率較高的」，范庭甄表示，目前用戶的月均交易次數為9到10次，代表至少3天使用1次，2023年街口將祭出獎勵機制，讓用戶交易次數增加至20次。另外，為避免活躍用戶其流失，街口開發出統計模型，綜合多種因素判斷流失可能性，預測準確率已有約7成，當判斷用戶可能流失，針對可能流失的用戶提供合適的補貼，例如該用戶以前偏好在某個通路消費，提供該通路的優惠，「盡可能用他喜歡的方式將他拉回來」，留住用戶才有機會讓其使用其他服務。</p> <p style="margin-left:.05pt;">街口支付量體已成長至一定的規模，新用戶成長放緩，因此設法提升既有用戶貢獻。2023年第二季將推出會員分級制，將用戶依照交易頻次、金額等因素分為5個等級，交易頻次愈多、金額愈高，等級也愈高，不同等級享有不同的回饋、優惠。</p> </div></div></div>
2022/12/29 17:45作者蘇文彬https://www.ithome.com.tw/news/154931
【電支戰略分析：一卡通】以差異補貼深化會員經營，發揮4大場景消費數據創造新價值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">一卡通從電子票證起家，在國內經營電子票證已有多年，2018年一卡通轉型，與Line聯手推出電子支付服務，在Line社群平臺加持下，現已有超過530萬一卡通Money電支用戶，用戶數僅次於街口支付。2022年8月經營高層換血，董事長由具有金融、資訊服務經歷的高雄市經發局長廖泰翔代理，總經理由具有網路、數據行銷經驗的iKala創辦人暨營運長鄭鎧尹擔任。新的經營高層，除了帶來新氣象，也驅動一卡通新的經營戰略。</p> <p style="margin-left:.05pt;">鄭鎧尹表示，一卡通為擁有儲值卡（原稱電子票證）及電子支付的專營電支機構，涵蓋4大消費場景，包括交通路網、生活消費（現有41萬個消費點）、生活繳費（如水、電、瓦斯等生活費用，目前有超過3千項）、社群交易轉帳（每月社群轉帳金額已超過70億元），用戶開通一個一卡通Money帳戶，同時就會開通一個社群帳戶，形成多對多的轉帳網絡。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><span style="font-size:18px;"><strong>以數據分析為基礎提供差異補貼，取代大規模補貼</strong></span></span></p> <p style="margin-left:.05pt;">鄭鎧尹指出，這些消費場景，是其他電支機構所沒有的，促使用戶交易動能更強有力，這是一大優勢。從用戶數量增加來看，一卡通與街口不再像過去殺紅眼，以大量補貼吸引用戶，慢慢意識到隨著用戶規模成長，推動大規模的無差別補貼，除了徒增業者的營運成本，用戶對補貼的有感度也有限，未來會以數據分析為基礎，針對性的補貼。</p> <p style="margin-left:.05pt;">「對使用者而言，使用這個支付工具，重要的是可支援更多完整的場景」，鄭鎧尹表示，過去幾年一卡通努力完善各種消費場景、基礎建設，一卡通築起的支付競爭門檻，是其他電支業者難以追趕的。也因為如此，即使沒有大規模補貼，由於支援的消費場景相當完整，使用者的消費動能並不會因沒有補貼而降低消費，即使沒有祭出大規模補貼，一卡通每個月仍穩定增加數萬用戶，估計2023年可望突破600萬用戶。</p> <p style="margin-left:.05pt;">用戶規模量體增加，消費場景多元，一卡通取得更多的消費數據，前任董事長李懷仁任內，已確立一卡通接下來的轉型方向，朝發揮數據價值前進，也是鄭鎧尹上任後的首要工作，在沒有提供消費數據給第三方業者前提之下，發揮數據中隱藏的價值。</p> <p style="margin-left:.05pt;">要強化數據分析運用，關鍵是必需能很快調用分析數據，一卡通打造數據中臺，以調用不同場景的數據進行相關分析，並且建立數據分析團隊，提升數據分析應用的能力，主要應用在兩方面，使用者、特約機構商家。</p> <p style="margin-left:.05pt;">在使用者方面，鄭鎧尹以RFM Model分群概念為例，從最近一次消費（Recency）、消費頻次（Frequency）、消費金額（Monetary）三個軸度來分群，針對不同分群的消費者，提供對應行銷或補貼，不再一視同仁的無差別補貼，透過數據分析，如男女比例、消費金額多少、活躍程度，對不同使用者面貌有比較好的了解，依據更精細的分眾推動廣告、行銷、補貼，例如哪些用戶需要較多的補貼，哪些用戶只需要較少的補貼，甚至只要協助導流、露出商家訊息即可。</p> <p style="margin-left:.05pt;">而通過數據分析應用，加強對用戶的了解及經營，提供更精準與差異化的行銷優惠，提高用戶使用一卡通電子支付服務的頻次與消費金額。過去，用戶可能幾天使用1次，透過數據的更深度用戶經營，了解其需求，將使用頻次提高至1天1次或更多次，增加用戶黏著度、忠誠度。</p> <p style="margin-left:.05pt;">對於特約機構商家，一卡通將透過數據中臺調用各個消費場域的數據，依照商家設定要觸及的消費族群，例如女性、30至45歲、每月消費金額3千元以上，由一卡通根據從數據分析中找出這群消費者，代替商家將優惠訊息傳遞給消費者。此外，針對商家經營客群的需求，在不釋出原始消費交易數據的前提下，一卡通經過數據分析後，提供分析性報告給商家，讓商家掌握來客消費輪廓。</p> <p style="margin-left:.05pt;">另一個可發揮數據價值的是4大場域。鄭鎧尹以交通場景為例，涵蓋捷運、鐵路、公車等大眾交通工具，企業如導入一卡通儲值卡作為員工差勤卡或員工證，一卡通可根據企業員工通勤交通工具類型，協助計算出員工搭乘大眾工具通訊所減少的碳排量，協助企業計算出鼓勵員工使用大眾運輸工具的減碳效果，實現永續減碳計畫，目前一卡通已和一些企業合作進行POC驗證。一卡通在4大場域，交通場域、生活場域、生活繳費場域、社交場域，每個場域都有數據，都有數據變現的機會。</p> <p style="margin-left:.05pt;">為了實現數據應用，一卡通打造底層基礎架構，包括電票與電支數據的全歸戶，更清楚掌握同一位使用者在電票、電支的消費行為數據，還有數據中臺、貼標、數據分析、報表等等，讓數據能夠更靈活的調動取用。</p> <p style="margin-left:.05pt;">一卡通也要建置數據應用需要的數據中臺，採取敏捷開發精神，瞄準終端需求推出數據服務，定期蒐集特約商家機構商家及使用者反饋，持續調整數據中臺，來因應市場需求變化。</p> <p style="margin-left:.05pt;">目前一卡通已推出以數據為基礎的行銷服務模式，開始與商家合作進行小規模測試，預估最快2023年第二季，最晚2023年第三季開放給更多的合作特約機構商家使用。</p> <p style="margin-left:.05pt;">鄭鎧尹認為，一卡通為提供支付的金流服務公司，可追蹤合作商家的行銷效果，和Google、Meta等僅提供廣告投放服務，無法幫商家追蹤效果，一卡通的目的是促進特約機構的交易量上升，發揮數據價值，讓合作的商家或場域，在經營上愈來愈好。</p> <p style="margin-left:.05pt;">一卡通沒有獨立電子支付App，因此發送補貼或商家行銷資訊給用戶，需透過手機簡訊或是Line官方帳號。不過，一卡通與Line合作將於2023年2月到期，也引起各界關注，一卡通正準備要在2023年2月推出自己的App，為獨立的服務入口，屆時也可推播訊息給用戶。</p> <p style="margin-left:.05pt;">「將資訊提供給用戶的管道相當多元，重點是能不能將正確的訊息，傳遞給正確的消費者，牽涉到技術與數據計算能力，一卡通能不能提供更好的服務，幫助真正需要特約機構或消費場景」，鄭鎧尹說明一卡通如何發揮數據價值。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><strong><span style="font-size:18px;">推動公司組織文化轉型，落實以數據為中心</span></strong></span></p> <p style="margin-left:.05pt;">鄭鎧尹上任後，不只是加速數據應用，也推動公司整體組織架構、文化調整，業務團隊、營運團隊都要具備數據變現的思維、邏輯，各個團隊必需積極思考，不同場域中的數據運用機會，創造新的服務。「這是涉及整個組織文化、商業模式的改變」他說。</p> <p style="margin-left:.05pt;">他表示，從2014到2018年的第一階段，公司得重心是如何讓支付涵蓋完整的交通網路，在2018年到2022年第二階段以擴展所有生活消費網路為重心，過去是以終端消費場景的創造為主要動能，現在場景夠多、數據量大，應轉型從數據出發，思考如何創造新的動能，兩者的思考方式不同，組織文化、公司營運方式也不一樣。</p> <p style="margin-left:.05pt;">一卡通過去經營重心，為現在的數據運用打下良好的基礎，但數據應用不只是技術研發，也希望將數據文化落實為一卡通的組織文化，也是鄭鎧尹上任後的使命。鄭鎧尹表示，在公司、組織層次上，讓所有人在工作上習慣以數據來思考、溝通，在公司內部許多工作場景，增加事實（Fact）及數字（Number）的思考及溝通。</p> </div></div></div>
2022/12/29 17:58作者蘇文彬https://www.ithome.com.tw/news/154933
【電支戰略分析：全支付】挾全聯會員基礎快速衝刺200萬電支用戶，要以服務價值提升用戶黏著度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">全支付在2022年9月正式推出電子支付，由於為全聯100%子公司，全聯旗下約有1,300萬會員、830萬PX Pay會員為基礎，鼓勵全聯會員、PX Pay用戶通過實名制註冊為全支付電子支付會員，並且可跨通路使用，將既有累積的全聯福利點轉為全點，在包括全聯在內140個品牌、10萬個通路上使用。</p> <p style="margin-left:.05pt;">雖然目前國內電子支付產業，迄今仍未看到賺錢的商機，被外界視為燒錢的產業，但全聯董事長林敏雄在全支付上線記者會上曾表示，全聯擁有1,300萬會員，全聯和第一線的消費者黏著度高，因此義不容辭進入電子支付市場，也希望全支付成為領頭羊。</p> <p><span style="color:#B22222;"><span style="font-size:18px;"><strong>全聯會員升級全支付，門市人員推廣成關鍵</strong></span></span></p> <p style="margin-left:.05pt;">這些年，全聯陸續透過併購其他超商，門市數量已超過1,100家，門市規模快速增加之餘，也深入到社區鄰里，門市銷售人員也和前來買菜、生活日用品的婆婆媽媽建立熟絡關係，當初全聯向會員推廣PX Pay，靠的就是這群門市人員（全聯稱之為地推部隊），手把手教導顧客如何從全聯會員註冊使用PX Pay，200天就快速累積500萬用戶，至今PX Pay已達到800多萬人，其中半數為活躍用戶，一年交易金額達600億元，占全聯整體營收的3分之1，全聯每年發出超過10億福利點數，建立PX Pay用戶黏著度。</p> <p style="margin-left:.05pt;">全支付的獲客策略，大力仰賴全聯在零售業所建立穩固基礎，包括全聯會員、PX Pay用戶，固定到全聯採買生活日用品的剛性需求，全聯以母集團的資源，依靠門市人員地推部隊支持全支付，在高額獎金誘因下，門市人員向婆婆媽媽面對面推廣，一步一步引導完成實名註冊程序，成為全支付會員。</p> <p style="margin-left:.05pt;">全支付上線10天，即宣布達到100萬會員，不到2個月突破200萬會員，2022年底挑戰300萬會員， 2023年合作的外通路數量以20萬為目標。從金管會2022年10月的統計資料來看，從電子支付的用戶數來看，全支付是第三大，而單月代理收付實質交易款項金額已達24億元，僅次於街口支付，為第二大交易金額的業者。</p> <p style="margin-left:.05pt;">全支付能夠在短時間內會員數即達到數百萬規模，不只是前方門市人員力推，另一個關鍵是後端資訊系統維運、開發也功不可沒。</p> <p><strong><span style="color:#B22222;"><span style="font-size:18px;">採用微服務架構支援長期維運、擴充需要</span></span></strong></p> <p style="margin-left:.05pt;">然而，全支付要從無到有，開發團隊首先面臨問題，應該採用一體式架構或微服務架構，曾在街口支付工作，隨後加入全聯參與PX Pay維運，帶領全支付開發團隊的全支付技術部經理陳世樺表示，基於其他支付業者的工作經驗，以及PX Pay龐大交易量、使用量的維運經驗，決定採用微服務架構。陳世樺指出，微服務架構在長期維運、擴充服務、優化上，比單體式架構更具有優勢。</p> <p style="margin-left:.05pt;">儘管全支付才進入電子市場不到4個月，陳世樺卻對未來的發展深具信心，在集團支持之下，全支付具有很強的核心競爭力，未來可追趕其他業者的經營規模。</p> <p><span style="color:#B22222;"><span style="font-size:18px;"><strong>擴大跨通路合作，吸引年輕用戶是成長關鍵</strong></span></span></p> <p style="margin-left:.05pt;">目前全支付用戶中，男性占比為34%，女性為66%，主要年齡層為30到59歲，占比超過7成，全支付也相當清楚，目前用戶主要來自PX Pay會員移轉而來，交易金額也來以全聯的消費為主，換言之，全支付短時間內的用戶規模、交易金額，來自現有PX Pay會員建立的紅利基礎，未來全支付成長的關鍵，為如何吸引PX Pay以外用戶，特別是年輕的消費者。</p> <p style="margin-left:.05pt;">全聯總經理也是全支付董事蔡篤昌曾對外表示，全支付約8成會員來自全聯地推部隊推廣而來，如果僅來自全聯，未來發展將會很辛苦，接下來重點為提高對年輕用戶經營，持續增加外通路，長遠目標合作外通路增至40萬個，以吸引更多年輕人，未來全支付開發金融商品，年輕用戶也具發展潛力。期許全支付成為第一個獲利的電子支付品牌。</p> <p style="margin-left:.05pt;">為了吸引年輕用戶，全支付除了於PX Pay App升級註冊為全支付電子支付會員，也推出獨立的全支付App，讓原本不會到全聯門市消費的年輕人，在手機下載全支付App，在全聯以外的合作通路使用，累積全點、折抵消費。</p> <p style="margin-left:.05pt;">在多種支付工具的高度競爭下，陳世樺認為，過去認為業務、客服是面對消費的第一線，但事實上，開發App的團隊才是第一線，因為使用體驗不佳的App，可能馬上就會遭使用者直接刪除，甚至發出負評，改用其他支付App。因此，為了改善用戶體驗，全支付也相當重視App優化，根據App使用行為數據，例如用戶常使用哪些功能？是否按下付款？最後是否成功？或是觀察從地圖搜尋附近店家這項功能的使用情形的變化，了解使用者習慣，最終回饋到PO、行銷，持續優化產品，改善使用體驗。</p> <p style="margin-left:.05pt;">除了開發面優化App使用體驗，全支付也和其他電支業者一樣，祭出行銷活動吸引消費者，例如針對年輕消費者喜愛的手搖飲料，與受到年輕客群歡迎的手搖飲料業者合作，以補貼吸引年輕客使用全支付。目前全支付的支援據點約10萬，相較其他發展較早的業者，在合作的通路據點數量上仍有不小的落差，必需快速擴大合作通路數量，進而吸引年輕的消費族群。</p> <p style="margin-left:.05pt;">為了更快擴展合作通路，陳世樺指出，全支付透過開放API規範，針對線下通路、網路電商交易都提供全支付的API規格規範，特殊的專案合作例如與全盈支付的合作則採用客製化處理。全支付希望合作夥伴都用一致的規範，降低開發成本，也能縮短雙方系統串接的時程。由於行動支付在商家的普及，通路已有介接其他支付的經驗，除了規格略有差異，各家支付業者與通路串接的交易流程可能大同小異，只要支付業者與通路業者雙方都有經驗，很快就能完成測試，這正是後進者的優勢。</p> <p style="margin-left:.05pt;">通路擴展策略上，全支付將以全聯門市為基礎，陳世樺指出，目前行動支付會員大多分布在北部，北北基桃地區，全聯門市遍布北中南，消費數據不會偏向特定地區，全支付擴大合作通路策略，以全聯門市為中心，擴展合作的商家數，例如消費者下班後到全聯消費，可能剛好在回家的路上買滷肉飯當晚餐、到麵包店買麵包，從全聯會員的生活圈擴充周邊的街邊店。</p> <p style="margin-left:.05pt;">全支付希望透過這項策略來教育PX Pay用戶，讓他們知道升級到全支付後，不只全聯門市，也能在附近習慣消費的商家繼續使用。儘管目前全支付的合作通路數仍遠遠落後街口支付、一卡通、Line Pay，陳世樺表示，全支付儘快擴大對連鎖品牌店、商圈、夜市、餐飲飲品、娛樂，讓用戶知道在這些通路，不只有街口、一卡通，也能使用全支付。</p> <p style="margin-left:.05pt;">身為電支市場後進者,全支付也不能免俗,需以行銷補貼,擴大用戶數量,增加合作的跨通路數量,透過補貼增加用戶,但全支付總經理游金榮表示,將以服務價值取代補貼競爭,來增加用戶的黏著度;他解釋,不會以常態方式推動補貼,將透過活動推出短期補貼,觀察用戶使用情形,吸引年輕用戶。</p> <p>至於增加服務價值吸引用戶，其中一個受到外界關注的是全支付與好好證券的合作。2022年8月底，全支付和網路券商好好證券合作，通過金管會核准「開戶身分認證及授權與款項收付」試辦，預計在2023年第一季雙方將試辦電子支付買基金，這項合作是全支付第一個合作的金融服務，讓全支付用戶以實名制的電子支付帳戶取代銀行數位帳戶，作為身分認證、驗證及授權，買賣交易基金。對用戶來說，不需額外向銀行申辦數位帳戶，以電子支付帳戶通過身分認證、授權，申購或贖回基金。讓電子支付除了在合作通路消費之外，也可用來購買基金。全支付期望以這項合作為開端，未來與更多業者合作，提供用戶金融服務。</p> </div></div></div>
2022/12/29 18:11作者蘇文彬https://www.ithome.com.tw/news/154935
【資安日報】2022年12月29日，NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定加密貨幣發動攻擊的情況不時傳出，最近有組織將目標轉向非同質化代幣（NFT）投資者身上。有資安業者在9月初發現大規模釣魚攻擊，這些駭客使用近200個網域來兜售惡意NFT，並在知名市集上架，而使得投資人可能降低警覺而受騙。</p> <p>手機的揚聲器及動作感知器經過多年的發展，功能日益強大，但這也可能成為攻擊者監聽手機用戶的管道！有5所美國大學的研究人員揭露名為EarSpy的攻擊手法，就是利用動作感知器來收集揚聲器振動的頻率，來得知受害者通訊的對象特徵。</p> <p>駭客投放Google廣告，以提供知名應用程式的名義來散布惡意軟體，但為何這些惡意廣告能躲過Google的審核機制？有資安業者指出，原因是駭客利用無攻擊特徵的masquerAds網域來上架廣告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://slowmist.medium.com/slowmist-our-in-depth-investigation-of-north-korean-apts-large-scale-phishing-attack-on-nft-users-362117600519" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NFT投資人遭北韓駭客鎖定，發動大規模網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1dXKrGXt_KCGKn8ZtX4NxKA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1dXKrGXt_KCGKn8ZtX4NxKA.png" style="width: 300px; float: right;" /></a>區塊鏈資安業者SlowMist揭露北韓APT駭客組織的大規模網釣攻擊行動，他們在9月初看到有人鎖定非同質化代幣（NFT）投資者進行網路釣魚攻擊，隨後有研究人員Phantom X發現，這可能是北韓駭客組織所為，駭客聲稱利用196個網域，對以太坊（ETH）與Solana幣投資人下手，鑄造惡意NFT。</p> <p>該資安業者進一步調查後得知，這些駭客在知名的NFT市集OpenSea、X2Y2、Rarible兜售上述的NFT，使用的惡意網域名稱則有近500個。SlowMist表示，駭客其中一個釣魚網址就竊得1,055個NFT，得手36.5萬美元。</p> <h3><a href="http://arxiv.org/pdf/2212.12151.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露由動作感知器監控安卓手機的手法EarSpy</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/EarSpy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarSpy.png" style="width: 300px; float: right;" /></a>美國德克薩斯州A&M大學、紐澤西理工學院、天普大學、戴頓大學、羅格斯大學的研究人員聯手，公布名為EarSpy的攻擊手法，他們利用安卓手機的動作感知器，來截取手機揚聲器通話時的振動，進而識別來電者的性別與身分，甚至能判斷通話是否為私密。</p> <p>此研究團隊使用OnePlus 7T和OnePlus 9兩款手機來實驗，並利用名為Physics Toolbox Sensor Suite的應用程式來截取加速器的資料，結果發現，這些資料經機器學習分析後，約能正確識別一些特徵，例如：針對性別識別的準確率達98%、來電者的身分也高達92%，至於識別通話內容說出的數字為56%。研究人員認為，隨著手機揚聲器與動作感知器功能日益增強，駭客也有機會藉此盜取部分的通話資訊。</p> <h3><a href="https://labs.guard.io/masquerads-googles-ad-words-massively-abused-by-threat-actors-targeting-organizations-gpus-42ae73ee8a1e"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客佯稱提供知名應用程式，濫用Google廣告散布竊密軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1vzRu_KZXyFKonyhuywo-ZA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1vzRu_KZXyFKonyhuywo-ZA.png" style="width: 300px; float: right;" /></a></p> <p>12月中旬FBI才警告濫用Google廣告來散布惡意軟體的手法，最近，資安業者Guardio揭露駭客組織Vermux的攻擊行動，指出他們大量使用位於俄羅斯的masquerAds網域，假借提供Grammarly、Malwarebytes、Afterburner等應用程式的名義，投放Google廣告，先引導使用者到無害的masquerAds網站，再重新導向至惡意網站來散布竊密軟體（Infostealer）。目標主要是美國民眾，企圖濫用受害電腦的顯示晶片運算資源，或竊取加密貨幣錢包。</p> <p>研究人員指出，駭客利用masquerAds網站通過Google的審核機制，使用者不會看到這些網站就被重新導向。此外，為了規避受害電腦防毒軟體偵測，駭客會用知名檔案共享服務或程式碼代管服務，如：BitBucket、GitHub、Dropbox、OneDrive，也會將惡意軟體埋藏於合法應用程式的安裝檔案，並且頻繁小幅更動惡意軟體的程式碼。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-8-million-from-users-running-trojanized-bitkeep-apps/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供加密貨幣錢包BitKeep的安卓App，得手800萬美元</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/transactions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/transactions.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，去中心化金融（DeFi）加密貨幣錢包BitKeep的用戶遭到鎖定，有多名用戶在駭客觸發無須進行身分驗證的交易後，他們的錢包在聖誕節被洗劫一空。</p> <p>對此，BitKeep在Telegram頻道證實此事，並指出這些受害者很可能從外部網站下載了安卓版BitKeep應用程式，下載到被植入惡意程式碼的APK檔案，而導致加密貨幣遭竊。<a href="https://twitter.com/PeckShieldAlert/status/1607266917894737921">根據區塊鏈資安業者PeckShield的調查</a>，約有800萬美元的加密貨幣遭竊，其中又以泰達幣（USDT）達540萬美元最多。</p> <h3><a href="https://securelist.com/bluenoroff-methods-bypass-motw/108383/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織假冒日本投顧來散布惡意程式</span></strong></a></h3> <p>資安業者卡巴斯基揭露北韓駭客組織BlueNoroff近期的攻擊行動，他們在今年9月開始，看到該組織採用更多攻擊工具來散布惡意軟體。駭客利用逾70個網域，假冒日本投顧公司與銀行，主要目標疑似是當地的金融機構。</p> <p>駭客使用了特製的Visual Basic程式碼、BAT批次檔案，以及惡意程式下載器，企圖繞過Windows檢查檔案是否來自網路（MoTW）的機制，然後於受害電腦以寄生攻擊（LoLBins）的手法植入惡意程式。此外，這些駭客也會運用ISO光碟映像檔與VHD虛擬磁碟檔來挾帶惡意程式。在此之前，這些駭客</p> <h3><a href="https://www.ithome.com.tw/news/154878" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對劍橋分析事件的集體訴訟，Meta打算拿出7.25億美元和解</span></strong></a></h3> <p>臉書（現Meta）於2018年傳出放任人格測驗App收集用戶個資，並將相關資料提供英國資料分析公司劍橋分析（Cambridge Analytica），用以發送政治廣告，共有8,700萬筆資料遭外洩。同年3月有臉書用戶集體向美國北加州地方法院控告，最近判決結果出爐，Meta決定拿出7.25億美元進行和解，這是美國賠償金額最高的隱私集體官司，亦為該公司賠償金額最高的集體官司。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202212270303.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">證券交易所要求券商遵守資安規範，半年內再犯最重可罰400萬元</span></span></strong></a></p> <p><a href="https://www.bloomberg.com/news/articles/2022-12-27/us-probes-how-372-million-vanished-in-hack-after-ftx-bankruptcy"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣交易所FTX宣布破產數小時後遭駭，美國檢察官著手調查</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-at-louisiana-hospital-impacts-270-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國路易斯安那州大型醫院遭勒索軟體攻擊，27萬病人資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-claims-attack-on-intrado-telecom-provider/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者Intrado傳出遭到勒索軟體Royal攻擊</span></span></strong></a></p> <p><a href="https://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">數千臺Citrix伺服器存在重大漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154920">【2022年12月28日】 GuLoader惡意軟體下載器又有新Shellcode規避偵測技術；台積電在年底前設置資安長一職</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154908">【2022年12月27日】逾4億筆推特用戶資料出現於駭客論壇、竊密軟體RisePro疑透過惡意軟體下載器PrivateLoader散布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154895">【2022年12月26日】容器驗證系統的弱點可被用於上傳惡意映像檔、WordPress禮物卡外掛程式重大漏洞出現攻擊行動</a></strong></strong></strong></p> </div></div></div>
2022/12/29 14:25作者周峻佑https://www.ithome.com.tw/news/154930
美新法案將全面禁止公務裝置安裝Tiktok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短影片社群平臺Tiktok在美持續遭封殺壓力。<a href="https://www.congress.gov/bill/117th-congress/senate-bill/1143/text" target="_blank">美國國會近日通過一項法案</a>，將禁止美國政府公務裝置安裝使用Tiktok。</p> <p>《<a href="https://www.washingtonpost.com/politics/2022/12/15/us-tiktok-ban-federal-devices-senate/" target="_blank">華盛頓郵報</a>》、《<a href="https://www.reuters.com/technology/us-lawmakers-include-ban-tiktok-government-devices-sources-2022-12-20/" target="_blank">路透社</a>》報導，美國參議院本月中無異議通過一項名為《<a href="https://www.congress.gov/bill/117th-congress/senate-bill/1143/text" target="_blank">No Tiktok on Government Devices Act</a>》的法案，將禁止美國政府或國營企業發放的任何裝置下載或使用Tiktok。本法案一旦獲得美國總統拜登簽署，將成為正式法律。而美國行政管理與預算局（Office of Management and Budget）應在60天內和其他相關單位諮詢後制定標準和指引，要求行政部門移除這個中國App。</p> <p>此外，美眾議院管理委員會則已開始行動，<a href="https://twitter.com/nicholaswu12/status/1607768584318590978" target="_blank">於周二（12/27）對眾議院公告</a>將禁止由眾議院管理的行動裝置使用Tiktok。眾議院指出，網路安全辦公室認為Tiktok有多重安全風險，對用戶是一大安全威脅。</p> <p><a href="https://www.ithome.com.tw/news/139257" target="_blank">兩年前參議院也通過</a>類似的法案，禁止聯邦政府員工的電腦和手機安裝Tiktok。之前的法案最終並未獲得總統簽署。不過時空背景已經大不相同。今年6月美國媒體《BuzzFeed》報導Tiktok中國員工可以存取美國用戶流量並檢查內容。</p> <p><a href="https://www.ithome.com.tw/news/154879" target="_blank">Tiktok母公司字節跳動（ByteDance）本周證實</a>，Tiktok的內部稽核與風險部門包括中、美籍員工和2人為了調查內部洩密案，曾經存取《BuzzFeed》和《金融時報》記者的Tiktok 的IP和通訊資訊，包括曾經聯絡者。該公司也憂心少數員工的行為將危及用戶對Tiktok的信任。</p> <p>雖然字節跳動已將4人免職，並重組Tiktok稽核部門，但仍無法平息美國聯邦和州政府對Tiktok已經燃起的反對聲浪。基於Tiktok母公司字節跳動的中國血統，迄今已有19州對其施行部分或全面禁令。</p> </div></div></div>
2022/12/29 12:30作者林妍溱https://www.ithome.com.tw/news/154929
微軟Azure修補了跨租戶存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mnemonic.io/resources/blog/acsessed-cross-tenant-network-bypass-in-azure-cognitive-search/" target="_blank">研究人員發現</a>Azure一個跨租戶網路繞過漏洞，允許攻擊者跨租戶存取Azure認知搜尋（Azure Cognitive Search，ACS）私有執行個體中的資料。微軟已在今年8月悄悄修補。</p> <p>Azure認知搜尋（Azure Cognitive Search，ACS）是一項相當受歡迎的全文搜尋引擎，可讓客戶以索引很快搜尋到資料。ACS支援多種搜尋方式，像是純文字搜尋、autocomplete、模糊搜尋或地點搜尋。</p> <p>今年2月安全廠商Mnemonic研究人員Emilien Socchi發現，Azure ACS一項功能「Allow access from Portal」（下圖紅框處），可令使用者從Azure Portal存取ACS的資料層，即便防火牆已啟用了嚴格的設定，像是僅開放ACS資源給極少數公開端點、私有端點或完全不曝露於外部網路等情形。經過分析，他發現這是一項漏洞，他將之稱為ACSESSED。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1229-azure%20vulner%20ACSESSED.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mnemonic</span></span></p> <p>ACSESSED漏洞出現在ACS API，它的繞過（bypass）屬性允許特定來源繞過所有執行個體防火牆配置中的所有網路規則，意即可以從Azure Portal直接存取ACS執行個體的資料層。</p> <p>研究人員指出，一旦啟用「Allow access from Portal」功能，Azure客戶即允許其他人從任何地點跨租戶存取ACS的資料層，不論ACS執行個體的實際網路配置為何。這功能一經啟用也等於移除了整個網路參數，同時未提供任何身分參數（即任何人都可以產生有效的ARM (Azure Resource Manager) 存取令牌）。</p> <p>研究人員於2月底通報微軟ACSESSED漏洞，並將其列為權限擴充漏洞。微軟於3月底證實，而且由於本漏洞可導致跨租戶攻擊，且容易濫用，因而將風險值由中度提升為「重要」，不過並未編派漏洞編號。</p> <p>微軟於3月發給研究人員10,000美元抓漏獎金，最後在8月釋出修補程式。</p> </div></div></div>
2022/12/29 11:32作者林妍溱https://www.ithome.com.tw/news/154928
Cloud周報第163期：迪士尼Disney+串流服務靠雲端資料庫支撐上億使用者資料儲存，更能因應每秒5百萬次串流數據…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（12/22～12/28）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 樂天 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>日本樂天集團雲端策略出現大轉變，開始擴大One Cloud私有雲布局，不再擁抱公雲</strong></span></strong></p> <p>近來，日本樂天集團雲端策略出現大轉變，開始擴大私有雲部署，朝向OneCloud策略目標邁進，不再擁抱公雲。</p> <p>樂天集團早在2018年就開始建構自己的One Cloud私有雲，但以往僅限於用在樂天市場購物平臺和影音派送相關業務使用，樂天過去許多系統都部署在AWS等大型公雲上。</p> <p>但考慮到雲端成本、營運穩定及安全性，樂天今年決定改變策略轉向OneCloud策略，未來要把原本放在公雲上的集團 IT 基礎設施逐步整合到私有雲中來部署，進而減少對於公雲的依賴，再提供給各事業部門來運用，以此提高成本效率、服務穩定及安全措施的問責和透明。除了優先將核心業務相關系統集中到One Cloud ，國外子公司財務等系統也考慮遷移到這朵私有雲。</p> <p>樂天表示，不只整合集團IT基礎設施，未來還要對外提供企業IT雲端服務，包括身分驗證、網站存取分析和電子支付功能eKYC方案等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 德國鐵路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>德國最大國營鐵路Deutsche Bahn打造新一代雲原生訂票服務系統，服務年年數十億人次用量</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(6).png" style="width: 600px; height: 298px;" /></p> <p>全球第二大、德國最大國營鐵路德國鐵路（Deutsche Bahn）近日公開自家上雲經驗，不只擁抱雲端原生、微服務架構，還打造新一代雲原生訂票服務系統，來因應每年數十億人次用量。</p> <p>早從2016年，德國鐵路就採雲端優先策略，擬訂未來上雲計畫，多年下來，不只本地資料庫和應用已搬上公雲，後來新應用都改用基於容器的Cloud Native架構來開發。到了2018年時，德國鐵路對訂票服務更展開了現代化改造，但由於該網站訂票系統每年需服務48億人次，為了執行這項改造計畫，他們組成數百人的專案團隊執行，不只將網站搬上AWS公雲，更將所有訂票功能都拆成一個個微服務來開發，以此打造新一代雲端訂票服務系統。</p> <p>服務上線後，目前每天上百個微服務跑在Amazon EKS上，該公司表示，這讓訂票服務具備更高延展和擴充彈性，並能降低成本。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Disney+ </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料庫 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>迪士尼善用雲端資料庫及串流分析服務，來加快Disney+串流平臺上破億使用者行為數據處理和分析</strong></span></strong></p> <p>迪士尼公司近日在一場活動上揭露自家Disney+串流影音服務能快速擴展的重要關鍵之一，就是使用公雲來加快串流數據蒐集和分析，以此洞察顧客喜好提高用戶黏著度和擬定行銷策略吸引更多使用者。</p> <p>Disney+上線3年多，如今用戶數達1.64億，為了能更快擷取使用者行為資料與各種串流資料來進行大數據分析，迪士尼善用雲端資料庫及串流分析服務，來加快數據處理與運用，讓數據團隊能專注於分析。</p> <p>迪士尼不只使用AWS的串流分析平臺Kinesis和MSK處理來自Disney+大量串流數據，不同資料來源也存放到Aurora關聯式資料庫、Redshift資料倉儲和Neptune雲端圖形資料庫中。最後，所有資料統一匯入到AWS資料湖S3來儲存。</p> <p>Disney串流核心數據主要負責人Mark Senerth更透露了目前Disney+在公雲使用相關數據，包括部署MSK每秒須處理500萬次串流數據請求，而且Neptune圖形資料庫中每秒就要寫入多達13萬次，單日更有超過百億個邊緣節點寫入動作須完成。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Local Zone本地雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 商之器 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>商之器用Local Zone本地雲作為PACS醫療影像裝置的雲端資料備份</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(3).jpg" style="width: 600px; height: 339px;" /></p> <p>前陣子，AWS Local Zone本地雲機房正式在臺啟用。臺灣醫療影像資訊業者商之器成了最早一批採用者，開始使用Local Zone的雲端服務，不過初期以資料備份為主，就近作為自家醫療影像產品的資料備份方案。</p> <p>商之器很早就運用雲端來提供醫療影像資訊產品和相關服務，還開發出PACS醫療影像行動裝置，採微服務架構來部署應用，再提供給診所使用。</p> <p>商之器原本用AWS在國外Region來備份PACS裝置內的資料，如今轉換到臺灣Local Zone本地雲，目前取得影像資料後會直接傳到Local Zone臺北機房。商之器表示，這樣的好處是，不只地端系統故障時能更快從雲端還原系統，也能因應現行醫療法規，確保醫療資料儲存在境內，有助於往後雲端醫療應用發展。</p> <p>商之器還有一套結合AI影像偵測的病患安全通報服務，目前在高雄及澎湖兩地都有用，可偵測病患的心肌梗塞並即時通報，未來將轉換到本地Local Zone環境。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>阿里雲公布香港機房大當機事故，竟是製冷設備故障無法切換備援導致服務中斷</strong></span></strong></p> <p>阿里雲位於香港機房於18日一早發生大當機，導致許多服務無法使用，造成澳門地區外賣平臺、部分政府網站，以及加密貨幣交易所服務中斷，直到隔天零晨才恢復運作。</p> <p>停機事故發生在18日早上9點左右，阿里雲香港機房部分ECS服務無預警中斷，後來擴大到EBS、OSS、RDS服務都無法用。<a href="https://help.aliyun.com/noticelist/articleid/1061819219.html">阿里雲事後調查，</a>發現竟是製冷設備故障導致的服務當機。因為機房冷卻系統缺水沒人發現，導致冷卻系統失效，阿里雲原本也有一套備援方案，但發現異常後切換到備援系統也失敗。部分伺服器因高溫接連出現故障，甚至一段時間後，整間機房溫度飆高而觸動灑水機制，造成多個機櫃進水，增加復原難度。直到隔天零晨才恢復運作。</p> <p>阿里雲表示，未來將全面檢示機房環境管控系統，加強系統監控與溫度異常預警，並強化機房服務管理，建立標準化作業執行，還要改善故障資訊發布流程提高透明度。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dropbox </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端文書 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>Dropbox收購雲端文書解決方案商FormSwift</strong></span></strong></p> <p>雲端儲存業者Dropbox宣布將以9,500萬美元現金，買下雲端文書解決方案商FormSwift。</p> <p>創立於2012年的FormSwift，提供SaaS雲端文書處理服務，讓企業可以在雲端上使用各種樣板建立、編輯、共享各種業務類型表單和合約簽署，來簡化文書作業流程。</p> <p>Dropbox表示，FormSwift加入後，將可以強化Dropbox在檔案工作流程產品套件的完整性，除了Dropbox原有Dropbox Sign、Dropbox Forms和DocSend服務之外，Dropbox企業用戶未來也能使用FormSwift龐大的樣本庫，來查尋、編輯、簽署和共享所需的檔案文件。</p> <p> </p> <p><strong><strong>攝影／余至浩　</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.歐盟將對Broadcom收購VMware交易案展開反壟斷調查</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.雲端身份管理業者Okta證實放置於GitHub的身份雲服務程式碼因駭客攻擊遭竊</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.受全球經濟景氣的衝擊，傳出Google暫緩明尼蘇達州最新一座資料中心的擴建計畫 </strong></strong></strong></strong></p> <p><strong><strong><strong><strong><strong><strong><strong>4.Kyndryl發表Cloud Native Services新服務，可協助企業跨多雲建構和管理雲應用</strong></strong></strong></strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年12月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/12/29 10:54作者余至浩https://www.ithome.com.tw/news/154927
【資安日報】2022年12月28日，GuLoader惡意軟體下載器又有新Shellcode規避偵測技術；台積電在年底前…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安分析技術不斷進步之下，攻擊者也持續找出新的規避偵測的技術，本日有兩起資安人員研究公布亦突顯此一情形，包括新的Shellcode技術與新繞過Windows MoTW的方法。</p> <p>南韓警察廳揭露集權鄰國發動大規模網釣與勒索軟體攻擊行動，值得關注，近千位外交專家與數十個購物網站成為鎖定攻擊目標。</p> <p>在國內，金管會要求臺灣上市櫃大型企業在2022年底需設置資安長，今年已有多家公司陸續任命，如今台積電亦推出副總經理原林錦坤擔任，明年底上市櫃第二級公司也要注意，必須設置資安專責主管與人員。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.crowdstrike.com/blog/guloader-dissection-reveals-new-anti-analysis-techniques-and-code-injection-redundancy/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GuLoader惡意軟體發展出規避偵測的新技術</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/GuLoader2_圖片來源CrowdStrike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GuLoader2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90CrowdStrike.png" style="width: 280px; float: right;" /></a></p> <p>CrowdStrike揭露GuLoader惡意軟體下載器的新發現，表示這款採用大量反分析技術的惡意軟體，最近又有新的Shellcode技術，將會使用NtQueryVirtualMemory API，掃描整個記憶體的處裡程序，在每個記憶體頁面（Page）以查找任何與VM相關的字串，來檢測是否在檢測環境中運行，一旦發現如VMSwitchUserControlClass，VM3DService Hidden Window，VMDisplayChangeControlClass，以及vmtoolsdControlWndClass等的DJB2 Hash值，就會停止執行。此外，在調用每個API之前，也會針對API執行斷點檢查。</p> <h3><a href="https://www.kaspersky.com/blog/bluenoroff-mark-of-the-web/46690/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BlueNoroff APT組織使用新方法繞過Windows MoTW保護</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BlueNoroff MOTW by pass圖片擷取自卡巴斯基.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlueNoroff%20MOTW%20by%20pass%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AA%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.jpg" style="width: 280px; float: right;" /></a></p> <p>卡巴斯基在12月27日針對MoTW繞過的攻擊手法提出警告，指出他們最近發現許多攻擊者開始這麼做，例如，他們發現APT駭客Lazarus Group旗下BlueNoroff組織，正使用新的伎倆來欺騙這項安全機制。簡單來說，MoTW的安全功能，會針對從網路下載的檔案給予一個標籤，因此攻擊者開始把真正的攻擊酬載（Payload）像是誘餌文件、惡意腳本，隱藏在像是ISO或VHD的檔案格式。</p> <h3><a href="https://www.ithome.com.tw/news/154915" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BTC.com月初遭遇網路攻擊事件，調查後損失300萬美元</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BTC資安事件_圖片解取自BTCM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BTC%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6_%E5%9C%96%E7%89%87%E8%A7%A3%E5%8F%96%E8%87%AABTCM.jpg" style="width: 280px; float: right;" /></a></p> <p><a href="https://btcm.group/news-detail?id=52667">BIT Mining公司在12月26日發布資安事件公告</a>，說明子公司遭遇網路攻擊，當中表示他們的子公司BTC.com在12月3日遭受網路攻擊，造成公司230萬美元的加密貨幣資產，以及客戶持有的70萬美元加密貨幣遭竊。在事件應變方面，該公司表示已在技術上採取行動以攔截駭客，並且通報中國深圳的執法單位，且目前公司營運正常，但沒有公布調查結果，也沒有說明攻擊管道與事件如何發生。</p> <h3><a href="https://www.ithome.com.tw/news/154914" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓外交智庫學者遭北韓駭客大規模網釣，數十家購物網站遭勒索軟體攻擊</span></strong></a></h3> <p>南韓警察廳揭露近期該國發現的資安威脅現況，根據<a href="https://www.koreatimes.co.kr/www/nation/2022/12/113_342329.html　">韓國Korea Times的報導</a>，警方首先揭露北韓駭客鎖定南韓外交專家學者發動大規模網釣攻擊，這波行動從今年4月開始，有892名收到假冒執政高層、外交官員名義的釣魚信，並有49人上當；另也提及他們首次發現這批北韓駭客使用勒索軟體攻擊，造成當地13家線上購物網站的19臺伺服器遇害，其中並有兩家業者因此支付了約6萬元的比特幣贖金。</p> <h3><a href="https://www.youtube.com/watch?v=pvNNMxouy8o" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假冒合作廠商、盜取YT帳號事故再度上演！國內創作者傳遭Session劫持導致MFA被繞過的攻擊</span></strong></a></h3> <p>Cookie Theft（pass-the-cookie attack）的Session劫持技術存在多年，可繞過MFA的保護機制，去年10月<a href="https://blog.google/threat-analysis-group/phishing-campaign-targets-youtube-creators-cookie-theft-malware/"><strong>Google已指出</strong>鎖定YouTube創作者的網路釣魚與社交工程活動，並提出警告，</a>最近國內有商業Youtube頻道表示受害，例如3C達人廖阿輝在12月25日的影片中，說明誤信了一個以合作廠商名義、傳來遊戲DEMO下載的檔案，該惡意連結並不是在郵件內文中，而是存在郵件附檔PDF中，點擊執行後，曾跳出錯誤提醒視窗，一天後發現其Youtube頻道被盜。由於假合作廠商名義的威脅早已時有所聞，若收到訊息的人要開啟可疑的檔案，建議應在隔離的測試環境或VM執行。</p> <h3><a href="https://securityaffairs.co/wordpress/139709/hacking/microsoft-revised-cve-2022-37958-rate.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露軟修補Azure ACS一項重大漏洞的技術細節</span></strong></a></h3> <p>近日Azure一項重大漏洞的技術細節公開，根據SecurityWeek報導指出，這是資安研究人員Emilien Socchi在今年12月22日揭露，該漏洞並稱之為ACSESSED，是今年2月時通報，微軟在8月31日已修補，如今研究人員公開相關技術細節，指出這個漏洞影響了啟用Allow access from portal功能的用戶，將允許攻擊者從任何位置（包括未暴露在網際網路上的執行個體）跨租戶存取ACS實例的資料層，並說明其研究經過與PoC概念驗證的過程。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.cve.org/CVERecord?id=CVE-2022-45347" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache ShardingSphere存在身分認證繞過漏洞</span></strong></a></h3> <p>Apache在12月22日針對旗下的ShardingSphere-Proxy修補重大漏洞，根據cve.org網站的說明，受影響的是5.3.0之前的版本，問題出在ShardingSphere-Proxy在使用MySQL作為資料庫後端時，在MySQL客戶端認證失敗後，並沒有完全清理資料庫Session，這使得攻擊者將可利用一個特殊的MySQL客戶端（也就是認證失敗不會關閉客戶端），進而繞過身分驗證。該漏洞已在Apache ShardingSphere 5.3.0版本修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://news.cnyes.com/news/id/5046907" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上市櫃第一級公司設置資安長最後期限將至，台積電資訊安全長人選出爐</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/台積電資安長_擷取自公開股市觀測站.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E7%A9%8D%E9%9B%BB%E8%B3%87%E5%AE%89%E9%95%B7_%E6%93%B7%E5%8F%96%E8%87%AA%E5%85%AC%E9%96%8B%E8%82%A1%E5%B8%82%E8%A7%80%E6%B8%AC%E7%AB%99.jpg" style="width: 280px; float: right;" /></a></p> <p>趕在2022年底之前，屬於金管會規範為第一級公司的台積電，在12月27日下午發布公告，任命該公司現任資訊技術及資材暨風險管理資深副總經理原林錦坤，出任台積電首任資訊安全長，而最近一周設置資安長的上市櫃公司，還有潤泰新、匯橋、潤泰全、鴻準、可寧衛、和桐、大同、富爾特與群翊等，其中有些公司並非被要求的第一級公司，但也開始主動設置資安長一職，強化組織內部的資安發展。</p> <p>隨著2023年即將到來，上市櫃第二級公司也要注意設置資安專責主管，以及至少1名資安專責人員的期限會在2023年底。</p> <h3><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0%2C2&mcustomize=news_view.jsp&dataserno=202212270001&aplistdn=ou%3Dnews%2Cou%3Dmultisite%2Cou%3Dchinese%2Cou%3Dap_root%2Co%3Dfsc%2Cc%3Dtw&dtable=News&fbclid=IwAR17uX_MRMRlALDbVztgdCC8hHEFO4FogWW5wO0v2JPuTHILfdWfWkyWKMo" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金管會發布金融資安行動方案2.0，共9大推動重點</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/金融資安行動方案2_0公布_擷取自金管會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%882_0%E5%85%AC%E5%B8%83_%E6%93%B7%E5%8F%96%E8%87%AA%E9%87%91%E7%AE%A1%E6%9C%83.jpg" style="width: 280px; float: right;" /></a></p> <p>金管會在12月27日公布未來三年將推動的金融資安行動方案2.0，延續1.0版所提出的四大策略，適用範圍也擴大，並聚焦資安的落實與深化，共訂定40項措施，當中新增12項、擴大適用範圍5項、持續性措施23項。</p> <p>對此，金管會也簡單說明9項推動重點，值得關注的部分，包括：定期召開資安長連繫會議；深化核心資料保全；因應數位轉型及網路服務開放將聚焦多元金融身分驗證框架級標準；鼓勵建置SOC並達一定規模金融機構，朝向檢驗資安監控及防禦部署有效性的模擬與演練；鼓勵零信任網路部署；以及擴大攻防演訓與重大資安事件支援演訓等。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154900"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打造安全IoT，SESIP標準崛起，Global Platform近期在臺推動</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154918"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">數位發展部2023年施政方針出爐，零信任網路架構與T-Road平臺成焦點</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154916"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">eBay銷售的二手裝置包含美國軍方資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154863"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">促進隱私強化技術廣泛應用，Google將內部可模糊影像隱私物體Magritte專案開源</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154908">【2022年12月27日】逾4億筆推特用戶資料出現於駭客論壇、竊密軟體RisePro疑透過惡意軟體下載器PrivateLoader散布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154895">【2022年12月26日】容器驗證系統的弱點可被用於上傳惡意映像檔、WordPress禮物卡外掛程式重大漏洞出現攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154861">【2022年12月23日】提升為RCE的CVE-2022-37958被研究人員視為另一EternalBlue；LastPass客戶資料庫備份遭存取</a></strong></strong></strong></p> <p> </p> </div></div></div>
2022/12/28 16:31作者羅正漢https://www.ithome.com.tw/news/154920
國發會公布更詳細2030年淨零轉型階段目標和具體行動方案，強調不只能達成2成減碳目標，甚至有機會挑戰25％淨零
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣淨零路徑規畫自3月公布後，國發會於今日（12/28）公布更具體減碳行動方案，除了明年將編列682億元推動淨零轉型，未來將整合12項關鍵戰略，分階段達減碳到效果，推估到2030年可以達到最多25％碳減量。不過對於外界關注臺灣碳定價機制，國發會並沒有公布更詳細徵收標準，僅表示目前規畫是採先大後小的策略，分階段來實施，從碳排大戶先推，之後再擴大到中小企業。</p> <p>在總統蔡英文去年宣誓2050年淨零碳排目標後，<a href="https://www.ithome.com.tw/news/150195">國發會今年3月公布臺灣淨零路徑規畫，</a>以4大策略、2大基礎，共12項關鍵戰略分階段達成2050減碳目標。長遠來看，臺灣2050淨零轉型有4大目標，包括建立更加安全能源轉型、更具競爭力的產業轉型，更具永續生活轉型，以及更具韌性的社會轉型。</p> <p>為了推動這12項關鍵戰略，國發會到2030年之前規畫9千億元經費推動淨零轉型，國發會主委龔明鑫表示，明年將編列682億元預算，目前正在立院審議中，等通過以後明年就可以開始推動執行。</p> <p>臺灣碳排減量路徑是以2020年、2025年每5年為管制目標，目前已完成第一期（2020年），進到第二期作業階段，但第一期實際執行不如預期，只有達1.88％減量，略低於原先2％目標，因此進到第2期後，各部會必須更加努力推動，才能達到2025年達減量1成、2030年減量2成的階段目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap22(1).png" style="width: 600px; height: 338px;" /></p> <p>國發會這次公布到2030年以前更詳細淨零排放規畫和策略方向，共12項關鍵戰略執行，包括風電光電、氫能、前瞻能源、電力系統與儲能、節能、碳捕捉封存與利用、運具電動化與無碳化、資源循環無廢棄、自然碳匯、淨零綠生活、綠色金融、公正轉型。</p> <p>在這12項關鍵戰略中，國發會尤其重視節能的推動，認為它將是2030年前臺灣減碳重要關鍵，包括工業、商業、住宅及運具的節能改善，可以帶動整體國家碳排顯著減少。具體策略上，將由經濟部聯合相關部會從公司、學校加強推動節能措施來強化節能治理生態系，還有擴大地方政府導入及提升民間量能、推行企業自主節能、智慧節能，以及綠建築等。</p> <p>為了跟上國際碳捕捉發展腳步，臺灣也將加快碳捕捉利用及封存（CCUS）技術的布局，它也是12項減碳關鍵戰略之一，國發會希望透過這項技術協助相關廠商以後可以將碳排不斷反覆循環利用，進而達到整體碳減量，除了前瞻技術投資，經濟部和國及民營機構往後幾年也將展開合作，透過示範場域驗證其可行性。國發會預期透過CCUS相關技術導入，能幫助臺灣到2030年碳排再減量176～460萬噸。</p> <p>在綠色金融方面，金管會今年提出綠色金融3.0計畫，將從金融機構自身做起，透過運用投融資及金融工具來引導企業，進而加快供應鏈及減碳轉型的發展腳步。具體策略上，包括要求碳排資訊揭露，了解企業客戶碳排情形，還有強化ESG資訊平臺建置，以便金融機構進行風險評估，以及建立金融機構合作平臺和推動跨部會的合作。</p> <p>另外，在運具電動化與無碳化上，交通部未來也將從提高電動車運具數量、完善使用配套環境以及產業技術升級轉型三大面向著手推動，達到交通運輸減碳轉型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap21(3).png" style="width: 600px; height: 298px;" /></p> <p>經過國發會盤點，透過這12項戰略執行預期可減量約72～77百萬噸的規模，相當於2020年排碳量29%。若以此推估，國發會表示，2030年不只能達成原訂20％減碳目標，甚至有機會挑戰更高的23％或25％減碳幅度。</p> <p>國發會預期，透過這項推動計畫，將可以促進經濟和帶動新商機，包括到2030年帶動民間投資超過4兆元，創造5.9兆產值，以及帶來超過55萬個就業機會。</p> <p>但對於外界關注臺灣碳定價機制，國發會僅表示目前規畫是採先大後小的策略，分階段來實施，從碳排大戶先推，以大帶小，之後再擴大到中小企業。若是根據先前環保署長張子敬在立院答詢，曾表示未來碳費的徵收有可能每公噸高於新臺幣300元。</p> </div></div></div>
2022/12/28 13:34作者余至浩https://www.ithome.com.tw/news/154917
數位發展部2023年施政方針，確保政府資安：力推零信任網路架構和T-Road平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部從8月27日掛牌迄今，一部兩署的運作模式，飽受各界關切。數位發展部部長唐鳳在年終媒體茶敘時表示，資安是數位發展部施政時的重要目標，在2023年的施政方針，是以政府透過推動零信任架構為主要目標，並積極將政府之間的跨機關資料交換，擴大透過T-Road進行交換，預計在未來兩年，具有全國人民個資的資安A級機關，都會導入這樣的標準。</p> <p>她也強調，預計在2023年1月成立的資通安全研究院，將成為政府推動主動防禦機制時的重要夥伴；至於臺灣是否應該禁用中國短視頻抖音App，唐鳳表示，公務機關已經禁用抖音，至於其他民間的使用，以及是否應該朝向立法等議題，都會在12月26日舉行的資安會報中，進一步廣泛討論。</p> <h2><strong>政府選定A級機關導入零信任網路架構</strong></h2> <p>唐鳳表示，零信任架構的重點在於「身分驗證」，若以之前確診居家辦公、簽公文為例，須確保她在任何地方簽發公文，都必須透過生物辨識的密碼驗證、經過核可的裝置設備，並確認是在安全的連線環境中進行。</p> <p>她說，每一次簽署公文時，都必須重複確認上述三件事情，不因部長的身分，不因身處內網環境，也不因輸入正確密碼等單一因素，就確認公文簽署的就是唐鳳本人。</p> <p>唐鳳指出，每一次的系統、資料存取，包括簽公文在內，都必須重複做到帳號密碼驗證、設備驗證，以及安全網路連線的驗證，這就是零信任架構中所謂的「永不信任、持續驗證」的精神。</p> <p>許多資安等級最高級的A級機關，例如總統府、國防部或是水電、醫療等關鍵機署設施，也都是駭客鎖定攻擊的熱門標的，而駭客以往常見的攻擊手法，也都是藉由取得某臺設備的控制權或是取得某個密碼，開始橫向移動。</p> <p>就如同小偷闖進大門後就可以進到房間，為了杜絕這樣的事件發生，就必須設法查出小偷如何能闖入內部的原因，就如同駭客入侵某個系統必須要找出根因，不僅要記錄且要溯源，找到真正關鍵因素，知道誰發動攻擊。</p> <p>而她也說，透過零信任架構，駭客即便掌握其中一項入侵的要素，我們還是可以透過其他措施，進一步降低駭客入侵的可能性，以及造成的損害。</p> <p>據了解，技服中心已經在2021年，完成零信任網路的概念性驗證研究及部署機制，到2022年7月，則確定；針對資通安全責任等級的A級機關，在2022年至2024年間，優先導入零信任網路架構，並促進臺灣資服業者發展零信任網路資安產業鏈，這些任務在數位發展部資通安全署成立之後，由其接手規畫後續事宜。</p> <h2><strong>所有個資A級機關，只能透過T-Road進行跨機關資料交換</strong></h2> <p>T-Road（政府資料傳輸平臺）是在政府原有的骨幹網路GSN，建置一條資料傳輸的通道，而國發會也在此通道規範資料傳輸的格式和準則，讓各級機關做相關的資料交換或連結時，有共通的標準可以遵守，該平臺在2020年底完成建置，並於2021年全面推廣。</p> <p>唐鳳表示，未來兩年，數位部也會輔導所有擁有全國民眾個資的資安A級機關，全面導入T-Road這樣的標準，目前已經有內政部、警政署、勞保局、健保署、教育部、財政部，以及經濟部等22個機關，將其50個跨部門的資訊交換導入T-Road這套安全系統。</p> <p>她也提及，外界關心在政府機關內、外網進行資料交換時，是否會因為有內、外網分別，而容易遭到駭客攻擊呢？唐鳳表示，政府推廣T-Road作為政府之間跨機關的資料交換平臺，就是為了杜絕這個可能性，未來將加速推廣T-Road，確保這些重要的機關不會採用T-Road以外的方式，進行跨機關的資料交換。</p> <h2><strong>資通安全研究院任務目標偏重主動防禦，人才要求即戰力</strong></h2> <p>2023年1月將成立國家資通安全研究院（簡稱資安院），唐鳳表示，剛開始180人的規模，是在一部兩署、總計598人的員額之外，也會有國安會和國防部指派的代表擔任董事。</p> <p>她也說，成立資安院的任務目標很明確，就是4年之內可以應用到的各種資安工作，包括攻防、相關建設等等，都是資安院的工作目標；若是4年以外的資安前瞻或先期研究，或是上游的工作等，則是國科會成立的資安科研中心的任務。</p> <p>不過，唐鳳表示，資安署也會持續就法規、人才等部分，提出相關的政策和能量；對於未來資安院的人才選任，也會有專業的考試、甄選等，除了筆試以外，也規畫藍隊模擬機考的平臺，以確保甄選的人才都具有即戰力，她也會親自參加藍隊模擬機考的考試。</p> <p>她強調，未來數位發展部數位政府司也會積極借重資安院的力量，不會等到出現攻擊行為才去加強相關的防護，而是會針對有哪些攻擊形式，例如今年8月初美國裴洛西議長訪臺時，駭客發動了分散式阻斷式服務（DDoS）攻擊，如果是攻擊其他標的，會關注的是它們能否撐得住。</p> <p>她也說，遭到攻擊的對象如果撐不住，是不是應該要像危老建築重建、進行重構呢？而這部分工作會由數位政府司與資安署聯手，透過主動防禦的方式，確保資安院的能量會投入最關鍵位置的主動重構上。</p> <h2><strong>政府禁用抖音，民眾在周知風險後自行評估是否使用</strong></h2> <p>美國有多個州立法宣布禁用中國短視頻抖音App，臺灣政府日前也宣布政府部門禁用抖音。唐鳳表示，其實，在2019年，政府就已經有《各機關對危害國家資通安全產品限制使用原則》，目的就是希望公務部門意識到：如果相關產品即便這一刻、這一版本沒有資安漏洞，但因為那些產品的掌控權，是握在危害國家資通安全的勢力手上，也不能確保下一個版本也是安全的。</p> <p>她說，只要有選擇，希望至少公務部門，可以改用其他軟、硬體產品或服務來代替；如果一時之間無法找到替代品，不僅是要在斷網的情況下使用，也必須經過主管機關的資安長，以及資安署都同意，才能進行這樣的例外使用。所以抖音因為資安疑慮，在公務部門是不能使用的，而且，若在斷網的狀況下使用抖音這樣的App，是沒有意義的，</p> <p>至於民眾是否應該主動禁用或遠離抖音App，唐鳳表示，公務部門禁用抖音是因為使用者行為會回傳中國，而抖音App下次更新時的主導權也在中國，如果民眾在清楚相關的資安風險仍繼續使用抖音，至少表示他們是在充分了解危害的情況下繼續使用。</p> <p>她說，公務機關的責任就是把不能使用的原因清楚說明後，外界理解後可以自行判斷，但是否要走向立法限制、要求民間禁用等等，將會在12月26日舉行的行政院資安會報做進一步討論。</p> <h2><strong>從5G到非同步軌道衛星，強化網路通訊韌性</strong></h2> <p>從烏克蘭戰爭可以發現，面對緊急災變時，確保網路以期能夠對外保持通聯，是非常重要的關鍵基礎設施。唐鳳對此也表示，在立法院的支持下，會打造一些可以移動的通訊網路，包括可移動式的衛星接收站，以及可以放在行李箱或背包上的5G小型核網等。不過，她說，挑選作為驗證非同步衛星的各縣市700個點與國外3個點，則以固定為主，少數為車載和移動，一旦遇到大地震或是地方通訊遭到破壞時，都可以確保連外通訊的能力。</p> <p>另外，為了確保偏鄉、山上的通訊韌性，在法定87個偏遠鄉鎮都已經有Gbps速率的連網服務，也有777個村里有100Mbps速率的連網服務，唐鳳指出，這樣的網路速度可以提供高解析度、即時的視訊服務，未來若需要山難救援或保持即時通聯，都很有幫助。</p> <p>此外，她表示，這些改善通訊連網速度的點位也會透過開放資料（Open Data）的方式對外釋出，目前已經有一些離線地圖的應用，例如「魯地圖」，一旦在山上迷路時，可以就近找到附近通訊點。</p> <p>確保網路通訊的韌性，手機載具的安全性也很重要。她也說，數位部除了會在通傳的關鍵基礎設施，進行相關的資安稽核演練外，也會針對來自高風險地區的高銷量智慧型手機進行資安抽測，目前已經完成17款手機的抽測。</p> </div></div></div>
2022/12/28 14:21作者黃彥棻https://www.ithome.com.tw/news/154918
BTC.com遭網路攻擊損失300萬美元等值資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣礦池之一的BTC.com，<a href="https://btcm.group/news-detail?id=52667" target="_blank">本周公告網站遭到網路攻擊</a>，導致客戶及公司資產損失，估計約300萬美元。</p> <p>BTC.com礦池算力比例佔比為2.84%，居全球第7大。BTC.com母公司BIT Mining表示，他們在12月3日遭到網路攻擊，攻擊者竊走了部分加密貨幣在內的數位資產，包括客戶持有約70萬美元的加密貨幣，以及BTC.com持有約230萬美元的資產。這家業者已經向中國深圳警方報案。</p> <p>經過一番工夫BTC.com目前已追回部分失竊資產，不過並未說明有多少。12月23日中國主管機關也啟動相關調查。該公司說將致力於追回其他資產。</p> <p>BTC.com表示事發後，他們已導入防堵與攔截駭客的技術。目前為止公司營運一切如常，除了數位資產服務外，其客戶資金服務並未受影響。至於攻擊事件怎麼發生，以及是否有客戶資料被存取，BTC.com皆未說明。</p> </div></div></div>
2022/12/28 11:20作者林妍溱https://www.ithome.com.tw/news/154915
eBay銷售的二手裝置包含美國軍方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名德國安全研究人員近日在eBay上買到的二手軍方裝置中，發現包含數千人的指紋、相片、以及美軍作戰部署等機密資料。</p> <p>德國記者Matthias Marx隷屬於Chaos Computer Club（CCC）的研究團體。他們因<a href="https://theintercept.com/2021/08/17/afghanistan-taliban-military-biometrics/" target="_blank">美國線上媒體《The Intercept》</a>去年一則關於塔利班亟力追查幫助美軍的阿富汗人的報導，而發起這項研究計畫。近日他們在eBay買到6件可儲存生物辨識資訊的電子裝置，多數在200美元以下成交。Marx以68美元買到的一件二手軍方裝置商品中，發現了驚人的軍方機密資訊。<a href="https://www.nytimes.com/2022/12/27/technology/for-sale-on-ebay-a-military-database-of-fingerprints-and-iris-scans.html" target="_blank">這消息首先由《紐約時報》報導</a>。</p> <p>Mark買到的軍方裝置中附隨一張記憶卡，其中包含2,600多人的相片和指紋，據信是由美軍掃瞄取得。這批資料還包含美軍士兵、可疑人士、為阿富汗政府工作者以及在美軍檢查哨被短暫拘留的人士，也有部份伊朗人。</p> <p>Mark並未將這些資料交給媒體，但紐約時報記者根據外洩資料聯絡到一名美國人，後者證實資料屬實。這些資料一旦被敵方取得，極可能危及美軍或是曾協助美方的阿富汗人，理應在出售裝置前就已銷毁。</p> <p>報導引述美國國防部發言人Patrick Ryder指出，軍方必須先看到這批資料才能確定資料的真實性。</p> <p>研究團體CCC買到的這6件二手裝置中，有4件是用以無密碼登入服務的安全登錄套件（Secure Enrollment Kit，SEK II），另2件則是手持跨代理人身份偵測設備（Handheld Interagency Identity Detection Equipment，HIIDE ）。</p> <p>eBay指出，銷售包含個人可辨識身分資訊（Personal Identifiable Information，PII）的裝置違反該網站政策。其中一名賣家對《紐時》指稱他銷售的SEK II商品是從美國政府拍賣會上購買，另一人則不願透露來源。</p> </div></div></div>
2022/12/28 11:48作者林妍溱https://www.ithome.com.tw/news/154916
北韓駭客對近9百名南韓外交專家發動竊密攻擊、以勒索軟體加密購物網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.koreatimes.co.kr/www/nation/2022/12/113_342329.html" target="_blank">南韓警方周日表示</a>，北韓駭客今年對892名南韓外交政策學者發動釣魚信件攻擊，竊取其電子郵件和檔案等資訊，此外也首次以勒索軟體攻擊10多家電商網站。</p> <p>南韓警察廳指出，這波攻擊最早見於今年4月，主要鎖定南韓智庫及大學學者。駭客註冊了假IP位址及散佈於26國的360多個代理伺服器，藉此發送包含惡意網站連結的精準釣魚信件給受害者。</p> <p>這批釣魚信件冒充來自南韓執政黨高層、外交部門官員等，由於內容足以亂真，有49人真的連到釣魚網站登入，使駭客得以獲取其帳密，進而竊取其信件並下載檔案。</p> <p>南韓警方根據IP位址及作案手法，研判發動這次攻擊的駭客和2014年駭入南韓水力及核能發電廠的是同一批人。</p> <p>此外，南韓當地多家電商網站遭到勒索攻擊，遭歹徒加密檔案並勒索贖金。共有13家電商公司的19臺伺服器遭殃，其中2家業者為此支付駭客250萬韓元（約6萬元臺幣）的等值比特幣。南韓警方表示，這是他們第一次偵測到北韓駭客使用勒索軟體發動攻擊。</p> </div></div></div>
2022/12/28 11:08作者林妍溱https://www.ithome.com.tw/news/154914
ML.NET 3.0加入英特爾oneDAL函式庫加速模型訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出.NET跨平臺機器學習框架ML.NET新版3.0，這個版本加入了多項硬體加速改進，使開發者可以在訓練期間，充分使用資源加速計算。開發者現在可以安裝最新的<a href="https://devblogs.microsoft.com/dotnet/accelerate-ml-net-training-with-intel-onedal/">ML.NET 3.0</a>和英特爾oneDAL（oneAPI Data Analytics Library）預覽套件，獲得更好的機器學習工作負載效能。</p> <p>oneDAL為一個函式庫，可以提供資料分析和機器學習所有階段，高度最佳化的演算法建構模塊，以快速分析資料。oneDAL運用英特爾和AMD CPU中，64位元架構的SIMD擴充加速運算，並提供建置運算密集應用程式的高效能工具，像是分析函式、數學函式，還有C++與Java的預測函式，同時也最佳化XGBoost等熱門Python機器學習函式庫。</p> <p>ML.NET整合oneDAL，使得開發者可以分析大型資料集，進行更快更好的預測，oneDAL加速ML.NET現有訓練器，包括Ordinary Least Squares、L-BGFS、FastTree和FastForest演算法。</p> </div></div></div>
2022/12/27 22:30作者李建興https://www.ithome.com.tw/news/154904
【資安日報】2022年12月27日，逾4億筆推特用戶資料出現於駭客論壇、竊密軟體RisePro疑透過惡意軟體下載器Pr…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特於今年1月修補的漏洞，駭客在尚未修補之前運用的情況恐怕遠超過先前研究人員的發現！近日有人在駭客論壇兜售超過4億筆的推特用戶資料，與先前公布的資料不同之處在於，這次的資料量極為龐大，而且，賣家向推特喊話，要該公司把資料贖回。</p> <p>美國電信業者Comcast Xfinity的用戶帳號遭竊的情況也相當值得留意，駭客疑似發動帳號填充攻擊，然後使用特製的動態密碼（OTP）繞過工具，而能成功挾持部分用戶的帳號，之後駭客還會對其他雲端服務下手，利用相同的帳密企圖入侵。</p> <p>我們之前介紹過惡意軟體散布服務Pay-per-install，業者透過惡意軟體下載器PrivateLoader來散布客戶的惡意程式，最近有兩家資安業者發現名為RisePro的竊密軟體就以這種方式發動攻擊，且至少有2千臺電腦受害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4億筆推特用戶資料出現於駭客論壇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/breached-forum-post-400m-twitter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/breached-forum-post-400m-twitter.jpg" style="width: 300px; float: right;" /></a>駭客在去年利用推特漏洞竊取用戶個資料，影響範圍很可能再度擴大。根據資安新聞網站Bleeping Computer的報導，有人在12月23日於駭客論壇BreachForums上以2萬美元的價格，兜售4億筆推特用戶資料，並提供37個名人的資料提供買家比對（後來又再提供了1千筆資料）。</p> <p>賣家警告推特執行執行長馬斯克，若不把資料買回去的話，很可能要面臨GDPR的巨額罰款。賣家表示，假如推特沒有買走這些資料，他們將會以6萬美元的價格賣給多個買家。而對於資料來源，賣家表示就是透過今年1月推特修補的漏洞取得。</p> <p>威脅情報業者Hudson Rock指出，他們比對駭客提供的資料，研判應為真實資料，但無法確認駭客是否真的擁有如此龐大的資料庫。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/comcast-xfinity-accounts-hacked-in-widespread-2fa-bypass-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信業者Comcast Xfinity用戶遭到攻擊，駭客疑繞過雙因素驗證挾持帳號</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，約自12月19日開始，有許多美國電信業者Comcast Xfinity的用戶收到通知信，告知他們的帳號資料出現更動的情況，隨後用戶便發現無法存取並向該電信業者通報，才得知自己的帳號遭到入侵，而且，駭客在用戶資料裡新增了YOPmail的電子郵件信箱。值得留意的是，受害者幾乎都啟用了雙因素驗證，但攻擊者卻能成功入侵並竄改密碼。</p> <p>有不具名的研究人員向該新聞網站透露，此起事故很可能是帳號填充（Credential Stuffing）攻擊，一旦駭客成功存取該帳號，並收到雙因素驗證的請求，他們就會採用專屬的動態密碼（OTP）繞過工具，向Xfinity網站發出通過相關驗證的偽造訊息。有部分使用者發現，駭客在挾持他們Xfinity帳號後，便利用帳密資料嘗試存取DropBox、Evernote、Coinbase等雲端服務或加密貨幣交易所的帳號。</p> <h3><a href="https://unit42.paloaltonetworks.com/trident-ursa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客企圖入侵北約國家的煉油廠</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-77.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-77.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露俄羅斯駭客組織Gamaredon（亦稱Trident Ursa）在8月底的入侵行動，駭客鎖定北大西洋公約組織（NATO）的大型煉油廠下手，所幸沒有成功。研究人員指出，這些駭客原本針對烏克蘭而來，並在釣魚郵件使用烏克蘭語，但後來他們看到該組織開始寄送英文版的釣魚郵件，原因是將攻擊範圍擴及北約國家。</p> <p>研究人員也發現兩種附件型態的釣魚郵件，一種是透過內含RAR壓縮檔的HTML附件進行，一旦收信人依照指示點選壓縮檔裡的LNK檔案，駭客就會從惡意URL下載並執行HTA檔案、VBScript指令碼，進而對受害電腦進行遠端控制；另一種則是利用看似無害的Word檔案附件，收信人開啟後該文件會從遠端下載惡意範本檔案，此範本內含惡意巨集，目的是用來執行VBScript酬載。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/new-info-stealer-malware-infects-software-pirates-via-fake-cracks-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體RisePro疑透過惡意軟體下載器PrivateLoader散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/PrivateLoader %26 RisePro communication schema.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PrivateLoader%20%26%20RisePro%20communication%20schema.png" style="width: 300px; float: right;" /></a>資安業者Flashpoint、Sekoia先後針對竊密軟體RisePro揭露細節，駭客亦採用了Pay-per-install（PPI）服務下手，藉由PrivateLoader惡意軟體下載器散布，假借軟體破解與金鑰產生器的名義散布此竊密軟體。</p> <p>Flashpoint指出，他們在12月13日看到有人將此竊密軟體偷到的2千餘組機密資料，在地下市集Russian Market進行兜售，根據對該竊密軟體的分析，研究人員認為RisePro是由另一款竊密軟體Vidar發展而來。</p> <p>Sekoia則發現，RisePro與PrivateLoader的程式碼有30%相似，研判有可能是PrivateLoader的開發者打造了RisePro，或是兩個惡意軟體的開發者存在密切合作的關係。</p> <h3><a href="https://www.ithome.com.tw/news/154879"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">抖音證實員工曾存取記者個資</span></strong></a></h3> <p>根據紐約時報的報導，短影片社交平臺抖音（TikTok）的母公司字節跳動（ByteDance）於12月22日證實，母公司與美國分公司的4名員工，曾存取美國記者的個資而遭到解僱。該公司是在內部稽核的過程裡，發現有內部員工洩密，而存取BuzzFeed、金融時報的記者個資，包含了記者的IP位址與通訊記錄。</p> <p>新聞網站The Verge取得該公司內部信件，抖音法務長Erich Andersen向員工公布此事，並指出稽核與風險部門將重整；另有字節跳動執行長梁汝波，抖音執行長周受資也對此向員工發出信件說明。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://thehackernews.com/2022/12/two-new-security-flaws-reported-in.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">內容管理平臺Ghost存在權限提升漏洞</span></strong></a></h3> <p>思科研究人員揭露內容管理平臺Ghost的漏洞，其中最嚴重的是身分驗證繞過漏洞CVE-2022-41654，該漏洞可讓不具特權身分的使用者竄改電子報設定，發出未經授權的通知，而且能影響整個網站的所有使用者，CVSS風險層級達到9.6分。研究人員提出警告，由於該內容管理平臺預設允許管理者在電子報注入JavaScript，使得攻擊者能利用上述漏洞編輯電子報，並能建立管理者帳號。</p> <p>研究人員公布的另一個漏洞是用戶枚舉漏洞CVE-2022-41697，駭客一旦利用，就有機會取得該網站所有使用者的電子郵件信箱，然後用於釣魚攻擊，CVSS風險層級為5.3分。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154878"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對劍橋分析事件的集體訴訟，Meta有意拿出7.25億美元和解</span></span></strong></a></p> <p><a href="https://www.scmp.com/news/asia/east-asia/article/3204528/north-korea-hacked-almost-900-south-korean-foreign-policy-experts-sought-ransom"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南韓指控北韓駭客攻擊近900名外交專家</span></span></strong></a></p> <p><a href="https://www.cincinnati.com/story/news/2022/12/24/cincinnati-state-breach-exposed-social-security-numbers-other-info/69754533007/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國辛辛那提州社區大學傳出資料外洩，恐曝露師生社會安全碼</span></span></strong></a></p> <p><a href="https://cointelegraph.com/news/hackers-drain-8m-in-assets-from-bitkeep-wallets-in-latest-defi-exploit"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣錢包Bitkeep遭竊800萬美元，駭客利用DeFi漏洞得逞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/leading-sports-betting-firm-betmgm-discloses-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">體育賽事賭博網站BetMGM證實資料外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154895">【2022年12月26日】容器驗證系統的弱點可被用於上傳惡意映像檔、WordPress禮物卡外掛程式重大漏洞出現攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154861">【2022年12月23日】提升為RCE的CVE-2022-37958被研究人員視為另一EternalBlue；LastPass客戶資料庫備份遭存取</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154833">【2022年12月22日】資安研究人員提出硬體斷點規避EDR監控新技術；用ChatGPT與Codex降低攻擊門檻情況受關注</a></strong></strong></strong></p> </div></div></div>
2022/12/27 19:03作者周峻佑https://www.ithome.com.tw/news/154908
物聯網安全設計從晶片與系統層面做起，SESIP標準在臺推動，可高度對應其他國際標準，盼發展成認證上的基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著物聯網的普及，其資安議題也受到積極探討與重視，近兩三年來，越來越多的第三方非營利組織，釋出相關的標準或認證／標章計畫，這也突顯物聯網設備符合資安標準的要求，正成為市場看重的新潮流。除了20年前提出的共同準則（Common Criteria，ISO/IEC 15408），已被多國認可與遵循，成為資通安全產品評估及驗證的共同標準，如今的物聯網安全議題，更是橫跨法規遵循、標準與認證這三大面向，並且從產業到國家等層級都有諸多發展，協助與促成製造商保護其設備。</p> <p>事實上，這兩年最受矚目的國際產品資訊安全議題焦點，除了Common Criteria與既有國際工控資安標準IEC 62443，就是歐洲主導發展的消費型物聯網資安標準ETSI EN 303 645，以及美國NIST發布的物聯網設備廠商網路安全指南8259A。</p> <p>特別的是，今年11月底，有國際產業組織在臺推動另一個新興的物聯網平臺安全評估標準SESIP，是更聚焦於系統與供應鏈的層面，國內的資策會也與該標準推動者Global Platform，簽署了合作備忘錄（MOU），希望能共同促進在晶片與IoT安全方面的合作。</p> <h3><strong>SESIP從CC標準優化而來，聚焦物聯網平臺與元件</strong></h3> <p>關於SESIP，全名是Security Evaluation Standard for IoT Platforms，主要基於Common Criteria的方法論而發展，專門針對IoT產品所基於的平臺與元件而設計，提供通用的評估方法，以滿足資安、合規與隱私。因此，這項評估標準聚焦IoT底層晶片與平臺的供應鏈層面，甚至也可對應自駕車領域。</p> <p>多位Global Platform成員表示，SESIP可簡化CC驗證相關流程，還提供彈性且有效率的評估方法，將能高度與其他資安標準對應，尤其是ETSI EN 303645。</p> <p>甚至，從現場演說者公布的資料來看，SESIP計畫將對應的國際標準相當多，像是：IEC 62443、UL2900、ICA（IoT Connectivity Alliance），以及NIST8259A、RISC-V、ISO 21434，以及SP800-213、UNECE WP.29等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）SISEP標準興起.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）SISEP標準興起.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7.jpg" style="width: 600px;" /></a></p> <p>為何SESIP是更有效率的評估方法？臺灣產業為何需要關注？資策會資安所副主任高傳凱指出，過往Common Criteria的認證週期約2年，所需時間多半超過產品在市場販售的有效期間，而SESIP期望解決這個問題，因此才從CC蛻變而出。而且，重要的是，SESIP幾乎沒有降低安全性評估要求，主要減少了一些冗餘的評估流<br /> 程，將流程最佳化。</p> <p>再者，臺灣在Common Criteria的認證上，因國際政治地位的問題而無法參與，而SESIP方案較無這方面的參與門檻，我們以經濟體的身分即可加入。</p> <p>另一方面，從SESIP可對應其他資安標準的特性來看，基本上，這是供應鏈的資安標準，也就是說，一旦滿足這項基礎資安認證，終端產品將可採用經SESIP認證的組件，來組合成一個終端產品。而由於SESIP可連結其他國際標準，一旦建立相互承諾報告的機制，這意味著，取得SESIP認證後，該終端產品只要再針對SESIP未涵蓋到的範圍去取得認證，將有助於加快終端產品認證速度。因此，從SESIP的發展來看，應該也是期望能夠變成一個認證上的基礎，進而能夠更方便去對應全球各種標準規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SISEP%201_1.jpg" style="width: 280px; float: right;" /></p> <p>在SESIP的標準文件當中，也說明了本身的發展歷程。簡單來說，這個標準在兩年前提出，自2020年3月釋出1.0版，並在2021年6月發布1.1版，檢視<u><a href="https://higherlogicdownload.s3.amazonaws.com/GLOBALPLATFORM/transferred-from-WS5/GP_SESIP_v1.1_PublicRelease.pdf">SESIP標準</a></u>的內容，其安全功能需求有6大層面，包括：平臺與應用程式的識別與證明、產品生命週期、通訊安全、額外攻擊抗性、加密功能與合規功能。其中，採用Root of Trust的硬體安全是重點之一，在額外攻擊抗性這一項聚焦硬體安全及安全隔離，加密功能則涵蓋到加解密演算法、金鑰產生演算法、金鑰儲存方法、亂數產生器等。</p> <p>而其安全保證級別上，分為五級，最低是SESIP 1，最高則是SESIP 5。</p> <h3><strong>SESIP生態系成形，國內已有華邦電子積極推動</strong></h3> <p>SESIP後市可期，積極推動此標準的Global Platform是關鍵。他們是在1999年成立的非營利組織，聚焦於安全晶片（SE、TEE與TPS）、IoT技術，以及SESIP認證等推動，至今已有蘋果、Arm、高通等100多個會員參與。</p> <p>而在這個組織與其合作夥伴當中，較積極投入推動SESIP的成員，主要包括：義法半導體、恩智浦、AWS FreeRTOS、微軟、瑞薩電子、Slicon Labs、IAR Systems、Secure Thingz、Microchip、Eurosmart，國際電工委員會（IEC），亦包括來自國內的華邦電子（Winbond）。</p> <p>特別的是，SESIP標準的制定者、TrustCB的執行長Wouter Slegers，也來臺發表演說，他提到整個SESIP生態系，除了上述業者，其實還包括幾個重要組織，例如，Arm建立的PSA認證專案、歐洲標準化委員會（CEN）、歐洲電信標準協會（ETSI）、美國國家標準技術研究院（NIST）；以及驗證與測試機構，如TrustCB、SGS Brightsight、Applus與Riscure等。</p> <p>至於推動這兩年多來的成效，是否已有業者取得SESIP認證？華邦以色列分公司的總經理Ilia Stolov表示，在微控制器MCU方面，有意法半導體、瑞薩電子、XNP、Slicon Labs與Microchip；在記憶體方面，有華邦電子。</p> <h3><strong>促進臺晶片供應鏈安全檢測認驗，與國際關鍵資安標準接軌</strong></h3> <p>最後，綜觀Global Platform與國內產業的合作，雙方都希望能藉由MOU的簽訂，逐步增進彼此間的合作。以Global Platform的目標而言，希望能夠建立安全IoT平臺的生態系，因此他們看重臺灣ICT產業實力，希望能夠共同推動。</p> <p>對於臺灣而言，近年政府聚焦強化供應鏈資安，希望幫助本土高科技製造業，能夠順利通過國際市場對於物聯網設備的嚴格資安規範，同時國內也正在發展IoT晶片安全和測試標準。例如，在經濟部技術處支持下，資策會資安所成立Chip Security Lab（CSL），而電機電子工業同業公會（TEEMA）也發布了「晶片安全產業標準」。</p> <p>因此，在多方合作之下，不只是讓臺灣自有晶片安全實驗室的測試結果，能取得SESIP認可實驗室，被國際資安認證認可，使本土廠商可以在地進行檢測，減少送往國外取證的時間與成本，接下來的重點，應是將Global Platform的SESIP標準，與臺灣自行建立的IoT晶片安全與測試標準做到連結。</p> <p><a href="https://s4.itho.me/sites/default/files/images/修-（圖1）SISEP標準興起s.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E5%9C%961%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7s.jpg" style="width: 600px;" /></a></p> <p><strong>促進全球物聯網平臺安全生態系，以及推動臺灣晶片安全產業標準，Global Platform主席</strong><strong>Stéphanie El Rhomri與資訊工業策進會執行長卓政宏共同簽署合作備忘錄，數位發展部數位產業署署長呂正華（中）也到場支持與見證。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></strong></p> <p><strong>根據Global Platform主席Stéphanie El Rhomri說明，他們的全球成員已有100多個，包含蘋果、Arm、AT&T、Cisco、Oracle、NTT、Verizon、高通，以及NXP、義法半導體、英飛凌，還有HIDGlobal、VISA、萬事達卡等，國內亦有華邦電參與。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></strong></p> <p><strong>關於SESIP生態系，身為SESIP標準制定者也是TrustCB執行長的Wouter Slegers表示，當中包括：義法半導體、NXP、微軟、瑞薩電子等，以及國內的華邦電子，都是主要推動者。不僅如此，生態系中還包含多個重要組織，例如，Arm建立的PSA認證專案、歐洲標準化委員會（CEN）、歐洲電信標準協會（ETSI）、美國國家標準技術研究院（NIST），以及相關驗證與測試機構。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>在發展安全記憶體（Secure Flash）上，除了Secure Over-The-Air、Secure Data Storage、Secure Boot等安全機制，最底層的Root of Trust也是關鍵重點之一，華邦電總經理詹東義也闡述了SESIP的重要性，以及Secure Flash上的發展態勢。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /> </strong></p> <p><strong>另外，在這場研討會上，美國美國國家標準暨技術研究院（NIST）也以視訊方式說明他們在IoT安全方面的相關計畫與發展歷程。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89SISEP%E6%A8%99%E6%BA%96%E8%88%88%E8%B5%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></strong></p> <p><strong>同時，微軟產業解決方案暨客戶創新亞太區總經理葉怡君</strong><b>也在此會議上，說明他們在Zero-trust IoT資安的相關計畫與現況。</b></p> </div></div></div>
2022/12/27 15:35作者羅正漢https://www.ithome.com.tw/news/154900
金融資安行動方案發布2.0，新增14項措施，將鼓勵金融機構擁抱零信任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天（12/27)發表了金融資安行動方案2.0，延續1.0版四大策略上，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。</p> <p>金管會資服處處長林裕泰公布了2.0版的推動藍圖，除了在政策面和管理面的新措施，如定期舉辦資安長聯繫會議，也因應金融業數位轉型需求來修訂相關自律規範，另外，為了深化資安強度，將鼓勵金融機構採用零信任架構，擴大推動資安監控機制，也要重視金融核心資料的保全。</p> <p>金管會副主委邱淑貞表示，資安長聯繫會議暫定半年舉辦一次，遇到重大議題，會由她親自主持。另外各局也會各自按需求舉辦資安長聯繫會議。</p> <p>林裕泰補充，資安長聯繫會議除了推動資安戰略的研議，讓資安長交流資安經驗之外，也希望能強化重大資安事件的因應，例如資安制度優化精進和資安事件的指揮調度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%95%B7%E8%81%AF%E7%B9%AB%E6%9C%83%E8%AD%B0.png" /></p> <p>隨著行政院宣布擁抱零信任架構，金管會在2.0方案中，也要鼓勵金融機構擁抱零信任架構，林裕泰指出，希望金融產業可以參考行政院推動零信任網路的部署方式，分三階段，身份鑑別、設備鑑別、信任推斷來擁抱零信任架構。</p> <p>在2.0版中，還會因應數位轉型以及服務的開放，來修訂自律規範，例如eKYC需求，將修訂電子銀行安控機制等，或像是與第三方合作夥伴的風險評估需求和資安防護基準，也將有相關自律歸爛，另外針對新型態網路攻擊行為，也會有因應的風險管理規範，甚至，林裕泰指出，來不及訂定規範的需求，則會以指引方式來因應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%AA%E5%BE%8B%E8%A6%8F%E7%AF%84.png" /></p> <p>另外，在深化核心資料保全上，金管會也將針對各業別，訂定核心系統備援的演練指引，例如針對重要檔案，除了自己儲存，還需要有更多備份或雲端儲存，來保障客戶財產資料。</p> <p> </p> </div></div></div>
2022/12/27 18:55作者王宏仁https://www.ithome.com.tw/news/154907
Adobe提供可為錄音降噪的免費AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://podcast.adobe.com/enhance" target="_blank">Adobe上周開放</a>可為錄音品質去除背景噪音的免費工具，讓一般環境下錄製的podcast也能具有專業錄音室的品質。</p> <p>這項工具名為Enhanced Speech源自Project Shasta的AI研究專案。Adobe不久前將Project Shasta<a href="https://podcast.adobe.com/" target="_blank">改名為Adobe Podcast</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-adobe%20Enhanced%20Speech.png" style="width: 600px;" /></p> <p>Enhanced Speech可將一段錄音的背景雜聲去除，並改善音質。Enhanced Speech網站描述，它能讓用戶的人聲錄音聽來像在專業工作室錄製。</p> <p>用戶只需註冊或登入Adobe帳號即可使用Enhanced Speech。這項服務最好是以桌機版瀏覽器登入。使用者可以上傳最多1GB的MP3或WAV檔，幾分鐘就能完成。用戶可以在瀏覽器器聽取，或是將聲音檔下載到電腦。</p> <p>根據<a href="https://arstechnica.com/information-technology/2022/12/make-a-bathroom-sound-like-a-pro-audio-booth-with-adobes-free-ai-tool/" target="_blank">Ars Technica</a>測試，這項服務處理沒有串音干擾或過大背景噪音的錄音效果最好，例如以iMac內建麥克風製播的錄音，Enhanced Speech真的可以消除背景噪音，音質也更好。</p> </div></div></div>
2022/12/27 17:22作者林妍溱https://www.ithome.com.tw/news/154903
Bing提高用戶拒絕廣告cookies的難度，微軟遭法國罰款6千萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnil.fr/fr/cookies-sanction-de-60-millions-deuros-lencontre-de-microsoft-ireland-operations-limited" target="_blank">法國資料主管機關CNIL上周裁定</a>搜尋引擎Bing未能提供用戶很簡單拒絕廣告cookies的機制，對微軟處以6,000萬歐元罰金。</p> <p>CNIL在接獲關於bing.com安裝廣告cookies的投訴後，於2020年9月到2021年5月啟動多次調查。它發現當用戶造訪Bing.com網站時，cookies未經同意就安裝在其電腦，且這些cookies的作用之一是發送廣告。因此CNIL還發現Bing網站未提供按鍵，讓用戶得以像接受cookies一樣容易地拒絕安裝；用戶只要一鍵就可以接受所有cookies，但要拒絕則必須點擊2次。</p> <p>因此CNIL決定啟動制裁，判罰微軟愛爾蘭公司6,000萬歐元。CNIL指出，它是根據cookies蒐集資料間接產生的廣告收入、資料主題數量和處理的資料範圍而決定罰金金額。</p> <p>除了罰款外，CNIL也採行了禁制令，要求微軟在3個月內修正問題，過了期限則每天增加罰款6萬歐元。</p> <p><a href="https://www.securityweek.com/france-fines-microsoft-60-million-euros-over-advertising-cookies" target="_blank">對此微軟表示</a>，該公司在調查啟動前就已對cookies做法進行重大調整。微軟並對CNIL的廣告詐欺立場無法認同，認為當局的作法將傷害法國消費者和企業。</p> </div></div></div>
2022/12/27 17:41作者林妍溱https://www.ithome.com.tw/news/154905
程式語言Ruby聖誕更新，3.2.0開始支援WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Ruby依照慣例在聖誕節推出更新，最新的<a href="https://www.ruby-lang.org/en/news/2022/12/25/ruby-3-2-0-released/">Ruby 3.2.0</a>加入基於WASI的WebAssembly支援，擴大Ruby可以運作的平臺，而程序內JIT編譯器YJIT經過一年測試，現在正式成為生產就緒的功能，另外，Ruby 3.2.0改進正規表示式功能，使應用程式更能夠抵抗正規表示式DoS攻擊（ReDoS）。</p> <p>Ruby 3.2.0透過WASI提供WebAssembly支援，這使得CRuby二進位檔案將可以在網頁瀏覽器、無伺服器邊緣或其他類型的WebAssembly/WASI嵌入器中運作。官方提到，這項功能將鼓勵開發人員在WebAssembly環境使用CRuby，其中一個使用案例便是TryRuby互動編輯器對CRuby支援，開發者已經可以在網頁瀏覽器用到原汁原味的Ruby。</p> <p>WebAssembly最初的發展用途，是要作為網頁應用程式安全且高效的開發語言，但由於一般應用程式也有高效且安全的需求，所以WASI（WebAssembly System Interface）便誕生，讓WebAssembly應用程式在沒有系統介面的虛擬機，也能夠與作業系統通訊，而Ruby提供WebAssembly/WASI支援，使開發人員能夠使用Ruby，開發可在WebAssembly環境中運作的應用程式。</p> <p>官方提到，因為WASI與WebAssembly還在發展，同時也基於部分安全理由，因此缺少一些能夠實作Fiber、異常處理和垃圾回收的功能。所以CRuby透過二進位轉換技術Asyncify，控制使用者空間的執行，彌補功能空缺。</p> <p>另外，Ruby還在WASI上建構了虛擬檔案系統，使開發者可以更簡單地將Ruby應用程式打包成.wasm檔案，簡化Ruby應用程式的發布。</p> <p>Ruby 3.1.0所加入的程序內JIT編譯器YJIT，經過一年的測試，官方認為已經足夠穩定，因此在Ruby 3.2.0轉變成為正式功能。YJIT主要源自於Shopify，用於改善Ruby on Rails應用程式的技術，當初Ruby 2.6加入了MJIT（Method-based JIT）編譯器，希望能達到Ruby 3的速度是Ruby 2三倍的目標，但因為MJIT的諸多限制，再加上MJIT沒有針對Rails這類需要大量呼叫方法的工作負載最佳化，導致實際應用程式無法獲得MJIT的加速。</p> <p>而YJIT是重新建構的JIT編譯器，與現有Ruby程式碼幾乎完全相容，具有高速預熱和效能提升等優點，在許多測試基準都有不少的速度提升。</p> <p>Ruby 3.2.0所帶來的正式版YJIT擁有多項功能改進，現在YJIT可以支援Linux、MacOS、BSD和其他UNIX平臺上的x86-64和arm64/aarch64 CPU，這個版本可以被用於Apple M1/M2、AWS Graviton、Raspberry Pi 4環境，而Ruby 3.2.0的YJIT也比Ruby 3.1.0更快，記憶體使用量大概只有測試版本的三分之一。整體而言，以yjit-bench基準進行測試，YJIT比Ruby直譯器還要快41％。</p> <p>開發團隊在Ruby 3.2.0針對ReDoS加入緩解措施。因為正規表示式比對可能花費超過預期的時間，當應用程式能夠接受不受信任的輸入，用於低效能的正規表示式比對，攻擊者便有機會加以利用，進行有效的DoS攻擊。</p> <p>而Ruby 3.2.0的正規表示式比對演算法使用記憶化（Memoization）技術，因此效能獲得改進，90％的比對都可以在線性時間內完成，除此之外，開發者現在也可以利用正規表示式逾時功能，限制正規表示式的執行時間，以緩解正規表示式DoS攻擊。</p> </div></div></div>
2022/12/27 17:45作者李建興https://www.ithome.com.tw/news/154901
健康存摺使用者破千萬，健保署推SDK讓民眾授權分享健康資料、鼓勵機構業者申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保書今日（12/27）分享健保快易通健康存摺SDK應用成果，目前已有31家機構和業者介接、共64支App上架。這些單位可透過健康存摺SDK，將民眾同意分享的健康存摺資料，整合至自家App中，來提供更多健康管理服務。對民眾而言，他們可自主選擇健康存摺中特定時間、特定就醫資料，來匯入常用的健康管理App。比如，北醫附醫將自家iTPass App整合民眾健康存摺資料，來進行血友病患者的疾病控管，北榮則設計一款慢性腎臟病健康管理App，彙整民眾就醫資料和自行量測的生理數值，來讓民眾健康的自我控管。健保署署長李伯璋鼓勵醫事機構和業者申請介接SDK，來提供更完善的健康照護服務給民眾，而民眾也能透過授權機制，來保障自己的資訊。</p> <p><span style="font-size:24px;"><strong>健康存摺8年發展，今年突破千萬人使用</strong></span></p> <p>健保署企畫科科長莊欣怡指出，健康存摺是健保署2014年推出的服務，當時，民眾得透過健保卡和自然人憑證，來在電腦上登入、查看自己的就醫資料。當時是為健康存摺1.0時代，健保署也陸續擴增健康存摺資料類型。到了2015、2016年，健康存摺進入2.0時代，擴大收載到個人就醫3年內資料，讓民眾掌握更多內容。</p> <p>到了2018年，健保署進一步提高使用者友善性，開發出手機快速認證功能，讓民眾在手機的健保快易通App上，就能取得健康存摺資訊。隔年，健保署擴大資訊內容，將醫療影像查詢功能放入健康存摺，同時開發眷屬功能，讓使用者透過授權查看親人（如父母、子女）的就醫資訊和健康狀態。</p> <p>也正是在2019年，健保署開發健保快易通健康存摺SDK，來讓醫院等第三方單位申請介接，來彙整民眾醫療資訊、提供更好的健康管理服務。</p> <p>而2020年，COVID-19疫情蔓延，健康存摺成為衛福部重要資訊窗口，舉凡口罩購買、口罩捐贈、疫苗接種資訊，都能在健保快易通App的健康存摺查詢，甚至，健保署還打造視覺化功能，以圖表來呈現這些內容。今年，健保署還配合疾管署政策，將快篩實名制購買和確診個案自主通報系統介接健保快易通App。據健保署統計，2022年6月29日健康存摺使用人數超過1千萬人（1,082萬人）、使用量達到2.9億人次，等於全臺近半數人口都有使用健康存摺，也是所有政府數位服務中，使用人數最多的。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E6%95%B8.JPG" /></p> <p><span style="font-size:24px;"><strong>打造SDK成公部門首創健康資料分享模式，同時強化第三方資安把關</strong></span></p> <p>要了解健康存摺SDK，得先了解健康存摺的目的。</p> <p>健康存摺是一種健康資料的運用形式。民眾到醫院就醫，醫院會向健保署進行健保申報，來取得費用。而這些申報資料，就形成個人醫療歸戶資料庫，健保署希望藉這個大型資料庫，來改善全臺醫療體系與民眾健康。於是，他們在2013年打造健保雲端查詢系統，專門給醫事人員使用，來查詢病人就醫相關記錄，來避免重複檢驗檢查和用藥。</p> <p>同時，健保署也希望將資料還給民眾，於是在2014年推出健康存摺，讓民眾查看自己的就醫資訊，來管理自己的健康。但「健康存摺只提供記錄，」莊欣怡指出，健保署因此開發健保快易通健康存摺SDK自主授權機制，可說是公部門首創的資料開放模式，讓民眾自主授權特定時間和特定類型的資料，允許第三方App整合，讓健康存摺資料可更廣泛應用在醫療資訊和健康管理相關App，甚至能讓第三方App透過AI視覺化處理資料，讓民眾更理解健康狀態和風險。這種資料開放模式，也能激發更多創新照護。</p> <p>分享資料的同時，也得兼顧資安。健保署推出SDK後，持續強化健康存摺SDK管理，比如在2020年逐步調整管理要點，將第三方App的資安檢測證明改為必要文件，來加強個資保護。2021年，健保署則將第三方的申請流程簡化為電子申請，不再依賴紙本寄送，同年7月，健保署也展開簽約模式，與介接SDK的第三方廠商簽署契約，來保障民眾資料。</p> <p>就資安把關來說，健保署要求第三方App符合數位發展部產業署（過去為工業局）資安檢測標準，且SDK資料傳輸皆為加密，資料本身也會加密。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8A%A0%E5%AF%86.JPG" /></p> <p><span style="font-size:24px;"><strong>第三方免費申請，應用領域涵蓋4大類</strong></span></p> <p>健康存摺SDK開放第三方免費申請，但也有申請者身分限制。首先，身分類別有4種，包括政府機關、健保特約醫事機構、財團法人、合法登記的本國公司和外國公司，陸資企業則無法申請。就申請步驟來說，申請者先提出線上申請，取得API Key並進行測試，通過後，就能提出正式完整功能申請，提供符合數發部行動App資安檢測的證明（至少達L2等級），健保署接著進行SDK行政審查、開通權限，接著就能介接App了。申請者也得與健保署簽訂SDK使用契約，並提出3個月內App上架申請證明。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%94%B3%E8%AB%8B%E6%B5%81%E7%A8%8B.jpg" /><br /> （圖片來源：健保署）</p> <p>在應用領域上，可分為醫療院所、慢性病管理、健康管理和場域應用4大類。就醫療院所類來說，醫院、照護機構、藥局或健檢中心介接健康存摺SDK可整合病人跨院醫療資訊，減少病人回院取報告、查病歷的時間。此外，醫院也能用於特定疾病的管理，加強病人自我照護能力。</p> <p>就高血壓、腎臟病等慢性病管理來說，可以SDK整合就醫資料和民眾自己在家的生理量測值，來進行長期趨勢分析，並提供個人化的慢性病管理模式。而健康管理也有異曲同工之妙，一樣能結合IoT數值和個人健康記錄，來提供健康諮詢、飲食和生活形態等建議。</p> <p>以場域應用來說，則以企業、社區中心、長照據點、部落等場景為單位，來根據整合的健康資料，提供相對應照護服務。比如企業可請健康管理師，透過健康存摺資料來提供員工健康管理服務。</p> <p>莊欣怡指出，目前已有148家共349支App申請健康存摺SDK串接，其中已上線的有31家共64支App，範圍涵蓋資訊軟體業、生醫、醫事機構、政府與學研單位，以及健康管理業者。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A8%E8%80%85.JPG" /></p> <p><span style="font-size:24px;"><strong>北醫附醫、北榮、臺大醫院及業者各有應用</strong></span></p> <p>現場也有醫院分享應用成果，比如北醫附醫在自家App：個人健康區塊鏈護照iTPass中，介接健康存摺SDK，來針對血友病患者整合院外數據，比如患者在不同院所的就醫資訊，如西醫門診、牙醫門診、預防接種、影像和檢驗檢查報告，以及用藥等資料，再加上患者的在家治療記錄，如出血原因、出血部位、注射後效果等，來提供血友病患者照護服務。比如，App能提醒患者藥物注射日期，以及用藥記錄等。</p> <p>另一個例子是，臺北榮總腎臟科利用SDK，介接整合慢性腎臟病患者的檢驗用藥資料，這些資料再加上患者的血糖自我記錄、血壓記錄、居家運動和飲食飲水等資料，就能用來提供患者健康自我管理功能，比如營養運動管理、飲水量管理、用藥警示等，來把關慢性腎臟病患者的健康。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E7%AE%A1%E7%90%86.JPG" /></p> <p>而臺大醫院官網App介接健康存摺SDK，整合病人用藥記錄（包括院內HIS記錄藥物和健康存摺記錄）、健康存摺資訊，來供病人查詢，並提供用藥提醒服務。此外，該App也能根據外院領藥記錄，來提醒連續處方箋領藥日期。</p> <p>臺大醫院計畫，接下來要讓醫師也能查閱病人服藥記錄狀態，來監督病人是否按時服藥。他們也想多整合三高提示功能，以及醫院個案管理App，來加強健康管理。不過，由於衛福部電子病歷交換中心推廣醫院使用FHIR，作為醫療資料交換格式，但健保資料交換格式仍非FHIR，因此臺大醫院希望，健保資料交換格式也許能採用FHIR，如此醫院不必重複上傳。</p> <p>就業者而言，智齡科技的數位照護Note App則整合民眾輸入的量測數據和健檢數據，以AI比對健保資料庫心血管疾病患者的健檢數據，來預測使用者罹患心血管疾病機率。此外，他們也透過整合SDK的資料，來提供長新冠的復原評估建議。而吉樂健康資訊的WaCare遠距健康App，則整合民眾裝置量測值、就醫資訊、政府開放資料，來提供專家建議諮詢服務。</p> </div></div></div>
2022/12/27 17:59作者王若樸https://www.ithome.com.tw/news/154906
駭客宣稱取得4億筆推特用戶資料，並高調出售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/" target="_blank">本周資安網站BleepingComputer報導</a>，有人在駭客論壇聲稱，已利用推特今年被揭露的一項API漏洞，取得4億筆推特（Twitter）用戶個資，並要求推特公司買回以免遭歐盟處罰。</p> <p>報導指出，名為Ryushi的人士在Breached駭客論壇貼出公告，聲稱手中握有4億筆推特資料，包括電子郵件、姓名、電話號碼等，開價20萬美元公開出售。這名駭客並直接向推特及執行長馬斯克（Elon Musk）放話指出，先前的 540萬筆資料外洩已引來歐盟調查，可以想見4億筆個資的後果。為了免於如同臉書5.33億筆被資料抓取（web scraping）的鉅額罰款命運，他們最好的選擇是獨家買下這批資料。</p> <p>這名駭客還列出了30多位名人、政治人物、知名公司如美國前總統川普、加拿大企業家Kevin O’Leary、電視名人Piers Morgan及創投家Mark Cuba的資料，包括電話、電子郵件、粉絲數、帳號建立日期等。BleepingComputer報導，這名駭客之後也公佈了約1,000名推特用戶的個人檔案。</p> <p>本案是推特資料外洩案的最新進展。今年7月先是有研究人員發現一名人士在地下網站兜售540萬筆推特用戶個資，11月另一名研究人員發現1,700萬筆用戶資料，懷疑事情不單純，可能外洩幅度比之前所知更大，或是有另一次外洩。但<a href="https://www.ithome.com.tw/news/154699" target="_blank">推特本月聲稱</a>兩次的發現，資料其實來自同一批，並沒有另一次外洩。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/" target="_blank">駭客向Bleeping Computer證實</a>，他們是在去年利用推特平臺漏洞，蒐集到推特用戶電話、電子郵件。</p> <p>這項漏洞出在Twitter API上，允許某人餵大量電話號碼及電子郵件到API後接獲用戶ID。攻擊者之後即可利用ID和IP位址從推特網站取得公開資料，並建立該用戶的個人資料。Ryushi說他是從去年外洩540萬筆個資的駭客獲得對推特流程的了解，用的也是相同手法。然後將取得的用戶ID以另一個API抓出用戶名稱和其他資料。這漏洞類似去年臉書遭人從網頁抓取公開資料，導致5.33億筆用戶個資外流。</p> <p>該漏洞今年8月才因資料外洩案曝光，當時推特說漏洞已在今年1月修補。最新事件顯示，在修補之前，已有多組人馬相繼濫用了Twitter API漏洞。</p> <p>本案可能使推特面臨更大的行政壓力。臉書才因去年5.33億的資料抓取外洩遭到<a href="https://www.ithome.com.tw/news/143664" target="_blank">歐盟</a>及<a href="https://www.ithome.com.tw/news/143850" target="_blank">愛爾蘭</a>當局的調查。推特目前暫未對此回應。</p> </div></div></div>
2022/12/27 17:04作者林妍溱https://www.ithome.com.tw/news/154902
簡化應用程式版本管理，紅帽RHEL 9預設不使用模組串流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於不少使用者反應目前RHEL（Red Hat Enterprise Linux）9普遍缺乏模組，<a href="https://www.redhat.com/en/blog/modularity-red-hat-enterprise-linux-9">紅帽（Red Hat）在部落格解釋</a>當前模組狀態和計畫，並表示RHEL 9不會包含任何預設模組串流，在一般情況還是使用傳統RPM，以簡化應用程式版本管理。</p> <p>在RHEL 8中，紅帽加入了一個稱為應用程式串流的新概念，目的是要比核心系統更頻繁地交付和更新使用者空間元件的版本，如此紅帽便能夠在不影響平臺和特定部署底層穩定性下，提供更大的靈活性。</p> <p>針對使用者反應RHEL 9缺乏模組的問題，官方解釋，模組只是一種封裝技術，僅為應用程式串流的格式之一，以應用程式串流供應的元件，可以打包成傳統的RPM套件、模組和SCL（Software Collections）。官方會根據元件特性、支援時間和上游社群計畫，選擇最適合的應用程式串流格式，因此當模組是適合的選擇，則應用程式串流就會使用模組，反之則選用其他格式。</p> <p>用戶常需要在重疊的時間區間中，支援不同的應用程式串流，紅帽表示，傳統的RPM很難滿足這項需求，因為RPM總會是選擇最新版本。但很多時候必須要避免這種情況，特別是不少軟體本身並非向後相容，像是發生在資料庫的例行更新，就可能導致系統故障。</p> <p>而在RHEL 7中，首選的格式是SCL，使用戶可同時安裝多個版本，但是當只需要唯一安裝版本，SCL便不適合。所以當用戶不需要同時安裝或是執行多個版本，則模組便是理想的選擇，透過將軟體的主要版本建置成模組，並以套件管理工具進行控制，即便多個版本同時可用，用戶也可以在維護系統更新時選擇他們所需要的版本。</p> <p>不過，除了根據格式特性選擇之外，紅帽認為RHEL應用程式串流格式，還有兩個需要改進地方，第一是要儘早確定完整的生命周期，使用戶可以將這個低階計畫資訊，應用在採用計畫中，另一個改進則是讓用戶，能夠簡單區分在RHEL發行版生命周期受支援的軟體版本以及短期支援版本。</p> <p>要能達成這兩個改進方向，紅帽需要在RHEL初始發布時，就確定特定版本為應用程式完整生命周期版本，而傳統RPM便是更好的選擇，尤其是針對第二項改進，而這也代表當使用者完全仰賴完整生命周期應用程式串流，就可以略過管理模組所需的工具和程序。</p> <p>官方預計在後續的RHEL 9版本，發布支援持續時間更短的應用程式串流，因此當應用程式版本間存在重疊或是衝突，模組仍是最適合的應用程式機制，但RHEL 9不會有預設的模組串流，用戶在沒有指定的情況下，都會預設使用傳統RPM版本。紅帽期望透過這樣的調整簡化應用程式串流管理。</p> </div></div></div>
2022/12/26 22:22作者李建興https://www.ithome.com.tw/news/154884
BigCode釋出僅有1.1B參數的高效能程式語言模型SantaCoder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放科學合作組織BigCode釋出了一個用於程式開發，具有1.1B參數的<a href="https://twitter.com/BigCodeProject/status/1605958778330849281">多語言開源語言模型SantaCoder</a>，能夠產生比更大型開源模型，更好的Python、Java與JavaScript程式碼生成和填充建議。BigCode現在於Huggingface網站提供SantaCoder演示，供任何人研究試用。</p> <p>SantaCoder使用The Stack資料集訓練，由於研究人員想要訓練出一個相對小的模型，因此僅選擇目前流行的三種語言Python、Java與JavaScript。在訓練模型之前，研究人員先註解400個範例，並且建置完善的正規表示式規則，從程式碼中刪除了諸如電子郵件、金鑰和IP地址等敏感資訊。</p> <p>研究人員藉由實驗不同的因素對模型造成的影響，發現有兩個做法能夠顯著提高模型效能，第一是積極過濾重複專案，另一項則是不篩選GitHub專案星數，研究人員表示，如果只選擇GitHub 5星專案的檔案，模型效能反而會明顯降低。</p> <p>模型訓練完成後，研究人員使用MultiPL-E基準評估模型，MultiPL-E是一個支援18種程式語言的文字轉程式碼基準。SantaCoder從左至右生成和填充MultiPL-E中Python、Java與JavaScript部分程式碼，評估實驗證明，儘管SantaCoder只有1.1B，但效能優於規模較大擁有6.7B參數的InCoder，以及參數2.7B的模型CodeGen-multi。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fkl_y7HWIAMc_z0.jpeg" style="width: 580px;" /></p> <p>SantaCoder使用開發和負責任人工智慧授權OpenRAIL，更重要的是，由於要讓開發者可以安心的使用SantaCoder，研究人員開發了一個程式碼歸屬查詢介面，讓用戶可以查詢SantaCoder生成程式碼的歸屬。</p> <p>當開發者使用SantaCoder產生程式碼的時候，結果可能包含預訓練資料集程式碼的副本，研究人員提到，在這種情況下，程式碼的授權可能會要求開發者遵守部分要求，而透過使用程式碼歸屬查詢功能，用戶便可以找到程式碼的來源，遵守程式碼庫特定授權要求。</p> </div></div></div>
2022/12/26 22:24作者李建興https://www.ithome.com.tw/news/154890
Visual Studio 17.5新增Markdown編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於收到不少用戶的回饋，微軟決定在<a href="https://devblogs.microsoft.com/visualstudio/write-markdown-without-leaving-visual-studio/">Visual Studio中加入Markdown編輯器</a>，開發者現在下載最新的Visual Studio 17.5第二預覽版，就能使用Markdown編輯功能。另外，官方還提到，Markdown編輯器還將會在之後的Visual Studio版本提供拼寫檢查器支援。</p> <p>微軟提到，Markdown語言具有許多優點，當開發者想要編寫具格式的程式碼，但又不想犧牲易讀性時，Markdown是一個很好的解決方案。不只GitHub的Readme檔案使用Markdown，微軟也將Markdown當作Visual Studio文件的標準，開源程式碼庫說明文件也常使用.md檔案，即便Markdown受廣泛使用，但過去Visual Studio用戶要編輯Markdown，便需要離開Visual Studio使用其他工具。</p> <p>而微軟在Visual Studio 17.5加入Markdown編輯器後，用戶便可以直接在Visual Studio中，編輯專案中的Markdown檔案。開發者只要更新到最新的17.5預覽版，Markdown編輯器便已經啟用供用戶立即編寫檔案，或是用戶也可以在預覽功能頁面，手動啟用或是停用Markdown語言服務。</p> <p>Visual Studio的Markdown編輯器的功能包括語義著色，刪除線和粗體等裝飾符號也會直接在編輯器中應用，用戶可以在編輯器右側視窗，直接預覽Markdown文件最終呈現。而Visual Studio的Markdown編輯器，也支援大多數Markdown編輯器的標準操作，像是使用Shift+Alt+↓，用戶就可以創建多個插入符號迅速修改項目列表。</p> </div></div></div>
2022/12/26 22:27作者李建興https://www.ithome.com.tw/news/154896
Kubernetes 1.26添加Pod調度閘節省調度程式資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes 1.26加入了一項Pod新功能<a href="https://kubernetes.io/blog/2022/12/26/pod-scheduling-readiness-alpha/">調度閘（Scheduling Gate）</a>，當Pod準備完成就能透過調度閘讓調度程式知道，反之當Pod尚未準備完成，調度程式也能夠檢查調度閘的狀態略過該Pod。</p> <p>當Pod創建時，調度程式需要不斷地嘗試尋找適合該Pod的節點，這個無限循環會一直持續，直到調度程式找到Pod的節點，或是該Pod被刪除。官方提到，當Pod被外部阻塞或其他原因造成Pod長時間無法調度，便會浪費調度周期，依據Pod調度限制的複雜性，一個調度周期可能約為20毫秒或是更久。</p> <p>因此在較大的規模時，這些被浪費的周期便會明顯影響調度程式的效能，而調度閘便能夠解決這個問題，因為該功能讓新創建的Pod，能夠宣告尚未準備好接受調度的狀態，因此當Pod上存在調度閘時，調度程式便會忽略該Pod，以避免不必要的嘗試，當用戶在叢集安裝Cluster Autoscaler，這些Pod也會被忽略。</p> <p>而清除調度閘的工作，則是由外部控制器負責，像是配額管理器等外部控制器，將會知道可對Pod進行調度的時機。</p> <p>官方解釋，調度閘的工作方式與Finalizer相當類似，當spec.schedulingGates欄位不為空值時，Pod將顯示SchedulingGated狀態並且阻擋所有調度。Pod可以在創建時加入多個調度閘，當SchedulingGated欄位被清除時，調度閘就會清除，所有調度閘不用一次全部移除，但是調度程式只會在所有調度閘都被移除後，才會重新考慮Pod的調度。</p> <p>調度閘其中一個重要使用案例是動態配額管理，由於Kubernetes支援ResourceQuota，但是API伺服器會在Pod創建時強制給予配額，當一個新的Pod超過CPU配額，這個Pod就會被API伺服器拒絕加入佇列，而創建該Pod的程式便會不斷嘗試重新創建。</p> <p>這個情況可能會讓API伺服器和調度程式負載增加，此時外部控制器ResourceQuota便可對叢集中創建的所有Pod，添加一個檢查調度閘，當有啟動Pod的配額時，管理器才會移除調度閘，調度程式也才會考慮調度該Pod。</p> </div></div></div>
2022/12/26 22:29作者李建興https://www.ithome.com.tw/news/154897