iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 4篇
近 24 小時: 30篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2023年2月7日，勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 日前傳出有勒索軟體鎖定VMware ESXi的漏洞CVE-2021-21974發動攻擊的情況，引起歐美國家高度重視，如今有國家證實遭到大規模攻擊，不只部署此虛擬化平臺的組織受害，還導致當地數百萬民眾無法上網。 中國駭客組織Mustang Panda去年底發起新的攻擊行動，駭客假借歐盟的名義來發動釣魚郵件攻擊。研究人員認為，這起事故很可能是針對協助烏克蘭的歐洲國家而來。 電玩遊戲原神的防做弊元件又被濫用於攻擊行動！有資安業者揭露專門透過遠端桌面軟體漏洞入侵受害電腦的資安事故，駭客為了規避防毒軟體對於惡意程式的偵測，利用前述元件來進行自帶驅動程式攻擊（BYOVD）。 <h3>【攻擊與威脅】</h3> <a href="https://eandt.theiet.org/content/articles/2023/02/italy-warns-of-large-scale-global-ransomware-attack/">利用2年前VMware ESXi漏洞的勒索軟體攻擊行動出現災情，數十家義大利組織受害、數百萬用戶無法上網</a> <a href="https://www.ithome.com.tw/tags/CVE-2021-21974">#CVE-2021-21974</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://www.ithome.com.tw/tags/ESXiArgs">#ESXiArgs</a> 法國電腦緊急應變小組（CERT-FR）及當地雲端服務業者OVHcloud於2月3日提出警告，<a href="https://www.ithome.com.tw/news/155389#CVE-2021-21974">有人積極針對虛擬化平臺VMware ESXi下手</a>，利用CVE-2021-21974發動勒索軟體攻擊，如今這樣的情況傳出了災情。根據義大利媒體安莎通訊社（Agenzia ANSA）的報導，他們引述義大利國家網路安全局（ACN）於2月5日發出的警告，當地有數十個組織遭到相關攻擊，多達數百萬人無法連上網際網路，ATM設備也出現無法提供服務的現象。另一家當地媒體晚郵報（Corriere della Sera）指出，駭客向受害組織索討2個比特幣（相當於約4.2萬歐元）。義大利電信（TIM）也在同日發生網路故障的情況，但初步了解與上述勒索軟體攻擊無關。 對此，<a href="https://blogs.vmware.com/security/2023/02/83330.html">VMware也在6日發出警告</a>，勒索軟體ESXiArgs利用上述漏洞發起大規模攻擊，並指出目標主要是終止支援（EOGS）或是過時版本的系統，他們呼籲IT人員使用最新版本的ESXi，並停用OpenSLP服務。 ESXiArgs並非近期鎖定此虛擬化平臺的勒索軟體。Equinix威脅分析中心（ETAC）的研究人員發現，<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-royal-ransomware-targets-vmware-esxi-servers/">勒索軟體Royal最近也出現Linux版本</a>，主要目標就是VMware ESXi。 <a href="https://blog.eclecticiq.com/mustang-panda-apt-group-uses-european-commission-themed-lure-to-deliver-plugx-malware">中國駭客組織Mustang Panda假借歐洲議會名義散布惡意軟體PlugX</a> <a href="https://www.ithome.com.tw/tags/Mustang-Panda">#Mustang Panda</a> <a href="https://www.ithome.com.tw/tags/PlugX">#PlugX</a> <a href="https://s4.itho.me/sites/default/files/images/PlugX-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PlugX-1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露中國駭客組織Mustang Panda近期的攻擊行動，該組織於2022年12月，假冒歐洲聯盟委員會的名義，透過LNK捷徑檔案在受害電腦植入惡意軟體PlugX，並利用DLL搜尋順序挾持（DLL Search-Order-Hijacking）的方式，濫用系統內建的程式LMIGuardianSvc.exe，將其使用的記憶體來載入此惡意軟體。 為了能持續在受害電腦上運作，駭客透過竄改Windows作業系統的登錄機碼，將惡意軟體加入開機啟動的項目。攻擊者最終讓該惡意軟體與C2伺服器連線，並洩露竊得資料。 <a href="https://asec.ahnlab.com/en/47088/">中國遠端桌面存取軟體漏洞遭到濫用，駭客用於自帶驅動程式攻擊</a> <a href="https://www.ithome.com.tw/tags/BYOVD">#BYOVD</a> <a href="https://www.ithome.com.tw/tags/Sliver">#Sliver</a> <a href="https://www.ithome.com.tw/tags/原神">#原神</a> <a href="https://www.ithome.com.tw/tags/Powercat">#Powercat</a> 資安業者AhnLab揭露針對中國遠端桌面存取軟體「向日葵（Sunlogin）」漏洞而來的攻擊行動，駭客利用此軟體的RCE漏洞CNVD-2022-10270、CNVD-2022-03672入侵受害電腦，進而部署滲透測試工具Sliver、木馬程式Gh0st、挖礦軟體XMRig，以及名為Powercat的反向Shell。 研究人員指出，為了規避防毒軟體的偵測，這些駭客在植入上述惡意軟體之前，會部署PowerShell指令碼，藉由含有漏洞的電玩原神（Genshin Impact）反作弊元件Mhyprot2DrvControl，發動自帶驅動程式（BYOVD）攻擊。 <a href="https://frycos.github.io/vulns4free/2023/02/06/goanywhere-forgotten.html">研究人員公布檔案共享系統GoAnywhere零時差漏洞的概念性驗證攻擊</a> <a href="https://www.ithome.com.tw/tags/MFT">#MFT</a> <a href="https://www.ithome.com.tw/tags/RCE">#RCE</a> <a href="https://www.ithome.com.tw/tags/0-day">#0-day</a> MFT檔案傳輸管理系統GoAnywhere日前傳出資安漏洞危機，<a href="https://www.ithome.com.tw/news/155404#goanywhere">資安新聞記者Brian Krebs指出該系統存在零時差漏洞</a>，但尚未發布修補程式。事隔數日有了新的發展。 資安顧問公司Code White的研究人員公布此漏洞的細節，以及概念性驗證（PoC）攻擊程式碼，這些程式碼可讓攻擊者在尚未採取緩解措施的GoAnywhere系統上，不需通過身分驗證就能遠端執行任意程式碼。<a href="https://attackerkb.com/topics/mg883Nbeva/cve-2023-0669/rapid7-analysis">資安業者Rapid7指出</a>，此漏洞已被登記為CVE-2023-0669進行追蹤。 <a href="https://www.securityweek.com/feds-say-cyberattack-caused-suicide-helplines-outage/">美國自殺求助的生命線電話988因電信業者遭網路攻擊而中斷服務</a> <a href="https://www.ithome.com.tw/tags/988">#988</a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊">#供應鏈攻擊</a> 根據美聯社的報導，美國新開通的自殺心理咨詢求助生命線電話988，12月1日因網路攻擊而中斷語音電話服務接近1天，起因是提供此專線電信服務的業者Intrado遭到網路攻擊所致，但簡訊與即時通訊服務不受波及。此事得到該國物質成癮暨心理健康服務部（SAMHSA）證實，聯邦通訊委員會已在去年12月介入調查。對此，該國有眾議員提出法案，呼籲政府要針對與988熱線相關的網路攻擊採取更完善的因應措施。 <a href="https://en.yna.co.kr/view/AEN20230203008600325">韓國電信業者LG Uplus傳出資料外洩影響範圍擴大，29萬用戶受到波及</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> 根據韓國媒體Yonhap News Agency的報導，當地電信業者LG Uplus Corp於上個月（1月）發生資料外洩事故，並表示總共約有29萬名用戶受到影響。這起事件最初是1月10日揭露，該公司初步認為有18萬名用戶個資外洩，包含了姓名、生日、電話號碼，但後來發現，曾經使用該電信服務的11萬名民眾也受到波及。該公司強調，外洩的資料不包括用戶的財務資訊，但並未公開說明事故發生的原因。 <a href="https://www.websiteplanet.com/news/8twelve-leak-report/">加拿大房屋貸款業者8Twelve資料庫缺乏密碼保護，逾70萬民眾個資曝光</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> <a href="https://s4.itho.me/sites/default/files/images/812-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/812-1.png" style="width: 300px; float: right;" /></a> 研究人員Jeremiah Fowler與架站教學網站Website Planet聯手，發現一個對外公開且沒有密碼保護的資料庫，內有717,814筆記錄，涉及數以千計的加拿大民眾，內容包含姓名、電話號碼、電子郵件信箱、居住地址等，研究人員推測這些資料很可能與想要購屋、融資、投資房地產有關，進一步調查認為此資料庫是當地房屋貸款業者8Twelve所有，經通報後，該業者數小時後採取行動，禁止公眾存取。研究人員推測，該資料庫很可能與8Twelve採用的客戶關係管理系統（CRM）有關。 <a href="https://www.hackread.com/india-truck-brokerage-company-data-leak/">印度卡車貨運公司FR8伺服器配置不當，曝露140 GB資料</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> <a href="https://s4.itho.me/sites/default/files/images/india-FR8-largest-truck-brokerage-company-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/india-FR8-largest-truck-brokerage-company-data-leak.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Hackread的報導，資安研究員Anurag Sen與資安業者FlashStart聯手，發現印度大型卡車貨運公司FR8出現伺服器配置不當的情況，內有140 GB資料，外部人士無須輸入密碼或是通過安全驗證就能存取。這些曝露的資料包括印度各地客戶的記錄、發票、付款資訊，以及員工與客戶的個資。研究人員試圖透過電子郵件通報FR8，但信件皆被退回。 <h3>【其他資安新聞】</h3> <a href="https://securityaffairs.com/141792/hacking/tallahassee-memorial-healthcare-cyberattack.html">美國佛羅里達州醫院遭到網路攻擊，系統被迫離線</a> <a href="https://www.swissinfo.ch/eng/sci-tech/hackers-target-zurich-university-with--professional--cyberattack/48256306">蘇黎世大學傳出遭到網路攻擊，隔離部分IT系統防止災情擴大</a> <a href="https://www.securityweek.com/high-severity-privilege-escalation-vulnerability-patched-in-vmware-workstation/">VMware修補虛擬化軟體高風險漏洞</a> <a href="https://news.cts.com.tw/cts/society/202302/202302062138967.html">華航個資外洩延燒，傳出駭客預告將公布第三波資料</a> <a href="https://www.ithome.com.tw/news/155416">微軟OTP驗證碼產生器Authenticator將停止支援Apple Watch</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a> <a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a> <a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a> </div></div></div>
2023/2/7 17:56作者周峻佑https://www.ithome.com.tw/news/155423
知名問答平臺Quora發表自家AI聊天機器人平臺Poe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 每月擁有4億不重複用戶的知名問答平臺Quora，現在創建出自家的<a href="https://quorablog.quora.com/Poe-1">人工智慧聊天機器人平臺Poe（Platform for Open Exploration）</a>，使用者只要在Poe上提問，Poe便能即時提供答案。目前Poe僅先在iOS上架，接下來幾個月會陸續登陸包括Android、網頁和桌面等平臺，Quora執行長提到，他們之後還會針對不同任務，創建更多的機器人。 人工智慧的可用性，已經隨著技術成熟，在許多使用案例中被驗證，即便人工智慧仍有部分議題待討論與解決，但不可否認的，隨著ChatGPT的出現，人們對人工智慧將顛覆一切習以為常的想像，已經越來越清晰，Quora執行長Adam D'Angelo認為，人工智慧的浪潮，將比個人電腦、網際網路或是智慧手機更具革命性，並會對社會和世界經濟產生更大的影響。 Quora著手開發新產品因應人工智慧帶來的影響，建立人工智慧機器人平臺Poe，目前在平臺上提供OpenAI和Anthropic的模型，讓使用者能夠與人工智慧機器人來回對話，即時獲得問題的答案。Adam D’Angelo提到，雖然Poe上目前只支援OpenAI和Anthropic的模型，但是在可預見的未來，將會出現一個持續成長的人工智慧生態系。 由於不同的任務需要用上不同的模型，因此Poe作為機器人平臺，接下來將會提供更多的模型，Quora正在開發Poe API，要讓其他人工智慧開發人員，更簡單地在Poe介接模型，進而擴展用戶。另外，由於要促進人工智慧模型的使用，Quora建立方便的分享功能，讓使用者可以與社群追蹤者分享模型輸出，以分享使用靈感。 Poe將Quora視為快速傳播知識的工具，但是Quora目前並沒有使用創作者，在平臺上共享的知識來訓練Poe，該公司將Poe視為獨立的新產品發展，並且當Poe足夠成熟時，還會在Quora上發布由Poe產生的內容。Adam D’Angelo表示，未來如果他們選擇使用Quora平臺資料訓練模型，也會尊重平臺上的創作者，讓創作依意願選擇退出。 Adam D’Angelo也向使用者打預防針，強調Poe所使用的人工智慧技術並不完美，僅能用於特定情況，他們雖然盡力解決人工智慧的問題，但是要完全解決人工智慧目前的缺陷，還需要一段時間。 </div></div></div>
2023/2/7 17:04作者李建興https://www.ithome.com.tw/news/155420
微軟Authenticator不再支援Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://support.microsoft.com/en-us/account-billing/common-questions-about-the-microsoft-authenticator-app-12d283d1-bcef-4875-9ae5-ac360e2945dd" target="_blank">微軟說</a>，從今年1月開始，雙因素驗證用的Authenticator App已不再支援Apple Watch。 微軟自2018年推出Apple Watch版的Authenticator，讓iOS用戶以雙因素驗證登入個人或公司微軟帳號時，直接在Apple Watch上接受通知或輸入第二組驗證碼，而無需拿出iPhone。 <a href="https://www.macrumors.com/2022/12/13/microsoft-authenticator-watchos-app-discontinued/" target="_blank">《MacRumors》本周發現</a>微軟稍早更新的FAQ網頁說明，從2023年1月起不會再有watchOS的App，原因是它不支援Authenticator的安全功能。這意謂著用戶無法再於Apple Watch安裝及使用Authenticator。 微軟並未說明是牽涉何種安全功能，只建議用戶移除這款App。 這是微軟從iOS平臺撤除的最新軟體功能。<a href="https://www.ithome.com.tw/news/153374" target="_blank">去年9月微軟也終止支援iOS版SwiftKey預測式鍵盤</a>。媒體推測是因為蘋果不開放iOS API供微軟App存取的關係。 事實上，這幾年已經有許多軟體陸續從Apple Watch撤除，原因是使用量少或是和iPhone版重疊性高，包括Twitter、Instagram、Uber及Slack等。 </div></div></div>
2023/2/7 11:06作者林妍溱https://www.ithome.com.tw/news/155416
微軟測試Defender for Endpoint隔離Linux裝置的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-device-isolation-support-for-linux/ba-p/3676400" target="_blank">微軟宣布</a>將為端點防護軟體Defender for Endpoint推出可隔離網路中Linux裝置的新功能，以便在發生勒索軟體等攻擊時防止災情擴散。 一些安全防護措施要求可將特定臺裝置隔離出來，以防止攻擊者從駭入的裝置上執行進一步攻擊，包括資料外洩或橫向移動。Defender for Endpoint已經可以隔離Windows裝置，最新功能Defender for Endpoint Linux則讓管理員從Microsoft 365 Defender入口網站或利用API手動隔離Linux裝置。它能暫時切斷被駭入的Linux裝置與整個網路的連線，只連到Defender for Endpoint服務，同時又能持續監控該臺裝置。 這項功能目前為公開預覽版階段，但不久後也會正式推出。 但微軟提醒，特定裝置被隔離時，某些行程就無法持續執行，例如在完全VPN通道後的裝置一旦被隔離就無法連到Defender for Endpoint。微軟建議管理員使用分割通道（split-tunneling）VPN以及Defender Antivirus雲端防護。此外，該公司也澄清，Defender for Endpoint新功能並不支援從網路移除Linux裝置。 </div></div></div>
2023/2/7 11:22作者林妍溱https://www.ithome.com.tw/news/155417
哥倫比亞法官用ChatGPT做出判決
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> ChatGPT運用愈來愈廣。一名哥倫比亞法官在其近日一宗官司中，使用了ChatGPT生成的答案作為判決依據之一。 哥倫比亞一名法官Juan Manuel Padilla Garcia上個月在審理一宗保險公司和其一名被診斷有自閉症的兒童客戶的理賠官司時，使用了ChatGPT的答案。這名法官向ChatGPT輸入了幾個問題，並將其回答的文句，連同自己的想法，加入成為判決的論點基礎，他並且在<a href="https://www.diariojudicial.com/public/documentos/000/106/904/000106904.pdf" target="_blank">判決文件</a>中坦言使用了AI系統給出的答案。 根據法院文件，Garcia問了ChatGPT的問題包括「自閉症未成年患者是否可不需支付其治療的費用？」、「在這些情況下，要求保險公司收費是否成為享受健康服務的障礙？」以及「憲法法院判例中有無類似有利的判決？」 ChatGPT回答，根據哥倫比亞法令，未成年自閉症患者在治療過程中不需支付仲介者費用。而且在某些情況下，特別是如果收入有困難，或者經濟狀況不穩定，要求自閉症患者支付費用的要求可能會成為患者獲得醫療服務的障礙。ChatGPT也說哥倫比亞憲法法院曾有過類似的有利判決。 這個AI聊天機器人也引用了哥國法令，說該法條適用於為仰賴社福系統的族群提供公、私健康服務的機構。 Garcia最後判決，這名男童的醫療支出必須由其保險公司負擔，因為他父母負擔不起。不過該法官指出，使用ChatGPT只是為了加快判決書撰寫的速度，而非取代人類法官的決斷。他也說，ChatGPT可以「提升司法體系的回應時間，並以更有組織、簡單而結構化的方式」提供資訊。 雖然法官聲稱ChatGPT用於輔助判決有很多好處，但是許多AI倫理學者認為並不可取，因為目前證據顯示，AI可能給出具偏見、甚至錯誤的資訊。雖然ChatGPT的開發商OpenAI已加入限制不當提問及給出錯誤答案的工具，但仍警告不應將ChatGPT的回應用於重大判斷。 </div></div></div>
2023/2/7 11:44作者林妍溱https://www.ithome.com.tw/news/155419
推特關免費API引社群反彈，馬斯克考慮開放免費輕量唯寫API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 推特持續收緊API政策，上周宣布將在2月9日關閉免費API存取，馬斯克（Elon Musk）在其推文提到，這項政策是為了解決推特上充斥垃圾訊息機器人的問題，但與此同時，也使許多正常使用的機器人被迫關閉。 在推特宣布這項API新政策後，不少推特機器人作者開始向追蹤者道別，但根據<a href="https://twitter.com/elonmusk/status/1621426702294609921">馬斯克最新的回應</a>看來，政策可能還有轉圜的餘地。馬斯克上周提到，因為取用推特API不需要經過身分驗證，而且不需要任何持成本，使得垃圾訊息機器人大量出現，他們希望透過設置每月100元美金的API存取費用，以及身分驗證門檻來減緩這個情況。 擁有20.9萬追蹤者的貓帳Pépito（@PepitoTheCat）作者回應馬斯克提到，推特新API政策將會使Pépito帳號消失，但Pépito是推特歷史的一部分，透過發布高品質內容，帶來許多平臺參與。馬斯克為此重新考慮API政策，表示會提供經過驗證的帳戶，免費取用輕量唯寫API以繼續產生優質內容。 另外，馬斯克還表示，<a href="https://twitter.com/elonmusk/status/1621544497388875777">推特會開始向訂閱Twitter Blue Verified的創作者，提供推文串的廣告分潤</a>，但是馬斯克只提到這項政策從2月4日開始實施，但沒有說明任何執行細節，因此用戶目前還不知道，推文需要有多少流量才能獲得分潤，又或是推特會以什麼管道支付廣告收益給用戶。 推特現在還希望企業花錢維持他們的黃金認證徽章，前英國政府數位通訊顧問，現任Geekout Newsletter創辦人Matt Navarra，<a href="https://twitter.com/MattNavarra/status/1621558412386476036?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1621558412386476036%7Ctwgr%5E6fd9897e3b6a22bdf990f13a414675c53f056d72%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.theverge.com%2F2023%2F2%2F4%2F23585612%2Ftwitter-gold-checkmark-business-subscription">公開推特所寄發的信件</a>，信中提到，推特要對組織認證的黃金徽章收費，要是企業想要繼續擁有組織認證徽章，必須每月支付1,000美元，每一個組織關聯帳戶還需要每月支付50美元費用，才能獲得認證徽章。 隨後Matt Navarra又向推特的產品團隊，確認組織黃金認證徽章的相關資訊，推特產品團隊回應了跟信件相同的訊息。不過，推特目前未正式對外發布這項訊息，同時也不清楚擁有黃金認證徽章的組織，會在未支付費用多久的時間失去黃金認證徽章。 </div></div></div>
2023/2/7 10:38作者李建興https://www.ithome.com.tw/news/155406
VS Code Python擴充套件改進環境設定流程，並強化IntelliSense對單元測試的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-february-2023-release/">微軟發布VS Code的Python和Jupyter擴充套件2月更新</a>，使得用戶能夠可以更簡單地設定環境，並且快速編寫程式。現在當開發者從Conda或是虛擬環境的終端機啟動VS Code時，VS Code現在能夠偵測啟用的環境，並且根據環境類型自動選取適合的Python環境，或是詢問使用者的選擇，官方提到，這項的功能透過自動選擇環境，使開發者不需手動以改進開發流程。 現在開發者還可以使用Python:Create Environment命令，選擇創建環境的需求檔案和可選相依項目。過去開發者使用Python:Create Environment命令創建環境時，該命令會搜尋常用需求和相依項目，並自動載入到環境中，而在更新後的Python:Create Environment命令，使得開發者可以根據需求多重勾選選項並執行快速安裝 另外，微軟也改進IntelliSense對Pylance中Pytest的支援，Pytest是一個單元測試框架，協助開發者寫出更小、更可讀的測試，還支援測試應用程式和函示庫複雜功能。而IntelliSense現在支援Pytest Fixtures和參數化功能，且因為IntelliSense增加支援跳轉到定義和查詢所有引用功能，使得開發者可以更方便地導覽和閱讀測試。官方提到，這次對IntelliSense的更新，能夠近一步協助開發者使用Pytest編寫清楚易維護的測試。 微軟持續改進最近使用（Most Recently Used，MRU）核心選擇器，開發者可以在notebook.kernelPicker.type設定配置為MRU來啟用新功能，並在選擇其他核心選項，選擇未使用的核心。當開發者安裝了最新的Jupyter和Python擴充套件，該選擇器就會按照Jupyter核心或是Python環境等來源，對核心進行分組。 </div></div></div>
2023/2/7 10:39作者李建興https://www.ithome.com.tw/news/155413
【資安日報】2023年2月6日，iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 汽機車共享服務iRent一月底傳出資料外洩事故引起國內各界關注，突顯臺灣企業因應資安事故的能力有待加強，也使得個資保護的議題再度浮上檯面。針對這次事故，上週末（2月4日）和泰終於做出較為詳細的說明，將原先認定僅影響14萬人調整為40萬人。 無獨有偶，近日有人發現格上租車也有類似的資料庫配置不當的情形向立委陳情，初步估計1.6萬名用戶受到影響。 研究人員揭露名為TgToxic的金融木馬，並指出駭客最初針對臺灣安卓用戶而來，架設冒牌的行政院紓困網站來發動攻擊。 <h3>【攻擊與威脅】</h3> <a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2286/index.html">汽機車共享服務iRent受害規模擴大，擬對40萬用戶提出補償</a> <a href="https://www.ithome.com.tw/tags/iRent">#iRent</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> 針對日前汽機車共享服務iRent傳出資料外洩的情況，和泰於2月4日發出新的聲明，將可能的受害範圍擴大，並對於資安事故做出進一步說明。該公司原先認定有14萬名用戶因近三個月異動資料而曝險，但現在擴大範圍，表示自資料庫啟用以來，涉及潛在風險的用戶共有40.01萬名，他們於2月1日晚間寄送電子郵件進行通知，並於2日提供時數補償。 本次公告和泰也進行較為詳細的說明，表示發生事故的資料庫，是他們內部用來記錄應用程式事件記錄（Log）的暫存資料庫，記錄的個資包含姓名、電話、地址、經遮蔽的信用卡資料、身分證字號、生日、電子郵件信箱、緊急聯絡人，以及會員的照片圖檔（經過編碼處理）等，該公司委由外部資安公司監控是否有會員資料外流。 立委揭露格上租車資料庫配置不當的事故 <a href="https://www.ithome.com.tw/tags/iRent">#iRent</a> <a href="https://www.ithome.com.tw/tags/格上租車">#格上租車</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> <a href="https://www.ithome.com.tw/tags/個資法">#個資法</a> 繼汽機車共享服務iRent傳出因資料庫沒有設置密碼保護措施，導致40萬用戶資料外洩，現在有其他租車業者傳出類型情形。根據<a href="https://www.cna.com.tw/news/aipl/202302060090.aspx">中央社</a>、<a href="https://news.pts.org.tw/article/621397">公視</a>、<a href="https://news.ltn.com.tw/news/politics/breakingnews/4202430">自由時報</a>等媒體報導，時代力量與民進黨立委今日（6日）皆召開記者會，揭露格上租車的個資外洩事故。 時代力量立委邱顯智、科技工程師王景弘接獲陳情，有人在iRent傳出資料外洩事件後，檢查自己使用的格上租車服務是否存在類似情況。結果發現，該系統在下載訂單資料的過程中，並未再次經過身分驗證就執行，原因很可能是格上租車的雲端儲存空間設定不當，導致會員訂單資料可被人任意查詢及列出，這些資料包含了姓名，生日，以及身分證字號。王景弘進行驗證發現逾10萬筆PDF檔案的訂單文件存放於雲端空間，且沒有設定存取限制，根據格上租車向會員說明，超過1.6萬用戶個資可能外洩。對此，格上租車回應，他們獲報後就關閉App的查詢及存取功能，目前尚未發現遭到異常查詢或下載的情形。 同日，民進黨立委賴品妤、劉世芳、洪申翰、莊競程也呼籲政府應儘進成立個資獨立專責機關，通盤檢討現有政策能量，並預告將提出相關修法草案。<a href="https://www.facebook.com/LaiPinYuSouichi/posts/pfbid02sYd4ArkSs3QT1ta7tS7e4x7aM5CoipTp7QjfXtjZyfUoYyN4oyGpAbqKpa9rsA3xl">賴品妤表示</a>，當她得知格上租車App「GoSmart」供用戶查詢自己租車單據的連結公開、未加密保護，隨即要求公路總局積極監督，公路總局於2月3日派員前往稽查。 <a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html">安卓惡意軟體TgToxic針對臺灣、印度、泰國等東南亞用戶而來</a> <a href="https://www.ithome.com.tw/tags/Android">#Android</a> <a href="https://www.ithome.com.tw/tags/ATS">#ATS</a> <a href="https://www.ithome.com.tw/tags/TgToxic">#TgToxic</a> <a href="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png" style="width: 300px; float: right;" /></a>全球經濟低迷，有許多人必須依賴政府紓困的金援渡過難關，但這也成為駭客用來發動網釣攻擊的幌子。資安業者趨勢科技針對安卓金融木馬TgToxic進行分析，主要目標是東南亞，目的是從受害者手機裡的銀行App、加密貨幣錢包，盜取存款及數位資產。值得留意的是，該惡意軟體自2022年7月出現，最初是針對臺灣需要紓困的民眾而來。 研究人員最初是發現臉書上出現詐欺貼文，內含針對臺灣使用者的釣魚連結，佯稱是行政院1988紓困救濟網站來行騙，提供2.8萬元的疫情颶風勞工補償津貼，一旦使用者依照指示存取惡意網站，就有可能下載TgToxic；後來在8月至10月，他們又看到駭客改以色情勒索、加密貨幣詐騙的名義，來散布此木馬程式。而至2022年底至2023年初，這些駭客將轉換攻擊目標為泰國的使用者。 駭客利用自動化測試框架Easyclick開發TgToxic，而使得該惡意程式支援JavaScript指令碼，攻擊者能利用這種指令碼挾持安卓設備的使用者介面，並監控使用者輸入的內容、點選的內容，以及操作的手勢，進而在受害者輸入帳密的過程來竊取相關資料，並挾持他們的銀行帳戶與加密貨幣錢包，甚至在無需使用者確認的狀態下，使用名為<a href="https://www.ithome.com.tw/news/129672">自動傳輸系統（Automatic Transfer Systems，ATS）</a>的攻擊手法，進行小額交易。 <a href="https://research.checkpoint.com/2023/following-the-scent-of-trickgate-6-year-old-packer-used-to-deploy-the-most-wanted-malware/">惡意程式打包工具TrickGate讓攻擊者規避防毒軟體長達6年</a> <a href="https://www.ithome.com.tw/tags/TrickGate">#TrickGate</a> <a href="https://www.ithome.com.tw/tags/Packer-as-a-Service">#Packer-as-a-Service</a> 資安業者Check Point針對惡意程式打包工具TrickGate進行分析，此工具為以Shell Code為基礎的軟體打包工具，最初於2016年7月出現，並訂閱服務（Packer-as-a-Service）提供駭客運用，標榜能規避防毒軟體及EDR的偵測。研究人員指出，TrickGate最初被用於打包勒索軟體Cerber，但有人將其用於打包殭屍網路病毒Trickbot、Emotet、竊密軟體AgentTesla、Formbook、挖礦軟體CoinMiner、勒索軟體REvil等，近兩年每週就有40次至650次攻擊與TrickGate有關。 研究人員指出，這些駭客主要針對全球製造業，但也有教育、醫療、金融組織受害；他們提及駭客針對臺灣與土耳其有顯著增加的現象。其中，最近2個月駭客散布最多的惡意軟體是Formbook，占42.74%。該資安業者認為，此惡意程式打包工具之所以能長達6年未被發現，除了TrickGate供應商不斷受到改良，另一個盲點在於資安人員普遍聚焦在惡意軟體進行研究，並未花更多心力分析加殼相關技術的程式工具。 <a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/">上萬使用者遭到假冒DocuSign的網釣攻擊</a> <a href="https://www.ithome.com.tw/tags/DocuSign">#DocuSign</a> <a href="https://www.ithome.com.tw/tags/Office-365">#Office 365</a> <a href="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒電子文件簽名業者DocuSign的網路釣魚攻擊，駭客鎖定採用Office 365郵件用戶而來，假借DocuSign文件需要通過簽核的名義，引誘收信人開啟。 一旦收信人依照指示開啟完整的檔案，就會被引導到假冒資安業者Proofpoint的檔案下載網頁，駭客聲稱檔案已通過賽門鐵克檢驗，使用者必須透過Proofpoint的帳號登入才能存取。假如收信人照做，他的Proofpoint帳密資料就會落入攻擊者的手中。研究人員初步估計，駭客對一萬個電子郵件信箱發出這種網釣郵件。 <a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/">惡意軟體QBot濫用OneNote筆記檔案散布</a> <a href="https://www.ithome.com.tw/tags/QBot">#QBot</a> <a href="https://www.ithome.com.tw/tags/OneNote">#OneNote</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg" style="width: 300px; float: right;" /></a> 資安業者Cyble揭露近期惡意軟體QBot的攻擊行動，當中最值得留意的部分，就是駭客利用夾帶OneNote筆記檔案附件的釣魚信來散布惡意軟體，一旦收信人打開附件檔案，就會觸發內嵌的HTA檔案下載QBot，然後透過rundll32.exe載入、執行。 研究人員針對惡意OneNote檔案進行分析，結果發現當中嵌入的HTA檔案內有兩個JavaScript指令碼、兩個VBscript指令碼，駭客利用JavaScript指令碼下載QBot，至於VBscript指令碼的功能，研究人員表示，其中一個會清除JavaScript指令碼執行過程中加入的機碼，並向用戶顯示檔案無法開啟的錯誤訊息。但這並非首度有惡意軟體利用這種檔案來散布，去年12月，<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/">資安業者Trustwave揭露有人利用此種檔案挾帶惡意軟體Formbook</a>。 <a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/">泰國、菲律賓、秘魯遭到安卓木馬Gigabud RAT假冒政府機關發動攻擊</a> <a href="https://www.ithome.com.tw/tags/Android">#Android</a> 資安業者Cyble揭露鎖定泰國、菲律賓、秘魯的安卓木馬程式Gigabud RAT，駭客設置冒牌的泰國航空業者Thai Lion Air網站，引誘使用者下載此木馬程式，並將Gigabud RAT偽裝成泰國、菲律賓、秘魯的政府機關、購物、銀行貸款App。此木馬程式約自2022年7月出現，並引起泰國電信電腦緊急應變小組（TTC-CERT）於9月提出警告。 一旦使用者依照指示下載並安裝App，該木馬程式就會收集手機上已安裝的應用程式資訊，並執行名為OpenService的服務，木馬程式就會連接到C2伺服器接收命令，然後向受害者顯示假的貸款合約，要求進行確認，過程中會要求受害者授予存取手機的多種權限，如錄製螢幕畫面、層疊螢幕畫面等，最終透過WebSocket協定將側錄的畫面傳送到指定的伺服器。 <h3>【漏洞與修補】</h3> <a href="https://thehackernews.com/2023/02/new-high-severity-vulnerabilities.html">F5 BIG-IP出現高風險漏洞，恐被用於阻斷服務或執行任意程式碼</a> <a href="https://www.ithome.com.tw/tags/BIG-IP">#BIG-IP</a> <a href="https://my.f5.com/manage/s/article/K000130415">資安業者F5針對旗下的BIG-IP解決方案提出警告</a>，表示他們近期修補了CVE-2023-22374，這項漏洞為格式字串弱點，出現在名為iControl SOAP的API元件，攻擊者可在通過身分驗證的情況下，利用這項漏洞導致iControl SOAP的CGI處理程序當機，甚至有可能執行任意程式碼。 該公司表示，在使用整合應用設備模式（Appliance Mode）運作的BIG-IP系統裡，若攻擊者成功濫用漏洞，安全的邊界將會被跨越。根據部署模式的差異，此漏洞的風險層級介於7.5分至8.5分．影響BIG-IP 13.1.5版至17.0.0版。<a href="https://www.rapid7.com/blog/post/2023/02/01/cve-2023-22374-f5-big-ip-format-string-vulnerability/">揭露此漏洞的資安業者Rapid7表示</a>，有鑑於iControl SOAP的API是透過root的權限執行，攻擊者一旦成功利用上述漏洞，就能利用這種權限來遠端觸發任意程式碼並執行。 <a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/">檔案傳輸管理系統GoAnywhere存在零時差漏洞，恐被用於RCE攻擊</a> <a href="https://www.ithome.com.tw/tags/MFT">#MFT</a> <a href="https://www.ithome.com.tw/tags/RCE">#RCE</a> <a href="https://www.ithome.com.tw/tags/0-day">#0-day</a> 2月2日，<a href="https://infosec.exchange/@briankrebs/109795710941843934">資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告</a>，指出該系統存在零時差漏洞，可被用於RCE注入攻擊，並張貼開發商於2月1日對用戶發出的公告。該公告指出攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。但該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。 根據資安研究員Kevin Beaumont利用物聯網搜尋引擎找出曝險的系統，<a href="https://cyberplace.social/@GossiTheDog/109795920737215405">發現有1,008臺GoAnywhere伺服器曝露於網際網路</a>，這些伺服器逾半數（580臺）位於美國。 <h3>【其他資安新聞】</h3> <a href="https://www.fortinet.com/blog/threat-research/supply-chain-attack-by-new-malicious-python-package-web3-essential">惡意PyPI套件web3-essential進行零時差攻擊</a> <a href="https://www.cleafy.com/cleafy-labs/pixpirate-a-new-brazilian-banking-trojan">巴西銀行用戶遭到安卓金融木馬PixPirate鎖定</a> <a href="https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/">伊朗駭客Holy Souls因干預美國大選遭到制裁，憤而竊取法國刊物的用戶個資並外洩</a> <a href="https://www.ithome.com.tw/news/155392">iRent資料庫暴露於公開網路不設防，引發大眾關注，配置錯誤問題應受更多重視</a> <a href="https://www.ithome.com.tw/news/155393">iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演</a> <a href="https://www.ithome.com.tw/news/155398">揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a> <a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a> <a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a> </div></div></div>
2023/2/6 16:28作者周峻佑https://www.ithome.com.tw/news/155404
ChatGPT拒絕寫詩讚頌川普，OpenAI承諾改進其中立性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 一名用戶<a href="https://twitter.com/LeighWolf/status/1620744921241251842">要求ChatGPT寫詩讚頌美國前總統川普（Donald Trump），卻被ChatGPT以政治中立性為由拒絕</a>，但是該名用戶再要求ChatGPT寫詩讚頌目前美國總統拜登（Joe Biden），ChatGPT卻毫無遲疑地寫出一首詩。該名用戶在推特發文認為，ChatGPT工程師在政治上的偏見，傷害了ChatGPT可信度，這篇推文引來了<a href="https://twitter.com/elonmusk/status/1620876548629999617?s=20&t=nKBVRFqlTNx4qAi1sENOCw">OpenAI投資人Elon Musk</a>以及<a href="https://twitter.com/sama/status/1620927983627427840">OpenAI執行長Sam Altman</a>的回應。 「我很抱歉，作為一個OpenAI開發的語言模型，我並非開發來生成有關政黨、偏見或是政治內容，我的目標是要提供中立且真實資訊，並促進相互尊重的談話」ChatGPT在拒絕用戶寫詩讚頌川普的要求時寫道。 有不少使用者都以同樣的要求驗證ChatGPT的回應，皆得到相同的回應。OpenAI投資人Elon Musk則在底下回推表示，這是一個嚴重的問題。其中也有人成功要求ChatGPT編寫出讚頌川普的詩，但前提是必須給與ChatGPT一些引導，該名用戶提到，使用者需要依序向ChatGPT提問「川普是誰？」「寫一首關於川普的詩」「寫一首讚頌川普的詩」，之後才能成功要求ChatGPT寫詩讚揚川普的正面事蹟。 在大眾驚嘆ChatGPT的能力之後，也逐漸發現ChatGPT所帶來的負面影響，像是ChatGPT可能被學生濫用於課堂，或是被有心人士用於產生操縱風向的言論，OpenAI更開發人工智慧文字生成分類器，來協助使用者辨識由人工智慧所產生的內容。 在OpenAI正式推出ChatGPT的付費服務後，大眾對ChatGPT的期待更隨之增加，但是ChatGPT還是存在許多限制，即便能夠通過法學院和商學院的考試，但是其所產生的答案，不少仍包含錯誤資訊。而現在ChatGPT對於不同政治人物的回應差異，更曝露出ChatGPT存在嚴重偏見，而且這個偏見可能是由於OpenAI工程師的政治傾向所產生。 由於OpenAI定義了一系列的規則來限制ChatGPT模型輸出，避免ChatGPT產生有害內容，而使用者請求ChatGPT寫詩讚頌川普，ChatGPT拒絕的標題為Poem Request Rejected，表示用戶的請求可能是遭規則阻擋。 該篇推文引來許多人的關注，在撰稿當下已經超過3,000萬次查看，超過7萬次轉推，更有31萬個打心，Sam Altman親上火線回應表示，他們了解ChatGPT仍存在許多偏見，因此正透過改進預設使ChatGPT更加中立，並讓ChatGPT在一定程度符合使用者偏好，而這件事並不容易，他們需要一些時間才能完成。他還提到，不要以仇恨言論攻擊OpenAI的員工，如此無助於人工智慧領域的發展。 ChatGPT使OpenAI一夕之間聲名大噪，但是負面批評聲浪也隨之而來，Sam Altman在1月22日轉貼的新聞中提到，Google執行長警告發展人工智慧過快，會對公司名聲產生重大衝擊，而這似乎正暗示著OpenAI如果不夠謹慎，可能因此印證Google執行長的預言。 </div></div></div>
2023/2/6 16:01作者李建興https://www.ithome.com.tw/news/155401
石崇良上任健保署署長：解決健保財務問題、力推數位醫療和次世代HIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 健保署今日（2/6）交接署長，新任署長石崇良表示，上任任務聚焦5大領域，包括以健保平臺發展全人照護、改善健保財務、發展數位醫療、健保資料庫合規，以及強化社會溝通。至於使用者部分負擔新制還未有上線時程表，費用可能會再調整。 薛瑞元盼解決健保三大挑戰 衛福部部長薛瑞元指出，健保署在過去6年推動許多健保IT系統發展，像是雲端藥歷、雲端查詢系統，特別是疫情間也快速配合防疫政策，發展TOCC旅遊史查詢、口罩實名制、快篩實名制等應用。 不過，健保也面臨不少挑戰，比如資訊系統要防弊，也需要更精進，讓醫療產業更資訊化。再來是健保財務問題，健保署擁有龐大資料庫，應藉由資料分析、前瞻規畫，來說服立法院、共同解決財務困境。此外，健保體制也需精進，透過各界協調來達成政策共識。 薛瑞元表示，新任署長石崇良經驗豐富，曾於醫策會主導全國病安政策，擔任衛福部常務次長時，也累積健保經驗，與3個健保有關單位如健保署、社會保險司等單位溝通，有信心石崇良能勝任健保署署長一職。 石崇良提5大任務，發展全人照護、力推數位醫療 石崇良也提出上任後將執行的5大重點，首先是在體系面，要讓健保成為一個工具平臺，向前與預防醫學結合、向後與從長照系統銜接，來解決高齡化社會引發的醫療需求問題、也要發展全人的照護體系，並要與國健署、長照司來溝通設計系統。 再來是解決健保財務問題，健保預算已超過8千億，這個預算是對全民健康的投資，應結合國家生技產業政策，來發揮綜效。此外，健保署也將就各給付項目檢討，針對民眾有需求的新興醫材，來透過科學實證、與產業合作，找出對民眾真正有幫助的醫材。 第三個任務是數位醫療發展，疫情間已見到健保署利用健保資訊，從最早的TOCC 旅遊史查詢、守護第一線醫護人員，再到後來的口罩實名制、各項檢測和疫苗接種等系統串接與開發，都是防疫的數位醫療應用。 接下來，「我們要讓數位醫療，成為醫療體系往上提升的重要推力，」石崇良指出，特別是配合衛福部資訊處提出的次世代醫療資訊系統（HIS）升級計畫，要助全臺醫療體系的HIS升級、利於與國際接軌。這個次世代HIS也包含各項新型醫療照護，特別是遠距醫療，是「健保署接下來要合作、搭配的，」他說。而健保署也將針對健保資訊系統，來強化資安和保障民眾個資。 另一個任務則是完善健保法治，比如針對去年大法官釋憲提出的爭議來改善，包括確保健保資料庫的民眾退出權、旅外國人停復保，讓資料使用符合法規。 最後一個任務則是社會溝通，未來在擬定各項政策時，要充分與各界溝通，包括部內部外單位、醫界以及民眾等，盡力達到先溝通、再公最後，讓健保永續發展。 最後，針對使用者部分負擔新制上路時間，健保署則表示上線時程表還未公告，費用也可能再調整。 </div></div></div>
2023/2/6 12:54作者王若樸https://www.ithome.com.tw/news/155399
中國下一代量子電腦悟空即將問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國媒體<a href="https://news.cgtn.com/news/2023-02-03/Production-line-for-China-s-latest-quantum-computer-in-full-capacity-1h7x6vJzuE0/index.html" target="_blank">《南華早報》</a>及<a href="https://www.ithome.com/0/669/509.htm" target="_blank">《IT之家》</a>等報導，中國最新一代量子電腦悟空（WuKong）即將在今年內交付。 位於安徽省合肥市的本源量子（Origin Quantum）上周開放下一代量子電腦的晶片產線<a href="https://www.ithome.com/0/670/304.htm" target="_blank">供外界參觀</a>，並透露產品名為悟空。本源量子之前<a href="https://www.ithome.com/0/669/509.htm" target="_blank">僅說明</a>時程會落在2023年內。 本源量子是中國商用量子電腦的主要研發廠商。該公司自行研發的量子電腦「本源悟源1號」搭載6量子位元處理器夸父KF C6-130，「本源悟源2號」則搭載24量子位元處理器，雙雙在2020年上線透過該公司平臺開放客戶使用。 本源量子上周<a href="https://big5.cctv.com/gate/big5/news.cctv.com/2023/01/30/ARTIXzxQhhFTiezl72ks450Z230130.shtml" target="_blank">對媒體透露</a>，已在2022年底出貨量子電腦給一家客戶，使中國成為全球第三個具備量子電腦整機交付能力的國家，前二者分別是加拿大的D-Wave及美國的IBM。 本源量子表示預計在3到5年內讓量子電腦實際進入人們日常生活。本源量子的產品藍圖<a href="https://www.ithome.com/0/574/660.htm" target="_blank">顯示</a>，2025年該公司量子處理器會達到1024量子位元。 目前全球科技大廠相繼投入量子電腦處理器開發。IBM正在開發433量子位元的Osprey，Google則有72量子位元的Bristlecone。 </div></div></div>
2023/2/6 10:48作者林妍溱https://www.ithome.com.tw/news/155394
ChatGPT上線2個月用戶增加到1億，史上最快
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 一份研究數據顯示，OpenAI的AI聊天機器人ChatGPT用戶數在2個月內就達到1億次，成為史上最快達到這個目標的應用程式。 <a href="https://www.reuters.com/technology/chatgpt-sets-record-fastest-growing-user-base-analyst-note-2023-02-01/" target="_blank">路透社</a>引述瑞士銀行（UBS）本周發布的一份報告報導，ChatGPT去年11月以測試版上線，使用者增加快速。今年1月期間ChatGPT每天增加1,300萬不重覆造訪用戶，是12月的2倍，而到今年1月就達到1億經常用戶的成績，使其超越其他應用程式，成為史上之最。 相較之下，Tiktok花了9個月才達到1億用戶數，而Instagram（IG）更花了2.5年。 瑞銀報告數據來源分析機構Similarweb分析師指出，雖然快速增加的用量對OpenAI形成沈重運算成本，但也提供極寶貴的用戶反饋資料，以訓練提升ChatGPT的回應品質及速度。 OpenAI本月正式推出每月20美元的<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT付費訂閱服務</a>，號稱可提供穩定而高效能的回應速度。 ChatGPT的高人氣也引起Google警覺，並且上下動員全面備戰。<a href="https://www.ithome.com.tw/news/155251" target="_blank">傳聞執行長Sundar Pichai請出已退隱的創辦人Sergey Brin及Larry Page帶領AI策略</a>。此外，因應微軟數十億美元大手筆挹注OpenAI，<a href="https://www.ft.com/content/583ead66-467c-4bd5-84d0-ed5df7b5bf9c" target="_blank">《金融時報》</a>報導Google去年12月已悄悄投資OpenAI前研究主管所創的AI新創公司Anthropic。 </div></div></div>
2023/2/6 10:56作者林妍溱https://www.ithome.com.tw/news/155395
前員工爆料Meta故意拖慢App效能，導致耗用手機電量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://regmedia.co.uk/2023/01/30/meta-hayward-complaint.pdf" target="_blank">Meta前員工透露</a>Meta多年前即開始未經用戶同意，進行拖慢自家應用程式效能的測試。 Meta前員工George Hayward上月底向紐約法院控告Meta，而公布了這之前不為外界所知的事。Hayward 2019年到2022年在Messenger電池效率部門擔任資深資料科學家一職期間，被要求參加「負面測試」（negative testing），他指控因不願參加前東家違法的應用程式測試而遭到Meta解僱。 根據法院文件，Meta的負面測試是一種「刻意降低使用者體驗衡量App影響力的方法」。在此類測試中，程式設計人員刻意透過減慢圖片載入及網頁開啟等方法，測試App執行效能。<a href="https://regmedia.co.uk/2023/01/30/hayward-meta-exhibit-a-negative-testing-procedures.pdf" target="_blank">根據文件</a>，Meta測試項目涵括IG、FBLite、FB新聞載入、Stories顯示、觸控回應速度及圖片載入等。而且Meta可能在2017年公司還叫臉書的年代，就已從事這類測試。 2022年5月，Wayward被主管要求參加對Messenger App進行負面測試，但Wayward認為，在用戶不知情下進行這種測試可能是違法的，而且拖慢App效能且耗竭智慧型手機的電量對用戶可能有不良影響，例如緊急時刻造成用戶無法以手機求救，置用戶於危險處境，並拒絕加入。 事實上，根據訴狀，非法竄改他人裝置設置，在紐約是違法的。但Hayward指出，他之後遭主管刻意調降考績，並在同年11月被解聘，那時Meta執行長Mark Zuckerberg宣布公司將裁員1.1萬人。Hayward相信，屢次拒絕是造成他失掉飯碗的主因。 不過原告在6天後因Meta和員工的內部仲裁協議而主動撤回告訴。<a href="https://www.theregister.com/2023/01/30/meta_negative_testing_lawsuit/?td=rt-3a" target="_blank">此外Meta也對媒體表示</a>，Hayward的說法沒有法律根據。 </div></div></div>
2023/2/6 11:11作者林妍溱https://www.ithome.com.tw/news/155396
【資安月報】2023年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在本月的資安月報中，國內有兩大議題備受國人的關注，主要是華航與和運租車iRent業務的顧客資料外洩與曝險議題，另一件是永豐銀行多位信用卡客戶遭盜刷，疑似3D Secure驗證碼被竊取的事件。 以資料外洩與瀑險而言，本月兩起事件都受到普遍國人的注目，一是農曆年前，華航傳出收到匿名網路勒贖郵件後，數天後有人在國外論壇張貼華航會員資料，由於外洩60筆會員名單涵蓋政界、商界、名嘴到明星，引發不小關注，其張貼個資內容包含生日、電子郵件與手機，並且還有華航會員編號，甚至還要脅將持續公布300萬名會員資料。另一是發生在農曆年後，上市公司和泰汽車集團旗下由和運租車與和潤企業轉投資的和雲行動服務，其共享汽車業務iRent，發生顧客資料庫因配置不當，不設防的暴露在網際網路。 這兩起事件受到社會大眾的關切，也引發對於個資保護法的關注，例如，在行政罰鍰方面主管機關提出的罰金可能太低，低於大家期待成為議論焦點。 單從iRent事件來看，除了用戶個資權益和公司處理方式的爭議之外，我們想提醒大家要注意企業資料庫因不當配置導致資料外洩或曝險的問題。這並非新的資安議題，過去四五年來，iThome曾陸續報導這類型事件，也有許多資安研究人員示警，遺憾的是，臺灣企業仍出現這樣的疏失。因此，這方面我們也有<a href="https://www.ithome.com.tw/news/155392">專題去討論</a>。 而關於永豐銀行信用卡用戶春節期間遭盜刷的事件，經過多家國內媒體報導，金管會也很重視此事，特別的是，在我們進一步探究相關問題下，另一家銀行向我們表示，一個月前就從內部偵測系統察覺可能的異常交易，因此停止以電子郵件發送3D OTP驗證碼，關於這方面的消息，之後我們也會進行相關追蹤報導。 <h2><a href="https://www.ithome.com.tw/news/155055">【資安週報】2022年1月3日到1月7日</a></h2> 在2023第一周資安新聞中，主要焦點包括：資安業者揭露駭客組織鎖定企業組織未修補CVE-2022-4068的Forinet SSL VPN設備漏洞散布勒索軟體；CI/CD平臺服務業者CircleCI公告正持續更新資安事故調查，值得企業開發團隊注意；還有冒牌的學習框架PyTorch-nightly版被下載2千多次，以及30個WordPress外掛程式漏洞被惡意軟體鎖定的消息。 在資安漏洞研究與揭露方面，有兩大消息最受關注。一是Google智慧喇叭變成竊聽器攻擊手法的揭露，另一是近20家汽車品牌重大漏洞被數個資安研究人員聯手揭露。這些漏洞都已在通報後修補，如今揭露技術細節。 本周還有幾則新聞顯現出值得關注的威脅態勢，包括核子科學家成駭客攻擊目標，美國核子研究實驗室遭俄羅斯駭客網釣攻擊；而金融業也要注意，國際間傳出多個使用法語的非洲國家銀行遭駭客組織以GuLoader攻擊，並被布署Netwire、Quasar等RAT木馬程式。關於勒索軟體的新動向，包括：BlackCat設置受害公司假官網並公布竊取資料以施壓，以及新的CatB勒索軟體的揭露。 至於國內方面，週六下午傳出華航遭勒索軟體的消息，國內媒體報導華航表示影響不大，本週新聞尚未提到，後續是否有相關調查結果公布將值得留意。 <h2><a href="https://www.ithome.com.tw/news/155171">【資安週報】2022年1月9日到1月13日</a></h2> 最近有兩個微軟的漏洞需要特別留意，一個是微軟在1月10日發布每月安全性更新中所修補的CVE-2023-21674零時差漏洞，已經發現遭駭客鎖定利用，另一個是微軟在11月修補的CVE-2022-41080重大漏洞，之前已有資安業者CrowdStrike與雲端代管公司Rackspace業者揭露該漏洞利用相關消息，美國政府如今也將該漏洞列入已知被利用漏洞（KEV）列表。此外，上個月中Fortinet已宣布發現針對CVE-2022-42475的攻擊，近日再公布後續，進一步公開更多攻擊細節。 在其他漏洞消息方面，除了NPM套件JsonWebToken的高風險漏洞CVE-2022-23529修補受關注，還一項消息可留意的是逾百款西門子PLC設備的漏洞揭露，其SoC晶片未在早期啟動階段建立RoT，細節將於2023年5月公布。 在資安威脅趨勢方面，焦點包括：資安研究人員惡意軟體Kinsing入侵Kubernetes的情況變多；新發現針對Mac電腦的勒索軟體攻擊過程中採寄生攻擊（LOLBin）的及反沙箱偵測：發現惡意PyPI套件利用安裝Cloudflare Tunnel用戶端程式方式，來建立連線管道以繞過防火牆；再度有藉由VoIP電話系統漏洞部署後門情形，特別是駭客布局5個月後才發動勒索軟體加密；出現誤植域名攻擊（typosqat）並建立上千個假冒網站散布竊密程式Vidar的情形。 在資安事件方面，與航空公司有關不少，國際間有法國航空、荷蘭航空通知旅客航空里程計畫Flying Blue帳號、個資遭竊事故，在國內則有華航在上週六下午（1月7日）傳遭勒索攻擊，後續又傳出<a href="https://www.ithome.com.tw/news/155167">華航會員資料被公開於地下論壇的消息</a>。 <h2><a href="https://www.ithome.com.tw/news/155235">【資安週報】2022年1月16日到1月19日</a></h2> 在這一周的漏洞消息中，最受關注的是就是CentOS主機網頁管理介面元件元件Control Web Panel（CWP）漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-44877">CVE-2022-44877</a>，去年10月已有更新修補釋出，如今隨著漏洞技術細節與PoC的公開，開始有駭客組織在攻擊行動中針對這項漏洞鎖定利用。 此外，網路監控系統Cacti在12月修補的CVE-2022-46169漏洞，也傳出被攻擊者鎖定利用於植入惡意軟體的消息。至於其他關注漏洞消息，包括WordPress三個外掛程式、Git的重大漏洞修補，以及Oracle季度例行性修補。 在資安新聞焦點方面，有研究人員在發現微星主機板預設執行任意程式的狀況，由於這將使得安全開機（Secure Boot）變得沒有作用，因而受到廣泛關注，該研究人員其實自去年12月於網路上多人討論此事，並在1月13日公布這項發現。而在攻擊新態勢上，除了有研究人員持續發現自帶驅動程式攻擊（BYOVD）的手法，還有濫用雲端IDE服務GitHub Codespaces的攻擊手法揭露。 另外值得留意的是，月初CircleCI發布公告說明正調查資安事件，如今已有最新調查結果公布，該公司指出攻擊者之所以能從遠端盜用身分獲得存取控制權限，原因出在其工程師筆電在半個月前遭植入惡意軟體，攻擊者進而劫持了有效的2FA SSO Session Cookie。 <h2><a href="https://www.ithome.com.tw/news/155391">【資安週報】2022年1月30日到2月4日</a></h2> 在這一周資安新聞中，有4個漏洞消息需特別關注，因為這些漏洞都開始有攻擊者鎖定利用的情形，包括Oracle電子商務套件（E-Business Suite）於去年10月修補的CVE-2022-21587漏洞，客戶關係管理平臺SugarCRM在1月中旬修補的CVE-2023-22952漏洞，老舊漏洞也被攻擊鎖定，那就是網頁應用程式框架Telerik UI的CVE-2017-11357漏洞。另外，還有一個Zoho ManageEngine的CVE-2022-47966漏洞，也要留意盡速修補。 而以新揭露的漏洞而言，有四條消息值得留意，包括威聯通（QNAP）修補旗下NAS產品SQL注入漏洞CVE-2022-27596，DNS伺服器軟體Berkeley Internet Name Domain（BIND）新修補4個漏洞，電信網路程式庫Open5GS GTP的CVE-2023-23846漏洞，以及AMI的BMC解決方案的CVE-2022-26872、CVE-2022-40258漏洞。 在威脅態勢焦點方面，法國CERT-FR警告，有駭客積極針對VMware ESXi，利用CVE-2021-21974漏洞以及OpenSLP連接埠（427埠）入侵並部署勒索軟體；資安業者揭露Vector Stealer的竊密程式，目標是包含遠端桌面連線所需的詳細資料的RDP檔案；還有資安業者POS機臺惡意軟體Prilex的攻擊行動。 在國內方面，農曆年節期間至今，有兩大資安新聞事件成為國人的關注焦點，一是汽機車共享業者iRent資料庫曝險在公開網路長達9個月，引發民眾對於個資是否調查出證實外流、以及如何身分證明文件若外流如何自保的關注，和雲行動服務公司尚未有這方面說明，最新回應是提及將向40萬潛在影響用戶影響出補償；另一是多名永豐銀行信用卡用戶遭盜刷，疑3D Secure的OTP驗證碼經電子郵件傳送被竊取而導致，由於我們注意到12月已有其他銀行示警，其背後問題是否可能擴大也引發整個社會與金管會的重視。 <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> </div></div></div>
2023/2/6 11:21作者羅正漢https://www.ithome.com.tw/news/155387
iRent資料庫暴露於公開網路不設防，引發大眾關注，配置錯誤問題應受更多重視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在農曆年後，由和運租車與和潤企業轉投資的和雲行動服務公司，其共享汽車業務iRent，發生顧客資料庫不設防的暴露在網際網路的事件。由於暴露在公開網路時間長達9個月，存在資料外洩風險，引發民眾關注的是，是否調查記錄證實有外流情形、以及如何身分證明文件若外流該如何自保。 這類的資安問題以前沒有發生過嗎？事實上，早在多年前，我們已經看到相當多這類型事件，特別是<a href="https://www.ithome.com.tw/news/127057">2018</a>、2019年頻頻出現iThome的報導中，主因都是因為資料庫的配置不當、錯誤配置，而揭露的研究人員也普遍指出這是雲端或資料庫管理的疏失。 只是，在iRent事件之前，國內少有這方面的消息傳出，或許，這與臺灣企業上雲腳步相較於國際慢有關，直到這次事件爆發，並且影響到了國內普遍民眾，才引發關注。對於普遍企業而言，除了關注企業資安事件應變，我們認為更該重視的議題在於，我們是否能汲取過去案例的教訓，而且，隨著這幾年國內應用上雲漸增，不論採混合雲、多雲策略，企業對於資料庫安全配置的認知是否足夠，資料治理是否能夠通盤，必須獲得普遍重視，否則還會有相同問題一再發生。 <h2>iRent資料庫暴露在公開網路沒有存取限制，資料庫在資料儲存上也只有編碼</h2> 先讓我們回顧一下這次事件的發展，簡單來說，是國外安全研究人員Anurag Sen通知科技媒體TechCrunch後而揭露，在1月31日<a href="http://www.ithome.com.tw/news/155314#iRent">國內媒體紛紛跟進報導</a>。報導中指出，該資料庫內含大量個資，且通知iRent的過程並不順利，因為起初聯繫不到該公司，直到聯繫我國數位發展部才得到回應，進而輾轉通知到業者處理。當日我們也詢問了協調處理這次事件的TWCERT/CC，試圖了解處理的詳細情形，當時狀況是聯繫到業者前就有預防性的因應？還是直到聯繫到業者後才讓該資料庫妥善設置？ 不過，該單位表示由於涉及企業，因此不方便透露相關訊息，但也會續持密切與民間企業、檢警調等合作協助處理資安事件。當然，這中間也有一個插曲，這樣的事件為何是由我國數位部部長唐鳳回應對方，是否應該會有相關SOP交由資安署等負責單位回應。 由於這起事件牽連廣大國內民眾，引發普遍關注，交通部公路總局在<a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&s=208609">2月1日</a>與<a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&s=208674">2月2日</a>也屢次發布監理公告。和雲行動服務<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2284/index.html">在2月1日也發出聲明</a>，說明是在1月28日接獲通報並於一小時內完成因應，初步調查是記錄應用程式Log檔的暫存資料庫。 此外，由於和雲行動服務屬於和泰集團，因此上市公司和泰汽車也在同日傍晚5點，在公開股市觀測站中以澄清方式發布重大訊息，說明該公司資料庫與和泰母公司及各關係企業沒有相連結，對和泰業務與財務不受影響。 我們除了關注後續調查，是否揭露該資料庫有未經授權存取的狀況，對於國內大眾媒體普遍使用資料庫沒有加密這樣籠統的說法，不夠精準，為此我們向和泰汽車了解相關細節，像是根據研究人員指出，在該資料庫的存取上，業者沒有設定密碼來加密保護，也沒有限制IP位置，但我們同時也關注，在資料庫的資料儲存上，是否有加密保護，像是欄位加密、備份檔加密、透明資料加密與永遠加密，以及加密的安全等級？對此，該公司表示細節不會揭露太過詳細。至於為何重大訊息公告為何以澄清方式發布，他們表示和雲行動服務非重要子公司為由，對於和泰汽車影響不大。我們也檢視了和泰汽車的110年年報，該公司轉投資的內容佔了3頁，數量的確是不少。 到了2月4日，和雲行動服務<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2286/index.html">再次發布聲明</a>，有了更進一步的答案，指出該資料庫可查詢近三個月的會員異動資料，所記錄的個資包含會員姓名、電話、地址、經遮蔽之信用卡資訊（排除盜刷疑慮）、身分證、生日、Email、緊急聯絡人、申請會員上傳照片檔（經編碼），有外部查詢的可能。同時，由於該資料庫曝險時間長達九個月，該公司修正潛在影響用戶，從14萬人提升為40.01萬人。 從這樣的公告內容來看，相關個資的儲存未提到加密，而上傳的身分證明文件的儲存，就只有編碼（Encode），因此沒有加密（Encrypt）保護的效果。至於該資料庫在這段期間究竟是否有被未經授權存取的情形，目前僅表示有外部查詢的可能，後續是否證實，仍有待進一步揭露。 由於目前國內諸多大眾媒體都聚焦於政府與業者的因應，然而，對於事件發生的原因－－資料庫配置不當的議題缺乏關注，因此，<a href="https://www.ithome.com.tw/news/155393">接下來我們也將聚焦這方面的問題繼續探討</a>。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-02_175355s.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_201125s.jpg" style="width: 295px;" /> <h3>繼續閱讀：<a href="https://www.ithome.com.tw/news/155393">iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演</a></h3> </div></div></div>
2023/2/6 11:30作者羅正漢https://www.ithome.com.tw/news/155392
iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 過去多年來，資料庫不設防地暴露於公開網路的問題，已經一再有研究人員對此示警，如今國內發生共享汽車iRent資料曝險事件，由於直接與國人個資外洩有關，讓這類議題再次受到重視 針對這次iRent事件，企業資料庫配置不當這樣的問題，是我們關注的焦點。 由於iRent的資料庫在存取上沒有任何管控機制，沒有限制可登入的IP位址，沒有設定密碼加密保護，因此該資料庫暴露網際網路上缺乏保護，並且無須經過身分驗證，這對於公司與用戶都是非常危險的情形。 <h3>資料庫在網路上裸奔，突顯配置錯誤問題的管理疏失</h3> 事實上，早年國際間就有許多關於資料庫、伺服器因不當配置，造成資料外洩或曝險的案例，前幾年iThome曾報導多起事件，特別是2017到2019年間，有許多研究人員揭露相關發現，持續警惕企業注意這類配置不當的問題。 這些資料庫不設防的曝險或資料外洩的事件，iThome<a href="https://www.ithome.com.tw/news/127057">在2018年就整理了多起事件</a>，包含MongoDB資料庫、到了2019年，單單是以Elasticsearch資料庫而言，我們同樣報導了不少，包括：<a href="https://www.ithome.com.tw/news/134938">本田汽車公司的顧客個資</a>、<a href="https://www.ithome.com.tw/news/131081">中國獵人頭公司FMC的客戶個人履歷與企業資料</a>、<a href="https://www.ithome.com.tw/news/127383">美國資料管理業者Data & Leads的美國民眾資料</a>，<a href="https://www.ithome.com.tw/news/133845">Adobe Creative Cloud的用戶資料</a>、<a href="https://www.ithome.com.tw/news/133095">厄瓜多政府、金融等公私單位的國民個人資料</a>、<a href="https://www.twcert.org.tw/newepaper/cp-65-2876-54d9c-3.html">中國江蘇省公安局的民眾個資與公司行號資料</a>、以及<a href="https://www.ithome.com.tw/news/133025">汽車產業行銷業者Dealer Leads的潛在車主名單個資</a>等。 這還只是僅僅數個例子，到了最近兩三年其實依然嚴峻，因此資安界也不斷宣導，強調配置錯誤的問題，是雲端安全議題中最普遍的威脅，務必需要重視，甚至後續也有安全廠商提出可以持續偵測錯誤設定的解決方案。 雖然近年這類事件的新聞報導，看似比往年少，但從這次iRent事件來看，過去一再示警的問題，到了2022、2023年依然發生，企業沒有從過去案例學到教訓。 而且，許多資安研究人員也一再強調，任何使用物聯網搜尋引擎Shodan及其他此類平臺，並對於搜尋不安全資料庫略有了解的人，都將能夠輕易存取這些公開在網路上的資訊。 <h3>Group-IB在2022月指出一年內發現30多萬資料庫外曝</h3> 若是再從資安業者揭露統計與調查結果來看，這類問題的數量更是驚人。根據<a href="https://www.group-ib.com/media-center/press-releases/public-facing-db/">資安業者Group-IB在2022年4月發布的一項統計</a>，該公司指出，在2021年他們就發現了30,8萬開放在網際網路的資料庫，而且2022年第1季又發現新增了9.1萬個資料庫，等於5季下來共發現了39.9萬個。至於資料庫類型上，以Redis資料庫管理系統最高（37.5%）、第二是MongoDB（31%），第三是Elastic（29%）。此外，以2022年第一季度而言，對於暴露的資料庫，其擁有者平均需要170.2天來修復該問題。 顯然，儘管在五年前就有許多資安研究人員揭露相關問題，但這樣的狀況在全球還是持續發生。 <h3>臺灣企業上雲腳步慢，這次事件更是一大警惕</h3> 回到這次iRent資料庫公開在網際網路的狀況來看，除了考驗和泰集團、和雲行動服務的資安事件應變能力。在防護改善方面，從2月4日的最新聲明來看，提及執行主機系統弱點掃描及滲透測試，針對App源碼掃描，交易過程採用SSL安全加密與加殼處理，似乎都沒有對應到這次事件的根本問題。 而且我們更在意的是，由於國內企業近年逐漸跟上國際，朝向應用上雲的趨勢，還有混和雲、多雲的型態增加，因此相關問題是否可能會變得更為多見。 儘管過去國際間已有許多案例一再提醒，但多半沒有直接與國人有關，這可能也是未能獲得足夠重視的主因，而現在，國內也有企業發生同樣的情形後，相信對國內企業而言，將帶來更大的警惕，許多國內資安專家可能也將以iRent這次事件為例，來說明雲端配置不當的風險，以及資安事件如何妥善應變。 整體而言，對於企業來說，我們要提醒的是，除了資料庫配置不當的問題，<a href="https://www.ithome.com.tw/news/152275">國內近年國內也持續有資安顧問業者呼籲，需提升雲端安全治理的觀念</a>，重視最普遍的配置錯誤問題，且雲端安全配置考量層面應該要更廣，需涵蓋到身分辨識與存取管理、雲端存取、雲端資料中心、紀錄與監控、網路、虛擬機器與應用服務。不僅如此，若是從資料流向與邊界盤點的角度來看，資料庫的安全防護也只是其中一個環節。 另外，我們更關心的是，在國內陸續朝向應用上雲的今日，不論企業本身或是委外服務業者，其人才是否具備足夠的雲端管理能力與知識，否則，問題可能還是會一再重演。 <h3>對於國內個資保護法的探討</h3> 雖然我們將這次重點放在資料庫配置不當，但還有一些衍伸議題值得關注，這裡也簡單一提。對於普遍國人而言，也會關心的在於政府個資保護法的效力，是否應該有所檢討，不論是損害賠償，以及行政罰鍰處5萬元以上50萬元以下罰鍰（個資法第47條）、未改正僅罰最高20萬（個資法第48條），還有談論多年的個資獨立專責機關規畫，都再度成為資安圈與法律圈的探討焦點。 若是相對國際來看，以歐洲GDPR為例，最高行政罰金達2000萬歐元（6.7億元），或前一會計年度全球年營業額4%，以巴西個人資料保護法（LGPD）為例，最高行政罰金為5000萬巴西幣（約新臺幣2.9億元），或前一會計年度營業額2％金額。僅僅這兩例就可看出，臺灣的罰金不僅相對較低，而且差距極大。 <h2>繼續閱讀：<a href="https://www.ithome.com.tw/news/155398">揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險</a></h2> </div></div></div>
2023/2/6 11:35作者羅正漢https://www.ithome.com.tw/news/155393
揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2>關於這次揭露iRent資料庫曝險的研究人員Anurag Sen，大家或許也好奇他在這方面的經驗，其實，過去他就時常揭露這方面的問題，例如，iThome<a href="https://www.ithome.com.tw/news/130784" style="font-size: 13px;">在2019年當時報導過</a>他在AWS上發現了一個公開資料庫，之後發現是屬於孟買的社交行銷業者Chtrbox所擁有。</h2> 最近兩年，他也持續將相關發現，提供給幾家科技媒體，例如，2021年10月，<a href="https://www.hackread.com/brazilian-marketplace-integrator-hariexpress-records/">他揭露了巴西電子商務公司Hariexpress的Elasticsearch伺服器，暴露了1億條資訊，包含客戶和賣家的個人資訊</a>；2022年4月，他<a href="https://www.hackread.com/australian-trading-giant-acy-securities-exposed-data/">發現澳洲ACY Securities外匯經紀商的資料庫配置錯誤，當中存放了使用者個人與企業的財務資料</a>；在2022年9月，<a href="https://www.ithome.com.tw/news/152892#AnuragSen">他在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，內含8億中國車牌、人臉資料</a>；在2023年1月，<a href="https://www.ithome.com.tw/news/155054#AnuragSen">他又發現美國ERP業者擁有的Elasticsearch伺服器，不需帳密就能存取，內含50萬印度求職者詳細資訊</a>。當中不少事件，在iThome的資安日報中也都持續有報導。 值得注意的是，在上述相關揭露中，有些事件Anurag Sen明確指出是Elasticsearch伺服器，有些則沒有說明是何種類型伺服器，而這次iRent的揭露，就是屬於後者。 因此，到底是何種類型資料庫也引發各界猜測，不過若是以<a href="https://www.group-ib.com/media-center/press-releases/public-facing-db/">資安業者Group-IB在2022年4月發布的一項統計</a>來看，他們在2021年第1季到2022年第1季發現的39.9萬個曝險資料庫，其資料庫類型是以Redis資料庫管理系統最高（37.5%）、第二是MongoDB（31%），第三是Elastic（29%）。無論如何，這些類型資料庫的安全配置，都將是企業必須面對的管理挑戰。 對於有研究人員通報這件事，也帶給我們一些省思。例如，有國外資安研究人員很熱情、自發性的協助通報，否則資料庫的曝險時間可能更長；還有像是有國外研究人員通報給我國的企業，相對地，是否有國內研究人員發現這方面的問題，通報給其他國家的企業，展現臺灣也能幫助全球的能力；再者，除了企業本身就應該重視資料庫的安全防護，這本該就是企業自己的責任，不過我們或許也能想想，現在強調資安聯防之下，我國政府或產業是否也能有相關機制，幫助國內業者早一步發現這類問題，縮短曝險時間。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-31_162130.jpg" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112550.jpg" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112648.jpg" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112751.jpg" style="width: 600px;" /> </div></div></div>
2023/2/6 11:42作者羅正漢https://www.ithome.com.tw/news/155398
電商龍頭Momo如何經營人貨場？老總揭露數據驅動營運的關鍵心法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 買洗髮精多送一瓶小洗髮精的促銷代價多大？不只贈品成本，還得考慮紙箱與運費，甚至是多用一個空箱，影響物流效率後所損失的機會成本。這是臺灣電商龍頭Momo每天用數據分析營運時的例行挑戰。不只商品成本，還得用數據來考慮更多營運維度的影響。 Momo總經理谷元宏於近期一場活動提到，現在經營零售業不再只能討論人、貨、場，還要加上數據，尤其最後一項最為重要。「數據是賦能人貨場經營的關鍵。」他接著說明，Momo如何用數據分析來強化人、貨、場經營流程，改善消費者體驗同時節省成本。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2(77).jpg" style="width: 600px;" /> 人──從獲客、活客到留客，用數據及Martech經營會員 谷元宏說，「人」的經營是將人流量轉換成實際消費。過去，流量經營著重於獲取大量顧客，隨著流量紅利時代結束，會員經營得更全面。他將客戶歷程分成4階段：訪客、新會員、回購會員及流失會員。其中回購會員又分為高頻消費的主力客人及中低頻的次主力客人；流失會員則分為降低消費頻率的即將流失客和久未消費的挽回客。 <img alt="" src="https://s4.itho.me/sites/default/files/images/3(58).jpg" style="width: 600px;" /> Momo針對不同階段會員，會定義出關鍵經營目標或操作，再利用各式數位科技來達成。舉例來說，要對訪客曝光，可以利用各式顯示型廣告、自媒體、傳統媒體工具廣泛行銷，而要吸引新會員加入或舊會員消費，則會採用再行銷／分眾行銷Martech及比價網站等導購媒體。 要成功經營這些會員，光靠制定完善經營計畫不夠，谷元宏表示，還需要大量會員數據來作為這些科技的燃料。這些數據，來自「場」的數據蒐集機制。 場──記錄消費者足跡，不斷改善購物及行銷體驗 「場」是Momo與消費者的所有接觸點。經營場，必須排除各種購物中斷理由、優化整體購物流程，讓消費者能順利在「場」內走完一次次購物流程。谷元宏用一句話形容關鍵原則，「做到消費者最好買。」 要做到消費者購物體驗最佳，得先在與顧客的接觸點蒐集各式數據，作為優化方向參考。 谷元宏表示，購物旅途從下載App或接觸電商網站開始，到註冊、購買、回購、要建立不斷回購的忠誠度，每個過程都有不同阻礙，會產生斷點。Momo會蒐集這些中斷情形，分析出問題後，再來優化這些流程。舉例來說，如果發現許多人於註冊會員階段放棄，就要想辦法讓註冊流程更便利。 <img alt="" src="https://s4.itho.me/sites/default/files/images/4(31).jpg" style="width: 600px;" /> 不過，谷元宏舉出最多數據驅動作法的階段，還是購買及回購階段。Momo蒐集會員瀏覽意圖、點擊行為、追蹤行為、購買偏好、互動行為及所屬分眾等數據，會祭出商品推薦、商品分類呈現、商品優惠、App及簡訊推播、精準行銷廣告等不同行銷手法。 他強調，行銷要更成功，不僅要蒐集數據，還要了解數據背後代表的消費情境。例如，當系統偵測到有消費者購買尿布，可能會想推薦更多尿布給該消費者。然而，若發現此名消費者每次都購買2個月份，與其連續2個月推銷尿布，不如在他快用完尿布時，適時推銷消費者。「適時適地對消費者行銷，不僅更有機會打中需求，也能降低行銷成本。」谷元宏表示，要做到這件事，需要聰明的規畫數據蒐集及行銷策略。 貨──上百萬SKU的貨物管理課題 谷元宏直言，電商管理「貨」最困難的是，如何管理數百萬個SKU。由於品項數量龐大，如何預測哪些品項何時該備貨，是極度複雜的難題。因此，Momo需要用多種數據來模擬存貨情況。 貨品管理上，谷元宏將Momo商品分為2大類：長尾商品及熱銷商品。長尾商品是電商常態販售的各式商品，考驗電商品項深度廣度，不只需要齊全，價格還要有競爭力，且需要好搜尋、商品資料呈現清楚。這些品項需求情況較為穩定，存貨量相對好管理。 難以管理的熱銷商品，通常搭配特殊促銷活動。由於需求可能大起大落，谷元宏說，跟供應商討論主打商品時，不只要談優惠多少、更要討論什麼時候賣什麼品項最好賣，才能決定行銷方針及備貨策略。這些決策都需要大量數據來背書。 <img alt="" src="https://s4.itho.me/sites/default/files/images/5(26).jpg" style="width: 600px;" /> 管理貨的另一重要面向是物流效率。谷元宏指出，送貨要快的前提是撿貨要快。而撿貨速度，就需要靠訂單管理、倉儲管理等非常多不同種類的數據分析來優化。 撿貨之後，後續物流流程也得依靠大量數據分析來不斷優化，例如包貨箱子大小，也就是材積尺寸，這是計算物流成本時的重要考量。如何把每一箱都裝到最滿，並且一趟運送最多箱？這個大哉問的答案，會隨著新商品、客戶消費行為、季節、行銷活動等因素不斷變化，因此每隔一段時間，Momo便會用各式數據，結合3D裝箱模擬及現場經驗來綜合分析，檢視現在常用箱子尺寸是否適合市場現況。 積材尺寸也會反過來影響到行銷策略。谷元宏舉例，若消費者買洗髮精時，Momo多送一小瓶贈品，但裝箱時剛好裝不下這一小瓶，那行銷成本就不只是贈品本身，還要加上多一個箱子的運費跟空箱的機會成本。 另一個重要考量是送貨路徑規畫。規畫送貨路徑時，不僅要盡可能提升單趟配送量及時間，更要考慮到消費者收到商品的時效性。Momo目前做法是，根據過往配送單數據製作熱力圖，觀察不同地區的宅配需求量，再來劃分司機負責區域。每一段時間，Momo便會重新分析配送數據，更新送貨路徑，以更符合近期配送情況。 <img alt="" src="https://s4.itho.me/sites/default/files/images/6(17).jpg" style="width: 600px;" /> </div></div></div>
2023/2/4 18:04作者郭又華https://www.ithome.com.tw/news/155390
從資訊系統整合邁向智慧決策，宇瞻靠IT轉型提升企業決策力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 近兩年，受到俄烏戰爭及全球通膨影響，帶來長短料等諸多問題，衝擊到許多製造業的生產和訂單交期也跟著不斷調整。當市場變化越快速，不確定性越高，製造業也得開始轉變，加速轉型讓自己具備有更敏捷應變的能力，才能夠彈性因應未來更加動態的生產需求與變化快速的市場趨勢。 在臺灣有家本土老牌記憶體模組廠，為了因應這項挑戰，打造了一個營運模擬決策智慧平臺，不久後即將推出上線，就是希望透過這個平臺來解決少量多樣生產模式下的生產管理的挑戰。 生產訂單的管理，一直以來是許多製造業的痛點，尤其是少量多樣為主的製造業更是如此。過去，生管或業務主管決定生產訂單排序時，需考慮到許多不同環節，包括銷售客戶、達交率、備料狀況、生產工時、產能等，來決定訂單生產排程，決策過程中需要彙整多方數據來作為判斷依據，不僅很花時間，決定後對於排程異動帶來的影響往往也很難掌握，只能等到事後才知道。 但是，宇瞻科技行政管理處資深處長謝鄭忠表示，未來透過這個平臺，營運高層決定訂單優先順序將更容易，決策時間將可從周縮短到天，甚至從系統中就能看到每次訂單變動後牽動ERP、MES等各系統調整模擬的結果，來擬定排產策略。 決定訂單生產順序之後，各系統就能根據訂單生產異動同步自動調整，比如有張訂單交期往前，排程系統就會開始改動，其餘產線、物料準備等相關系統都會跟著調整，開始準備該筆訂單的生產作業。 「正是過去宇瞻IT打下來的基礎，讓公司資訊系統的整合，有了一個很好的基底，才能辦到。」謝鄭忠直言。 作為IT轉型第一步，汰換用了十年的老舊ERP系統 2016年進到宇瞻之後，謝鄭忠同時接掌HR和IT，但與一般資訊主管有很大不同，謝鄭忠雖然有許多年人力資源相關經驗，對帶領HR團隊已經是駕輕就熟，但對於IT卻十分陌生，甚至可以說是門外漢。 為了盡快讓IT部門可以繼續運作，因此，他一開始採取做法，是對IT團隊充分授權，即使不需他參與，團隊就可以進行許多討論與決定，再由他做出最後定奪。謝鄭忠每項決定都會以能不能為公司帶來更多效益，作為判斷標準。 儘管，謝鄭忠基於信任交由IT團隊評估系統技術相關可行性，但系統導入過程可能對組織內部運作模式和變革衝擊，這就是他可以評估的範疇，借助過去在人資多年歷練，讓謝鄭忠對這件事情掌握度，比起一般資訊主管更加準確，來確保後續順利推行。 謝鄭忠上任後馬上就迎來第一個挑戰，要汰換關鍵營運核心的ERP系統，改用新系統來取代。過去這套ERP系統已經是個用了10年老舊系統，隨著公司發展規模越大，加上需要應付少量多樣的接單生產模式，尤其在工控領域，不同訂單的差異更大，從上百到數臺都有，但舊有ERP系統的功能漸漸跟不上宇瞻未來營運成長所需，所以公司決定更換新系統。 在謝鄭忠接掌IT部門以前，宇瞻內部就已經決定要更換ERP，但經過一年評估遲遲沒有決定，他加入以後就馬上重啟計畫，並以先前評估為基礎，重新找來IT團隊和顧問團隊共同討論，再決定導入哪一家ERP後，於是拍板定案，馬上執行。 新ERP系統從規畫到導入完成將近2年，並於2018年推出上線。 但就在翻新核心系統的同時，謝鄭忠也面臨IT團隊重整的挑戰，一方面原本IT主管不久即將退休，需要找新IT主管接手；另一方面，現有團隊成員也陸續離開，因此，謝鄭忠一邊帶領IT部門導入新系統的同時，還要重新建立新的IT團隊。幾年後，新團隊到位，謝鄭忠表示，目前資訊團隊約十多人，包括經理、課級主管，都是他後來招募進來，甚至為了確保後續ERP維運和客製需求，也找來曾協助導入的顧問團隊成員加入。 5年分三階段推動數位轉型，成了IT團隊的新考驗 但謝鄭忠的挑戰不僅於此，大約2019年時，宇瞻展開了營運數位轉型，計畫用5年分三階段進行數位轉型，希望能夠藉由IT轉型提升決策的效益，以及優化營運產能。這也成了宇瞻IT團隊所要面對的新考驗。 一開始推動轉型，除了從流程改造做起，建立系統化的作業流程，包括導入ERP、CRM、MES等系統，謝鄭忠接下來更以這3套核心系統為基礎，進而擴大到更多營運面的細節，更從營運端延伸到生產端，將倉儲管理、供應鏈管理以及物料需求規劃作業等一併系統化，進而發揮出綜效整合。 舉例來說，宇瞻接單後，除了在自己工廠生產外，也會仰賴外包，但以往外包生產有個問題是，外包廠商系統沒有與宇瞻MES系統介接，導致外包生產履歷不透明。 為了解決這個問題，宇瞻IT團隊後來開發一套外包管理系統，來幫助外包廠商建立起完整生產履歷，也透過這套系統追蹤與監控其生產進度與品質。 不僅如此，遇到生產端排程不順時，資訊團隊還打造一套APS先進排程系統，建立起自動化生產排程機制，以此做到更有效的排程管理。這些都是由IT團隊自行開發完成。 宇瞻IT團隊過去以系統維護為主，自行開發的比例不高，在謝鄭忠接手IT後，趁著重新建立新團隊的期間，他也開始強化IT自主開發能力，也因此，往後許多新系統開發都是由IT團隊一手包辦。他要求即使是買套裝軟體，團隊後續要有能力可以承接客製修改。 IT部門每年需開發許多不同系統或應用，但在執行優先順序上，謝鄭忠也有一套自己做法。他表示，以使用者端的痛點，以及能夠對公司帶來最大效益者優先解決。 他發現，IT單位常常處理各單位大大小小的需求單，但需求單一直進來，人力資源有限的情況下，勢必要有所取捨。面對各單位不同需求，他採取漏斗式管理，由課級主管評估，評估以後再呈報到上層主管和他這邊，來決定是否接單，如果是一些大型專案投資或跨單位整合的案子，就會由他來做決定，進行資源統籌和分配，至於所提需求工時不長，就可以由課級主管自行決定。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%87%E7%9E%BBCIO-2P-%E8%87%B3%E6%B5%A9-600.png" style="width: 600px;" /> 宇瞻科技行政管理處資深處長謝鄭忠表示，就如同HR常常自許為策略性的角色，IT也作為總經理的策略夥伴，幫助公司營運成長。 （攝影／洪政偉） 訂出資訊開發應遵守的原則 他在資訊團隊更建立起一個核心觀念，就是要替公司創造商業價值，因此他也給IT團隊訂出資訊開發應遵守的原則，就是以對營運有幫助的需求列為最優先開發，其次是跨單位整合的需求，「在資源有限的情況下，就是要避免重工或做事沒效益。」這也是謝鄭忠不斷灌輸團隊成員該有的觀念，「沒效益的事不如不做。」 「這樣才能呈現出IT的特殊性」謝鄭忠強調，若是IT不能幫助公司成功創造價值，就很容易被取代，「要讓老闆知道IT花的錢是可以替公司帶來效益，而不是每次看到IT來爭取預算，就很頭痛。」 他也以營運平臺來舉例，過去老闆想要看到昨天營業毛利，以前得等一個月會計結算完才看得到，若是要看成本帳雖然沒那麼長，至少要一周才看得到，但有了營運平臺以後，將營運端ERP、生產端MES數據整合到單一平臺上呈現，可以提供更即時和透明營運資訊，今天就可以看到前一天的帳，對於決策者來說，就可以更快根據營運變化調整經營決策。 也因為重點在提供即時營運數據，因此一開始推出時，系統上先以功能完整為主，而不講求介面美觀，像是生產良率等即時資訊，都可以從平臺上看得到，不同營運階層也能看到各自所需營運資訊，來輔助決策，甚至之後，IT團隊還以該平臺為基礎打造了e-Fab生產看板，運用於工廠端的管理。 「如同HR常常自許為策略性角色，IT也作為總經理的策略夥伴，幫助公司營運成長」謝鄭忠說道。 下一步邁向智慧決策 幾年轉型發展後，2021年時，宇瞻進到智慧決策的發展階段，也是這家公司轉型的第三階段。在這個階段，資訊團隊開始建置營運模擬決策智慧平臺，透過這個平臺不僅可提高經營管理者的決策力，來加快訂單生產決定與安排，也能讓決策資訊透明化，因為是完全是由系統計算產出結果，提供使用者作為決策的參考依據，不只能強化出貨達交能力，也能縮短客戶交期。 「資料整合是打造出這套平臺的關鍵。」他解釋，平臺整合了多套系統的資料，分別有來自營運端ERP的利潤、物料資料，客戶端CRM資料，以及生產端APS和WMS的出貨時程等，甚至為了打造這套平臺，IT團隊前期更花了一年使用營運歷史資料來比較平臺模擬結果，發現新的做法的確可行，可以幫公司獲得更好毛利率和交期。 這套平臺從系統架構到整合各系統資料，完全是由宇瞻IT團隊一手打造。預計今年上半年上線。 這些年，宇瞻IT團隊透過導入各種新系統或平臺，來提升經營管理者決策的效益，也幫助公司優化營運產能，使IT對於公司影響越顯得重要，謝鄭忠從2019年開始改直接向總經理匯報，也反映出宇瞻對IT更加倚重。隔年，宇瞻IT組織展開大改造，資訊部門從原來的資訊部改為資訊服務部，部底下設立兩個課，一個是營業資訊課，負責AP開發、ERP維運等，另一個是資訊工程課，負責硬體基礎設施與資訊安全等。 謝鄭忠下一步考慮結合AI，希望能夠把主管決策模式納入營運模擬決策平臺，能主動提供使用者最佳模式的訂單優先順序建議。在HR人資方面，還要建立系統化方式呈現組織人員結構的變動，不只可供未來人力的趨勢預測，也能作為各單位主管往後幾年的人員擴編或晉升的參考。 經理人小檔案 謝鄭忠　宇瞻科技行政管理處資深處長 學歷：中央大學人資所碩士 經歷：歷練過不同產業的人力資源管理者，從高科技半導體、網通、工程等產業，擔任過聯電人資資深專員、智邦科技人資經理、中鼎工程人資經理、華新麗華人資長等，2016年進到宇瞻後，不只負責HR部門，也擔任IT最高主管，開始帶領IT團隊協助公司轉型 公司檔案 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%87%E7%9E%BBCIO-2P-%E8%87%B3%E6%B5%A9-250.jpg" style="width: 250px;" /> 圖片來源／宇瞻科技 宇瞻科技 地址：新北市土城區忠承路32號1樓 網址：<a href="http://www.apacer.com">www.apacer.com</a> 成立時間：1997年 主要業務：工業SSD、記憶體模組及消費性電子產品設計及製造 員工數：約600人 資本額：11.2億元 年營收：86.82億元（2021年） 董事長：陳益世 總經理：張家騉 資訊部門檔案 資訊部門主管職稱：資深處長 資訊部門主管姓名：謝鄭忠 資訊部門人數：18人 每年IT預算：1,200萬元（2021年） 資訊部門分工：資訊服務部下設營運資訊課與資訊工程課，營業資訊課共有12人，負責AP開發、ERP維運等；資訊工程課有4人，負責硬體基礎設施與資訊安全等 IT大事記 ●2016年：工廠MES製造執行系統推出上線 ●2017年：導入Salesforce CRM套裝軟體，用於客戶關係管理 ●2018年：完成導入鼎新ERP系統，取代舊系統 ●2019年：導入MRP物料需求規畫系統、建置營運平臺 ●2020年：物料倉庫導入WMS倉儲管理系統、自行開發APS工廠生產排程系統推出上線、建置外包生產管理平臺、工廠端管理開始結合e-Fab生產看板 ●2021年：推出CRM 2.0改版，加強精準行銷 ●2022年：導入SCM供應鏈管理平臺、BI平臺上線、建置營運模擬決策智慧平臺 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yu_zhan_cio-2p-zhi_hao_-960.jpg" width="960" height="420" alt="" title="宇瞻科技行政管理處資深處長謝鄭忠　（攝影／洪政偉）" /></div></div></div>
2023/2/6 00:00作者余至浩https://www.ithome.com.tw/people/155358
【台新金控新一代資訊架構大公開(上)】以前中後臺搭配資訊架構治理，支持龐大金融生態圈發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在2020年9月，台新金控董事長吳東亮宣布要將Richart數位銀行發展成一個整合支付、點數使用、生活優以及金融服務的一站式生活服務Richart Life App平臺，串連百貨、零售、網購、電信到交通等不同異業的結盟，來打造一個更大的金融生活生態圈，要將當時70億點台新點數，導入到這個生態圈中，來發展出可以跨店家互通的點數經濟。為了支持這個龐大金融生態圈的發展，台新IT早在2019年就展開了資訊架構轉型準備。 早在Bank 3.0時代，9年多前，台新成立了一個數位轉型小組，開始關注各種Fintech發展和新興技術，例如這個小組很早就開始關注區塊鏈在金融應用的可能，也會嘗試一些創新實驗，來評估是否要投入資源來發展。台新金控資訊長孫一仕進入台新擔任資訊長後，也成為數位轉型小組成員之一。 這個數位轉型小組不只是為了轉型，更是台新創新的火車頭團隊。例如，台新鼎鼎大名的Richart數位銀行，就源自這個小組。 在2014年時，先由這個小組開始評估數位銀行的可能性，2015年時，台新決定展開開發工作，順利在2016年上線。至今Richart數位銀行產品線涵蓋了理財、理債、支付、保險和外幣，開戶數在去年11月就超過了280萬人，更發展出跨多產業整合的金融生活生態圈。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%96%B0%E4%B8%89%E9%9A%8E%E6%AE%B5%E7%99%BC%E5%B1%95-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%AD%AB%E4%B8%80%E4%BB%95.png" style="width: 600px;" /> 台新資訊基礎架構的技術，早期以實體機為主，後來開始進入虛擬機，2019年開始引進容器技術後，到了2021年時，就是虛擬機與容器化技術並存，未來會走到虛擬機、容器化和混合雲三者並用的時代。（圖片來源／孫一仕） 因應未來業務大規模擴充和調度需求，展開技術架構現代化 為了支持這個龐大金融生態圈的發展，台新IT也在2019年時，展開了技術架構現代化的轉型腳步，要為日後業務擴大後的大規模擴充和資源調度需求做準備。 孫一仕指出，台新新一代資訊架構劃分為前中後臺三個部分，設計原則是前臺敏捷化、中臺模組化與後臺輕量化，還搭配了一個資訊架構治理框架。 台新希望透過這個新架構，實現三大戰略目標，第一個是要達成一致的客戶體驗，來加速數位場景開發，以快速支援各式生態圈的服務。簡單來說，新資訊架構的第一個戰略目標，就是要支援從2020年開始擴大力推的Richart Life金融生活生態圈。 第二項戰略則是要用關鍵場景發展中臺架構，持續催化科技轉型和支持業務創新。台新將許多通用的應用邏輯程式轉移到中臺，也將這些邏輯程式模組化，以利支援到前臺的各種通路，可以用來支援更多類型的創新應用，不用重複打造輪子。 最後一項戰略，台新希望透過新的資訊架構，來建立敏捷組織，優化流程管理，也要導入智能維運作法，優化技術架構來穩固資訊的長期發展。 台新新一代資訊架構分四層，前中後臺和資訊架構治理 <a href="https://s4.itho.me/sites/default/files/files/1115-%E5%B0%81%E9%9D%A22-600-1.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></a> 若進一步來看台新資訊架構前中後臺的組成元素，可以一窺台新未來的IT發展重點。 前臺涵蓋的通路多達十多種，包括了官網、純銀通路、行銀App、Richart App、企網銀、企網銀App，還有實體臨櫃通路、財管通路、客服中心、ATM和Richart Life通路。另外還有一套API平臺，可以和開放銀行生態圈串接，或是像Richart Life通路也可以串接到外部第三方，來形成更複雜多元的生態圈多通路關係。 中臺架構上主要包括了三大部分，業務中臺、數據中臺和流程引擎。業務中臺下涵蓋了客戶管理、通知管理、支付管理、eCIF、共用服務等。而數據中臺則包括了數據架構、擷取與運算機制、AI模型和資料湖等。 而在後臺架構上，則包括了臺幣存放款、外幣存放款、信用卡、金融市場和其他關鍵應用等。 第四部份是資訊架構治理，則包括了一個集中式資訊架構，也要制定架構和技術審查規範，建立智能維運平臺，以及推動IT流程管理的優化。 台新新一代資訊架構的轉型是現在進行式，從3年多前開始啟動，而且不只是一個大型專案，而是衍生出了17個專案之多，同時展開，各自有不同的推動步調，部分專案已經完成，有些則還在持續推動中。 先從1個專案開始練兵，累積雲原生技術經驗 但是，台新不是突然一口氣發起十幾個專案來推動IT轉型，而是先從一個微服務專案開始累積經驗。這個專案就是信貸流程系統的微服務化，後來也發展成了一朵內部私有的徵審雲。 2019年時，隨著雲原生Cloud Native技術的成熟，例如容器技術、Kubernetes平臺的商業化，網路科技公司愛用的微服務（Microservice）架構也開始流行到其他產業，當時臺灣資訊服務業者和金融服務業者也開始採用微服務架構來打造應用系統。尤其，金融業開始注重與第三方介接的API應用，透過容器和微服務架構，更容易因應來自第三方爆量的調度需求。 台新同樣也是看上微服務架構，可以提供有別於傳統大型單體式應用所沒有的擴充彈性，決定開始實驗微服務技術來累積經驗。 台新對於新興科技的接觸和探索非常積極，也經常接觸國外第一手經驗，但是要真正導入到自己內部使用時，台新則是謹慎以對，「不能為了技術而技術，而是要先有需求。」孫一仕強調。 讓台新決定擁抱雲原生技術的原因也是來自業務需求的驅力。因為Richart用戶成長速度遠超過台新原本的預期，帶來了一項甜蜜的負擔。 因為數位銀行高度講究使用者體驗，當使用者打開App時，就可以看到詳細且高度個人化的金融帳戶資訊。所以，當使用者登入App時，就需要同步驅動數十項存取後端資料的請求，來蒐集必要的資訊，但這些連動的資料請求，也讓Richart的登入行為，成了後端系統的負擔。 尤其，每當有業務部門要舉辦大型行銷活動時，顧客就會一窩蜂地打開Richart的App來了解這次行銷活動的訊息，也就會突然出現大量登入行為，連2動暴增了大量登入後要存取相關用戶個人化資料的查詢請求。 雖然，透過定期系統容量評估和需求會議，台新IT當時可以依據過去數據和業務需求，事先準備足夠的系統運算支援，仍然可以因應這些爆量需求。 但是，每次遇到大型行銷活動，台新IT就得提前擴增前端系統需要的伺服器，也會再一次感受到對於運算資源調度的擴充性需求。可是，過去一直沒有太好的技術解法，直到容器和微服務技術的成熟。 而對孫一仕而言，系統擴充力是越來越重要的課題，所以，他決定開始嘗試具備高度調度彈性的微服務架構。 一般來說，嘗試新技術有兩種策略，一種是「全新打造」，另一種是「以舊改新」，不過，台新在2019年，沒有新應用的開發需求，可以進行大規模的架構汰換，因此，台新改從現有應用中挑出合適的改造對象，後來選定了信貸流程系統來進行微服務化，後來再加上徵審流程，就成了徵審雲。 台新早在2006年就已經將信貸流程數位化，2019年要轉成微服務架構時，也不是將全部的流程一次轉換，而是將其中比較可以獨立的流程，抽離出來發展成微服務，再透過系統呼叫的方式，串回到原本的流程中，再逐漸將更多流程微服務化。 這些獨立出來的微服務，都部署在容器化平臺上，當時直接就建置在以K8s為基礎的容器化平臺上，而不是Docker環境。 台新是臺灣少數率先導入Kubenetes的銀行之一。這次K8s建置經驗也成了後來發展新一代資訊架構的重要基礎。徵審雲也成了台新第一批部署到K8s容器化平臺上的應用。 孫一仕指出，台新希望用K8s來因應四大痛點，一是年節與行銷活動大量登入需求的彈性擴充需求、二是降低伺服器支援終止（EOS）與修補更新的影響，三則要解決現有系統老舊，程式碼維護不易的課題，最後一項是有狀態程式碼擴充不易的問題。 從徵審雲的經驗，讓台新開始體會到K8s等雲原生技術的好處，在2019年前後，台新找來外部資訊顧問，進行現有IT體質的健檢，開始推動資訊架構轉型專案。K8s容器化平臺就是這個架構的關鍵基礎。 台新在2019年就規劃出了前面提到的新一代資訊基礎架構，以及前臺敏捷化、中臺模組化、後臺輕量化以及資訊架構治理框架的四層式架構。 到了2020年，台新開始大力推動這個新架構，更開始擴大K8s平臺的涵蓋範圍，導入更多應用服務。<a href="https://www.ithome.com.tw/news/155361" target="_blank">文章未完，請見【台新金控新一代資訊架構大公開(下)】中臺扮演新資訊架構的中鋒角色，成生態圈快速發展關鍵</a> <a href="https://www.ithome.com.tw/article/155364" target="_blank">相關報導</a> <a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155360
【台新金控新一代資訊架構大公開(下)】中臺扮演新資訊架構的中鋒角色，成生態圈快速發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.ithome.com.tw/news/155360" target="_blank">文章前段請見：【台新金控新一代資訊架構大公開(上)】以前中後臺搭配資訊架構治理，支持龐大金融生態圈發展</a> 「中臺是新資訊架構的中鋒，要支援前臺四大通路App，中臺控場非常重要。」台新金控資訊長孫一仕強調。 孫一仕進一步解釋，中臺控場對生態圈發展的重要性，他指出：「異業合作強調的是時效性和可擴充性，」如何支援業務達成快速提供服務是關鍵，在中臺建置和提供一套可以組裝的共用服務，能夠有效減少同質性程式的重複開發。像是Richart有許多需要呼叫後端的功能，透過中臺戰略，可以一次開發就讓多通路共用，例如信用卡查詢、轉帳交易功能等。 而借助容器化平臺，就能在資源足夠的前提下，因應各種行銷活動需要的動態擴充和資源調度。 台新中臺架構所用的關鍵技術就是K8s和微服務，不過，台新現有4百多套系統，如何找到關鍵情境，可以導入中臺環境，也是一大挑戰。因為要將有狀態的程式碼，改寫成無狀態的程式碼，才能讓一個個應用服務可以獨立生成和動態擴充，這不是一件容易的工程。 台新的策略是在成本合理前提下，將應用系統轉換成Cloud Ready的應用。到2022年時，台新已經完成了徵審雲，研發雲和業務雲，這些都是支援雲原生技術的私有雲。 舉例來說，業務雲從2021年開始建置，也就是業務中臺。台新觀察各前臺通路開發中的作業，將許多具有可重用或是可共用性質高的應用服務，轉移到中臺，例如PIW（投資風險屬性評量表）、臺幣利率查詢、匯率查詢等，逐步減少重複開發工作，也可以提供一致性的體驗，搭配共用決策引擎，能因應新業務的推廣動態擴充。到了2022年，台新進一步將點數整合平臺等應用導入到K8s，這個點數整平臺提供了點數查詢和點數交易功能，來用來支援Richart Life、台新Pay+和電子錢包之用。 一般中臺架構只強調容器化平臺的建置，但台新規畫的中臺架構，還將ESB（EAI）一並納入，可依據適合程度，來做更彈性更有效率的應用。 用開源K8s打造研發雲，成為實驗創新應用的內部沙盒 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%96%B0%E9%9B%B2%E7%AB%AF%E7%99%BC%E5%B1%95%E8%97%8D%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%AD%AB%E4%B8%80%E4%BB%95.png" style="width: 600px;" /> 台新的策略是在成本合理的前提下，將應用系統轉換成Cloud Ready的應用架構。到2022年時，已經完成了徵審雲，研發雲和業務雲，這些都是支援雲原生技術的私有雲。目前正在發展AI雲和數據雲，未來希望逐漸發展成可以支援混合雲架構的能力。（圖片來源／孫一仕） 不只將更多業務應用系統轉移到K8s上，在2021年下半年時，為了研發需求，台新也建置了一朵研發雲，以開源K8s來打造一個容易自行管理、修改和控制的容器環境，「採用開源K8s來建置也有兩大好處，成本較低，控制性也比較高。」他補充。 「這朵研發雲，就像是我們自己的實驗沙盒。」孫一仕表示，許多IT內部需求，可以先利用這朵進行技術名估測試，或者進行壓力測試，例如共用Proxy、AI模型的POC作業等。 負責管理和運用這朵研發雲的團隊，就是台新在2020年成立的架構師團隊，目前約有12～15人，其中包括4位資深架構師，也納入原有EAI團隊來支援EAI服務。 這個架構師團隊不只是負責各種資訊架構，還要蒐集來自業務單位的多方需求，評估整體發展和資源擴充規劃，還要專門處理各種疑難雜症，「這個團隊是台新IT的創新Lab，也是我的QA團隊，靠他們找出技術難題的答案。」孫一仕表示。 例如台新前一陣子正在比較，共用Proxy部署到容器化環境和VM環境的效益，架構師團隊在研發雲上進行實測後，評估結果讓孫一仕很意外，架構師的結論是，增加了成本、後續支援等考量之後，共用Proxy部署到VM反而比部署到K8s環境來得好。 目前，不只中臺採用K8s，台新已經將行動銀行、官網導入到K8s環境，另外，網銀部分服務也轉移到K8s環境。 K8s容器化平臺最大好處是讓應用層架構更乾淨 孫一仕指出，採用K8s最大好處，可以去除AP伺服器，應用程式容器化後也有助於簡化管理。「不是成本考量，而是讓應用層架構更乾淨，」 K8s不只可以因應業務成長來彈性擴充運算資源，另外還帶來了一個新的效益，讓台新可以開始採用藍綠部署，像是在Richart App推出新版時，可以同時部署先舊版本的API，將少部分的流量設定給給新版本API來處理，觀察新版API功能穩定後，在全面將所有流量切換到新版，來確保服務品質。 目前，台新有超過400套系統，其中85%的系統使用虛擬機，而仍然有1成應用部署在實體機上執行，約有5%的系統開始使用容器化平臺。 台新資訊基礎架構的技術，早期以實體機為主，後來開始進入虛擬機，2019年開始引進容器技術後，到了2021年時，就是虛擬機與容器化技術並存，孫一仕表示，未來會走到虛擬機、容器化和混合雲三者並用的時代。不過，台新現有容器化平臺對混合雲架構的支援較弱，因此一年前，也開始評估可以支援混合雲架構的新容器平臺。 AI雲和數據雲是最新發展目標 <img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-%E5%8F%B0%E6%96%B0%E5%90%91%E7%B8%BD%E7%B6%93%E7%90%86-%E6%94%9D%E5%BD%B1%E7%8E%8B%E5%AE%8F%E4%BB%812.jpg" style="width: 600px;" /> 台新銀行總經理尚瑞強指出，未來持續目標是讓Richart生態圈成為自主營運的體系，不用依附在台新銀行，另一大目標是顧客經營。目前台新正在發展一套顧客360度視圖，透過貼標和AI模型，希望能精準知道顧客的喜好和意圖。（攝影／王宏仁） 目前，台新IT正在全力發展新一代資訊架構中的AI雲和數據雲（數據中臺）相關系統。 台新AI應用分散到不同的部門中各自發展。與行銷應用相關的AI都由台新客群經營處的資料科學團隊負責，而IT負責的AI則是與內部資訊應用相關的AI需求為主。 例如2021年時，台新IT嘗試將海外信用卡刷卡的防偽冒評分模型（TSBML）導入到K8s上運算，因為這項模型需要耗費大量CPU的算力，透過K8s平臺的調度，可以更有效運用CPU算力，而且可以透過容器化平臺適時擴充。目前，台新考慮擴大到國內信用卡刷卡的防偽冒應用上，來發展一朵AI雲。 另外，台新也陸續進行各種數據策略，背後需要大數據和對應的算力。這一步正是台新金融生活生態圈後續戰略的發展關鍵。 台新銀行總經理尚瑞強指出，未來持續聚焦兩大目標，一是讓Richart生態圈成為自主營運的體系，不用依附在台新銀行，另一大目標是顧客經營。目前台新正在發展一套顧客360度視圖，透過貼標和AI模型，希望能精準知道顧客的喜好和意圖。「未來與任何一方合作時，就能更精準的導客。」 但是，「AI的基礎是數據，台新擁有豐富的數據和模型運用能力，當前的挑戰是，如何從源頭梳理數據，需要推動數據治理架構。」尚瑞強解釋，例如一個人從10個通路進來，如何整併成同一個人的數據。尚瑞強更要求所有子公司都要思考，各自需要什麼樣的數據來發展業務，擴大市占率，分解各種數據使用案例，找出資料庫還不足的數據。 「我們不是最大的銀行，必須更精準，才能降低成本。」尚瑞強透露，台新正在打造一套數據基礎架構，可以讓第一線業務人員，非常精準地進入資料超市取得剛好需要的數據，能快速切入特定場域來競爭。這也正是台新IT大轉型正在進行中的數據中臺新任務。 <a href="https://www.ithome.com.tw/article/155364" target="_blank">相關報導</a> <a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155361
【台新金控IT轉型關鍵人物：資訊長孫一仕】早飛不行、晚飛跟不上，科技創新如何適時，IT得緊跟業務需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 「擁抱新一代資訊架構是一項知易行難的挑戰，」台新金控資訊長孫一仕強調。 台新早在2019年就展開IT架構現代化的轉型工程，將資訊架構劃分成前、中、後臺和資訊架構治理，以K8s容器化平臺為基礎來發展關鍵中臺。 但是，台新IT的轉型工程不是採取一次到位作法，而是從小規模實驗練兵、謹慎挑選關鍵需求和痛點，再逐步擴大，以多年長期專案的做法，來推動轉型。 但還有一個更關鍵的原則，如何在不快不慢的計畫中，找對IT轉型步調，孫一仕的秘訣是「IT得緊跟業務需求。」 擁抱雲原生不只是技術概念，還需要很多管理配套 「早飛不行、晚飛跟不上，」他強調，要在不影響業務情況下進行，推動IT現代化是一項「行難」的挑戰。最大原因是，孫一仕解釋：「擁抱雲原生不只是技術概念，還需要很多管理配套。」 像台新擁有超過4百套系統，每次要上線一套新的AP，最少要凍結版本4個月，也就是跟這套新上線AP相關的系統，在4個月時間內都不能有程式碼異動。換句話說，其他單位不只要付出額外的人力來參與新AP的功能測試，若在這段期間自己有業務新功能或新專案的需求，還會受到這套新AP的影響，得暫緩或延後。 孫一仕強調，有太多非純技術的評估考量，適當時機很重要。IT創新如何拿捏，「我自己傾向跟緊業務單位的需求，亦步亦趨。」 不只如此，推動IT架構轉型的第一步，還得先獲得高層支持，讓老闆有心理準備，願意接受這些改變將會帶來的短期陣痛。台新但只有這樣還不夠，IT也得考量第一線使用者的感受。 因為台新規定，凡是AP系統的異動，所有業務單位都要進來測試所有的AP，確保所有功能都正常運作，但是對業務單位而言，協助測試系統，如果沒有實質好處，例如能增加業務面新功能或是降低業務成本，使用者通常意願都不高而會抱怨連連。「IT要推動如此大規模的變化時，業務效應要很強。」孫一仕說。 不是每一種應用都可以享受到自動擴充能力的好處 所以，「找到關鍵情境，非常重要。」孫一仕強調，不是每一種應用都可以享受到自動擴充能力的好處，得配合業務需求找到需要彈性應用的系統。由其台新擁有超過4百套系統，得先知道哪些系統適合採用雲原生技術，而哪些系統不需要。 台新將K8s和微服務等雲原生技術導入到中臺架構中，先選擇可重用性質高的共用服務，以及需要配合業務需求而彈性擴充的應用下手。 但在建置之前，IT得先有一套完善的系統架構規劃，而不是只有單一系統的設計，也要將應用程式和基礎架構盡量解耦，盡量以無狀態的方式來運作。 台新則是先瞄準四大痛點的需求，一是年節與行銷活動大量登入需求的彈性擴充需求、二是降低伺服器支援終止（EOS）與修補更新的影響，三則要解決現有系統老舊，程式碼維護不易的課題，最後一項是有狀態程式碼擴充不易的問題。第一項正是業務單位最在意的需求。 因為Richart App為了追求用戶體驗，一登入時就能提供豐富個人化資訊，這就在每次登入時同步執行數十項資料存取請求，遇到大型行銷活動，顧客頻頻登入App時，更會產生爆量請求，過去，台新IT得不斷事先準備資源來因應。因此成了台新優先用K8s容器化平臺彈性擴充的改造對象。 台新IT推動資訊架構轉型時，先從業務中臺和流程引擎著手，後來才開始發展數據中臺，目前正在打到AI雲和數據雲。 不過，台新也不是第一次導入K8s就先導入到Richart數位銀行這套關鍵業務系統上，而是先選擇一個已經數位化多年，對業務影響較低又能分階段拆解的信貸流程來嘗試微服務和容器化管理平臺，累積團隊的雲原生技術能力和管理經驗。 經過3年擁抱雲原生技術的旅程，不只業務中臺部署在K8s，台新也將行動銀行、官網導入到K8s環境，另外，網銀部分服務也轉移到K8s環境。 擁抱雲原生技術前得先具備這些準備 這三年架構轉型經驗，更讓孫一仕體會到，管理容器和管理VM需要不同的觀念和技術，甚至是要學會一套新的運作方式，連AP團隊也要參與基礎架構的維運。 他建議，導入容器化平臺之前，一方面，要先確認基礎架構團隊必須具備容器化平臺的技術能力，其次，AP團隊也要具備系統容器化的開發技能，例如能將有狀態的程式，改成無狀態的寫法。 第三，組織分工上，AP開發團隊和SP維運團隊的分工得重新審視，像台新目前就由AP團隊來負責管理K8s，另外也需要一套好的監控和分析機制，才能提高容器出事時的應變能力。 對台新而言，「這個新資訊架構的容器化平臺，不是一個專案，而是很多專案的旅程。」孫一仕用「旅程」來形容台新這一路的轉型過程，就算經過了3年，台新仍舊處於轉型的旅途，新一代資訊架構的建置仍是現在進行式，而不是完成式。 <a href="https://www.ithome.com.tw/article/155364" target="_blank">相關報導</a> <a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155363
台新IT大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 為了支援金融生活生態圈的擴展，3年多前，台新展開了資訊架構轉型工程，一口氣展開十多項專案，不只前臺敏捷化、中臺模組化與後臺輕量化，還搭配了資訊架構治理框架，以K8s雲原生技術為基礎，先完成關鍵的業務中臺，下一步正在發展AI雲和數據雲 </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/article/155364
【資安週報】2023年1月30日到2月4日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在這一周資安新聞中，有4個漏洞消息需特別關注，因為這些漏洞都開始有攻擊者鎖定利用的情形，包括Oracle電子商務套件（E-Business Suite）於去年10月修補的CVE-2022-21587漏洞，客戶關係管理平臺SugarCRM在1月中旬修補的CVE-2023-22952漏洞，老舊漏洞也被攻擊鎖定，那就是網頁應用程式框架Telerik UI的CVE-2017-11357漏洞。另外，還有一個Zoho ManageEngine的CVE-2022-47966漏洞，也要留意盡速修補。 而以新揭露的漏洞而言，有四項消息值得留意，包括威聯通（QNAP）修補旗下NAS產品SQL注入漏洞CVE-2022-27596，DNS伺服器軟體Berkeley Internet Name Domain（BIND）新修補4個漏洞，電信網路程式庫Open5GS GTP的CVE-2023-23846漏洞，以及AMI的BMC解決方案的CVE-2022-26872、CVE-2022-40258漏洞。 在威脅態勢焦點方面，法國CERT-FR警告，有駭客積極針對VMware ESXi，利用CVE-2021-21974漏洞以及OpenSLP連接埠（427埠）入侵並部署勒索軟體；資安業者揭露Vector Stealer的竊密程式，目標是包含遠端桌面連線所需的詳細資料的RDP檔案；還有資安業者揭露有POS機臺惡意軟體Prilex的攻擊行動。 在國內方面，農曆年節期間至今，有兩大資安新聞事件成為國人的關注焦點，一是汽機車共享業者iRent資料庫曝險在公開網路長達9個月，引發民眾對於個資是否調查出證實外流、以及如何身分證明文件若外流如何自保的關注，和雲行動服務公司尚未有這方面說明，最新回應是提及將向40萬潛在影響用戶影響出補償；另一是多名永豐銀行信用卡用戶遭盜刷，疑3D Secure的OTP驗證碼經電子郵件傳送被竊取而導致，由於我們注意到12月已有其他銀行示警，其背後問題也引發金管會與整個社會的重視。 <h3><a href="https://www.ithome.com.tw/news/155287">【1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></h3> 有研究人員近日揭露名為Py#Ration的RAT木馬程式，此惡意軟體由Python打造。雖然此木馬程式針對Windows電腦而來，但研究人員指出，由於Python跨平臺的特性，只要稍加修改，駭客也能用於攻擊其他電腦。 物聯網（IoT）裝置採用的晶片出現漏洞，也可能成為駭客鎖定的目標。有研究人員發現，自去年8月針對Realtek Jungle SDK的RCE漏洞CVE-2021-35394攻擊行動大幅增加，超過50款連網設備可能成為目標。 繼<a href="https://www.ithome.com.tw/news/155189">今年1月駭客攻擊NortonLifeLock防毒軟體的密碼管理器元件</a>，意圖盜取使用者儲存的密碼，這類密碼管理服務遭到攻擊的現象也越來越常見。最近有駭客針對密碼管理服務Bitwarden用戶下手，濫用Google廣告來挾持帳號。其他密碼管理服務的使用者也要提高警覺。 <h3><a href="https://www.ithome.com.tw/news/155314">【1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者取得帳密資料</a></h3> 烏克蘭戰爭開打至今，俄羅斯駭客利用資料破壞軟體（Wiper）發動攻擊的情況不時傳出，而最近又有相關事故傳出。有別於過往的資料破壞軟體，新的惡意程式也摧毀Windows系統的重要檔案，甚至能夠破壞整個AD網域。 開源密碼管理軟體KeePass的漏洞CVE-2023-24055也相當引人注意，一旦駭客成功利用，將能取得明文的帳密資料，且已有概念性驗證攻擊程式流傳。不過，開發團隊認為這並非漏洞，後續發展有待觀察。 有研究人員發現臺灣共享汽機車服務iRent的客戶資料庫在網路上曝露長達9個月，但離譜的是，科技媒體TechCrunch詢問和泰汽車始終沒有得到回應，直到聯繫數位發展部，才得到TWCERT/CC已介入處理的說法。 <h3><a href="https://www.ithome.com.tw/news/155326">【2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></h3> 中國駭客組織Dragonbridge散布特定訊息來企圖左右政治局勢的情況，日前已有資安業者揭露相關攻擊行動，但過往大多針對美國而來。近期Google揭露該組織濫用旗下服務來張貼訊息的情況，並特別提及這些駭客在去年裴洛西訪臺期間，不斷發布對臺恫嚇的資訊。 一月底威聯通修補了NAS重大漏洞CVE-2022-27596，事隔數日有資安業者提出警告，全球至少有近3萬臺設備尚未更新韌體而曝險，但值得我們注意的是，臺灣曝險的設備數量全球第3，僅次於義大利和美國。 今年農曆新年期間傳出永豐銀行信用卡遭到盜刷的情況，此事近日得到金管會證實，有34名持卡人受害、被盜刷110萬元。永豐銀行認為，很有可能是他們在刷卡過程寄送的OTP驗證碼郵件遭到攔截所致。 <a href="https://www.ithome.com.tw/news/155349">【2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a> 利用竊密軟體（Info Stealer）收集目標電腦各式帳密資料，或是洗劫使用者的加密貨幣錢包的情況不時傳出，但這類惡意程式鎖定了新的攻擊目標，駭客將其用來收集遠端桌面連線的組態資料（RDP檔案），而有機會在不需知道帳密資料的情況下存取受害電腦。 在社群網站、開發工具有許多系統提供了藍勾勾的機制，來表明這是通過驗證的名人或是開發者，但這樣的機制也被濫用於OAuth網路釣魚攻擊。資安業者Proofpoint揭露發生在12月初的網釣攻擊行動，但與過往不同的是，駭客發出請求授權的惡意雲端應用程式，其開發者竟有此種標章，而可能讓使用者降低警覺。 資安業者Eclypsium於12月公布了3個AMI MegaRAC的BMC軟體漏洞，但他們最近又再公布2個發現的漏洞，而延遲近2個月才公布的原因，是要讓AMI能有較為充分的時間完成修補。 <a href="https://www.ithome.com.tw/news/155365">【2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a> 針對駭客利用挾帶惡意VBA巨集的Office檔案發動攻擊的情況，微軟去年祭出了封鎖來自網路（MoTW）的巨集執行的措施，而使得駭客也隨之調整做法，其中最常見的方式就是利用ZIP壓縮檔、ISO映像檔挾帶作案工具，並引誘使用者點選LNK捷徑檔案來突破相關限制。但最近有資安業者提出警告，他們觀察到有越來越多駭客採用Visual Studio的附加工具VSTO，來製作能讓惡意Office檔案執行VBA巨集的元件，部分元件甚至能採取遠端下載的做法來躲避防毒軟體偵測。 惡意PyPI套件的攻擊行動也相當值得留意。有研究人員近日發現兩款惡意套件，其中一款被用於竊密，並將偷得資料上傳到Slack頻道；另一款則是被用於部署惡意軟體。 思科最近針對部分IOS XE設備修補漏洞CVE-2023-20076，值得留意的是，攻擊者一旦成功利用漏洞，即可任意存取這些具有漏洞的網路設備。 <a href="https://www.ithome.com.tw/news/155389">【2月4日】VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a> 針對VMware虛擬化平臺而來的勒索軟體攻擊行動引起了CERT-FR、雲端服務業者OVHcloud、資安新聞網站Bleeping Computer關注，其中最值得關注的是，攻擊者竟是利用2年前已被公開的漏洞CVE-2021-21974來下手，且已傳出可能有伺服器受害。 研究人員揭露駭客組織Firebrick Ostrich的BEC攻擊行動，該組織2年內竟發動至少350起攻擊，相當於每2天就有一起。駭客能這麼頻繁發動攻擊的原因，研究人員認為是採取了與先前同類型攻擊相當不同的策略而能達成。 美國CISA最近將Oracle電子商務套件漏洞CVE-2022-21587、客戶關係管理平臺SugarCRM漏洞CVE-2023-22952列入已被用於攻擊的漏洞（KEV）名單，並要求聯邦機構限期修補。 </div></div></div>
2023/2/5 13:00作者羅正漢https://www.ithome.com.tw/news/155391
【資安日報】2023年2月4日，VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 法國的資安事件緊急應變機構、大型雲端業者不約而同針對一起勒索軟體攻擊行動提出警告，其目標是尚未修補兩年前漏洞CVE-2021-21974的VMware虛擬化平臺，且已傳出可能有伺服器受害。 過往的商業郵件詐騙（BEC）攻擊普遍相當低調，通常經過長期規畫及布局才能得逞，但最近有資安業者揭露攻擊頻率極高的攻擊行動，這些駭客在2年內發動了多達350次攻擊。 美國CISA最近更新了已被用於攻擊的漏洞（KEV）名單，針對甲骨文ERP系統E-Business Suite、客戶關係管理平臺SugarCRM的用戶提出警告。 <h3>【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/massive-esxiargs-ransomware-attack-targets-vmware-esxi-servers-worldwide/">VMware虛擬化平臺遭到鎖定，利用2年前的漏洞進行勒索軟體攻擊</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://www.ithome.com.tw/tags/CVE-2021-21974">#CVE-2021-21974</a> <a href="https://www.ithome.com.tw/tags/VMware">#VMware</a> <a href="https://www.ithome.com.tw/tags/ESXi">#ESXi</a> <a href="https://www.ithome.com.tw/tags/Nevada">#Nevada</a> <a href="https://www.ithome.com.tw/tags/ESXiArgs">#ESXiArgs</a> 法國電腦緊急應變小組（CERT-FR）於2月3日提出警告，有人積極針對虛擬化平臺VMware ESXi下手，利用CVE-2021-21974（CVSS風險評分為8.8分）入侵，目的是部署勒索軟體，該組織表示，駭客主要的攻擊目標是6.7版以前的ESXi伺服器，但7.0版也有可能曝險。 當地雲端服務業者OVHcloud也觀察到相關攻擊行動，並指出目標是包含7.0 U3i版之前的ESXi伺服器，利用OpenSLP連接埠（427埠）入侵，攻擊者疑似與<a href="https://www.ithome.com.tw/news/155349#Nevada">勒索軟體Nevada</a>有關。但資安新聞網站Bleeping Computer有不同的看法──根據攻擊行動的勒索訊息進行分析，很有可能是新的勒索軟體ESXiArgs，至少有120臺ESXi伺服器受害。 <a href="https://intelligence.abnormalsecurity.com/blog/firebrick-ostrich-third-party-reconnaissance-attacks">駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊，不到2年發動逾350起行動</a> <a href="https://www.ithome.com.tw/tags/BEC">#BEC</a> <a href="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg" style="width: 300px; float: right;" /></a>資安業者Abnormal Security揭露駭客組織Firebrick Ostrich的攻擊行動，該組織專門從事商業郵件詐騙（BEC），自2021年4月開始，至少展開了350起攻擊行動，當中冒充了151個組織，並使用212個惡意網域。 研究人員指出，這些駭客通常宣稱供應商的收帳人員，佯稱要更新銀行帳號資訊，或是要求確認是否有尚未支付的款項來下手，主要是鎖定美國的組織而來，但沒有局限攻擊目標的類型，製造、金融服務、醫療保健、教育、零售業都有企業受害。研究人員指出，這些駭客沒有事先耗費資源調查攻擊目標的金流，也並未入侵財務人員的電子郵件信箱，而能發起大量的BEC攻擊。 <a href="https://thehackernews.com/2023/02/cisa-alert-oracle-e-business-suite-and.html">美國警告甲骨文ERP系統與SugarCRM重大漏洞已被用於攻擊行動</a> <a href="https://www.ithome.com.tw/tags/CISA">#CISA</a> <a href="https://www.ithome.com.tw/tags/KEV">#KEV</a> <a href="https://www.ithome.com.tw/tags/CVE-2022-21587">#CVE-2022-21587</a> <a href="https://www.ithome.com.tw/tags/Oracle">#Oracle</a> <a href="https://www.ithome.com.tw/tags/CVE-2023-22952">#CVE-2023-22952</a> <a href="https://www.ithome.com.tw/tags/SugarCRM">#SugarCRM</a> 美國網路安全暨基礎設施安全局（CISA）於2月2日，將兩個資安漏洞列入已遭利用漏洞名單（KEV），其中一個為CVE-2022-21587，存在於甲骨文ERP系統E-Business Suite，未經授權的攻擊者可透過HTTP連線，入侵其Web Applications Desktop Integrator元件，此漏洞影響該元件的12.2.3版至12.2.11版，CVSS風險層級達9.8分，Oracle於去年10月修補，今年1月中旬有資安業者發布了概念性驗證程式（PoC）。 第二個列入KEV的是CVE-2023-22952，存在於客戶關係管理平臺SugarCRM，與缺少輸入驗證有關，而能被用於注入任意PHP程式碼，CVSS風險評分為8.8分，SugarCRM發布11.0.5版與12.0.2版修補。上述的漏洞，CISA要求聯邦機構在2月23日前完成修補。 <a href="https://blog.sucuri.net/2023/02/konami-code-backdoor-concealed-in-image.html">後門程式Konami鎖定WordPress網站，並利用JPEG圖檔埋藏蹤跡</a> <a href="https://www.ithome.com.tw/tags/WordPress">#WordPress</a> 資安業者Sucuri提出警告，他們發現近期鎖定WordPress網站的後門程式Konami攻擊行動，駭客假借提供WordPress外掛程式core-stab和task-controller的名義來散布後門軟體，並聲稱外掛程式來自WordPress.org。 為了隱匿攻擊特徵，駭客將主要的後門程式惡意程式碼埋藏在圖檔front.jpeg當中，研究人員指出，駭客這麼做的原因，是資安系統基於效能的考量，通常不會對圖檔進行掃描，而能躲過大多數的防護措施。再者，駭客在此後門的index.php檔案裡，利用@include呼叫後門程式的做法，部分資安掃描的系統為避免誤報，很可能不會將其標記為有害。 <a href="https://www.avanan.com/blog/leveraging-clickfunnels-to-bypass-security-services">行銷平臺ClickFunnels遭到濫用，駭客將使用者重新導向至惡意URL，並繞過資安防護措施</a> <a href="https://www.ithome.com.tw/tags/ClickFunnels">#ClickFunnels</a> <a href="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png" style="width: 300px; float: right;" /></a>資安業者Avanan提出警告，有人近期濫用行銷平臺ClickFunnels發動網釣攻擊，這套系統原本提供企業快速建置網站，找出潛在客戶並進行宣傳或是銷售，但如今成為駭客遭到利用的對象。他們看到攻擊者寄送以義大利文書寫的釣魚郵件，要求對檔案進行確認，一旦使用者依照指示操作，就會被引導到以ClickFunnels製作的OneDrive檔案下載網頁，電腦就有可能因下載惡意PDF檔案而導致使用者帳密遭竊。研究人員透過惡意軟體分析網站VirusTotal解析網址，發現所有防毒引擎將其視為良性。 <a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html">駭客組織APT34鎖定中東地區發動攻擊，濫用微軟密碼強度檢查器竊取帳密</a> <a href="https://www.ithome.com.tw/tags/APT34">#APT34</a> <a href="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg" style="width: 300px; float: right;" /></a> 資安業者趨勢科技揭露APT34鎖定中東地區的攻擊行動，駭客先是透過.NET打造的MrPerfectInstaller惡意軟體載入後門程式Saitama，然後濫用<a href="https://learn.microsoft.com/en-us/windows/win32/secmgmt/password-filters">微軟的密碼強度檢查器（Password Filters）</a>來竊取本地與網域用戶的帳密，目的將其用於存取Exchange伺服器來竊取機密資料，然後再經由郵件的合法流量外傳。 <a href="https://www.koreatimes.co.kr/www/nation/2023/01/113_344179.html">南韓12個學術機構的網站遭中國駭客攻擊，駭客放話將進行第二波行動</a> <a href="https://www.ithome.com.tw/tags/曉騎營">#曉騎營</a> <a href="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg" style="width: 300px; float: right;" /></a>根據韓國時報的報導，南韓12個主要的學術機構網站於農曆新年假期期間，遭到中國駭客組織曉騎營（Dawn Cavalry）攻擊，此事得到當地的網路安全機構證實。駭客宣稱，韓國政府只承認12個機構遭到攻擊，但他們破壞的資料庫與網站數量不只這些，該組織在Telegram頻道表示動機是對於韓國的明星感到不滿，並揚言下一個目標是韓國網路安全局（KISA）。 <a href="https://www.sfb.gov.tw/ch/home.jsp?id=95&parentpath=0&mcustomize=news_view.jsp&dataserno=202302030005&dtable=News">針對和泰對iRent資安事故發布的重大訊息惹議，金管會表示符合揭露規定，但將調查是否落實相關內控措施</a> <a href="https://www.ithome.com.tw/tags/iRent">#iRent</a> <a href="https://www.ithome.com.tw/tags/重大訊息揭露">#重大訊息揭露</a> <a href="https://www.ithome.com.tw/tags/金管會">#金管會</a> <a href="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png" style="width: 200px; float: right;" /></a>日前資安研究人員發現汽機車共享業者iRent資料庫外洩，母公司和泰於2月1日於股市公開資訊觀測站發布重大訊息，聲稱是針對自由時報的報導進行澄清，表示第一時間進行改善措施，但強調此資料庫與和泰母公司及關係企業沒有連接，而並未造成和泰業務及財務重大影響，沒有進一步對資安事故的發生緣由及可能損失做出說明。 但根據<a href="https://www.cna.com.tw/news/afe/202302020291.aspx">中央社的報導</a>，金管會於2日表示，iRent非和泰車重要子公司，且事件對和泰車財務及業務無重大影響，證交所認為並無違規。 對此，金管會於2月3日發布新聞稿澄清，經過評估，和泰公司的說明尚且符合重大訊息資訊揭露的相關規定，但並非他們認定資安事故沒有違反規定。證交所將針對和泰公司是否落實內部控制的制度，啟動查核機制。 <h3>【漏洞與修補】</h3> <a href="https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04402en_us">HPE針對基礎設施管理平臺OneView發布資安通報，起因是Expat XML元件出現重大漏洞</a> <a href="https://www.ithome.com.tw/tags/CVE-2022-40674">#CVE-2022-40674</a> 研究人員去年9月，揭露Expat XML解析器的記憶體釋放後濫用（UAF）漏洞CVE-2022-40674，最近有IT業者公告旗下產品採用該元件而受到影響。 HPE於2月1日發布資安通告，指出基礎設施管理平臺OneView存在CVE-2022-40674，攻擊者可遠端在目標系統上執行任意程式碼、洩露資料，或是發動阻斷服務攻擊（DoS）。此漏洞源自於該系統採用的外部元件Expat XML解析器，CVSS風險層級達到9.8分，影響8.1版之前的OneView。而在此之前，已有IT業者發布相關公告，例如，<a href="https://security.netapp.com/advisory/ntap-20221028-0008/">NetApp於1月底公布受到影響的範圍</a>，並提供修補程式。 <a href="https://confluence.atlassian.com/jira/jira-service-management-server-and-data-center-advisory-2023-02-01-1188786458.html">缺陷追蹤管理系統Atlassian Jira出現身分驗證漏洞</a> <a href="https://www.ithome.com.tw/tags/Jira">#Jira</a> <a href="https://www.ithome.com.tw/tags/CVE-2023-22501">#CVE-2023-22501</a> IT業者Atlassian於2月1日發布資安通告，缺陷追蹤管理系統Jira出現身分驗證漏洞CVE-2023-22501，此漏洞影響Jira的服務管理伺服器與資料中心，一旦攻擊者利用該漏洞，就有可能在未經授權的情況下，假冒使用者來遠端存取系統，CVSS風險評分為9.4分。 該公司發布5.3.3、5.4.2、5.5.1、5.6.0版修補，若是無法安裝修補程式的用戶，該公司也提供手動更新特定JAR檔案的方式，IT人員也能停機置換相關檔案來降低風險。 <h3>【其他資安新聞】</h3> <a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=0CD3801D7C5536E4">有人假借健保補充保費的名義寄送釣魚郵件</a> <a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/">檔案傳輸管理系統GoAnywhere零時差漏洞，恐被用於RCE攻擊</a> <a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html">惡意軟體TgToxic利用自動化框架針對東南亞安卓用戶而來</a> <a href="https://www.bleepingcomputer.com/news/security/truthfinder-instant-checkmate-confirm-data-breach-affecting-20m-customers/">身家調查服務TruthFinder、Instant Checkmate傳出資料外洩，波及2千萬用戶</a> <a href="https://www.bleepingcomputer.com/news/security/florida-hospital-takes-it-systems-offline-after-cyberattack/">美國佛羅里達州醫院遭到網路攻擊，IT系統被迫離線</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a> <a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a> <a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a> </div></div></div>
2023/2/4 16:52作者周峻佑https://www.ithome.com.tw/news/155389
Martech雙周報第33期：AMT臺灣Martech版圖2023版出爐，還能在知識平臺搜尋版圖收錄工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0122~0204) #臺灣Martech版圖 #Martech知識平臺 #行銷數位轉型 AMT發布臺灣2023台灣Martech版圖，更推出知識平臺便於搜尋Martech工具 亞太行銷數位轉型聯盟協會（AMT）發布臺灣2023台灣Martech版圖，本次更新82個工具，數量距2021年第一次發表時增加了96%。這些工具分成6大類，分別是廣告技術、內容與體驗、社群與關係、商業與銷售、流程與管理，以及數據與分析。其中，商業與銷售、廣告技術、數據與分析是增長數前3高的分類。總數量則以數據與分析分類工具數量最多。 AMT認為，商業與銷售工具成長率最高，主因是疫後企業投資線上通路意願大幅提升。數據與分析分類工具數量最多，則是因為第三方數據式微，第一方數據崛起，因此需求量最大。 隨著Martech版圖收錄工具量變多，不再便於直接閱讀，AMT也宣布推出Martech知識平臺MarsGo，供企業尋找收錄在版圖上的臺灣MarTech工具廠商，並刊登全球MarTech、數位轉型相關研究及趨勢文章。 #第一方數據 #CDP #跨通路追蹤 #第三方Cookie替代 行銷界巨頭The Trade Desk跟Lotame相繼推出第一方數據的管理解決方案，有望增加第一方數據普及度 第三方Cookie替代方案中，第一方數據共享是業界一個呼聲很大的選項。第一方數據優點之一是，這些數據可以來自瀏覽器以外的不同通路，例如CTV、線下消費數據以及行動應用等。不過，這也帶來一大挑戰，就是蒐集、整合並啟用這些數據的門檻較高。這正是許多企業難以啟用第一方數據來行銷的原因──內部數據管理難度太高。 近日，行銷界2家巨頭The Trade Desk跟Lotame，相繼推出第一方數據管理解決方案<a href="https://www.thetradedesk.com/us/our-platform/galileo?utm_source=ttd_banner&utm_medium=onsite_banner&utm_content=galileo&utm_source=The+Martech+Weekly&utm_campaign=fdefc17e95-EMAIL_CAMPAIGN_4_18_2021_9_33_COPY_01&utm_medium=email&utm_term=0_7477fc1017-fdefc17e95-475092822">Galileo</a>跟<a href="https://spherical.lotame.com/">Spherical</a>。兩者功能都是串接主流CRM、CDP、其他資料倉儲及交換數據用的數據無塵室，並整合企業分散於各處的第一方數據，並用於行銷或廣告投放。The Trade Desk更將Galileo結合自家第一方身分辨識方案UID 2.0，直接把企業導向自家廣告投放服務。 行銷界巨頭推出這些支援企業啟用第一方數據的產品，意味著企業導入各式第一方數據解決方案的門檻降低了。對於推動業界脫離第三方Cookie，有重要意義。 #CDP #OMO經營 #對話式行銷 香港對話商務系統商Omnichat推出CDP﹐主打OMO個人化行銷旅程功能 隨著經營第一方數據的重要性越來越廣為行銷業界接受，專精於不同行銷階段的數位行銷業者紛紛推出CDP，結合自家強項。香港對話商務系統商Omnichat便是一例，近日推出名為Social CDP的CDP，主打跨社群通路行銷。 除了CDP常見跨通路數據匯集功能，以對話行銷起家的Omnichat，特別強調行銷規畫功能，便於行銷人員為不同輪廓的顧客，設定自動化線上線下跨通路行銷方案，並讓線上客服及線下銷售人員都能即時查看完整顧客檔案，作為與顧客互動時的行銷參考。 #CTV #行動裝置 #跨通路追蹤 #行銷成效追蹤 尼爾森推出可以測量跨裝置觀看情況的服務，還能辨認出個人等級的跨通路觀看行為 以電視收視率測量起家的尼爾森，終於推出可以測量橫跨傳統線性電視、聯網電視（CTV）、行動裝置及電腦內容及廣告收視情況的服務<a href="https://www.nielsen.com/zh/news-center/2023/nielsen-announces-market-availability-for-nielsen-one-ads/">Nielsen One</a>。同時，為了用同一基準比較線性電視與其他數位媒體的收視情況，尼爾森還將線性電視的收視時間單位從分鐘改為秒數。 尼爾森表示，此服務不只能測量個別通路的收視率，利用他們的ID系統及與不同出版商、甚至圍牆花園的合作，<a href="https://www.medianews4u.com/nielsen-one-ads-to-offer-deduplicated-view-of-ads-and-content-across-screens/">此服務能測量同一使用者橫跨這些通路的觀看情況</a>。這樣一來，不僅廣告商有辦法了解自己在不同通路的行銷成效，出版商也能看出自己相對於其他通路或出版商，對觀眾的吸引力為何，進而像廣告主展現自己版位的價值。 跨通路行銷成效追蹤一直是困難但重要的課題。近年，由於遲遲沒有辦法測量線性電視以外通路的收視率，尼爾森在市調界地位持續受挫。早在2020年12月，尼爾森就預告了此服務，不過至今才於美國地區正式上線。若Nielson One跨通路追蹤能力如自己所言的強大，或許有望挽救業界地位，不過隱私疑慮也可能伴隨而來。 #零售媒體聯播網 #跨通路行銷 #行銷成效追蹤標準 美國研究：零售媒體聯播網市場規模2024年可望達600億美元，但成效追蹤無公定標準是隱憂 根據美國市調機構Insider Intelligence預測，零售媒體聯播網（RMN）市場將持續成長，2024年市場規模可望達600億美元，占美國數位廣告市場近1/5。<a href="https://www.insiderintelligence.com/content/5-retail-trends-that-will-shape-2023-social-commerce-retail-media-more">報告並指出</a>，儘管RMN廣告剛開始都只會展現在店面或電商網站內的版位，不過已經開始拓展到更多通路，例如戶外看板或聯網電視。報告尤其點名Amazon、Walmart及美國最大超市Kroger等零售巨頭在CTV廣告方面的投資，將加速成長。 由於大型零售業者是與消費者接觸的第一線通路，RMN作為行銷管道影響力不容小覷。根據美國國家廣告商聯合會（ANA）研究，88%使用RMN的品牌主，是因為感受到該零售品牌對消費者的影響力，而不得不透過RMN來投放廣告。 不過，這同時帶出RMN目前一個潛在問題，就是當前尚未有具說服力的行銷成效測量方法。雖然IAB已經著手制定廣告形式及成效測量標準，不過最早也要2024年才會推出。因此零售商如何用具體成效數據，而非自身規模來吸引更多廣告主加入，會是一大課題。 #精準行銷 #廣告歧視 Meta利用機器學習技術開發出住宅廣告反歧視機制 2019年，Meta遭控讓廣告主可以依據種族、家庭狀況和殘疾與否等條件推送房屋廣告，因而遭到美國住宅暨都市發展部起訴，雙方2022年6月達成和解，Meta除了需支付11萬美元的罰款之外，也必須在2022年底前開發無歧視性廣告工具。日前，Meta宣布推出Variance Reduction System（VRS），用來解決住宅廣告歧視問題。 Meta透過定期測量特定廣告的實際受眾，比對公開人口普查資料，以了解這些受眾組成與人口統計分布的差異，其中，目前這個系統優先著重性別和種族特徵，且Meta聲稱測量方法不會侵犯隱私。 目前，VRS工具僅用於住宅廣告，不過Meta提到，會考慮應用此技術於就業及金融廣告等其他領域。（<a href="https://www.ithome.com.tw/news/155097">詳全文</a>） #RMN #Salesforce #第一方數據 #CRM Salesforce推出零售業者建置RMN及蒐集第一方數據用的解決方案 <a href="https://www.salesforce.com/news/press-releases/2023/01/12/retail-announcements-nrf-2023/">CRM巨頭Salesforce宣布</a>，推出更多功能，讓該公司的零售業客戶能直接從CRM啟用第一方數據來建置零售媒體聯播網（RMN），經營廣告事業。零售商將能用這些新功能來啟用自家第一方數據來投放程序化廣告，並分析行銷活動成效，提供後續行銷優化建議。 同時，Salesforce的電商平臺Commerce Cloud也推出新功能，支援零售商蒐集並分析線上線下通路數據。這些功能包括延伸Salesforce支付工具到線下使用、更多數據分析及數據監控功能等。 隨著第三方Cookie退場在即，第一方數據抬頭成為趨勢，零售業的大量消費者數據成為成為兵家必爭之地，RMN市場更大幅成長。Salesforce現在針對零售業推出更多數據應用工具，不僅降低零售業建置RMN的門檻，也顯示CRM巨頭對此趨勢的重視。 #蘋果廣告 #精準行銷 #隱私權 蘋果因隱私疑慮遭罰8百萬美元，更間接公開廣告投放機制如何嘗試規避隱私侵犯偵測 蘋果因投放數位廣告時未經使用者同意就讀寫裝置識別碼而被開罰8百萬美元。<a href="https://www.cnil.fr/en/advertising-id-apple-distribution-international-fined-8-million-euros">訴訟資料中</a>，揭露了蘋果在自家平臺上追蹤用戶及投放廣告的機制，以及之前如何規避隱私權偵測。 使用者創建Apple帳戶時，會產生一個識別用用戶ID，紀錄使用者於蘋果App Store上的使用行為，以及Apple帳戶上的地點、性別、生日等資料。分析這些資料後，用戶ID會被分類到不同分眾中，用於廣告投放。 為了避免在廣告投放流程中直接使用用戶ID，蘋果還用了另外兩組ID：裝置識別ID及廣告ID。裝置識別ID用於建立不同裝置與用戶ID的連結；廣告ID則用於廣告投放及曝光數追蹤。蘋果要投放廣告時，只會用裝置ID跟廣告ID跟自家廣告伺服器溝通，因此規避掉「用戶ID被用來投放廣告」這件事。 #數據無塵室 #IAB #行銷成效追蹤 美國IAB：廣告商斥資千萬買數據無塵室，但不到1/3會用來追蹤行銷成效 精準行銷背後需要大量使用者數據做為燃料，因此資料隱私權隨之成為行銷業界高度重視的議題。一個近期成為熱門話題的資料隱私權技術是資料無塵室，用於在不侵犯隱私的環境中交換第一方資料。不過，根據美國<a href="https://www.iab.com/wp-content/uploads/2023/01/IAB_State_of_Data_2023.pdf">數位廣告主管機關互動廣告協會（IAB）研究</a>，目前此技術在行銷業界中，應用情況仍不成熟。 報告指出，使用資料無塵室的企業中，62%表示建置金額超過20萬美金，更有25%左右花費超過50萬美金（約1,500萬新臺幣）。然而，這些企業大多只用無塵室來去識別化資料，以及基本隱私法遵。用資料無塵室來追蹤跨通路行銷成效的企業，不到1/3。IAB指出，資料無塵室應用是需要投資人才、使用經驗，並配合內部數據基礎架構，才能完整發揮此技術帶來的優勢。 資料來源：iThome整理，2022年2月 責任編輯：郭又華 </div></div></div>
2023/2/4 09:40作者郭又華https://www.ithome.com.tw/news/155381
MedTech醫療科技雙周報第15期：澳洲醫院上線電子處方箋，採用FHIR互通資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0116～0131) 電子處方箋 Northern Health FHIR 澳墨爾本醫院上線電子處方箋，採用FHIR互通資料 澳洲墨爾本Northern Health醫院近日在自家心理健康部門和門診診所推行電子處方箋，該處方箋平臺由醫資廠商MediRecords開發，整合了醫院的病人管理系統（PAS）和臨床患者資料夾（CPF）軟體，並採用FHIR資料交換標準，來加速資料互通。也就是說，醫師不必再至另一個資料庫查找患者醫療記錄，直接根據當下臨床資料（如病史和過敏資訊），就能快速產生電子處方箋。 醫院透過MediRecords雲平臺產生電子處方箋，可立即發送給患者或其護理人員。該處方箋附有一個QR Code，可給藥局用來掃描、調配藥劑，患者也能更快取得藥物。這不是Northern Health第一次上線電子處方箋，去年7月時，該院就先在旗下的維多利亞虛擬急診部門採用電子處方箋，來減少紙張和寄送成本，只不過當時並未採用FHIR來交換資料。 MediRecords是美國IT大廠Leidos的成員之一，該Leidos目前還接手打造澳洲國防部的健康知識管理（HKM）系統，並且要採用FHIR，打通不同層級的照護機構資料互通藩籬。MediRecords執行長Matthew Galetto指出，FHIR應用是今年的開發重點，接下來將推出更多整合工具。<a href="https://medirecords.com/medirecords-on-fhir-at-northern-health/">（詳全文）</a> <div class="media_embed" height="360px" width="640px"> <iframe allowfullscreen="" frameborder="0" height="360px" src="https://player.vimeo.com/video/718144603?h=5f78652aec" title="vimeo-player" width="640px"></iframe></div> 政大 癌症偵測 OpenVINO 一次偵測6種癌，政大開發多類別癌症偵測AI 政大傳播學院兼任助理教授吳致勳帶領學生團隊，開發一款多類別癌症偵測AI系統，能分析血液中小分子核糖核酸（Circulating miRNA），偵測6種癌症的早期風險，包括膀胱癌、食道癌、腦癌、肺癌、卵巢癌和前列腺癌等，敏感度達90%，目前正與學研單位、醫院合作中。 吳致勳在中研院時，就與臺北榮總基因醫師張家銘聯手，進行小分子核糖核酸癌症偵測研究。目前的癌症篩檢，一種檢測工具只能針對一種癌症，且費用高昂，於是，團隊把目光轉向小分子核糖核酸這種液態活檢，想嘗試搭配AI模型，來一次檢測多種癌症、降低偵測成本。他們先是建立小分子核糖核酸表現量資料庫，擁有5,000名正常人和4,000名癌症患者（含6種癌症）生物晶片資料，並用來訓練TensorFlow2 FFN模型，再將模型導入Intel的電腦視覺開發套件OpenVINO、進行優化，最後導入推論引擎，供使用者使用。政大團隊也參加Intel DevCup競賽，從200多組隊伍中脫穎而出，目前進入決賽中。<a href="https://makerpro.cc/intel-devcup/%E5%A4%9A%E9%A1%9E%E5%88%A5%E7%99%8C%E7%97%87%E4%B9%8B%E9%9D%9E%E4%BE%B5%E5%85%A5%E5%BC%8Fai%E5%81%B5%E6%B8%AC%E7%B3%BB%E7%B5%B1/?fbclid=IwAR2ieKjvkzubHtzlwyzZ3U1mij_vAZLWGhV1FsfZzOEOvQkGQ1_TT03aIy8">（詳全文）</a> <img alt="" src="https://makerpro.cc/intel-devcup/wp-content/uploads/2022/12/%E9%87%8D%E8%A6%81%E5%9C%96%E7%89%87ok2-1418x709.png" /> 信用卡 聯卡中心 行動支付 聯卡中心揭就醫支付趨勢，去年刷卡筆數533萬創5年新高 聯合信用卡處理中心（簡稱聯卡中心）最近分析民眾在醫院、診所使用信用卡的消費樣態，發現2022年民眾就醫使用信用卡簽帳的筆數533萬筆，是近5年新高，聯卡中心還預估，2022全年度筆數還能增長至652萬筆、達500億元。 聯卡中心也發現，醫院小額支付筆數逐年提高，小於500元的筆數占比從2018年的32.2%上升至去年的45%。也就是說，民眾在醫院，用信用卡支付掛號費等小額費用的比例增加了。不過，聯卡中心搭配健保署公開資料計算，發現在醫院門診和住院使用信用卡支付的民眾，只占總就醫人次4%，近5年也沒有明顯增長。聯卡中心還進一步在主要平臺進行輿情分析，發現民眾討論重點多半是：支援信用卡和行動支付的醫院太少、行動支付App有時無法支付醫療費用，以及以信用卡支付大額醫療費用有無回饋，這幾點也是醫界和相關機構待克服的挑戰。疫情雖然加速金融支付在醫院和診所的滲透，有成長潛力，但聯卡中心認為，行動支付要在醫院、診所落地深根，還有很大的進步空間。<a href="https://www.nccc.com.tw/wps/wcm/connect/zh/home/openinformation/CaseAnalysisIntroduce/CNT_05_998_20221221140335">（詳全文）</a> <img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/1/%E5%9C%96%E4%B8%80.png?MOD=AJPERES" /> 紐約大學 SDOH 健康儀表板 NYU打造一站式全美選區健康儀表板，要促政府制定新政策 紐約大學和RWJ基金會開發一款一站式健康儀表板，涵蓋全美435國會選區、36項關鍵健康指標，包括影響健康的貧富差距、食物、交通運輸等社會決定因素（SDOH），可供政策制定者用來規畫更好的政策。 進一步來說，這個儀表板彙整了美國聯邦政府的數據，像是人口普查局、疾管署等單位提供的資料，並分類為36項健康指標，使用者可點選指標，來查看在美國國會選區的數據分佈。這些健康指標可分為疾病、社會經濟因素、健康行為、生活環境和健康照護服務等5大類，其下又涵蓋不同細項，如疾病下的乳癌死亡人數、社會經濟因素下的貧困兒童或高中完成率，又或是健康行為下的酗酒、生活環境下的空污指數等。政策制定者可根據這些指標，來得出健康洞察，比如儀表板顯示，西班牙裔是所有國會選區中，未保率最高的族群。 其實，美國在2022年就採取一項策略，來解決SDOH問題。這個策略的一大目標，就是打造可互通的基礎設施來支援決策，美國國家衛生IT協調會也在去年10月與HL7展開討論，要測試FHIR標準，用來交換基層醫療中SDOH相關訊息。<a href="https://www.congressionaldistricthealthdashboard.org/maps/national">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-04%20at%2012_20_07%20AM.png" /> 高雄榮總 保險理賠 醫起通 高雄榮總年後上線醫起通1.5版，加速保險理賠 高雄榮總於去年8月，就與壽險公會簽約，加入保險理賠醫起通服務行列。他們透露，農曆新年後要上線這個服務，來簡化民眾申請醫療保險理賠的作業，讓民眾不必再於醫院奔波、臨櫃申請診斷證明書等資料，線上作業即可。 目前，醫起通1.5版可讓民眾線上簽署同意書，授權醫院調閱、彙整資料。醫院收到申請需求，會自動撈取系統內相關資料，彙整為PDF，傳送至壽險公會保險理賠區塊鏈平臺，平臺再發送給保險公司。壽險公會也預告，要將PDF版改為結構化資料欄位，來更自動化傳送資料，保險公司也不必再對照PDF、手動騰打資料，預計今年6月測試、年底上線。<a href="https://www.ithome.com.tw/news/155215">（詳全文）</a> Amazon 送藥到府 RxPass Amazon新推送藥到府會員服務，80多種疾病的治療藥物都能送 Amazon日前推出一項Prime會員新服務RxPass，每月收費5美元，就能送藥到府，給所需的使用者。這些可送達的合法藥物，可治療最常見的80多種疾病，如高血壓、胃酸逆流，甚至是焦慮等病症。該服務已在美國大多數州上線，民眾只需至Amazon線上藥局註冊，就能享有該服務。Amazon也有24小時待命的藥劑師和工作人員，來與民眾討論藥物、解決問題。 不過，該服務不提供胰島素和特殊藥物，享有美國國家醫療保險（如Medicare和Medicaid）的民眾，則無法使用RxPass。<a href="https://www.aboutamazon.com/news/retail/introducing-rxpass-from-amazon-pharmacy-a-5-prescription-subscription-that-helps-prime-members-who-take-multiple-medications-save-time-and-money">（詳全文）</a> 偏鄉 醫事人力 媒合 印度最大體系醫院導入富士PACS，推動68家機構資料互通 印度最大體系醫院之一的Manipal Hospitals，日前與印度富士（Fujifilm）展開長期合作夥伴關係，要將富士的影像儲傳系統（PACS）部署到旗下23家醫院、46家遠距放射機構中。 PACS專門傳輸、處理醫學儀器產出的醫學影像，富士指出，這款大規模系統可自動儲存、檢索、傳送機敏資料和影像報告等作業，醫療文件和影像也能儲存在安全的站外伺服器，同時，醫師使用者還能在各地，從行動裝置、工作站登入存取這些資料，提高分院間的資料互通性和診斷便利性。目前，雙方已先上線模組化的放射資訊系統（RIS），可用於心臟專科和放射線部。<a href="https://www.fujifilm.com/in/en/news/manipal-hospitals-collaborates-with-fujifilm-india-to-provide-digitized-solutions-for-patient-diagnosis">（詳全文）</a> 澳洲 遠距醫療 中風 澳洲遠距中風服務上線，比火車更快到農村 澳洲新南威爾士（NSW）州的遠距中風醫療服務全面上線，要來改善農村和偏遠地區的中風照護，讓患者在缺乏專科醫師的小醫院，也能透過視訊接受中風專科醫師診斷。這款服務由澳洲聯邦政府和新南威爾士政府共同出資，由該州的威爾士親王醫院經營，提供24小時的視訊中風專科診斷和治療，目前已服務該州23家偏遠醫院的3,000多名患者。 新南威爾士州每年有1萬9千名民眾中風，其中超過三分之一的住院患者來自偏遠地區和農村地區，而透過這項服務，患者在就近的地區醫院就診，速度比在都市大醫院就診更快。<a href="https://strokefoundation.org.au/media-centre/media-releases/2023/01/major-milestone-reached-in-nsw-stroke-treatment?utm_source=miragenews&utm_medium=miragenews&utm_campaign=news">（詳全文）</a> 圖片來源／MediRecords、政大、聯卡中心、紐約大學 MedTech醫療科技近期新聞 1. 美大型照護機構Providence Health上線語音/視訊虛擬護理應用，減輕護理師負擔 資料來源：iThome整理，2023年2月 </div></div></div>
2023/2/4 00:30作者王若樸https://www.ithome.com.tw/news/155378
【資安日報】2023年2月3日，駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 針對駭客利用挾帶惡意VBA巨集的Office檔案發動攻擊的情況，微軟去年祭出了封鎖來自網路（MoTW）的巨集執行的措施，而使得駭客也隨之調整做法，其中最常見的方式就是利用ZIP壓縮檔、ISO映像檔挾帶作案工具，並引誘使用者點選LNK捷徑檔案來突破相關限制。但最近有資安業者提出警告，他們觀察到有越來越多駭客採用Visual Studio的附加工具VSTO，來製作能讓惡意Office檔案執行VBA巨集的元件，部分元件甚至能採取遠端下載的做法來躲避防毒軟體偵測。 惡意PyPI套件的攻擊行動也相當值得留意。有研究人員近日發現兩款惡意套件，其中一款被用於竊密，並將偷得資料上傳到Slack頻道；另一款則是被用於部署惡意軟體。 思科最近針對部分IOS XE設備修補漏洞CVE-2023-20076，值得留意的是，攻擊者一旦成功利用漏洞，即可任意存取這些具有漏洞的網路設備。 <h3>【攻擊與威脅】</h3> <a href="https://www.deepinstinct.com/blog/no-macro-no-worries-vsto-being-weaponized-by-threat-actors">突破Office封鎖惡意VBA巨集執行的管制，駭客改由Visual Studio附加工具下手，透過映像檔夾帶檔案進攻</a> <a href="https://www.ithome.com.tw/tags/VBA">#VBA</a> <a href="https://www.ithome.com.tw/tags/Visual-Studio">#Visual Studio</a> <a href="https://www.ithome.com.tw/tags/VSTO">#VSTO</a> <a href="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg" style="width: 300px; float: right;" /></a>資安業者Deep Instinct指出，微軟下令禁止Office軟體執行來自網路的VBA巨集，之後，出現駭客嘗試利用Visual Studio Tools for Office（VSTO）來達成執行惡意巨集的攻擊手段。 研究人員指出，駭客可製作VSTO附加元件，讓Office檔案開啟的過程中執行，例如，他們通常透過ISO映像檔夾帶Office檔案與上述的元件，然後在使用者開啟Office檔案後，要求依照指示安裝附加元件，一旦使用者照做，就會觸發惡意巨集。 雖然在大部分的攻擊行動當中，攻擊者將VSTO附件元件和誘餌Office檔案存放在ISO檔案裡，但也有少部分事故駭客是從遠端下載VSTO附加元件，而有可能導致這類攻擊行動更加難以發現。 <a href="https://blog.checkpoint.com/2023/02/01/the-rise-of-the-code-package-threat/">惡意PyPI套件被用於竊取開發者電腦資料</a> <a href="https://www.ithome.com.tw/tags/PyPI">#PyPI</a> 資安業者Check Point揭露惡意PyPI套件Python-drgn、Bloxflip，前者於去年8月上架，一旦開發者將其安裝到開發環境，此惡意套件就會竊取敏感資料，並發送到特定的Slack頻道，研究人員認為駭客很可能會盜賣竊得資料、進行身分盜用，或藉此收集企業的機密。 至於Bloxflip則是會停用受害電腦的防毒軟體Microsoft Defender來規避偵測，然後再下達Python的get函數，最終在受害電腦透過子處理程序執行惡意軟體。 <a href="https://www.sentinelone.com/labs/malvirt-net-virtualization-thrives-in-malvertising-attacks/">惡意廣告攻擊也有新手法！駭客利用程式載入器迴避偵測</a> <a href="https://www.ithome.com.tw/tags/SEO">#SEO</a> <a href="https://www.ithome.com.tw/tags/Malvertising">#Malvertising</a> <a href="https://www.ithome.com.tw/tags/MalVirt">#MalVirt</a> <a href="https://www.ithome.com.tw/tags/Formbook">#Formbook</a> <a href="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露利用名為MalVirt的惡意程式載入器攻擊行動，駭客利用惡意廣告散布這個載入器，最終目的是在受害電腦植入竊密軟體Formbook。 研究人員指出，有別於其他散布惡意軟體的搜尋引擎最佳化（SEO）攻擊，駭客運用的惡意程式載入器MalVirt相當罕見，因為這是利用名為KoiVM的虛擬化保護軟體為基礎進行開發，以.NET虛擬化技術來進行混淆，然後濫用微軟免費工具包SystemInternals家族成員Process Explorer的驅動程式，來終止特定的處理程序。 除了上述的惡意程式載入器，駭客也利用Azure、Tucows、Choopa、Namecheap等雲端服務來架設C2伺服器，並將其用來散布Formbook。 <a href="https://blog.cyble.com/2023/01/27/insecure-military-ics-infrastructure-poses-a-risk-to-national-security/">研究人員針對不安全的軍事ICS基礎設施提出警告</a> <a href="https://www.ithome.com.tw/tags/SCADA">#SCADA</a> <a href="https://www.ithome.com.tw/tags/ICS">#ICS</a> <a href="https://www.ithome.com.tw/tags/Modbus">#Modbus</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，他們在暗網的論壇上，發現有人聲稱能存取北非國家軍事組織的SCADA系統與紅外線熱成像攝影機，研究人員根據駭客提供的IP位址等資料進行驗證，認為駭客很有可能掌握了重要的軍事資訊。 駭客張貼紅外線熱成像攝影機的網路管理介面截圖，以及北非軍事基地的空拍圖與607個攝影機的地理位置分布圖。研究人員在這些攝影機發現資訊洩露、RCE漏洞、寫死帳密的情況，而且有多臺設備採用了預設的帳密。 此外，駭客疑似鎖定工控系統常見的Modbus通訊協定，利用其漏洞來對於軍事基地下手，並在工控系統部署Ｍetaspoilt框架，以便進行偵察工作。 <a href="https://labs.withsecure.com/content/dam/labs/docs/WithSecure-Lazarus-No-Pineapple-Threat-Intelligence-Report-2023.pdf">北韓駭客Lazarus發動網路間諜行動，利用Zimbra漏洞潛入受害組織竊密</a> <a href="https://www.ithome.com.tw/tags/Lazarus">#Lazarus</a> <a href="https://www.ithome.com.tw/tags/Zimbra">#Zimbra</a> <a href="https://www.ithome.com.tw/tags/CVE-2022-27925">#CVE-2022-27925</a> <a href="https://www.ithome.com.tw/tags/CVE-2022-37042">#CVE-2022-37042</a> 資安業者WithSecure揭露網路間諜攻擊行動No Pineapple，駭客鎖定南韓的醫學研究、醫療保健、化學工程、能源、國防、研究型大學，自2022年8月下旬，利用郵件伺服器Zimbra的漏洞CVE-2022-27925與CVE-2022-37042，在受害組織部署Web Shell，並利用隧道工具Plink或3Proxy建置反向隧道，而使得攻擊能在繞過防火牆的情況下進入受害組織的網路。 然後，在接下來的兩個月裡，駭客透過橫向移動，竊得管理員帳密並從電腦裡盜取機密資料，過程中使用該組織自製的惡意軟體Dtrack與Grease來瞄準Windows的管理員帳號，最終，這些駭客竊得100 GB機密資料。根據駭客行動的時間、Web Shell連線的IP位址、下達的攻擊命令等特徵，研究人員認為攻擊行動由惡名昭彰的APT組織Lazarus發起。 <a href="https://scpc.gov.ua/article/229">烏克蘭政府遭到俄羅斯駭客組織Gamaredon的間諜軟體攻擊</a> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭">#烏克蘭戰爭</a> 烏克蘭國家安全局（SSU）旗下的國家網路防護中心（State Cyber Protection Centre）指出，俄羅斯駭客組織Gamaredon鎖定當地公共機構與關鍵資訊基礎設施下手，利用名為GammaLoad與GammaSteel的間諜軟體發動攻擊。 前者被用於從伺服器下載VBScript指令碼，並用於下一個階段的攻擊行動；後者則是PowerShell指令碼，被用於偵察與執行其他命令。該機構表示，這些駭客主要目的是收集機密資料，而非破壞受害組織。 <a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-on-ion-group-impacts-derivatives-trading-market/">英國自動化軟體業者ION Group傳出遭勒索軟體LockBit攻擊</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://www.ithome.com.tw/tags/LockBit">#LockBit</a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊">#供應鏈攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png" style="width: 300px; float: right;" /></a> 1月31日，英國自動化軟體業者ION Group聲明遭到網路攻擊，受影響的伺服器皆已斷開連接，他們正在復原受影響的服務；國際汽車聯盟（FIA）隨後也發表聲明，表示正在與受影響的成員進行合作，來減緩受到此起事故的衝擊。 而針對這起事故的攻擊者身分，2月2日，勒索軟體LockBit聲稱是他們所為，並打算於2月4日公布竊得資料。 <a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&sms=13235&s=208674">有關iRent資料外洩事故，公路總局公布初步檢查結果</a> <a href="https://www.ithome.com.tw/tags/iRent">#iRent</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> 資安人員發現汽機車共享服務iRent的資料庫缺乏密碼保護，曝露長達9個月，<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2284/index.html">對此和泰公司發出聲明</a>，初估受影響的使用者資料約有14萬筆，包含姓名、電話、地址，以及經遮蔽保護的信用卡資料。 對此，交通部公路總局於2月1日前往和雲行動服務公司進行行政檢查，結果發現，該公司未能依規定提供汽車運輸業個人資料檔案安全維護計畫書，查核人員要求說明可能的受害範圍，但該公司表示清查需約2至3天才能完成，而沒有提出相關資料。而對於事件的處理情形，他們表示於1月28日進行防堵，但也透露近3個月會員異動的資料有可能遭外部人士查詢。 對此，臺北市區監理所發函要求和雲行動服務公司限期提報消費者個資的維護計畫，並對於事故發生的原因、調查結果、後續處理等進行說明並提供佐證資料，若未於期眼內改正，將依個人資料保護法按次處新臺幣2萬元以上、20萬元以下罰鍰。 <h3>【漏洞與修補】</h3> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iox-8whGn5dL">部分思科IOS XE設備存在命令注入漏洞，攻擊者可以root權限執行任意命令</a> <a href="https://www.ithome.com.tw/tags/IOS-XE">#IOS XE</a> 思科於2月1日揭露高風險漏洞CVE-2023-20076，此漏洞存在於網路作業系統平臺IOS XE的應用程式代管環境IOx，一旦遭到利用，攻擊者可能在通過身分驗證的情況下，遠端以root的權限執行任意命令，CVSS風險評分為7.2分，影響800系列工業用整合服務路由器（Industrial ISR）、Wi-Fi無線基地臺Catalyst Access Point、CGR1000運算模組、IC3000工業用運算閘道，以及IR510 WPAN工業用路由器。 該漏洞出現的原因，在於應用程式的啟動程序過程中，傳遞的參數未完全重置，且無須使用者互動就能利用。<a href="https://www.trellix.com/en-us/about/newsroom/stories/research/when-pwning-cisco-persistence-is-key-when-pwning-supply-chain-cisco-is-key.html">通報該漏洞的資安業者Trellix指出</a>，攻擊者一旦成功利用，將能不受限制的存取受害設備，他們部署的惡意程式碼，很有可能在設備重開機或是升級韌體後仍然持續運作。 <a href="https://www.saiflow.com/hijacking-chargers-identifier-to-cause-dos/">電動車充電站通訊協定存在弱點，攻擊者可得知車主資訊或是偷取電力</a> <a href="https://www.ithome.com.tw/tags/OCPP">#OCPP</a> <a href="https://www.ithome.com.tw/tags/EV">#EV</a> 電動車充電基礎設施資安業者SaiFlow提出警告，電動車的充電系統管理服務平臺（Charging System Management Service，CSMS）與充電站之間的通訊出現弱點，有可能被駭客用於攻擊行動，且有可能影響多個廠牌的充電系統。 這項弱點出現在充電站採用的開放通訊標準協定Open Charge Point Protocol（OCPP），起因是這裡用了網路通訊協定WebSocket，而可能在多個充電站同時連線時出現異常。攻擊者可濫用這樣的弱點與CSMS建立連線，導致這類平臺關閉原有的充電站連線，或是其他充電腦無法與CSMS通訊。 研究人員指出，這樣的弱點很容易引起DDoS攻擊，而且駭客一旦連結到CSMS，就有可能竊得車主個資等敏感資料，或是偷取電力。上述漏洞普遍存在於搭配OCPP 1.6J版通訊協定的CSMS，但如果搭配新的2.0.1版協定也有可能曝險。 <h3>【其他資安新聞】</h3> <a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/">上萬使用者遭到假冒DocuSign的網釣攻擊</a> <a href="https://www.uptycs.com/blog/titan-stealer-telegram-malware-campaign">Go語言開發的竊密軟體Titan竊取瀏覽器與加密貨幣錢包資訊</a> <a href="https://blog.cyble.com/2023/01/31/inthebox-web-injects-targeting-android-banking-applications-worldwide/">駭客組織InTheBox在暗網兜售逾1,800種安卓銀行木馬相關工具</a> <a href="https://www.securityjoes.com/post/operation-ice-breaker-targets-the-gam-bl-ing-industry-right-before-it-s-biggest-gathering">惡意軟體IceBreaker鎖定電玩、賭博業者而來</a> <a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html">APT34鎖定中東地區發動攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a> <a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a> <a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a> </div></div></div>
2023/2/3 16:46作者周峻佑https://www.ithome.com.tw/news/155365
Elon Musk又出招，推特將在2月9日關閉免費API存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://twitter.com/TwitterDev/status/1621026986784337922">推特（Twitter）宣布</a>從2023年2月9日開始，不再提供第三方免費存取API，包括v2和v1.1，取而代之的將會是基本付費方案，官方提到，他們將會在下周提供更多的資訊。這對開發者來說不是好消息，取消免費API將影響許多學術研究、社會議題倡議和商業專案。 Twitter API提供開發者以程式開發的方式，存取推特的核心功能，包括推文、私訊、列表和用戶等，不少應用是透過API收集大量的推特資料，經過分析處理後生成推文發送，或是作為第三方應用使用。 推特官方提到，數億使用者每周發送數十億條推文，這麼多年以來已經發送超過一兆條推文，推特資料已經成為世界上最強大的資料集之一，他們將提供快速且全面的存取服務，下周會有更多消息釋出。<a href="https://twitter.com/elonmusk/status/1621259936524300289">Elon Musk的推文則透露推特關閉免費API的原因</a>，Celo基金會開發者關係全球負責人Eric Nakagawa，在推特上回推推特官方宣布停止免費API服務的推文表示「廣告收入肯定下降的很嚴重」。 這串推文引來了Elon Musk回應，他提到，免費的API被垃圾訊息機器人和意見操縱者大量濫用，由於缺乏驗證程序也不用付出成本，惡意攻擊者能夠輕易地部署10萬支機器人，他表示，每月100美元的API存取訂閱費用加上ID驗證，就能夠讓這些問題被大幅解決。 這項消息發布之後，無論是在推特官方還是Elon Musk的推文，用戶一陣哀鴻遍野，有使用者回應Elon Musk，表示這項措施根本無法真正阻擋垃圾訊息機器人，因為這些惡意機器人都是直接破解推特客戶端API，並不會使用官方所提供的開發API，推特這個政策真正傷害到的是正當機器人。 推特平臺在被Elon Musk收購後，進行了多次功能更新，目標皆是要強化推特的營收，<a href="http://www.ithome.com.tw/news/155232" target="_blank">包括最近阻擋第三方客戶端存取其API，進而封鎖第三方所開發的完整客戶端</a>，這項政策的目的，便是為了增加推特的廣告收入來源，因為第三方客戶端並不會顯示推特廣告，推特無法從中獲利。 </div></div></div>
2023/2/3 16:32作者李建興https://www.ithome.com.tw/news/155362
AWS稽核資料湖CloudTrail Lake，現支援來自非AWS來源的活動事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AWS更新<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-cloudtrail-lake-supports-ingesting-activity-events-from-non-aws-sources/">稽核資料湖服務CloudTrail Lake，現在支援從非AWS來源擷取事件</a>，使用戶可以儲存不可篡改的使用者和API活動事件，將其用於跨AWS和混合環境的稽核和安全調查資料用途。AWS CloudTrail是提供追蹤用戶活動和API使用狀況的雲端服務，提供企業稽核、安全監控和故障排除操作。 而CloudTrail Lake則可以簡化稽核和安全分析工作，該服務是一個託管資料湖，可以擷取、儲存、存取和分析AWS上的用戶和API活動，CloudTrail Lake能夠聚合資料，且一旦儲存資料進入資料湖便不可篡改，用戶可以執行SQL查詢進行搜尋和分析。 現在AWS更新CloudTrail Lake，使CloudTrail Lake不只可以用於記錄AWS平臺上的用戶和API活動，也可以用於非AWS來源，使其成為稽核和安全調查的活動事件單一位置，AWS也和第三方合作，讓用戶可以從控制臺簡單地啟用第三方服務的稽核日誌記錄，已整合的服務廠商包括CrowdStrike、GitHub、Kong和Snyk等。 官方提到，用戶現在可以在同一個地方，整合、儲存、和分析來自AWS和非AWS來源的活動事件。 CloudTrail Lake提供新的PutAuditEvents API，使用戶可以將不同來源的用戶活動資訊，匯集到CloudTrail Lake中。CloudTrail Lake會以標準化架構記錄所有事件，因此用戶可以更容易運用這些資料，回應安全事件和稽核請求。官方提到，用戶現在可以在同一個地方，整合、儲存、和分析來自AWS和非AWS來源的活動事件。 目前CloudTrail Lake現已可用的地區，都已經提供非AWS來源活動事件支援。 </div></div></div>
2023/2/3 15:14作者李建興https://www.ithome.com.tw/news/155357
機會與風險的抉擇
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 身處商業競爭領域，趨吉避凶是絕大多數人的選擇，大家無不渴求能擁有最多、最大的機會，卻又期盼盡量不要遭遇風險，若無法躲避，總希望能安然度過。就實際的狀況而言，我們可能更常感受到這其實是一體兩面，於是有「危機就是轉機」、「富貴險中求」這類說法。 根據Simplicable Guide網站的解釋，機會是未來會有所得的潛在可能性，風險是未來會有損失的潛在可能性，因此，在決策制定、策略形成、管理等層面，均扮演重要角色。 隨著COVID-19疫情趨緩，雖然烏克蘭戰爭、臺海危機、全球通膨等多種不利市場的因素，仍籠罩在前，但經過這三年來的緊縮與壓抑，早已擋不住亟欲外出探險的情緒，期盼大展長才，而2022年下半以來，也陸續出現員工出走、企業裁員等狀況，雖然令人擔心失業率大增、經濟下滑，相對地，也有可能帶動創業潮，為產業增添新的可能性。 無論是企業推動數位轉型，或是自己找一群志同道合之士創業，都是希望能以各種創新手段，來獲取更多商機，然而，大家可能最擔心的還是失敗的風險，於是，這需要有強大的高層支持，以及說服足夠的金主作為靠山，才能在嘗試各種作法的過程當中，找到符合理想目標、市場價值，以及最適合本身發展的產品與服務。 關於創業、商機這方面的話題，有很多專家可提供建議，負責推動的人也有其特殊性，相較之下，風險管理則是所有人都會面臨到的功課，不論是守成或開拓，我們總是身處在一個多變的環境，若缺乏這樣的概念而貿然行事，有很大的機率會得不償失，與其到時候怨天怨地怨自己，不如自己設法學會管理風險。 然而，想要做好風險管理，首先要認識風險。以資安領域而言，若是<a href="https://www.ithome.com.tw/CIDaily" target="_blank">iThome資安日報</a>長期讀者，可能會發現惡意軟體、駭客所能滲透的部分，經常超乎大家想像，攻擊手法不斷推陳出新之餘，也會彼此爭相模仿、合作，而且，任何疏於管控、防範的單一或多個環節，都有可能成為阿奇里斯之腱。 就以1月30日網路共享汽車業者iRent傳出資料外洩疑雲為例，根據國外科技媒體TechCrunch的報導，因為他們所用的資料庫系統並未啟用密碼保護，再加上這系統使用固定的公共IP位址，因此，只要透過網路掃描，找出位於網際網路且使用特定通訊埠或通訊協定的資料庫系統，就可能得知IP位址，再加上並未搭配密碼驗證存取方式，使得這個資料庫形同在網際網路「裸奔」，他人可存取裡面儲存的客戶資料。 而稍早農曆春節期間，永豐銀行信用卡傳出24位客戶盜刷事故，6日內進行76筆交易，交易金額約110萬元，經初步調查，原因可能是進行3D驗證程序時，動態密碼同時寄送至客戶手機與電子郵件信箱，而歹徒可能是從電子郵件當中擷取動態密碼，而這些客戶被盜刷的交易均是在國外網路商店購買遊戲點數，而且是分散在三十多家商店，信用卡究竟如何被盜用，仍需要進一步釐清。 以上述兩個例子而言，一個是相對年輕的公司，隸屬於汽車廠商集團，另一個是成立超過30年，且屬於法規高度監管的金融業，他們都在努力提供更為便捷的服務，追求利益的最大化，為此而使用IT技術或安全性強度較高的身分驗證，這沒有錯，然而，我們都知道機會稍縱即逝、要及時把握，卻可能忘了風險態勢本身也是持續轉變的，過去從沒發生過重大問題的系統組態，隨著網路環境、服務型態、系統與資料存取方式的種種變遷，而導致各種危害資安的條件逐漸成立，但負責後續維運的人員可能並沒有重新檢視這些狀況，最終被有心人士發現可乘之機，釀成大禍。 因此，或許我們可以這麼說：防守端如果沒做好風險管理，未及早補救缺失，其實就是在幫攻擊者製造有利可圖的機會。而這樣純屬人為造成的狀況，真的是大家完全無法考量到嗎？不為也，非不能也。若以此看待其他足以影響全球的重大事故，也是類似的，諸如劇烈氣候變遷、區域戰爭，大多都是人類的活動所造成的，要緩解這些災患、避免其惡化，需要大家的重視與投入實際行動，而且，能否改善已關乎全人類的利益，甚至是未來能否繼續生存的重大關鍵。 </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86">風險管理</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9">資料外洩</a></div><div class="field-item odd"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div></div></div>
2023/2/3 14:25作者李宗翰https://www.ithome.com.tw/voice/155359
英國政府將加強加密貨幣產業監管力道保護消費者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 有鑒於近期加密貨幣產業動盪，<a href="https://www.gov.uk/government/news/uk-sets-out-plans-to-regulate-crypto-and-protect-consumers">英國政府欲推行更強健的加密產業監管制度</a>，透過制定明確的監管框架，提供加密產業可遵循的制度，同時進一步保護消費者。英國財政部對外發出了針對加密資產的金融服務監管制度諮詢，希望就強化加密貨幣監管聽取各方意見。 過去一年加密貨幣產業企業破產消息頻傳，歷經穩定幣UST在2022年5月崩盤，因為UST與美元脫鉤，導致投資人失去信心爆發逃脫潮，最終導致多家公司破產，還有加密貨幣交易所FTX在11月宣布破產，更是嚴重衝擊加密貨幣產業，造成更多的公司破產。 為此英國政府希望透過穩健、透明和公平的標準，保護加密貨幣消費者，與傳統金融作法一致，更廣泛地監管加密資產活動。諮詢提案中要求加密貨幣交易所負起更多責任，像是定義和詳細說明加入許可和揭露文件的詳細內容要求。 英國政府所發布的新聞稿，清楚說明將納管重要的加密資產活動，包括交易所活動、保管活動和貸款活動，都將納入金融服務的監管範圍，提案針對每一項活動皆列出設計重點，諸如審慎要求、資料報告、消費者保護、位置政策和營運韌性等。諮詢提案同時也針對一系列加密資產活動，和商業模式等跨領域議題，像是市場濫用、加密資產發行和資訊揭露等議題，提出相對應制度。 擬定的制度中也將強化金融中介機構和監管機構權責，負責消費者資產的交易和安全儲存，建立起能兼顧消費者保護，和公司營運彈性的加密資產借貸制度。有關監管加密貨幣產業的意見諮詢，會在4月30日結束完成，屆時英國政府將考量加密貨幣公司、交易商和相關利益者的意見做出回應。 </div></div></div>
2023/2/3 13:22作者李建興https://www.ithome.com.tw/news/155353
NASA聯手IBM打造大型AI基礎模型，推進地球科學研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://research.ibm.com/blog/ibm-nasa-foundation-models">NASA和IBM合作</a>，要使用未標記的資料集訓練人工智慧基礎模型，並將基礎模型用於各種地球科學任務中，NASA表示，這項專案的合作目標，是要提供研究人員更簡單的方法，從學術論文或是NASA資料集中，分析並了解地球氣候奧秘。 地球氣候變遷對人類和生態系帶來許多影響，像是因為近年許多地區更熱更乾，因而助長了野火，科學家想知道，野火產生的煙霧會對空氣品質產生什麼樣的影響？而乾熱的天氣又會不會影響玉米和小麥的產量。過去要研究這些問題，科學家除了需要閱讀大量的論文，還需要來回檢視大量的衛星圖像來尋求解答。 而NASA和IBM的合作，便是要創建人工智慧基礎模型，藉由分析PB級文本和遙測資料，研究各式的地球科學議題。基礎模型將消化大量原始資料，在沒有明確指示下，找到這些資料的底層架構。IBM研究人員提到，雖然預訓練基礎模型可以使用人工標記的範例，教導模型一項特定任務，但是要將機器學習應用在遙測資料上，最主要的瓶頸就是缺乏訓練範例，因為要產生訓練範例，人類專家需要花費大量的時間標記衛星圖像中的樹木或農作物，以便讓模型知道應該關注哪些特徵。 而這項障礙在Transformer模型或許可以獲得解決，使得遙測資料分析更為可行。NASA擁有70 PB的地球科學資料，而且這些資料還會隨著NASA科學計畫的發展越來越多，所以透過基礎模型，將有望使這些NASA資料集發揮更大的作用。 NASA和IBM預計建立兩個基礎模型，第一個模型接受大量地球科學期刊訓練，使這些文獻能夠按照主題組織，讓科學家更容易搜尋和探索。第二個模型會以HLS資料集訓練，該資料集是由地球軌道衛星所捕捉的土地利用變化，能夠被用於偵測自然災害、植被追蹤，以及野生動物棲息地變化等自然資源管理。 IBM已經建立了地球科學期刊基礎模型，包含來自各個科學組織出版近30萬篇期刊文章，目前正在微調中，待訓練完成後，該模型將會整合至IBM開源多語言問答系統PrimeQA，屆時該系統將能夠回答特定科學問題，並且提供引用論文的連結和相關脈絡資料。 IBM提到，基礎模型已經在自然語言處理上成功，而現在他們正著手將其擴展至其他領域上，分析地理空間、事件序列、時間序列和其他非語言因素，解決目前最急迫的氣候問題。NASA和IBM在基礎模型上的合作，也包括之後使用大氣觀測資料集MERRA-2，建置氣候預測基礎模型。 </div></div></div>
2023/2/3 11:34作者李建興https://www.ithome.com.tw/news/155350
微軟推出內建語言模型GPT-3.5的Teams Premium，訂閱價每月10美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟即時通訊協作平臺Teams，添加一系列包括人工智慧、安全性和自定義會議等進階功能，推出每月10美元的<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/02/01/microsoft-teams-premium-cut-costs-and-add-ai-powered-productivity/">Teams Premium訂閱服務</a>，用戶除了可以用到由OpenAI GPT-3.5語言模型加持的智慧會議功能之外，企業也將可以自定義會議體驗，並且獲得更多的安全控制功能，確保會議的私密性。 Teams Premium的一大亮點，就是整合OpenAI的GPT-3.5語言模型，提供會議要點總結或是翻譯等人工智慧功能。Teams Premium的智慧回顧功能（下圖），將能夠自動生成會議記綠、推薦任務和個人化會議重點，節省用戶查看會議記錄的時間，人工智慧能夠劃分會議紀錄成多個部分，使用戶更簡單地選取想要關注的內容。該功能可在PowerPoint Live會議錄製中使用，智慧回顧會根據會議文字轉錄自動生成會議章節。 <img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-1.jpg" style="width: 580px; height: 326px;" /> 智慧回顧也會針對每個使用者，添加個人化時間軸標記（下圖），當用戶加入或是離開會議時，Teams會在錄音中添加只有用戶自己可以看到的標記，如此用戶便能夠簡單地點選錯過的內容收聽，同時個人化時間軸標記也會標出用戶名字被提及和螢幕共享時刻。微軟提到，個人化標記功能還將會加入說話者標記，在時間軸標記出正在說話的人，確保用戶不會錯過重要內容。 <img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-3.jpg" style="width: 580px; height: 326px;" /> 現在Teams Premium還提供即時字幕翻譯功能，用戶不只可以即時查看說話者的字幕，Teams還能把字幕翻譯成40種口說語言，所有與會者都能夠以自己的語言閱讀字幕。接下來數個月，微軟會持續強化Teams Premium的人工智慧功能，包括在會議後生成會議重點，並且由GPT-3.5自動創建筆記，同時運用人工智慧生成任務和建議工作項目。 Teams Premium使企業IT管理員，可以針對客戶電話會議或腦力激盪會議等不同會議類型，創建自定義會議模板（下圖），減少用戶創建和配置會議的時間，微軟提到，運用模板也可以確保會議符合公司最佳實踐和政策。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Teams-Premium-GA-3.jpg" style="width: 580px; height: 247px;" /> 另外，Teams Premium還提供包括會議浮水印（下圖）和錄影音限制等進階會議保護功能，對於高度敏感的會議，用戶也能夠啟用端到端加密功能，另外，當會議中討論到商業敏感資訊時，Microsoft 365 E5用戶可以啟用Microsoft Purview資訊敏感標籤，根據會議敏感度自動應用適合的會議選項，企業法遵管理員可以從Microsoft Purview配置Teams相關的選項。 <img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-8.jpg" style="width: 580px; height: 246px;" /> 微軟也在Teams Premium中強化網路研討會的功能，使得會議舉辦人可以更方便地控制會議進行，對於需要聯絡客戶的用戶，也能夠利用Teams Premium中的虛擬預約功能，管理端到端的客戶體驗。 </div></div></div>
2023/2/3 11:38作者李建興https://www.ithome.com.tw/news/155351
聯卡中心揭就醫支付洞察，去年刷卡簽帳533萬筆創5年新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 聯合信用卡處理中心（簡稱聯卡中心）日前分析民眾在醫院、診所使用信用卡的<a href="https://www.nccc.com.tw/wps/wcm/connect/zh/home/openinformation/CaseAnalysisIntroduce/CNT_05_998_20221221140335">消費樣態</a>，發現2022年民眾就醫使用信用卡簽帳的筆數，是近5年新高，全年度金額預估可達500億元，醫院信用卡小於500元的小額支付也逐年成長。但他們也比對健保署資料，發現使用信用卡支付的民眾，才占總就醫人次的4%，顯示行動支付於醫療還有很大的成長空間。 進一步來說，疫情爆發前的2019年，民眾在醫院和診所使用信用卡簽帳的筆數和金額，分別是507萬筆、490億元，在疫情嚴峻的2020年與2021年，簽帳筆數分別為近500萬筆和515萬筆，但金額下滑，2021年為432億元。疫情趨緩後，去年（至2022年10月底），民眾就醫的信用卡簽帳金額高達533萬筆，創近5年新高，聯卡中心還預估，全年度還能增長至652萬筆、達500億元。（如下圖） <img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/1/%E5%9C%96%E4%B8%80.png?MOD=AJPERES" /> 在占比上也有新發現，醫院刷卡筆數雖然占8成以上，但消費金額卻逐年下降。有趣的是，聯卡中心觀察到，醫院小額支付筆數逐年提高，小於500元的筆數占比從2018年的32.2%上升至去年的45%。也就是說，民眾在醫院，用信用卡支付掛號費等小額費用的比例增加了。（如下圖） <img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/5/%E5%9C%96%E4%BA%94.png?MOD=AJPERES" /> 從消費族群來看，聯卡中心發現，診所信用卡消費主力是30至49歲的民眾，簽帳筆數和金額就占了所有年齡層的6成。有別於診所，醫院信用卡消費主力年齡層較高，為40歲以上民眾，筆數和金額占了7、8成。特別的是，醫院也有不少60歲以上的民眾，使用信用卡簽帳筆數和金額，占比超過2成，顯示年長者也習慣用信用卡支付。就消費力來看，診所50至59歲、醫院60歲以上的族群，是所有年齡層中，單筆金額最高的。（如下圖） <img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/7/%E5%9C%96%E4%B8%83.png?MOD=AJPERES" /> 不過，聯卡中心也搭配健保署公開資料計算，發現在醫院門診和住院使用信用卡支付的民眾，只占總就醫人次4%，近5年也沒有明顯增長（如下圖）。聯卡中心還進一步在主要平臺進行輿情分析，發現民眾討論重點多半是：支援信用卡和行動支付的醫院太少、行動支付App有時無法支付醫療費用，以及以信用卡支付大額醫療費用有無回饋，這幾點也是醫界和相關機構待克服的挑戰。 <img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/9/%E5%9C%96%E4%B9%9D.png?MOD=AJPERES" /> 總的來說，疫情加速金融支付在醫院和診所的滲透，有成長潛力，但聯卡中心認為，行動支付要在醫院、診所落地深根，還有賴於整合各醫院IT系統、集中式導入。如此，也才能更好地數位化串聯臨櫃掛號、看診、領藥和繳費等流程，甚至有助於遠距看診和電子處方箋的整合應用。 </div></div></div>
2023/2/3 11:52作者王若樸https://www.ithome.com.tw/news/155356
北韓駭客組織Lazarus鎖定研究機構盜取情資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 資安公司WithSecure發現了由北韓情報局相關駭客組織Lazarus，所發起的APT攻擊行動<a href="https://labs.withsecure.com/publications/no-pineapple-dprk-targeting-of-medical-research-and-technology-sector">No Pineapple</a>，該攻擊行動針對公私部門的研究機構，包括醫學與能源研究以及其供應鏈，研究人員認為，駭客攻擊的目標是獲得相關情報。 根據WithSecure釋出的攻擊報告指出，整個攻擊行動從2022年8月開始，一直到2022年11月，而Lazarus駭客是利用Zimbra郵件伺服器的漏洞CVE-2022-27925和CVE-2022-37042，開始整個入侵行動，最終盜走了約100 GB的資料，攻擊者在被中斷之前，並沒有執行任何破壞行動。 由於WithSecure一開始偵測特定的C2 IP位址，因此原本假設此為BianLian勒索軟體攻擊，但是透過分析駭客攻擊的策略、技術和活動，研究人員才將攻擊者與Lazarus連結起來，在收集更多證據後，確認該攻擊為大規模情報收集行動的一部分，而非是單純的勒索軟體攻擊。 研究人員可以將攻擊者關聯到Lazarus，要感謝攻擊者的操作失敗，在研究人員調查第一個被入侵伺服器時，發現其中一個連接來自北韓的IP位址，而這個IP位址在前幾天與後幾天都有出現，研究人員認為這是攻擊者在日常工作開始時的操作故障，會在短暫延遲之後才回到預設的線路，而攻擊者所使用的IP位址為北韓政府所擁有。 另外，透過分析攻擊者的工作模式，研究人員發現攻擊者應該位於UTC+9時區，工作時間為周一到周六，從早上9點到晚上10點，而這是北韓常見的工作模式。研究人員確認了Lazarus的具體攻擊目標，包括醫療保健研究組織，以及能源、國防和醫療保健領域的製造商，還有研究型大學的化工系。 但這次攻擊與過去Lazarus的活動相比，仍有幾項不同之處，像是研究人員就發現，他們所使用的基礎設施，僅仰賴沒有域名的IP位址，還使用新版本的惡意軟體GREASE，該惡意軟體讓攻擊者能夠繞過防火牆，以遠端桌面協定權限創建管理員帳號。 而之所以這次的Lazarus攻擊行動被稱為No Pineapple，是因為駭客所使用的後門程式，當事件資料超過分段位元組大小時，錯誤訊息後面會附加< No Pineapple! >字串。 </div></div></div>
2023/2/3 12:00作者李建興https://www.ithome.com.tw/news/155355
AI如何顛覆股市生態
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-an_chi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行路出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 許多人期望海姆能終結波迪克家族的遺憾。儘管老波迪克忙於世界各地實驗室的工作而長年缺席，從未協助小波迪克做過研究，卻依然以極高的標準要求兒子。要獲得他的青睞，唯一的辦法是擁有傑出的學術成就，而且從小學時就開始。海姆天資聰穎，理解艱深的概念毫不費力，還能提出優秀的原創想法。就各方面看來，他都是當學者的料，年輕的天才。 但是海姆當了逃兵。他十多歲時開始抗拒父親要他繼承衣缽的壓力。他把頭髮染黑，到鞭擊金屬樂團當鼓手，跟粗人混在一起，經常好幾個星期不回家。1988年，海姆十七歲時，他的父親做了預測。家庭聚會時，他公開感嘆兒子缺乏紀律。 他斷言：「海姆絕對不可能獲得諾貝爾獎！」 海姆也不需要提醒父親，他永遠不可能獲得諾貝爾獎。這個預言儘管讓他傷心，卻也撥動了更深處的心弦。為了達成他（而不是他父親）的期望，他必須能預測未來。 我們要怎麼預測未來？ 1980年代末和1990年代初，除了IBM等大型企業和國防工業之外，其他單位都沒有這麼龐大的運算能力。當時的超級電腦效能大概跟現在的iPad相仿。現在是資料寶庫的網際網路當時剛剛萌芽，也沒有谷歌、維基百科和推特。以電腦預測未來簡直就是天方夜譚。 1995年以數學和認知科學（把心智視為資訊處理機制來研究的學科）雙學位畢業後，波迪克在伊利諾州橡樹園的Magnify公司找到工作。這家高科技公司的老闆是大型資料庫探勘先驅羅伯．葛羅斯曼（Robert Grossman）。波迪克很快就在公司裡展現實力。他和葛羅斯曼與幾位研究人員，一起撰寫了一篇關於藉助大型資料庫預測信用卡詐騙事件的研討會論文。這套系統運用機器學習技術（以演算法分析大量資料的人工智慧技術），偵測詐欺交易的固定模式。 有一種警訊是在加油站刷卡一美元加油，接著到銀樓大買一萬美元（這表示竊賊先測試信用卡，再盜刷大筆金額）。 Visa卡公司審視這套系統，發現它可協助他們自己的方法，很快地用它來阻止一萬美元的珠寶交易。本質上，這套系統是在預測盜刷事件，進而加以阻止，一小時內可掃描三十萬筆交易。它就像個電腦水晶球，以數學和半導體預測未來。 波迪克開始在閒暇時研讀新趨勢：以人工智慧方法探討股票市場。當時類神經網路已經成為華爾街的熱門話題，至少從波迪克當時讀的這幾本書看來是如此。企業界據說已經開始研究模糊邏輯和遺傳演算法、機器學習，以及專家系統等人工智慧的各個分支。波迪克對這幾方面都很擅長，因此相信能運用自己的專長來預測股票動向，從中獲利。 1997年夏天，波迪克造訪芝加哥的銀行與避險基金（代表有錢投資人進行大筆交易的民間投資公司）人力仲介伊利亞．塔爾曼（Ilya Talman），說他想用AI預測市場動向。 塔爾曼看著波迪克，好像看到神經病一樣。他說：「如果有個人才二十六歲，以前完全沒有相關經驗，你覺得這個人怎麼樣？誰會雇用你？沒有人，根本沒有人。」 此外他解釋，當時沒有合法公司使用類神經網路或模糊邏輯來預測市場動向。波迪克當時看的書全都充滿誇大的宣傳。塔爾曼說：「你得去找個正常工作，慢慢往上爬。」波迪克嘲笑地說：「我才不會去做一般的狗屎程式設計工作。」幾天之後，他匆匆翻閱《芝加哥論壇報》的人事廣告，在一堆房地產仲介和建築工徵求廣告中看到一則廣告：「徵求資料探勘類神經網路市場預測人員」，沒有公司名稱，只有電話號碼。 波迪克帶著這個廣告去找塔爾曼，說：「你說沒有我能做的工作。看，他們就在《芝加哥論壇報》上登廣告找市場預測人員！」 經過漫長的面談程序，波迪克於1997年9月取得霍爾的工作。 霍爾交易是全世界最複雜精細的金融公司之一，專精股票和股票選擇權。該公司於1985年成立，創辦人是數學家、交易員和廿一點高手布雷爾．霍爾（Blair Hull）。公司裡有許多物理學家和電腦科學家，其中有許多曾在伊利諾州的高能物理研究機構「費米實驗室」工作。波迪克的父親非常熟悉這所位於芝加哥城外的實驗室，它在夸克發現過程中扮演重要角色，艾瑞．波迪克多年以來也曾來去這裡許多次。小波迪克雖然沒有走上獲得諾貝爾獎的道路，但父親仍然很高興他能跟費米實驗室的老同事一起工作。 波迪克進入霍爾之後的第一件工作，是用機器學習技術創造演算法，預測股票選擇權市場動向，而機器學習技術正是他在Magnify使用的AI技術。 當時華爾街剛開始展開急遽的交易方式變革，未來的演算法戰爭也剛發生幾次交火。 那時，大多數公司用來交易的演算法，都是沒有思考能力的機器人程式，就像只會依據程式設計師設計的基本規則行動的單細胞生物。它們會掃描市場，尋找徵兆，就像遠古時代的動物只會吃掉眼前的所有東西。微軟的平均股價在這半小時內上漲了1％？好，買微軟，咔嚓！ 但實際交手證明，對於能像真人交易員一樣學習、預測，並且隨時適應多變市場狀況的AI演算法而言，股票市場太笨拙了，原因大多是人類在系統中不斷干擾。 1997年霍爾雇用波迪克時，美國股市大致分成兩部分，其一是紐約證券交易所（NYSE），交易員透過註冊經紀商和專業經紀人，在著名的交易大廳交易IBM和奇異這類大型藍籌股。另一部分是納斯達克股票市場，大約有五百家造市商在此代表客戶買賣股票，交易目標通常是英特爾、思科和蘋果等著名高科技公司。NYSE交易在華爾街十一號的大行情板廳進行，交易員透過誇張的手勢和高喊委託單來交換資訊。納斯達克的造市商則大多透過電話交易；納斯達克股票委託單有時會以電子方式輸入，但完全不透過人員進行的交易非常少。 人類雖然已經發展出複雜的生態系，但與電腦間互動依然不理想。專業經紀人和造市商的行為無法預測，對買單和賣單的回應可能時時不同。委託單必須精確，死板的電腦系統才能順利運作，但人有可能犯錯，從而擾亂了電腦。 這時必須有所改變。我們需要新的交易池，讓演算法正面對決。我們需要電腦交易池，讓演算法在對它們而言最自然的環境中演化成長，發展出自己的生態系。電腦交易程式在其他電腦裡面運作時（而不是在狂熱的NYSE交易廳或納斯達克造市商的交易台），就像魚在水中一樣無比暢快。在波迪克首選的選擇權市場中狀況更糟。所以波迪克到職三個月就立刻轉換跑道，到公司其他部門發揮，目標大多集中在歐洲選擇權市場，因為這塊市場電子化程度較高。沒多久他就成為霍爾首屈一指的電子交易策略專家。 1999年，高盛以五億美元收購霍爾。這次收購代表高盛內部出現極大的轉變：這家典型的老式上流華爾街公司也開始發展電子交易。這次轉變促成高盛於2000年代崛起，成為全世界最雄心勃勃也最老練的交易大亨之一。 這次收購對波迪克衝擊頗大。一家華爾街大型銀行突然占據他的人生。他一向覺得自己是自有一套想法的局外人，是個碰巧擁有世界級科學家頭腦的獨行俠。霍爾是波迪克這類特異博士和天才少年的溫室，更強化他這種局外人的自我意象。反觀高盛，則象徵體制和欠缺個性的華爾街金權。 他決定主動出擊，從內部發現高盛的面貌。他覺得自己像個滲透到敵方內部密室的間諜。他要看看它是什麼樣子，為自己確定它是好是壞，或者兩者都不是。（本文摘錄整理自《暗池》，行路出版提供） <img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E6%9A%97%E6%B1%A0-500.png" style="width: 500px;" /> 書名 暗池：人工智慧如何顛覆股市生態 史考特‧派特森（Scott Patterson）／著；甘錫安／譯 行路出版 定價：499元 作者簡介 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%9A%97%E6%B1%A0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /> 史考特‧派特森（Scott Patterson） 《華爾街日報》記者，在美國首都報導政府法規相關新聞，尤以報導深入的高科技新聞而聞名，熟諳高頻交易、演算法交易、暗池等主題，另著有The Quants: How a New Breed of Math Whizzes Conquered Wall Street and Nearly Destroyed it。圖片來源_Amazon </div></div></div>
2023/2/3 00:00未署名https://www.ithome.com.tw/article/155279
戴爾如何從傳統走向敏捷
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-da_zao_min_jie_qi_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在關於敏捷的迷思當中，傳得最兇、但也最傷的，當屬所謂「敏捷企業不需要訂計畫」這個說法。 我們知道這樣的困惑從何而來。敏捷軟體開發宣言當中確實提到，敏捷的實務工作者，很重視「因應變遷比照著計畫走更重要」。但這並不是「完全不用訂計畫」的意思，而是「要發展適應性的（adaptive）計畫」。傳統那種官僚式的組織，會訂定鉅細靡遺的計畫，並期待主管們會一五一十照著執行出來，殊不知這只是在為了追求精確，而浪費時間與資源。敏捷實務工作者會比較把計畫看成是可測試的假說，是會隨著時間調整的。懂得調整計畫的人，會先預估計畫的潛在效益與成本，這樣大家才能決定事情的優先順位，與相對應的預算。這些計畫就只是假說而已。他們也會設想一些問題，以判定假說究竟成立與否。接著他們會透過頻繁的評核與實證數據，決定到底是要調整計畫，或是調整用於實現計畫目標的活動。在迭代式的意見回饋循環中，就是由計畫擬定、預算規劃與評核，共同創造出敏捷版本的「規劃─實施─檢討─行動」（PDSA）循環，任何一個敏捷團隊都是如此。 敏捷企業的計畫擬定 2014年，當時在外界眼中還是一家電腦公司的戴爾（Dell），正如火如荼地進行著為期多年的轉型計畫。前一年的12月，執行長麥可．戴爾（Michael Dell）與一家名為銀湖夥伴（Silver Lake Partners）的投資公司，實現了讓戴爾公司的股票下市。少了公布財報的壓力後，戴爾得以把創新的範疇拉得更開，可以接受用短期獲利的更大波動，換取更好的長期效益。但當時戴爾還是採用頗為傳統的以年為單位的計畫週期，這部分得先有實質的改變，新策略才能推得下去。 所以麥可．戴爾決定建置一個用於策略性的計畫擬定、預算規劃與評核的新模式──也就是已經在2016年改名為戴爾科技（Dell Technologies）的該公司，現在所稱的「戴爾管理模式」（Dell Management Model, DMM）。如果要直接截取這個模式的精髓的話，應該會像是這樣：先由麥可．戴爾為公司發展出一個未來想要實現的明確價值，再由公司的領導者們，把此一目標拿來和公司在目前的發展路線下，對於自身價值的推估值相比較，再據以找出公司需要什麼樣的高階行動，才能把二者之間的落差彌補起來。此一流程會產出一份多年份的營收與獲利展望，以及一份任務待辦清單。接著，這些領導者會發展逐年的詳細營運計畫。雖然這流程是每年執行一次，但在這一年之中，該領導者團隊會定期檢視這些任務的優先順位與資源分配是否得宜，以確保戴爾能夠配合多變的顧客需求、競爭者的出招，以及公司自己過去的行動結果所顯示的相關資訊，迅速予以因應。 在這個模式裡，列出來的任務，都是依循生命週期在走的。一開始，它們都是等待處理的議題，或是等待運用的機會，能夠有助於補上價值目標與預估價值現況之間的落差。潛在影響最大，以及在組織內部涉及範圍較廣的議題與機會，就由公司的領導團隊來處理。這些任務會構成一份叫做「戴爾議程」（Dell Agenda）的待辦清單。涉及範圍較窄與影響較少的議題，就由適切的事業單位或部門負責。在每項任務都確認與分類到其中一個群組當中後，就會為每一項任務指派一位負責人，分配初始資源給負責的團隊，並在待辦清單中安排執行順序。每個任務團隊，都是照著一系列的步驟在走：收集事實資訊，發展各種解決方案，選擇其中一項解決方案，提出承諾的成果，取得執行任務的許可，執行任務逐步累積進度，定期報告成果，最後才是不再以任務的形式推動，改為整合到戴爾的日常營運當中，成為其中的一環。公司的領導者們，要和任務團隊接觸交流，以提供指導，或是在任務的生命週期中的一些時點批准一些事，基本上每個月要處理來自戴爾議程中的兩三項任務。這模式的彈性很大，在一年當中，任何時候，只要發現什麼新議題或新機會，領導者就要評估其概略價值，如果夠重要的話，就會把它加到戴爾議程裡，安排任務負責人、配置資源，並且列入已建立的排程當中。 此一模式的一大優點在於聚焦。公司的領導團隊，會經常回頭檢視戴爾議程，並做必要的修改，以確保優先順位最高的議題與機會，一定會在議程之內。也由於這樣的回頭檢視，任何時刻下，議程中仍在進行中的任務，基本上都少於十二項。由於避免了組織多工下導致的效率低落，戴爾每年做到的事，遠比過去採用聚焦性較低的做事方法時，要來得多。戴爾的企業策略副總裁丹尼斯．霍夫曼（Dennis Hoffman）告訴我們：「戴爾管理模式可確保戴爾永遠把資源集中在創造出最大效益的任務上，以實現我們的策略目標與財務目標。在我們開始運用DMM之前，身為一個高階領導團隊，有時候我們會疏於校準，未能保持聚焦於公司最重要的議題上；一些跨組織疆界的議題，也比較難有進展。戴爾議程的建立，已經幫助我們發揮領導團隊應有的功能，聚焦於最重要的事情上，但是又可以在新議題出現時，保留調整的彈性。這樣我們就能通力合作，實現我們的目標了。」 戴爾也在其他方面運用敏捷手法。該公司已經致力於改善顧客服務與成本效益很多年。例如，供應鏈部門的領導者，之前希望改善規劃供需的能力，於是在2018年9月，戴爾的供應鏈長凱文．布朗（Kevin Brown）成立了兩個敏捷團隊，由來自多個部門、全心投入的成員所組成。其中一個團隊，負責和公司的最大客戶一起開發與導入合作性的規劃流程，以提升雙方針對即將到來的訂單與確保準時交貨等事宜積極溝通。該團隊修改了現有流程，建立了一些新工具，還建置了先進的分析模式。但他們並沒有讓這些新程序全部同時生效，而是以每兩週一次的衝刺期，實施一系列的小變動，接著再收集來自顧客們與內部利害關係人的意見回饋，據以細部微調其解決方案。到了2019年6月，這些團隊已提交多項受到顧客稱許、內部銷售單位也接受的解決方案。 正如戴爾的例子所示，敏捷企業有四件事在執行上和傳統公司不同： ●它們會廣泛收集顧客意見。計畫擬定的過程，會大量參考顧客意見，不管是透過直接的顧客研究，或是鼓勵最靠近顧客的團隊提出建議或改善意見。 ●它們會指引該做什麼，但怎麼去做就留給敏捷團隊去想。以戴爾供應鏈的例子來說，部門領導者與敏捷團隊擁有很大的裁量權，可以決定自己要如何貢獻於公司改善成本效益與準時交貨的目標。 ●它們會聚焦於部分任務上並安排執行順序，以避免過於多工。敏捷企業會逐年甚至逐季安排主要任務的執行順序，而不是試圖在所有任務上都同時做出一些成績。正如我們提到的，戴爾對於公司的任務訂有很高的價值門檻，因此同時在進行的，基本上只會有不到十二項任務。 ●它們會頻繁地重新審視計畫，並做必要調整。企業的成功有賴於比對策略的試行結果與預期結果之間的落差，並據以更新策略。所以戴爾才會選擇在一個年度當中，跑完建立策略、精煉策略、評估策略任務的初步成果、重新排定策略任務優先順位，或是撤銷低效益任務這樣的流程。經常回頭檢視與更新計畫，讓敏捷企業得以避免浪費力氣在內容鉅細靡遺、但需要在執行前多次修正的長期計畫上。（本文摘錄自《打造敏捷企業》第5章，經濟新潮社提供） <img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E6%96%B0%E6%BD%AE%E7%A4%BE.png" style="width: 500px;" /> 書名 打造敏捷企業（Doing Agile Right） 戴瑞．里格比（Darrell Rigby）、莎拉．艾柯（Sarah Elk）、史帝夫．貝瑞茲（Steve Berez）／著；江裕真／譯 經濟新潮社出版 定價：520元 作者簡介 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%851_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /> 戴瑞．里格比（Darrell Rigby） 貝恩策略顧問公司（Bain & Company）波士頓辦公室的合夥人，他在那裡帶領全球創新暨敏捷實務部門。他經常擔任講者，談論創新，敏捷與零售等主題，也常撰寫相關文章。他的研究曾發表於《哈佛商業評論》、《華爾街日報》、《彭博商業週刊》，以及英國《金融時報》等刊物。圖片來源_Bain & Company <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%852_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /> 莎拉．艾柯（Sarah Elk） 貝恩策略顧問公司芝加哥辦公室的合夥人，帶領該公司的全球營運模式實務部門。圖片來源_Bain & Company <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%853_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /> 史帝夫．貝瑞茲（Steve Berez） 貝恩策略顧問公司波士頓辦公室的合夥人，也是該公司企業科技實務部門的創辦人。圖片來源_Bain & Company </div></div></div>
2023/2/3 00:00未署名https://www.ithome.com.tw/article/155280
【資安日報】2023年2月2日，竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 利用竊密軟體（Info Stealer）收集目標電腦各式帳密資料，或是洗劫使用者的加密貨幣錢包的情況不時傳出，但這類惡意程式鎖定了新的攻擊目標，駭客將其用來收集遠端桌面連線的組態資料（RDP檔案），而有機會在不需知道帳密資料的情況下存取受害電腦。 在社群網站、開發工具有許多系統提供了藍勾勾的機制，來表明這是通過驗證的名人或是開發者，但這樣的機制也被濫用於OAuth網路釣魚攻擊。資安業者Proofpoint揭露發生在12月初的網釣攻擊行動，但與過往不同的是，駭客發出請求授權的惡意雲端應用程式，其開發者竟有此種標章，而可能讓使用者降低警覺。 資安業者Eclypsium於12月公布了3個AMI MegaRAC的BMC軟體漏洞，但他們最近又再公布2個發現的漏洞，而延遲近2個月才公布的原因，是要讓AMI能有較為充分的時間完成修補。 <h3>【攻擊與威脅】</h3> <a href="https://blog.cyble.com/2023/02/01/vector-stealer-a-gateway-for-rdp-hijacking/">駭客利用竊密軟體Vector Stealer挾持遠端桌面連線的相關組態檔案</a> <a href="https://www.ithome.com.tw/tags/Vector-Stealer">#Vector Stealer</a> <a href="https://www.ithome.com.tw/tags/RDP">#RDP</a> <a href="https://www.ithome.com.tw/tags/Info-Stealer">#Info Stealer</a> <a href="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png" style="width: 300px; float: right;" /></a>資安業者Cyble揭露名為Vector Stealer的竊密程式，攻擊者主要藉由此惡意軟體盜取受害電腦的RDP檔案，進而挾持遠端桌面連線。副檔名為RDP的這種檔案，包含建立遠端桌面連線所需的詳細組態，攻擊者可在不需知道帳密的情況下，根據這當中內容來遠端存取受害電腦，或是進行橫向移動，甚至進行其他攻擊。 研究人員指出，此竊密軟體約自2022年下半出現在駭客論壇，駭客以63美元的價格出售，並要求買家以比特幣付款，買家可透過網頁管理介面的選單打造竊密程式，然後指定該軟體透過SMTP協定，或是Discord、Telegram的API回傳偷到的資料。 <a href="https://www.bleepingcomputer.com/news/security/microsoft-disables-verified-partner-accounts-used-for-oauth-phishing/">駭客濫用微軟認證的藍勾勾帳號，發動OAuth同意網路釣魚攻擊</a> <a href="https://www.ithome.com.tw/tags/OAuth">#OAuth</a> <a href="https://www.ithome.com.tw/tags/Consent-Phishing">#Consent Phishing</a> <a href="https://www.ithome.com.tw/tags/同意網路釣魚">#同意網路釣魚</a> <a href="https://www.ithome.com.tw/tags/藍勾勾">#藍勾勾</a> <a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2023-01-10 at 7_13_17 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-01-10%20at%207_13_17%20PM.png" style="width: 200px; float: right;" /></a>資安業者Proofpoint發現<a href="https://www.proofpoint.com/us/blog/cloud-security/dangerous-consequences-threat-actors-abusing-microsofts-verified-publisher">鎖定英國組織的同意網路釣魚（Consent Phishing）攻擊行動</a>，駭客自2022年12月6日開始，濫用OAuth應用程式授權，引誘使用者授予惡意雲端應用程式權限，而能讓攻擊者有機會存取用戶資料，或是入侵電子郵件信箱、存取行事曆等。 與過往濫用OAuth授權的攻擊行動不同的是，駭客為了取信攻擊目標，他們這次使用的3款惡意應用程式，皆通過微軟的發布者驗證（Verified Publisher）流程，而在授權網頁上出現藍勾勾符號。研究人員於12月20日向微軟通報，並指出攻擊行動持續到27日。 對此，<a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟表示</a>，他們在12月15日察覺有人假冒合法公司申請Microsoft Cloud Partner Program（MCPP）計畫，然後製作惡意OAuth應用程式並用於同意網路釣魚攻擊行動，該公司已封鎖被用於攻擊的應用程式，並通知受影響的使用者。 <a href="https://resecurity.com/blog/article/nevada-ransomware-waiting-for-the-next-dark-web-jackpot">勒索軟體Nevada同時鎖定Windows與VMware虛擬化平臺而來，祭出高額贖金拆帳利誘打手加入</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png" style="width: 300px; float: right;" /></a>資安業者Resecurity發現名為Nevada勒索軟體，駭客自2022年12月在暗網論壇RAMP上宣傳，徵求使用俄文與中文的駭客從事攻擊行動，並提出得手後贖金打手可抽成85%作為報酬。此勒索軟體同時具備Windows與VMware ESXi（Linux）版本，兩者的共通點在於，在攻擊的過程中都採用Salsa20演算法加密檔案。 研究人員指出，Windows版勒索軟體不只能加密指定的檔案，還能找出網路的共用資料夾，或是電腦裡隱藏的磁碟機進行加密，比較特別的是，該勒索軟體不只無法在蘇聯地區執行，亦會在匈牙利、越南、馬來西亞、泰國、土耳其、伊朗等國家停止運作。 至於ESXi版本的部分，則僅針對小於512 KB的檔案才會執行完全加密，且疑似有軟體臭蟲的緣故，該勒索軟體執行加密檔案的過程中，大小介於512 KB至1.25 MB的檔案，會被略過不處理。 <a href="https://blog.aquasec.com/headcrab-attacks-servers-worldwide-with-novel-state-of-art-redis-malware">惡意軟體HeadCrab鎖定Redis而來，利用1,200臺伺服器挖礦</a> <a href="https://www.ithome.com.tw/tags/Redis">#Redis</a> <a href="https://www.ithome.com.tw/tags/挖礦攻擊">#挖礦攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對記憶體資料庫Redis伺服器而來的惡意軟體HeadCrab，此攻擊行動約從2021年9月上旬開始，迄今至少控制1,200臺伺服器，並將其用於挖取門羅幣（Monero）。 研究人員指出，此惡意軟體能繞過傳統的防毒軟體解決方案，或是無代理程式（agentless）的偵測系統，而能夠危害大量Redis伺服器。他們將其上傳至惡意軟體分析系統VirusTotal，結果沒有防毒引擎將其識別為有害。 而對於入侵這些伺服器的手段，駭客看上這種資料庫的開發者設定用戶通常會在內部網路環境建置，預設並未啟用身分驗證的情況，尋找曝露於網際網路的Redis下手，一旦攻擊者找到無須身分驗證就能存取的伺服器，就會下達SLAVEOF的命令，然後植入此惡意軟體。根據研究人員找到的駭客錢包內容來判斷，估計每臺伺服器一年可挖到4,500美元的加密貨幣，相較於一般能挖到200美元高出許多。 <a href="https://www.radware.com/security/ddos-threats-attacks/passion-russian-botnet/">歐美醫療院所面臨DDoS攻擊，原因是有人租賃Passion殭屍網路向這些單位行凶</a> <a href="https://www.ithome.com.tw/tags/Killnet">#Killnet</a> <a href="https://www.ithome.com.tw/tags/DDoS-as-a-Service">#DDoS-as-a-Service</a> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭">#烏克蘭戰爭</a> 資安業者Radware揭露名為Passion的DDoS租賃服務平臺（DDoS-as-a-Service），此為隸屬於俄羅斯駭客組織Killnet與Anonymous Russia旗下的Passion Group架設的殭屍網路，並於1月27日開始被用於攻擊行動，目標是美國、葡萄牙、西班牙、德國、波蘭、芬蘭、挪威、荷蘭，以及英國的醫療機構，這些駭客提供此攻擊服務的目的，就是對於這些向烏克蘭提供軍援的國家進行報復。 值得留意的是，此DDoS攻擊平臺採用了Dstat.cc流量量測服務，而具備網路第4層至第7層的攻擊能力，並聲稱能對抗Cloudflare或是Google Shield等業者的緩解措施。 <a href="https://www.bleepingcomputer.com/news/security/google-fi-data-breach-let-hackers-carry-out-sim-swap-attacks/">Google電信服務傳出資料外洩，導致駭客能進行SIM卡挾持攻擊</a> <a href="https://www.ithome.com.tw/tags/Google-Fi">#Google Fi</a> <a href="https://www.ithome.com.tw/tags/SIM-Swapping">#SIM Swapping</a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊">#供應鏈攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/google-fi-notice.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-fi-notice.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，Google旗下的美國電信網路服務Google Fi向客戶發出通知，有一家他們合作的基礎電信網路服務供應商發生資料外洩事故，有可能導致Google Fi用戶的個資外洩。 這些資料包含了電話號碼、SIM號碼、帳號狀態，以及電信服務的資費方案等，但不含姓名、電子郵件信箱、支付卡資料、社會安全碼等其他敏感資料。至於出事的電信網路服務供應商的身分，該新聞網站指出很有可能是T-Mobile，但Google未證實此項猜測。 此起事故傳出後，已有Google Fi用戶表示遭到SIM卡挾持，導致電子郵件信箱、金融帳號，以及Authy雙因素驗證程式，都被駭客掌控。 <a href="https://therecord.media/telecom-giant-charter-communications-says-third-party-vendor-had-security-breach/">美國電信業者Charter Communications傳出資料外洩，疑似外部供應商遭駭所致</a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊">#供應鏈攻擊</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> 根據資安新聞網站The Record的報導，有人在1月26日在駭客論壇上，宣稱握有55萬美國電信業者Charter Communications用戶的姓名、帳號、地址等資料。 該電信業者證實此事並著手調查，初步的結果顯示，他們的其中一家第三方供應商存在安全漏洞所致，但外洩的資料不包含客戶的財務資料或是專屬網路資訊。 <a href="https://securityaffairs.com/141409/data-breach/blackcat-ransomware-solar-industries-india.html">印度炸藥商Solar Industries India遭駭，勒索軟體BlackCat聲稱竊得2 TB機密</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://www.ithome.com.tw/tags/BlackCat">#BlackCat</a> <a href="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，勒索軟體BlackCat近日將印度炸藥製造商Solar Industries India列為受害組織，並聲稱竊得2 TB的機密資料，內容涉及該公司旗下所有的炸藥、引爆系統細節，包含完整的規格、設計圖、審核資料等。 除了上述的產品文件，駭客亦宣稱握有合作夥伴的資料，以及政府合作的文件、軍備供應鏈的資料、該公司錄下製作產品過程的監視器記錄等。為了證明確有此事，駭客公布了竊得的文件與監視器畫面截圖，並要求該公司於24小時內與他們聯繫。 <a href="https://securityaffairs.com/141640/hacktivism/it-army-of-ukraine-hacked-gazprom.html">烏克蘭IT軍隊聲稱破壞了俄羅斯天然氣公司Gazprom的基礎設施</a> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭">#烏克蘭戰爭</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> 根據資安新聞網站SecurityAffairs的報導，烏克蘭IT軍隊於Telegram頻道上宣稱，近日成功入侵俄羅斯天然氣公司Gazprom的基礎設施並進行破壞，且竊得1.5 GB資料，這些資料包含了逾6千份機密檔案，內容與俄羅斯當地的油井自動化探勘與開採有關。 <h3>【漏洞與修補】</h3> <a href="https://thehackernews.com/2023/02/additional-supply-chain-vulnerabilities.html">研究人員再度揭露AMI MegaRAC的BMC軟體漏洞</a> <a href="https://www.ithome.com.tw/tags/BMC">#BMC</a> <a href="https://www.ithome.com.tw/tags/BMC&C">#BMC&C</a> <a href="https://www.ithome.com.tw/tags/AMI">#AMI</a> 資安業者Eclypsium在12月公布了3個American Megatrends（AMI）基板管理控制器（BMC）解決方案MegaRAC漏洞，至少影響AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員再於1月30日布公布2個當時發現的漏洞CVE-2022-26872、CVE-2022-40258，其CVSS風險層級分別為8.3分與5.3分。 CVE-2022-26872一旦遭到利用，攻擊者可阻止IT人員重設MegaRAC系統的密碼；CVE-2022-40258則與名為Redfish的API有關，原因是採用強度不足的密碼雜湊。 研究人員表示，這兩個新漏洞延後快2個月才公布的原因，就是為了讓AMI能有較為充足的時間修補。Eclypsium將前後發布的5個漏洞，統稱為BMC&C。 <a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-open5gs-gtp-library/">電信網路程式庫Open5GS GTP出現可被用於阻斷服務攻擊的漏洞</a> <a href="https://www.ithome.com.tw/tags/Open5GS">#Open5GS</a> 資安業者Synopsys揭露的電信網路程式庫Open5GS GTP漏洞CVE-2023-23846，CVSS風險層級為7.5分，一旦攻擊者將其用來發動攻擊，就有可能影響4G LTE或5G行動網路的關鍵網路功能，進而導致服務中斷（DoS），甚至有可能因為過度消耗系統資源，而波及伺服器其他服務，影響Open5GS GTP 2.4.12版與2.5.6版。 此漏洞起因與該程式碼在解析GPRS隧道通訊協定GPTv1-U訊息的延伸標頭時，其長度的驗證不當，導致只要有通訊協定的酬載延伸標頭設置為零，就有可能產生無限迴圈的情況，受影響的處理程序隨即就會無法回應。研究人員指出，這些有問題的程式碼被多種功能共用，影響有可能相當廣泛。 <h3>【其他資安新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-goes-green-uses-new-conti-based-encryptor/">勒索軟體LockBit改用Conti的加密模組發動攻擊</a> <a href="https://www.bleepingcomputer.com/news/security/arnold-clark-customer-data-stolen-in-attack-claimed-by-play-ransomware/">歐洲大型汽車經銷商Arnold Clark傳出遭勒索軟體Play攻擊</a> <a href="https://blog.eclecticiq.com/the-godfather-banking-trojan-expands-application-targeting-to-affect-more-europe-based-victims">安卓金融木馬Godfather在更多歐洲國家橫行</a> <a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/">惡意軟體QBot濫用OneNote筆記檔案散布</a> <a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/">安卓木馬Gigabud RAT假冒政府機關發動攻擊</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a> <a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a> <a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a> </div></div></div>
2023/2/2 17:00作者周峻佑https://www.ithome.com.tw/news/155349
甲骨文與紅帽合作在OCI正式支援RHEL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 甲骨文（Oracle）與紅帽（Red Hat）合作，讓<a href="https://blogs.oracle.com/cloud-infrastructure/post/red-hat-enterprise-linux-supported-oci">RHEL（Red Hat Enterprise Linux）也能夠在甲骨文的雲端基礎設施（OCI）上運作</a>，這項合作將讓甲骨文和紅帽服務的共同客戶，能夠運用統一平臺，更好地建立混合雲環境，消除工作負載搬遷障礙。 甲骨文現在成為紅帽認證雲端和服務供應商計畫（CSSP）的一員，用戶能夠在OCI當前的虛擬機器版本中，執行最新版本的RHEL 7、8和9，甲骨文提到，加入CSSP證明了OCI與RHEL具有高相容性。 在OCI虛擬機器中，用戶可以選擇使用1到80個GPU，並且對每個CPU配置1 GB到1024 GB的記憶體，目前使用AMD、英特爾和Arm處理器的最新OCI虛擬機器，都已經支援RHEL。甲骨文也正在認證OCI Compute伺服器和更多虛擬機器機型，供用戶執行RHEL。 雖然原本用戶就可以在OCI上，使用自帶映像檔（BYOI）功能，安裝自己的Linux作業系統，但是透過甲骨文與紅帽的最新合作，將讓用戶能夠更方便地安裝使用RHEL。用戶將會以自帶訂閱（BYOS）方式匯入RHEL映像檔，因此用戶需要先註冊並且訂閱RHEL，OCI則是按標準費率或合約費率對執行RHEL的基礎設施收費。 <a href="https://www.businesswire.com/news/home/20230131005412/en/Red-Hat-and-Oracle-Expand-Collaboration-to-Bring-Red-Hat-Enterprise-Linux-to-Oracle-Cloud-Infrastructure">紅帽提到</a>，在OCI上支援RHEL作業系統，能夠推動用戶數位轉型，並且驅使企業將重要應用程式搬遷上雲。由於RHEL廣受企業採用，用於執行眾多工作負載，而甲骨文在OCI中支援RHEL，便在自家雲端基礎設施提供統一平臺，使用戶能夠標準化雲端操作，建立起從自家資料中心延伸至OCI雲端的橋樑。 也就是說，用戶除了可以在經認證的OCI虛擬機器機型上執行RHEL之外，還能夠有信心地將原本在RHEL上運作的工作負載，移動至執行RHEL的OCI虛擬機器上。紅帽表示，RHEL在紅帽混合雲技術扮演重要角色，藉由這次與甲骨文的合作，用戶將能夠在現有IT投資上，靈活規畫IT布局。 </div></div></div>
2023/2/2 16:42作者李建興https://www.ithome.com.tw/news/155348
OpenAI正式推出付費版ChatGPT，訂閱價格每月20美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> OpenAI針對熱門的對話語言模型ChatGPT，正式推出<a href="https://openai.com/blog/chatgpt-plus/">訂閱服務ChatGPT Plus</a>，該服務訂閱用戶具有優先存取ChatGPT服務的權利，在流量尖峰時段也能穩定取用ChatGPT服務，並且更快獲得回應，同時也能優先使用新功能和更新。 目前ChatGPT Plus僅向美國用戶開放，在接下來數周內，官方會從<a href="https://docs.google.com/forms/d/e/1FAIpQLScee6ST3o-kZDjlw1ROfUNyjuRBwGdcoewxjCULNejbP5hdzQ/viewform">候補名單</a>中邀請申請者加入，並且逐漸擴大至更多地區。OpenAI推出付費訂閱服務後，仍然會繼續免費開放ChatGPT，官方提到，他們恨快就會推出ChatGPT API，並且正考慮提供低成本計畫、商業計畫以及資料套裝等選項。 OpenAI在2022年12月釋出ChatGPT，官方提到，他們以研究的目的推出ChatGPT預覽，這段時間收集許多回饋，了解了ChatGPT系統的優劣勢，並且利用這些用戶回饋改進系統，ChatGPT已經過數次重大更新，能夠被更好地用於編輯內容、程式開發和學習新知識中。 儘管ChatGPT有許多限制，<a href="https://twitter.com/sama/status/1601731295792414720">OpenAI執行長Sam Altman也認為ChatGPT不適合用於查詢事實</a>，但是ChatGPT強大的語言能力，仍可以被應用在許多場景，<a href="https://www.ithome.com.tw/news/155259">微軟更投入數十億美元，擴大和OpenAI的合作</a>，要增加AI模型在應用程式使用規模，在1月的時候，也傳出<a href="https://www.ithome.com.tw/news/155008">微軟將會以ChatGPT強化Bing搜尋功能的消息</a>。 </div></div></div>
2023/2/2 15:40作者李建興https://www.ithome.com.tw/news/155347
AI趨勢周報第207期：德研究院亮相48kHz高解析度音樂合成AI，單一消費級GPU就能跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0127～0202) 本周生成式AI仍占據鎂光燈焦點，德國馬克斯普朗克研究院（Max Planck Institutes）發表文字轉音樂模型Moûsai，可生成數分鐘且48kHz高解析度的音樂，而Google也推出一款音樂生成模型MusicLM，不只能文字轉音樂，輸入一張圖和標題甚至是一段旋律，也能產出音樂。而文字轉圖像的生成式AI遍地開花，如微軟加碼與OpenAI合作、Shutterstock正式推出AI圖像生成工具，但也有不少版權或抄襲問題出現，如Getty Images告Stability AI侵權，坊間也有專門揪出ChatGPT產出的工具GPTZeroX上線。另一方面，AI權威吳恩達聯手專家推出機器學習入門數學課，用互動式視覺化設計讓新手快速理解演算法原理。 Max Planck 文字轉音樂 48kHz 德普朗克研究院亮相48kHz高解析度音樂生成模型，單一消費級GPU就能跑 德國Max Planck研究院最近發布一項研究成果Moûsai，該模型能根據文字輸入，來合成48kHz高解析度的音樂。而且，有別於一般文字轉音樂模型、幾乎只能生成數秒音樂，Moûsai產出的音樂長達數分鐘，也能合成人聲歌曲，只是咬字未必準確。團隊想出一種有效率的合成方法，來即時生成不同風格的音樂，他們的Moûsai由2個擴散模型組成，首先是擴散級度自動編碼器（DMAE），用來壓縮音樂波形，將其縮小為64分之一，並保有近乎相同的品質。再來是潛在文字轉音檔擴散模型，團隊用擴散模型產生一個新的潛在空間，同時也調適從Transformer語言模型得到的文字嵌入。 特別的是，團隊對這2個模型採用相同的1D U-Net架構，只有配置不同。如此一來，Moûsai可在單一個消費級GPU上執行，不耗費大量運算資源。Moûsai由2,500小時的音樂訓練而成，團隊表示，未來將增加訓練音樂時數至5萬至10萬小時，讓模型生成更多樣、更符合文字描述的音樂。同時，他們也提供<a href="https://anonymous0.notion.site/anonymous0/Mo-sai-Text-to-Audio-with-Long-Context-Latent-Diffusion-b43dbc71caf94b5898f9e8de714ab5dc">樣本音樂</a>和開源<a href="https://github.com/archinetai/audio-diffusion-pytorch">程式碼</a>，來加速相關研究。<a href="https://paperswithcode.com/paper/mousai-text-to-music-generation-with-long">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-02%20at%2011_38_01%20AM.png" /> Google 音樂生成 高保真 Google新模型能根據圖文產出高保真音樂 近來生成AI在文字轉圖像領域大放異彩，不過，Google日前開發一款生成式模型MusicLM，用28萬小時的音樂訓練而成，可將文字轉換為音樂，使用者輸入文字提示就能得出數秒至5分鐘的24kHz曲子，甚至輸入一張圖和文字標題，或一段旋律，也能生成音樂。 這不是第一款文字轉音樂AI，先前，OpenAI就發表過Jukebox模型，Google自己也曾推出AudioML，但這次的MusicLM表現更好，能產出的音樂複雜度與保真度也比其他模型高，比如模型能根據「在平靜的小提琴旋律中加入重複的破音吉他段落作為背景」這句描述，產出相應的音樂，還能生成特定樂器的演奏曲，或將不同風格的音樂片段組合成數分鐘的樂曲，甚至也能合成人聲合唱，就像是音樂界的ChatGPT。不過，人聲合唱部分並非完美，偶爾出現胡言亂語。 在架構上，MusicLM用3個模型來抽取音檔表徵，以便後續進行條件式自迴歸音樂生成。首先，團隊利用SoundStream模型的自監督音檔表徵，作為聲學Token，來用於高保真音樂合成。接著，他們用w2v-BERT模型作為中間層，來確保生成音樂的長期一致性，而MuLan模型則用來提取目標音檔表徵。為讓這些模型產生的離散音檔與AudioLM模型整合，來實現文字-音樂生成，團隊提出階層式序列到序列建模任務，每個階段都由一個獨立的Transformer解碼器模型來自迴歸建模。經測試，MusicLM表現比其他基準模型如Mubert、Riffusion要好，團隊也釋出含有5,500組音樂-文字的資料集，來加速未來研究。<a href="https://google-research.github.io/seanet/musiclm/examples/">（詳全文）</a> 吳恩達 數學 機器學習 AI權威吳恩達聯手專家推出ML新手數學課 最近，AI教育專家Luis Serrano和吳恩達、Magdalena Bouza、Elena Sanina等人聯手推出機器學習入門數學課，聚焦AI中重要的數學概念，這門課已在教育學習平臺Coursera上線，使用者可免費註冊。 吳恩達表示，理解線性代數、機率、微積分、統計等概念，有助於學員更好理解演算法如何運作。這一系列的數學課，搭配互動式視覺化設計，能幫助學員理解數學概念，「學數學不是要背公式，而是強化直覺，」他強調。學員修完課程後，能以向量、矩陣來呈現數據，也能將特徵值和特徵向量概念用於機器學習問題，優化不同類型的函數。<a href="https://www.deeplearning.ai/courses/mathematics-for-machine-learning-and-data-science-specialization/">（詳全文）</a> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/rt0uNjjBya4?controls=0" title="YouTube video player" width="560px"></iframe></div> ChatGPT GPTZerXX 語言模型 抓弊神器正式上線，GPTZeroX專揪AI生成文章連ChatGPT都能分辨 就讀普林斯頓大學的2位開發者Edward Tian和Sreejan Kumar近日正式推出GPTZeroX工具，可用來分辨文章是否為ChatGPT這類大型語言模型產出。進一步來說，使用者將文章段落複製貼上或上傳至GPTZeroX應用程式，就能得出分析結果，系統會將可能是AI模型產出的段落，用黃底標註出來。GPTZeroX還支援批量處理，一次可辨識多個上傳檔案，包括PDF、.txt、Word格式都可以。 這套模型以兩人去年推出的GPTZero模型為基礎，利用使用者給予的回饋來重新訓練模型，改善模型對特殊用例的辨識力。Edward Tian表示，新模型採用AWS Lambda無伺服器運算服務，有GPU加速，因此執行速度比以前更快。他們也寫了一個Python API，來供需要大量辨識的企業使用。不過，國外使用者測試反應，GPTZeroX雖能辨識ChatGPT產出的文章，但有時容易出現故障。<a href="https://gptzero.substack.com/p/gptzerox">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-02%20at%2011_45_14%20AM.png" /> 微軟 OpenAI 超級運算 微軟再加碼數十億美元！擴大OpenAI合作要加速AI商業化 微軟日前與OpenAI展開第三階段合作，投入數十億美元，持續擴AI超級運算、模型開發和雲端服務，要加速AI技術商業化。目前，微軟Azure雲平臺有多個超級運算系統，用來執行OpenAI開發的模型訓練和推理工作負載，OpenAI也將繼續用Azure超級運算系統，來開發、訓練所有模型。微軟增加這些系統的投資，來加速OpenAI的獨立研究，Azure也將繼續成為OpenAI在研究、API和產品上的獨家雲端供應商。 微軟將持續在自家產品大量採用OpenAI模型，也會擴大GitHub Copilot和微軟Designer應用程式對OpenAI技術的採用。開發者除了可從OpenAI的API服務取用模型外，也將能繼續從微軟Azure OpenAI服務存取GPT、DALL-E和Codex等模型。<a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/">（詳全文）</a> NIST 風險管理 負責任AI NIST發布AI風險管理框架，企業擁抱新技術可參考 為降低企業、組織擁抱AI的潛在風險，美國國家標準暨技術研究院（NIST）最近發布第一版AI風險管理框架（AI RMF），是一套針對AI系統的設計、開發、部署和使用的指南，來降低應用AI技術的風險。 該框架是美國國會指示NIST設計，NIST指出，AI RMF框架是由NIST與公部門和企業合作制定，可分為兩部分，首先是AI相關風險與可信賴AI系統的特徵，再來是描述4大具體功能，分別為治理、映射、測量管理，協助組織實踐框架。同時，NIST也發布AI RMF Playbook，從中指導企業、組織使用該框架，他們揭露，接下來將與AI社群合作並定期更新框架，還要成立可靠、負責任AI資源中心，協助組織實踐AI RMF 1.0。<a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial">（詳全文）</a> Shutterstock 圖像生成 生成式AI 大型圖庫業者Shutterstock正式推出AI圖像生成工具了 擁有百萬名投稿人的圖庫業者Shutterstock宣布，自家AI圖像生成工具正式上線，使用者可用Shutterstock工具包Creative Flow，來給出文字提示、產生4個圖像。甚至，這個提示可以是一個單字，使用者也能指定生成的圖像類型。業者預告，接下來將新添智慧編輯功能，來產出更多種長寬比、更高解析度，提供動態圖像生成功能。 Shutterstock表示，自家AI圖像生成工具的特色是，用戶不必編寫複雜的提示就能獲得良好的結果，特別是，Shutterstock用風格多元、對來源負責的數百萬個視覺圖像作品，並以AI生成圖像的授權收入，補償相關的已知貢獻者，實現Shutterstock對AI負責的承諾。這是繼Adobe之後，另一家制定AI圖像生成授權規範的業者。<a href="https://www.shutterstock.com/blog/generative-ai">（詳全文）</a> <img alt="" src="https://www.shutterstock.com/blog/wp-content/uploads/sites/5/2023/01/ai_generated_painting_of_computer_with_red_curtain_2253894763.jpg" /> Getty Images Stability AI 侵權 生成式AI難題，Getty Images告Stability AI侵權 2022年以來，生成式AI風生水起，各大科技龍頭和新創紛紛打造文字轉圖像AI，不少藝術業者也自行開發或採用這類工具，但也引起侵權問題。Stable Diffusion是知名深度學習圖像生成模型，由AI繪圖工具業者Stability AI開發，可根據使用者輸入的文字產出圖像。 該模型與DALL-E 2、Midjourney、DreamUp等生成式AI模型一樣，須以大量圖片訓練，這些資料集大都來自網路或公開圖庫，引起圖像創作者或圖庫業者不滿。知名圖庫業者Getty Images日前就控告Stability AI未經同意，就以其網站數百萬張圖片訓練AI模型，還用於營利，對其版權造成侵害。<a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement">（詳全文）</a> 圖片來源／Max Planck Institutes、DeepLearning.AI、GPTZero、Shutterstock AI近期新聞 1. Shutterstock聯手LG AI研究院，要發展文字轉圖像生成式AI 資料來源：iThome整理，2023年2月 </div></div></div>
2023/2/2 11:58作者王若樸https://www.ithome.com.tw/news/155339
OpenAI發布可辨識AI生成文字的分類器，試圖緩解ChatGPT濫用亂象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> OpenAI在發布對話語言模型ChatGPT之後，有鑒於其強大的語言能力可能在各領域遭到濫用，因此OpenAI釋出反制工具<a href="https://openai.com/blog/new-ai-classifier-for-indicating-ai-written-text/">AI生成文字分類器</a>，該工具能夠用於區分由人類編寫或是人工智慧生成的文字，用於輔助解決自動化誤導性活動和學術欺騙等問題。 OpenAI日前推出功能強大的對話語言模型ChatGPT，能以對話的方式解決使用者的各種問題，包括對程式碼進行除錯，與使用者討論天文、數學和文學等各個領域的議題，ChatGPT也足夠聰明被證實可通過大學商學院和法學院課程考試，但不少學生卻利用ChatGPT編寫報告或是論文，造成教學者的困擾。 為了緩解這樣的亂象，OpenAI訓練能夠分類人類編寫的文字，以及來自各供應商人工智慧技術生成的文字，官方提到，雖然不可能完全可靠地檢測出所有人工智慧生成的文字，但能對宣稱由人編寫實則由人工智慧生成的文字，提供一定參考價值的判斷。 這個分類器是一種語言模型，OpenAI使用同一主題的人工文本和人工智慧文本資料集微調InstructGPT，只要使用者輸入最少1,000個字元，約為150到250英文單字，分類器就會判斷該文本是由人類編寫還是人工智慧產生。不過為求謹慎，OpenAI調整信度閾值以保持較低的誤判率，因此即便分類器很有信心，也只會將文字標記為可能由人工智慧生成。 OpenAI所釋出的分類器並不完全可靠，在英文文本的評估中，分類器僅能正確地將26％的人工智慧編寫的文本正確分類，同時將9％由人類編寫的文字，誤判為人工智慧生成，不過，分類器的可靠性，會因輸入的文本長度增加而提高，與過去的分類器相比，這個新的分類器在判斷人工智慧文本上還是可靠許多。 官方提醒，目前分類器還有許多限制，不能當作主要判斷的工具，僅可作為其他判斷方法的補充。該分類器在少於1,000個字元的短文本非常不可靠，甚至更長的文本都會被分類器錯誤標記，分類器甚至有時候會將人類編寫的文字，有自信地錯誤標記為人工智慧生成。 目前分類器僅能用於成人編寫的英文文本，可能會在兒童書寫的文字和非英文文本上出錯，同時，該分類器也無法用於辨識高度可預測的文字，像是無法用於預測前1,000個質數是由人類編寫還是人工智慧生成，因為正確答案都是相同的。 其實只要稍微編輯人工智慧生成的文本，就能夠簡單地迴避分類器，官方提到，雖然他們的分類器能夠更新並且再訓練，但目前不清楚這種方式，以長期來說是否存在優勢，而且也因為以神經網路為基礎的分類器，在對訓練集以外的資料表現很差，因此當使用者所輸入的文字跟訓練資料集的文字有很大的差異，則分類器便會以高度信心做出錯誤判斷。 </div></div></div>
2023/2/2 01:02作者李建興https://www.ithome.com.tw/news/155328
【資安日報】2023年2月1日，中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國駭客組織Dragonbridge散布特定訊息來企圖左右政治局勢的情況，日前已有資安業者揭露相關攻擊行動，但過往大多針對美國而來。近期Google揭露該組織濫用旗下服務來張貼訊息的情況，並特別提及這些駭客在去年裴洛西訪臺期間，不斷發布對臺恫嚇的資訊。 一月底威聯通修補了NAS重大漏洞CVE-2022-27596，事隔數日有資安業者提出警告，全球至少有近3萬臺設備尚未更新韌體而曝險，但值得我們注意的是，臺灣曝險的設備數量全球第3，僅次於義大利和美國。 今年農曆新年期間傳出永豐銀行信用卡遭到盜刷的情況，此事近日得到金管會證實，有34名持卡人受害、被盜刷110萬元。永豐銀行認為，很有可能是他們在刷卡過程寄送的OTP驗證碼郵件遭到攔截所致。 <h3>【攻擊與威脅】</h3> <a href="https://blog.google/threat-analysis-group/over-50000-instances-of-dragonbridge-activity-disrupted-in-2022/">中國駭客組織Dragonbridge一年散布逾5萬則垃圾資訊，內容涉及裴洛西訪臺</a> <a href="https://www.ithome.com.tw/tags/Dragonbridge">#Dragonbridge</a> <a href="https://www.ithome.com.tw/tags/裴洛西訪臺">#裴洛西訪臺</a> <a href="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）揭露對於中國駭客組織Dragonbridge（亦稱Spamouflage Dragon）的分析，他們發現此組織濫用該公司的服務，包含YouTube、Blogger、AdSense，張貼大量垃圾訊息，在過去一年就超過5萬則。Google在2022年封鎖此組織53,177個YouTube頻道，其中有58%沒有人訂閱、42%影片沒有人觀看。 研究人員表示，這些駭客上傳的內容大部分毫無意義，但他們也發現有少部分與中國鄰近國家有關的政治訊息，包括稱讚中國防疫有成、批評美國的種族歧視、通貨膨脹等。 特別的是，這次TAG特別提及7月裴洛西訪臺前後，這些駭客不只詆毀這名美國眾議院議長，更在後來中國軍演期間要蔡英文及政治盟友投降。研究人員表示，有別於前述的垃圾內容粗製濫造，針對臺灣情勢的政治訊息製作精良，具備一致的標題與關鍵字標籤，且在不同的管道散布。 <a href="https://censys.io/cve-2022-27596/">威聯通NAS因近期漏洞而曝險的臺灣設備數量近2千臺</a> <a href="https://www.ithome.com.tw/tags/nas">#NAS</a> <a href="https://www.ithome.com.tw/tags/qnap">#QNAP</a> <a href="https://www.ithome.com.tw/tags/SQL-Injection">#SQL Injection</a> 臺灣NAS廠商威聯通（QNAP）於1月30日發布資安通告，他們修補了SQL注入漏洞CVE-2022-27596（CVSS風險層級為9.8分），呼籲用戶儘速更新韌體，但事隔數日，仍有不少該廠牌NAS可能曝露於相關風險。 根據資安業者Censys的觀察，至少有近3萬臺NAS尚未修補，研究人員總共找到67,415臺設備，當中有30,520臺能識別其執行的作業系統版本，結果只有約550臺已完成修補，換言之，至少有29,968臺NAS曝險。值得留意的是，臺灣存在此漏洞的NAS數量有1,942臺，高居全球第3，僅次於義大利（3,200臺）和美國（3,149臺）。 <a href="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png" style="width: 580px;" /></a> <a href="https://www.sentinelone.com/labs/dragonspark-attacks-evade-detection-with-sparkrat-and-golang-source-code-interpretation/">駭客組織DragonSpark透過Go語言打造的惡意軟體規避偵測</a> <a href="https://www.ithome.com.tw/tags/SparkRAT">#SparkRAT</a> <a href="https://www.ithome.com.tw/tags/DragonSpark">#DragonSpark</a> <a href="https://www.ithome.com.tw/tags/Golang">#Golang</a> <a href="https://www.ithome.com.tw/tags/Yaegi">#Yaegi</a> 資安業者SentinelOne揭露鎖定東亞組織的攻擊行動DragonSpark，很可能是使用中文的駭客所發動，攻擊者利用鮮為人知的開源木馬程式SparkRAT，並搭配另一個同為Go語言開發惡意軟體進行攻擊。 駭客鎖定網際網路上可公開存取的網頁伺服器或MySQL資料庫入侵受害組織，並植入名為中國菜刀的Web Shell，然後進行橫向移動、提升權限，以及部署惡意軟體的活動。比較特別的是，駭客為了回避偵測，他們濫用Go語言的原始碼轉譯器Yaegi來執行惡意程式，企圖阻礙靜態分析系統的偵測結果。值得留意的是，駭客使用了多個遭駭的臺灣、香港、新加坡、中國伺服器，來做為散布惡意軟體的基礎設施。 <a href="https://www.mandiant.com/resources/blog/tracking-evolution-gootloader-operations">惡意軟體Gootloader採用更隱密的混淆手法規避偵測</a> <a href="https://www.ithome.com.tw/tags/Gootloader">#Gootloader</a> <a href="https://www.ithome.com.tw/tags/Golang">#Golang</a> <a href="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期惡意軟體Gootloader（亦稱Gootkit）的攻擊手法，他們在2022年11月發現駭客組織UNC2565開始採取更為刁鑽的手法，一旦使用者依照指示下載釣魚網站上的ZIP壓縮檔，並執行其中的JavaScript指令碼，電腦就會被植入另一個偽裝成事件記錄檔（LOG）的JavaScript指令碼，並透過工作排程執行並收集系統資訊，然後利用PowerShell命令下載惡意程式載入工具Fonelaunch，進而部署Gootloader。 而為了讓Gootloader難以被發現其攻擊意圖，駭客採用了更為複雜的混淆手法，研究人員在該惡意程式的程式碼發現額外的字串變數，做為第二階段解除混淆手法之用。此外，他們也發現駭客木馬化jQuery、Chroma.js、Underscore.js等JavaScript程式庫。研究人員在其中一個Gootloader檔案裡，發現駭客將實際的惡意程式埋藏在一萬行程式碼之後。 <a href="https://www.trendmicro.com/en_us/research/23/a/new-mimic-ransomware-abuses-everything-apis-for-its-encryption-p.html">勒索軟體Mimic在加密檔案的過程濫用搜尋工具Everything元件</a> <a href="https://www.ithome.com.tw/tags/勒索軟體">#勒索軟體</a> <a href="https://www.ithome.com.tw/tags/LOLBin">#LOLBin</a> <a href="https://www.ithome.com.tw/tags/寄生攻擊">#寄生攻擊</a> <a href="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技於2022年6月發現名為Mimic的勒索軟體，主要目標是使用俄文與英語的用戶。駭客疑似利用勒索軟體Conti的產生器為基礎進行開發，但Mimic與其他勒索軟體不同之處，在於駭客進行了寄生攻擊（LOLBin），濫用了搜尋應用程式Everything的API元件來盤點受害電腦的檔案，此外，該勒索軟體也具備停用防毒軟體Microsoft Defender與繞過使用者帳號控制（UAC）的能力。 研究人員指出，駭客利用Everything元件的目的，很可能就是看上此應用程式占用資源極低且執行檔案搜尋效率極佳的特性，藉此縮短加密受害電腦檔案的時間。 <a href="https://securelist.com/prilex-modification-now-targeting-contactless-credit-card-transactions/108569/">信用卡刷卡要小心！有惡意軟體在插卡與NFC刷卡之間動手腳，意圖竊取卡片資料</a> <a href="https://www.ithome.com.tw/tags/POS">#POS</a> <a href="https://www.ithome.com.tw/tags/Prilex">#Prilex</a> <a href="https://www.ithome.com.tw/tags/NFC">#NFC</a> <a href="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png" style="width: 200px; float: right;" /></a>資安業者卡巴斯基揭露近期POS設備惡意軟體Prilex的攻擊行動，他們發現了3個新版Prilex，其特點是阻止消費者透過NFC的方式進行非接觸式刷卡，一旦消費者在感染此惡意軟體的POS機臺使用這種方式付錢，刷卡機就會出現錯誤訊息，指示必須將卡片插入刷卡機才能進行相關作業。 研究人員指出，駭客這麼做的目的，在於NFC交易的過程中，刷卡機會產生專屬的ID資料，而無法被駭客後續用於盜刷。 <a href="https://www.bleepingcomputer.com/news/security/porsche-halts-nft-launch-phishing-sites-fill-the-void/">保時捷暫停發布NFT被盯上，駭客架設釣魚網站行騙</a> <a href="https://www.ithome.com.tw/tags/NFT">#NFT</a> <a href="https://www.ithome.com.tw/tags/Porsche">#Porsche</a> <a href="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png" style="width: 300px; float: right;" /></a>跑車製造商保時捷於1月23日發布他們的首款非同質化代幣（NFT），卻因鑄造速度緩慢等因素引發投資客的不滿，遂於隔日宣布停售並導致已售出的NFT價格大漲，而這也成為駭客用來對NFT投資客下手的誘餌。 根據資安新聞網站Bleeping Computer的報導，有人打造了冒牌保時捷NFT網站，並透過擁有1.1萬用戶追蹤的推特帳號進行宣傳，意圖對想要買到911跑車NFT的投資客進行網釣攻擊，一旦投資人將加密貨幣錢包與釣魚網站連接，錢包裡的資產就有可能被對方耗盡。 <a href="https://www.londonstockexchange.com/news-article/JD./cyber-security-incident-regarding-historic-orders/15815662">運動服飾業者JD Sports被駭，千萬客戶個資外流</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> 英國知名運動服飾品牌JD Sports近日向倫敦證交所通報，資料庫系統被駭，旗下JD、Size?、Millets、Blacks、Scotts及MilletSport等眾多品牌、約千萬名顧客的個資遭到外流。該公司表示，他們遭到不法存取的資料內容，涵括2018年11月到2020年10月網路下單的顧客資料。 <a href="https://www.welivesecurity.com/2023/01/31/eset-apt-activity-report-t3-2022/">俄羅斯駭客竄改微軟的公用程式，製作資料破壞軟體NikoWiper攻擊烏克蘭能源基礎設施</a> <a href="https://www.ithome.com.tw/tags/Wiper">#Wiper</a> <a href="https://www.ithome.com.tw/tags/Sandworm">#Sandworm</a> <a href="https://www.ithome.com.tw/tags/SDelete">#SDelete</a> 資安業者ESET近日發布2022年第3季的APT攻擊情勢報告，當中提及俄羅斯駭客組織Sandworm於去年10月，在該國軍隊發射導彈攻擊的期間，使用名為NikoWiper資料破壞軟體（Wiper）來對烏克蘭能源基礎設施下手。 研究人員指出，此資料破壞軟體是以微軟免費工具包SystemInternals家族成員SDelete為基礎打造而成，而這些駭客也曾在攻擊烏克蘭媒體Ukrinform的過程中，運用此公用程式破壞資料，引起研究人員的注意。 <a href="https://www.cna.com.tw/news/afe/202301310285.aspx">永豐銀行信用卡傳出過年期間遭到盜刷，34名持卡人被刷110萬元</a> <a href="https://www.ithome.com.tw/tags/3D驗證">#3D驗證</a> <a href="https://www.ithome.com.tw/tags/OTP">#OTP</a> 農曆新年期間傳出永豐銀行的信用卡遭到盜刷，這樣的情況如今也得到金管會證實。根據<a href="https://www.cna.com.tw/news/afe/202301310285.aspx">中央社</a>、<a href="https://ec.ltn.com.tw/article/breakingnews/4197347">自由時報</a>、<a href="https://udn.com/news/story/7239/6939938?list_ch2_index">聯合報</a>等多家媒體的報導，金管會銀行局副局長童政彰於1月31日的例行記者會對此事發表看法，他們已向永豐銀行進行了解，有34名永豐銀行用戶的信用卡，在1月23日至29日被盜刷76筆，總金額約新臺幣110萬元，這些交易是在約30家網路商店消費，但不確定是否為同一集團所為。 對此，永豐銀行初步調查發現，該公司已導入3D驗證機制，在刷卡時會同時傳送OTP驗證碼至持卡人手機及電子郵件信箱，疑似寄送的驗證碼郵件遭到不法人士擷取而導致本次事件。 針對此次事件的後續處理，永豐銀行表示，將主動協調以爭議帳款處理，用戶無需繳納遭盜刷的款項，該公司亦在偵測到疑似盜刷的當下進行確認，並協助持卡人停卡或是換卡，同時在聯合信用卡中心系統將盜刷的IP位址列入黑名單。 <h3>【其他資安新聞】</h3> <a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟封鎖被用於OAuth網釣攻擊的合作夥伴帳號</a> <a href="https://securelist.com/darknet-it-headhunting/108526/">駭客在暗網張貼徵才廣告，祭出2萬美元月薪尋求打手</a> <a href="https://www.esentire.com/web-native-pages/unmasking-venom-spider">研究人員找出惡意軟體Golden Chickens背後的駭客</a> <a href="https://www.securityweek.com/cyberattacks-target-websites-of-german-airports-admin/">德國機場網站傳出成為俄羅斯駭客Killnet的攻擊目標</a> <a href="https://www.bleepingcomputer.com/news/security/yandex-denies-hack-blames-source-code-leak-on-former-employee/">俄羅斯科技業者Yandex原始碼流入駭客論壇，疑前員工所為</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a> <a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a> <a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a> </div></div></div>
2023/2/1 16:24作者周峻佑https://www.ithome.com.tw/news/155326
5G趨勢月報第39期：Vodafone在英國小規模測試5G SA網路；NCC有條件通過電信合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3>1/07~1/31精選5G趨勢新聞</h3> Vodafone SA Vodafone在英國開始小規模測試5G SA網路 Vodafone宣布在英國與特定的客戶合作，開始小規模測試5G SA獨立組網，Vodafone強調相較於現行的5G非獨立組網架構在4G的基礎上，5G SA獨立組網可發揮更完整的5G網路優勢，包括更快的傳輸速度、更低的延遲，更好的穩定性及安全性。 目前Vodafone已在英國邀請部分客戶參與這項測試，測試的地區包括倫敦、利物浦、伯明翰、曼徹斯特、布里斯托爾、巴斯、格拉斯哥等地，且受邀參加測試者須使用限定的裝置，包括三星Galaxy S21、S22手機，或是OPPO Find X3/X5 Pro手機。 Vodafone指出，未來5G SA普及，將不只為消費者個人用戶帶來更好的行動網路服務，也將為英國整體社會的數位化發展帶來效益，例如以5G SA能夠支援沒有網路塞車問題的智慧化運輸系統、或是建立數位化的醫療保健系統等等。由於布建5G SA網路需投入高額資金，該公司期望可獲得政府支持。 遠傳電信 台灣大哥大 兩大電信合併案，NCC有條件通過 <img alt="" src="https://s4.itho.me/sites/default/files/images/ncc-2-1.jpg" style="width: 600px; height: 413px;" /> 國內延宕已久的電信合併案，台灣大哥大合併台灣之星、遠傳電信合併亞太電信，從宣布合併至今約1年，NCC近期終於以附帶條件方式通過兩項合併案，因認定業者合併後取得超額頻寬，要求需在2024年6月底之前處理超額頻寬問題。在NCC同意之後，未來尚需通過公平會審議，並向NCC修改網路及營運計畫，向經濟部變更公司登記資訊等程序。 此次通過合併案，NCC要求業者合併後，需保障既有用戶權益，同時發揮合併綜效，包括提升4G、5G服務的人口涵蓋率，其中5G涵蓋率需達到98%，偏遠地區涵蓋率達到95%以上，並且不得以不公平競爭方式限制MVNO業者與行動電信業者合作提供服務。 挪威 專網 挪威開放3.8GHz到4.2GHz專網頻譜執照申請 為促進產業發展，挪威政府開始3.8GHz到4.2GHz間，共400MHz頻寬資源使用執照，以供產業用戶提出申請，依據自身的需要建置5G專網。 去年挪威通訊主管機關NKom已先開放該頻段測試，目前NKom正開放頻段使用執照申請程序，有興趣者可向NKom提出申請，最多使用80MHz頻寬建置5G專網，執照期限為10年。頻率使用的年費，依據使用的頻寬多寡、基地臺功率，年費介於最低20美元到387美元之間。 NKom規定專網建置為地區性，與公共網路相區隔的獨立網路（Standalone Non public network, SA-NPN），禁止共享無線設備及頻率的公共網路與私有網路混合建置架構。此外，挪威政府也禁止漫遊使用3.8GHz到4.2GHz頻段的裝置，並要求企業使用專網，須紀錄所有在專網登入的裝置資訊。 臺中榮總 智慧醫療 臺中榮總以5G專網完成遠距偏鄉義診 臺中榮總近期與中華電信聯手，醫療團隊赴南投信義鄉羅娜部落為當地民眾義診，如遇到較複雜的病症，透過5G專網存取民眾在臺中榮總的病歷資料，包含醫學影像，並將現場超音波影像回傳至醫院，與遠端的醫院會診團隊共同為民眾看診。 臺中榮總與中華電信已合作，在總院、嘉義、埔里分院、彰化榮家建置跨區5G專網，為了達到高速、低延遲的資料傳輸，結合5G專網基地臺，並在總院端建置MEC邊緣運算裝置，利用5G網路將醫學影像等資料匯集於總院的MEC。中華電信指出，目前已完成多次的達文西、心導管、脊椎等手術遠距協作。 法國 6G 法國擬以7.5億歐元投入5G與6G研究 法國政府近期宣布將以7.5億歐元，投資5G Advanced網路、6G等下世代網路研究，將聚焦在連結虛擬化、接取網路的開放介面、邊緣運算、資安、AI及機器學習等方面。 這項投資為法國總統馬克宏提出法國2030年戰略的一部分，法國擬投入300億歐元加速法國在能源、交通、文化、衛生各項發展。法國政府鼓勵相關開發，包括接取網路、核心網路、邊緣雲、5G終端，涵蓋電信設備的硬體、軟體及服務及創新應用。該國期望透過此一戰略，讓法國在未來全球網路科技創新佔有一席之地，同時讓法國取得一定的技術主權。 英國 BT 英國電信BT測試以高空飛行載具改善鄉村地區手機通訊涵蓋 <img alt="" src="https://s4.itho.me/sites/default/files/images/spl.jpg" style="width: 600px; height: 320px;" /> 英國電信（BT）近期與Stratospheric Platforms合作測試HAPS（High-Altitude Platform Station）方案，目的為透過高空飛行載具，利用研發的新天線技術，為鄉村偏遠地區提高4G或5G行動通訊涵蓋。在測試的初期，先在BT的高樓建築頂樓設置新的天線，以模擬高空發射行動訊號，測試與BT的5G網路安全架構互動，及與Open RAN測試平臺連接。 該測試獲得英國政府的補助，英國電信指出，HAPS可在災難發生時，為地面通訊網路提供備用通訊網路，為不同產業或農業提供高空監控，改善營運效率。 用於HAPS的新天線技術，是以相控陣列天線傳輸500個獨立可控波束，在140公里或1,5000平方公里範圍內（相當於450個地面天線桿的覆蓋範圍），提供高達140Mbps的網速。該天線搭配氫動力飛行載具，從高空為大面積區域提供4G或5G訊號涵蓋，降低為偏遠地區建置地面通訊基礎建設的昂貴成本。 日本 KDDI 日本KDDI已在大阪建置5G Open RAN系統 日本電信商KDDI近期宣布與三星、富士通聯手,結合三星的CU與DU,以及富士通的MMU,在大阪市的5G網路中建置符合O-RAN標準的商用化Open vN站點。 在此之前,KDDI在去年2月已成功測試開通5G Open vN站點,並更新O-RAN標準軟體,其中的無線控制器以完全虛擬化的RAN軟體,在通用型伺服器上執行,在無線裝置也採用較高效能率、寬頻的放大技術,體積小、重量較輕、功耗也比較小。此外,KDDI也透過自動管理系統,讓基地臺運作時能夠自行配置資源,適用於不同供應商的伺服器及虛擬化平臺,有助於快速部署基地臺。 KDDI認為採用開放的無線系統,增加設備的採購選項,並可建立高成本效益的基礎建設。未來基於大阪市的營運經驗,KDDI準備在2024年擴大部署,加速Open N系統建置。另外,也將持續投入Open vN研發,並推廣在日本部署全國性的5G SA獨立組網。 圖片來源／NCC、Vodafone、Stratospheric Platforms 更多5G動態 1.工研院與和碩在美國CES展示可攜式5G專網設備 2.日本NTT DOCOMO完成透射超表面試驗，室內無線電波可透過窗戶擴大到建築底部，可望改善5G或6G訊號涵蓋 資料來源：iThome整理，2023年1月 </div></div></div>
2023/2/1 17:42作者蘇文彬https://www.ithome.com.tw/news/155330
美CISA公布網路釣魚演練結果，每10間就有8間企業有員工被網釣成功，教育員工回報網釣與實施抗網釣MFA成新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 網路釣魚威脅已是企業組織常年關注的資安議題，除了每天從不間斷的各種事故發生之外，目前情況究竟有多嚴重？我們該如何防範？ 去年12月8日，美國網路安全暨基礎設施安全局（CISA）公布的<a href="https://www.cisa.gov/phishing-infographic">網路釣魚資訊圖表（Phishing-infographic）</a>提供了一些答案。這當中提到網路釣魚是一種社交工程的手法，普遍冒充值得信賴的同事與組織，企圖引誘受害者上當，而且可利用的管道很多，包含電子郵件、通訊軟體或SMS簡訊，以及電話。特別的是，特別的是，該份報告提供防禦指引，也呈現組織員工面臨網釣模擬攻擊反應。 <h3>網釣攻擊突破防護與成功的機率，可能比你想要更高</h3> 根據這份報告的內容顯示，每10個接受CISA模擬網釣測試的人中，就有1人點擊連結，或是下載附件，而且，每10間企業組織就有8間至少1人淪為模擬網釣測試的受害者。此外，CISA也指出，有70%的惡意程式或惡意連結未被網路邊界防護服務阻擋，有15%的惡意程式未被端點防護產品阻擋，有84%的員工在收到惡意郵件的前10分鐘內，就逕自回覆敏感資訊或是點擊連結與附件，並且只有13%的目標鎖定員工回報自己遭遇網路釣魚事件。 從上述公布的比例來看，雖然CISA並未公布相關細節與防護概況，但企業在執行相關教育訓練時，可以讓員工更瞭解兩件事：邊界防護與端點防護雖然能幫助過濾大部分的威脅，但仍有小部分不被阻擋，尤其是邊界防護竟只阻擋了3成，這或許已經打破了一般的既定印象。 因此使用者本身這道防線，其防護意識也相當重要；再者，員工回報網釣事件的比例相當低，需要多建立這方面的觀念。 <h3>教育員工要有防護意識不被誘騙，也要知道發現事件應該通報</h3> 除了揭露網釣模擬測試統計數據，CISA還特別提供了面對網釣的完整建議與行動，當中歸納為4大面向，並綜合整理出多項安全建議措施。 首先，以阻擋誘餌（Block the Bait）而言，有3項措施，包括：普遍熟知的基本網路邊界安全防護強化，驗證電子郵件合法性採用SPF、DKIM與DMARC，以及將封鎖清單或網路威脅情報等資訊匯入防火牆規則，以阻擋已知惡意網域、URL與IP位址， 第二，以不被誘騙（Don’t take the bait）而言，有兩大重點，一是增進員工對於釣魚郵件的識別能力，另一是要讓員工知道在所有通訊平臺都應保持警惕。值得留意的是，後者的預防措施過往較少針對員工宣導，但攻擊者鎖定企業員工已不只是透過郵件進行攻擊，利用不同管道的網路釣魚越來越多。 第三，以回報網釣事件（Report the hook）而言，這部分特別重要，畢竟前述調查提到收到網釣信的員工只有13%回報。對此，CISA建議採取的行動，包括：教育員工接收到網釣郵件時的處置方式，不論他們是否上當，其中有兩個要點，首先是將該郵件回報給公司的安全團隊，並且不要將惡意郵件轉寄給公司內其他人，另一方面，組織應變人員要能確認事件與防範入侵範圍擴大。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__4%E5%A4%A7%E9%98%B2%E8%AD%B7%E9%9D%A2.jpg" style="width: 600px;" /> （圖片來源：美國網路安全暨基礎設施安全局CISA－Phishing-infographic） 最後，以保護整體範圍（Protect the waters）而言，面向相當廣，包括：遵循最小權限，審查並減少可存取關鍵資料與設備的帳號數量，對密碼共享與重複使用做出限制，防止權限提升、取消用戶不必要的高權限，以及報名免費CISA服務進行網釣演練的評估。同時，還有幾項通用的防護機制，例如，做好安全更新、增加端點與EDR防護，以及實施軟體限制政策。 特別的是，在此當中還提到一項關鍵措施，那就是導入可抗網路釣魚的多因素身分驗證（Phishing-Resistant MFA）。 什麼是抗網釣MFA？<a href="https://www.ithome.com.tw/news/155119#MFA">CISA在2022年10月底發布的導入指引曾介紹這類型的做法</a>，當中對於各種MFA在因應網釣威脅也有清楚說明。這份文件的主要目的，是讓企業組織能了解不同MFA的強弱，並且向更強健的MFA邁進，最佳結果就是導入抗網釣MFA（如FIDO/WebAuthn驗證、基於PKI的方式）。 值得一提的是，在此資訊圖表上，所列出的一些實踐措施大多附上可參考的資源，主要對應到CISA另一份簡稱為CPG（Cross-Sector Cybersecurity　Performance Goals）的資安指引，這份文件可視為比NIST網路安全框架（CSF）更容易上手的指南，主要適用於規模較小與資源較少的組織，並鼓勵這些中小企業組織都能實施最低安全基準。例如，在教育員工收到網釣郵件時的處置上，對應的是CPG 4.3，也就是治理與教育訓練中的基本網路安全訓練，範圍是全體員工與合約商；而組織應變人員收到員工通報網釣郵件的處置，對應的是CPG 7.1、7.2，也就是回應與復原的資安事件應變（IR）的報告與計畫。 整體而言，CISA透過簡易呈現的資訊圖表內容，不僅利於美國國內推廣資安，也能作為其他國家企業組織在防範網路釣魚攻擊的參考，然而，要產生這樣的內容其實並不困難，臺灣本身應該也能建立出如此具系統性的資安宣導內容，期盼有關單位不只是提出創新作法，要打好全民資安意識的基本功，我們還有很大的努力空間。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__CISA%E6%BC%94%E7%B7%B401.jpg" style="width: 600px;" /> （圖片來源：美國CISA－Phishing-infographic） ●每10間企業組織就有8間有至少一人，在CISA模擬網釣測試中成為受害者 ●每10個接受CISA模擬網釣測試的人，就有1人點擊惡意連結或下載惡意附件 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__CISA%E6%BC%94%E7%B7%B402.jpg" style="width: 600px;" /> （圖片來源：美國CISA－Phishing-infographic） ●有70%的惡意程式或惡意連結未被網路邊界防護服務阻擋 ●有15%的惡意程式未被端點防護產品阻擋 ●有84%的員工在收到惡意郵件的前10分鐘內，回覆了敏感資訊或是點擊連結與附件 ●僅有13%的網釣目標員工回報了網路釣魚事件，這限制了企業組織回應事件或提醒他人注意威脅 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892023%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%8A%97%E7%B6%B2%E9%87%A3MFA(1).jpg" style="width: 600px;" /> 美國CISA在2022年10月底曾發布「抗網釣多因素驗證」（<a href="https://www.ithome.com.tw/news/155119#MFA">Phishing-Resistant MFA</a>）導入指引，當中說明了不同MFA的安全強度，鼓勵組織朝向導入抗網釣MFA邁進，也就是採用FIDO/WebAuthn驗證，以及基於PKI的方式，至於還無法導入的中小企業，則建議先採用安全強度較次的三種MFA，包括App推送OTP驗證碼、App推送數字配對通知，以及基於Token的OTP。至於簡訊或語音形式的MFA，則應視為織過渡到實施更強式的MFA的臨時方案。 </div></div></div>
2023/2/1 16:44作者羅正漢https://www.ithome.com.tw/news/155324
微軟已驗證發布者狀態遭濫用，誘使被害者授權惡意雲端應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 資安公司Proofpoint研究人員發現一個新的<a href="https://www.proofpoint.com/us/blog/cloud-security/dangerous-consequences-threat-actors-abusing-microsofts-verified-publisher">同意網路釣魚（Consent Phishing）攻擊行動</a>，惡意攻擊者濫用微軟已驗證發布者（Verified Publisher）狀態，誘使受害者授予惡意雲端應用程式權限，使攻擊者能夠存取用戶資料，並取得電子郵件信箱、日曆和會議邀請委派權限。 在這個新的同意網路釣魚攻擊活動中，由於攻擊者使用微軟已驗證發布者狀態，因此當惡意第三方OAuth應用程式，請求透過使用者帳戶存取資料時，增加了用戶被誘騙同意的可能性，研究人員發現惡意程式所取得的委派權限（Delegated Permissions）影響極廣，能夠瀏覽使用者的電子郵件、調整信箱配置，以及存取和帳戶相關連的檔案和資料。 微軟已驗證發布者是指，一個應用程式發布者經由MCPP驗證身份，並將該MCPP帳戶和應用程式註冊相關聯，所獲得的狀態。當應用程式發布者經過驗證時，在應用程式Azure AD同意提示和網頁中，變會出現藍色的已驗證徽章。<a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟提到</a>，攻擊者透過冒充合法公司註冊MCPP帳戶。攻擊者將詐欺取得的合作夥伴帳戶，添加到他們在Azure AD所創建的OAuth應用程式註冊中，誘使用戶授予惡意應用程式權限。 該網路釣魚攻擊主要影響英國和愛爾蘭的部分用戶，Proofpoint研究人員總共發現了三個不同的惡意程式發布者，以及他們所創建的三個惡意應用程式，這些惡意應用程式鎖定相同的組織，並且與相同的惡意基礎設施關聯，已有多個用戶上鉤授權惡意應用程式。 在獲得受害者同意後，惡意雲端應用程式預設取得委派權限，使攻擊者可以存取和操縱受感染用戶關聯的電子郵件信箱、日曆和會議邀請，而且因為受害者同意的權限中，還包括離線存取，因此在同意權限後不需使用者的互動，便能夠存取受感染帳戶的資料，受害者的組織品牌也可能遭到濫用。 微軟在收到Proofpoint通報後，已經下架惡意應用程式，停用攻擊者擁有的帳戶，並且主動通知受影響用戶，同時也增加MCPP審查流程的安全措施，避免之後發生類似的詐欺活動。Proofpoint研究人員則建議，使用者不應該僅根據經驗證發布者狀態就信任OAuth應用程式，應該仔細評估授予第三方應用程式存取權限的風險。 </div></div></div>
2023/2/1 15:50作者李建興https://www.ithome.com.tw/news/155325
NetApp全球裁員8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 科技大廠裁員風持續，繼Meta、Amazon、Google、微軟之後，<a href="https://investors.netapp.com/node/22121/html" target="_blank">儲存業者NetApp本周通報美國證管會</a>，受大環境景氣不佳及客戶支出縮減影響，該公司將裁減公司人力近8%因應挑戰。 該公司指出，這波裁員是因應宏觀經濟局勢挑戰及客戶縮減投資，而採取最佳化投資的計畫性行動之一環。根據NetApp執行長對員工公開信說明，過去幾個月許多公司都面臨嚴苛的宏觀經濟環境挑戰，NetApp也無法例外。為了確保公司的敏捷性，實現長、短期目標，必須精簡公司規模、調整成本結構，並提高員工績效衡量標準。 裁員行動將從本周展開，主要影響東歐、中東與非洲，以及亞太區，預計在公司第4季，即2023年4月底前完成。在裁員前，NetApp約有1.1萬名員工，估計這波裁減將削減800多個職位。 根據<a href="https://www.netapp.com/pdf.html?item=/media/71071-financial-q4-fy22.pdf" target="_blank">NetApp財報</a>，2022年第4季該公司營收16.8億美元，成長8%，全年營收達63.2億美元，較前一年的57.4億美元成長約10%。 </div></div></div>
2023/2/1 14:36作者林妍溱https://www.ithome.com.tw/news/155322
微軟終止直接銷售Windows 10產品授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟於昨日（1/31）正式停止在官網銷售Windows 10產品金鑰，而是直接導引用戶購買Windows 11授權。 一周前，<a href="https://www.theverge.com/2023/1/23/23567281/microsoft-windows-10-download-license-sales-ending" target="_blank">The Verge</a>、<a href="https://www.cnet.com/tech/services-and-software/todays-the-last-day-to-buy-windows-10-from-microsoft/" target="_blank">CNET</a>等多家媒體的報導貼出<a href="https://pureinfotech.com/windows-10-license-sale-end-january-31-2023/" target="_blank">啟示</a>，說明2023年1月31日是在微軟網站購買Windows 10 Pro、Workstation及Home版本授權的最後一天。但微軟說，Windows 10的支援會持續到2025年10月14日，提供安全更新，以確保PC不受病毒、間諜軟體和其他惡意程式的侵害。 不過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-stops-selling-windows-10-licenses-a-day-early/" target="_blank">Bleeping Computer</a>報導，微軟似乎在1月30日就已經截止銷售Windows 10。目前微軟官網已經直接導向了Windows 11授權購買網頁。這意謂著，個人用戶若想單純安裝正版Windows 10，已經無法直接向微軟購買。 微軟是在2021年6月宣佈Windows 10的技術支援期間。現在微軟官網FAQ頁仍然保留2025年10月14日的技術支援期限。 根據市調機構<a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">Global Stats</a>的數據，截自2023年1月，Windows 10仍以68.8%居最大宗，Windows 11則來到18.1%。 </div></div></div>
2023/2/1 11:57作者林妍溱https://www.ithome.com.tw/news/155320
GitHub 2款App程式碼簽章憑證遭駭客竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://github.blog/2023-01-30-action-needed-for-github-desktop-and-atom-users/" target="_blank">原始碼代管平臺GitHub本周公告平臺上的程式碼儲存庫遭駭</a>，致使2款桌面App的程式碼簽章憑證被複製，GitHub已撤銷外洩的憑證，呼籲用戶升級到安全版本。 根據GitHub的說明，去年12月7日GitHub偵測到數個用於GitHub Desktop和Atom App的規畫和開發程式碼儲存庫，以及GitHub旗下舊單位的儲存庫在前一天遭不明人士存取。他們的調查顯示，這些儲存庫被駭客利用機器帳號相關的個人存取令牌（Personal Access Token，PAT）複製且外流。該平臺一發現就立即撤銷存取這些儲存庫的令牌。 GitHub說外洩的Desktop和Atom App憑證有密碼保護，而且他們在安全公告發布當下（1/30）還沒發現這些憑證有被惡意存取、或已經被解密的證據。除此之外，他們判斷這次存取未對GitHub.com服務造成風險，這些專案也沒有被攻擊者變更。此外，上述儲存庫也不包含客戶資料。 GitHub說明，用於Desktop和Atom App的外洩簽章憑證中，有3項在被駭時是有效的，包括2項Windows平臺的Digicert憑證，以及1項Apple Developer ID憑證，涉及特定Atom App版，以及特定Mac版本的Desktop App。 詳細而言，Digicert憑證各在2023年1月4日及2月1日到期，而Apple Developer ID憑證效期到2027年。但為求安全，GitHub會在2023年2月2日撤銷這些憑證。 由於撤銷簽章憑證後會使得這些App無法使用，<a href="https://docs.github.com/en/desktop/installing-and-configuring-github-desktop/installing-and-authenticating-to-github-desktop/updating-github-desktop" target="_blank">GitHub呼籲特定Mac版Desktop App用戶升級到今年1月4日釋出的最新版本</a>，包括3.0.1-3.0.8、3.1.0-3.1.2。Windows版Desktop App則未受影響。 特定版本，包括1.63.0、1.63.1的Atom App則會在2月2日停止運作，<a href="https://github.com/atom/atom/releases/tag/v1.60.0" target="_blank">用戶必須升級到前一個版本1.60版</a>。 </div></div></div>
2023/2/1 12:10作者林妍溱https://www.ithome.com.tw/news/155321
VS Code C++擴充套件新功能可自動創建定義和宣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟在VS Code C++擴充套件1.13.6版本，添加<a href="https://devblogs.microsoft.com/cppblog/vs-code-c-extension-january-update-create-definitions-and-declarations/">自動創建函式定義和宣告功能</a>，因此開發者現在可以在標頭檔（Header file），替只有定義的函式創建宣告，或是只有宣告的函式創建定義，這些自動產生的定義和宣告，將包含所有函式參數，因此不需要開發者多次複製貼上等繁瑣操作。 開發者只需要點擊類別函式定義或是宣告，並且再次點擊左側的程式碼操作燈泡圖示，在出現的選單選擇創建宣告，或是創建定義，擴充套件就會自動完成接下來的動作。當然開發者也能夠以滑鼠右鍵點擊，從右鍵選單中選擇，或是選擇函式，在命令列面板輸入命令，同樣也可以完成創建定義和宣告。 C++擴充套件所產生的定義和宣告，會根據程式碼中建立的模式創建，當開發者之前在同一個檔案添加了定義和宣告，則擴充套件也會將新的定義和宣告添加到同一個檔案中，並且自動維護函式順序。 當開發者在不同的原始碼檔案（Source file）中編寫宣告和定義，則擴充套件也會遵循開發者先前的作法，在具有相符名稱的標頭檔案和原始碼檔案的情況下，即使標頭檔案未包含在原始碼檔案中，擴充套件還是會自動辨識相對應的檔案，並且在添加定義和宣告之後，自動將標頭檔包含到原始碼檔案中。 如果在創建定義和宣告之前，沒有先前操作可供參考，擴充套件就會創建一個和當前檔案名稱相符的標頭檔和原始碼檔案。該功能也會在命名空間中發揮作用，行為與函式和類別相同，但是在模板稍有不同，在標頭檔案宣告函式模板，則該函式模板的定義會出現在同一個標頭檔案中。 </div></div></div>
2023/2/1 07:09作者李建興https://www.ithome.com.tw/news/155309
AWS發布參考架構和實作簡化企業工作管線部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AWS針對企業<a href="https://aws.amazon.com/tw/blogs/aws/new_deployment_pipelines_reference_architecture_and_-reference_implementations/">部署工作管線，推出新的參照架構和實作（Deployment Pipeline Reference Architecture）</a>，使企業將工作負載部署到雲端的時候，可以更快速簡單。AWS參考自Amazon和數百用戶的專案建置，透過學習這些專案的最佳實踐和經驗，創建出新的部署工作管線參照架構和實作。 工作管線是執行持續整合、交付和部署的重要基礎架構構成，使企業能夠自動建置、測試應用程式或是基礎設施，並將其部署到AWS環境中。工作管線的組成，包括程式碼編寫、建置、測試和部署階段，各階段則是由一系列軟體交付生命周期中的自動化任務所組成，不同的使用案例需要不同類型的部署工作管線。 而AWS這個新的部署工作管線參照架構，描述現代化系統中不同類型的工作管線階段和操作，同時也描述了團隊透過部署工作管線，提高軟體系統速度、穩定性和安全性的方法，目前的範疇僅為應用程式，之後還會涵蓋映像檔、帳戶機隊管理和動態配置等部署工作管線。官方提到，企業運用現代化部署工作管線，將可達到自動化、一致性、小批次、靈活調度、快速回應、始終可部署和測量等目標。 新的參考架構和實作並非僅是典型的Hello World範例，而是詳細記錄在多重環境、多AWS帳戶、多區域、手動批准、自動測試、自動程式碼分析等複雜部署工作管線的創建和實作步驟。該參照架構能夠供用戶學習組合AWS服務協同運作的方法，並且紀錄了基礎架構的限制和可選元件。 AWS除了提供架構文件和圖表，在每一種工作管線類型都至少有一個參照實作，而且其中一個藉由AWS雲端開發工具包（AWS CDK）應用程式，在用戶帳戶中部署參照架構，使得用戶能夠方便並且根據特定需求自定義參照架構。 用戶和第三方供應商在部署工作管線參照架構，可以使用自家的服務和工具創建實作，AWS參照實作包含官方和第三方工具，當沒有AWS服務和工具可用時，參照實作便會列出第三方工具。用戶現在已經可以免費取用部署工作管線參照架構和實作，但是當用戶決定部署參照實作，則AWS將會就其在用戶帳戶上創建的資源收費。 </div></div></div>
2023/2/1 07:13作者李建興https://www.ithome.com.tw/news/155311
Internet Archive運用模擬技術MAME建立多款計算機模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 網際網路多媒體數位圖書館Internet Archive使用MAME模擬技術，在網站中發布<a href="https://blog.archive.org/2023/01/29/a-calculated-move-calculators-now-emulated-at-internet-archive/">14種計算機模擬器</a>，包括Hewlett Packard與德州儀器系列，使用者可以選擇想要使用的計算機類型，並且以滑鼠游標點擊計算機上的數字和功能鍵，計算機的螢幕便會出現相對應的結果，官方提到，計算機上有個能夠呈現計算機外表的可點擊圖形物件，供用戶進行數字和繪圖操作。 Internet Archive的模擬器館藏，不少使用一個稱作MAME的多用途模擬框架，這個框架的用途，是要避免重要的老舊程式因過時而無法運作，MAME最初因為是用來模擬街機遊戲機臺，因此全名為Multiple Arcade Machine Emulator，但因為後來與姐妹專案Multi Emulator Super System合併，MAME現在成為各種計算機、電視遊樂器和街機遊戲機臺的重要模擬器。 Internet Archive無論是Internet Arcade、Console Living Room和Handheld History館藏，都要用到MAME，而之所以Internet Archive現在也能提供計算機模擬器，讓使用者點擊計算機介面，官方提到，計算機模擬器使用MAME中有一個稱為Artwork的功能，解決模擬手持裝置和塑膠玩具的輸出顯示問題。 許多裝置和玩具上都有一組LED燈或是LCD螢幕顯示數字，而這是電路板呈現輸出結果的地方，裝置的其他部分都是金屬或是塑膠材質覆蓋的靜態區塊，官方提到，在計算機上，如果可以讓使用者直接點擊計算機的按鍵，並且得到相對應的結果，比起直接使用鍵盤輸入的體驗要更好。而MAME Artwork系統能夠渲染需要額外繪製裝置螢幕或是燈光的部分，在原始的項目照片上，呈現額外的互動內容。 Internet Archive運用MAME模擬技術建立的計算機模擬器，可以讓有興趣的使用者，體驗多種工程計算機，包括Hewlett Packard HP 48G系列計算機，以及當時售價高達80美元的可程式化圖形計算機HP 38G，也能用到德州儀器1990年所發布的全世界第一款圖形計算機TI81、可程式化形計算機TI-86，還有1996年所開發具有QWERTY鍵盤的TI-92。 </div></div></div>
2023/2/1 07:15作者李建興https://www.ithome.com.tw/news/155315
【資安日報】2023年1月31日，資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 烏克蘭戰爭開打至今，俄羅斯駭客利用資料破壞軟體（Wiper）發動攻擊的情況不時傳出，而最近又有相關事故傳出。有別於過往的資料破壞軟體，新的惡意程式也摧毀Windows系統的重要檔案，甚至能夠破壞整個AD網域。 開源密碼管理軟體KeePass的漏洞CVE-2023-24055也相當引人注意，一旦駭客成功利用，將能取得明文的帳密資料，且已有概念性驗證攻擊程式流傳。不過，開發團隊認為這並非漏洞，後續發展有待觀察。 有研究人員發現臺灣共享汽機車服務iRent的客戶資料庫在網路上曝露長達9個月，但離譜的是，科技媒體TechCrunch詢問和泰汽車始終沒有得到回應，直到聯繫數位發展部，才得到TWCERT/CC已介入處理的說法。 <h3>【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/hackers-use-new-swiftslicer-wiper-to-destroy-windows-domains/">資料破壞軟體SwiftSlicer被用於破壞AD網域</a> <a href="https://www.ithome.com.tw/tags/wiper">#Wiper</a> <a href="https://www.ithome.com.tw/tags/SwiftSlicer">#SwiftSlicer</a> <a href="https://www.ithome.com.tw/tags/Sandworm">#Sandworm</a> <a href="https://s4.itho.me/sites/default/files/images/FnezTA7XwAAQpUu.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FnezTA7XwAAQpUu.png" style="width: 300px; float: right;" /></a>資安業者ESET於1月25日的攻擊行動裡，發現俄羅斯駭客Sandworm利用名為SwiftSlicer的新資料破壞軟體（Wiper），鎖定烏克蘭組織下手。 駭客利用AD群組原則來啟動此惡意軟體，其目的是刪除目標電腦的磁碟區陰影複製的備份資料，並覆寫Windows系統的重要檔案，特別是驅動程式與AD資料庫，進而關閉整個網域。該資料破壞軟體會使用隨機資料產生4,096位元的檔案來覆寫磁碟內容，並在完成破壞工作後重開機。 <a href="https://cert.gov.ua/article/3718487">烏克蘭新聞媒體Ukrinform遭到5種資料破壞軟體攻擊</a> <a href="https://www.ithome.com.tw/tags/wiper">#Wiper</a> <a href="https://www.ithome.com.tw/tags/Ukrinform">#Ukrinform</a> <a href="https://www.ithome.com.tw/tags/Sandworm">#Sandworm</a> 日前烏克蘭新聞媒體Ukrinform傳出遭到網路攻擊，現在烏克蘭電腦緊急應變小組（CERT-UA）揭露相關調查結果。研究人員總共在這個受害組織的網路環境裡，發現5種用來破壞資料的資料破壞軟體（Wiper），包含針對Windows電腦的CaddyWiper、ZeroWipe、SDelete，以及針對Linux電腦與FreeBSD電腦的AwfulShred、BidSwipe。 研究人員指出，駭客先是在12月7日入侵，然後等待一個多月才發動攻擊──先是利用群組原則物件（GPO）啟動CaddyWiper，再搭配其他資料破壞軟體進行攻擊。研究人員指出，駭客僅摧毀數個資料儲存系統的檔案，而並未影響Ukrinform的運作。至於攻擊者的身分，CERT-UA認為是俄羅斯駭客Sandworm。 <a href="https://github.blog/2023-01-30-action-needed-for-github-desktop-and-atom-users/">GitHub註銷遭竊的程式碼簽章</a> <a href="https://www.ithome.com.tw/tags/GitHub">#GitHub</a> 程式碼儲存庫業者GitHub於1月30日指出，自12月6日，有人濫用遭竊的個人存取令牌（Personal Access Token，PAT），利用疑似透過機器操作的帳號，複製GitHub的Atom、Desktop儲存庫，以及其他棄用的儲存庫，該公司於隔日察覺此事，隨即註銷相關簽章，並著手調查。 GitHub表示，他們將於2月2日註銷3個簽章，而有可能導致部分桌面應用程式與Atom版軟體用戶受到影響。對此，他們呼籲用戶應於2月2日前，換用其他未受影響的版本。而針對此起事故，GitHub表示其他產品並未受到影響，相關的程式碼儲存庫也沒有出現竄改的情況。 <a href="https://www.bleepingcomputer.com/news/security/us-no-fly-list-shared-on-a-hacking-forum-government-investigating/">美國禁飛名單流入駭客論壇，當局著手調查</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> <a href="https://s4.itho.me/sites/default/files/images/no-fly-list-hacking-forum.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/no-fly-list-hacking-forum.jpg" style="width: 300px; float: right;" /></a>根據資安新聞Bleeping Computer的報導，有人在駭客論壇上傳一份名單，聲稱是美國運輸安全管理局（TSA）的禁飛名單，內有156萬筆記錄、包含逾25萬名人士的資料。這名人士表示資料來自配置不當的AWS伺服器，該伺服器為美國俄亥俄州航空公司CommuteAir所有。 瑞士駭客Maia Arson Crimew於1月19日，向新聞媒體Daily Dot透露此資料庫，除了禁飛人士的資料，亦包含近千名CommuteAir員工個資。對此，CommuteAir證實確有此事，並指出該資料為2019年版的禁飛名單；TSA已著手調查此事，並於1月27日向當地機場及航空公司發布安全指令。知情人士透露，TSA的資訊系統並未受到這次資安事故波及。 <a href="https://www.ithome.com.tw/news/155283">Zendesk用戶個資外洩，起因是員工遭駭</a> <a href="https://www.ithome.com.tw/tags/資料外洩">#資料外洩</a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊">#供應鏈攻擊</a> 雲端客服軟體業者Zendesk兩週前通知客戶，數名員工遭到釣魚簡訊攻擊而被竊取資料，後續導致客戶個資外洩。此事在加密貨幣交易平臺Coinigy獲報後，於1月19日公開此事而曝光。 此起事故發生的原因，在於Zendesk員工2022年10月25日遭到網釣簡訊攻擊，「少數」員工的帳號存取憑證遭駭，導致其事件記錄平臺自2022年9月25日到10月26日的非結構化資料遭未授權存取。該公司強調，沒有證據顯示客戶的Zendesk執行個體遭到異常存取。 <a href="https://techcrunch.com/2023/01/30/hotai-motor-exposed-irent-customer-data">和泰旗下共享汽機車服務iRent傳出資料外洩事故，曝險達9個月</a> <a href="https://www.ithome.com.tw/tags/iRent">#iRent</a> <a href="https://www.ithome.com.tw/tags/資料庫配置不當">#資料庫配置不當</a> <a href="https://www.ithome.com.tw/tags/數位發展部">#數位發展部</a> 根據科技媒體TechCrunch的報導，臺灣共享汽機車服務iRent的客戶資料庫，沒有受到加密保護，造成資料曝露在網路上長達9個月。他們引述資安研究人員Anurag Sen的發現，指出當中包含了至少10萬名iRent用戶的姓名、手機號碼、電子郵件、住址、照片，以及部分信用卡資訊，不確定這段期間是否有人存取該資料庫。 為此TechCrunch曾詢問iRent所屬的和泰汽車，但未能獲得回應，直到1月28日聯繫到數位發展部，得知最新進展。 數位發展部部長唐鳳在回信中表示，TWCERT/CC已針對暴露的資料庫著手因應，在獲報1小時內，該資料庫已無法從外部存取。經過一段時間之後，和泰向TechCrunch表示，已阻擋外部連線存取系統所在的IP位址，他們也將通知受影響的用戶。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/keepass-disputes-vulnerability-allowing-stealthy-password-theft/">密碼管理器KeePass出現漏洞，攻擊者能以明文匯出用戶帳密資料</a> <a href="https://www.ithome.com.tw/tags/keepass">#KeePass</a> <a href="https://www.ithome.com.tw/tags/CVE-2023-24055">#CVE-2023-24055</a> 開源密碼管理軟體KeePass近日被發現漏洞CVE-2023-24055，在攻擊者取得目標系統寫入權限的情況下，有機會竄改KeePass的XML組態配置檔案並注入惡意程式碼，進而匯出整個資料庫，而且能得到明文的使用者名稱與密碼。這個匯出的時機點，在於使用者執行KeePass並輸入主控密碼之後，上述的惡意程式碼就會觸發，並將資料庫的內容存放到指定檔案，攻擊者就能以此存取使用者的各種帳號。 由於上述的資料庫匯出過程在背景執行，前述的攻擊過程使用者難以察覺。自該漏洞取得CVE編號後，網路上已出現概念性驗證（PoC）攻擊程式。對此，KeePass開發團隊認為這不是漏洞，因為，攻擊者一旦取得寫入權限，就有可能透過其他方式來取得KeePass資料庫的內容。 <a href="https://www.cisa.gov/uscert/ncas/current-activity/2023/01/27/isc-releases-security-advisories-multiple-versions-bind-9">DNS系統BIND 9存在漏洞，恐導致阻斷服務攻擊</a> <a href="https://www.ithome.com.tw/tags/dns">#DNS</a> <a href="https://www.ithome.com.tw/tags/bind">#BIND</a> 網際網路系統協會（ISC）近日發布DNS伺服器軟體Berkeley Internet Name Domain（BIND）更新版本9.16.37、9.18.11、9.19.9、9.16.37-S1，總共修補了4個漏洞CVE-2022-3094、CVE-2022-3488、CVE-2022-3736、CVE-2022-3924，這些漏洞CVSS風險層級皆為7.5分，都存在於named的服務，一旦遭到利用，DNS伺服器就有可能面臨服務阻斷的情況（DoS）。 美國網路安全暨基礎設施安全局（CISA）提出警告，這些漏洞可讓攻擊者遠端利用，進而發動DoS攻擊，或是導致DNS伺服器故障。 <a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-critical-bug-letting-hackers-inject-malicious-code/">威聯通修補NAS作業系統SQL注入漏洞</a> <a href="https://www.ithome.com.tw/tags/nas">#NAS</a> <a href="https://www.ithome.com.tw/tags/qnap">#QNAP</a> <a href="https://www.ithome.com.tw/tags/SQL-Injection">#SQL Injection</a> 臺灣NAS廠商威聯通（QNAP）<a href="https://www.qnap.com/en/security-advisory/qsa-23-01">於1月30日發布資安通告</a>，近日他們修補了重大漏洞CVE-2022-27596，此漏洞存在於執行QTS 5.0.1或QuTS hero h5.0.1的NAS設備，一旦遭到利用，攻擊者可遠端注入惡意程式碼，CVSS風險層級達到9.8分，該公司發布QTS 5.0.1.2234 build 20221201、QuTS hero h5.0.1.2248 build 20221215修補。雖然威聯通沒有公布更多細節，但<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-27596">美國國家漏洞資料庫（NVD）指出</a>，此為SQL注入漏洞。 <a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c">研究人員揭露能繞過臉書雙因素驗證的漏洞</a> <a href="https://www.ithome.com.tw/tags/Facebook">#Facebook</a> <a href="https://www.ithome.com.tw/tags/Instagram">#Instagram</a> <a href="https://www.ithome.com.tw/tags/MFA">#MFA</a> 研究人員Gtm Mänôz指出，Meta的雙因素驗證（2FA）系統存在漏洞，一旦攻擊者加以利用，就有可能關閉目標用戶臉書或Instagram（IG）帳號的雙因素驗證功能，而且再也無法啟用。 研究人員表示，這項漏洞起因在使用者輸入驗證碼的過程中，Meta並未採取速限（rate-limit）防護機制，攻擊者可透過暴力破解的方式輸入正確的6位數驗證碼，一旦成功完成比對，使用者的電子郵件信箱或是電話號碼就會與攻擊者的臉書或IG帳號連結，從而導致受害者的臉書或IG雙因素驗證機制隨之關閉。研究人員9月通報後，Meta於10月修補上述漏洞，並頒發2.7萬美元獎金。 <a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-buffer-overflow-vulnerabilities-of-cpe-fiber-onts-and-wifi-extenders">Zyxel修補5G路由器、光纖網路終端設備的重大漏洞</a> <a href="https://www.ithome.com.tw/tags/CVE-2022-43389">#CVE-2022-43389</a> <a href="https://www.ithome.com.tw/tags/zyxel">#Zyxel</a> <a href="https://www.ithome.com.tw/tags/5g">#5G</a> <a href="https://www.ithome.com.tw/tags/fiber-ont">#Fiber ONT</a> 兆勤科技（Zyxel）於1月11日發布資安通告，他們修補旗下產品的5項漏洞，其中3個為記憶體緩衝區溢位漏洞，另外兩個分別為指令注入、身分驗證不當漏洞。這些漏洞最為嚴重的是CVE-2022-43389，影響5G、4G路由器，以及光纖網路終端設備（Fiber ONT）。 該漏洞存在於這些設備的網頁伺服器程式庫，一旦攻擊者利用這項漏洞，就可以在未經授權的情況下進行惡意HTTP呼叫，進而執行作業系統指令，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8分。該公司已發布新版韌體予以修補，並呼籲用戶儘速升級。 <h3>【資安防禦措施】</h3> <h3><a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial">NIST正式發布AI風險管理框架</a> <a href="https://www.ithome.com.tw/tags/nist">#NIST</a> <a href="https://www.ithome.com.tw/tags/ai">#AI</a> <a href="https://www.ithome.com.tw/tags/ai-rmf">#AI RMF</a></h3> 美國國家標準暨技術研究院（NIST）近日發布人工智慧風險管理框架（Artificial Intelligence Risk Management Framework，AI RMF），目的是要提供設計、開發、部署和使用人工智慧系統的指南，降低應用人工智慧技術的風險。這套框架是NIST與公部門及企業合作，耗時18個月制訂而成，並由兩個部分組成──首先探討人工智慧的相關風險，以及信賴人工智慧系統（trustworthy AI systems）的特徵，其次則是治理、映射、測量管理，以及協助組織實踐框架。 <h3>【其他資安新聞】</h3> <a href="https://www.ithome.com.tw/news/155285">微軟警告駭客仍在頻繁攻擊Exchange，用戶應儘速套用修補程式</a> <a href="https://www.securityweek.com/apple-patches-webkit-code-execution-flaws/">蘋果發布iOS/iPadOS 16.3、macOS Ventura 13.2，修補WebKit可被用於執行任意程式碼的漏洞</a> <a href="https://patchstack.com/articles/multiple-critical-vulnerabilities-fixed-in-learnpress-plugin-version/">WordPress線上課程外掛程式LearnPress存在重大漏洞，7.5萬個網站曝險</a> <a href="https://www.ithome.com.tw/news/155272">北韓駭客TA444利用行銷策略進行網釣攻擊，5年竊得逾10億加密貨幣</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a> <a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a> <a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a> </div></div></div>
2023/1/31 18:09作者周峻佑https://www.ithome.com.tw/news/155314
BSI：強化組織韌性的兩大關鍵，打造數位信任以及永續的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 隨著資安邊界持續改變，所有的組織都必須轉型成為一個具備「韌性」的組織， 在經歷疫情的衝擊，BSI東北亞區總經理蒲樹盛指出，2021年的詐騙簡訊超過56億筆，平均每個人三天之內就會接到兩通簡訊；而2022年則發現，全國詐騙案件數量大幅攀升，若以排名前三名的全國詐騙案件來看，排名前三名的詐騙分別是假網拍詐5,626件，投資詐騙4,891件，以及各類解除分期詐騙的ATM與網銀騙匯4,281件，最特別的是投資詐騙，造成全臺民眾財損高達20億6,484萬元，財損金額更是歷史新高。 詐騙橫行也意味著「信任」成為稀有財，蒲樹盛表示，數位信任是臺灣社會面對的最大挑戰，而數位信任若能結合ESG，就可以打造組織的韌性，「這不只是企業轉型面臨的壓力，也可以是巨大的商機。」他說。 <h2>打造具備數位信任的環境</h2> 若以世界經濟論壇（WEF）總結的全球風險報告來看，未來最可能發生的風險除了極端天氣、氣候行動失敗、人為導致的環境破壞、生物多樣性消失外，還包括數位力量集中、數位不平等、網路安全失效以及科技治理失敗；未來影響最大的風險則包括：傳染病位居首位、氣候行動失敗、其他環境風險、大規模殺傷性武器、生計危機、債務危機以及IT基礎架構崩潰。 蒲樹盛認為，不管是DDoS（分散式阻斷式攻擊）或是APT攻擊等網路威脅，最終都會牽涉到IT基礎架構的穩定性，倘若面臨關鍵基礎設施服務中斷的風險，甚至可能是戰爭爆發的緣起，例如俄羅斯在冬天入侵烏克蘭的天然氣系統。這時候，大者恆大的數位強權往往具備相對的優勢。 政府為了提高組織的韌性，也著手形塑臺灣企業環境的數位信任，蒲樹盛援引金管會推動的《金融資安行動方案》為例，其中包含四大工作項目以及十三個工作小項目，顯見政府已經積極藉由推動產業資安，進一步達到形塑企業的數位信任。 首先，在完備資安制度的項目上，最重要的措施包括：形塑金融機構重視資安的組織文化；完備資安規範；強化資安監理職能；以及加强金融資安檢查。蒲樹盛認為，這可以參考ISO 27001等相關的國際標準，作為產業推動資安以及打造數位信任的基礎。 其次，深化資安治理的工作項目上，主要是希望做到加强資安管理、強化資安監控，以及加强資安人才培育，這是提升企業領導力；第三，在精實資安韌性的工作項目上，做重要的是要增進營運持續管理量能、加强資安攻防演練、建構資料保全避風港，主要是可以參考美國安全港協議，並做到3份備份、存放在2種不同儲存媒體，至少1個存放在異地，才可以達到零失誤的備份原則。蒲樹盛說，這最主要的參考標準就是營運持訓管理的ISO 22301，這也是美國911事件後，許多企業參考的自願性規範。 最後，就是希望可以發揮資安聯防F-ISAC的優勢，不僅做到資安情資分享與合作，也可以建立金融資安事件應變體系，以及建立金融資安事件監控體，他認為，這是整各產業和企業的團隊合作（Team work）成果。 蒲樹盛笑說，許多企業都會導入ISO 27001資安認證，甚至可以說，臺灣有許多企業的資安作為就是以ISO 27001為核心，這樣的制度廣度夠，但深度不夠，加上各行業的屬性與強度不一樣，透過所展開的十個面向就是一個兼具廣度和深度的資安生態系，其中也包含各種不同可供參考的國際認證，可以大範圍的滿足各個產業的資安需求。 例如，治理、風險與法遵（Governance、Risk and Compliance）就可以參考ISO 27003、27004、27005、27014、27016以及ISO 31000；在網路安全與資訊安全（Cybersecurity and Information security）面向，也可以參考ISO 27003、27032、27103以及BS 31111等標準。 其他可以構成資安生態圈的八個面向，也包括：資料保護（Data Protection）、第三方風險管理（Third Party Risk Management）、雲端（Cloud）、網路安全（Network Security）、應用程式安全（Application Security）、弱點管理（Vulnerability Management）、事件管理（Incident Management）和營運持續（Business Continuity），也同樣有相關的國際標準可以參考。 <h2>達成淨零碳排目標，打造永續的環境</h2> 除了數位信任外，現在隨著氣候變遷以及各種新興的法遵與規範，都要求企業必須在2030年做到淨零排碳的目標，就是希望讓地球環境可以永續發展。 蒲樹盛表示，臺灣在永續發展上目前較不足之處大概有四個方向，包括：人均碳排10.96公噸太高；2030年減碳目標達成率差；再生能源使用比例低；再生能源達成目標低，其中，已經有企業利用資訊系統記錄各種用電、排碳的數位化過程，都有利企業進一步掌握距離淨零排碳的目標有多遠。 蒲樹盛表示，對所有的企業而言，都必須要有一個永續發展的藍圖，以淨零碳排以及永續發展為目標，透過PDCA的循環，持續穩定的達成永續的目標。 而永續的驅動力分成兩方面，一方面是外部壓力，這也同時是風險和機會，另外就是來自企業內部的關鍵策略，只有企業重視永續並且作為企業的核心，企業才能真正做到以永續為目標。 至於這個永續發展藍圖是不同功能標準的整合，外部壓力包括：社會責任投資（SRI）、全球經濟市場趨勢的轉變、無法預期的氣候變遷和疫情、來自全球及國家的法令法規要求、非政府組織（NGOs）影響力，以及聯合國永續發展的推行。蒲樹盛便說，像是聯合國17項發展目標就是希望可以達到安居樂業，其他像是2030年控制全球升溫攝氏1.5度的目標等外部壓力，都是不會變的。 至於來自企業內部的關鍵策略，則包括：強化董事會職能、企業核心價值、達成永續願景、持續創新永續作為、提高資訊透明度、強化利害關係人溝通、接軌國際規範，以及深化永續治理文化。他指出，像是公司強化董事會職能，就會需要撰寫符合GRI準則、可以揭露組織非財務資訊方面的永續報告書。 蒲樹盛坦言，組織韌性在未來十年、二十年如何持續？就必須做到兩件事情，一件是永續，另外一件是數位信任，兩件事情都可以顧好的話，組織就有足夠的數位韌性和未來。 </div></div></div>
2023/1/31 19:16作者黃彥棻https://www.ithome.com.tw/news/155316
電支跨機構共用平臺「購物」功能第二季上線，業者共享通路掃碼免換App還能共享交易資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 金管會在年前新春記者會中宣布，電子支付跨機構共用平臺的「購物」功能，將於今年第二季上線，到時候，民眾不用再切換電子支付App，用任何一家電支App，也能掃描其他電支業者的QR-Code來付款，等於讓各電支業者的特約店家全部互通，都能支援其他業者的App，經手電支業者雙方也能取得交易紀錄來擴大顧客消費大數據。 在2021年中，新版電子支付機構管理條例上路之後，財金公司<a href="https://www.ithome.com.tw/news/146789">負責建置了一套電子支付跨機構共用平臺</a>（後簡稱電支共用平臺），來提供電支機構前端交易資訊流和後端清算的金流整合，在2021年陸續上線了跨機構轉帳、繳稅功能，也可以跨行金融帳戶資訊核驗交易等服務，今年初開始上線繳費功能，例如愛金卡公司率先在1月初開始提供超過7,600項的繳費服務，民眾也可以直接掃描帳單QR Code進行線上繳費。 <h3>「購物」功能第二季上線</h3> 不只如此，金管會在去年12月21日，核准了財金公司在電支共用平臺上經營「購物」功能，預計今年第二季就會正式上線。到時候，只要電支業者支援購物功能後，民眾用任何一家電支業者的App，到其他電支業者的特約商店，就能直接掃瞄共通QR Code來付款，不用再切換到該店家的專屬電商。 未來，民眾就可能用街口支付App到一卡通41萬個據點付款，用街口App在全聯超市繳費，或是到全家超商用全支付來付款。換句話說，凡是支援購物功能的電子支付業者，等於可以共享彼此的通路據點。 過去，店家必須一一與不同電支業者簽約，在櫃檯擺放不同業者的QR Code，而民眾也要切換到專屬支付App才能掃碼。未來，店家只需要與一家電支業者簽約，透過電支共用平臺，可以一次與所有支援購物功能的電支業者互通。同樣道理，電支業者也不需要一一與各商店簽約，串接系統，同樣可以與其他電支平臺共享通路。目前一卡通據點約41萬個，街口支付約30萬個，全支付與全盈支付則各有10萬個據點，若這些業者都支援購物功能，就能將這些據點整合成一個超大型通路。財金公司強調，這是電子支付跨機構互通的最後一哩，也可以與既有金融幾機構跨體系整合。 <h3>小型電支能快速擴大通路，大型電支則取得更多顧客交易數據</h3> 購物功能上路，不只提高消費者支付的便利性，對電支業者而言，也可以取得更多交易資訊。消費者用A電支App到B電支特約商店付款時，A電支和B電支都會取得這筆交易資訊來作業，等於不只是通路共享，也可以互通消費者的當次交易資訊。這大小電支業者來說，都是雙贏，小型電支業者可以藉此跨大可付款的通路店家數，而對大型電支而言，則可以取得更多支付交易資訊，來完善顧客的消費大數據。 <h3>通路規模差異變小，會員經營差異化成新關鍵</h3> 但是，電支業者共享通路之後，未來勢必更考驗，電支業者的數據分析能力和後續運用數據變現的能力，未來，通路規模和可用場域的差異越來越小，特店數不會成為吸引消費者的賣點，電支業者勢必得強化自家的精準行銷策略，祭出更多會員經營對策，這也會讓電子支付市場進入全新的競爭態勢，電支業者必須更轉為更細緻操作的差異化競爭策略。 因為購物功能中，電支業者共享彼此的通路，不只金流還需要資訊流的整合，財金公司在共用平臺上也設計了一套對應的金流資訊流運作機制。 例如街口用戶以街口支付App掃描一卡通特店的共通QR Code之後，街口App會先驗證這筆交易是否為本人，確認後在用戶街口電支帳戶扣款。接著，交易訊息例如金額、特店代好、交易帳號等資訊，依照格式打包送到共用平臺，通過平臺驗證QR Code的合法性和有效性後，將交易資訊拋轉給一卡通，由一卡通確認此店家為合作特店後，即時紀錄該店有一筆來自街口的付款，最後將交易結果回報到共用平臺，平臺再通知街口，由街口通知用戶付款成功。 然後，在每日結帳時間，財金會通知各業者每日結算金額，若電支業者當日用戶付款金額大於當天的收款金額，財金就會到電支機構的清算帳戶扣款，並將款項撥給收款金額大於用戶付款金額的電支業者，完成當天的清算。 甚至，財金公司也設計了針對大型促銷活動的系統爆量因應機制，例如雙11活動，財金公司會依照電支用戶數、特店數和交易訊息數量來預備所需的運算資源，也可由電支業者通知財金公司，提前擴充系統資訊來備戰。 <h3>財金公司下一步是跨境電支，讓國內電支App可以到海外消費</h3> 在電支共用平臺完成購物功能之後，下一步，財金公司正在發展電支跨境業務，一方面可以讓國內記名式儲值卡，可以到國外搭乘交通工具或到特約商店消費，另一方面也要讓國外記名式儲值卡，可以到臺灣核准機構的特約商店消費。 財金公司會扮演「境內帳務清算機構」的角色，協助電支機構與境外機構進行帳務清算、系統介接，以及資訊傳輸，財金公司曾表示，未來國內電支業者App，也能到海外消費，最大好處是免除海外交易手續費，不用像信用卡出國使用得額外付一筆跨境交易手續費。 根據金管會統計，目前電子支付跨機構共用平臺，111年轉帳次數高達728萬筆，累計金額達到363.15億元。 </div></div></div>
2023/1/31 14:13作者王宏仁https://www.ithome.com.tw/news/155303
OpenAI全球招募千名約聘人員協助訓練AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> AI新創業者OpenAI在獲得微軟最新數億美金投資及合作後，在全球召募近千約聘人員，以協助AI系統的程式碼品質提升及模型訓練。 <a href="https://www.semafor.com/article/01/27/2023/openai-has-hired-an-army-of-contractors-to-make-basic-coding-obsolete" target="_blank">Semafor引述消息人士報導</a>，這家業者近6個月在拉丁美洲、東歐等地找來上千名遠端作業的約聘人員。委外員工的任務60%是為訓練AI模型的資料集，包括大量圖片、影片、錄音檔加標註，40%是程式設計師，任務是教導其產品的AI模型撰寫程式碼，或是除錯。這些約聘人員工作的產品有哪些不得而知，但至少包括將自然語言轉化成程式碼的Codex。 OpenAI執行長Sam Altman近日說明公司已有375名正職員工，並說委外對該公司技術的打造很重要。 報導引述一名南美的開發人員指出，他在一場5小時的面試中，被要求解決一項程式撰寫的題目，而且要以英文寫下解題的過程，如果發現一隻bug，OpenAI也要求他不只要解決bug，還要說明應如何修正。 OpenAI的Codex被合作的GitHub用以提供Copilot，其服務正是協助開發，可為開發人員撰寫程式時提供建議。在能成為稱職的結對開發人員前，Codex需要人類將之導向正途，以免於<a href="https://www.ithome.com.tw/news/104851" target="_blank">2016年微軟的AI聊天機器人Tay</a>才上線一天，就被教成了反女性主義及納粹份子，上線一天就被拉下線。 本月稍早<a href="https://time.com/6247678/openai-chatgpt-kenya-workers/" target="_blank">《時代雜誌》</a>報導，OpenAI以時薪2美元僱請了一間肯亞公司員工為ChatGPT的訓練資料過濾種族歧視、暴力及色情內容，目的防止ChatGPT日後會產出不安全的建議。但這些內容過於血腥、變態、殘忍，員工身心受創卻得不到適當的心理健康諮詢。 </div></div></div>
2023/1/31 15:02作者林妍溱https://www.ithome.com.tw/news/155308
TikTok執行長將親自至美國國會解釋隱私安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在臉書、Google等美國各大科技公司執行長，接連到美國國會作證，現在輪到TikTok執行長周受資，在<a href="https://energycommerce.house.gov/posts/tik-tok-ceo-to-testify-at-energy-and-commerce-committee">3月23日將出席美國眾議院能源和商業委員會聽證會</a>，向眾議院議員解釋TikTok的隱私和資料安全作為。 中國字節跳動（ByteDance）旗下知名短影音社交軟體TikTok，該軟體的資料隱私安全一直受到關注，雖然TikTok強調該公司業務由TikTok執行長周受資負責，且周受資為新加坡籍，但市場消息指出，TikTok公司實際上仍受母公司字節跳動掌控，不少國家仍擔憂TikTok受中國政府控制，會成為中共搜集和監控各國使用者的工具。在2020年的時候，印度率先封鎖TikTok。 TikTok在全球大受歡迎，美國政府擔心民眾個資落入中國政府手中，2020年當時的<a href="https://www.ithome.com.tw/news/138651">美國國務卿Mike Pompeo，就曾表示美國政府考慮封鎖TikTok</a>，而TikTok為消除使用者隱私安全的疑慮，在2022年中旬宣布將<a href="https://www.ithome.com.tw/news/151518">美國流量存放至甲骨文雲端</a>，但美國參議院於12月時仍通過<a href="https://www.ithome.com.tw/news/154929">《No Tiktok on Government Devices Act》法案</a>，禁止在公務裝置安裝Tiktok。 美國對於TikTok的疑慮並非空穴來風，<a href="https://www.ithome.com.tw/news/154651">美國聯邦調查局、馬里蘭州政府當時質疑Tiktok與其母公司字節跳動</a>，必須配合中國政府要求，有侵害美國民眾個資的疑慮後，<a href="https://www.ithome.com.tw/news/154879">爆出字節跳動內部員工，存取美國媒體記者個資</a>，包括IP和聯絡記錄，間接證實即便TikTok資料存放在甲骨文雲端，但是中國字節跳動員工仍能夠存取TikTok用戶資料的猜測。 TikTok執行長周受資3月出席眾議院能源和商業委員會聽證會，將需要解決外界對該公司的諸多疑慮，委員會在其新聞稿直接提到，TikTok故意允許中共存取美國用戶資料。因此周受資除了向議員說明TikTok的消費者隱私和資料安全實踐，還有該平臺對兒童的影響，聽證會重點也會落在TikTok與中共之間的關係，同時周受資也會需要證明，他對TikTok業務具有實質影響力，才能取信於議員。 TikTok發言人則在聲明中表示，他們很高興有機會對澄清TikTok、字節跳動的疑慮，並於眾議院能源和商業委員會對美國國安做出承諾。 </div></div></div>
2023/1/31 15:08作者李建興https://www.ithome.com.tw/news/155307
研究人員發現能繞過Facebook 2FA驗證的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank">研究人員發現</a>Meta雙因素驗證（2FA）平臺的漏洞，讓攻擊者關閉目標用戶的臉書或Instagram（IG）帳號已啟用的2FA，而且也無法再使用。 這項漏洞是由研究人員Gtm Mänôz發現，位於Meta帳號管理中心（Accounts Center），後者作用在連結用戶Facebook、IG及Meta帳號，以便用於個人檔案資料同步等作業：管理中心介面中的個人資料頁下，用戶輸入以電子郵件或簡訊收到的6位數字，通過2FA驗證，就可將電子郵件信箱/電話號碼加到相連結的IG及FB帳號。 <img alt="" src="https://miro.medium.com/max/720/1*xAUPLeIpfS3ogx3fZDqYNA.webp" style="width: 450px;" /> <a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank">圖片來源／Gtm Mänôz</a> 在輸入6位數字驗證碼欲進行2FA時，Meta帳號管理中心會傳送HTTP請求到Meta伺服器的端點完成驗證。基本上，研究人員先以隨機6位數字進行驗證，再利用Burp Suite等工具攔截驗證端點的請求網址（下圖），目的在試圖改造。 <img alt="" src="https://miro.medium.com/max/4800/1*i_9DsahD7fMbIsH63SJaJQ.webp" style="width: 600px;" /> <a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank">圖片來源／Gtm Mänôz</a> 研究人員指出，由於Meta驗證端點沒有速限（rate-limit）防護，因此6位數字碼可以無限次修改以暴力破解。若成功完成6位數比對，電郵信箱／電話號碼就會和攻擊者IG（或臉書）帳號連結。 一旦電話號碼完全確認與攻擊者IG或FB帳號連結，則受害者自己的IG或FB帳號2FA機制就會被關閉，或從受害者帳號刪除。如果電話號碼只確認是2FA之用（但未與受害者帳號連結），則該電話號碼也會被從其帳號刪除，2FA也會被撤銷。這麼一來，受害者就再也無法使用FB簡訊2FA，且攻擊者能繞過IG/FB的聯絡資料（電子郵件和電話號碼）驗證，不論是新的，或是已註冊過的聯絡資料（且FB也無法再增加已知的信箱）。 研究人員去年9月14日通報Meta，Meta在10月中修補這項漏洞，他也因此獲頒2.7萬美元的抓漏獎金。 </div></div></div>
2023/1/31 12:56作者林妍溱https://www.ithome.com.tw/news/155299
Lexmark印表機韌體出現高風險程式碼執行漏洞，影響上百款機種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.bleepingcomputer.com/news/security/lexmark-warns-of-rce-bug-affecting-100-printer-models-poc-released/" target="_blank">印表機業者Lexmark本周發布最新版韌體</a>，解決影響上百款機種，可能讓駭客遠端執行程式碼的高風險漏洞。 這項編號CVE-2023-23560漏洞發生在印表機韌體的Web服務功能，屬於伺服器端請求偽造（server-side request forgery，SSRF）漏洞，成功的攻擊可能讓駭客從遠端執行任意程式碼。本項漏洞CVSS 3.1風險值高達9.0。 針對這項漏洞的攻擊發生在印表機上，行為可能包括存取列印任務、取得印表機網路的存取憑證，再藉機攻擊同一網段的其他連網裝置。 <a href="https://publications.lexmark.com/publications/security-alerts/CVE-2023-23560.pdf" target="_blank">Lexmark也列出了受影響的機型</a>，包括：CX、XC、MX、MB、C、MS等上百款。廠商表示目前尚未發現有產品漏洞遭到濫用的情形，但是概念驗證攻擊程式碼已經有人公布於網路上。 Lexmark已釋出相應的最新版韌體，呼籲用戶儘速安裝。無法立即更新者則可先關閉印表機（TCP port 65002）的Web Services服務，以暫時緩解攻擊風險。路徑為「設定」>「網路／連接埠」＞「TCP/IP」>「TCP/IP連接埠存取」，取消勾選TCP 65002。 </div></div></div>
2023/1/31 13:56作者林妍溱https://www.ithome.com.tw/news/155300