iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

零售IT雙周報第13期：Alo Yoga推出VR商店，不僅具備電商功能，還能體驗VR健身及VR試穿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0129~0211)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#VR商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#VR體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#VR試穿</span></span></strong></p> <p><strong>運動服飾品牌Alo Yoga推出VR商店，還能體驗VR健身及VR試穿</strong></p> <p>美國運動服飾品牌Alo Yoga<a href="https://www.aloyoga.com/pages/immersive-store">推出VR商店</a>，能用手機、電腦及VR頭盔瀏覽。此商店有實際電商功能，還能在商店中嘗試不同商品穿搭，甚至跟著店內互動元素一同健身或保養。</p> <p>消費者可用瀏覽器開啟VR商店，商店有不同產品線分區，包括運動用品、運動服飾、保養品、試穿區及運動區等。消費者將游標滑到不同互動元素上，就會出現對應訊息，例如產品介紹及加入購物車頁面、穿搭模擬器及示範影片等。</p> <p>較為特別的是，Alo Yoga在此商店中特別設計了一塊運動區，播放通常是付費會員限定的健身影片，鼓勵消費者在逛此商店時，可以拿出瑜珈墊一同運動，將「看著影片運動」這一行為，塑造成專屬於VR商店的獨特體驗。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#電商商業模式</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#商品分類</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#B2B零售</span></span></strong></p> <p><strong>Walmart強化B2B商業模式，推出中小企業專用電商</strong></p> <p>零售巨頭Walmart<a href="https://corporate.walmart.com/newsroom/2023/01/20/walmart-announces-launch-of-walmart-business-to-save-business-and-nonprofit-customers-time-money-and-hassle">推出面向中小企業及非營利組織的B2B電商</a>。Walmart表示，有上百萬中小企業和非營利組織，會從Walmart進貨營運所需商品，因此將區分B2B業務及B2C業務，設計一套適合這些企業需求的電商商業模式。</p> <p>此模式下，企業用戶可以增加最多5個用戶到同一個帳號底下，共用付款資訊等設定。部分符合資格的企業用戶更能用免稅價購入商品。為了更貼合中小企業需求，Walmart還調查了這些客戶平常進貨需求，並將商品分類調整為接近企業採購需求的種類。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#定位科技</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#物流管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單履行</span></span></strong></p> <p><strong>英國DHL推出零售業消費者精確指定收貨地點功能，誤差在3平方公尺以內</strong></p> <p>遞送貨物時，若物流人員無法順利找到收貨地點而白跑一趟，就會產生時間及溝通等成本。在鄉村、共用地址的建築群等地方送貨時，就算填寫了地址，還是有可能不足以明確標記出收貨地點。</p> <p><a href="https://retailtechinnovationhub.com/home/2023/2/8/dhl-parcel-uk-retail-partners-can-now-deploy-what3words-location-technology-at-checkout">物流巨頭DHL與定位科技技術商what3words合作，將收貨地點誤差降低到3平方公尺內</a>。What3words將全世界地圖劃分為3平方公尺的方格，並隨機分配每個方格3個單字。</p> <p>消費者在與DHL合作的電商購買貨物時，能填寫一個what3words欄位，指定收貨地點。送貨時，物流士就能找到對應方格，降低找不到收貨地點的可能。雖然指定經緯度會比3平方公尺方格更精確，但用3個單字代表自家地點，對消費者來說可能比一串數字更加直覺好記。</p> <p>目前此功能僅適用於英國，不過what3words定位系統已經遍及全世界，網站地圖上也能查到臺灣不同位置代表的關鍵字。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/w3w.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#3D設計</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#概念設計</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品模型</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品展示</span></span></strong></p> <p><strong>Adobe推出面向零售和時尚業的3D設計解決方案，降低用3D建模來取代實體商品攝影的門檻</strong></p> <p>設計軟體大廠Adobe近日為自家3D設計軟體Substance 3D推出<a href="https://www.adobe.com/products/substance3d/3d-augmented-reality.html">面向零售和時尚業者的解決方案</a>，用於概念設計及產品樣品製作。零售及時尚業者在設計商品時，若設計軟體無法呈現足夠仿真的商品樣貌，就有可能得做出非常多版的實體樣品，才能敲定設計。樣品攝影時，也可能在實體攝影棚中不斷調整光線、布景、拍攝方法等條件，時間及攝影成本都相當高。</p> <p>Substance 3D解決方案包括5個工具：虛擬攝影棚，用來設計高仿真度的商品呈現，來取代實體攝影；材質取樣工具，將實體商品照片轉換為設計軟體的實體材質和模型；參數化材質設計工具，依照輸入顏色、顆粒方向和均勻度、粗糙或平滑度以及磨損程度等參數，建立材質和圖樣；紋理模擬工具，呈現出材質表面細節，重現光澤、失澤或透明塗層等材質狀態；以及3D模型雕塑工具，還能結合VR設備，用不同視角觀看模型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#自駕車</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人物流</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#外送服務</span></span></strong></p> <p><strong>瑞士第一個自駕車外送服務上線，未來要達到全自動無人外送</strong></p> <p>瑞士零售龍頭Migros與自駕車物流新創Loxo<a href="https://news.europawire.eu/migros-loxo-and-schindler-pilot-innovative-and-sustainable-delivery-service/eu-press-release/2023/02/08/09/14/43/110216/">開始測試自駕車送貨服務</a>，將網購訂單商品送往瑞士電扶梯及電梯商Schindler公司。這是瑞士首例用自駕車來履行外送訂單的案例。</p> <p>此自駕車一趟能運送64個購物袋的貨物，目前仍有駕駛在自駕車中確保運送流程順利。測試後期，則會完全移除人類駕駛的必要，自動化整趟運送流程。雖然目前Schindler只擔任收貨者角色，不過該公司新科技部門負責人表示，Schindler對於投入自家產品或技術到自駕車物流服務，有很大興趣。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#店內任務分派</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#電腦視覺</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#機器學習</span></span></strong></p> <p><strong>家居零售商Home Depot推出用ML管理員工任務的App</strong></p> <p>家居零售商Home Depot啟用一款協助員工管理工作事項的App <a href="https://www.prnewswire.com/news-releases/the-home-depot-launches-new-in-store-application-to-help-associates-provide-better-customer-experience-301719548.html">Sidekick</a>。這是他們既有員工店內工作裝置<a href="https://corporate.homedepot.com/news/company/home-depot-upgrades-store-network-and-mobile-devices-enhance-interconnected-experience">hdPhone</a>上的一項新功能。此App會結合店內貨架電腦視覺及公司內其他營運數據，再用ML演算法決定店內工作優先順序，並分派任務給個別員工。App上還會示範任務所在地點及執行方法，供員工和管理者參考。</p> <p>目前，Home Depot已經發放了將近10萬臺hdPhone給店內員工，也已經將Sidekick啟用於全美600家以上門市，並預計近月擴大應用到全美2,300家以上的門市。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#物流管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#供應鏈管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨境商務</span></span></strong></p> <p><strong>供應鏈技術商Flexport在Shopify應用商店上架訂單履行App，將貨送到美國</strong></p> <p>物流及供應鏈技術商Flexport上架海運物流管理App到開店平臺巨頭Shopify的應用商店。此App整合商家產品目錄及庫存資訊，以利商家履行訂單，將貨物運送至美國。</p> <p>Flexport表示，此App能追蹤SKU級別的在途存貨（Inventory in transit），並透過報表與分析功能管理訂單履行情況及物流成本。Flexport海運解決方案包括從小至1立方公尺的拼箱（LCL）到整櫃（FCL）服務，及進階貨物保護服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.retaildive.com/news/7-eleven-delivery-robots-serve-robotics/641540/">美國711送貨機器人開始於開放道路試營運</a></p> <p>資料來源：iThome整理，2022年2月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/2/10 18:20作者郭又華https://www.ithome.com.tw/news/155465
第一個資安專責行政法人揭牌，資安院是國家級資安科研團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p>原訂年後第一個上班日就要舉辦揭牌儀式的資通安全研究院（簡稱資安院），因為正好遇到內閣改組，延後到今日（11）日才舉辦揭牌儀式，包括總統蔡英文、行政院副院長鄭文燦、數位發展部部長也是資安院董事長唐鳳、政務委員兼國科會主委吳政忠、NCC（國家通訊傳播委員會）主委陳耀祥、國發會副主委高仙桂以及首任資安院院長何全德、前國安會諮詢委員也是現任中研院院士李德財，以及許多資安產官學研相關人士，都親臨揭牌儀式。</p> <p>蔡英文致詞時表示，資安院集結產學研各界最優秀人才，將全力推動前瞻資安科技研發、應用及服務，並致力提升關鍵資訊系統及基礎設施防護能力；鄭文燦指出，資安院的首要任務就是，要分別協助資安法與個資法的落實。</p> <p>唐鳳則先感謝蔡英文、前行政院院長蘇貞昌以及朝野政黨支持，和數位部資安署同仁幫忙下，資安院才能順利成立。她說，資安院在協助重大資安事件的應變、處置、防護、人才培力和關鍵技術發展上，都扮演關鍵角色，也是國家在數位轉型和強化數位韌性上，不可或缺的專業團隊。</p> <h2><strong>國家級資安行政法人，專注前瞻資安科研和保護關鍵基礎設施</strong></h2> <p>蔡英文表示，國家資通安全研究院成立是一個重要里程碑，將持續強化國家數位韌性和資安防護體系。她說，自上任以來，資安即國安是一直強調的戰略概念，面對國際上複雜多變的資安威脅，政府不斷努力，打造更高層級的國家資安聯防體系，以因應境外勢力的複合式資安作戰。</p> <p>蔡英文指出，去年（2022年）八月成立的數位發展部，為推動國家整體數位轉型打下重要的基礎；資安院是國家級的資安行政法人，也集結產學研各界最優秀人才，「接下來資安院將全力推動前瞻資安科技研發、應用及服務，並致力提升關鍵資訊系統以及基礎設施的防護能力。」她說。</p> <p>由於近期發生多起個資外洩的資安事件，蔡英文表示，中央執政團隊也在這週召開會議，將邀集各部會討論資安保護機制的精進方式，並且由行政院副院長鄭文燦主責，畢竟，政府目標就是為全民打造一個安全、安心以及安穩的數位環境。</p> <p>此外，資安院也將承擔起數位訊息的防護工作，透過應用技術的研發和推廣使用，推廣全民資安意識，也會協助公私部門提升個資的防護。</p> <p>為了強化公部門的資安韌性，政府跨部門間的資料傳輸，都必須透過數位部從去年就開始推動的「T-Road」系統，進行資料交換，全程以機關憑證加密，不和外部連通，為資安提供更嚴密的保障。</p> <p>蔡英文則說，政府還要在T-Road系統基礎上，導入「永不信任、持續驗證」的「零信任」驗證制度，未來任何資料的近用，都要進行身分、設備和行為模式的三重驗證，防止資料的竊取和外洩，最遲在今年（2023年）底前，所有T-Road系統都將全面導入三重驗證的零信任機制；預計未來兩年，優先輔導擁有大量民眾個資的A級機關，以及B級機關和其他縣市，陸續完成零信任機制的導入工作。</p> <p>至於民眾關切的個資外洩議題，蔡英文則強調，針對民間資安的部分，將透過召開跨部會的「個資保護執行聯繫會議」，強化監督通報的機制；數位部也針對自身主管的電商業者，強力監督要求檢測、改善資安系統，政府也主動提供資源，協助電商業者強化資安。</p> <p>蔡英文說：「資安是持續精進的風險管理，」面對無所不在的資安挑戰，要不斷強化因應管理的機制，打造良好的資安防護力，就是提升數位免疫力。新的一年，我們一起繼續努力。</p> <h2><strong>資安國家隊一員，協助落實資安法和個資法</strong></h2> <p>鄭文燦表示，自蔡英文上任以來、過去六年多的時間，臺灣在針對數位轉型、數位韌性和數位永續三大目標的數位建設投資，遠勝於過去。其中，成立數位發展部就是希望可以落實數位培力、資安保護和數位韌性等目標，不僅需要資安署和數位產業署的投入，新成立的資安院，也是資安國家隊的一員，不僅可以落實資安即國安的政策和個資保護，對於國家關鍵基礎設施、大型資訊系統等，也都要用新的觀念加以維護。</p> <p>他指出，有前行政院長蘇貞昌核定預算和人力，資安院才能順利掛牌，而資安院揭牌後的首要任務，就是要協助落實資安法和個資法，對於近期發生幾起公私部門的個資外洩事件，部會按照蔡英文指示，採取迅速有效的處理方案，並做到事前防護、事後處理。</p> <p>以iRent個資外洩事件為例，行政院針對資安、個資的處置方式，已經擬定新的作法，包括：三天內，由行政檢查小組會同資安院完成行政檢查；十天內，針對個資外洩來龍去脈，完成相關檢查報告；兩週內，整個事件做成處分決策。</p> <p>個資法已經十年沒有進行修法，現行的罰則是兩萬～二十萬元，鄭文燦說，國發會和數位部經過評估後，覺得罰則過輕，將會推動個資法修法並提高罰則。</p> <p>他進一步指出，憲法法庭判決，在明年（2024年）八月之前，政府針對個資保護，必須要成立一個個資保護獨立監督機制，這也會在個資法的修法中進一步落實。</p> <p>鄭文燦強調，包括蔡英文、陳建仁和行政院各個團隊、各部會等行政團隊，花很多時間在資安、國安和個資保護上，希望可以做到強化數位韌性和資安防護能力，資安院是資安國家隊的一員，可以做到資安培力並讓民眾放心。未來，資安院也將秉持安全、技術、主動、韌性和信賴等五大核心價值，提升國家數位韌性。</p> <h2><strong>第一個專責資安行政法人，首任院長由何全德擔任</strong></h2> <p>唐鳳表示，資安院是臺灣第一個專責資安行政法人，從國家高度配合國家整體資安策略，協助重大資安事件以及應變處置防護、人才培力、關鍵技術發展等，資安院都有關鍵角色，也是國家在數位轉型和強化數位韌性上，不可或缺的專業團隊。</p> <p>資安院英文是英文為「National Institute of Cyber Security」，簡稱「N-I-C-S」，諧音同NICE。唐鳳期許資安院，可以協助各界建立更優質資安韌性防護體系，達成全民數位韌性目標，首任院長何全德過去積極參與國家各項重大資通安全政策及法規研擬推動，兼具資安和行政兩大專長，可以帶領資安院持續邁進，提升國家資安資通安全實戰力。</p> <p>最近社會關切公私部門個資外洩議題，唐鳳也立刻委由資安院協助，首先，未來只是要涉及個資的公務機關，都必須加速導入零信任機制和T-Road制度，強化端點守門機制，並防止有心人在收、發兩端竊取資料，或者出現監守自盜的異常行為</p> <p>其次，針對私部門部分，唐鳳指出，行政院已經將數位部納入國發會重要個資外洩案件的機制中，不管是TWCERT/CC（臺灣電腦網路危機處理暨協調中心）可以更即時介入協助，或由資安院給予處理建議，主管機關也可以看到過去行政檢查要求改善上面，資安院對於聯防，協助檢視改進系統架構等面向上，都帶來助益。</p> <p>唐鳳也責陳資安院，持續廣徵各界資安專業人才，提升自主開發實力，協同產學研各界共同努力，建構更靈敏、更堅韌的數位防護盾，讓全國民眾可以安享更便捷、安全和可信賴的數位服務。</p> </div></div></div>
2023/2/10 17:49作者黃彥棻https://www.ithome.com.tw/news/155463
美國零售巨頭Albertsons推出數位健康App，跨域整合醫療和藥妝超市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經營2,200多家食品藥物門市的美國連鎖超市巨頭Albertsons近日上線一款<a href="https://www.albertsonscompanies.com/newsroom/press-releases/news-details/2023/Albertsons-Companies-Launches-Sincerely-Health-Digital-Health-and-Wellness-Platform/default.aspx">數位健康App</a>，跨域整合了醫療和零售，將民眾購買食物、運動、睡眠、生命體徵和用藥等習慣綜合評估，並根據評分，來提供生活建議和獎勵，比如購買商品可打折，要讓民眾生活更健康。此外，該App也整合Albertsons自家線上藥局功能，使用者可找到相關工具，來管理處方、疫苗接種預約和遠距看診。使用者現可在16家超市的App和網站上使用Sincerely Health，像是Safeway、Vons、Shaw's、Jewel-Osco等。</p> <p><span style="font-size:24px;"><strong>聯手科技、保險和醫療三方業者打造，也整合Apple Health資訊</strong></span></p> <p>該App名為Sincerely Health，由醫療機構、保險公司和科技業者三方共同打造。團隊根據1萬多名初期使用者體驗和回饋，來精進程式、新添功能。在使用上，民眾得先做一份問卷，該問卷涵蓋健康生活的7個面向，讓民眾自評。接著，App會根據自評結果計算分數，Albertsons強調，這個分數考量了受試者的不同特徵，如年齡、性別、營養、生活方式和心理健康等精算得出。</p> <p>接著，Sincerely Health會呈現使用者的健康評分，並根據使用者的生活習慣（如步數、睡眠時間）與目標，持續打分數。為更了解使用者日常活動，Sincerely Health也整合熱門健康App和智慧手環的資訊，包括Apple Health、Fitbit和Google Fit，納入生命體徵和用藥資訊。當使用者達到設定的目標分數，App會給予積分獎勵，可用來折抵商品價格。（如下圖）</p> <p><img alt="" src="https://mms.businesswire.com/media/20230205005069/en/1705617/4/Rewards_Sincerely_Health.jpg?download=1" /></p> <p>此外，Sincerely Health還整合自家線上藥局功能，使用者可在線上藥局找到相關工具，來管理用藥處方、疫苗接種預約，以及視訊會診。</p> <p>為鼓勵民眾使用，只要從相關零售店家App加入Sincerely Health，就可獲得最高25美元的獎勵，用來兌換Albertsons店內產品。使用者目前可在16家零售超市App和網站使用Sincerely Health，包括Albertsons、Albertsons Market、Safeway、Vons、Jewel-Osco、Shaw’s、Acme、Tom Thumb、Randalls、United Supermarkets、United Express、Market Street、Amigos、Pavilions、Star Market和Carrs。</p> </div></div></div>
2023/2/10 16:36作者王若樸https://www.ithome.com.tw/news/155460
Cloudflare推出去中心化社交媒體Fediverse執行個體服務Wildebeest
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出讓使用者可以簡單營運Fediverse執行個體的服務<a href="https://blog.cloudflare.com/welcome-to-wildebeest-the-fediverse-on-cloudflare/">Wildebeest</a>。Fediverse是去中心化社交媒體，範疇涵蓋分散式微部落格Mastodon，不同的社交媒體伺服器可以透過中心化社群網路協定相互通訊，任何人都可以藉由營運自己的伺服器，成為聯合宇宙社群的一份子，而Wildebeest提供用戶一個創建執行個體的簡單方法。</p> <p>不少使用者因為不滿推特新老闆Elon Musk的管理風格，因此另覓社交平臺，而功能與推特類似的Mastodon成為主要的移居平臺，用戶要加入Mastodon有兩個方法，其一是加入已經存在的Mastodon伺服器，或是像部分社群和企業一樣，透過營運Mastodon伺服器來經營自己的社群。</p> <p>通常要建立Fediverse執行個體會使用非營利組織Mastodon gGmbH所開發的軟體，但是要建立一個Mastodon執行個體並不是件容易的事，因為用戶需要擁有或租用伺服器，並且安裝配置軟體、資料庫和網頁伺服器，同時還要採取必要措施，避免伺服器遭攻擊，還必須不斷處理更新，Cloudflare提到，要啟動和執行Mastodon執行個體，需要編寫大量技術並編寫腳本，不適合技術水準不足的使用者。</p> <p>而Cloudflare新推出的Wildebeest則能簡化這些工作，該服務建構在Cloudflare基礎設施之上，而且是一個開源專案，開發者可以自由地進行擴展和改寫。Wildebeest支援ActivityPub、WebFinger、NodeInfo與WebPush協定，並相容於Mastodon API，因此Wildebeest執行個體能夠連接其他Fediverse執行個體。</p> <p>Wildebeest執行個體可執行發布、編輯和刪除嘟文（toots）等基本操作，目前僅支援文字、圖片，之後還會支援影片。當前熱門的Mastodon的桌面行動客戶端，都可以用來操作Wildebeest執行個體，包括Mastodon官方的Android和iOS應用程式、Pinafore、Mammoth和tooot，Cloudflare也將持續與其他應用程式開發商合作，同時Wildebeest還具有一個唯讀網路介面，供使用者探索時間軸和用戶。</p> <p>Wildebeest的核心是前端開發人員協作和網站開發平臺Cloudflare Pages，由於Cloudflare實做了一大部分Mastodon API規範，因此Wildebeest能夠與其他伺服器和客戶端應用程式相容，網頁前端使用Qwik伺服器端渲染框架，Wildebeest的資料則儲存於Cloudflare的SQLite資料庫D1。官方提到，Wildebeest是目前最完整使用Cloudflare產品和功能的專案。</p> </div></div></div>
2023/2/10 16:50作者李建興https://www.ithome.com.tw/news/155459
Reddit員工遭網釣攻擊，駭客竊走原始碼與內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reddit.com/r/announcements/comments/93qnm5/we_had_a_security_incident_heres_what_you_need_to/">知名網路論壇Reddit公開遭攻擊的消息</a>，駭客透過專業的網路釣魚攻擊，取得Reddit內部文件、程式碼和業務系統存取權限，官方表示，生產系統中的資料儲存目前沒有跡象遭破壞。與之前<a href="https://www.ithome.com.tw/news/155265">知名遊戲《英雄聯盟》開發廠商Riot Games遭攻擊事件</a>類似，駭客皆鎖定受害公司的重要程式碼資產。</p> <p>在2月5日的時候Reddit員工遭網路釣魚攻擊，駭客以似是而非的提示，引誘一名員工登入假冒的內部閘道器站點，竊走了憑證和第二因素權杖，之後駭客進一步利用憑證，取得內部文件、程式碼、內部儀表板和業務系統存取權限。</p> <p>駭客取得的資料包括數百個公司聯絡人、員工資料，以及部分廣告商資料，官方提到，目前沒有證據生產系統中的資料受到破壞，用戶的帳號密碼皆安全，同時也沒有任何未公開資料曝光。</p> <p>該名員工發現自己遭網釣攻擊後自行向上呈報，Reddit安全團隊便立刻取消攻擊者的存取權限，並且進行內部調查，由於事件剛發生調查尚未完成，因此還無法公開完整細節，但是Reddit討論版的管理者在文章討論串中提到，這次Reddit攻擊類似之前遊戲《英雄聯盟》開發廠商Riot Games的攻擊事件。駭客在入侵Riot後竊走重要程式碼資產，並且寄發勒索信，要求Riot支付千萬美元贖金，來換取不公開程式碼的承諾。</p> <p>Reddit在5年前也曾遭到駭客攻擊，當時攻擊者透過騙取Reddit員工的雲端和原始碼託管帳密，進入Reddit系統存取用戶資料，雖然當時Reddit已經啟用雙因素驗證，但因為是以SMS作為第二身分驗證因素，而SMS訊息遭到攔截，使攻擊者仍入侵成功。</p> <p>Reddit提到，從教訓中學習經驗，人通常是安全鏈上最弱的環節，因此除了內部會繼續強化員工安全技能之外，也希望用戶可以趁機啟用雙因素驗證，並且定期更換密碼以強化帳戶的安全性。</p> </div></div></div>
2023/2/10 16:05作者李建興https://www.ithome.com.tw/news/155458
中國將停發傳真機、傳呼器等舊科技許可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國將停止針對傳呼器（BB call）、傳真機等舊式通訊設備發放新授權許可，以推動電信業務的現代化。</p> <p><a href="https://www.miit.gov.cn/zwgk/zcwj/wjfb/tg/art/2023/art_f5ced4d394724181888e58b12f67a5fb.html" target="_blank">根據中國工信部今年一月公告最新規定</a>，為進一步推動電信設備產業高品質發展，按照《國務院辦公廳關於深化電子電器行業管理制度改革的意見》，將對固定電話機、無線電話機、傳真機、數據機（含卡）、無線傳呼機、窄頻整合式服務數位網路絡終端（ISDN終端）、訊框傳送交換機、非同步傳輸模式交換機（ATM交換機）、呼叫中心設備等11種電信設備，終止受理新申請設備的許可申請。</p> <p>根據該公告，新規定將從2023年3月1日起實施。這將使得未來廠商無法再生產上述舊式產品的新型裝置。</p> <p>隨著具備強大功能的智慧型手機成為一般民眾主要通訊工具，擁有或使用室內電話機、傳真機等二十世紀科技的人愈來愈少，B.B. Call甚至許多人都沒見過。</p> <p>不過新規定並不影響現有執照持有者的銷售。<a href="https://www.theregister.com/2023/02/08/china_network_acess_certification_changes/" target="_blank">媒體分析</a>，新公告預計促使用戶加速囤貨，直到不得不升級到新科技為止。</p> <p>事實上，以B.B.Call而言，<a href="https://www.thenewslens.com/article/165186" target="_blank">根據報導</a>，臺灣直到2011年12月中華電信收起服務才正式結束無線傳呼的業務。日本末代B.B.Call服務則是Tokyo Telemessage持續營運到2019年9月。</p> </div></div></div>
2023/2/10 14:27作者林妍溱https://www.ithome.com.tw/news/155457
Meta恢復川普臉書、IG帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在封鎖美國前總統川普（Donald Trump）2年之後，Meta周四（2/9）恢復了他在臉書及Instagram（IG）的帳號。</p> <p>目前川普的<a href="https://www.facebook.com/DonaldTrump/" target="_blank">臉書</a>及<a href="https://www.instagram.com/realdonaldtrump/" target="_blank">IG</a>帳號已經可以使用。</p> <p>和其他社群平臺（如推特）一樣，原名臉書的Meta因為2021年1月6日川普支持者闖進美國國會山莊引發暴力衝突，而由臉書創辦人暨執行長祖克柏（Mark Zuckerberg）宣布封鎖川普的臉書與IG帳號，理由是他透過社群平臺煽動暴力。<a href="https://www.ithome.com.tw/news/144881" target="_blank">同年Meta宣布將封鎖川普到2023年</a>。</p> <p>今年1月，<a href="https://edition.cnn.com/2022/11/19/business/twitter-musk-trump-reinstate/index.html" target="_blank">川普向Meta陳情</a>希望能回復他的臉書和IG帳號，也獲得Meta方面承諾。<a href="https://about.fb.com/news/2023/01/trump-facebook-instagram-account-suspension/" target="_blank">但Meta全球公共事務長Nick Clegg當時表示</a>，一旦川普再度違反平臺規定，視情節嚴重性將被停權一個月到兩年。</p> <p>川普在被Meta、推特封鎖後，自行成立社群平臺Truth Social，不過用戶並不多。</p> <p>川普去年11月宣布將重新角逐美國總統，重回臉書和IG也顯示他希望利用更主流的社群平臺從事競選活動。</p> <p>不過自昨日帳號解禁後，川普尚未在臉書及IG上貼文；目前臉書最新貼文仍停留在2021年1月6日，川普要求支持群眾和平行動，不要發生暴力衝突。去年11月，剛接掌推特的<a href="https://www.ithome.com.tw/news/154306" target="_blank">馬斯克也在網友投票後恢復川普帳號</a>，但川普卻一直未再回到這個他過去最愛用的社群平臺上發言。</p> </div></div></div>
2023/2/10 12:54作者林妍溱https://www.ithome.com.tw/news/155455
臺灣無程式碼AI新創Profet AI揭今年三大策略，不只將推出AI生命周期管理平臺，還將擴大人力開始進軍海外市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年剛完成1.7億元A輪募資的臺灣AI新創杰倫智能科技（Profet AI），近日揭露今年發展策略，不只將推出AI生命周期管理平臺，來解決製造業大規模AI模型維運難題和模型建立前的知識管理，還將擴大人力和成立新海外據點，開始進軍全球。</p> <p> 2018年成立的Profet AI，以提供無程式碼（No-code）的AI建置平臺為主，在臺灣許多大型製造業都是其客戶，包括友達、佳世達、日月光、華泰電子等，使用它的No-code產品來開發各種AI應用，像是用於製程改善或預測性維護等。</p> <p>杰倫智能科技執行長黃建豪表示，他們能夠做到產品差異化的關鍵，在於能夠因應AI發展快速回應客戶的需求，以 No-Code的AutoML產品為例，單是去年就歷經15個版本更新，包括各種大小功能更新；在開發上，研發團隊都採取敏捷開發，讓產品功能可以快速更新迭代，加上RD研發團隊都深耕臺灣，可以就近提供技術支援。</p> <p>經過這幾年，黃建豪提到，去年Profet AI達新里程碑，除了在臺灣累積上百客戶，也開始獲利，並完成A輪募資。這幾年經驗積累，也讓他們開始思考是時候走出臺灣，邁向國際。</p> <p>所以黃建豪指出，Profet AI今年發展策略有三大重點，不只將推出新產品，還將擴大人力與增設海外業務據點，開始布局全球市場。像是人才招募方面，Profet A目前團隊人數約有50人，之後將翻倍擴增到百人規模，將招攬包括研發、國際業務、行銷及使用者體驗等不同領域專才加入。</p> <p>如今Profet AI在臺北、新竹、高雄皆設有辦事處，今年開始將於海外成立新營運據點，包括中國、日本、新加坡等地，今年下半年將會評估在美國成立新據點。</p> <p>除了現有產品更新之外，黃建豪預告，今年下半年將推出新的AI生命周期管理平臺AILM，可以提供模型部署、模型版本控制等一連串生命周期管理，來協助製造業解決未來大規模AI模型維運管理的難題。</p> <p>杰倫智能科技技術長林裕鑫進一步說明，這個平臺特色在於，除了能夠整合No-Code的AI平臺，來協助管理和監控海量AI或ML預測模型，更能夠往前延伸到一開始模型建立前的知識管理都包含其中，根據過往案例經驗，將問題定義、方法論選擇及跨團隊協作的處理過程，都能轉為一套系統化的方式來提供，如同專家或知識系統，系統中會有不同模板，使用單位可以依據需求來選擇適合自己要解決問題的模板，以此來建立模型。</p> <p>AILM也是Profet AI進軍國際的主力產品之一，黃建豪表示，AILM平臺推出後，當許多臺灣製造業客戶先後採用後，就有機會透過臺灣製造業在全球市場的定位，來加以重新定義，讓這項產品成為行業規格，就像現在講到ERP會想到SAP，PLM想到西門子，「這也是我們試圖想要用AILM做到的事。」</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/2/10 13:15作者余至浩https://www.ithome.com.tw/news/155454
GitHub、Yahoo等網路公司裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技公司裁員潮持續，網路公司GitHub、Yahoo及GitLab、Deliveroo分別在本周相繼宣布裁員10%到20%。其中GitHub還收掉辦公室，全數轉向遠端作業。</p> <p><a href="https://fortune.com/2023/02/09/github-is-laying-off-10-of-staff-and-cutting-down-office-space/" target="_blank">《財星》雜誌</a>首先報導，微軟旗下軟體程式碼代管平臺GitHub本周宣布將在會計年度2023年底之前，裁減3,000名員工的10%，GitHub也向《TechCrunch》證實此事。該公司也將凍結人事招聘，將員工電腦汰換期由三年延長為四年、以及其他「確保公司財務健康」的措施。</p> <p>此外，GitHub也做出了重大決定，關閉所有租賃的辦公室，讓員工全部遠端作業，為此該公司也全數導入微軟Teams作為未來員工遠距協同之用。</p> <p><a href="https://www.axios.com/2023/02/09/yahoo-layoffs-2023-tech-media-companies" target="_blank">Axios則報導</a>Yahoo將在今年內裁減20%，包括50%的廣告部門人力。根據報導，這波裁員重點之一在裁撤旗下廣告平臺部門SSP（supply-side demand）。這部門部分人力來自Yahoo和AOL的廣告部門員工，是當初Verizon買下兩公司時，希望推動線上廣告收入而設立。但是這家公司近年績效不彰，因此Yahoo執行長 Jim Lanzone決定在Yahoo這波裁員中關閉這個部門，改用第三方平臺。此外Yahoo同時計畫在需求端平臺（demand-side platform，DSP）式的廣告部門招募更多人力。</p> <p>Yahoo本周已裁撤12%，約1,000名員工，剩下8%會在今年下半裁減完畢，屆時這20%的人員精簡將包括50%的廣告部門員工。</p> <p>另一方面，<a href="https://about.gitlab.com/blog/2023/02/09/gitlab-news/" target="_blank">整合開發平臺GitLab本周也宣布</a>裁減1,800名員工的7%，約130人，原因是景氣前景不明，客戶投資趨勢保守，採購期拉長。</p> <p>點餐外送App開發商<a href="https://www.telegraph.co.uk/business/2023/02/09/deliveroo-lays-almost-one-ten-staff-tech-job-cuts-continue/" target="_blank">Deliveroo也在同一天宣布裁減350人</a>，占其員工的9%，執行長Will Shu也為其在疫情期間過度擴張人力對員工致歉。最近Deliveroo也撤離了澳洲及紐西蘭市場。</p> </div></div></div>
2023/2/10 13:40作者林妍溱https://www.ithome.com.tw/news/155456
推特出現全球大規模故障，Elon Musk要員工暫停開發新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣時間2月9日早上6點左右，全球有大量推特用戶遭遇服務故障，無法發送推文、私訊和跟隨帳戶。用戶會在使用這些基本功能時，收到系統警示已經達到當天用量上限，雖然推特目前的使用限制，確實有每日推文2,400則、私訊500則，以及追蹤400個帳號的限制。</p> <p>但根據在Downdetector推特頁面評論區下方的留言，即便用戶當天並未超過使用限制，仍收到超出用量的提示訊息，而有用戶發現以排程的方式，仍可以成功發送推文。從Downdetector上的圖表可看出，推特平臺的故障在早上6點達到高峰，7點的時候已經明顯緩解，在下午的時候多數使用者已能正常使用推特。</p> <p><a href="https://twitter.com/kyliebytes/status/1623458872106311680?s=46&t=r1oGgW6NfdS71WjTuWUu4g">財富雜誌記者Kylie Robison則在推特上發布獨家消息</a>，他提到Elon Musk在推特故障後，寄發電子郵件要求員工停止開發新功能，以最大程度確保系統穩定性和強健性，以迎接超級杯的到來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201626%20-%20Twitter%20%E4%B8%8A%E7%9A%84%20Kylie%20Robison%EF%BC%9A_SCOOP_%20Elon%20has%20emailed%20staff%20following%20th_%20-%20twitter_com.png" style="width: 580px; height: 397px;" /></p> <p>另外，之前推特宣布在2月9日，將不再提供免費API的政策，而現在期限已到，推特公開最新消息，當前免費推特API可延長使用至2月13日，之後開發者便需要付費才能使用，<a href="https://twitter.com/TwitterDev/status/1623467619725774848">推特新推出訂閱方案為每月100美元</a>，提供低階API使用以及廣告API存取權限。</p> <p>取消免費API將使許多有趣且能夠增加推特參與的機器人無法運作，引來大量使用者抱怨，Elon Musk經過考慮之後，決定提供新的免費API存取型式，開放每個經過身分驗證的用戶權杖，每月可以發布1,500則推文。而在2月13日之後，推特也將會棄用Premium API，原本的訂閱用戶將可以申請成為Enterprise用戶繼續使用。推特官方強調，這些推特API政策，皆是為了減少垃圾訊息。</p> </div></div></div>
2023/2/10 12:17作者李建興https://www.ithome.com.tw/news/155449
微軟將汰除Teams舊免費方案，原免費用戶資料無法轉移至新免費方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-teams/free-classic-retirement">微軟預告</a>在2023年4月12日，舊版企業用免費Teams應用程式將不再提供服務，微軟建議企業用戶升級到付費版本Microsoft Teams Essentials，才能繼續存取之前的聊天、檔案和會議記錄。雖然微軟也推出了新的Teams免費版本，但是舊版免費版Teams上的資料，卻無法直接轉移至新的免費版本上。</p> <p>原本使用免費Teams的企業，需要每月替每個用戶支付4美元，升級使用Microsoft Teams Essentials，該版本提供最長30小時的小組會議，每場會議最多可以容納300名參與者，每位用戶可以獲得10 GB的雲端儲存空間。</p> <p>除了每位用戶每月4美元的Teams Essentials方案之外，用戶也可以選擇每位用戶每月6美元的Microsoft 365 Business Basic，如此企業也可以繼續取用之前的資料與內容，並獲得1 TB雲端儲存、會議轉錄和Bookings客戶預約等功能。</p> <p>新的方案也包括免費方案，但是想繼續使用免費版的企業用戶，可能會遭遇到一些麻煩，微軟會在4月12日停止Teams Free（Classic），取而代之的免費版本稱為Teams（Free）。微軟在網站上強調，用戶必須升級到Teams Essentials，才能繼續使用之前類似功能的Teams，如果企業想要轉移資料，就必須升級組織帳戶中的所有使用者。</p> <p>新的Teams（Free）限制會議最長為60分鐘，每次會議最多100名參與者，每個用戶僅有5 GB的雲端儲存空間。舊免費版Teams Free（Classic）資料無法直接轉移至新免費版Teams（Free），不想切換至付費版本的用戶，便需要手動保存資料和檔案，否則4月12日之後，用戶將無法存取舊免費版Teams Free（Classic），資料也會被刪除。</p> </div></div></div>
2023/2/10 12:23作者李建興https://www.ithome.com.tw/news/155451
Solidworks用戶大會3DExperience World即將登場，生成式AI及雲端PLM應用是2大關注焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>睽違3年，3D CAD大廠Solidworks年度全球用戶大會3DExperience World今年將隨著疫情趨緩，回歸實體舉辦。</p> <p>本次大會舉辦餘田納西州音樂之都納什維爾，從當地時間2月12日開始為期4天。會期第2天，Solidworks CEO Manish Kumar等高層主管，都會發表演說。這也是Manish Kumar第一次以CEO身分實體登臺用戶大會。</p> <p>Manish Kumar出身研發部門，且具工程背景，對Solidworks產品研發策略及當下科技趨勢相當熟悉。外界也相當期待，他會端出什麼樣的新產品戰略。</p> <p>一個值得關注的角度是生成式的AI應用。原本，CAD廠商就已經會用AI來優化部分設計流程，不過近期大量關於生成式AI（Generative AI）的討論，讓人們產生許多AI應用在3D設計的想像。IDC及Gartner等研究機構，紛紛預測生成式AI將被應用在材料科學、零件設計、生命周期管理等領域。IDC甚至直接點名達梭及PTC等CAD／PLM大廠，會受到這波技術熱潮影響。其中一個應用領域，就是衍生設計（Generative design）。</p> <p>衍生設計是一種AI技術的應用。設計師只需要輸入所需條件，系統就會生成出成千上百種符合條件的設計。設計師能從這些結果中挑選出最適合的設計，或是以這些設計為靈感，作為其他設計參考。常與衍生設計一併提起的技術則是拓樸優化（Topology optimization），主要功能是優化既有設計的物料及結構。雖然拓樸優化一詞常與衍生設計混用，但只能被視為是衍生設計的基礎技術之一。</p> <p>Solidworks母公司達梭的競爭對手PTC，已經在自家產品中推出了衍生設計功能，不過Solidworks對AI也不陌生。2020年，Solidworks推出一個名為Mate Predictor的3D設計零件組裝工具，透過ML技術，自動化模擬多個3D零件模型之間組裝方法。Solidworks 2021年曾推出拓樸優化工具，在已經有設計圖的情況下優化產品重量、強度等特質。</p> <p>儘管Solidworks一直沒有揭露AI相關產品的日程計畫，但策略與事業發展部門副總裁 Suchit Jain多次表達對AI技術的關注，Manish Kumar也曾在訪談中強調AI對CAD發展的重要性，並表示公司內部已經在開發更多AI相關功能，且有意推出比拓樸優化更進階的衍生設計功能。他並表示，由於Solidworks許多產品已經雲端化，他們更易取得存在雲端的企業數據，來研究AI相關功能。</p> <p>本次大會另一個值得矚目的焦點，正是Solidworks經營雲端化PLM產品的下一步戰略。雲端技術應用在疫情期間發展迅速，且隨著永續IT及ESG概念開始普及，雲端解決方案對企業吸引力持續增加。市場上，PTC、Oracle等競爭對手，也紛紛推出雲端CAD及PLM產品。議程第3天，Manish Kumar將發表設計及協作工具更新，主打可在不同雲端、地端等不同運行環境中作業。</p> <p>達梭和Solidworks近年陸續為旗下產品推出雲端版本，將解決方案平臺上的產品用SaaS形式販售。例如Solidworks Cloud系列產品，可以從各種裝置的網路瀏覽器開啟，正好支援了疫情間興起的遠端協作及混合辦公模式。以及3D Experience Works，與母公司達梭系統的旗艦產品──解決方案平臺3D Experience Platform連結，讓使用Solidworks的企業能更容易使用平臺上眾多應用，包括PLM、ERP、模擬工具、協作工具等。面對市場激烈競爭和企業需求，Solidworks如何進一步發展雲端PLM應用，值得拭目以待。</p> </div></div></div>
2023/2/9 10:24作者郭又華https://www.ithome.com.tw/news/155437
印度最大醫療集團發布AI臨床決策輔助工具，全印度醫生都能用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿波羅醫院（Apollo Hosipitals）是印度最大的醫療集團，擁有64家醫院共9千多張病床，<a href="https://www.prnewswire.com/in/news-releases/apollo-hospitals-rolls-out-clinical-intelligence-engine-cie-for-doctors-across-india-301740454.html">最近宣布</a>，要將自行開發的AI臨床決策平臺，供全印度的合法執業醫生使用，要改變印度整體的醫療照護水準。</p> <p>進一步來說，這款工具的名稱是Apollo Clinical Intelligence Engine（簡稱CIE），由500多名醫生和專家打造、維護，並定期審查。CIE可協助醫生分析病情、找出病因，並提供診療建議，來加速醫生看診。它也能提供醫護人員可能遺漏的資訊，而且，CIE詞彙表還收錄了1,300多種疾病和800多種症狀，涵蓋門診中95%的日常病例組合。</p> <p>在技術上，這款工具是世界上最大的醫療資料湖之一，由100多位工程師開發，也採用阿波羅醫院40年的醫療數據、上千位醫生經驗，以及權威醫療期刊數據訓練而成，並通過多家國際學術機構測試、驗證。不只如此，該工具也能與時俱進，光是去年，就參考了當年發表的60萬項臨床研究成果。</p> <p>阿波羅醫院幾個月前推出CIE，有4,000多名醫生使用，也得到不錯的回饋，能明顯改善診斷結果、醫生工作效率和病患滿意度。因此，阿波羅醫院決定開放CIE，供自家醫院以外的全印度醫生24小時使用。90歲高齡的阿波羅醫院創辦人Prathap C. Reddy表示，開放CIE給全印度醫生使用，能將更準確的診斷即時給需要的病人，不受貧富和地理限制。</p> <p>阿波羅醫院多年來致力發展數位醫療，先是在2021年，以10年醫院數據，開發出心血管疾病風險預測AI工具，且該工具也整合自家數位健康平臺ConnectedLife，來提供即時且全方位的使用者健康數據。去年，阿波羅醫院還推出ProHealthDeepX，以微軟HoloLens 2混合實境眼鏡，來讓患者理解心臟手術和病情說明。</p> </div></div></div>
2023/2/9 18:21作者王若樸https://www.ithome.com.tw/news/155450
【資安日報】2023年2月9日，CISA提供勒索軟體ESXiArgs的復原指令碼、安卓木馬程式Medusa利用網釣簡訊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體ESXiArgs鎖定全球各地的VMware ESXi伺服器而來，歐洲政府機關率先呼籲大家注意，美國當局也看重此事的發展，網路安全暨基礎設施安全局（CISA）提供自動化工具，讓受害組織的IT人員能修復遭到破壞的虛擬機器（VM）檔案。</p> <p>安卓木馬程式透過釣魚簡訊（SMiShing）散布的情況再度傳出！有研究人員揭露近期的Medusa木馬程式攻擊，就是以這種做法來引誘使用者下載該惡意軟體。</p> <p>高科技產業成為勒索軟體攻擊目標也值得留意，美國半導體設備製造商MKS Instruments證實在一週前遭到此種攻擊，中斷部分系統的運作來因應，損失尚無法評估。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.threatfabric.com/blogs/partners-in-crime-medusa-cabassous.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬程式Medusa利用網釣簡訊發動攻擊，鎖定北美和歐洲而來</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/SMiShing"><span style="color: rgb(255, 140, 0);">#SMiShing</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a> <a href="https://www.ithome.com.tw/tags/Medusa"><span style="color: rgb(255, 140, 0);">#Medusa</span></a> <a href="https://www.ithome.com.tw/tags/Flubot"><span style="color: rgb(255, 140, 0);">#Flubot</span></a> <a href="https://www.ithome.com.tw/tags/ATS"><span style="color: rgb(255, 140, 0);">#ATS</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/medusa-capabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/medusa-capabilities.png" style="width: 300px; float: right;" /></a>安卓木馬Flubot在最近2至3年透過釣魚簡訊（SMiShing）橫行歐美，這樣的手法現在也引起其他駭客仿效。資安業者ThreatFabric揭露名為Medusa木馬程式的攻擊行動，駭客一改散布此惡意程式的做法，改以與Flubot相同的管道，利用釣魚簡訊來入侵受害北美及歐洲用戶的手機。</p> <p>根據研究人員掌握的情資，Medusa冒用的合法應用程式名稱、套件名稱、圖示，皆與Flubot雷同，他們在其中一次活動裡，看到該木馬程式偽裝成DHL應用程式，感染超過1,500臺設備。</p> <p>針對此木馬程式帶來的危害，研究人員指出，最值得留意的它具備了半自動後送系統（Semi-Automatic Transfer Systems，Semi-ATS），能讓駭客手動遠端竄改使用者輸入的帳密資料，將使用者想要轉帳的款項或是加密貨幣，送到使。</p> <p><a href="https://www.csoonline.com/article/3687098/mks-instruments-falls-victim-to-ransomware-attack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">半導體設備製造商MKS Instruments證實遭到勒索軟體攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <a href="https://www.ithome.com.tw/tags/高科技產業"><span style="color: rgb(255, 140, 0);">#高科技產業</span></a></strong></p> <p>根據半導體設備製造商MKS Instruments近日向美國證交所通報的資料，該公司於2月3日遭勒索軟體攻擊，並指出與生產相關的系統遭到影響，他們為防止災害擴大，暫時中斷部分系統的運作。該公司正在積極復原受到影響系統，而對於這起資安事故帶來的損失，他們表示仍在評估。此外，該公司的網站目前尚未恢復運作。</p> <p><a href="https://cert.gov.ua/article/3804703"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭當局遭到駭客濫用Remcos遠端控制軟體發動攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> <a href="https://www.ithome.com.tw/tags/Remcos"><span style="color: rgb(255, 140, 0);">#Remcos</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/malware-remcos.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/malware-remcos.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）提出警告，駭客組織UAC-0050利用名為Remcos的遠端控制暨監控軟體，攻擊該國政府機關，駭客假冒當地電信業者Ukrtelecom的名義寄送釣魚郵件，內有透過密碼保護的RAR檔，以及內有密碼的純文字檔案，其中RAR壓縮檔的檔案大小為535 KB，解開後竟然有一隻大小超過600 MB的可執行檔，一旦收信人開啟這個檔案，電腦就有可能被安裝Remcos而讓駭客能遠端控制。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/nodaria-ukraine-infostealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭組織遭到俄羅斯駭客的Graphiron竊密軟體攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> <a href="https://www.ithome.com.tw/tags/Nodaria"><span style="color: rgb(255, 140, 0);">#Nodaria</span></a> </strong></p> <p>資安業者賽門鐵克發現，俄羅駭客組織Nodaria（UAC-0056）自2022年10月，利用名為Graphiron的竊密軟體對烏克蘭組織下手，廣泛挖掘帳密資料、系統與應用程式的資訊，以及對受害電腦執行螢幕截圖來竊取機密。</p> <p>此竊密軟體由下載器與惡意酬載組成，下載器在啟動後會先檢查電腦是否執行含有特定防毒軟體，或者是惡意軟體分析工具，假如都沒有才會下載惡意酬載。此酬載被偽裝成微軟Office軟體的元件執行，並使用PowerShell程式碼竊取Windows系統存放的密碼，並以AES-256加密，然後再利用寫死的AES金鑰與443連接埠，與C2伺服器通訊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/weee-grocery-service-confirms-data-breach-11-million-affected/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北美大型連鎖雜貨店Weee資料外洩，波及110萬客戶</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-weee.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-weee.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇BreachForums宣稱，竊得北美大型連鎖雜貨店Weee的資料，內有1,100萬名顧客的資料。</p> <p>對此，Weee向該新聞網站證實發生資料外洩事故，自2021年7月12日至2022年7月12日下單的客戶有可能受到波及，這些曝險的資料包含了姓名、收貨地址、電子郵件信箱、電話號碼、訂單號碼等，但客戶付款的資訊不受影響。根據帳密外洩搜尋網站Have I Been Pwned的過濾，這些資料應該影響約110萬名客戶。</p> <p><a href="https://www.zscaler.com/blogs/security-research/dynamic-approaches-seen-avemarias-distribution-strategy"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式AveMaria透過VHD虛擬磁碟檔案散布</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/VHD"><span style="color: rgb(255, 140, 0);">#VHD</span></a> </strong></p> <p>資安業者Zscaler揭露RAT木馬程式AveMaria近期的攻擊行動，駭客自去年12月，利用微軟的虛擬磁碟檔案VHD或VHDX做為釣魚郵件的附件，來散布該惡意軟體，此附件檔案內含捷徑檔案，一旦收信人將其開啟，電腦就會執行curl命令下載另一個惡意酬載，最終植入AveMaria，並將網路流量以RC4演算法加密，採用非HTTP的通訊協定與C2伺服器通訊，讓駭客得以掌控受害電腦。</p> <p>研究人員指出，自2022年7月，駭客嘗試多種手法來散布此木馬程式，從7月、8月使用ISO映像檔，到了年底改用虛擬磁碟檔案，而有可能更難被發現。</p> <p><a href="https://blog.checkpoint.com/2023/02/07/cybercriminals-bypass-chatgpt-restrictions-to-generate-malicious-content/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客繞過OpenAI規範，濫用AI語言模型ChatGPT產生惡意內容</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ChatGPT"><span style="color: rgb(255, 140, 0);">#ChatGPT</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/AI-Bot"><span style="color: rgb(255, 140, 0);">#AI Bot</span></a></strong></p> <p>資安業者Check Point在網路犯罪圈發現，駭客自2019年將AI大型語言模型ChatGPT用於改造攻擊工具，近期針對OpenAI試圖防堵濫用於產生釣魚郵件或是惡意程式碼的情況，有人宣稱能繞過相關限制，甚至以提供服務的型式營利。</p> <p>研究人員發現駭客兜售繞過OpenAI限制的服務，他們看到其中一種是設置Telegram機器人，藉由API存取ChatGPT；另一種則是透過指令碼查詢OpenAI的API。研究人員指出，由於OpenAI允許外部應用程式使用API存取GPT-3模型，但缺乏相關管制措施，而讓駭客有機可乘。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-releases-recovery-script-for-esxiargs-ransomware-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA提供勒索軟體ESXiArgs的自動化復原指令碼</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong></p> <p>勒索軟體ESXiArgs鎖定VMware虛擬化系統而來，利用CVE-2021-21974發動攻擊，並於2月3日達到高峰，<a href="https://censys.io/esxwhy-a-look-at-esxiargs-ransomware/">根據資安業者Censys的觀察，有3,551臺伺服器遇害</a>。YoreGroup技術團隊的研究人員發現了能夠復原虛擬機器（VM）運作的方法，<a href="https://enes.dev/">並提供操作步驟</a>，有些受害組織利用這種機制成功恢復運作。最近美國網路安全暨基礎設施安全局（CISA）根據上述研究人員提出的資料，<a href="https://github.com/cisagov/ESXiArgs-Recover/blob/main/recover.sh">製作了自動化的復原指令碼</a>，讓不具相關技能的IT人員，也能快速恢復受害系統的VM運作。</p> <p><a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&sms=13235&s=209467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">公路總局針對iRent資料外洩事故祭出罰鍰新臺幣20萬元，並要求限期改善</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/個資法"><span style="color: rgb(255, 140, 0);">#個資法</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a></strong></p> <p>汽機車共享服務iRent於1月底傳出資料外洩事故，交通部公路總局於2月4日前往和雲行動服務公司稽查，結果發現，該公司未依照個人資料保護法與汽車運輸業個人資料檔案安全維護計畫及處理辦法，採行適當措施導致個資洩露，且沒有制訂個資檔案安全維護計畫，再加上沒有在指定期限內改正，公路總局根據個資法第48條第4款規定，處最高罰鍰新臺幣20萬元，並要求2月28日前提交完整改正資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://msrc-blog.microsoft.com/2023/02/06/bluehat-2023-connecting-the-security-research-community-with-microsoft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟舉辦藍帽資安會議BlueHat 2023，聚焦人工智慧、硬體、基礎設施安全</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BlueHat"><span style="color: rgb(255, 140, 0);">#BlueHat</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>微軟資安事件回應中心（MSRC）於2月8日、9日，在美國華盛頓州舉辦資安會議BlueHat 2023，估計會有來自26國、184家公司，超過400名資安人員與會，這場會議提供資安研究社群與微軟資安專家交流的機會，並規畫27場資安專家的主題演講，內容包含人工智慧資安、硬體安全、基礎設施防護等。MSRC亦主持一系統的閃電演講，來探討當今企業面臨的主要資安威脅及因應之道。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/drug-distributor-amerisourcebergen-confirms-security-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國藥品經銷商AmerisourceBergen證實遭到網路攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/all-classes-canceled-at-irish-university-as-it-announces-significant-it-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">愛爾蘭大學MTU遭到網路攻擊而被迫全校停課</span></span></strong></a></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/money-lover-app-vulnerability-exposes-personal-info/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">財務管理應用程式Money Lover存在漏洞，恐曝露用戶的交易資料</span></span></strong></a></p> <p><a href="https://decoded.avast.io/janvojtesek/dota-2-under-attack-how-a-v8-bug-was-exploited-in-the-game/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體藉由Dota 2遊戲模組散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155435">【2023年2月8日】勒索軟體Clop鎖定Linux版Oracle資料庫下手、殭屍網路病毒Medusa納入加密檔案的能力</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155423">【2023年2月7日】勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡意軟體PlugX</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a></strong></p> </div></div></div>
2023/2/9 15:46作者周峻佑https://www.ithome.com.tw/news/155446
NIST宣布採用Ascon系列演算法作為IoT裝置輕量加密標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準暨技術研究院（NIST）輕量加密團隊在經過審查，以及通過第三方安全分析後，決定標準化Ascon系列加密演算法，使其能夠用於保護運算資源有限的物聯網和微型裝置的資料創建和傳輸，NIST預計會在2023年稍晚的時候，正式<a href="https://www.nist.gov/news-events/news/2023/02/nist-selects-lightweight-cryptography-algorithms-protect-small-devices">公布Ascon加密演算法為NIST輕量級密碼標準</a>。</p> <p>Ascon的誕生來自於NIST所舉辦長達數年的開發計畫，在NIST與業界和各組織溝通需求後，便在2018年對外徵求符合需求的加密解決方案，NIST總共收到了57份提案，經過多輪公開審查，由專家反覆尋找各提案的弱點後，留下10份進入最終審查的提案。</p> <p>由格拉茨工業大學、英飛凌科技、拉瑪安全研究中心與拉德伯德大學密碼學研究人員共同合作，所開發的Ascon演算法，通過專家多年的檢驗並獲得認證加密競賽CAESAR的肯定，因此成為NIST的最終選擇。</p> <p>Ascon成員包括Ascon-128、Ascon-XOF和Ascon-Hash等7種加密演算法，NIST提到，他們考慮將部分或全部Ascon演算法，當作輕量級加密演算法標準，用於帶有關聯資料的認證加密（Authenticated Encryption with Associated Data，AEAD）與雜湊加密任務。</p> <p>AEAD主要保護訊息的機密性，確保受保護資料都為真，在傳輸過程沒有受到改變，這項加密技術有助於避免和RFID標籤相關的訊息交換變造，而雜湊則可用於創建訊息的數位指紋，供接收者驗證訊息是否在傳輸過程遭到變更，同時也能用於檢查軟體更新是否正確下載。</p> <p>雖然Ascon包含了AEAD和雜湊加密，但是經NIST批准最有效的AEAD技術，仍是在Galois/Counter Mode下的Advanced Encryption Standard，至於雜湊則是受到廣泛使用的SHA-256。以上這些加密演算法仍適用於一般用途。</p> <p>只不過因為不少物聯網裝置和微型裝置，有運算資源的限制，像是橋樑感測器和植入式醫療裝置等微型裝置，在實作加密保護時，必須考量其有限的運算資源，而Ascon正是針對保護大部分形式的微型裝置所開發。NIST不打算將Ascon演算法用於解決後量子加密問題，因為輕量級密碼主要目標是保護時效性較短的資料。</p> <p>在<a href="https://ascon.iaik.tugraz.at/index.html">Ascon網站</a>中，開發團隊解釋了每一種加密演算法的特色，並且提供C、Python、Java和Rust語言實作。</p> </div></div></div>
2023/2/9 16:54作者李建興https://www.ithome.com.tw/news/155447
CISA針對受ESXiArgs勒索軟體攻擊的ESXi伺服器釋出恢復腳本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）和FBI，針對受ESXiArgs勒索軟體攻擊的組織，發布<a href="https://www.cisa.gov/uscert/ncas/alerts/aa23-039a">解決指引與檔案恢復腳本</a>，恢復腳本會藉由重新創建VMware ESXi伺服器上，遭到加密的配置檔案，恢復虛擬機器存取，目前受攻擊組織已經可以在<a href="https://github.com/cisagov/ESXiArgs-Recover">GitHub頁面</a>下載該腳本。</p> <p><a href="https://blogs.vmware.com/security/2023/02/83330.html">VMware在2月6日的時候</a>，向虛擬機器管理程式VMware ESXi用戶發出警告，提到近期ESXiArgs勒索軟體興起，用戶應該採取保護措施。VMware於部落格提到，他們還沒有尋找到用於傳播勒索軟體的零日漏洞，但多數報告皆指出，被用於攻擊的是過保固不受支援產品中的已知漏洞。</p> <p>該已知漏洞是2年前VMware已經修補的CVE-2021-21974，是由ESXi主機中的OpenSLP服務堆緩衝溢位造成，擁有連接埠427存取權限的攻擊者，可以觸發ESXi主機中OpenSLP服務的漏洞，導致遠端程式碼執行。VMware建議用戶升級至最新受支援的vSphere元件外，並在ESXi中停用OpenSLP服務，以避免受ESXiArgs勒索軟體攻擊。</p> <p>雖然VMware已經在2021年2月發布修補程式，因此所有ESXi版本都應該預設停用會被用來攻擊的連接埠427，但新一波攻擊鎖定未應用修補程式或是未升級程式的系統，攻擊者在獲得系統存取權限後部署ESXiArgs勒索軟體，勒索軟體會加密ESXi伺服器上的配置檔案，使得虛擬機器服務無法正常運作。</p> <p>目前全球已有3,800多臺伺服器受到ESXiArgs攻擊，其中不少發生在歐洲，所以也引起了歐洲多國政府的關注。現在CISA和FBI針對ESXiArgs勒索軟體，釋出解決指引和恢復腳本，CISA和FBI提到，除了更新軟體和停用OpenSLP服務外，用戶還應該確保ESXi管理程序未暴露於網際網路上，如果已經受到ESXiArgs勒索軟體攻擊，便可以使用CISA和FBI所提供的腳本，嘗試恢復檔案存取。</p> <p>嘗試使用恢復腳本的組織，都應該在部署之前仔細檢查腳本是否適用於該組織環境，恢復腳本不會刪除加密的配置檔案，而是創建新的配置檔案，使用戶能夠重新存取虛擬機器。另外，CISA和FBI也建議用戶檢查ESXi主機與訪客虛擬機器的日誌記錄，以確認是否存在異常活動，並且考慮限制進出主機與訪客虛擬機器網段的非必要流量。</p> </div></div></div>
2023/2/9 16:07作者李建興https://www.ithome.com.tw/news/155445
微軟Edge瀏覽器將內建Adobe PDF渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.adobe.com/en/publish/2023/02/08/adobe-microsoft-bring-industry-leading-acrobat-pdf-experience-window-users-microsoft-edge" target="_blank">微軟、Adobe昨（8）日宣布</a>，Windows 10、11版Edge瀏覽器將改用Adobe的PDF渲染引擎（rendering engine），以提升PDF的顯示效能及效果。</p> <p>在這項合作下，Windows 10和11版Edge瀏覽器將以Adobe Acrobat的PDF渲染引擎取代現有引擎以及內建的PDF閱讀器軟體開啟PDF文件。雙方表示，這能提供PDF文件更精準的色彩和圖片、提升開啟效能及安全性，此外也加入更多字體選擇及朗讀等功能。</p> <p>這項合作是Adobe和微軟針對PDF文件自動化、電子簽章和Windows整合的一環。在此之前，Adobe PDF及電子簽章技術已經整合到Microsoft 365、Teams、SharePoint等產品。</p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-edge-insider/microsoft-edge-and-adobe-partner-to-improve-the-pdf-experience/ba-p/3733481" target="_blank">微軟表示</a>，使用新引擎的Edge會在2023年3月部署到Windows 10和11用戶端，用戶無需下載或安裝個別應用程式。</p> <p>微軟表示，macOS版Edge之後也會有類似的做法，但未說明時程。</p> <p>為免轉換至內建Adobe PDF引擎的Edge會影響企業，一開始企業內列管的裝置可以opt-in方式升級Edge。未列管的Windows電腦則可在其PDF文件下方看到Adobe品牌標識。微軟表示，將在2024年3月31日終止支援使用舊式渲染引擎的Edge PDF方案。</p> <p>需要Adobe PDF進階功能，如編輯文字、圖片、將PDF轉成其他格式、合併檔案等的用戶，則可購買Acrobat授權訂閱服務，在Edge環境下以擴充功能使用這些服務。目前現有Acrobat訂閱服務的Edge用戶已經能直接免費使用。</p> </div></div></div>
2023/2/9 13:32作者林妍溱https://www.ithome.com.tw/news/155439
ChatGPT增加吸引力，Bing App下載數飆10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究資料顯示，在昨日微軟公布以ChatGPT加持的Bing及Edge後，引發用戶興趣，一周之內Bing App全球下載次數成長10倍。</p> <p><a href="https://techcrunch.com/2023/02/08/bings-previously-unpopular-app-sees-a-10x-jump-in-downloads-after-microsofts-ai-news/" target="_blank">Techcrunch</a>報導引述研究機構data.ai周三（2/8）發布的初步估計，顯示昨天微軟記者會策略奏效。</p> <p>根據data.ai數據，在微軟記者會之前，Bing下載次數並不理想。以美國App Store而言，iOS版Bing名列160。不過上星期以來Bing在美國App Store下載排行榜登上第12大，並名列第2大生產力App。</p> <p>報告並指出，研究期間Bing iOS App全球下載次數成長超過10倍。</p> <p>整合OpenAI GPT 4.0及微軟自有AI模型Prometheus的Bing，號稱比ChatGPT更強大，且搜尋相關性及精確性也較過去大幅提升，還能自動為用戶將網頁內容整理重點。此外，它將聊天、搜尋及上網整合於單一介面，讓用戶可透過和AI聊天機器人對話方式查詢資訊、規畫行程或撰寫內容。</p> <p>去年11月上線開放測試的ChatGPT，在短短2個月內經常用戶數已成長到1億人，成為史上最快，可能讓投資OpenAI的微軟及Bing、Edge雨露均霑。</p> <p>但報導也指出，這可能也要歸功於微軟的操作策略。微軟昨天公布的Bing僅為有限測試版，用戶必須加入等候清單才能等日後功能上線後優先測試。而這個動作需要用戶將Bing設為預設搜尋引擎，並掃瞄QR code下載手機版本，可能因此觸發大量下載，並推升其排名。</p> <p>同時間，Edge App也有所提升。Edge新增了二種AI新功能，讓瀏覽器幫忙整理網頁內容重點、尋找比對資料，還能在用戶輸入一些提示資訊後，幫用戶產生電子郵件或網頁內容。一周以來，Edge在App Store工具類App排行榜中由第7位躍升為第3大。</p> <p>Bing要追上Google搜尋可能還得費一番工夫。<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">根據市調機構GlobalStats估計</a>，到今年1月底為止，Google搜尋坐擁92.9%的全球搜尋市場，Bing則只有3.03%。</p> <p>但報導指出，Google的這番成就部分來自它每年支付蘋果、Mozilla等公司數百萬美元，以成為Safari和Firefox的預設搜尋引擎，一旦有更多人將預設搜尋引擎改成Bing，將直接衝擊Google的市占。</p> </div></div></div>
2023/2/9 13:44作者林妍溱https://www.ithome.com.tw/news/155440
號稱能繞過ChatGPT反濫用限制的服務在駭客網站兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>道高一尺，魔高一丈。<a href="https://blog.checkpoint.com/2023/02/07/cybercriminals-bypass-chatgpt-restrictions-to-generate-malicious-content/" target="_blank">研究人員發現</a>，隨著OpenAI的ChatGPT加入防止濫用的方法，攻擊者也發展出能繞過這些限制的新方法及商業服務。</p> <p>安全廠商陸續發現，OpenAI的服務不只造福程式碼工程師，也能幫助技術不佳的駭客。例如<a href="https://www.ithome.com.tw/news/154833" target="_blank">Check Point研究人員去年發現</a>，ChatGPT可被攻擊者用來撰寫網路釣魚電子郵件，並產生基本的惡意VBA程式碼，或是執行reverse shell，進而接受英文攻擊指令。</p> <p>為此，OpenAI為其服務新增限制防止濫用，像是如果攻擊者透過ChatGPT的用戶介面要求它撰寫冒充銀行的釣魚信件，或撰寫惡意程式，將遭到拒絕。</p> <p>但CheckPoint研究人員近日發現駭客界又有新的因應方法。在駭客論壇上，有人兜售繞過OpenAI限制的服務。一個方法是建立Telegram機器人（下圖），透過API整合並存取ChatGPT。某名駭客服務的商業模式是，他們可使用20次ChatGPT免費查詢，而對客戶提供每100次查詢5.5美元的服務。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2023/02/7-700x629.jpg" style="width: 400px;" /></p> <p><a href="http://blog.checkpoint.com/2023/02/07/cybercriminals-bypass-chatgpt-restrictions-to-generate-malicious-content/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CheckPoint</span></span></a></p> <p>研究人員指出，目前OpenAI允許外部應用程式如Telegram頻道以API存取GPT-3模型，幾乎沒有任何防止濫用的機制，因而可被用來生成釣魚信件或惡意程式碼等內容，不受現有規則限制。</p> <p>另一名駭客則是藉由撰寫基礎的腳本程式直接查詢OpenAI API，藉此繞過反濫用機制，達成開發惡意程式的目的。</p> <p>研究人員表示，這顯示隨著ChatGPT不斷強化控制，駭客也會持續「精進」其濫用OpenAI模型的技倆。</p> </div></div></div>
2023/2/9 14:00作者林妍溱https://www.ithome.com.tw/news/155438
2月Tiobe指標C++高成長率表現一支獨秀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>C++在1月的時候，獲頒Tiobe年度程式語言獎，而C++的表現並沒有因此止步，更在2月的時候，<a href="https://www.tiobe.com/tiobe-index/">流行度分數同比增長5.93%，大幅領先其他程式語言</a>。前兩年蓬勃發展，目前位居Tiobe第1名的Python成長則趨於停滯僅有0.16％，第2名的C語言，則小幅成長1.31％。</p> <p>在前20名中，與去年2月相比，表現亮眼的還有兩個語言，分別是Scratch和Rust，Scratch從22名成長到18名，而Rust則從24名上升至20名。TIOBE執行長Paul Jansen提到，每個程式語言都有其優缺點，像Scratch便是學習程式開發的入門語言，在中小學間很流行，而Rust則是具有高安全和高效能優點的程式語言。</p> <p>Tiobe指標前4名的語言，也都有其擅長的領域，Python特別適合用於開發資料探勘、人工智慧和統計等應用程式，而C語言則被廣泛用於嵌入式高效能程式開發。Java適合開發企業業務應用程式，以及Android應用程式。</p> <p>而C++受歡迎程度之所以能持續大幅成長，是因為C++是一種高階物件導向語言，其出色的效能適合編寫大型軟體系統。另一個C++的成長原因，<a href="https://www.ithome.com.tw/news/155077">Paul Jansen表示</a>，由於C++持續發展新語言標準，加入諸如模組等概念，因此可能在未來數年間，持續提升TIOBE指數排名。</p> </div></div></div>
2023/2/9 12:54作者李建興https://www.ithome.com.tw/news/155436
【資安日報】2023年2月8日，勒索軟體Clop鎖定Linux版Oracle資料庫下手、殭屍網路病毒Medusa納入加…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年有不少勒索軟體發展Linux變種，其主要目標就是虛擬化平臺VMware ESXi，但其他以Linux為基礎開發的IT系統也有可能成為目標──現在有駭客鎖定在此系統執行的Oracle資料庫下手，攻擊者可下達命令、加密資料庫、應用程式本身，以及使用者檔案。</p> <p>遭殭屍網路病毒攻擊不光是受感染的設備遭到控制，檔案還有可能遭到破壞。有研究人員發現新版惡意軟體Medusa，不只具備控制感染設備發動DDoS攻擊的能力，還能加密裝置的檔案，並具備竊密程式（Info-stealer）的模組。</p> <p>開源加密程式庫OpenSSH於1月底修補了數個漏洞，其中最引起注意的是CVE-2023-25136，攻擊者有可能在不需取得權限的情況下任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/cl0p-ransomware-targets-linux-systems-with-flawed-encryption-decryptor-available/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Clop首度出現Linux變種，針對在此作業系統執行的Oracle資料庫發動攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Linux"><span style="color: rgb(255, 140, 0);">#Linux</span></a> <a href="https://www.ithome.com.tw/tags/Oracle"><span style="color: rgb(255, 140, 0);">#Oracle</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Clop-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Clop-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露勒索軟體Clop近期的攻擊行動，他們在2022年12月底哥倫比亞大學的資安事故裡，發現ELF檔案的Clop變種，該Linux版勒索軟體與Windows版本採用相同的加密方式，以及相似的執行邏輯。</p> <p>但特別的是，有別於許多Linux版勒索軟體針對VMware虛擬化平臺ESXi而來，Clop的目標是在這類作業系統執行的Oracle資料庫，攻擊者可針對使用者的home資料夾、root資料夾、選用軟體套件資料夾opt、以及Oracle程式與資料庫檔案的資料夾等，下達加密檔案的命令。研究人員指出，此Linux版勒索軟體很可能仍在開發階段，使用寫死的RC4金鑰進行加密，使得他們能夠破解，研究人員提供了Python指令碼，讓受害者能夠免費復原檔案。</p> <p><a href="https://blog.cyble.com/2023/02/03/new-medusa-botnet-emerging-via-mirai-botnet-targeting-linux-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Medusa出現加密檔案、偵察系統資訊的能力</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/殭屍網路"><span style="color: rgb(255, 140, 0);">#殭屍網路</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <a href="https://www.ithome.com.tw/tags/Medusa"><span style="color: rgb(255, 140, 0);">#Medusa</span></a></strong></p> <p>資安業者Cyble指出，曾於2015年至2017年出現的殭屍網路病毒Medusa，近期捲土重來，駭客以Mirai為基礎開發新版Medusa，但當中特別的是，該殭屍網路病毒具備勒索軟體的相關功能，可加密受感染裝置的特定類型檔案。</p> <p>不過，Medusa完成檔案加密後會休眠24小時，然後刪除系統磁區的所有檔案，並留下勒索訊息，要求IT人員支付0.5個比特幣（相當於11,400美元）來復原檔案，研究人員認為這樣的現象起因是程式碼出現錯誤，研判該殭屍網路病毒的加密檔案功能尚在開發階段。</p> <p>此外，Medusa亦具備竊密軟體的功能，攻擊者主要是用於收集系統資訊，得知目標裝置能用於DDoS攻擊或是挖礦的資源，而非用在執行勒索軟體攻擊前外洩資料。</p> <p><a href="https://news.sophos.com/en-us/2023/02/06/qakbot-onenote-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員警告大規模濫用OneNote筆記檔案的攻擊行動，目的是散布惡意軟體QBot</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OneNote"><span style="color: rgb(255, 140, 0);">#OneNote</span></a> <a href="https://www.ithome.com.tw/tags/QBot"><span style="color: rgb(255, 140, 0);">#QBot</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/QakNote-image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QakNote-image6.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露上週出現的大規模攻擊行動QakNote，駭客利用惡意的OneNote檔案附件，企圖讓受害電腦感染銀行木馬QBot。</p> <p>駭客在OneNote檔案裡嵌入了HTA檔案，該HTA檔案一旦執行，將會觸發其指令碼，利用curl.exe的處理程序，下載QBot的DLL檔案，然後經由Rundll32.exe執行。為逃過防毒軟體的偵測，該惡意軟體會將其酬載注入Windows輔助技術管理員（Windows Assistive Technology Manager，AtBroker.exe）。</p> <p>而對於駭客散布QBot的釣魚郵件，研究人員指出看到兩種型態的手法──其中一種是直接在釣魚郵件裡面嵌入惡意OneNote檔案的連結，另一種則較為複雜，攻擊者盜用其他信件的內容，進行回覆鏈攻擊。</p> <p><a href="https://sansec.io/research/sansec-analysis-12-of-online-stores-leak-private-backups"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站備份資料要小心存放！超過一成網站儲存於公開資料夾而曝險</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/e-commerce"><span style="color: rgb(255, 140, 0);">#E-commerce</span></a> </strong></p> <p>隨著資安事故頻傳，不少電子商務網站會採取相關的管制措施，但這些機制的保護範圍通常沒有涵蓋其備份資料，而可能成為駭客下手的目標。根據資安業者Sansec的調查，有部分網站的管理者因為人為的錯誤或是疏忽，不慎將備份資料存放於可被公開存取的地方，平均每8個電子商務網站就有一個出現這種現象。</p> <p>研究人員一共分析了2,037個網站，結果有250個（12.3%）的共用Web資料夾被公開，而使得存放於當中的ZIP、SQL、TAR檔案無須通過身分驗證就能存取，這些檔案的內容包含了資料庫密碼、內部API金鑰，甚至是顧客的個資。研究人員警告，他們已經觀察到積極掃描這類不受保護的備份資料，一旦取得，攻擊者就有可能控制電子商務網站，或是勒索商家、阻撓客戶付款。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-gang-claims-royal-mail-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國郵務機關Royal Mail遭到網路攻擊，勒索軟體LockBit公開喊話要求他們付款贖回</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/LockBit"><span style="color: rgb(255, 140, 0);">#LockBit</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Royal_Maill_leak_enttry.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Royal_Maill_leak_enttry.png" style="width: 300px; float: right;" /></a>英國郵務業者Royal Mail於1月上旬傳出遭到網路攻擊，被迫暫停部分國際業務，如今駭客組織LockBit聲稱是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體Lockebit近日將Royal Mail列於網站，並揚言該機構若不向他們聯繫，將於2月9日公布竊得的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/openssh-releases-patch-for-new-pre-auth.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源加密通訊程式庫OpenSSH出現預先身分驗證漏洞</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OpenSSH"><span style="color: rgb(255, 140, 0);">#OpenSSH</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Double-Free"><span style="color: rgb(255, 140, 0);">#Double Free</span></a></strong></p> <p>開源加密通訊程式庫OpenSSH於2月2日發布9.2版，當中修補了記憶體重複釋放（Double Free）導致的預先身分驗證漏洞CVE-2023-25136，該弱點存在於此程式庫的options.kex_algorithms記憶體儲存區當中，一旦遭到利用，攻擊者就有可能在未經身分驗證的情況下，執行任意程式碼。<a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/02/03/cve-2023-25136-pre-auth-double-free-vulnerability-in-openssh-server-9-1">資安業者Qualys指出</a>，這樣的漏洞可被用於導致sshd處理程序出現記憶體重複釋放的現象，且無須特珠權限。</p> <p><a href="https://eaton-works.com/2023/02/06/toyota-gspims-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">豐田汽車供應商管理平臺存在漏洞，攻擊者可隨意存取內部機密資料</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/汽車產業"><span style="color: rgb(255, 140, 0);">#汽車產業</span></a></strong></p> <p>研究人員Eaton Zveare揭露日本汽車大廠豐田（Toyota）的全球供應商備料資訊管理系統（GSPIMS）漏洞，攻擊者只要針對「Act As」的功能提供電子郵件信箱，就有可能觸發漏洞並回傳JSON Web Token（JWT），進而在不知道密碼的情況下存取該系統。</p> <p>另一方面，研究人員也透過網路搜尋而取得可能具有GSPIMS存取權限的員工帳號（電子郵件信箱），成功登入系統後利用聯絡人功能找出系統管理員帳號，最終成功控制整個系統，取得北美、歐洲、亞洲、日本逾1.4萬名使用者帳號，存取超過500個網頁，以及機密文件、專案資料、供應商等級等資訊。研究人員於去年11月通報，豐田汽車已修補相關漏洞。</p> <p><a href="https://www.securityweek.com/critical-baicells-device-vulnerability-can-expose-telecoms-networks-to-snooping"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Baicells無線通訊基地臺存在嚴重漏洞，有可能導致電信網路受到窺探</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/電信網路"><span style="color: rgb(255, 140, 0);">#電信網路</span></a></strong></p> <p>研究人員Rustam Amin揭露美國電信設備供應商Baicells旗下的基地臺系統Nova存在重大漏洞CVE-2023-24508，攻擊者一旦利用該漏洞，就有可能透過root權限執行Shell命令，並完全控制設備。攻擊者成功利用漏洞後，有可能關機造成服務中斷，甚至監控目標的網路流量與通訊，取得電話號碼、IMEI碼、地理位置資料等。研究人員表示，全球有超過1,150臺設備曝險，大部分位於美國。</p> <p>對此，Baicells於1月24日發布資安通造，Nova 227、233、243、246等型號的基地臺受到影響，該公司發布RTS/RTD 3.7.11.6版修補。美國網路安全暨基礎設施安全局（CISA）也提出警告，並指出該漏洞的CVSS風險層級達到9.8分。</p> <p><a href="https://www.securityweek.com/unpatched-econolite-traffic-controller-vulnerabilities-allow-remote-hacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Econolite交通控制系統存在漏洞，恐被用於遠端癱瘓交通</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/交通運輸"><span style="color: rgb(255, 140, 0);">#交通運輸</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>研究人員Rustam Amin在交通控制器軟體Econolite EOS發現重大漏洞CVE-2023-0452、高風險漏洞CVE-2023-0451，CVSS風險評分為9.8分及7.5分，並向美國網路安全暨基礎設施安全局（CISA）通報。</p> <p>其中的CVE-2023-0452，是該系統針對特權使用者帳密資料進行加密時，採用強度不足的雜湊演算法有關，攻擊者有可能因此在未經身分驗證的情況下，藉由MD5雜湊值取得系統的組態檔案。另一個漏洞則是對於特定的唯讀事件記錄檔案、配置檔案，該系統缺乏密碼保護。研究人員指出，駭客一旦利用上述漏洞，就有可能完全控制紅綠燈，例如設置綠燈的秒數變得非常短、紅燈時間非常久，讓用路人及車輛難以通行，進而癱瘓交通。</p> <p>CISA指出，開發商Econolite直到研究人員公布細節後，才表示正在準備修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/actively-exploited-goanywhere-mft-zero-day-gets-emergency-patch/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案共享系統GoAnywhere零時差漏洞出現攻擊行動，廠商終於推出「緊急」修補程式</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/0-day"><span style="color: rgb(255, 140, 0);">#0-day</span></a> </strong></p> <p>IT公司Fortra於上週指出，MFT檔案共享系統GoAnywhere存在零時差漏洞，但要閱讀該資安通告，必須是該公司用戶且已註冊帳號者才能存取，直到資安新聞記者Krebs Brian轉貼才公諸於世，如今已有概念性驗證攻擊程式碼出現。事隔一週，根據資安新聞網站Bleeping Computer的報導，Fortra近日發布了GoAnywhere 7.1.2版修補程式，並呼籲用戶儘速安裝，若是無法套用修補軟體，也應該採取緩解措施因應。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.sandiegouniontribune.com/news/health/story/2023-02-06/sharp-notified-x-patients-of-data-breach"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州醫療服務業者Sharp HealthCare遭到攻擊，近6.3萬人個資外洩</span></span></strong></a></p> <p><a href="https://dailycaller.com/2023/02/06/hackers-19000-students-day-off-west-virginia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國伯克利縣學區遭到網路攻擊，近2萬學生無法上學</span></span></strong></a></p> <p><a href="https://therecord.media/vesuvius-plc-cyber-incident-steel-industry-supplier/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國鋼鐵產業供應商Vesuvius證實遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.csoonline.com/article/3687098/mks-instruments-falls-victim-to-ransomware-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">半導體設備製造商MKS Instruments證實遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/guloader-the-nsis-vantage-point.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體GuLoader濫用軟體打包工具NSIS，鎖定電子商務產業下手</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155423">【2023年2月7日】勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡意軟體PlugX</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a></strong></p> </div></div></div>
2023/2/8 16:31作者周峻佑https://www.ithome.com.tw/news/155435
研究人員揭露豐田汽車全球供應商管理平臺漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eaton-works.com/2023/02/06/toyota-gspims-hack/" target="_blank">研究人員發現</a>日本汽車大廠豐田（Toyota）的供應商管理網站存在一個單用電子郵件信箱，就能冒名存取的重大漏洞。豐田汽車已經完成漏洞修補。</p> <p>美國研究人員Eaton Zveare是在豐田的全球供應商備料資訊管理系統（Global Supplier Preparation Information Management System，GSPIMS）上發現這項漏洞。GSPIMS（下圖）是北美業者SHI為豐田開發的Angular-based單頁式應用程式。漏洞出在GSPIMS對使用者登入驗證的JWT實作。JWT一般在用戶登入網站時輸入電子郵件和密碼後，網站派發給用戶的憑證，用戶提供JWT給網站或API以證明自己的身份。</p> <p class="rtecenter"><img alt="" src="https://eaton-works.com/cdn-cgi/imagedelivery/VwwCqBIYNXeyNQwEQ8uyVQ/8f2b015c-f204-4a05-f1a9-c870f7ad3b00/full" style="width: 419px;" /></p> <p><a href="http://eaton-works.com/2023/02/06/toyota-gspims-hack/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Eaton Zveare</span></span></a></p> <p>研究人員發現GSPIMS一項名為「Act As」的功能中，只要提供電子郵件，不需密碼就能觸發回傳JWT。意謂著他只要輸入有效的豐田員工電子郵件即能取得JWT。同時間，研究人員發現豐田汽車北美員工的電子郵件格式具備可預測性，是以「名.姓@toyota.com」為格式。他稍微網路搜尋一下，就得到可能具有GSPIMS系統存取權限員工的電子郵件，並以此獲得GSPIMS的有效JWT，完全跳過豐田汽車的公司登入驗證流程。他冒充該員工成功登入GSPIMS，並透過搜尋聯絡人功能找到系統管理員。由此研究人員取得系統管理員JWT，成功登入及控制整個GSPIMS系統。</p> <p>研究人員最後得以存取涵括北美、歐洲、亞洲及日本員工超過1.4萬用戶，並且存取500多個網頁，包括帳號資料、機密文件、專案、供應商層級等資訊。</p> <p>連同這項漏洞，Zveare於去年11月初通報豐田汽車4項漏洞，後者及SHI於11月底證實已經修補。</p> </div></div></div>
2023/2/8 14:44作者林妍溱https://www.ithome.com.tw/news/155432
GovTech月報第15期：數位部擬推廣更多產業採用FIDO身分識別標準；國科會提2024科技施政方向，聚焦量子、太空…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0114~0206)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">FIDO</span></font> </strong></p> <p><span style="font-size:22px;"><strong>數位部擬擴大產業採用FIDO聯盟政府會員，擬擴大產業應用</strong></span></p> <p>數位發展部（下稱數位部）宣布在今年1月加入國際FIDO聯盟，未來除了積極參與國際間FIDO技術標準各項工作小組討論、會員間交流，數位部長唐鳳指出，數位部加入FIDO聯盟政府會員，將使臺灣在FIDO標準的應用範圍，除了政府、金融之外，擴大到其他產業，為網路身分識別提供便利及安全的保障。</p> <p>在此之前，我國已有內政部加入該聯盟，數位部為第2個加入國際FIDO聯盟的我國政府部會，其他也以公部門加入FIDO聯盟政府會員的國家，包括美國、英國、德國、澳洲、韓國及泰國，我國為第7個以公部門加入的會員國家。</p> <p>數位部表示，加入國際聯盟，有助於臺灣與全球政府單位、跨國企業互動，參與制定國際標準，與國際接軌強化身分識別，並擴大產業應用，以及提升數位產業安全與韌性。未來將透過技術輔導及示範案協助其他產業採用，初期將規畫擴大電商交易、線上遊戲等領域應用。由於FIDO 技術具有身分識別、身分驗證、資安等不同場景應用，未來將會納入數位部的推動政策中。另外，今年2月FIDO聯盟將首次在臺灣舉行會員大會暨國際研討會，數位部長唐鳳將參加國際研討會主題演說。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">國科會</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技政策</span></font> </strong></p> <p><strong><span style="font-size:22px;">國科會2024年科技施政新方向，聚焦量子、太空、淨零碳排、6G</span></strong></p> <p>去年從科技部改組的新國科會，近期提出113年度我國科技發展重點政策，除持續投入既有5+2產業創新、6大戰略產業，也將擴大投入新興科技，包括半導體、量子、太空、淨零碳排、高齡科技、6G等，將透過跨部會合作重點科技項目。</p> <p>國科會將扮演科技發展的溝通平臺，整合我國的科研能量發展具臺灣優勢的淨零科技關鍵技術，助臺灣的淨零科技產業進入國際市場；此外，迎合臺灣進入高齡化社會，也將推動高齡科技創新應用。通訊科技方面，跨部會合作推動5G及低軌衛星通訊發展，投入次世代的6G布局等等。</p> <p>國科會也指出，產業資安發展將是另一項重點，國科會已協調數位部底下法人設立聯合檢測實驗室，於3月1日起針對無人機提供資安檢測，並與產業合作推動SEMI E187標準驗證，強化產業的資安韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>英國擬投入400萬英鎊，用大數據及AI對抗鎖定公部門的詐欺行為</strong></span></p> <p>為避免政府機構遭詐騙造成納稅人損失，英國政府以400萬英鎊與Quantexa簽約，透過該業者的數據分析能力，可從數十億筆數據快速分析，來識別出可疑的活動，協助公務部門降低被詐的風險。</p> <p>英國政府在去年特別成立公部門詐欺管理局（The Public Sector Fraud Authority, PSFA），透過與各部門、公務機構合作，協助其對抗專門針對公部門的詐欺行為。先前英國政府即借助Quantexa，從涉及250個網絡關係人、組織、地點，處理超過1億筆數據，找出一項政府貸款計畫中的詐欺案例。此次PSFA與Quantexa的最新合作，將運用大數據分析、AI等尖端科技，對抗詐欺行為。</p> <p>PSFA獲得英國政府2,500萬英鎊的資金支持，作為政府部門反詐欺的中心，PSFA表示，隨著詐欺手法多變，犯罪者開發更複雜工具，必須以現代化、創新的方法防止詐欺。目前PSFA設定第一年的目標為減少1.8億英鎊的詐欺損失。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技執法</span></font> </strong></p> <p><span style="font-size:22px;"><strong>桃園市警局擬設交通科技執法中心，靠影像辨識、機器學習、大數據分析降低交通事故</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11109306-1.jpg" style="width: 600px; height: 368px;" /></p> <p>去年1到10月，桃園市共發生近4萬起交通事故，造成200多人死亡，受限於執法人力有限，桃園市府為提高交通執法，市警局擬在4月底成立交通科技執法中心，結合機器學習、影像辨識、大數據分析，透過蒐集資料、分析、取締違規，借助科技提高交通執法效率，希望降低交通事故。</p> <p>近年來，桃園市大舉建置科技執法，以科技取代人力蒐集資料、取締，成功降低交通事故案件數量，在積極導入交通科技執法之下，現已建置約300個科技執法點，取締包括闖紅燈、未禮讓行人、超速、違規變換車道等，根據警方統計，桃園地區十大易肇事路口，中壢區就佔了一半，其次是桃園區，這些易肇事路口，積極設置科技執法取締交通違規事項。</p> <p>科技執法設備蒐集疑似違規資料，最終由警員人工檢閱開單取締，因應愈來愈多的交通科技執法人力需求，市警局籌設交通科技執法中心，目前編制約10人。交通科技執法中心也接受民眾提出申訴，滾動式調整科技執法的偵測範圍及項目。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>英國政府測試年齡預估及身分識別技術，可望用於夜生活場所及超市，確保買酒類商品消費者符合年齡</strong></span></p> <p>為確保未符合年齡資格的消費者無法購買酒類商品，英國政府近期完成年齡預估及數位身分識別技術測試，該測試擴大數位身分在英國零售業的應用，以測試年齡預估、數位身分識別在各種零售環境的效果。</p> <p>由英國內政部、商品安全及標準辦公室主導的9項測試，允許超市、酒吧、夜生活場所在監管沙盒下，以測試各種鑑別顧客年齡、身分識別的技術；其中4項測試專案採用Yoti的年齡預估技術，在自助結帳時透過AI的臉部掃描，來預估顧客的年齡。其他的測試則利用App識別數位身分、護照或生物特徵資料。</p> <p>英國政府認為通過這些測試，得以學習到如何將年齡預估或身分識別技術整合到既有的監控和執法程序裡。測試所得到的結果，能夠作為酒類銷售商及負有監督、執法責任的單位從中學習到經驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>美國釋出AI治理框架，控管AI研發及使用風險</strong></span></p> <p>因應AI技術快速發展所衍生的風險，美國政府蒐集產業界意見，近期由NIST釋出AI治理框架AI RMF1.0（AI Risk Management Framework），目的在降低AI產品及服務在設計、開發、使用及評估各方面的風險，NIST已準備在今年春天提出最後AI RMF草案版本。</p> <p>美國提出AI治理框架的目的，一方面是提高對AI信任，另方面為降低AI發展及應用的風險。該框架包括基礎資訊及核心兩部分，其中第一個部分基礎資訊，要求組織應該考量並規範AI系統的風險，包括瞭解及重視AI系統伴隨而來的風險，可能造成的損害或影響，重視AI風險管理，並且涵蓋整個AI系統的生命周期。另外，也包括如何建立可信任的AI系統，包括有效、可靠、安全、彈性、透明、可問責、可解釋，提升隱私、避免偏見。</p> <p>至於第二部分的核心部分，要求AI發展及應用的風險可被辨別、監管、分析、追蹤、評估，針對風險影響的高低，並建立優先處理順序、應對行動。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本政府在東京荒川測試以無人機自主飛行配送食物、河道巡邏</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone-test-1.jpg" style="width: 600px; height: 450px;" /></p> <p>近期日本交通部與KDDI Smart Drone合作，在東京都的荒川區進行食品運送的示範實驗，以及下游河道的巡邏飛行測試，假設在荒川下游，市中心上空，以無人機進行食品運送、執行河道巡邏，通過行動通訊網路讓無人機自主飛行，測試遠端飛行控制。</p> <p>此次測試使用兩款無人機，一款為特殊載重設計無人機，最重可荷重30公斤的大型無人機，測試無人機載運食品及飲料，自主飛行運送至荒川河對岸；另一款則為空拍型無人機，配備30倍變焦相機、360度防撞感測器，用於河道巡視測試，拍攝水閘、河流護岸等。</p> <p>日本政府於去年12月修訂民用航空法，開放居住地區的無人機超視距飛行（第4級飛行），開放無人機在城市應用的潛力，吸引相關的無人機應用測試，日本政府與民間業者致力於測試無人機協助解決社會問題，例如因應勞動人口減少，取代傳統人力工作，當災害發生時，用於瞭解災情，協助物品運送等等。</p> <p> </p> <p>圖片來源／桃園市警局、KDDI Smart Drone、國科會</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.英國政府與產業界聯手，以8100萬英鎊加速發展自駕巴士</strong></p> <p><strong>2.行政院核定淨零排放路徑4年計畫，9部會提56項子計畫、總經費743億元</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/2/8 12:05作者蘇文彬https://www.ithome.com.tw/news/155424
微軟推出以ChatGPT強化的新版Bing搜尋、Edge，開放大眾試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過本周稍早預告有「驚喜活動」，一如多家媒體預測，<a href="https://blogs.microsoft.com/blog/2023/02/07/reinventing-search-with-a-new-ai-powered-microsoft-bing-and-edge-your-copilot-for-the-web/" target="_blank">微軟昨（7）日宣布</a>以OpenAI的ChatGPT強化的新版Bing搜尋引擎，以及Edge瀏覽器的AI服務，目前在<a href="https://www.bing.com/" target="_blank">Bing.com</a>上以預覽版開放大眾試用。</p> <p>微軟執行長Satya Nadella記者會上宣布這項消息，他並指出，AI將根本改變所有類別的軟體，包括最大的類別：搜尋。以ChatGPT為基礎的新版Bing和Edge可協助使用者從搜尋和網頁上獲得更多資訊，詢問答案或產生想要的內容。</p> <p>微軟消費事業群行銷長Yusuf Mehdi說明，新版Bing結合了4項技術，包括微軟和OpenAI合作研發的最新一代大型語言模型Prometheus，號稱比ChatGPT及GPT 3.5更強大、更快、更精準。Bing核心搜尋排序引擎也用了AI模型改善，微軟說新版Bing搜尋相關性的進步是20年來最大，可提供用戶更相關、正確的資訊，也更安全。新版Bing並透過整合搜尋、上網及聊天於統一介面，提供新的使用者體驗。</p> <p>微軟指出，這些服務之所以實現，是因為微軟將Azure建構成AI超級電腦，而OpenAI利用這個基礎架構訓練出為Bing最佳化的模型。上個月微軟和Open AI宣布擴大技術合作，微軟除了數十億美元投資OpenAI，也開放OpenAI在Azure進行模型建構和訓練。</p> <p>新版Bing在介面上更為簡潔，且支援傳統關鍵字、自然語言或是語音輸入。新的搜尋功能在簡單事物，如運動比賽分數、股價或氣象可提供關聯性更高的答案。針對較複雜內容，Bing搜尋也會整理成重點，此外新增側邊欄，列出蒐羅到的相關資訊，例如使用者搜尋起司蛋糕食譜，Bing除了找出高相關性的食譜網頁，頁面側欄也會匯整關於起司蛋糕歷史、如何將蛋換成其他材料等資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Bing-ChatGPT-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>此外，和ChatGPT一樣，新版Bing可協助用戶產生內容，例如寫電子郵件、規劃旅遊行程，或是準備工作面試等。提供內容同時，Bing也會標註內容來源連結，供用戶連向原始網頁。</p> <p>它的聊天機器人（chatbot）模式讓用戶可像ChatGPT的介面和Bing互動。不過這項功能目前還未上線，用戶必須加入等候清單以便上線時使用。</p> <p>除了更聰明的Bing，微軟也宣布Edge新增兩項AI功能，兩項功能都位於側邊欄（下圖）。一是Chat，使用者可透過Chat功能執行網頁內容像是財報或文章的摘要，或叫它比對競爭廠商的財報，再做成比較表。而Compose功能則讓用戶在幾個提示中輸入，由這功能撰寫電子郵件，或是LinkedIn個人介紹，還能叫它修改語氣、格式或文章長度。Edge會自動辨識用戶所在網頁而做出適當調整。</p> <p class="rtecenter"><img alt="" src="https://blogs.microsoft.com/wp-content/uploads/prod/2023/02/Thermo_Edge_Still_4_16x9-1536x864.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p>新版Bing目前僅透過有限預覽版方式更新桌機版本，目前已在Bing.com上線，提供用戶體驗部份功能，但完整功能還未上線，用戶可在<a href="https://www.bing.com/new" target="_blank">等候清單</a>中登記之後嘗鮮。微軟在接下來幾周內會擴大測試，也會提出測試版的手機版本。微軟說新Edge也會在本周推出預覽版。</p> <p>微軟這項宣布也正式點燃微軟和Google的AI搜尋爭霸戰。在微軟高調投資OpenAI及兩公司技術合作後，Google上周宣布以3億美元投資OpenAI研發主管成立的新創公司Anthropic，昨日也搶先宣布正在開發自有聊天機器人Bard。一般相信，ChatGPT也會逐步融入微軟其他產品，包括Office或Microsoft 365。</p> </div></div></div>
2023/2/8 12:18作者林妍溱https://www.ithome.com.tw/news/155429
Dell裁員5%、內部組織重整
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.delltechnologies.com/node/13946/html" target="_blank">Dell昨（6）日宣布</a>，裁員近5%並啟動組織整併等措施，以因應全球經濟環境挑戰，成為最新裁員的科技大廠。</p> <p>Dell現有員工數約15.7萬，因此這波裁員恐影響超過7,000人，組織變動的支出將會列入2023年會計年度第4季的財報中。</p> <p><a href="https://www.dell.com/en-us/blog/preparing-for-the-road-ahead/" target="_blank">Dell副董事長暨共同營運長Jeff Clarke</a>透過公司內部信件宣布，最新措施包括暫停對外招募、限制差旅、並縮減外部服務支出，以助公司度過嚴峻環境挑戰及不確定前景。Dell也說會持續評估業務，以確保為客戶和合作夥伴提供最新創新及服務，顯示必要時不排除再做調整。</p> <p>最新組織變動將涉及業務、服務及產品部門。在業務端，區域業務和專門服務重點客戶的Dell Technologies Select（DTS）部門將合併於同一最高主管下，相關支援部門也會同步調整，以簡化功能。服務端方面，支援服務部門將整併到基礎架構（Infrastructure Solution Group）及用戶端解決方案（Client Solution Group）事業群下，以強化產品、服務及銷售部門之間的反饋圈，也能使服務價格更能反映工程及產品設計，最終有助於更快開發整合性解決方案。</p> <p>此外，Dell也計畫基礎架構（如伺服器、儲存、網路）解決方案事業群（ISG）工程團隊在未來，將把人和資源優先放在重點項目上。</p> <p><a href="https://investors.delltechnologies.com/news-releases/news-release-details/dell-technologies-announces-third-quarter-fiscal-2023-financial" target="_blank">根據上季Dell財報</a>，過去幾年間，受惠於企業投資伺服器、儲存、網路等以支援遠距作業，雖然年中景氣反轉，但ISG部門上季仍成長12%。但主要提供個人電腦的客戶端解決方案事業群（CSG），受到疫情緩解、全球企業及消費者採購潮衰退及通膨因素影響下，上季衰退17%。</p> <p>Dell預計在2023年3月2日公布會計年度2023年第4季財報。</p> </div></div></div>
2023/2/8 12:30作者林妍溱https://www.ithome.com.tw/news/155430
AWS提供用戶VPC資源視覺化介面簡化管理工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/new-visualize-your-vpc-resources-from-amazon-vpc-creation-experience/">Amazon Virtual Private Cloud（VPC）資源地圖</a>，透過在頁面上直覺呈現VPC上的所有資源和路由，使得用戶能夠更簡單地理解並管理VPC布局。用戶透過點擊VPC資源地圖中的資源，就能夠取得該資源的詳細資訊，不再需要自己想像資源之間的關係，以及各種詳細資訊。</p> <p>去年AWS也有針對VPC創建推出新功能，讓用戶透過滑鼠點擊，就能夠跨可用區域創建和連接VPC資源，省掉大量的手動操作步驟，這項新功能的核心是互動式圖表，該圖表能夠顯示VPC架構的預覽，並且依照對應的選擇，視覺化呈現將要創建的VPC資源及其關係。</p> <p>但是這項功能就僅限於VPC資源創建，一旦完成創建，用以表示VPC資源和關係的圖表也就消失了，而從新的VPC資源地圖中，用戶現在可以快速了解VPC架構布局，包括子網數量、與公共路由表關聯的子網，以及可以路由到NAT閘道器的路由表等資訊。</p> <p>目前所有Amazon VPC可用地區，都已經能夠使用VPC資源地圖功能，但官方提到，VPC資源圖和創建體驗，目前僅會顯示VPC、子網、路由表、網際網路閘道器、NAT閘道器和Amazon S3閘道器，AWS將會繼續改進相關功能。</p> </div></div></div>
2023/2/8 10:34作者李建興https://www.ithome.com.tw/news/155421
伺服器端渲染春天再臨？Deno解釋舊技術如何解決客戶端渲染困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端開發人員常面臨兩難，想要在網頁應用程式添加更多功能，但在增加複雜功能的同時，又會導致用戶裝置需要下載更多的程式碼，使得載入時間變慢，進而影響用戶體驗，而Node.js的替代專案<a href="https://deno.com/blog/the-future-and-past-is-server-side-rendering">Deno則認為，該問題的解決方案將會是伺服器端渲染</a>，透過傳送由伺服器生成的HTML給客戶端，來加速客戶端載入的速度，同時在各種裝置提供一致的使用體驗。</p> <p>比起過去，雖然現在的網路環境更快頻寬更大，但是應用程式的大小在過去10年也大幅增加，Deno提到，桌面網頁大小的中位數從468 KB增加到2284 KB，總共成長達388.3％，而行動裝置的網頁大小更是成長1288.1％，從145 KB上升到2010 KB。即便這些程式碼都是應用程式所需，但是需要透過網路傳輸的內容增加，也就對用戶體驗造成更大的負面影響。</p> <p>目前前端常見的技術是單頁應用程式和客戶端渲染，程式碼主要在客戶端瀏覽器運作，因此客戶端需要下載必要的HTML、JavaScript和各種需要的資源，並執行程式碼來呈現使用者介面，一旦需要的資源和資料下載完畢，使用者便不需要頻繁地存取伺服器，因此介面更具回應性，使用體驗良好，而且因為使用者不需要存取伺服器，便可以將核心HTML和JavaScript快取在CDN，在提供快速存取的情況下還能降低成本。</p> <p>Deno表示，這些技術在桌面環境運作良好，因為用戶通常使用主流瀏覽器和快速的有線網路。但是隨著技術發展及各種裝置出現，網頁應用程式的使用情況更加複雜，開發者將難以在眾多種裝置中確保單頁應用程式使用體驗一致，也難以解決當用戶在連線不穩定的移動中交通工具，像是火車上存取時，頁面呈現可能不如預期的問題。</p> <p>要解決單頁應用程式和客戶端渲染所產生的問題，Deno認為，解決方案就是伺服器端渲染。Perl和PHP等CGI等腳本語言便是運用伺服器端渲染，產生靜態HTML檔案，讓開發人員有能力將後端資料以HTML呈現，使得網頁能夠依使用者需求動態呈現內容，只不過隨著JavaScript和瀏覽器變得更加強大，因此伺服器端的工作也就轉移到客戶端進行。</p> <p>儘管與單頁應用程式和客戶端渲染相比，伺服器端渲染是較舊的概念，但Deno表示伺服器端渲染有其優勢，除了客戶端在收到HTML時，便已經可以載入並顯示，因此伺服器端渲染效能更好之外，伺服器端渲染的相容性也更高，因為HTML由伺服器生成，並不依賴終端瀏覽器。另外，運用伺服器端渲染也會使前端程式複雜性降低，因為伺服器端已經完成大部分工作，所以客戶端程式可以使用更簡單且更小型的程式碼庫實作。</p> <p>雖然要建置互動式網站，還是必須向靠戶端發送JavaScript，但是透過使用NextJS、Remix和Fresh等框架，開發者可以更容易地建構伺服器端渲染網站，並且權衡JavaScript的實現，在各種螢幕尺寸和網路條件下，提供一致的網站使用體驗，且透過將伺服器端渲染應用程式部署在網路邊緣，還能夠進一步減少內容傳送延遲。</p> </div></div></div>
2023/2/8 10:43作者李建興https://www.ithome.com.tw/news/155422
【資安日報】2023年2月7日，勒索軟體針對義大利組織的VMware ESXi發動攻擊、中國駭客組織假借歐盟名義散布惡…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前傳出有勒索軟體鎖定VMware ESXi的漏洞CVE-2021-21974發動攻擊的情況，引起歐美國家高度重視，如今有國家證實遭到大規模攻擊，不只部署此虛擬化平臺的組織受害，還導致當地數百萬民眾無法上網。</p> <p>中國駭客組織Mustang Panda去年底發起新的攻擊行動，駭客假借歐盟的名義來發動釣魚郵件攻擊。研究人員認為，這起事故很可能是針對協助烏克蘭的歐洲國家而來。</p> <p>電玩遊戲原神的防做弊元件又被濫用於攻擊行動！有資安業者揭露專門透過遠端桌面軟體漏洞入侵受害電腦的資安事故，駭客為了規避防毒軟體對於惡意程式的偵測，利用前述元件來進行自帶驅動程式攻擊（BYOVD）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://eandt.theiet.org/content/articles/2023/02/italy-warns-of-large-scale-global-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">利用2年前VMware ESXi漏洞的勒索軟體攻擊行動出現災情，數十家義大利組織受害、數百萬用戶無法上網</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/CVE-2021-21974"><span style="color: rgb(255, 140, 0);">#CVE-2021-21974</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong></p> <p>法國電腦緊急應變小組（CERT-FR）及當地雲端服務業者OVHcloud於2月3日提出警告，<a href="https://www.ithome.com.tw/news/155389#CVE-2021-21974">有人積極針對虛擬化平臺VMware ESXi下手</a>，利用CVE-2021-21974發動勒索軟體攻擊，如今這樣的情況傳出了災情。根據義大利媒體安莎通訊社（Agenzia ANSA）的報導，他們引述義大利國家網路安全局（ACN）於2月5日發出的警告，當地有數十個組織遭到相關攻擊，多達數百萬人無法連上網際網路，ATM設備也出現無法提供服務的現象。另一家當地媒體晚郵報（Corriere della Sera）指出，駭客向受害組織索討2個比特幣（相當於約4.2萬歐元）。義大利電信（TIM）也在同日發生網路故障的情況，但初步了解與上述勒索軟體攻擊無關。</p> <p>對此，<a href="https://blogs.vmware.com/security/2023/02/83330.html">VMware也在6日發出警告</a>，勒索軟體ESXiArgs利用上述漏洞發起大規模攻擊，並指出目標主要是終止支援（EOGS）或是過時版本的系統，他們呼籲IT人員使用最新版本的ESXi，並停用OpenSLP服務。</p> <p>ESXiArgs並非近期鎖定此虛擬化平臺的勒索軟體。Equinix威脅分析中心（ETAC）的研究人員發現，<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-royal-ransomware-targets-vmware-esxi-servers/">勒索軟體Royal最近也出現Linux版本</a>，主要目標就是VMware ESXi。</p> <p><a href="https://blog.eclecticiq.com/mustang-panda-apt-group-uses-european-commission-themed-lure-to-deliver-plugx-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Mustang Panda假借歐洲議會名義散布惡意軟體PlugX</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Mustang-Panda"><span style="color: rgb(255, 140, 0);">#Mustang Panda</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/PlugX"><span style="color: rgb(255, 140, 0);">#PlugX</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/PlugX-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PlugX-1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露中國駭客組織Mustang Panda近期的攻擊行動，該組織於2022年12月，假冒歐洲聯盟委員會的名義，透過LNK捷徑檔案在受害電腦植入惡意軟體PlugX，並利用DLL搜尋順序挾持（DLL Search-Order-Hijacking）的方式，濫用系統內建的程式LMIGuardianSvc.exe，將其使用的記憶體來載入此惡意軟體。</p> <p>為了能持續在受害電腦上運作，駭客透過竄改Windows作業系統的登錄機碼，將惡意軟體加入開機啟動的項目。攻擊者最終讓該惡意軟體與C2伺服器連線，並洩露竊得資料。</p> <p><a href="https://asec.ahnlab.com/en/47088/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國遠端桌面存取軟體漏洞遭到濫用，駭客用於自帶驅動程式攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BYOVD"><span style="color: rgb(255, 140, 0);">#BYOVD</span></a> <a href="https://www.ithome.com.tw/tags/Sliver"><span style="color: rgb(255, 140, 0);">#Sliver</span></a> <a href="https://www.ithome.com.tw/tags/原神"><span style="color: rgb(255, 140, 0);">#原神</span></a> <a href="https://www.ithome.com.tw/tags/Powercat"><span style="color: rgb(255, 140, 0);">#Powercat</span></a></strong></p> <p>資安業者AhnLab揭露針對中國遠端桌面存取軟體「向日葵（Sunlogin）」漏洞而來的攻擊行動，駭客利用此軟體的RCE漏洞CNVD-2022-10270、CNVD-2022-03672入侵受害電腦，進而部署滲透測試工具Sliver、木馬程式Gh0st、挖礦軟體XMRig，以及名為Powercat的反向Shell。</p> <p>研究人員指出，為了規避防毒軟體的偵測，這些駭客在植入上述惡意軟體之前，會部署PowerShell指令碼，藉由含有漏洞的電玩原神（Genshin Impact）反作弊元件Mhyprot2DrvControl，發動自帶驅動程式（BYOVD）攻擊。</p> <p><a href="https://frycos.github.io/vulns4free/2023/02/06/goanywhere-forgotten.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布檔案共享系統GoAnywhere零時差漏洞的概念性驗證攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/0-day"><span style="color: rgb(255, 140, 0);">#0-day</span></a> </strong></p> <p>MFT檔案傳輸管理系統GoAnywhere日前傳出資安漏洞危機，<a href="https://www.ithome.com.tw/news/155404#goanywhere">資安新聞記者Brian Krebs指出該系統存在零時差漏洞</a>，但尚未發布修補程式。事隔數日有了新的發展。</p> <p>資安顧問公司Code White的研究人員公布此漏洞的細節，以及概念性驗證（PoC）攻擊程式碼，這些程式碼可讓攻擊者在尚未採取緩解措施的GoAnywhere系統上，不需通過身分驗證就能遠端執行任意程式碼。<a href="https://attackerkb.com/topics/mg883Nbeva/cve-2023-0669/rapid7-analysis">資安業者Rapid7指出</a>，此漏洞已被登記為CVE-2023-0669進行追蹤。</p> <p><a href="https://www.securityweek.com/feds-say-cyberattack-caused-suicide-helplines-outage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國自殺求助的生命線電話988因電信業者遭網路攻擊而中斷服務</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/988"><span style="color: rgb(255, 140, 0);">#988</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a></strong></p> <p>根據美聯社的報導，美國新開通的自殺心理咨詢求助生命線電話988，12月1日因網路攻擊而中斷語音電話服務接近1天，起因是提供此專線電信服務的業者Intrado遭到網路攻擊所致，但簡訊與即時通訊服務不受波及。此事得到該國物質成癮暨心理健康服務部（SAMHSA）證實，聯邦通訊委員會已在去年12月介入調查。對此，該國有眾議員提出法案，呼籲政府要針對與988熱線相關的網路攻擊採取更完善的因應措施。</p> <p><a href="https://en.yna.co.kr/view/AEN20230203008600325"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國電信業者LG Uplus傳出資料外洩影響範圍擴大，29萬用戶受到波及</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>根據韓國媒體Yonhap News Agency的報導，當地電信業者LG Uplus Corp於上個月（1月）發生資料外洩事故，並表示總共約有29萬名用戶受到影響。這起事件最初是1月10日揭露，該公司初步認為有18萬名用戶個資外洩，包含了姓名、生日、電話號碼，但後來發現，曾經使用該電信服務的11萬名民眾也受到波及。該公司強調，外洩的資料不包括用戶的財務資訊，但並未公開說明事故發生的原因。 </p> <p><a href="https://www.websiteplanet.com/news/8twelve-leak-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大房屋貸款業者8Twelve資料庫缺乏密碼保護，逾70萬民眾個資曝光</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/812-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/812-1.png" style="width: 300px; float: right;" /></a></p> <p>研究人員Jeremiah Fowler與架站教學網站Website Planet聯手，發現一個對外公開且沒有密碼保護的資料庫，內有717,814筆記錄，涉及數以千計的加拿大民眾，內容包含姓名、電話號碼、電子郵件信箱、居住地址等，研究人員推測這些資料很可能與想要購屋、融資、投資房地產有關，進一步調查認為此資料庫是當地房屋貸款業者8Twelve所有，經通報後，該業者數小時後採取行動，禁止公眾存取。研究人員推測，該資料庫很可能與8Twelve採用的客戶關係管理系統（CRM）有關。</p> <p><a href="https://www.hackread.com/india-truck-brokerage-company-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度卡車貨運公司FR8伺服器配置不當，曝露140 GB資料</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/india-FR8-largest-truck-brokerage-company-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/india-FR8-largest-truck-brokerage-company-data-leak.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Hackread的報導，資安研究員Anurag Sen與資安業者FlashStart聯手，發現印度大型卡車貨運公司FR8出現伺服器配置不當的情況，內有140 GB資料，外部人士無須輸入密碼或是通過安全驗證就能存取。這些曝露的資料包括印度各地客戶的記錄、發票、付款資訊，以及員工與客戶的個資。研究人員試圖透過電子郵件通報FR8，但信件皆被退回。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securityaffairs.com/141792/hacking/tallahassee-memorial-healthcare-cyberattack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國佛羅里達州醫院遭到網路攻擊，系統被迫離線</span></span></strong></a></p> <p><a href="https://www.swissinfo.ch/eng/sci-tech/hackers-target-zurich-university-with--professional--cyberattack/48256306"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘇黎世大學傳出遭到網路攻擊，隔離部分IT系統防止災情擴大</span></span></strong></a></p> <p><a href="https://www.securityweek.com/high-severity-privilege-escalation-vulnerability-patched-in-vmware-workstation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware修補虛擬化軟體高風險漏洞</span></span></strong></a></p> <p><a href="https://news.cts.com.tw/cts/society/202302/202302062138967.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">華航個資外洩延燒，傳出駭客預告將公布第三波資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155416"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟OTP驗證碼產生器Authenticator將停止支援Apple Watch</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155404">【2023年2月6日】 iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東南亞國家而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a></strong></p> </div></div></div>
2023/2/7 17:56作者周峻佑https://www.ithome.com.tw/news/155423
知名問答平臺Quora發表自家AI聊天機器人平臺Poe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每月擁有4億不重複用戶的知名問答平臺Quora，現在創建出自家的<a href="https://quorablog.quora.com/Poe-1">人工智慧聊天機器人平臺Poe（Platform for Open Exploration）</a>，使用者只要在Poe上提問，Poe便能即時提供答案。目前Poe僅先在iOS上架，接下來幾個月會陸續登陸包括Android、網頁和桌面等平臺，Quora執行長提到，他們之後還會針對不同任務，創建更多的機器人。</p> <p>人工智慧的可用性，已經隨著技術成熟，在許多使用案例中被驗證，即便人工智慧仍有部分議題待討論與解決，但不可否認的，隨著ChatGPT的出現，人們對人工智慧將顛覆一切習以為常的想像，已經越來越清晰，Quora執行長Adam D'Angelo認為，人工智慧的浪潮，將比個人電腦、網際網路或是智慧手機更具革命性，並會對社會和世界經濟產生更大的影響。</p> <p>Quora著手開發新產品因應人工智慧帶來的影響，建立人工智慧機器人平臺Poe，目前在平臺上提供OpenAI和Anthropic的模型，讓使用者能夠與人工智慧機器人來回對話，即時獲得問題的答案。Adam D’Angelo提到，雖然Poe上目前只支援OpenAI和Anthropic的模型，但是在可預見的未來，將會出現一個持續成長的人工智慧生態系。</p> <p>由於不同的任務需要用上不同的模型，因此Poe作為機器人平臺，接下來將會提供更多的模型，Quora正在開發Poe API，要讓其他人工智慧開發人員，更簡單地在Poe介接模型，進而擴展用戶。另外，由於要促進人工智慧模型的使用，Quora建立方便的分享功能，讓使用者可以與社群追蹤者分享模型輸出，以分享使用靈感。</p> <p>Poe將Quora視為快速傳播知識的工具，但是Quora目前並沒有使用創作者，在平臺上共享的知識來訓練Poe，該公司將Poe視為獨立的新產品發展，並且當Poe足夠成熟時，還會在Quora上發布由Poe產生的內容。Adam D’Angelo表示，未來如果他們選擇使用Quora平臺資料訓練模型，也會尊重平臺上的創作者，讓創作依意願選擇退出。</p> <p>Adam D’Angelo也向使用者打預防針，強調Poe所使用的人工智慧技術並不完美，僅能用於特定情況，他們雖然盡力解決人工智慧的問題，但是要完全解決人工智慧目前的缺陷，還需要一段時間。</p> </div></div></div>
2023/2/7 17:04作者李建興https://www.ithome.com.tw/news/155420
微軟Authenticator不再支援Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/account-billing/common-questions-about-the-microsoft-authenticator-app-12d283d1-bcef-4875-9ae5-ac360e2945dd" target="_blank">微軟說</a>，從今年1月開始，雙因素驗證用的Authenticator App已不再支援Apple Watch。</p> <p>微軟自2018年推出Apple Watch版的Authenticator，讓iOS用戶以雙因素驗證登入個人或公司微軟帳號時，直接在Apple Watch上接受通知或輸入第二組驗證碼，而無需拿出iPhone。</p> <p><a href="https://www.macrumors.com/2022/12/13/microsoft-authenticator-watchos-app-discontinued/" target="_blank">《MacRumors》本周發現</a>微軟稍早更新的FAQ網頁說明，從2023年1月起不會再有watchOS的App，原因是它不支援Authenticator的安全功能。這意謂著用戶無法再於Apple Watch安裝及使用Authenticator。</p> <p>微軟並未說明是牽涉何種安全功能，只建議用戶移除這款App。</p> <p>這是微軟從iOS平臺撤除的最新軟體功能。<a href="https://www.ithome.com.tw/news/153374" target="_blank">去年9月微軟也終止支援iOS版SwiftKey預測式鍵盤</a>。媒體推測是因為蘋果不開放iOS API供微軟App存取的關係。</p> <p>事實上，這幾年已經有許多軟體陸續從Apple Watch撤除，原因是使用量少或是和iPhone版重疊性高，包括Twitter、Instagram、Uber及Slack等。</p> </div></div></div>
2023/2/7 11:06作者林妍溱https://www.ithome.com.tw/news/155416
微軟測試Defender for Endpoint隔離Linux裝置的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-device-isolation-support-for-linux/ba-p/3676400" target="_blank">微軟宣布</a>將為端點防護軟體Defender for Endpoint推出可隔離網路中Linux裝置的新功能，以便在發生勒索軟體等攻擊時防止災情擴散。</p> <p>一些安全防護措施要求可將特定臺裝置隔離出來，以防止攻擊者從駭入的裝置上執行進一步攻擊，包括資料外洩或橫向移動。Defender for Endpoint已經可以隔離Windows裝置，最新功能Defender for Endpoint Linux則讓管理員從Microsoft 365 Defender入口網站或利用API手動隔離Linux裝置。它能暫時切斷被駭入的Linux裝置與整個網路的連線，只連到Defender for Endpoint服務，同時又能持續監控該臺裝置。</p> <p>這項功能目前為公開預覽版階段，但不久後也會正式推出。</p> <p>但微軟提醒，特定裝置被隔離時，某些行程就無法持續執行，例如在完全VPN通道後的裝置一旦被隔離就無法連到Defender for Endpoint。微軟建議管理員使用分割通道（split-tunneling）VPN以及Defender Antivirus雲端防護。此外，該公司也澄清，Defender for Endpoint新功能並不支援從網路移除Linux裝置。</p> </div></div></div>
2023/2/7 11:22作者林妍溱https://www.ithome.com.tw/news/155417
哥倫比亞法官用ChatGPT做出判決
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT運用愈來愈廣。一名哥倫比亞法官在其近日一宗官司中，使用了ChatGPT生成的答案作為判決依據之一。</p> <p>哥倫比亞一名法官Juan Manuel Padilla Garcia上個月在審理一宗保險公司和其一名被診斷有自閉症的兒童客戶的理賠官司時，使用了ChatGPT的答案。這名法官向ChatGPT輸入了幾個問題，並將其回答的文句，連同自己的想法，加入成為判決的論點基礎，他並且在<a href="https://www.diariojudicial.com/public/documentos/000/106/904/000106904.pdf" target="_blank">判決文件</a>中坦言使用了AI系統給出的答案。</p> <p>根據法院文件，Garcia問了ChatGPT的問題包括「自閉症未成年患者是否可不需支付其治療的費用？」、「在這些情況下，要求保險公司收費是否成為享受健康服務的障礙？」以及「憲法法院判例中有無類似有利的判決？」</p> <p>ChatGPT回答，根據哥倫比亞法令，未成年自閉症患者在治療過程中不需支付仲介者費用。而且在某些情況下，特別是如果收入有困難，或者經濟狀況不穩定，要求自閉症患者支付費用的要求可能會成為患者獲得醫療服務的障礙。ChatGPT也說哥倫比亞憲法法院曾有過類似的有利判決。</p> <p>這個AI聊天機器人也引用了哥國法令，說該法條適用於為仰賴社福系統的族群提供公、私健康服務的機構。</p> <p>Garcia最後判決，這名男童的醫療支出必須由其保險公司負擔，因為他父母負擔不起。不過該法官指出，使用ChatGPT只是為了加快判決書撰寫的速度，而非取代人類法官的決斷。他也說，ChatGPT可以「提升司法體系的回應時間，並以更有組織、簡單而結構化的方式」提供資訊。</p> <p>雖然法官聲稱ChatGPT用於輔助判決有很多好處，但是許多AI倫理學者認為並不可取，因為目前證據顯示，AI可能給出具偏見、甚至錯誤的資訊。雖然ChatGPT的開發商OpenAI已加入限制不當提問及給出錯誤答案的工具，但仍警告不應將ChatGPT的回應用於重大判斷。</p> </div></div></div>
2023/2/7 11:44作者林妍溱https://www.ithome.com.tw/news/155419
推特關免費API引社群反彈，馬斯克考慮開放免費輕量唯寫API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特持續收緊API政策，上周宣布將在2月9日關閉免費API存取，馬斯克（Elon Musk）在其推文提到，這項政策是為了解決推特上充斥垃圾訊息機器人的問題，但與此同時，也使許多正常使用的機器人被迫關閉。</p> <p>在推特宣布這項API新政策後，不少推特機器人作者開始向追蹤者道別，但根據<a href="https://twitter.com/elonmusk/status/1621426702294609921">馬斯克最新的回應</a>看來，政策可能還有轉圜的餘地。馬斯克上周提到，因為取用推特API不需要經過身分驗證，而且不需要任何持成本，使得垃圾訊息機器人大量出現，他們希望透過設置每月100元美金的API存取費用，以及身分驗證門檻來減緩這個情況。</p> <p>擁有20.9萬追蹤者的貓帳Pépito（@PepitoTheCat）作者回應馬斯克提到，推特新API政策將會使Pépito帳號消失，但Pépito是推特歷史的一部分，透過發布高品質內容，帶來許多平臺參與。馬斯克為此重新考慮API政策，表示會提供經過驗證的帳戶，免費取用輕量唯寫API以繼續產生優質內容。</p> <p>另外，馬斯克還表示，<a href="https://twitter.com/elonmusk/status/1621544497388875777">推特會開始向訂閱Twitter Blue Verified的創作者，提供推文串的廣告分潤</a>，但是馬斯克只提到這項政策從2月4日開始實施，但沒有說明任何執行細節，因此用戶目前還不知道，推文需要有多少流量才能獲得分潤，又或是推特會以什麼管道支付廣告收益給用戶。</p> <p>推特現在還希望企業花錢維持他們的黃金認證徽章，前英國政府數位通訊顧問，現任Geekout Newsletter創辦人Matt Navarra，<a href="https://twitter.com/MattNavarra/status/1621558412386476036?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1621558412386476036%7Ctwgr%5E6fd9897e3b6a22bdf990f13a414675c53f056d72%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.theverge.com%2F2023%2F2%2F4%2F23585612%2Ftwitter-gold-checkmark-business-subscription">公開推特所寄發的信件</a>，信中提到，推特要對組織認證的黃金徽章收費，要是企業想要繼續擁有組織認證徽章，必須每月支付1,000美元，每一個組織關聯帳戶還需要每月支付50美元費用，才能獲得認證徽章。</p> <p>隨後Matt Navarra又向推特的產品團隊，確認組織黃金認證徽章的相關資訊，推特產品團隊回應了跟信件相同的訊息。不過，推特目前未正式對外發布這項訊息，同時也不清楚擁有黃金認證徽章的組織，會在未支付費用多久的時間失去黃金認證徽章。</p> </div></div></div>
2023/2/7 10:38作者李建興https://www.ithome.com.tw/news/155406
VS Code Python擴充套件改進環境設定流程，並強化IntelliSense對單元測試的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-february-2023-release/">微軟發布VS Code的Python和Jupyter擴充套件2月更新</a>，使得用戶能夠可以更簡單地設定環境，並且快速編寫程式。現在當開發者從Conda或是虛擬環境的終端機啟動VS Code時，VS Code現在能夠偵測啟用的環境，並且根據環境類型自動選取適合的Python環境，或是詢問使用者的選擇，官方提到，這項的功能透過自動選擇環境，使開發者不需手動以改進開發流程。</p> <p>現在開發者還可以使用Python:Create Environment命令，選擇創建環境的需求檔案和可選相依項目。過去開發者使用Python:Create Environment命令創建環境時，該命令會搜尋常用需求和相依項目，並自動載入到環境中，而在更新後的Python:Create Environment命令，使得開發者可以根據需求多重勾選選項並執行快速安裝</p> <p>另外，微軟也改進IntelliSense對Pylance中Pytest的支援，Pytest是一個單元測試框架，協助開發者寫出更小、更可讀的測試，還支援測試應用程式和函示庫複雜功能。而IntelliSense現在支援Pytest Fixtures和參數化功能，且因為IntelliSense增加支援跳轉到定義和查詢所有引用功能，使得開發者可以更方便地導覽和閱讀測試。官方提到，這次對IntelliSense的更新，能夠近一步協助開發者使用Pytest編寫清楚易維護的測試。</p> <p>微軟持續改進最近使用（Most Recently Used，MRU）核心選擇器，開發者可以在notebook.kernelPicker.type設定配置為MRU來啟用新功能，並在選擇其他核心選項，選擇未使用的核心。當開發者安裝了最新的Jupyter和Python擴充套件，該選擇器就會按照Jupyter核心或是Python環境等來源，對核心進行分組。</p> </div></div></div>
2023/2/7 10:39作者李建興https://www.ithome.com.tw/news/155413
【資安日報】2023年2月6日，iRent與格上租車接連傳出資料庫配置不當事故、安卓惡意軟體TgToxic針對臺灣等東…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽機車共享服務iRent一月底傳出資料外洩事故引起國內各界關注，突顯臺灣企業因應資安事故的能力有待加強，也使得個資保護的議題再度浮上檯面。針對這次事故，上週末（2月4日）和泰終於做出較為詳細的說明，將原先認定僅影響14萬人調整為40萬人。</p> <p>無獨有偶，近日有人發現格上租車也有類似的資料庫配置不當的情形向立委陳情，初步估計1.6萬名用戶受到影響。</p> <p>研究人員揭露名為TgToxic的金融木馬，並指出駭客最初針對臺灣安卓用戶而來，架設冒牌的行政院紓困網站來發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2286/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">汽機車共享服務iRent受害規模擴大，擬對40萬用戶提出補償</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a></strong></p> <p>針對日前汽機車共享服務iRent傳出資料外洩的情況，和泰於2月4日發出新的聲明，將可能的受害範圍擴大，並對於資安事故做出進一步說明。該公司原先認定有14萬名用戶因近三個月異動資料而曝險，但現在擴大範圍，表示自資料庫啟用以來，涉及潛在風險的用戶共有40.01萬名，他們於2月1日晚間寄送電子郵件進行通知，並於2日提供時數補償。</p> <p>本次公告和泰也進行較為詳細的說明，表示發生事故的資料庫，是他們內部用來記錄應用程式事件記錄（Log）的暫存資料庫，記錄的個資包含姓名、電話、地址、經遮蔽的信用卡資料、身分證字號、生日、電子郵件信箱、緊急聯絡人，以及會員的照片圖檔（經過編碼處理）等，該公司委由外部資安公司監控是否有會員資料外流。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">立委揭露格上租車資料庫配置不當的事故</span></strong> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/格上租車"><span style="color: rgb(255, 140, 0);">#格上租車</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/個資法"><span style="color: rgb(255, 140, 0);">#個資法</span></a></strong></p> <p>繼汽機車共享服務iRent傳出因資料庫沒有設置密碼保護措施，導致40萬用戶資料外洩，現在有其他租車業者傳出類型情形。根據<a href="https://www.cna.com.tw/news/aipl/202302060090.aspx">中央社</a>、<a href="https://news.pts.org.tw/article/621397">公視</a>、<a href="https://news.ltn.com.tw/news/politics/breakingnews/4202430">自由時報</a>等媒體報導，時代力量與民進黨立委今日（6日）皆召開記者會，揭露格上租車的個資外洩事故。</p> <p>時代力量立委邱顯智、科技工程師王景弘接獲陳情，有人在iRent傳出資料外洩事件後，檢查自己使用的格上租車服務是否存在類似情況。結果發現，該系統在下載訂單資料的過程中，並未再次經過身分驗證就執行，原因很可能是格上租車的雲端儲存空間設定不當，導致會員訂單資料可被人任意查詢及列出，這些資料包含了姓名，生日，以及身分證字號。王景弘進行驗證發現逾10萬筆PDF檔案的訂單文件存放於雲端空間，且沒有設定存取限制，根據格上租車向會員說明，超過1.6萬用戶個資可能外洩。對此，格上租車回應，他們獲報後就關閉App的查詢及存取功能，目前尚未發現遭到異常查詢或下載的情形。</p> <p>同日，民進黨立委賴品妤、劉世芳、洪申翰、莊競程也呼籲政府應儘進成立個資獨立專責機關，通盤檢討現有政策能量，並預告將提出相關修法草案。<a href="https://www.facebook.com/LaiPinYuSouichi/posts/pfbid02sYd4ArkSs3QT1ta7tS7e4x7aM5CoipTp7QjfXtjZyfUoYyN4oyGpAbqKpa9rsA3xl">賴品妤表示</a>，當她得知格上租車App「GoSmart」供用戶查詢自己租車單據的連結公開、未加密保護，隨即要求公路總局積極監督，公路總局於2月3日派員前往稽查。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體TgToxic針對臺灣、印度、泰國等東南亞用戶而來</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ATS"><span style="color: rgb(255, 140, 0);">#ATS</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/TgToxic"><span style="color: rgb(255, 140, 0);">#TgToxic</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-tgtoxic-malware-automated-framework-targets-southeast-asia-android-users.png" style="width: 300px; float: right;" /></a>全球經濟低迷，有許多人必須依賴政府紓困的金援渡過難關，但這也成為駭客用來發動網釣攻擊的幌子。資安業者趨勢科技針對安卓金融木馬TgToxic進行分析，主要目標是東南亞，目的是從受害者手機裡的銀行App、加密貨幣錢包，盜取存款及數位資產。值得留意的是，該惡意軟體自2022年7月出現，最初是針對臺灣需要紓困的民眾而來。</p> <p>研究人員最初是發現臉書上出現詐欺貼文，內含針對臺灣使用者的釣魚連結，佯稱是行政院1988紓困救濟網站來行騙，提供2.8萬元的疫情颶風勞工補償津貼，一旦使用者依照指示存取惡意網站，就有可能下載TgToxic；後來在8月至10月，他們又看到駭客改以色情勒索、加密貨幣詐騙的名義，來散布此木馬程式。而至2022年底至2023年初，這些駭客將轉換攻擊目標為泰國的使用者。</p> <p>駭客利用自動化測試框架Easyclick開發TgToxic，而使得該惡意程式支援JavaScript指令碼，攻擊者能利用這種指令碼挾持安卓設備的使用者介面，並監控使用者輸入的內容、點選的內容，以及操作的手勢，進而在受害者輸入帳密的過程來竊取相關資料，並挾持他們的銀行帳戶與加密貨幣錢包，甚至在無需使用者確認的狀態下，使用名為<a href="https://www.ithome.com.tw/news/129672">自動傳輸系統（Automatic Transfer Systems，ATS）</a>的攻擊手法，進行小額交易。</p> <p><a href="https://research.checkpoint.com/2023/following-the-scent-of-trickgate-6-year-old-packer-used-to-deploy-the-most-wanted-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式打包工具TrickGate讓攻擊者規避防毒軟體長達6年</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/TrickGate"><span style="color: rgb(255, 140, 0);">#TrickGate</span></a> </strong> <strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Packer-as-a-Service"><span style="color: rgb(255, 140, 0);">#Packer-as-a-Service</span></a></strong></p> <p>資安業者Check Point針對惡意程式打包工具TrickGate進行分析，此工具為以Shell Code為基礎的軟體打包工具，最初於2016年7月出現，並訂閱服務（Packer-as-a-Service）提供駭客運用，標榜能規避防毒軟體及EDR的偵測。研究人員指出，TrickGate最初被用於打包勒索軟體Cerber，但有人將其用於打包殭屍網路病毒Trickbot、Emotet、竊密軟體AgentTesla、Formbook、挖礦軟體CoinMiner、勒索軟體REvil等，近兩年每週就有40次至650次攻擊與TrickGate有關。</p> <p>研究人員指出，這些駭客主要針對全球製造業，但也有教育、醫療、金融組織受害；他們提及駭客針對臺灣與土耳其有顯著增加的現象。其中，最近2個月駭客散布最多的惡意軟體是Formbook，占42.74%。該資安業者認為，此惡意程式打包工具之所以能長達6年未被發現，除了TrickGate供應商不斷受到改良，另一個盲點在於資安人員普遍聚焦在惡意軟體進行研究，並未花更多心力分析加殼相關技術的程式工具。</p> <p><a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬使用者遭到假冒DocuSign的網釣攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DocuSign"><span style="color: rgb(255, 140, 0);">#DocuSign</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Office-365"><span style="color: rgb(255, 140, 0);">#Office 365</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/jan_docusign_fig-2-fake-page.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒電子文件簽名業者DocuSign的網路釣魚攻擊，駭客鎖定採用Office 365郵件用戶而來，假借DocuSign文件需要通過簽核的名義，引誘收信人開啟。</p> <p>一旦收信人依照指示開啟完整的檔案，就會被引導到假冒資安業者Proofpoint的檔案下載網頁，駭客聲稱檔案已通過賽門鐵克檢驗，使用者必須透過Proofpoint的帳號登入才能存取。假如收信人照做，他的Proofpoint帳密資料就會落入攻擊者的手中。研究人員初步估計，駭客對一萬個電子郵件信箱發出這種網釣郵件。</p> <p><a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用OneNote筆記檔案散布</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/QBot"><span style="color: rgb(255, 140, 0);">#QBot</span></a> <a href="https://www.ithome.com.tw/tags/OneNote"><span style="color: rgb(255, 140, 0);">#OneNote</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Initial-Spam-email-containing-OneNote-file_-1.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble揭露近期惡意軟體QBot的攻擊行動，當中最值得留意的部分，就是駭客利用夾帶OneNote筆記檔案附件的釣魚信來散布惡意軟體，一旦收信人打開附件檔案，就會觸發內嵌的HTA檔案下載QBot，然後透過rundll32.exe載入、執行。</p> <p>研究人員針對惡意OneNote檔案進行分析，結果發現當中嵌入的HTA檔案內有兩個JavaScript指令碼、兩個VBscript指令碼，駭客利用JavaScript指令碼下載QBot，至於VBscript指令碼的功能，研究人員表示，其中一個會清除JavaScript指令碼執行過程中加入的機碼，並向用戶顯示檔案無法開啟的錯誤訊息。但這並非首度有惡意軟體利用這種檔案來散布，去年12月，<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/">資安業者Trustwave揭露有人利用此種檔案挾帶惡意軟體Formbook</a>。</p> <p><a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">泰國、菲律賓、秘魯遭到安卓木馬Gigabud RAT假冒政府機關發動攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Android"><span style="color: rgb(255, 140, 0);">#Android</span></a></strong></p> <p>資安業者Cyble揭露鎖定泰國、菲律賓、秘魯的安卓木馬程式Gigabud RAT，駭客設置冒牌的泰國航空業者Thai Lion Air網站，引誘使用者下載此木馬程式，並將Gigabud RAT偽裝成泰國、菲律賓、秘魯的政府機關、購物、銀行貸款App。此木馬程式約自2022年7月出現，並引起泰國電信電腦緊急應變小組（TTC-CERT）於9月提出警告。</p> <p>一旦使用者依照指示下載並安裝App，該木馬程式就會收集手機上已安裝的應用程式資訊，並執行名為OpenService的服務，木馬程式就會連接到C2伺服器接收命令，然後向受害者顯示假的貸款合約，要求進行確認，過程中會要求受害者授予存取手機的多種權限，如錄製螢幕畫面、層疊螢幕畫面等，最終透過WebSocket協定將側錄的畫面傳送到指定的伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/new-high-severity-vulnerabilities.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5 BIG-IP出現高風險漏洞，恐被用於阻斷服務或執行任意程式碼</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BIG-IP"><span style="color: rgb(255, 140, 0);">#BIG-IP</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://my.f5.com/manage/s/article/K000130415">資安業者F5針對旗下的BIG-IP解決方案提出警告</a>，表示他們近期修補了CVE-2023-22374，這項漏洞為格式字串弱點，出現在名為iControl SOAP的API元件，攻擊者可在通過身分驗證的情況下，利用這項漏洞導致iControl SOAP的CGI處理程序當機，甚至有可能執行任意程式碼。</p> <p>該公司表示，在使用整合應用設備模式（Appliance Mode）運作的BIG-IP系統裡，若攻擊者成功濫用漏洞，安全的邊界將會被跨越。根據部署模式的差異，此漏洞的風險層級介於7.5分至8.5分．影響BIG-IP 13.1.5版至17.0.0版。<a href="https://www.rapid7.com/blog/post/2023/02/01/cve-2023-22374-f5-big-ip-format-string-vulnerability/">揭露此漏洞的資安業者Rapid7表示</a>，有鑑於iControl SOAP的API是透過root的權限執行，攻擊者一旦成功利用上述漏洞，就能利用這種權限來遠端觸發任意程式碼並執行。</p> <p><a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">檔案傳輸管理系統GoAnywhere存在零時差漏洞，恐被用於RCE攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/0-day"><span style="color: rgb(255, 140, 0);">#0-day</span></a></strong></p> <p>2月2日，<a href="https://infosec.exchange/@briankrebs/109795710941843934">資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告</a>，指出該系統存在零時差漏洞，可被用於RCE注入攻擊，並張貼開發商於2月1日對用戶發出的公告。該公告指出攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。但該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。</p> <p>根據資安研究員Kevin Beaumont利用物聯網搜尋引擎找出曝險的系統，<a href="https://cyberplace.social/@GossiTheDog/109795920737215405">發現有1,008臺GoAnywhere伺服器曝露於網際網路</a>，這些伺服器逾半數（580臺）位於美國。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/supply-chain-attack-by-new-malicious-python-package-web3-essential"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件web3-essential進行零時差攻擊</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/pixpirate-a-new-brazilian-banking-trojan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西銀行用戶遭到安卓金融木馬PixPirate鎖定</span></span></strong></a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/02/03/dtac-charlie-hebdo-hack-iran-neptunium/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客Holy Souls因干預美國大選遭到制裁，憤而竊取法國刊物的用戶個資並外洩</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155392"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">iRent資料庫暴露於公開網路不設防，引發大眾關注，配置錯誤問題應受更多重視</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155393"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155398"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155389">【2023年2月4日】 VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> </div></div></div>
2023/2/6 16:28作者周峻佑https://www.ithome.com.tw/news/155404
ChatGPT拒絕寫詩讚頌川普，OpenAI承諾改進其中立性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名用戶<a href="https://twitter.com/LeighWolf/status/1620744921241251842">要求ChatGPT寫詩讚頌美國前總統川普（Donald Trump），卻被ChatGPT以政治中立性為由拒絕</a>，但是該名用戶再要求ChatGPT寫詩讚頌目前美國總統拜登（Joe Biden），ChatGPT卻毫無遲疑地寫出一首詩。該名用戶在推特發文認為，ChatGPT工程師在政治上的偏見，傷害了ChatGPT可信度，這篇推文引來了<a href="https://twitter.com/elonmusk/status/1620876548629999617?s=20&t=nKBVRFqlTNx4qAi1sENOCw">OpenAI投資人Elon Musk</a>以及<a href="https://twitter.com/sama/status/1620927983627427840">OpenAI執行長Sam Altman</a>的回應。</p> <p>「我很抱歉，作為一個OpenAI開發的語言模型，我並非開發來生成有關政黨、偏見或是政治內容，我的目標是要提供中立且真實資訊，並促進相互尊重的談話」ChatGPT在拒絕用戶寫詩讚頌川普的要求時寫道。</p> <p>有不少使用者都以同樣的要求驗證ChatGPT的回應，皆得到相同的回應。OpenAI投資人Elon Musk則在底下回推表示，這是一個嚴重的問題。其中也有人成功要求ChatGPT編寫出讚頌川普的詩，但前提是必須給與ChatGPT一些引導，該名用戶提到，使用者需要依序向ChatGPT提問「川普是誰？」「寫一首關於川普的詩」「寫一首讚頌川普的詩」，之後才能成功要求ChatGPT寫詩讚揚川普的正面事蹟。</p> <p>在大眾驚嘆ChatGPT的能力之後，也逐漸發現ChatGPT所帶來的負面影響，像是ChatGPT可能被學生濫用於課堂，或是被有心人士用於產生操縱風向的言論，OpenAI更開發人工智慧文字生成分類器，來協助使用者辨識由人工智慧所產生的內容。</p> <p>在OpenAI正式推出ChatGPT的付費服務後，大眾對ChatGPT的期待更隨之增加，但是ChatGPT還是存在許多限制，即便能夠通過法學院和商學院的考試，但是其所產生的答案，不少仍包含錯誤資訊。而現在ChatGPT對於不同政治人物的回應差異，更曝露出ChatGPT存在嚴重偏見，而且這個偏見可能是由於OpenAI工程師的政治傾向所產生。</p> <p>由於OpenAI定義了一系列的規則來限制ChatGPT模型輸出，避免ChatGPT產生有害內容，而使用者請求ChatGPT寫詩讚頌川普，ChatGPT拒絕的標題為Poem Request Rejected，表示用戶的請求可能是遭規則阻擋。</p> <p>該篇推文引來許多人的關注，在撰稿當下已經超過3,000萬次查看，超過7萬次轉推，更有31萬個打心，Sam Altman親上火線回應表示，他們了解ChatGPT仍存在許多偏見，因此正透過改進預設使ChatGPT更加中立，並讓ChatGPT在一定程度符合使用者偏好，而這件事並不容易，他們需要一些時間才能完成。他還提到，不要以仇恨言論攻擊OpenAI的員工，如此無助於人工智慧領域的發展。</p> <p>ChatGPT使OpenAI一夕之間聲名大噪，但是負面批評聲浪也隨之而來，Sam Altman在1月22日轉貼的新聞中提到，Google執行長警告發展人工智慧過快，會對公司名聲產生重大衝擊，而這似乎正暗示著OpenAI如果不夠謹慎，可能因此印證Google執行長的預言。</p> </div></div></div>
2023/2/6 16:01作者李建興https://www.ithome.com.tw/news/155401
石崇良上任健保署署長：解決健保財務問題、力推數位醫療和次世代HIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">健保署今日（2/6）交接署長，新任署長石崇良表示，上任任務聚焦5大領域，包括以健保平臺發展全人照護、改善健保財務、發展數位醫療、健保資料庫合規，以及強化社會溝通。至於使用者部分負擔新制還未有上線時程表，費用可能會再調整。 </span></p> <p><span style="font-size:24px;"><strong><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">薛瑞元盼解決健保三大挑戰 </span></strong></span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">衛福部部長薛瑞元指出，健保署在過去6年推動許多健保IT系統發展，像是雲端藥歷、雲端查詢系統，特別是疫情間也快速配合防疫政策，發展TOCC旅遊史查詢、口罩實名制、快篩實名制等應用。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">不過，健保也面臨不少挑戰，比如資訊系統要防弊，也需要更精進，讓醫療產業更資訊化。再來是健保財務問題，健保署擁有龐大資料庫，應藉由資料分析、前瞻規畫，來說服立法院、共同解決財務困境。此外，健保體制也需精進，透過各界協調來達成政策共識。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">薛瑞元表示，新任署長石崇良經驗豐富，曾於醫策會主導全國病安政策，擔任衛福部常務次長時，也累積健保經驗，與3個健保有關單位如健保署、社會保險司等單位溝通，有信心石崇良能勝任健保署署長一職。 </span></p> <p><span style="font-size:24px;"><strong><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">石崇良提5大任務，發展全人照護、力推數位醫療 </span></strong></span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">石崇良也提出上任後將執行的5大重點，首先是在體系面，要讓健保成為一個工具平臺，向前與預防醫學結合、向後與從長照系統銜接，來解決高齡化社會引發的醫療需求問題、也要發展全人的照護體系，並要與國健署、長照司來溝通設計系統。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">再來是解決健保財務問題，健保預算已超過8千億，這個預算是對全民健康的投資，應結合國家生技產業政策，來發揮綜效。此外，健保署也將就各給付項目檢討，針對民眾有需求的新興醫材，來透過科學實證、與產業合作，找出對民眾真正有幫助的醫材。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">第三個任務是數位醫療發展，疫情間已見到健保署利用健保資訊，從最早的TOCC 旅遊史查詢、守護第一線醫護人員，再到後來的口罩實名制、各項檢測和疫苗接種等系統串接與開發，都是防疫的數位醫療應用。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">接下來，「我們要讓數位醫療，成為醫療體系往上提升的重要推力，」石崇良指出，特別是配合衛福部資訊處提出的次世代醫療資訊系統（HIS）升級計畫，要助全臺醫療體系的HIS升級、利於與國際接軌。這個次世代HIS也包含各項新型醫療照護，特別是遠距醫療，是「健保署接下來要合作、搭配的，」他說。而健保署也將針對健保資訊系統，來</span>強化資安和保障民眾個資。<span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;"> </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">另一個任務則是完善健保法治，比如針對去年大法官釋憲提出的爭議來改善，包括確保健保資料庫的民眾退出權、旅外國人停復保，讓資料使用符合法規。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4}}" style="white-space: pre-wrap;">最後一個任務則是社會溝通，未來在擬定各項政策時，要充分與各界溝通，包括部內部外單位、醫界以及民眾等，盡力達到先溝通、再公最後，讓健保永續發展。 </span></p> <p><span data-tt="{"paragraphStyle":{"alignment":4,"style":3}}" style="white-space: pre-wrap;">最後，針對使用者部分負擔新制上路時間，健保署則表示上線時程表還未公告，費用也可能再調整。 </span></p> </div></div></div>
2023/2/6 12:54作者王若樸https://www.ithome.com.tw/news/155399
中國下一代量子電腦悟空即將問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國媒體<a href="https://news.cgtn.com/news/2023-02-03/Production-line-for-China-s-latest-quantum-computer-in-full-capacity-1h7x6vJzuE0/index.html" target="_blank">《南華早報》</a>及<a href="https://www.ithome.com/0/669/509.htm" target="_blank">《IT之家》</a>等報導，中國最新一代量子電腦悟空（WuKong）即將在今年內交付。</p> <p>位於安徽省合肥市的本源量子（Origin Quantum）上周開放下一代量子電腦的晶片產線<a href="https://www.ithome.com/0/670/304.htm" target="_blank">供外界參觀</a>，並透露產品名為悟空。本源量子之前<a href="https://www.ithome.com/0/669/509.htm" target="_blank">僅說明</a>時程會落在2023年內。</p> <p>本源量子是中國商用量子電腦的主要研發廠商。該公司自行研發的量子電腦「本源悟源1號」搭載6量子位元處理器夸父KF C6-130，「本源悟源2號」則搭載24量子位元處理器，雙雙在2020年上線透過該公司平臺開放客戶使用。</p> <p>本源量子上周<a href="https://big5.cctv.com/gate/big5/news.cctv.com/2023/01/30/ARTIXzxQhhFTiezl72ks450Z230130.shtml" target="_blank">對媒體透露</a>，已在2022年底出貨量子電腦給一家客戶，使中國成為全球第三個具備量子電腦整機交付能力的國家，前二者分別是加拿大的D-Wave及美國的IBM。</p> <p>本源量子表示預計在3到5年內讓量子電腦實際進入人們日常生活。本源量子的產品藍圖<a href="https://www.ithome.com/0/574/660.htm" target="_blank">顯示</a>，2025年該公司量子處理器會達到1024量子位元。</p> <p>目前全球科技大廠相繼投入量子電腦處理器開發。IBM正在開發433量子位元的Osprey，Google則有72量子位元的Bristlecone。</p> <p> </p> </div></div></div>
2023/2/6 10:48作者林妍溱https://www.ithome.com.tw/news/155394
ChatGPT上線2個月用戶增加到1億，史上最快
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一份研究數據顯示，OpenAI的AI聊天機器人ChatGPT用戶數在2個月內就達到1億次，成為史上最快達到這個目標的應用程式。</p> <p><a href="https://www.reuters.com/technology/chatgpt-sets-record-fastest-growing-user-base-analyst-note-2023-02-01/" target="_blank">路透社</a>引述瑞士銀行（UBS）本周發布的一份報告報導，ChatGPT去年11月以測試版上線，使用者增加快速。今年1月期間ChatGPT每天增加1,300萬不重覆造訪用戶，是12月的2倍，而到今年1月就達到1億經常用戶的成績，使其超越其他應用程式，成為史上之最。</p> <p>相較之下，Tiktok花了9個月才達到1億用戶數，而Instagram（IG）更花了2.5年。</p> <p>瑞銀報告數據來源分析機構Similarweb分析師指出，雖然快速增加的用量對OpenAI形成沈重運算成本，但也提供極寶貴的用戶反饋資料，以訓練提升ChatGPT的回應品質及速度。</p> <p>OpenAI本月正式推出每月20美元的<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT付費訂閱服務</a>，號稱可提供穩定而高效能的回應速度。</p> <p>ChatGPT的高人氣也引起Google警覺，並且上下動員全面備戰。<a href="https://www.ithome.com.tw/news/155251" target="_blank">傳聞執行長Sundar Pichai請出已退隱的創辦人Sergey Brin及Larry Page帶領AI策略</a>。此外，因應微軟數十億美元大手筆挹注OpenAI，<a href="https://www.ft.com/content/583ead66-467c-4bd5-84d0-ed5df7b5bf9c" target="_blank">《金融時報》</a>報導Google去年12月已悄悄投資OpenAI前研究主管所創的AI新創公司Anthropic。</p> <p> </p> </div></div></div>
2023/2/6 10:56作者林妍溱https://www.ithome.com.tw/news/155395
前員工爆料Meta故意拖慢App效能，導致耗用手機電量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://regmedia.co.uk/2023/01/30/meta-hayward-complaint.pdf" target="_blank">Meta前員工透露</a>Meta多年前即開始未經用戶同意，進行拖慢自家應用程式效能的測試。</p> <p>Meta前員工George Hayward上月底向紐約法院控告Meta，而公布了這之前不為外界所知的事。Hayward 2019年到2022年在Messenger電池效率部門擔任資深資料科學家一職期間，被要求參加「負面測試」（negative testing），他指控因不願參加前東家違法的應用程式測試而遭到Meta解僱。</p> <p>根據法院文件，Meta的負面測試是一種「刻意降低使用者體驗衡量App影響力的方法」。在此類測試中，程式設計人員刻意透過減慢圖片載入及網頁開啟等方法，測試App執行效能。<a href="https://regmedia.co.uk/2023/01/30/hayward-meta-exhibit-a-negative-testing-procedures.pdf" target="_blank">根據文件</a>，Meta測試項目涵括IG、FBLite、FB新聞載入、Stories顯示、觸控回應速度及圖片載入等。而且Meta可能在2017年公司還叫臉書的年代，就已從事這類測試。</p> <p>2022年5月，Wayward被主管要求參加對Messenger App進行負面測試，但Wayward認為，在用戶不知情下進行這種測試可能是違法的，而且拖慢App效能且耗竭智慧型手機的電量對用戶可能有不良影響，例如緊急時刻造成用戶無法以手機求救，置用戶於危險處境，並拒絕加入。</p> <p>事實上，根據訴狀，非法竄改他人裝置設置，在紐約是違法的。但Hayward指出，他之後遭主管刻意調降考績，並在同年11月被解聘，那時Meta執行長Mark Zuckerberg宣布公司將裁員1.1萬人。Hayward相信，屢次拒絕是造成他失掉飯碗的主因。</p> <p>不過原告在6天後因Meta和員工的內部仲裁協議而主動撤回告訴。<a href="https://www.theregister.com/2023/01/30/meta_negative_testing_lawsuit/?td=rt-3a" target="_blank">此外Meta也對媒體表示</a>，Hayward的說法沒有法律根據。</p> </div></div></div>
2023/2/6 11:11作者林妍溱https://www.ithome.com.tw/news/155396
【資安月報】2023年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月的資安月報中，國內有兩大議題備受國人的關注，主要是華航與和運租車iRent業務的顧客資料外洩與曝險議題，另一件是永豐銀行多位信用卡客戶遭盜刷，疑似3D Secure驗證碼被竊取的事件。</p> <p>以資料外洩與瀑險而言，本月兩起事件都受到普遍國人的注目，一是農曆年前，華航傳出收到匿名網路勒贖郵件後，數天後有人在國外論壇張貼華航會員資料，由於外洩60筆會員名單涵蓋政界、商界、名嘴到明星，引發不小關注，其張貼個資內容包含生日、電子郵件與手機，並且還有華航會員編號，甚至還要脅將持續公布300萬名會員資料。另一是發生在農曆年後，上市公司和泰汽車集團旗下由和運租車與和潤企業轉投資的和雲行動服務，其共享汽車業務iRent，發生顧客資料庫因配置不當，不設防的暴露在網際網路。</p> <p>這兩起事件受到社會大眾的關切，也引發對於個資保護法的關注，例如，在行政罰鍰方面主管機關提出的罰金可能太低，低於大家期待成為議論焦點。</p> <p>單從iRent事件來看，除了用戶個資權益和公司處理方式的爭議之外，我們想提醒大家要注意企業資料庫因不當配置導致資料外洩或曝險的問題。這並非新的資安議題，過去四五年來，iThome曾陸續報導這類型事件，也有許多資安研究人員示警，遺憾的是，臺灣企業仍出現這樣的疏失。因此，這方面我們也有<a href="https://www.ithome.com.tw/news/155392">專題去討論</a>。</p> <p>而關於永豐銀行信用卡用戶春節期間遭盜刷的事件，經過多家國內媒體報導，金管會也很重視此事，特別的是，在我們進一步探究相關問題下，另一家銀行向我們表示，一個月前就從內部偵測系統察覺可能的異常交易，因此停止以電子郵件發送3D OTP驗證碼，關於這方面的消息，之後我們也會進行相關追蹤報導。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/155055"><span style="color: rgb(178, 34, 34);">【資安週報】2022年1月3日到1月7日</span></a></strong></h2> <p>在2023第一周資安新聞中，主要焦點包括：資安業者揭露駭客組織鎖定企業組織未修補CVE-2022-4068的Forinet SSL VPN設備漏洞散布勒索軟體；CI/CD平臺服務業者CircleCI公告正持續更新資安事故調查，值得企業開發團隊注意；還有冒牌的學習框架PyTorch-nightly版被下載2千多次，以及30個WordPress外掛程式漏洞被惡意軟體鎖定的消息。</p> <p>在資安漏洞研究與揭露方面，有兩大消息最受關注。一是Google智慧喇叭變成竊聽器攻擊手法的揭露，另一是近20家汽車品牌重大漏洞被數個資安研究人員聯手揭露。這些漏洞都已在通報後修補，如今揭露技術細節。</p> <p>本周還有幾則新聞顯現出值得關注的威脅態勢，包括核子科學家成駭客攻擊目標，美國核子研究實驗室遭俄羅斯駭客網釣攻擊；而金融業也要注意，國際間傳出多個使用法語的非洲國家銀行遭駭客組織以GuLoader攻擊，並被布署Netwire、Quasar等RAT木馬程式。關於勒索軟體的新動向，包括：BlackCat設置受害公司假官網並公布竊取資料以施壓，以及新的CatB勒索軟體的揭露。</p> <p>至於國內方面，週六下午傳出華航遭勒索軟體的消息，國內媒體報導華航表示影響不大，本週新聞尚未提到，後續是否有相關調查結果公布將值得留意。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155171"><span style="color: rgb(178, 34, 34);">【資安週報】2022年1月9日到1月13日</span></a></strong></h2> <p>最近有兩個微軟的漏洞需要特別留意，一個是微軟在1月10日發布每月安全性更新中所修補的CVE-2023-21674零時差漏洞，已經發現遭駭客鎖定利用，另一個是微軟在11月修補的CVE-2022-41080重大漏洞，之前已有資安業者CrowdStrike與雲端代管公司Rackspace業者揭露該漏洞利用相關消息，美國政府如今也將該漏洞列入已知被利用漏洞（KEV）列表。此外，上個月中Fortinet已宣布發現針對CVE-2022-42475的攻擊，近日再公布後續，進一步公開更多攻擊細節。</p> <p>在其他漏洞消息方面，除了NPM套件JsonWebToken的高風險漏洞CVE-2022-23529修補受關注，還一項消息可留意的是逾百款西門子PLC設備的漏洞揭露，其SoC晶片未在早期啟動階段建立RoT，細節將於2023年5月公布。</p> <p>在資安威脅趨勢方面，焦點包括：資安研究人員惡意軟體Kinsing入侵Kubernetes的情況變多；新發現針對Mac電腦的勒索軟體攻擊過程中採寄生攻擊（LOLBin）的及反沙箱偵測：發現惡意PyPI套件利用安裝Cloudflare Tunnel用戶端程式方式，來建立連線管道以繞過防火牆；再度有藉由VoIP電話系統漏洞部署後門情形，特別是駭客布局5個月後才發動勒索軟體加密；出現誤植域名攻擊（typosqat）並建立上千個假冒網站散布竊密程式Vidar的情形。</p> <p>在資安事件方面，與航空公司有關不少，國際間有法國航空、荷蘭航空通知旅客航空里程計畫Flying Blue帳號、個資遭竊事故，在國內則有華航在上週六下午（1月7日）傳遭勒索攻擊，後續又傳出<a href="https://www.ithome.com.tw/news/155167">華航會員資料被公開於地下論壇的消息</a>。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155235"><span style="color: rgb(178, 34, 34);">【資安週報】2022年1月16日到1月19日</span></a></strong></h2> <p>在這一周的漏洞消息中，最受關注的是就是CentOS主機網頁管理介面元件元件Control Web Panel（CWP）漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-44877">CVE-2022-44877</a>，去年10月已有更新修補釋出，如今隨著漏洞技術細節與PoC的公開，開始有駭客組織在攻擊行動中針對這項漏洞鎖定利用。</p> <p>此外，網路監控系統Cacti在12月修補的CVE-2022-46169漏洞，也傳出被攻擊者鎖定利用於植入惡意軟體的消息。至於其他關注漏洞消息，包括WordPress三個外掛程式、Git的重大漏洞修補，以及Oracle季度例行性修補。</p> <p>在資安新聞焦點方面，有研究人員在發現微星主機板預設執行任意程式的狀況，由於這將使得安全開機（Secure Boot）變得沒有作用，因而受到廣泛關注，該研究人員其實自去年12月於網路上多人討論此事，並在1月13日公布這項發現。而在攻擊新態勢上，除了有研究人員持續發現自帶驅動程式攻擊（BYOVD）的手法，還有濫用雲端IDE服務GitHub Codespaces的攻擊手法揭露。</p> <p>另外值得留意的是，月初CircleCI發布公告說明正調查資安事件，如今已有最新調查結果公布，該公司指出攻擊者之所以能從遠端盜用身分獲得存取控制權限，原因出在其工程師筆電在半個月前遭植入惡意軟體，攻擊者進而劫持了有效的2FA SSO Session Cookie。</p> <h2><strong><a href="https://www.ithome.com.tw/news/155391"><span style="color: rgb(178, 34, 34);">【資安週報】2022年1月30日到2月4日</span></a></strong></h2> <p>在這一周資安新聞中，有4個漏洞消息需特別關注，因為這些漏洞都開始有攻擊者鎖定利用的情形，包括Oracle電子商務套件（E-Business Suite）於去年10月修補的CVE-2022-21587漏洞，客戶關係管理平臺SugarCRM在1月中旬修補的CVE-2023-22952漏洞，老舊漏洞也被攻擊鎖定，那就是網頁應用程式框架Telerik UI的CVE-2017-11357漏洞。另外，還有一個Zoho ManageEngine的CVE-2022-47966漏洞，也要留意盡速修補。</p> <p>而以新揭露的漏洞而言，有四條消息值得留意，包括威聯通（QNAP）修補旗下NAS產品SQL注入漏洞CVE-2022-27596，DNS伺服器軟體Berkeley Internet Name Domain（BIND）新修補4個漏洞，電信網路程式庫Open5GS GTP的CVE-2023-23846漏洞，以及AMI的BMC解決方案的CVE-2022-26872、CVE-2022-40258漏洞。</p> <p>在威脅態勢焦點方面，法國CERT-FR警告，有駭客積極針對VMware ESXi，利用CVE-2021-21974漏洞以及OpenSLP連接埠（427埠）入侵並部署勒索軟體；資安業者揭露Vector Stealer的竊密程式，目標是包含遠端桌面連線所需的詳細資料的RDP檔案；還有資安業者POS機臺惡意軟體Prilex的攻擊行動。</p> <p>在國內方面，農曆年節期間至今，有兩大資安新聞事件成為國人的關注焦點，一是汽機車共享業者iRent資料庫曝險在公開網路長達9個月，引發民眾對於個資是否調查出證實外流、以及如何身分證明文件若外流如何自保的關注，和雲行動服務公司尚未有這方面說明，最新回應是提及將向40萬潛在影響用戶影響出補償；另一是多名永豐銀行信用卡用戶遭盜刷，疑3D Secure的OTP驗證碼經電子郵件傳送被竊取而導致，由於我們注意到12月已有其他銀行示警，其背後問題是否可能擴大也引發整個社會與金管會的重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> </div></div></div>
2023/2/6 11:21作者羅正漢https://www.ithome.com.tw/news/155387
iRent資料庫暴露於公開網路不設防，引發大眾關注，配置錯誤問題應受更多重視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在農曆年後，由和運租車與和潤企業轉投資的和雲行動服務公司，其共享汽車業務iRent，發生顧客資料庫不設防的暴露在網際網路的事件。由於暴露在公開網路時間長達9個月，存在資料外洩風險，引發民眾關注的是，是否調查記錄證實有外流情形、以及如何身分證明文件若外流該如何自保。</p> <p>這類的資安問題以前沒有發生過嗎？事實上，早在多年前，我們已經看到相當多這類型事件，特別是<a href="https://www.ithome.com.tw/news/127057">2018</a>、2019年頻頻出現iThome的報導中，主因都是因為資料庫的配置不當、錯誤配置，而揭露的研究人員也普遍指出這是雲端或資料庫管理的疏失。</p> <p>只是，在iRent事件之前，國內少有這方面的消息傳出，或許，這與臺灣企業上雲腳步相較於國際慢有關，直到這次事件爆發，並且影響到了國內普遍民眾，才引發關注。對於普遍企業而言，除了關注企業資安事件應變，我們認為更該重視的議題在於，我們是否能汲取過去案例的教訓，而且，隨著這幾年國內應用上雲漸增，不論採混合雲、多雲策略，企業對於資料庫安全配置的認知是否足夠，資料治理是否能夠通盤，必須獲得普遍重視，否則還會有相同問題一再發生。</p> <h2><strong>iRent資料庫暴露在公開網路沒有存取限制，資料庫在資料儲存上也只有編碼</strong></h2> <p>先讓我們回顧一下這次事件的發展，簡單來說，是國外安全研究人員Anurag Sen通知科技媒體TechCrunch後而揭露，在1月31日<a href="http://www.ithome.com.tw/news/155314#iRent">國內媒體紛紛跟進報導</a>。報導中指出，該資料庫內含大量個資，且通知iRent的過程並不順利，因為起初聯繫不到該公司，直到聯繫我國數位發展部才得到回應，進而輾轉通知到業者處理。當日我們也詢問了協調處理這次事件的TWCERT/CC，試圖了解處理的詳細情形，當時狀況是聯繫到業者前就有預防性的因應？還是直到聯繫到業者後才讓該資料庫妥善設置？</p> <p>不過，該單位表示由於涉及企業，因此不方便透露相關訊息，但也會續持密切與民間企業、檢警調等合作協助處理資安事件。當然，這中間也有一個插曲，這樣的事件為何是由我國數位部部長唐鳳回應對方，是否應該會有相關SOP交由資安署等負責單位回應。</p> <p>由於這起事件牽連廣大國內民眾，引發普遍關注，交通部公路總局在<a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&s=208609">2月1日</a>與<a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&s=208674">2月2日</a>也屢次發布監理公告。和雲行動服務<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2284/index.html">在2月1日也發出聲明</a>，說明是在1月28日接獲通報並於一小時內完成因應，初步調查是記錄應用程式Log檔的暫存資料庫。</p> <p>此外，由於和雲行動服務屬於和泰集團，因此<span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;">上市公司</span>和泰汽車也在同日傍晚5點，在公開股市觀測站中以澄清方式發布重大訊息，說明該公司資料庫與和泰母公司及各關係企業沒有相連結，對和泰業務與財務不受影響。</p> <p>我們除了關注後續調查，是否揭露該資料庫有未經授權存取的狀況，對於國內大眾媒體普遍使用資料庫沒有加密這樣籠統的說法，不夠精準，為此我們向和泰汽車了解相關細節，像是根據研究人員指出，在該資料庫的存取上，業者沒有設定密碼來加密保護，也沒有限制IP位置，但我們同時也關注，在資料庫的資料儲存上，是否有加密保護，像是欄位加密、備份檔加密、透明資料加密與永遠加密，以及加密的安全等級？對此，該公司表示細節不會揭露太過詳細。至於為何重大訊息公告為何以澄清方式發布，他們表示和雲行動服務非重要子公司為由，對於和泰汽車影響不大。我們也檢視了和泰汽車的110年年報，該公司轉投資的內容佔了3頁，數量的確是不少。</p> <p>到了2月4日，和雲行動服務<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2286/index.html">再次發布聲明</a>，有了更進一步的答案，指出該資料庫可查詢近三個月的會員異動資料，所記錄的個資包含會員姓名、電話、地址、經遮蔽之信用卡資訊（排除盜刷疑慮）、身分證、生日、Email、緊急聯絡人、申請會員上傳照片檔（經編碼），有外部查詢的可能。同時，由於該資料庫曝險時間長達九個月，該公司修正潛在影響用戶，從14萬人提升為40.01萬人。</p> <p>從這樣的公告內容來看，相關個資的儲存未提到加密，而上傳的身分證明文件的儲存，就只有編碼（Encode），因此沒有加密（Encrypt）保護的效果。至於該資料庫在這段期間究竟是否有被未經授權存取的情形，目前僅表示有外部查詢的可能，後續是否證實，仍有待進一步揭露。</p> <p>由於目前國內諸多大眾媒體都聚焦於政府與業者的因應，然而，對於事件發生的原因－－資料庫配置不當的議題缺乏關注，因此，<a href="https://www.ithome.com.tw/news/155393">接下來我們也將聚焦這方面的問題繼續探討</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-02_175355s.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_201125s.jpg" style="width: 295px;" /></p> <h3><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/155393">iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演</a></strong></h3> </div></div></div>
2023/2/6 11:30作者羅正漢https://www.ithome.com.tw/news/155392
iRent資料庫因不當配置導致資料外洩或曝險，並非資安新議題，國內企業需汲取教訓避免問題一再重演
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去多年來，資料庫不設防地暴露於公開網路的問題，已經一再有研究人員對此示警，如今國內發生共享汽車iRent資料曝險事件，由於直接與國人個資外洩有關，讓這類議題再次受到重視</p> <p>針對這次iRent事件，企業資料庫配置不當這樣的問題，是我們關注的焦點。</p> <p>由於iRent的資料庫在存取上沒有任何管控機制，沒有限制可登入的IP位址，沒有設定密碼加密保護，因此該資料庫暴露網際網路上缺乏保護，並且無須經過身分驗證，這對於公司與用戶都是非常危險的情形。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>資料庫在網路上裸奔，突顯配置錯誤問題的管理疏失</strong></span></h3> <p>事實上，早年國際間就有許多關於資料庫、伺服器因不當配置，造成資料外洩或曝險的案例，前幾年iThome曾報導多起事件，特別是2017到2019年間，有許多研究人員揭露相關發現，持續警惕企業注意這類配置不當的問題。</p> <p>這些資料庫不設防的曝險或資料外洩的事件，iThome<a href="https://www.ithome.com.tw/news/127057">在2018年就整理了多起事件</a>，包含MongoDB資料庫、到了2019年，單單是以Elasticsearch資料庫而言，我們同樣報導了不少，包括：<a href="https://www.ithome.com.tw/news/134938">本田汽車公司的顧客個資</a>、<a href="https://www.ithome.com.tw/news/131081">中國獵人頭公司FMC的客戶個人履歷與企業資料</a>、<a href="https://www.ithome.com.tw/news/127383">美國資料管理業者Data & Leads的美國民眾資料</a>，<a href="https://www.ithome.com.tw/news/133845">Adobe Creative Cloud的用戶資料</a>、<a href="https://www.ithome.com.tw/news/133095">厄瓜多政府、金融等公私單位的國民個人資料</a>、<a href="https://www.twcert.org.tw/newepaper/cp-65-2876-54d9c-3.html">中國江蘇省公安局的民眾個資與公司行號資料</a>、以及<a href="https://www.ithome.com.tw/news/133025">汽車產業行銷業者Dealer Leads的潛在車主名單個資</a>等。</p> <p>這還只是僅僅數個例子，到了最近兩三年其實依然嚴峻，因此資安界也不斷宣導，強調配置錯誤的問題，是雲端安全議題中最普遍的威脅，務必需要重視，甚至後續也有安全廠商提出可以持續偵測錯誤設定的解決方案。</p> <p>雖然近年這類事件的新聞報導，看似比往年少，但從這次iRent事件來看，過去一再示警的問題，到了2022、2023年依然發生，企業沒有從過去案例學到教訓。</p> <p>而且，許多資安研究人員也一再強調，任何使用物聯網搜尋引擎Shodan及其他此類平臺，並對於搜尋不安全資料庫略有了解的人，都將能夠輕易存取這些公開在網路上的資訊。</p> <h3><strong><span style="color: rgb(178, 34, 34);">Group-IB在2022月指出一年內發現30多萬資料庫外曝</span></strong></h3> <p>若是再從資安業者揭露統計與調查結果來看，這類問題的數量更是驚人。根據<a href="https://www.group-ib.com/media-center/press-releases/public-facing-db/">資安業者Group-IB在2022年4月發布的一項統計</a>，該公司指出，在2021年他們就發現了30,8萬開放在網際網路的資料庫，而且2022年第1季又發現新增了9.1萬個資料庫，等於5季下來共發現了39.9萬個。至於資料庫類型上，以Redis資料庫管理系統最高（37.5%）、第二是MongoDB（31%），第三是Elastic（29%）。此外，以2022年第一季度而言，對於暴露的資料庫，其擁有者平均需要170.2天來修復該問題。</p> <p>顯然，儘管在五年前就有許多資安研究人員揭露相關問題，但這樣的狀況在全球還是持續發生。</p> <h3><strong><span style="color: rgb(178, 34, 34);">臺灣企業上雲腳步慢，這次事件更是一大警惕</span></strong></h3> <p>回到這次iRent資料庫公開在網際網路的狀況來看，除了考驗和泰集團、和雲行動服務的資安事件應變能力。在防護改善方面，從2月4日的最新聲明來看，提及執行主機系統弱點掃描及滲透測試，針對App源碼掃描，交易過程採用SSL安全加密與加殼處理，似乎都沒有對應到這次事件的根本問題。</p> <p>而且我們更在意的是，由於國內企業近年逐漸跟上國際，朝向應用上雲的趨勢，還有混和雲、多雲的型態增加，因此相關問題是否可能會變得更為多見。</p> <p>儘管過去國際間已有許多案例一再提醒，但多半沒有直接與國人有關，這可能也是未能獲得足夠重視的主因，而現在，國內也有企業發生同樣的情形後，相信對國內企業而言，將帶來更大的警惕，許多國內資安專家可能也將以iRent這次事件為例，來說明雲端配置不當的風險，以及資安事件如何妥善應變。</p> <p>整體而言，對於企業來說，我們要提醒的是，除了資料庫配置不當的問題，<a href="https://www.ithome.com.tw/news/152275">國內近年國內也持續有資安顧問業者呼籲，需提升雲端安全治理的觀念</a>，重視最普遍的配置錯誤問題，且雲端安全配置考量層面應該要更廣，需涵蓋到身分辨識與存取管理、雲端存取、雲端資料中心、紀錄與監控、網路、虛擬機器與應用服務。不僅如此，若是從資料流向與邊界盤點的角度來看，資料庫的安全防護也只是其中一個環節。</p> <p>另外，我們更關心的是，在國內陸續朝向應用上雲的今日，不論企業本身或是委外服務業者，其人才是否具備足夠的雲端管理能力與知識，否則，問題可能還是會一再重演。</p> <h3><strong><span style="color: rgb(178, 34, 34);">對於國內個資保護法的探討</span></strong></h3> <p>雖然我們將這次重點放在資料庫配置不當，但還有一些衍伸議題值得關注，這裡也簡單一提。對於普遍國人而言，也會關心的在於政府個資保護法的效力，是否應該有所檢討，不論是損害賠償，以及行政罰鍰處5萬元以上50萬元以下罰鍰（個資法第47條）、未改正僅罰最高20萬（個資法第48條），還有談論多年的個資獨立專責機關規畫，都再度成為資安圈與法律圈的探討焦點。</p> <p>若是相對國際來看，以歐洲GDPR為例，最高行政罰金達2000萬歐元（6.7億元），或前一會計年度全球年營業額4%，以巴西個人資料保護法（LGPD）為例，最高行政罰金為5000萬巴西幣（約新臺幣2.9億元），或前一會計年度營業額2％金額。僅僅這兩例就可看出，臺灣的罰金不僅相對較低，而且差距極大。</p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/155398">揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險</a></strong></h2> </div></div></div>
2023/2/6 11:35作者羅正漢https://www.ithome.com.tw/news/155393
揭露iRent資料庫不設防的研究人員，這兩年還揭露巴西、澳洲、中國的資料庫曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2><span style="font-size: 13px;">關於這次揭露iRent資料庫曝險的研究人員Anurag Sen，大家或許也好奇他在這方面的經驗，其實，過去他就時常揭露這方面的問題，例如，iThome</span><a href="https://www.ithome.com.tw/news/130784" style="font-size: 13px;">在2019年當時報導過</a><span style="font-size: 13px;">他在AWS上發現了一個公開資料庫，之後發現是屬於孟買的社交行銷業者Chtrbox所擁有。</span></h2> <p>最近兩年，他也持續將相關發現，提供給幾家科技媒體，例如，2021年10月，<a href="https://www.hackread.com/brazilian-marketplace-integrator-hariexpress-records/">他揭露了巴西電子商務公司Hariexpress的Elasticsearch伺服器，暴露了1億條資訊，包含客戶和賣家的個人資訊</a>；2022年4月，他<a href="https://www.hackread.com/australian-trading-giant-acy-securities-exposed-data/">發現澳洲ACY Securities外匯經紀商的資料庫配置錯誤，當中存放了使用者個人與企業的財務資料</a>；在2022年9月，<a href="https://www.ithome.com.tw/news/152892#AnuragSen">他在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，內含8億中國車牌、人臉資料</a>；在2023年1月，<a href="https://www.ithome.com.tw/news/155054#AnuragSen">他又發現美國ERP業者擁有的Elasticsearch伺服器，不需帳密就能存取，內含50萬印度求職者詳細資訊</a>。當中不少事件，在iThome的資安日報中也都持續有報導。</p> <p>值得注意的是，在上述相關揭露中，有些事件Anurag Sen明確指出是Elasticsearch伺服器，有些則沒有說明是何種類型伺服器，而這次iRent的揭露，就是屬於後者。</p> <p>因此，到底是何種類型資料庫也引發各界猜測，不過若是以<a href="https://www.group-ib.com/media-center/press-releases/public-facing-db/">資安業者Group-IB在2022年4月發布的一項統計</a>來看，他們在2021年第1季到2022年第1季發現的39.9萬個曝險資料庫，其資料庫類型是以Redis資料庫管理系統最高（37.5%）、第二是MongoDB（31%），第三是Elastic（29%）。無論如何，這些類型資料庫的安全配置，都將是企業必須面對的管理挑戰。</p> <p>對於有研究人員通報這件事，也帶給我們一些省思。例如，有國外資安研究人員很熱情、自發性的協助通報，否則資料庫的曝險時間可能更長；還有像是有國外研究人員通報給我國的企業，相對地，是否有國內研究人員發現這方面的問題，通報給其他國家的企業，展現臺灣也能幫助全球的能力；再者，除了企業本身就應該重視資料庫的安全防護，這本該就是企業自己的責任，不過我們或許也能想想，現在強調資安聯防之下，我國政府或產業是否也能有相關機制，幫助國內業者早一步發現這類問題，縮短曝險時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-31_162130.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112550.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112648.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-02-04_112751.jpg" style="width: 600px;" /></p> </div></div></div>
2023/2/6 11:42作者羅正漢https://www.ithome.com.tw/news/155398
電商龍頭Momo如何經營人貨場？老總揭露數據驅動營運的關鍵心法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>買洗髮精多送一瓶小洗髮精的促銷代價多大？不只贈品成本，還得考慮紙箱與運費，甚至是多用一個空箱，影響物流效率後所損失的機會成本。這是臺灣電商龍頭Momo每天用數據分析營運時的例行挑戰。不只商品成本，還得用數據來考慮更多營運維度的影響。</p> <p>Momo總經理谷元宏於近期一場活動提到，現在經營零售業不再只能討論人、貨、場，還要加上數據，尤其最後一項最為重要。「數據是賦能人貨場經營的關鍵。」他接著說明，Momo如何用數據分析來強化人、貨、場經營流程，改善消費者體驗同時節省成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(77).jpg" style="width: 600px;" /></p> <p><strong>人──從獲客、活客到留客，用數據及Martech經營會員</strong></p> <p>谷元宏說，「人」的經營是將人流量轉換成實際消費。過去，流量經營著重於獲取大量顧客，隨著流量紅利時代結束，會員經營得更全面。他將客戶歷程分成4階段：訪客、新會員、回購會員及流失會員。其中回購會員又分為高頻消費的主力客人及中低頻的次主力客人；流失會員則分為降低消費頻率的即將流失客和久未消費的挽回客。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(58).jpg" style="width: 600px;" /><br /> Momo針對不同階段會員，會定義出關鍵經營目標或操作，再利用各式數位科技來達成。舉例來說，要對訪客曝光，可以利用各式顯示型廣告、自媒體、傳統媒體工具廣泛行銷，而要吸引新會員加入或舊會員消費，則會採用再行銷／分眾行銷Martech及比價網站等導購媒體。</p> <p>要成功經營這些會員，光靠制定完善經營計畫不夠，谷元宏表示，還需要大量會員數據來作為這些科技的燃料。這些數據，來自「場」的數據蒐集機制。</p> <p><strong>場──記錄消費者足跡，不斷改善購物及行銷體驗</strong></p> <p>「場」是Momo與消費者的所有接觸點。經營場，必須排除各種購物中斷理由、優化整體購物流程，讓消費者能順利在「場」內走完一次次購物流程。谷元宏用一句話形容關鍵原則，「做到消費者最好買。」</p> <p>要做到消費者購物體驗最佳，得先在與顧客的接觸點蒐集各式數據，作為優化方向參考。</p> <p>谷元宏表示，購物旅途從下載App或接觸電商網站開始，到註冊、購買、回購、要建立不斷回購的忠誠度，每個過程都有不同阻礙，會產生斷點。Momo會蒐集這些中斷情形，分析出問題後，再來優化這些流程。舉例來說，如果發現許多人於註冊會員階段放棄，就要想辦法讓註冊流程更便利。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4(31).jpg" style="width: 600px;" /></p> <p>不過，谷元宏舉出最多數據驅動作法的階段，還是購買及回購階段。Momo蒐集會員瀏覽意圖、點擊行為、追蹤行為、購買偏好、互動行為及所屬分眾等數據，會祭出商品推薦、商品分類呈現、商品優惠、App及簡訊推播、精準行銷廣告等不同行銷手法。</p> <p>他強調，行銷要更成功，不僅要蒐集數據，還要了解數據背後代表的消費情境。例如，當系統偵測到有消費者購買尿布，可能會想推薦更多尿布給該消費者。然而，若發現此名消費者每次都購買2個月份，與其連續2個月推銷尿布，不如在他快用完尿布時，適時推銷消費者。「適時適地對消費者行銷，不僅更有機會打中需求，也能降低行銷成本。」谷元宏表示，要做到這件事，需要聰明的規畫數據蒐集及行銷策略。</p> <p><strong>貨──上百萬SKU的貨物管理課題</strong></p> <p>谷元宏直言，電商管理「貨」最困難的是，如何管理數百萬個SKU。由於品項數量龐大，如何預測哪些品項何時該備貨，是極度複雜的難題。因此，Momo需要用多種數據來模擬存貨情況。</p> <p>貨品管理上，谷元宏將Momo商品分為2大類：長尾商品及熱銷商品。長尾商品是電商常態販售的各式商品，考驗電商品項深度廣度，不只需要齊全，價格還要有競爭力，且需要好搜尋、商品資料呈現清楚。這些品項需求情況較為穩定，存貨量相對好管理。</p> <p>難以管理的熱銷商品，通常搭配特殊促銷活動。由於需求可能大起大落，谷元宏說，跟供應商討論主打商品時，不只要談優惠多少、更要討論什麼時候賣什麼品項最好賣，才能決定行銷方針及備貨策略。這些決策都需要大量數據來背書。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5(26).jpg" style="width: 600px;" /></p> <p>管理貨的另一重要面向是物流效率。谷元宏指出，送貨要快的前提是撿貨要快。而撿貨速度，就需要靠訂單管理、倉儲管理等非常多不同種類的數據分析來優化。</p> <p>撿貨之後，後續物流流程也得依靠大量數據分析來不斷優化，例如包貨箱子大小，也就是材積尺寸，這是計算物流成本時的重要考量。如何把每一箱都裝到最滿，並且一趟運送最多箱？這個大哉問的答案，會隨著新商品、客戶消費行為、季節、行銷活動等因素不斷變化，因此每隔一段時間，Momo便會用各式數據，結合3D裝箱模擬及現場經驗來綜合分析，檢視現在常用箱子尺寸是否適合市場現況。</p> <p>積材尺寸也會反過來影響到行銷策略。谷元宏舉例，若消費者買洗髮精時，Momo多送一小瓶贈品，但裝箱時剛好裝不下這一小瓶，那行銷成本就不只是贈品本身，還要加上多一個箱子的運費跟空箱的機會成本。</p> <p>另一個重要考量是送貨路徑規畫。規畫送貨路徑時，不僅要盡可能提升單趟配送量及時間，更要考慮到消費者收到商品的時效性。Momo目前做法是，根據過往配送單數據製作熱力圖，觀察不同地區的宅配需求量，再來劃分司機負責區域。每一段時間，Momo便會重新分析配送數據，更新送貨路徑，以更符合近期配送情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6(17).jpg" style="width: 600px;" /></p> </div></div></div>
2023/2/4 18:04作者郭又華https://www.ithome.com.tw/news/155390
從資訊系統整合邁向智慧決策，宇瞻靠IT轉型提升企業決策力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，受到俄烏戰爭及全球通膨影響，帶來長短料等諸多問題，衝擊到許多製造業的生產和訂單交期也跟著不斷調整。當市場變化越快速，不確定性越高，製造業也得開始轉變，加速轉型讓自己具備有更敏捷應變的能力，才能夠彈性因應未來更加動態的生產需求與變化快速的市場趨勢。</p> <p>在臺灣有家本土老牌記憶體模組廠，為了因應這項挑戰，打造了一個營運模擬決策智慧平臺，不久後即將推出上線，就是希望透過這個平臺來解決少量多樣生產模式下的生產管理的挑戰。</p> <p>生產訂單的管理，一直以來是許多製造業的痛點，尤其是少量多樣為主的製造業更是如此。過去，生管或業務主管決定生產訂單排序時，需考慮到許多不同環節，包括銷售客戶、達交率、備料狀況、生產工時、產能等，來決定訂單生產排程，決策過程中需要彙整多方數據來作為判斷依據，不僅很花時間，決定後對於排程異動帶來的影響往往也很難掌握，只能等到事後才知道。</p> <p>但是，宇瞻科技行政管理處資深處長謝鄭忠表示，未來透過這個平臺，營運高層決定訂單優先順序將更容易，決策時間將可從周縮短到天，甚至從系統中就能看到每次訂單變動後牽動ERP、MES等各系統調整模擬的結果，來擬定排產策略。</p> <p>決定訂單生產順序之後，各系統就能根據訂單生產異動同步自動調整，比如有張訂單交期往前，排程系統就會開始改動，其餘產線、物料準備等相關系統都會跟著調整，開始準備該筆訂單的生產作業。</p> <p>「正是過去宇瞻IT打下來的基礎，讓公司資訊系統的整合，有了一個很好的基底，才能辦到。」謝鄭忠直言。</p> <p><span style="font-size:28px;"><strong>作為IT轉型第一步，汰換用了十年的老舊ERP系統</strong></span></p> <p>2016年進到宇瞻之後，謝鄭忠同時接掌HR和IT，但與一般資訊主管有很大不同，謝鄭忠雖然有許多年人力資源相關經驗，對帶領HR團隊已經是駕輕就熟，但對於IT卻十分陌生，甚至可以說是門外漢。</p> <p>為了盡快讓IT部門可以繼續運作，因此，他一開始採取做法，是對IT團隊充分授權，即使不需他參與，團隊就可以進行許多討論與決定，再由他做出最後定奪。謝鄭忠每項決定都會以能不能為公司帶來更多效益，作為判斷標準。</p> <p>儘管，謝鄭忠基於信任交由IT團隊評估系統技術相關可行性，但系統導入過程可能對組織內部運作模式和變革衝擊，這就是他可以評估的範疇，借助過去在人資多年歷練，讓謝鄭忠對這件事情掌握度，比起一般資訊主管更加準確，來確保後續順利推行。</p> <p>謝鄭忠上任後馬上就迎來第一個挑戰，要汰換關鍵營運核心的ERP系統，改用新系統來取代。過去這套ERP系統已經是個用了10年老舊系統，隨著公司發展規模越大，加上需要應付少量多樣的接單生產模式，尤其在工控領域，不同訂單的差異更大，從上百到數臺都有，但舊有ERP系統的功能漸漸跟不上宇瞻未來營運成長所需，所以公司決定更換新系統。</p> <p>在謝鄭忠接掌IT部門以前，宇瞻內部就已經決定要更換ERP，但經過一年評估遲遲沒有決定，他加入以後就馬上重啟計畫，並以先前評估為基礎，重新找來IT團隊和顧問團隊共同討論，再決定導入哪一家ERP後，於是拍板定案，馬上執行。</p> <p>新ERP系統從規畫到導入完成將近2年，並於2018年推出上線。</p> <p>但就在翻新核心系統的同時，謝鄭忠也面臨IT團隊重整的挑戰，一方面原本IT主管不久即將退休，需要找新IT主管接手；另一方面，現有團隊成員也陸續離開，因此，謝鄭忠一邊帶領IT部門導入新系統的同時，還要重新建立新的IT團隊。幾年後，新團隊到位，謝鄭忠表示，目前資訊團隊約十多人，包括經理、課級主管，都是他後來招募進來，甚至為了確保後續ERP維運和客製需求，也找來曾協助導入的顧問團隊成員加入。</p> <p><span style="font-size:28px;"><strong>5年分三階段推動數位轉型，成了IT團隊的新考驗</strong></span></p> <p>但謝鄭忠的挑戰不僅於此，大約2019年時，宇瞻展開了營運數位轉型，計畫用5年分三階段進行數位轉型，希望能夠藉由IT轉型提升決策的效益，以及優化營運產能。這也成了宇瞻IT團隊所要面對的新考驗。</p> <p>一開始推動轉型，除了從流程改造做起，建立系統化的作業流程，包括導入ERP、CRM、MES等系統，謝鄭忠接下來更以這3套核心系統為基礎，進而擴大到更多營運面的細節，更從營運端延伸到生產端，將倉儲管理、供應鏈管理以及物料需求規劃作業等一併系統化，進而發揮出綜效整合。</p> <p>舉例來說，宇瞻接單後，除了在自己工廠生產外，也會仰賴外包，但以往外包生產有個問題是，外包廠商系統沒有與宇瞻MES系統介接，導致外包生產履歷不透明。</p> <p>為了解決這個問題，宇瞻IT團隊後來開發一套外包管理系統，來幫助外包廠商建立起完整生產履歷，也透過這套系統追蹤與監控其生產進度與品質。</p> <p>不僅如此，遇到生產端排程不順時，資訊團隊還打造一套APS先進排程系統，建立起自動化生產排程機制，以此做到更有效的排程管理。這些都是由IT團隊自行開發完成。</p> <p>宇瞻IT團隊過去以系統維護為主，自行開發的比例不高，在謝鄭忠接手IT後，趁著重新建立新團隊的期間，他也開始強化IT自主開發能力，也因此，往後許多新系統開發都是由IT團隊一手包辦。他要求即使是買套裝軟體，團隊後續要有能力可以承接客製修改。</p> <p>IT部門每年需開發許多不同系統或應用，但在執行優先順序上，謝鄭忠也有一套自己做法。他表示，以使用者端的痛點，以及能夠對公司帶來最大效益者優先解決。</p> <p>他發現，IT單位常常處理各單位大大小小的需求單，但需求單一直進來，人力資源有限的情況下，勢必要有所取捨。面對各單位不同需求，他採取漏斗式管理，由課級主管評估，評估以後再呈報到上層主管和他這邊，來決定是否接單，如果是一些大型專案投資或跨單位整合的案子，就會由他來做決定，進行資源統籌和分配，至於所提需求工時不長，就可以由課級主管自行決定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%87%E7%9E%BBCIO-2P-%E8%87%B3%E6%B5%A9-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>宇瞻科技行政管理處資深處長謝鄭忠表示，就如同HR常常自許為策略性的角色，IT也作為總經理的策略夥伴，幫助公司營運成長。 </strong></span><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>訂出資訊開發應遵守的原則</strong></span></p> <p>他在資訊團隊更建立起一個核心觀念，就是要替公司創造商業價值，因此他也給IT團隊訂出資訊開發應遵守的原則，就是以對營運有幫助的需求列為最優先開發，其次是跨單位整合的需求，「在資源有限的情況下，就是要避免重工或做事沒效益。」這也是謝鄭忠不斷灌輸團隊成員該有的觀念，「沒效益的事不如不做。」</p> <p>「這樣才能呈現出IT的特殊性」謝鄭忠強調，若是IT不能幫助公司成功創造價值，就很容易被取代，「要讓老闆知道IT花的錢是可以替公司帶來效益，而不是每次看到IT來爭取預算，就很頭痛。」</p> <p>他也以營運平臺來舉例，過去老闆想要看到昨天營業毛利，以前得等一個月會計結算完才看得到，若是要看成本帳雖然沒那麼長，至少要一周才看得到，但有了營運平臺以後，將營運端ERP、生產端MES數據整合到單一平臺上呈現，可以提供更即時和透明營運資訊，今天就可以看到前一天的帳，對於決策者來說，就可以更快根據營運變化調整經營決策。</p> <p>也因為重點在提供即時營運數據，因此一開始推出時，系統上先以功能完整為主，而不講求介面美觀，像是生產良率等即時資訊，都可以從平臺上看得到，不同營運階層也能看到各自所需營運資訊，來輔助決策，甚至之後，IT團隊還以該平臺為基礎打造了e-Fab生產看板，運用於工廠端的管理。</p> <p>「如同HR常常自許為策略性角色，IT也作為總經理的策略夥伴，幫助公司營運成長」謝鄭忠說道。</p> <p><span style="font-size:28px;"><strong>下一步邁向智慧決策</strong></span></p> <p>幾年轉型發展後，2021年時，宇瞻進到智慧決策的發展階段，也是這家公司轉型的第三階段。在這個階段，資訊團隊開始建置營運模擬決策智慧平臺，透過這個平臺不僅可提高經營管理者的決策力，來加快訂單生產決定與安排，也能讓決策資訊透明化，因為是完全是由系統計算產出結果，提供使用者作為決策的參考依據，不只能強化出貨達交能力，也能縮短客戶交期。</p> <p>「資料整合是打造出這套平臺的關鍵。」他解釋，平臺整合了多套系統的資料，分別有來自營運端ERP的利潤、物料資料，客戶端CRM資料，以及生產端APS和WMS的出貨時程等，甚至為了打造這套平臺，IT團隊前期更花了一年使用營運歷史資料來比較平臺模擬結果，發現新的做法的確可行，可以幫公司獲得更好毛利率和交期。</p> <p>這套平臺從系統架構到整合各系統資料，完全是由宇瞻IT團隊一手打造。預計今年上半年上線。</p> <p>這些年，宇瞻IT團隊透過導入各種新系統或平臺，來提升經營管理者決策的效益，也幫助公司優化營運產能，使IT對於公司影響越顯得重要，謝鄭忠從2019年開始改直接向總經理匯報，也反映出宇瞻對IT更加倚重。隔年，宇瞻IT組織展開大改造，資訊部門從原來的資訊部改為資訊服務部，部底下設立兩個課，一個是營業資訊課，負責AP開發、ERP維運等，另一個是資訊工程課，負責硬體基礎設施與資訊安全等。</p> <p>謝鄭忠下一步考慮結合AI，希望能夠把主管決策模式納入營運模擬決策平臺，能主動提供使用者最佳模式的訂單優先順序建議。在HR人資方面，還要建立系統化方式呈現組織人員結構的變動，不只可供未來人力的趨勢預測，也能作為各單位主管往後幾年的人員擴編或晉升的參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>謝鄭忠　宇瞻科技行政管理處資深處長</strong></p> <p>學歷：中央大學人資所碩士</p> <p>經歷：歷練過不同產業的人力資源管理者，從高科技半導體、網通、工程等產業，擔任過聯電人資資深專員、智邦科技人資經理、中鼎工程人資經理、華新麗華人資長等，2016年進到宇瞻後，不只負責HR部門，也擔任IT最高主管，開始帶領IT團隊協助公司轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%87%E7%9E%BBCIO-2P-%E8%87%B3%E6%B5%A9-250.jpg" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／宇瞻科技</span></span></p> <p><strong>宇瞻科技</strong></p> <p>地址：新北市土城區忠承路32號1樓</p> <p>網址：<a href="http://www.apacer.com">www.apacer.com</a></p> <p>成立時間：1997年</p> <p>主要業務：工業SSD、記憶體模組及消費性電子產品設計及製造</p> <p>員工數：約600人</p> <p>資本額：11.2億元</p> <p>年營收：86.82億元（2021年）</p> <p>董事長：陳益世</p> <p>總經理：張家騉</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資深處長</p> <p>資訊部門主管姓名：謝鄭忠</p> <p>資訊部門人數：18人</p> <p>每年IT預算：1,200萬元（2021年）</p> <p>資訊部門分工：資訊服務部下設營運資訊課與資訊工程課，營業資訊課共有12人，負責AP開發、ERP維運等；資訊工程課有4人，負責硬體基礎設施與資訊安全等</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2016年：工廠MES製造執行系統推出上線</p> <p>●2017年：導入Salesforce CRM套裝軟體，用於客戶關係管理</p> <p>●2018年：完成導入鼎新ERP系統，取代舊系統</p> <p>●2019年：導入MRP物料需求規畫系統、建置營運平臺</p> <p>●2020年：物料倉庫導入WMS倉儲管理系統、自行開發APS工廠生產排程系統推出上線、建置外包生產管理平臺、工廠端管理開始結合e-Fab生產看板</p> <p>●2021年：推出CRM 2.0改版，加強精準行銷</p> <p>●2022年：導入SCM供應鏈管理平臺、BI平臺上線、建置營運模擬決策智慧平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yu_zhan_cio-2p-zhi_hao_-960.jpg" width="960" height="420" alt="" title="宇瞻科技行政管理處資深處長謝鄭忠　（攝影／洪政偉）" /></div></div></div>
2023/2/6 00:00作者余至浩https://www.ithome.com.tw/people/155358
【台新金控新一代資訊架構大公開(上)】以前中後臺搭配資訊架構治理，支持龐大金融生態圈發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年9月，台新金控董事長吳東亮宣布要將Richart數位銀行發展成一個整合支付、點數使用、生活優以及金融服務的一站式生活服務Richart Life App平臺，串連百貨、零售、網購、電信到交通等不同異業的結盟，來打造一個更大的金融生活生態圈，要將當時70億點台新點數，導入到這個生態圈中，來發展出可以跨店家互通的點數經濟。為了支持這個龐大金融生態圈的發展，台新IT早在2019年就展開了資訊架構轉型準備。</p> <p>早在Bank 3.0時代，9年多前，台新成立了一個數位轉型小組，開始關注各種Fintech發展和新興技術，例如這個小組很早就開始關注區塊鏈在金融應用的可能，也會嘗試一些創新實驗，來評估是否要投入資源來發展。台新金控資訊長孫一仕進入台新擔任資訊長後，也成為數位轉型小組成員之一。</p> <p>這個數位轉型小組不只是為了轉型，更是台新創新的火車頭團隊。例如，台新鼎鼎大名的Richart數位銀行，就源自這個小組。</p> <p>在2014年時，先由這個小組開始評估數位銀行的可能性，2015年時，台新決定展開開發工作，順利在2016年上線。至今Richart數位銀行產品線涵蓋了理財、理債、支付、保險和外幣，開戶數在去年11月就超過了280萬人，更發展出跨多產業整合的金融生活生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%96%B0%E4%B8%89%E9%9A%8E%E6%AE%B5%E7%99%BC%E5%B1%95-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%AD%AB%E4%B8%80%E4%BB%95.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>台新資訊基礎架構的技術，早期以實體機為主，後來開始進入虛擬機，2019年開始引進容器技術後，到了2021年時，就是虛擬機與容器化技術並存，未來會走到虛擬機、容器化和混合雲三者並用的時代。</strong><span style="font-size:14px;">（圖片來源／孫一仕）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應未來業務大規模擴充和調度需求，展開技術架構現代化</strong></span></span></p> <p>為了支持這個龐大金融生態圈的發展，台新IT也在2019年時，展開了技術架構現代化的轉型腳步，要為日後業務擴大後的大規模擴充和資源調度需求做準備。</p> <p>孫一仕指出，台新新一代資訊架構劃分為前中後臺三個部分，設計原則是前臺敏捷化、中臺模組化與後臺輕量化，還搭配了一個資訊架構治理框架。</p> <p>台新希望透過這個新架構，實現三大戰略目標，第一個是要達成一致的客戶體驗，來加速數位場景開發，以快速支援各式生態圈的服務。簡單來說，新資訊架構的第一個戰略目標，就是要支援從2020年開始擴大力推的Richart Life金融生活生態圈。</p> <p>第二項戰略則是要用關鍵場景發展中臺架構，持續催化科技轉型和支持業務創新。台新將許多通用的應用邏輯程式轉移到中臺，也將這些邏輯程式模組化，以利支援到前臺的各種通路，可以用來支援更多類型的創新應用，不用重複打造輪子。</p> <p>最後一項戰略，台新希望透過新的資訊架構，來建立敏捷組織，優化流程管理，也要導入智能維運作法，優化技術架構來穩固資訊的長期發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>台新新一代資訊架構分四層，前中後臺和資訊架構治理</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1115-%E5%B0%81%E9%9D%A22-600-1.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1115-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></a></p> <p>若進一步來看台新資訊架構前中後臺的組成元素，可以一窺台新未來的IT發展重點。</p> <p>前臺涵蓋的通路多達十多種，包括了官網、純銀通路、行銀App、Richart App、企網銀、企網銀App，還有實體臨櫃通路、財管通路、客服中心、ATM和Richart Life通路。另外還有一套API平臺，可以和開放銀行生態圈串接，或是像Richart Life通路也可以串接到外部第三方，來形成更複雜多元的生態圈多通路關係。</p> <p>中臺架構上主要包括了三大部分，業務中臺、數據中臺和流程引擎。業務中臺下涵蓋了客戶管理、通知管理、支付管理、eCIF、共用服務等。而數據中臺則包括了數據架構、擷取與運算機制、AI模型和資料湖等。</p> <p>而在後臺架構上，則包括了臺幣存放款、外幣存放款、信用卡、金融市場和其他關鍵應用等。</p> <p>第四部份是資訊架構治理，則包括了一個集中式資訊架構，也要制定架構和技術審查規範，建立智能維運平臺，以及推動IT流程管理的優化。</p> <p>台新新一代資訊架構的轉型是現在進行式，從3年多前開始啟動，而且不只是一個大型專案，而是衍生出了17個專案之多，同時展開，各自有不同的推動步調，部分專案已經完成，有些則還在持續推動中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先從1個專案開始練兵，累積雲原生技術經驗</strong></span></span></p> <p>但是，台新不是突然一口氣發起十幾個專案來推動IT轉型，而是先從一個微服務專案開始累積經驗。這個專案就是信貸流程系統的微服務化，後來也發展成了一朵內部私有的徵審雲。</p> <p>2019年時，隨著雲原生Cloud Native技術的成熟，例如容器技術、Kubernetes平臺的商業化，網路科技公司愛用的微服務（Microservice）架構也開始流行到其他產業，當時臺灣資訊服務業者和金融服務業者也開始採用微服務架構來打造應用系統。尤其，金融業開始注重與第三方介接的API應用，透過容器和微服務架構，更容易因應來自第三方爆量的調度需求。</p> <p>台新同樣也是看上微服務架構，可以提供有別於傳統大型單體式應用所沒有的擴充彈性，決定開始實驗微服務技術來累積經驗。</p> <p>台新對於新興科技的接觸和探索非常積極，也經常接觸國外第一手經驗，但是要真正導入到自己內部使用時，台新則是謹慎以對，「不能為了技術而技術，而是要先有需求。」孫一仕強調。</p> <p>讓台新決定擁抱雲原生技術的原因也是來自業務需求的驅力。因為Richart用戶成長速度遠超過台新原本的預期，帶來了一項甜蜜的負擔。</p> <p>因為數位銀行高度講究使用者體驗，當使用者打開App時，就可以看到詳細且高度個人化的金融帳戶資訊。所以，當使用者登入App時，就需要同步驅動數十項存取後端資料的請求，來蒐集必要的資訊，但這些連動的資料請求，也讓Richart的登入行為，成了後端系統的負擔。</p> <p>尤其，每當有業務部門要舉辦大型行銷活動時，顧客就會一窩蜂地打開Richart的App來了解這次行銷活動的訊息，也就會突然出現大量登入行為，連2動暴增了大量登入後要存取相關用戶個人化資料的查詢請求。</p> <p>雖然，透過定期系統容量評估和需求會議，台新IT當時可以依據過去數據和業務需求，事先準備足夠的系統運算支援，仍然可以因應這些爆量需求。</p> <p>但是，每次遇到大型行銷活動，台新IT就得提前擴增前端系統需要的伺服器，也會再一次感受到對於運算資源調度的擴充性需求。可是，過去一直沒有太好的技術解法，直到容器和微服務技術的成熟。</p> <p>而對孫一仕而言，系統擴充力是越來越重要的課題，所以，他決定開始嘗試具備高度調度彈性的微服務架構。</p> <p>一般來說，嘗試新技術有兩種策略，一種是「全新打造」，另一種是「以舊改新」，不過，台新在2019年，沒有新應用的開發需求，可以進行大規模的架構汰換，因此，台新改從現有應用中挑出合適的改造對象，後來選定了信貸流程系統來進行微服務化，後來再加上徵審流程，就成了徵審雲。</p> <p>台新早在2006年就已經將信貸流程數位化，2019年要轉成微服務架構時，也不是將全部的流程一次轉換，而是將其中比較可以獨立的流程，抽離出來發展成微服務，再透過系統呼叫的方式，串回到原本的流程中，再逐漸將更多流程微服務化。</p> <p>這些獨立出來的微服務，都部署在容器化平臺上，當時直接就建置在以K8s為基礎的容器化平臺上，而不是Docker環境。</p> <p>台新是臺灣少數率先導入Kubenetes的銀行之一。這次K8s建置經驗也成了後來發展新一代資訊架構的重要基礎。徵審雲也成了台新第一批部署到K8s容器化平臺上的應用。</p> <p>孫一仕指出，台新希望用K8s來因應四大痛點，一是年節與行銷活動大量登入需求的彈性擴充需求、二是降低伺服器支援終止（EOS）與修補更新的影響，三則要解決現有系統老舊，程式碼維護不易的課題，最後一項是有狀態程式碼擴充不易的問題。</p> <p>從徵審雲的經驗，讓台新開始體會到K8s等雲原生技術的好處，在2019年前後，台新找來外部資訊顧問，進行現有IT體質的健檢，開始推動資訊架構轉型專案。K8s容器化平臺就是這個架構的關鍵基礎。</p> <p>台新在2019年就規劃出了前面提到的新一代資訊基礎架構，以及前臺敏捷化、中臺模組化、後臺輕量化以及資訊架構治理框架的四層式架構。</p> <p>到了2020年，台新開始大力推動這個新架構，更開始擴大K8s平臺的涵蓋範圍，導入更多應用服務。<strong><a href="https://www.ithome.com.tw/news/155361" target="_blank"><span style="color:#B22222;">文章未完，請見【台新金控新一代資訊架構大公開(下)】中臺扮演新資訊架構的中鋒角色，成生態圈快速發展關鍵</span></a></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155364" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong><a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a></p> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155360
【台新金控新一代資訊架構大公開(下)】中臺扮演新資訊架構的中鋒角色，成生態圈快速發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155360" target="_blank"><strong><span style="color:#B22222;">文章前段請見：【台新金控新一代資訊架構大公開(上)】以前中後臺搭配資訊架構治理，支持龐大金融生態圈發展</span></strong></a></p> <p>「中臺是新資訊架構的中鋒，要支援前臺四大通路App，中臺控場非常重要。」台新金控資訊長孫一仕強調。</p> <p>孫一仕進一步解釋，中臺控場對生態圈發展的重要性，他指出：「異業合作強調的是時效性和可擴充性，」如何支援業務達成快速提供服務是關鍵，在中臺建置和提供一套可以組裝的共用服務，能夠有效減少同質性程式的重複開發。像是Richart有許多需要呼叫後端的功能，透過中臺戰略，可以一次開發就讓多通路共用，例如信用卡查詢、轉帳交易功能等。</p> <p>而借助容器化平臺，就能在資源足夠的前提下，因應各種行銷活動需要的動態擴充和資源調度。</p> <p>台新中臺架構所用的關鍵技術就是K8s和微服務，不過，台新現有4百多套系統，如何找到關鍵情境，可以導入中臺環境，也是一大挑戰。因為要將有狀態的程式碼，改寫成無狀態的程式碼，才能讓一個個應用服務可以獨立生成和動態擴充，這不是一件容易的工程。</p> <p>台新的策略是在成本合理前提下，將應用系統轉換成Cloud Ready的應用。到2022年時，台新已經完成了徵審雲，研發雲和業務雲，這些都是支援雲原生技術的私有雲。</p> <p>舉例來說，業務雲從2021年開始建置，也就是業務中臺。台新觀察各前臺通路開發中的作業，將許多具有可重用或是可共用性質高的應用服務，轉移到中臺，例如PIW（投資風險屬性評量表）、臺幣利率查詢、匯率查詢等，逐步減少重複開發工作，也可以提供一致性的體驗，搭配共用決策引擎，能因應新業務的推廣動態擴充。到了2022年，台新進一步將點數整合平臺等應用導入到K8s，這個點數整平臺提供了點數查詢和點數交易功能，來用來支援Richart Life、台新Pay+和電子錢包之用。</p> <p>一般中臺架構只強調容器化平臺的建置，但台新規畫的中臺架構，還將ESB（EAI）一並納入，可依據適合程度，來做更彈性更有效率的應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用開源K8s打造研發雲，成為實驗創新應用的內部沙盒</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%96%B0%E9%9B%B2%E7%AB%AF%E7%99%BC%E5%B1%95%E8%97%8D%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%AD%AB%E4%B8%80%E4%BB%95.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台新的策略是在成本合理的前提下，將應用系統轉換成Cloud Ready的應用架構。到2022年時，已經完成了徵審雲，研發雲和業務雲，這些都是支援雲原生技術的私有雲。目前正在發展AI雲和數據雲，未來希望逐漸發展成可以支援混合雲架構的能力。</strong><span style="font-size: 14px;">（圖片來源／孫一仕）</span></span></p> <p>不只將更多業務應用系統轉移到K8s上，在2021年下半年時，為了研發需求，台新也建置了一朵研發雲，以開源K8s來打造一個容易自行管理、修改和控制的容器環境，「採用開源K8s來建置也有兩大好處，成本較低，控制性也比較高。」他補充。</p> <p>「這朵研發雲，就像是我們自己的實驗沙盒。」孫一仕表示，許多IT內部需求，可以先利用這朵進行技術名估測試，或者進行壓力測試，例如共用Proxy、AI模型的POC作業等。</p> <p>負責管理和運用這朵研發雲的團隊，就是台新在2020年成立的架構師團隊，目前約有12～15人，其中包括4位資深架構師，也納入原有EAI團隊來支援EAI服務。</p> <p>這個架構師團隊不只是負責各種資訊架構，還要蒐集來自業務單位的多方需求，評估整體發展和資源擴充規劃，還要專門處理各種疑難雜症，「這個團隊是台新IT的創新Lab，也是我的QA團隊，靠他們找出技術難題的答案。」孫一仕表示。</p> <p>例如台新前一陣子正在比較，共用Proxy部署到容器化環境和VM環境的效益，架構師團隊在研發雲上進行實測後，評估結果讓孫一仕很意外，架構師的結論是，增加了成本、後續支援等考量之後，共用Proxy部署到VM反而比部署到K8s環境來得好。</p> <p>目前，不只中臺採用K8s，台新已經將行動銀行、官網導入到K8s環境，另外，網銀部分服務也轉移到K8s環境。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>K8s容器化平臺最大好處是讓應用層架構更乾淨</strong></span></span></p> <p>孫一仕指出，採用K8s最大好處，可以去除AP伺服器，應用程式容器化後也有助於簡化管理。「不是成本考量，而是讓應用層架構更乾淨，」</p> <p>K8s不只可以因應業務成長來彈性擴充運算資源，另外還帶來了一個新的效益，讓台新可以開始採用藍綠部署，像是在Richart App推出新版時，可以同時部署先舊版本的API，將少部分的流量設定給給新版本API來處理，觀察新版API功能穩定後，在全面將所有流量切換到新版，來確保服務品質。</p> <p>目前，台新有超過400套系統，其中85%的系統使用虛擬機，而仍然有1成應用部署在實體機上執行，約有5%的系統開始使用容器化平臺。</p> <p>台新資訊基礎架構的技術，早期以實體機為主，後來開始進入虛擬機，2019年開始引進容器技術後，到了2021年時，就是虛擬機與容器化技術並存，孫一仕表示，未來會走到虛擬機、容器化和混合雲三者並用的時代。不過，台新現有容器化平臺對混合雲架構的支援較弱，因此一年前，也開始評估可以支援混合雲架構的新容器平臺。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI雲和數據雲是最新發展目標</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-%E5%8F%B0%E6%96%B0%E5%90%91%E7%B8%BD%E7%B6%93%E7%90%86-%E6%94%9D%E5%BD%B1%E7%8E%8B%E5%AE%8F%E4%BB%812.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台新銀行總經理尚瑞強指出，未來持續目標是讓Richart生態圈成為自主營運的體系，不用依附在台新銀行，另一大目標是顧客經營。目前台新正在發展一套顧客360度視圖，透過貼標和AI模型，希望能精準知道顧客的喜好和意圖。</strong><span style="font-size: 14px;">（攝影／王宏仁）</span></span></p> <p>目前，台新IT正在全力發展新一代資訊架構中的AI雲和數據雲（數據中臺）相關系統。</p> <p>台新AI應用分散到不同的部門中各自發展。與行銷應用相關的AI都由台新客群經營處的資料科學團隊負責，而IT負責的AI則是與內部資訊應用相關的AI需求為主。</p> <p>例如2021年時，台新IT嘗試將海外信用卡刷卡的防偽冒評分模型（TSBML）導入到K8s上運算，因為這項模型需要耗費大量CPU的算力，透過K8s平臺的調度，可以更有效運用CPU算力，而且可以透過容器化平臺適時擴充。目前，台新考慮擴大到國內信用卡刷卡的防偽冒應用上，來發展一朵AI雲。</p> <p>另外，台新也陸續進行各種數據策略，背後需要大數據和對應的算力。這一步正是台新金融生活生態圈後續戰略的發展關鍵。</p> <p>台新銀行總經理尚瑞強指出，未來持續聚焦兩大目標，一是讓Richart生態圈成為自主營運的體系，不用依附在台新銀行，另一大目標是顧客經營。目前台新正在發展一套顧客360度視圖，透過貼標和AI模型，希望能精準知道顧客的喜好和意圖。「未來與任何一方合作時，就能更精準的導客。」</p> <p>但是，「AI的基礎是數據，台新擁有豐富的數據和模型運用能力，當前的挑戰是，如何從源頭梳理數據，需要推動數據治理架構。」尚瑞強解釋，例如一個人從10個通路進來，如何整併成同一個人的數據。尚瑞強更要求所有子公司都要思考，各自需要什麼樣的數據來發展業務，擴大市占率，分解各種數據使用案例，找出資料庫還不足的數據。</p> <p>「我們不是最大的銀行，必須更精準，才能降低成本。」尚瑞強透露，台新正在打造一套數據基礎架構，可以讓第一線業務人員，非常精準地進入資料超市取得剛好需要的數據，能快速切入特定場域來競爭。這也正是台新IT大轉型正在進行中的數據中臺新任務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> </span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155364" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong><a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a></p> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155361
【台新金控IT轉型關鍵人物：資訊長孫一仕】早飛不行、晚飛跟不上，科技創新如何適時，IT得緊跟業務需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「擁抱新一代資訊架構是一項知易行難的挑戰，」台新金控資訊長孫一仕強調。</p> <p>台新早在2019年就展開IT架構現代化的轉型工程，將資訊架構劃分成前、中、後臺和資訊架構治理，以K8s容器化平臺為基礎來發展關鍵中臺。</p> <p>但是，台新IT的轉型工程不是採取一次到位作法，而是從小規模實驗練兵、謹慎挑選關鍵需求和痛點，再逐步擴大，以多年長期專案的做法，來推動轉型。</p> <p>但還有一個更關鍵的原則，如何在不快不慢的計畫中，找對IT轉型步調，孫一仕的秘訣是「IT得緊跟業務需求。」</p> <p><span style="font-size:28px;"><strong>擁抱雲原生不只是技術概念，還需要很多管理配套</strong></span></p> <p>「早飛不行、晚飛跟不上，」他強調，要在不影響業務情況下進行，推動IT現代化是一項「行難」的挑戰。最大原因是，孫一仕解釋：「擁抱雲原生不只是技術概念，還需要很多管理配套。」</p> <p>像台新擁有超過4百套系統，每次要上線一套新的AP，最少要凍結版本4個月，也就是跟這套新上線AP相關的系統，在4個月時間內都不能有程式碼異動。換句話說，其他單位不只要付出額外的人力來參與新AP的功能測試，若在這段期間自己有業務新功能或新專案的需求，還會受到這套新AP的影響，得暫緩或延後。</p> <p>孫一仕強調，有太多非純技術的評估考量，適當時機很重要。IT創新如何拿捏，「我自己傾向跟緊業務單位的需求，亦步亦趨。」</p> <p>不只如此，推動IT架構轉型的第一步，還得先獲得高層支持，讓老闆有心理準備，願意接受這些改變將會帶來的短期陣痛。台新但只有這樣還不夠，IT也得考量第一線使用者的感受。</p> <p>因為台新規定，凡是AP系統的異動，所有業務單位都要進來測試所有的AP，確保所有功能都正常運作，但是對業務單位而言，協助測試系統，如果沒有實質好處，例如能增加業務面新功能或是降低業務成本，使用者通常意願都不高而會抱怨連連。「IT要推動如此大規模的變化時，業務效應要很強。」孫一仕說。</p> <p><span style="font-size:28px;"><strong>不是每一種應用都可以享受到自動擴充能力的好處</strong></span></p> <p>所以，「找到關鍵情境，非常重要。」孫一仕強調，不是每一種應用都可以享受到自動擴充能力的好處，得配合業務需求找到需要彈性應用的系統。由其台新擁有超過4百套系統，得先知道哪些系統適合採用雲原生技術，而哪些系統不需要。</p> <p>台新將K8s和微服務等雲原生技術導入到中臺架構中，先選擇可重用性質高的共用服務，以及需要配合業務需求而彈性擴充的應用下手。</p> <p>但在建置之前，IT得先有一套完善的系統架構規劃，而不是只有單一系統的設計，也要將應用程式和基礎架構盡量解耦，盡量以無狀態的方式來運作。</p> <p>台新則是先瞄準四大痛點的需求，一是年節與行銷活動大量登入需求的彈性擴充需求、二是降低伺服器支援終止（EOS）與修補更新的影響，三則要解決現有系統老舊，程式碼維護不易的課題，最後一項是有狀態程式碼擴充不易的問題。第一項正是業務單位最在意的需求。</p> <p>因為Richart App為了追求用戶體驗，一登入時就能提供豐富個人化資訊，這就在每次登入時同步執行數十項資料存取請求，遇到大型行銷活動，顧客頻頻登入App時，更會產生爆量請求，過去，台新IT得不斷事先準備資源來因應。因此成了台新優先用K8s容器化平臺彈性擴充的改造對象。</p> <p>台新IT推動資訊架構轉型時，先從業務中臺和流程引擎著手，後來才開始發展數據中臺，目前正在打到AI雲和數據雲。</p> <p>不過，台新也不是第一次導入K8s就先導入到Richart數位銀行這套關鍵業務系統上，而是先選擇一個已經數位化多年，對業務影響較低又能分階段拆解的信貸流程來嘗試微服務和容器化管理平臺，累積團隊的雲原生技術能力和管理經驗。</p> <p>經過3年擁抱雲原生技術的旅程，不只業務中臺部署在K8s，台新也將行動銀行、官網導入到K8s環境，另外，網銀部分服務也轉移到K8s環境。</p> <p><span style="font-size:28px;"><strong>擁抱雲原生技術前得先具備這些準備</strong></span></p> <p>這三年架構轉型經驗，更讓孫一仕體會到，管理容器和管理VM需要不同的觀念和技術，甚至是要學會一套新的運作方式，連AP團隊也要參與基礎架構的維運。</p> <p>他建議，導入容器化平臺之前，一方面，要先確認基礎架構團隊必須具備容器化平臺的技術能力，其次，AP團隊也要具備系統容器化的開發技能，例如能將有狀態的程式，改成無狀態的寫法。</p> <p>第三，組織分工上，AP開發團隊和SP維運團隊的分工得重新審視，像台新目前就由AP團隊來負責管理K8s，另外也需要一套好的監控和分析機制，才能提高容器出事時的應變能力。</p> <p>對台新而言，「這個新資訊架構的容器化平臺，不是一個專案，而是很多專案的旅程。」孫一仕用「旅程」來形容台新這一路的轉型過程，就算經過了3年，台新仍舊處於轉型的旅途，新一代資訊架構的建置仍是現在進行式，而不是完成式。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> </span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155364" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong><a href="https://www.ithome.com.tw/article/155364" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" style="width: 550px;" /></a></p> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/news/155363
台新IT大轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1115-feng_mian_gu_shi_-open-dou_zi_-960x420_kao_bei_.jpg?itok=LY03eZ2_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了支援金融生活生態圈的擴展，3年多前，台新展開了資訊架構轉型工程，一口氣展開十多項專案，不只前臺敏捷化、中臺模組化與後臺輕量化，還搭配了資訊架構治理框架，以K8s雲原生技術為基礎，先完成關鍵的業務中臺，下一步正在發展AI雲和數據雲</p> </div></div></div>
2023/2/6 00:00作者王宏仁https://www.ithome.com.tw/article/155364
【資安週報】2023年1月30日到2月4日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周資安新聞中，有4個漏洞消息需特別關注，因為這些漏洞都開始有攻擊者鎖定利用的情形，包括Oracle電子商務套件（E-Business Suite）於去年10月修補的CVE-2022-21587漏洞，客戶關係管理平臺SugarCRM在1月中旬修補的CVE-2023-22952漏洞，老舊漏洞也被攻擊鎖定，那就是網頁應用程式框架Telerik UI的CVE-2017-11357漏洞。另外，還有一個Zoho ManageEngine的CVE-2022-47966漏洞，也要留意盡速修補。</p> <p>而以新揭露的漏洞而言，有四項消息值得留意，包括威聯通（QNAP）修補旗下NAS產品SQL注入漏洞CVE-2022-27596，DNS伺服器軟體Berkeley Internet Name Domain（BIND）新修補4個漏洞，電信網路程式庫Open5GS GTP的CVE-2023-23846漏洞，以及AMI的BMC解決方案的CVE-2022-26872、CVE-2022-40258漏洞。</p> <p>在威脅態勢焦點方面，法國CERT-FR警告，有駭客積極針對VMware ESXi，利用CVE-2021-21974漏洞以及OpenSLP連接埠（427埠）入侵並部署勒索軟體；資安業者揭露Vector Stealer的竊密程式，目標是包含遠端桌面連線所需的詳細資料的RDP檔案；還有資安業者揭露有POS機臺惡意軟體Prilex的攻擊行動。</p> <p>在國內方面，農曆年節期間至今，有兩大資安新聞事件成為國人的關注焦點，一是汽機車共享業者iRent資料庫曝險在公開網路長達9個月，引發民眾對於個資是否調查出證實外流、以及如何身分證明文件若外流如何自保的關注，和雲行動服務公司尚未有這方面說明，最新回應是提及將向40萬潛在影響用戶影響出補償；另一是多名永豐銀行信用卡用戶遭盜刷，疑3D Secure的OTP驗證碼經電子郵件傳送被竊取而導致，由於我們注意到12月已有其他銀行示警，其背後問題也引發金管會與整個社會的重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155287"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</span></strong></a></h3> <p>有研究人員近日揭露名為Py#Ration的RAT木馬程式，此惡意軟體由Python打造。雖然此木馬程式針對Windows電腦而來，但研究人員指出，由於Python跨平臺的特性，只要稍加修改，駭客也能用於攻擊其他電腦。</p> <p>物聯網（IoT）裝置採用的晶片出現漏洞，也可能成為駭客鎖定的目標。有研究人員發現，自去年8月針對Realtek Jungle SDK的RCE漏洞CVE-2021-35394攻擊行動大幅增加，超過50款連網設備可能成為目標。</p> <p>繼<a href="https://www.ithome.com.tw/news/155189">今年1月駭客攻擊NortonLifeLock防毒軟體的密碼管理器元件</a>，意圖盜取使用者儲存的密碼，這類密碼管理服務遭到攻擊的現象也越來越常見。最近有駭客針對密碼管理服務Bitwarden用戶下手，濫用Google廣告來挾持帳號。其他密碼管理服務的使用者也要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/155314"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者取得帳密資料</span></strong></a></h3> <p>烏克蘭戰爭開打至今，俄羅斯駭客利用資料破壞軟體（Wiper）發動攻擊的情況不時傳出，而最近又有相關事故傳出。有別於過往的資料破壞軟體，新的惡意程式也摧毀Windows系統的重要檔案，甚至能夠破壞整個AD網域。</p> <p>開源密碼管理軟體KeePass的漏洞CVE-2023-24055也相當引人注意，一旦駭客成功利用，將能取得明文的帳密資料，且已有概念性驗證攻擊程式流傳。不過，開發團隊認為這並非漏洞，後續發展有待觀察。</p> <p>有研究人員發現臺灣共享汽機車服務iRent的客戶資料庫在網路上曝露長達9個月，但離譜的是，科技媒體TechCrunch詢問和泰汽車始終沒有得到回應，直到聯繫數位發展部，才得到TWCERT/CC已介入處理的說法。</p> <h3><a href="https://www.ithome.com.tw/news/155326"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</span></strong></a></h3> <p>中國駭客組織Dragonbridge散布特定訊息來企圖左右政治局勢的情況，日前已有資安業者揭露相關攻擊行動，但過往大多針對美國而來。近期Google揭露該組織濫用旗下服務來張貼訊息的情況，並特別提及這些駭客在去年裴洛西訪臺期間，不斷發布對臺恫嚇的資訊。</p> <p>一月底威聯通修補了NAS重大漏洞CVE-2022-27596，事隔數日有資安業者提出警告，全球至少有近3萬臺設備尚未更新韌體而曝險，但值得我們注意的是，臺灣曝險的設備數量全球第3，僅次於義大利和美國。</p> <p>今年農曆新年期間傳出永豐銀行信用卡遭到盜刷的情況，此事近日得到金管會證實，有34名持卡人受害、被盜刷110萬元。永豐銀行認為，很有可能是他們在刷卡過程寄送的OTP驗證碼郵件遭到攔截所致。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155349"><strong><span style="color: rgb(0, 0, 0);">【2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</span></strong></a></strong></p> <p>利用竊密軟體（Info Stealer）收集目標電腦各式帳密資料，或是洗劫使用者的加密貨幣錢包的情況不時傳出，但這類惡意程式鎖定了新的攻擊目標，駭客將其用來收集遠端桌面連線的組態資料（RDP檔案），而有機會在不需知道帳密資料的情況下存取受害電腦。</p> <p>在社群網站、開發工具有許多系統提供了藍勾勾的機制，來表明這是通過驗證的名人或是開發者，但這樣的機制也被濫用於OAuth網路釣魚攻擊。資安業者Proofpoint揭露發生在12月初的網釣攻擊行動，但與過往不同的是，駭客發出請求授權的惡意雲端應用程式，其開發者竟有此種標章，而可能讓使用者降低警覺。</p> <p>資安業者Eclypsium於12月公布了3個AMI MegaRAC的BMC軟體漏洞，但他們最近又再公布2個發現的漏洞，而延遲近2個月才公布的原因，是要讓AMI能有較為充分的時間完成修補。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155365"><strong><span style="color: rgb(0, 0, 0);">【2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</span></strong></a></strong></p> <p>針對駭客利用挾帶惡意VBA巨集的Office檔案發動攻擊的情況，微軟去年祭出了封鎖來自網路（MoTW）的巨集執行的措施，而使得駭客也隨之調整做法，其中最常見的方式就是利用ZIP壓縮檔、ISO映像檔挾帶作案工具，並引誘使用者點選LNK捷徑檔案來突破相關限制。但最近有資安業者提出警告，他們觀察到有越來越多駭客採用Visual Studio的附加工具VSTO，來製作能讓惡意Office檔案執行VBA巨集的元件，部分元件甚至能採取遠端下載的做法來躲避防毒軟體偵測。</p> <p>惡意PyPI套件的攻擊行動也相當值得留意。有研究人員近日發現兩款惡意套件，其中一款被用於竊密，並將偷得資料上傳到Slack頻道；另一款則是被用於部署惡意軟體。</p> <p>思科最近針對部分IOS XE設備修補漏洞CVE-2023-20076，值得留意的是，攻擊者一旦成功利用漏洞，即可任意存取這些具有漏洞的網路設備。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155389"><strong><span style="color: rgb(0, 0, 0);">【2月4日】VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊</span></strong></a></strong></p> <p>針對VMware虛擬化平臺而來的勒索軟體攻擊行動引起了CERT-FR、雲端服務業者OVHcloud、資安新聞網站Bleeping Computer關注，其中最值得關注的是，攻擊者竟是利用2年前已被公開的漏洞CVE-2021-21974來下手，且已傳出可能有伺服器受害。</p> <p>研究人員揭露駭客組織Firebrick Ostrich的BEC攻擊行動，該組織2年內竟發動至少350起攻擊，相當於每2天就有一起。駭客能這麼頻繁發動攻擊的原因，研究人員認為是採取了與先前同類型攻擊相當不同的策略而能達成。</p> <p>美國CISA最近將Oracle電子商務套件漏洞CVE-2022-21587、客戶關係管理平臺SugarCRM漏洞CVE-2023-22952列入已被用於攻擊的漏洞（KEV）名單，並要求聯邦機構限期修補。</p> </div></div></div>
2023/2/5 13:00作者羅正漢https://www.ithome.com.tw/news/155391
【資安日報】2023年2月4日，VMware虛擬化平臺遭到勒索軟體鎖定、駭客組織Firebrick Ostrich發起…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國的資安事件緊急應變機構、大型雲端業者不約而同針對一起勒索軟體攻擊行動提出警告，其目標是尚未修補兩年前漏洞CVE-2021-21974的VMware虛擬化平臺，且已傳出可能有伺服器受害。</p> <p>過往的商業郵件詐騙（BEC）攻擊普遍相當低調，通常經過長期規畫及布局才能得逞，但最近有資安業者揭露攻擊頻率極高的攻擊行動，這些駭客在2年內發動了多達350次攻擊。</p> <p>美國CISA最近更新了已被用於攻擊的漏洞（KEV）名單，針對甲骨文ERP系統E-Business Suite、客戶關係管理平臺SugarCRM的用戶提出警告。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/massive-esxiargs-ransomware-attack-targets-vmware-esxi-servers-worldwide/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭到鎖定，利用2年前的漏洞進行勒索軟體攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2021-21974"><span style="color: rgb(255, 140, 0);">#CVE-2021-21974</span></a> <a href="https://www.ithome.com.tw/tags/VMware"><span style="color: rgb(255, 140, 0);">#VMware</span></a> <a href="https://www.ithome.com.tw/tags/ESXi"><span style="color: rgb(255, 140, 0);">#ESXi</span></a> <a href="https://www.ithome.com.tw/tags/Nevada"><span style="color: rgb(255, 140, 0);">#Nevada</span></a> <a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong></p> <p>法國電腦緊急應變小組（CERT-FR）於2月3日提出警告，有人積極針對虛擬化平臺VMware ESXi下手，利用CVE-2021-21974（CVSS風險評分為8.8分）入侵，目的是部署勒索軟體，該組織表示，駭客主要的攻擊目標是6.7版以前的ESXi伺服器，但7.0版也有可能曝險。</p> <p>當地雲端服務業者OVHcloud也觀察到相關攻擊行動，並指出目標是包含7.0 U3i版之前的ESXi伺服器，利用OpenSLP連接埠（427埠）入侵，攻擊者疑似與<a href="https://www.ithome.com.tw/news/155349#Nevada">勒索軟體Nevada</a>有關。但資安新聞網站Bleeping Computer有不同的看法──根據攻擊行動的勒索訊息進行分析，很有可能是新的勒索軟體ESXiArgs，至少有120臺ESXi伺服器受害。</p> <p><a href="https://intelligence.abnormalsecurity.com/blog/firebrick-ostrich-third-party-reconnaissance-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Firebrick Ostrich發起大規模的BEC網路攻擊，不到2年發動逾350起行動</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BEC"><span style="color: rgb(255, 140, 0);">#BEC</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Firebrick-Ostrich-Follow-up-Email.jpg" style="width: 300px; float: right;" /></a>資安業者Abnormal Security揭露駭客組織Firebrick Ostrich的攻擊行動，該組織專門從事商業郵件詐騙（BEC），自2021年4月開始，至少展開了350起攻擊行動，當中冒充了151個組織，並使用212個惡意網域。</p> <p>研究人員指出，這些駭客通常宣稱供應商的收帳人員，佯稱要更新銀行帳號資訊，或是要求確認是否有尚未支付的款項來下手，主要是鎖定美國的組織而來，但沒有局限攻擊目標的類型，製造、金融服務、醫療保健、教育、零售業都有企業受害。研究人員指出，這些駭客沒有事先耗費資源調查攻擊目標的金流，也並未入侵財務人員的電子郵件信箱，而能發起大量的BEC攻擊。</p> <p><a href="https://thehackernews.com/2023/02/cisa-alert-oracle-e-business-suite-and.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告甲骨文ERP系統與SugarCRM重大漏洞已被用於攻擊行動</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CISA"><span style="color: rgb(255, 140, 0);">#CISA</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/KEV"><span style="color: rgb(255, 140, 0);">#KEV</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2022-21587"><span style="color: rgb(255, 140, 0);">#CVE-2022-21587</span></a> <a href="https://www.ithome.com.tw/tags/Oracle"><span style="color: rgb(255, 140, 0);">#Oracle</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2023-22952"><span style="color: rgb(255, 140, 0);">#CVE-2023-22952</span></a> <a href="https://www.ithome.com.tw/tags/SugarCRM"><span style="color: rgb(255, 140, 0);">#SugarCRM</span></a></strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月2日，將兩個資安漏洞列入已遭利用漏洞名單（KEV），其中一個為CVE-2022-21587，存在於甲骨文ERP系統E-Business Suite，未經授權的攻擊者可透過HTTP連線，入侵其Web Applications Desktop Integrator元件，此漏洞影響該元件的12.2.3版至12.2.11版，CVSS風險層級達9.8分，Oracle於去年10月修補，今年1月中旬有資安業者發布了概念性驗證程式（PoC）。</p> <p>第二個列入KEV的是CVE-2023-22952，存在於客戶關係管理平臺SugarCRM，與缺少輸入驗證有關，而能被用於注入任意PHP程式碼，CVSS風險評分為8.8分，SugarCRM發布11.0.5版與12.0.2版修補。上述的漏洞，CISA要求聯邦機構在2月23日前完成修補。</p> <p><a href="https://blog.sucuri.net/2023/02/konami-code-backdoor-concealed-in-image.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Konami鎖定WordPress網站，並利用JPEG圖檔埋藏蹤跡</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/WordPress"><span style="color: rgb(255, 140, 0);">#WordPress</span></a> </strong></p> <p>資安業者Sucuri提出警告，他們發現近期鎖定WordPress網站的後門程式Konami攻擊行動，駭客假借提供WordPress外掛程式core-stab和task-controller的名義來散布後門軟體，並聲稱外掛程式來自WordPress.org。</p> <p>為了隱匿攻擊特徵，駭客將主要的後門程式惡意程式碼埋藏在圖檔front.jpeg當中，研究人員指出，駭客這麼做的原因，是資安系統基於效能的考量，通常不會對圖檔進行掃描，而能躲過大多數的防護措施。再者，駭客在此後門的index.php檔案裡，利用@include呼叫後門程式的做法，部分資安掃描的系統為避免誤報，很可能不會將其標記為有害。</p> <p><a href="https://www.avanan.com/blog/leveraging-clickfunnels-to-bypass-security-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">行銷平臺ClickFunnels遭到濫用，駭客將使用者重新導向至惡意URL，並繞過資安防護措施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ClickFunnels"><span style="color: rgb(255, 140, 0);">#ClickFunnels</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/clickfunnels-virustotal.png" style="width: 300px; float: right;" /></a>資安業者Avanan提出警告，有人近期濫用行銷平臺ClickFunnels發動網釣攻擊，這套系統原本提供企業快速建置網站，找出潛在客戶並進行宣傳或是銷售，但如今成為駭客遭到利用的對象。他們看到攻擊者寄送以義大利文書寫的釣魚郵件，要求對檔案進行確認，一旦使用者依照指示操作，就會被引導到以ClickFunnels製作的OneDrive檔案下載網頁，電腦就有可能因下載惡意PDF檔案而導致使用者帳密遭竊。研究人員透過惡意軟體分析網站VirusTotal解析網址，發現所有防毒引擎將其視為良性。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織APT34鎖定中東地區發動攻擊，濫用微軟密碼強度檢查器竊取帳密</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/APT34"><span style="color: rgb(255, 140, 0);">#APT34</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure8-new-apt34-backdoor-malware-targets-the-middle-east.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技揭露APT34鎖定中東地區的攻擊行動，駭客先是透過.NET打造的MrPerfectInstaller惡意軟體載入後門程式Saitama，然後濫用<a href="https://learn.microsoft.com/en-us/windows/win32/secmgmt/password-filters">微軟的密碼強度檢查器（Password Filters）</a>來竊取本地與網域用戶的帳密，目的將其用於存取Exchange伺服器來竊取機密資料，然後再經由郵件的合法流量外傳。</p> <p><a href="https://www.koreatimes.co.kr/www/nation/2023/01/113_344179.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓12個學術機構的網站遭中國駭客攻擊，駭客放話將進行第二波行動</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/曉騎營"><span style="color: rgb(255, 140, 0);">#曉騎營</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dawn-cavalry-optimize.jpg" style="width: 300px; float: right;" /></a>根據韓國時報的報導，南韓12個主要的學術機構網站於農曆新年假期期間，遭到中國駭客組織曉騎營（Dawn Cavalry）攻擊，此事得到當地的網路安全機構證實。駭客宣稱，韓國政府只承認12個機構遭到攻擊，但他們破壞的資料庫與網站數量不只這些，該組織在Telegram頻道表示動機是對於韓國的明星感到不滿，並揚言下一個目標是韓國網路安全局（KISA）。</p> <p><a href="https://www.sfb.gov.tw/ch/home.jsp?id=95&parentpath=0&mcustomize=news_view.jsp&dataserno=202302030005&dtable=News"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對和泰對iRent資安事故發布的重大訊息惹議，金管會表示符合揭露規定，但將調查是否落實相關內控措施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/重大訊息揭露"><span style="color: rgb(255, 140, 0);">#重大訊息揭露</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/金管會"><span style="color: rgb(255, 140, 0);">#金管會</span></a><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JvR9pz8rXU_20230204-1449-57564.png" style="width: 200px; float: right;" /></a>日前資安研究人員發現汽機車共享業者iRent資料庫外洩，母公司和泰於2月1日於股市公開資訊觀測站發布重大訊息，聲稱是針對自由時報的報導進行澄清，表示第一時間進行改善措施，但強調此資料庫與和泰母公司及關係企業沒有連接，而並未造成和泰業務及財務重大影響，沒有進一步對資安事故的發生緣由及可能損失做出說明。</p> <p>但根據<a href="https://www.cna.com.tw/news/afe/202302020291.aspx">中央社的報導</a>，金管會於2日表示，iRent非和泰車重要子公司，且事件對和泰車財務及業務無重大影響，證交所認為並無違規。</p> <p>對此，金管會於2月3日發布新聞稿澄清，經過評估，和泰公司的說明尚且符合重大訊息資訊揭露的相關規定，但並非他們認定資安事故沒有違反規定。證交所將針對和泰公司是否落實內部控制的制度，啟動查核機制。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04402en_us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HPE針對基礎設施管理平臺OneView發布資安通報，起因是Expat XML元件出現重大漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/CVE-2022-40674"><span style="color: rgb(255, 140, 0);">#CVE-2022-40674</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>研究人員去年9月，揭露Expat XML解析器的記憶體釋放後濫用（UAF）漏洞CVE-2022-40674，最近有IT業者公告旗下產品採用該元件而受到影響。</p> <p>HPE於2月1日發布資安通告，指出基礎設施管理平臺OneView存在CVE-2022-40674，攻擊者可遠端在目標系統上執行任意程式碼、洩露資料，或是發動阻斷服務攻擊（DoS）。此漏洞源自於該系統採用的外部元件Expat XML解析器，CVSS風險層級達到9.8分，影響8.1版之前的OneView。而在此之前，已有IT業者發布相關公告，例如，<a href="https://security.netapp.com/advisory/ntap-20221028-0008/">NetApp於1月底公布受到影響的範圍</a>，並提供修補程式。</p> <p><a href="https://confluence.atlassian.com/jira/jira-service-management-server-and-data-center-advisory-2023-02-01-1188786458.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">缺陷追蹤管理系統Atlassian Jira出現身分驗證漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Jira"><span style="color: rgb(255, 140, 0);">#Jira</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2023-22501"><span style="color: rgb(255, 140, 0);">#CVE-2023-22501</span></a></strong></p> <p>IT業者Atlassian於2月1日發布資安通告，缺陷追蹤管理系統Jira出現身分驗證漏洞CVE-2023-22501，此漏洞影響Jira的服務管理伺服器與資料中心，一旦攻擊者利用該漏洞，就有可能在未經授權的情況下，假冒使用者來遠端存取系統，CVSS風險評分為9.4分。</p> <p>該公司發布5.3.3、5.4.2、5.5.1、5.6.0版修補，若是無法安裝修補程式的用戶，該公司也提供手動更新特定JAR檔案的方式，IT人員也能停機置換相關檔案來降低風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=0CD3801D7C5536E4"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人假借健保補充保費的名義寄送釣魚郵件</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/goanywhere-mft-zero-day-vulnerability-lets-hackers-breach-servers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">檔案傳輸管理系統GoAnywhere零時差漏洞，恐被用於RCE攻擊</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/tgtoxic-malware-targets-southeast-asia-android-users.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TgToxic利用自動化框架針對東南亞安卓用戶而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/truthfinder-instant-checkmate-confirm-data-breach-affecting-20m-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身家調查服務TruthFinder、Instant Checkmate傳出資料外洩，波及2千萬用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/florida-hospital-takes-it-systems-offline-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國佛羅里達州醫院遭到網路攻擊，IT系統被迫離線</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155365">【2023年2月3日】駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用於竊取開發者電腦資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> </div></div></div>
2023/2/4 16:52作者周峻佑https://www.ithome.com.tw/news/155389
Martech雙周報第33期：AMT臺灣Martech版圖2023版出爐，還能在知識平臺搜尋版圖收錄工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0122~0204)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#臺灣Martech版圖</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech知識平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷數位轉型</span></span></strong></p> <p><strong>AMT發布臺灣2023台灣Martech版圖，更推出知識平臺便於搜尋Martech工具</strong></p> <p>亞太行銷數位轉型聯盟協會（AMT）發布臺灣2023台灣Martech版圖，本次更新82個工具，數量距2021年第一次發表時增加了96%。這些工具分成6大類，分別是廣告技術、內容與體驗、社群與關係、商業與銷售、流程與管理，以及數據與分析。其中，商業與銷售、廣告技術、數據與分析是增長數前3高的分類。總數量則以數據與分析分類工具數量最多。</p> <p>AMT認為，商業與銷售工具成長率最高，主因是疫後企業投資線上通路意願大幅提升。數據與分析分類工具數量最多，則是因為第三方數據式微，第一方數據崛起，因此需求量最大。</p> <p>隨著Martech版圖收錄工具量變多，不再便於直接閱讀，AMT也宣布推出Martech知識平臺MarsGo，供企業尋找收錄在版圖上的臺灣MarTech工具廠商，並刊登全球MarTech、數位轉型相關研究及趨勢文章。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie替代</span></span></strong></p> <p><strong>行銷界巨頭The Trade Desk跟Lotame相繼推出第一方數據的管理解決方案，有望增加第一方數據普及度</strong></p> <p>第三方Cookie替代方案中，第一方數據共享是業界一個呼聲很大的選項。第一方數據優點之一是，這些數據可以來自瀏覽器以外的不同通路，例如CTV、線下消費數據以及行動應用等。不過，這也帶來一大挑戰，就是蒐集、整合並啟用這些數據的門檻較高。這正是許多企業難以啟用第一方數據來行銷的原因──內部數據管理難度太高。</p> <p>近日，行銷界2家巨頭The Trade Desk跟Lotame，相繼推出第一方數據管理解決方案<a href="https://www.thetradedesk.com/us/our-platform/galileo?utm_source=ttd_banner&utm_medium=onsite_banner&utm_content=galileo&utm_source=The+Martech+Weekly&utm_campaign=fdefc17e95-EMAIL_CAMPAIGN_4_18_2021_9_33_COPY_01&utm_medium=email&utm_term=0_7477fc1017-fdefc17e95-475092822">Galileo</a>跟<a href="https://spherical.lotame.com/">Spherical</a>。兩者功能都是串接主流CRM、CDP、其他資料倉儲及交換數據用的數據無塵室，並整合企業分散於各處的第一方數據，並用於行銷或廣告投放。The Trade Desk更將Galileo結合自家第一方身分辨識方案UID 2.0，直接把企業導向自家廣告投放服務。</p> <p>行銷界巨頭推出這些支援企業啟用第一方數據的產品，意味著企業導入各式第一方數據解決方案的門檻降低了。對於推動業界脫離第三方Cookie，有重要意義。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#對話式行銷</span></span></strong></p> <p><strong>香港對話商務系統商Omnichat推出CDP﹐主打OMO個人化行銷旅程功能</strong></p> <p>隨著經營第一方數據的重要性越來越廣為行銷業界接受，專精於不同行銷階段的數位行銷業者紛紛推出CDP，結合自家強項。香港對話商務系統商Omnichat便是一例，近日推出名為Social CDP的CDP，主打跨社群通路行銷。</p> <p>除了CDP常見跨通路數據匯集功能，以對話行銷起家的Omnichat，特別強調行銷規畫功能，便於行銷人員為不同輪廓的顧客，設定自動化線上線下跨通路行銷方案，並讓線上客服及線下銷售人員都能即時查看完整顧客檔案，作為與顧客互動時的行銷參考。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動裝置</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span></strong></p> <p><strong>尼爾森推出可以測量跨裝置觀看情況的服務，還能辨認出個人等級的跨通路觀看行為</strong></p> <p>以電視收視率測量起家的尼爾森，終於推出可以測量橫跨傳統線性電視、聯網電視（CTV）、行動裝置及電腦內容及廣告收視情況的服務<a href="https://www.nielsen.com/zh/news-center/2023/nielsen-announces-market-availability-for-nielsen-one-ads/">Nielsen One</a>。同時，為了用同一基準比較線性電視與其他數位媒體的收視情況，尼爾森還將線性電視的收視時間單位從分鐘改為秒數。</p> <p>尼爾森表示，此服務不只能測量個別通路的收視率，利用他們的ID系統及與不同出版商、甚至圍牆花園的合作，<a href="https://www.medianews4u.com/nielsen-one-ads-to-offer-deduplicated-view-of-ads-and-content-across-screens/">此服務能測量同一使用者橫跨這些通路的觀看情況</a>。這樣一來，不僅廣告商有辦法了解自己在不同通路的行銷成效，出版商也能看出自己相對於其他通路或出版商，對觀眾的吸引力為何，進而像廣告主展現自己版位的價值。</p> <p>跨通路行銷成效追蹤一直是困難但重要的課題。近年，由於遲遲沒有辦法測量線性電視以外通路的收視率，尼爾森在市調界地位持續受挫。早在2020年12月，尼爾森就預告了此服務，不過至今才於美國地區正式上線。若Nielson One跨通路追蹤能力如自己所言的強大，或許有望挽救業界地位，不過隱私疑慮也可能伴隨而來。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#零售媒體聯播網</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#跨通路行銷</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷成效追蹤標準</span></span></strong></p> <p><strong>美國研究：零售媒體聯播網市場規模2024年可望達600億美元，但成效追蹤無公定標準是隱憂</strong></p> <p>根據美國市調機構Insider Intelligence預測，零售媒體聯播網（RMN）市場將持續成長，2024年市場規模可望達600億美元，占美國數位廣告市場近1/5。<a href="https://www.insiderintelligence.com/content/5-retail-trends-that-will-shape-2023-social-commerce-retail-media-more">報告並指出</a>，儘管RMN廣告剛開始都只會展現在店面或電商網站內的版位，不過已經開始拓展到更多通路，例如戶外看板或聯網電視。報告尤其點名Amazon、Walmart及美國最大超市Kroger等零售巨頭在CTV廣告方面的投資，將加速成長。</p> <p>由於大型零售業者是與消費者接觸的第一線通路，RMN作為行銷管道影響力不容小覷。根據美國國家廣告商聯合會（ANA）研究，88%使用RMN的品牌主，是因為感受到該零售品牌對消費者的影響力，而不得不透過RMN來投放廣告。</p> <p>不過，這同時帶出RMN目前一個潛在問題，就是當前尚未有具說服力的行銷成效測量方法。雖然IAB已經著手制定廣告形式及成效測量標準，不過最早也要2024年才會推出。因此零售商如何用具體成效數據，而非自身規模來吸引更多廣告主加入，會是一大課題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告歧視</span></span></strong></p> <p><strong>Meta利用機器學習技術開發出住宅廣告反歧視機制</strong></p> <p>2019年，Meta遭控讓廣告主可以依據種族、家庭狀況和殘疾與否等條件推送房屋廣告，因而遭到美國住宅暨都市發展部起訴，雙方2022年6月達成和解，Meta除了需支付11萬美元的罰款之外，也必須在2022年底前開發無歧視性廣告工具。日前，Meta宣布推出Variance Reduction System（VRS），用來解決住宅廣告歧視問題。</p> <p>Meta透過定期測量特定廣告的實際受眾，比對公開人口普查資料，以了解這些受眾組成與人口統計分布的差異，其中，目前這個系統優先著重性別和種族特徵，且Meta聲稱測量方法不會侵犯隱私。</p> <p>目前，VRS工具僅用於住宅廣告，不過Meta提到，會考慮應用此技術於就業及金融廣告等其他領域。（<a href="https://www.ithome.com.tw/news/155097">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Salesforce</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong></p> <p><strong>Salesforce推出零售業者建置RMN及蒐集第一方數據用的解決方案</strong></p> <p><a href="https://www.salesforce.com/news/press-releases/2023/01/12/retail-announcements-nrf-2023/">CRM巨頭Salesforce宣布</a>，推出更多功能，讓該公司的零售業客戶能直接從CRM啟用第一方數據來建置零售媒體聯播網（RMN），經營廣告事業。零售商將能用這些新功能來啟用自家第一方數據來投放程序化廣告，並分析行銷活動成效，提供後續行銷優化建議。</p> <p>同時，Salesforce的電商平臺Commerce Cloud也推出新功能，支援零售商蒐集並分析線上線下通路數據。這些功能包括延伸Salesforce支付工具到線下使用、更多數據分析及數據監控功能等。</p> <p>隨著第三方Cookie退場在即，第一方數據抬頭成為趨勢，零售業的大量消費者數據成為成為兵家必爭之地，RMN市場更大幅成長。Salesforce現在針對零售業推出更多數據應用工具，不僅降低零售業建置RMN的門檻，也顯示CRM巨頭對此趨勢的重視。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#蘋果廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權</span></span></strong></p> <p><strong>蘋果因隱私疑慮遭罰8百萬美元，更間接公開廣告投放機制如何嘗試規避隱私侵犯偵測</strong></p> <p>蘋果因投放數位廣告時未經使用者同意就讀寫裝置識別碼而被開罰8百萬美元。<a href="https://www.cnil.fr/en/advertising-id-apple-distribution-international-fined-8-million-euros">訴訟資料中</a>，揭露了蘋果在自家平臺上追蹤用戶及投放廣告的機制，以及之前如何規避隱私權偵測。</p> <p>使用者創建Apple帳戶時，會產生一個識別用用戶ID，紀錄使用者於蘋果App Store上的使用行為，以及Apple帳戶上的地點、性別、生日等資料。分析這些資料後，用戶ID會被分類到不同分眾中，用於廣告投放。</p> <p>為了避免在廣告投放流程中直接使用用戶ID，蘋果還用了另外兩組ID：裝置識別ID及廣告ID。裝置識別ID用於建立不同裝置與用戶ID的連結；廣告ID則用於廣告投放及曝光數追蹤。蘋果要投放廣告時，只會用裝置ID跟廣告ID跟自家廣告伺服器溝通，因此規避掉「用戶ID被用來投放廣告」這件事。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據無塵室</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#IAB</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span></strong></p> <p><strong>美國IAB：廣告商斥資千萬買數據無塵室，但不到1/3會用來追蹤行銷成效</strong></p> <p>精準行銷背後需要大量使用者數據做為燃料，因此資料隱私權隨之成為行銷業界高度重視的議題。一個近期成為熱門話題的資料隱私權技術是資料無塵室，用於在不侵犯隱私的環境中交換第一方資料。不過，根據美國<a href="https://www.iab.com/wp-content/uploads/2023/01/IAB_State_of_Data_2023.pdf">數位廣告主管機關互動廣告協會（IAB）研究</a>，目前此技術在行銷業界中，應用情況仍不成熟。</p> <p>報告指出，使用資料無塵室的企業中，62%表示建置金額超過20萬美金，更有25%左右花費超過50萬美金（約1,500萬新臺幣）。然而，這些企業大多只用無塵室來去識別化資料，以及基本隱私法遵。用資料無塵室來追蹤跨通路行銷成效的企業，不到1/3。IAB指出，資料無塵室應用是需要投資人才、使用經驗，並配合內部數據基礎架構，才能完整發揮此技術帶來的優勢。</p> <p>資料來源：iThome整理，2022年2月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/2/4 09:40作者郭又華https://www.ithome.com.tw/news/155381
MedTech醫療科技雙周報第15期：澳洲醫院上線電子處方箋，採用FHIR互通資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0116～0131)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">電子處方箋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Northern Health </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>澳墨爾本醫院上線電子處方箋，採用FHIR互通資料</strong></span></p> <p>澳洲墨爾本Northern Health醫院近日在自家心理健康部門和門診診所推行電子處方箋，該處方箋平臺由醫資廠商MediRecords開發，整合了醫院的病人管理系統（PAS）和臨床患者資料夾（CPF）軟體，並採用FHIR資料交換標準，來加速資料互通。也就是說，醫師不必再至另一個資料庫查找患者醫療記錄，直接根據當下臨床資料（如病史和過敏資訊），就能快速產生電子處方箋。</p> <p>醫院透過MediRecords雲平臺產生電子處方箋，可立即發送給患者或其護理人員。該處方箋附有一個QR Code，可給藥局用來掃描、調配藥劑，患者也能更快取得藥物。這不是Northern Health第一次上線電子處方箋，去年7月時，該院就先在旗下的維多利亞虛擬急診部門採用電子處方箋，來減少紙張和寄送成本，只不過當時並未採用FHIR來交換資料。</p> <p>MediRecords是美國IT大廠Leidos的成員之一，該Leidos目前還接手打造澳洲國防部的健康知識管理（HKM）系統，並且要採用FHIR，打通不同層級的照護機構資料互通藩籬。MediRecords執行長Matthew Galetto指出，FHIR應用是今年的開發重點，接下來將推出更多整合工具。<a href="https://medirecords.com/medirecords-on-fhir-at-northern-health/">（詳全文）</a></p> <div class="media_embed" height="360px" width="640px"> <iframe allowfullscreen="" frameborder="0" height="360px" src="https://player.vimeo.com/video/718144603?h=5f78652aec" title="vimeo-player" width="640px"></iframe></div> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 癌症偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenVINO</span></strong></span></p> <p><span style="font-size: 22px;"><strong>一次偵測6種癌，政大開發多類別癌症偵測AI</strong></span></p> <p>政大傳播學院兼任助理教授吳致勳帶領學生團隊，開發一款多類別癌症偵測AI系統，能分析血液中小分子核糖核酸（Circulating miRNA），偵測6種癌症的早期風險，包括膀胱癌、食道癌、腦癌、肺癌、卵巢癌和前列腺癌等，敏感度達90%，目前正與學研單位、醫院合作中。</p> <p>吳致勳在中研院時，就與臺北榮總基因醫師張家銘聯手，進行小分子核糖核酸癌症偵測研究。目前的癌症篩檢，一種檢測工具只能針對一種癌症，且費用高昂，於是，團隊把目光轉向小分子核糖核酸這種液態活檢，想嘗試搭配AI模型，來一次檢測多種癌症、降低偵測成本。他們先是建立小分子核糖核酸表現量資料庫，擁有5,000名正常人和4,000名癌症患者（含6種癌症）生物晶片資料，並用來訓練TensorFlow2 FFN模型，再將模型導入Intel的電腦視覺開發套件OpenVINO、進行優化，最後導入推論引擎，供使用者使用。政大團隊也參加Intel DevCup競賽，從200多組隊伍中脫穎而出，目前進入決賽中。<a href="https://makerpro.cc/intel-devcup/%E5%A4%9A%E9%A1%9E%E5%88%A5%E7%99%8C%E7%97%87%E4%B9%8B%E9%9D%9E%E4%BE%B5%E5%85%A5%E5%BC%8Fai%E5%81%B5%E6%B8%AC%E7%B3%BB%E7%B5%B1/?fbclid=IwAR2ieKjvkzubHtzlwyzZ3U1mij_vAZLWGhV1FsfZzOEOvQkGQ1_TT03aIy8">（詳全文）</a></p> <p><img alt="" src="https://makerpro.cc/intel-devcup/wp-content/uploads/2022/12/%E9%87%8D%E8%A6%81%E5%9C%96%E7%89%87ok2-1418x709.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">信用卡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯卡中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動支付 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯卡中心揭就醫支付趨勢，去年刷卡筆數533萬創5年新高 </strong></span></p> <p>聯合信用卡處理中心（簡稱聯卡中心）最近分析民眾在醫院、診所使用信用卡的消費樣態，發現2022年民眾就醫使用信用卡簽帳的筆數533萬筆，是近5年新高，聯卡中心還預估，2022全年度筆數還能增長至652萬筆、達500億元。</p> <p>聯卡中心也發現，醫院小額支付筆數逐年提高，小於500元的筆數占比從2018年的32.2%上升至去年的45%。也就是說，民眾在醫院，用信用卡支付掛號費等小額費用的比例增加了。不過，聯卡中心搭配健保署公開資料計算，發現在醫院門診和住院使用信用卡支付的民眾，只占總就醫人次4%，近5年也沒有明顯增長。聯卡中心還進一步在主要平臺進行輿情分析，發現民眾討論重點多半是：支援信用卡和行動支付的醫院太少、行動支付App有時無法支付醫療費用，以及以信用卡支付大額醫療費用有無回饋，這幾點也是醫界和相關機構待克服的挑戰。疫情雖然加速金融支付在醫院和診所的滲透，有成長潛力，但聯卡中心認為，行動支付要在醫院、診所落地深根，還有很大的進步空間。<a href="https://www.nccc.com.tw/wps/wcm/connect/zh/home/openinformation/CaseAnalysisIntroduce/CNT_05_998_20221221140335">（詳全文）</a></p> <p><img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/1/%E5%9C%96%E4%B8%80.png?MOD=AJPERES" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紐約大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SDOH </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康儀表板 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>NYU打造一站式全美選區健康儀表板，要促政府制定新政策</strong></span></strong></p> <p>紐約大學和RWJ基金會開發一款一站式健康儀表板，涵蓋全美435國會選區、36項關鍵健康指標，包括影響健康的貧富差距、食物、交通運輸等社會決定因素（SDOH），可供政策制定者用來規畫更好的政策。</p> <p>進一步來說，這個儀表板彙整了美國聯邦政府的數據，像是人口普查局、疾管署等單位提供的資料，並分類為36項健康指標，使用者可點選指標，來查看在美國國會選區的數據分佈。這些健康指標可分為疾病、社會經濟因素、健康行為、生活環境和健康照護服務等5大類，其下又涵蓋不同細項，如疾病下的乳癌死亡人數、社會經濟因素下的貧困兒童或高中完成率，又或是健康行為下的酗酒、生活環境下的空污指數等。政策制定者可根據這些指標，來得出健康洞察，比如儀表板顯示，西班牙裔是所有國會選區中，未保率最高的族群。</p> <p>其實，美國在2022年就採取一項策略，來解決SDOH問題。這個策略的一大目標，就是打造可互通的基礎設施來支援決策，美國國家衛生IT協調會也在去年10月與HL7展開討論，要測試FHIR標準，用來交換基層醫療中SDOH相關訊息。<a href="https://www.congressionaldistricthealthdashboard.org/maps/national">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-04%20at%2012_20_07%20AM.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 保險理賠 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫起通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄榮總年後上線醫起通1.5版，加速保險理賠</strong></span></strong></p> <p>高雄榮總於去年8月，就與壽險公會簽約，加入保險理賠醫起通服務行列。他們透露，農曆新年後要上線這個服務，來簡化民眾申請醫療保險理賠的作業，讓民眾不必再於醫院奔波、臨櫃申請診斷證明書等資料，線上作業即可。</p> <p>目前，醫起通1.5版可讓民眾線上簽署同意書，授權醫院調閱、彙整資料。醫院收到申請需求，會自動撈取系統內相關資料，彙整為PDF，傳送至壽險公會保險理賠區塊鏈平臺，平臺再發送給保險公司。壽險公會也預告，要將PDF版改為結構化資料欄位，來更自動化傳送資料，保險公司也不必再對照PDF、手動騰打資料，預計今年6月測試、年底上線。<a href="https://www.ithome.com.tw/news/155215">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 送藥到府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RxPass </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Amazon新推送藥到府會員服務，80多種疾病的治療藥物都能送</strong></span></strong></p> <p>Amazon日前推出一項Prime會員新服務RxPass，每月收費5美元，就能送藥到府，給所需的使用者。這些可送達的合法藥物，可治療最常見的80多種疾病，如高血壓、胃酸逆流，甚至是焦慮等病症。該服務已在美國大多數州上線，民眾只需至Amazon線上藥局註冊，就能享有該服務。Amazon也有24小時待命的藥劑師和工作人員，來與民眾討論藥物、解決問題。</p> <p>不過，該服務不提供胰島素和特殊藥物，享有美國國家醫療保險（如Medicare和Medicaid）的民眾，則無法使用RxPass。<a href="https://www.aboutamazon.com/news/retail/introducing-rxpass-from-amazon-pharmacy-a-5-prescription-subscription-that-helps-prime-members-who-take-multiple-medications-save-time-and-money">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 偏鄉 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫事人力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 媒合 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>印度最大體系醫院導入富士PACS，推動68家機構資料互通</strong></span></strong></p> <p>印度最大體系醫院之一的Manipal Hospitals，日前與印度富士（Fujifilm）展開長期合作夥伴關係，要將富士的影像儲傳系統（PACS）部署到旗下23家醫院、46家遠距放射機構中。</p> <p>PACS專門傳輸、處理醫學儀器產出的醫學影像，富士指出，這款大規模系統可自動儲存、檢索、傳送機敏資料和影像報告等作業，醫療文件和影像也能儲存在安全的站外伺服器，同時，醫師使用者還能在各地，從行動裝置、工作站登入存取這些資料，提高分院間的資料互通性和診斷便利性。目前，雙方已先上線模組化的放射資訊系統（RIS），可用於心臟專科和放射線部。<a href="https://www.fujifilm.com/in/en/news/manipal-hospitals-collaborates-with-fujifilm-india-to-provide-digitized-solutions-for-patient-diagnosis">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 澳洲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中風 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>澳洲遠距中風服務上線，比火車更快到農村</strong></span></strong></p> <p>澳洲新南威爾士（NSW）州的遠距中風醫療服務全面上線，要來改善農村和偏遠地區的中風照護，讓患者在缺乏專科醫師的小醫院，也能透過視訊接受中風專科醫師診斷。這款服務由澳洲聯邦政府和新南威爾士政府共同出資，由該州的威爾士親王醫院經營，提供24小時的視訊中風專科診斷和治療，目前已服務該州23家偏遠醫院的3,000多名患者。</p> <p>新南威爾士州每年有1萬9千名民眾中風，其中超過三分之一的住院患者來自偏遠地區和農村地區，而透過這項服務，患者在就近的地區醫院就診，速度比在都市大醫院就診更快。<a href="https://strokefoundation.org.au/media-centre/media-releases/2023/01/major-milestone-reached-in-nsw-stroke-treatment?utm_source=miragenews&utm_medium=miragenews&utm_campaign=news">（詳全文）</a></p> <p>圖片來源／MediRecords、政大、聯卡中心、紐約大學</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美大型照護機構Providence Health上線語音/視訊虛擬護理應用，減輕護理師負擔</strong></strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/2/4 00:30作者王若樸https://www.ithome.com.tw/news/155378
【資安日報】2023年2月3日，駭客濫用Visual Studio的附加工具VSTO執行惡意巨集、惡意PyPI套件被用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對駭客利用挾帶惡意VBA巨集的Office檔案發動攻擊的情況，微軟去年祭出了封鎖來自網路（MoTW）的巨集執行的措施，而使得駭客也隨之調整做法，其中最常見的方式就是利用ZIP壓縮檔、ISO映像檔挾帶作案工具，並引誘使用者點選LNK捷徑檔案來突破相關限制。但最近有資安業者提出警告，他們觀察到有越來越多駭客採用Visual Studio的附加工具VSTO，來製作能讓惡意Office檔案執行VBA巨集的元件，部分元件甚至能採取遠端下載的做法來躲避防毒軟體偵測。</p> <p>惡意PyPI套件的攻擊行動也相當值得留意。有研究人員近日發現兩款惡意套件，其中一款被用於竊密，並將偷得資料上傳到Slack頻道；另一款則是被用於部署惡意軟體。</p> <p>思科最近針對部分IOS XE設備修補漏洞CVE-2023-20076，值得留意的是，攻擊者一旦成功利用漏洞，即可任意存取這些具有漏洞的網路設備。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/no-macro-no-worries-vsto-being-weaponized-by-threat-actors"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">突破Office封鎖惡意VBA巨集執行的管制，駭客改由Visual Studio附加工具下手，透過映像檔夾帶檔案進攻</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/VBA"><span style="color: rgb(255, 140, 0);">#VBA</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Visual-Studio"><span style="color: rgb(255, 140, 0);">#Visual Studio</span></a> <a href="https://www.ithome.com.tw/tags/VSTO"><span style="color: rgb(255, 140, 0);">#VSTO</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-malicious-iso-hidden-files-shown-.jpg" style="width: 300px; float: right;" /></a>資安業者Deep Instinct指出，微軟下令禁止Office軟體執行來自網路的VBA巨集，之後，出現駭客嘗試利用Visual Studio Tools for Office（VSTO）來達成執行惡意巨集的攻擊手段。</p> <p>研究人員指出，駭客可製作VSTO附加元件，讓Office檔案開啟的過程中執行，例如，他們通常透過ISO映像檔夾帶Office檔案與上述的元件，然後在使用者開啟Office檔案後，要求依照指示安裝附加元件，一旦使用者照做，就會觸發惡意巨集。</p> <p>雖然在大部分的攻擊行動當中，攻擊者將VSTO附件元件和誘餌Office檔案存放在ISO檔案裡，但也有少部分事故駭客是從遠端下載VSTO附加元件，而有可能導致這類攻擊行動更加難以發現。</p> <p><a href="https://blog.checkpoint.com/2023/02/01/the-rise-of-the-code-package-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於竊取開發者電腦資料</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/PyPI"><span style="color: rgb(255, 140, 0);">#PyPI</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安業者Check Point揭露惡意PyPI套件Python-drgn、Bloxflip，前者於去年8月上架，一旦開發者將其安裝到開發環境，此惡意套件就會竊取敏感資料，並發送到特定的Slack頻道，研究人員認為駭客很可能會盜賣竊得資料、進行身分盜用，或藉此收集企業的機密。</p> <p>至於Bloxflip則是會停用受害電腦的防毒軟體Microsoft Defender來規避偵測，然後再下達Python的get函數，最終在受害電腦透過子處理程序執行惡意軟體。</p> <p><a href="https://www.sentinelone.com/labs/malvirt-net-virtualization-thrives-in-malvertising-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意廣告攻擊也有新手法！駭客利用程式載入器迴避偵測</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SEO"><span style="color: rgb(255, 140, 0);">#SEO</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Malvertising"><span style="color: rgb(255, 140, 0);">#Malvertising</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/MalVirt"><span style="color: rgb(255, 140, 0);">#MalVirt</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Formbook"><span style="color: rgb(255, 140, 0);">#Formbook</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MalVirt_15.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露利用名為MalVirt的惡意程式載入器攻擊行動，駭客利用惡意廣告散布這個載入器，最終目的是在受害電腦植入竊密軟體Formbook。</p> <p>研究人員指出，有別於其他散布惡意軟體的搜尋引擎最佳化（SEO）攻擊，駭客運用的惡意程式載入器MalVirt相當罕見，因為這是利用名為KoiVM的虛擬化保護軟體為基礎進行開發，以.NET虛擬化技術來進行混淆，然後濫用微軟免費工具包SystemInternals家族成員Process Explorer的驅動程式，來終止特定的處理程序。</p> <p>除了上述的惡意程式載入器，駭客也利用Azure、Tucows、Choopa、Namecheap等雲端服務來架設C2伺服器，並將其用來散布Formbook。</p> <p><a href="https://blog.cyble.com/2023/01/27/insecure-military-ics-infrastructure-poses-a-risk-to-national-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對不安全的軍事ICS基礎設施提出警告</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SCADA"><span style="color: rgb(255, 140, 0);">#SCADA</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ICS"><span style="color: rgb(255, 140, 0);">#ICS</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Modbus"><span style="color: rgb(255, 140, 0);">#Modbus</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-7-Screenshot-from-Thermal-cameras-exposed-over-the-internet.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，他們在暗網的論壇上，發現有人聲稱能存取北非國家軍事組織的SCADA系統與紅外線熱成像攝影機，研究人員根據駭客提供的IP位址等資料進行驗證，認為駭客很有可能掌握了重要的軍事資訊。</p> <p>駭客張貼紅外線熱成像攝影機的網路管理介面截圖，以及北非軍事基地的空拍圖與607個攝影機的地理位置分布圖。研究人員在這些攝影機發現資訊洩露、RCE漏洞、寫死帳密的情況，而且有多臺設備採用了預設的帳密。</p> <p>此外，駭客疑似鎖定工控系統常見的Modbus通訊協定，利用其漏洞來對於軍事基地下手，並在工控系統部署Ｍetaspoilt框架，以便進行偵察工作。</p> <p><a href="https://labs.withsecure.com/content/dam/labs/docs/WithSecure-Lazarus-No-Pineapple-Threat-Intelligence-Report-2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus發動網路間諜行動，利用Zimbra漏洞潛入受害組織竊密</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Lazarus"><span style="color: rgb(255, 140, 0);">#Lazarus</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Zimbra"><span style="color: rgb(255, 140, 0);">#Zimbra</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2022-27925"><span style="color: rgb(255, 140, 0);">#CVE-2022-27925</span></a> <a href="https://www.ithome.com.tw/tags/CVE-2022-37042"><span style="color: rgb(255, 140, 0);">#CVE-2022-37042</span></a></strong></p> <p>資安業者WithSecure揭露網路間諜攻擊行動No Pineapple，駭客鎖定南韓的醫學研究、醫療保健、化學工程、能源、國防、研究型大學，自2022年8月下旬，利用郵件伺服器Zimbra的漏洞CVE-2022-27925與CVE-2022-37042，在受害組織部署Web Shell，並利用隧道工具Plink或3Proxy建置反向隧道，而使得攻擊能在繞過防火牆的情況下進入受害組織的網路。</p> <p>然後，在接下來的兩個月裡，駭客透過橫向移動，竊得管理員帳密並從電腦裡盜取機密資料，過程中使用該組織自製的惡意軟體Dtrack與Grease來瞄準Windows的管理員帳號，最終，這些駭客竊得100 GB機密資料。根據駭客行動的時間、Web Shell連線的IP位址、下達的攻擊命令等特徵，研究人員認為攻擊行動由惡名昭彰的APT組織Lazarus發起。</p> <p><a href="https://scpc.gov.ua/article/229"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭政府遭到俄羅斯駭客組織Gamaredon的間諜軟體攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a> </strong></p> <p>烏克蘭國家安全局（SSU）旗下的國家網路防護中心（State Cyber Protection Centre）指出，俄羅斯駭客組織Gamaredon鎖定當地公共機構與關鍵資訊基礎設施下手，利用名為GammaLoad與GammaSteel的間諜軟體發動攻擊。</p> <p>前者被用於從伺服器下載VBScript指令碼，並用於下一個階段的攻擊行動；後者則是PowerShell指令碼，被用於偵察與執行其他命令。該機構表示，這些駭客主要目的是收集機密資料，而非破壞受害組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-on-ion-group-impacts-derivatives-trading-market/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國自動化軟體業者ION Group傳出遭勒索軟體LockBit攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/LockBit"><span style="color: rgb(255, 140, 0);">#LockBit</span></a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-ion-group.png" style="width: 300px; float: right;" /></a></p> <p>1月31日，英國自動化軟體業者ION Group聲明遭到網路攻擊，受影響的伺服器皆已斷開連接，他們正在復原受影響的服務；國際汽車聯盟（FIA）隨後也發表聲明，表示正在與受影響的成員進行合作，來減緩受到此起事故的衝擊。</p> <p>而針對這起事故的攻擊者身分，2月2日，勒索軟體LockBit聲稱是他們所為，並打算於2月4日公布竊得資料。</p> <p><a href="https://www.thb.gov.tw/News_Content_table.aspx?n=87&sms=13235&s=208674"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有關iRent資料外洩事故，公路總局公布初步檢查結果</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安人員發現汽機車共享服務iRent的資料庫缺乏密碼保護，曝露長達9個月，<a href="https://www.irentcar.com.tw/UPLOAD/event/111event/2284/index.html">對此和泰公司發出聲明</a>，初估受影響的使用者資料約有14萬筆，包含姓名、電話、地址，以及經遮蔽保護的信用卡資料。</p> <p>對此，交通部公路總局於2月1日前往和雲行動服務公司進行行政檢查，結果發現，該公司未能依規定提供汽車運輸業個人資料檔案安全維護計畫書，查核人員要求說明可能的受害範圍，但該公司表示清查需約2至3天才能完成，而沒有提出相關資料。而對於事件的處理情形，他們表示於1月28日進行防堵，但也透露近3個月會員異動的資料有可能遭外部人士查詢。</p> <p>對此，臺北市區監理所發函要求和雲行動服務公司限期提報消費者個資的維護計畫，並對於事故發生的原因、調查結果、後續處理等進行說明並提供佐證資料，若未於期眼內改正，將依個人資料保護法按次處新臺幣2萬元以上、20萬元以下罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iox-8whGn5dL"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部分思科IOS XE設備存在命令注入漏洞，攻擊者可以root權限執行任意命令</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/IOS-XE"><span style="color: rgb(255, 140, 0);">#IOS XE</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>思科於2月1日揭露高風險漏洞CVE-2023-20076，此漏洞存在於網路作業系統平臺IOS XE的應用程式代管環境IOx，一旦遭到利用，攻擊者可能在通過身分驗證的情況下，遠端以root的權限執行任意命令，CVSS風險評分為7.2分，影響800系列工業用整合服務路由器（Industrial ISR）、Wi-Fi無線基地臺Catalyst Access Point、CGR1000運算模組、IC3000工業用運算閘道，以及IR510 WPAN工業用路由器。</p> <p>該漏洞出現的原因，在於應用程式的啟動程序過程中，傳遞的參數未完全重置，且無須使用者互動就能利用。<a href="https://www.trellix.com/en-us/about/newsroom/stories/research/when-pwning-cisco-persistence-is-key-when-pwning-supply-chain-cisco-is-key.html">通報該漏洞的資安業者Trellix指出</a>，攻擊者一旦成功利用，將能不受限制的存取受害設備，他們部署的惡意程式碼，很有可能在設備重開機或是升級韌體後仍然持續運作。</p> <p><a href="https://www.saiflow.com/hijacking-chargers-identifier-to-cause-dos/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電動車充電站通訊協定存在弱點，攻擊者可得知車主資訊或是偷取電力</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/OCPP"><span style="color: rgb(255, 140, 0);">#OCPP</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/EV"><span style="color: rgb(255, 140, 0);">#EV</span></a></strong></p> <p>電動車充電基礎設施資安業者SaiFlow提出警告，電動車的充電系統管理服務平臺（Charging System Management Service，CSMS）與充電站之間的通訊出現弱點，有可能被駭客用於攻擊行動，且有可能影響多個廠牌的充電系統。</p> <p>這項弱點出現在充電站採用的開放通訊標準協定Open Charge Point Protocol（OCPP），起因是這裡用了網路通訊協定WebSocket，而可能在多個充電站同時連線時出現異常。攻擊者可濫用這樣的弱點與CSMS建立連線，導致這類平臺關閉原有的充電站連線，或是其他充電腦無法與CSMS通訊。</p> <p>研究人員指出，這樣的弱點很容易引起DDoS攻擊，而且駭客一旦連結到CSMS，就有可能竊得車主個資等敏感資料，或是偷取電力。上述漏洞普遍存在於搭配OCPP 1.6J版通訊協定的CSMS，但如果搭配新的2.0.1版協定也有可能曝險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.armorblox.com/blog/breaking-the-impersonation-armorblox-stops-docusign-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">上萬使用者遭到假冒DocuSign的網釣攻擊</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/titan-stealer-telegram-malware-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言開發的竊密軟體Titan竊取瀏覽器與加密貨幣錢包資訊</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/31/inthebox-web-injects-targeting-android-banking-applications-worldwide/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織InTheBox在暗網兜售逾1,800種安卓銀行木馬相關工具</span></span></strong></a></p> <p><a href="https://www.securityjoes.com/post/operation-ice-breaker-targets-the-gam-bl-ing-industry-right-before-it-s-biggest-gathering"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體IceBreaker鎖定電玩、賭博業者而來</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/new-apt34-malware-targets-the-middle-east.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">APT34鎖定中東地區發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155349">【2023年2月2日】竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳號發動OAuth網釣</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p> </div></div></div>
2023/2/3 16:46作者周峻佑https://www.ithome.com.tw/news/155365
Elon Musk又出招，推特將在2月9日關閉免費API存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/TwitterDev/status/1621026986784337922">推特（Twitter）宣布</a>從2023年2月9日開始，不再提供第三方免費存取API，包括v2和v1.1，取而代之的將會是基本付費方案，官方提到，他們將會在下周提供更多的資訊。這對開發者來說不是好消息，取消免費API將影響許多學術研究、社會議題倡議和商業專案。</p> <p>Twitter API提供開發者以程式開發的方式，存取推特的核心功能，包括推文、私訊、列表和用戶等，不少應用是透過API收集大量的推特資料，經過分析處理後生成推文發送，或是作為第三方應用使用。</p> <p>推特官方提到，數億使用者每周發送數十億條推文，這麼多年以來已經發送超過一兆條推文，推特資料已經成為世界上最強大的資料集之一，他們將提供快速且全面的存取服務，下周會有更多消息釋出。<a href="https://twitter.com/elonmusk/status/1621259936524300289">Elon Musk的推文則透露推特關閉免費API的原因</a>，Celo基金會開發者關係全球負責人Eric Nakagawa，在推特上回推推特官方宣布停止免費API服務的推文表示「廣告收入肯定下降的很嚴重」。</p> <p>這串推文引來了Elon Musk回應，他提到，免費的API被垃圾訊息機器人和意見操縱者大量濫用，由於缺乏驗證程序也不用付出成本，惡意攻擊者能夠輕易地部署10萬支機器人，他表示，每月100美元的API存取訂閱費用加上ID驗證，就能夠讓這些問題被大幅解決。</p> <p>這項消息發布之後，無論是在推特官方還是Elon Musk的推文，用戶一陣哀鴻遍野，有使用者回應Elon Musk，表示這項措施根本無法真正阻擋垃圾訊息機器人，因為這些惡意機器人都是直接破解推特客戶端API，並不會使用官方所提供的開發API，推特這個政策真正傷害到的是正當機器人。</p> <p>推特平臺在被Elon Musk收購後，進行了多次功能更新，目標皆是要強化推特的營收，<a href="http://www.ithome.com.tw/news/155232" target="_blank">包括最近阻擋第三方客戶端存取其API，進而封鎖第三方所開發的完整客戶端</a>，這項政策的目的，便是為了增加推特的廣告收入來源，因為第三方客戶端並不會顯示推特廣告，推特無法從中獲利。</p> </div></div></div>
2023/2/3 16:32作者李建興https://www.ithome.com.tw/news/155362
AWS稽核資料湖CloudTrail Lake，現支援來自非AWS來源的活動事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-cloudtrail-lake-supports-ingesting-activity-events-from-non-aws-sources/">稽核資料湖服務CloudTrail Lake，現在支援從非AWS來源擷取事件</a>，使用戶可以儲存不可篡改的使用者和API活動事件，將其用於跨AWS和混合環境的稽核和安全調查資料用途。AWS CloudTrail是提供追蹤用戶活動和API使用狀況的雲端服務，提供企業稽核、安全監控和故障排除操作。</p> <p>而CloudTrail Lake則可以簡化稽核和安全分析工作，該服務是一個託管資料湖，可以擷取、儲存、存取和分析AWS上的用戶和API活動，CloudTrail Lake能夠聚合資料，且一旦儲存資料進入資料湖便不可篡改，用戶可以執行SQL查詢進行搜尋和分析。</p> <p>現在AWS更新CloudTrail Lake，使CloudTrail Lake不只可以用於記錄AWS平臺上的用戶和API活動，也可以用於非AWS來源，使其成為稽核和安全調查的活動事件單一位置，AWS也和第三方合作，讓用戶可以從控制臺簡單地啟用第三方服務的稽核日誌記錄，已整合的服務廠商包括CrowdStrike、GitHub、Kong和Snyk等。</p> <p>官方提到，用戶現在可以在同一個地方，整合、儲存、和分析來自AWS和非AWS來源的活動事件。</p> <p>CloudTrail Lake提供新的PutAuditEvents API，使用戶可以將不同來源的用戶活動資訊，匯集到CloudTrail Lake中。CloudTrail Lake會以標準化架構記錄所有事件，因此用戶可以更容易運用這些資料，回應安全事件和稽核請求。官方提到，用戶現在可以在同一個地方，整合、儲存、和分析來自AWS和非AWS來源的活動事件。</p> <p>目前CloudTrail Lake現已可用的地區，都已經提供非AWS來源活動事件支援。</p> </div></div></div>
2023/2/3 15:14作者李建興https://www.ithome.com.tw/news/155357
機會與風險的抉擇
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身處商業競爭領域，趨吉避凶是絕大多數人的選擇，大家無不渴求能擁有最多、最大的機會，卻又期盼盡量不要遭遇風險，若無法躲避，總希望能安然度過。就實際的狀況而言，我們可能更常感受到這其實是一體兩面，於是有「危機就是轉機」、「富貴險中求」這類說法。</p> <p>根據Simplicable Guide網站的解釋，機會是未來會有所得的潛在可能性，風險是未來會有損失的潛在可能性，因此，在決策制定、策略形成、管理等層面，均扮演重要角色。</p> <p>隨著COVID-19疫情趨緩，雖然烏克蘭戰爭、臺海危機、全球通膨等多種不利市場的因素，仍籠罩在前，但經過這三年來的緊縮與壓抑，早已擋不住亟欲外出探險的情緒，期盼大展長才，而2022年下半以來，也陸續出現員工出走、企業裁員等狀況，雖然令人擔心失業率大增、經濟下滑，相對地，也有可能帶動創業潮，為產業增添新的可能性。</p> <p>無論是企業推動數位轉型，或是自己找一群志同道合之士創業，都是希望能以各種創新手段，來獲取更多商機，然而，大家可能最擔心的還是失敗的風險，於是，這需要有強大的高層支持，以及說服足夠的金主作為靠山，才能在嘗試各種作法的過程當中，找到符合理想目標、市場價值，以及最適合本身發展的產品與服務。</p> <p>關於創業、商機這方面的話題，有很多專家可提供建議，負責推動的人也有其特殊性，相較之下，風險管理則是所有人都會面臨到的功課，不論是守成或開拓，我們總是身處在一個多變的環境，若缺乏這樣的概念而貿然行事，有很大的機率會得不償失，與其到時候怨天怨地怨自己，不如自己設法學會管理風險。</p> <p>然而，想要做好風險管理，首先要認識風險。以資安領域而言，若是<a href="https://www.ithome.com.tw/CIDaily" target="_blank">iThome資安日報</a>長期讀者，可能會發現惡意軟體、駭客所能滲透的部分，經常超乎大家想像，攻擊手法不斷推陳出新之餘，也會彼此爭相模仿、合作，而且，任何疏於管控、防範的單一或多個環節，都有可能成為阿奇里斯之腱。</p> <p>就以1月30日網路共享汽車業者iRent傳出資料外洩疑雲為例，根據國外科技媒體TechCrunch的報導，因為他們所用的資料庫系統並未啟用密碼保護，再加上這系統使用固定的公共IP位址，因此，只要透過網路掃描，找出位於網際網路且使用特定通訊埠或通訊協定的資料庫系統，就可能得知IP位址，再加上並未搭配密碼驗證存取方式，使得這個資料庫形同在網際網路「裸奔」，他人可存取裡面儲存的客戶資料。</p> <p>而稍早農曆春節期間，永豐銀行信用卡傳出24位客戶盜刷事故，6日內進行76筆交易，交易金額約110萬元，經初步調查，原因可能是進行3D驗證程序時，動態密碼同時寄送至客戶手機與電子郵件信箱，而歹徒可能是從電子郵件當中擷取動態密碼，而這些客戶被盜刷的交易均是在國外網路商店購買遊戲點數，而且是分散在三十多家商店，信用卡究竟如何被盜用，仍需要進一步釐清。</p> <p>以上述兩個例子而言，一個是相對年輕的公司，隸屬於汽車廠商集團，另一個是成立超過30年，且屬於法規高度監管的金融業，他們都在努力提供更為便捷的服務，追求利益的最大化，為此而使用IT技術或安全性強度較高的身分驗證，這沒有錯，然而，我們都知道機會稍縱即逝、要及時把握，卻可能忘了風險態勢本身也是持續轉變的，過去從沒發生過重大問題的系統組態，隨著網路環境、服務型態、系統與資料存取方式的種種變遷，而導致各種危害資安的條件逐漸成立，但負責後續維運的人員可能並沒有重新檢視這些狀況，最終被有心人士發現可乘之機，釀成大禍。</p> <p>因此，或許我們可以這麼說：防守端如果沒做好風險管理，未及早補救缺失，其實就是在幫攻擊者製造有利可圖的機會。而這樣純屬人為造成的狀況，真的是大家完全無法考量到嗎？不為也，非不能也。若以此看待其他足以影響全球的重大事故，也是類似的，諸如劇烈氣候變遷、區域戰爭，大多都是人類的活動所造成的，要緩解這些災患、避免其惡化，需要大家的重視與投入實際行動，而且，能否改善已關乎全人類的利益，甚至是未來能否繼續生存的重大關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86">風險管理</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9">資料外洩</a></div><div class="field-item odd"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div></div></div>
2023/2/3 14:25作者李宗翰https://www.ithome.com.tw/voice/155359
英國政府將加強加密貨幣產業監管力道保護消費者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於近期加密貨幣產業動盪，<a href="https://www.gov.uk/government/news/uk-sets-out-plans-to-regulate-crypto-and-protect-consumers">英國政府欲推行更強健的加密產業監管制度</a>，透過制定明確的監管框架，提供加密產業可遵循的制度，同時進一步保護消費者。英國財政部對外發出了針對加密資產的金融服務監管制度諮詢，希望就強化加密貨幣監管聽取各方意見。</p> <p>過去一年加密貨幣產業企業破產消息頻傳，歷經穩定幣UST在2022年5月崩盤，因為UST與美元脫鉤，導致投資人失去信心爆發逃脫潮，最終導致多家公司破產，還有加密貨幣交易所FTX在11月宣布破產，更是嚴重衝擊加密貨幣產業，造成更多的公司破產。</p> <p>為此英國政府希望透過穩健、透明和公平的標準，保護加密貨幣消費者，與傳統金融作法一致，更廣泛地監管加密資產活動。諮詢提案中要求加密貨幣交易所負起更多責任，像是定義和詳細說明加入許可和揭露文件的詳細內容要求。</p> <p>英國政府所發布的新聞稿，清楚說明將納管重要的加密資產活動，包括交易所活動、保管活動和貸款活動，都將納入金融服務的監管範圍，提案針對每一項活動皆列出設計重點，諸如審慎要求、資料報告、消費者保護、位置政策和營運韌性等。諮詢提案同時也針對一系列加密資產活動，和商業模式等跨領域議題，像是市場濫用、加密資產發行和資訊揭露等議題，提出相對應制度。</p> <p>擬定的制度中也將強化金融中介機構和監管機構權責，負責消費者資產的交易和安全儲存，建立起能兼顧消費者保護，和公司營運彈性的加密資產借貸制度。有關監管加密貨幣產業的意見諮詢，會在4月30日結束完成，屆時英國政府將考量加密貨幣公司、交易商和相關利益者的意見做出回應。</p> </div></div></div>
2023/2/3 13:22作者李建興https://www.ithome.com.tw/news/155353
NASA聯手IBM打造大型AI基礎模型，推進地球科學研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-nasa-foundation-models">NASA和IBM合作</a>，要使用未標記的資料集訓練人工智慧基礎模型，並將基礎模型用於各種地球科學任務中，NASA表示，這項專案的合作目標，是要提供研究人員更簡單的方法，從學術論文或是NASA資料集中，分析並了解地球氣候奧秘。</p> <p>地球氣候變遷對人類和生態系帶來許多影響，像是因為近年許多地區更熱更乾，因而助長了野火，科學家想知道，野火產生的煙霧會對空氣品質產生什麼樣的影響？而乾熱的天氣又會不會影響玉米和小麥的產量。過去要研究這些問題，科學家除了需要閱讀大量的論文，還需要來回檢視大量的衛星圖像來尋求解答。</p> <p>而NASA和IBM的合作，便是要創建人工智慧基礎模型，藉由分析PB級文本和遙測資料，研究各式的地球科學議題。基礎模型將消化大量原始資料，在沒有明確指示下，找到這些資料的底層架構。IBM研究人員提到，雖然預訓練基礎模型可以使用人工標記的範例，教導模型一項特定任務，但是要將機器學習應用在遙測資料上，最主要的瓶頸就是缺乏訓練範例，因為要產生訓練範例，人類專家需要花費大量的時間標記衛星圖像中的樹木或農作物，以便讓模型知道應該關注哪些特徵。</p> <p>而這項障礙在Transformer模型或許可以獲得解決，使得遙測資料分析更為可行。NASA擁有70 PB的地球科學資料，而且這些資料還會隨著NASA科學計畫的發展越來越多，所以透過基礎模型，將有望使這些NASA資料集發揮更大的作用。</p> <p>NASA和IBM預計建立兩個基礎模型，第一個模型接受大量地球科學期刊訓練，使這些文獻能夠按照主題組織，讓科學家更容易搜尋和探索。第二個模型會以HLS資料集訓練，該資料集是由地球軌道衛星所捕捉的土地利用變化，能夠被用於偵測自然災害、植被追蹤，以及野生動物棲息地變化等自然資源管理。</p> <p>IBM已經建立了地球科學期刊基礎模型，包含來自各個科學組織出版近30萬篇期刊文章，目前正在微調中，待訓練完成後，該模型將會整合至IBM開源多語言問答系統PrimeQA，屆時該系統將能夠回答特定科學問題，並且提供引用論文的連結和相關脈絡資料。</p> <p>IBM提到，基礎模型已經在自然語言處理上成功，而現在他們正著手將其擴展至其他領域上，分析地理空間、事件序列、時間序列和其他非語言因素，解決目前最急迫的氣候問題。NASA和IBM在基礎模型上的合作，也包括之後使用大氣觀測資料集MERRA-2，建置氣候預測基礎模型。</p> </div></div></div>
2023/2/3 11:34作者李建興https://www.ithome.com.tw/news/155350