iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloudflare資料顯示推特流量下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.threads.net/t/Cue0QR5LAV2/" target="_blank">Cloudflare上周公布</a>推特（Twitter）今年1月以來的流量，顯示推特的流量穩定下滑中。</p> <p><a href="https://radar.cloudflare.com/domains" target="_blank">這份紀錄</a>是Cloudflare追蹤的網域名伺服器（DNS）流量由1月迄今的排名，<a href="https://www.theverge.com/2023/7/9/23788906/twitters-traffic-is-taking-a-dive-according-to-cloudflares-ceo" target="_blank">經過該公司證實</a>為執行長Matthew Prince公布。根據該表，推特依然是全球流量排名前50大的網站，雖然起起伏伏，但排序1月多半位於32名，到了3、4月主要落在34、35名，5月於34及37名來回。上個月最差來到38名。進入7月，其排名則再下探37到40名，目前推特DNS流量為全球39名。</p> <p class="rtecenter"><a href="https://twitter.com/eastdakota/status/1678065025750294532/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/F0mvPmYaYAEUxU9?format=jpg&name=large" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/eastdakota/status/1678065025750294532/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Matthew Prince, Cloudflare</span></span></a></p> <p>長期而言，推特因裁員造成的平臺穩定性或效能是流量衰退的可能原因。但<a href="https://www.ithome.com.tw/news/157673" target="_blank">Meta文字社交平臺服務Threads上周上線</a>可能是引發進一步下滑的原因。Meta上周四（7/6）正式推出後，用戶數在7個小時內衝到1,000萬，超越ChatGPT和IG，不到24小時更來到3,000萬，顯示用戶對新的社交平臺懷抱期待和好奇心。</p> <p>只要有IG帳號就能更簡單建立Threads帳號，Threads支援的訊息字元數及短影片時間長度也優於推特。一開始Threads還只具基本功能，但Meta執行長祖克柏承諾會漸次改進。</p> <p>目前用戶最感困擾是與IG帳號綑綁，會造成刪除Threads也必須刪除IG帳號。<a href="https://www.threads.net/t/CuXRXDdNOtH" target="_blank">對此IG主管Adam Mosseri解釋</a>，這是因為Threads是以IG為基礎，屬於同一帳號，但他表示，公司已注意到這個問題，會設法讓用戶可個別刪除Threads帳號。目前用戶可以選擇關閉Threads用戶資料頁（profile）以確保隱私。</p> </div></div></div>
2023/7/10 11:04作者林妍溱https://www.ithome.com.tw/news/157693
AI趨勢周報第220期：可用英文下指令，Databricks釋出大數據分析工具Spark英文版SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0701～0706)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Databricks </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Spark </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>可用英文寫程式，Databricks釋出大數據分析工具Spark英文版SDK</strong></span></p> <p>Databricks日前發布大數據分析平臺Spark英文版SDK，開發者寫程式時，可用英文下指令，比如2022 USA national auto sales by brand（美國2022年汽車銷量），編譯器就會將英文指令轉換為PySpark或SQL程式碼，來完成指令。Spark是開源大數據分析工具，每年超過10億次下載、在全球208個國家和地區使用，Databricks指出，能寫程式的AI助手GitHub Copilot雖然強大，但需要具相關知識的使用者來檢查，才能真正應用。而且，Copilot在處理Spark表格和DataFrames時也會出錯，比如出現不存在的dept_id列，這得靠開發者才能看出來並修正。</p> <p>這是Databricks想解決的問題。他們發現，大型語言模型非常了解Spark，因為，Spark社群在過去10年貢獻大量的開放、高質量文本，比如API文件、開源專案、QA和教程等。於是，團隊用LLM開發一套英文版SDK，使用者在程式碼中，直接用英文下指令，就能得到結果，降低所需撰寫的程式碼量。不過，Databricks表示，這款英文版SDK還在早期開發階段，他們歡迎更多使用者加入使用，來精進這款SDK。<a href="https://www.databricks.com/blog/introducing-english-new-programming-language-apache-spark">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-10%20103957.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT Plus </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Code Interpreter </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI揭ChatGPT Plus專用新外掛Code Interpreter，可用來做圖表、分析數據</strong></span></p> <p>OpenAI最近針對ChatGPT Plus使用者推出新外掛Code Interpreter，能用來分析上傳的檔案（如Excel檔案），還能生成圖表、算數學，甚至是執行程式碼，目前為Beta版。進一步來說，這個外掛不只能分析和轉換數據，還能視覺化數據，以及根據指令產出QR Code或根據上傳的程式碼文件來除錯。<a href="https://twitter.com/OpenAI/status/1677015057316872192?s=20">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/OpenAI/status/1677015057316872192" /><img alt="" src="https://pbs.twimg.com/media/F0X0TlraYAAjn2y?format=jpg&name=900x900" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 課程 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推AI工作技能計畫，聯手LinkedIn設計免費AI課程</strong></span></p> <p>就在6月最後一天，微軟推出一項AI技能計畫（AI Skills Initiative），要助世界各地的民眾和組織學習生成式AI技能。這項計畫是微軟工作技能計畫的一部分，總共有3大重點，一是微軟與LinkedIn一起設計的免費生成式AI課程，學員修習完可獲得生成式AI專業認證，再來是微軟、GitHub以及專門推動數據科學的非營利組織data.org共同發起的全球獎金挑戰賽，來鼓勵非營利組織、社會公益企業等參加者，找出訓練員工生成式AI技能的新方法。不只如此，這個AI技能計畫還會提供更廣泛的免費數位學習活動和資源，來讓一般大眾學習、強化AI熟練度。<a href="https://news.microsoft.com/en-in/microsoft-launches-new-ai-skills-initiative-and-grant/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 升級 </span></strong></span></p> <p><span style="font-size:22px;"><strong>ChatGPT API全面升級到GPT-4最新模型</strong></span></p> <p>OpenAI日前宣布，所有API存取的AI模型已升級到GPT-4最新模型，現有用戶立即可用。進一步來說，OpenAI在今年3月推出ChatGPT API，6月又發布聊天機器人的底層模型GPT 3.5 Turbo和GPT-4第一次更新，現在，所有付費API的既有使用者都能存取到最新的GPT-4 API 8K版本。OpenAI也計畫，7月底再開放新開發者用戶使用，並視運算資源，逐漸解除流量限制。</p> <p>此外，由於穩定性和成熟度已達大規模使用水準，OpenAI也將全面開放GPT-3.5 Turbo、DALL-E和Whisper API。他們正開發微調GPT-4和GPT-3.5 Turbo的功能，預計今年下半推出。<a href="https://openai.com/blog/gpt-4-api-general-availability">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-10%20104743.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 穿戴式裝置 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ai Pin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果前設計師自立門戶、揭AI穿戴裝置Ai Pin</strong></span></p> <p>曾參與Mac和iPhone產品設計的蘋果前設計師Imran Chaudhri成立新創公司Humane，最近展示一款Ai Pin穿戴裝置，能讓用戶不用智慧型手機，就能更直覺地使用AI提供的通訊、運算和辨識功能。Imran Chaudhri在1995到2017年任職蘋果介面設計師，參與過蘋果重要產品設計，如Mac、iPhone、iPad、iPod、Apple TV和Apple Watch等，他於2017年離開蘋果，隔年成立Humane，但多年來一直保持神祕，未見成果。</p> <p>最近Humane官網公布Ai Pin，但未揭露太多細節。從Chaudhri去年在<a href="https://www.ted.com/talks/imran_chaudhri_the_disappearing_computer_and_a_world_where_you_can_take_ai_everywhere/c">TED Talk的演講</a>，可看出Ai Pin設計原型，是一個可放在口袋的裝置，具聲控助理、連網功能，內建麥克風、相機和投影機，主要由一個AI助理提供用戶所需服務，而不需再有一個運算裝置。在示範中，使用者按一下Ai Pin按鍵，就能啟動聽取、執行用戶的指令。它的投影機，可在用戶手掌心或桌面投射出智慧型手機鍵盤，也可以由AI直接彙整來電、電子郵件、會議和行程內容。當以相機對準某件物品，例如巧克力，其電腦視覺可辨識營養價值，AI助理則能提供建議。Ai Pin的產品推出時程不明。有興趣的用戶需加入官網上的等候清單。<a href="https://hu.ma.ne/media/humane-names-first-device-humane-ai-pin">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0703-co-founder_chairman_of_humane-imran_chaudhri_at_ted-ab-960.jpg?itok=xZBQXHUS" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI招兵買馬，成立發展超智慧AI管理方案的團隊</strong></span></p> <p>為因應AI可能對人類社會造成的危害，OpenAI宣布成立專門團隊，來開發能駕馭和控管超智慧AI的方案，並正式徵才。這個團隊由OpenAI共同創辦人Ilya Sutskever和AI治理團隊主管Jan Leike管理，他們的目標是在4年內發展能駕馭和控管AI的突破性科學和科技。</p> <p>Sutskever和Leike指出，超智慧（Superintelligence）可能非常危險，也許10年就會侵害人類。目前並無相關管理風險技術，現有能控制AI的技術（如增強式學習）可由人來監控AI，但卻無法穩定監控比人類聰明的AI。於是，OpenAI成立小組，要建立智慧約略等同人類的自動化導正（superalignment）研究系統，之後用大量運算資源擴充，來反覆導正超智慧AI。為展開第一步，團隊需開發可擴充的訓練方法、驗證模型，以及進行整個導正流程的壓力測試。</p> <p>為此，他們正在召募最頂尖的機器學習研究人員及工程師。目前開出的職缺有研究工程師、研究科學家及研究經理等。OpenAI也將撥用20%的運算資源，投入4年來建立超智慧AI的導正和控制方法，也號召業界其他團隊一起投入。<a href="https://openai.com/blog/introducing-superalignment">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阿里雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI框架 </span></strong></span></p> <p><span style="font-size:22px;"><strong>阿里巴巴揭生成式AI進展，秀繪圖大模型和通用AI框架</strong></span></p> <p>阿里巴巴旗下業務阿里雲日前在2023世界AI大會（WAIC）上，發表最新AI繪畫創作大模型通義萬相，已開放中國企業客戶評測。這款模型可根據文字指令，將原有圖片轉換為風格類似的新圖片，此外還能實現風格遷移效果，也就是保留原始圖像的內容，同時採用另一張圖片的視覺風格。</p> <p>團隊指出，透過優化高解析度擴散過程，該模型可兼顧構圖準確度和細節清晰度。他們採用自建的大模型Composer來開發通義萬相，可更好地控制最終輸出，如空間布局和調色板。另一方面，阿里雲也宣布推出通用AI框架ModelScopeGPT，提供多種AI模型，來讓使用者完成各種複雜和高專業性的AI任務，範圍涵蓋語言、視覺和語音。這個框架是阿里雲去年推出的開源模型即服務（Model-as-a-Service）平臺ModelScope一部分，該平臺目前已有900多個AI模型。<a href="https://www.alibabacloud.com/tc/press-room/alibaba-cloud-unveils-ai-image-generation-model">（詳全文）</a></p> <p><img alt="" src="https://img.alicdn.com/imgextra/i3/O1CN01JbAB7M1odB0yEh0Dc_!!6000000005247-0-tps-702-395.jpg_.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YouTube </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Aloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配音 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YouTube測試AI多語言配音功能Aloud</strong></span></p> <p>Google宣布一項AI配音技術Aloud，可替YouTube影片配上外國語音。Google表示，這項功能可為影片配上外國配音，並能配合Google搜尋增加曝光度。目前，這項功能已開放用戶登記等候清單，用戶需滿18歲，並要填寫基本資料和使用需求，待Google審核後方可試用。</p> <p>Aloud網站說明，Aloud會先以AI技術將影片轉錄成文字，供用戶審核、編輯。之後，它會將文字翻譯成外國語音再轉成聲音，用戶只需將配好音的影片發布即可。Google表示，他們現在和數百名創作者測試Aloud功能，目前支援英文、西語和葡萄牙語翻譯，之後還會新增更多語言。<a href="https://aloud.area120.google.com/">（詳全文）</a></p> <p>圖片來源／Databricks、OpenAI、Humane、阿里雲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta說明臉書、IG貼文的AI排序法，公布內容客製化工具</strong></p> <p><strong>2. 臺灣牙科新創用生成式AI打造牙科HIS服務，下一步要推AI自動排班</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/10 11:26作者王若樸https://www.ithome.com.tw/news/157695
Evernote將裁掉美洲員工，營運遷往歐洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上筆記平臺<a href="https://www.ithome.com.tw/news/154235" target="_blank">Evernote去年宣布賣給</a>了義大利行動軟體開發商Bending Spoons，<a href="https://evernote.com/blog/moving-the-evernote-center-of-operations-to-europe/" target="_blank">本周末宣布將把公司營運遷往歐洲</a>，也將裁減大部分美國及南美員工。</p> <p>Bending Spoons執行長Francesco Patarnello說明，Evernote於6月23日公司營運將遷到母公司Bending Spoons所在地的歐洲，以強化營運效率並善用母公司強大品牌效益。但這也迫使他們必須裁掉大部分位於智利及美國辦公室的員工。</p> <p>未來在歐洲將有一組團隊持續開發Evernote，也會增加員額。Evernote也會和Bending Spoons原有400多人的其他部門合作，其中一些從收購後就已經轉到Evernote。</p> <p>受裁員影響的員工可以拿到16周的薪水、最高一年的保險給付與一筆績效獎金，而外籍員工也會獲得協助。</p> <p>繼2021及2022年後，<a href="https://evernote.com/blog/evernote-pricing-upcoming-features-update/" target="_blank">今年4月底Evernote再度宣布調漲價格</a>，以反映新增及強化的功能。個人版月費由6.99美元翻了一倍到14.99美元（年費由69.99美元漲到129.99美元）。專業版（Professional）月費及年費，則分別漲到17.99及169.99美元。在功能方面，Evernote強化了整體服務的效能，也對原有功能強化了筆記格式、協同及搜尋功能，另外，服務5月加入了即時編輯同步、及AI雜亂筆記整理。最後，新增的AI筆記搜尋預計會在下半年推出。</p> </div></div></div>
2023/7/10 11:28作者林妍溱https://www.ithome.com.tw/news/157696
【資安日報】7月7日，盜刷集團聯手中國駭客，架設釣魚網站、入侵商場資料庫，竊取用戶信用卡資料進行盜刷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客架設釣魚網站竊取使用者信用卡資料再進行盜刷（或轉售）的事故，不僅在國外發生，最近這種型態的攻擊行動也在臺灣出現。刑事局最近宣布破獲跨國盜刷集團，其中一種竊取信用卡資料的手法，就是透過架設釣魚網站來進行，而且受害者包含日本、加拿大、美國等多個國家的民眾。</p> <p>綠能是近年來各國爭相發展的能源，而能夠管控這類發電設備的系統，安全性也受到研究人員關注。我們昨天整理資安業者VulnCheck警告太陽能發電監控系統SolarView的漏洞，今天看到另一家資安業者Cyble也呼籲大家關注這類系統的資安，他們指出，其他廠牌的系統存在類似的弱點，而有可能同樣成為攻擊者下手的目標。</p> <p>Google發布Android作業系統本月的例行更新，當中修補了3個已出現攻擊行動的零時差漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=4e0ec27d-d153-41bd-a96f-53f32f094432"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">盜刷集團聯手中國駭客，架設釣魚網站竊取用戶信用卡資料進行盜刷</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image20230706.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image20230706.jpg" style="width: 300px; float: right;" /></a>7月6日刑事局國際科第一隊今宣布偵破跨國盜刷集團，陳姓男子涉嫌籌組網路盜刷集團，犯下多起盜刷案件。</p> <p>陳嫌先是透過自學架設釣魚網站，收集日本、加拿大、美國、泰國等地逾百萬筆信用卡個資，與中國駭客聯手，於2022年8月至10月在國內知名購物網站下單盜刷，商品由車手出面領貨轉賣銷贓獲利；後來在同年11月至12月，該主嫌再度與中國駭客聯手，以滲透手法攻擊國內商場的資料庫，取得會員帳密登入電子支付App，再指揮車手到商場盜刷App綁定的信用卡，購入高單價商品，並以團購方式出貨牟利。</p> <p>臺灣新北地方檢察署於今年初開始，總共執行6波行動，查獲陳姓主嫌與協助銷贓、招募及盜刷車手等15名犯嫌，依涉嫌詐欺、妨害電腦使用、偽造文書、洗錢防制法及組織犯罪防制條例等罪嫌，移送地檢署，其中陳嫌及主要共犯等4人遭法院裁定羈押禁見，目前已知國內被害人數超過100人，財損金額逾3百萬元，實際情形尚待商場進一步彙整。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-187a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、加拿大證實Netwrix Auditor的RCE漏洞被用於TrueBot惡意軟體攻擊行動</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）、州際資訊共享及分析中心（MS-ISAC）、加拿大網路安全中心（CCCS）聯手，指出最近的惡意軟體TrueBot變種攻擊行動鎖定美國與加拿大而來，利用IT存取稽核平臺Netwrix Auditor的RCE漏洞CVE-2022-31199（CVSS風險評分為9.8）來入侵目標組織。</p> <p>一旦駭客成功進入受害組織並部署TrueBot，他們會建置RAT木馬FlawedGrace，進而提升權限並能在受害系統持續運作，間隔數個小時後，這些駭客會下載Cobalt Strike Beacon，以便進行竊取資料或是投放惡意酬載等後續攻擊行動。</p> <p><a href="https://blog.aquasec.com/threat-alert-anatomy-of-silentbobs-cloud-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Silentbob盯上暴露在網際網路的雲端JupyterLab伺服器和Docker API，可發動蠕蟲大量感染、DDoS與綁架雲端服務帳號等攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Silentbob-graphic.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Silentbob-graphic.png" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露名為Silentbob的攻擊行動，他們發現駭客用於攻擊行動的基礎設施，主要鎖定曝露於網際網路的JupyterLab和Docker API，進而用來部署殭屍網路病毒Tsunami、挾持雲端服務的帳號與資源，甚至是發動蠕蟲攻擊。</p> <p>研究人員發現4個用於攻擊行動的Docker映像檔並進行分析，駭客在容器啟動時執行Shell指令碼，部署Go語言打造的應用層掃描程式ZGrab，目的是找出可攻擊的Jupyter Lab、Docker API，最終目的是將其用於挖礦並植入後門程式。</p> <p>而對於攻擊者的身分，研究人員認為是駭客組織TeamTNT，但不排除是其他駭客模仿此組織的攻擊手法犯案。</p> <p><a href="https://blog.cyble.com/2023/07/05/security-gaps-in-green-energy-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">13萬太陽能光電監控系統曝露於網際網路，恐成為駭客鎖定的目標</span></strong></a></p> <p>資安業者Cyble提出警告，他們總共在網際網路上找到134,634個太陽能光電（Photovoltaics，PV）的監控或診斷系統，而有可能成為駭客攻擊的目標。</p> <p>這些系統橫跨多個廠牌的解決方案，例如：Solar-Log、Danfoss Solar Web Server、SolarView Contec、SMA Sunny Webbox、 Kaco New Energy & Web、Fronis Datamanager、Saj Solar Inverter、ABB Solar Inverter Web GUI等。</p> <p>研究人員指出，上述解決方案的已知漏洞，部分已有概念性驗證（PoC）攻擊程式碼，很有可能被駭客拿來利用。</p> <p><a href="https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客發起的DDoS攻擊行動一年內增加24倍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Capture-decran-de-2023-06-28-11-49-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture-decran-de-2023-06-28-11-49-13.png" style="width: 300px; float: right;" /></a>資安業者Sekoia指出，鎖定西方國家的俄羅斯駭客DDoS攻擊行動DDoSia，名為NoName057(16)的駭客組織從2022年8月發起之後，從初期有400名打手，在不到一年的時間成長至1萬人，增加超過24倍。</p> <p>研究人員自今年5月8日至6月26日，收集DDoSia所使用的C2中繼站流量進行分析，駭客的主要目標是北約國家及烏克蘭，攻擊3大目標是立陶宛、烏克蘭、波蘭。</p> <p><a href="https://www.shell.com/energy-and-innovation/digitalisation/important-information-about-moveit-transfer-cyber-security-incident.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殼牌石油證實遭到MOVEit Transfer零時差漏洞攻擊</span></strong></a></p> <p>勒索軟體駭客組織Clop利用MOVEit Transfer零時差漏洞發動攻擊，聲稱受害組織至少有130個，其中有部分組織在駭客公布名單後，證實他們遭到相關攻擊。石油公司殼牌於7月5日發出聲明，坦承他們的MOVEit Transfer檔案傳輸系統遭到攻擊，並指出該系統有少數員工及客戶在使用，子集團BG Group部分員工資訊遭到異常存取。該公司強調這起事故並非勒索軟體事件，其他殼牌的IT系統尚未出現受到影響的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://source.android.com/docs/security/bulletin/2023-07-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布7月份Android例行更新，修補3個已遭利用的零時差漏洞</span></strong></a></p> <p>7月5日Google發布本月份例行修補，值得留意的是當中的CVE-2023-2136、CVE-2021-29256、CVE-2023-26083已被用於攻擊行動。</p> <p>根據CVSS風險評分層級，最嚴重的是整數溢位漏洞CVE-2023-2136，存在於跨平臺2D圖像程式庫Skia，CVSS風險評分為9.8，導入此元件的還有Chrome瀏覽器，該公司在4月的112.0.5615.137版予以修補。</p> <p>另外兩個漏洞皆與Arm單晶片處理器的Mali圖形運算驅動程式有關，CVE-2021-29256可被用於資訊洩露，或是提升權限，CVSS風險評分為8.8；CVE-2023-26083為記憶體洩漏漏洞，為中等風險等級（NVD的CVSS風險評分為3.3），曾於2022年12月被駭客用在三星手機部署間諜軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-stackrot-linux-kernel-flaw-allows-privilege-escalation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux核心出現嚴重漏洞StackRot，可被用於提升權限</span></strong></a></p> <p>研究人員Ruihan Li揭露Linux核心的漏洞StackRot，該漏洞發生的原因在於，Linux核心負責管理虛擬記憶體區域的Maple Tree，能在沒有正確取得記憶體管理（MM）寫入鎖定的情況下切換節點，從而導致記憶體釋放後濫用（UAF）的情況。沒有特權的本機用戶可用來攻擊Linux核心，並進行權限提升，影響6.1至6.4版的Linux核心，CVSS風險評分為7.8，並登記為CVE-2023-3269列管。</p> <p>研究人員於6月15日通報漏洞，修補程式在Linux之父Linus Torvalds主導之下，耗時2週完成，Linux基金會亦發布了Linux核心6.1.37、6.3.11、6.4.1版，緩解上述漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://jumpcloud.com/support/mandatory-jumpcloud-api-key-rotation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國企業軟體服務業者JumpCloud遭遇資安事件，重設用戶的管理員API金鑰</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-aci-cloudsec-enc-Vs5Wn2sX"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科針對資料中心交換器漏洞提出警告，有可能被攻擊者竄改加密流量</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/nickelodeon-investigates-breach-after-leak-of-decades-old-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電視兒童頻道Nickelodeon傳出資料外洩</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/welcome-new-york-exploring-ta453s-foray-lnks-and-mac-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客TA453同時針對Windows和macOS用戶發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157657">【7月6日】勒索軟體LockBit攻擊日本第一大港，傳出貨櫃調度系統癱瘓</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157632">【7月5日】竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a></strong></p> </div></div></div>
2023/7/7 16:58作者周峻佑https://www.ithome.com.tw/news/157684
中國信託揭露數位和永續雙軸轉型策略的三大發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中信金控科技長賈景光昨天在自家金融科技創新年會上分享近期轉型策略，更強調AI、區塊鏈和雲端將會是中信持續發展的三大技術。</p> <p>賈景光強調，中信以數位和永續為重的雙軸轉型策略，包括三項發展重點。從客戶體驗出發，善用國際和自我研發的科技能力，以及最後一項是持續鼓勵可容錯的創新文化。</p> <p>他進一步解釋，在企業客戶體驗上，中信透過API和資安加密等技術，將銀行金融服務融入企業客戶系統，讓企業能在自家熟悉的系統操作，不需要再進入銀行平臺，也能使用銀行服務。針對個人客戶，中信結合Apple Messages for Business技術，將分行服務融入客戶手機，讓客戶能在手機進行取號服務、到號提醒、表單填寫及問答服務。</p> <p>在研發策略上，中信採取國際協盟和自主研發雙軸併進。賈景光說明，中信會借鏡國際科技公司優秀的科技成果，透過合作將科技應用快速落地，同時，企業內部也會自行研發，在研發過程中，掌握核心競爭力。</p> <p>最後則攸關企業內部創新文化推動，賈景光指出，在高度管制的金融業中，推動創新科技勢必與企業文化有關，因此，企業內部要給予員工可容錯的空間，期望員工大膽創新，即便失敗也不會懲處。</p> <p>因應ChatGPT浪潮，賈景光指出金融業使用生成式AI的兩大挑戰。第一，企業擔心內部關鍵資訊會被拿來訓練外部模型，有資料外洩疑慮。而在金融業高度管制個資的情況下，相關業者更需謹慎使用。第二，生成式AI存在不可控，可能不定時回應錯誤資訊，恐衍生更多損失。</p> <p>不過，賈景光強調，導入生成式AI是會走的方向，而中信目前也正在評估階段，待確認風險才會進行導入。中信數據暨科技研發處長王俊權補充，目前中信在內部先遵照使用生成式AI的三大原則，第一，和客戶敏資和業務機敏資訊無關的可以優先評估是否導入。第二是「先內再外」，意即先內部使用，待技術更成熟，再逐步擴大。最後則是以人機協作為主。</p> <p>針對區塊鏈應用，中信自2016年創立區塊鏈實驗室，並將這項技術運用到貿易融資流程數位化，中信創新研發部部長李約在昨日的年會上揭露，因應2020年疫情爆發，全球供應鏈大亂，中信與國際銀行Contour建立區塊鏈信用狀平臺，將傳統信用狀交易無紙數位化，協助企業員工在遠距辦公時，仍能在區塊鏈上認證和取得數位單據，縮短整體交易流程7到14天。</p> </div></div></div>
2023/7/7 17:08作者李昀璇https://www.ithome.com.tw/news/157686
【iThome大調查系列3】2023 CIO大調查產業趨勢篇（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1137-feng_mian_-open-cioda_diao_cha_xi_lie_3-960x420_kao_bei_.jpg?itok=njsdA-EF" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ESG企業永續和ChatGPT雖然是各產業今年度共同的熱門話題，但疫情解除後的新常態，不同產業面對的挑戰開始分歧，數位轉型步調也跟著不一樣。歷經零接觸體驗後的疫後生活，2C產業更聚焦ＯＭＯ，2B產業更關注供應鏈與生態圈數位化，各產業今年IT戰略開始邁向各自的方向。</p> </div></div></div>
2023/7/7 16:28未署名https://www.ithome.com.tw/article/157682
零售IT雙周報第18期：統一超開設C2C數位商城來強化千萬會員生態圈，但操作體驗還需更強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0625~0708)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#C2C開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#超商物流</span></span></strong></p> <p><strong>千萬會員生態圈新數位通路布局，統一超自行打造消費者導向的C2C新商城，但App操作體驗仍有改進空間</strong></p> <p>歷經近1年籌備期，統一超推出C2C商城<a href="https://mall.iopenmall.tw/iopen/">iOpen Mall</a>，利用統一超既有體系，來提供個人賣家的開店到物流服務，消費者也能直接用超商會員帳號登入，目前已有超過1萬名賣家。</p> <p>統一超會員點數生態圈的會員規模高達1,600萬名會員，但現有合作通路商多為實體通路，統一自行打造和經營這個新的數位通路，可以強化這個生態圈的數位通路布局。</p> <p>這個商城也提供了兩個版本Web和行動App，在介面設計上更從消費者角度，來設計操作體驗，而非賣家角度來設計App的操作介面，統一的作法和競爭對手全家的開店平臺有很大的不同。</p> <p>不過，這個數位商城的使用者體驗，實測後仍有些待改進之處。讀取速度相當慢，舉凡圖片、加入購物車、操作介面間跳轉等情境，容易影響使用者繼續使用的意願。再來，也有不少操作會導致需要重複輸入資料，例如編輯商品資訊時如果切換畫面，填實入資訊會全部消失，若先選擇發票處理方式，從過往資料帶入收貨人資訊後，會連帶需要再重選一次。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RFID</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#存貨管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#餐廳廚具管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ESG</span></span></strong></p> <p><strong>法國麥當勞在1,200家餐廳中用RFID追蹤廚具及食材庫存狀態</strong></p> <p>歷經2年評估，<a href="https://checkpointsystems.com/blog/mcdonalds-france-incorporates-rfid-technology-into-their-new-reusable-containers/">法國麥當勞正式在1,200家餐廳導入RFID解決方案</a>，來即時管理廚具及庫存狀態。法國麥當勞餐廳數約1,500家，因此本次是接近全面性的大規模導入。</p> <p>這個解決方案背後是零售科技商Checkpoint Systems的RFID技術，把可接觸食物、防熱、防水的RFID標籤貼在餐廳內各式容器上，例如餐盤、食物櫃、水壺、薯條籃等，來即時追蹤容器位置和數量以避免遺失，也可以管控食材庫存情況。Checkpoint System表示，庫存追蹤可以達到99%精確度。這些追蹤資料，會自動同步到麥當勞資料庫中，供即時管理和日後分析用。法國麥當勞表示，他們希望透過即時追蹤餐廳容器，來減少垃圾產生。這是因為，時常有餐盤或水壺等容器被誤丟到垃圾桶中，造成無謂備品損耗。</p> <p>這不是法國麥當勞第一次使用RFID於餐廳器皿。過去，他們也用RFID牌來定位客人所坐的位置，以支援桌邊服務。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NLP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器學習</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#IMS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據驅動營運 </span></span></strong></p> <p><strong>91App發表IMS、新會員經營功能及零售AI模型</strong></p> <p>開店平臺91App宣布推出2大功能，一個是IMS（庫存管理系統，Inventory Management System），一個是下半年要推出的會員經營功能「會員錢包」。新IMS系統分為2種模組，一種是讓供應商自行上架與出貨用，另一種則是OMO品牌用的模組，用來同步上架商品在官網、APP和主流B2C電商平臺通路，以支援跨通路訂單履行和配貨出貨。</p> <p>會員錢包則是整合進品牌App中的功能，有支付、會員辨識、累積點數、折價券、發票載具、票券等功能，將App功能從電子商務拓展到更多元的應用情境。</p> <p>另外，91App也公開了自家零售用AI模型Jooii，應用結合自然語言處理（NLP）、機器學習（ML）和數據分析等多種AI技術，來支援未來多項新功能。今年他們推出的文案生成和數據洞察生成功能，都是利用Jooii，未來還會用來開發商品推薦、自動化廣告投放、虛擬店員等功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#包裝材料回收</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#ESG</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#UV tag</span></span></strong></p> <p><strong>英國大型零售業者用回收物管理科技來追蹤廢棄包裝回收情況</strong></p> <p>Aldi、Ocado Retail、Co-op等英國大型零售品牌與回收科技公司Polytag及回收物管理公司Biffa聯合打造包裝材料回收管理機制。目前，這個機制優先用於牛奶瓶等塑膠包裝上。</p> <p>做法是，這些零售業者的部分包材會印上隱形紫外線條碼，Biffa在回收機器上安裝Polytag專門讀取裝置，以讀取包材材料組成。這些資訊，Biffa選擇分類、廢棄物處理、材料回收及能量回收方法時，便能作為參考。這些回收過程和狀態，會再同步到零售業者資料庫中，輸出到儀表板上來視覺化分析廢棄物回收情況。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺電商化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商策展</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化推薦</span></span></strong></p> <p><strong>雜貨外送平臺Shipt推出包含跨零售商品項的主題商品清單購物功能</strong></p> <p>美國超市巨頭Target旗下的雜貨外送平臺Shipt推出<a href="https://corporate.shipt.com/news/summer-of-soirees!-shipt-launches-hosting-hub-feature-for-party-planning,-events,-and-more">主題商品清單購物功能</a>，整合Target、Meijer等大型零售商的商品，依照主題和次主題分類。例如，派對主題商品，下面會有食物、餐具、裝飾等分類商品。Shipt表示，這些商品清單會根據季節及個人消費習慣來調整內容。</p> <p>電商推出主題商品策展並非新鮮事。Shipt此舉特別的是，他們是從外送平臺起家，轉而用電商化模式經營，不只前端需要大幅更動介面，後端更必須整合多家零售商商品的metadata以支援主題分類和自動化推薦，還需要分析外送平臺用戶的消費習慣數據，才能做到個人化推薦。這意味著，Shipt經營外送業務時，已經在用大型電商平臺的規格來管理數據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聊天機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#室內設計</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧客服</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#內部服務升級</span></span></strong></p> <p><strong>Ikea用AI聊天機器人處理近半客服電話剩下4.4億元人力成本，還不用裁員客服</strong></p> <p>大型家居零售商Ikea揭露自家客服機器人Billie，能用來提供產品資訊、推薦商品，還能回答簡易的室內設計問題。Ikea表示，此機器人自2021年投入使用以來處理了47%客服電話，約320萬次互動，因此省下了約4.4億元成本。</p> <p>Ikea指出，投入客服機器人不僅沒有導致裁員，反而讓8,500名客服中心人員有時間學習室內設計和數位零售業務等能力，來投入更具價值的服務項目。Ikea有進階付費客服服務，可以詢問較複雜的室內設計建議，客服人員也會藉此機會推銷商品。這個付費服務和客服時推銷的產品，2022年為Ikea帶來了443億元營收，占比總營收3至4成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Instacart推出新型智慧購物車Caper Cart，能整合進導入零售商的會員資料進行個人化商品推薦。</p> <p>2. 掃描技術公司Scandit推出AR貨架搜尋功能，能多點掃描條碼並快速在揀貨找貨時於手機顯示出指定條件物品。</p> <p>3. 英國送貨機器人熱，超市Co-op和快遞DPD紛紛拓展機器人服務區域。</p> <p>資料來源：iThome整理，2022年</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/7/7 16:28作者郭又華https://www.ithome.com.tw/news/157674
【2023 CIO大調查：CTO觀點】愛料理積極擁抱NLP，將在地內容變成進軍國際的利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年ChatGPT浪潮襲捲全球，服務業是臺灣最積極嘗試的產業，不僅積極鼓勵員工用來增加生產力，也打算從企業層級擁抱，將ChatGPT納入工作流程中，甚至微調出適合自家應用情境的模型。食譜網及飲食類垂直電商iCook愛料理便是其中一家企業。</p> <p>愛料理最大宗的ChatGPT應用情境是文書翻譯。個人層級上，他們會用來翻譯與跨國同仁溝通的會議記錄及信件往來，企業層級上，則是用來翻譯、優化站上超過27萬筆食譜。</p> <p><span style="font-size:28px;"><strong>利用NLP AI簡單易應用特性，快速發揮倍數綜效</strong></span></p> <p>文書翻譯雖然技術含量不高，但對於有大量文章內容的愛料理來說，能立即應用於實務，且能發揮極大效益。「假設一個食譜原本是60分，用AI優化後變成80分，再翻譯成英日語，便有240分的效益。我們就是要用AI達成這樣的槓桿。」愛料理技術長李致緯表示，由於愛料理食譜多為UGC（使用者生成內容，User Generated Content），文章完整程度不一，愛料理在翻譯食譜過程中，還能透過NLP AI來進行一定程度的優化。</p> <p>李致緯說，愛料理希望透過AI翻譯食譜優化及翻譯，來加速他們進攻國際市場的腳步。自導入ChatGPT 3個月來，他們已經翻譯了上千篇中文食譜成英文和日文，「不只省了80%翻譯成本，產出水準還更高。」</p> <p>李致緯也揭露，愛料理今年IT投資重點正是AI。除了用於食譜翻譯，他們還要利用AI來優化整體服務品質。今年5月，他們推出了AI食譜半自動化生成，根據編輯者烹飪經驗和口味喜好，來推薦烹飪時間、食材搭配、以及烹調方法。另外一個正在研究的課題是，如何將自家食譜內容與LLM底層的語意資料連結，來優化搜尋結果品質。他舉例，月亮蝦餅、打拋豬跟椒麻雞，都屬於泰式料理，但如果食譜內文或Metadata沒有提到「泰式料理」4個字，搜尋機制就搜不到這些食譜。李致緯解釋，「用我們自己網站上的食譜資料去做機器學習，只會Garbage in , garbage out。不過用來訓練LLM的語意資料中，一定會有這些菜色與泰式料理的連結，所以我們可以用來強化搜尋機制。」</p> <p>李致緯觀察到，2023年企業IT預算力道開始緊縮，意味著，企業對加碼新技術的態度轉向謹慎，並更加重視投資成本回收。恰逢ChatGPT等AI應用崛起，服務業便紛紛投入使用情境可由淺入深，且容易短期內看到成效的NLP AI應用。「講白一點，現在企業心態是買了就要馬上能用，用了就要很快有效。」他評論。</p> <p>除了翻譯文案外，服務業界常見的NLP AI應用方法還有顧客行為貼標、商品貼標、自動化行銷文案生成、利用LLM的embedding vector來優化內容推薦、AI客服問答、廣告投放優化等。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/157682" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span> <a href="https://www.ithome.com.tw/article/157682" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1137-feng_mian_-open-cioda_diao_cha_xi_lie_3-960x420_kao_bei_.jpg?itok=njsdA-EF" style="width: 550px;" /></a></p> </div></div></div>
2023/7/7 16:32作者郭又華https://www.ithome.com.tw/news/157681
別讓測試環境成了資安死角
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近臺灣陸續揭露性騷擾、性侵受害事件，在社會不同角落受苦受難的狀況也受到更大關注，但許多問題存在時間已久，只是一直沒被大家發現。就像股市名人Warren Buffett所言：「潮水退了，就知道誰沒有穿褲子。（only when the tide goes out do you discover who's been swimming naked.）」為了避免上述情況的發生，我們平時就必須要做好準備，以因應各種變局，不能被假象所蒙蔽，也不能自欺欺人，因為如果到了真相大白的那一天，很多長期隱瞞、沒處理好的問題，若是攤在陽光底下，接受眾人的檢視，結局很有可能是非常不堪的。</p> <p>最近台積電供應商傳出遭到勒索軟體攻擊，我們在這期iThome電腦報週刊有相關的報導（7月3日：<a href="https://www.ithome.com.tw/news/157611" target="_blank"><span style="color:#3399ff;">台積供應商遭LockBit勒索</span></a>、7月5日：<a href="https://www.ithome.com.tw/news/157629" target="_blank"><span style="color:#3399ff;">台積供應商擎昊科技資安事件說明</span></a>），不過我想特別聚焦在裡面呈現的一些狀況，希望大家去想想如何改善這些現象。</p> <p>駭客為了證明他們侵入台積電的伺服器與虛擬機器，在暗網公開多張螢幕截圖，這些畫面不僅讓全世界的人都繃緊神經，擔心是否真的受害，若細部檢視駭客們呈現侵入電腦的畫面，以及所獲取的管理者帳號密碼資訊，其實還能看到一些常見而非受害環境獨有的使用習慣，恐怕會讓很多IT人員產生相當複雜的感受。</p> <p>例如，有張圖片顯示駭客能進到伺服器虛擬化平臺網頁主控臺vSphere Web Client，因此，能查看某臺ESXi主機上面所執行的虛擬機器數量、各自的名稱，以及連接的儲存系統數量、網路裝置數量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E7%89%872-LockBit-%E6%8E%A8%E7%89%B93-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8C%BF%E5%90%8D%E8%B3%87%E5%AE%89%E5%B0%88%E5%AE%B6.jpg" style="width: 514px;" /></p> <p><a href="https://www.ithome.com.tw/news/157611" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_匿名資安專家</span></span></a></p> <p>就管理介面連接的ESXi主機命名而言，這裡的稱呼是「伺服器名稱.tsmc.com」，帶有台積電的網域名稱。在虛擬機器的命名方式而言，這裡使用「作業系統名稱版本_廠商_廠商名稱」的格式，作業系統有Windows NT與Windows Server 2016等兩種，廠商名稱則有俊昇、智禾、鍵祥、英寶、巨路、精誠、安極思，這些應該都是真實存在的公司，各自提供不同的專業解決方案，若他們與台積電有合作關係並不讓人意外，然而，誰也沒想到居然會因為這樣的資安事故而曝光。</p> <p>另一張圖片顯示駭客透過遠端桌面連線連入一臺Windows電腦，而在這臺裝置的桌面當中，開啟連入HPE Nimble Storage儲存系統的網頁管理介面，內容主要是設定寄送郵件警示的對象，而當中列出的電子郵件信箱網域名稱均是tsmc.com。但為何駭客可以登入儲存系統的網頁主控臺，而能檢視這些設定？是因為該臺電腦瀏覽器的密碼管理器預存了登入此系統的帳號與密碼？還是駭客有其他管道得知登入此系統的帳號與密碼？</p> <p>或許是為了向大家證明侵入台積電，駭客也公開展示伺服器設定內容的圖片，呈現受害電腦桌面以Windows內建的記事本程式，開啟名為「ilo」的純文字檔，裡面列出伺服器使用的韌體是HPE公司的iLO5，版本是2.41，也提到所用的網域名稱，以及發送警示通知的郵件信箱與伺服器的網域名稱，均是tsmc.com.tw。這裡也列出登入的帳號是admin，密碼是password，但我們無法確定這組身分敘述只是代稱，還是真實帳密。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%96%E7%89%873-LockBit-%E7%85%A7%E7%89%873-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8C%BF%E5%90%8D%E8%B3%87%E5%AE%89%E5%B0%88%E5%AE%B6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E7%89%873-LockBit-%E7%85%A7%E7%89%873-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8C%BF%E5%90%8D%E8%B3%87%E5%AE%89%E5%B0%88%E5%AE%B6.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/157629" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_匿名資安專家</span></a></p> <p>在這張圖片中，恰巧也顯示這臺Windows桌面放置一些資料夾與應用程式捷徑圖示，可能不符合大家對IT硬體供應商人員管理電腦方式的期待。我們看到此處有ilo開頭命名的資料夾、取名為Redfish資料夾，以yum.repos.d為名的資料夾，乍看之下，這些與伺服器的安裝、設定、管理有關，出現在這臺電腦，算是合理，但這裡還有光碟映像處理軟體WinISO的安裝檔，以及UltraISO的圖示，可能存放FTP檔案傳輸軟體FileZilla的資料夾、可能存放主機網路連線監控軟體PingInfoView的資料夾。</p> <p>這些軟體若用於非商業領域，可能沒有問題，但若用在IT供應商的環境，無論是正式或測試場合均不恰當，而且也有資安風險。</p> <p>我想強調的是，上述景象在IT人員操作的電腦或伺服器，尤其是在測試環境，應該很常見，而且可能已經行之有年，並非偶發事件。這些習慣過去大家可能覺得無傷大雅、資安風險有限，沒人看得到自己的桌面亂七八糟、私自下載使用公司不允許的軟體，然而，這的確不是工作場合應有的專業行為，卻因為此次資安事故而意外曝光，要深自檢討的不只是遭駭廠商，所有IT人與使用者都該引以為戒，盡早革除惡習，而非抱持僥倖心態，認為這些樣態永遠不會被發現。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%B0%E7%A9%8D%E9%9B%BB">台積電</a></div><div class="field-item odd"><a href="/tags/%E4%BE%9B%E6%87%89%E5%95%86">供應商</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/%E6%93%8E%E6%98%8A%E7%A7%91%E6%8A%80">擎昊科技</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">網路攻擊</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6">資安事件</a></div></div></div>
2023/7/7 16:53作者李宗翰https://www.ithome.com.tw/voice/157683
【2023 CIO大調查：CIO觀點】旭榮靠IT強化數位體質因應疫後新常態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣今年進到疫後新常態，疫情的低點，使得防疫政策因而調整，跟著調降防疫等級，全面解除防疫的相關限制。不只民眾生活解禁，許多企業也逐漸回歸到疫情前的工作模式，恢復正常營運，邁向疫後新常態。</p> <p>身為50年老牌本土紡織廠，旭榮集團這3年面對這波疫情衝擊，一一克服不少的挑戰，來持續維持正常營運，甚至創造更高營收，關鍵就是靠IT。</p> <p>然而，進到2023年，面對不同以往的疫後新常態，旭榮集團總管理處IT系統專案部資深經理林宗霖表示，疫情解除後最大改變是各國國境的開放，使得各地工廠進出不再受到限制，可以自由地前往不同地區的工廠進行視察或提供技術協助，不再受到旅行限制的影響。</p> <p>但他表示，有些零接觸作業方式仍然延續到疫情後。例如在疫情期間物流受限情況下，他們利用3D建模和物理擬真技術來進行打樣設計，向客戶展示設計3D樣品。這樣的作業模式在疫後仍然延續下去，不僅在設計部門中全面採用，還將各種布料設計建立3D模型，提供研發打樣到成衣生產使用。</p> <p>疫情解除之後，旭榮比過去更加強內部流程數位化和自動化，也透過各種數位化工具來加快整個流程改善和優化，例如他們導入業務和生產用的RPA機器人流程自動化，以此來減少大量例行繁瑣的工作，並提高作業效率。</p> <p><span style="font-size:28px;"><strong>ERP和MES都開始整合碳排數據</strong></span></p> <p>旭榮今年更積極地強化自身供應鏈的數位化管理能力，林宗霖指出，這樣做的目的，不只要提高數位供應鏈的彈性和韌性，還要應對ESG減碳發展的迫切需求。</p> <p>旭榮目前雖然僅在碳盤查及數據分析的階段，但是這家公司很早就開始運用系統化方式來加強碳排放數據的蒐集和管理，甚至也把這些碳排數據與工廠MES製造系統整合在一起，串起整個生產製造流程。不僅如此，他們還將碳排放數據納入ERP系統中，以便在營運管理上加以運用。例如透過財務系統取得產品碳排放數據後，就可以計算出碳成本，產出成本報表，未來還能因應客戶的要求，提供碳報價。</p> <p>旭榮目前已在ERP、MES系統中建立相關數據架構，以支援完整的碳排數據，這些系統已能夠包含廠內的碳排數據，但尚未包含上下游供應商的碳排放數據。由於缺乏系統間的串接，因此獲取這些供應鏈碳排數據可能需要進行人工匯整，「這也是我們在供應鏈整合一個難處」他坦言。</p> <p>尤其對於旭榮這樣供應鏈龐大的公司而言，計算衣服中一塊布的碳排放量，就必須回溯到之前批量生產使用的機臺，對應到哪一批紗，又是哪家供應商生產，同時考量這塊布在生產過程中消耗多少碳，這些資訊的蒐集和整合，極度倚賴IT，「這是製造業比其他產業，更加重視ESG的原因。」林宗霖說。</p> <p>為了解決這個問題，旭榮去年開始導入一套供應鏈數位雲平臺，希望透過這套雲端平臺，讓他們與上下游供應商之間的數據交換更容易，還因此建立供應鏈廠數據交換標準。旭榮計畫透過雲端平臺的API串接，自動取得供應鏈源頭的碳排數據。不過，目前該平臺還未納入供應鏈的碳排數據，但他表示，將持續推進這項工作。</p> </div></div></div>
2023/7/7 16:10作者余至浩https://www.ithome.com.tw/news/157680
ChatGPT API全面升級到GPT-4最新模型、全面開放DALL-E/Whisper API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/gpt-4-api-general-availability" target="_blank">OpenAI昨（6）日宣布</a>，所有API存取的AI模型，都已升級到GPT-4最新模型，現有用戶現在就能使用。此外OpenAI也將全面開放GPT-3.5 Turbo、DALL-E及Whisper API。</p> <p>OpenAI於<a href="https://www.ithome.com.tw/news/155727" target="_blank">3月宣布</a>ChatGPT API，<a href="https://www.ithome.com.tw/news/157331" target="_blank">6月又發布</a>聊天機器人的底層模型GPT 3.5 Turbo及GPT-4的第一次更新。而在本周宣布下，所有付費API既有開發商用戶將能存取到最新的GPT-4 API 8K版本，並計畫7月底再開放給新開發商用戶，之後視運算資源逐漸解除流量限制。</p> <p>同時間，由於穩定性及成熟度已經達大規模使用水準，OpenAI也宣布全面開放GPT-3.5 Turbo、DALL-E及Whisper API。OpenAI表示正在開發微調GPT-4及GPT-3.5 Turbo的功能，計畫今年下半推出。</p> <p>此外OpenAI也宣布將汰除Completions API使用的舊模型的規畫。OpenAI 3月推出Chat Completions API，目前佔所有API GPT用量的97%。OpenAI表示正持續改進Chat Completions API，並優化其運算容量。他們計畫6個月後，即2024年1月將終止使用Completions API的舊模型。現在開發人員還能存取該API，但今天起OpenAI會在開發者文件中將之標明為「舊API」，OpenAI未來會將資源集中用於Chat Completions API，不再公開使用Completions API的模型。</p> <p>預計到2024年1月4日，舊模型將終止使用，開發人員需在之前完成移轉。OpenAI也列出了新舊模型對照。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0707-openai-600-1.png" style="width: 500px;" /></p> <p>OpenAI提醒開發人員，明年1月4日前，使用舊嵌入（embeddings）模型（text-search-davinci-doc-001）的開發人員需搬到新模型（text-embedding-ada-002）。OpenAI也會停用Edits API。明年1月初Edits API及相關模型用戶必須從舊模型（text-davinci-edit-001或code-davinci-edit-001）轉到GPT-3.5 Turbo。</p> </div></div></div>
2023/7/7 15:02作者林妍溱https://www.ithome.com.tw/news/157678
福斯與Mobileye合作在美國展開自駕車測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.vw.com/en-us/releases/1750" target="_blank">福斯汽車（Volkswagen）周四（7/6）宣布</a>，本月將於美國德州奧斯汀開始測試基於ID. Buzz的自駕車，這是福斯第一次在美國展開自駕車測試行動，也是在去年<a href="https://www.ithome.com.tw/news/153850" target="_blank">棄守Argo AI</a>之後，捲土重來之作，新的合作對象為英特爾子公司<a href="https://www.ithome.com.tw/news/153852" target="_blank">Mobileye</a>。</p> <p>2016年創立的Argo AI主要開發自駕車所需的軟體、硬體、地圖與雲端基礎設施，該公司在2017年獲得福特汽車的10億美元資金，於2020年取得福斯集團的26億美元資金，不過，福特與福斯在去年10月決定終止對Argo AI的投資，並讓Argo AI直接解散。</p> <p>過去福斯一直在德國測試自駕車，這是首次於美國市場展開測試，並由Volkswagen Group of America（VWGoA）主導，初期將在奧斯汀部署10輛自駕車，預計未來3年會在至少其它3個美國城市部署自駕車測試車隊，於2026年推出商用自駕車。</p> <p>ID. Buzz為福斯所開發的電動車，所採用的自駕車技術是由福斯與Mobileye共同開發，包括攝影機、雷達與光達技術等，在初期測試階段都將配備人類駕駛員。</p> <p>VWGoA對美國市場的規畫是提供全面性的自駕車服務，於運輸領域供應車隊管理及遠端輔導解決方案予其它業者，目前並未打算於美國建立自己的叫車服務。</p> </div></div></div>
2023/7/7 15:17作者陳曉莉https://www.ithome.com.tw/news/157679
QA工程師如何捍衛卓越產品體驗
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ruan_ti_ce_shi_shi_wu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何才能幫助開發團隊有效率的降低產品上市的風險，並且得到一個好的效果呢？我們可以從這些方面來實踐：優秀的QA工程師，必須對產品做的事情。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>好奇心</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>對不良的作法提出疑問跟建議</strong></span></span></p> <p>一般我們可能會理解，「聽話」就是請工程師做什麼，他就照著做。如果有了「聽話」的工程師，我們就不需要為了完成一項工作，額外多付出心力，來使其得以推動。然而，一個良好的產品在開發流程裡本來就需要不斷的獲取各方面的回饋，才能持續改善缺點，以交付更有價值的產品為目標。</p> <p><strong>●團隊領導者並非全知全能，我們需要不同的觀點來輔助，以避免發生錯誤</strong></p> <p>當有人質疑你的想法或決策時，其實是很好的一件事情。因為這樣，可以幫助團隊更認真地思考自己的想法或決策，是否存在某些問題，讓團隊有機會進行修正。</p> <p>軟體產業終究還是靠團隊的協同合作來達成目標，人的因素十分重要，即使你在開發過程中犯了一些錯誤，還是能借助發現問題的人，將你從這些錯誤中拯救出來。</p> <p><strong>●優秀的QA工程師，能適時的對不良的做法提出質疑</strong></p> <p>面對產品規格與客戶期待之間的落差、系統開發架構不易維護，運作成本太高各種千奇百怪的問題，一個優秀的QA工程師要能適時地提出修改建議，協助團隊導正錯誤的開發內容，越早發現問題，修正成本也就越低。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>從優秀到卓越</strong></span></span></p> <p><strong>●多方嘗試，找出非常規思維的Bug</strong></p> <p>儘管QA手上的許多測試任務看似重複，但機械思維與優秀的QA工程師是截然不同的。人類樂於打破規則，使用者非理性的操作行為，可能導致產品上市後發生一些沒能提前預測到的缺陷。</p> <p>優秀的QA工程師會表現出這種測試態度，在介面中不支援點擊的地方嘗試進行點擊，看似偏離合乎邏輯的測試項目，實質上是想多方嘗試各種可能性，來降低產品上市的風險。</p> <p><strong>●正向思考，面對沒提早發現的Bug</strong></p> <p>在面對產品上市後的Bug時，優秀的QA工程師並不會因為沒提早發現Bug而沮喪，反而會渴望了解為什麼會出現缺陷，找出問題的根源，並提出解決與預防的方法。</p> <p>定期的分析過往Bug的成因，提出歸納後的結論，並且和團隊討論預防的方法，如調整回歸測試的腳本、增加自動化測試的覆蓋率、大量進行冒煙測試等…，提出有效果的預防方法，幫助提升產品的品質。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>徹底測試的決心</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#B22222;">對產品負責的態度</span></strong></span></p> <p>QA對於產品的全貌、使用者對於功能的使用方式與期待，是比較了解的。QA被視為「使用者」的代言人，必須把自己當成使用者來撰寫測試腳本。</p> <p>■「使用者通常會如何點擊廣告？點擊商品圖片，還是點擊Logo？點擊商品圖片與Logo，是否都是打開商品的介紹頁面？」</p> <p>■「商品折價券的有效時間到12/31，是要設成能在12/31 23:59:59 前使用，還是12/31 00:00:00就過期了？時區GMT+8正確嗎？」</p> <p>■「全站單日滿3000送300購物金，是結帳時額外將300元購物金存入使用者帳戶，還是直接扣抵消費？當總價不滿3000時，如何讓系統判讀不提供300購物金？」</p> <p>以上皆是使用者日常對於產品的操作行為，雖然是微小的功能差異，如果真的發生異常行為，卻有可能會造成嚴重的業務損失。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>如何防堵Bug，如何做到滴水不漏</strong></span></span></p> <p>產品的開發過程裡，常有無人關心的小地方，如果團隊中從來沒有人想過、測試過，某些Bug就很難被發現。Bug通常就是這樣子被默默地堆疊起來，直到有一天在交互作用的影響下，產生了嚴重的業務損失，才會被人們注意到。</p> <p>我們來觀察一個實際的案例：2018-09-29 Facebook表示，近5000萬用戶因嚴重的安全漏洞而受到攻擊（資料來源：<a href="https://bit.ly/3eCiBTd">https://bit.ly/3eCiBTd</a>）。</p> <p>該公司稱，Facebook工程師於9月25日週二發現了這個嚴重的漏洞，並於週四進行了修補。受到影響的用戶會收到Facebook的通知，這些用戶會被登出，並需要重新登入。</p> <p>Facebook的漏洞，來自於三個小Bug的交互作用：</p> <p>(1)第一個錯誤是，使用「以瀏覽身分查看」功能時，「影片上傳」功能根本不應該出現。</p> <p>(2)第二個錯誤是，當「啟用影片上傳」功能時，會產生一個Access Token，但實際上根本不應該產生。</p> <p>(3)第三個錯誤是，當某A使用「以瀏覽身分查看」功能檢視某B在他人眼中的樣子時，「影片上傳」功能產生的是某B的Access Token，並非是某A自己，這將導致某A可以登入某B的帳號存取或修改資訊。</p> <p>如果團隊中有人發現上述3個Bug裡的其中一個，並完成修復，那麼漏洞就無法產生，也就能避免嚴重的商業損失。</p> <p><strong>●如何防堵Bug，如何做到滴水不漏：</strong></p> <p>(1)增加Unit Test（單元測試）涵蓋率，確實進行Code Review（程式碼審查）。</p> <p>(2)定期的回歸測試中，以亂數抽樣或是挑選近期較少執行的測試腳本，進行測試。</p> <p>(3)定期針對特定主軸進行探索性測試，以非常規的思維進行測試。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>提早介入發現問題，降低修復成本</strong></span></span></p> <p>品質是「設計」出來，而不是「測試」出來的。讓我們從測試和開發的角度來看，如何在開發流程裡，提早建立產品交付的品質。</p> <p><strong>●建立測試流程提早掌握產品交付品質</strong></p> <p>從測試的角度看，要更好的掌握產品交付的品質，QA就要盡可能提早干預RD寫出Bug，最好是讓Bug被扼殺在搖籃裡。</p> <p>產品經理、RD、QA應該同時參與需求討論會議，澄清需求。另外將關鍵測試的項目，作為需求的一部分，當RD交付需求時能先完成關鍵測試，減少QA日後測試到完全無法運作的功能，從開發階段提高團隊的運作效率。</p> <p><strong>●建立開發流程提前最佳化產品交付品質</strong></p> <p>從開發的角度看，提高程式碼的品質可以有很多種方式：</p> <p>(1)提高自我測試意識，透過單元測試或靜態程式碼分析，掃描程式碼是否有不符合規則的地方，提升程式碼的品質。比如資安裡最常見的風險就是資料隱碼攻擊（SQL Injection），因此有專門的規則是在比對程式碼哪裡使用了可能導致SQL Injection的程式碼。</p> <p>(2)真正理解需求和技術架構，進行Code Review或者Pair Programming（結對開發），來提升程式碼的品質。</p> <p>開發流程裡的產品交付品質是屬於測試左移的範疇，例如：QA在參與需求會議時提出問題，與列出關鍵測試項目時，其實就已經開始在進行測試了。為什麼我們要測試左移呢？因為發現問題的時間越晚，其修復的成本就越高。</p> <p>如果我們能把測試活動向左移動，那麼就意味著修復成本將大幅下降。但這並不容易實踐，想要把大部分的測試放在單元測試裡完成，需要依賴成熟的開發環境和極其資深的開發團隊。</p> <p>除了大量進行單元測試之外，培養團隊的測試賦能，也是實踐測試左移的一種方法。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>賦予RD自主QA的意識與基礎技能</strong></span></span></p> <p>培養測試賦能，從字面上的解釋是，QA給RD賦於某種測試能力，讓RD有能力完成測試，例如：降低測試門檻、使用自動化測試工具、方便取得測試數據、養成測試意識。</p> <p>舉個例子，RD正在開發的功能是個產生報表的UI，報表在呈現資料的當下，會針對不同的數值大小，在表格裡填上相對應的背景顏色。QA事先準備好各式各樣的報表測試資料與自動化測試的開發，當RD完成功能開發後，可以點擊一個按鈕將測試數據匯入資料庫，再點擊一個按鈕就開始進行測試，一陣子之後就可以看到數值大小所對應到表格顏色的測試報告。RD其實並不需要懂測試數據的設計、自動化測試的開發、測試報告的編排，但是RD依然可以快速完成測試（門檻低），只要他養成測試習慣（培養測試意識）。</p> <p>優秀的QA工程師協助團隊實踐測試左移時，並不會將測試的負擔轉嫁給RD。相反的，而是幫助RD寫出更高品質的程式碼，更高效率地完成開發。<span style="color:#696969;">（本文摘錄整理自《軟體測試實務[I]》第二章，作者／郁家豪，Appier沛星互動科技）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E8%BB%9F%E9%AB%94%E6%B8%AC%E8%A9%A6%E5%AF%A6%E5%8B%99-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">軟體測試實務：業界成功案例與高效實踐[I]</span></strong></p> <p>李信杰／主編；江仁豪、宋濤、李佩蓉、林書緯、郁家豪等／合著</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><a href="https://www.csie.ncku.edu.tw/zh-hant/members/3" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%B8%AC%E8%A9%A6%E5%AF%A6%E5%8B%99%5BI%5D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%88%90%E5%8A%9F%E5%A4%A7%E5%AD%B8.jpg" style="width: 200px;" /></a></p> <p><a href="https://www.csie.ncku.edu.tw/zh-hant/members/3" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_成功大學</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>李信杰（本書主編）</strong></p> <p>現任國立成功大學計中/資訊工程學系副教授，亦為全球最熱門開源測試軟體Selenium IDE V3、Katalon Recorder與Qualys Recorder原型創造者，目前國際上超過80萬名軟體測試人員受惠。</p> <p>李教授著有80餘篇國內外期刊與會議論文、獲得10餘項最佳論文獎，並擔任90餘項國內外學術服務職務。李教授熱愛軟體工程實務型研究，著迷於鑽研科學化的軟體測試方法。</p> </div></div></div>
2023/7/7 14:00未署名https://www.ithome.com.tw/article/157612
【2023 CIO大調查：服務業IT趨勢1】抗疫加碼力道結束，轉型步調回穩持續擁抱雲端技術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-fu_wu_ye_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各產業IT預算成長力道減弱反映出了經濟不景氣。服務業也不例外，從去年14.6%大力加碼，今年些微放緩到10.4%，成為唯一守住2位數成長率大關的產業。愛料理技術長李致緯直言，今年服務業IT投資和做法，「主旋律就是緊盯開支，只做必要的事。」</p> <p>緊盯開支的現象從數位轉型預算成長幅度可見一斑。今年服務業數位轉型投資成長率7.8%，雖持續成長，但力道相比2022年的49.2%巨幅加碼，已經回穩不少，顯示服務業導入新技術和IT做法時更加謹慎。</p> <p>相對於放緩力道的數位轉型，今年服務業持續加碼雲端技術投資，成長幅度高達19.6%。服務業一直積極擁抱雲端技術，平均有26.3%AP上雲，25.3%AP容器化，是各產業最高。2022年，上雲比重過半的重度雲端化服務業者達到13.4%，居各產業之首，今年預計會有更多服務業積極上雲，重度雲端化服務業者預計達到21.6%。服務業上雲時，也較其他產業更積極採用多雲混合雲，近28%企業要導入，來降低只靠一朵雲的風險，例如強化跨雲備援能力。</p> <p><span style="font-size: 28px;"><strong>面臨OMO和混合工作新常態，服務業更想靠雲端技術統一IT環境</strong></span></p> <p>2023年除了經濟景氣疲軟，對服務業來說還有另一個重大改變──疫情趨緩後的消費和工作型態，都走向線上線下雙軌並行。服務業面對疫後新常態，最重視的3大項目是強化IT部門遠端工作能力、強化全公司遠端工作能力，以及提高IT上雲端的比重。</p> <p>李致緯說明，自從疫情降級，服務業IT的工作型態就以混合式工作為主流。這種工作型態下，資安和工作環境統一是重要課題，部分雲端應用就能在此派上用場。他舉例，企業會採用雲端生產力工具，或將開發環境設置於雲端容器，這樣一來，既能統一辦公室及遠端工作的環境，也容易幫新購入的資訊設備或新進員工快速設置好工作環境。</p> <p>不只要統一工作環境，作為與消費者第一線接觸的產業，服務業也必須強化線上線下服務環境。今年CIO大調查中，企業採用「強化實體與數位通路整合」和「增加數位通路投資」來面對新常態的比例，與去年相近。值得注意的是，新常態下，更多服務業者繼續擴大商業模式和產品的數位化、服務化，從去年的18.8%服務業占比，今年一口氣提升到28.9%，是所有產業最高。對服務業來說，OMO趨勢依舊發威，不過，企業作法要更加深化。不能只是單純整合線上線下通路的金流、物流及進銷存，在不同通路販售商品就好，現在，得更進一步以線上線下通路融合的角度，重新設計商業模式和產品，以進一步發揮OMO經營模式優勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-1-PNG(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-%EF%BC%92%EF%BC%8D%EF%BC%B0%EF%BC%AE%EF%BC%A7(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-%EF%BC%93(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-%EF%BC%94(1).png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:53作者郭又華https://www.ithome.com.tw/article/157676
【2023 CIO大調查：服務業IT趨勢2】大數據熱潮退燒，高即用性自然語言處理類AI工具成新寵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-fu_wu_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>手上握有巨量顧客、銷售、營業數據的服務業者，今年反而沒有意願持續加碼大數據投資。去年，服務業投資大數據的金額是1,529萬元，今年則只有1,495萬，微幅減少2.2%，與高科技製造業為唯二減少大數據投資的產業。看似矛盾的是，服務業對加碼大數據感到遲疑，今年卻積極擁抱要數據作為基底的AI技術。</p> <p>愛料理CTO李致緯解釋，這個轉變是因為服務業者對數據應用成效存疑，因而更加重視有著短成本回收周期的NLP類AI應用。</p> <p>「現在服務業者導入大數據相關應用時都更加謹慎，因為過往經驗讓他們對成效抱持疑慮。」李致緯直言，有不少服務業者，連年積極投資大數據相關服務，卻發現帶來的成效難以回收投資成本。企業開始緊盯IT開支的時空背景下，連帶對AI投資上也要尋找更立竿見影的作法。</p> <p>今年服務業沒有停下採用AI/ML應用的步調，從15.5%增加到22.7%的服務業者要用，且格外聚焦ChatGPT這類能立即使用的自然語言處理類AI，服務業採用ChatGPT的比例從9.3%大漲至25.8%。</p> <p>在因應ChatGPT衝擊的對策中，服務業對於要強化員工ChatGPT資安意識及強化機敏資料保護機制的企業比例，遠比其他產業更低，反映出採用意願更積極，甚至，他們不只從個人層級鼓勵員工使用，更願意從企業層級著手準備大規模導入。服務業企業中，約3成積極鼓勵員工使用，高達4成考慮以原本模型為基底微調出客製化模型，以更符合企業使用需求。這2個指標，服務業都是全產業最高。</p> <p>服務業導入AI目的前5名依序是改良既有產品或服務（34%）、提高生產力（28.9%）、降低成本（27.8%）、大量例行工作自動化（23.7%）、優化內部工作流程（19.6%）。可以看出，服務業主要將AI用於處理低階或重複性高的工作，來優化人力資源使用情況。ChatGPT這類NLP AI應用，企業不須用自家數據來從頭訓練模型，應用情境也直截了當，容易評估成效，例如翻譯、文案撰寫、信件撰寫、商品關鍵字生成、搜尋功能優化等文字類應用。因此投資NLP類AI，與服務業IT投資的整體戰略方向相同──緊盯開支，著重投資可立即見效的項目。</p> <p>至於為何另一項大數據類產品CDP（顧客數據平臺，Customer Data Platform）是今年服務業熱門投資項目，李致緯直言，「CDP對很多企業來說不是數據管理工具，而是MA（自動化行銷，Marketing Automation）工具。」他解釋，許多企業對數位行銷著墨少，導入CDP後才利用其自動化行銷功能來強化自家行銷模式。因此就算不利用數據來優化行銷，仍能見到一定程度的成效。由此也可見，比起從頭打造整套大數據應用機制，企業更傾向直接採購成熟、可立即使用的商業產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-4.png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 13:14作者郭又華https://www.ithome.com.tw/article/157677
Threads上線7小時用戶破千萬，推特揚言控告Meta侵害智財
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被稱為「推特（Twitter）殺手」的Threads周四（7/6）上線，顯然引起許多用戶好奇加入。7小時內用戶已破千萬，但也引來推特指控Meta侵害其智財以開發這款App。</p> <p>Threads於美東時間7月6日上午10:00（臺灣時間18:00）在歐盟地區以外全球正式上線（不過在中國已經被禁）。Meta執行長祖克柏（Mark Zuckerberg）說，在7小時內，用戶已突破1000萬，速度超越OpenAI的ChatGPT和IG，可能是最快達到這個里程碑的消費App。這個關卡ChatGPT花了40天，而IG更花了2.5個月。稍後祖克柏又更新數字，Threads用戶數在24小時內已經來到3千萬。</p> <p>Threads是由Meta旗下IG公司推出以ActivityPub協定為基礎的去中心化社交App。根據IG官方的描述，Threads為基於文字的對話App，提供社群討論各種主題或明日趨勢，用戶可以關注或聯繫他所喜愛的創作者，也可以建立自己的忠實追隨者、分享自己的想法、觀點和創意。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0707-Threads%20App-2-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> <p>在功能上，Threads目前尚無法儲存草稿，但是用戶最多可輸入500個字元，上傳5分鐘以內的影片，優於推特的280字元及2分20秒，而且用戶可以將IG的藍勾勾沿用到Threads，不用另外花錢。而相對推特創辦人Jack Dorsey開發的Bluesky還需要加入等候清單、索取邀請碼，Threads用戶只要下載App，就可以用IG使用者名稱加入。</p> <p>目前已有許多知名人士或企業加入，包括Netflix、Marvel、Amazon、NFL、微軟、百事可樂、汽車大廠福特、豐田、本田都已有帳號。名人包括Jennifer Lopez、Shakira、名廚Gordon Ramsay、歐巴馬（Barack Obama）、Justin Bieber、Rihanna也都已上線。</p> <p>根據市調公司<a href="https://www.statista.com/statistics/303681/twitter-users-worldwide/" target="_blank">Statista</a>的統計，推特用戶數2023年由前一年的3.68億滑落為3.54億，今年截至目前則為3.36億。加上年初客戶暫停續約及各種批評，面對Threads的爆紅推特自然不是滋味。推特打算控告Meta侵害商業機密</p> <p><a href="https://www.semafor.com/article/07/06/2023/twitter-is-threatening-to-sue-meta-over-threads" target="_blank">網路媒體Semafor報導</a>，推特律師本周對Meta執行長祖克柏寄發存證信函，指稱Meta僱用幾十名推特前員工，他們到新公司後持續存取該公司商業機密和機密資訊，並利用這些智慧財產開發仿冒推特的Threads。推特要求Meta立即停止「系統性、執意及非法」取用他們的商業機密和智財，該公司也保留要求民事賠償及禁制令的權利。</p> <p>這使得馬斯克和祖克柏的對抗，除了<a href="https://www.theverge.com/2023/6/21/23769263/mark-zuckerberg-elon-musk-fight-cage-match-worldstar" target="_blank">鐵籠對打</a>外，又擴展到事業上的競爭。</p> <p>不過用戶要留意，一旦註冊加入後，Threads就會和IG綁在一起。有<a href="https://twitter.com/emilyhughes/status/1676775597735923719" target="_blank">用戶發現</a>註冊後若想刪除Threads，也必須連IG一同刪除。根據<a href="https://techcrunch.com/2023/07/06/threads-delete-profile-instagram-meta/" target="_blank">Techcrunch</a>發現Threads的隱私政策，用戶可以關閉Threads個人資料，但是只有在刪掉IG帳號情況下才能刪除Threads個人資料。</p> <p>iOS版及Android版Threads App都已經在周三上線。有趣的是，即使遭到中國官方禁止，但iOS版Threads仍然在一天之內衝到App Store免費App熱門排行榜第5名。</p> </div></div></div>
2023/7/7 11:27作者林妍溱https://www.ithome.com.tw/news/157673
【2023 CIO大調查：一般製造業IT趨勢1】製造業IT將ESG列入第二大年度目標，更優先完成碳盤查系統化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-yi_ban_zhi_zao_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在疫情解除後，各行業的IT投資力道明顯較去年略有下降，特別是先前受到疫情嚴重衝擊的一般製造業，經歷2021年疫情高峰，2022年疫情降級，到今年疫情解除後，一般製造業IT預算增長明顯減緩，從2022年最高點13.8%下降到今年的8,8%。一般製造業今年的平均IT預算僅有4,106萬元。這反映出製造業對IT支援應對疫情需求的減少。</p> <p>但疫情對製造業的數位轉型仍起到加速作用，仍被一般製造業CIO列為年度目標前三大的重點之一。超過4成的一般製造業CIO將數位轉型列為年度優先目標。不過受IT預算緊縮的影響，今年在數位轉型投資方面，增長幅度不高，僅有1％成長。</p> <p>在一般製造業技術轉型方面，一般製造業CIO今年開始加速雲原生的布局，來發展雲原生的相關能力，因應疫後新常態的轉型需求，這反應在一般製造業內部應用系統上雲和容器化的比例有所提升。</p> <p>製造業者預估內部應用系統今年14.9%開始上雲，比去年多了4.4%。在所有上雲的企業中，2成多採用多雲混合雲架構來部署。至於使用容器化架構的應用系統比例今年提高至24%，較去年的20.8%有所增加，因此，有近1成企業開始導入K8s來管理容器化應用。</p> <p>進一步來看一般製造業CIO年度目標排行，可以發現到製造業CIO在今年年度目標優先順序出現重要變化。值得注意的是，ESG企業永續在今年排名大幅提升了5個名次，來到了第2名，甚至超越了數位轉型，僅次於資安。</p> <p>50%一般製造業CIO今年將ESG列入首要年度目標，這個比例高於整體產業的39.3%，僅次高科技製造業的50.6%，等於平均每兩家就有一家是列入CIO的年度優先目標。這顯示出，在面對法遵要求和品牌供應鏈壓力下，IT逐漸成為推動製造業永續轉型的重要關鍵。</p> <p>尤其，今年6月起，臺灣已經出現第一批必須依法在年報中揭露碳盤查資訊的企業，其中許多企業是大型製造業，甚至不少中小型製造業明後年將面臨強制揭露的要求。因此，製造業CIO必須肩負更大的責任，不只是協助自家公司完成碳盤查，甚至隨著年底碳定價的公布，未來還需要計算碳成本，必須將碳帳與內部財務系統整合，以便掌握生產過程的碳排放成本，並將其納入企業商業決策。這也成了製造業CIO未來所面臨的新考驗。</p> <p>製造業碳數據蒐集和管理需求增長，也反應在今年永續科技採用上。逾4成製造業CIO今年優先完成碳盤查及碳足跡系統化，還有2成CIO們今年計畫建置碳足跡儀表板，為蒐集範疇3的供應鏈碳排放數據預做準備，還要加強ERP系統對於碳排等ESG資訊的匯整能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-1.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-4.png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:00作者余至浩https://www.ithome.com.tw/article/157658
【2023 CIO大調查：一般製造業IT趨勢2】強化供應鏈韌性成疫後新重點，6成製造業要打造強健數位體質
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-yi_ban_zhi_zao_2-960jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在疫後的新常態下，一般製造業逐漸回歸到疫情前的工作型態與營運方式，這樣的改變不僅體現在整體IT投資的變化上，同時對於一般製造業CIO在應對疫後新常態時所採取的IT策略帶來新的影響。許多CIO開始重新評估和調整他們的IT策略，將更多重點放在加強IT彈性和數位韌性，應對疫後新常態挑戰。</p> <p>從一般製造業疫後新常態的十大IT對策來看，反應出和去年不一樣的改變。在未來一年因應疫後新常態的10大IT策略的做法中，加速內部流程數位化和自動化首次躍升至第一名，列為後疫新常態的重點對策，其重要性甚至超過了遠端工作能力。</p> <p>61%製造業CIO今年要加速推動內部流程數位化和自動化，比去年增加了6.3%，反映了製造業對提升自身數位能力的重視，以迅速回應營運調整和產線需求的變化。</p> <p>強化疫後數位轉型的製造業今年多了不少。3成製造業CIO將加速推動速疫後新常態的轉型，另外有4成CIO要加強IT敏捷性、模組化、彈性化，來因應內部IT轉型型。還有2成計畫加強數位技術投資，並且與業務展開更緊密的合作。</p> <p>在疫情解除後，一般製造業雖然明顯減少對於全公司及IT部門遠端工作環境建置需求，但仍有4成的製造業CIO將持續發展遠端工作能力。這顯示出在新常態下，製造業開始轉向混合辦公工作模式。</p> <p>另一方面，一般製造業CIO今年比過去更加重視供應鏈數位化管理能力，17.1%製造業CIO今年要強化這方面的數位體質，遠高於去年的9.5％。這顯示出，即使在疫情過後，許多製造業仍把強化供應鏈韌性視為疫後新重點。一方面，製造業者在面對疫後新常態帶來的市場變化和不確定性，需要打造更靈活及高彈性的供應鏈；另一方面，來自範疇3的供應鏈碳排放管理，對於製造業減碳至關重要，這需要數位資訊串接和整合能力，來完整掌握上下游供應鏈碳排數據，因此，不少製造業CIO現在更積極提升對供應鏈管理數位化能力。</p> <p>值得一提的是，一般製造業今年加大對於不同AI應用採用力道。2成多製造業今年有意導入AI/ML應用，並且不僅僅應用在生產製程上，決定將AI擴展到行動應用的企業占比比去年翻了5倍，達到12.2%，此外，超過1成的企業今年計畫導入生成式AI相關應用，例如ChatGPT等。</p> <p>從一般製造業AI成熟度分布來看，也有類似的趨勢，15.8％一般製造業今年不是要正式上線AI應用，就是要擴大採用。甚至超過5成的企業已經開始計畫，或者即將導入或展開驗證工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A02-600-1(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A02-600-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A02-600-3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A02-600-4.png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:00作者余至浩https://www.ithome.com.tw/article/157670
【2023 CIO大調查：高科技製造業IT趨勢1】數位轉型投資力道翻倍，6成高科技製造企業已是轉型領先者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-gao_ke_ji_1-960-155jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高科技製造業今年的IT預算平均7,867萬元，雖然並非所有產業中最高，但預算成長達到了9.8%，僅次於服務業的10.4%，在今年各產業整體IT預算減少的情況下，高科技製造業是唯二預算成長高於去年的行業之一，另一個則是政府機關及學校。</p> <p>攤開高科技製業的IT投資布局，今年IT投資重點主要集中在數位轉型、雲端和資安方面的投資。數位轉型和資安一直以來都是該IT投資的重點項目之一，而今年資安也有超過2成的增長。另外，雲端的投資增長更超過4成，在所有IT投資項目中排名第三，僅此於數位轉型和資安。</p> <p>數位轉型的投資，依然是高科技製業在今年IT投資比重最高的項目，而且，跟去年相比，高科技製造業今年在數位轉型的投資金額大幅增長至2,598萬元，僅次於金融業，甚至比去年足足增加131.9%，今年，單是數位轉型的投資就相當於整體IT預算的三分之一，顯示出在疫後新常態下，高科技製造業對於數位轉型更加重視。相比之下，金融業的數位轉型投資金額雖然是各產業之冠，但與去年相比明顯縮減不少。</p> <p>許多高科技製造企業在疫情前就已經開始進行數位轉型，而疫情後更進一步加速了轉型的步伐。從高科技製造業2023數位轉型成熟度分布來看，也能反應出這樣趨勢。今年有65.4%的高科技製造業已經是轉型領先者，比去年增加了11.3％，此外，不少原先是只是在計畫的企業，今年開始展開數位轉型。儘管加快轉型的企業增加了，不過仍有2成企業在轉型方面落後。</p> <p>高科技製造業技術轉型的重點主要在IT現代化，也帶動了在上雲和DevOps這兩項的投資，今年都有約4成預算的加碼。值得注意的是，因應IT現代化轉型，不少高科技製造業也開始著重發展自身的雲原生能力，來支援疫後新常態下所需彈性和韌性。各別來看，高科技製造業CIO預估今年內部應用上雲比例，可達到20.3%，比去年增加了5.3％，因為今年增加雲端投資金額，也提高應用上雲的力道。不過今年也有3成CIO採用私雲和公雲的多雲混合雲架構，來推動應用搬遷上雲計畫。這反應出，有許多高科技製造業CIO開始考慮哪些應用要上雲，哪些應用該放私有雲較合適。</p> <p>另一方面，高科技製造企業預估今年內部應用系統容器化的比例也有小幅增長，增加了3.1%，達到22.1%。換句話說，高科技製造業平均每5個應用中就有1個是採用容器化架構搭建。另外今年超過2成CIO開始用K8s來管理這些容器化應用。</p> <p>除了IT架構開始走向現代化IT，引進兩大雲原生技術，高科技製造業在開發方法也需要跟著要現代化。因此，近2成企業今年計畫採用DevOps，建立自動化的CI/CD流程，讓IT的開發能夠更具彈性、敏捷，來應對高科技製造業快速轉型的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%801-600-1-png.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%801-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%801-600-%EF%BC%93.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%801-600-%EF%BC%94.png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:00作者余至浩https://www.ithome.com.tw/article/157671
【2023 CIO大調查：高科技製造IT趨勢2】ESG在IT年度目標排名大躍進，5成高科技製造業CIO優先推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較去年，今年高科技製造業CIO年度目標的排名，出現很大的變化，ESG企業永續目標，從去年排名第10名，今年一口氣躍升了8名，成為第二名，一舉超越了原本名列第二的確保IT穩定和第三的數位轉型，僅次於資安。</p> <p>資安在高科技製造業CIO年度目標中依然排名第一，超過7成CIO列為年度目標。但ESG目標排名的上升，正反應了高科技製造業對於ESG永續的重視程度更甚去年，因此更加需要IT的協助，應對ESG的挑戰。</p> <p>50.6%高科技製造業今年將ESG企業永續列為年度目標，較去年增加超過2成，這個比例更是居於所有產業之冠，當中有近2成的CIO將淨零排放列為年度目標。</p> <p>所有產業中，高科技製造業可以說是最早受到ESG衝擊的產業之一。因此，許多高科技製造業CIO很早就開始利用IT來應對ESG所帶來的挑戰，不過，今年，他們針對ESG挑戰所採取的IT做法上出現了不一樣變化。</p> <p>進一步來看高科技製造業IT因應ESG十大做法，今年高科技製造業的CIO們開始從不同的管理層面利用IT角色來協助公司推動ESG發展。其中，4成的高科技製造業CIO參與了內部ESG績效指標的設計，成為因應ESG的第二大IT做法。另外也有近3成的CIO今年計畫把資訊架構對齊ESG目標，不僅如此，甚至高達2成CIO將加入永續發展委員會，這個比例高於整體產業1成多。</p> <p>今年碳盤查新制上路後，不少高科技製造業財報中都必須揭露完整碳盤查資訊，而且明年還需經過第三方確信，這也反應在今年永續科技採用率的增長，接近4成的高科技製造業CIO優先考慮導入碳盤查或碳足跡監測及管理系統，來強化對碳排放的數據蒐集、監控和管理。另外，近2成CIO要建置視覺化碳足跡儀表板，希望掌握生產過程中的碳排放數據，用於追蹤各項減量目標。此外，約3成CIO開始關注IT永續的發展，來因應ESG永續轉型。</p> <p>值得一提的是，高達2成高科技製造業CIO將AI創新應用與服務列為年度目標。儘管今年整體AI投資減少，使得高科技製造業CIO對於AI技術採用較去年保守，但是針對近來火熱的ChatGPT這類生成式AI技術，也有逾2成CIO今年有意採用。</p> <p>從高科技製造業AI成熟度分布來看，可以觀察到這個產業在AI採用方面逐漸成熟。近1成的高科技業者今年決定擴大其AI應用範圍，還有些企業甚至已經進一步深化和內化AI應用，將其融入核心業務流程中，追求更大的效益和優化營運決策。另外今年計畫或正要開始導入和驗證的企業占比也有近4成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-3(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-%EF%BC%94(2).png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:00作者余至浩https://www.ithome.com.tw/article/157672
歐盟深入調查Amazon與iRobot收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3702" target="_blank">歐盟執委會（European Commission，EC）周四（7/6）宣布</a>，將根據《歐盟合併條例》（EU Merger Regulation）針對Amazon收購掃地機器人製造商iRobot一案展開深入調查。</p> <p><a href="https://www.ithome.com.tw/news/152354" target="_blank">Amazon是在去年8月宣布</a>，將以每股61美元，總價約17億美元收購iRobot。iRobot的創辦人是來自美國麻省理工學院專門研究航太機器人之人工智慧實驗室的畢業生與教授，旗艦產品為Roomba掃地機器人，根據Statista的調查，iRobot在2020年仍遙遙領先其它競爭對手，市占率為46%，居次的則是中國的科沃斯機器人（Ecovacs Robotics），市占率為17%。</p> <p>目前並未有公開報告揭露雙方最新的競爭態勢，不過，<a href="https://investor.irobot.com/static-files/db9d52cb-abe5-4003-bf74-ccb41a8b5d3e" target="_blank">iRobot去年（2022年）的營收為11.83億美元</a>，比2021年下滑了24.4%，而<a href="https://static.ecovacsgroup.com/app/2023-06-05/2e18e704-6863-4bf9-8147-bf74db55e285_2022%E5%B9%B4%E5%B9%B4%E5%BA%A6%E6%8A%A5%E5%91%8A.pdf" target="_blank">科沃斯機器人去年的營收</a>則是153億元人民幣（21億美元），比前一年成長17%。</p> <p>對於Amazon買下iRobot一案，EC的初步調查顯示該交易將讓Amazon得以限制掃地機器人的市場競爭，或是強化其在市集中的地位，特別是Amazon市集是銷售掃地機器人的重要管道，且Amazon有能力阻止競爭對手於市集上銷售相關產品，或是阻止競爭對手存取諸如Alexa或其它Amazon資源，也將取得iRobot用戶資料的存取權限。</p> <p>而深入調查則會進一步探究上述的擔憂是否會成真，預計於今年的11月15日作出決定放行或阻止該交易的決定。</p> </div></div></div>
2023/7/7 12:13作者陳曉莉https://www.ithome.com.tw/news/157675
別低估小眾產品發展潛力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-wang_lu_xiao_ying_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原子網路通常是在像青少年或遊戲玩家這樣小眾中建立起來，開始引起關注，還不知道是否會引起主流群體的注意。隨著網路的建立，情況很快就會改變。在這個階段，若你不是目標受眾也無妨。</p> <p>在科技業，最愚蠢的事就是以這種方式低估新產品。經常聽聞有些權威人士說某種產品行不通、不夠有吸引力，或是太過小眾，但很快就被打臉的例子。可以理解，當產品的網路尚未涵蓋到你、你的朋友或同事時，確實很難引起你的共鳴。目標市場看起來小，一旦與你有關聯的人加入其中，你才會覺得這產品也滿適合你的。問題不是出在產品，而是需要將與你有關的人或內容加到網路裡。</p> <p>建立原子網路的第一步是先對它做出假設，愈具體愈好。我的建議是，產品的第一個原子網路盡可能比你想像的更小、更具體。不是一個廣大的用戶群，或者特定的族群，更不是一個城市。比較像是在一個特定時間點，可以聚集幾百個人。就像Uber，現在我們傾向稱呼自己的網路是「舊金山」或「紐約」，但在早期，我們都聚焦在明確、具體的時刻和地點，像是「下午5點在第5街和國王街口的加州列車車站」。駕駛營運部的總經理們有一個內部管理工具，以當時火紅的線上遊戲《星海爭霸》命名，可以點擊一群車輛、送簡訊說：「快去車站，有很多乘客！」然後即時導引駕駛。一旦這些時刻的乘載量穩定下來，討論焦點就會轉移到稍大一些的區域。下一步，再增加東灣與矽谷的郊區。幾年後，我們討論的是整個國家或者歐洲、中東與非洲，乃至亞太市場。但早期，只有關注在如何集中資源，建立儘可能小的網路。</p> <p>如今，商業語彙總是繞著幾百萬的消費者打轉，不論是在談論市場、市場或人口區隔，都是如此。但在啟動新產品網路時，正確做法是選擇一小群人，在對的時間、對的場景，精準地傳遞產品的賣點，不論你要賣的是約會App、電子商務，還是辦公協作產品，都是如此。</p> <p>若你安排過多使用者，反而會增加打造原子網路的難度。有些網路型產品只需要最小規模的原子網路，例如電話、簡訊軟體Snapchat，或者視訊會議產品Zoom。這使得開始變得很容易，只要讓每個新用戶都能找到一位已經在網路中的朋友，或是邀請一位朋友加入，就可以起作用了。難怪這類產品通常是成長最快、使用者黏著度最高的。但這也有缺點：競爭門檻低。對你來說很容易的事，對競爭者來說也是。這也是為什麼在通訊這個大的產品類別下，有這麼多簡訊和聊天產品。</p> <p>我們看看網路效應規模光譜另一端的產品。像是Workday這樣的企業產品，一種財務人資管理工具，需要企業先使用它，才能產生價值。這種情況下，病毒式的成長策略是困難的，一次只有一些使用者慢慢流入，是遠遠不夠的。如果你需要同時有幾百名員工在線，這需要公司出面來協調。在這種情況下，由公司強制、由上而下的銷售模式比較可行。</p> <p><span style="font-size:28px;"><strong>原子網路威力無窮</strong></span></p> <p>從城市到城市、從校園到校園，或者從團隊到團隊，是一個經過無數次驗證有效、威力無窮的成長策略。它將使用者密集且自然地連結起來了，網路效應開始在不同層面上體現：因為使用者更容易找到其他使用者，參與度提升了，病毒式成長啟動了，因為使用者看到朋友和同事都開始使用這項服務。</p> <p>好比美國銀行信用卡的案例，先在一個小城市推出，簽下在地商家，讓客戶採用這款新穎的付費方式。與其把你的努力、資源像塗薄薄的一層花生醬那樣，塗在整個產業或區域上，不如聚焦在一個小的原子網路，讓這個網路可以很快驅散反網路效應。1,000個隨機的Slack用戶，與1,000個都在同一家的Slack使用者，兩者相比，後者的使用者留存率會比較高。</p> <p>原子網路的威力來自於，當你成功打造第1個之後，你大概就能打造第2個，下一次會變得更容易，因為每一個網路都會和下一個網路交織。Slack在一家公司內的成功，有助於它在下一間公司成功，因為員工會流動、為新公司帶入新的工作方式和新的產品。臉書早期在單一校園的成功，讓它在其他校園更加容易成功，因為學生們使用的頻率會愈來愈高。先建立起原子網路，接著就可以在其他市場複製你的成功方程式。</p> <p><span style="font-size:28px;"><strong>為何Twitter、Zoom看來如此簡單，卻能大獲成功？</strong></span></p> <p>Zoom創立於2011年。10年後，我在新冠肺炎肆虐的時刻寫下這本書，Zoom已經成為數百萬專業人士遠距工作不可或缺的工具。</p> <p>它成長得很快，從2019年底的1,000萬使用人次，短短幾個月後，已有超過3億人用Zoom開會，將其估值快速推升到900億美元。</p> <p>但是，為什麼人們沒有在一開始就辨認出Zoom的絕佳產品概念呢？根據創辦人袁征的說法，這想法看起來太簡單了，不過就是個好用的視訊會議軟體，尤其當時WebEx、GoToMeeting、Skype已經佔據了市場。Zoom其實沒有更酷炫的產品功能，它最重要的一個特點就是：可以用。</p> <p>Zoom的價值主張是，透過實現便捷的線上會議，來加強團隊內部和公司之間的網路效應。它允許與會者點一下連接就可以進入視訊會議，而不必輸入一長串的會議代碼或撥入號碼。</p> <p>Zoom是一個網路平台，既有殺手級產品，也有圍繞它建構網路的機制，彼此交織，相互強化。一般人很容易把Zoom的簡約想成是競爭優勢，但事實上，這種簡約很難實現。當客戶無止盡地需索更多的功能，競爭對手也備妥了一長串的功能列表。但我觀察到，具備網路效應產品的一項明顯特徵就是，他們經常會先把一件事做好。是什麼讓Zoom變得特別？如何為網路型產品挑選出一個好的概念？這些想法又和傳統的軟體產品有何不同？</p> <p>具備網路效應產品本質上和其他產品不同，它們能促進用戶彼此的互動體驗，傳統產品則著重用戶和產品本身的互動。具備網路效應產品透過用戶的增加而取得成功，產生網路效應。傳統產品則是倚賴不斷增加產品功能來滿足使用者。這是為什麼即使Twitter和Zoom看起來如此簡單，甚至被批評是「產品功能、而非產品」，後來卻能成功。</p> <p>網路型產品必須平衡多方的需求，不只是買家，還有賣家；不只是內容創作者，也要兼顧觀眾。網路型產品最關鍵的功能通常是讓用戶相互查找和聯繫，不論是透過替相片貼標籤、共享權限，還是「你可能認識的人」清單，讓用戶與平台上的相關成員和內容產生連結，不論是你最愛的線上遊戲直播，或是和你團隊相關的專案領域等。這是傳統產品所欠缺的觀念：用戶體驗的豐富度和深度，取決於彼此的互動，而非產品本身的功能組合。</p> <p>和其他視訊會議軟體最大的不同是，Zoom的極致簡單創造了一個原子網路。畢竟，你只需要兩個人就能用Zoom，使得公司能夠更便捷、頻繁地舉行視訊會議，一天可以開會好多次，完全取代了以往的網路會議或電話會議。Zoom的簡單成為一種優勢。</p> <p>當產品概念和價值這麼容易描述時，它們更容易在使用者之間傳播。就像知名生物學家理察.道金斯（Richard Dawkins）在《自私的基因》(The Selfish Gene)這本我很喜歡的書中創造的「迷因」。你可以複製貼上一個Zoom的連結，就是這麼簡單。<span style="color:#696969;"><strong>（本文摘錄整理《網路效應》，天下雜誌出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%B2%E8%B7%AF%E6%95%88%E6%87%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>網路效應（The Cold Start Problem）</strong></span></p> <p>安德魯．陳（Andrew Chen）／著；王曉玟／譯</p> <p>天下雜誌出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B6%B2%E8%B7%AF%E6%95%88%E6%87%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>安德魯．陳（Andrew Chen）</strong></p> <p>19歲即取得美國華盛頓大學應用數學系學士學位，現為美國知名私人風險投資公司Andreessen Horowitz（a16z）的合夥人之一，投資主力放在遊戲、娛樂、電商平台，以及新一代社交產品等領域。曾為Dropbox、Tinder、AngelList等新創企業擔任顧問、天使投資人，也是Substack、Clubhouse、Sleeper等快速成長的新創公司董事會成員。安德魯曾領導Uber的駕駛成長團隊，參與了Uber高速成長期，短短幾年（2015年至2018年），業務量獲得超過10倍的成長。</p> <p>過去10年，安德魯經常撰寫矽谷科技公司及相關產業的商業分析，獲得《紐約時報》、《華爾街日報》、《連線》雜誌等專文刊載，在業界累積了一定的知名度。現居舊金山。</p> </div></div></div>
2023/7/7 00:00未署名https://www.ithome.com.tw/article/157598
日本名古屋港遭勒索軟體攻擊停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本最大貨運量之一的名古屋港口，本周遭到疑為LockBit 3.0勒索軟體攻擊，造成運貨處理作業停擺。</p> <p>去年貨運處理量居全日本之冠的名古屋港貨櫃碼頭從7月4日約早上6:30左右起，主管貨櫃上下貨及港口運作的系統無法作業，迫使港口中止貨櫃集散處理，一直到5日仍未恢復。<a href="https://www.documentcloud.org/documents/23867021-nayoga-notice" target="_blank">名古屋協會昨日緊急公告</a>，已經報警及聯繫專業組織，經判斷為勒索軟體攻擊，他們已著手解決。</p> <p>6日早上，<a href="https://meikoukyo.com/wp-content/uploads/2023/07/5622d834cd44a5084d22af96faa297d4.pdf" target="_blank">協會宣布</a>系統已在7:30恢復運作，預計下午恢復貨櫃裝卸。<a href="https://www3.nhk.or.jp/news/html/20230705/k10014119091000.html" target="_blank">NHK指出</a>，這次事件影響約260家船運公司。</p> <p><a href="https://www.yomiuri.co.jp/national/20230705-OYT1T50220/" target="_blank">讀賣新聞報導</a>，這次事件中，名古屋港運協會電腦被加密，大約100臺印表機也遭到劫持，以英語列印出系統感染勒索軟體的通知，要求協會支付贖金。<a href="https://www.chunichi.co.jp/article/723414" target="_blank">《中日新聞》</a>則報導，駭客使用的是LockBit 3.0。名古屋港去年9月也曾遭到勒索軟體攻擊，當時一個親俄羅斯駭客宣稱犯行。</p> <p>LockBit 3.0是近年危害眾多企業的勒索軟體暨服務（Ransomware as a service）。日前台積電供應商擎昊科技被勒索7千萬美金，可能也是LockBit 3.0所為，<a href="https://www.ithome.com.tw/news/157600" target="_blank">該廠商已坦承遭駭</a>。</p> </div></div></div>
2023/7/6 21:37作者林妍溱https://www.ithome.com.tw/news/157660
【資安日報】7月6日，勒索軟體LockBit攻擊日本第一大港，傳出貨櫃調度系統癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客LockBit繼上週末聲稱入侵了台積電之後，這種囂張的氣燄並未因此減緩，本週該組織疑似針對日本第一大港名古屋港發動攻擊，導致該港口的貨櫃調度系統NUTS暫停運作，後續情況有待進一步觀察。</p> <p>駭客在惡意程式結合不同性質工具的情況，也相當值得留意。有研究人員發現具備竊資軟體（Infostealer）及勒索軟體功能的RedEnergy Stealer，並認為這種惡意程式的出現，代表了勒索軟體攻擊手段發生了變化。</p> <p>各國環保意識抬頭，持續部署綠電，相關的發電系統、設備也隨之受到關注，其中，有研究人員針對已出現漏洞攻擊的太陽能發電監控系統SolarView進行調查，並指出很有可能還有另外2個漏洞也遭到利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本名古屋港傳出因勒索軟體LockBit 3.0攻擊而癱瘓</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cropped-168855017220230705 of trucks Nagoya Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cropped-168855017220230705%20of%20trucks%20Nagoya%20Port.jpg" style="width: 300px; float: right;" /></a>根據日本時報、日經新聞、朝日新聞等媒體報導，名古屋港的港口裝卸系統於7月4日上午6時30分出現嚴重系統故障，導致裝卸貨櫃的業務中斷，現場出現貨車排隊等待的現象。</p> <p>名古屋港運協會於7月5日中午12時證實此事，並表示港口的貨櫃調度系統NUTS發生故障，原因就是遭到勒索軟體攻擊，他們預計於當日下午6時執行系統還原作業，並預計於6日上午8時恢復運作（已於6日上午7時30日完成系統復原作業），愛知縣警方著手調查此事。名古屋港務局也證實NUTS系統故障的情況，並指出6日上午貨櫃場週邊交通仍然壅塞。日本時報指出，攻擊港口的勒索軟體，就是LockBit 3.0。</p> <p>此外，由於該港口是豐田（Toyota）汽車主要進出口的樞紐，Toyota也證實零組件運輸受到影響，但尚未影響汽車的生產，他們將密切留意零件庫存的情況。</p> <p>資料來源</p> <p>1. <a href="https://meikoukyo.com/archives/3281">https://meikoukyo.com/archives/3281</a><br /> 2. <a href="https://meikoukyo.com/archives/3296">https://meikoukyo.com/archives/3296</a><br /> 3. <a href="https://www.port-of-nagoya.jp/business/jigyoshashisetsu/1003915.html">https://www.port-of-nagoya.jp/business/jigyoshashisetsu/1003915.html</a><br /> 4. <a href="https://www.japantimes.co.jp/news/2023/07/05/national/nagoya-port-cyberattack/">https://www.japantimes.co.jp/news/2023/07/05/national/nagoya-port-cyberattack/</a><br /> 5. <a href="https://asia.nikkei.com/Business/Technology/Japan-s-biggest-port-Nagoya-hit-by-suspected-cyberattack">https://asia.nikkei.com/Business/Technology/Japan-s-biggest-port-Nagoya-hit-by-suspected-cyberattack</a><br /> 6. <a href="https://www.asahi.com/ajw/articles/14949157">https://www.asahi.com/ajw/articles/14949157</a></p> <p><a href="https://www.zscaler.com/blogs/security-research/ransomware-redefined-redenergy-stealer-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">能源產業與電信業者遭惡意軟體RedEnergy Stealer鎖定，不只竊密檔案還會被加密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedEnergy-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedEnergy-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露名為RedEnergy Stealer的惡意程式，此軟體同時具備竊資軟體（Infostealer）及勒索軟體的功能（研究人員將這種惡意程式稱為Stealer-as-a-Ransomware），駭客的目標是巴西與菲律賓的公營能源事業、石油、天然氣、電信、機械工業。</p> <p>攻擊者最初利用信譽良好的LinkedIn網頁來引誘目標上當，以網站政策調整為由，要求使用者依照指示更新瀏覽器，然而，一旦下載駭客提供的更新程式並執行，使用者的電腦就會被植入RedEnergy Stealer。</p> <p>此惡意程式會透過FTP通訊協定，將從電腦竊得的資料傳送至雲端服務業者OVH代管的系統，然後把檔案加密並加上.FACKOFF!的副檔名，過程中會刪除Windows備份的資料，以及磁碟區陰影複製（Volume Shadow Copy）的備份檔案，最終留下勒索訊息，向受害者索討0.005個比特幣（約新臺幣4,770元）。</p> <p><a href="https://blog.morphisec.com/guloader-campaign-targets-law-firms-in-the-us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國法律事務所遭到惡意軟體GuLoader鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Morphisec-GuLoaderInfectionChain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Morphisec-GuLoaderInfectionChain.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露惡意軟體載入工具GuLoader的攻擊行動，駭客主要目標是美國的律師事務所，但也有對於醫療保健業者、投資公司下手的情況。</p> <p>攻擊者透過釣魚郵件挾帶受密碼保護的PDF檔案，並在信件內容提供密碼，引誘收信人開啟檔案，一旦收信人照做，此PDF檔案就會觸發PowerShell指令碼，並解碼、執行另一個指令碼來下載GuLoader的Shell Code，最終駭客透過GuLoader下載惡意程式，並將其酬載注入ieinstal.exe處理程序。</p> <p>在其中一起攻擊行動裡，駭客藉由GuLoader於受害電腦植入木馬程式Remcos RAT，並在過程裡開啟另一個顯示為404錯誤的PDF檔案，來分散使用者的注意。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-tool-exploits-microsoft-teams-bug-to-send-malware-to-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">紅隊演練工具TeamsPhisher鎖定微軟Teams漏洞，能對該項服務的使用者散布惡意軟體</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，美國海軍的紅隊成員發布名為TeamsPhisher的工具，此工具利用英國資安業者Jumpsec揭露微軟Teams的弱點，從而繞過該協作系統的檔案傳送限制，透過外部帳號向使用者散布惡意程式。研究人員以Python打造該工具，攻擊者只要提供附件檔案、想要發出的訊息、目標Teams使用者名單，就有機會藉此散布惡意程式。</p> <p>值得留意的是，Jumpsec向微軟通報上述弱點的時候，微軟認為不符合立即處理的標準，而在Bleeping Computer報導上述紅隊演練工具後，微軟表示該弱點的利用仰賴社交工程攻擊，對此他們呼籲使用者，接受來路不明的檔案傳輸務必要小心。</p> <p>資料來源</p> <p>1. <a href="https://github.com/Octoberfest7/TeamsPhisher">https://github.com/Octoberfest7/TeamsPhisher</a><br /> 2. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a></p> <p><a href="https://www.verizon.com/business/resources/reports/2023-data-breach-investigations-report-dbir.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客攻入企業而發生資料外洩的事故，有高達近5成的入侵管道是企業遭竊帳密</span></strong></a></p> <p>電信業者Verizon發布2023年的資料外洩調查報告（DBIR），指出大部分的資料外洩攻擊（95%）都與經濟利益有關，相較於前2年比例仍呈現持續攀升的趨勢。此外，有8成的攻擊事件是由犯罪組織發起，他們偏好的攻擊工具以勒索軟體為首選。</p> <p>而這些事故發生的原因，近四分之三（74%）資料外洩事故涉及人為因素，主要是員工遭到社交工程攻擊或是出錯導致。而對於攻擊者入侵受害組織的手法，最主要的途徑是利用遭竊的帳密資料（49%），再者是網路釣魚（12%）和漏洞利用（5%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://vulncheck.com/blog/solarview-exploitation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">太陽能發電監控系統出現RCE漏洞，影響範圍恐擴大</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/youtube-crimes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtube-crimes.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/157498#mirai">資安業者Palo Alto Networks揭露針對逾20種物聯網裝置漏洞的殭屍網路Mirai攻擊行動</a>，當中提及駭客利用RCE漏洞CVE-2022-29303（CVSS風險評分9.8），鎖定太陽能發電監控系統SolarView下手，但有研究人員發現，這項漏洞的影響可能遠比先前公布的範圍來得廣泛。</p> <p>資安業者VulnCheck指出，當時研究人員在2019年推出的SolarView 6.00找到漏洞，但根據他們對於受影響的元件進行比對，開發商Contec到了2022年發布的8.00版才做出修補；再者，則是上述的Mirai殭屍網路攻擊並非該漏洞首度被利用，有人在2022年5月利用物聯網搜尋引擎找出含有漏洞的SolarView系統，並將概念性驗證（PoC）攻擊影片上傳YouTube。</p> <p>類似的情況不只有上述漏洞，研究人員指出SolarView還有2個漏洞CVE-2023-23333、CVE-2022-44354（CVSS風險評分皆為9.8），同樣在NIST的美國國家漏洞資料庫登記（NVD）的資料不符實際影響範圍，且都有概念性驗證攻擊程式碼，很可能也被用於攻擊行動。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-22/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 115，修補高風險的記憶體安全漏洞</span></strong></a></p> <p>7月5日Mozilla基金會發布Firefox 115，總共修補了13個漏洞，其中有4個漏洞被列為高風險等級，而且，這些漏洞皆與記憶體存取不安全有關。</p> <p>這些漏洞有2個為記憶體釋放後濫用（UAF）漏洞，CVE-2023-37201可透過建立使用HTTPS通訊協定的WebRTC連線觸發，CVE-2023-37202則是出現在SpiderMonkey元件的弱點。</p> <p>另外2個漏洞為記憶體安全弱點：CVE-2023-37211、CVE-2023-37212，而有可能被攻擊者用於執行任意程式碼。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.infosecurity-magazine.com/news/thirtythree-us-hospitals/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國2023年已有33家醫院遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://nakedsecurity.sophos.com/2023/07/04/ghostscript-bug-could-allow-rogue-documents-to-run-system-commands/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源軟體Ghostscript出現漏洞，有可能被用於執行系統命令</span></span></strong></a></p> <p><a href="https://news.sophos.com/en-us/2023/06/21/the-state-of-ransomware-in-manufacturing-and-production-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三分之二鎖定製造業的勒索軟體攻擊檔案遭到加密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157632">【7月5日】竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> </div></div></div>
2023/7/6 16:25作者周峻佑https://www.ithome.com.tw/news/157657
新加坡加強管控加密貨幣產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡金融管理局（Monetary Authority of Singapore，<a href="https://www.mas.gov.sg/news/media-releases/2023/mas-publishes-investor-protection-measures-for-digital-payment-token-services" target="_blank">MAS）周一（7/3）針對數位支付代幣（Digital Payment Token，DPT）服務供應商發表了新規定</a>，要求相關業者必須在今年底前依照法定信託來保管客戶的資料，以降低遺失或濫用客戶資產的風險，同時在DPT破產時協助客戶追回資產。去年的<a href="https://www.ithome.com.tw/news/150911" target="_blank">Luna</a>、<a href="https://www.ithome.com.tw/news/154165" target="_blank">FTX</a>、<a href="https://www.ithome.com.tw/news/154465" target="_blank">BlockFi</a>與<a href="https://www.ithome.com.tw/news/151815" target="_blank">Voyager Digital</a>等幣圈事件無疑加速了各國的立法程序。</p> <p>MAS表示，它們在去年10月公開對外諮詢有關如何保護DPT投資者與市場的監管措施，據此擬定的草案中重點包括隔離客戶與DPT資產，並交由信託保管，保護客戶的資金，每天核對客戶資產並保留適當的紀錄，維護新加坡DPT服務的存取與經營控制權，確保託管功能獨立於其它業務，以及明確地向客戶披露由DPT業者保管資產的風險。MAS並邀請大眾針對該草案提出意見。</p> <p>此外，MAS原本打算繼續限制DPT業者向一般消費者推廣借貸或質押數位資產的服務，認為這類的活動僅適合機構或特定投資人，不過外界對此一提案的意見分歧，認為業者只要明白地揭露風險，消費者即可自行決定，MAS將會斟酌各界的看法採取平衡措施。</p> <p>MAS強調，DPT交易存在極高的風險與投機性質，光是透過監管也無法避免使用者受到損失，提醒消費者必須保持謹慎的交易態度，且若與不受監管的實體交易，將承受失去所有資產的風險。</p> <p>除了新加坡之外，<a href="https://www.fsc.go.kr/no010101/80309" target="_blank">南韓國會也在6月30日通過了《虛擬資產法案》（Virtual Asset Act）</a>，亦是為了建立虛擬資產市場的交易秩序，同時保護虛擬資產用戶。<a href="https://www.info.gov.hk/gia/general/202306/30/P2023063000578.htm?fontSize=1" target="_blank">香港則亦於6月30日設立Web3發展專責小組</a>，負責針對包括虛擬資產在內的Web3領域進行研究並提出政策建議。</p> </div></div></div>
2023/7/6 14:34作者陳曉莉https://www.ithome.com.tw/news/157656
MariaDB股價持續低於1美元，收到NYSE警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2022年12月19日藉由與特殊目的收購公司（SPAC）Angel Pond Holdings Company（APHC）合併而<a href="https://www.ithome.com.tw/news/154803" target="_blank">登上紐約股市</a>（NYSE）的MariaDB，<a href="https://investors.mariadb.com/news/news-details/2023/MariaDB-Receives-NYSE-Continued-Listing-Standards-Notice/default.aspx" target="_blank">在上周宣布</a>，該公司在6月28日收到NYSE的通知，警告MariaDB連續30天交易日的平均收盤價低於1美元，已不符合<a href="https://nyseguide.srorules.com/listed-company-manual/09013e2c8556747d?searchId=1150133367" target="_blank">NYSE上市公司守則</a>的802.01C條款。</p> <p>MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容，它在去年12月19日登上NYSE時，開盤價為11.55美元，但最終以6.7美元作收，此後的股價就未能再超越6.5美元。</p> <p>在截至今年3月底的<a href="https://investors.mariadb.com/news/news-details/2023/MariaDB-Announces-Second-Quarter-Fiscal-2023-Financial-Results/default.aspx" target="_blank">2023財年第二季財報</a>中，MariaDB創下1,350萬美元的營收，成長26%，但虧損了1,190萬美元，每股虧損0.18美元，表現略勝去年同期的1,450萬美元虧損。</p> <p>即使MariaDB執行長Michael Howard強調該公司的營收持續成長，且雲端服務的營收更增加了101%，但似乎沒能留住投資人的信心。</p> <p>低於NYSE上市公司價格標準的企業在收到通知之後，除了必須發布新聞稿對外說明之外，也必須在未來6個月將股價及平均股價拉抬到1美元以上，如果在此一整頓期內的最後一個交易日的股價依然不到1美元，且最後30個交易日的平均收盤價亦未達到1美元，那麼NYSE便會啟動停牌與退市程序。</p> <p>MariaDB則說，此一來自NYSE的通知並不會造成MariaDB立即下市，該公司將會努力於半年內達到NYSE所要求的價格標準。</p> </div></div></div>
2023/7/6 12:31作者陳曉莉https://www.ithome.com.tw/news/157655
Firefox 115將是最後一個支援Windows 7的版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/115.0/releasenotes/" target="_blank">Mozilla於本周二（7/4）釋出了Firefox 115</a>，它是個長期支援版本（Extended Support Release，ESR），也是最後一個支援Windows 7/8/8.1，以及macOS 10.12/10.13/10.14的版本。</p> <p>Firefox的版本更新周期與Chrome/Microsoft Edge一致，都是每4周就發表一個新版本，而每隔幾個尋常的Firefox版本就會有一個適用於大量部署的長期支援版本，其維護時間通常會超過一年，上一個ESR版本為去年6月發表的Firefox 102。</p> <p>Mozilla指出，由於<a href="https://www.ithome.com.tw/news/154718" target="_blank">微軟已於今年1月</a>終止對Windows 7/8/8.1的技術支援，代表這些作業系統不會再收到安全更新，不僅是Firefox，Chrome與Microsoft Edge<a href="https://www.ithome.com.tw/news/153801" target="_blank">也都不再支援相關作業系統</a>。另一方面，蘋果雖然並未制定不再修補舊版macOS安全漏洞的官方時程，但其政策一向是支援最新的3個作業系統版本，2020年釋出的10.14，其最後一次安全更新時間是在2021年的7月。這使得Mozilla也假定蘋果不會再針對10.14及更早之前的macOS釋出安全更新。</p> <p>在缺乏作業系統業者的官方支援下，要維護相關平臺上的Firefox成本高昂，而且對使用者來說也是危險的。</p> <p>至於身為長期支援版本的Firefox 115在2024年9月以前，都還能收到Mozilla所提供的安全更新。Mozilla提醒，大多數的瀏覽器都已不再支援這些過時的作業系統，使用者最好升級作業系統以保障自己的瀏覽與系統安全。</p> <p>根據<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">Statcounter</a>今年6月的調查，在全球的Windows作業系統分布中，最新的Windows 11占了23.91%，Windows 10占了71.11%，但依舊有3.43%執行已缺乏官方支援的Windows 7，Windows 8與8.1的占比則皆未超過1%。</p> </div></div></div>
2023/7/6 11:29作者陳曉莉https://www.ithome.com.tw/news/157652
拜登政府傳將限制中國使用雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/u-s-looks-to-restrict-chinas-access-to-cloud-computing-to-protect-advanced-technology-f771613" target="_blank">華爾街日報</a>》報導，美國繼晶片、軟體、量子電腦等技術後，考慮將再針對中國祭出雲端運算服務的技術出口限制，作為反制中國限制稀土金屬出口的回應。</p> <p>報導引述消息人士指出，白宮計畫要求提供美國AI服務的雲端業者，需獲得美國政府授權始得提供服務給中國用戶。Amazon Web Services（AWS）、微軟及Google等公有雲業者將首當其衝。</p> <p>消息人士說，這項新法規旨在堵起美國先進技術輸出的漏洞。過去限制晶片輸出，中國企業無法買到包含美國晶片的伺服器，但是仍然可透過雲端服務存取晶片運算產生的資源。美國政府相信藉由最新禁令，可完全阻斷中國企業存取美國技術的管道。</p> <p>報導指出，一如之前禁令，最新命令也將會由美國商務部執行，可望會在幾個星期內宣布。</p> <p>一般相信美國政府最新禁令是為了反制中國本周宣布的稀土金屬出口管制措施。中國本周宣布將從8月1日正式實施，限制晶片及太陽能電池製程的關鍵原物料鎵、鍺相關物項出口。</p> <p>美國商務部未對此評論。</p> <p>這也是美國為首的集團對中國貿易戰最新進展。幾年來，美國已經陸續對<a href="https://www.ithome.com.tw/news/153537" target="_blank">晶片</a>、<a href="https://www.ithome.com.tw/news/148045" target="_blank">量子電腦技術</a>、作業系統軟體實施出口中國或中國特定組織（如華為）的限制，迫使中國亟力思考技術自主及另闢新採購來源。</p> <p>過去3年中國晶片廠已減少美製元件，改向非美國的供應商如日本、荷蘭與德國採購，日本是全球晶片供應鏈的要角。但<a href="https://asia.nikkei.com/Business/Tech/Semiconductors/Japan-chip-export-curb-to-China-will-take-effect-in-July" target="_blank">日本6月宣布</a>，自7月起，23項生產先進晶片必要的科技設備與材料，將限制只能出國到42個友善國家。此外，<a href="https://edition.cnn.com/2023/03/08/tech/dutch-china-chips-ban-hnk-intl/index.html" target="_blank">荷蘭也在3月</a>及<a href="https://apnews.com/article/netherlands-china-semiconductors-chips-exports-asml-6e8cb7f8095632d4cd9d1cb364652494" target="_blank">上周宣布</a>禁止晶片生產設備進口到中國，預計9月實施。一般認為這些禁令可能影響中國晶片自主計畫。</p> </div></div></div>
2023/7/6 11:49作者林妍溱https://www.ithome.com.tw/news/157653
OpenAI招兵買馬，成立發展超智慧AI管理方案的團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI對人類社會可能的危害，<a href="https://openai.com/blog/introducing-superalignment" target="_blank">OpenAI宣布</a>已成立專門團隊開發能駕馭和控管超智慧（superintelligent）AI的方案，並正式公開徵才。</p> <p>這個團隊是由OpenAI共同創辦人Ilya Sutskever及AI治理團隊主管Jan Leike掌理。他們的目標是在4年內發展能駕馭和控管AI的突破性科學及科技。</p> <p>這是OpenAI執行長Sam Altman、Sutskever聯同其他AI公司高階主管5月<a href="https://www.ithome.com.tw/news/157134" target="_blank">聯合簽署聲明</a>後，OpenAI的實際行動之一。該聲明認同全球首要之務，是應設法減緩AI危害人類文明及社會的風險。</p> <p>Sutskever和Leike指出，超智慧（Superintelligence）可能非常危險，可能會侵害人類或造成人類滅絕，目前雖然還很遙遠，但他們相信10年就會來到。管理風險需要新的治理機構及能駕馭或控制超智慧AI，防止它做壞事的方法，但目前並沒有這種技術。現有能控制AI的技術如增強式學習（reinforcement learning）可由人來監控AI，但是人類卻無法穩定監控比人類聰明的AI，因此這些控制方法無法沿用到超智慧，需要有新的突破性科學和技術。</p> <p>這個小組的目標是建立智慧約略等同人類的自動化導正（alignment）研究系統。之後可以用大量運算資源擴充，它就會反覆執行來導正超智慧AI。而為了建立第一步的自動化導正研究系統，他們需要開發可擴充的訓練方法、驗證模型，及進行整個導正流程（pipeline）的壓力測試。</p> <p>這個流程一開始為了提供給模型人類難以評估的任務作為訓練訊號，研究小組計畫以AI系統協助評估其他AI系統（可擴充的監管）。此外，研究人員也想了解和控制模型如何將管理原則擴大到人類無法監管的系統（概括化）。其次，為了驗證系統，研究小組也將自動搜尋有問題的行為及有問題的內部元件。最後，再藉由刻意訓練一些未導正的模型來測試其導正流程，證明他們的方法是否能偵測出最嚴重的未導正情境（對抗測試adversarial testing）。研究小組希望藉著摸著石頭過河，漸漸找出研究優先要務，也可能再增加全新的研究主題。</p> <p>為此，他們正在召募最頂尖的機器學習研究人員及工程師。目前開出的職缺有研究工程師、研究科學家及研究經理等。OpenAI也將撥用20%的運算資源，投入4年來建立超智慧AI的導正和控制方法，也號召業界其他團隊一起投入。</p> </div></div></div>
2023/7/6 11:57作者林妍溱https://www.ithome.com.tw/news/157654
【資安日報】7月5日，竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客打造新的竊資軟體，引起了研究人員關注，原因是這款名為Meduza的惡意程式，駭客不只號稱可挖掘受害電腦各式資料，還強調其行蹤極為隱密，並標榜能迴避大多數防毒軟體的偵測。</p> <p>釣魚郵件攻擊出現了新的手法也相當值得留意，有資安業者揭露以圖片呈現內容的攻擊手法，由於當中沒有文字、URL、附件可供識別，許多郵件安全閘道不會攔截這類釣魚郵件。</p> <p>日前有工程師揭露NPM套件的弱點Manifest Confusion，現在有人提供比對工具，讓開發人員可以確認套件說明及安裝流程是否有所出入。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.uptycs.com/blog/what-is-meduza-stealer-and-how-does-it-work"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Meduza針對近20款密碼管理工具而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MeduzaStealer-Fig5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MeduzaStealer-Fig5.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs發現駭客在地下論壇、Telegram頻道兜售名為Meduza的竊資軟體，專門攻擊Windows電腦用戶，並標榜大部分防毒軟體都無法察覺其攻擊意圖而放行，此竊資軟體具備搜括受害電腦多種資料的能力，包括上網行蹤、帳密資料、書籤在內的瀏覽器資料（95個），以及加密貨幣錢包（76個）、密碼管理器、雙因素驗證程式也是他們下手的對象。能挖掘密碼管理器資料的竊資軟體Meduza並非首例，但不同的是，此竊資軟體能針對的密碼管理器及雙因素驗證程式，多達19款。</p> <p>駭客刻意未對Meduza的程式碼採用混淆手法，若資安研究人員單靠此種手法的使用來識別其行動，就可能無法順利偵測其為惡意程式，而且該竊資軟體在盜取資料之前會檢查與駭客伺服器建立連接，若是無法連線，該竊資軟體就會立即停止運作，這也使得研究人員追蹤變得更複雜。</p> <p><a href="https://www.inky.com/en/blog/fresh-phish-malicious-qr-codes-are-quickly-retrieving-employee-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客在釣魚郵件裡運用含有QR Code的圖片，目的是繞過郵件安全系統的偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FreshPhish1-Jun-29-2023-01-30-14-6895-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FreshPhish1-Jun-29-2023-01-30-14-6895-AM.png" style="width: 300px; float: right;" /></a>資安業者Inky揭露新一波的釣魚郵件攻擊，這些郵件的共通點，就是駭客假冒微軟的名義，使用了含有QR Code的圖片，要求收信人利用手機的相機掃描，在指定期限內處理帳號的問題，例如進行帳號驗證、更換密碼、設定雙因素驗證等，且發送信件的來源看起來像是收信人所屬的組織。</p> <p>該公司這次總共發現了545封釣魚郵件，它們針對的目標位於美國及澳洲，產業類型涵蓋非營利組織、財富管理公司、管理顧問、土地測量業者、地板鋪設業者等。</p> <p>研究人員指出，駭客在釣魚信中只用QRCode，且不在信件內文使用文字，而且也沒有附件、URL，由於大部分的郵件安全閘道並不具備辨識這類圖片內容的功能，而無法識別這些圖像具有導引使用者連至其他網站的攻擊特徵。</p> <p><a href="https://www.ithome.com.tw/news/157629"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對測試環境遭到攻擊，擎昊科技再度發出公告，檢討可能原因與承諾後續改善</span></strong></a></p> <p>勒索軟體LockBit在6月30日聲稱入侵台積電，當日台積電表示知悉此事，並指出實際上這起事故是IT硬體供應商遭駭，而被指為受害者的擎昊科技坦承，他們的工程測試環境遭遇網路攻擊，事隔4天<a href="https://www.kx.com.tw/KX_News_Letter_20230704-1">擎昊科技再次針對這起事件進一步說明</a>，主要是針對這次資安事件發生的原因及檢討改進重點，他們列出了三點：測試區環境防火牆版本未即時更新、密碼強度不足、客戶名稱未作適當遮蔽。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">保險業者怡安傳出遭到MOVEit Transfer零時差漏洞攻擊，導致都柏林機場員工個資外洩</span></strong></p> <p>根據The Register、SiliconrePublic等新聞網站的報導，愛爾蘭都柏林機場管理局（DAA）表示，由於第三方服務供應商怡安（Aon）遭到網路攻擊，導致約有2千名都柏林機場員工薪資相關資料遭到洩露，而這起事故疑似就是怡安的MOVEit Transfer伺服器遭到零時差漏洞攻擊導致。</p> <p>DAA強調自己的系統沒有遭駭，並已經通報愛爾蘭資料保護委員會，且為受影響的員工提供相關協助，但並未說明旗下的科克機場是否也遭到波及。對此，怡安並未針對此事發表公開說明。</p> <p>資料來源</p> <p>1. <a href="https://www.theregister.com/2023/07/03/dublin_airport_data/">https://www.theregister.com/2023/07/03/dublin_airport_data/</a><br /> 2. <a href="https://www.siliconrepublic.com/enterprise/dublin-airport-employees-daa-cyberattack-moveit-hack-aon-clop">https://www.siliconrepublic.com/enterprise/dublin-airport-employees-daa-cyberattack-moveit-hack-aon-clop</a></p> <p><a href="https://cardinalops.com/blog/3rd-annual-state-of-siem-detection-risk-report-mitre-attck/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SIEM的警示規測僅能涵蓋約四分之一MITRE ATT&CK的攻擊手法</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/siem-image2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siem-image2-1.png" style="width: 300px; float: right;" /></a>資安業者CardinalOps針對Splunk、Microsoft Sentinel、IBM QRadar、Sumo Logic等市面上的資安事件管理系統（SIEM）進行調查，分析逾4千個偵測的規則、近100萬個事件記錄來源、數百種事件記錄來源。</p> <p>結果發現，雖然目前SIEM收集的事件記錄資料足以分析約94%的MITRE ATT&CK攻擊手法（全部約196種），但實際上企業建置的SIEM系統僅能針對約24%攻擊手法發出警告，且其中有12%的SIEM規則可能因收集的資料品質不佳，而永遠不會被觸發。</p> <p>此外，研究人員指出，企業對於端點電腦、網路、身分驗證管理系統、電子郵件已有高度監控，但對於容器環境的部分卻遠遠不足，僅有32%。</p> <p><a href="https://www.cna.com.tw/postwrite/chi/345432"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超過5成臺灣企業認為不安全的物聯網裝置是最嚴峻的資安挑戰</span></strong></a></p> <p>資安業者Palo Alto Networks針對臺灣資安現況進行調查，指出企業面臨最嚴峻的挑戰依序為不安全的物聯網裝置（52%）、多元化資安解決方案的需求（45%）、依賴雲端服務和應用程式帶來的新風險（43%）。</p> <p>這份調查報告也提及臺灣企業的四大資安策略，這些策略首當其衝的是身分識別與存取管理（45%），其次是採用雲端資安管理（43%）、端點安全防護（37%），以及改善威脅偵測與關聯系統或平台（33%）。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-python-tool-checks-npm-packages-for-manifest-confusion-issues/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對NPM套件的Manifest Confusion弱點，研究人員推出Python打造的檢測工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/npm-manifest-check-test.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/npm-manifest-check-test.png" style="width: 300px; float: right;" /></a>6月底前GitHub工程師Darcy Clarke提出警告，<a href="https://www.ithome.com.tw/news/157555#manifest-confusion">NPM套件庫存在可被用於供應鏈攻擊的弱點Manifest Confusion</a>，發布軟體的駭客作者可故意顯示沒有相依的其他套件資訊，但開發者實際安裝套件的過程裡，這些套件卻依照package.json的指令，下載惡意相依套件，或是執行惡意指令碼來發動攻擊。對此，<a href="http://github.com/panki27/npm-manifest-check">資安人員Felix Pankratz於7月2日發布了檢測工具</a>，此工具以Python打造而成，能夠比對NPM套件安裝指令碼與說明資訊是否一致，進而察覺套件裡是否存在相關弱點。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.morphisec.com/guloader-campaign-targets-law-firms-in-the-us"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法律事務所遭到惡意軟體GuLoader鎖定</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/blog/neo_net-the-kingpin-of-spanish-ecrime/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">墨西哥駭客鎖定全球銀行用戶散布安卓惡意程式</span></span></strong></a></p> <p><a href="https://www.darkreading.com/dr-global/israel-aided-uae-in-defending-against-ddos-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列協助阿拉伯聯合大公國緩解DDoS攻擊</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/2023-nautilus-cybersecurity-report-insights-revealed"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">無檔案攻擊手法一年內增加14倍</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> </div></div></div>
2023/7/5 16:37作者周峻佑https://www.ithome.com.tw/news/157632
台積電供應商擎昊科技更新資安事件說明，提出事後三大檢討
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前勒索軟體LockBit駭客在6月30日聲稱入侵台積電，當日台積電指出已知悉IT硬體供應商遭駭，而被指為受害者的擎昊科技坦承遭駭，相隔4天，擎昊科技再次針對這次資安事件，說明了更多狀況。</p> <p>在30日首次資安事件公告中，擎昊科技已經說明了初步的調查，包括該公司是在29日遭到網路攻擊，受影響的範圍是該公司為客戶準備系統安裝環境的工程測試區，同時也表示被截取的資訊中，因使用到特定客戶的公司名稱，因而引起網攻團體的注意，並試圖經此途徑取得客戶之機敏資料。</p> <p>同時，也說明了這次事件的影響，指出被擷取的資訊並無關客戶的實際應用，僅為出貨時安裝設定檔等參數資訊等基本設定，目前沒有造成客戶的損害，客戶也並未因此遭駭。</p> <p>從上述兩家公司回應來看，也就是說，勒索集團LockBit入侵擎昊科技內網後，發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。</p> <h2><strong>擎昊科技4日發布更新公告，提出事後三大檢討</strong></h2> <p>4日，擎昊科技針對該公司遭遇的資安事件，<a href="https://www.kx.com.tw/KX_News_Letter_20230704-1">發布更新公告</a>，當中給出了更多在事後復原與檢討方面的資訊。</p> <p>根據擎昊科技公告的內容，這次新揭露的部分，主要是針對這次資安事件發生的原因及檢討改進重點，他們列出了三點：第一，測試區環境防火牆版本未即時更新，第二，測試區密碼強度不足，第三，區內之客戶名稱未作適當的遮蔽。</p> <p>其中，關於第一點的測試區環境防火牆版本未更新，是這次新提到的部分。從這樣的內容來看，或許有可能是造成這次事件、攻擊者入侵初期（Initial Access）的發動管道。而這也顯現及時更新修補的重要性，畢竟近來各家防火牆業者都持續釋出安全性更新，而用戶能否及早因應也很重要。</p> <p>而第二點是關於密碼強度不足的部分，先前我們從匿名資安專家提供的駭客外洩截圖中，已經看到這方面的問題。像是在一張ilo記事本截圖的登入資訊中，似乎有弱密碼的情況，登入帳號是admin、密碼是password；還有一張截圖是列出一批可用HTTPS連入的網址，部分網址後面還列出「root P@ssw0rd」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3(59).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 600px;" /></a></p> <p><strong>在先前對於這次事件的報導中，匿名資安專家指出Lockbit公布的一張ilo記事本截圖的登入資訊，包含像是登入帳號是admin、密碼是password的情形。這也呼應擎昊科技更新公告中指出測試區密碼強度不足的問題。</strong></p> <p>至於第三點，區內的客戶名稱未作適當的遮蔽，從駭客外洩截圖確實可以看到，測試區的虛擬機器名稱，包含了國內企業TSMC、俊昇、智禾、鍵祥、英寶、巨路、精誠、安極思等廠商名稱的字樣。這也代表擎昊科技會針對這方面做改善，不過這裡未說明具體採行方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/推特3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /></a></p> <p><strong>另一張Lockbit駭客外洩截圖則看到虛擬機器名稱，國內企業TSMC、俊昇、智禾、鍵祥、英寶、巨路、精誠、安極思等廠商名稱的字樣。而這也呼應擎昊科技更新公告中提及客戶名稱未作適當的遮蔽的情形。</strong></p> <p>同時，在這次新的公告中，擎昊科技也表示，除了上述三點的檢討與補正，同時也將強化資安防護，規畫調整資安規範與網路架構，並確保內部環境資訊安全與即時監控。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-04_193054(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-04_193054(1).jpg" style="width: 600px;" /></a></p> <p><strong>擎昊科技於7月4日發出資安事件更新公告，在新的揭露資訊中，主要增加的是第六點的原因檢討與改善，當中說明他們這次事件的肇因有三，包括：測試區環境防火牆版本未即時更新，測試區密碼強度不足，以及區內之客戶名稱未作適當的遮蔽。</strong></p> <p>另外，從先前台積電與擎昊科技6月30日的回應來看，已呈現出LockBit本次公布受害者身分卻與事實不符，到了7月4日，除了擎昊科技發布本次資安事件的更新公告，勒索軟體Lockbit駭客也在4日調降勒索價格並緊急宣布公開所有資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-30_150026.jpg" style="width: 600px;" /></p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-04_123051.png" style="width: 600px;" /></h3> <p><strong>原先Lockbit在6月30日要求受駭企業支付7千萬美元等值比特幣或門羅幣等虛擬貨幣，8月6日前若沒有支付贖金，會公開相關資訊。在7月4日我們發現Lockbit已經更新了勒索的價格，大幅降低變成10萬美元並且是緊急公開資料。似乎可能是他們隔了四天才意識到，這批資料並非台積電的資料。</strong></p> </div></div></div>
2023/7/5 12:18作者羅正漢https://www.ithome.com.tw/news/157629
Meta推Threads服務和推特打對臺，7月6日上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta醞釀挑戰推特。Meta旗下Instagram（IG）將推出一款名為Threads的社交App以挑戰推特（Twitter），預定本周四（7/6）上線。</p> <p>眾多媒體（<a href="https://www.theverge.com/2023/7/3/23783227/meta-instagram-threads-twitter-competitor-app-store" target="_blank">The Verge</a>、<a href="https://techcrunch.com/2023/07/03/threads-instagrams-twitter-competitor-is-expected-july-6/" target="_blank">TechCrunch</a>、<a href="https://www.theguardian.com/technology/2023/jul/04/threads-app-instagram-twitter-competitor-meta-to-launch-rival" target="_blank">The Guardian</a>）發現，Threads的iOS及Android版App本周稍早在蘋果<a href="https://apps.apple.com/us/app/threads-an-instagram-app/id6446901002" target="_blank">App Store</a>及<a href="https://play.google.com/store/apps/details?id=com.instagram.barcelona&gl=it&pli=1" target="_blank">Google Play Store</a>上線。根據IG官方的描述，Threads為基於文字的對話App，提供社群討論各種主題或明日趨勢，用戶可以關注或聯繫他所喜愛的創作者，也可以建立自己的忠實追隨者、分享自己的想法、觀點和創意。</p> <p>雖然Threads App還沒上線，但Meta已經在IG App上開始推銷。在IG App搜尋欄位中打入threads，結果會出現一個類似票券的圖示。點入該圖示會跳出一個不停旋轉的數位票券，上面預設顯示使用者的用戶IG名稱及7月6日的上線時間（為美東時間的早上10:00，臺北時間為當日下午6:00），用戶還可以看到倒數時刻表。此外，數位票券還附有QR碼可連到threads.net的網頁。</p> <p>Meta顯然是在趁推特（Twitter）近來種種措施招致用戶不滿之際，藉機吸引用戶轉移陣地。上周推特執行長馬斯克宣布將對未付費的用戶祭出每日存取貼文數上限，在用戶反彈下，經過驗證的帳號每天可存取8,000則推文，未經驗證的用戶和新申請、未經驗證的帳號每日存取貼文上限各為800及400則。雖然馬斯克澄清是因為有數百組織對推特貼文進行網頁抓取，不過仍引發外界解讀為想迫使用戶付費。</p> <p>其他想取代推特的新社交App還包括Bluesky、Mastodon。其中以推特創辦人Jack Dorsey參與開發的Bluesky最受人期待。4月以邀請制開放限定測試，用戶必須加入官網上的等候清單才能拿到邀請碼開始試用。到6月底，Bluesky用戶超過18萬人，但在等候清單上排隊的人高達190萬。或許是因為馬斯克宣布最新存取上限，Bluesky官網上周五一度<a href="https://www.ithome.com.tw/news/157614" target="_blank">出現效能問題</a>而暫停接受新用戶註冊。</p> <p>Mastodon創辦人暨執行長<a href="https://mastodon.social/@Gargron/110651189724634163" target="_blank">Eugen Rochko</a>則說，他的App經常用戶數到上周末來到29.4萬人。</p> </div></div></div>
2023/7/5 12:50作者林妍溱https://www.ithome.com.tw/news/157630
Google變更隱私條款，以合法蒐集用戶公開資訊訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI聊天機器人若想愈來愈貼近用戶喜好，需要大量蒐集資料來訓練底層的AI模型。Google上周六悄悄變更了隱私政策，以便它能蒐集用戶貼文等公開資訊訓練AI模型而不致被告。</p> <p><a href="https://gizmodo.com/google-says-itll-scrape-everything-you-post-online-for-1850601486" target="_blank">根據媒體發現</a>，Google隱私權政策變更的部分在該公司可公開存取的來源。過去，Google告知，他們可能會蒐集網路上或其他公開來源的資訊，「用以訓練Google語言，並開發像是Google翻譯等功能」。在最新變更下，這段文字已改成「用以訓練Google的AI模型，及開發像是Google翻譯、Bard和Cloud AI等功能」。</p> <p>這段文字意味著Google用戶上傳公開網站的資訊，都會被用來訓練其AI產品。</p> <p>要使用Google Bard必須登入Google帳號。而Bing Chat是允許不登入微軟帳號使用，但每次對話僅限5次查詢。ChatGPT也需要有OpenAI帳號使用，但透過Bing Chat使用ChatGPT則無需OpenAI帳號。</p> <p>這項變更是否能讓Google避免官司有待觀察。上周微軟和OpenAI才因從公開網路上蒐集私人資訊，遭到加州用戶的集體控告。原告指稱OpenAI、微軟等的AI聊天機器人ChatGPT在未獲得用戶同意下，從網際網路暗中蒐集大量個資。歐盟根據GDPR實行嚴格限制，讓美國科技業者吃盡苦頭，包括多次巨額罰款。<a href="https://www.ithome.com.tw/news/157619" target="_blank">歐盟近日也要求</a>當地電商平臺停用Google Analytics，理由是Google Analytics會蒐集歐盟用戶個資並回傳美國。</p> </div></div></div>
2023/7/5 13:06作者林妍溱https://www.ithome.com.tw/news/157631
ChatGPT的Browse with Bing被用來繞過付費牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/8077698-how-do-i-use-chatgpt-browse-with-bing-to-search-the-web" target="_blank">OpenAI於本周一（7/3）宣布</a>，ChatGPT Plus中的一項測試功能Browse with Bing因被使用者用來繞過網站的付費牆，決定暫時關閉該功能以進行修補，讓此一<a href="https://www.ithome.com.tw/news/157524" target="_blank">上線</a>不到一周的服務停擺。</p> <p>OpenAI是在<a href="https://www.ithome.com.tw/news/155347" target="_blank">今年2月發表付費的ChatGPT Plus</a>服務，每月的訂閱費用為20美元，可優先存取ChatGPT，於尖峰時段穩定使用ChatGPT Plus服務，也可率先使用各種新功能，而Browse with Bing即是上周推出的新功能之一，結合Bing與ChatGPT來協助使用者搜尋全球網路，以讓使用者可取得訓練模型之外的最新資訊。</p> <p>不過，OpenAI指出，Browse with Bing有時會以它們不想要的方式來呈現內容，例如當使用者要求某個URL的全文時，它可能會在無意中滿足該請求。</p> <p>事實上，專門分析各式AI專案的《<a href="https://twitter.com/AiBreakfast/status/1673350504162955266" target="_blank">AiBreakfast</a>》在6月26日就發現了Browse with Bing具備繞過付費牆的能力，可用來取得Fortune Magazine的付費內容，隨後負責微軟廣告及網路服務的<a href="https://twitter.com/MParakhin/status/1673722952045723648" target="_blank">Mikhail Parakhin即回應</a>，微軟在Bing Chat中採取了防範機制，只要出版商有設定付費牆信號，那麼就不會在提供給使用者的答案中曝露付費牆內容，當時Parakhin也說會請OpenAI重新確認此事。</p> <p>現在OpenAI即決定暫時關閉Browse with Bing功能以進行修補，亦說會儘快讓該功能重返崗位。</p> </div></div></div>
2023/7/5 11:39作者陳曉莉https://www.ithome.com.tw/news/157627
美國法官禁止聯邦政府官員聯繫社交平臺業者以移除特定言論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s3.documentcloud.org/documents/23867004/08917380420.pdf" target="_blank">美國路易斯安那州的法官Terry Doughty在本周二（7/4）下達了一項禁令</a>，初步禁止美國聯邦機構與政府官員聯繫社交平臺業者，並要求它們刪除或減少特定言論，因為它們很可能違反《美國憲法第一修正案》對言論自由的保護。多名律師向<a href="https://www.wsj.com/articles/judge-rules-biden-administration-likely-trampled-on-free-speech-on-social-media-29334362?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）表示，這是第一次有聯邦法官對美國政府與網路平臺之間的溝通設下如此廣泛的限制。</p> <p>此案源自於美國密蘇里州、路易安那州及多名專家學者所提出的指控，他們認為拜登政府培育了一個龐大的聯邦審查機構，企圖抑制美國言論，要求社交網站移除或減少異見，不管是美國總統大選，COVID-19疫情的來源、封城或口罩政策，美國經濟狀況或是有關拜登的負面消息。</p> <p>例如曾在疫情期間主張減少對低風險族群限制，利用群體免疫力來對抗疫情的生物統計學家Martin Kulldor也是原告之一，他認為要求每個人都必須接種疫苗的想法在科學上是有缺陷的，但相關貼文卻遭到Twitter審查，Kulldor與另一名醫學專家Jay Bhattacharya也曾質疑要求幼童戴口罩的必要性，但有關此一討論的影片直接被YouTube下架。</p> <p>原告們宣稱，拜登政府透過電子郵件、公共或私人訊息、公開或私人會議，以及其它各種手段來鼓勵或強迫社交媒體平臺，要求它們壓制其平臺上的內容。</p> <p>另一方面，拜登政府則說，它們只是採取必要與負責任的行動來處理有關疫情，以及外國政府企圖干預美國選舉的消息，但否認介入社交網站的言論自由。</p> <p>此案的被告涉及眾多美國聯邦機構與政府官員，像是美國衛生及公共服務部（Health and Human Services，HHS）、美國疾病管制與預防中心（Centers for Disease Control and Prevention，CDC）、網路安全暨基礎設施安全局（CISA）、國土安全部（DHS）、聯邦調查局（FBI）、美國食品藥物管理局（U.S. Food and Drug Administration，FDA）等，以及美國總統拜登（Joe Biden）與多名政府官員。</p> <p>法官Doughty在長達155頁的裁決書中指出，他相信原告很可能成功證明美國政府利用其權勢來抑制反對聲浪，而這些每一個被壓制的言論都是保守的，而此一針對保守思想的針對性即是政治言論觀點歧視的完美例子，美國公民有權就影響國家的重要議題進行自由辯論，因而同意核發初步禁制令。</p> </div></div></div>
2023/7/5 11:56作者陳曉莉https://www.ithome.com.tw/news/157628
【資安月報】2023年6月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月的資安新聞中，以勒索軟體攻擊與供應鏈攻擊為主要焦點。</p> <p>在國內方面，首要焦點就是勒索軟體Lockbit駭客在6月30日聲稱，台積電成為他們的受害者，當日台積電否認遭駭，並表示已注意到一家合作IT硬體供應商發生資安事故，並已依照標準作業程序來處置。而關於這家IT硬體供應商的身分，媒體報導指向擎昊科技，後續，擎昊科技在同一日發布資安事件的公告，說明遭遇網路攻擊並被擷取相關資訊的環境為工程測試區，主要是出貨的基本設定等參數資訊流出，而因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，並指出這些資訊無關用戶的實際應用。這起事件的發生，有可能是攻擊者搞錯攻擊對象，但多少反映供應鏈安全的議題，也提醒我們勒索軟體組織近年時常針對供應鏈發動攻擊，從供應鏈脆弱的環節著手的態勢。</p> <p>關於Lockbit的危害，其實這兩年新聞已經是不斷，值得留意的是，今年6月中旬，多國網路安全機構對其發出聯合安全公告，指出近三年來，Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），而當中也剖析了LockBit的攻擊步驟，並提供攻擊流程各階段的防護緩解措施。</p> <p>此外，在我們盤點這一個月的臺灣重大資安消息時，新發現國內上櫃公司、主推GPS相關應用的<a href="https://s4.itho.me/sites/default/files/images/2023-06-29_182021.jpg">環天世通科技（環天科），在6月19日發布資安事件重大訊息</a>，說明公司發生部分資訊系統遭受駭客網路攻擊的狀況。</p> <p>在國際方面，5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊爆出後，這起軟體供應鏈攻擊的事件，所造成的災情在整個6月變得更加顯著，隨著後續消息不斷揭露，曝光的受害企業是越來越多。</p> <p>當中備受矚目的受害者包括：英國電信主管機關Ofcom、英國航空、BBC、愛爾蘭航空、藥妝連鎖Boots、薪資軟體服務商Zellis，石油巨擘Shell，以及美國能源部等多個聯邦與州政機關受害，而在後續勒索軟體組織Clop陸續公布的受害名單中，還包括資安業者Gen Digital、以及美國多個金融、醫療領域的公司與組織，最新還出現德國西門子能源公司、法國施耐德電機等。</p> <p>由於美國受害單位眾多，這也引發美國國務院外交安全局在其正義獎勵計畫中，祭出了千萬懸賞，鼓勵外界舉報幕後攻擊者的資訊。而根據微軟的調查指出，這波攻擊與發動Clop勒索軟體的駭客組織有關，攻擊背後應是Lace Tempest（又名DEV-0950、FIN11與TA505等）的駭客組織所為。此外，我們也找到研究公司<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">Kon Briefing的網站</a>，他們設立了專頁整理、統計受害者的資訊，當中顯示有20多國、逾170家公司或組織受影響，美國數量最多，其次為德國、英國。</p> <p>其他重要資安焦點新聞方面，包括：本月歐洲議會針對AI法《AI Art》草案的投票通過，即將成為全球第一個人工智慧法案，將針對某些可能嚴重影響人類安全的AI應用予以禁止，並設計AI風險等級，用以規範開發商與採用組織的義務；關於MITRE發布的CWE通用弱點列表，近日公布2023年版最常見且危險的軟體安全缺陷，占據前三名的是越界寫入的CWE-787，XSS的CWE-79，SQL Injection的CWE-89，特別的是，使用已釋放記憶體（Use After Free）的CWE-416比去年上升三名。還有像是Google發表了安全AI框架（Secure AI Framework，SAIF），美國CISA、NSA發布了伺服器基板管理控制器（BMC）的安全強化指南。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/157277"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月5日到6月9日</span></a></strong></h2> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157409"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月12日到6月17日</span></a></strong></h2> <p>在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。</p> <p>在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。</p> <p>國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。</p> <p>此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。</p> <p>在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157490"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月19日到6月21日</span></a></strong></h2> <p>在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞（CVE-2023-32434、CVE-2034-32435及CVE-2023-32439），而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。</p> <p>在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。</p> <p>其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。</p> <p>另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157587"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月26日到6月30日</span></a></strong></h2> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。<a href="https://www.ithome.com.tw/news/157600">以Lockbit而言，30日他們聲稱台積電為受害者</a>，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續也向該公司了解狀況，該公司表示已於<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">30日在網站發布遭遇資安事件的公告</a>，當中指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在周五密切關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有相當大量Akira勒索軟體受害者被公布的情況，值得關注。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），三星裝置的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/7/5 10:31作者羅正漢https://www.ithome.com.tw/news/157613
臺大、北榮等多家醫學中心加入保險理賠醫起通，壽險公會下一步目標年底上線2.0版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>壽險公會今日宣布多家醫學中心已簽約加入保險理賠醫起通，包括臺大、北榮、長庚、花蓮慈濟和三軍總醫院。目前，保險理賠醫起通簽約數量增加至19家醫院、25院區，涵蓋全臺灣半數醫學中心。此外，壽險公會正在籌備保險理賠醫起通2.0版本，目標年底正式上線。</p> <p>壽險公會自去年九月起和臺灣指標性醫院進行接洽，並在今年陸續完成簽約，包括臺大、北榮、三軍總、中榮、長庚、花蓮慈濟和振興等醫院。</p> <p>現行的保險理賠醫起通為1.5版本，保戶線上提出理賠申請，醫院透過系統調閱病歷、彙整為PDF檔，上傳至公會保險科技運用共享平臺，公會再發給保險公司。此外，保戶也可在線上簽署病歷資料使用同意書，並統一遞交給保險公司。</p> <p>除了現行版本，壽險公會也正籌備保險理賠醫起通2.0版，要將現行醫院上傳的PDF檔案，改為結構化資料，針對病歷資料、診斷證明、收據等設計各自的公版欄位，來讓醫院系統直接帶入，來協助保險公司減少人工對照PDF和騰打資料的時間。</p> <p>壽險公會資訊應用組主任陳乙棋說明保險理賠醫起通2.0進度。他表示，目前公會仍在和各醫院確認介接規格，待三方達成共識後便會進行開發和測試，測試醫院包含國泰、臺大、榮總、長庚等八家醫院，目標年底正式上線。</p> </div></div></div>
2023/7/4 19:33作者李昀璇https://www.ithome.com.tw/news/157625
【資安日報】7月4日，勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客入侵受害組織的管道，往往可能透過特定應用系統的漏洞，在受害組織建立初期的存取管道，但現在有駭客針對系統管理員、網路管理員而來，打算利用他們的電腦做為初期據點，並藉此搜刮各種管理員帳密資料，來做為後續攻擊之用。</p> <p>中國駭客針對歐洲外交單位的網路釣魚攻擊，也引起研究人員關注。這些駭客利用HTML挾帶（HTML Smuggling）手法，於受害電腦植入惡意軟體，根據駭客埋入HTML的檔案，研究人員看到兩大類型感染手法。</p> <p>有資安業者針對上個月Fortinet修補的防火牆SSL VPN漏洞CVE-2023-27997提出警告，因為他們看到仍有近7成防火牆系統尚未套用相關的更新程式，而有可能成為駭客下手的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat藉由提供WinSCP應用程式的名義，透過惡意廣告推送Cobalt Strike</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體BlackCat（亦稱Alphv）近期的攻擊行動，駭客在Google、Bing兩大搜尋引擎投放惡意廣告，引誘想要下載檔案傳輸工具WinSCP的系統管理員、網路管理員上鉤，目的是藉此初步入侵企業網路環境。</p> <p>一旦使用者透過廣告存取惡意網站winsccp[.]com，並依照指示下載安裝程式，就會從遭到入侵的WordPress網站下載ISO映像檔，然而使用者一旦開啟映像檔並執行其中的安裝程式，電腦在安裝WinSCP的過程裡，就有可能被植入木馬程式python310.dll，以及Cobalt Strike。</p> <p>駭客成功執行上述的滲透測試工具後，便透過AdFind、PowerView、PsExec、BitsAdmin、Curl等應用程式，進行後續的攻擊行動，值得一提的是，駭客也使用了名為SpyBoy terminator的惡意軟體，繞過防毒軟體與EDR系統的偵測。</p> <p><a href="https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客發起SmugX攻擊行動，鎖定歐洲國家外交單位而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客自2022年12月開始的攻擊行動SmugX，駭客鎖定英國、法國、瑞典、烏克蘭、捷克、匈牙利、斯洛伐克的大使館或是外交部，以歐洲國家及外交政策為主題發動網路釣魚攻擊，利用HTML挾帶（HTML Smuggling）手法，將惡意酬載埋藏於HTML檔案的程式碼，最終於受害電腦部署惡意程式PlugX。</p> <p>研究人員看到的感染流程可歸類為兩種，一種是HTML檔案會導致受害者下載含有LNK檔案的ZIP壓縮檔，而另一種HTML檔案則是會執行JavaScript指令碼，從遠端伺服器下載MSI安裝程式。</p> <p>而對於駭客的身分，研究人員認為，SmugX攻擊行動與RedDelta、Mustang Panda兩個中國駭客組織有所交集，研判攻擊者是中國駭客，但無法確定是那個組織。</p> <p><a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾33萬臺Fortinet防火牆尚未修補SSL VPN重大漏洞CVE-2023-27997</span></strong></a></p> <p>資安業者Fortinet於6月8日修補防火牆作業系統零時差漏洞CVE-2023-27997（CVSS風險評分9.2），並指出已出現攻擊行動，但現在有研究人員發現，仍有大量的FortiGate防火牆尚未套用修補程式而曝險。</p> <p>資安業者Bishop Fox指出，他們找到約有489,337萬臺啟用SSL VPN相關介面的防火牆曝露於網際網路，當中僅有153,414臺安裝相關更新，換言之，仍有335,923尚未修補上述漏洞，也就是有69%的防火牆曝露相關風險。</p> <p>研究人員指出，他們發現部分防火牆長達8年未套用更新程式，亦有已屆生命週期終止（EOL）的防火牆仍在運作。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Anonymous Sudan聲稱竊得3千萬微軟帳號資料，遭到該公司否認</span></strong></a></p> <p>6月上旬駭客組織Anonymous Sudan癱瘓微軟Outlook.com、OneDrive.com、Azure入口網站等數項服務，近期又有了新的動作。根據資安新聞網站Bleeping Computer的報導，該組織於7月2日聲稱成功入侵微軟，並盜走了大型資料庫，內含3千萬個微軟帳號、電子郵件，以及密碼，他們以5萬美元的價格兜售上述資料，並提供100組帳密供買家比對。</p> <p>對此，微軟發言人向該新聞網站表示，他們目前並未發現客戶資料遭到異常存取的跡象。而對於駭客公布的部分資料，該新聞網站認為，有可能是從第三方服務供應商流出的舊資料。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.imy.se/en/news/companies-must-stop-using-google-analytics/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兩家瑞典企業因使用Google Analytics違反GDPR遭罰</span></strong></a></p> <p>7月3日瑞典隱私保護局（IMY）宣布，已要求境內4家企業Tele2、CDON、Coop、Dagens Industri，停止使用網站流量分析工具Google Analytics，並對於其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私保護法GDPR。</p> <p>IMY的稽核行動源自於非營利歐洲數位權利中心（NOYB）的投訴，原因是上述4家瑞典企業違反歐盟法院於2020年裁決（當時歐盟法院廢除了歐美之間的Privacy Shield資料傳輸保護協議），且對於資料保護採取的安全防護措施皆未符合歐盟GDPR要求，其中，Tele2與CDON因未採取與另兩家業者同樣的廣泛保護，IMY處以行政罰款。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺美金融資安論壇6月底召開，指出資訊安全威脅與氣候變遷、環境永續議題同等重要</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg" style="width: 300px; float: right;" /></a>臺灣金融研訓院與美國在臺協會（AIT）於6月29日，舉辦臺美金融資安論壇，總統蔡英文、AIT處長孫曉雅皆出席此會議。</p> <p>孫曉雅指出，資訊安全威脅的議題，與氣候變遷、環境永續同等重要，無論是美國還是臺灣，金融業經常面臨勒索軟體與駭客攻擊的威脅，在不法份子持續演進、變化的情況下，防守方的合作變得更為重要，美國政府已採取措施及祭出策略，透過資安領域的臺美合作機制，以及全球交流工作，美國持續致力於與理念相近夥伴打造更可信賴的供應鏈，此次論壇開啟了臺美金融資安聯防交流平臺的合作序幕。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l">https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l</a><br /> 2. <a href="https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l">https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l</a><br /> 3. <a href="https://www.cna.com.tw/news/afe/202306290062.aspx">https://www.cna.com.tw/news/afe/202306290062.aspx</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bankinfosecurity.com/trauma-terrorist-victim-data-breached-in-university-attack-a-22409"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國曼徹斯特大學遭網路攻擊，110萬傷患個資、學生個資外洩</span></span></strong></a></p> <p><a href="https://news.mit.edu/2023/mit-researchers-evaluate-cybersecurity-methods-0628"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">麻省理工學院發布網路安全評估框架</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/28/2003249466/-1/-1/0/CSI_DEFENDING_CI_CD_ENVIRONMENTS.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局、CISA發布保護CI/CD環境的指引</span></span></strong></a></p> <p><a href="https://cyberscoop.com/white-house-cybersecurity-budget-2025/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府公布2025年網路安全預算優先項目</span></span></strong></a></p> <p><a href="https://liquid.tech/wp-content/uploads/2023/06/LIQUID-C2-Report.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對非洲國家的大型網路攻擊顯著增加</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> </div></div></div>
2023/7/4 17:16作者周峻佑https://www.ithome.com.tw/news/157624
全球還有33萬臺FortiGate防火牆尚未修補遠端程式執行漏洞CVE-2023-27997
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign" target="_blank">資安業者Fortinet在今年的6月8日更新FortiOS作業系統</a>，以修補旗下防火牆設備FortiGate的多個安全漏洞，其中風險最高的<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">CVE-2023-27997</a>在修補當時已遭到駭客利用，而根據另一資安業者<a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable" target="_blank">Bishop Fox的調查</a>，在全球曝露於網路上的49萬臺FortiGate中，現今仍有多達33.6萬臺尚未修補該漏洞，占比69%。</p> <p>CVE-2023-27997屬於FortiOS SSL-VPN預認證的堆積緩衝區溢位漏洞，允許遠端程式攻擊，在揭露當時已出現少數的目標式攻擊行動，鎖定政府、製造業及重大基礎設施。FortiGate為Fortinet第一個也是最主要的產品，Fortinet建議啟用SSL-VPN的FortiGate用戶應立即部署最新作業系統，就算沒有啟用該功能的用戶雖然可減輕風險，但最好也升級。</p> <p>Bishop Fox的能力發展總監Caleb Gross指出，有別於坊間以SSL憑證進行搜尋，找到了全球25萬臺位於公開網路上的FortiGate，他們使用不同的搜尋字串，利用Shodan發現49萬臺曝露SSL-VPN介面的FortiGate，再檢查這些設備的韌體更新日期，卻發現部署最新更新的只有153,414臺，等於尚有69%並未修補安全漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-Bishop%20Fox-FortiGate-CVE-2023-27997.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Bishop Fox</span></span></p> <p>Bishop Fox的調查還發現，有些FortiGate設備甚至有8年沒更新了，亦有不少設備的生命周期已經結束，卻依然運作著。</p> <p>Bishop Fox為一攻擊型資安業者，透過主動的模擬攻擊來識別及減輕漏洞威脅，因此也已打造出CVE-2023-27997漏洞的攻擊程式，以用來驗證漏洞的存在與嚴重性，同時測試修補程式的有效性。此一攻擊程式在1秒內就執行完畢，成功建立與受駭系統的連結、下載了程式，並於受駭系統上開啟了命令列介面。</p> </div></div></div>
2023/7/4 15:25作者陳曉莉https://www.ithome.com.tw/news/157623
微軟否認遭Anonymous Sudan取得其3000萬客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周否認6月初的DDoS攻擊導致超過3,000萬筆客戶資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/157216" target="_blank">6月初微軟證實</a>，包括Outlook.com、OneDrive、Microsoft 365及Azure等雲端服務發生斷線情形。一個名為Anonymous Sudan的組織宣稱為了報復美國干預蘇丹內政，而對美國企業發動分散式阻斷服務（DDoS）攻擊。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-azure-outlook-outages-caused-by-ddos-attacks/" target="_blank">微軟事後也坦承</a>DDoS攻擊為服務中斷的原因。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/" target="_blank">《Bleeping Computer》</a>報導，Anonymous Sudan上周再透過Telegram宣稱他們成功駭入微軟，並存取了一個包含超過3,000萬筆微軟帳號、電子郵件和密碼的資料庫。駭客以5萬美元為代價兜售這個資料庫。駭客還公布了約100筆聲稱取自微軟系統的資料作為證明。</p> <p>這批資料真實性無法驗證真假、外洩時間或出處。</p> <p>不過微軟否認這些資料是由該公司取得。微軟表示，迄今他們沒有客戶資料被存取或外流的證據，分析這批資料顯示，駭客的說法不實，這批資料也不是真的。</p> <p>Anonymous Sudan宣稱和親俄駭客組織Killnet有關，<a href="https://flashpoint.io/blog/anonymous-sudan-ddos-timeline/" target="_blank">安全廠商Flashpoint 認為有待查證</a>，而且這組織雖宣稱其本質是蘇丹民族運動者，但也可能是俄國國家駭客冒充，專門以西方企業及組織為攻擊目標。</p> <p>微軟去年春天也遭到<a href="https://www.ithome.com.tw/news/150052" target="_blank">Lapsus$駭客</a>入侵。但這群人僅是青少年為首腦的散漫組織，目的多半是竊取程式碼要求贖金。和Lapsus$相比，遭國家駭客取得資料的後果更為嚴重，可能引發範圍更大且影響更深的重大損害。</p> </div></div></div>
2023/7/4 13:55作者林妍溱https://www.ithome.com.tw/news/157618
瑞典要求4家企業停止使用Google Analytics
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典隱私保護局（Swedish Authority for Privacy Protection，IMY）周一（7/3）宣布，已要求境內4家企業停止使用Google的網站流量分析工具Google Analytics，同時針對其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私法GDPR。</p> <p>Google Analytics是Google在2005年推出的工具，為Google行銷平臺（Google Marketing Platform）的其中一項功能，可用來追蹤網站上的各式活動，例如停留時間、網頁瀏覽數量、使用者跳出率（Bounce rate），以及流量來源等。</p> <p>IMY的稽核行動源自於非營利的歐洲數位權利中心NOYB（None of Your Business）的投訴，因為<a href="https://www.ithome.com.tw/news/138915" target="_blank">歐盟法院已於2020年廢除了歐盟與美國之間的《隱私盾》</a>（Privacy Shield）資料傳輸保護協議，NOYB指控CDON、Coop、Dagens Industri與Tele2等4家瑞典企業違反該裁決，將個人資料傳送至美國。</p> <p>IMY指出，根據歐盟隱私法GDPR的規定，個人資料得以傳輸到第三方國家的前提是，對方與歐盟擁有一致的個人資料保護法令，但歐盟法院的上述裁決已排除了美國。</p> <p>而IMY的稽核也發現，藉由Google Analytics傳送到美國的資料為個人資料，且這些瑞典業者所採取的技術安全措施皆不足以達到歐盟的標準，其中，Tele2與CDON更未採取與另兩家業者同樣的廣泛保護，因而處以行政罰款。</p> <p>目前Tele2已主動停用Google Analytics，IMY亦要求其它3家業者不再使用該工具。負責執行此一稽核行動的第三方顧問Sandra Arvidsson則說，此一決定可能會影響其它採用Google Analytics的瑞典業者。</p> <p>瑞典並不是第一個認為Google Analytics違反GDPR的國家，<a href="https://www.ithome.com.tw/news/148885" target="_blank">先前奧地利也曾出現類似的判例</a>。</p> </div></div></div>
2023/7/4 14:08作者陳曉莉https://www.ithome.com.tw/news/157619
微軟Edge瀏覽器內建VPN，免費流量升級到5GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/use-the-microsoft-edge-secure-network-to-protect-your-browsing-885472e2-7847-4d89-befb-c80d3dda6318" target="_blank">微軟上周宣布</a>Edge瀏覽器內建VPN服務提供的免費資料流量，由原本的1GB提升到5GB。</p> <p>微軟<a href="https://www.ithome.com.tw/news/150689" target="_blank">去年4月</a>透過和雲端業者Cloudflare合作，為Edge新增內建VPN，名為Edge Secure Network，以確保以Edge送出的資料經過加密通道傳輸，即用戶造訪的是使用HTTP協定，較不安全的網站，這可防止ISP或駭客得知用戶造訪了哪些網站、用戶IP或位址，也無法看到用戶送出的密碼或機密訊息。使用這項服務每月可享有一定免費流量，超過之後就需付費。去年推出時免費流量額度為1GB，近日則再擴充為5GB。</p> <p>要使用Edge Secure Network用戶必須以微軟帳號登入Edge，藉此追蹤用戶流量。微軟說，登入Edge也會啟動同步功能，使瀏覽的資料，包括瀏覽紀錄、我的最愛、設定、地址、密碼、擴充程式、開啟的分頁、收藏的網頁文章等等，同步到所有已登入的Edge。</p> <p>微軟強調只會儲存最少限度的資料和存取憑證，且只會保留一段必要期間，微軟保證不會將資料分享給Cloudflare。同時，微軟也說，為確保隱私，Cloudflare僅收集提供服務必要的診斷和支援資料，且在25小時後就會永久刪除這些資料。</p> </div></div></div>
2023/7/4 11:17作者林妍溱https://www.ithome.com.tw/news/157615
大批用戶湧進，推特創辦人開發的競爭服務Bluesky一度中止註冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推特接連推出收費服務、對不付費者實施種種限制後，近日推特競爭服務Bluesky湧進大量想加入的用戶，致使Bluesky上周暫停允許用戶加入等候清單。</p> <p>Bluesky官方7月1日在其平臺上公告暫停Bluesky的新用戶註冊，以便該公司解決效能問題。不過Bluesky在當地時間7月3日約下午5:30<a href="https://www.theverge.com/2023/7/1/23781417/bluesky-halted-sign-ups-joining-twitter" target="_blank">宣布重啟註冊</a>。</p> <p>Bluesky是類似推特的社群應用程式，但不同於推特的中央管理架構，Bluesky是基於ADX/AT協定發展的去中心化社群網路。Bluesky是由推特創辦人Jack Dorsey成立的公司，後於2021年分拆獨立，Dorsey此後雖未擔任公司執行長，但是一直參與產品開發。</p> <p>Bluesky 3月推出iOS限定Beta版，僅以<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請制</a>開放試用，4月才提供Android版。只有有邀請碼的人才能註冊，有興趣的用戶必須在<a href="https://bsky.app/profile/bsky.app/post/3jzlnn4tst22k" target="_blank">官網</a>上加入等候清單，以便獲得派發的邀請碼。</p> <p>根據<a href="https://blueskyweb.xyz/faq" target="_blank">Bluesky官網</a>，這款社群程式的使用者在4月底已超過5萬人。開發團隊以審慎態度緩慢擴大邀請制。<a href="https://www.namepepper.com/bluesky-statistics" target="_blank">一名部落格聲稱</a>，到6月底Bluesky用戶超過18萬人，但等候清單上排隊的高達190萬人。</p> <p>那麼多人想加入Bluesky，或許是因為推特在馬斯克（Elon Musk）接手後表現令用戶失望。馬斯克為了加速推特轉虧為盈，大舉裁員、積極新闢收費服務，並爆發封鎖批評他的記者帳號。種種行為引發用戶不滿，也致使競爭服務如<a href="https://www.ithome.com.tw/news/154955" target="_blank">Mastodon</a>和Bluesky用戶激增。</p> <p>上周馬斯克<a href="https://twitter.com/elonmusk/status/1675214274627530754" target="_blank">宣布</a>用戶每日瀏覽限制，經過驗證的帳號每天可存取6,000則推文，未經驗證的用戶只剩600則，而新申請且未經驗證的帳號僅300則（後來有再增加）。馬斯克解釋是因推特遭到數百個組織發動資料抓取（data scraping）之故，致使推特採取反制措施。但有<a href="https://www.ithome.com.tw/news/157602" target="_blank">使用者</a>研究推測，可能是出於推特技術問題，導致推特網頁向自己發出請求造成流量過大。換言之，是推特對自己發出分散式阻斷服務（DDoS）攻擊。</p> </div></div></div>
2023/7/4 11:06作者林妍溱https://www.ithome.com.tw/news/157614
推特限流風波疑始於客戶端自我DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周末推特平臺並不平靜，7月1日官方發布新政策，僅允許已登入用戶瀏覽推文，隨後在7月2日，用戶在隨意瀏覽推特時間軸後，應用程式便會出現超過流量限制的警示，無法正常瀏覽他人以及自己的推文。</p> <p>Elon Musk<a href="https://twitter.com/elonmusk/status/1675187969420828672">發文提到</a>，推特由於面臨大量資料抓取以及系統操縱，因此暫時限制用戶的存取，經驗證的帳戶每日可存取6,000則推文，未經驗證的帳戶則是600則推文，新申請未經驗證的帳戶則只能瀏覽300則推文。</p> <p>究竟推特平臺發生什麼問題，需要如此極端地限制用戶瀏覽推文，Elon Musk提到推特正在被DDoS攻擊，但隨後又<a href="https://twitter.com/ElonMuskAOC/status/1675268446089773056">發文表示</a>，流量限制是因為希望網路成癮的使用者，可以在假日時到戶外活動。</p> <p>眼尖的使用者發現，這場鬧劇的源頭可能正是推特本身，使用者Sheldon Chang在Mastodon<a href="https://sfba.social/@sysop408/110639474671754723">發文提到</a>，推特在DDoS攻擊自己。從Sheldon Chang所錄製的影片可以看到，即便推特的頁面沒有載入任何內容，但是網頁滾動條卻不停的抖動，Sheldon Chang進一步研究了網頁滾動條抖動的原因，發現推特網頁每秒向自己發出10次請求。</p> <p>推特不停地發出請求，但是又無法抓取到請求內容，因此不斷重新嘗試，最終導致自我DDoS攻擊，Sheldon Chang懷疑這與推特限制未登入就無法觀看推文的新政策有關，推特存在臭蟲的新版程式碼，使客戶端向伺服器發動DDoS攻擊。目前推特已經修正該問題，服務約在臺灣時間7月2日晚上20時恢復，用戶陸續可以正常使用推特。</p> </div></div></div>
2023/7/4 08:47作者李建興https://www.ithome.com.tw/news/157602
台積電供應商遭LockBit勒索7千萬美金，新版勒索即服務新增加價延長功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電供應商擎昊科技遭駭，據了解，是勒索集團LockBit入侵擎昊科技內網中，發現受駭發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。不過，這樣的說法也遭到台積電的否認，受駭者擎昊科技也承認遭駭事宜。</p> <p>此次LockBit對外公開的資訊中，要求受駭企業支付7千萬美金等值的比特幣或門羅幣等虛擬貨幣，在8月6日前沒有支付贖金的話，則會公開相關資訊。根據匿名資安專家追蹤該錢包網址，目前並沒有任何金額入帳。</p> <p>TeamT5（杜浦數位安全）創辦人兼執行長蔡松廷（TT）則表示，這次資安事件其實是LockBit最新版的RaaS（勒索即服務）：LockBit 3.0，最明顯的新增功能是加價延長的功能，如果受駭者支付5千美金，資料公布的日期就可以延長24小時。</p> <p>根據美國網路安全暨基礎設施安全局（CISA）等單位於日前揭露的報告指出，LockBit是2022年與2023年最活躍的勒索軟體即服務（RaaS），從2020年至今年第一季的受駭組織高達1,653個，光是針對美國企業發動的各種勒索即服務的攻擊，該駭客集團的不法所得便超過9,100萬美元。</p> <h2><strong>試圖從駭客外洩截圖看端倪</strong></h2> <p>擎昊科技在聲明稿中表示，遭受攻擊的環境為工程測試區，那是幫客戶準備的系統安裝環境，遭擷取的內容為安裝設定檔等參數資訊。該公司指稱，因為使用到特定客戶公司的名稱（例如tsmc台積電）所以才引發駭客組織的關注，並試圖經此途徑取得客戶的機密資料。</p> <p>擎昊科技提到，因為上述相關資訊並無關客戶的實際應用，僅為出貨時的基本設定，所以，目前沒有造成客戶損害，也沒有客戶因此遭駭。</p> <p>此次網路有一些駭客集團在推特上公布的照片，但不久後便遭到刪除。透過某些匿名資安專家將照片即時備份，可以發現，在一個ESXi04.tsmc.com的虛擬機氣中，有49個虛擬機器、3個儲存設備和14個網路設備。</p> <p>從照片截圖中所顯示的虛擬機器名稱，包含廠商所使用的伺服器名稱和廠商名字，其中，有還在使用Windows NT的俊昇科技，使用Windows 2016的智禾科技、鍵祥資訊、英寶科技、巨路國際、精誠資訊和安極思科技等公司的虛擬機器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /></p> <p>從另外一張ilo記事本的截圖中可以發現，這是一個HPE Nimble Storage儲存伺服器管理軟體，可以當成本機連線，並且可以在多個ESXi主機上配置iLO 5.X版的管理軟體。</p> <p>但從截圖上登入資訊可以發現，登入帳號是admin，登入密碼password，可以證明使用者所使用的是預設密碼、並沒有任何修改，駭客一旦入侵、進行內部橫向移動後，就可以使用預設密碼，理所當然的取得儲存伺服器上的資料。</p> <p>不過，匿名資安專家認為，這個截圖證明駭客企圖利用tsmc的資訊，證明入侵tsmc。另外，匿名資安專家表示，也可以推測台積電正在測試某一些供應商的產品，才需要輸入一些台積電的域名設定，但其他像是駭客揭露的IP位址等等，都無法獲得進一步的證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 1600px;" /></p> <h2><strong>加價延長是LockBit 3.0版的新功能之一</strong></h2> <p>蔡松廷表示，LockBit應該是目前最有名的勒索軟體，美國政府上個月才起訴他們，其犯罪模式是一種提供勒索軟體給犯罪者使用的RaaS犯罪模式（Ransomware as a Service，勒索即服務），有點像是軍火商，專精在數位武器（勒索軟體）的精進上，更重要的是，LockBit並沒有特別的產業偏好，全都打，都很認真的打，還很認真的研究各種更新的攻擊手法。</p> <p>此次台積電供應商遭駭的資安事件，就是LockBit新推出的3.0版勒索即服務，而駭客集團推出LockBit 3.0的時候，還向廣大的資安武林發起英雄帖，希望大家來幫忙找LockBit的漏洞。他指出，該駭客集團並不打俄語系的國家，非常專注地在攻擊歐洲和美國。</p> <p>蔡松廷表示，這次台積電供應商遭駭事件出現的加價延長，就是 LockBit 3.0的新功能，其他發現到LockBit 3.0的特色包括：修補LockBit 2.0 Ransomware的漏洞；LockBit 3.0有更快的加密速度，但實際上跟2.0版沒有差多少；一樣會大量部署公開或是開源的駭客工具，例如CobaltStrike，其他還有Rclone、WinSCP和PowerTool等；會持續使用一些最新的零時差漏洞，例如CVE-2023-0669：Fortra GoAnyhwere Managed File Transfer（MFT）Remote Code Execution Vulnerability。</p> <p>他也說，LockBit 2.0版推出的時候，有一個專門針對Linux虛擬機器的變種版本，大概在2021年第四季推出的LockBit Green，當時就是專門針對Linux跟VMware ESXi所設計的，只不過，目前還沒有看到LockBit 3.0有針對專門的虛擬機的變種版本。</p> <p>LockBit勒索軟體的預防之道，蔡松廷認為，最重要的就是要修補（Patch）系統的漏洞，因為，勒索軟體絕對是預防要重於治療。</p> <p> </p> </div></div></div>
2023/7/3 21:36作者黃彥棻https://www.ithome.com.tw/news/157611
勒索軟體Lockbit聲稱侵入台積電虛驚一場？合作供應商擎昊科技坦承測試環境遭駭，但仍有疑點尚待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Lockbit的威脅成近日焦點，其駭客在6月30日於暗網網站公布台積電為受害者，並勒索7千萬美元贖金，當日下午，台積電否認遭入侵的消息，並指出已得知是一家IT硬體供應商遭駭，後續傳出該業者可能是擎昊科技，當時我們詢問了擎昊科技，該公司僅表示稍晚再向我們說明，後續，該公司於官方網站發布了資安事件的公告，說明遭擷取的資訊只是使用到客戶公司名稱的出貨基本設定，無關客戶實際應用，因此沒有造成客戶的損害。</p> <p>值得關注的是，多國網路安全機構在6月中旬，才針對Lockbit發出<a href="https://www.ithome.com.tw/news/157357">聯合安全公告示警</a>，指出近三年Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），才過兩星期，該組織居然聲稱他們入侵全球最大晶圓代工龍頭台積電，態度十分囂張，無視此舉可能使其成為世界公敵。</p> <p>而從後續台積電與擎昊科技的回應來看，Lockbit本次雖然公布受害者身分，卻呈現與事實不符的情況，原因究竟是什麼？不小心搞錯對象？想要藉此進一步打響知名度？測試各界對此事的反應？還是故意讓大家勞師動眾確認相關事宜而搗亂？</p> <p>從現階段狀況而言，在這次Lockbit釋出的訊息中，我們在網路上我們看到國外資安研究團隊分享這次事件多張截圖，除了Lockbit公布台積電為受害者的畫面，還有數張螢幕截圖，但似乎不像以往釋出局部外洩檔案的作法，供外界能有更多比對資料來證明其價值。</p> <p>對此事件，台積電在30日已向媒體發表他們的聲明。根據我們從台積電公關處取得的聲明，他們表明已知悉某IT硬體供應商遭駭，對於已知洩漏的資訊，他們指出是該供應商協助的硬體初始設定資料，不會影響台積電生產營運，原因在於，所有進入台積公司的硬體設備，包括其安全設定，皆須在進廠後通過完備程序做相對應的調整，也就是說，不會受出貨時的基本設定而受影響。</p> <p>同時台積電也表示，發生事件後已依照標準作業程序來處置，包括立即中止與該硬體供應商的資料交換，未來將加強宣導供應商的安全意識，與確認安全標準做法的宣導，同時也提到此次駭侵事件已進入司法。</p> <p>而台積電所提及的IT硬體供應商，則指向擎昊科技。擎昊科技也在30日發布消息，公告發生資安事件，說明他們發現遭駭時間發生是在6月29日上午，當日即與客戶通報，並與第三方資安團隊與客戶共同做損害控管，同時他們也指出，遭網路攻擊並被擷取相關資訊的環境為工程測試區，被擷取的內容是安裝設定檔等參數資訊，主要是因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，但這些資訊其實無關用戶的實際應用，只是出貨的基本設定。</p> <p>從上述兩起聲明來看，目前我們還無法得知這起事件背後Lockbit的動機，例如，是否掮客集團（Initial Access Broker，IAB）提供給Lockbit的資訊有誤所導致；或是該組織是在明知沒有入侵TSMC下，卻因為取得有關資料，因此故意聲稱TSMC為受害者，以博取關注；又或者Lockbit可能存在更廣泛的攻擊意圖，只是尚未被發現。這方面有待後續更多消息的揭露，才能進一步判斷。</p> <p>目前看來，主要還是反映勒索軟體組織近年持續針對供應鏈攻擊的態勢。</p> <h3><strong>6月30日台積電公關處聲明全文如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="font-size:16px;">「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</span></p> <h3><strong>6月30日擎昊科技資安事件公告如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg" style="width: 600px;" /></a></p> <h2><strong>擎昊科技資安事件影響範圍受關注</strong></h2> <p>關於這次遭遇Lockbit攻擊的擎昊科技，我們也再次聯繫他們確認狀況，例如，他們是如何發現工程測試區遭駭，是否有勒索軟體留下的訊息，或是發現異常調查而發現，以及通知TSMC外，是否通知所有受影響的客戶。至截稿前該公司尚未回覆。</p> <p>而為了瞭解這次擎昊科技遭駭情況，我們也從國外資安研究團隊揭露的內容來了解情形。例如，我們在網路上看到國外資安研究團隊揭露多張螢幕截圖，像是包括一個ilo.txt的文字內容，HPE Nimble storage雲端管理介面的一個郵件警示分頁，這兩張圖中的文字訊息帶有tsmc.com的字串，另外還有一張VMWare ESXi的截圖，當中顯示的是一個虛擬機器的群組，被取名為EXSi04.tsmc.com，而當中則包含了數個虛擬機器。</p> <p>在這些虛擬機器中，包含有Windows NT與多臺Windows Server 2016，而其虛擬機器的名稱，則帶有多家臺廠公司的名字，包含國內上市櫃公司精誠、巨路，以及智禾、鍵祥、英寶、安極思等多家科技公司，圖片中顯示可能有多達44家廠商的名字。</p> <p>因此，是否相關資料也都是工程測試區環境的內容，並都已經通知這些廠商，我們也正向擎昊科技瞭解中，截稿前他們尚未提供回覆；至於這些截圖還可能透露的資訊，我們也正請教資安專家提出看法，後續如有最新消息也會持續追蹤。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-03_181212.jpg" style="width: 600px;" /></p> <p><strong>根據資安研究團隊vx-underground<a href="https://twitter.com/vxunderground/status/1674782166679703554">在Twitter張貼的消息</a>，勒索軟體Lockbit在其暗網網站公布台積電為受害者的資訊，同時附上多張螢幕截圖。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg" style="width: 600px;" /></a></p> </div></div></div>
2023/7/3 17:29作者羅正漢https://www.ithome.com.tw/news/157600
【資安日報】7月3日，存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用他人電腦運算資源來牟利的情況，最常見的就是挖礦攻擊，但最近2年也有人將目標動到網路頻寬上，部署網路頻寬共享軟體（Proxyware），挾持電腦頻寬盜賣、牟利，現在駭客將目標鎖定資源較為豐富的伺服器，來竊取這類資源。最近一起攻擊行動中，駭客針對曝露弱點的SSH伺服器下手，並部署Docker容器映像檔來占用流量，但究竟駭客入侵的管道為何？研究人員沒有進一步說明。</p> <p>WordPress外掛程式的零時差漏洞攻擊，也相當值得留意。近期駭客鎖定部署Ultimate Member外掛程式的網站發動攻擊，一旦利用這項漏洞，攻擊者就有可能非法加入管理員帳號，進而掌控整個網站。</p> <p>美國網路安全暨基礎設施安全局（CISA）的已遭利用的漏洞名單（KEV），一有更新也成為外界關注的對象。而近期他們列入的漏洞，出現於D-Link路由器和三星手機，但值得留意的是這些漏洞在2019至2021年，廠商就提供相關修補程式，但現在出現漏洞攻擊，這樣的現象代表還有不少設備尚未套用修補程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/proxyjacking-new-campaign-cybercriminal-side-hustle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路頻寬挾持攻擊鎖定SSH主機而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png" style="width: 300px; float: right;" /></a>資安業者Akamai發現針對SSH伺服器而來的網路頻寬挾持（Proxyjacking）攻擊行動，攻擊者入侵存在弱點的SSH伺服器，一旦成功，就會部署Base64編碼的Bash指令碼，並向Peer2Profit與Honeygain流量服務供應商進行註冊，然後在伺服器上部署含有這兩家業者代理程式的Docker容器映像檔，研究人員指出，駭客建置超過16,500個開放代理伺服器牟利。</p> <p>研究人員表示，他們也在受害伺服器上看到漏洞利用工具、挖礦軟體，推測駭客有可能是想要盜賣網路頻寬增加獲利，且不排除從挖礦攻擊轉型，改從事行蹤更加隱密的網路頻寬挾持行動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/psa-unpatched-critical-privilege-escalation-vulnerability-in-ultimate-member-plugin-being-actively-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress使用者資料設置外掛程式Ultimate Member出現零時差漏洞攻擊，20萬網站曝險</span></strong></a></p> <p>資安業者Wordfence揭露針對WordPress會員系統外掛程式Ultimate Member而來的零時差漏洞攻擊，駭客鎖定CVE-2023-3460而來，繞過此外掛程式的安全措施，竄改wp_capabilities的使用者中繼資料數值，將他們的帳號設置為管理員角色，進而控制受害網站。</p> <p>上述漏洞的風險評分為9.8，部署此外掛程式的WordPress網站超過20萬個，都可能成為駭客下手的目標。開發者自6月26日發布2.6.3版嘗試修補，但都出現修補不完整的情況，直到7月1日發布的2.6.7版，才完全緩解該漏洞。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA對於美國企業與政府機關遭到DDoS攻擊提出警告</span></strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於6月30日提出警告，指出該國已有多個產業遭遇DDoS攻擊，呼籲組織應採取主動措施來防範，這些措施包含了能快速套用的防火牆政策，或是預備緩解惡意流量的DoS防護服務等。</p> <p>CISA並未透露進一步的攻擊細節，但資安新聞網站Bleeping Computer指出，上述資安通告發生的時間點，正好就是駭客組織Anonymous Sudan聲稱癱瘓美國財政部電子納稅系統（EFTPS.gov）、商務部（commerce.gov）網站之後，很難不讓人聯想是與這些駭客的攻擊行動有關。</p> <p>參考資料</p> <p>1. <a href="https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors">https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/">https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/</a></p> <p><a href="https://www.elastic.co/security-labs/DPRK-strikes-using-a-new-variant-of-rustbucket"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac電腦遭惡意軟體RustBucket鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rustbucket1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rustbucket1.png" style="width: 300px; float: right;" /></a>Elastic旗下的資安實驗室揭露名為RustBucket的macOS惡意軟體，北韓駭客Lazarus旗下的組織BlueNoroff（亦稱Ref9135）鎖定加密貨幣服務業者下手，先是執行AppleScript指令碼，利用cURL從C2下載第2階段惡意酬載，利用特定API於目標電腦執行攻擊行動，最終將RustBucket存放於電腦，並透過NSTask執行，然後收集受害電腦的系統資訊。</p> <p>研究人員指出，駭客為了持續於受害電腦上行動，將此惡意程式加入名為LaunchAgents的啟動資料夾，且不斷調整後端的基礎設施來迴避偵測，研究人員發布相關調查結果時，惡意軟體分析網站VirusTotal上的防毒引擎皆無法將其視為有害。</p> <p><a href="https://www.deepinstinct.com/blog/phonyc2-revealing-a-new-malicious-command-control-framework-by-muddywater"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater利用PhonyC2框架發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露伊朗駭客使用的C2中繼站框架PhonyC2，此框架為在2021年就開始使用，曾被用於以色列理工學院的攻擊行動，目前這些駭客將其用於針對PaperCut列印管理系統，利用CVE-2023-27350入侵目標組織。</p> <p>研究人員指出，此框架的主要用途，是產生能連接C2的酬載，接收攻擊者下達的PowerShell指令碼。由於駭客持續更新此框架並調整攻擊策略，且透過社交工程開始接觸目標組織，使得研究人員呼籲企業應監控PowerShell動態來防範相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MITRE公布2023年版最危險的軟體安全缺陷</span></strong></p> <p>6月27日非營利組織MITRE公布了2023年版的25種最危險軟體安全缺陷，該組織分析NIST美國國家漏洞資料庫（NVD）裡，從2021至2022年出現的43,996個通用缺陷列表（CWE）項目進行分析、評分，並比對美國網路安全暨基礎設施安全局（CISA）的已遭利用漏洞名單（KEV），結果發現，越界寫入（OWB）、跨網站指令碼（XSS）、SQL注入是前3大嚴重的弱點類型，這樣的結果與2022年版相同。</p> <p>值得留意的是，記憶體釋放後濫用（UAF）弱點，一舉從去年的第7名上升至第4名，而且，KEV裡存在此種弱點的CVE漏洞有44個，僅次於越界寫入的70個。</p> <p>資料來源</p> <p>1. <a href="https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html">https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html</a><br /> 2. <a href="https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html">https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html</a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/06/29/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補D-Link路由器、三星手機漏洞</span></strong></a></p> <p>6月29日美國網路安全暨基礎設施安全局（CISA）將8個漏洞加入已遭利用漏洞名單（KEV），這些漏洞有2個出現於D-Link路由器DIR-859、DWL-2600AP，另外6個存在於三星手機。CISA要求聯邦機構於7月20日前，完成上述漏洞的修補。</p> <p>上述D-Link路由器的漏洞分別是CVE-2019-17621、CVE-2019-20500，CVSS風險評分為9.8、7.8，這些漏洞<a href="https://www.ithome.com.tw/news/157498#mirai">已有駭客用於殭屍網路Mirai攻擊行動</a>。</p> <p>至於本次公告的三星漏洞皆在2021年得到修補，其中風險層級最高的漏洞，是記憶體越界寫入漏洞CVE-2021-25487，CVSS風險評分為7.8，其餘為中度風險漏洞，CVSS風險評分為5.5至6.7。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyberscoop.com/russia-satellite-hack-wagner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯衛星電信業者遭到網路攻擊，起因是聲援瓦格納組織軍事行動</span></span></strong></a></p> <p><a href="https://www.volexity.com/blog/2023/06/28/charming-kitten-updates-powerstar-with-an-interplanetary-twist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT35透過後門程式Powerstar發動攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/fortinet-reverses-flutter-based-android-malware-fluhorse"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員分析安卓惡意程式Fluhorse，駭客透過加殼避免遭到逆向工程分析</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/free-akira-ransomware-decryptor-helps-recover-your-files/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Avast提供勒索軟體Akira檔案復原工具</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> </div></div></div>
2023/7/3 15:54作者周峻佑https://www.ithome.com.tw/news/157597
一家企業IT該如何面對碳排放數據管理和碳資訊運用的挑戰？SAP提出8大企業碳管理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月開始，臺灣已經出現第一批必須要依法在年報中揭露碳盤查資訊的企業，預計在接下來的明後年，將有更多企業加入，這些企業不僅需要每年進行碳盤查，還需要完成第三方確信，甚至隨著年底碳定價的公布，未來還需要計算碳成本，對於碳數據的追蹤和管理也變得越來越重要，必須要有一套更系統化的方式協助企業進行碳盤查或碳足跡資訊蒐集和管理，能夠根據這些碳定價或交易的價格，準確計算出生產過程的碳成本，並根據碳價格的變動做出相應的調整。</p> <p>不過，對於一家企業而言，該發展哪些碳管理的能力也成為許多企業IT主管或CIO必須面對的挑戰。近日在一場活動上，SAP也提出企業碳管理8項能力，涵蓋碳盤查、碳足跡、碳資產、碳配額、內部碳銀行、碳金融貸款、碳交易風險管理及IT基礎設施，可供企業未來在發展碳管理能力的參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230524_063635974.jpg" style="width: 600px;" /></p> <p>從SAP的碳管理架構圖中，可分8層，最上層是碳排放管理，包含碳排放資料記錄、碳排放監控設備管理、碳排放趨勢分析、碳排放報表。透過碳排放管理機制的建立，可以協助企業有效地記錄、監控和分析碳排放數據，並生成相應的報表以進行監測和報告。下一層是碳足跡管理，包括上游碳足跡管理、自身碳足跡管理、下游碳足跡管理和全價值鏈碳足跡分析，主要用來追蹤和管理供應鏈中產品使用和處理過程中的碳足跡。</p> <p>前二層是跟碳排放數據的蒐集和管理有關，也是目前臺灣企業大多著重的領域，往下幾層則是跟碳成本、碳交易和碳投資等有關的碳資訊運用。</p> <p>第三層是碳資產管理，涵蓋了許多細節和功能，從碳交易需求預測、付款申請、對帳單管理、到計畫追加、支付報合併、預算控制等20項，以確保企業碳交易的順利進行及相關資產的管理。</p> <p>詳細20項功能包括了碳交易需求預測、碳交易付款申請、拉取或導入碳交易收款單及碳交易中心對帳單、碳交易計畫、碳交易線上審批、回單與應收碳交易款未清項自動匹配、碳交易中心／碳金融交易自動對帳、碳交易預算額度控制、碳交易過帳及清帳、手動收款認領、手動對帳及認領、碳交易計畫追加、碳交易支付報合併收款過帳及清帳、對帳單過帳、商業票據管理、碳交易狀態及報表查詢、碳交易報表查詢、出具銀行日記帳及餘額調節表。</p> <p>接著下一層是碳配額管理，則有碳排放權全生命週期管理、碳配額頭寸、碳配額預測、碳配額交易計畫及模擬、碳配額移動收付處理，用來協助企業管理碳配額，遵守相關的配額限制，並進行相關碳交易活動。這第4層。</p> <p>接著是根據碳配額管理企業內部碳帳戶，也就進到第5層的內部碳銀行，包含碳帳戶管理（碳配額池統籌）、對內對外碳交易結算、碳配額預測、碳配額交易計畫及模擬、碳交易期間處理（如日結、費用利息計提、對帳單生成等）。</p> <p>再往下一層是碳金融貸款及投資管理，該層包括前臺碳交易處理、中臺碳交易風險控制、後臺碳交易往來對帳和結算、碳會計處理，主要透過前中後臺的設計，支援碳金融貸款及投資管理所需各方面。值得注意的是，SAP未來將在S/4 HANA Cloud ERP中加入Green Ledger碳帳的碳會計處理功能，藉此讓企業客戶能像管財務一樣方式來管理碳帳。</p> <p>第7層是碳交易風險管理層，包含碳交易限額管理、碳金融貸款授信、碳交易對沖管理、碳交易風險分析，可用來管理和控制碳交易相關的風險，確保企業在在碳市場中的合規和減碳效益。</p> <p>最底層是基礎平臺層，包含大數據、BPM、商業智慧分析、DI、物聯網和行動應用，進一步協助企業用來蒐集、整合和分析碳相關的數據。</p> <p>企業可以根據自身永續發展需求、相關供應鏈和法遵要求，找出適合自己的碳管理能力來發展。</p> </div></div></div>
2023/7/3 17:39作者余至浩https://www.ithome.com.tw/news/157599
Google雲端推出可用Hive存取BigQuery資料的開源連接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端釋出可以連接<a href="https://cloud.google.com/blog/products/data-analytics/the-hive-bigquery-connector-is-ga">Apache Hive與BigQuery的連接器</a>，使得Hive工作負載現在也可以讀取和寫入BigQuery與BigLake表格，也就是說，Hive-BigQuery連接器提供了另一個Hive搬遷到BigQuery的解決方案，即便用戶已經將資料搬遷到BigQuery或BigLake，仍然可以利用HiveQL方言和Hive執行引擎執行查詢。</p> <p>Apache Hive是一個開源的分散式資料倉儲系統，用於處理儲存在Hadoop中的結構化資料，開發人員不需要了解和編寫複雜的MapReduce任務，可以使用類似SQL語言的HiveQL查詢資料。而之所以Google要開發Hive-BigQuery連接器，是因為部分用戶在搬遷Hive到BigQuery資料倉儲時遭遇障礙，而Hive-BigQuery連接器則可提供更靈活的搬遷選擇。</p> <p>Hive-BigQuery連接器實作了Hive StorageHandler API，可整合Hive工作負載和BigQuery、BigLake表格，Hive的執行引擎會處理聚合和合併等資料操作，而與BigQuery的資料層的所有互動，則是由連接器管理。</p> <p>Google提到，Hive原本就是熱門的開源資料倉儲之一，過去使用本地HDFS當作專有資料儲存層，而現在逐漸發展到了雲端儲存服務。這個新的連接器，可以將Hive和原生雲端儲存BigQuery整合在一起，進而簡化搬遷工作。</p> <p>利用Hive-BigQuery連接器，用戶可以在批次搬遷的過程，維持操作的連續性。在過程中，原始的Hive查詢能夠透過連接器存取資料，而用戶也可以逐漸轉換使用BigQuery的SQL方言，待轉換完成後，用戶便可以完全停用Hive。</p> <p>此外，用戶還可以同時使用Hive和BigQuery，主要以Hive處理工作負載，並僅將BigQuery用於特定任務，或是也可以繼續使用Hive，並且在雲端儲存採用Avro、Parquet或ORC等開源軟體格式，用戶可以使用Hive的SQL方言執行和處理查詢，以連接器使用BigLake和BigQuery的特有功能，像是快取查詢效能的後設資料、應用欄級存取控制，甚至是資料遺失防護（DLP）等安全和治理功能。</p> </div></div></div>
2023/7/3 16:00作者李建興https://www.ithome.com.tw/news/157596
上百家歐洲企業簽署公開信以批評《AI Act》草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會（European Parliament）在6月14日通過了人工智慧法案（Artificial Intelligence Act，AI Act）的草案，以確保於歐洲開發及使用的AI可完全符合歐盟的權利與價值觀，亦為西方世界第一個全面性的AI法規，然而，約150名歐洲創投及企業的高階主管卻擔心《AI Act》可能危及歐洲的競爭力與技術主權，<a href="https://www.igizmo.it/wp-content/uploads/2023/06/Open-Letter-EU-AI-Act-and-Signatories.pdf" target="_blank">在上周五（6/30）送出了公開信</a>予歐洲議會、歐盟執委會（EC）及歐盟高峰會（European Council）。</p> <p>簽署此一公開信的C級高階主管來自德國西門子、法國飛機製造商Airbus、海尼根、遊戲業者Ubisoft、德國銀行，以及十多家創投業者。</p> <p>《AI Act》根據AI的風險等級替AI系統的供應商與部署者規定了各種義務，同時禁止某些可能對人類安全造成莫大風險的AI系統，亦規定像ChatGPT這類的基礎模型的供應商，必須評估與緩解各種可能對健康、安全、人權、環境、民主或法令所造成的風險，還得在於歐盟市場發表前向歐盟資料庫註冊。</p> <p>這群歐洲企業的高階主管透過公開信向歐盟表達對《AI Act》的擔憂，指出《AI Act》草案不僅會危及歐洲競爭力及技術主權，也無法有效解決歐洲所面臨的挑戰，特別是生成式AI，因為該法案將讓各種基礎模型都受到嚴格監管，意謂著開發及部署相關系統的企業將面臨不成比例的合規成本及責任風險。</p> <p>此外，他們也認為這樣的監督方式可能會導致高度創新的公司將活動轉移至國外，也會讓投資者撤回對歐洲基礎模型與AI開發的資金，而讓歐洲出現嚴重的生產力差距。如同網路的發明或是晶片的突破，生成式AI是一種對效能具有關鍵性作用的技術，因此，擁有最強大的大型語言模型的國家，也將擁有決定性的競爭優勢。</p> <p>這些高階主管同意生成式AI需要監管，但指出把監管納入法令並以嚴格的合規方式執行，是一種官僚主義，因為它無法有效地實現目的。</p> <p>他們在此一公開信中建議，歐盟的法令應該僅限於以基於風險的方法闡述廣泛的原則，執行則是交由另外組成的專門監管機構，並應靈活適應快速發展的技術與不斷出現的具體風險。</p> <p>今年3月，特斯拉執行長馬斯克（Elon Musk）與蘋果共同創辦人Steve Wozniak<a href="https://www.ithome.com.tw/news/156198" target="_blank">等科技大老曾警告AI可能對社會與人類帶來重大風險</a>，並呼籲暫停開發比OpenAI的GPT-4高階的AI系統至少6個月；<a href="https://www.ithome.com.tw/news/157134" target="_blank">5月時亦有AI重量級人物簽署了共同聲明</a>，警告AI可能帶來人類滅絕風險。</p> <p>歐盟所制定的《AI Act》顯然是想把AI的發展風險降至最低，但同時也惹來監管過度的批評。目前歐盟尚未對此一最新的公開信作出回應。</p> </div></div></div>
2023/7/3 14:18作者陳曉莉https://www.ithome.com.tw/news/157594
蘋果前設計師自立門戶，公布AI穿戴裝置Ai Pin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與Mac及iPhone等產品設計的蘋果前設計師成立的新創公司Humane，近日展示一款Ai Pin的穿戴裝置，能讓用戶不再需要智慧型手機，而以更直覺方式使用AI提供的通訊、運算或辨識功能。</p> <p>Imran Chaudhri在1995到2017年任職蘋果介面設計師，參與過蘋果最重要產品包括Mac、iPhone、iPad、iPod、Apple TV、HomePod、Apple Watch等，他和妻子暨蘋果軟體工程師Bethany Bongiorno於2017年離開蘋果，於2018年創立名為Humane的公司。這間公司多年來一直保持神祕，只說自己投入AI科技研發，多年未見成果。上周<a href="https://hu.ma.ne/" target="_blank">Humane官網</a>上公布產品名為Ai Pin，號稱該產品「更簡單、更快、更強大，且更人性化」，但無法看出完整面貌。</p> <p>不過<a href="https://www.ted.com/talks/imran_chaudhri_the_disappearing_computer_and_a_world_where_you_can_take_ai_everywhere/c" target="_blank">Chaudhri去年在TED Talk的演說</a>已經介紹了Ai Pin的設計原型。Ai Pin是一個可放在口袋的裝置，具有聲控助理、連網功能，及內建麥克風、相機及投影機。它打出無螢幕、無縫、感測（screenless, seamless, sensing）的口號，主要是由一個經過訓練的AI助理提供用戶所需要的服務，而不需要再有一個運算裝置。</p> <p>在其示範中，使用者只要按一下Ai Pin按鍵就能啟動聽取及執行用戶的需求。例如回答可以在哪買到送人的禮物，或是以已經個人化的AI，以近似用戶的聲音說出異國語言。它的投影機可在用戶手掌心或桌面投射出智慧型手機鍵盤，但也可以由AI直接彙整來電、電子郵件、會議及行程內容。當以相機對準某件物品，例如巧克力，其電腦視覺可辨識營養價值，AI助理則可提供建議。Chaudhri表示，Ai Pin的精神在於愈用愈能了解使用者，其AI模型能提供愈個人化的建議。</p> <p>Ai Pin的產品推出時程不明。有興趣的用戶需加入官網上的等候清單。</p> <p>Humane深獲投資人期待。<a href="https://techcrunch.com/2023/06/30/secretive-hardware-startup-humanes-first-product-is-the-ai-pin/" target="_blank">Techcrunch報導</a>，Humane已募得2.3億美元資金，投資人包括Salesforce執行長Marc Benioff、OpenAI執行長Sam Altman、微軟、高通、Volvo Cars Tech、SK Networks、LG及Tiger Global等私募基金。</p> </div></div></div>
2023/7/3 14:44作者林妍溱https://www.ithome.com.tw/news/157595
【資安週報】2023年6月26日到6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。以Lockbit而言，30日他們聲稱台積電為受害者，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續新發現，<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">該公司於30日發出聲明表示</a>遭遇資安事件，並指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，並指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有大量Akira勒索軟體受害者被公布的情況。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），Samsung智慧型手機的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</span></strong></a></h3> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <h3><a href="https://www.ithome.com.tw/news/157513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</span></strong></a></h3> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/157532"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></h3> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <h3><a href="https://www.ithome.com.tw/news/157555"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月29日】NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</span></strong></a></h3> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/157579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</span></strong></a></h3> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> </div></div></div>
2023/7/3 09:36作者羅正漢https://www.ithome.com.tw/news/157587
Meta計畫讓歐盟用戶從臉書下載第三方App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2023/6/29/23778928/meta-eu-facebook-plans-app-install-android-ads" target="_blank">《The Verge》報導</a>，Meta計畫提供軟體市集，讓歐盟用戶可不經Google Play Store下載Android App。</p> <p>報導指出，Meta最快今年內啟動測試一種新式廣告，由廣告引導用戶前往Meta的Android市集下載App。這是因應歐盟即將在2024年上路的《數位市場法》（Digital Market Act），Meta切入軟體平臺新機會的新嘗試。</p> <p>2022年歐盟通過的《數位市場法》下，要求Google和蘋果等超大型網際網路服務及平臺作為「守門人」不得合併多種來源的用戶個資、必須和第三方通訊App互通，而且需允許用戶安裝第三方App。Meta的計畫是提供Android App市集，以吸引用戶點選臉書廣告前往下載，將有助於提升廣告轉換率及收益。報導表示，至少一開始Meta不會向App開發商要求In-App營收分潤，開發商可使用自己屬意的支付糸統。</p> <p>Meta也證實這點，表示Meta向來有興趣提供開發商更多散布其App的選擇，更多選擇也可增加此市場的競爭，開發商也有獲得更多下載管道的權利。</p> <p>Meta並非唯一利用歐盟新法令提供新機會的大廠。<a href="https://arstechnica.com/gaming/2023/03/microsoft-plans-mobile-games-app-store-to-rival-apple-and-google/" target="_blank">微軟3月在遊戲開發商大會表示</a>，如果微軟收購動視暴雪（Activision Blizzard）成功，將在明年於歐盟地區推出iOS及Android遊戲App的平臺供Xbox訂閱戶下載。只是本收購案出現變數，目前遭美國主管機關之<a href="https://www.ithome.com.tw/news/157309" target="_blank">一聯邦交易委員會（FTC）透過法律手段企圖阻攔</a>。</p> </div></div></div>
2023/7/3 11:28作者林妍溱https://www.ithome.com.tw/news/157589
臺灣牙科新創用生成式AI打造牙科HIS服務，下一步要推AI自動排版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI產業用例再添一例，專攻牙科醫療資訊系統（HIS）的牙科新創台灣牙e通昨（7月2日）揭露生成式AI新服務<a href="https://dentall.ai/">dentall.ai</a>，用GPT-4、GPT-3.5等大型語言模型優化牙科HIS，能根據病歷文字快速生成牙位圖、方便醫師與病人溝通治療方式，還在系統中整合生成式AI Chatbot，來讓醫師、牙助快速查詢健保申報資訊，提供建議代碼和申報建議。該服務目前為Beta版，開放醫師公測，現支援Chrome和Edge瀏覽器，接下來還會擴大到Safari、Firefox等瀏覽器。台灣牙e通創辦人暨執行長陳欽章透露，團隊瞄準海外市場，接下來要推英文版系統，還要新添更多功能，如AI自動排班、自動化預約和更彈性的牙位圖與內容生成。</p> <p><span style="font-size:22px;"><strong>5月推出健保AI GPT聊天機器人，今推LLM優化HIS服務還能生成牙位圖</strong></span></p> <p>這不是台灣牙e通第一次開發AI產品。他們自2018年開發牙科HIS產品後，就在2021年與北醫聯手，用2萬多張口腔X光片訓練出牙周病判讀AI模型，能根據患者口腔X光片計算出牙周病風險（如下圖）。目前，這款AI軟體正進行食藥署智慧醫材許可證的申請，團隊同時也與保險公司洽談，盼未來AI判讀風險、確認患者需要治療後，即能理賠金額。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai.jpeg" /></p> <p>今年，台灣牙e通擁抱生成式AI模型，包括GPT-3.5和GPT-4，在5月就推出Line版本的健保AI GPT聊天機器人：e聊智慧通，來回答牙科健保申報相關問題。汪庭宇解釋，為確保Chatbot能正確回答使用者問題，團隊自建一個包含語意分析器的中繼層，當使用者輸入問題後，會先由分析器來分析提問、校正錯字，再將調整過的提問，送至GPT-4或GPT-3.5來產出回覆。</p> <p>這些產出的初步回覆，並不會直接傳送給使用者，而是會再經過中繼層梳理，比如判斷可信度是否足夠，以及用自建的健保資料庫來確保回答符合規範，最後才傳送給使用者。</p> <p>汪庭宇指出，光是5月，該Chatbot就有1千多名牙科使用者使用。</p> <p>後來，團隊進一步擴大功能，將這種大型語言模型嵌入牙科HIS中，成為dentall.ai牙科助手，來加速醫師工作。他們用將近60萬字的資料（包含牙科知識庫和經授權的牙科治療決策資料），來微調大模型，讓模型不只能回答健保申報規則、推薦組合等問題，還能提供治療建議、查詢IDC-10疾病代碼、產生衛教資訊和牙位圖等資訊。</p> <p>這個dentall.ai採擴充外掛形式，供使用者下載、安裝到瀏覽器中使用。舉例來說，使用者新增外掛後，就能在台灣牙e通的HIS頁面中啟動，點擊輸入框，dentall.ai就會自動跳出選項，比如查詢代碼規則、查詢ICD-10國際病碼、常見同時申報代碼等，來讓使用者選擇，並輸入自己的問題。等待數秒，AI就會給出回覆，來給使用者參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3259.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3258.jpeg" /></p> <p>不只如此，這個生成式AI助理，還能根據醫師輸入的病況，來產出治療計畫書和牙位圖，方便醫病溝通。進一步來說，HIS頁面的病歷欄中已列出各項病徵，醫師只需輸入患者病況，如缺牙（Missing）：11、阻生齒（Impaction）：44，就能透過建議選項，點擊生成牙位圖和治療建議，來供醫師參考（如下圖）。要是醫師認為建議不當或牙位圖有誤，也可自行修正。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3265.jpeg" /></p> <p>除了生成式AI，團隊也在新版牙科HIS中新添語音辨識功能，能將語音轉文字，方便記錄患者狀況。此外，他們也新添圖片整理小功能，像是醫師可針對患者X光片貼標、分類等，來管理檔案。這款dentall.ai目前為beta版本，開放醫師測試使用，也支援Chrome和Edge瀏覽器，接下來會擴大支援Firefox和Safari。這套HIS採用GCP服務，能自動調度資源，也符合國內外資安規範。</p> <p>汪庭宇也預告，接下來他們還將推出AI排班功能，來節省牙科診所過去需要專人排定牙助和牙醫班表的工作。此外，他們也要推出自動預約功能，以及更有彈性的牙位圖和內容生成。</p> <p><span style="font-size:22px;"><strong>成立之初就看好科技輔助，成立境外MedTech公司鎖定醫療AI</strong></span></p> <p>AI席捲各行各業，牙科也不例外。陳欽章指出，他調查發現，在美國生技資訊中心維運的醫療文獻搜尋網站PubMed中搜尋AI+牙醫，在2000年至2009年間，只有170篇，但自2010年至2019年，增加至417篇，但光是2020年至2022年，數量就暴增至1,114篇，2023年至今則是359篇，預計今年底達7、800篇，可見AI對牙科影響越來越大。</p> <p>AI用於牙科，還可分為臨床決策輔助系統和影像分析。就臨床決策輔助來說，包含了資料分析、疾病分類和預測，而影像分析則有疾病偵測、影像辨識和臨床模擬（如牙齒美白、牙齒矯正前後）。這些AI應用，也是台灣牙e通所關注的。</p> <p>陳欽章看好科技輔助牙科作業，將台灣牙e通定位為AI牙科軟體公司。他在2015年成立台灣牙e通時，就先在臉書成立社團來提供牙材團購和教學課程團報服務，2018年則正式瞄準牙科HIS，找來技術長、自建研發團隊，來開發牙科HIS和牙科診所採購平臺，這些系統已有不少臺灣診所和醫院採用。2021年，團隊開始嘗試AI，與北醫合作開發牙周病判讀AI，後來也成立MedTech境外公司，將自己定位為醫療科技公司，「目前先做牙科，未來會擴大到其他科別。」陳欽章說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%BC%E5%B1%95.jpeg" /></p> <p>身為執業牙醫師，陳欽章也用牙醫師日常面對的5大問題，來解釋自家系統佈局。比如，他們開發的雲端診所管理系統是要解決牙科看診和行政工作需求，另外也將自建的內部採購系統開放出來，作為另一項服務，來解決牙材採購問題。他解釋，會開放這個平臺，是在疫情間收到許多東南亞廠商詢問，他們希望有套牙材電商平臺來交易，目前在新加坡、馬來西亞、泰國和菲律賓都能使用。最後，台灣牙e通也經營原有的線上、線下教學平臺，來供國內牙醫師使用，目前也正發展保險平臺，要解決國內外牙科保險理賠問題。</p> </div></div></div>
2023/7/3 02:07作者王若樸https://www.ithome.com.tw/news/157585
蘋果成為全球首家市值達3兆美元的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五（6/30）股價上漲了2.31%，以193.97美元作收，市值為3.051兆美元，成為全球首家市值超越3兆美元的企業。蘋果身價在2022年1月3日的盤中也曾一度突破3兆美元，但當時並未能延續至收盤，這一年多以來蘋果市值更曾一度掉至2兆美元。</p> <p>今年初蘋果的股價大約落在130美元左右，這期間的漲幅達49%，那斯達克（Nasdaq）股市在同一期間的漲幅為30%，微軟則是40%。</p> <p>《CNBC》引用Wedbush Securities分析師Dan Ives的看法指出，他們相信蘋果會在未來的12~18個月內重拾大幅成長，華爾街不僅低估了iPhone 14的安裝基礎，且iPhone 15將迎來重大的更新周期，因為有25%的蘋果用戶最近4年都沒有更新手機。</p> <p>另一方面，蘋果於6月上旬發表的<a href="https://www.ithome.com.tw/news/157260" target="_blank">Apple Vision Pro也受到各界好評</a>，儘管華爾街分析師認為，售價3,499美元的Vision Pro短期內應該無法替蘋果帶來太多營收，但當蘋果推出成本與售價更低的版本時，可望推動全球的元宇宙市場，並成為蘋果的營收主力。</p> <p>目前全球市值第二大的企業為微軟的2.532兆美元，第三名是沙烏地阿拉伯國家石油公司Saudi Aramco的2.079兆美元，Alphabet則以1.53兆美元位居第四，Amazon以1.337兆美元排名第五，第六名是近日竄起的Nvidia，市值為1.044兆美元。</p> </div></div></div>
2023/7/3 09:11作者陳曉莉https://www.ithome.com.tw/news/157586
Windows 11首度公測Copilot、加入RAR及7-zip支援、Bing廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全面擁抱AI，將GPT模型為底層的Copilot加入Bing、Edge、Microsoft 365、Dynamic 365、及SharePoint等產品，<a href="https://www.ithome.com.tw/news/157018" target="_blank">5月在Build開發者大會上宣布</a>擴大其Copilot也將整合到Windows 11。<a href="https://blogs.windows.com/windows-insider/2023/06/29/announcing-windows-11-insider-preview-build-23493/" target="_blank">微軟上周發布包含</a>Copilot的第一個Windows 11公開測試版，正式將AI助理推向桌機作業系統，同時也開始支援RAR、7-zip等受歡迎的壓縮檔格式，並開始加入Bing廣告。</p> <p>上周微軟以緩進速度在Dev頻道釋出Insider Preview Build 23493，提供用戶預覽Windows Copilot。安裝好後，工具列會出現在新按鍵，或按「視窗」鍵＋C，即可啟動Windows Copilot。它使用微軟帳號或Azure Active Directory（AAD）帳號登入。啟動後Windows Copilot會出現在螢幕右邊工具列以免擋住使用中的內容和應用程式。微軟建議用戶的Microsoft Edge瀏覽器版本也應在115.0.1901.150以上。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/windows-copilot1-1024x683.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Windows 11 Copilot能讓用戶不用切換介面，直接和ChatGPT互動，提供搜尋、回應用戶問題、幫忙撰寫會議記錄或草稿等工作。此外也能幫用戶操作Windows指令，像是變更成深色模式、啟動「勿打擾」、抓取螢幕擷圖，或是為網頁內容做重點摘要。測試版的Windows Copilot版本也首度加入廣告。微軟說，Windows Copilot整合Bing Chat可生成情境化的回應（即能讀懂螢幕上的文字），用戶可能會收到經由Bing廣告送出「微軟認為相關」的建議。</p> <p>但之前宣布的某些功能，像是允許用戶以Windows Copilot控制Bing第三方外掛，在第一個公測版是還沒有的。但微軟說等Insider用戶測試後會再逐漸改進Copilot功能。</p> <p>微軟表示未來還會擴大測試，包括提供給多頻道用戶，以及加入IT管理員控管公司員工使用的政策。用戶可以透過Windows Copilot側邊工具列右上的3點式選單，回傳使用意見。</p> <p>除了Copilot外，最新的測試還加入新的壓縮檔格式支援、以及新的「設定」App首頁以及其他功能。一如5月Build大會上<a href="https://www.ithome.com.tw/news/157017" target="_blank">微軟宣布</a>，Windows也加入了其他壓縮歸檔格式的支援，包括.rar、.7z、.tar、tar.gz、.txz、.tbz2等多種格式。不過微軟說會有一些效能問題。新版「設定」App首頁則以卡片讓使用某些功能更方便，例如建議的設定、雲端儲存、帳號回復、個人化、M365及XBox訂閱狀態、連線的藍牙裝置等。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>Windows 11也整合了5月底測試版的新功能，如新的備份App、及恢復在Windows 11一度拿掉的App。後者以App大頭釘形式，如果它在Microsoft Store可供下載，點擊大頭釘就能使用，如果無法從Store下載就會導引用戶前往相應網站下載。</p> <p>其他功能包括日文與英式英語自然朗讀聲音、混音程式，以及Windows Sonic App使用空間音效的選單等。</p> </div></div></div>
2023/7/3 09:41作者林妍溱https://www.ithome.com.tw/news/157588
【資安日報】6月30日，勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電傳出遭勒索軟體LockBit攻擊，該公司表示是供應商遭到攻擊，受害廠商擎昊科技也發表聲明承認遭駭</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg" style="width: 300px; float: right;" /></a>根據國內外新聞媒體6月30日上午的報導，勒索軟體LockBit聲稱攻擊了台積電（tsmc.com），並要脅若不付錢，他們將公布能夠進入該公司內部網路的帳號及密碼。駭客也開出價碼，要求銷毀資料，或是下載檔案的價碼各為7千萬美元。</p> <p>對此，台積電於今日下午提出說明：「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</p> <p>而對於台積電提及的供應商，多家媒體報導就是擎昊科技。針對此事，擎昊也做出說明：「本公司於2023年6月29日上午，發現公司內部特定測試環境中，遭受外部團體之網路攻擊，並擷取相關資訊，資訊內容主要為本公司為客戶提供之各式系統裝機準備資訊，因揭露之資訊中出現特定客戶之名稱，造成客戶之困擾，除先向受到影響之客戶致歉外，本公司已就此次資安事件進行排查與防護強化，特此通知。」</p> <p>參考資料</p> <p>1. <a href="https://cybernews.com/news/tsmc-data-breach-lockbit/">https://cybernews.com/news/tsmc-data-breach-lockbit/</a><br /> 2. <a href="https://technews.tw/2023/06/30/hackers-blackmail-tsmc/">https://technews.tw/2023/06/30/hackers-blackmail-tsmc/</a><br /> 3. <a href="https://money.udn.com/money/story/5612/7269764">https://money.udn.com/money/story/5612/7269764</a></p> <p><a href="https://securelist.com/lazarus-andariel-mistakes-and-easyrat/110119/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Stonefly透過Log4Shell漏洞散布木馬程式EarlyRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露北韓駭客組織Lazarus旗下團體Stonefly（亦稱Andariel）最新一波的攻擊行動，這些駭客從2022年中期，利用Log4Shell漏洞入侵目標組織並部署後門程式DTrack，然後下載3Proxy、Putty、Dumpert、Powerline等軟體進行網路偵察、竊取帳密資料，以及進行橫向移動。</p> <p>駭客疑似在攻擊過程裡投放帶有木馬程式EarlyRAT的Word檔案，聲稱因為使用者電腦上Word程式版本較舊，而無法載入內容，要求使用者更新應用程式，或是暫時啟用巨集來因應。</p> <p>一旦使用者依照指示啟用巨集，電腦就有可能被植入木馬程式。研究人員提及，此木馬程式與Lazarus另一個名為MagicRAT的惡意軟體相似，駭客都是透過軟體框架開發而成，且兩者的功能都相當有限。</p> <p><a href="https://www.ithome.com.tw/news/157552"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓間諜程式LetMyeSpy遭入侵，用戶資料外流</span></strong></a></p> <p>資安業者Niebezpiecznik指出，安卓間諜軟體LetMeSpy出現資料外洩的情況，駭客聲稱取得此間諜軟體製造商網域的存取權限，且疑似竊取了用戶資料後刪除了伺服器上的檔案。</p> <p>研究人員在流出的檔案裡，發現逾2.6萬筆用戶的電子郵件帳號及密碼、1.6萬則簡訊，以及追蹤者與被追蹤者的電話號碼。</p> <p>資料外洩情報網站DDoSecrets與科技網站TechCrunch聯手分析上述資料，上述資料涉及1.3萬臺遭LetMeSpy監控的裝置，大多數位於美國、印度、西非。波蘭資料保護機構UODO發言人Adam Sanocki證實，他們收到了LetMeSpy的資料外洩通報。</p> <p>參考資料</p> <p>1. <a href="https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/">https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/</a><br /> 2. <a href="https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/">https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec-consult.com/blog/detail/responsible-disclosure-of-an-exploit-chain-targeting-the-rfc-interface-implementation-in-sap-application-server-for-abap/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露影響SAP多項產品的RFC重大漏洞</span></strong></a></p> <p>資安業者SEC Consult研究人員揭露對於SAP系統專屬的通訊協定長期研究成果，陸續發現了CVE-2021-27610、CVE-2021-33677、CVE-2021-33684、CVE-2023-0014。</p> <p>上述漏洞的共通點，就是影響採用SAP Application Server for ABAP元件的應用系統，這些包含了SAP ERP Central Component（ECC）、S/4HANA、BW/4HANA、Solution Manager（SolMan）、SAP for Oil & Gas、SAP for Utilities、Supplier Relationship Management（SRM）、Human Capital Management（HCM）、Employee Central Payroll（ECP）。</p> <p>研究人員指出，利用他們找到的漏洞，攻擊者不需特殊權限，過程中也不需求使用者互動，而且，若是攻擊者將漏洞加以串連，會帶來更嚴重的威脅。研究人員指出這些漏洞具備蠕蟲特性，攻擊者可用於在SAP系統裡進行橫向移動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/miniorange-addresses-authentication-bypass-vulnerability-in-wordpress-social-login-and-register-wordpress-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress社群網站登入外掛出現重大漏洞，恐曝露使用者的帳號</span></strong></a></p> <p>資安業者Wordfence揭露外掛程式WordPress Social Login and Register的身分驗證漏洞CVE-2023-2982，一旦遭到利用，攻擊者就可能在得知使用者登入網站所使用的電子郵件信箱相關資訊的情況下，入侵目標WordPress網站，CVSS風險評分為9.8。</p> <p>這項漏洞發生的原因，在於此外掛程式在使用者登入的驗證過程裡，加密強度不足所致，導致未經身分驗證的攻擊者有可能藉此存取包含管理者在內的帳號。研究人員於5月30日通報開發商miniOrange，該廠商於6月14日發布7.6.5版予以修補。</p> <p><a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份軟體Arcserve UDP出現身分驗證繞過漏洞</span></strong></a></p> <p>資安業者MDSec揭露備份軟體Arcserve Unified Data Protection（UDP）的身分驗證繞過漏洞CVE-2023-26258，這項漏洞影響7.0至9.0版的Arcserve UDP，可讓攻擊者攔截含有AuthUUID資訊的SOAP請求，進而取得管理員的連線階段（Session），最終能夠存取該系統的管理介面，甚至有可能破壞目標系統的備份資料。對此，Arcserve於6月27日發布更新版本進行修補。</p> <p><a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</span></strong></a></p> <p>6月21日網路系統協會（ISC）發布DNS軟體DIND 9更新版本9.16.42、9.18.16、9.19.14、9.16.42-S1、9.18.16-S1，一共修補了3個漏洞CVE-2023-2828、CVE-2023-2829、CVE-2023-2911，這些都是阻斷服務（DoS）漏洞，攻擊者可遠端利用，進而導致DNS設備的記憶體耗盡，或是BIND的常駐處理程序（daemon）named當機，上述漏洞的CVSS風險評分皆為7.5。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.1password.com/unlock-with-sso-oidc/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1Password針對OpenID Connect身分驗證解決方案支援單一簽入</span></strong></a></p> <p>密碼管理解決方案業者1Password於6月28日宣布，他們將支援通用的OpenID Connect（OIDC）組態，而能和更多身分驗證供應商的解決方案整合，這些解決方案包含了 Duo、OneLogin、JumpCloud、Ping Identity等，企業版1Password用戶將能透過這類身分驗證系統的單一簽入（SSO），存取1Password帳號。</p> <p><a href="https://proton.me/blog/proton-pass-launch"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Proton推出密碼管理服務，整合電子郵件信箱別名功能</span></strong></a></p> <p>專門提供網路隱私服務的VPN業者Proton於6月28日，發表密碼管理服務Proton Pass，用戶可以透過瀏覽器擴充套件在電腦上使用，也能藉用安卓、iOS版應用程式存取帳密資料。值得一提的是，此服務不光能用來管理帳密資料，也提供動態密碼產生器的功能，並支援電子郵件信箱別名的機制Hide-my-email。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cip.gov.ua/en/news/vorozhi-khakeri-atakuyut-kritichnu-infrastrukturu-ukrayini-pracyuvati-nad-posilennyam-zakhistu-treba-postiino"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自2022年戰爭開打以來，烏克蘭關鍵基礎設施遭到3千次網路攻擊</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客發起的DDoS攻擊行動一年內增加24倍</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/manic-menagerie-targets-web-hosting-and-it/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、歐盟IT服務供應商遭到鎖定，駭客將其伺服器用於挖礦</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/cryptoslabs-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">詐騙集團CryptosLabs鎖定法國、比利時、盧森堡，假借投資名義詐財</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/8base-ransomware-gang-escalates-double-extortion-attacks-in-june/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體8Base威脅態勢升溫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> </div></div></div>
2023/6/30 17:15作者周峻佑https://www.ithome.com.tw/news/157579
蘋果AR新戰略解密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1136-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=6y_z_6Gc" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果首款AR頭戴設備終於問世，這卻是蘋果花了6年精心策畫的布局，從行動裝置開始支援、推出專用開發工具，到採用光達空間感測技術，蘋果下一步更要讓行動開發者能夠無縫接軌這個新的空間運算世界，打造完整的AR開發生態圈，這是蘋果AR新戰略</p> </div></div></div>
2023/6/30 15:23作者余至浩https://www.ithome.com.tw/article/157578
深化數據分析驅動決策，55688靠數據加速數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提到「55688」，相信不少人會馬上聯想到是超過20年的台灣大車隊叫車服務，但是，這個交通運輸乘車服務，近幾年逐漸發展成一個多角化經營的55688集團。為了扭轉計程車乘車服務的傳統印象，55688集團這近幾年加速轉型，要成為提供多元生活服務的數位服務平臺。</p> <p>除了乘車服務之外，包括微搬家、代駕、居家清潔、洗衣、訂房、機場接送等服務，讓使用者一站式平臺取得這些生活化服務。台灣大車隊更因連續2年資訊媒合服務營收超過了一半，也申請調整股市產業類別，7月後會轉入數位雲端產業，和網路、電商等業者並列數位雲端產業類別。</p> <p>早在2011年推出的55688 App，這幾年更積極從單一叫車服務，要發展成串連多種服務的超級App，國內用戶約680萬名，相當於每4人即有1名用戶。今年5月初剛完成了一次UX體驗的大改版，背後推手之一是帶領IT及研開團隊，協助集團加速數位轉型的55688集團資訊／研發事業群副總經理南強。</p> <p><span style="font-size:28px;"><strong>強化IT和業務單位更緊密合作</strong></span></p> <p>南強過去曾在工研院化工所任職，專長領域為工廠自動化，從產線設備蒐集資訊，進行分析監控，後來進入電信產業，陸續接觸企業IT、營運方面工作，之後加入台灣大車隊，曾參與客服、資訊部門，2021年升任集團資訊／研發事業群副總，這幾年帶領資訊及研發團隊協助集團加速數位轉型發展，對於IT研發團隊的角色轉變，南強自己有相當深刻的體會。</p> <p>他表示，過去資訊研發團隊多是幕後工作，由業務單位提出需求，經過訪談後，依據需求規格進行開發，現在IT的趨勢是要往前跨一步，和業務、行銷等其他單位更緊密的合作，提供更多的意見讓其他單位參考。南強直言，傳統的IT僅根據需求規格進行開發，較不會從平臺營運角度來思考。</p> <p>「集團開始重視平臺經營，業務單位也希望借助平臺帶動業績成長，就需要數據驅動， IT和業務單位需要更緊密合作，IT協助產生數據，共同分析數據產生判斷」，他述說IT研發團隊這幾年的角色轉變。</p> <p>55688平臺上有多種服務，每項服務背後都有專門的業務單位負責，但平臺整體經營、體驗缺少專責單位統籌，因此，去年，55688集團在資訊研發事業群底下進一步成立了平臺發展部，專門負責統籌平臺服務體驗一致性、資料蒐集，代表資訊研發團隊和前端業務單位，比過去更加緊密合作。</p> <p>「過去IT比較被動，業務單位提出需求，IT接手需求來開發，再根據業務單位意見修改調整，現在的趨勢是，IT和業務單位雙方需要更緊密搭配合作」，南強說。</p> <p><span style="font-size:28px;"><strong>以數據作為各部門共同語言，深化數據驅動決策</strong></span></p> <p>當IT角色還有另外一種改變，「IT的角色逐漸從後端向前跨一步協助前端的業務單位時，」南強表示，另一方面，IT將可蒐集的相對應數據集中，讓這些數據可以被應用，過去，憑經驗認為系統應該如何修改，現在，通過數據蒐集、分析，提供相對客觀的決策參考依據。</p> <p>IT也負責蒐集平臺上的使用行為數據，甚至要有能力用數據來了解使用者的行為模式，例如在不同階段的轉換率，以分析為何會產生落差，和前端業務單位共同探討原因。</p> <p>例如對使用者而言，使用服務的門檻是否過高？相關體驗設計是否做得不夠好？或是使用者填寫的欄位資料，和業務單位要求的欄位資料，在實務上有何衝突難處？</p> <p>過去業務單位需要的報表，提出數據分析的需求後，由IT部門產生，55688集團希望不只IT部門化被動為主動，和業務單位合作，甚至反過來業務單位也要具備數據分析的基本能力，根據分析需要設定幾個維度，產生BI報表，而不需要事事仰賴IT協助。</p> <p>但是，由於數據量相當龐大，分析需要耗費較多的運算資源、時間，例如今天開始分析數據，可能要到隔天才能產生結果，對於業務單位而言，難以滿足業務單位的需要，IT也難以針對短期的大量運算需要，採購多臺實體伺服器，徒增日常維運負擔，甚至在運算離峰時造成大量資源的閒置。</p> <p>為了解決這個問題，他們先將分散在不同系統的資料，通過統一標準在地端匯整在一起，讓不同部門得以使用一致的數據進行溝通，再和業務單位訪談，了解哪些數據需要即時分析，將這些數據上雲，利用雲端運算的大量運算資源，來縮短數據分析過程。</p> <p>通過雲端的大量運算資源彈性運用，過去可能要等到明天才能產生的分析結果，現在縮短到6秒完成，業務單位也能通過使用BI分析工具，可自行設計分析的維度，快速產生數據分析結果。對IT單位而言，不用採購大量伺服器、負擔設備維運工作，分析使用的雲端資源也在運算結束後自動釋出。</p> <p>「IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法」，南強說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-55688-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:22px;"><strong>55688集團資訊／研發事業群副總南強表示，IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法。</strong></span></span></p> <p><span style="font-size:28px;"><strong>根據乘車大數據開發AI模型預測乘車熱點</strong></span></p> <p>55688集團對於數據分析的重視，也反映在集團的第二代接班人身上，目前擔任55688集團執行長的林念臻，專長為企業管理，先前曾擔任台灣大車隊大數據發展事業處主管，她進入管理團隊後，更重視大數據應用，希望發掘更多數據的價值。</p> <p>南強表示，不論是執行長或是總經理，在公司尾牙等活動多次對內宣示，強調資料科學的重要性，高層期許不是只有IT部門或資料團隊，全公司都應該要重視資料科學、數據分析，親近它、應用它、擁抱它。相較於過去依靠經驗判斷，從數據面來驅動決策，不論決策最後的結果是對或錯，都是根據數據面作判斷。</p> <p>他們已經在乘車媒合服務大量借重數據分析。目前台灣大車隊擁有超過2.2萬輛計程車，為國內最大的計程車隊，但近幾年也面臨不小的挑戰，除了疫情期間民眾外出乘車需求減少，還有來自國外叫車服務科技巨頭的落地競爭，以及挾龐大生活服務平臺優勢的本土叫車業者，國內汽車龍頭更跨業進軍乘車服務市場。傳統計程車派遣服務，受到來自其他產業的跨業競爭，市場競爭變得更為激烈。</p> <p>「我們在營運面臨的困難是，司機加入車隊，如果收入不好，可能會退出大車隊，因此如何讓他們的收入逐漸變好是相當重要的課題，需要從大量數據獲得洞察，提供建議給司機，這是我們實際面臨的問題」，南強說。</p> <p>目前台灣大車隊約有2萬多輛計程車，約為國內計程車的4分之1，這些計程車每天在道路上行駛移動，等待路招或是接收車隊派遣載客，媒合系統需要蒐集每1秒計程車動態位置，結合民眾叫車需求，提高乘客與司機的媒合精準度。</p> <p>他們利用過去一年近8千萬趟的乘車大數據，一天平均約有22萬次乘車，根據天氣、地點、時間，加上特殊的節日、活動數據作為模型參數，綜合民眾乘車需要、環境因素，訓練建立機器學習模型，來預測民眾乘車的熱點，建議計程車司機在某個時間、前往熱點，增加旗下計程車成功載客的機會。</p> <p>南強表示，從派遣車隊經營來看，司機加入車隊後，如果沒有明顯增加收入，就可能跳槽至其他車隊，因此，提高司機收入才能留人。</p> <p>台灣大車隊應用民眾乘車大數據，利用AI預測民眾的叫車熱點，能動態預測不同的時間點，哪裡可能是乘車的熱點，建議司機前往哪些地方，來提高載客的機會，也能減少計程車空車在道路上繞行時間、耗油，這個AI預測的準確度達到96%。</p> <p>對於資歷較深的計程車司機來說，容易憑藉多年開車載客經驗判斷，哪個時間點、哪些地點比較容易載到客人，但對缺乏相關經驗的新手司機而言，花費許多時間，空車在路上繞行．等待路招乘車的機會，台灣大車隊開發這項AI預測乘車熱點技術，輔助新手司機，引導至預測的乘車熱點，來提高載客的機會。</p> <p>當使用者透過乘車App叫車，業者相當重視承接率，車隊能否即時派遣適合車輛前往提供服務，從乘客角度來看，手機內經常使用不只一種乘車App，如果民眾使用特定App叫車，因等待時間過長，最後放棄叫車，改用其他App叫車。因此，台灣大車隊開發AI模型預測乘車熱點，除了協助司機增加載客機會，提高他們的收入之外，也藉此調整車輛派遣管理，提高乘車服務的承接率，改善民眾叫車等候的體驗。</p> <p>如同前面提到的，55688集團的目標是將自家同名App發展為一個超級App，以單一管道提供使用者各種生活相關服務，增加服務的使用，帶動全集團營收的成長。</p> <p>因此，IT也會和業務單位合作，根據App使用行為數據，觀察不同的流程或體驗設計，如同電商廣告投放方式，對各種服務帶來的轉換率效果，如果轉換的效果不佳，再調整數據分析面向，搭配敏捷式開發，不斷通過驗證、調整決策，逐步設法提高轉換率，提高數位平臺上的服務使用率。</p> <p><span style="font-size:28px;"><strong>運用生成式AI提升工作效率</strong></span></p> <p>不只自行發展各種數據應用，外部當紅的ChatGPT浪潮，已有企業開始運用，55688集團也沒有落人後，他們先從IT的局部工作開始測試導入，例如網管人員撰寫程式監控系統，過去是由網管人員自己獨力寫程式，但每個設備指令往往不同，需要一一查詢確認指令，往往耗費較多的時間，現在則可利用ChatGPT產生程式框架，再由網管人員進行驗證。</p> <p>南強表示，ChatGPT的使用需要遵守企業的資安規範，不將企業機密內容上傳到ChatGPT的前提下，同仁經過試用ChatGPT後反映，確實能有效縮短程式開發時間。過去可能需要2、3天完成程式開發，現在可能只要半天就能完成。他認為企業善用AI工具，如同站在巨人肩膀上，由AI協助完成基礎工作，提高整體工作效率，企業只要將這些基礎進一步組合需要的應用即可。「這才是我們應該要做的」，南強堅定地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>南強</strong></span></p> <p>學歷：逢甲大學紡織工程研究所</p> <p>經歷：曾在工研院化工所任職，負責工廠自動化監控，後來加入台灣固網，在國內電信產業擁有多年的工作資歷，曾從事網管、ERP、帳務、資料庫等資訊相關工作，後來加入台灣大車隊，於2021年擔任55688集團資訊／研發事業群副總經理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span> </strong></span></p> <p><span style="color:#3399ff;"><strong>55688集團</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-55688-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p>地址：臺北市中山區長安東路2段162號2樓</p> <p>成立時間：2002年</p> <p>主要業務：集團從交通出行服務出發，擴展至生活媒合服務55688 APP。集團下業務涵蓋計程車隊派遣乘車服務、快遞、代駕、洗衣、車輛保修、旅遊等等。</p> <p>員工數：723人</p> <p>年營收：17億元（2022年）</p> <p>董事長：林村田</p> <p>總經理：楊榮輝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：55688集團資訊／研發事業群副總經理</p> <p>資訊部門主管姓名：南強</p> <p>直屬主管：55688集團執行長林念臻</p> <p>資訊部門人數：約100人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2011年：首次推出55688叫車App</p> <p>2015年：自主車輛派遣系統上線</p> <p>2021年：運用大數據打造AI預測叫車熱點技術，協助司機提高載客率</p> <p>2023年：App更新推出Super App，更新Icon外，更優化UI、UX體驗</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0630-55688-nan_qiang_-960.jpg" width="960" height="420" alt="" title="55688集團資訊／研發事業群副總南強　（攝影／洪政偉）" /></div></div></div>
2023/6/30 15:29作者蘇文彬https://www.ithome.com.tw/people/157576
微軟預覽混亂工程工具Developer Proxy，可避免365應用獲過度授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出混亂工程工具Microsoft 365 Developer Proxy最新<a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-365-developer-proxy-v0-9-with-over-consenting-guidance/">0.9預覽版</a>，Developer Proxy是一個命令列工具，可用來測試Microsoft Graph、SharePoint Online以及其他HTTP API的行為，在最新的預覽版本中，Developer Proxy讓用戶能夠檢測使用Microsoft Graph API建置應用程式，所存在的過度授權問題。</p> <p>Microsoft Graph是微軟所提供的統一RESTful API，供開發者使用單一API呼叫存取不同微軟雲端服務的資料和功能，包括Microsoft 365、Windows，以及企業行動與安全性服務。開發者透過Microsoft Graph這個資料入口，跨平臺存取資料，建立可加速企業工作流程的應用。</p> <p>Microsoft Graph API讓開發者可以存取並且操作Microsoft 365中的大量資料，其使用OAuth 2.0授權架構，限制敏感資料只有具有適當權限的應用程式和用戶能夠操作，但是開發者在使用Microsoft Graph API的過程，常會出現過度授權的問題。</p> <p>當應用程式獲得權限過多，該應用程式被攻擊或是濫用時，就可能造成大量資料洩漏，開發者在設計應用程式時，需要儘量使用最小的權限，而Developer Proxy則可以協助開發者達成這個目的，在之前的版本，Developer Proxy已經可以自動偵測應用程式呼叫API所需的最低權限，而在Developer Proxy 0.9版本中，官方針對最小權限相關控制，進一步添加能夠發現應用程式擁有過度權限的套件。</p> <p>這個新的最小權限套件會捕捉應用程式所發出的一系列Microsoft Graph API請求，並且與存取權杖的角色或是範圍相比較，當權杖所擁有的權限，超過應用程式API請求所需的最小權限時，便會向用戶發出警示。官方提到，這些權限比較工作會在本地端運作，因此用戶的權杖不會被上傳到外部API。</p> </div></div></div>
2023/6/30 15:59作者李建興https://www.ithome.com.tw/news/157577