iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

通過圖靈驗證從雲端檔案共享空間下載檔案要小心！有人透過冒牌Cloudflare圖靈驗證散布惡意軟體Latrodectus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似由惡意程式IcedID開發的另一款惡意軟體Latrodectus，日前有多組研究人員發現相關攻擊行動，對方將其當作後門運用，並於受害電腦側載EXE或DLL有效酬載，或是下達命令，最近又有新一波攻擊出現。</p> <p>研究人員ProxyLife與Cryptolaemus指出，<a href="https://www.bleepingcomputer.com/news/security/new-latrodectus-malware-attacks-use-microsoft-cloudflare-themes/">攻擊者藉由回信互動型的網釣郵件（reply-chain phishing emails）來發動攻擊</a>，當中通常會含有PDF附件或是URL，一旦收信人依照指示開啟附件，或是點選URL，就有可能看到檔案存放於微軟Azure雲端空間的訊息。</p> <p>若是點選下載文件檔案的按鈕，收信人就會被導向偽造的Cloudflare圖靈驗證流程，要求解開簡單的數學問題。研究人員指出，駭客這麼做的目的，就是為了迴避資安系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/solved-cloudflare-captcha-download-file.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，一旦收信人輸入正確答案，電腦就會自動下載經重度混淆處理的JavaScript指令碼，執行後將從特定URL下載MSI安裝檔，於受害電腦植入DLL程式庫Latrodectus，並透過rundll32.exe載入，在後臺運作，等待接收惡意酬載或是攻擊者的命令。</p> </div></div></div>
2024/5/2 16:38作者周峻佑https://www.ithome.com.tw/news/162640
Nvidia更新ChatRTX聊天機器人以支援語音提示及更多模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/ai-decoded-chatrtx-update/" target="_blank">Nvidia本周更新</a>其基於生成式預訓練模型（Generative Pre-trained Transformer，GPT）與Nvidia RTX系列GPU的ChatRTX聊天機器人，它可支援更多的開源模型，具備語音查詢能力，並可辨識圖片。</p> <p>ChatRTX為一由Nvidia所開發的GPT聊天機器人示範程式，在選擇了大型語言模型之後（LLM），使用者即可將它連至自己的文件、筆記、圖片或其它資料，藉由檢索增強生成（Retrieval-Augmented Generation，RAG）技術、TensorRT-LLM軟體與RTX加速，即可向此一客製化的聊天機器人提出問題，並得到相關的解答。由於它是直接在Windows PC或工作站上執行，可確保隱私及安全。</p> <p>Nvidia是<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/" target="_blank">在今年2月發表</a>ChatRTX，其系統需求包括Nvidia GeForce RTX 30/40系列GPU、Nvidia RTX Ampere或Ada Generation GPU，執行Windows 11作業系統，以及必須具備16GB或更多記憶體。</p> <p>使用者可透過ChatRTX將本地端的檔案當作資料集，首個版本支援.txt、.pdf、.doc/.docx和.xml等檔案格式，連至諸如Mistral或Llama 2的開源大型語言模型，以利用ChatRTX來查詢筆記及檔案，而且是在使用者的裝置上執行。</p> <p>新版增加了對Gemma與ChatGLM3模型的支援，也支援語言及圖像對比預訓練（CLIP）神經網路，並透過對Whisper的支援提供了語音查詢能力，額外支援jpeg、gif及png檔案格式。因此，現在使用者除了可以文字及語音與ChatRTX對話之外，還能搜尋照片與圖片。</p> <p><a href="https://www.nvidia.com/en-us/ai-on-rtx/chatrtx/" target="_blank">ChatRTX開放所有使用者免費下載</a>。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=zMROAxJQ7rk&embeds_referring_euri=https%3A%2F%2Fblogs.nvidia.com%2F" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-ChatRTX%20Update%20vedio.png" style="width: 500px;" /></a></p> </div></div></div>
2024/5/2 16:56作者陳曉莉https://www.ithome.com.tw/news/162641
攻擊者濫用Docker Hub映像檔儲存庫出現新的手法！近3百萬儲存庫被用於推送惡意程式、架設釣魚網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者濫用Docker Hub映像檔儲存庫的情況，最常見的手法是上傳帶有惡意元件的映像檔，再從目標Kubernetes環境拉取，而能於受害系統植入惡意程式，從事相關攻擊。但也有其他駭客以不同方式濫用這種儲存庫，其手法的共通點，就是沒有上傳Docker映像檔。</p> <p>資安業者JFrog揭露<a href="https://jfrog.com/blog/attacks-on-docker-with-millions-of-malicious-repositories-spread-malware-and-phishing-scams/">濫用映像檔儲存庫Docker Hub的攻擊行動</a>，就屬於這種例子。研究人員發現這波攻擊行動的原因，在於他們找到近460萬個並未包含Docker映像檔的儲存庫，研究人員進一步清查，結果發約有281萬個被用於攻擊行動，占全部的18.7%，換言之，平均每6個Docker Hub儲存庫就有1個被用於惡意行為。</p> <p>這些遭到濫用的Docker Hub儲存庫，大致上攻擊者將其用於3種類型的攻擊，其中大部分是被用於聲稱提供盜版軟體、遊戲作弊程式下載器（Downloader）的惡意軟體攻擊，有1,453,228個，占整體儲存庫的9.7%；其次是佯稱提供電子書的網路釣魚攻擊（eBook Phishing），有1,069,160個儲存庫被用來從事這類攻擊，占整體的7.1%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-Img5-1-1.jpg" style="width: 580px;" /></a></p> <p>其中，針對前述的「下載器」攻擊，對方分別在2021年及去年發動兩波行動，而且，前後都使用完全相同的惡意酬載進行。一旦使用者依照指示操作對方提供的下載程式，電腦就會被部署惡意軟體。研究人員推測，這很有可能是大規模惡意軟體攻擊行動的一部分。</p> <p>而對於電子書網釣的部分，攻擊者聲稱提供完整版的電子書免費下載，若是使用者依照指示點選URL，就會被重新導向至另一個釣魚網頁，要求輸入信用卡資料。</p> <p>比較特別的是被研究人員歸類為「網站搜尋引擎最佳化（Website SEO）」的儲存庫濫用行為，這些儲存庫的內容多半無害，但對於攻擊目的的部分，研究人員表示並不清楚，推測對方很有可能是在從事真正的攻擊行動之前，將這些儲存庫拿來進行壓力測試。</p> </div></div></div>
2024/5/2 15:39作者周峻佑https://www.ithome.com.tw/news/162636
Google在2022年支付200億美元，以成為蘋果Safari預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部在2020年10月<a href="https://www.ithome.com.tw/news/140636" target="_blank">控告Google以不當手段</a>，維持其在搜尋與搜尋廣告業務上的壟斷地位，雙方的攻防揭露了Google許多不為人知的商業策略，包括支付大筆金額以讓Google搜尋成為其它瀏覽器的預設搜尋引擎，本周<a href="https://www.bloomberg.com/news/articles/2024-05-01/google-s-payments-to-apple-reached-20-billion-in-2022-cue-says" target="_blank">《彭博社》</a>（Bloomberg）引用最新公開的法院文件報導，光是在2022年，Google就付給蘋果200億美元，以讓Google成為Safari的預設搜尋引擎。</p> <p>報導指出，蘋果與Google早在2002年便展開合作，初期雙方屬於策略聯盟，並未涉及金錢交易，之後才協議讓蘋果可分享Google搜尋的廣告營收，且從2021年的5月起，Google每月支付給蘋果的搜尋廣告分潤就超過10億美元。</p> <p>先前便有<a href="https://www.ithome.com.tw/news/146417" target="_blank">分析師估計</a>，Google在2020年付給蘋果100億美元，2021年是150億美元。而根據《彭博社》的報導，Google付給蘋果的搜尋廣告營收比重為36%，在2022年達到200億美元。</p> <p>不過，在2022年的<a href="https://abc.xyz/assets/c4/d3/fb142c0f4a78a278d96ad5597ad9/2022q4-alphabet-earnings-release.pdf" target="_blank">Google財報</a>中，當年的Google搜尋廣告營收為426億美元，以36%的比重來看只有153億美元，分潤要接近一半才能達到200億美元。</p> <p>只是不論是哪個數字，都顯現了Google為了成為Safari預設搜尋引擎所願意負擔的成本，不只是蘋果，Google也與Mozilla簽署了類似的協議，<a href="https://www.theregister.com/2020/08/14/mozilla_google_search/" target="_blank">《The Register》</a>報導，自2021年至2023年間，Google每年大約支付4億至4.5億美元予Mozilla，以成為Firefox的預設搜尋引擎。</p> <p>最新的法院文件也透露，其實微軟也曾想要取代Google，成為Safari的預設搜尋引擎，並提出高達9成的廣告分潤，結果遭到蘋果拒絕。</p> <p><a href="https://www.courthousenews.com/landmark-google-antitrust-case-set-to-wrap-after-long-break/" target="_blank">《Courthouse News Service》</a>則報導，蘋果資深副總裁Eddy Cue在為此案作證時表示，蘋果之所以與Google達成獨家協議，是因為Google提供了市場上最好的產品，雙方的合作是互惠的。</p> </div></div></div>
2024/5/2 13:17作者陳曉莉https://www.ithome.com.tw/news/162634
惡意程式Cuttlefish鎖定小型路由器而來，企圖透過監控流量盜取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen揭露<a href="https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware/">專門針對家用及小型辦公室路由器而來的惡意程式Cuttlefish</a>，主要用途是從LAN流量發出的請求當中挖掘帳密及各式身分驗證資料，但也能用於DNS及HTTP挾持，讓攻擊者存取受害組織的內部網路環境。</p> <p>研究人員指出，此惡意軟體還能透過零點擊攻擊的能力，藉由網路邊際設備擷取使用者及裝置的資料，並會透過被動的狀態嗅探封包，而且只有在符合駭客事先定義的環境條件下，才會啟動進行相關工作。Cuttlefish採用的封包探測器主要功能，就是在挖掘身分驗證資料，特別針對公有雲服務而來。</p> <p>為了隱匿行蹤，攻擊者透過VPN隧道，或是濫用合法裝置而成的代理伺服器（Residential Proxies）來建立連線，並透過外流的帳密資料存取目標裝置，這麼做的目的，很可能就是要迴避異常登入的有關偵測機制。</p> <p>根據研究人員的分析，這波攻擊行動從去年10月發生，到今年4月下旬結束。不過這款惡意程式出現的時間更早，他們去年7月27日就看到該惡意程式的行動。</p> <p>而受害者所在的地理位置，主要是土耳其，根據對於C2伺服器的連線，研究人員看到在去年10月初的大規模攻擊行動裡，有99%來自土耳其的IP位址，其中約93%來自兩家電信網路服務供應商，受害組織包含當地航空業者、衛星服務供應商。但除此之外，他們也看到仰賴該國網路基礎設施的其他組織受害。</p> <p>但究竟對方怎麼入侵這些路由器？研究人員表示並不清楚，然而，一旦得逞，攻擊者就會下載bash指令碼，收集特定主機資料並傳至C2，接著，這個指令碼也會下載Cuttlefish並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuttlefish1.png" style="width: 580px;" /></a></p> <p>至於攻擊者的身分，研究人員並未透露具備的駭客組織國藉或是名稱。但他們對於其程式碼進行分析，結果發現Cuttlefish與另一款名為HiatusRAT的惡意程式攻擊行動有關，兩者的目標都與中國利益有關，言下之意很有可能就是該國的駭客所為。</p> </div></div></div>
2024/5/2 12:48作者周峻佑https://www.ithome.com.tw/news/162633
Anthropic發表AI助理Claude免費iOS程式及企業方案Team
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被外界視為最有潛力挑戰OpenAI的Anthropic，於周三（5/1）發表了<a href="https://www.anthropic.com/news/team-plan-and-ios" target="_blank">免費的iOS程式</a>及首個企業方案Claude Team，目前Claude iOS已開放下載，而Claude Team最少的訂閱數量為5名成員。</p> <p>Anthropic原本提供免費及Pro兩種方案，任何人都可註冊免費版，目前的免費版可存取Claude 3 Sonnet模型，提供網頁版及iOS/iPad程式，每月訂閱費率20美元的Pro版則可存取Claude 3 Opus，可在流量高峰時優先使用，亦能搶先體驗新功能。</p> <p>至於新的Team方案則涵蓋了Pro版的所有功能，但額外提供更多的使用量，可存取Claude 3的所有家族模型，包括Opus、Sonnet 和 Haiku，支援20萬個Token的脈絡，也提供了集中計費及管理工具，並可提前試用各種協作功能，其每人每月訂閱費率為30美元，最少訂閱數量為5名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-Claude%20Team%20plan-create%20project(1).png" style="width: 600px;" /></p> <p>Anthropic計畫於未來幾周推出新的協作功能，包括透過可靠來源來驗證AI所生成的主張，或者是整合程式碼庫或客戶關係管理系統等資料庫，也可與同事共同修改由AI生成的文字或專案。</p> <p>而免費的Claude iOS程式則可接續來自網頁的聊天內容，亦支援視覺功能，可上傳手機上或新拍攝的照片進行分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Anthropic-%20Claude%20iOS%20app-600.png" style="width: 454px;" /></p> <p>Anthropic是在今年3月發表<a href="https://www.ithome.com.tw/news/161610" target="_blank">Claude 3模型家族</a>，並被研究人員視為是<a href="https://www.ithome.com.tw/news/161705" target="_blank">最有潛力挑戰OpenAI GPT-4</a>的模型。由出自OpenAI的兄妹Dario Amodei與Daniela Amodei共同創辦的Anthropic，亦是Google及Amazon<a href="https://www.ithome.com.tw/news/159545" target="_blank">爭相投資</a>的AI新秀。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/5/2 11:45作者陳曉莉https://www.ithome.com.tw/news/162632
MongoDB推出一站式企業GAI應用開發工具方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NoSQL資料庫供應商<a href="https://investors.mongodb.com/news-releases/news-release-details/mongodb-launches-new-program-enterprises-build-modern" target="_blank">MongoDB公布名為MongoDB AI應用方案</a>（MongoDB AI Application Program，MAAP）的一站式開發工具方案，協助企業端到端開發及部署具有生成式AI（GAI）的企業應用。</p> <p>MAAP包含MongoDB及其夥伴提供的軟體工具、基礎架構及服務的一站式企業工具，涵括顧問服務、基礎模型、雲端基礎架構、生成式AI框架與模型代管服務，協助企業從設計、建造、部署及擴增完成生成式AI應用的開發。</p> <p>這項方案以MongoDB的雲端資料庫MongoDB Atlas為基礎，搭配該公司企業服務，以及合作夥伴提供的工具及服務。合作夥伴包括大型雲端平臺如微軟Azure、 Google Cloud、Amazon Web Services（AWS），專業代管平臺Anyscale、 Together AI、服務業者PeerIslands、企業搜尋方案Pureinsights、AI基礎模型業者Anthropic、Cohere、Fireworks.ai，以及開發工具及框架供應商如Credal.ai、gravity9、 LangChain、 LlamaIndex、Nomic等。</p> </div></div></div>
2024/5/2 10:16作者林妍溱https://www.ithome.com.tw/news/162625
程式開發語言R爆有程式碼執行漏洞，可用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hiddenlayer.com/research/r-bitrary-code-execution/" target="_blank">開源碼程式語言R被發現</a>有一個允許攻擊者執行惡意程式碼的重大漏洞，開發機構本周發布新版修補。</p> <p>本漏洞為資安業者HiddenLayer研究人員Kasimir Schulz和Kieran Evans通報，命名為CVE-2024-27322。<a href="https://www.kb.cert.org/vuls/id/238194" target="_blank">CERT公告</a>說明，最新漏洞為一反序列化（deserialization）瑕疵，允許惡意檔案在反序列化時執行任意程式碼。這項攻擊若牽涉套件，則可能引發供應鏈攻擊。本漏洞風險值被列為8.8。</p> <p>R語言支援資料序列化（data serialization）。序列化是指將物件轉換成可儲存格式，反序列化則是將儲存格式轉換成物件。序列化和反序列化發生在資料儲存及網路上傳輸，對開發人員來說，也經常發生在程式開發過程中：從套件庫下載套件即牽涉反序列化。但序列化與反序列化過程很容易遭到惡意人士濫用。</p> <p>R語言開發使用RDS檔案格式進行序列化資料的儲存或傳送。RDS格式包括二種：.rdb檔及.rdx檔。R程式執行過程使用readRDS函式從套件庫讀取這二種檔案，再以eva1函式評估檔案中的表達式（expression）的值，以便將物件由RDS檔解壓縮並反序列化，在目標平臺上執行。</p> <p>研究人員指出，CVE-2024-27322即牽涉R程式序列化／反序列化過程中，利用　promise物件及惰性求值（lazy evaluation）。在反序列化載入RDS檔或套件時，由於R支援惰性求值（lazy evaluation），未能及時檢查Promise物件RDS檔中的指令值。攻擊者可建立包含有特定指令值的RDS檔，再以社交工程誘使使用者下載。因此若是惡意RDS檔，則使用者程式參照RDS檔時就會直接執行指令程式碼。若物件是組譯成R套件，攻擊者可將之加入R儲存庫中，等其他使用者載入該套件時即執行程式碼。研究人員指出，一旦攻擊者只要能覆寫掉原本的.rdx或.rdb檔，就能以R套件發動供應鏈攻擊。</p> <p>不過在獲得通報後，<a href="https://cran.r-project.org/doc/manuals/r-release/NEWS.html" target="_blank">R語言開發單位已發布新版本R Core Version 4.4.0</a>解決這項漏洞。安全廠商呼籲開發人員儘速更新。</p> </div></div></div>
2024/5/2 11:13作者林妍溱https://www.ithome.com.tw/news/162626
Amazon Q正式登場，預覽可自動建置AI程式的Amazon Q Apps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://press.aboutamazon.com/2024/4/aws-announces-general-availability-of-amazon-q-the-most-capable-generative-ai-powered-assistant-for-accelerating-software-development-and-leveraging-companies-internal-data" target="_blank">宣布全面推出</a>於去年11月<a href="https://www.ithome.com.tw/news/160064" target="_blank">發表</a>的AI聊天機器人Amazon Q，並開始預覽可自動建置基於生成式AI之應用程式的Amazon Q Apps。</p> <p>能以自然語言溝通的Amazon Q現階段僅專注於企業應用，並未支援一般消費者使用，它提供<a href="https://aws.amazon.com/tw/blogs/aws/amazon-q-business-now-generally-available-helps-boost-workforce-productivity-with-generative-ai/" target="_blank">Amazon Q Business</a>及Amazon Q Developer兩種版本，前者每名使用者的每月訂閱費用為20美元，後者則是25美元。</p> <p>Amazon Q Business主要的功用在於組織企業內部的資料庫，可連結逾40種企業系統，涵蓋Amazon S3、Salesforce、Google Drive、Microsoft 365、ServiceNow、Gmail、Slack、Atlassian 及 Zendesk等，亦可連結企業的身分服務供應商，以依據使用者的角色及可存取的資料提供相關且精確的解答。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-amazon%20q-business-1-diagram-1.jpg" style="width: 600px;" /></p> <p>Amazon Q Business也可協助使用者自動產生所需的內容或完成各種任務，不管是會議紀錄的摘要，撰寫電子郵件或部落格，亦可於Amazon的BI服務QuickSight中使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20in%20QuickSight-3.png" style="width: 600px;" /></p> <p>至於Amazon Q Developer除了擁有Amazon Q Business版本的所有功能之外，額外具備了開發者能力。例如它是個AWS專家，可提供各種AWS功能、服務及解決方案的指導，或者是優化所使用的AWS資源，更重要的是它還能協助開發者偵錯、測試及最佳化程式碼；或是最佳化應用程式；還能以自然語言解釋程式碼，協助開發者快速熟悉陌生的專案與程式碼；協助升級程式碼；將自然語言轉換成SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q%20Developer%20chatting-600.png" style="width: 600px;" /></p> <p>Amazon Q Developer聊天介面可支援AWS控制臺、AWS Console、Slack、Microsoft Teams，以及各種熱門的整合開發環境（IDE）。</p> <p>由於Amazon Q可依據企業內部的程式碼庫自行定義適合的程式碼撰寫規定，先前曾試用Amazon Q Developer的BT Group宣稱該公司接受了Amazon Q所提出的37%的程式碼建議，澳洲國家銀行（National Australia Bank）則說它們接受了50%的程式碼建議。</p> <p>至於自本周開始預覽的Amazon Q Apps則允許使用者以自然語言，描述所需的應用程式，就能自動產生基於生成式AI的應用程式，而無需任何撰寫程式碼的經驗，例如人力資源部門要替新進員工制定入職計畫時，只要說明要依照公司既有的最佳實踐替新進員工建立入職計畫，必須具備員工編號欄位，Amazon Q Apps可在幾秒內生成一個可供不同招聘團隊使用的應用程式，替不同的新員工打造個人化的入職計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-Amazon%20Q-app%20creator.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/5/1 14:47作者陳曉莉https://www.ithome.com.tw/news/162610
微軟要在印尼投資17億美元以建置雲端及AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周二（4/30）於印尼舉行的<a href="https://news.microsoft.com/apac/2024/04/30/microsoft-announces-us1-7-billion-investment-to-advance-indonesias-cloud-and-ai-ambitions/" target="_blank">Microsoft Build：AI Day會議上宣布</a>，將投入17億美元以推動印尼的雲端及AI基礎設施，並替當地84萬名人口提供AI技能機會，這也是微軟29年來在印尼最大的一筆投資。</p> <p>此一投資可望替印尼的AI轉型奠定基礎，其中包括建立微軟於印尼的第一個資料中心區域，以滿足當地對雲端運算服務日益增加的需求。此外，根據Kearney的研究，AI將替東南亞的國內生產總值（GDP）帶來1兆美元的貢獻，而印尼便占了3,660億美元。</p> <p>此外，微軟也計畫訓練當地的AI人才，對象包括學生、女性、弱勢及非營利組織的社群，預計讓84萬名人口取得AI技能。</p> <p>儘管印尼被列為開發中國家，但該國為全球第四大人口國，也是亞太地區僅次於中國及印度的第三大人口國，而印尼亦擁有310萬的GitHub開發者，同樣名列亞太地區第三名。</p> <p>根據<a href="https://github.blog/2023-11-08-the-state-of-open-source-and-ai/" target="_blank">GitHub去年底的統計</a>，從全球來看，美國、印度與中國為該平臺前三大開發者社群，印尼則排名第九；該統計也列出了亞太地區成長最快的社群，前五名依序是新加坡（年增39%）、印度（36%）、香港（35%）、越南（34%）與印尼（31%），然而，除了印度與印尼之外，並無其它國家入選全球前十大GitHub社群，微軟則預期印尼將在2026年擠上全球前五名。</p> </div></div></div>
2024/5/1 15:06作者陳曉莉https://www.ithome.com.tw/news/162611
傳蘋果挖角Google人才、成立歐洲AI實驗室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在AI領域急起直追，透過挖角及收購新創公司，強化研發實力，並已在瑞士悄悄成立AI實驗室。</p> <p>《<a href="https://www.ft.com/content/87054a60-dc4d-4238-a4b9-93ab48f22f56" target="_blank">金融時報</a>》分析LinkedIn使用者動態及蘋果公開職缺資訊報導，蘋果近來積極招募人才以擴充AI及機器學習部門，其中似乎特別鎖定Google AI員工。</p> <p>蘋果<a href="https://www.ithome.com.tw/news/127847" target="_blank">2018年找來</a>Google AI及搜尋部門主管John Giannandrea，隨後任命他為機器學習和人工智慧策略部門資深副總裁，主導將AI整合到蘋果所有產品，以及改善Core ML等開發工具，以創造「更個人化、智慧化的自然互動」。《金融時報》報導，蘋果近來又從Google挖來至少36人。</p> <p>報導另外指出，這家iPhone製造商也在瑞士蘇黎世悄悄成立AI實驗室。因為蘇黎世理工學院的關係，Nvidia、蘋果及Meta都在當地設有分公司。但報導引述蘇黎世理工學院（ETH Zurich）教授Luc van Gool指出，蘋果近日又在當地成立一個名為Vision Lab的實驗室，成員來自當地二家AI新創公司。一是發展臉部表情及3D動作捕捉技術供應商Faceshift，二是用於電商平臺圖像辨識業者Fashwell。其實蘋果已分別在2015年及2019年收購這二家公司。</p> <p>報導引述Vision Lab發表的論文，顯示已有生成式AI研發成果。像是用戶可以文字或圖片輸入提示，由代理程式查詢結果。例如用戶將相機對準衣服拍照或查詢「這哪裏有賣？」，代理程式即回傳可購買的店家或網站。</p> <p>這家iPhone及Mac電腦製造商希望能為裝置加入AI功能以深化服務，維持銷售動能。蘋果執行長Tim Cook曾在年初宣布今年內會有AI相關產品推出。雖然官方還是沒有說明其AI進展，但上周蘋果研發部門<a href="https://www.ithome.com.tw/news/162544" target="_blank">公布OpenELM AI模型</a>系列，最小者為2.7億參數，已具有在裝置上執行提示的能力。</p> </div></div></div>
2024/5/1 15:18作者林妍溱https://www.ithome.com.tw/news/162612
Android通用核心將移除RISC-V支援，但Google否認不再支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.androidauthority.com/android-drop-risc-v-kernel-3438330/" target="_blank">Android Authority</a>》報導，Google的Android共通核心（Android Common Kernel，ACK）近日更新，移除了對RISC-V指令的支援。但Google團隊仍表示會持續支援該架構。</p> <p>Google Android系統團隊本周發布AOSP（Android Open Source Project）一系列修補程式，將移除ACK對RISC-V64的支援。這些修補程式的描述文字表示，「將終止對RISC64 GKI核心的支援。」GKI（General Kernel Image）是ACK分支之一加上跨硬體執行的程式碼，目標是提供通用的、可移植的核心映像，減少裝置製造商的工作量，確保Android安全性及可攜性。</p> <p>對期待Android支援RISC-V的開發人員或產業人士而言，這是一大挫敗。RISC-V作為開源指令集架構，結合效能及功率效益，受到物聯網（IoT）、車用及穿戴裝置開發商愛用以支援新式應用。例如高通、Bosch、英飛凌（Infineon）、恩智浦（NXP）<a href="https://www.qualcomm.com/news/releases/2023/08/leading-semiconductor-industry-players-join-forces-to-accelerate" target="_blank">去年宣布成立合資公司</a>以開發RISC-V架構的處理器。</p> <p>在Google方面，這家軟體平臺大廠去年1月宣布ACK支援RISC-V架構，並<a href="https://github.com/riscv-android-src/riscv-android?tab=readme-ov-file" target="_blank">持續更新</a>加入其他工具。去年10月<a href="https://www.ithome.com.tw/news/159332" target="_blank">Google和高通宣布</a>合作開發穿戴裝置用的RISC-V晶片（品牌名為RISC-V Snapdragon Wear），<a href="https://www.ithome.com.tw/news/159576" target="_blank">Google並宣布</a>推進支援，將在今年公布模擬器，讓Android開發人員能編寫RISC-V平臺的原生程式碼。外界原本預期或許會有RISC-V晶片的WearOS智慧型手錶。</p> <p>在ACK移除對RISC-V核心、Build及模擬器的支援後，任何公司想組譯可執行在RISC-V平臺的Android，未來就必須自行維護具有ACK和相關程式碼的Linux核心。雖然媒體推測這也意謂著Android將完全不再支援RISC-V。但Google對媒體表示，Android還是會持續支援。Google解釋，GKI迭代速度很快，因此公司尚未準備好提供通用的單一映像檔。</p> <p>在Google有進一步支援（或不支援）的行動前，Android Authority指出，由於Google目前只有驗證包含特定ACK分支的GKI核心，這表示短期間內不會看到Android on RISC-V的硬體問世。</p> <p>這項行動和Google將資源全數集中投資巨大的AI是否有關不得而知。<a href="https://www.ithome.com.tw/news/162586" target="_blank">Google本周傳出</a>將裁減開發工具Python、Flutter、Dart等部門人力，將工作移轉到成本較低的海外地區。</p> </div></div></div>
2024/5/1 14:15作者林妍溱https://www.ithome.com.tw/news/162609
Amazon首季營收成長13%，AWS成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周二（4/30）<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-First-Quarter-Results-68b9258cd/" target="_blank">公布今年第一季財報</a>，該季的總營收達到1,433億美元，成長13%。其中，AWS的營收占了250億美元，成長17%，整體而言，Amazon的淨收入達到104億美元，比去年同期增加了225%，當天Amazon的盤後股價上漲了1.26%，為177.2美元。</p> <p>該季Amazon的北美零售業務締造863.4億美元的營收，成長12.3%，營業利潤為49.8億美元，成長454%。國際零售業務營收為319.4億美元，成長9.7%，但營業利潤為9億美元，去年同期則是虧損12.5億美元。至於AWS該季營收則為250.4億美元，成長17%，但營業利潤達94.2億美元，成長84%。</p> <p>Amazon執行長Andy Jassy表示，隨著各家公司強化其基礎設施以更加現代化，再加上AWS的AI功能所帶來的吸引力，AWS的成長率正在重新加速，以第一季來看，AWS的年收入將可達到1,000億美元。</p> <p>此外，Amazon在零售業務上不僅開始提供每日低價產品，並加快送貨速度，亦力求降低服務成本；同時Stores及Prime Video的廣告業務也正在成長。該季Amazon的廣告營收達118億美元，年增24%，是Amazon服務細項中成長最快的類別。</p> <p>目前Amazon的全球員工數為152.1萬人，年增4%，而這也是最近6季以來，員工數唯一呈現正成長的一季，顯示應已脫離疫情後的裁員潮。</p> </div></div></div>
2024/5/1 12:23作者陳曉莉https://www.ithome.com.tw/news/162604
幣安前執行長趙長鵬被判刑4個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為全球最大加密貨幣平臺幣安（Binance）創辦人暨前執行長的趙長鵬，在去年11月<a href="https://www.ithome.com.tw/news/159946" target="_blank">承認參與洗錢活動</a>之後，在本周二（4/30）舉行的量刑聽證會中，美國法官Richard Jones判處了4個月的監禁，相較於美國司法部所求處的3年刑期，或者是另一加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/162034" target="_blank">FTX創辦人被判處</a>的25年刑期，這對趙長鵬來說應是個好消息。</p> <p>美國的調查顯示，幣安既未確實履行反洗錢計畫，也無視美國的制裁規定，依舊允許遭到美國制裁的國家與美國用戶交易，例如美國用戶與伊朗用戶之間的交易就超過9億美元。法官認為幣安將公司成長及獲利置於美國法令之上，且同時違反了美國的多項法令，最終幣安同意支付43億美元的罰款，而趙長鵬則同意辭去執行長一職，亦支付了5,000萬美元的罰款。</p> <p>在對趙長鵬的量刑中，儘管Jones認為趙長鵬擁有必要的資金、財務能力與人力，卻未能抓住遵守美國法令的機會，但也說並無證據顯示趙長鵬曾被告知幣安的非法活動。</p> <p>Jones也說他閱讀了大量來自趙長鵬親友的支持信件，發現他們對趙長鵬的描述都是一致的，亦即他是個慈善家，再加上趙長鵬是自與美國沒有引渡條款的阿拉伯聯合大公國自願來美受審，都讓他決定輕判。</p> <p>其實在量刑之前，趙長鵬自己就寄了<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.1.pdf" target="_blank">道歉信</a>給法官，另外，法官還至少收到了超過160封<a href="https://storage.courtlistener.com/recap/gov.uscourts.wawd.328570/gov.uscourts.wawd.328570.81.2.pdf" target="_blank">支持趙長鵬的信件</a>，當中包括來自趙長鵬妻子何一（He Yi）的信件（有中、英文版）。</p> <p>外界估計趙長鵬依然握有幣安的主要股權，身價高達330億美元。</p> </div></div></div>
2024/5/1 11:46作者陳曉莉https://www.ithome.com.tw/news/162603
Brocade儲存區域網路管理軟體發現多個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html#suspicious-network-traffic-www.gridgain.com">資安研究人員Pierre Barre在Brocade儲存區域網路（SAN）管理軟體SANnav發現多個漏洞</a>，可能被用來攻擊光纖通道（Fibre Channel）交換器與SAN基礎設施。</p> <p>SANnav包括SANnav Management Portal與SANnav Global View等2項元件，可透過圖形化介面，提供自動化的SAN管理服務，幫助用戶簡化SAN環境的管理作業，免除繁瑣指令，並以易於理解的可視化資訊，掌握SAN環境的運作。</p> <p>Pierre Barre通報的SANnav軟體漏洞一共有18個，會影響2.3.0版以前的所有SANnav版本，其中有15個漏洞已被指派CVE識別碼。</p> <p>Pierre Barre早在2022年9月時，便透過Dell向Brocade通報這些問題，但當時Barre測試的SANnav版本是2.1.1版，而Brocade已推出新的2.2.2版，因而未接受Barre的安全通報。後來Barre在2023年5月確認2.2.2版仍存在這些漏洞，並額外通報3個新漏洞，Borcade才正式承認這些漏洞，並於2024年4月發布修正檔，將SANnav更新到2.3.1版以修補這些漏洞。</p> <p>第1個漏洞CVE-2024-4159，是因為SANnav的虛擬機器缺乏預設防火牆保護，從而允許攻擊者存取SANnav內含的Apache Kafka事件串流平臺API。</p> <p>第2個漏洞未獲CVE識別碼，是SANnav的HTTPS連接如果遭到攻擊者阻擋時，將會轉用HTTP來連接，從而讓攻擊者可以從SANnav的資料傳輸中尋找密碼資訊。</p> <p>第3個漏洞CVE-2024-4161，SANnav是透過未加密的明文，來接收Brocade光纖交換器的系統日誌（Syslog）流量。</p> <p>第4個漏洞CVE-2024-29966，與未獲CVE識別碼的第5個漏洞，分別是不安全的系統帳戶root與sannav，前者的密碼是在產品文件中公開的，而後者也使用相同密碼。</p> <p>第6個漏洞CVE-2024-2859，是系統預設可以透過root權限，在OpenSSH 設定檔設定不安全的選項。</p> <p>第7個漏洞CVE-2024-29961，與第17個漏洞CVE-2024-29961，都是SANnav存在可疑網路流量的問題，分別會向ignite.apache.org與<a href="http://www.gridgain.com">www.gridgain.com</a>定期發送HTTPS請求，讓人不解且顯得可疑。</p> <p>第8個漏洞未獲CVE編號，以及第9個漏洞CVE-2024-29967，都是SANnav的Postgres資料庫存取不安全，Postgres資料庫存取沒有身分認證機制，可透過任何Docker執行個體存取，並藉此存取內含敏感資料的dcmdb資料庫，且能覆寫Postgres Docker執行個體的關鍵檔案。</p> <p>第10個漏洞CVE-2024-29967與第11個漏洞CVE-2024-29964，都是SANnav的Docker執行個體運作不安全，允許攻擊者透過取代特定目錄中的二進位檔案來接管SANnav，且任何Docker執行個體都能編輯系統與日誌的組態；此外，構成SANnav的40個Docker執行個體，彼此間是以HTTP互連，配置上也存在多個漏洞，其中4個執行個體擁有較大的權限，可允許攻擊者接管整個SANnav。</p> <p>第12個漏洞CVE-2024-29965是不安全的備份程序，擁有本機存取權限的攻擊者可以將SANnav的備份檔案還原到其他裝置上，進而從中找出敏感的配置與密碼資訊。</p> <p>第13個漏洞CVE-2024-4159是防火牆規則不一致，SANnav提供了對應IPv4與IPv6的防火牆規則，但彼此間存在一些不一致，增加了IPv6連接遭受攻擊的機會。</p> <p>第14個漏洞CVE-2024-29962，是內含密碼與日誌的檔案存取權限不安全，攻擊者可藉此獲得密碼與讀取日誌。</p> <p>第15個漏洞CVE-2024-4173，是可透過多個WAN埠，存取SANnav內含的Kafka事件串流平臺，且缺乏身分驗證。攻擊者可透過暴露在WAN連接環境上的Kafka平臺，來攻擊SANnav系統。</p> <p>第16個漏洞CVE-2024-2996，與第18個漏洞CVE-2024-29963，分別是SANnav的SSH密鑰，以及Docker的TLS存取密鑰，都是在原廠OVA映像檔中寫死（Hardcoded）的型式，攻擊者有藉此破解與攻擊SSH與TLS傳輸的可能，所有基於原廠OVA映像檔部署的SANnav，都受這2個漏洞影響。</p> </div></div></div>
2024/4/30 18:04作者張明德https://www.ithome.com.tw/news/162600
金管會公布金融業運用AI指引最新進度，6月發布正式指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在去年10月發布金融業運用AI的六大核心原則，去年底更公布「金融業運用AI指引」草案，分別敘述金融業落實AI核心原則的建議作法，對外開放60天徵詢意見。金管會創新中心專委劉秀玲今日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>這份指引草案的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。指引是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。</p> <p>在記者會中，劉秀玲提出三個較重要的修正建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性，因此，金管可能調整說明方式，強調指引中的舉例僅供參考，增加指引適用的彈性。</p> <p>第二，AI模型部署方式包含自建、委外和外購三種方式，不同部署方式在適用AI指引時有不同情境，需要依據業者和合作廠商的分工情形，來釐清責任歸屬，因此，金管會可能會再針對不同部署方式增訂相關內容。</p> <p>第三，指引內容提到，業者運用高風險系統時，應由第三方稽核或評測單位進行獨立驗證。然而，部分業者建議，未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。</p> <p>目前，金管會尚在徵詢專家學者意見，評估如何修正指引內容，因此，劉秀玲表示，尚未確定將參採哪些建議。</p> <p></p> </div></div></div>
2024/4/30 17:59作者李昀璇https://www.ithome.com.tw/news/162599
【資安日報】4月30日，安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162593"><strong style="font-size: 22px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，並指出該惡意程式具備廣泛的設備接管功能，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162589"><strong style="font-size: 22px;">福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份機密資料</strong></a></p> <p></p> <p>德國媒體ZDFheute及明鏡（Spiegel）指出，他們取得汽車大廠福斯（Volkswagen）針對網路攻擊的調查文件，從而揭露一起未曾揭露的資安事故。</p> <p>根據這份文件，福斯從2010年至2015年遭駭客入侵，包含智慧財產相關的檔案遭到外洩。對方疑似從2010年調查該公司的IT基礎架構，尋找可用漏洞，並於次年成功存取，並在2014年多次將機密資料傳至外部伺服器，這些駭客犯案後亦清除作案跡證。</p> <p>後來資安專家調查發現，對方共發起3波攻擊，竊得汽油引擎、變速箱研發資料，而對於近年興趣的電動車，相關開發資料也慘遭毒手，估計總共超過1.9萬份文件外流。根據對方的IP位址，作案工具及時區，推測攻擊者來自中國，相關證據指向中國政府及解放軍。</p> <p><a href="https://www.ithome.com.tw/news/162598"><strong style="font-size: 22px;">身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增</strong></a></p> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。但究竟有多少用戶受害？該公司並未說明。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴隱身服務Tor來發出請求，而且，數以百萬的請求過程，也都透過濫用合法裝置的代理伺服器服務（Residential Proxies）進行。</p> <p><a href="https://www.ithome.com.tw/news/162576"><strong style="font-size: 22px;">冒牌美國郵局網釣網站流量超越正牌網站</strong></a></p> <p></p> <p>資安業者Akamai指出，他們員工收到許多佯稱是美國郵局（United States Postal Service，USPS）的詐騙簡訊，從而調查發現，從去年10月至今年2月，用戶DNS查詢僅有51%導向正牌的美國郵局網站，其餘都被導向釣魚網站，而且，每逢特定節日，釣魚網站的DNS查詢次數就會遠大於正牌網站。</p> <p>根據研究人員的調查，全球至少有超過68萬個含有USPS字串的釣魚網域名稱，其中約有27萬個採用.com、27萬個採用.top、5.8萬個採用.shop、3萬個採用.xyz、1.6萬個採用.org。</p> <p>雖然他們在調查期間，觀察到正牌網站的DNS查詢量略多於釣魚網站，但研究人員指出，這樣的結果是因過濾資料的方式造成，實際上惡意流量顯然超過了合法流量，這也突顯網域名稱搶註與網釣攻擊泛濫的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.deepinstinct.com/blog/uncorking-old-wine-zero-day-cobalt-strike-loader"><strong style="font-size: 20px;">烏克蘭遭遇Office已知漏洞攻擊，對方利用PowerPoint檔案散布Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162333/cyber-crime/swedens-liquor-supply-ransomware-attack.html"><strong style="font-size: 20px;">瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，導致當地酒品供應受到衝擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-drugs-pharmacy-chain-closes-stores-after-cyberattack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭遇網路攻擊，被迫暫停營業</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162479/security/icici-bank-technical-glitch.html"><strong style="font-size: 20px;">印度銀行ICICI行動應用程式配置錯誤，導致逾1.7萬張信用卡資料曝光</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162590"><strong style="font-size: 22px;">針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置</strong></a></p> <p>4月12日資安業者Palo Alto Networks發布資安公告，指出旗下防火牆存在危急漏洞CVE-2024-3400，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司再度更新資安公告，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162596"><strong style="font-size: 22px;">第4屆尋找資安女婕思資安競賽優勝者出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg" style="width: 300px; float: right;" /></a>為了培養多元的資安人才，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，在臺南沙崙資安暨智慧科技研發大樓舉辦決賽，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p><a href="https://www.ithome.com.tw/news/162396"><strong style="font-size: 22px;">儲存系統廠商CTERA強化勒索軟體防護能力</strong></a></p> <p>從雲端閘道器起家的CTERA，主力產品是基於GFS分散式檔案系統（Global File System）平臺的CTERA Edge Filer儲存裝置，以及雲端儲存服務，可建立跨多雲的分散式檔案儲存環境。為了對抗勒索軟體威脅，CTERA也在去年年中為其儲存平臺提供勒索軟體保護功能，其中包括基於機器學習的即時攻擊偵測、零時差漏洞濫用防護、事件管理儀表板，以及即時復原等功能。</p> <p>日前CTERA又為勒索軟體保護功能新增基於誘餌檔案（Decoy files）的資料外洩防護能力，可藉此偵測攻擊者的非授權存取行為，並即時展開對應，降低資料外洩的風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk"><strong style="font-size: 20px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> </div></div></div>
2024/4/30 18:08作者周峻佑https://www.ithome.com.tw/news/162601
行政院提名翁柏宗、陳炳宏擔任NCC下一任正、副主委
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC現任委員任期即將於7月底到期，行政院公布提名人選，由翁柏宗擔任NCC主任委員，傳播學者陳炳宏擔任副主任委員，目前提名人選已送立院審議。如果獲得通過，新委員任期將從今年8月擔任至2028年7月底。</p> <p><strong>NCC副主委翁柏宗被行政院提名為下任主委：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA600.jpg" style="width: 600px; height: 400px;" /></p> <p>依照作業程序，行政院在現任NCC委員卸任前3個月提名，新的提名人選中，翁柏宗現為NCC副主委暨發言人，一路從過去電信管理局、電信總局、電信技術中心，到NCC擔任委員、副主委，具有深厚的電信監理背景。</p> <p>陳炳宏則是師大大眾傳播所教授，正好與目前擔任NCC委員之一的王維菁同為師大傳所教授，陳炳宏專長為傳播產業研究、媒體素養等。</p> <p>其他兩位委員提名人選為羅慧雯與詹懿廉，其中羅慧雯為世新大學傳播管理系教授，具經濟學背景，擅長政治經濟、媒體經濟、傳播政策法規等，而詹懿廉則為NCC平台事業管理處長。</p> </div></div></div>
2024/4/30 19:06作者蘇文彬https://www.ithome.com.tw/news/162602
第4屆尋找資安女婕思資安競賽優勝者出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了培養更多資安女力，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，<a href="https://www.nstc.gov.tw/folksonomy/detail/f59e0470-9896-4fd0-b9be-c6ece7ac4b02?l=ch">在臺南沙崙資安暨智慧科技研發大樓舉辦決賽</a>，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p>本次資安競賽總共有超過4千人參加，同樣有國際交流賽程，一起進行互動的單位是韓國漢陽大學。</p> <p>比賽過程當中，兩組賽事各有特色，以資安闖天關而言，決賽場地不只是主場域的CTF關卡，也將情境解謎部分，結合一間藍軍攻防室進行；而在創意發想賽的部分，有隊伍在初賽提出相當吸引大家注意的議題，例如晉級隊伍探討量子運算對現有加密體系的衝擊、生成式AI及假新聞、使用導航遭駭可能衍生人身安全問題。</p> </div></div></div>
2024/4/30 16:23作者周峻佑https://www.ithome.com.tw/news/162596
電子簽章法修正法案獲立院三讀通過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由數位部提出的電子簽章法修正法案，在2月底行政院通過，並提交立法院審議後，立法院今天(4/30)正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今數位時代下，各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>國內電子簽章法自2001年公布後，已有超過20年未修法，這段時間網路普及、各種網路應用興起，為趕上現今數位時代下的應用需求，數位部提出電子簽章法修正草案件，希望通過修法，讓電子簽章及數位簽章更能滿足現今數位環境的需求。</p> <p>此次修法包含幾個方向，例如確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>考量到不同族群、年齡層使用者的數位科技落差，此次修法也採納數位包容精神，明定採用電子形式之前，應在合理期間內給予相對使用者反對機會，並且告知相對使用者，如果沒有表示反對，推定同意採用電子形式。</p> <p>此外，此次也新增主管機關許可外國憑證機構之前的原則，在具備安全條件相當的前提下，除國際互惠之外，包括合乎國際技術標準的技術對接合作，另外，主管機關應定期調查行政院各部會及民間憑證機構，對電子簽章的核定、簽發、應用等情形，並且每年公布國際法規及市場的相關需求調查及研究。</p> <p>過去可能因為舊版電子簽章法對電子文件及電子簽章的法律效力不夠明確，部分的公務機關公告排除適用電子簽章，為加速政府機關對電子文件及電子簽章的使用，現在修法後將刪除公務機關公告排除適用，並明定排除適用的公告在修法實施一年後停止適用，但主管機關可展延一次，展延以2年為限。</p> <p>數位部表示，部分機關以行政公告排除適用電子簽章，一年後將停止適用，如果經過評估仍仍必需排除適用電子簽章，應儘速透過法規修法排除適用，考慮到修法可能花費較多的時間，可向數位部提出展延。</p> <p>為使電子簽章應用更為普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。</p> <p>在立法院三讀通過電子簽章法修正法案後，數位部依照行政程序法，接下來需在6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，並塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>此次修法因確立電子文件及電子簽章的法律效力，還有使用政府許可憑證機構簽發憑證的數位簽章可推定本人親簽，具有更高的法律效力，區分電子簽章、數位簽章的法律效力，未來數位服務可因應不同的簽章的法律效力提供對應等級的服務。</p> <p>以電商的交易行為舉例，電商平臺為防止詐欺，可向網路賣家要求數位簽章，以類似實名制確認賣家身分，防止不肖業者欺詐的行為，至於付款的買家則可以使用效力較低的電子簽章即可。</p> </div></div></div>
2024/4/30 16:47作者蘇文彬https://www.ithome.com.tw/news/162597
身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，<a href="https://sec.okta.com/blockanonymizers">發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加</a>，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴Tor這類匿名服務來發出請求，而且，數以百萬的請求過程，也都透過非法代理伺服器服務（Residential Proxies）進行。</p> <p>而對於遭到攻擊的組織，Okta指出具有相似的組態，那就是他們大多執行Okta Classic Engine，而名為ThreatInsight的功能僅啟用稽核模式。此外，這些組織的身分驗證政策當中，也允許來自匿名代理伺服器發出的請求。</p> <p>對此，Okta也提出一系列防護措施，包含啟用ThreatInsight的事件記錄功能與加強防護模式、切換採用Okta Identity Engine、禁止來自匿名代理伺服器的存取等。但究竟有多少用戶受害？該公司並未說明。</p> </div></div></div>
2024/4/30 16:54作者周峻佑https://www.ithome.com.tw/news/162598
金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware">並指出該惡意程式具備廣泛的設備接管功能</a>，甚至能繞過Android 13新納入的防護機制。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 580px;" /></a></p> <p>一旦使用者依照指示下載「瀏覽器更新」，手機就有可能被植入Brokewell。此惡意程式的主要功能，主要涵蓋了資料竊取及遠端控制能力。</p> <p>其中，針對資料竊取的部分，該惡意程式可在銀行應用程式執行的過程進行覆蓋畫面，從而竊取帳密資料，而對於盜取相關資料的管道，攻擊者也可透過挖掘cookie內容而得。一旦使用者完成登入流程，Brokewell就會儲存連線階段的cookie，並傳送到C2伺服器。</p> <p>另一方面，Brokewell也搭載名為Accessibility Logging的功能，從而截取受害裝置的所有事件，例如：使用者點選、滑動、文字輸入、開啟應用程式等，並且將其傳送到C2伺服器。此外，該惡意程式也具備多種間諜軟體功能，能夠收集裝置資訊、通話記錄、地理位置，而且還能錄音。</p> <p>一旦竊得特定帳密資料，攻擊者就能透過遠端控制功能，對裝置進行接管。值得留意的是，對方能將螢幕亮度調到最暗，並將手機靜音，而使得暗中操作受害手機難以被察覺，甚至有可能被用來發動自動轉帳系統（Automated Transfer System，ATS）攻擊。</p> <p>再者，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> </div></div></div>
2024/4/30 15:44作者周峻佑https://www.ithome.com.tw/news/162593
歐盟將iPadOS也納入《數位市場法》管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_2363" target="_blank">EC）周一（4/29）宣布</a>，繼iOS、Safari及App Store之後，蘋果的iPadOS也已被納入《數位市場法》（Digital Markets Act，DMA）的管轄範圍，要求蘋果於6個月內遵循。</p> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/qanda_20_2349" target="_blank">DMA</a>主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，其門檻包括最近3年每年在歐洲經濟區（EEA）營收超過75億歐元，或市值超過750億歐元，以及服務在歐盟每月活躍最終用戶超過4,500萬，或每年活躍企業用戶超過1萬。</p> <p>EC表示，蘋果的商業用戶超過DMA閥值的11倍，最終用戶數則接近閥值。此外，最終用戶被鎖在iPadOS上，蘋果利用其龐大的生態系統來阻止使用者轉至其它平板電腦的作業系統，企業用戶也被鎖在iPadOS上，因為它擁有龐大且具備商業吸引力的用戶群，同時它也是遊戲等特定程式的關鍵平臺。</p> <p>首批受到DMA規範的業者及服務已於今年3月6日的截止日之前履行EC的要求，而新加入的iPadOS也必須在6個月內符合要求，包括允許歐洲用戶自Apple App Store以外的市集下載程式，移除預裝於iPad上的程式，以及自行選擇裝置上的預設服務等。</p> <p>而遊戲業者<a href="https://twitter.com/FortniteGame/status/1784978857331691672" target="_blank">Epic Games</a>也在EC宣布此事的同一天指出，先前遭到蘋果下架的遊戲《要塞英雄》（Fortnite），很快就會重返歐洲市場的iPhone，也會在今年重返該市場的iPad。</p> <p>現階段EC仍在調查其它品牌或服務是否應納入DMA，已於今年3月收到Booking、ByteDance和X的通知，稱其服務規模可能達到DMA的門檻，EC可望於5月13日以前作出決議。</p> </div></div></div>
2024/4/30 15:49作者陳曉莉https://www.ithome.com.tw/news/162594
GitHub預覽AI開發者環境Copilot Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub本周一（4/29）<a href="https://github.blog/2024-04-29-github-copilot-workspace/" target="_blank">釋出了GitHub Copilot Workspace技術預覽版</a>，這是GitHub所設計的、基於各種Copilot代理人的開發者環境，允許開發者以自然語言與Copilot代理人互動，並在Copilot Workspace中接續完成腦力激盪、規畫、建置、測試與執行程式碼，也可於Copilot Workspace中查看從想法到完成程式碼的整個過程。</p> <p>GitHub執行長Thomas Dohmke指出，Copilot Workspace為一使用自然語言打造軟體的全新方式，讓開發者更快也更輕鬆地交付開發者的創造力，令經驗豐富的開發者得以系統思考者的身分進行操作，大幅降低建置軟體的門檻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-starts%20with%20the%20task.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-offers%20a%20step-by-step%20plan.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Dohmke說明，過去的兩年來，生成式AI從根本上改變了開發者的格局，它大多作為嵌入開發者環境中的工具，例如2022年推出的GitHub Copilot是編輯器中的自動結對工程師，提升了55%的開發者工作效率，去年發布了GitHub Copilot Chat，釋放自然語言在撰寫程式碼、除錯與測試上的能力，而Copilot Workspace則允許開發者得以利用自然語言來集思廣益、規畫、建置、測試並執行程式碼，這是個以任務為中心的服務，所有的程序都是透過不同的Copilot代理人來完成，同時也讓開發者完全控制流程的每一步。</p> <p>因此，開發者自GitHub Repository或GitHub Issue中就能使用Copilot Workspace，利用Copilot代理人作為開發者的第二個大腦，從發想階段就取得AI的協助，接著GitHub Repository會藉由對程式碼庫或問題回覆等資料的深入理解，提供逐步的解決計畫，並以自然語言列出清單。</p> <p>開發者可編輯由Copilot Workspace所提出的任何內容，確定計畫後即可直接於Copilot Workspace中執行程式碼，再進入底層的GitHub Codespace來調整程式碼，亦可透過連結與團隊共享工作區，之後即可提交拉取請求，執行GitHub Actions，針對程式碼進行安全掃描，以及要求團隊成員檢查程式碼。</p> <p>此外，Copilot Workspace可同時支援桌上型電腦、筆電與行動裝置。</p> <p>另一方面，GitHub Next負責人Jonathan Carter向<a href="https://techcrunch.com/2024/04/29/copilot-workspace-is-githubs-take-on-ai-powered-software-engineering/" target="_blank">《TechCrunch》</a>透露了更多有關Copilot Workspace的想法。Carter說，開發者在啟動一個新專案時，最容易卡住的地方就是不知該從何開始，特別是如何處理程式碼、要編輯哪些檔案，或者是各種解決方案的權衡，而Copilot Workspace即可減輕此一負擔。</p> <p>不過，目前GitHub也還不確定要如何將Copilot Workspace商品化，此一預覽版將可進一步令GitHub了解開發者會如何使用該服務，以及該服務的價值所在。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=L5Xny6yehUg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-vedio.png" style="width: 600px;" /></a></p> </div></div></div>
2024/4/30 16:07作者陳曉莉https://www.ithome.com.tw/news/162595
英國祭出新法令，禁止IoT裝置採用容易被猜到或可在網路上找到的預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國的《產品安全暨電信基礎設施法案》（Product Security and Telecommunications Infrastructure Act，PSTI Act）<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk" target="_blank">於本周一（4/29）正式生效</a>，當中規定了IoT裝置的最低安全標準，包括不得使用容易猜測或是在網路上可找到的預設密碼，也是全球首個導入相關規範的法令。</p> <p>根據統計，英國99%的成年人至少擁有一臺智慧裝置，而英國的每個家庭平均擁有9臺連網裝置，Which?的研究顯示，一個充滿智慧裝置的家庭，單周就可能遭到來自全球超過1.2萬次的駭客攻擊，而針對其中5臺裝置來猜測其薄弱密碼的攻擊便高達2,684次。</p> <p>PSTI Act所定義的IoT裝置涵蓋所有連網的智慧裝置，從智慧喇叭、智慧電視、串流裝置、智慧門鈴、嬰兒監視器、監視器、手機、遊戲機、平板電腦、智慧手錶、健身追蹤裝置、智慧冰箱、智慧洗衣機，一直到智慧水/電錶等。</p> <p>該法令要求上述所有IoT裝置的製造商必須符合最低的安全標準，包括不得採用諸如admin或12345等容易猜測的密碼，也不得使用可在網路上找到或被分享的預設密碼；必須提供窗口來接受及處理安全問題，也必須提供重要安全更新的最短修補時程。</p> <p>此外，由於大多數的智慧裝置都不是在英國製造，因此PSTI Act也適用於進口或零售相關商品的業者，違者最高可處1,000萬英鎊的罰款或是全球收入的4%。</p> <p>此一法令是為了避免利用IoT裝置的大規模攻擊行動，特別是在2016年被發現的殭屍病毒Mirai滲透了坊間60款採用預設帳號及密碼的IoT裝置，挾持了逾60萬個IoT裝置，再針對目標對象展開分散式服務阻斷（DDoS）攻擊，受害者涵蓋全球最大代管業者之一的<a href="https://www.ithome.com.tw/news/108660" target="_blank">OVH</a>，美國網路效能管理公司<a href="https://www.ithome.com.tw/news/109225" target="_blank">Dyn</a>，賴比瑞亞最大的電信業者Lonestar，<a href="https://www.ithome.com.tw/news/109944" target="_blank">德國電信</a>（Deutsche Telekom），以及英國銀行Lloyds與蘇格蘭銀行Royal Bank of Scotland。</p> <p>英國國家網路安全中心<a href="https://www.ncsc.gov.uk/files/Security-law-smart-devices-NCSC.pdf" target="_blank">（NCSC）則建議</a>消費者檢查現有的IoT裝置，包括變更它們的預設密碼，採用更強大的密碼，或是啟用雙因素身分驗證，同時部署IoT裝置的最新版韌體。</p> </div></div></div>
2024/4/30 14:20作者陳曉莉https://www.ithome.com.tw/news/162591
公共程式平臺上線，首波開放22個公共程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部今天（4/30）正式推出公共程式平臺（code.gov.tw），數位部今與國內六都代表、民間社群、國際倡議組織共同啟用公共程式平臺，為推動公共程式（Public Code）的精神，將政府機關開發的軟體程式碼視為公共財，公開程式碼讓外界及其他政府機關檢視及運用。</p> <p>公共程式的精神在國外發展較早，國內也有自由軟體、開放原始碼社群倡議，數位發展部在去年便開始規畫推動公共程式，終於在今天上線公共程式平臺，數位發展部與地方縣市政府合作，透過公共程式讓外界檢視運用，讓外界或其他政府機關依照自己的需求，檢視及運用這些公共程式，縮短重新開發的時間、節省成本。</p> <p>目前數位部已與臺北市、新北市、桃園市、臺中市、臺南市、高雄市六都取得合作共識，正在進行配套措施以共同推動公共程式，數位部強調未來會邀請更多政府機關加入推動公共程式。</p> <p>數位發展部長唐鳳指出，任何人可以公共程式平臺，直接使用或改進程式碼，在原有的程式碼基礎上創新精進，同時也能減輕公務機關的負擔，公共程式平臺如同一間圖書館，供外界借閱，產生新的論文，回饋到圖書館。發揮公共程式的另一個價值，透過公私協力，達成全民數位韌性。</p> <p>目前公共程式平臺已上架15個類別22個公共程式，數位部釋出的政府資料開放平臺前端、全球資訊網、ODF文件應用工具、公共程式平臺、公托報名管理系統，臺北市的城市儀表板、臺南市登革熱防疫現場工具（前端及後端），此外，公共程式平臺上還提供英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。</p> <p>公共程式平臺推出僅是開始，數位發展部計畫全面的推動公共程式政策，涵蓋資訊系統、人才培育、規範指引，今年底預計推出針對公務機關的訓練課程、規範指引，輔導公共機關加入推動公共程式。</p> </div></div></div>
2024/4/30 14:57作者蘇文彬https://www.ithome.com.tw/news/162592
針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月12日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/162282">指出旗下防火牆存在危急漏洞CVE-2024-3400</a>，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司<a href="https://www.darkreading.com/vulnerabilities-threats/palo-alto-updates-remediation-for-max-critical-firewall-bug">再度更新資安公告</a>，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p>不過，該公司強調，套用修補程式或是Threat Prevention的特徵碼，都能完全阻絕遠端程式碼執行（RCE），從而攔阻上述的漏洞遭到後續利用的情況，再者，目前他們也尚未察覺前述PoC被用於攻擊行動的跡象。</p> </div></div></div>
2024/4/30 12:37作者周峻佑https://www.ithome.com.tw/news/162590
Google開發工具部門裁員，影響Flutter、Dart、Python等團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/04/29/google-lays-off-staff-from-flutter-dart-python-weeks-before-its-developer-conference/" target="_blank">《Techcrunch》</a>報導，在Google I/O舉行前夕，Google傳出裁員消息，影響Flutter、Dart、Python開發工具及其他部門。Google官方也證實此事。</p> <p>受到影響的員工在<a href="https://www.reddit.com/r/technology/comments/1cfzuhf/google_layoffs_sundar_pichailed_company_fires/" target="_blank">Reddit</a>及<a href="https://news.ycombinator.com/item?id=40176338" target="_blank">Hacker News</a>上透露此事。一名Python團隊員工指出，該部門負責維護Python runtime、為Google員工排除問題，並和AI、機器學習等其他部門合作緊密，但不到10名員工仍全部遭到裁撤。<a href="https://social.coop/@Yhg1s/112332127058328855" target="_blank">另一名員工說</a>Google計畫將這工作轉移到其他工資較便宜的地區，像是德國慕尼黑。</p> <p>Flutter及Dart部門也受到影響。該部門產品經理Kevin Moore則在Reddit上<a href="https://www.reddit.com/r/FlutterDev/comments/1cduhra/comment/l1j9eoo/?rdt=45765" target="_blank">證實此事</a>。他說裁員決定是上面好幾層的主管所下，並且影響不只Flutter和Dart，「很多」團隊及很多專案都受到影響。</p> <p>Google開發工具部門裁員，影響的不只是員工，也令企業用戶擔憂未來以這些工具開發的應用及服務要如何維護。Moore無法承諾，只說已投資Google開發工具的客戶會感到緊張，「Google都了解」。</p> <p>Google官方也承認進行人事精簡。Google說為了確保公司在2023年下半到2024年能掌握市場機會，多個團隊經歷變動，以便讓團隊更有效率、去除組織層級，並使資源更有效運用。</p> <p>《Techcrunch》指出，Google通報的裁員人數為50名左右。</p> <p>Google官方對媒體表示會依當局要求提供受影響的員工支援，包括在Google內部轉職或外部就業協助，以及其他財務上的支持等。</p> <p>本周Google才<a href="https://www.ithome.com.tw/news/162555" target="_blank">宣布</a>亮麗的財報，今年第一季營收成長15%，Google執行長Sundar Pichai並宣布將以AI為中心投資及新產品開發。</p> </div></div></div>
2024/4/30 11:07作者林妍溱https://www.ithome.com.tw/news/162586
金融時報授權OpenAI使用內容訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI與英國《金融時報》（Financial Times，FT）<a href="https://aboutus.ft.com/press_release/openai" target="_blank">宣布策略合作</a>，OpenAI將可使用其內容訓練AI模型，並提供給OpenAI的用戶。</p> <p>根據雙方最新合作，FT將授權OpenAI使用其新聞內容訓練底層GPT模型，提升模型有效性，而且OpenAI的ChatGPT將可在回應用戶的內容中，包含FT特定新聞摘要、引述、以及內容連結。</p> <p>此外，FT也宣布已在今年稍早成為ChatGPT Enterprise版本的客戶，所有FT員工都可使用ChatGPT提升生產力，強化創意。ChatGPT可用於草擬信件、為會議或文章摘錄重點、規劃活動或腦力激盪。</p> <p>FT向來只提供付費訂閱，每月最低費用為39美元。透過這項合作，ChatGPT用戶也能存取過去無法閱讀到新聞內容，有用戶認為，長期而言，可能會影響該報的付費訂閱商業模式。</p> <p>這是OpenAI取得內容授權打通AI訓練關卡的最新一家主流媒體。這家AI業者去年12月和今年3月<a href="https://www.ithome.com.tw/news/161783" target="_blank">已取得</a>德國媒體Axel Springer、法國媒體《Le Monde》以及西語媒體集團Prisa Media旗下刊物《El Pais》、《Cinco Dias》、《As》及《El Huffpost》的使用授權。在圖片方面，去年7月OpenAI<a href="https://www.prnewswire.com/news-releases/shutterstock-expands-partnership-with-openai-signs-new-six-year-agreement-to-provide-high-quality-training-data-301873298.html" target="_blank">也取得了</a>知名圖庫Shutterstock 6年授權，可使用其圖片、影片、音樂和metadata來訓練其DALL-E模型。</p> </div></div></div>
2024/4/30 11:21作者林妍溱https://www.ithome.com.tw/news/162587
美國四大電信業者出售客戶位置存取權限，被罰近2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會<a href="https://docs.fcc.gov/public/attachments/DOC-402213A1.pdf" target="_blank">（FCC）周一（4/29）宣布</a>，美國四大電信營運商T-Mobile、AT&T、Sprint及Verizon因在未取得客戶的同意下，非法分享客戶位置資訊的存取權限，而分別面臨8,000萬美元、5,700萬美元、1,200萬美元與4,700萬美元的罰款。而根據《Ars Technica》的報導，上述業者都準備提出上訴。</p> <p>FCC的調查<a href="https://www.ithome.com.tw/news/130440" target="_blank">始於2019年</a>，先是媒體披露有人可以藉由第三方服務，根據電話號碼找到號碼主人的位置，隨後消費者即提出了集體訴訟。且FCC在2020年<a href="https://www.ithome.com.tw/news/136090" target="_blank">便曾開罰</a>這些電信業者，惟當時因FCC內部問題而令此事暫時擱置。</p> <p>現在FCC舊事重提，指出上述的每一家電信業者都將客戶位置資訊存取權限，出售給不同的聚合商（Aggregator），這些聚合商再將它們轉售給第三方的位置服務供應商，此外，電信業者也都企圖將取得客戶同意權的義務轉嫁至下游業者，意謂著許多時候都無法取得有效的客戶同意，而且就算當電信業者意識到相關的保障措施不足，依然繼續出售位置資訊的存取權限。</p> <p>根據美國通訊法令《Communications Act》，電信業者必須採取合理措施來保護客戶的某些資訊，包括位置資訊在內，電信業者不僅被要求要維護相關資訊的保密性，要使用、揭露或允許存取相關資訊時還必須取得客戶的明確同意，此一條款亦適用於與第三方分享客戶資訊時。</p> <p>除了必須保障消費者的隱私之外，FCC也擔心此一存取權落入壞人之手，或是被用於邪惡目的。</p> <p>不過，電信業者也提出了反駁。AT&T向媒體發出聲明，指出FCC要求它替已於合約中註明必須取得客戶同意的另一家業者承擔責任，是不公平的。而Verizon則說，相關專案早在5年前就已關閉，且當時僅有一家業者未經授權取得極少數的客戶資訊。</p> <p>事件發生之時，T-Mobile與Sprint還是兩家不同的公司，但它們已於2020年合併，代表T-Mobile將負擔9,200萬美元的罰款。</p> <p>不管是T-Mobile、AT&T及Sprint，都準備針對FCC的裁決提出上訴。</p> </div></div></div>
2024/4/30 11:51作者陳曉莉https://www.ithome.com.tw/news/162588
傳福斯汽車遭駭客竊取機密資料逾1.9萬檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國媒體報導，德國福斯汽車（Volkswagen）曾遭到駭客入侵網路，並竊取近2萬份和汽車與電動車相關的機密文件，時間長達5年。</p> <p>德國<a href="https://www.zdf.de/nachrichten/wirtschaft/volkswagen-china-hacking-industriespionage-emobilitaet-100.html" target="_blank">ZDFheute</a>及《明鏡》（Spiegel）記者看到一份福斯針對網路攻擊的調查文件做出報導。</p> <p>這份文件顯示，這家汽車大廠網路從2010年到2015年之間遭一個駭客組織入侵，外洩包含智財的檔案。駭客可能在2010年即開始研究福斯汽車的IT基礎架構，尋找可能濫用的漏洞，他們成功在2011年存取福斯IT基礎架構，並在2014年之間，多次將機密文件傳送到外部伺服器。在犯案後，還刪除了作案跡證。</p> <p>但事後調查的資安專家恢復證據，得以重建駭客竊取文件的目標。文件顯示，遭到竊取的檔案包括汽油引擎、變速箱、雙離合器變速箱（dual-clutch transmission）研究。此外，福斯汽車的電動車，包括引擎、燃料電池研究相關文件也是駭客下手的目標。總計共有超過1.9萬份文件遭到竊取。</p> <p>三波攻擊來自同一組人，至於駭客的身份，根據福斯文件，研究人員從駭客的IP位址、使用的軟體工具及時區，推測駭客來自中國。雖然沒有確切證據，但資料指向源自中國政府、甚至解放軍。</p> <p>不過中國駐德國大使駁斥中國政府涉入本案，強調中國也同樣譴責網路間諜活動。</p> <p>去年9月福斯汽車<a href="https://www.theregister.com/2023/09/28/volkswagen_crippled_it_disruption/" target="_blank">曾發生</a>IT設施運作中斷事件，導致5座工廠暫停營運。但該公司表示並非網路攻擊。</p> <p>汽車大廠自來是竊密行動的目標。2021年汽車大廠<a href="https://www.ithome.com.tw/news/148328" target="_blank">Volvo Cars</a>網路也遭駭，致使公司研發資料被竊。其他車廠從福特、通用、豐田、法拉利等，也都發生被駭客攻擊或中勒索軟體，導致客戶個資外流。</p> </div></div></div>
2024/4/30 12:11作者林妍溱https://www.ithome.com.tw/news/162589
Fintech周報第239期：日本SBI證券宣布已將股票交易系統遷移至公雲環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:4pt;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/15~4/26金融科技精選新聞</span></span></h3> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本SBI證券</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 證券上雲 </span></strong></span></p> <h3>日本SBI證券宣布已將股票交易系統遷移至公雲環境</h3> <p>近年來，日本政府改變投資政策，鼓勵市民投入股市，包括推動NISA新制，免除小額投資的稅金，交易人數逐漸增加。為了因應快速增加的客戶數量和交易量，日本SBI證券近期宣布，他們已經將境內股票交易系統遷移至公雲環境，單日境內股票交易金額超過2兆日元（約4,000億新臺幣）。此外，SBI證券也計畫在2026年逐步將其他業務系統遷至雲端。</p> <p>2019年，SBI證券戶僅有約471萬戶，到了去年，帳戶數量飆升到1,106萬戶，今年更是突破1,200萬戶，位居日本第一。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控 </span></strong></span></p> <h3>一支API提供12項應用服務，玉山金控GenAI平臺大解密</h3> <p>玉山金控在今年初向內部推出GenAI平臺GENIE，目前已啟用11項應用服務，1項服務正在開發中。GENIE平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>玉山金控目前規畫的12項GenAI應用服務中，可區分為基礎和進階應用服務。前者包括純文字和圖片生成、會議記錄生成和摘要總結翻譯等，能適用於多種場景。後者則是針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。（<a href="https://www.ithome.com.tw/article/162552">詳全文</a>）</p> <p><span id="docs-internal-guid-5ae5dfa2-7fff-f0cc-37f8-85ac501e189b"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"></span></span></p> <p></p> <p dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:0pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輔助軟體開發 </span></strong></span></p> <h3>澳洲澳盛銀行使用GenAI輔助軟體開發，並協助業務單位撰寫更精準的需求</h3> <p>澳洲澳盛銀行近日在一場活動中揭露，內部正在運用生成式AI協助軟體開發，包括分析業務需求，協助工程師將需求轉為技術架構，和撰寫自動化測試腳本。</p> <p>澳盛銀行平臺工程和SRE主管Rico Zhabg在活動中展示了一套解決方案Ensayo AI，這套解決方案由數千個系統規格、產品文件、監管要求等資料訓練而成，除了輔助開發，也可以協助業務單位撰寫更準確的需求單，讓工程師更快速地實現業務需求。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據分析 </span></strong></span></p> <h3>日本純網銀SBI Sumishin運用GenAI開發數據分析工具，協助快速分析數據和製作報表</h3> <p>日本純網銀SBI Sumishin近日揭露，他們運用生成式AI開發了一款數據分析工具Shadow，協助業務人員快速分析數據，並生成報表資料。</p> <p>在這款數據分析工具中，使用者可以透過聊天的方式，請Shadow協助分析資料和產出報表，包括預測業績情況、分析數據潛藏的趨勢，和製作可視化圖表。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/img_corp_news_240423_pc.png" style="width: 600px;" /></div> <div> <h3 dir="ltr" style="line-height:1.38;margin-top:16pt;margin-bottom:4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險立約 </span></strong></span></h3> <h3>日本保險公司Sompo Japan運用生成式AI協助加快火災保險立約流程</h3> <p>近日，日本保險公司Sompo Japan將生成式AI應用在保險立約流程，協助業務員快速統整客戶資料，為客戶撰寫適當的合約。</p> <p>傳統流程中，業務員需要確認客戶的資產，並轉寫為文件。部分業務員管理大量客戶，每個客戶可能提供不同格式的資產文件，需要花費時間統整，若遇到資產數量龐大的客戶，也需要業務員逐一確認和轉寫。因此，Sompo Japan將生成式AI導入這項流程，支援多種格式的文件辨識，協助確認客戶資產資訊並自動轉寫為合約。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加拿大</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></p> <h3>加拿大預計在今年秋季完成開放銀行相關規範</h3> <p>加拿大政府宣布，將在今年完成開放銀行架構的立法，讓消費者可以安全地共享金融數據。他們預計在今年春季推出規範中的其中一部份，包括制定治理框架、開放範圍，和技術標準。其餘要素包括認證方式、通則，和安全措施將會在今年秋季陸續完成立法。</p> <p>為了確保和美國的開放銀行框架一致，加拿大參考美國作法，由金融消費者保護局作為開放銀行推動者，負責監督銀行業者，以及建立相關規範。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放金融</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業貸款 </span></strong></span></p> <h3>英國計畫從開放銀行走向開放金融，財政部指定業界主導相關政策</h3> <p>近日，英國財政部經濟事務秘書Bim Afolami MP在一場公開活動上宣布，將成立開放金融專案小組，藉由開放金融數據，來提高中小企業的貸款機會。這個專案小組將由英國的金融機構和科技公司組成，並由英國創新技術金融中心（CFIT）擔任主席。CFIT表示，他們將負責挖掘適合的開放金融案例，解鎖更多資料，並建立API，提高中小企業金融便利性，同時，專案小組將尋找一些方式來鼓勵企業共享財務數據。</p> <p>CFIT在宣布作為開放金融專案小組主席後，接著宣布開啟中小企業貸款解決方案的實驗計畫。這個實驗計畫的參與對象包含巴克萊銀行，計畫將透過開放財務數據，和自動化申請書填寫的步驟，來提高資料準確性，協助加速信用評估和放貸決策流程。</p> <h3 dir="ltr" style="line-height: 1.38; margin-top: 10pt; margin-bottom: 4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></h3> <h3>英國正在規畫開放銀行的長期的監管機構和框架</h3> <p>2017年，英國政府要求境內九家最大金融機構成立一個組織，負責推動開放銀行政策。如今，這個組織已完成階段性任務，英國金融監管機構也開始規畫建立開放銀行的監管機構。近期，由英國金融行為監理總署（FCA）、支付系統監管機構（PSR）、財政部等機構組成的聯合監理委員會（JROC）發佈了對開放銀行下一階段的建議文件，主要針對如何建立開放銀行監管機構、提供機構的定位、發展方向和工作內容。</p> <p>這份建議文件認為開放銀行在走向長期監管之前，需要先建立臨時性的組織負責接管開放銀行的政策運作。文件中提出未來兩年的開放銀行路徑圖，由臨時性組織負責推動五個關鍵項目，提高便利性、降低金融犯罪、保護消費者權益、改善第三方業者和使用者間的資訊流，和增加新服務，進行「非自動轉帳VRP」試點計畫。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國渣打銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放API </span></strong></span></p> <h3>英國渣打銀行推出開放銀行市集，上架適用臺灣版本的API供企業測試</h3> <p>為了簡化和第三方企業合作的流程，英國渣打銀行近期推出開放銀行市集，上架包括臺灣共33個地區版本的API。企業註冊帳號並通過渣打銀行審核後，開放銀行市集才會提供API更細節的資訊，部分API會提供企業方一個沙盒環境，讓企業使用API開發或測試產品。</p> <p>英國渣打銀行的開放銀行市集中，提供8組適用於臺灣的API，分別是帳戶查詢、支付、通知和訂閱、證券服務、報告、外匯擔保、交易狀態和數據管理工具的API。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 樂天Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></p> <h3>日本樂天Pay將整合旗下所有支付應用程式</h3> <p>日本樂天Pay近期宣布，將整合樂天集團旗下所有支付應用程式，樂天點數、樂天Edy和樂天Pay三個應用程式，打造一個支付類的超級應用程式。</p> <p>樂天Pay向媒體透露，他們的整合作業將分為兩階段。第一階段是先將樂天點數App整合至樂天Pay，接著再整合可提供跨幣種儲值的預付型電子錢包樂天Edy App。第二階段是加強樂天Pay和信用卡App的連結，包括添加分期付款、小額貸款和查詢明細等功能至樂天Pay。此外，樂天Pay也計畫導入AI，協助顧客管理資金。</p> <div> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> </div> </div> </div></div></div>
2024/4/29 13:21作者李昀璇https://www.ithome.com.tw/news/162572
【資安月報】2024年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以今年3月的資安新聞而言，隨著2023年的結束，如今正有多個重要的資安年度報告揭露，統整出2023全年的真實威脅態勢，包括零時差漏洞利用、BEC詐騙、投資詐騙、勒索軟體攻擊等面向。</p> <p>雖然我們先前已經報導部分重點，然而，當中其實還有一些關鍵態勢，我們認為相當值得企業關切。</p> <h2><span style="color:#ff0000;"><strong>2023零時差漏洞利用報告出爐，5大重點受關注</strong></span></h2> <p>首先，Google在3月27日公布一份2023零時差漏洞利用的年度報告，指出這方面的威脅又變嚴峻，因為2023年共有97個零時差漏洞利用的情形，比2022年的62個增加了5成。不過仍低於2021年創記錄的106個。</p> <p>為何零時差漏洞攻擊、零時差漏洞利用的威脅需要重視？大家先要能夠區別的是，以零時差漏洞（Zero-day）而言，其實包含了被成功利用與尚未被利用的狀態，而這份報告一直以來都是聚焦在－－零時差漏洞利用，也就是駭客先找出未知漏洞並在外部成功利用（Zero-day Exploited in-the-wild），已經造成災情，廠商只能在事後發現、修補並釋出更新。</p> <p>關於這份2023年度報告所呈現的重要態勢？基本上，我們可以簡單統整為5大重點，包括：</p> <p>●針對第三方元件如函式庫的零時差漏洞攻擊，有越來越多的趨勢。事實上，我們在去年10月就察覺到涉及底層、上游漏洞增加的情形。<br /> ●針對企業產品（含資安產品與裝置）的零時差漏洞攻擊，比往年增長近5成。<br /> ●商業間諜供應商（CSV）持續挖掘大量消費者平臺（如行動裝置、OS、瀏覽器等）的零時差漏洞。<br /> ●中國政府駭客組織發動的零時差漏洞攻擊大增，並且遠高於俄羅斯、北韓、伊朗等駭客組織<br /> ●經濟動機駭客組織發動的零時差漏洞攻擊，比往年減少。</p> <h3><span style="color:#0000CD;"><strong>駭客鎖定企業產品的零時差漏洞利用，比往年激增5成！每年都有更多IT供應商遭鎖定</strong></span></h3> <p>我們還可以如何解讀這些內容？最近4月，剛好Google在臺舉辦資安研討會，來自Google Cloud的專家對於這份報告，提供更深入說明。</p> <p>雖然，我們看到，2023年度的零時差漏洞利用數量，還不及2021年，但Google Cloud Security暨Mandiant亞太區及日本首席技術總監Steve Ledzian認為，有一項重要變化值得關切。他指的是上述5大重點中，所提的第2點。</p> <p>Steve Ledzian指出，在企業方面，現在已有更多的供應商與產品成為攻擊目標，例如，2023年這類型數量增加為36個，而2021年與2022年則是25個與22個。而且針對企業特定技術的攻擊，同樣有所增加。</p> <p>特別的是，Steve Ledzian還強調一個現況：近年被鎖定的IT供應商是越來越多。</p> <p>他解釋，多年來，IT技術一直由少數主要供應商主導，但隨著企業使用了更多不同廠商的產品與服務，成為攻擊目標的廠商數量，也成逐年持續增加的情況。</p> <p>Steve Ledzian並給出明確統計數據，例如，2019年只有4個供應商的產品，成為零時差漏洞利用的攻擊鎖定目標，2020年為7個，2021年13個，2022年17個，到了2023年則是增加至21個。</p> <p>這樣的結果，也呼應了Steve Ledzia在這場研討會上所介紹的一個觀點－－Securing Edge Devices，他指出，我們現在需要建立抵禦邊緣裝置攻擊的韌性。</p> <p>為何會有這項說法？他列出了5大類型，並且指出在這些不同層面，近期都發生了零時差漏洞被利用的情形。包括：郵件邊緣裝置（Email Edge Device）、檔案分享邊緣裝置（File Sharing Edge Device）、遠端存取邊緣裝置（Remote Access Edge Device）、行動存取邊緣裝置（Mobile Access Edge Device）、虛擬裝置（Virtualization Device）。</p> <p>換言之，我們其實也可以透過這樣的類型畫分，來了解Google是如何看待邊緣裝置被鎖定的威脅態勢。</p> <p>這當中又以遠端存取邊緣裝置，是最嚴重的類型。因為單是最近一年多的時間內，就可看到多個品牌產品的零時差漏洞被利用。例如，Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2024-22024），Citrix NetScaler（CVE-2023-4966），GoAnywhere（CVE-2024-0204），ScreenConnect（CVE-2024-1709、CVE-2023-1708）等。</p> <p>此外，對於這份報告的發布，Steve Ledzian還提到了一個新的變化，他表示：「這次發布的研究報告，是首次由Google威脅分析小組（TAG）與Mandiant全面整合分析結果而成。」</p> <p>換言之，這並不像過往我們所知的，Google與Madiant這兩家公司會各自發布相關統計數據。顯然，自2022年Google宣布併購Madiant後，雙方在此方面已有深入的整合。</p> <p>不過，由於過去兩家公司提出的數據不同，有各自整理的資料，因此我們特別詢問，這樣的統計數量是否還會有遺漏情形？Steve Ledzian表示，這些數量大部分是他們自己追蹤，以及從可以信賴的OSINT公開來源情報所得，的確可能還有其他零時差漏洞利用，但因為沒有放在公開來源情報，他們也無從知道與了解。</p> <h2><span style="color:#ff0000;"><strong>FBI發布2023網路犯罪調查報告，BEC詐騙、投資詐騙、勒索軟體的危害變更嚴峻</strong></span></h2> <p>另一份重要年度報告，是美國聯邦調查局（FBI）網路犯罪投訴中心（IC3）在3月7日發布的《2023 Internet Crime Report》，雖然這裡的數據統計以美國地區為主，但因為IC3在此方面所蒐集的資料，相對其他國家執法單位而言，其樣本數量夠大且類型豐富，因此IC3所統計的資料也常視為一重要指標。</p> <p>在這份最新年度報告中，FBI指出2023年受理的案件達88萬件，比前一年增長10%，損失金額也比前一年增加22%，持續呈現逐年增長的態勢。</p> <p>至於去年網路犯罪態勢有哪些重要變化？我們認為有3大焦點，分別是：BEC詐騙、投資詐騙、勒索軟體。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>BEC詐騙</strong></span></h3> <p>首先，商業電子郵件（BEC）詐騙的威脅已經被FBI警告多年，2023年帶來的損失金額已接近30億美元，共有21,489件被受理。平均起來，每日都有58家企業報案，相當驚人。</p> <p>特別的是，我們找出過去3年的IC3的統計數據可以發現，這類網路犯罪投訴數量均維持在1.9萬到2.2萬件之間。這也意味著，每年都有2萬家當地企業遭遇BEC詐騙，並沒有趨緩的情形。</p> <p>對於臺灣企業而言，雖然我國警政署往年也會公布這方面的統計數據，但現在少有這類新聞事件曝光，因此，我們認為有需要再度提醒普遍企業，這類威脅態勢在國際間其實並未減少，不應輕忽。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>投資詐騙</strong></span></h3> <p>其次，投資詐騙日益嚴峻，成為近兩年最猖獗的網路犯罪型態。自從2022年開始，帶來的相關損失躍居網路詐騙首位，到了2023年，損失金額再度攀高，已經達到2020年的3倍，且大多數與加密貨幣詐欺有關。</p> <p>在臺灣，近來有這類事件發生，例如今年我國檢警調偵辦「ACE王牌交易所」勾結虛擬貨幣詐騙集團吸金一案。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>勒索軟體</strong></span></h3> <p>第三，勒索軟體攻擊的網路犯罪再趨嚴重，IC3去年收到2,825多件關於勒索軟體攻擊的投訴案件，顯示在2022年下降後、2023年又呈現上升趨勢。</p> <p>值得注意的是，根據IC3指出，2023年有1,193個重大基礎設施遭到勒索軟體攻擊，比2022年的870個明顯更高，突顯攻擊重大基礎設施持續成鎖定目標，其中醫療保健部門佔這些投訴的2成，在當地16種關鍵基礎設施中最高。</p> <p>雖然臺灣沒有較全面的這類統計資訊，但以我們在3月報導的上市櫃資安封面故事而言，可看出民間企業遇駭事件確實增加，且2023年的勒索軟體攻擊事件，的確比2022年更多。</p> <p>無論如何，上述這些2023全年威脅態勢的公布，已經告訴我們，這些威脅引發的危害仍在加劇，並未有減緩跡象，因此，儘管臺灣企業組織現在越來越重視資安，但也要記住，我們在2024年所面對的威脅與挑戰，也是變得更為嚴峻。</p> <h2><strong><span style="color:#ff0000;">月底發生XZ後門事件，軟體供應鏈攻擊威脅也不容輕忽</span></strong></h2> <p>除了上述4大威脅面向，還有軟體供應鏈攻擊的態勢要注意，這是因為3月底發現了一起重大事件，XZ程式庫竟遭潛伏的維護者植入後門。</p> <p>關於這起事件，最令開發圈、資安圈在意的是，攻擊者竟然以長期臥底方式，將自己長期假扮為正常的開源貢獻者，一開始提交的內容都要幫助專案維護，行動很正常，等到取得原始專案開源維護者的信任，自己擁有更多權限之後，才露出真實目的，進而要以神不知鬼不覺的技術，將後門植入上游軟體供應鏈。</p> <p>由於開源貢獻者來自全球各地，要如何防範一開始沒有任何異常舉動的臥底內鬼？要如何揪出這個在GitHub使用代號Jia Tan（JiaT75）且暗中植入後門的攻擊者真實身分？如今都成為開源界積極探討的議題。</p> <p>雖然過去也有主打開源安全管理的資安業者，有發布軟體供應鏈攻擊的年度報告。只是，我們認為，這一威脅面的影響深遠，但又可能不像其他網路威脅那樣受關注，因此產業間是否會有更好的辦法來面對？或許值得各界都能更進一步去探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161700"><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月4日到3月8日</span></a></strong></h2> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出<a href="https://www.ithome.com.tw/news/161666">2023年臺灣上市櫃公司有23起資安事件相關重大訊息</a>，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，<a href="https://www.ithome.com.tw/news/161667">早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面</a>，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂</a>，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發生在短短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161807"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月11日到3月15日</span></strong></a></h2> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也示警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161926"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月18日到3月22日</span></strong></a></h2> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資安中心指出，利用UDP通訊協定上封包驗證不足的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露<a href="https://www.ithome.com.tw/news/161909">GoFetch微架構旁路攻擊</a>，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制DMP，從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，而這樣的資訊過去也算比較少見；另一是因應中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/162041"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月25日到3月29日</span></strong></a></h2> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/4/29 16:29作者羅正漢https://www.ithome.com.tw/news/162577
【資安日報】4月29日，互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162575"><strong style="font-size: 22px;">互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 300px; float: right;" /></a></p> <p>去年8月底互動式BI系統Qlik Sense修補被稱為ZeroQlik的兩項漏洞，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布名為DoubleQlik的漏洞，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，迄今至少已有100臺伺服器被攻入，但令人憂心的是，這些漏洞仍有超過3千臺伺服器尚未修補，而可能成為對方下手的對象。</p> <p>上週資安業者Fox-IT指出，他們在4月17日於網際網路上找到5,205臺Qlik Sense伺服器，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器位於美國的數量最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://www.ithome.com.tw/news/162578"><strong style="font-size: 22px;">研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手</strong></a></p> <p>去年3月資安業者Sophos發現專門鎖定USB裝置的惡意程式PlugX變種，有其他研究人員進一步進行追蹤，並公布相關細節。資安業者Sekoia根據上述的調查結果，買下對方曾經使用的C2網域進行研究，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://www.ithome.com.tw/news/162554"><strong style="font-size: 22px;">中東政府遭到後門程式CR4T鎖定，老牌檔案管理共享軟體Total Commander安裝檔遭改裝夾帶惡意程式下載器</strong></a></p> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，他們在今年2月察覺此事，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出而這些軟體大致可區分兩種類型，其中一種是透過老牌檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p><a href="https://www.ithome.com.tw/news/162515"><strong style="font-size: 22px;">北韓駭客Kimsuky濫用生成式AI從事網路間諜行動</strong></a></p> <p>微軟針對北韓駭客組織濫用大型語言模型（LLM）及生成式AI工具的情況提出警告，對方藉此讓攻擊危害更為顯著、效率更為提升。</p> <p>該公司與OpenAI的研究人員發現，北韓駭客組織Kimsuky（亦稱Emerald Sleet、TA427）在鎖定韓國專家從事魚叉式網路釣魚攻擊行動時，就利用LLM來強化效果。再者，他們也發現這些駭客利用LLM來研究漏洞，或是對於專門研究北韓事務的專家及組織從事偵察工作。</p> <p><a href="https://www.ithome.com.tw/news/162568"><strong style="font-size: 22px;">群光電子遭駭事故傳出後續，對方聲稱取得SpaceX相關檔案，該公司表示為非機密資料</strong></a></p> <p></p> <p>4月15日勒索軟體駭客組織Hunters International聲稱攻擊臺灣電腦周邊產品大廠群光電子（Chicony Electronics），竊得1.2 TB內部資料，引起國內媒體廣泛報導，21日群光發布重大訊息針對此事提出說明，強調這起事故無個資及機密文件資料外洩，事隔一週，又出現新的發展。</p> <p>27日駭客釋出竊得資料，當中包含運動攝影機廠商GoPro產品的資料，以及太空科技公司SpaceX的相關資料，資安專家Dominic Alvieri在社群網站X標註創辦人馬斯克，要讓該公司留意此事。對此，群光再度發布重大訊息，指出駭客公布的都是已經量產、市面上可買得到的產品資料，並非機密。</p> <p><a href="https://www.ithome.com.tw/news/162574"><strong style="font-size: 22px;">針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰</strong></a></p> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，駭客當時曾罕見竄改該公司網站首頁而引起軒然大波，近期出現新的進展。4月26日證券交易所指出，因該公司延遲發布重大訊息，他們根據相關規定開罰10萬元。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p><a href="https://www.ithome.com.tw/news/162569"><strong style="font-size: 22px;">員警涉嫌內神通外鬼，查詢165反詐騙平臺示警銀行帳號，將相關資料洩露給詐騙集團</strong></a></p> <p>新北市警局傳出有員警涉嫌查詢特定帳戶資訊，並提供犯罪集團濫用的情況。近期檢警追查某起案件時，意外發現36歲新北市新莊分局丹鳳派出所員警王晟育涉案，且疑似收賄。</p> <p>這名員警於2021年7月至2022年12月底，利用派出所內公務電腦，登入內政部警政署警政知識聯網系統，存取165反詐騙系統平臺，查詢警示帳戶通報情形、受理案號，以及被害人姓名、銀行帳號等資料。接著，該名員警利用即時通訊軟體，將上述資料傳送新莊裕民里前里長曾榆期，該名前里長再提供給詐騙集團，目的是讓對方了解被害者是否報案，他們的銀行帳號是否遭到警示或是凍結。這些被流出的個資，至少有24筆。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/okta-warns-of-unprecedented-credential-stuffing-attacks-on-customers/"><strong style="font-size: 20px;">鎖定Okta用戶的帳號填充攻擊爆增</strong></a></p> <p></p> <p>◆<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware"><strong style="font-size: 20px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-of-devpopper-new-attack-campaign-targeting-software-developers-likely-associated-with-north-korean-threat-actors/"><strong style="font-size: 20px;">研究人員揭露佯稱提供職缺的攻擊行動Dev Popper，意圖在開發人員電腦植入Python後門</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://twitter.com/Shadowserver/status/1783399676521168935"><strong style="font-size: 20px;">逾1,400臺CruchFTP檔案共享伺服器尚未修補CVE-2024-4040</strong></a></p> <p></p> <p>◆<a href="http://patchstack.com/database/vulnerability/wp-automatic/wordpress-automatic-plugin-3-92-0-unauthenticated-arbitrary-sql-execution-vulnerability"><strong style="font-size: 20px;">WordPress自動化內容匯入外掛程式存在危急漏洞，攻擊者有機會得到管理者權限並植入後門</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162395"><strong style="font-size: 22px;">Commvault併購雲端災難復原軟體新創廠商Appranix</strong></a></p> <p>長期經營備份與災難復原領域的廠商Commvault，宣布併購雲端災難復原軟體廠商Appranix，藉此更新雲端服務基礎架構。</p> <p>Appranix是成立於2016年的雲端原生復原軟體廠商，可藉由快照與公有雲儲存資源，為公有雲平臺應用程式提供保護，在雲端應用程式遭遇災害或攻擊而中斷時，幫助用戶迅速恢復應用程式運行，可支援AWS、Azure與Google Cloud等主要公有雲平臺。</p> <p>Commvault自身也有基於Commvault Cloud的雲端災難復原服務，而透過併購Appranix，將能藉由整合後者的產品，擴展與更新Commvault Cloud的基礎技術架構，強化災難復原服務能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> </div></div></div>
2024/4/29 17:13作者周峻佑https://www.ithome.com.tw/news/162579
網釣太猖獗！假冒的美國郵局網站流量相當或勝過真實網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為員工收到了來自美國郵局（United States Postal Service，USPS）的詐騙簡訊，促使<a href="https://www.akamai.com/blog/security-research/phishing-usps-malicious-domains-traffic-equal-to-legitimate-traffic" target="_blank">資安業者Akamai對此展開調查，發現</a>自2023年10月到2024年2月間，用戶的DNS查詢量只有51%導向正確的USPS網站（<a href="http://www.usps.com">www.usps.com</a>），另有49%都導向了網路釣魚網站，而且在特定的節日前後，這些網釣網站的DNS查詢量都大幅勝過真實的USPS。</p> <p>調查顯示，仿冒USPS官網的網釣網址通常屬於搶註的組合網址（Combosquatting），亦即在這些網址中嵌入了USPS的名稱，Akamai篩選了那些使用明顯USPS字樣的網釣網址，顯示全球最少被註冊了超過68萬個假冒為USPS的網釣網站，當中有逾27萬個使用.com，也有27萬個使用.top，另有5.8萬個採用.shop，3萬個使用.xyz，還有1.6萬個是.org。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Akamai</span></p> <p>而引來最多流量的前四個USPS網釣網站則是usps-post[.]world 、uspspost[.]me、usps-postoffices[.]top與stamps-usps[.]online。</p> <p>Akamai在這5個月追蹤了USPS官網以及眾多網釣網站的流量，發現網釣網站在平日的流量可能略低於USPS官網，但只要一到假日或送禮高峰期，例如感恩節或聖誕假期，網釣網站的流量就會大幅超越真實的USPS網站，因為駭客企圖利用此一人們與郵政都非常繁忙的季節來執行詐騙。</p> <p>在Akamai員工收到的詐騙簡訊中寫著：「其USPS包裏已經送到倉庫，但因地址資訊不清楚所以無法遞送，要求使用者於12個小時內透過簡訊內附上的連結來確認地址...」接著便將使用者導至網釣網站來騙取個資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-Fig_%201%EF%BC%9AUSPS%20smishing%20attempt%20sent%20to%20team%20member-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Akamai</span></span></p> <p>研究人員指出，雖然USPS官網在調查期間依舊取得了DNS總查詢量的51%，但因過濾資料的方式不同，在現實世界中，惡意流量顯然會超過合法流量，同時也顯示了組合搶註技術於網釣領域中非常成功。</p> </div></div></div>
2024/4/29 16:22作者陳曉莉https://www.ithome.com.tw/news/162576
研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月資安業者Sophos發現<a href="https://news.sophos.com/en-us/2023/03/09/border-hopping-plugx-usb-worm/">專門鎖定USB裝置的惡意程式PlugX變種</a>，有其他研究人員進一步進行追蹤，並公布相關細節。</p> <p>資安業者Sekoia根據上述的調查結果，於去年9月以7美元的代價，<a href="https://blog.sekoia.io/unplugging-plugx-sinkholing-the-plugx-usb-worm-botnet/">買下對方曾經使用的C2網域進行研究</a>，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/map-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/map-plugx.png" style="width: 580px;" /></a></p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/graph-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/graph-plugx.png" style="width: 580px;" /></a></p> <p>對此，他們也找出能遠端清除惡意程式的做法，並提供各國電腦緊急應變小組（CERT）運用，但也強調，這個方法只能刪除被植入電腦的PlugX，無法清理已遭感染的隔離網路（Air-gapped Network），以及USB裝置上的惡意程式。</p> </div></div></div>
2024/4/29 16:36作者周峻佑https://www.ithome.com.tw/news/162578
互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月底互動式BI系統Qlik Sense修補<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2110801">被稱為ZeroQlik的兩項漏洞</a>，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2120325">名為DoubleQlik的漏洞</a>，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，至少已有100臺伺服器受害，但迄今仍有超過3千臺伺服器尚未修補而曝險。</p> <p>上週資安業者Fox-IT指出，他們<a href="https://blog.fox-it.com/2024/04/25/sifting-through-the-spines-identifying-potential-cactus-ransomware-victims/#b1d246b2-3ef5-4ed3-9f2c-aaf61cc7acf0">在4月17日於網際網路上找到5,205臺Qlik Sense伺服器</a>，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器美國最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 580px;" /></a></p> <p>而對於已經遭到勒索軟體感染的情況，總共有122臺受害，最多的仍是美國，有49臺，西班牙、義大利、英國各有13臺、11臺、8臺。</p> <p>對此，研究人員也公布檢查Qlik Sense伺服器是否遭駭的方法，並呼籲IT人員應避免將此系統曝露於網際網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員指出，駭客組織Cactus在從事勒索軟體攻擊的過程中，會在Qlik Sense的字型資料部署2個字型檔案qle.tff、qle.woff，由於這些檔案並非Qlik Sense內建，因此IT人員能以此判斷是否遭受相關攻擊。<strong><span style="color:#696969;">（圖片來源／Fox-IT）</span></strong></p> </blockquote> </div></div></div>
2024/4/29 15:32作者周峻佑https://www.ithome.com.tw/news/162575
針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，<a href="https://www.ithome.com.tw/news/160856">駭客當時曾罕見竄改該公司網站首頁</a>而引起軒然大波，近期出現新的進展。<a href="https://www.twse.com.tw/zh/about/news/news/content.html?ff8080818eead609018f19b6242a009b">4月26日證券交易所指出</a>，因該公司延遲發布重大訊息，他們根據相關規定開罰。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。</p> <p>再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p>根據上述發現，證交所對京鼎處以違約金10萬元，並發函通知該公司日後應確實依照規定辦理，他們將持續追蹤改善情形。</p> </div></div></div>
2024/4/29 14:25作者周峻佑https://www.ithome.com.tw/news/162574
攝影分享平臺EyeEm變更服務條款，將利用平臺上的照片來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攝影分享平臺EyeEm的一名用戶Powen Shiah在4月初<a href="https://twitter.com/polexa/status/1776226330180305035" target="_blank">收到該平臺的來信</a>，指稱該平臺變更其服務條款，將利用平臺上的照片來訓練AI模型，若不願意自己的照片被使用，則必須自行刪除。</p> <p>EyeEm在2011年創立於德國，為一攝影照片交流平臺，提供用戶有關照片、技術或經驗的分享，在2015年推出EyeEm Market，允許用戶藉由該市集出售自己的攝影作品，並透過人工智慧（AI）技術，替品牌、機構或個人媒合適合的攝影作品，當時該平臺擁有1,800萬名用戶，以及超過7,000萬張的照片，曾被視為Instagram在歐洲的主要競爭者之一。</p> <p>該平臺在2021年以接近4,000萬美元賣給了瑞士的社交網站Talenthouse，不過，自2022年夏天開始，EyeEm平臺上的創作者開始對外抱怨沒有收到應有的報酬，該平臺也在2023年4月申請破產，繼之西班牙圖片庫業者Freepik在同年10月買下了EyeEm。</p> <p>EyeEm近日變更了<a href="https://www.eyeem.com/terms/photographers" target="_blank">服務條款中的8.1節</a>，指出只要將內容上傳至EyeEm社群，等同於授權該平臺可轉讓及可再授權的權利，不僅得以複製、遞送、公開展示、製作衍生商品及傳播，還能使用這些內容來訓練、發展及改善軟體、演算法與機器學習模型，不同意的話便不應將內容上傳。</p> <p>相關的條款同時適用於上傳至EyeEm社群及EyeEm Market的內容。</p> <p>因此，不希望自己的攝影作品被免費用來訓練AI模型的EyeEm用戶，可以直接刪除於EyeEm社群中所分享的內容，或是於EyeEm Market 中提出刪除申請，但自EyeEm Market或其合作夥伴平臺上完全刪除最多可能需要180天。</p> </div></div></div>
2024/4/29 14:01作者陳曉莉https://www.ithome.com.tw/news/162573
【資安週報】2024年4月22日到4月26日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162448"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</span></strong></a></h3> <p>一月份Ivanti針對Connect Secure公布兩個零時差漏洞，當時通報此事的資安業者Volexity就表示，這些漏洞自去年底就被中國駭客用於攻擊行動，但迄今鮮少有組織出面證實受害。</p> <p>但諷刺的是，傳出受害的組織，竟然都是引領全球資安防禦的機構。上個月，美國網路安全暨基礎設施安全局（CISA）傳出遭到攻擊，而到了最近，維護資安防護框架的資安研究機構MITRE，也證實受害。</p> <p><a href="https://www.ithome.com.tw/news/162476"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</span></strong></a></p> <p>資安業者SafeBreach指出，Windows作業系統存在名為MagicDot的漏洞，這項弱點與新舊版本作業系統的路徑轉換有關，一旦將其利用，攻擊者有可能將其當作惡意程式運用。</p> <p>值得留意的是，為維持新舊作業系統相容性，MagicDot微軟並未完全修補，使得這項弱點很可能被拿來挖掘新的攻擊手法。</p> <h3><a href="https://www.ithome.com.tw/news/162511"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</span></strong></a></h3> <p>伺服器存取未設密碼保護在網路「裸奔」的離譜情況不時傳出，但過往這類事故外界關注的焦點，通常是這些資料曝光造成的危害，如今有一起事故成為國際的政治焦點。</p> <p>近期有專門研究北韓相關事務的媒體指出，他們發現1臺配置錯誤的雲端儲存伺服器，其內容與動畫製作有關，而且當中存放的資料當中，竟然有多個美國串流服務平臺播放的動畫，以及製作這些數位內容的工作討論。</p> <p><a href="https://www.ithome.com.tw/news/162538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</span></strong></a></p> <p>針對思科防火牆而來的攻擊行動近期不斷傳出，先是一個月前有人鎖定提供遠端存取VPN服務（RAVPN）的防火牆設備下手，進行密碼潑灑攻擊，現在傳出有國家級駭客從去年12月開始，對其進行零時差漏洞攻擊。</p> <p>值得留意的是，這些駭客在攻擊行動半年前就找到這些漏洞，而思科在攻擊發生後的3個月才進行修補，受害情況有待研究人員進一步調查。</p> <p><a href="https://www.ithome.com.tw/news/162563"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</span></strong></a></p> <p>利用Google廣告散布惡意程式的攻擊行動頻傳，但最近有一起散布後門程式MadMxShell攻擊行動，特別引起研究人員的注意。因為，有別於相關攻擊行動主要是針對個人，這起攻擊行動背後恐怕有更大的目的。</p> <p>這些駭客聲稱提供多種網路管理工具，並希望引誘IT人員上當，進而取得入侵整個組織的管道。</p> </div></div></div>
2024/4/27 08:13作者羅正漢https://www.ithome.com.tw/news/162567
員警涉嫌內神通外鬼，查詢165反詐騙平臺示警銀行帳號，將相關資料洩露給詐騙集團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新北市警局傳出有員警涉嫌查詢特定帳戶資訊，並提供犯罪集團濫用的情況。</p> <p>事件遭到揭露的原因，是近期檢警追查某起案件時，意外發現36歲新北市新莊分局丹鳳派出所員警王晟育涉案，且疑似收賄。</p> <p>這名員警<a href="https://news.ltn.com.tw/news/society/paper/1642903">於2021年7月至2022年12月底</a>，利用派出所內公務電腦，登入內政部警政署警政知識聯網系統，存取165反詐騙系統平臺，查詢警示帳戶通報情形、受理案號，以及被害人姓名、銀行帳號等資料。</p> <p>接著，該名員警利用即時通訊軟體，將上述資料傳送新莊裕民里前里長曾榆期，該名前里長再提供給詐騙集團，目的是讓對方了解被害者是否報案，他們的銀行帳號是否遭到警示或是凍結。這些被流出的個資，至少有24筆。</p> <p>此外，這名員警亦利用警用系統查詢特定民眾地址、刑案資料、行蹤，以便對方催討債務運用。</p> <p>4月25日新北地檢署對王員與曾男住處、辦公室等執行搜索，查扣手機、冷錢包等物。</p> <p>檢察官訊後認為，王員涉犯違背職務行為收賄、圖利、洩密、加重詐欺、包庇犯罪組織、洗錢、違反個資法等嫌疑重大，有串證、逃亡及反覆詐欺之虞，向新北地院聲押禁見獲准，曾男獲30萬元交保。新莊警分局表示，王員已不適任警察工作，將記二大過免職。</p> </div></div></div>
2024/4/29 08:30作者周峻佑https://www.ithome.com.tw/news/162569
微軟開源MS-DOS 4.00程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周將誕生超過40年的MS-DOS作業系統4.00版原始碼以開源專案釋出，供學術或技術研究使用。</p> <p>上周微軟將MS-DOS v.400程式碼<a href="https://github.com/microsoft/MS-DOS" target="_blank">公開於GitHub上</a>。GitHub儲存庫除了原始OS原始碼以外，還包含MS-DOS v1.25及v2.0版。後面兩個版本在2014年3月<a href="http://www.computerhistory.org/atchm/microsoft-ms-dos-early-source-code/" target="_blank">已經分享給</a>美國電腦歷史博物館，但整合在GitHub更容易為一般用戶發現、和外部程式參照，以及供有興趣探索PC早期OS人士研究與實驗用。</p> <p>MS-DOS（Microsoft Disk Operating System）是微軟開發的一種DOS系統，於1981年問世。起初MS-DOS是微軟和IBM合作為IBM PC開發，後來IBM和微軟的DOS作業系統各自發展並日益分歧，微軟的DOS系統就命名為MS-DOS（IBM的版本則命名為IBM PC DOS）。MS-DOS是圖形化使用者介面（GUI）OS以前最普及的x86 PC作業系統，直到被微軟1995年推出的Windows 95取代。微軟在1994年推出最後一代MS-DOS 6.22，2000年終止支援。MS-DOS 4.00於1988年開發完成，但微軟實際出貨的是加了修補程式的MS-DOS 4.01。</p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_The%20original%20IBM%20PC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 278px;" /></a></p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_MS-DOS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 600px;" /></a></p> <p><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Computer History Museum</span></span></a></p> <p>MS-DOS所有檔案將以MIT授權分享。</p> <p>不過<a href="https://arstechnica.com/gadgets/2024/04/microsoft-and-ibm-release-source-code-for-one-of-the-weirdest-versions-of-ms-dos/" target="_blank">《Ars Technica》</a>形容MS-DOS 4.00是一個有些缺憾的開發成果，理由之一是MS-DOS並不支援多工；今天市場PC已不復見的OS/2已經具備多工能力，但微軟卻從未為MS-DOS加入多工支援。此外，MS-DOS較占記憶體。《Ars Technica》指出，4.00版RAM耗用記憶體92KB。從今天來看似乎不算什麼，但在記憶體昂貴的當年，這點頗令人介意。相較之下，IBM的PC DOS 2000僅耗用RAM 64KB。</p> <p>MS-DOS 4.00外，微軟參與開發的早期OS/2版本OS/2 2.0，也在今年3月被科技愛好者<a href="https://archive.org/details/msos-2-2.0-pr-2_5_14" target="_blank">上傳到網路上</a>。</p> </div></div></div>
2024/4/29 08:53作者林妍溱https://www.ithome.com.tw/news/162570
群光電子遭駭事件有後續，針對駭客宣稱取得SpaceX相關資料一事，該公司表示非機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群光電子遭駭事件又有後續，昨日（27日）傳出勒索軟體駭客Hunters International新釋出的群光資料中，不只含有GoPro產品的資料，還包含SpaceX的相關資料，到了今日（28日）週日早上11時19分，群光為此發布重大訊息澄清媒體報導，指出駭客這次釋出的資訊，其實都是已經量產、市面可買得到的產品，並非機密資料。</p> <p><a href="https://www.ithome.com.tw/news/162437">上星期群光電子傳出遭駭</a>，勒索軟體駭客Hunters International聲稱竊得1.2 TB資料，此事經國內媒體大肆報導，因此該公司在上周日已緊急發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">針對媒體報導發生網路資安事件</a>一事做出回應。群光指出，確實發現遭駭情形，不過該事件未達資安重訊發布標準，並聲明沒有個資、機密文件檔案資料外洩的情形。不過，到了昨日（27日），又有國內媒體經濟日報與聯合報報導，Hunters International不只公布Go Pro研發設計圖，還新公布SpaceX資料夾的圖片，並強調已有國際資安研究人員在X平臺標註SpaceX創辦人馬斯克（Elon Musk），要讓對方也知道此事。</p> <p>對此事件，我們在昨日周六聯繫群光，詢問對於這次公布資料的查驗情形的說明，以及是否還會發布重大訊息說明，雖然當時未獲得回覆，不過，到了今日周日中午，我們已看到群光做出回應，該公司再次針對媒體報導發布重大訊息以澄清媒體報導。</p> <p>根據群光的說明，該報導內容與上次（4月21日）公告被駭事件相同，並指出這次媒體報導駭客釋出的資訊，包括「昨天第二次釋出群光資料」，以及「客戶研發設計圖資料」，這些資訊都是已經量產、市面可買得到的產品，並非機密資料。</p> </div></div></div>
2024/4/28 13:24作者羅正漢https://www.ithome.com.tw/news/162568
iThome 2024資安大調查系列1：2024企業資安新態勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1177-feng_mian_p1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=fx5u2xmZ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>調查全臺422家企業的IT主管與資安主管，從第一線企業現場角度，來看2024與2025年企業資安最新態勢，哪些資安風險比去年更高，哪些新興威脅開始浮現？6大產業未來一年的資安態勢又是如何不一樣？</p> </div></div></div>
2024/4/28 09:44作者王宏仁https://www.ithome.com.tw/article/162274
零售IT雙周報第33期：遵循Just Walk Out老路，Amazon開始販售無人結帳技術Dash Carts解決方…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0414~0427)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong><br /> <strong>遵循Just Walk Out老路，Amazon開始販售無人結帳技術Dash Carts解決方案給第三方零售商</strong></p> <p>於自家生鮮超市Amazon Fresh撤除拿了就走結帳技術Just Walk Out後，<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-dash-cart-grocery-shopping-checkout-stores">Amazon在一篇聲明中重新審視自家3種無人結帳技術定位</a>，並宣布將開始販售智慧購物車Dash Carts解決方案給第三方零售業者。</p> <p>Amazon寫道，他們發現Just Walk Out更適合購買商品數少、店面小的消費場景。在生鮮超市等家庭採買場景中，消費者通常更喜歡使用可以掃描並裝載商品、且同樣可以自動結帳的智慧購物車Dash Cart。利用生物辨識技術來支援結帳的Amazon One，則是於各種零售型態都受到歡迎。他們強調，在自家生鮮超市停用Just Walk Out是因為零售型態不適合，但2024年新導入此技術的第三方零售商甚至會超過前一年兩倍以上。</p> <p>不只如此，他們還要全面於Amazon Fresh應用Dash Carts，並循著Just Walk Out從自用到開放給第三方零售商的策略發展模式，將此解決方案販售給第三方零售商使用。這也會使Amazon販售的無人結帳技術囊擴大小型零售店面。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客行為分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售第一手數據</span></span></strong><br /> <strong>Walmart整合旗下顧客行為分析服務與數位行銷服務，讓供應商根據數據趨勢來自助投放RMN廣告</strong></p> <p><a href="https://corporate.walmart.com/news/2024/04/17/creating-more-opportunities-for-data-driven-supplier-growth-at-walmart">Walmart整合旗下顧客行為分析服務Luminate及數位行銷服務Connect</a>。前者是提供給供應商的顧客行為、輿論及通路銷售表現分析服務，後者則是可以利用Walmart第一手數據來投放Walmart RMN及外部通路廣告的數位行銷服務。</p> <p>兩服務整合後，供應商在Luminate分析完數據報表，便能從該平臺直接使用Connect服務。這對供應商來說，能加速數據分析到實際應用的流程，對Walmart來說則能進一步用自家銷售數據來吸引更多廣告業績。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#員工AI培訓</span></span><br /> Ikea推動AI轉型，AI知識成全企業3,500名員工必修</strong></p> <p><a href="https://www.ingka.com/newsroom/ikea-retail-unleashes-ai-revolution-empowering-thousands-to-master-the-future-of-tech/">瑞典大型家具商Ikea揭露內部AI轉型計畫</a>。首先，企業內3,000名基層員工及500名主管都要接受各種AI訓練，包括基礎AI常識，及生成式AI創作工具、負責任AI等與員工職位相關的專門AI知識。針對有數據科學、機器學習或大型語言模型領域碩博士學位的員工，Ikea還推出了專門幹部培訓計畫，以期發揮這些員工的AI相關專業。不只如此，Ikea主管還要定期開會，研究如何結合AI趨勢及商業戰略。</p> <p>目前，Ikea已經自製或和其他廠商合作開發專屬AI工具，來強化作業流程。例如，他們和微軟共同開發了Hej Copilot，可以用於家具領域的圖文生成、腦力激盪及簡報製作等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#會員經營</span></strong></span><br /> <strong>Cyberbiz推出門市助理，作為OMO品牌串接線上線下會員足跡的加值功能</strong></p> <p>開店平臺Cyberbiz推出門市助理功能，作為OMO品牌串聯線上線下會員足跡的工具。此功能會生成一個QR Code，讓消費者掃碼一鍵加會員，並於後臺自動貼標會員來源門市。接著，商家便能於會員離店後，透過系統發送推薦商品連結。此功能還會自動歸因業績給對應門市與店員。</p> <p>Cyberbiz執行長蘇基明說明，有些實體門市POS系統難以串接EC系統，卻不便更換POS系統。此功能即是瞄準這個痛點而設計，雖然難以完整記錄POS資訊，但導入及操作簡易，且至少能開始經營OMO會員，定位是商家替換POS系統前的過渡期工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#美容類零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化行銷</span></span></strong><br /> <strong>Perfectcorp推出髮型辨識軟體，能快速辨認複雜髮型並提供個人化髮類產品推薦</strong></p> <p>美容類AI及AR技術商Perfectcorp<a href="https://www.perfectcorp.com/business/products/hair-type-analysis">推出一種可用來支援髮類商品個人化行銷的髮型辨識軟體</a>。此軟體利用電腦視覺技術，將頭髮分類為10種捲度，就連同一個髮型中不同區域有不同捲度，也可以辨認出來。</p> <p>此軟體支援手機鏡頭或筆電鏡頭，不需要高規格鏡頭。並且，提供API及SDK，供零售業者快速將此技術整合進自家個人化行銷或顧客資訊平臺等系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pfh.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#技能升級</span></span></strong><br /> <strong>Walmart於物流中心導入自動化堆高機，堆高機司機升級為物流規畫員</strong></p> <p><a href="https://corporate.walmart.com/news/2024/04/11/a-fork-in-the-road-walmart-bets-on-associates-automation">Walmart於自家四間大型物流中心導入自動化</a>堆高機<a href="https://corporate.walmart.com/news/2024/04/11/a-fork-in-the-road-walmart-bets-on-associates-automation">。</a>此堆高機背後的電腦視覺技術，使其能穩穩叉起貨物，並在人與機器人不分流的空間中移動。</p> <p>導入此技術，也使堆高機司機不再需要親自駕駛堆高機，轉而升級為物流規畫員，只需設定堆高機目的地，堆高機就能自行運送貨物到物流中心內的指定倉儲區域，大大提升了貨物處理量能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmfl.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片電商</span></span></strong><br /> <strong>Youtube推出更多電商功能，包括一口氣在新舊影片自動新增商品連結等</strong></p> <p><a href="https://www.youtube.com/watch?v=V4yb-M4BrTI">Youtube新增一系列支援創作者經營電商的功能</a>。首先是Shopping Collections功能，創作者可以將精選商品放在頻道商品清單欄位、創作者商城版位、及影片描述中的精選商品欄位，以增加商品曝光度。</p> <p>再來是可以一口氣在新舊影片自動新增商品標籤的功能。此功能會讀取過往影片描述中的商品連結，來自動新增商品標籤，供觀眾快速點擊、購買。這個功能能省去一一回到過往影片中新增商品標籤的作業時間。</p> <p>其他新功能包括推出創作者及合作品牌的媒合平臺，以及新增創作者電商功能對大型開店平臺Fourthwall的支援等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/yttg.png" style="width: 600px;" /></p> <p><strong>更多零售IT動態：</strong></p> <p>1. <a href="https://sellercentral.amazon.com/seller-forums/discussions/t/5f29151b-034e-401d-b5d9-9bd03e2f4701">Amazon在自家商城推出客製化品牌折價券功能，讓中小型商家也能進行精準行銷 </a></p> <p>2.<a href="https://corporate.bestbuy.com/best-buy-launches-new-ar-tech-exploration-app-for-apple-vision-pro/"> 大型3C連鎖賣場Best Buy也推出Apple Vision Pro專用的VR商場，可以模擬家電在自家擺設的樣子並分享給親友或直接下單</a></p> <p>3. <a href="https://www.aboutamazon.com/news/entertainment/amazon-live-free-channel-prime-video-freevee-shopping">Amazon在自家影視通路Prime Video及Freevee推出直播電商頻道，可直接將節目內商品加入購物車</a></p> <p>資料來源：iThome整理，2023年4月</p> <p>圖片來源：Amazon、Perfectcorp、Walmart、Youtube</p> <p>責任編輯：郭又華</p> <p></p> </div></div></div>
2024/4/26 18:50作者郭又華https://www.ithome.com.tw/news/162566
【資安日報】4月26日，駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用Google廣告散布惡意程式的攻擊行動頻傳，但最近有一起散布後門程式MadMxShell攻擊行動，特別引起研究人員的注意。因為，有別於相關攻擊行動主要是針對個人，這起攻擊行動背後恐怕有更大的目的。</p> <p>這些駭客聲稱提供多種網路管理工具，並希望引誘IT人員上當，進而取得入侵整個組織的管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162558" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">後門程式MadMxShell透過惡意廣告散布，對方聲稱提供網路管理工具引誘用戶上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MadMxShell-attack_chain.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/MadMxShell-attack_chain.png" style="cursor: default; width: 300px; float: right;" /></a></p> <p>資安業者Zscaler上個月發現的後門程式MadMxShell攻擊行動，對方從去年11月至今年3月註冊許多網域名稱，這些名稱與網路管理員及資安人員會使用的IP位址掃描工具等應用程式有關，這些應用程式包括近期常被駭客用來誘騙的Advanced IP Scanner、Angry IP Scanner，以及許多網管人員耳熟能詳的PRTG IP Scanner、ManageEngine工具，並透過Google廣告將這些網域名稱推送到特定關鍵字搜尋結果的頂部，企圖引誘上述技術人員上當。</p> <p>研究人員推測，對方的最終目的，是為了能夠取得入侵企業組織的初始管道。</p> <p><a href="https://www.ithome.com.tw/news/162561" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">鎖定SAP應用系統的勒索軟體攻擊行動以倍數成長，3年爆增4倍</strong></a></p> <p>資安業者Onapsis和Flashpoint提出警告，根據他們的調查，針對SAP旗下應用系統的勒索軟體攻擊行動，相較於2021年，2023年已增加了4倍，呼籲採用這些系統的企業組織要更加重視相關防護。</p> <p>研究人員指出，如今駭客對這些系統弱點存在高度興趣，在駭客論壇中，討論與SAP有關的漏洞或弱點成長490%，而鎖定SAP相關的雲端服務、網路服務弱點，也增加了220%。再者，SAP應用程式的RCE漏洞，黑市的價格也水漲船高，如今已為2020年的400%。</p> <p><a href="https://www.ithome.com.tw/news/162548" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">長榮航空證實資料外洩，不明人士存取逾300名旅客個資</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png" style="width: 300px; float: right;" /></a>4月25日夜間長榮航空在股市公開觀測站發布重大訊息，表示該公司發生資料外洩事故，他們察覺有不明人士取得旅客的帳號資料，透過惡意IP位址存取公司網站，有388筆旅客資料疑似遭到不當瀏覽。而對於這些遭到不明人士存取的內容，長榮航空表示，這些資料包括姓名、行程、聯絡資訊，但不含信用卡相關資料。</p> <p>對此，該公司察覺上述異狀即依照公司程序進行應變，並採取必要防護措施，通報相關主管機關。再者，他們也會通知可能受到影響的旅客。</p> <p><a href="https://www.ithome.com.tw/news/162546" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">開發搶票機器人程式違反文創法，竹科工程師遭到逮捕</strong></a></p> <p>去年6月2日文化創意產業發展法正式上路，此法專門針對不正當搶票、黃牛加價轉售的亂象而設，內政部警政署刑事警察局調查5起案件，結果發現，有3起使用名為「Max搶票機器人」的程式進行不當購票行為。</p> <p>4月23日刑事局召開記者會宣布破案，他們循線追查上述搶票機器人的程式開發者身分，為在竹科就職的45歲姚姓工程師，他坦承2018年3月開發出電腦搶票程式「Max搶票機器人」，能針對拓元、KKTIX、寬宏、年代等臺灣各大售票系統搶購演唱會票券。</p> <p>警方於113年4月16日持拘票、搜索票於新竹市轄內搜索，逮捕犯嫌1人，查扣筆記型電腦2部、手機1支、銀行存摺1本、電腦搶票程式與原始碼1組等贓證物。全案詢後姚男依涉偽造文書和文創法送請檢方偵辦，裁定以1萬元交保。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://decoded.avast.io/luiginocamastra/from-byovd-to-a-0-day-unveiling-advanced-exploits-in-cyber-recruiting-scams/" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">北韓駭客Lazarus假借職缺為誘餌，散布RAT木馬Kaolin RAT</strong></a></p> <p></p> <p>◆<a href="https://www.netcraft.com/blog/autodesk-hosting-pdf-files-used-in-microsoft-phishing-attacks/" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">Autodesk檔案共享服務遭到濫用，攻擊者上傳PDF檔案發動網釣攻擊</strong></a></p> <p></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2024"><strong style="font-size: 20px;">中國駭客鎖定網路邊際裝置、缺乏EDR系統防護的環境增加</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162559" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif" style="width: 300px; float: right;" /></a>4月2日Progress推出網路效能監控工具Flowmon新版12.3.5、11.1.14，當中修補CVE-2024-2389，一旦攻擊者將其利用，就能透過偽造的API請求，並在未經授權的情況下遠端存取Flowmon的網頁介面，甚至能執行任意系統命令，CVSS風險評分達到10分，如今通報此事的研究人員透露更多細節。</p> <p>資安業者Rhino Security Labs指出，攻擊者若是利用這項弱點，很有可能在受害電腦植入Web Shell，並將權限提升為root。研究人員展示概念性驗證（PoC）攻擊，他們藉由操縱pluginPath或file parameters等功能函數，從而注入惡意命令，從而在/var/www/shtml/寫入Web Shell。不過，上述命令無法直接看到輸出結果。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">Brocade旗下SAN設備及交換器存在漏洞，有可能導致設備遭到接管</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162513"><strong style="font-size: 22px;">IoT設備身分識別標準FDO即將有4家廠商取得首波認證，其中一家是臺灣工業電腦業者東擎科技</strong></a></p> <p></p> <p>4月24日FIDO聯盟在臺舉辦全球首場FDO Alliance Taipei Workshop，議程中介紹了IoT開放標準協定FIDO Device Onboard（FDO）的最新發展近況，讓臺灣資通訊產業對這項最新標準規範，可以有更多的認識，同時也透露了FDO標準認證計畫的最新動向。</p> <p>FIDO聯盟認驗證計畫主管Paul Heim表示，如今已有4家廠商在首波認證名單，有12個以上的元件正進行FDO功能評估，9個以上設備正進行FDO的Level 1安全評估，他預計，在接下來的一兩個月內，首批通過FDO標準認證的名單就會公布。</p> <p>更重要的是，我們不只是看到Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠在此共同研討FDO應用案例，臺灣也有積極參與者，那就是──華擎科技（ASRock）旗下的工業電腦廠東擎科技（ASRock Industrial），該公司不僅在現場展示他們的工業電腦FDO解決方案，而且他們也是上述提到即將取得FDO認證的4家廠商之一。</p> <p><a href="https://www.ithome.com.tw/news/162510"><strong style="font-size: 22px;">為強化勒索軟體回應與復原，Veeam併購索軟體回應服務業者Coveware</strong></a></p> <p>備份與還原軟體龍頭廠商Veeam，4月23日宣布併購勒索軟體回應服務廠商Coveware，藉此為旗下產品提供更完整的勒索軟體防護能力。</p> <p>Coveware成立於2018年，主要業務是勒索軟體攻擊事件的回應服務，其系統透過SaaS形式在用戶環境中運作，自動執行勒索軟體攻擊的分析、識別、搜證，評估影響，並幫助還原資料，另外Coveware還能代企業處理勒索贖金的談判與支付，也就是所謂的勒索軟體談判服務（ransomware negotiation services）。</p> <p>在併入Veeam後，Coveware將以Veeam全資擁有的子公司Coveware by Veeam形式，獨立繼續既有的業務營運。Veeam另外還會將Coveware的技術，引進到Veeam Cyber Secure計劃，以及Veeam資料平臺。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://content.govdelivery.com/accounts/USDODDC3/bulletins/39743d7"><strong style="font-size: 20px;">美國五角大廈針對國防工業基礎產業祭出漏洞懸賞專案</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> </div></div></div>
2024/4/26 17:11作者周峻佑https://www.ithome.com.tw/news/162563
鎖定SAP應用系統的勒索軟體攻擊行動以倍數成長，3年爆增4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Onapsis和Flashpoint提出警告，根據他們的調查，針對SAP旗下應用系統的勒索軟體攻擊行動，相較於2021年，2023年已增加了4倍，呼籲採用這些系統的企業組織要更加重視相關防護。</p> <p>研究人員指出，如今駭客對這些系統弱點存在高度興趣，在駭客論壇中，討論與SAP有關的漏洞或弱點成長490%，而鎖定SAP相關的雲端服務、網路服務弱點，也增加了220%。</p> <p>再者，SAP應用程式的RCE漏洞，黑市的價格也水漲船高，如今已為2020年的400%。</p> <p>而對於偏好SAP漏洞的駭客組織，研究人員點名了FIN13、Cobalt Spider、APT10、FIN7。</p> <p>值得留意的是，專注攻擊金融、零售、旅遊業的駭客組織FIN13，雖然這些駭客的攻擊行動較少出現在新聞版面，但研究人員指出，該組織因擅於利用SAP相關漏洞入侵目標企業，並發動金融攻擊而引起關注，對方曾從其中1個受害組織竊得逾3千萬美元。</p> <p>而Cobalt Spider與FIN7主要攻擊的目標，包含了SAP、SWIFT系統，以及ATM基礎設施和收銀機（POS）的終端機。</p> <p>至於APT10，則是擅於從SAP應用程式外流受害組織的財務報表。</p> </div></div></div>
2024/4/26 17:02作者周峻佑https://www.ithome.com.tw/news/162561
微軟財報出爐，營收成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2024-Q3/press-release-webcast" target="_blank">微軟周四（4/25）公布</a>截至今年3月底的2024財年第三季財報，該季微軟創下619億美元的營收，成長17%，淨收入為219億美元，成長20%。該季微軟的雲端營收達到351億美元，成長23%，微軟當天盤後股價上漲4.43%，達416.7美元。</p> <p>在619億美元的營收中，有267億美元來自於智慧雲端（Intelligent Cloud），成長21%，居次的生產力與業務流程（Productivity and Business Processes）營收為196億美元，成長12%，更多個人運算（More Personal Computing）占了156億美元，成長17%。</p> <p>若觀察微軟的個別產品，營收成長幅度最大的是Xbox的內容與服務，成長了62%，主要是來自於微軟收購了動視暴雪（Activision Blizzard）的影響；此外，Azure及其它雲端服務成長了31%，伺服器產品暨雲端服務則成長24%，Microsoft Cloud 成長23%，Dynamics 365營收亦有23%的增長。</p> <p>儘管微軟並未於財報中揭露人工智慧（AI）對該公司財務上的影響，但微軟執行長Satya Nadella表示，Microsoft Copilot與Copilot 技術堆疊正在帶來一個AI轉型的新時代，推動每個產業的不同角色都能取得更好的業務成果。</p> </div></div></div>
2024/4/26 15:25作者陳曉莉https://www.ithome.com.tw/news/162557
後門程式MadMxShell透過惡意廣告散布，對方聲稱提供網路管理工具引誘用戶上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者為了策畫攻擊行動，很有可能事先就搶下特定網域名稱，以便後續能成功發動攻擊。</p> <p>例如，資安業者Zscaler<a href="https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell">上個月發現的後門程式MadMxShell攻擊行動</a>，就是這樣的例子。</p> <p>他們發現對方從去年11月至今年3月註冊許多網域名稱，這些名稱與網路管理員及資安人員會使用的IP位址掃描工具等應用程式有關，這些應用程式包括近期常被駭客用來誘騙的Advanced IP Scanner、Angry IP Scanner，以及許多網管人員耳熟能詳的PRTG IP Scanner、ManageEngine工具，並透過Google廣告將這些網域名稱推送到特定關鍵字搜尋結果的頂部，企圖引誘上述技術人員上當。研究人員推測，對方的最終目的，是為了能夠取得入侵企業組織的初始管道。</p> <p>一旦使用者上當，從攻擊者的網站下載安裝程式，他們會取得ZIP壓縮檔，當中除了看似安裝程式的執行檔，還會包含大小高達22 MB的DLL程式庫IVIEWERS.dll，而這個程式庫檔案內含第2階段的有效酬載。前面提到的「安裝程式」，其實是物件檢視器oleview.exe更名而成。</p> <p>若是使用者啟動「安裝程式」，電腦就會透過側載的方式執行IVIEWERS.dll，解出微軟檔案共享服務的用戶端主程式OneDrive.exe，以及另一個DLL程式庫Secur32.dll。</p> <p>接著，攻擊者透過OneDrive.exe側載Secur32.dll，而該DLL檔案會對特定的圖示資源的XOR編碼進行處理，得到名為MadMxShell的Shell Code，從而收集受害電腦系統資訊，並能執行cmd.exe，以及進行基本的檔案操作。</p> <p>研究人員提及，對方為了迴避偵測，採用XOR演算法處理C2通訊的相關資訊。該惡意程式透過8位元XOR金鑰解密，從而呼叫特定函數，隨即進行重新編碼處理。</p> <p>此外，C2網域名稱、網路流量通訊的加解密表格、XOR金鑰，攻擊者也將這些資訊存成字串堆疊（Stack Strings），以防遭到資安系統解析。對方這麼做的目的，就是為了Shell Code在執行的過程中，不會在記憶體內留下完整的足跡。</p> <p>特別的是，此後門程式透過發送或接收DNS MX記錄的命令，來與C2伺服器進行通訊。</p> </div></div></div>
2024/4/26 15:33作者周峻佑https://www.ithome.com.tw/news/162558
網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月2日Progress推出網路效能監控工具Flowmon新版12.3.5、11.1.14，<a href="https://support.kemptechnologies.com/hc/en-us/articles/24878235038733-CVE-2024-2389-Flowmon-critical-security-vulnerability">當中修補CVE-2024-2389</a>，一旦攻擊者將其利用，就能透過偽造的API請求，並在未經授權的情況下遠端存取Flowmon的網頁介面，甚至能執行任意系統命令，CVSS風險評分達到10分，如今通報此事的研究人員透露更多細節。</p> <p><a href="https://rhinosecuritylabs.com/research/cve-2024-2389-in-progress-flowmon/">資安業者Rhino Security Labs指出</a>，攻擊者若是利用這項弱點，很有可能在受害電腦植入Web Shell，並將權限提升為root。</p> <p>研究人員展示概念性驗證（PoC）攻擊，他們藉由操縱pluginPath或file parameters等功能函數，從而注入惡意命令，從而在/var/www/shtml/寫入Web Shell。不過，上述命令無法直接看到輸出結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif" style="width: 580px;" /></a></p> <p>一旦命令執行完成，此網路效能監控工具將會以使用者flowmon的權限運作，而透過該使用者的身分，攻擊者可執行帶有sudo的命令，並下達濫用root shell的命令。研究人員表示，利用該漏洞，攻擊者也有機會濫用sudo權限執行PHP程式碼。</p> </div></div></div>
2024/4/26 16:13作者周峻佑https://www.ithome.com.tw/news/162559
Alphabet首季營收成長15%，宣告進入Gemini時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周四（4/25）公布該公司今年第一季財報，顯示其整體營收達到805億美元，年增15%，淨收入為237億美元，年增57%。Alphabet執行長Sundar Pichai宣告該公司正進入Gemini世代，董事會則宣布每股將首度發放0.2美元的股息，並購回700億美元的股票，當天Alphabet的盤後股價上漲了11.48%，達176.08美元。</p> <p>在805億美元的營收中，有704億美元來自Google服務的貢獻，成長13.6%，Google Cloud的營收為95.7億美元，成長28%，新創事業（Other Bets）的營收接近5億美元，成長72%。整體而言，Google服務帶進279億美元的營業利潤，增加了28%，Google Cloud的營業利潤亦達9億美元，比去年同期的1.9億美元大幅增加了371%，至於新創事業則虧損了10.2億美元，略低於去年同期所虧損的12.3億美元。</p> <p>Pichai表示，第一季的結果反映出搜尋、YouTube及雲端服務的強勁表現，同時該公司正進入Gemini時代，在AI研究與基礎設施的領先地位，再加上該公司在全球的產品足跡，都讓Alphabet於下一波的AI創新浪潮中處於有利地位。</p> <p>隨著全球掀起了AI熱潮，Pichai在<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q1-2024/#AI-search-innovation" target="_blank">財報電話會議</a>中也聚焦於Alphabet為此所奠定的基礎，包括在研究上建立了Gemini 1.5 Pro、Gemma及Imagen等模型，並宣稱Alphabet擁有AI時代最好的基礎設施，其客製化TPU已發展至第五代，並成為用來訓練及服務Gemini的專用積體電路。</p> <p>此外，Google正在將生成式AI整合至搜尋服務，允許人們以新的方式提出問題或詢問更複雜的問題，也計畫把生成式AI導入更多的產品中。</p> <p>Pichai說，目前Alphabet旗下有6款產品的每月用戶數超過20億，當中的Android裝置更超過30億，另有15款產品的用戶數達到5億，而且Alphabet的業務遍及全球上百個國家。</p> <p>總括來說，Pichai不僅認為Alphabet既有AI研究、基礎設施，還有龐大的產品網路，也提出了利用AI來變現的規畫，包括將Gemini 模型導入Performance Max中以協助廣告主取得更大的廣告效益，或是透過Google Cloud來提供AI服務，以及於Google One中推出收費的AI Premium服務。</p> </div></div></div>
2024/4/26 14:46作者陳曉莉https://www.ithome.com.tw/news/162555
FCC投票通過恢復網路中立規定，擴大對ISP業者的監管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（FCC）周四（4/25）以3比2<a href="https://docs.fcc.gov/public/attachments/DOC-402082A1.pdf" target="_blank">投票通過了恢復網路中立（Net Neutrality）的相關規定</a>，重新將ISP業者納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>網路中立政策的主要概念是要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。該政策是在2015年於美國總統歐巴馬（Barack Obama）任內實施，在2018年於川普（Donald Trump）任內被撤銷，而現在又在拜登（Joe Biden）任內重生。</p> <p>FCC表示，該組織將藉此重建國家開放網路標準，ISP業者將再次被禁止封鎖、箝制或參與合法內容的付費優先措施；且FCC將有權撤銷那些對美國國家安全構成威脅的外資企業，於美國經營寬頻網路的授權；並將在網路中斷時發揮積極的監控作用。</p> <p>可想而知，美國的ISP業者群起抗議此一政策，並打算透過法律行動來推翻FCC的決策。</p> </div></div></div>
2024/4/26 15:14作者陳曉莉https://www.ithome.com.tw/news/162556
一支API提供多項應用服務，玉山通用型GenAI平臺大解密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控不只是臺灣金融業率先擁抱生成式AI的領先者，更不到2年，就打造一個GenAI平臺，可透過API方式，整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。目前，玉山內部啟用了11項生成式AI應用服務，還有1項正在開發中。他們能夠快速將生成式AI落地的關鍵就是，今年初正式啟用的通用型GenAI平臺GENIE。</p> <p>五年前，玉山就自建一套機器學習即服務平臺MLaaS，幾年下來，平臺提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，GENIE平臺就是流程AI類的其中一隻API。這個平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>除了API串接形式，GENIE平臺還提供一個前端介面，可以直接提供使用者自己操作來使用，類似ChatGPT介面風格，支援多種資料匯入和匯出的格式，包括文字、圖片、聲音，和檔案等格式資料。當使用者輸入資料，資料會通過GENIE連接至微軟Azure OpenAI服務，再通過GENIE回傳結果給使用者。</p> <p>由於GENIE平臺需要將資料傳送到外部服務，因此，玉山除了使用供應商提供的護欄服務，過濾使用者輸入資料和模型生成回應，他們也額外開發機敏資料掃瞄機制，採用等價交換的方式，例如將身分證字號換成隨機號碼，避免機敏資料外洩。</p> <p>不同於以往應對資安風險採用的遮罩技術，玉山選擇採用等價交換，是為了確保LLM模型能正常運作。玉山銀行智能金融處資深副總工程師林鉦育解釋，遮罩技術是將機敏資訊遮蔽，防止重要資料外洩，但是，LLM模型需要根據上下文資訊進行判斷，若只提供遮蔽後的片段文本資訊，可能削弱模型的理解能力，進而影響模型正常提供服務。反之，等價交換的方式不僅能保護敏感資訊，也可以減少對模型判斷力的影響。</p> <p>早在2023年上半年，玉山就已經確立好GENIE平臺架構，同時開發介面，建立資料外洩機制。不過，他們並沒有立即投入開發應用服務，而是先大規模的蒐集潛在應用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-%E5%B0%81%E9%9D%A2p4-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>玉山從2018年開始打造MLaaS平臺，以MLaaS為核心發展出行銷AI、風控AI、服務AI、流程AI、賦能AI五大領域AI服務，全行運作超過百支AI服務。其中，GENIE平臺被設計為一支API，歸類於流程AI領域。</strong><span style="font-size: 14px;">（圖片來源／玉山金控）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立行內知識庫前，以「工人智慧」逐一檢視百萬筆輸入資料</strong></span></span></p> <p>2023年下半年，玉山向行員釋出GENIE平臺測試版，供行員查詢、試用各項服務。起初，GENIE平臺僅純粹介接LLＭ模型服務，並未額外設置知識庫提升回應精準度。目的是為了蒐集足夠的查詢需求，再根據使用者的需求開發進階應用服務，建立全行知識庫。</p> <p>為了提升業務單位使用新技術的意願，在測試階段初期，玉山團隊也舉辦工作坊和教育訓練，教導行員使用生成式AI工具，同時促進行員發想更多使用場景，「我們有點像工人智慧，逐筆看大家的輸入紀錄。」玉山銀行智能金融處副主任工程師徐銘霞回憶，當時收到超過百萬筆輸入紀錄，團隊逐漸摸索出使用者關注的問題和潛在應用場景，協助後續導入知識庫和開發進階應用服務時，能更有效決策優先開發順序。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應金融業務資訊快速變動，以RAG作為GENIE技術核心</strong></span></span></p> <p>經過初期測試階段後，玉山接著建立包括金融產品資訊，以及涵蓋個金、法金和風險規定等業務場景知識的知識庫，透過GENIE連接至LLM模型服務，供模型檢索資料，生成更精準的回應。玉山團隊在微調（Fine-tuning）和RAG技術兩者之間，選擇RAG作為發展生成式AI的關鍵技術核心。為什麼？</p> <p>首先，金融產品知識更新頻率快，十幾張信用卡資訊可能在一個月內就發生變動，微調模型不僅耗時，跟不上產品資訊變動，還須要投入大量成本。再來，若資料量過少或品質太低，微調模型表現也不好。反之，採用RAG能夠讓模型檢索最新資訊，有助於快速應變資料異動，甚至做到即時更新。</p> <p>在發展RAG時，玉山選擇在建立知識庫的階段投入最多技術能量。</p> <p>林鉦育解釋，RAG技術的運作有三個關鍵步驟，建立知識庫、檢索到監控輸出內容。建立知識庫的過程中，先透過嵌入技術將大量文字轉為向量，以供模型檢索之用。其次，在檢索時，將LLM模型視為邏輯引擎，讓LLM模型根據使用者提出的問題來檢索文件，找出最符合答案，最後是再透過閘道（Gateway）來進行監控，作為輸出前的防線，來控管LLM模型生成的答案，篩選過後才能提供給使用者。</p> <p>這三個步驟當中，玉山花最多力氣在第一個步驟，「東西給的對，後面就八九不離十。」林鉦育說，玉山發展RAG的策略是，在建立知識庫時，盡可能切出準確的向量距離，來提升資料檢索的精準度，如此一來，也能盡量降低模型回應錯誤率。</p> <p>使用LLM模型容易會有遭模型綁定的問題，因為不同LLM模型產生的向量有異，相似度判斷結果也可能有所差異，一但更換所用的LLM模型，就得重新生成所有文件的向量。因此，除了使用嵌入技術，玉山團隊也考慮採用術語庫（term base）來進行資料檢索，例如，關鍵字搜索，或使用TF-IDF或BM25等特定演算法。這個方式雖然傳統，卻能解決依賴單一模型的問題，不需要額外生成向量，只要有明確詞彙就能進行檢索。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GENIE整合流量管控和財務管理機制，下一步是走向混合雲架構</strong></span></span></p> <p>而在去年下半年的測試期間，玉山團隊除了觀察使用者需求，也將流量管控和財務管理機制納入平臺，紀錄各單位使用頻率和流量。他們沿用玉山既有的API流量管控機制架構，改成管控LLM使用流量，以及計算服務使用花費。</p> <p>玉山團隊的作法，是在平臺連接供應商服務的流程中設置流量管控機制，針對玉山全部系統進行管控，如此一來，團隊可以觀察不同單位使用情況，以及不同模型的長處和應用情況，協助開發團隊日後應對不同使用者需求，甚至在未來將生成式AI推向服務時，開發團隊也能根據不同服務需求選用適當的LLM模型。</p> <p>實際觀察LLM使用流量後，挑戰還在後頭。「一旦跟業務嵌入後，就會有旺季淡季的議題。」林鉦育坦言，業務單位的高低峰使用量增加不少流量管控的難度。因此，為了提升平臺的彈性，玉山團隊正在計畫將雲端納入GENIE平臺的調度環境，採用容器和K8s，運用K8s平臺的自動擴充機制，根據當下流量即時調度運算資源，協助進行流量管控。</p> <p>近期金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快年中就會推出新一代的通用型GenAI平臺。</p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 傳統AI和生成式AI的開發維運模式不一樣 </span></strong></span></span></p> <p><strong>2018年，玉山定調全力發展AI，五年的耕耘讓玉山內部累積不少AI開發維運經驗，但是，導入生成式AI仍和過往發展AI不太一樣，也讓玉山面臨不少挑戰。玉山銀行智能金融處副主任工程師徐銘霞解釋，過往玉山大多使用自己建立的模型，但自從LLM模型服務上線後，企業開始需要向外部流通資料，「那資料外洩的議題要怎麼樣做處理？我們跟雲端廠商要怎麼合作？」這些考驗，需要額外設立規範或建立機制才能解決。</strong></p> <p><strong>除了資料外洩和雲端廠商合作議題，控管雲端服務花費也是一門學問。徐銘霞解釋，過去團隊在計算開銷時，僅需要計算硬體設備或擴充VM等既有且已知的價格，「可是未來用到雲端服務，它的價格就會依照雲端業者提供。」等同是使用完服務，才能得知具體花費，無法提前交出預算。因此，玉山團隊在開發生成式AI應用時，也需要額外設置卡控機制，控制服務開銷。</strong></p> <p><strong>另外，發展生成式AI應用和過往發展AI模型應用場景也有所差異。徐銘霞指出，LLM模型類似一個7歲小孩，擁有許多知識，可以發展許多通用型的場景，和過往使用單一模型、發展特定場景的開發模式不同，因此，如何篩選適當導入生成式AI的場景，就是一項考驗。</strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162549
玉山開始擁抱生成式AI，今年目標要走向業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年11月，ChatGPT橫空出世，全球掀起了生成式AI浪潮，各行各業開始研究創新應用，金融業也不例外地投入研發能量。隔年三月中，短短一周內，OpenAI推出GPT-4模型、圖像生成工具Midjourney v5釋出，更有百度推出中國版ChatGPT文心一言，用來對抗ChatGPT。AI的快速進展再次震撼全球，連掌舵全集團多年AI發展的玉山金控科技長張智星，在那一周的心情，都興奮地「難以入睡」。</p> <p>在臺灣，玉山金控是第一批率先採用微軟ChatGPT方案的金融業者。早在2023年三月初，微軟Azure OpenAI服務推出沒多久，張智星和團隊就立刻展開評估，篩選使用場景，最後決定先將ChatGPT用於內外部的KYC調查應用上，幫助銀行行員從大量新聞內容中，找出開戶顧客有無負面行為或記錄的資訊。實際採用後，開戶時間從原本的30分鐘，縮短到只要幾分鐘，大大減少了開戶顧客的等待時間。</p> <p>當時，張智星就透露，玉山AI團隊採用ChatGPT技術前，曾評估過，能不能建立玉山自己的ChatGPT，也就是先自建一套LLM模型，再用來開發Chatbot應用。不過，玉山團隊很快意識到，訓練LLM模型不僅需要龐大算力，還很燒錢，不是一般企業可以自己來。</p> <p>他以當時玉山的算力資源來估算，若要訓練出媲美ChatGPT的對話水準，就算投入所有算力，也要一到兩年才能訓練出LLM模型。單是訓練一次GPT-3模型的成本就要140萬美元，若是參數量更大的LLM模型，訓練成本更是要花費200萬美元到1,200萬美元之間，價格非常昂貴。</p> <p>發現自建模型這條路不可行，玉山很快地調整策略。當時，張智星指出，他們要直接善用ChatGPT在對話式AI的卓越能力，讓玉山把同類型AI應用發揮得更好。例如，將玉山過去打造的Chatbot接上ChatGPT，使用供應商提供的服務，來發展生成式AI。</p> <p>這個戰略轉向看似單純，卻是玉山在AI發展上迎來的一次大轉變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2021年立下三年AI願景，發展NLP技術自建多個Chatbot</strong></span></span></p> <p>早在2021年，玉山就訂下了三年AI願景，當時，他們將自然語言處理（NLP）技術作為AI發展核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，不只做數位導流還要調整服務，更要打造24小時全智能語音Chatbot。</p> <p>玉山過去靠NLP技術開發出玉山小i隨身金融顧問，能一次回答房貸評估、外匯諮詢和信用卡推薦3大問題。當時，為了開發出這個Chatbot，他們組了40人團隊發想Chatbot應用場景，找來外部廠商進行各項測試，完成這款Chatbot，為了持續精進技術力，還找上臺大自然語言處理實驗室，鎖定使用者意圖分析與偵測技術，要從使用者在各種公開網路平臺上的異質源資料，來探索、拼湊出完整使用者資訊，建立更好的預測模型。</p> <p>這些經驗讓玉山團隊培養了豐富的NLP能力，玉山團隊還進一步深化NLP客服應用，自己建立一套NLP模型，來分析每通客服通話、判斷顧客遭遇的問題，並以簡訊發送相關連結和使用教學，來給顧客參考。他們甚至要進一步發展語音生成，開發一套語音引擎，讓自動撥號系統能以語音方式提供顧客一次性密碼（OTP）。</p> <p>玉山希望以NLP技術作為核心，來發展自己的AI藍圖，但是，隨著更進階的NLP模型—LLM模型橫空出世，玉山想快速擁抱對話水準更高的生成式AI，就不得不放棄自建模型的策略，轉而使用科技大廠提供的服務來使用LLM模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>玉山下一步是將生成式AI走向業務</strong></span></span></p> <p>玉山能直接面對這項挑戰，奠定在過往累積的AI基礎。去年三月，張智星就強調，AI策略的轉變，不會讓他們過去的投入白費，「正因為先打下了基礎設施，當ChatGPT出現後，很順利就能銜接。」張智星指出。</p> <p>張智星所說的基礎設施之一，就是玉山在2019年所打造的機器學習即服務（MLaaS）平臺，採API形式提供AI服務，這個平臺成了後來玉山各項AI落地的關鍵。</p> <p>隨著玉山新一代核心系統在2020年上線，原本大型主機的「大核心」模式，轉換為小核心的微服務架構和開放式平臺之後，玉山不只能更快速更迭服務，也更容易共享資料。為了因應快速增加的數據量和AI應用規模，玉山在2021年，重新改造MLaaS平臺，推出2.0版，改採用微服務架構，來增加平臺資源調度彈性，這個關鍵改變，讓玉山有能力走向雲端，也是玉山能快速銜接生成式AI服務的主因之一。</p> <p>兩年前，玉山就開始布局生成式AI。他們從導入生成式AI至單一應用，一路發展出多個應用服務。去年下半年，玉山打造出通用型GenAI平臺GENIE，並開始在內部測試，蒐集使用資料，了解適合運用生成式AI的潛在場景。到了今年初，玉山正式推出GENIE平臺，行員能透過API串接使用生成式AI服務，來加速各項工作流程。</p> <p>目前，玉山利用GENIE平臺推出11項生成式AI應用服務，開放全行行員使用，另有1項服務正在開發中。這12項應用服務可分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺蒐集更多資料，玉山以「工人智慧」逐筆查看行員查詢的內容，挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，整合行內知識庫和檢索增強生成（RAG）技術，提升平臺在特定場景的服務能力。</p> <p>去年金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快今年中就會推出新一代GENIE平臺。</p> <p>目前，玉山仍在蒐集更多適用生成式AI的場景，他們不僅關注舊場景，也在探索因新技術誕生的新場景。「我們要用新架構瞄準新場景，先從RAG開始。」玉山銀行智能金融處資深副總工程師林鉦育說。</p> <p>放眼今年，玉山的生成式AI發展目標是「走向業務」。一方面，經過去年的摸索和測試，玉山逐漸了解生成式AI的運作模式，另一方面，在金管會公布金融AI指引後，玉山會以此指引為基礎，來發展自己的生成式AI應用，將這項技術推向內部使用的業務場景，讓生成式AI在玉山逐漸開枝散葉。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#0066ff;"> 玉山高層大力支持生成式AI </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-BOX-%E5%9C%96-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 410px;" /></p> <p><span style="color:#696969;"><strong>玉山金控董事長黃男州提出AI未來發展的三個重要角色，分別是智能夥伴、溝通大師，和時光壓縮機。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>玉山能快速因應生成式AI浪潮轉變策略，除了仰賴過去奠定的技術基礎，更重要的是高層對AI的支持。</strong></p> <p><strong>今年二月，玉山金控董事長黃男州在法說會前記者會中，提出他對生成式AI的看法。「AI可能在未來發展進程會有幾個重要角色。」黃男州點出，AI可能擔任的第一個角色是智能夥伴，能和人類共同進行創造。第二個是溝通大師，能在物聯網中協助人與物溝通。第三，是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。最後，黃男州也表示，AI將和雲端結合，因此雲端也是重要議題。</strong></p> <p><strong>玉山金控科技長張智星事後解釋這三個想像的實現方式。智能夥伴類似副駕駛（copilot），能協助人類完成工作。溝通大師的模式，類似透過GPT模型從物連網抓取各種感應器資料，向使用者摘要設備運作情況。時光壓縮機意謂加速學習，例如，過往學習英文須要花費大量時間查找字典，但現在透過ChatGPT就能修改文法和用字錯誤，節省大量時間，提升了學習效率。</strong></p> <p><strong>「我們三不五時都會和他（黃男州）溝通，說明技術進步到哪個階段。」張智星表示，玉山的技術團隊時常和黃男州溝通新技術，當團隊詢問高層建議，黃男州也會提供回饋。但，張智星表示，「事前並不知道董事長會說這些。」</strong></p> <p><strong>ChatGPT誕生後，大眾對生成式AI技術並不陌生，更容易發想應用場景，另一方面，玉山大力發展AI，高層和技術團隊長期溝通，培養絕佳的默契，所以，當玉山技術團隊開始跨足生成式AI，不需要解釋太多技術細節，高層也能自己展開技術發展的願景，描繪AI藍圖。</strong></p> <p><strong>「董事長會自己想像應用場景。」例如，團隊曾和黃男洲提到生成式AI可以用來摘要會議記錄，「他很興奮地說，這樣可以整理每個人說的內容，列出待辦事項。」張智星回憶道。</strong></p> <p><strong>有了高層的支持，玉山科技團隊更放心創新。「其實，很多細節董事長幫我們補全了。」張智星說。例如，技術團隊曾提出，將OCR掃描後的文件轉換成文字後，可以使用LLM模型進行修改。當時，黃男州則提議，利用公司30年來累積的文件建立知識庫，協助企金業務整合客戶資料，快速整理上下游公司之間的關係。</strong></p> <p><strong>當時的提議，也成為玉山今年計畫發展的重點應用之一。今年，玉山計畫透過LLM模型協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。</strong></p> <p><strong>這個例子也顯示，生成式AI浪潮的關鍵，並非僅是發展技術能力，更多來自高層和業務團隊的加入，共同想像更多應用場景，提供技術團隊素材向前推進。因此，ChatGPT爆紅後，玉山接著在內部舉辦黑客松活動，邀請副總級高層，共同了解AI，發想更多應用場景。</strong></p> <p class="rtecenter"><span style="color:#ffffff;"><span style="font-size:36px;"><strong><span style="background-color:#B22222;"> 玉山生成式AI發展歷程 </span></strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2017年 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#006400;"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立創新實驗室，鑽研AI、區塊鏈、身分辨識、電子支付等前瞻技術</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#9933ff;"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出玉山小i隨身金融顧問，為大中華地區第一個金融Chatbot</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2017%E5%B9%B4_%E5%9C%961%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 定調玉山AI發展，終止多個千萬元等級專案，改將資源投注在AI上</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立科技長辦公室</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2018%E5%B9%B4_%E5%9C%961%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.png" style="width: 558px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／王宏仁</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始建置MLaaS平臺、AI研發雲</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 大數據分析團隊CRV轉型為智能金融處，負責開發AI應用</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#996600;"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 1.0平臺上線，提供AI推論、模型訓練、資料ETL等三大類服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A01169_2019%E5%B9%B4_%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 561px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 信用卡盜刷偵測模型、票據手寫辨識模型上線</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立資料治理專責小組，推動規範和分級</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>●新一代銀行核心系統上線，全面API化、加速資料累積和運用能力</strong></span></p> <p><span style="color:#696969;"><strong>●決定將MLaaS平臺底層部署至Kubernetes（簡稱K8s），打造MLaaS 2.0平臺</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2021年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 展開29年來最大一次組織改造、組成千人科技聯隊，形成資訊處、數金處與智金處的鐵三角組織</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 576px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 訂定AI三年願景，以自然語言處理（NLP）技術作為關鍵技術核心，圍繞Chatbot發展相關應用</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 2.0平臺上線，擁抱K8s、容器等主流開源工具，引進多項自動化機制</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 591px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出數位導流系統平臺、單一大影像模型、推薦系統Smart Channel、數存秒開服務</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2022年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 生成式AI爆紅，玉山開始布局生成式AI發展</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年上半年 </span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 玉山決定不走自建LLM模型的策略，改為採用廠商提供的商用生成式AI服務</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始打造玉山生成式AI平臺GENIE</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> KYC調查開始嘗試用生成式AI</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年下半年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 制定生成式AI執行內規</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>● 玉山生成式AI平臺GENIE開始測試</strong></span></p> <p><span style="color:#696969;"><strong>● 因應金融上雲鬆綁，MLaaS 2.0平臺轉為混合雲架構</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 對外展示用GPT模型打造的智能法律回覆生成系統</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2023%E5%B9%B4%E4%B8%8B%E5%8D%8A%E5%B9%B4%E5%9C%96-1-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E6%98%80%E7%92%87.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／李昀璇</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2024年年初 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 正式啟用GENIE平臺（除音檔、影像萃取服務尚在開發），整合行內知識庫</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 向內部推出11項生成式AI應用服務，包括純文字和圖片生成、會議記錄生成服務、摘要總結翻譯、分類和分析，和Chatbot知識搜索服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2024%E5%B9%B4%E5%B9%B4%E5%88%9D-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color:#696969;"><strong>資料來源：玉山金控，iThome整理，2024年4月</strong></span></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162547
玉山怎麼用GenAI？12項應用服務大解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，玉山在一場公開活動中展示一個生成式AI應用服務——智能法律回覆生成系統，提供內部行員快速檢索法規內容。系統介面是一個Chatbot，當行員輸入法遵相關提問，介面上會顯示簡短回覆和法源依據，並提供內外規範的法條比對，協助行員快速掌握內外規範，因應外部變動調整內部法規。</p> <p>這個案例不只是玉山發展的唯一一項生成式AI服務。經過一年來的開發、測試，今年初，玉山正式對內推出通用型GenAI平臺GENIE，開放行員使用11項生成式AI應用服務，另有1項服務正在開發中。</p> <p>這12項應用服務中，可區分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺收到更多使用資料，玉山開始挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>基礎和進階應用服務各有6項</strong></span></span></p> <p>玉山規畫的基礎應用服務共有6項，最基礎的服務包括純文字和圖片生成、會議記錄生成服務，複雜度一路提升，從摘要總結翻譯、分類和分析，到Chatbot知識搜索，最後則是支援非文字形式的音檔、影像資料萃取服務。目前，玉山將基礎服務延伸至特定場景，開發出6項進階應用服務。其中，摘要總結翻譯的進階服務有1項，分類和分析的進階服務有3項，Chatbot知識搜索的進階服務則有2項。</p> <p>相比最常見的純文字生成、會議記錄生成服務，摘要總結翻譯服務的定位是解讀大量文件，提取出重要資訊。玉山選擇將摘要總結翻譯服務延伸至KYC（know your customer）調查場景，協助摘要和生成市場資訊，結合RPA技術，不僅能快速蒐集、摘要客戶的負面新聞，還能定期產出客戶交易對手的負面新聞和報告。這項進階應用服務能協助理專人員快速撰寫徵審報告，也能協助一般銀行行員掌握時事對金融產品帶來的衝擊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定技術開發、客服和商業數據分析場景，發展進階分類和分析應用服務</strong></span></span></p> <p>分類和分析則是更進階的摘要總結翻譯服務，匯入資料形式不局限於文字，還包括數據、程式碼，這項服務是運用LLM模型理解大量文件和數據資料後，協助快速歸類，同時提供對數據、程式碼的分析解讀。玉山看準3種應用場景，發展出3項分類和分析的進階服務，分別是程式碼教學服務、數據分析與教學，和顧客情緒分析。</p> <p>第一種場景是技術開發，玉山發展程式碼教學服務，當技術人員在開發時面對卡關情況，可以藉由LLM模型服務提供教學指示，或是用來分析結構較複雜的程式碼，並提供建議註解，加速開發流程。玉山金控科技長張智星指出，完全讓模型生成程式碼，反而容易出錯。因此，玉山並未發展程式碼生成工具，而是開發程式碼教學服務。</p> <p>第二種場景是客服應用。玉山推出導入生成式AI的顧客情緒分析服務，不僅能協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字來分析顧客情緒和進線意圖。未來，玉山預計使用生成式AI提升原有的意圖判斷模型，精準導流進線意圖較特殊的顧客。</p> <p>第三種場景是協助業務分析商業數據。玉山開發數據分析與教學服務，協助行員快速分析表格資料，了解資料潛藏趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可以將顧客信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態行為模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立Chatbot協助知識庫搜索，首先提供內部行員搜尋法規文件、產品優惠訊息和教育訓練講義</strong></span></span></p> <p>Chatbot知識搜索結合了知識庫和搜尋功能，可以協助摘要、分類和分析大量文件，更重要的是，能讓使用者以簡短的文字提問快速掌握大量文件。這個基礎應用服務運用LLM模型服務和檢索增強生成（RAG）技術，蒐集和彙整大量文件資料或網路新聞資訊，並以Chatbot形式提供內部使用者查詢。系統會根據使用者的提問提供簡短回覆，協助行員省下翻閱大量文件資料的時間。</p> <p>針對Chatbot知識搜索，玉山鎖定兩個場景開發進階服務，分別是提供內部員工使用的智能客服與專業知識庫搜尋，和法規文件比對服務。前者目前提供行員搜尋金融產品優惠訊息，以及協助新進行員快速查詢教育訓練講義和文件，提升訓練成效。後者則是當行員遇上法遵問題時，可以快速查詢法源依據，了解公司內部法條和外部規範，進一步衡量是否須因應外規變動調整內規。</p> <p>最後一項基礎服務是音檔、影像資料萃取，當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，接著回應使用者針對輸入資料的提問。這項應用服務目前尚在開發中，還未提供內部使用。</p> <p>除了現有服務，玉山預計在今年發展更多進階應用服務。</p> <p>他們計畫要提升會議記錄摘要功能，讓模型能讀懂會議中出現的專有名詞，例如能辨識出產品名稱，甚至是分辨出發言者身份，以及透過LLM協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。技術上，玉山也期望能發展出多輪對話功能，創造更多應用服務。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#B22222;"> 玉山12項GenAI應用服務介紹 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#6666ff;">　基礎應用服務：</span><span style="background-color:#6633ff;">　功能說明　</span></span></strong></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>純文字和圖片生成類</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>生成文字和圖片</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>會議記錄生成</strong></span></span><span style="color:#6633ff;"><strong><span style="font-size: 20px;">：</span></strong><span style="font-size:20px;"><strong>快速摘要會議內容</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>摘要總結翻譯</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>摘要、總結、翻譯大量文件資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>Chatbot知識搜索</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務和RAG技術，蒐集和彙整大量文件資料或網路新聞資訊，並以chatbot形式提供服務，系統會根據使用者輸入的問題提供回覆</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>分類／分析</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務來快速分類或分析大量資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>音檔、影像資料萃取</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，並回應使用者對輸入資料的提問</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;">　進階應用服務：</span><span style="background-color:#ff6600;">　功能說明和應用場景　</span></span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">程式碼教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，使用生成式AI來分析較複雜的程式碼，並提供註解建議，或是當技術人員開發時卡關，可以使用生成式AI提供教學指示，來輔助開發 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">智能客服／專業知識庫搜尋：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，供內部行員搜尋金融產品優惠訊息，或是協助新進行員搜尋教育訓練講義和文件 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">法規文件比對：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，可供行員搜尋和比對內部規範和外部規範 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">市場資訊摘要／生成：</span><span style="color:#ff3300;">摘要總結翻譯的進階服務</span><span style="color:#ff6600;">，可供行員快速彙整產業和新聞資訊和趨勢，主要應用在KYC調查。也可以協助行員快速掌握時事對金融產品的衝擊</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">數據分析與教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員快速分析表格資料，了解資料潛藏的趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可將顧客的信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態的行為模式</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">顧客情緒分析：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字分析顧客情緒和進線意圖 </span></span></strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162551
玉山金如何擁抱GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年，玉山就開始布局GenAI，經歷AI策略轉向，不到兩年，玉山打造出通用型GenAI平臺GENIE，目前已向內部提供11項GenAI應用服務，1項正在開發，下一步，他們要更積極讓GenAI走向業務</p> </div></div></div>
2024/4/26 13:52作者李昀璇https://www.ithome.com.tw/article/162552
AI領先者的決斷
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要訓練出媲美ChatGPT的對話水準，就算玉山投入所有算力，也要一到兩年才能訓練出LLM模型。」玉山金控科技長張智星指出，去年3月初，ChatGPT API一發布，玉山AI團隊就馬上開始評估，決定先用KYC調查中負面新聞查詢的重點整理和摘要來測試，發現效果不錯，也替作業人員省下不少時間。但問題來了，當時若不是採用雲端企業級的ChatGPT服務，就得自行訓練LLM模型。要不要自己訓練LLM？成了關鍵的抉擇。</p> <p>因為算力不夠，玉山要自行訓練LLM模型得花上2年，但是可以擁有最大的自主權，若是採用業者的LLM服務，雖然可以快速上手，但得考慮綁定風險，還有金融業諸多嚴格的法遵和資安規範。</p> <p>玉山早在2021年訂定了三年AI願景，以NLP技術作為全集團AI發展的核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，發展數位導流，更想要打造出可以24小時運作的全智能語音Chatbot。他們也訓練出了自己的NLP模型，用於大量客服通話內容、分析顧客問題。</p> <p>如今ChatGPT隔空出世，為了運用更先進的LLM來實現AI願景，玉山毅然決然，放棄自建模型的策略，轉而採用第三方業者的雲端LLM服務。</p> <p>不過，玉山多年AI的投入，並沒有白費，而是讓他們很快就能銜接到最新生成式AI技術。這其中，最關鍵的是，玉山有一套MLaaS平臺（機器學習即服務平臺），全面以API形式來提供AI服務，而不是直接把AI技術寫入到每一套系統中。</p> <p>在金融業，對內要全面用API來串接不同的系統，不是一件容易的事，但是，玉山當年決定全力發展AI，就計畫要能夠全面地使用AI，因此，玉山將不同的AI功能，打造成一隻又一隻的API，方便以API形式整合到各式各樣的系統上。也搭配發展出了一套從訓練、開發、部署、提供服務到維運，涵蓋整個開發到維運生命周期的MLaaS平臺。這不僅是金融業，也是臺灣大型企業中少見如此系統化、大規模發展AI的作法。</p> <p>雲端業者提供的各種生成式AI服務、LLM服務，正是以API形式來串接，玉山當年所做的選擇，正好是現在當紅的生成式AI主流服務提供形式。玉山只需要外部的第三方生成式AI的API，串接到原本的MLaaS平臺中，就能延續原本的作法，甚至不需要重新調整、修改MLaaS平臺對內部系統的串接方式，累積3年的API化AI應用開發經驗，一點都沒有白費。</p> <p>隨著金融主管機關這兩年逐漸鬆綁金融上雲的規範，金融業者更容易使用公雲上的服務，剛好解了玉山採用雲端生成式AI的一大難題，不過，還有另一個挑戰，要將內部資料拋轉到外部的第三方服務上，如何徹底避免機敏資料外洩是另一項考驗。</p> <p>許多企業為了預防機密外流，都會對上傳到雲端生成式AI的資料進行遮蔽，將機敏資料移除，來避免外洩。但是，生成式AI是依據上下文來進行推論，一但提供的內容中有缺漏，就可能會影響生成的結果。</p> <p>玉山找到了兩全其美也更進階的作法，採取等價交換的方式，將機敏資料替換成類似但卻是模擬的假資料，例如原本提到了真實的信用卡號，則替換為假的信用卡資料，或是用假姓名來取代真實的姓名，既能避免外洩機敏資料，又能讓生成式AI有較完整的上下文脈絡可用。</p> <p>玉山在這套機器學習即服務平臺MLaaS上，提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，生成式AI就是流程AI類的其中一隻API。玉山也發展出了一整套的生成式AI平臺稱為GENIE，以RAG作法為核心。</p> <p>GENIE是一隻獨立的API，容易串接、整合到多種延伸應用服務或是各種內部系統上。玉山也搭配自建的金融知識庫，運用RAG技術來提升LLM模型的回答精準度。</p> <p>透過這個平臺，玉山先發展出了12類生成式AI應用服務，其中11項已經正式啟用，一項還在開發中。這只是玉山生成式AI的一小步，這套涵蓋整個生命周期的MLaaS是玉山發展更多AI應用的加速器，從自建NLP到擁抱第三方LLM服務，玉山的AI戰略，換了更先進的新引擎，可以站在更高的技術力上，讓AI 繼續全面落地。</p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7">玉山金控</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/4/26 14:01作者王宏仁https://www.ithome.com.tw/voice/162553
中東政府遭到後門程式CR4T鎖定，駭客發起DuneQuixote攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，<a href="https://securelist.com/dunequixote/112425/">他們在今年2月察覺此事</a>，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>究竟攻擊者如何滲透這些組織？研究人員並未進一步說明，但指出對方利用惡意程式下載工具（Dropper）於受害電腦部署後門程式。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出這些檔案的共通點，都是使用C或C++開發而成的64位元Windows執行檔，且並未採用標準範本程式庫（Standard Template Library，STL），並帶有無效的數位簽章。</p> <p>而這些下載工具大致可區分兩種類型，其中一種是透過檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p>但上述的惡意程式下載工具的最終目的相同，就是在迴避偵測的狀態下，於受害電腦部署CR4T。</p> <p>一旦執行，這些下載工具便會執行一系列沒有實際目的的API呼叫，企圖混淆研究人員的視聽，而這些呼叫所使用的函數功能也很特別，是西班牙詩歌的片段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png" style="width: 580px;" /></a></p> <p>接著，對方使用XOR演算法解碼字串，取得Windows核心特定DLL檔案的名稱，成功後就會透過動態解析API呼叫，並利用多種方式得到記憶體的位置，然後以特殊手法解出C2的IP位址（研究人員並未透露手法為何），從而下載後門程式並執行。研究人員指出，攻擊者採用上述手法取得C2IP位址的原因，是為了避免遭到惡意軟體分析系統攔截。</p> <p>而針對後門程式的部分，研究人員看到了兩種版本的CR4T，一個以C及C++開發，另一個採用Go語言開發，但兩者功能幾乎完全相同。</p> <p>值得留意的是，研究人員推測，這起攻擊行動可能從去年2月就開始，相關惡意程式主要出現於中東地區，但似乎也有人從韓國、盧森堡、日本、加拿大、荷蘭、美國上傳相關檔案到惡意程式分析平臺，對此研究人員認為，這些人很有可能是透過VPN來傳輸檔案。</p> </div></div></div>
2024/4/26 14:05作者周峻佑https://www.ithome.com.tw/news/162554
開發搶票機器人程式違反文創法，竹科工程師遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月2日文化創意產業發展法正式上路，此法專門針對不正當搶票、黃牛加價轉售的亂象而設，內政部警政署刑事警察局調查5起案件，結果發現，有3起使用名為「Max搶票機器人」的程式進行不當購票行為。</p> <p>4月23日<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=0e3f52d8-cffa-4a17-8c9e-b18fe5317d5e#">刑事局召開記者會宣布破案</a>，他們循線追查上述搶票機器人的程式開發者身分，為在竹科就職的45歲姚姓工程師，他坦承2018年3月開發出電腦搶票程式「Max搶票機器人」，能針對拓元、KKTIX、寬宏、年代等臺灣各大售票系統搶購演唱會票券。</p> <p>姚姓工程師亦開設臉書粉絲專頁、部落格，提供教學影片及文章，教導民眾使用他開發的機器人購買演唱會門票。此外，他還提供相關程式及原始碼下載，讓他人能夠進一步運用或是改造。</p> <p>值得留意的是，姚姓嫌犯盜用他人的身分證字號來註冊售票系統會員帳號，並教唆民眾利用多個小號（分身帳號）刷票。</p> <p>專案小組追查發現，此人公開提供搶票程式後，<a href="https://www.cna.com.tw/news/asoc/202404230292.aspx">曾以此機器人購買6張票券，並得到他人資助3.7萬元。</a></p> <p>警方於113年4月16日持拘票、搜索票於新竹市轄內搜索，逮捕犯嫌1人，查扣筆記型電腦2部、手機1支、銀行存摺1本、電腦搶票程式與原始碼1組等贓證物。</p> <p>對此，姚姓嫌犯供稱，他開發搶票機器人的動機，主要是覺得購票平臺搶票規則不公，造成一般民眾權益受損，他宣稱自己沒有不法意圖。全案詢後姚男依涉偽造文書和文創法送請檢方偵辦，裁定以1萬元交保。</p> </div></div></div>
2024/4/26 11:27作者周峻佑https://www.ithome.com.tw/news/162546
【iThome 2024資安大調查系列1】政府學校未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-zheng_fu_xue_xiao_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府與學校所面臨的資安態勢，向來與其他產業有很大的不同，今年也不例外。國家級攻擊組織和一般駭客是未來一年，政府學校的首要資安威脅。這是和其他產業最大的不同。尤其是國家級攻擊組織的威脅，高達4成政府機關資安主管認為，未來一年極可能遭遇這類攻擊，更有6成政府資安主管擔心，一但遭遇，就會帶來重大衝擊。</p> <p>國家級攻擊組織對政府學校的威脅，在2021、2022年時，雖然都是政府學校資安風險圖第一象限的高衝擊高風險威脅，但在排名上，還落後於社交工程手段、資安漏洞等其他類型的風險，可是，從去年開始，這類攻擊不論在發生風險和衝擊的排名上都明顯提高，在2023年的政府學校資安風險圖中，國家級攻擊組織的威脅，首度成為首要風險，和一般駭客的威脅並列。今年也不例外，這兩大威脅，同樣是2024～2025，政府與學校未來一年最需要警戒的首要風險。</p> <p>在去年資安風險圖上，次要風險只有一項，但是今年，政府學校所面臨的次要風險項目，增加到了3項，除了社交工程手段之外，還包括了勒索軟體資安事件、資安漏洞（零時差漏洞）攻擊事件。</p> <h3><span style="color:#FF0000;"><strong>7項資安風險態勢明顯比去年更嚴重</strong></span></h3> <p>若比較去年和今年資安風險態勢的變化，高達7項資安風險的威脅態勢明顯比去年更大。首要風險中的國家級攻擊組織的衝擊比去年更大，次要風險中的勒索軟體資安事件不論發生風險或衝擊都明顯提高，其餘兩項，社交工程手段和資安漏洞（零時差漏洞）攻擊事件則是發生風險比去年更高。第一象限風險中，另外還有兩項值得特別留意，釣魚網站威脅的發生風險比去年明顯更高，而資料外洩事件的衝擊也預期會比去年更高。</p> <p>最後一項態勢不同的資安風險是位於第四象限邊緣的「行動裝置與App的攻擊」，政府資安長預期明顯會比去年帶來更大的衝擊。雖然這項威脅的發生風險較低，但一但發生，可能會出現預料之外的影響。</p> <p>在這幾年資安即國安政策推動之下，政府學校的資安信心水準在各產業中屬於前段班。若將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，政府學校的的信心分數達到72.1分，只有略低於金融業者。</p> <p>其中，政府學校的資安防護能力哪一項較弱？從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。政府學校對識別能力（69.8分）的信心最低，但這項能力的信心水準也高於一般製造、高科技製造、服務業和醫療業。</p> <h3><strong><span style="color:#FF0000;">小心中國駭客網攻戰略的三大轉變</span></strong></h3> <p>政府學校資安主管如何提高對資安風險的識別能力來進行更主動、適當的因應，除了可以參考我們這份2024～2025政府學校資安風險圖上的資安風險分布，來調整資安資源的投入優先順序和步局之外，去年，以資安態勢分析聞名，現為Google Cloud行政總裁的Mandiant創辦人Kevin Mandia，他揭露了對中國駭客網路攻擊戰略最新的分析，有三大轉變值得政府學校資安主管特別留意。</p> <p>第一項是中國駭客近年逐漸捨棄了社交工程手法，轉為更系統性的挖掘零時差漏洞，一但發現這類漏洞，就有能力一次性發動大規模攻擊，帶來更強大的破壞力。而且第二項改變是，他們不只有計畫性地挖掘零時差漏洞，還經常鎖定網通設備，這幾年多起攻擊事件，後來發現就是中國駭客鎖定知名網通設備零時差漏洞。甚至在2023年1～9月間發現的62個零時差漏洞攻擊，一大部分是中國駭客所為。最後一項改變是，中國駭客網路攻擊朝向複雜匿蹤方式，大量挾持家用或中小企業路由器、IoT等設備，來打造一個遍及全球的網路攻擊跳板，如此複雜的網路跳接，讓調查人員的調查進度緩慢，更難以溯源追查。</p> <p>這也意味著，政府學校得更留意各項零時差漏洞的通報和修補，一但出現了高風險的零時差漏洞，得盡快修補或先採取緩解、避險的作法。</p> <p>政府學校在2024年的資安預算平均約2,491萬元，僅次於金融業，但遠高於其他產業，而且，政府學校資安預算連年成長，今年增加了11.8%，高達兩位數，也是各產業中資安預算成長最高者。不過，導致政府學校難以做好資安的最大阻礙因素是，資安人手嚴重不足的問題，高達6成政府學校資安人力不足，另有4成則因系統老舊而讓政府學校難以做好資安，這都是政府資安主管長期的重要課題。受限於法規，政府機構資安人力擴編規模有限，但今年仍有35%政府學校想要招募更多資安人力，其中8成政府機構想要招募具備威脅分析或鑑識能力的人才。</p> <p>政府學校未來一年資安投資重點仍以基礎端點與網路防護，以及員工資安訓練為兩大重點。不過，今年高達7成政府機關想要推動資安轉型，這個比例也遠高於其他產業，整府機關更積極想要擁抱主動防禦策略、零信任架構、資安左移等新世代資安思維。隨著政府大力展開零信任架構的導入，今年高達41.5%政府學校要導入零信任身分與設備鑑別，26.8％政府機關要導入零信任網路分段，更有24.4％機關要導入到更進階的零信任信任推斷。在零信任架構採用上，政府學校是領先各產業，不論採用廣度和深度都是名列前茅。</p> <h3><span style="color:#FF0000;"><strong>10項政府學校未來一年要警戒的高衝擊高風險威脅</strong></span></h3> <p>整體來說，政府學校在未來一年必須優先警戒的第一象限威脅，共有10項，可分為三大類來看，第一類攻擊者的威脅，包括了來自國家級攻擊組織、駭客和網路犯罪者所發動的攻擊，其次是三種攻擊途徑的風險，包括了社交工程手段、釣魚網站、以第三方為跳板的攻擊的攻擊。以及最後一類的資安攻擊事件也有四種，包括了勒索軟體資安事件、資安漏洞/零時差漏洞攻擊事件、資料外洩事件和被植入竊資軟體/後門木馬等資安風險。文⊙王宏仁 </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/26 11:52作者王宏仁https://www.ithome.com.tw/article/162263