iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 29篇
近 24 小時: 29篇
近 7 天: 126篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 126 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

導入Blackwell架構、GDDR7，輝達專業繪圖GPU邁入新紀元
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_pro_6000_blackwell_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>接續<a href="https://www.ithome.com.tw/tags/nvidia-ampere">Ampere架構</a>與<a href="https://www.ithome.com.tw/tags/nvidia-ada-lovelace">Ada Lovelace架構</a>之後，Nvidia專業繪圖加速器產品線今年終於邁入<a href="https://www.ithome.com.tw/tags/nvidia-blackwell">Blackwell架構</a>，在3月底舉行的GTC大會，該公司發表RTX Pro Blackwell系列，涵蓋工作站與資料中心GPU，運用加速運算、AI推論、光線追蹤，以及類神經渲染處理（neural rendering）等多項創新技術，重新定義AI、高科技、工程與設計等專業領域的工作流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvdia GTC 2025-RTX Pro Workstation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvdia%20GTC%202025-RTX%20Pro%20Workstation.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-workstations-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-workstations-web.jpg" style="width: 500px;" /></a></p> <p>RTX Pro Blackwell系列細分為3大類型：資料中心GPU、桌上型電腦工作站GPU、筆電工作站GPU，首波5月上市的產品是桌上型電腦工作站GPU，包含：RTX Pro 6000 Blackwell Workstation Edition、RTX Pro 6000 Blackwell Max-Q Workstation Edition，這兩款最大差別在於熱設計功耗（600瓦 vs. 300瓦），以及散熱方式（雙風扇 vs. 單風扇）；而RTX Pro 5000 Blackwell、RTX Pro 4500 Blackwell、RTX Pro 4000 Blackwell這三款產品，預計夏季供貨，目前Nvidia皆已在網站公開細部規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro Desktop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%20Desktop.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro 6000 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%206000%20Comparison.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-desktop-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-desktop-web.jpg" style="width: 298px;" /></a></p> <p>資料中心GPU產品RTX Pro 6000 Blackwell Server Edition，Nvidia只說很快就會推出，Nvidia僅在網站列出簡要規格；筆電GPU產品，則有RTX Pro 5000 Blackwell、RTX Pro 4000 Blackwell、RTX Pro 3000 Blackwell、RTX Pro 2000 Blackwell、RTX Pro 1000 Blackwell、RTX Pro 500 Blackwell，預計今年稍後推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA RTX PRO Laptop GPUs.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20RTX%20PRO%20Laptop%20GPUs.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-laptop-web.jpg" style="width: 398px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA GPUs Recommended for Virtualization.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20GPUs%20Recommended%20for%20Virtualization.jpg" style="width: 600px;" /></a></p> <p>RTX Pro Blackwell系列GPU標榜8大特色，分別是：採用更大規模的串流多處理器（Streaming Multiprocessor，SM）、第五代Tensor核心、第四代RT核心、更大容量與更快速的記憶體GDDR7、多媒體編碼器NVENC第9代、多媒體解碼器NVDEC第6代、PCIe 5.0介面、DisplayPort 2.1視訊連接埠、GPU多執行個體（MIG）。除了MIG，其餘皆是<a href="https://www.nvidia.com/en-us/geforce/news/rtx-50-series-graphics-cards-gpu-laptop-announcements/">今年1月推出的GeForce RTX 50系列</a>主打的新功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia GDDR7 compared to prior generation GDDR6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GDDR7%20compared%20to%20prior%20generation%20GDDR6.jpg" style="width: 600px;" /></a></p> <p>關於運算組態的配置，這批GPU搭配的串流多處理器，吞吐量可提高1.5倍，並新增類神經著色器（neural shaders），能在可程式化著色器內部整合AI技術，帶動AI增強（AI-augmented）類型的繪圖處理應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SM architecture evolved between Ada and Blackwell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SM%20architecture%20evolved%20between%20Ada%20and%20Blackwell.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blackwell SM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blackwell%20SM.jpg" style="width: 98px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia GB202.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GB202.jpg" style="width: 498px;" /></a></p> <p>而在Blackwell架構引進的第五代Tensor核心當中，能為RTX Pro Blackwell系列GPU提供的AI運算效能，最高可達到4,000 TOPS，相較於上一代專業繪圖GPU產品，在大型語言模型的處理，可提供3倍的效能。</p> <p>關於運算精度，除了既有專業繪圖GPU產品支援的FP16、BF16、TF32、INT8，以及Hopper架構GPU產品支援的FP8（Transformer Engine），第五代Tensor核心也增加FP4與FP6的處理，並提供類似資料中心GPU產品的第二代FP8 Transformer Engine。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell Support FP4-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20Support%20FP4-1.jpg" style="width: 600px;" /></a></p> <p>此外，第五代Tensor核心支援具有多畫格生成（Multi Frame Generation）功能的DLSS 4技術，可實現AI驅動的繪圖處理，也能針對更大規模AI模型提供執行的能力，以及加速此類應用的原型設計（prototype）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DLSS 4 Multi Frame Generation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DLSS%204%20Multi%20Frame%20Generation.jpg" style="width: 600px;" /></a></p> <p>接著，我們看看RTX Pro Blackwell系列GPU搭配的第四代RT核心，導入Nvidia發展的RTX Mega Geometry技術（RTXMG），可在光學追蹤應用當中，大幅增加幾何學（geometric）的細節呈現與對應能力。</p> <p>相較於Nvidia上一代專業繪圖GPU，在建立逼真圖像、具有物理等級精確度（physically accurate）場景，以及複雜的3D內容設計時，內建第四代RT核心的RTX Pro Blackwell系列GPU，可提供兩倍的處理效能——光線與三角形相交（ray-triangle intersection），若啟用RTXMG技術，光線追蹤三角形（ray-traced triangles）的處理效能可提升至100倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Fourth-Generation RT Core.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Fourth-Generation%20RT%20Core.png" style="width: 600px;" /></a></p> <p>針對AI與大規模圖形運算最迫切需要的高速與大容量記憶體資源，RTX Pro Blackwell系列GPU搭配GDDR7記憶體，存取介面擴增至512位元（Ampere架構與Ada Lovelace架構GPU搭配GDDR6X記憶體，存取介面為384位元），頻寬可達1,792 GB/s（Ampere架構為936 GB/s，Ada Lovelace架構為1,008 GB/s）。</p> <p>而在工作站與伺服器等級的GPU產品上，RTX Pro Blackwell系列最多可搭配96 GB的容量。在筆電等級的GPU產品上，RTX Pro Blackwell系列最多可搭配24 GB的容量。相較之下，Ampere架構與Ada Lovelace架構的專業繪圖GPU，最多搭配48 GB。</p> <p>基於上述記憶體配置，RTX Pro Blackwell系列GPU可處理更大規模、複雜度更高的資料集，涵蓋巨型的3D與AI專案，以及大型虛擬實境應用。</p> <p>除了運算元件、記憶體的突破，RTX Pro Blackwell系列GPU另一個變革，在於支援PCIe 5.0介面，可運用兩倍的I/O頻寬，能改善與處理器、記憶體之間的傳輸速度，因應AI、資料科學、3D建模等資料密集型的任務。對照既有的Ampere架構與Ada Lovelace架構的專業繪圖GPU，均支援PCIe 4.0。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro Desktop models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%20Desktop%20models.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，過往Nvidia僅在資料中心GPU產品提供的GPU多執行個體功能，像是A100、A30、H100、H200、B200、GB200，如今在Blackwell世代的產品即將全面上市之際，終於下放至專業繪圖GPU。</p> <p>根據Nvidia目前公開的產品資訊來看，RTX Pro Blackwell系列當中，RTX Pro Blackwell系列GPU的6000、5000均支援MIG。</p> <p>其中，RTX Pro的資料中心GPU產品：6000 Blackwell Server Edition，以及桌上型電腦與工作站GPU產品：6000 Blackwell Workstation Edition與6000 Blackwell Max-Q Workstation Edition，皆可分割成2個各自配置48 GB記憶體的GPU，或4個各自配置24 GB記憶體的GPU；桌上型電腦與工作站GPU產品RTX Pro 5000 Blackwell，可分割成2個各自配置24 GB記憶體的GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX PRO Blackwell MIG Configurations.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20PRO%20Blackwell%20MIG%20Configurations.png" style="width: 600px;" /></a></p> <p>而且，這些GPU都是完全隔離的執行個體，具有專屬的記憶體、快取、運算核心，以及服務等級（QoS），加速運算資源的供應可藉此擴大範圍，涵蓋至每個使用者的需求，而且，能針對個別工作負載提供安全、有效率的資源分配，透過故障隔離（Fault isolation）機制，可預防彼此干擾，並獲得更充分發揮的效能與使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA GPU Support MIG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20GPU%20Support%20MIG.jpg" style="width: 600px;" /></a></p> <p>關於多媒體資訊的處理，RTX Pro Blackwell系列GPU在傳輸介面的部分，支援DisplayPort 2.1（2.1b）的規格，能處理與呈現高解析度的視訊顯示需求，例如，解析度4K、更新率480 Hz的螢幕畫面，以及解析度8K、更新率165 Hz的螢幕畫面。Nvidia表示，增加的顯示頻寬可實現更流暢的多顯示器設定，而且，支援高動態範圍（HDR）與更高的色彩深度，能夠針對影片編輯、3D設計、網路視訊直播等任務，提供更精準的色彩呈現。</p> <p>而在多媒體編碼加速的部分，RTX Pro Blackwell系列GPU內建Nvidia第9代編碼器，新支援H.264編碼、HEVC編碼的4:2:2色彩取樣方式，提升影片編碼處理的速度，以及改善專業繪圖應用程式的影片品質（HEVC編碼、AV1編碼）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia 4-2-2 Provides 2X the Color Information.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%204-2-2%20Provides%202X%20the%20Color%20Information.png" style="width: 600px;" /></a></p> <p>解碼加速的部分，這批GPU內建Nvidia第6代解碼器，針對H.264解碼、HEVC解碼的4:2:2色彩取樣，提供支援，而在處理H.264解碼工作的吞吐量，也能增加1倍。因此，能提供高畫質的影片播放、加速影片資料的擷取，以及運用進階、AI輔助的影片編輯功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX A6000 vs RTX 6000 Ada vs RTX PRO 6000 Blackwell Full Specs-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-1.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-11.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX A6000 vs RTX 6000 Ada vs RTX PRO 6000 Blackwell Full Specs-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-3.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nvidia RTX Pro 6000 Blackwell</span></strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●版本：伺服器版、工作站版、Max-Q工作站版<br /> ●外形：雙槽，伺服器版與Max-Q工作站版均為長10.5吋高4.4吋，工作站版長12吋高5.4吋<br /> ●GPU架構：Blackwell<br /> ●CUDA處理核心數量：24,064個<br /> ●Tensor核心數量：伺服器版提供752個（第五代Tensor核心）<br /> ●RT核心數量：伺服器版提供188個（第四代RT核心）<br /> ●內建記憶體容量：96 GB GDDR7<br /> ●記憶體頻寬：伺服器版1,597 GB/s，工作站版、Max-Q工作站版1,792 GB/s<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：伺服器版117 TFLOPS、工作站版125 TFLOPS、Max-Q工作站版110 TFLOPS<br /> ●RT核心效能：伺服器版354.5 TFLOPS、工作站版380 TFLOPS、Max-Q工作站版333 TFLOPS<br /> ●AI運算效能（FP4）：伺服器版3.7 PFLOPS、工作站版4,000 TOPS、Max-Q工作站版3,511 TOPS<br /> ●視訊連接埠：2.1b版DisplayPort規格，4個<br /> ●視訊處理引擎：4個NVENC（第9代）、4個NVDEC（第6代）<br /> ●多執行個體GPU（MIG）：4個24 GB記憶體或2個48 GB記憶體<br /> ●耗電量：工作站版600瓦，Max-Q工作版300瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.63、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.8、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/19 00:30作者李宗翰https://www.ithome.com.tw/review/168875
【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>某半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <h2><strong>人資與財務部門成資安「關鍵前沿」</strong></h2> <p>鄭惠如指出，人資和財務部門之所以站在資安風險的最前線，核心原因在於他們日常工作中接觸並處理著企業內「最敏感」且「最具價值」的資訊。人資部門掌握員工的個人資料，包括姓名、身分證、薪資結構等；更重要的是，如健檢報告這類資料，在個資法中屬於特種個資，其處理和保護要求極高。</p> <p>至於財務部門，更是企業的經濟命脈，觸及銀行帳戶、客戶交易記錄、薪資發放等高度敏感的財務資訊，鄭惠如表示，這些資料一旦外洩，輕則公司商譽受損、引發員工信任危機，重則引發嚴重的經濟損失和法律訴訟。</p> <p>她也引述數據，資安事件的平均損失成本在100萬至330萬美元之間，且識別與修復時間更是長達283天，對於資本額僅數千萬的臺灣許多中小企業而言，往往只要發生一次資安事件，就可能是公司無法承受之重，更可能直接危及企業的永續經營。</p> <p>除了資料本身的敏感性，人資和財務部門在企業流程也扮演核心角色。鄭惠如以她參與公司上市櫃輔導的經驗為例，強調券商和會計師事務所審查企業時，第一優先稽核的業務流程就是財務和人事；在輔導過程中，也會要求公司進行個資自評，建立相關流程和制度。這意味著，人資和財務這兩個部門的資安意識和流程規範程度，直接影響著企業能否通過合規審查，是企業健全運作的晴雨表。</p> <h2><strong>人資和財務部門是社交工程鎖定攻擊目標</strong></h2> <p>鄭惠如引用報告指出，人為因素依然是資安風險的最大來源，因為人資和財務部門頻繁與人互動並處理大量資料，特別容易成為社交工程和內部風險的攻擊目標。</p> <p>她從過往的工作經驗中，也分享幾個令人警惕的親身經歷。首先，最常遇到的就是社交工程郵件的詐騙，主要是駭客假冒財政部、法務部等政府機關並寄送相關釣魚郵件。她說，因為駭客在偽造這類釣魚郵件時，信件內容不僅有邏輯且真實性越來越高，許多人一不小心就會信以為真，點擊信件所附的連結或開啟附檔，之後可能被植入惡意程式。「一旦被植入惡意程式，公司就可能發生機敏資料外洩的情況。」她說。</p> <p>此外，她也觀察到，有些人在咖啡廳或超商休息時，隨意聊天的內容可能不小心洩露公司資訊，這些看似無意的行為，都可能被有心人士或駭客用於社交工程攻擊。</p> <p>其次就是機敏資料外洩的問題，例如，人資部門在發送新招聘員工Offer Letter（聘用通知書）時，可能因疏忽而發錯對象，導致應徵者的薪資等敏感資訊被公司資深員工看到，引發內部不滿和信任危機。鄭惠如坦言，親歷此事後，公司才開始思考，如何透過加密等技術手段解決這個問題。</p> <p>第三，實體文件的安全漏洞，鄭惠如表示，即使公司有警衛控管辦公大樓的門禁，但也曾發生新人面試職務時，員工在與其互動的過程中，不慎將包含銀行往來紀錄的敏感文件帶入，這也突顯實體安全流程的人為疏忽風險。</p> <p>第四，不安全的行為習慣。鄭惠如表示，公司過往有些員工可能因記不住密碼而將其直接貼在螢幕旁，或者是舉目可見之處。她說，儘管公司對全體員工進行相關的資安意識教育訓練，但為了一時方便的危險習慣仍然存在，而成為公司的資安盲點。</p> <p>第五，AI工具的不當使用。隨著AI工具普及，員工可能在不了解風險的情況下，將會議記錄、公司營業秘密或個資等敏感資料等，直接放在AI工具分析或訓練。鄭惠如提到，有些研發單位可能沒按照公司規定的流程使用AI工具，導致相關研發資料發生洩漏風險。她觀察到這樣的現象，於是在公司內部撰寫文章，提醒員工小心AI工具的資安議題。</p> <h2><strong>離職員工與特權帳號的潛藏危機</strong></h2> <p>最後，也是鄭惠如最膽顫心驚的資安問題：離職員工和特權帳號帶來的資安風險，人資和財務部門必須特別關注！</p> <p>她提到，有朋友公司的員工離職兩年後，其帳號密碼竟然仍然有效。而這起案例也暴露該公司在離職流程的嚴重問題：沒確實收回離職員工帳號權限。她強調，即使公司有離職確認清單並經過IT部門確認，人為疏忽仍可能導致某些帳號，特別是具有部門特色、IT部門不了解存在的特權帳號，遭到遺漏而未在該名員工離職後立即停用。</p> <p>她以財務人員的角度指出許多類型的特權帳號，並不歸IT部門管理，例如網路銀行的帳號密碼、工商憑證等。這些帳號通常由財務或行政部門申請和保管，這也導致公司的IT部門根本不知道它們的存在。</p> <p>由於這些特權帳號具有極大的權限，她指出，一旦落入有心人士手中，可能被用於交換利益，例如要求修改支票日期或是進行不正當的財務操作等。因此，如何在離職員工的流程中，關注某些不在IT部門控管的特權帳號，也是確保公司資安非常重要的關鍵。</p> <p>更令人擔憂的是，鄭惠如認為現代員工抗壓性普遍不高，有些員工被資遣、心情無法調適時，可能出於情緒而搗亂公務系統。她回憶早年參加軟體開發的工作經驗時，曾看到許多跨國企業處理員工離職時，傾向讓員工當場離開公司，而且，寧可支付員工剩餘的薪水，就是為了避免某些員工在持有帳號權限時，做出公司無法預料的事情。</p> <p>相較之下，許多臺灣企業可能基於成本或其他考量，並未採行此一相對不近人情的做法，然而，相對而言，這也意味著公司可能忽略這麼做背後隱藏的巨大資安代價。</p> <h2><strong>提升財務和人資部門資安意識，刻不容緩</strong></h2> <p>面對上述嚴峻的風險，人資和財務部門提升資安意識已刻不容緩。鄭惠如認為，這不僅是為了規避風險，更是讓這些部門同仁，如何從「風險前沿」轉變為企業資安的「防禦前線」的關鍵。</p> <p>她也基於自身經驗，說明如何透過公司內部的資安教育訓練，有意識地協助人資和財務部門同仁培養資安風險的意識，讓他們能夠更主動地識別風險、優化流程，並做到與IT部門有效協作。</p> <p>首先，強化機敏資料保護，像是讓人資和財務部門同仁意識資料的重要性，例如，健檢報告是特種個資，Offer Letter包含敏感薪資等，這些認知的養成之後，都會促使他們更願意尋求更安全的資料傳輸和儲存方式，例如，在傳送機敏資料文件時進行加密，並使用只有收件人知道的驗證因子，作為解開機敏文件的密碼。</p> <p>其次，落實個資法的法規遵循。她強調，在導入如人臉辨識的門禁等新系統時，具備資安意識的人資部門同仁，就會主動思考個資收集的合規性，要求需取得個資使用的授權同意書，並明確告知員工相關資料的使用目的、可取得單位，以及資料的生命週期（何時銷毀）等。鄭惠如認為，這不僅保護員工隱私，也建立組織內部的信任基礎。</p> <p>第三，優化公司內部的資安流程。她提及，人資部門在員工離職的流程中，其實扮演了核心角色，如果可以提升人資部門同仁的資安意識，並確保他們與IT部門能夠彼此溝通並做確認，不僅可以做到確保離職員工的帳號立即停用、設備確實回收，如此一來，就能夠避免「離職員工帳號兩年後還能用」的情況發生。</p> <p>至於針對財務部門的同仁，她說，可以在執行採購新系統、設備或申請特權帳號時，主動將這些通報和記錄的資訊彙整給IT部門，之後，就能協助IT部門進行全面的帳號盤點和管理。</p> <p>鄭惠如認為，這種彙整的動作，是她在擔任財務角色後才意識到的流程，這也說明，許多流程中的資安細節，往往需要身處該崗位的人才能發現。</p> <p>最後，建立與推廣資安文化。鄭惠如以身為財務和人資部門主管的經驗指出，公司如果可以規畫社交工程演練，不僅可以提升員工對釣魚郵件的警覺，也可以透過各種密碼管理等工作坊的活動，持續強化員工的資安意識，並培養組織的安全文化。</p> <p>她表示，人資部門可以透過對員工關懷的過程中，發現不安全的使用習慣，例如密碼張貼在螢幕旁邊等，也能及時介入並思考解決方案；其他有助於加強公司對資安細節的重視，包含個資、薪資或其他機敏資料的檔案加密，或是採用人臉辨識的門禁系統等，也能提升公司對外的專業形象。</p> <h2><strong>資安證照是數位時代通識，可從CC證照入手</strong></h2> <p>那麼，資安證照在這一轉型過程中，扮演何種角色？鄭惠如堅定地表示，資安證照絕非IT工程師的專屬。她認為，資安證照是「數位時代的通識」，有一些基礎的資安證照，特別適合任何有機會處理機敏資訊、管理風險、推動轉型的人。「對於人資和財務這類非IT背景的專業人士而言，取得資安證照能帶來多重顯著的好處。」她說。</p> <p>最明顯而立即的好處就是：有助於建立共通語言與提升溝通效率。鄭惠如指出，資安證照能幫助人資和財務人員建立資安基礎概念，擁有與IT部門溝通的共通語言，這也使得跨部門協作更加順暢，無論是在制定資安政策、應對突發事件，或是在日常工作中匯報資安疑慮，都能更有效率。</p> <p>其次，有助於提升專業形象與信任基礎。鄭惠如表示，人資和財務部們在處理敏感的個資和財務資料時，具備資安知識不僅能對內展現專業性，建立組織內部的信任基礎；對外，在與外部稽核、客戶、供應鏈夥伴等進行互動時，因為對資安有基本理解也能展現專業形象，使應對更具說服力。她就曾經發現，因為公司對檔案加密等小細節的注重，讓員工覺得公司很注重資安，也提升了對外的形象。</p> <p>第三，賦能政策制定與流程優化，將資安觀點整合到人資和財務等內部控制措施和業務流程中，也能提升規範的全面性與執行力。她認為，人資懂資安，能更有效率地參與制定員工離職流程的安全規範、資料保留等政策。</p> <p>第四，擴展職涯視野與晉升機會。她認為，資安證照證明了非IT背景人士，具備跨領域學習的能力，這使得相關的人資和財務部們同仁，在企業內部更具競爭力，也有更多機會擔任管理職或進行橫向調動，特別是那些需要跨部門協作或涉及資訊治理的專案。她也引述報告數據顯示，跨領域人才擔任管理職的比例（59%）遠高於單一專長者（30.9%）。</p> <p>第五，具備增加薪資的潛力。她表示，具備雙專長的人才，其薪資中位數相較於單一專長者高出近萬元，像是資安證照能為人資或財務專業人士，增加關鍵的「雙專長」優勢。</p> <p>最後，資安證照可以作為優化人才招募與篩選參考。她以個人經驗觀察到，具備資安知識的人資，在篩選履歷時，更能識別出具備基礎資安概念的應徵者，即使應徵職位非純資安，這也能視為加分項，有助於建立整體員工的資安意識防線。</p> <p>對於非IT背景的人資和財務人員，如何踏出資安證照的第一步？鄭惠如建議，ISC2的CC（Certified in Cybersecurity）就是一個最好的入門級證照。她特別提到，CC證照第一次考試是免費的，ISC2也會提供官方教材和線上學習資源。她認為，即使不參加CC證照考試，光是學習這些教材並完成練習題，也能建立基礎的資安概念和了解。</p> <p>除了證照本身，鄭惠如認為參與資安社群具有極大的影響力。她本人身為ISC2臺北分會（Taipei Chapter）的監事和臺灣敏捷部落Agile HR的社長，透過每個月的講座或社群交流，都有助於強化人資和財務等非IT背景成員的資安意識和提升第二專長。</p> <p>鄭惠如分享了臺灣敏捷部落中一些商科背景的人資夥伴，在她的帶領和社群學習下，成功考取CC證照，甚至有夥伴在考取CC證照後被調往公司其他部門，並進一步考取了CISSSP證照。她說：「這證明了資安證照和社群力量，能夠實質推動個人的職涯發展。」</p> <h2><strong>說服公司高層投資資安，從免費資源到風險規避</strong></h2> <p>如何說服企業高層投資員工資安培訓與證照預算？鄭惠如建議，可以從「零成本」的ISC2 CC證照開始推廣，鼓勵員工先利用免費資源學習基礎知識。</p> <p>例如，對照資安事件的高額損失成本和漫長修復時間，投資於員工資安意識提升和證照培訓，實際上是降低潛在巨大經濟損失的有效手段，是企業永續經營的基礎投入。</p> <p>再者，許多法規和證券交易所已對資安提出明確要求，提升員工資安意識並擁有相關證照，有助於企業通過外部稽核，降低法律風險。</p> <p>第三，員工資安意識提升能減少因人為疏失導致的問題，提高工作效率。對資安的重視也能作為雇主品牌的差異化籌碼，吸引並留住具備前瞻視野的人才。</p> <p>以人才招募為例，鄭惠如從人資的視角，解釋了他們如何看待資安證照與個人能力的關係。她指出，HR在篩選履歷時，不只是看證照本身，更關注證照的「辨識度」（指業界是否普遍認可）、「實用性」（指能否對應工作技能）和「職位對應度」（指是否適合該職位）。</p> <p>她坦承，人資部門通常不具備深厚的IT技術背景，他們需要透過證照這類具備「辨識度」的標示，來快速判斷應徵者是否具備基礎的資安概念。用她的話來說：「如果沒考到證照，沒有辦法在人資部門面前證明你具備相關技能」。她說：「證照就像履歷的『第一關篩選器』。」</p> <p>然而，她也認同「考上證照不代表你有能力」的觀點。為了辨識應徵者的實際能力，人資會進一步查看應徵者其他的學習經驗，例如是否參加過相關社群、工作坊，是否有實際專案經驗或作品；相關部門主管在面試時，也會深入詢問證照相關的內容，以判斷應徵者是否「真正」理解並能運用所學知識。</p> <p>對於非IT背景的應徵者，她建議可以透過量化成果或情境敘事，具體說明如何在實際工作中，運用資安概念解決問題或優化流程，來證明自己的實用性和價值。</p> <p>鄭惠如深刻意識到：在日益複雜的數位環境中，資安防線已不再是IT部門的單一責任。她坦言，人資和財務部門作為企業核心資料和流程的管理者，其資安意識和能力，甚至直接關係到企業的生死存亡與永續發展。</p> <p>她以財務和人資主管的經驗，鼓勵相關同仁提升資安意識、優化內部流程，以及積極取得資安證照，讓人資和財務專業人士，不僅能有效防範潛在風險，成為企業資安的關鍵前沿，更能為自身創造跨領域的職涯優勢，迎向更具競爭力的未來。鄭惠如說：「全員資安，從你我開始。」</p> </div></div></div>
2025/5/16 16:52作者黃彥棻https://www.ithome.com.tw/news/169002
【資安日報】5月16日，中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於4月下旬緊急修補已被用於實際攻擊的滿分漏洞CVE-2025-31324，自一週前有資安業者指出有中國駭客4月底掃描存在漏洞的NetWeaver伺服器後，如今有更多調查結果出爐，至少有5組人馬加入利用漏洞的行列。</p> <p>值得留意的是，利用這項漏洞的不光是國家級駭客，以牟取經濟利益為導向的勒索軟體駭客也參與其中，因此這項漏洞的後續情勢仍相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168966"><strong style="font-size: 22px;">中國駭客、勒索軟體駭客加入利用SAP NetWeaver滿分漏洞的行列</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SAPNetweaver001.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAPNetweaver001.png" style="width: 300px; float: right;" /></a></p> <p>4月24日SAP緊急修補應用程式伺服器NetWeaver重大層級漏洞CVE-2025-31324，由於這項漏洞發現的時候已被用於攻擊NetWeaver，再加上危險程度達到滿分10分，後續的動態引起許多研究人員關注，在5月13日SAP修補駭客利用的另一項漏洞CVE-2025-42999（CVSS風險為9.1分）之後，資安業者EclecticIQ、ReliaQuest指出，有更多駭客組織將其用於攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，他們確認有3組中國駭客在利用CVE-2025-31324從事攻擊行動，而且，這些駭客與中國國家安全部（MSS）有關，分別被稱為CL-STA-0048、UNC5221，以及UNC5174。而這是在資安業者Forescout揭露之後，再有研究人員點名中國駭客組織的情況。</p> <p>除了國家級駭客利用CVE-2025-31324，也有勒索軟體駭客加入的情形。資安業者ReliaQuest指出，俄羅斯勒索軟體駭客「變臉（BianLian）」與另一個勒索軟體家族RansomEXX，將這項漏洞用於實際攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168993"><strong style="font-size: 22px;">APT28利用郵件系統漏洞從事網路間諜活動，鎖定政府機關竊取重要資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RoundPress-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RoundPress-2.png" style="width: 300px; float: right;" /></a></p> <p>駭客盯上電子郵件伺服器長時間未修補已知漏洞的情況，從過往針對微軟Exchange為主，最近3到4年逐漸針對Roundcube、Zimbra等郵件伺服器而來，雖然多半使用已知漏洞來達到目的，但也有利用零時差漏洞的情況。</p> <p>例如，資安業者ESET揭露名為Operation RoundPress的攻擊行動，就是典型的例子。被稱為APT28、Fancy Bear、Forest Blizzard、Strontium的俄羅斯駭客組織，藉由電子郵件系統的跨網站指令碼（XSS）漏洞，於網頁介面注入惡意JavaScript指令碼SpyPress，針對政府機關與國防相關的公司而來，透過惡意酬載竊取帳密，然後從使用者的信箱挖掘電子郵件及聯絡人資料。</p> <p>而對於駭客鎖定的郵件伺服器系統，ESET指出，2023年這些駭客的主要目標是Roundcube，但2024年他們轉換標的，聚焦其他郵件伺服器平臺，包含Zimbra、Horde、MDaemon。以MDaemon為例，駭客特別使用尚未公開的零時差漏洞CVE-2024-11182（CVSS風險為5.3分）來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/168972"><strong style="font-size: 22px;">美國加密貨幣交易平臺Coinbase部分客戶資料外洩，疑內賊所為</strong></a></p> <p>美國最大加密貨幣交易平臺Coinbase周四（5月15日）揭露，該公司在海外的客戶支援約聘人員或員工遭到惡意人士的賄賂，擅自進入系統盜走客戶資料，誘導客戶轉帳，還企圖向Coinbase勒索2,000萬美元。Coinbase已開除這些約聘人員，退款予受到詐騙的用戶，並拒絕支付贖金，並以贖金金額作為懸賞惡意人士的獎金。事件曝光後，當天Coinbase股價下滑了7.2%，跌至244.44美元。</p> <p>根據Coinbase向給證券交易委員會（SEC）通報的文件指出，該公司是在數月以前察覺，有約聘人員在沒有業務需求的狀況下存取內部系統，該公司接著在5月11日收到勒索信件，對方宣稱已獲得某些Coinbase客戶帳戶的資料，以及Coinbase的內部文件，要求Coinbase支付2,000萬美元的贖金，否則就要對外公開此事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-transferloader">惡意程式載入工具TransferLoader被用於散布勒索軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://nsfocusglobal.com/high-risk-warning-for-windows-ecosystem-new-botnet-family-httpbot-is-expanding/">殭屍網路HTTPBot鎖定Windows裝置而來，綁架玩家電腦從事DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/darkcloud-stealer-and-obfuscated-autoit-scripting/">竊資軟體DarkCloud透過RAR壓縮檔散布，濫用AutoIT指令碼從事攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168977"><strong style="font-size: 22px;">Google發布Chrome 136緊急更新，修補已遭利用的零時差漏洞</strong></a></p> <p>5月14日Google發布電腦版Chrome更新136.0.7103.113、136.0.7103.113.114，修補已遭利用的零時差漏洞CVE-2025-4664，15日美國網路安全暨基礎設施安全局（CISA）將此漏洞加入已遭利用的漏洞列表（KEV），要求聯邦機構在6月5日完成修補。</p> <p>對於這項漏洞發生的原因，Google僅表示是Loader元件的政策執行不夠充分，並將其危險程度評為高風險層級。但原始公布這項弱點的Solidlab資安研究員slonser透露，起因是Chrome在請求子資源（subresource）的過程裡，會解析連結的標頭，一旦攻擊者在標頭設置了參考的政策，就有機會利用不安全的URI截取完整的查詢參數，而有可能因此洩露敏感資料。研究人員指出，若是在執行OAuth身分驗證的流程裡，攻擊者可從中挾持帳號。</p> <p>值得留意的是，雖然CISA評估此漏洞的風險值僅有4.3分，但由於已有攻擊出現，用戶還是應儘速套用更新因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-arm-respond-to-new-cpu-attacks/">Intel、AMD、Arm發布5月例行更新，緩解可被用於發動Spectre-BTI攻擊的弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fortinet-patches-critical-tacacs-authentication-bypass-cve-2025-22252-in-fortios-and-fortiproxy/">Fortinet針對防火牆、網頁安全閘道、網路設備管理系統發布更新，修補重大層級TACACS+身分驗證繞過漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168951"><strong style="font-size: 22px;">歐盟漏洞資料庫專案EUVD正式登場</strong></a></p> <p>5月13日歐盟網路安全管理署（European Union Agency for Cybersecurity，ENISA）宣布，歐盟漏洞資料庫（European Vulnerability Database，EUVD）正式上線，這是一個互連資料庫，目標是確保來自不同來源的公開漏洞資訊得以互通，同時採用CVE（常見漏洞披露）編號與EUVD編號，外界則普遍視為美國CVE資料的替代方案。</p> <p>最近漏洞資料庫特別受到矚目，是因為原本受到全球仰賴的CVE資料庫一度傳出可能停擺的消息，但EUVD其實是ENISA在去年6月，根據歐盟第二版網路與資訊安全指令（NIS2）的要求開始打造，直到後來CVE傳出疑似不穩定的徵兆便加快腳步，於今年4月進行封閉測試。</p> <p>EUVD提供3種檢視儀表板，分別是：CVSS風險評分超過9分的重大漏洞、已被利用的安全漏洞，以及經由EU CSIRT協調的安全漏洞。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168967"><strong>【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168947"><strong>【5月14日】微軟、SAP修補已出現攻擊行動的多項零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168916"><strong>【5月13日】華碩修補主機板驅動程式管理工具驗證不當的資安漏洞</strong></a></p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168952"><strong style="font-size: 22px;">Fortinet修補已遭利用的企業電話系統FortiVoice零時差漏洞</strong></a></p> <p>資安業者Fortinet發布資安公告，揭露重大層級漏洞CVE-2025-32756，這項漏洞存在於企業電話系統FortiVoice、郵件安全閘道FortiMail、網路偵測與回應系統FortiNDR、視訊監控平臺FortiRecorder，以及網路攝影機FortiCamera等多項解決方案。值得留意的是，Fortinet提及這項漏洞已有攻擊者實際針對FortiVoice利用的情況，呼籲IT人員儘速套用相關更新。</p> <p>這項漏洞為記憶體堆疊緩衝區溢位漏洞，攻擊者可藉由特製的HTTP請求，在未經授權的情況下，遠端於目標系統執行任意程式碼或是命令，CVSS風險評分介於9.6至9.8，相當危險。</p> <p>值得留意的是，由於這項漏洞影響的範圍相當廣泛，若是IT人員無法及時修補，Fortinet建議要暫時停用HTTP或HTTPS管理介面來因應。</p> </div></div></div>
2025/5/16 15:28作者周峻佑https://www.ithome.com.tw/news/168995
APT28利用郵件系統漏洞從事網路間諜活動，鎖定政府機關竊取重要資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上電子郵件伺服器長時間未修補已知漏洞的情況，從過往針對微軟Exchange為主，最近3到4年逐漸針對Roundcube、Zimbra等郵件伺服器而來，雖然多半使用已知漏洞來達到目的，但也有利用零時差漏洞的情況。</p> <p>例如，資安業者ESET揭露<a href="https://www.welivesecurity.com/en/eset-research/operation-roundpress/">名為Operation RoundPress的攻擊行動</a>，就是典型的例子。被稱為<a href="https://www.ithome.com.tw/tags/apt28">APT28、Fancy Bear、Forest Blizzard、Strontium</a>的俄羅斯駭客組織，藉由電子郵件系統的跨網站指令碼（XSS）漏洞，於網頁介面注入惡意JavaScript指令碼SpyPress，針對政府機關與國防相關的公司而來，攻擊範圍主要為東歐，但也有在歐洲其他地區、非洲、南美洲發現遭到鎖定的目標，駭客透過惡意酬載竊取帳密，然後從使用者的信箱挖掘電子郵件及聯絡人資料。</p> <p>而對於駭客鎖定的郵件伺服器系統，ESET指出，2023年這些駭客的主要目標是Roundcube，但2024年他們轉換標的，聚焦其他郵件伺服器平臺，包含Zimbra、Horde、MDaemon。以MDaemon為例，駭客特別使用尚未公開的零時差漏洞CVE-2024-11182（CVSS風險為5.3分）來達到目的。</p> <p>這波攻擊行動何時浮出檯面？ESET最早在2023年9月29日偵測到相關釣魚郵件，當時駭客利用Roundcube於2週前修補的CVE‑2023‑43770（風險值6.1分）來從事活動，經過電子郵件信箱與伺服器IP位址的比對，他們確認攻擊者的身分，就是APT28。</p> <p>不過，這些駭客最初並非使用這項漏洞從事攻擊，研究人員指出，他們一開始是使用另一個XSS已知漏洞CVE-2020-35730（風險值6.1分）來攻擊Roundcube伺服器，後續則利用其他已知XSS漏洞對不同的郵件伺服器下手，僅有CVE-2024-11182是零時差漏洞。</p> <p>但無論利用的漏洞是哪一個，駭客都是透過惡意郵件觸發，一旦使用者透過網頁介面點選信件內容，駭客就能在郵件系統的網頁介面執行惡意JavaScript指令碼，並竊取收信人的電子郵件信箱存放的各式往來信件。</p> <p>這些釣魚信多半看起來像新聞網站的電子報，且內容為當時的新聞時事，其中針對烏克蘭下手的釣魚信，駭客寄送了《基輔郵報（Kyiv Post）》電子報，而對於保加利亞組織發動攻擊的郵件，則是使用當地報社News.bg電子報為誘餌。值得留意的是，電子報新聞標題也確實會連結到正牌的新聞網站，真正有問題的惡意程式碼，則是埋藏在郵件的HTML程式碼當中，一般使用者根本無法從信件特徵來察覺異狀。</p> <p>關於駭客使用的惡意酬載SpyPress，ESET指出，雖然此惡意軟體不會常駐執行，但只要受害者每次開啟有問題的信件，就會將其載入。此外，部分版本的SpyPress不只會搜刮受害者的信箱，還會設置過濾規則，將所有傳入的郵件轉寄給駭客。</p> </div></div></div>
2025/5/16 15:22作者周峻佑https://www.ithome.com.tw/news/168993
資安業者Proofpoint將買下競爭對手Hornetsecurity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/newsroom/press-releases/proofpoint-signs-definitive-agreement-acquire-hornetsecurity" target="_blank">美國資安業者Proofpoint周四（5/15）宣布</a>，已與德國資安業者Hornetsecurity簽署正式收購協議，預計於今年下半年完成收購。雙方並未公布交易細節，但美國媒體報導此一交易價值10億美元。</p> <p>Proofpoint為一提供大型企業等級網路安全服務的業者，尤以電子郵件安全及威脅防護聞名，它曾在2012年登上美國那斯達克（Nasdaq）股市，但在2021年被私募股權基金Thoma Bravo以123億美元收購並私有化。至於創立於德國的Hornetsecurity主要提供雲端資安服務，特別是針對Microsoft 365及Google Workspace的防護服務，包括維護用戶的電子郵件安全，提供雲端備份及回復服務，以及合規與資料保護服務等，透過1.2萬個託管服務供應商（Managed Service Provider，MSP）及通路合作夥伴於全球逾120個國家展開業務，被視為Proofpoint的競爭對手之一。</p> <p>Hornetsecurity的旗艦產品為365 Total Protection，替MSPs帶來了一個多租戶的統一平臺，以提供電子郵件安全、備份、安全意識、存取及權限控制，以及網域詐騙保護等服務。</p> <p>Proofpoint表示，此一收購案明顯強化了該公司藉由MSPs向全球中小企業（SMBs）提供以人為本的安全能力，進一步讓所有的組織能夠保護員工並捍衛其資料，雙方可望實現其共同使命，保護各種規模的組織與內部人員。</p> <p>Hornetsecurity的經常性年度收入已超過1.6億美元，每年成長20%，收入加上獲利的成長幅度超過60%，未來可望成為Proofpoint的高績效業務。</p> <p>Proofpoint執行長Sumit Dhawan表示，隨著駭客愈來愈老練，且主要的攻擊目標還是人類，使得組織需要保護員工的工作區域，不管是電子郵件、雲端應用程式，或是其它任何一個數位通路；Hornetsecurity的加入將能更好地滿足MSP與SMB的獨特需求，同時深化Proofpoint對歐洲市場的投資。</p> <p>在雙方完成交易之後，Hornetsecurity將成為Proofpoint內部所有MSP與SMB客戶的中心，並由現有執行長Daniel Hofmann繼續掌舵。</p> </div></div></div>
2025/5/16 15:57作者陳曉莉https://www.ithome.com.tw/news/168996
Android Find My Device擴增功能改名為Find Hub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/locate-lost-belongings-find-hub/" target="_blank">Google宣布Android Find My Device改名為Find Hub</a>，同時將陸續擴增功能，包括第三方整合功能及整合衛星定位。</p> <p>Google指出，Find My Device演進為Find Hub，將提供更多應用場景，像是整合到July、Mokobara行李箱內建的行李追蹤功能，運用於滑雪服務商Peak的人員定位功能、Pixbee推出的藍牙追蹤器等。5月底Find Hub將支援Ultra-wide band（UWB），用於在鄰近地區尋找失物，第一個應用的是汽車尋找。</p> <p>今年稍晚，Find Hub還將整合衛星定位，以便在沒有手機網路地區也能讓外界定位找到使用者。明年起，數家航空公司也將導入Find Hub定位技術，幫助旅客找到送丟的行李。</p> <p>這些合作夥伴不會只支援Google定位追蹤功能。<a href="https://www.apple.com/newsroom/2024/11/apples-find-my-enables-sharing-location-of-lost-items-with-third-parties/" target="_blank">去年底蘋果已宣布OS 18.2增加Share Item Location功能</a>，可允許航空公司更快找到旅客遺失的行李。</p> </div></div></div>
2025/5/16 14:51作者林妍溱https://www.ithome.com.tw/news/168991
GovTech月報第41期：數發部與金融業者聯手成立防詐實驗室發展識詐技術；沙國啟動國家AI新計畫，加速AI基礎建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0426~0516)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>數發部力推科技防詐，與金融業者成立防詐實驗室發展識詐技術</strong></span></p> <p>國內不法詐騙盛行，民眾受騙上當蒙受財產損失時有所聞，打詐更成為政府全力推動的政策之一，數發部積極推動科技防詐，近期和金融業者合作成立防詐實驗室，結合金融無塵室專案，以去識別化、資料無塵室來推動跨業者數據分析，來發展相關的識詐技術，希望識別異常帳戶及其關係網絡，提供業者警示，及早阻斷金流，降低民眾的損失。</p> <p>防詐實驗室是由數發部與玉山金控共同成立，希望發展相關的識詐、防詐技術，並促成跨領域、跨業者合作，實驗室設置管制室，引進金融科技產業聯盟的金融無塵室專案，該專案第一階段已由玉山金控、中信金控、中華郵政三方實驗性合作，以去識別化的資料分析為基礎，讓業者共享資料，結合資料關聯分析技術，從識別單一異常警示戶，更深一層挖崛關聯帳戶及帳戶持有人關係。</p> <p>金融無塵室專案的第二階段則是透過防詐實驗室，和Google Cloud、Line合作，使用雲端運算資源，並和大型社交通訊平臺合作，希望發展識詐、阻詐技術及建立聯防合作。數發部表示，除了金融與科技業者，未來也會鼓勵其他領域，例如電信、電商加入防詐實驗室，促成跨領域防詐合作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">算力</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>沙國啟動國家級AI計畫，聯手Nvidia加速AI基礎建設</strong></span></p> <p>沙烏地阿拉伯政府近期啟動一項國家級AI計畫，沙國政府與國家主權基金支持成立的Humain公司，將和Nvidia、AMD、AWS等公司合作，加速當地的AI基礎建設，包括建置AI工廠及AI Zone雲端服務。</p> <p>沙國國家主權基金宣布成立Humain公司，該公司將致力於推動AI的基礎建設，完備AI發展的環境，包括建置資料中心、雲端、模型及應用，提供AI發展所需的運算資源、資料治理，並將以阿拉伯文為優先，建置主權AI模型，以及發展智慧城市、能源、金融、政府等方面的AI應用。</p> <p>Humain計畫將花費5年時間，建置500MW運算能力的AI工廠，其中一部分和Nvidia聯手建置，由1.8萬顆GB300 Grace Blackwell組成的超級電腦，另外也與AMD合作，未來5年將共同投資100億美元建置AI運算資源。Humain還將和AWS合作，共同投資逾50億美元在沙國建置AI Zone，專門提供雲端資源及應用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">政策</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>蘇格蘭首次以AI諮詢工具分析民眾調查結果，加速施政評估分析效率</strong></span></p> <p>蘇格蘭政府近期利用一項AI諮詢工具「Consult」，Consult是AI分析工具套件Humphrey的一部分，蘇格蘭政府利用Consult分析民眾意見，整理民眾關心的議題，經過審核確認，AI分析結果與人工分析結果接近，大幅提升民眾意見分析的效率。</p> <p>蘇格蘭政府是在一個規範非手術美容服務例如豐唇的政策諮詢，蒐集公眾和專家意見，以作為未來相關監管政策參考，為此，蘇格蘭政府調查民眾的意見，蒐集超過2千份回覆，並利用Consult分析民眾的意見，再由政府官員審核確認分析結果，以確保分析的準確性。經過測試，AI分析結果和人工分析結果接近，儘管仍有少數差異之處，但是對於民眾關心議題的排序影響並不大，相當程度反映受訪者的意見，供政府官員評估監管政策影響。</p> <p>英國政府每年約有500次諮詢，由人工分析民眾意見，不僅耗費時間，也耗費人力，蘇格蘭政府官員預估這項新的分析工具，一年約可節省7.5萬小時的人工分析時間，相當於約2千萬英鎊的人力成本，還可避免人工分析可能的個人偏見影響，加快後續政策研究制定的效率。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">支付</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>杜拜與Crypto合作，接受加密貨幣支付政府服務費用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600n.jpg" style="width: 600px; height: 385px;" /></p> <p>杜拜政府擁抱加密貨幣，近期和Crypto數位錢包業者合作，讓民眾或企業可以加密貨幣來支付政府公用事業的服務費用，例如停車費。</p> <p>杜拜政府財政部門近期和Crypto簽署一項合作備忘錄，雙方將合作開發測試，以讓民眾或企業可以透過數位錢包，以加密貨幣支付政府服務費用，所支付的加密貨幣將被兌換為阿聯酋迪拉姆，轉入杜拜政府的金融帳戶，雙方合作以確保新的支付方式可在簡便、安全、創新的方式進行。</p> <p>這項合作有助於推動杜拜向無現金的目標，更進一步向成為數位城市的願景前進，根據杜拜政府的規畫，2026年達成公部門與私部門90%的無現金交易。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">防災</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>臺中市政府強化無人機科技救災應用，以無人機結合AI識別加強墓地火警取締工作</strong></span></p> <p>臺中市政府加強科技防災應用，投入無人機在救災搜救工作的應用，例如在清明掃幕時，臺中市消防局利用無人機，以AI辨識墓地火警，加強墓地火警取締成效。</p> <p>目前臺中市消防局共有28架無人機，以配置於救災救護大隊、空拍義消分隊，用於協助救災第一線人員的工作，警消人員取得民航局合格專業操作證132張。</p> <p>消防局表示，新一代無人機可從空中傳回災害現場畫面，並結合紅外線熱顯像技術，辨別現場高溫分布情形，供搜救指揮決策，搭配吊掛裝置，可將救援物資緊急送到交通中斷的災區。今年臺中新光三越百貨氣爆事件，消防局即使用無人機及熱顯像，監控氣爆現場高溫區域。</p> <p>臺中新光三越百貨氣爆現場，利用無人機結合熱顯像，監控建物外觀溫度變化：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0(3).jpg" style="width: 600px; height: 340px;" /></p> <p>消防局採購5架無人機，具備AI辨識功能，日前用於清明節墓地火警巡查工作，加強取締墓地火警違規案件，今年取締19件違反消防法的案件，增加取締成效，此外，無人機也應用於溺水搜救，從空中搜尋溺水者、快速定位其所在位置，提高搜救效率，也能降低搜救任務的危險性。臺中市消防局今年計畫再投入475萬元，發展無人機在各種搜救情境的應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0(2).jpg" style="width: 600px; height: 370px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">債券</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>泰國政府擬發行價值1.5億美元的政府數位債券</strong></span></p> <p>泰國政府財政部門近期透露，在泰國政府既定的政府經費籌資計畫之下，擬於2個月內發行50億泰銖的政府數位債券，價值約1.5億美元，這個被稱為G-Token的政府數位債券，將直接從廣大的公眾籌集資金。</p> <p>泰國政府官員表示，民眾可以少量的現金購買債券，並獲得比銀行存款更高的報酬。據了解，這項計畫採用區塊鏈技術，並降低投資門檻，讓民眾得以100泰銖購買政府的數位債券，要低於一般購買泰國政府債券的最低門檻，對資財有限的小型投資或散戶而言，更易於參與購買，僅開放當地公民購買。</p> <p>除了從政府手中購買政府數位債券，泰國政府也準備專門針對政府數位債券建立交易機制，除了降低債券發行流程，也降低債券發行及交易的延遲，透過分散式帳戶技術，讓投資者的註冊、交易、結算流程均以數位化的方式進行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>沙烏地阿拉伯擁抱低軌衛星通訊服務，准許Starlink進入當地市場改善海陸空網路</strong></span></p> <p>沙烏地阿拉伯政府近期通過Starlink的衛星通訊服務進入該國市場，不久，沙烏地阿拉伯的主要衛星營運商Arabsat也宣布和Telesat達成協議，將採用其低軌道衛星網路提供頻寬服務。</p> <p>Starlink獲准進入沙烏地阿拉伯，將以其低軌衛星通訊服務，來提供海事、陸上、航空通訊服務，透過Starlink的低軌衛星通訊得以強化沙國在運輸、物流、偏遠地區的連網能力，特別是該國過去在海事、航空領域，缺乏寬頻網路連接，此舉有助於沙烏地阿拉伯達成該國2030年願景，實現阿拉伯伊斯蘭世界核心位置、全球性投資強國、亞歐菲地區樞紐的三大目標。</p> <p>除了借助低軌衛星服務提升當地的網路基礎環境，沙國主要衛星營運商Arabsat就在Starlink獲准進入沙國不久，也宣布和加拿大的Telesat達成協議，將採用Telesat規劃中的Lightspeed低軌衛星的頻寬服務。</p> <p>在2021年，沙國的一家公司曾和OneWeb達成協議，雙方合資成立公司，分配寬頻容量，以提供沙國西北部地區城市及觀光旅遊使用。沙國先後引進多個低軌衛星服務，以改善當地陸上偏遠地區、海上、航空運輸服務的通訊需求。</p> <p> </p> <p>圖片來源／數發部、阿聯政府、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.中國將部署首個AI運算衛星星系</strong></p> <p><strong>2.我國遙測衛星福衛八號首顆衛星今年10月將升空</strong></p> <p>資料來源：iThome整理，2025年5月</p> </div></div></div>
2025/5/16 15:04作者蘇文彬https://www.ithome.com.tw/news/168978
Google發布Chrome 136緊急更新，修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月14日Google發布<a href="https://chromereleases.googleblog.com/2025/05/stable-channel-update-for-desktop_14.html">電腦版Chrome更新136.0.7103.113、136.0.7103.113.114</a>，修補已遭利用的零時差漏洞CVE-2025-4664，15日美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2025/05/15/cisa-adds-three-known-exploited-vulnerabilities-catalog">將此漏洞加入已遭利用的漏洞列表（KEV）</a>，要求聯邦機構在6月5日完成修補。</p> <p>對於這項漏洞發生的原因，Google僅表示是Loader元件的政策執行不夠充分，並將其危險程度評為高風險層級。但原始公布這項弱點的<a href="https://x.com/slonser_/status/1919439373986107814">Solidlab資安研究員slonser透露</a>，起因是Chrome在請求子資源（subresource）的過程裡，會解析連結的標頭，一旦攻擊者在標頭設置了參考的政策，就有機會利用不安全的URI截取完整的查詢參數，而有可能因此洩露敏感資料。研究人員指出，若是在執行OAuth身分驗證的流程裡，攻擊者可從中挾持帳號。</p> <p>值得留意的是，雖然<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4664">CISA評估此漏洞的風險值僅有4.3分</a>，但由於已有攻擊出現，用戶還是應儘速套用更新因應。</p> <p>附帶一提的是，這次Google雖然表示修補了4項漏洞，但僅有提到其中兩項，另一項被提及的是CVE-2025-4609，這項由研究人員Micky於4月22日通報的弱點，存在於Mojo元件，起因是在不特定的情況下會出現不正確處理的現象，Google將這項漏洞評為高風險層級。</p> </div></div></div>
2025/5/16 11:32作者周峻佑https://www.ithome.com.tw/news/168977
用資料驅動20億餐飲集團決策，開展用AI支援餐廳最前線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進熱鬧的美式餐廳，餐廳菜單上從餐點到飲品，琳瑯滿目的百來種品項，時常讓人面臨選擇困難。「今天要吃什麼？」這個連顧客自己都不容易回答的問題，卻是餐飲業者的重要課題，一家餐廳經營成功與否，取決於如何了解上門顧客的喜好，預估每天食材消耗，才能有效控管營運流程和成本支出。</p> <p>經營Friday's等著名連鎖餐廳品牌的開展餐飲集團，利用AI技術，不只能預測顧客今天想吃什麼，更能推估未來的顧客需求。開展旗下餐廳用了高達500多種的食材，過去靠人工預測耗損，準確度只有6成。改用AI預測，則高達8、9成，餐廳經營的控管食材成本、廚房調度與商品開發時，能做出更加精準、有根據的決定。</p> <p>開展餐飲集團執行長邱泰翰表示，開展集團不是第一次用新興技術來取得競爭優勢。「因為數位就是我們的DNA。」</p> <p>早在1991年，Friday's進駐臺灣時，就開始用POS機管理點單和帳務。「那個年代，我賣一碗滷肉飯，進廚房做，出菜結帳，結束，哪需要系統？甚至連Excel都很少有餐飲業者用。」邱泰翰回憶。現今中小型餐飲業愛用的iChef、肚肚等餐飲POS系統，都得等到20年後才出現。</p> <p>後來接手Friday's經營權的開展集團，也在2015、16年就導入ERP，而且是跨國企業規格的Oracle Netsuite ERP，來管理進銷存。這是當時餐飲業界少見的做法。尤其，當時環境下，餐飲業數位化程度普遍較低，更顯開展餐飲大力擁抱IT的難得。</p> <p>邱泰翰表示，以數位為DNA的態度，從集團成立之初就已經奠定。開展集團創辦人來自美國及加拿大人，集團管理和科技應用做法充滿了美式風格。「連鎖餐廳注重總部思維，美式餐飲更將總部稱為支援中心，支援所有第一線餐廳的營運。」</p> <p>他舉例，美式餐飲對餐廳營運高度重視的特性，可以反映在損益表製作周期。「一般來說，餐飲業每個月做一次損益表，但我們是每周一次。」邱泰翰說，透過每周審視食材、人力、營運成本及獲利，開展旗下餐廳能更加即時的微調經營策略，從而降低決策風險、增加決策彈性。</p> <p>這種管理精神與邱泰翰過往經驗不謀而合。曾任分析師的他，本就偏好根據資料來決策。過往經營高級精緻餐廳的經驗，更使他非常重視餐廳成本控管。開展對IT的投資，也因而注重改善第一線營運作業效率，尤其是管理面作業的效率。</p> <p>「投資IT，主要目標是提升管理效率，而非直接帶來更多營收。」這正是為何開展聚焦於POS、ERP、KDS，以及AI食材耗損預測等系統。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>使用高階ERP，以跨國企業規格管理進銷存</strong></span></span></p> <p>餐飲業販售型態類似零售業，可用POS系統來管理商品販售，搭配ERP來管理整體進銷存。不過，相比零售業門市賣一件貨，存貨少一件的模式，餐飲業的進銷存模式更加複雜。</p> <p>前臺餐點銷售情況，是菜單設計、商品設計、行銷活動、會員經營的重要資料。但這些前臺的販售資訊，無法直接對應到後臺的存貨。每一項餐點，所用到的食材不盡相同，但不同餐點也會用到相同食材，讓食材存貨管理更加複雜、不直觀。</p> <p>不只如此，還可能出現廚房收錯單、烹飪失誤、食材過期腐壞等損耗。這意味著，餐廳經常得盤點實際食材存貨，分析消耗來源，與餐點販售情況比對，才能掌握實際情況，過程相當複雜、費時，且常仰賴大量人工。</p> <p>開展集團業務橫跨臺灣、香港、上海多品牌。跨幣種、跨境、跨品牌、跨餐飲型態的餐廳經營需求，加上高頻率的損益報表決策管理，他們不惜重金導入高階的ERP。</p> <p>不過，就算ERP系統規格高，餐飲業進銷存管理，仰賴大量人工作業，仍是不易突破的瓶頸。光是以周為單位追蹤存貨，就已經算非常頻繁，與零售業可以每天，甚至一天盤點數次的情況大不相同。</p> <p>這意味著，餐飲業者仍只能看著長達一周的落後指標，來找出問題並修正。當遇到特殊節日或事件，出現更短期間的需求波動時，仍只能依靠人類智慧來管理食材進銷存調度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1234-CXO-600.jpg" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>用AI預測食材消耗，提升3成預測準確率</strong></span></span></p> <p>食材管理有多複雜？光是開展集團旗下兩大主力餐廳品牌TGI Friday's和Texas Roadhouse的食材，超過500種品項，其中不乏從美國進口的食材。</p> <p>開展旗下餐廳習慣每周盤點一次食材，已算相對高時效性，但如何採購仍需仰賴人類經驗判斷，容易受到各式外部因素影響而失準。</p> <p>開展統計，僅靠人類預測，採購商品符合實際食材消耗情況的準確率，約為6成。買太多或不足，即會出現食材報廢，或者追加急單採購的情況，採購預估與實際情況的落差，會增加管理負擔、降低毛利率。</p> <p>為了進一步提升預測準確率，他們決定導入商用解決方案，利用AI預測能力來輔助採購。由於周周盤點，周周產生損益表的做法，在ERP中累積了大量過往進銷存資料，成了AI系統的重要資料來源。</p> <p>邱泰翰強調，食材採購並非全靠AI決定，依然需要搭配完善制度與採購人員經驗。</p> <p>開展支援中心的採購人員，幾乎都出身自廚房第一線。採購人員綜合AI預測結果、自身經驗，以及未來行銷等營運計畫，規畫出採購提案，還需在主管會議提出，蒐集不同營運面向負責人的意見後，才會定案採購內容。</p> <p>目前，開展以8周為單位進行一次採購，結合AI與採購人員的判斷，食材採購量與實際消耗情形，兩者相符率高達8至9成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>擁抱IT不細究量化指標，更看重附帶的無形效益</strong></span></span></p> <p>不只食材管理，開展還導入許多系統，來提高不同營運環節的效率。邱泰翰表示，開展導入新系統，不會細究省下多少錢，或設定量化指標來追蹤成效。「用科技支援餐廳第一線，是我們分內的事情。」</p> <p>邱泰翰認為，有許多數位做法帶來的關鍵價值，無法只靠量化指標來追蹤。例如，他們為旗下餐廳導入廚房顯示系統（KDS，Kitchen Display System）。功能是，POS系統接到訂單後，KDS會根據預估每一個訂單中，不同餐點的烹飪時間，來自動分配任務到不同廚房內的工作站臺。</p> <p>他說明，商業廚房環境非常高壓，透過KDS來明確、有效的調度廚房任務，能降低他們負擔，避免失誤，就是難以量化但重要的價值，且在出餐巔峰期尤其明顯。</p> <p>不只如此，KDS根據餐點烹飪時間，來精準分配工作，還能有效增加廚房可應用空間和餐點品質。「1分鐘就煮好的食材，會等3分鐘才煮好的食材煮2分鐘之後，才開始煮。這樣，前者就不需要放在旁邊等2分鐘。」邱泰翰解釋。這也是不容易用量化指標追蹤，但十分實際的效益。</p> <p>另一個用科技強化營運的例子是，兩年前導入的新會員系統，可以強化分眾行銷提升會員消費，或是根據會員行為來設計商品。</p> <p>像是最近有一道參考會員數據設計的新餐點，點餐率高達12%，相較先前推出類似菜單的美國及東南亞海外市場，高出兩倍。</p> <p>邱泰翰再次強調，IT對開展的價值是，提升管理效率，而非直接增加營收。只要支援中心能更好協助餐廳第一線，就算效益難以量化，開展仍會積極投資。</p> <p>這正是為何，邱泰翰認為，在導入新數位做法時，盡早引入第一線人員參與，非常重要。關於這件事，開展也經歷過一次深刻教訓。</p> <p>曾經，開展嘗試導入與EPR供應商的另一套財會系統，期待同一生態系系統的資料和功能可以更高度整合，進一步增進效率。</p> <p>沒想到，由於原本系統對餐飲業支援度過低，導致開展提出的客製化要求太高，產生連廠商都無法解決的異常。更慘的是，還因為系統操作方式與設定與第一線人員習慣不符，而難以投入實際應用場景。</p> <p>他自省，未能從早期就讓第一線人員參與，而是完全從上而下推動，是專案失敗的重要因素。不只如此，更換系統時，必須要有一段適應期，同時使用新舊系統，確定員工熟悉操作方法、系統沒有問題，才能正式切換。</p> <p>這次教訓，也再次提醒邱泰翰，IT對於開展集團的定位：讓支援中心更有效協助第一線餐廳營運。「高層決定策略方向後，一定要讓最前線夥伴盡早參與。因為，他們才是實際操作這些系統的人。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步是系統整合及打破數據孤島</strong></span></span></p> <p>開展集團下一步IT做法，是樸實但重要的一步：將ERP與POS等系統更深度整合。</p> <p>目前，開展內部系統有一定程度的資料拋轉機制，但仍未整合到可以一站式運用所有系統資料。</p> <p>邱泰翰表示，臺灣餐飲市場較小，沒有廠商提供一條龍服務，符合開展完整的IT需求。不過，過往導入國外廠商大型系統時，又出現系統設計不符臺灣餐飲業需求的情況，使他們暫時不考慮導入國外系統。</p> <p>目前，他們決定自己與系統供應商協調，緩步整合不同系統的資料。</p> <p>這個做法亦有伴隨而來的挑戰。開展內部有不少外國廠商的系統，全臺只有他們導入。這意味著，廠商支援臺灣業者的經驗較少，且系統整合所需溝通成本較高。</p> <p>整合所需時間一旦放長，每當開展內部有其他系統或IT架構改動時，整合作業又會受到影響，進而再次延長系統整合時程。</p> <p>不過，邱泰翰認為，系統間的資料高度整合，對於開展集團做出更精確、更即時決定至關重要，勢在必行，因此決心持續測試、持續整合，並隨時留意，市場上是否有更適合的一條龍解決方案。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CXO小檔案 </span></strong></span></p> <p><strong>開展餐飲集團執行長邱泰翰</strong></p> <p>學歷：波士頓學院金融企管碩士</p> <p>經歷：經歷涉及商業金融領域和餐旅業不同面向，曾任月涵投顧分析師、三二行館董事長，以及不同高級餐廳業主。現任開展餐飲集團擔任董事長暨執行長，以及璞石資本合夥人，持續經營和投資不同型態的餐旅業品牌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1234-CXO-300.jpg" style="width: 350px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>開展餐飲股份有限公司</strong></p> <p>● 地址：臺北市敦化南路二段77號17樓</p> <p>● 成立時間：2014年</p> <p>● 主要業務：代理及自營餐飲品牌，集團旗下有美式餐飲品牌TGI FRIDAYS星期五餐廳、Texas Roadhouse德州鮮切牛排、LillA、Dan Ryan's Chicago Grill 芝加哥美式餐廳、Amarion's New York Italian Restaurant & Café紐約創義料理，及Salt & Stone新加州料理。</p> <p>● 員工數：1,400人</p> <p>● 年營收：21.3億元（2023年）</p> <p>● 董事長暨執行長：邱泰翰</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2014年：開展餐飲集團（前身北軒餐飲集團）創立。Texas Roadhouse登臺，松高餐廳、民生餐廳開幕。</p> <p>● 2016年：收購Windy City過半股權，取得香港Dan Ryan's和Amaroni's兩個品牌。</p> <p>● 2017年：Texas Roadhouse臺中店開幕。Dan Ryan's香港Plazza店開幕。</p> <p>● 2018年：TGI FRIDAYS臺茂店開幕。Texas Roadhouse上海店開幕。</p> <p>● 2019年：Amaroni's香港MOKO店開幕。</p> <p> ●2021年：取得Windy City超過99%股權。</p> <p>● 2022年：Lilla創立，竹北店開幕。</p> <p>● 2023年：集團VIP會員系統數位化。榮獲104人力銀行幸福企業金獎。TGI FRIDAYS裕隆城、竹北店開幕。</p> <p>● 2024年：TGI FRIDAYS新莊宏匯餐廳開幕。Texas Roadhouse復興店開幕。啟動併購Salt & Stone。正式登錄興櫃。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1234-cxo-960.jpg" width="960" height="420" alt="" title="開展餐飲集團執行長邱泰翰" /></div></div></div>
2025/5/16 11:38作者郭又華https://www.ithome.com.tw/people/168976
Windsurf發表專為軟體工程師建置的SWE-1模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前名為Codeium的AI新創<a href="https://windsurf.com/blog/windsurf-wave-9-swe-1" target="_blank">Windsurf周四（5/15）釋出首個模型家族SWE-1</a>，同時標榜這是針對整個軟體工程程序進行最佳化的模型，並不只著重於寫程式。</p> <p>該公司創立於2021年，早期名為Exafunction，是個GPU虛擬化公司；在意識到生成式AI的潛力之後，藉由既有的基礎設施建立了一個全棧式的AI程式碼撰寫平臺Codeium，並在2022年更名為Codeium；今年再更名為Windsurf，並推出首個模型家族SWE-1。</p> <p>SWE-1是一個打算完成所有軟體工程程序的概念性驗證模型，Windsurf解釋，閱讀或撰寫程式碼只是軟體工程的一小部分，真正的挑戰在於實現能夠長期擴展的解決方案，該公司的目標是將軟體開發速度提高99%。因此，SWE-1基於Windsurf Editor的用戶互動資料，建立了共享時間軸，以捕捉工程中的不完整狀態與跨表面任務；另也具備流程感知能力，能與人類無縫協作，即時觀察及修正彼此行動。</p> <p>SWE-1現有3種規格，分別是SWE-1、SWE-1-lite與SWE-1-mini。其中，標準版的SWE-1具備類似Claude Sonnet 3.5等級的工具調用推理能力，但更為便宜；SWE-1-lite則是用來取代該公司既有的軟體開發基礎模型Cascade Base；SWE-1-mini則是最小也最快的模型，用以支援Windsurf Tab的被動式體驗。</p> <p>離線測試時，在由AI接續半完成任務的Conversational SWE Task基準測試中，SWE-1的表現接近Anthropic的Claude Sonnet 3.5/3.7模型，並優於開源的Deepseek與Qwen；而在端對端的End-To-End SWE Task基準測試中，SWE-1的表現則接近Claude Sonnet 3.7，並勝過Claude Sonnet 3.5與Deepseek V3。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0516-SWE-1%20model-Windsurf-benchmark.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Windsurf</span></span></p> <p>在生產環境中，盲測顯示SWE-1的程式碼貢獻接受度僅次於Claude Sonnet 3.7，但超越Claude Sonnet 3.5；在編輯參與度上則凌駕了Claude Sonnet 3.5/3.7。</p> <p>Windsurf在去年8月完成1.5億美元的C輪增資，當時公司估值為12.5億美元。</p> </div></div></div>
2025/5/16 12:12作者陳曉莉https://www.ithome.com.tw/news/168980
微軟測試Windows 11以Hey Copilot喚醒Copilot Voice
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2025/05/14/copilot-on-windows-hey-copilot-begins-rolling-out-to-windows-insiders/" target="_blank">微軟現在開始測試</a>，讓Windows 11用戶以Hey Copilot聲控指令，啟動Copilot Voice對話。</p> <p>Copilot Voice是Copilot的功能之一，允許使用者透過語音與AI聊天，就像與朋友聊天一樣，它可以理解自然語言並以語音回覆。原本Copilot Voice啟動方式是從Copilot App或瀏覽器中的Copilot，按下Copilot聊天列中的麥克風符號。</p> <p>最新測試是透過Windows Insiders測試方案發布，讓使用者以Hey Copilot喚醒Copilot Voice。啟動方法是在Copilot App的「設定」>「語音模式」，開啟「聽取Hey, Copilot」的滑鈕選項。</p> <p>「Hey, Copilot」是opt-in功能，啟動後，PC就解鎖了。之後它會一直保持傾聽狀態，以便用戶喊一聲Hey Copilot喚醒，或是直接詢問問題如「Hey Copilot, 周末天氣如何？」時，喚醒Copilot Voice回答問題。</p> <p>傾聽功能可能引發偷聽疑慮。微軟強調，Copilot Voice利用麥克風及電腦上的喚醒詞偵測器（wake word spotter）。當Copilot Voice被喚醒啟動對話這些機制只偵測「Hey Copilot」一詞。喚醒詞偵測器使用10秒鐘的聲音緩衝記憶，是送到雲端，用於回答用戶問題。微軟說，這段聲音緩衝記憶不會紀錄或儲存在本機。此外，當PC關閉或鎖定時，Copilot Voice也不會回應任何聲音。</p> <p>為方便用戶辨別，微軟加入一些介面設計，使Copilot Voice聽到喚醒詞被啟動時，螢幕下方會出現麥克風形式的Copilot Voice漂浮UI及「叮」一聲提醒用戶。欲終止對話，在漂浮UI上按下「X」。另一方式是用戶幾秒鐘沒有互動，Copilot Voice也自動中斷對話。結束對話時也會有音效或是語音告知對話中斷。</p> <p>Hey Copilot喚醒詞是用英文訓練，目前也只支援英文。Copilot App 1.25051.10.0版本更新已經透過Microsoft Store部署給Insider頻道。而Hey Copilot功能會先推向Windows設定顯示語言為英文的Insiders方案用戶，再逐步擴大部署範疇。</p> </div></div></div>
2025/5/16 10:34作者林妍溱https://www.ithome.com.tw/news/168971
美國加密貨幣交易平臺Coinbase有內賊，部分客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coinbase.com/blog/protecting-our-customers-standing-up-to-extortionists" target="_blank">美國最大加密貨幣交易平臺Coinbase周四（5/15）揭露</a>，該公司在海外的客戶支援約聘人員或員工遭到惡意人士的賄賂，擅自進入系統盜走客戶資料，誘導客戶轉帳，還企圖向Coinbase勒索2,000萬美元。Coinbase已開除這些約聘人員，退款予受到詐騙的用戶，拒絕支付贖金，並以贖金金額作為懸賞惡意人士的獎金。事件曝光後，當天Coinbase股價下滑了7.2%，跌至244.44美元。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1679788/000167978825000094/coin-20250514.htm?7194ef805fa2d04b0f7e8c9521f97343" target="_blank">根據Coinbase本周提供給證券交易委員會（SEC）的文件</a>，該公司是在數月以前便察覺，有約聘人員在沒有業務需求的狀況下存取內部系統，接著在本周日（5/11）收到勒索信件，宣稱已獲得某些Coinbase客戶帳戶的資料，以及Coinbase的內部文件，包括那些與客戶服務與帳戶管理系統有關的資料，要求Coinbase支付2,000萬美元的贖金，否則就要對外公開此事。</p> <p>Coinbase表示，這些內賊是透過不同的客戶支援工具取得Coinbase用戶的資料，受到影響的用戶不到每月交易用戶數的1%。目前Coinbase的每月交易用戶數約為970萬，意謂著受到波及的用戶數不到10萬。</p> <p>不過，內賊所取得的用戶資料包括他們的姓名、地址、電話、電子郵件位址、社會安全碼的最後4個字、不完整的銀行帳號號碼、諸如護照及駕照等證件影本、帳戶餘額及交易歷史紀錄，以及用來培訓或支援客服的Coinbase文件及通訊資料。</p> <p>該公司強調，除了上述之外，用戶的登入憑證、2FA代碼及私鑰等資料都未被危害，惡意人士也沒有任何轉移或存取客戶資金的能力，也無法存取Prime帳戶，亦不得存取Coinbase或Coinbase客戶的冷錢包或熱錢包。</p> <p>惡意人士所做的是憑藉著所獲得的Coinbase客戶資料展開社交工程攻擊，誘導使用者移轉資金。</p> <p>Coinbase除了已知會執法機構，加強對用戶的反詐欺保護之外，也正在與業者合作，標註惡意人士所使用的錢包位址以追回資產，彌補被騙客戶的損失之外，另也將駭客所提出的2,000萬美元贖金當作是懸賞獎金，獎勵那些提供線索以找到攻擊者的人。至於那些收取賄賂的內賊除了直接被開除之外，Coinbase也在美國與國際執法機構對他們提出刑事訴訟。</p> <p>根據Coinbase的初步估計，與該事件相關的補救及補償成本，約介於1.8億美元至4億美元之間。</p> </div></div></div>
2025/5/16 10:46作者陳曉莉https://www.ithome.com.tw/news/168972
中國部署首個AI運算衛星星系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mp.weixin.qq.com/s/5TZfmWyiD0GGfz39s0hM6Q" target="_blank">中國航太業者本周宣布</a>將12顆衛星送向地球軌道，部署全球首座具備AI運算能力的衛星星系。</p> <p>這次名為太空計算星座021的任務，是由中國航天科技集團（China Aerospace Science and Technology Corporation）的長征二號丁運載火箭，載送12顆由中國航太公司國星宇航（ADA Space）開發的衛星到地表上空700公里的太陽同步軌道。每顆衛星都搭載之江實驗室（Zhejiang Lab）研發的AI伺服器和「天基」模型，以及星間通訊系统，透過衛星間雷射互連、組網和算力分散式調度，構建號稱是全球第一個太空AI運算衛星星系。</p> <p><a href="https://finance.sina.com.cn/tech/digi/2024-11-22/doc-incwycqa3727288.shtml" target="_blank">中國媒體報導</a>指出，這是國星宇航「星算計畫」下的第一批衛星，該公司計畫將部署2,800顆衛星到軌道上。</p> <p><a href="https://mp.weixin.qq.com/s/aYZXOxxT8d5nwfye-oiZmA" target="_blank">國星宇航表示</a>，這座衛星星系中，單顆運算衛星最高算力達744TOPS，使整座星座具備5 POPS的算力，衛星際雷射通信速率最大可達100Gbps，形成號稱全球最強大的太空運算能力。配合80億參數的天基模型，這個AI運算星座將執行天文科學觀測等任務。</p> <p>其實美國業者也積極發展太空AI運算科技。<a href="https://www.ithome.com.tw/news/154492" target="_blank">Amazon Kuiper </a>2022年就已在軌道衛星測試執行AWS運算和機器學習軟體。美國防外包商Booz Allen與Meta、HPE<a href="https://www.ithome.com.tw/news/168629" target="_blank">今年2月宣布合作</a>，將Llama模型搬上國際太空站，將部署以Llama為基礎的AI模型，稱為Space Llama。本系統可在不連網情況下執行AI任務，例如在太空站上為科學家整理技術參考文件，從中擷取資訊加速研究或任務。</p> </div></div></div>
2025/5/16 10:57作者林妍溱https://www.ithome.com.tw/news/168973
掌握全球資安情資的捷徑
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了因應全球化的網路攻擊威脅，全球有791個資安應變團隊，聯手組成了一個全球最大的資安情報共享組織，有國家級機構常見的電腦緊急應變小組（Computer Emergency Response Team，CERT），或是大型企業如高科技製造，大型銀行常見的電腦資安事件應變小組（Computer Security Incident Response Team，CSIRT），也有許多科技公司、資安軟硬體廠商必備的產品資安事件應變小組（Product Security Incident Response Team，PSIRT）等，一群專業的資安團隊跨國聯手，共享資安知識和威脅情報。</p> <p>這個組織就是FIRST（Forum of Incident Response and Security Teams）國際資安應變組織，從1995年創立至今，今年剛好滿30周年。臺灣也有25家企業和組織，加入這個聯盟，像是台積電、廣達、日月光等高科技業界龍頭都是成員。<a href="https://www.ithome.com.tw/news/166451" target="_blank"><span style="color:#3366ff;">光是去年，就多了8個臺灣企業和組織加入，包括了多家臺灣的大型高科技業者和大型銀行</span></a>。</p> <p>去年5月中華資安國際CHTSCSIRT、6月睿控網安TXOne Networks PSIRT兩家資安業者加入，7月則是高科技指標企業聯發科技MediaTek CSIRT加入，10月則有財團法人台灣網路資訊中心TWNIC-CSC，以及兩家高科技公司，鴻騰精密科技FIT-CSIRT和威強電工業電腦IEI PSIRT加入，最後一批是11月時，華碩電腦ASUS團隊，以及台新銀行TSB-CSIRT加入這個跨國資安聯盟。</p> <p>在今年臺灣資安大會的資安長餐敘上，就有一位電腦設備製造商的IT主管，到處詢問怎麼參加這樣的資安國際組織，感受到資安威脅全球化的挑戰越來越嚴峻，他想要更快掌握新的威脅情資，發現FIRST正好可以滿足他的資訊需求。</p> <p>在這一期雜誌中，<a href="https://www.ithome.com.tw/news/168728" target="_blank"><span style="color:#3366ff;">我們特別介紹了鴻海科技集團旗下的鴻騰精密科技FIT-CSIRT加入FIRST組織的經驗</span></a>。</p> <p>鴻騰精密科技在2023年3月設立了專責的資安事件應變團隊，一年多以後，成功在去年10月成功申請加入了FIRST組織，他們是鴻海集團第一個加入這個組織的子公司。</p> <p>想要成為FIRST組織的成員，和微軟、Google等科技巨頭一樣，能夠第一時間取得全球最新的資安情資，不是一件容易的事。第一關是得先獲得兩個FIRST成員的推薦，像台積電的加入，就是透過兩家臺灣資安業者，奧義智慧的CCCSIRT和趨勢科技的TM-CSIRT的推薦。</p> <p>有了申請資格後，FIRST組織還會派人實地訪視提出申請的企業，提出許多評估項目，來了解申請組織的內部資安流程、政策、人員等不同方面的資安落實程度，達到一定資格才能夠加入。換句話說，能夠取得FIRST組織成員資格，也是一種對於企業資安能力的國際認可。</p> <p>加入之後，不只可以得到第一手的情資，每年都有相關的教育訓練與研討會可以參加，有位金融業資安長就告訴我，多年就是參加了FIRST年會，看到大型企業紅隊演練實戰的分享，他才知道，紅隊演練的價值和影響遠超過他的想像。</p> <p>另一方面，對於臺灣資安業者來說，在FIRST活動中，也有許多國際上下游業者的產品資安團隊出席，有利於臺灣資安產業開拓其他國家的市場。</p> <p>一手推動CSIRT的鴻騰精密資訊科技處資深經理杜偉欽，告訴我們的資安主筆黃彥棻，他們成立CSIRT的首要原因，就是為了正面面對當前不斷升級的外部資安威脅。</p> <p>「隨著駭客攻擊手法越趨精密，企業必須具備更強的應變能力，才能有效保護公司最重要的數據資料與核心系統，進而確保業務的持續運作。」杜偉欽特別強調：「這不僅是被動的防禦，更是Proactive（積極主動）的應對。」</p> <p>從設立專責應變團隊CSIRT到通過國際資安聯盟的資安能力認可，這條不容易的路，卻是可以直接和全球數百家企業和多國政府交流。不用自己辛苦到處搜集，或被動地等待資安業者轉告，企業自己就能第一時間掌握最新資安情資和實戰經驗，這其實是一條掌握全球資安情資最直接的捷徑。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%B4%BB%E9%A8%B0%E7%B2%BE%E5%AF%86">鴻騰精密</a></div><div class="field-item odd"><a href="/tags/first">FIRST</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%87%89%E8%AE%8A">資安應變</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E6%83%85%E5%A0%B1">資安情報</a></div><div class="field-item even"><a href="/tags/forum-incident-response-and-security-teams">Forum of Incident Response and Security Teams</a></div></div></div>
2025/5/16 11:19作者王宏仁https://www.ithome.com.tw/voice/168974
【臺灣資安大會直擊】國家級APT駭客族群如何濫用生成式AI？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年臺灣資安大會上，生成式AI與資安的議題無疑是最大焦點，例如，來自Google Cloud國際資安合作的專家Christopher B. Porter，他<a href="https://www.ithome.com.tw/news/168949">剖析了攻擊者運用生成式AI技術來助長其惡意行徑的態勢</a>，然而，當焦點轉向更具組織性與戰略性的國家級進階持續性威脅 (APT) 行動者時，這些國家級APT駭客族群又是怎麼做？同樣是資安防禦者需要深入探討的議題。</p> <p>針對這樣的議題，Christopher有更深入的說明，他們多年來持續追蹤許多國家級駭客組織的動向，如今已觀察到，這些國家級APT攻擊者也試圖使用Google Gemini，作為提升犯罪效率的一項工具，來幫助他們進行網路攻擊。</p> <p>特別的是，Christopher在之前演說曾提到，「偵察」階段是當前駭客使用生成式AI的主要用法，可幫助攻擊者了解目標的資訊，有誰在該單位工作，以及掌握特定關鍵人物的背景，至於其他應用情境，他們以伊朗、中國與北韓駭客組織的行動為例來進一步說明。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>伊朗APT濫用Gemini</strong></span></h3> <p>使用Gemini最頻繁的是伊朗APT族群，根據Google觀察，當中以APT42族群的使用比例最高，超過3成，其使用Gemini的目的包括：撰寫釣魚攻擊活動內容，以及蒐集特定政策與國防領域專家的情報。</p> <p>Christopher進一步解釋，其實這個駭客組織的攻擊技術能力很強，但他們因為語言隔閡的關係，過去只在中東發起許多攻擊活動，較少針對歐洲和美國，但如今，Google確實看到APT42使用生成式AI克服語言障礙，透過製作更可信的釣魚活動，另外也會藉助生成式AI，分析政策制定者與國防領域專家的資訊。</p> <p>此外，APT42也會用於研究公開的已知漏洞。不過這部分沒有大家想得那麼複雜，該組織運用Gemini的目的，跟使用Google搜尋是同樣的目的，只是運用的工具不同而已。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>中國APT濫用Gemini</strong></span></h3> <p>以全球網路威脅而言，中國APT組織帶來的威脅規模最大，同時也投入最多資源於發動全球網路攻擊。Google已經發現有多個中國政府資助的駭客組織，都曾利用Gemini來幫助發動攻擊，其使用目的包括：針對攻擊目標的研究與活動的偵查，以及開發任務與腳本的撰寫，有許多案例顯示出其目的，是為了深化對目標網路的滲透，Christopher指出，這些中國駭客群體的攻擊技術很強，可能有些小團隊本身沒有軟體開發人員，所以嘗試使用Gemini來進行一些基礎軟體開發，來支援他們的攻擊行動。</p> <p>比較值得注意的是，他們發現中國駭客組織很會藉由Gemini學習特定工具與技術，以解決他們遇到的技術挑戰。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>北韓APT濫用Gemini</strong></span></h3> <p>最具犯罪創新的應用者是北韓APT族群，根據Google的觀察，北韓APT族群會在攻擊生命周期的多個階段中使用Gemini，包括：研究潛在的基礎設施與免費主機服務提供商，偵查目標組織，以及開發惡意Payload，撰寫惡意腳本與規避偵測技術，目的是為了減少軟體開發的時間。此外，他們也利用Gemini查詢與北韓政府戰略利益相關的主題。</p> <p>Christopher進一步指出，無論是北韓政府支助的駭客組織，以及所謂偽裝IT工作者的北韓駭客，都展現出對AI技術的高度興趣。例如，APT43已有多次在攻擊行動中，使用AI聊天機器人與圖像生成工具；偽冒IT工作者的北韓駭客，也持續使用AI來產生虛構帳號的文字與圖像內容，也在視訊面試時使用Deepfake技術來偽裝。</p> <h2><strong>LLM對網路犯罪活動的潛在影響</strong></h2> <p>Christopher強調，掌握攻擊者的行動模式與手法，是他本身所擅長的領域，因此他也希望在此幫助大家，了解當前攻擊者的實際做法。</p> <p>基本上，無論是Google的Gemini或OpenAI的ChatGPT，這些LLM都設有多重AI安全防護機制，以防止不當濫用。Christopher表示，以Google本身而言，就設有內部紅隊，持續測試與壓力測試旗下產品，以強化其安全性。</p> <p>不過，網路犯罪份子還是有其他辦法，像是自行下載模型並訓練LLM，或是租用地下市場提供的LLM越獄服務，繞過合法生成式AI服務的限制，儘管這些模型在技術上可能不如主流LLM先進，但對攻擊者來說已經相當有用，足以協助完成許多任務。</p> <p>他強調，雖然外界常將生成式AI想像成可用於零時差漏洞開發、甚至打造自主代理攻擊能力的工具，但實際情況不到想像中的那種程度。</p> <p>對於攻擊者濫用AI撰寫新的惡意軟體方面，雖然攻擊者確實會借助生成式AI，但Christopher指出，事實上，攻擊者使用LLM的方式，與我們合法企業開發者使用LLM的方式類似，目的主要是為了優化程式與提高工作效率，將需要人判斷的部分留給高技能的攻擊駭客。</p> <p>他舉例，在一些駭客組織中，這些攻擊者會嘗試利用LLM來協助例行的軟體開發任務，這就如同將基礎軟體開發外包給AI，但不是為了開發新穎的惡意軟體或新能力，也不為了打造完全自主的威脅手段。</p> <p>較值得注意的是，Christopher提到一項特別的應用場景，是攻擊者應用於後勤任務的面向。例如，當攻擊者獲取大量受害電腦，需管理對這些系統的存取權限、維護後門通道的可用性，此時，攻擊者就會藉助自動化來維護。</p> <p>但這也可以看出，雖然這並未改變攻擊者本質上要做的事情，但確實讓他們能騰出更多時間，投入其他可能的攻擊行動。</p> <p> <strong>繼續閱讀：</strong><a href="https://www.ithome.com.tw/news/168970"><span style="color:#0000CD;">【臺灣資安大會直擊】Google公布用生成式AI強化資安防禦3招</span></a></p> </div></div></div>
2025/5/15 21:15作者羅正漢https://www.ithome.com.tw/news/168969
【臺灣資安大會直擊】Google公布用生成式AI強化資安防禦3招
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者使用AI強化攻擊，資安界也同樣強調使用AI來強化防禦。事實上，在過去一年來，<a href="https://www.ithome.com.tw/news/160610">我們已經看到許多資安業者指出，生成式AI的優勢在於可協助快速解讀一段PowerShell腳本，以及加速撰寫資安報告</a>，Google亦持相同看法。在臺灣資安大會主題演說現場，Google Cloud國際資安合作負責人Christopher B. Porter分享他們的實際應用方式，也說明應用後的具體成效。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>（一）協助分析PowerShell腳本，縮短回應時間</strong></span></h3> <p>基本上，分析PowerShell是Google內部許多安全工程師原本就具備的能力，而使用Gemini分析，雖然只是協助我們更有效完成原本就能做到的工作，並未真正帶來全新的能力，但Christopher指出，這件事仍然很有意義。</p> <p>他舉例，當某組織內部大量關於PowerShell的警告都是誤報，使得第二線與第三線資深應變人員要花上許多時間，去分析那些非惡意活動的資訊。此時，使用Gemini等生成式AI的好處就很明顯，可以縮短回應的時間，因為AI可以快速解讀並提供更多背景資訊，同時用人類可以理解的語言，總結出該程式的行為。</p> <p>Christopher以自身為例說明，儘管他已多年未親自進行此類分析，仍能透過Gemini快速理解腳本的內容。這代表分析人員可以省下這些時間，將心力聚焦於更值得重視的風險事件上。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>（二）提升惡意程式分析的偵測能力</strong></span></h3> <p>在惡意程式分析方面， Google很早就使用機器學習技術於VirusTotal，後續也持續導入新的AI技術來幫助惡意程式的自動化分析。Christopher在此也指出，AI在偵測惡意指令碼方面的準確率提升70%，在辨識利用漏洞的檔案方面，偵測能力更提升達300%。</p> <p>但他也特別提醒一件事，如同先前提到的，只要任務定義越明確，AI的效用就會越高，這點在攻擊或防禦上的應用都是一樣的。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>（三）強化事件回應流程，節省團隊51%處理時間</strong></span></h3> <p>第三個應用場景為事件回應。Christopher表示，自一年多前起，Google的偵測與回應團隊已將生成式AI納入工作流程中，結果顯示，分析人員平均可節省約51%的處理時間。</p> <p>其中最大效益來自報告撰寫，他指出，這是因為許多工程師在寫作能力上存在落差，但有了Gemini，分析人員可將原始調查數據與技術日誌交由AI處理，自動生成報告初稿。儘管生成內容仍需人為校對，修正錯誤或補充事實，但初稿品質已優於平均水準，並且大概完成80～90%的寫作工作。</p> <p>換言之，資安人員可將節省下來的時間，投入在其他重要的調查與防禦工作，進一步提升整體運作與事件回應效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺灣資安大會Christopher B Porter_攝影羅正漢-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/15 21:57作者羅正漢https://www.ithome.com.tw/news/168970
衛福部揭露健保資料管理條例草案3大重點，明訂管理機制、保障民眾退出權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年，憲法法庭針對健保資料庫目的外用途提出憲判字第13號判決，今日（5/15），<a href="https://drive.google.com/file/d/1wF3Nl8gasHVxzH9Azr205l5h6h4zPZ-q/view">衛福部針對判決提出全民健康保險資料管理條例草案</a>，<a href="https://drive.google.com/file/d/14lErN5eHm44bo1wSd5bZhsdS-4Wrag1b/view">涵蓋3大重點</a>，包括健保資料目的外利用及管理、組織上及程序上的監督防護機制，以及健保資料請求停止利用，也就是民眾的退出權。該草案共有27條，目前已擬定完成，正送交立法院審議。</p> <p><span style="font-size:22px;"><strong>健保資料管理條例草案的3大重點</strong></span></p> <p><a href="https://www.youtube.com/watch?v=TCJpgCXsKWY&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">衛福部社保司代理司長陳真慧說明</a>，這個全民健康保險資料管理條例草案，是為因應2022年憲法法庭憲判字第13號判決，認定健保資料被用於原本目的以外的用途，部分內容違憲而制定。衛福部當時即表示，將依法在判決宣告3年內完成修法或訂定專法，來確保民眾個人資料受到保障，而這次提出的全民健康保險資料管理條例草案，就是要來規範健保資料，在特定目的下的使用與管理，比如用於提升醫療品質、強化公共衛生、推動社會福利、促進學術研究等目的。</p> <p>該草案根據判決內容，聚焦3大重點，包括目的外利用及管理、組織上及程序上的監督防護機制，以及健保資料請求停止利用。</p> <p>進一步來說，草案前7條規範了組織上的監督防護機制，明訂立法目的、主管機關、諮議會任務與組成等，第8到15條則規範程序上的監督防護機制，如申請者資格和申請方式、申請核定結果不服之救濟程序等。再來是第16至19條，規定了民眾請求停止利用其健保資料的權力，也就是所謂的退出權，第20條至最後的第27條則規範其他事項，如罰則、施行日期等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-15%20175029.png" /></p> <p>這個草案規範的對象有兩大類，首先是管理機制對應到的健保資料使用者，可分為資料目的外利用申請者、執行法定職務者兩種。就前者來說，可以是政府機關（構）、行政法人、醫療機構、學術研究機構、大學及受政府機關委託的大學、法人、機構等，後者則包括政府機關（構）及行政法人。</p> <p>資料目的外利用申請者，可向主管機關或保險人（即健保署）提出申請並經審查，來使用資料，執行法定職務者則能透過書面向保險人提出申請。</p> <p>除了資料使用者，草案規範對象還包括健保資料當事人，也就是民眾，可向健保署提出退出申請。此外，該草案也規定，主管機關和健保署要公開，哪些資料會提供目的外利用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-15%20175050.png" /></p> <p>陳真慧指出，衛福部希望透過這項草案，來保障人民資訊隱私權、自主權，同時也能增進健保資料的價值，來提高醫療品質、公共衛生、社會福利和學術研究發展，並提供政府機關執行法定職務，增進全民健康福祉。</p> <p></p> </div></div></div>
2025/5/15 17:56作者王若樸https://www.ithome.com.tw/news/168968
台新銀行完成多雲災備POC，靠演練驗證應用上雲能力並培養IT團隊實作技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2023年金管會鬆綁金融上雲規範，金融機構更積極布局上雲。近日，台新銀行也公開了自家的上雲進展。他們透露，內部花費3個月完成多雲災備POC驗證。透過這次演練，他們除了要驗證應用服務上雲的技術可行性，也要藉此培養內部IT人員的雲端實作技能。</p> <p>台新銀行透露，他們在去年3月，完成將第一支應用系統搬遷至新的容器化平臺。這個計畫的成功，促使台新啟動多雲災備POC計畫。台新銀行孫一仕認為，他們需要透過演練，了解內部能將多少應用系統搬遷上雲，一方面驗證應用服務上雲的技術可行性，二方面藉此培養台新IT人員的雲端實作技能。</p> <p>在POC過程中，台新和供應商組成一支團隊，只要任何一方遇到問題，就隨時回報群組，由下一棒立即提供火力支援。原訂 4 個月執行的 POC 計畫，提前在 3 個月內完成。</p> <p>為了支持Richart數位銀行發展，台新IT早在2019年，就展開了技術架構現代化的轉型腳步，要為日後業務擴大後的大規模擴充和資源調度需求做準備。台新新一代資訊架構劃分為前中後臺三個部分，設計原則是前臺敏捷化、中臺模組化與後臺輕量化，還搭配了一個資訊架構治理框架。</p> <p>台新自2020年啟動應用中臺優化和轉型計畫，希望將網路銀行、行動銀行、數位銀行( Richart )、Richart Life等不同服務的共用模組搬遷至新的容器化平臺，透過打造新中臺來加速金融創新。</p> <p>台新認為，透過導入新容器化平臺，能實踐應用中台概念，並且，藉由進行多雲災備POC，確認IT團隊能靈活運用公有雲資源，最後是利用驗證過程，順勢實現平臺面、應用程式面、人才面的Cloud Ready 。</p> <p></p> </div></div></div>
2025/5/15 15:51作者李昀璇https://www.ithome.com.tw/news/168964
中國駭客、勒索軟體駭客加入利用SAP NetWeaver滿分漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月24日SAP<a href="https://www.ithome.com.tw/news/168625">緊急修補應用程式伺服器NetWeaver重大層級漏洞CVE-2025-31324</a>，由於這項漏洞發現的時候已被用於攻擊NetWeaver，再加上危險程度達到滿分10分，後續的動態引起許多研究人員關注，在5月13日<a href="https://www.ithome.com.tw/news/168935">SAP修補駭客利用的另一項漏洞CVE-2025-42999</a>（CVSS風險為9.1分）之後，資安業者<a href="https://blog.eclecticiq.com/china-nexus-nation-state-actors-exploit-sap-netweaver-cve-2025-31324-to-target-critical-infrastructures">EclecticIQ</a>、<a href="https://reliaquest.com/blog/threat-spotlight-reliaquest-uncovers-vulnerability-behind-sap-netweaver-compromise/">ReliaQuest</a>指出，有更多駭客組織將其用於攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，他們確認有3組中國駭客在利用CVE-2025-31324從事攻擊行動，而且，這些駭客與中國國家安全部（MSS）有關，分別被稱為CL-STA-0048、UNC5221，以及UNC5174。而這是在<a href="http://www.ithome.com.tw/news/168892">資安業者Forescout揭露</a>之後，再有研究人員點名中國駭客組織的情況。</p> <p>而對於駭客的攻擊範圍，EclecticIQ表示涵蓋英國的關鍵天然氣網路、水資源及廢水管理設施，以及美國的進階醫療裝置的製造廠、探勘石油與天然氣的公司，此外，也有沙烏地阿拉伯財務相關的政府部門受害。</p> <p>這3組人馬分別從事那些活動？研究人員指出，CL-STA-0048藉此試圖部署反向Shell互動，並使用DNS Beacon於SAP環境活動，對於特定的SAP應用程式下手，以便於受害組織橫向移動；而UNC5221則是藉此遠端執行命令，從AWS S3儲存桶下載Rust打造的惡意程式載入工具KrustyLoader，意圖執行第二階段有效酬載；至於UNC5174，他們利用惡意程式下載工具SnowLight，執行Go語言打造的RAT木馬VShell，以及後門程式Goreverse。</p> <p>除此之外，EclecticIQ也看到疑似來自中國的駭客在進行大規模掃描的情況，並意圖上傳Web Shell，根據駭客利用偵察工具Nuclei產生的資料，駭客於581臺NetWeaver伺服器植入Web Shell，並將1,800個網域列為後續攻擊的目標。</p> <p>除了國家級駭客利用CVE-2025-31324，也有勒索軟體駭客加入的情形。資安業者ReliaQuest指出，俄羅斯勒索軟體駭客「變臉（BianLian）」與另一個勒索軟體家族RansomEXX，將這項漏洞用於實際攻擊行動。</p> <p>研究人員指出，變臉透過2個IP位址發動攻擊，其中一臺主機執行rs64.exe，啟動反向代理伺服器服務，另一臺疑似充當C2；而RansomEXX則是藉由漏洞散布惡意程式PipeMagic，過程裡駭客可能還濫用CLFS漏洞CVE-2025-29824。</p> </div></div></div>
2025/5/15 16:14作者周峻佑https://www.ithome.com.tw/news/168966
【資安日報】5月15日，去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月資安業者趨勢科技、Acronis揭露鎖定臺灣無人機製造商的中國駭客攻擊行動，其共通點就是受害組織採用特定廠牌的ERP系統，這種巧合讓研究人員初步懷疑是供應鏈攻擊，如今這樣的推測得到證實。</p> <p>趨勢科技發現，這些駭客在2023年從事另一波攻擊行動Venom，主要的目標就是軟體服務供應商。由於駭客幾乎都使用開源工具作案，而難以察覺其蹤跡，研究人員與ERP業者合作，才讓這起事故公諸於世。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168944"><strong style="font-size: 22px;">中國駭客Earth Ammit持續攻擊臺灣無人機製造商，去年之前還有另一波更隱密的攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthAmmit_fig04.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthAmmit_fig04.png" style="width: 300px; float: right;" /></a></p> <p>去年9月，資安業者趨勢科技、Acronis揭露鎖定臺灣無人機製造商的中國駭客攻擊行動TIDrone、Operation WordDrone，後續12月資安業者AhnLab指出這些駭客也對韓國發動攻擊，而這些攻擊的共通點，就是受害組織採用特定廠牌的ERP系統，研究人員認為駭客疑似透過供應鏈攻擊而得逞，於受害組織散布惡意程式。而最近有研究人員公布新的調查結果，指出駭客在2023年已先發起另一波攻擊活動。</p> <p>趨勢科技指出，從事相關攻擊行動的中國駭客組織Earth Ammit，先後於2023及2024年發起兩波攻擊Venom、TIDrone，第二波如先前提及是針對軍事產業而來，而第一波Venom的主要目標，就是軟體服務供應商，這樣的調查結果，恰巧符合先前推測駭客從事軟體供應鏈攻擊的假設。</p> <p>針對察覺Venom資安事故的過程，起因是趨勢科技察覺TIDrone的受害組織採用相同的ERP系統，於是與ERP供應商進行合作，從而找到前一波攻擊的資訊。研究人員指出，Venom的攻擊聚焦於上游供應商，廣泛涵蓋重工業、媒體、科技、軟體服務、醫療照護領域，並指出這兩波攻擊行動，最早可追溯至2022年。此外，雖然駿客主要的目標是臺灣和韓國，但他們也發現有加拿大上傳惡意程式檔案至VirusTotal的情況。</p> <p><a href="https://www.ithome.com.tw/news/168950"><strong style="font-size: 22px;">8,900萬Steam用戶帳號資料疑外洩，母公司否認系統遭駭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post(1).jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post(1).jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，名為Machine1337（EnergyWeaponsUser）的用戶在地下論壇聲稱，他握有Steam用戶帳號密碼等資料並兜售，這批共有8,900萬筆，駭客也公布了3,000筆供買家檢驗。媒體分析這些資料發現，這些資料包含動態密碼的明碼文字簡訊，及Steam用戶手機號碼等。</p> <p>持有Steam的母公司Valve經過初步檢視後發出聲明，否認自家系統遭駭。該公司指出，外洩資料中的電話號碼與Steam帳號下的資料不同。前者是較舊的文字簡訊及時效僅15分鐘的一次性驗證碼，後者包含電話號碼、密碼、支付資訊及其他資料。</p> <p>此外，專門觀察Steam生態系活動的社群MellowOnline1指稱，導致Steam資料外洩的不是Steam系統本身，而是Steam用來發送雙因素認證（2FA）驗證碼的通訊服務Twilio。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-scattered-spider-switches-targets-to-us-retail-chains/">接連攻擊英國零售業者的Scattered Spider轉移目標，恐將對美國企業下手 </a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/turkiye-linked-hackers-exploit-output-messenger-zero-day-cve-2025-27920-in-espionage-campaign/">土耳其駭客鎖定伊拉克軍隊，利用Output Messenger零時差漏洞發動攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/iclicker-hack-targeted-students-with-malware-via-fake-captcha/">學生參與平臺iClicker遭入侵，駭客試圖對師生散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/phishing-attack-blob-uri-fake-login-pages-browser/">Blob URI遭到濫用，駭客用於向受害者顯示冒牌登入網頁</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168952"><strong style="font-size: 22px;">Fortinet修補已遭利用的企業電話系統FortiVoice零時差漏洞</strong></a></p> <p>資安業者Fortinet發布資安公告，揭露重大層級漏洞CVE-2025-32756，這項漏洞存在於企業電話系統FortiVoice、郵件安全閘道FortiMail、網路偵測與回應系統FortiNDR、視訊監控平臺FortiRecorder，以及網路攝影機FortiCamera等多項解決方案。值得留意的是，Fortinet提及這項漏洞已有攻擊者實際針對FortiVoice利用的情況，呼籲IT人員儘速套用相關更新。</p> <p>這項漏洞為記憶體堆疊緩衝區溢位漏洞，攻擊者可藉由特製的HTTP請求，在未經授權的情況下，遠端於目標系統執行任意程式碼或是命令，CVSS風險評分介於9.6至9.8，相當危險。</p> <p>值得留意的是，由於這項漏洞影響的範圍相當廣泛，若是IT人員無法及時修補，Fortinet建議要暫時停用HTTP或HTTPS管理介面來因應。</p> <p><a href="https://www.ithome.com.tw/news/168958"><strong style="font-size: 22px;">Adobe發布5月更新，呼籲IT人員優先處理ColdFusion資安漏洞</strong></a></p> <p>5月13日Adobe發布每月例行更新，針對旗下13款產品發布軟體更新，修補39項資安弱點，數量較上個月54個減少。值得留意的是，這次大部分的漏洞都被評為重大層級，僅有8個列為高度及中度層級。</p> <p>從修補的優先順序來看，應用程式開發平臺ColdFusion最值得留意，因為Adobe將其修補的優先順序列為最高（第1級），這樣的情況與上個月相同。此外，從漏洞的數量來看，這次ColdFusion修補的漏洞最多，有7個，但其中6個被評為重大風險，有5個CVSS風險達到9.1分，1個為8.4分，遠高於其他應用程式的重大漏洞危險程度（7.8分）。</p> <p>但除了上述的ColdFusion重大漏洞，存在於視訊會議系統Adobe Connect的弱點也值得留意，其中CVE-2025-43567為反射跨網站指令碼（Reflected XSS）漏洞，攻擊者可用來注入惡意指令碼，從而在使用者存取網頁的時候執行，一旦成功利用，就能挾持連線階段（Session），從而提升權限，CVSS風險達到9.3分，是這次修補最為危險的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/168885"><strong style="font-size: 22px;">Windows部署服務曝DoS漏洞，有機會被用於遠端發動零點擊攻擊</strong></a></p> <p>為了讓IT人員能透過網路遠端於工作站、伺服器大量部署Windows作業系統，微軟在伺服器作業系統提供了Windows部署服務（Windows Deployment Services，WDS）的功能，但有研究人員發現，這項服務存在阻斷服務（DoS）漏洞，可能導致企業網路遭到癱瘓，而且，過程中完全無須通過身分驗證，也不需使用者互動。</p> <p>此消息引發Daily CyberSecurity等資安媒體報導，通報此事的中國華中科技大學（HUST）副教授彭峙酿表示，他在今年2月發現WDS的資安弱點，攻擊者有機會遠端大量消耗記憶體，而能在未經身分驗證的情況下，讓WDS停擺。由於WDS在企業環境廣泛運用，這樣的弱點很有可能造成嚴重的災難。彭峙酿向微軟通報此事，4月下旬得到回覆，微軟認定這項弱點為中度風險，並未達到安全服務水平而不予處理。對此，彭峙酿指出，由於目前沒有其他的緩解措施，因此企業最好暫停使用WDS。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-136-update-patches-vulnerability-with-exploit-in-the-wild/">Google對Chrome 136發布緊急更新，修補已遭利用的零時差漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168947"><strong>【5月14日】微軟、SAP修補已出現攻擊行動的多項零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168916"><strong>【5月13日】華碩修補主機板驅動程式管理工具驗證不當的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168893"><strong>【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</strong></a></p> </div></div></div>
2025/5/15 16:30作者周峻佑https://www.ithome.com.tw/news/168967
國科會揭AI智慧機器人計畫，祭出4大推動策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日（5/15）行政院會後記者會中，<a href="https://www.youtube.com/watch?v=TCJpgCXsKWY&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">國科會揭露智慧機器人產業推動方案</a>，瞄準智慧機器人系統開發和新創培育、擴大國內智慧機器人產值、提高智慧機器人普及度等3大目標，也祭出4項推動策略，比如成立沙崙智慧機器人研究中心、六甲智慧機器人創新與應用研發中心，以及透過國發會100億元基金支持，來引導民間投資智慧機器人相關新創和中小企業，還有推動服務型智慧機器人產品標準檢測制度、強化資安輔導等。</p> <p><span style="font-size:22px;"><strong>鎖定系統開發、擴大產值、提高機器人普及度三大目標</strong></span></p> <p>國科會工程處長洪樂文指出，機器人領域研究發展多年，但直到近2、3年，在AI的推動下，機器人研究才在智慧化、自主性、多功能性有了跳躍式的進展，國際也因此出現許多創新的機器人系統。對臺灣來說，「這是一個產業發展的契機，也是社會的需求，」尤其是在高齡化和少子化的背景下。</p> <p>也因此，國科會與相關部會聯手擬定了智慧機器人產業推動方案，瞄準3大目標，包括：</p> <ol> <li>智慧機器人系統開發和新創培育</li> <li>擴大國內智慧機器人產值</li> <li>提高智慧機器人的社會普及度</li> </ol> <p>其中，目標一是要透過機器人中心和前瞻研發補助，來培育具系統開發能力的機器人新創公司，目標二則是要完善機器人供應鏈和產業生態系，要在5年內將專業用服務型機器人產值，從40億元擴大至500億元。目標三是要將開發出來的服務型機器人，導入人力密集應用場域，來因應勞動力不足的挑戰。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-15%20153354.png" /></p> <p>同時，國科會也祭出4大推動策略，包括關鍵技術布局，建立產業生態系，制定資安、標準和法規，以及培育人才與應用推廣，來實現這3大目標。</p> <p>就布局關鍵技術來說，國科會與經濟部分別要建置沙崙智慧機器人研究中心、六甲智慧機器人創新與應用研發中心，其中，沙崙智慧機器人研究中心將連結上游的基礎研究、六甲智慧機器人創新與應用研發中心則將搭配下游產業應用研發，來發展機器人技術。</p> <p>再來，國科會也將在國發會100億元基金支持下，來引導民間投資智慧機器人相關新創和中小企業，特別著重具有機器人系統開發能力的廠商，以及無人載具、晶片與軟體等機器人研發廠商。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-15%20153430.png" /></p> <p>接著，國科會也希望結合在地資源發展機器人產業生態系，由經濟部協助臺南市政府在柳營建立機器人產業聚落，來連結沙崙智慧機器人研究中心、六甲智慧機器人創新與應用研發中心，以及以新創培育為主的沙崙臺灣科技新創基地南部據點。</p> <p>在標準法規部分，國科會將推動服務型智慧機器人產品標準檢測制度，並強化資安輔導。至於人才培育及應用推廣，則會調整大專課程、推動職業訓練和在職進修，並加強海內外攬才、碩博人才培育，以及建置技術導入與示範場域等。</p> <p>洪樂文表示，國科會希望在這一波智慧機器人浪潮下，能發揮臺灣既有的軟硬體優勢，實現機器人系統研發創新、擴大產值及社會普及度的目標。</p> <p></p> </div></div></div>
2025/5/15 15:48作者王若樸https://www.ithome.com.tw/news/168963
股票交易平臺eToro以52美元的發行價登上那斯達克，首日上漲29%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列的加密貨幣暨股票交易平臺eToro本周三（5/14）以ETOR為代號，正式登上美國那斯達克（Nasdaq）股市，該公司的發行價為52美元，但一開盤就衝上69美元，最終以67美元作收，上漲28.85%，創下54億美元的市值。</p> <p>eToro的主要收入為交易活動的佣金，其它還包括利息或訂閱服務等，在2022、2023及2024年的營收，分別是64.3億美元、38.9億美元，以及126.4億美元，除了在2022年出現2.1億美元的虧損之外，2023與2024年分別擁有1,526萬美元，以及1.9億美元的淨收入。</p> <p>值得注意的是，來自加密貨幣相關交易的營收占了eToro總營收的高度比重，例如2022年的加密貨幣交易營收占了88.4%，2023年是88.3%，2024年更衝上96%。</p> <p>除了eToro之外，另一家金融科技業者<a href="https://www.ithome.com.tw/news/168943" target="_blank">Chime也在本周提交了那斯達克（Nasdaq）股市的IPO申請書</a>。</p> </div></div></div>
2025/5/15 16:12作者陳曉莉https://www.ithome.com.tw/news/168965
微軟將在今年8月關閉Bing Search APIs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/updates?id=492574" target="_blank">微軟本周宣布</a>，將在今年的8月11日關閉各種Bing Search API，屆時所有採用Bing Search API的實例都將完全停用，同時也不再接受新用戶的註冊。微軟建議用戶可考慮使用Azure AI Agents中的Grounding with Bing Search作為替代方案。</p> <p><a href="https://learn.microsoft.com/en-us/bing/search-apis/" target="_blank">微軟原本提供了</a>Bing Web Search API、Bing Image Search API、Bing News Search API、Bing Video Search API、Bing Visual Search API或Bing Autosuggest API等多種API供客戶訂閱，但現在不僅拒絕新的部署，也會在8月11日關閉所有資源。</p> <p>此一聲明適用於採用Bing Search F1及S1到S9資源的用戶，或是採用Custom Search F0與S1到S4資源的用戶。</p> <p><a href="https://www.wired.com/story/bing-microsoft-api-support-ending/" target="_blank">Wired引用消息來源報導</a>，目前受到影響的主要為Bing Search APIs的自助式或小型用戶，諸如DuckDuckGo或其它曾與微軟直接簽署契約的客戶之後還是能夠使用這些API。</p> <p>該報亦指出，在ChatGPT於2022年首度亮相之後，微軟已將Bing Search APIs的價格提高了10倍，現在則選擇直接關閉APIs。</p> <p>微軟所建置的Grounding with Bing Search是透過Azure AI Agents在生成回應時引用即時的公開網路資料。系統會根據查詢內容決定是否使用Bing搜尋，並將結果摘要提供給模型生成回應。最終輸出中會附上所引用網站的連結及對應的Bing搜尋查詢連結，但開發者與使用者無法直接存取Bing搜尋的原始資料內容。</p> <p>開發者大多使用Bing APIs而不採用Google Search APIs是因為後者既昂貴限制又多，Wired分析，微軟讓Bing APIs退役可能會對<a href="https://www.ithome.com.tw/news/168536" target="_blank">正在審理中的Google搜尋壟斷一案</a>帶來壓力，迫使Google釋出更多搜尋API資源。</p> </div></div></div>
2025/5/15 15:16作者陳曉莉https://www.ithome.com.tw/news/168962
美商務部取消前政府AI晶片出口管制但宣布新管制措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.bis.gov/sites/default/files/documents/05.07%20Recission%20of%20AI%20Diffusion%20Press%20Release.pdf" target="_blank">美國商務部本周稍早宣布</a>取消拜登政府發布的《人工智慧擴散規則》（AI擴散規則），同時宣布新的管制措施，以繼續抑制中國AI晶片發展。</p> <p>AI擴散規則於拜登卸任前的1月15日發布，合規要求於5月15日生效。商務部指出，這些要求已扼殺美國創新，為企業施加繁重的法規負擔，而且還因將數十國家降級為二等地位，破壞了美國與這些國家的外交關係。</p> <p>在拜登時代發布的AI擴散規則，將AI晶片出口國分成三級，第一級包含美國及臺灣、歐盟、日韓等18國，第三級包含中國、俄羅斯、伊朗等國。第二級包括新加坡等。除了第一級外，其餘大部份國家採購美國AI晶片都會有配額限制。</p> <p>美國商務部產業與安全局副部長Jeffrey Kessler指出，川普政府將推動更積極而包容性的策略，與全球信賴的盟邦合作發展美國AI科技，並讓敵人無法取得AI科技。商務部也拒絕將拜登政府阻礙生產力、計畫欠周詳的AI政策施加於美國民眾。</p> <p>商務部下的產業與安全局（Bureau of Industry and Security，BIS）計畫於聯邦公報上發布正式撤銷通知，並將在未來發布替代規則。</p> <p>同時間BIS發布三項指引，宣布強化AI晶片的三項出口管制措施。一是說明在全世界任何地方使用華為Ascend晶片都違反美國出口管控。其次警告大眾用美國AI晶片於中國AI模型的訓練和推論可能的風險。BIS也要求美國企業加強供應鏈保護，免遭滲透使晶片出口到限制地區。</p> <p>新的管控措施仍然主打對中國AI發展的限制。華為近年加強自主研發晶片。<a href="https://www.ithome.com.tw/news/168553" target="_blank">路透社上個月報導</a>，華為最新AI晶片昇騰（Ascend）910C已開始量產，最快5月出貨給中國客戶，以挑戰Nvidia H100為目標的下一代晶片<a href="https://www.wsj.com/tech/chinas-huawei-develops-new-ai-chip-seeking-to-match-nvidia-8166f606" target="_blank">Ascend 910D據傳</a>也正在開發中，並會在5月提供樣本給客戶。而瞄準Nvidia H20的Ascend 920效能預計下半年出貨。</p> </div></div></div>
2025/5/15 13:34作者林妍溱https://www.ithome.com.tw/news/168959
Google將防止Chrome以管理員權限開啟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromium.googlesource.com/chromium/src.git/+/75b920f16fe0cdd4d8652d03280317c324745441" target="_blank">Google計畫將在新版Chrome中加入安全功能</a>，會自動關閉Chrome中啟動的管理員權限。</p> <p>根據Google開發日誌，這項新功能是當用戶欲啟動升級權限的Chrome時，自動執行降級（de-elevate）。它會試圖重新啟動降級權限的Chrome。如果失敗了，就會回復到原先行為，開啟啟動管理員權限的Chrome。</p> <p>但是在自動化模式下運行時這個安全機制會自動關閉，確保不干擾相關的自動化測試或工具。</p> <p>Google團隊也為Chrome加入新的檢測機制（UserAccountIsUnnecessarilyElevated），判斷使用者帳戶是否在UAC未關閉情況下以管理員模式啟動。此外也修正RunDeElevatedNoWait函數，使其使用當前目錄參數，避免因預設目錄(system32)導致的Bug。</p> <p>這項功能主要是為了提升系統安全性，減少以管理員權限瀏覽網頁帶來的風險，例如潛在的惡意網站利用漏洞入侵系統。此外，避免將預設目錄設置為system32也能防止一些意外的權限問題。</p> <p>還不確定新功能會何時部署到正式版Chrome。</p> <p>微軟在2019年首先<a href="https://techcommunity.microsoft.com/discussions/edgeinsiderdiscussions/de-elevate-browser-on-launch/1066007" target="_blank">在Edge加入降級功能</a>。當時在用戶試圖啟用開啟管理員權限的Edge時，Edge會發出提醒要求用戶降權再啟用。但2021年<a href="https://techcommunity.microsoft.com/discussions/edgeinsiderenterprise/disable-de-elevation-in-edge/2327840/replies/2329166" target="_blank">用戶發現</a>微軟將降權機制改為自動執行。</p> </div></div></div>
2025/5/15 13:52作者林妍溱https://www.ithome.com.tw/news/168960
Databricks將以10億美元買下開源雲端資料庫新創Neon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.databricks.com/blog/databricks-neon" target="_blank">資料與AI業者Databricks周三（5/14）宣布</a>，已同意收購專門開發開源關聯式資料庫管理系統Postgres的資料庫新創Neon，以強化Databricks的AI能力。外傳此一交易價值約為10億美元。</p> <p>Postgres的全名為PostgreSQL，是個功能強大的開源關聯式資料庫，它能處理複雜查詢、交易操作並具高度擴充性，也支援JSON、全文搜尋、自訂函式及擴充模組，其穩定性高，資料一致性佳，且社群活躍，被廣泛應用在網站、企業系統及AI資料儲存。</p> <p>2013年在美國創立的Databricks主要開發整合資料工程、機器學習與分析能力的Lakehouse平臺，結合資料湖與資料倉儲的優勢，協助企業高效處理大規模資料並開發AI模型。</p> <p>至於2021年創立的Neon則預見Postgres將成為資料庫標準，並致力於建立無伺服器的Postgres平臺，該團隊設計了一個新的資料庫架構，分離了儲存與運算，而讓資料庫得以隨著負載的變化而自動擴展，也能在幾秒內建立新的Postgres實例，同時具備即時分叉與分支等功能。</p> <p>市場分析指出，隨著AI應用的爆發，特別是AI代理人在資料生成與決策支援上的角色日益吃重，AI系統對資料庫的需求也迅速成長；它們需要可快速啟動及靈活擴展的資料庫環境，Neon平臺的架構剛好滿足其特性。根據Neon的統計，該平臺在去年正式發表時，約有30%的資料庫是由AI代理建立的，而非人類，但今年該數字則提高至80%。</p> <p>Databricks表示，市場規模達1,000億美元的線上交易處理（Online Transaction Processing，OLTP）資料庫一直由幾十年前所建置的產品所主導（甲骨文、微軟與IBM等），現在是開發人員及AI代理顛覆這個市場的時候了，該公司將攜手Neon團隊，共同建構對開發人員及AI友善的資料庫平臺。</p> <p>Neon現有的140名員工將加入Databricks，初期將保持獨立經營，未來則會全面整合至Databricks平臺。</p> </div></div></div>
2025/5/15 14:04作者陳曉莉https://www.ithome.com.tw/news/168961
Fortinet修補已遭利用的企業電話系統FortiVoice零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet發布資安公告，<a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-254">揭露重大層級漏洞CVE-2025-32756</a>，這項漏洞存在於企業電話系統FortiVoice、郵件安全閘道FortiMail、網路偵測與回應系統FortiNDR、視訊監控平臺FortiRecorder，以及網路攝影機FortiCamera等多項解決方案。值得留意的是，Fortinet提及這項漏洞已有攻擊者實際針對FortiVoice利用的情況，呼籲IT人員儘速套用相關更新。</p> <p>這項漏洞為記憶體堆疊緩衝區溢位漏洞，攻擊者可藉由特製的HTTP請求，在未經授權的情況下，遠端於目標系統執行任意程式碼或是命令，CVSS風險評分介於9.6至<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-32756">9.8</a>，相當危險。</p> <p>而對於發現漏洞的過程，Fortinet指出他們旗下的產品安全團隊於威脅活動當中察覺。該公告提及攻擊者可能會從事以下行為，資安人員能依據這些特徵判斷是否有遭到入侵的跡象。這些行為包含：</p> <p>1.掃描內部網路<br /> 2.清除系統當機事件記錄<br /> 3.啟用fcgi debugging除錯功能，記錄嘗試登入系統或SSH連線的帳密。</p> <p>值得留意的是，由於這項漏洞影響的範圍相當廣泛，若是IT人員無法及時修補，Fortinet建議要暫時停用HTTP或HTTPS管理介面來因應。</p> </div></div></div>
2025/5/15 11:04作者周峻佑https://www.ithome.com.tw/news/168952
Adobe發布5月更新，呼籲IT人員優先處理ColdFusion資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日Adobe發布每月例行更新，針對旗下13款產品發布軟體更新，修補39項資安弱點，數量較<a href="https://www.ithome.com.tw/news/168338">上個月</a>54個減少。值得留意的是，這次大部分的漏洞都被評為重大層級，僅有8個列為高度及中度層級。</p> <p>從修補的優先順序來看，<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-52.html">應用程式開發平臺ColdFusion最值得留意</a>，因為Adobe將其修補的優先順序列為最高（第1級），這樣的情況與上個月相同。此外，從漏洞的數量來看，這次ColdFusion修補的漏洞最多，有7個，但其中6個被評為重大風險，有5個CVSS風險達到9.1分，1個為8.4分，遠高於其他應用程式的重大漏洞危險程度（7.8分）。</p> <p>這些漏洞分別是：CVE-2025-43559、CVE-2025-43560、CVE-2025-43561、CVE-2025-43562、CVE-2025-43563、CVE-2025-43564、CVE-2025-43565，大部分可被用於執行任意程式碼，其中的CVE-2025-43559是能讀取任意系統檔案，而CVE-2025-43563則與權限提升有關。這些漏洞涉及不當輸入驗證、不當存取控制、作業系統命令注入，以及不當授權。Adobe發布了ColdFusion 2025 Update 2、ColdFusion 2023 Update 14、ColdFusion 2021 Update 20修補上述漏洞。</p> <p>但除了上述的ColdFusion重大漏洞，<a href="https://helpx.adobe.com/security/products/connect/apsb25-36.html">存在於視訊會議系統Adobe Connect的弱點</a>也值得留意，其中CVE-2025-43567為反射跨網站指令碼（Reflected XSS）漏洞，攻擊者可用來注入惡意指令碼，從而在使用者存取網頁的時候執行，一旦成功利用，就能挾持連線階段（Session），從而提升權限，CVSS風險達到9.3分，是這次修補最為危險的漏洞。</p> </div></div></div>
2025/5/15 12:28作者周峻佑https://www.ithome.com.tw/news/168958
Steam 8,900萬用戶帳號資料疑外洩母公司否認系統遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名駭客宣稱手中握有全球最大電玩平臺Steam 8,900萬用戶帳號相關資料，日前在暗網上公開兜售。不過持有Steam的公司Valve否認自家系統有被駭入情形。</p> <p><a href="https://www.bleepingcomputer.com/news/security/twilio-denies-breach-following-leak-of-alleged-steam-2fa-codes/" target="_blank">Bleeping Computer報導</a>，一個代號Machine1337（或稱EnergyWeaponsUser）的用戶在地下論壇兜售據稱是Steam用戶帳號密碼等資料，共有8,900萬筆。駭客也公布了3,000筆作為樣本。</p> <p>媒體分析這些資料發現，這些資料包含一次性驗證碼的明碼文字簡訊，及Steam用戶手機號碼等。</p> <p><a href="https://store.steampowered.com/news/app/593110/view/533224478739530145?l=english" target="_blank">持有Steam的母公司Valve經過初步檢視後發出聲明</a>，否認自家系統遭駭。該公司指出，外洩資料中的電話號碼與Steam帳號下的資料不同。前者是較舊的文字簡訊及時效僅15分鐘的一次性驗證碼，後者包含電話號碼、密碼、支付資訊及其他資料。</p> <p>Valve/Steam告知用戶，純文字簡訊無法作為帳號攻擊工具，而且若真的一次性驗證碼被用來驗證登入帳號，用戶也會收到電子郵件或Steam訊息通知。</p> <p>此外，<a href="https://x.com/MellowOnline1/status/1921682082025115818" target="_blank">專門觀察Steam生態系活動的社群MellowOnline1指稱</a>，導致Steam資料外洩的不是Steam系統本身，而是Steam用來發送雙因素認證（2FA）一次性驗證碼的通訊服務Twilio。Twilio為通訊服務商，其Verify API可提供傳送2FA驗證的一次性驗證碼。</p> <p>MellowOnline1解釋，外洩資料除了一次性驗證碼，還包含遞送狀態、Metadata、傳送成本（routing cost），這意味著攻擊者可以存取Twilio後臺系統，這原因可能是駭入了Twilio用戶帳號、取得API金鑰，或是掌握後臺儀表板（dashboard）的直接存取權。</p> <p>但Twilio公司也對Bleeping Computer否認遭駭。Twilio團隊說沒有證據顯示Twilio遭駭，且該公司檢視駭客公布的樣本後，也判斷資料並非取自Twilio的跡象。</p> <p>Bleeping Computer也說無法判斷這些資料是來自2FA服務商。此外，雖然Steam方面說外洩的是較舊的文字簡訊，但Bleeping Computer分析樣本資料，也看到了不少今年3月才發送的資料。</p> <p>最後Steam說用戶無需變更電話號碼或密碼，但仍建議用戶使用Steam驗證用的App來接收一次性驗證碼。</p> </div></div></div>
2025/5/15 10:40作者林妍溱https://www.ithome.com.tw/news/168950
歐盟漏洞資料庫專案EUVD正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.enisa.europa.eu/news/consult-the-european-vulnerability-database-to-enhance-your-digital-security" target="_blank">歐盟網路安全管理署（European Union Agency for Cybersecurity，ENISA）周一（5/13）宣布</a>，歐盟漏洞資料庫（<a href="https://euvd.enisa.europa.eu/" target="_blank">European Vulnerability Database，EUVD</a>）已正式上線，這是一個互連資料庫，目標是確保來自不同來源的公開漏洞資訊得以互通，同時採用CVE（Common Vulnerabilities and Exposures，常見漏洞披露）編號與EUVD編號。外界則將它視為美國CVE資料的替代品。</p> <p>最近漏洞資料庫特別受到矚目，是因為原本受到全球仰賴的CVE資料庫<a href="https://www.ithome.com.tw/news/168432" target="_blank">傳出可能停擺</a>的消息，主要是美國總統川普（Donald Trump）大砍行政預算，使得美國國土安全部未能與負責維護CVE資料庫的非營利組織MITRE續約，雙方合約的到期日為4月16日。</p> <p>CVE最初的設計目的是成為全球安全漏洞的唯一編號，並由CVE編號機構（CVE Numbering Authority，CNA）負責分配，全球約有來自39個國家的353個CNA，像是Adobe、蘋果、Amazon、Google、微軟或眾多資安業者都有權分配CVE，<a href="https://www.cve.org/Media/News/item/news/2024/01/23/ENISA-Added-as-CNA" target="_blank">而ENISA也在2024年1月成為CNA</a>。</p> <p>此外，其實ENISA在歐盟網路與資訊安全2指令（Network and Information Security 2 Directive，NIS2）的要求下，<a href="https://www.enisa.europa.eu/news/another-step-forward-towards-responsible-vulnerability-disclosure-in-europe" target="_blank">已於去年6月著手開發EUVD</a>，只是一直到CVE出現可能不穩定的訊號才加快腳步，於今年4月展開封閉測試，本月正式上線。</p> <p>至此，EUVD所扮演的角色也從著重於歐盟地區擴大到全球。ENISA說明，EUVD的目標是確保各國的電腦資安事件應變小組（Computer Security Incident Response Team，CSIRT）、供應商與現有漏洞資料庫等不同來源的資訊能夠互連與互通，採用可管理及查詢多個來源之漏洞資訊的Vulnerability-Lookup開源軟體，來促進漏洞的關聯性，以強化網路安全風險管理。</p> <p>EUVD提供3種檢視儀表板，一是CVSS風險評分超過9的重大（Critical）漏洞，二是已被利用（Exploited）的安全漏洞，三則是來自EU CSIRT協調的安全漏洞，此外，EUVD不僅採用CVE編號，每個CVE編號還會有相對應的EUVD編號。</p> <p><a href="https://euvd.enisa.europa.eu/faq" target="_blank">ENISA解釋</a>，EUVD編號是建立在CVE編號系統之上，如果某個漏洞已符合CVE的編號範圍，就會採用CVE編號，而EUVD則是用來整合並強化漏洞資訊。</p> <p>從另一個角度看，這或許是因為CVE編號是由美國MITRE及CNA網路管理，EUVD則是由歐盟管理，確保歐盟的數位主權；此外，有些漏洞不屬於CVE的收錄範圍，但可能會被列入EUVD；歐盟也可能需要透過EUVD收錄與追蹤來自歐盟成員國，或者是對歐盟影響重大的安全漏洞。</p> <p>ENISA表示，該組織正與MITRE聯繫，以了解有關CVE的後續發展與影響，而且不管是CVE資料，或是由ICT供應商所提供的資料，都會自動轉移至EUVD。</p> </div></div></div>
2025/5/15 10:59作者陳曉莉https://www.ithome.com.tw/news/168951
Uber推出有固定班次及路徑的Route Share共乘服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uber.com/newsroom/go-get-2025/" target="_blank">Uber周二（5/14）在美國發表了許多新服務</a>，著重於降低人們的通勤成本，以因應日益增加的生活支出，其中之一是推出了固定路徑且每20分鐘就有一班的Route Share共乘服務。</p> <p>Route Share服務將會出現在交通繁忙的固定路徑上，每20分鐘就會有一個班次，最多會有3名乘客共乘，而且價格比Uber最便宜的UberX選項還少了50%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-uber-route%20share.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Uber</span></span></p> <p>不過，目前Route Share僅現身於巴爾的摩、波士頓、芝加哥、達拉斯、紐約市、費城及舊金山等少數城市，而且只會在早上及晚上的熱門上、下班時段供應。</p> <p>倘若使用者經常搭乘Uber走訪固定地點，現在Uber推出了Price Lock Pass服務，讓乘客得以鎖定特定路線的價格，而不受天氣、交通或施工的影響，等於是一種搭車價格的保險，其每月費用為2.99美元。</p> <p>另有一個Prepaid Pass服務，若預先支付5、10、15或20次的固定路線費用，那麼Uber將會相對提供各種折扣。</p> <p><a href="https://www.theverge.com/news/665483/uber-go-get-route-share-price-lock-ride-pass" target="_blank">Uber產品長Sachin Kansal向The Verge表示</a>，人們開始從自己開車，轉至Uber Share與Route Share，這些服務主要是用來彌補公共運輸的不足，這世界正朝向人們愈來愈少擁有汽車的趨勢。</p> </div></div></div>
2025/5/15 11:10作者陳曉莉https://www.ithome.com.tw/news/168953
臺灣券商數位獲客模式再添一例！永豐金證券推股票禮品卡，要從送禮場景觸及零投資經驗用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的券商開始實測一項新的數位獲客模式！永豐金證券今日宣布「股票禮品卡」正式開賣，民眾可透過股票禮品卡，來自用或贈送他人股票交易資金。這項商品，是金管會在今年2月核准通過的金融科技創新實驗案，實驗期為一年，總額度1億元，最多可以再提升至2億元，目標觸及的購買人數預訂在3.5萬人到5萬人間。永豐金證券強調，推出這項商品，並不是為了獲利，「我們最大的出發點，是希望觸及更多人，讓沒有投資經驗的人，能因為禮品而進入我們的生態圈。」永豐金證券總經理張李章隆說。</p> <p>永豐金證券數位金融處處長蘇威嘉表示，他們過去幾年在推動金融發展藍圖時，就設定一個遠大的目標，「透過建設數位金融生態圈，去接觸平常觸及不了的客戶。」他解釋，他們透過和專業金融機構、TSP金融科技業者合作，還有經營數位媒體內容、分析投資討論社群中的客戶輪廓，來接觸有投資需求的客戶。過去幾年在金融數位生態圈的經營，讓他們每年新開戶數達到20萬到30萬戶。</p> <p>不過，永豐金證券也開始進一步思考，如何更擴大既有的金融數位生態圈。蘇威嘉提到，根據證交所統計來推估，臺灣整體約有八成民眾沒有參與臺股交易，也就意味著，約有八成群眾落在他們金融數位生態圈的外圍。蘇威嘉進一步表示，股票禮品卡，就是為了接觸這些群眾。透過將股票投資延伸到贈禮場景，將非投資用戶轉化為潛在客戶，逐步擴大永豐金證券既有的數位生態圈。</p> <p>永豐金證券推出的股票禮品卡共有2種面額，分別是500元和1,000元。禮品卡購買者不須要成為證券客戶，只需要在永豐金證券的股票禮品卡平臺上進行註冊，就可以進行購買和贈送。</p> <p>不過，禮品卡的收禮者或持有者必須要擁有永豐金證券帳戶，才能將禮品卡的面額轉換為股票交易的可用資金，例如用於扣抵臺股、ETF證券交割款，或是手續費、證交稅共三種使用範圍。這項限制，讓永豐金證券將能夠透過禮品卡提高客戶轉換率、增加獲客數。並且，禮品卡餘額能儲存在永豐金證券戶中，促使用戶在平臺上進行持續性的投資。</p> <p></p> </div></div></div>
2025/5/14 19:12作者李昀璇https://www.ithome.com.tw/news/168948
【資安日報】5月14日，微軟、SAP修補已出現攻擊行動的多項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天是許多科技業者發布5月例行更新的日子，微軟、Adobe、SAP等業者皆發布相關資安公告，呼籲用戶要儘速採取行動，套用更新程式來緩解漏洞。</p> <p>其中，最受到關注的資安漏洞，包括了微軟修補的5項零時差漏洞，因為曝險的元件皆有駭客利用相關零時差漏洞的記錄；另一個焦點則是SAP修補的NetWeaver重大漏洞，通報此事的資安業者表示，該漏洞其實是先前公布的10分漏洞CVE-2025-31324形成的主要原因。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168917"><strong style="font-size: 22px;">北韓駭客APT37偽冒國安論壇邀請信從事網釣，執行RoKRAT間諜攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/01-Apr-18-2025-02-07-33-2313-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/01-Apr-18-2025-02-07-33-2313-AM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Genians揭露北韓駭客組織APT37於今年3月，針對韓國發動魚叉式網釣攻擊，寄送偽造的國安論壇邀請信，誘使受害者下載壓縮檔並執行內含的LNK捷徑檔，進而植入RoKRAT間諜程式。此次行動被命名為Operation ToyBox Story，駭客採用Dropbox作為C2通訊管道，同時透過PowerShell進行無檔案（Fileless）攻擊，試圖繞過傳統防毒偵測。</p> <p>攻擊信件主題包含「北韓軍人赴俄羅斯戰場」與「川音2.0時代下的韓國對策」等具時事關聯的議題，並偽裝成學術機構邀請。一旦受害者點擊內含的Dropbox連結，並開啟壓縮檔中的LNK檔案，便會觸發多層惡意PowerShell指令，載入RoKRAT模組並於記憶體中執行，過程中完全不落地，有效躲避靜態掃描。</p> <p>RoKRAT收集到的資料經加密後會透過Dropbox、pCloud與Yandex等合法雲端平臺傳回C2伺服器，研究人員將這類手法稱做LOTS（Living off Trusted Sites）。</p> <p><a href="https://www.ithome.com.tw/news/168924"><strong style="font-size: 22px;">針對雲端WAF爆出過濾機制被繞過的資安弱點，Radware表示已於兩年前完成修補</strong></a></p> <p>5月7日卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）發出警告，資料中心業者Radware雲端網頁應用防火牆（Cloud WAF）存在資安漏洞CVE-2024-56523及CVE-2024-56524，一旦攻擊者成功利用，就可能繞過WAF的安全過濾機制，進而攻擊網頁應用程式。對此，Radware表示，這些漏洞其實已在2023年修補。</p> <p>究竟這些漏洞有多危險？CERT/CC並未說明，但資安業者Tenable認定兩者皆為重大層級的漏洞。</p> <p>周日Radware對媒體提出說明，CERT/CC公告的2項漏洞早在2023年就接獲通報，而且已經完成修補。其中之一因為並不影響客戶產品配置，他們當下已經解決；另一項漏洞他們則是發布另一個版本，以及對全球Radware客戶及雲端WAF發布簽章因應，值得留意的是，對於該漏洞的修補，該公司並非強制部署，而是提供配置指引。 </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/dior-china-discloses-customer-data-breach-after-unauthorized-access/">時尚品牌迪奧傳出中國分公司資料外洩，向客戶發送簡訊通知此事</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168932"><strong style="font-size: 22px;">微軟發布5月例行更新，修補5項已被用於攻擊的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_HdfJcrRT3R.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_HdfJcrRT3R.png" style="width: 300px; float: right;" /></a>5月13日微軟發布本月例行更新（Patch Tuesday），總共修補78個漏洞，數量較上個月126個減少許多。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞29個最多，占總數的三分之一；其次是權限提升漏洞、資訊洩露漏洞，分別有20個、16個；其餘有7個是阻斷服務（DoS）漏洞、4個能被用於欺騙的漏洞，以及2個安全功能繞過漏洞。</p> <p>雖然整體修補的漏洞數量較上個月大幅下降，但值得留意的是，這次有5個已被用於實際攻擊的零時差漏洞，美國網路安全暨基礎設施安全局（CISA）同日列入已遭利用的漏洞列表（KEV），並要求聯邦機構必須在6月3日前完成修補。</p> <p>這些漏洞分別是：Windows指令碼引擎記憶體中斷漏洞CVE-2025-30397、微軟Windows桌面視窗管理（DWM）核心程式庫權限提升漏洞CVE-2025-30400、Windows通用事件記錄檔案系統（CLFS）驅動程式權限提升漏洞CVE-2025-32701及CVE-2025-32706，以及供WinSock使用的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-32709。</p> <p><a href="https://www.ithome.com.tw/news/168935"><strong style="font-size: 22px;">近期NetWeaver遭利用零時差漏洞不只一個，SAP月度安全更新再修補另一個</strong></a></p> <p>5月13日SAP發布Security Patch Day每月例行更新，總共發布16則新公告，並對於2則既有的公告內容提出新說明。其中最受關注的部分，是NetWeaver中Visual Composer元件的重大漏洞CVE-2025-42999，已遭駭客用於實際攻擊，事實上，此漏洞與4月底SAP修補的CVSS滿分漏洞CVE-2025-31324有關，通報新漏洞的資安業者Onapsis更是指出，攻擊行動可追溯至今年1月，駭客串聯上述這兩個發動攻擊。</p> <p>針對這次公布的CVE-2025-42999，SAP指出他們接獲資安業者Onapsis的通報，掌握漏洞已遭到利用的情況。這項漏洞存在於Visual Composer的元件Metadata Uploader，具備特殊權限的攻擊者能上傳不受信任（或惡意的）內容，一旦主機系統進行反序列化的時候，就會影響機密性、完整性、可用性，CVSS風險為9.1分。</p> <p>通報此事的Onapsis也做出說明，他們針對5月初揭露的攻擊活動進行深入調查後有新發現，通報後SAP登記為列管漏洞CVE-2025-42999。Onapsis指出，這項漏洞就是造成CVE-2025-31324的根本原因。</p> <p><a href="https://www.ithome.com.tw/news/168936"><strong style="font-size: 22px;">Ivanti修補兩個已遭利用零時差漏洞，問題出在EPMM採用的開源程式庫</strong></a></p> <p>資安業者Ivanti發布資安公告，指出旗下的端點管理平臺Ivanti Endpoint Manager Mobile（EPMM）存在漏洞CVE-2025-4427、CVE-2025-4428，並指出一旦串連利用，攻擊者有機會在未經授權的情況下，遠端執行任意程式碼，值得留意的是，雖然這些漏洞危險程度介於中度至高度，但已有少數用戶遭遇漏洞利用的情況，呼籲IT人員應儘速套用新版程式修補。</p> <p>根據CVSS風險評分，危險程度較高的是CVE-2025-4428，此為遠端程式碼執行漏洞，風險值為7.2；另一個漏洞CVE-2025-4427涉及身分驗證繞過，攻擊者可在無需帳密的情況下存取受到保護的資源，風險值為5.3。其串連攻擊方式為，先利用CVE-2025-4427取得未授權存取權限，進而利用CVE-2025-4428在系統上執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/168908"><strong style="font-size: 22px;">Mitel網路電話存在重大漏洞，恐被用於命令注入攻擊</strong></a></p> <p>專門提供企業通訊解決方案的加拿大業者Mitel Networks，上周修補位於該公司多款SIP電話的兩個安全漏洞CVE-2025-47187與CVE-2025-47188，其中的CVE-2025-47188屬於命令注入漏洞，成功的攻擊將允許未經身分驗證的使用者執行任意命令，其CVSS風險評分高達9.8。</p> <p>根據Mitel的說明，CVE-2025-47188漏洞源自於裝置在處理像是網路請求或協定資料等參數時，沒有充分過濾惡意指令，而讓駭客得以藉由特製的輸入封包來注入系統命令，過程完全不需要經過身分驗證。</p> <p>成功攻陷CVE-2025-47188將允許駭客執行任何命令，諸如刪除檔案或植入後門；也可竊取包括通話記錄、裝置配置或用戶帳密等敏感資料；或是造成服務阻斷，癱瘓裝置功能，因而被列為重大風險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortinet-fixes-critical-zero-day-exploited-in-fortivoice-attacks/">Fortinet修補已遭利用的企業電話系統FortiVoice零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-patches-big-batch-of-critical-severity-software-flaws/">Adobe發布5月更新，呼籲IT人員優先處理ColdFusion資安漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cvss-10-0-flaws-in-siemens-ozw-web-servers-enable-unauthenticated-rce-and-admin-access/">西門子修補OZW網頁伺服器滿分命令注入漏洞，若不處理攻擊者恐藉此得到root權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-cve-2025-4632-flaw-in-samsung-magicinfo-puts-global-signage-networks-at-risk/">三星修補顯示器內容管理系統MagicINFO重大漏洞，攻擊者有機會寫入系統層級檔案</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168916"><strong>【5月13日】華碩修補主機板驅動程式管理工具驗證不當的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168893"><strong>【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> </div></div></div>
2025/5/14 18:14作者周峻佑https://www.ithome.com.tw/news/168947
中國駭客Earth Ammit持續攻擊臺灣無人機製造商，去年之前還有另一波更隱密的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月，資安業者<a href="https://www.ithome.com.tw/news/164935">趨勢科技</a>、<a href="https://www.ithome.com.tw/news/165014">Acronis</a>揭露鎖定臺灣無人機製造商的中國駭客攻擊行動TIDrone、Operation WordDrone，後續12月資安業者AhnLab指出這些駭客<a href="https://www.ithome.com.tw/news/166562">也對韓國發動攻擊</a>，而這些攻擊的共通點，就是受害組織採用特定廠牌的ERP系統，研究人員認為駭客疑似透過供應鏈攻擊而得逞，於受害組織散布惡意程式。而最近有研究人員公布新的調查結果，<a href="https://www.trendmicro.com/en_us/research/25/e/earth-ammit.html">指出駭客在2023年已先發起另一波攻擊活動</a>。</p> <p>趨勢科技指出，從事相關攻擊行動的中國駭客組織Earth Ammit，先後於2023及2024年發起兩波攻擊Venom、TIDrone，第二波如先前提及是針對軍事產業而來，而第一波Venom的主要目標，就是軟體服務供應商，這樣的調查結果，恰巧符合先前推測駭客從事軟體供應鏈攻擊的假設。</p> <p>但為何前一波攻擊行動後來才被發現？研究人員指出，起因是這些駭客主要仰賴開源工具，使得跟蹤變得相當困難，相較之下，在TIDrone事故發生的過程，駭客為了從事網路間諜活動，使用自行開發的惡意程式Cxclnt、Clntend，而具備較為能夠掌握的特徵。</p> <p>針對察覺Venom資安事故的過程，起因是趨勢科技察覺TIDrone的受害組織採用相同的ERP系統，於是與ERP供應商進行合作，從而找到前一波攻擊的資訊。研究人員指出，Venom的攻擊聚焦於上游供應商，廣泛涵蓋重工業、媒體、科技、軟體服務、醫療照護領域，並指出這兩波攻擊行動，最早可追溯至2022年。此外，雖然駿客主要的目標是臺灣和韓國，但他們也發現有加拿大上傳惡意程式檔案至VirusTotal的情況。</p> <p>根據攻擊手法，研究人員指出大致可分成兩種類型。其中一種是將惡意程式碼注入一般的應用程式，或是將竄改的版本與軟體更新套件調包，從而藉由向下游客戶提供合法軟體的傳遞管道，散布惡意程式。</p> <p>另一種手法則是在無法置換更新套件或注入惡意程式碼的時候運用，駭客先攻擊上游供應商，再透過遠端監控工具或IT管理工具，對受害組織散布惡意軟體，而能在不竄改軟體的情況下，從上游供應商橫向移動到下游的目標。</p> <p>而對於Venom發生的過程，駭客先利用網頁伺服器漏洞取得初始入侵管道，得逞後上傳Web Shell，並利用開源代理伺服器工具及遠端存取工具建立持續存取管道。接著，駭客試圖從受害組織的網路環境竊取NTDS資料，目的是為後續的TIDrone攻擊做準備。</p> <p>相較於TIDrone，駭客在Venom活動偏好使用開源工具，研究人員僅有發現名為Venfrpc的作案工具是自行開發，並將其做為識別這波攻擊的重要特徵。</p> <p>根據兩起攻擊的受害企業與服務供應商，以及C2基礎設施出現交集的情況，趨勢科技研判背後從事攻擊者的身分，為相同的駭客組織。</p> </div></div></div>
2025/5/14 17:15作者周峻佑https://www.ithome.com.tw/news/168944
美國數位銀行Chime申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1795586/000162828025025059/chimefinancialinc-sx1wq1da.htm" target="_blank">美國數位銀行Chime本周二（5/13）向美國證券交易委員會（SEC）申請首次公開發行股票（IPO）</a>，打算以CHYM為代號，登上美國那斯達克（Nasdaq）股市。</p> <p>2013年創立的Chime宣稱自己是一家科技公司，而非銀行。因為該公司並未直接接受存款或是發放貸款，其銀行服務是由The Bancorp Bank或Stride Bank所提供，它們都是美國聯邦存款保險公司的成員，但Chime並不是，此外，Chime是一完全於網路上運作的公司，所有服務都透過網站或行動程式供應。</p> <p>Chime與上述銀行合作所提供的服務包括支票帳戶、簽帳卡（Debit Card）、儲蓄帳戶及信用卡等，其行動程式支援即時帳戶通知，支出追蹤，可即時鎖住或解鎖簽帳卡，並可整合至Apple Pay或Google Pay等行動支付，還支援用戶之間的免費轉帳，主要收入來自於用戶使用該公司所發行的金融卡消費所產生的交易手續費。</p> <p>截至今年3月底，該平臺擁有860萬名活躍用戶，其中有67%把Chime當作他們的主要金融帳戶。今年第一季時，每個會員平均每月進行54筆交易，其中有75%是使用Chime所發行的金融卡消費。根據美國金融研究機構Cornerstone Advisors的調查，Chime在年收入低於10萬美元的族群中，是開設新帳戶或指定直接入帳的首選品牌之一。</p> <p>根據Chime所揭露的財報，該公司在2022年、2023年及2024年的營收，依序是10億美元、12.8億美元及16.7億美元，分別虧損了4.7億美元、2億美元及2,500萬美元。</p> <p>Chime強調，該公司仍處於早期成長階段，因為美國的個人金融服務對一般人而言依然問題重重，也是少數尚未被科技顛覆的產業之一，光是針對年收入低於10萬美元的近2億名美國人，Chime便擁有860億美元的年營收機會，而今其滲透比例還不到3%。</p> <p>Chime最近一次的融資活動發生在2021年8月，當時的身價為250億美元。</p> </div></div></div>
2025/5/14 16:51作者陳曉莉https://www.ithome.com.tw/news/168943
近期NetWeaver遭利用零時差漏洞不只一個，SAP月度安全更新再修補另一個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html">發布Security Patch Day每月例行更新</a>，總共發布16則新公告，並對於2則既有的公告內容提出新說明。其中最受關注的部分，是NetWeaver中Visual Composer元件的重大漏洞CVE-2025-42999，已遭駭客用於實際攻擊，事實上，此漏洞與4月底SAP修補的CVSS滿分漏洞CVE-2025-31324有關，通報新漏洞的資安業者Onapsis更是指出，攻擊行動可追溯至今年1月，駭客串聯上述這兩個發動攻擊。</p> <p>針對這次公布的CVE-2025-42999，<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/credits-for-security-researchers.html?anchorId=M8">SAP指出他們接獲資安業者Onapsis的通報</a>，掌握漏洞已遭到利用的情況。這項漏洞存在於Visual Composer的元件Metadata Uploader，具備特殊權限的攻擊者能上傳不受信任（或惡意的）內容，一旦主機系統進行反序列化的時候，就會影響機密性、完整性、可用性，CVSS風險為9.1分。</p> <p>通報此事的Onapsis<a href="https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/">也做出說明</a>，他們針對5月初揭露的攻擊活動進行深入調查後有新發現，通報後SAP登記為列管漏洞CVE-2025-42999。Onapsis指出，這項漏洞就是造成CVE-2025-31324的根本原因。SAP在公告裡表示，他們調整Visual Composer處理部分檔案的機制，從而緩解在修補CVE-2025-31324完成之後仍存在的資安弱點。</p> <p>針對上述資訊的揭露，<a href="https://www.bleepingcomputer.com/news/security/sap-patches-second-zero-day-flaw-exploited-in-recent-attacks/">SAP、Onapsis也向媒體提出更多說明</a>。SAP向資安新聞網站Bleeping Computer揭露，他們掌握NetWeaver Visual Composer相關弱點並持續著手處理，並要求所有NetWeaver用戶套用更新因應。</p> <p>Onapsis技術長Juan Pablo Perez-Etchegoyen透露，根據他們的調查，駭客從今年1月就開始將CVE-2025-31324、CVE-2025-42999串連，用於實際攻擊行動。這兩項漏洞的結合，讓攻擊者能在不需取得系統特殊權限的情況下，遠端執行任意程式碼。不過利用漏洞存在前提，那就是攻擊者必須利用具有VisualComposerUser角色的使用者，才有機會觸發這項反序列化弱點。</p> </div></div></div>
2025/5/14 15:26作者周峻佑https://www.ithome.com.tw/news/168935
Ivanti修補兩個已遭利用零時差漏洞，問題出在EPMM採用的開源程式庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti發布資安公告，指出旗下的端點管理平臺Ivanti Endpoint Manager Mobile（EPMM）<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM">存在漏洞CVE-2025-4427、CVE-2025-4428</a>，並指出一旦串連利用，攻擊者有機會在未經授權的情況下，遠端執行任意程式碼，值得留意的是，雖然這些漏洞危險程度介於中度至高度，但已有少數用戶遭遇漏洞利用的情況，呼籲IT人員應儘速套用新版程式修補。</p> <p>根據CVSS風險評分，危險程度較高的是CVE-2025-4428，此為遠端程式碼執行漏洞，風險值為7.2；另一個漏洞CVE-2025-4427涉及身分驗證繞過，攻擊者可在無需帳密的情況下存取受到保護的資源，風險值為5.3。其串連攻擊方式為，先利用CVE-2025-4427取得未授權存取權限，進而利用CVE-2025-4428在系統上執行任意程式碼。</p> <p>Ivanti在<a href="https://www.ivanti.com/blog/epmm-security-update">部落格文章</a>中提及，這些漏洞出現在EPMM採用的開源程式庫，並強調只有內部建置的EPMM曝險，雲端版端點管理系統、Ivanti Neurons for MDM、Ivanti Sentry等其他產品線，皆不受影響。不過，由於他們正在著手調查，暫且無法提供入侵指標，建議用戶尋求支援團隊協助。此外，該公司也沒有透露曝險的程式庫名稱。</p> </div></div></div>
2025/5/14 15:56作者周峻佑https://www.ithome.com.tw/news/168936
微軟將裁撤6,000名員工，接近3%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，微軟預計於今年7月裁撤6,000名員工，接近全球總員工數的3%。其中，有1,985名任職於華盛頓州的微軟總部，微軟已向媒體證實此事，並說裁員將影響所有級別的員工。這將是微軟繼<a href="https://www.ithome.com.tw/news/155219" target="_blank">2023年1月</a>之後，規模最大的一次裁員。</p> <p><a href="https://www.ithome.com.tw/news/168710" target="_blank">在微軟今年4月公布</a>的2025財年第三季財報中，微軟營收成長13%，淨收入成長18%，雲端服務成長33%，全都超越華爾街分析師預期。根據微軟去年公布的資料，截至2024年6月30日時，該公司的總員工數為22.8萬人，其中有12.6萬位於美國，10.2萬服務於國際市場。</p> <p>微軟向<a href="https://www.bloomberg.com/news/articles/2025-05-13/microsoft-is-cutting-3-of-employees-to-reduce-management-layers?embedded-checkout=true" target="_blank">彭博社</a>（Bloomberg）及<a href="https://www.cnbc.com/2025/05/13/microsoft-is-cutting-3percent-of-workers-across-the-software-company.html" target="_blank">CNBC</a>表示，此波裁員將影響所有的級別、團隊及地區，微軟也會繼續實施必要的組織變革，以最佳狀態因應多變的市場環境。微軟還向CNBC透露，這次裁員的目標之一亦包括減少管理層級。</p> <p>其實微軟在日前舉行的財報會議上便透露了端倪。當時微軟財務長暨執行副總裁<a href="https://www.microsoft.com/en-us/investor/events/fy-2025/earnings-fy-2025-q3" target="_blank">Amy Hood便說</a>，微軟將持續藉由精簡管理層級、減少管理人數來提升敏捷度，以專注於打造高效能團隊。</p> </div></div></div>
2025/5/14 15:07作者陳曉莉https://www.ithome.com.tw/news/168934
Google發表新一代設計語言Material 3 Expressive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/material-3-expressive-android-wearos-launch/" target="_blank">Google周二（5/13）發表了新一代的設計語言Material 3 Expressive</a>，它具備新的動畫及動態物理特性，支援更多個人化的顏色主題，更新了排版，並擁抱更具彈性的字型、形狀或漸變過渡，預計很快就會被應用在Android 16上，亦會現身於Wear OS 6上。</p> <p><a href="https://m3.material.io/blog/building-with-m3-expressive" target="_blank">Google強調</a>，Material 3 Expressive為Material 3設計系統的演變，並非Material 4，這是Google自2014年以來對設計系統作過最多研究的更新，針對逾1.8萬使用者進行46項研究，讓Android介面的設計演變不僅與美學有關，亦著重於強化使用者體驗，它含有新功能、新元件與設計策略，可用來創造具有情感影響力的使用者經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Google_UX_M3%20Expressive-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>值得參考的是，Google對外分享了上述研究的關鍵收穫，包括富有表現力的設計受到所有年齡層的青睞，富有表現力的設計不管是在趣味性、活動、創造力或友善程度的得分都比較高，此外，富有表現力的設計更容易使用，參與者在基於相關設計的螢幕中，發現關鍵UI元素的速度提高了4倍。</p> <p>在Material 3 Expressive實際的展現上，它導入一個更自然、有彈力的動畫系統，例如在關閉某個通知時，旁邊的通知會巧妙地回應位置的改變。更新動態顏色主題、回應式元件及排版，允許使用者基於自己的風格及偏好來客製化手機介面。全新的Live Updates功能可即時顯示外送、叫車及導航的最新通知。</p> <p>Material 3 Expressive還特別針對圓形手錶介面進行設計，讓各種功能更容易點選，使其過渡功能更順暢，並適應更小的螢幕尺寸。此外，在Wear OS 6上，新的設計語言將能增加10%的電池續航力。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Keyword_Wear_Intro_1.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Google_UX_M3%20Expressive-600-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2025/5/14 13:23作者陳曉莉https://www.ithome.com.tw/news/168933
微軟發布5月例行更新，修補5項已被用於攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-May">發布本月例行更新（Patch Tuesday）</a>，總共修補78個漏洞，數量較<a href="https://www.ithome.com.tw/news/168323">上個月</a>126個減少許多。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞29個最多，占總數的三分之一；其次是權限提升漏洞、資訊洩露漏洞，分別有20個、16個；其餘有7個是阻斷服務（DoS）漏洞、4個能被用於欺騙的漏洞，以及2個安全功能繞過漏洞。而從漏洞的危險程度來看，這次有12個微軟將其評為重大層級，有5個為RCE漏洞、3個權限提升漏洞、2個資訊洩露漏洞，以及1個可被用於欺騙的漏洞。</p> <p>雖然整體修補的漏洞數量較上個月大幅下降，但值得留意的是，這次有5個已被用於實際攻擊的零時差漏洞，美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2025/05/13/cisa-adds-five-known-exploited-vulnerabilities-catalog">同日列入已遭利用的漏洞列表（KEV）</a>，並要求聯邦機構必須在6月3日前完成修補。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_HdfJcrRT3R.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_HdfJcrRT3R.png" style="width: 580px;" /></a></p> <p>這些漏洞分別是：Windows指令碼引擎記憶體中斷漏洞CVE-2025-30397、微軟Windows桌面視窗管理（DWM）核心程式庫權限提升漏洞CVE-2025-30400、Windows通用事件記錄檔案系統（CLFS）驅動程式權限提升漏洞CVE-2025-32701及CVE-2025-32706，以及供WinSock使用的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-32709。</p> <p>其中，最受到研究人員關注的漏洞是CVE-2025-30397，原因是攻擊者一旦成功利用，就能讓Edge以Internet Explorer（IE）模式執行。微軟進一步指出，這項漏洞利用存在必要的條件，那就是使用者必須點選特製的URL，攻擊者就能在未經授權的情況下，遠端執行任意程式碼。</p> <p>究竟攻擊者如何利用這項弱點，微軟並未說明，不過，資安專家對於公布的資訊，紛紛提出看法。</p> <p><a href="https://www.rapid7.com/blog/post/2025/05/13/patch-tuesday-may-2025/">資安業者Rapid7指出</a>，雖然微軟強調利用這項漏洞相當複雜，但並未提及使用者是否需要手動在IE模式重新載入網頁，因此他們推測，漏洞能被利用的另一個前提，就是電腦設置為<a href="https://support.microsoft.com/en-us/microsoft-edge/internet-explorer-mode-in-microsoft-edge-6604162f-e38a-48b2-acd2-682dbac6f0de">允許網站自動重新在IE模式載入</a>。研究人員提及，假若利用漏洞不存在上述條件，那麼漏洞的危險程度將大幅提升，從7.5分增加至8.8分。</p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）則認為，<a href="https://www.zerodayinitiative.com/blog/2025/5/13/the-may-2025-security-update-review">這項弱點能強制Edge使用IE模式運作</a>，將使得IE存在的隱患再度浮上檯面。</p> <p>除了CVE-2025-30397，涉及CLFS的漏洞CVE-2025-32701、CVE-2025-32706也相當值得留意。原因是這兩個漏洞能讓攻擊者升級到SYSTEM權限，而且，上個月微軟修補的零時差漏洞CVE-2025-29824，就與CLFS有關。值得留意的是，後續<a href="https://www.ithome.com.tw/news/168824">有勒索軟體駭客加入利用CVE-2025-29824的行列</a>，再加上CVE-2025-32701、CVE-2025-32706也被用於攻擊行動，因此駭客可能試圖鎖定CLFS而來，挖掘相關弱點，存在於CLFS的漏洞都必須特別關注。</p> <p>附帶一提的是，駭客濫用AFD、DWM相關漏洞的情況已有先例，因此CVE-2025-32709、CVE-2025-30400也不能掉以輕心。其中，微軟曾在<a href="https://www.ithome.com.tw/news/167325">今年2月</a>修補AFD漏洞CVE-2025-21418；<a href="https://www.ithome.com.tw/news/162875">而在一年前</a>，他們修補DWM零時差漏洞CVE-2024-30051。</p> <p>除了上述已有實際攻擊行動的零時差漏洞，另有兩個漏洞在微軟修補前就被公開揭露，這些漏洞是：Visual Studio遠端程式碼執行漏洞CVE-2025-32702，以及身分識別監控方案Microsoft Defender for Identity的欺騙漏洞CVE-2025-26685。</p> </div></div></div>
2025/5/14 12:35作者周峻佑https://www.ithome.com.tw/news/168932
Radware WAF爆出Filter Bypass漏洞但廠商說2023年就已修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kb.cert.org/vuls/id/722229" target="_blank">美國電腦網路危機處理暨協調中心（CERT Coordination Center，CERT/CC）上周發布安全公告</a>，警告資料中心業者Radware雲端網頁應用防火牆（Cloud Web Application Firewall, Cloud WAF）有二項漏洞，可讓攻擊者繞過安全過濾機制攻擊Web應用程式。不過Radware對媒體說，二項漏洞早在2023年就已經修補。</p> <p>這兩項漏洞分別是<a href="https://www.cve.org/CVERecord?id=CVE-2024-56523" target="_blank">CVE-2024-56523</a>及<a href="https://www.cve.org/CVERecord?id=CVE-2024-56524" target="_blank">CVE-2024-56524</a>。根據CERT/CC說明，Radware Cloud WAF可以讓攻擊者以二種方法繞過安全過濾機制。第一是以變造的HTTP呼叫；以HTTP GET方法呼叫的HTTP內容本體包含隨機資料，就可繞過WAF保護。第二則是利用WAF處理用戶輸入訊息時，對某一特別字元驗證不足的漏洞，一旦呼叫內容包含特定字元，就可繞過WAF過濾機制，使惡意程式傳送到底層Web 應用程式。攻擊者還能在不引發防火牆干擾情況下執行其他攻擊。</p> <p>CERT/CC公告未提供二項漏洞的風險值。但資安廠商Tenable 將二項漏洞(<a href="https://www.tenable.com/cve/CVE-2024-56523" target="_blank">CVE-2024-56523</a>、<a href="https://www.tenable.com/cve/CVE-2024-56524" target="_blank">CVE-2024-56524</a>)列為重大風險。</p> <p>二項漏洞是由安全研究人員Oriol Gegundez發現且通報Radware。不過這家雲端及實體資料中心業者未證實研究人員的發現，<a href="https://www.securityweek.com/radware-says-recently-disclosed-waf-bypasses-were-patched-in-2023/)" target="_blank">資安媒體SecurityWeek也說該公司沒有回應其澄清詢問</a>。</p> <p>但周日Radware主動對媒體說明，CERT/CC公告的二項漏洞早在2023年就接獲通報，而且已經修補。其中之一是立即解決，因為並不影響客戶產品配置，第二項漏洞則包一個更新版本，以及對全球Radware客戶及雲端WAF發布簽章。此外．基於個別用戶的回饋意見，針對第二項漏洞修補該公司是提供配置指引，而非全球強制部署。因此只有客戶要求才會提供配置更新。 </p> </div></div></div>
2025/5/14 11:25作者林妍溱https://www.ithome.com.tw/news/168924
沙烏地阿拉伯啟動國家級AI計畫，攜手Nvidia、AMD及AWS等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由沙烏地阿拉伯統治者Mohammed bin Salman設立的主權財富基金Public Investment Fund（PIF），<a href="https://www.pif.gov.sa/en/news-and-insights/press-releases/2025/hrh-crown-prince-launches-humain-as-global-ai-powerhouse/" target="_blank">在本周一（5/12）宣布成立全新子公司Humain</a>，新公司將專注於人工智慧（AI）價值鏈的投資與經營，目標是實現在當地、區域及全球開發與交付AI解決方案的能力。所列出的策略合作夥伴包括Nvidia、AMD、思科、Qualcomm，以及沙烏地阿拉伯專門推動大數據與AI策略的政府組織SDAIA（Saudi Data & AI Authority）。</p> <p>Humain的首位執行長是曾擔任沙烏地電信（STC）執行長、後被PIF網羅的Tareq Amin。<a href="https://www.humain.ai/en/" target="_blank">該公司在官網上寫著</a>，AI不只是附加品，而是未來的基礎，Humain準備建置整個AI堆疊，涵蓋資料中心、雲端、模型，以及各種應用。計畫提供現代AI所需的運算、速度及可擴充性；打造一個資料平臺以管理完整的資料生命周期；建置各種基於主權智慧的模型，從以阿拉伯文優先的模型，一直到全雙工的語音模型；也將開發全棧AI解決方案，跨及智慧城市、主權政府、能源系統到金融市場。</p> <p>在政府及國家主權基金的支持下，Humain揭露了強大的策略合作夥伴與計畫，啟動AI工廠的建置，預計於未來5年實現500MW的產能。</p> <p>其中，<a href="https://nvidianews.nvidia.com/news/humain-and-nvidia-announce-strategic-partnership-to-build-ai-factories-of-the-future-in-saudi-arabia" target="_blank">Nvidia將與Humain合作建造AI工廠</a>，雙方第一階段的部署將是一座配備Nvidia InfiniBand、由1.8萬顆Nvidia GB300 Grace Blackwell晶片組成的AI超級電腦。</p> <p><a href="https://press.aboutamazon.com/2025/5/aws-and-humain-announce-groundbreaking-ai-zone-to-accelerate-ai-adoption-in-saudi-arabia-and-globally" target="_blank">Amazon Web Services（AWS）則說將與Humain共同投資逾50億美元</a>，以於沙國建置AI Zone。此一園區將會有搭載一流半導體的AWS AI基礎設施及伺服器，以及可快速執行AI訓練及推論的UltraCluster網路，還有各種AWS服務與AI應用。</p> <p>Humain打算採用AWS技術來發展各種AI解決方案以供客戶使用，並將與AWS共同開發一個統一的AI代理市集，簡化沙國政府對AI軟體的發現、部署及管理，同時推動大型語言模型的成長。</p> <p>AMD也將參與此一500MW產能的5年計畫，<a href="https://ir.amd.com/news-events/press-releases/detail/1250/amd-and-humain-form-strategic-10b-collaboration-to-advance-global-ai" target="_blank">宣布已與Humain達成協議</a>，雙方在未來5年內將共同投資100億美元來部署500MW的AI運算能力，並由AMD提供全方位的AI運算產品與ROCm開放軟體生態系統。</p> <p>根據市場研究機構PwC的估計，到了2030年，整個中東地區的AI市場規模可望達到3,200億美元，屆時AI將替沙國經濟帶來1,300億美元的貢獻，占整個中東市場的4成以上。</p> </div></div></div>
2025/5/14 11:52作者陳曉莉https://www.ithome.com.tw/news/168929
Notion推出AI for Work提供會議記錄、搜尋、模型工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linkedin.com/posts/notionhq_big-one-today-introducing-ai-meeting-activity-7328078369697243136-R7m4" target="_blank">筆記App廠商Notion本周宣布多合一AI工具套件Notion AI for Work</a>，提供AI為基礎的會議記錄、AI模型、搜尋、報告撰寫工具。</p> <p>Notion AI for Work是一組付費AI加值工具，<a href="https://www.notion.com/blog/notion-ai-for-work" target="_blank">Notion表示</a>，這新工具提供強大而簡單易用的AI整合工具，包含AI會議紀錄、企業搜尋、研究模式、AI模型選擇合一的套件工具，整合在Notion workspace工作空間。目前已經有客戶像是OpenAI、金融科技Ramp、雲端開發平臺Vercel和生成式AI平臺Harvey等。</p> <p>其中AI會議紀錄能將會議中的對話轉錄成文字、摘要重點、彙整行動項目，儲存在Notion中的記錄可連結專案並可以AI搜尋。新增的企業搜尋（Enterprise Search）允許用戶輸入自然語言查詢進行大範圍搜尋。例如「我們最新品牌行銷下一步活動為何？」，Notion AI會搜尋Notion工作區及連結的App來找出答案。這項服務提供了整合Slack、Microsoft、Jira、Google Workspace及GitHub的連接器，而很快會推出Linear、Gmail、Zendesk和Box的連接器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Notion%20AI%20for%20Work-AI%20meeting%20notes-600-by%20Notion%20Labs.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Notion%20AI%20for%20Work-enterprise%20search-2-by%20Notion%20Labs.png" style="width: 600px;" /></p> <p>研究模式（Research Mode）可在用戶尋找出大量文件檔案後，自動生成一份美觀而詳細的文件草稿，供用戶調整完分享給團隊。這功能它會分析用戶公司及網站資料，構想出最佳回應、然後在用戶提示下，幾分鐘內寫好專案進度、研究報告及公司內的最佳作法，省下公司好幾天作業時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Notion%20AI%20for%20Work-research%20mode-1-by%20Notion%20Labs.png" style="width: 600px;" /></p> <p>最後，Notion workspace還整合AI模型，在新的Home分頁新增模型存取入口，目前提供OpenAI GPT-4.1與Anthropic Claude 3.7可選擇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Notion%20AI%20for%20Work-chat%20with%20ai%20model-by%20Notion%20Labs.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Notion Labs</span></p> <p>此外Notion還新增更快的檔案上傳API、可在Slack通知加入@提及、也預告即將加入整合Salesforce、訴訟保全（legal hold）及歐盟在地資料儲存等功能。</p> <p><a href="https://www.notion.com/pricing" target="_blank">價格方面</a>，Notion提供套件式的訂閱。Notion AI for Work最基礎為個人免費版，提供簡單表單、網站、行事曆、郵件及線上資料庫。針對企業則設計Plus（10美元/每人每月）、Business（20美元/每月每人）及Enterprise（定製價格）。從Plus起可以整合Slack、Gmail和Google Workspace及試用Notion AI。從Business起提供不限量Notion AI、企業搜尋、AI會議紀錄、研究模式及更多整合工具（如GitHub）。Enterprise版則除了前述工具外，增加擴充性、安全性及控管能力。</p> </div></div></div>
2025/5/14 12:17作者林妍溱https://www.ithome.com.tw/news/168931
Google搜尋測試以AI Mode取代「I'm Feeling Lucky」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正在測試改版搜尋首頁，將以AI Mode取代「I’m Feeling Lucky（好手氣）」作為進階搜尋功能。</p> <p>近日<a href="https://twitter.com/glenngabe/status/1921249024675344846" target="_blank">一些用戶發現</a>Google首頁在原來「好手氣」的位置上換成了AI Mode功能連結。首先報導的<a href="https://www.theverge.com/news/665560/google-search-ai-mode-feeling-lucky-tests" target="_blank">The Verge獲得Google的證實</a>。</p> <p><a href="https://x.com/glenngabe/status/1921249024675344846" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-google%20search-ai%20mode.png" style="width: 500px;" /></a></p> <p><a href="https://x.com/glenngabe/status/1921249024675344846" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Glenn Gabe</span></span></a></p> <p>Google於今年3月在Search Labs測試的AI Mode，是新的Google Search模式，底層為Gemini模型，具備進階推理能力、思維和多模態模型能力，允許用戶詢問問題，獲得AI提供的回答和網頁連結，用戶也可接續更深入提問。</p> <p>Google對The Verge證實，從本月初開始，美國有一小部份用戶會在Google搜尋首頁看到AI Mode，但這些用戶是已加入Google實驗專區Search Labs的用戶。</p> <p>Google並未說明AI Mode正式取代「好手氣」的時程。</p> <p>不過Google勢必感受到發展AI搜尋的急迫性。蘋果長期在Safari瀏覽器預設使用Google Search，<a href="https://www.ithome.com.tw/news/168836" target="_blank">但其主管Eddy Cue 上周表示</a>，Safari搜尋量今年4月首度出現下滑，他認為這是因為用戶開始使用AI。蘋果計畫在Safari中納入AI業者的搜尋，例如OpenAI、Perplexity AI或Anthropic等。他還說AI搜尋最終將會取代像是Google這類的標準搜尋引擎。</p> </div></div></div>
2025/5/14 10:45作者林妍溱https://www.ithome.com.tw/news/168923
VS Code加強AI協作能力，擴展自動修正與跨裝置同步開發機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_100" target="_blank">微軟釋出最新VS Code 1.100版本</a>，持續推進人工智慧輔助開發的整體體驗，主打更精準、反應更快的人工智慧編輯回應能力，並同步在聊天互動、擴充套件安全性及開發介面上推出多項改進。此版本預設啟用NES（Next Edit Suggestions）功能，並新增多項可自訂的指令（Instructions）與提示詞（Prompt）檔設計，使得開發者能以更高的效率與一致性整合人工智慧協作流程。</p> <p>NES模型升級後可自動判斷程式碼邏輯與上下文，提供更貼近實際需求的程式碼建議，且回應速度較以往大幅提升。除了針對語法錯誤與樣式修正，NES也新增支援自動補齊JavaScript與TypeScript檔案中的匯入語句。這項功能不僅降低錯誤率，也讓開發者在多檔案協作情境下，能更專注於邏輯撰寫而非細節。</p> <p>新版也進一步強化了代理模式的使用體驗。VS Code現已支援OpenAI與Anthropic提供的快速編輯格式，使人工智慧在處理大型檔案時回應速度更快、表現更穩定。當人工智慧產生的編輯動作導致新的錯誤，系統也能即時偵測並主動提出後續修正建議，無需開發者額外下指令重試。這項改進有助於處理大型程式碼庫或需頻繁測試與迭代的開發流程。</p> <p>同時，VS Code新增以Markdown編寫的指令與提示詞兩種設定檔。指令檔用來定義開發規範，例如程式風格或指定使用的框架，而提示詞檔則可儲存完整的任務指令，例如產出元件、執行安全檢查等特定請求。這些檔案可依專案或檔案類型自動套用，助團隊建立可重複使用的人工智慧工作流程，也可透過VS Code的設定同步功能，在多臺裝置間保持一致的協作環境。</p> <p>此外，VS Code此次也著重於聊天介面與上下文連結的整合設計。聊天視窗支援多工操作、多視窗浮動顯示與上下文引用標籤，讓開發者能在不中斷編輯工作的情況下查詢、修正與對話，提升實用性。針對Notebook與網頁開發使用情境，新增支援拖曳單元格輸出、網頁元素截圖與HTML/CSS結構至聊天中，進一步擴展人工智慧協作的範疇。</p> <p>在安全性方面，這次更新納入Linux平臺對擴充套件簽章驗證的強制規範，補齊原先僅涵蓋Windows與macOS的限制，確保所有平臺安裝的擴充功能皆經過驗證。對於使用者不慎安裝測試版Copilot Chat導致功能異常的情形，VS Code也已進行改進，限制穩定版無法直接安裝預覽版本，減少錯誤發生機會。</p> </div></div></div>
2025/5/14 08:17作者李建興https://www.ithome.com.tw/news/168919
鴻海擬於5月底前開源繁中大語言模型FoxBrain
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月鴻海揭露自家首款繁體中文大型語言模型（LLM）FoxBrain，宣稱具備優秀的繁體中文能力及推理能力，鴻海近期準備在5月底之前開源FoxBrain供外界使用。</p> <p>鴻海去年宣布將打造智慧製造、智慧電動車、智慧城市三大平臺，在這樣的策略之下，鴻海從硬體跨足到智慧平臺服務，然而，在硬體與平臺之間缺乏基礎模型，為此，鴻海研究院投入訓練在地化的大語言模型，訓練模型學習更多資訊，以模型為基礎開發模組，再打造平臺服務。今年3月鴻海首個繁中大型語言模型FoxBrain亮相，為700億參數語言模型。</p> <p>「我們的策略是在現在的AI時代，成為平臺的提供者、打造者」，鴻海研究院人工智慧研究所所長栗永徽今天在一場AI論壇上說，鴻海深知開發基礎模型需要投入大量資源，並非一般企業可以負擔，因此鴻海決定以自身的資源投入自主訓練大語言模型FoxBrain，未來將會透過開源，讓平臺策略夥伴及外界都能夠使用基礎模型。</p> <p>許多人可能會問國際上已有很多LLM，臺灣為什麼需要打造自己的LLM？栗永徽提出幾個原因，首先是語言文化不對等，國際的模型對繁中、本地的用語、文化理解有限，其次是資安風險，使用國際大語言模型通常掌控在國外業者，如果使用國際模型可能導致敏感資料外洩風險，最後是模型掌控在國外業者，難以針對本地的需要客製化，其他原因還有掌握自己的大語言模型，需要加強資料治理，建立資料主權，同時在過程中有助於培養AI人才。</p> <p>「保護核心技術、建立領域內獨特資料、培育AI人才、掌握AI關鍵技術是鴻海自主訓練模型四大重要因素」，他說。</p> <p>栗永徽表示，鴻海從ChatGPT後，歷經20多個月訓練出第一代的模型，將其命名為FoxBrain，這個模型具備臺灣的價值觀、優秀的繁體中文能力，更重要的是，它是第一個具備推理能力的繁體中文LLM。</p> <p>他表示，在模型的訓練中秉持用AI訓練AI，一開始資料量不足，同時也有許多的資料治理專案正在進行，因此可用的繁中資料並不是很多，為擴增資料，鴻海團隊提出自己的Data Pipeline，從資料清理、增強、評估三個階段，以最小化人力，最大化資料品質，生成針對臺灣使用的語種資料，驅動模型的預訓練。</p> <p>團隊採用低成本、高效率訓練，以開源的Llama 3.1 70B模型為基礎，持續預訓練、微調，利用AI作資料治理、資料品質篩選，結合多GPU協同運算技術，訓練完成FoxBrain後，正在測試應用於鴻海的三大平臺。</p> <p>栗永徽指出，在國內常用的TMMLU+評測中，測試模型在數學、機器學習、化學、科學等幾個領域的表現，以FoxBrain和另外兩個模型Taiwan-Llama、Meta Llama 3.1相比，FoxBrain在數學、科學幾個領域有比較好的表現；另外，在Taiwan MTBench的測試中，比較三個模型的多輪對話、指令遵循、推理、多語言、臺灣在地知識，評測表現也相當好。FoxBrain未來可用於文書處理、決策輔助、數據分析等工作。</p> <p>目前FoxBrain 70B模型為1.0階段，強調輸出控制、安全測試，鴻海揭露未來的發展藍圖，在未來的1.x版本裡將增強模型的工具調用能力、蒸餾小模型，2.0版模型將向100B發展，以多模態模型為目標，以理解三大平臺的問題，並且強化學習。</p> <p>栗永徽表示，未來FoxBrain的下個版本將會用於自駕車，自駕車整合大語言模型，不僅可以自動駕駛，而且可將駕駛行為變為AI可解釋性，可解釋自駕車為什麼停下來、往前行駛或轉彎，將人的智慧應用於輔助駕駛，建立自駕系統和使用者間的信任。</p> <p>他表示，在分工、分享及合作、共榮的願景下，透過模型開源協助臺灣的產業，在AI時代下攜手向前走，未來預期在5月底之前，於Hugging Face開源，包含8B與70B模型、相關技術文件。另外，也會在Computex中與Nvidia合作，說明如何將模型整合進Nvidia的NIM微服務框架，讓使用Nvidia平臺的開發社群能夠使用FoxBrain開發應用。</p> </div></div></div>
2025/5/13 18:45作者蘇文彬https://www.ithome.com.tw/news/168922
【資安日報】5月13日，華碩修補主機板驅動程式管理工具驗證不當的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/168581">華碩針對旗下的4款工作站主機板發布韌體</a>，修補由資安業者Eclypsium揭露的滿分漏洞CVE-2024-54085而受到關注，該公司近日再對主機板用戶發布更新，主要是修補驅動程式管理工具DriverHub的資安弱點。</p> <p>耐人尋味的是，華碩強調相關漏洞僅影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置，而通報此事的研究人員MrBruh認為，無論是桌機還是筆電，只要有安裝DriverHub就可能曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168884"><strong style="font-size: 22px;">NPM套件rand-user-agent遭供應鏈攻擊，植入木馬遠端監控用戶系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot 2025-05-06 at 16_14_54.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot%202025-05-06%20at%2016_14_54.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Aikido研究人員發現開源NPM程式庫rand-user-agent被植入RAT木馬，攻擊者竊得發布權限，針對開發者常用的NPM套件進行供應鏈攻擊。由於rand-user-agent套件每周下載量達4萬5千次，推估已有部分用戶系統遭入侵。</p> <p>受影響的rand-user-agent版本包含1.0.110、2.0.83與2.0.84，均非由原開發團隊透過GitHub推送，疑似有第三方在原作者未維護套件期間竊用發布權限，將惡意版本上架至NPM。</p> <p>惡意程式碼在該套件內部以混淆工程隱藏，使用極長的字串與加密邏輯繞過靜態分析。攻擊者植入的後門程式可與遠端指令伺服器建立連線，並具備上傳本機檔案、切換工作目錄以及執行任意系統指令等能力。初始惡意程式會檢查系統中是否存在axios與socket.io-client套件，若無則自動於使用者主目錄下的隱藏路徑.node_modules，安裝所需模組以方便後續運作，並避免被開發者注意。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182159&SPOKE_DATE=20250512&COMPANY_ID=5522"><strong style="font-size: 22px;">遠雄發生系統異常的資安事故，出現郵件發送給外部無關人員的狀況</strong></a></p> <p>5月12日跨足營造與不動產領域的遠雄集團於股市公開觀測站發布重大訊息，指出該公司發生系統異常的情況，導致郵件發送給無關的外部人員。對此，該公司表示事發後已啟動相關防禦機制及復原作業因應。</p> <p>而對於這起事故可能造成的影響，遠雄表示根據初步的調查結果，未有資通訊系統、網站遭到攻擊的跡象，也沒有出現無法營運，該公司系統皆正常提供服務，因此未造成重大損害或是影響。但為何會發生系統異常的現象，遠雄並未說明，是否與網路攻擊有關？有待進一步釐清。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/fake-ai-tools-used-to-spread.html">惡意軟體Noodlophile佯裝AI工具散布，透過臉書鎖定逾6萬用戶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/seo-poisoning-campaign-hit-it-admins-with-malware/">SEO中毒攻擊鎖定Azure管理員而來，意圖左右HPC及AI工作負載</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/backdoor-by-design-malicious-npm-packages-hijack-cursor-ide-on-macos/">惡意NPM套件鎖定IDE工具Cursor用戶，在macOS平臺植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-now-testing-clickfix-attacks-against-linux-targets/">駭客試圖對Linux用戶發動ClickFix網釣攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168906"><strong style="font-size: 22px;">華碩主機板存在遠端程式碼執行漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" style="width: 300px; float: right;" /></a>5月9日華碩發布資安公告，他們為驅動程式管理工具DriverHub發布更新，修補資安漏洞CVE-2025-3462、CVE-2025-3463，呼籲用戶儘速安裝最新版軟體，也可存取DriverHub並按下立即更新（Update Now）來進行。</p> <p>這些漏洞為紐西蘭程式開發員MrBruh發現，並指出攻擊者有機會遠端利用，並於受害電腦執行任意程式碼，發生的原因在於外部發送的呼叫請求檢查不周全，以及欠缺嚴謹的安全檢查，未經授權的攻擊者可發送惡意HTTP呼叫，從而影響受害電腦的系統行為，或是與軟體功能進行互動，而對於CVE-2025-3462、CVE-2025-3463的危險程度評估，根據華碩以4.0版CVSS進行風險評分，分別得到9.4、8.4分（滿分10分）。</p> <p>值得留意的是，華碩特別強調上述漏洞只影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置。但究竟有那些主機板用戶會受到影響，以及DriverHub是否預設安裝於華碩電腦，該公司並未說明。</p> <p><a href="https://www.ithome.com.tw/news/168905"><strong style="font-size: 22px;">微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token存取特定專案</strong></a></p> <p>5月8日微軟發布資安公告，表示他們近期修補Azure DevOps、Azure Automation、Azure Storage、Power Apps的重大漏洞，其中有3項弱點特別危險，風險分數接近滿分10分而受到關注。</p> <p>其中最嚴重的漏洞是CVE-2025-29813，此為Azure DevOps權限提升漏洞，起因是Visual Studio對於管線工作（Pipeline Job）所使用的Token，出現處理不當的情況，一旦攻擊者成功利用，就可能存取特定的專案，CVSS風險達到10分。不過，利用這項弱點存在必要條件，那就是攻擊者必須事先存取專案，並置換特定的Token。</p> <p>另外兩個風險達到9.9分的漏洞CVE-2025-29827、CVE-2025-29972，分別存在於Azure Automation與Azure Storage。其中，CVE-2025-29827為權限提升漏洞，而CVE-2025-29972則是伺服器請求偽造（SSRF）漏洞，可被用於欺騙資源供應者。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-patches-major-security-flaws-in-ios-macos-platforms/">蘋果針對行動裝置、電腦、穿戴裝置、Apple TV發布更新</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168879"><strong style="font-size: 22px;">Google將自動把桌機、手機用戶密碼升級為通行密鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" style="width: 300px; float: right;" /></a></p> <p>Google積極推動無密碼登入，將利用桌機Chrome及手機版的密碼管理工具Password Manager，自動將用戶密碼升級通行密鑰（passkey）。</p> <p>上周Android Authority首先在25.19.31 beta版Google Play Services App發現，Android版Password Manager包含一個新功能，會自動將用戶密碼在用戶登入時轉成通行密鑰，而且，這項功能預設開啟。</p> <p>隨後Google宣布，Chrome加入Google密碼管理器自動建立通行密鑰的功能，並將這項功能稱為Automatic Passkey Upgrade。啟用該功能後，當用戶以密碼管理器儲存的密碼登入網站，此應用程式就會將密碼升級為通行密鑰，並傳送通知給用戶。這項功能將先透過桌機版Chrome 136釋出，Android版則即將推出。</p> <p><a href="https://www.ithome.com.tw/news/168880"><strong style="font-size: 22px;">為防止敏感資訊外流，微軟替Teams加入新功能，防止視訊畫面遭擷圖</strong></a></p> <p>本週微軟預告，他們預計在7月為Teams加入防止視訊時螢幕擷取的功能，防止敏感資訊外洩。</p> <p>微軟說明，為解決視訊會議時未經授權的螢幕擷取疑慮，新增的「防止螢幕擷取」功能可在用戶試圖擷取螢幕時，視訊視窗會變黑，防止敏感資訊外流。這項新功能將會同時提供給Teams網頁版、電腦版（Windows及Mac），以及行動裝置版（iOS、Android）用戶。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168893"><strong>【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168833"><strong>【5月8日】勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案</strong></a></p> </div></div></div>
2025/5/13 15:19作者周峻佑https://www.ithome.com.tw/news/168916
美暫停實施中國高關稅，但未放行Temu與Shein
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefings-statements/2025/05/joint-statement-on-u-s-china-economic-and-trade-meeting-in-geneva/" target="_blank">美國與中國本周一（5/12）在瑞士日內瓦達成關稅協議</a>，雙方決定暫時握手言和，訂定了互惠協議，初期都將取消對對方高達91%的反制關稅，在剩下的34%關稅中，雙方在90天內不再對彼此課徵其中24%的稅率，僅保留10%關稅。不過，美國對於中國要出口半導體及電動車到美國的關稅並未讓步，亦未放行Temu與Shein所採取的零關稅手法。</p> <p>在由美國白宮發布的共同聲明中，雙方同意認知到兩國經貿關係與全球經濟的重要性，可持續、長期及互利經貿關係的重要性，決定秉持互相開放、合作與尊重的精神前進，承諾在本周三（5/14）前修改對彼此的關稅，同時建立一個機制以繼續討論雙方的經貿關係。</p> <p><a href="https://www.mofcom.gov.cn/syxwfb/art/2025/art_9748270381e54001bc291213ec6ee778.html" target="_blank">中國商務部也對此發布了聲明</a>，指出美國自先前單邊加徵關稅之後，又在今年4月對中國加徵對等關稅，由於中國的反制，美國將對等關稅從34%提高到84%，再提高至125%，在此一期間，中國也不甘示弱地將美國部分商品的輸入關稅提高到135%。</p> <p>根據商務部的說法，在雙方進入緩衝階段的90天內，除了都將取消91%的反制關稅外，也會暫停加徵24%的對等關稅，只會保留剩下的10%關稅。</p> <p>在這90天內，中國必須履行初步對美採購承諾，美國才會決定是否延長暫停期限或完全取消對等關稅。</p> <p>另一方面，美國保護境內電商的態度不變，將維持取消「800美元以下包裹免稅」的政策。</p> <p>這幾年在美國竄起的Temu與Shein都是來自中國，以低價吸引了大量的消費者，<a href="https://www.ithome.com.tw/news/166011" target="_blank">並逐漸對美國電商龍頭Amazon帶來威脅</a>，還推出同樣標榜低價的Amazon Haul因應。</p> <p>不過，Temu與Shein利用美國「800美元以下包裹免稅」的政策漏洞來降低成本，使得業者將產品分開包裝以繞過關稅，現在美國不僅要求每個包裏不論價值都要支付200美元的固定關稅，以限制規避關稅的行為，同時保護美國本土的零售業；還要求Temu與Shein必須在今年8月以前提交供應鏈地圖，以證明沒有濫用新疆勞力，並提供由第三方稽核的勞工權益審計報告，倘若這兩家業者屆時沒有通過審核，就必須繳納高於一般稅率的25%關稅。</p> <p>除了Temu與Shein之外，美國也堅持不放行來自中國的半導體、電動車及電池，自中國進口半導體到美國的關稅仍維持在100%，若要進口電池與電動車至美國，則要繳納50%的關稅。</p> </div></div></div>
2025/5/13 16:34作者陳曉莉https://www.ithome.com.tw/news/168920
北韓駭客APT37偽冒國安論壇邀請信網釣目標，執行RoKRAT間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Genians<a href="https://www.genians.co.kr/en/blog/threat_intelligence/toybox-story">揭露</a>北韓駭客組織APT37於今年3月，針對南韓發動魚叉式網釣攻擊，寄送偽造的國安論壇邀請信，誘使受害者下載壓縮檔並執行內含的LNK捷徑檔，進而植入RoKRAT間諜程式。此次行動被命名為Operation:ToyBox Story，並持續採用Dropbox作為C2通訊管道，同時透過PowerShell進行無檔案式（Fileless）攻擊，試圖繞過傳統防毒偵測。</p> <p>攻擊信件主題包含「北韓軍人赴俄羅斯戰場」與「Trump 2.0時代下的南韓對策」等具時事關聯的議題，並偽裝成學術機構邀請。受害者只要點擊內含Dropbox連結並開啟壓縮檔中的LNK檔案，便會觸發多層惡意PowerShell指令，載入RoKRAT模組並於記憶體中執行，過程中完全不落地，有效躲避靜態掃描。</p> <p>RoKRAT為APT37慣用的遠端存取工具，具備系統資訊蒐集、螢幕截圖、USB裝置監控與遠端命令執行等功能。收集到的資料經加密後會透過Dropbox、pCloud與Yandex等合法雲端平臺傳回C2伺服器。研究人員指出，這類攻擊屬於LOTS（Living off Trusted Sites）策略，利用可信服務掩護惡意行為，增加偵測難度。</p> <p>分析顯示，RoKRAT使用的加密與載入邏輯，與過往APT37攻擊中出現的樣本高度相似，顯示該組織持續重用模組，並以動態載入方式進行微調來繞過偵測，部分惡意檔案還會附帶誘導性文件或圖片，提高釣魚成功率。</p> <p>研究人員指出，針對這類無檔案式攻擊，單靠特徵碼防護效果有限，應搭配具行為分析與記憶體監控能力的EDR工具，更能即時攔截如PowerShell與LNK相關的可疑活動。</p> <p>APT37過去多次被揭露使用類似技術與手法，持續針對南韓及國際政經目標發動攻擊。本次事件再次顯示其行動未曾中斷，並持續演化。面對這類具延續性與隱匿性的威脅，企業與公部門必須提升使用者警覺，強化郵件過濾與異常行為偵測機制，建立多層次的資安防禦架構，以提升整體對釣魚攻擊的防範能力。</p> </div></div></div>
2025/5/13 15:50作者李建興https://www.ithome.com.tw/news/168917
微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token存取特定專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月8日微軟發布資安公告，表示他們近期修補Azure DevOps、Azure Automation、Azure Storage、Power Apps的重大漏洞，其中有3項弱點特別危險，風險分數接近滿分10分而受到關注。</p> <p>其中最嚴重的漏洞是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29813">CVE-2025-29813</a>，此為Azure DevOps權限提升漏洞，起因是Visual Studio對於管線工作（Pipeline Job）所使用的Token，出現處理不當的情況，一旦攻擊者成功利用，就可能存取特定的專案，CVSS風險達到10分。不過，利用這項弱點存在必要條件，那就是攻擊者必須事先存取專案，並置換特定的Token。</p> <p>另外兩個風險達到9.9分的漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29827">CVE-2025-29827</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29972">CVE-2025-29972</a>，分別存在於Azure Automation與Azure Storage。其中，CVE-2025-29827為權限提升漏洞，而CVE-2025-29972則是伺服器請求偽造（SSRF）漏洞，可被用於欺騙資源供應者。</p> <p>至於存在於Power Apps的資訊洩露漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47733">CVE-2025-47733</a>，也涉及伺服器請求偽造，CVSS風險評為9.1。</p> </div></div></div>
2025/5/13 11:50作者周峻佑https://www.ithome.com.tw/news/168905
微軟將提供Windows 10上的M365 App安全更新到2028年但不包含Office
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10將在今年10月支援到期，<a href="https://learn.microsoft.com/en-us/microsoft-365-apps/end-of-support/windows-10-support" target="_blank">但微軟上周公布</a>，將對Windows 10上的Microsoft 365 （M365）延長支援到2028年。但非訂閱版的Office則無此福利。</p> <p>M365由現代生命周期政策（Modern Lifecycle Policy）治理，該政策要求之一是M365 Apps，如Word、Excel、PowerPoint必須執行在獲支援的Windows作業系統上。</p> <p>在今年10月14日Windows 10技術及安全支援將到期，使用戶曝險在網路攻擊中。微軟說，為了在用戶過渡到Windows 11期間確保安全性，微軟將針對Windows 10版本的M365 App延長三年安全更新，到2028年10月10日止。安全更新將經由現有管道，發布給用戶電腦，不論用戶有沒有買Windows 10延伸安全更新（Extended Security Update）</p> <p>這項服務適用Project及Visio桌機應用程式的訂閱戶。</p> <p>不過，其他非Windows 10上M365產品，如Office LTSC 2021/2024、Office 2019及Office 2016、以及Windows Server 2019/2022/2025上的Office 2016，將會在今年10月24日終止安全更新。此外，Windows 11版Office 2016也會在今年10月終止支援，微軟僅提供問題排除支援。</p> <p>但是本項服務也有限制。如果使用問題僅發生在Windows 10版M365 Apps而未發生在Windows 11版本，微軟會要求用戶升級到Windows 11。若用戶無法升級到Windows 11，微軟只會提供問題排除協助，暫時技術解決方法可能有限，或根本沒有。而用戶也無法通報問題，或要求其他產品更新。</p> <p>有鑒於還有許多電腦停留在Windows 10，微軟也不敢貿然終止所有支援。去年<a href="https://www.ithome.com.tw/news/165795" target="_blank">微軟針對企業及個人Windows PC用戶公布</a>為期三年的Windows 10延伸安全更新。適用個人PC的ESU只有1年支援的選項，費用為30美元。想要購買的用戶要等到2025年接近支援終止日時才能登記購買。</p> <p><a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調機構StatCounter的估計</a>，目前Win10市占雖逐漸下滑，但仍有52.94%。Win11則為43.72%。</p> </div></div></div>
2025/5/13 13:24作者林妍溱https://www.ithome.com.tw/news/168907
C# 14推出擴充成員語法，強化屬性與方法擴充能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在最新C# 14預覽版本<a href="https://devblogs.microsoft.com/dotnet/csharp-exploring-extension-members/">引入擴充成員（Extension Members）語法</a>，進一步擴充原有擴充方法（Extension Methods）的設計，讓開發者能以類似擴充方法的方式，替現有型別加入屬性與靜態成員。微軟表示，這項新語法保留現有寫法的相容性，同時也為日後支援更多成員型態鋪路。</p> <p>擴充方法從C# 3起便是開發者熟悉的語言特性，可在不修改原始型別就為其添加方法，常見於LINQ等應用情境。C# 14進一步擴充原有的機制，讓開發者除了定義擴充方法，還可以加上像是IsEmpty這樣的擴充屬性，甚至支援靜態方法與靜態屬性，並透過新的extension(...)語法指定要擴充的型別。</p> <p>這讓過去不容易透過擴充方法實現的功能，例如無參數的屬性存取，變得更容易實作，也有助於整理擴充邏輯，減少重複程式碼並提升維護效率。在語法設計上，新的擴充區塊語法與既有的this參數寫法可以並存。對開發者來說，無論使用哪種語法定義擴充方法，呼叫方式都一致，不需要重新學習。</p> <p>微軟也說明，這項語法更新在泛型處理、靜態成員支援，以及消歧義（Disambiguation）方面，都有相應的規範與限制。其中一項限制是，如果擴充方法的泛型參數順序較特殊，或存在相依關係，可能無法轉為新的語法形式，仍需保留原有寫法。不過，這類情況在實務上相對少見，大多數開發情境仍可順利使用新語法。</p> <p>儘管擴充成員語法引入了額外的區塊與縮排層次，微軟強調這是在多次設計權衡下做出的選擇，目的是提升程式碼的可讀性與結構清晰度，同時也為未來支援更多擴充成員類型做好準備。目前語法已支援方法與屬性，後續版本預期將持續擴充可支援的成員類別。</p> </div></div></div>
2025/5/13 13:35作者李建興https://www.ithome.com.tw/news/168904
Mitel網路電話存在重大漏洞，恐被用於命令注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供企業通訊解決方案的加拿大業者Mitel Networks，<a href="https://www.mitel.com/support/mitel-product-security-advisory-misa-2025-0004" target="_blank">上周修補了位於該公司多款SIP電話的兩個安全漏洞</a>，包括CVE-2025-47187與CVE-2025-47188。其中的CVE-2025-47188屬於命令注入漏洞，成功的攻擊將允許未經身分驗證的使用者執行任意命令，其CVSS風險評分高達9.8。</p> <p>SIP（Session Initiation Protocol，會話起始協定）為一用來建立網路電話與視訊會議的標準通訊規則，Mitel則開發許多SIP電話供企業使用，涉及上述兩個漏洞的裝置涵蓋6800系列、6900系列與6900w系列的電話機，以及6970會議裝置。</p> <p>根據Mitel的說明，CVE-2025-47188漏洞源自於裝置在處理像是網路請求或協定資料等參數時，沒有充分過濾惡意指令，而讓駭客得以藉由特製的輸入封包來注入系統命令，而且完全不需要經過身分驗證。</p> <p>成功攻陷CVE-2025-47188將允許駭客執行任何命令，諸如刪除檔案或植入後門；也可竊取包括通話紀錄、裝置配置或用戶憑證等敏感資料；或是造成服務阻斷，癱瘓裝置功能，因而被列為重大（Critical）風險。</p> <p>至於CVE-2025-47187則是因身份驗證機制有缺陷，而讓未經授權的使用者上傳文件。該漏洞允許駭客不必登錄也不必驗證權限，就能直接上傳文件。例如當用來上傳大量的WAV音頻文件時，即可能耗盡裝置的儲存空間，但它並不會影響電話的可用性或操作，被列為中度（Medium）風險等級。</p> <p>不論如何，要成功利用這兩個安全漏洞的前提是駭客必須能夠存取目標電話的網路，然而，依照Mitel的工程部署指南，這些SIP電話都應該被部署在受到保護的內部網路中。</p> <p>Mitel建議企業應儘速更新至最新版本的韌體，亦提供緩解措施予無法即時更新的用戶。</p> </div></div></div>
2025/5/13 13:43作者陳曉莉https://www.ithome.com.tw/news/168908
華碩主機板存在遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華碩於周末針對DriverHub釋出安全更新，解決主機板驅動程式管理軟體DriverHub二個漏洞。</p> <p>編號CVE-2025-3462及CVE-2025-3463的漏洞。<a href="https://mrbruh.com/asusdriverhub/" target="_blank">兩項漏洞是由代號Bruh的安全研究人員發現並通報</a>，可讓攻擊者遠端濫用執行程式碼。</p> <p>DriverHub為華碩驅動程式管理工具，它在主機板上以背景程式執行，連接華碩網站（在此為driverhub.asus.com）以持續安裝驅動程式更新。DriverHub使用RPC，外部網站可以藉此發送API呼叫，和本地端服務互動。但是往往使用者並未意會到該程式的執行。</p> <p>CVE-2025-3462指涉DriverHub欠缺嚴謹安全檢查，讓未授權攻擊者發送惡意HTTP呼叫和本地端軟體功能互動。CVE-2025-3463則是DriverHub對外部發送的呼叫請求檢查不周全，而透過惡意HTTP呼叫影響系統。<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-3462" target="_blank">CVE-2025-3462</a>及<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-3463" target="_blank">CVE-2025-3463</a>風險值分別為CVSS 8.4及9.4。</p> <p>研究人員說明，DriverHub只檢查呼叫請求的origin header是否包含driverhub.asus.com而不是精確比對。寬鬆的檢查讓攻擊者可以透過子網域名或類似名稱（如driverhub.asus.com.mrbruh.com）繞過驗證，發送惡意RPC請求。</p> <p>在其PoC測試中，研究人員從driverhub.asus.com.mrbruh.com網址上傳合法簽發的AsusSetup.exe安裝程式，外加惡意執行檔及.ini檔。等用戶訪問該網站時，網站會向DriverHub的本地服務發送UpdateApp請求。此時即可透過二個漏洞冒充華碩網站，進而將惡意程式下載到用戶電腦設備上。而後，具備管理員權限AsusSetup.exe執行安裝惡意程式。</p> <p>華碩除了發布更新軟體修補兩項漏洞，也說明漏洞只影響主機板，並不影響筆電、桌機和其他端點裝置。要接受更新軟體，開啟華碩DriverHub點擊Update Now即可。</p> </div></div></div>
2025/5/13 12:12作者林妍溱https://www.ithome.com.tw/news/168906
Node.js強化非同步追蹤機制，上下文管理更穩定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Node.js<a href="https://nodejs.org/en/blog/release/v24.0.0#semver-major-commits">釋出</a>24主要版本，正式將非同步上下文追蹤機制，改為預設採用AsyncContextFrame實作，取代過往AsyncLocalStorage較低效率的架構。這項調整雖非外部API上的破壞性改動，卻對底層行為與效能有實際影響，特別是在需要精確追蹤請求流程與狀態傳遞的應用情境，能大幅提升穩定性與追蹤準確性。</p> <p>對開發者而言，這項變更代表無需修改現有程式碼，就能獲得更穩定的非同步上下文管理。在高度非同步的Node.js應用，過去常見上下文遺失或資料串接錯誤等問題，即使使用AsyncLocalStorage實作請求範圍內的狀態共享，也可能因底層實作複雜，出現難以預期的行為。Node.js 24將AsyncContextFrame作為新的預設機制，是官方針對非同步流程進行的底層重構，有助於提升工具與框架在狀態傳遞的一致性與可靠性。</p> <p>此版本也包含多項平臺層級升級與調整，包括升級V8 JavaScript引擎至13.6版，支援如Float16Array、RegExp.escape與Error.isError等新語法，並同步將NPM升級至11版，強化依賴管理效能與安全性。開發者熟悉的URLPattern也首度進入全域命名空間，無需額外匯入即可使用。</p> <p>Node.js 24預計於2025年10月進入LTS。官方提醒企業開發團隊可提前測試此版本，特別是與非同步處理、上下文追蹤、測試環境或權限控管有關的邏輯，評估對現有應用可能產生的影響。需要注意的是，此版本也正式移除MSVC支援，之後在Windows上建置Node.js需改用ClangCL，對部分仍使用舊型開發環境的團隊來說，是一項潛在變動成本。</p> <p>整體而言，Node.js 24未引入大量破壞性更動，而是針對底層行為進行調整與最佳化，把重點放在提升語言現代化支援與非同步流程的穩定性。</p> </div></div></div>
2025/5/13 08:10作者李建興https://www.ithome.com.tw/news/168896
【資安日報】5月12日，中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩週危險程度達到滿分的資安漏洞不斷傳出，例如：<a href="https://www.ithome.com.tw/news/168623">Commvault備份管理平臺漏洞CVE-2025-3402</a>、<a href="https://www.ithome.com.tw/news/168751">PHP程式庫ADOdb漏洞CVE-2025-46337</a>、<a href="https://www.ithome.com.tw/news/168873">思科IOS XE無線區域網路控制器漏洞CVE-2025-20188</a>，值得留意的是，SAP在4月24日修補的NetWeaver資安漏洞CVE-2025-31324，於4月底<a href="https://www.ithome.com.tw/news/168653">傳出超過1千臺伺服器受害</a>，後續有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，他們看到中國駭客組織Chaya_004試圖發起攻擊行動，目的是散布名為SuperShell的後門程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168892"><strong style="font-size: 22px;">中國駭客鎖定SAP NetWeaver滿分漏洞，企圖部署後門SuperShell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog_SAP-Graph-Scans-on-AEE.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog_SAP-Graph-Scans-on-AEE.png" style="width: 300px; float: right;" /></a></p> <p>4月24日SAP緊急修補應用程式伺服器NetWeaver資安漏洞CVE-2025-31324，此漏洞CVSS風險高達10分，且已經被用於實際攻擊，通報此事的資安業者ReliaQuest指出，駭客將其用於在受害伺服器植入Web Shell，但還無法確認攻擊者的身分，現在有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，他們從4月29日開始，看到該漏洞遭到積極利用，當時駭客組織Chaya_004試圖掃描存在漏洞的NetWeaver伺服器，透過13個IP位址從事攻擊，此攻擊行動主要鎖定製造業環境，目的是部署後門程式SuperShell，而這些IP位址來自法國、德國、美國、波蘭的主機代管業者。</p> <p>研究人員指出，CVE-2025-31324存在於NetWeaver的Visual Composer元件，一旦攻擊者成功觸發，就能上傳惡意的Web Shell，從而達到遠端執行任意程式碼（RCE）的目的，攻擊者甚至有機會完全控制尚未修補的NetWeaver，因此他們呼籲IT人員，應儘速修補漏洞。</p> <p><a href="https://www.ithome.com.tw/news/168886"><strong style="font-size: 22px;">勒索軟體LockBit傳出遭駭，內部資料外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GqX-Ow4WIAAZhLo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GqX-Ow4WIAAZhLo.jpg" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的勒索軟體LockBit上周疑似遭駭，網站資產、密碼及程式碼公開於網路上，研究人員也發現了LockBit下手的攻擊目標及策略。</p> <p>根據資安新聞網站Bleeping Computer報導，名為Rey的人士發現，LockBit的聯盟網站首先被置換成文字訊息：「Donpt Do Crime. Crime is Bad. Xoxo from Prage」，並且貼上了連向下載外洩SQL資料庫壓縮檔的連結。</p> <p>Bleeping Computer及Qualys安全研究人員進一步分析壓縮檔內容，這份壓縮檔疑為LockBit的內部資產，其中包含近6萬個比特幣網址、由合作夥伴建立的攻擊程式build、儲存build的基礎架構配置、勒索軟體駭客和受害者從去年12月到4月底的協調對話記錄4000多筆。此外還有可存取合作網路資源的75名管理員密碼，有的還是明文儲存。</p> <p><a href="https://www.ithome.com.tw/news/168860"><strong style="font-size: 22px;">教育內容出版商Pearson遭網攻外洩客戶資料、程式原始碼</strong></a></p> <p>出版托福、雅思、GMAT等教材出版商Pearson近日遭駭，疑似被駭客竊走公司程式原始碼、財務、客戶資料。</p> <p>Pearson公告系統遭駭，未授權人士存取公司部分系統。該公司說已採取行動遏止惡意活動，並調查哪些資料受影響。這家教育出版商相信，被存取的多半是舊有資料，認為此事件對公司業務運作沒有影響。</p> <p>雖然Pearson輕描淡寫，不過資安媒體Bleeping Computer報導災情可能不小，他們取得消息人士的說法，指出事故出於今年1月Pearson開發環境的GitLab Personal Access Token（PAT）在公開的.Git/Config檔案外流。earson外洩的PAT資訊允許攻擊者存取原始碼，當中包含了寫死的憑證和雲端驗證令牌。而後幾個月攻擊者又利用這些資訊，從Pearson內部網路系統與AWS、Google Cloud、或Snowflake、Salesforce雲端系統竊取了數TB的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/google-uncovers-lostkeys-malware-used-by-russian-coldriver-for-cyber-espionage/">俄羅斯駭客ColdRiver從事ClickFix網釣，意圖散布惡意軟體Lostkeys</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/oriental-gudgeon-sophisticated-phishing-campaign-targets-japanese-companies/">逾40個日本金融服務遭網釣套件鎖定，中國駭客發起Oriental Gudgeon攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/sophisticated-iis-malware-targets-south-korean-web-servers/">IIS惡意軟體攻擊韓國網頁伺服器，疑中國駭客所為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168873"><strong style="font-size: 22px;">思科修補JWT寫死的令牌漏洞，防止IOS XE控制器被遠端操控</strong></a></p> <p>思科（Cisco）發布安全公告，指出其IOS XE無線區域網路控制器（WLC）軟體存在評為風險等級滿分（10分）的重大漏洞CVE-2025-20188，該漏洞源自系統內部寫死的JSON Web Token（JWT），允許未經驗證的遠端攻擊者，上傳任意檔案並執行指令，當受影響裝置啟用特定功能，便可能成為被入侵的高風險目標。思科目前已釋出新版本修補此問題，建議用戶儘速更新。</p> <p>CVE-2025-20188漏洞存在於Catalyst 9800系列的控制器平臺，包括部署於雲端、交換器內嵌控制器版本，以及部分無線基地臺的內建控制器，當用戶啟用Out-of-Band AP Image Download功能，攻擊者便有機會利用該漏洞發動攻擊。</p> <p>由於漏洞發生在遠端設備管理功能上，且可繞過使用者驗證機制，風險影響範圍不僅涵蓋資料完整性，也涉及控制權奪取與服務中斷等問題，因此該漏洞被列為CVSS 3.1等級10.0的最高風險。對於多數企業而言，WLC作為無線網路中樞，若遭入侵將可能成為橫向移動的跳板，進一步擴大網路攻擊面。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-patches-four-critical-azure-and-power-apps-vulnerabilities-including-cvss-10-privilege-escalation/">微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/radware-cloud-waf-vulnerable-to-filter-bypass-via-crafted-requests/">Radware雲端WAF存在弱點，攻擊者可利用特製請求繞過過濾機制</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168858"><strong style="font-size: 22px;">為避免用戶遭到詐騙，Google在Chrome及搜尋中導入AI</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Frame_2134280780_1_width-1000_fo.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Frame_2134280780_1_width-1000_fo.png" style="width: 300px; float: right;" /></a></p> <p>AI不僅用來改善應用程式性能，也被用來改善安全，Google揭露如何利用AI來預防搜尋引擎、電腦版與Android版Chrome的詐騙行為。</p> <p>Google於發表的「打擊搜尋詐騙」（Fighting Scams on Search）報告中說明，其分類器原本是利用機器學習演算法來辨識詐欺行為的模式、異常狀況及語言線索，然而，詐騙者不斷改進與變更，因此防禦者必須能夠了解新威脅並主動制定對策。</p> <p>最近3年，Google不斷更新基於AI的反詐騙系統，AI與大型語言模型讓他們能夠分析大量文本，識別那些可能與協調詐騙或新興詐欺說法有關的微妙語言及主題連結，例如新系統得以辨識詐騙網站的互連網路，可以辨識各種不同語言的詐騙，在整合各種先進的AI模型之後，Google的詐騙偵測能力大增，可在詐騙網頁出現在搜尋結果之前，攔截20倍以上的詐騙頁面。</p> <p><a href="https://www.ithome.com.tw/news/168758"><strong style="font-size: 22px;">微軟逐步終止Authenticator儲存密碼功能，將以Edge內建功能為主</strong></a></p> <p>微軟宣布將從7月起，逐步取消Authenticator管理和Autofill密碼或通行密鑰（Passkey）的功能，最終把這些管理功能轉到Edge瀏覽器。不過，用戶還是可以採用其他廠牌的解決方案，例如：Google Password Manager或iCloud Keychain。</p> <p>從2025年6月起，用戶就無法再於Authenticator儲存新增密碼。7月間，Authenticator的密碼autofill無法使用。從8月起，Authenticator也無法存取（及autofill）已儲存的密碼。</p> <p>微軟提醒用戶應儘速行動，因為7月之後，Authenticator儲存的支付資訊就會從裝置刪除。8月之後，不但所有儲存的密碼無法從Authenticator取用，生成的密碼若未儲存也將會刪除。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168833"><strong>【5月8日】勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168800"><strong>【5月7日】勒索軟體駭客自帶安裝程式，繞過EDR防護機制加密檔案</strong></a></p> </div></div></div>
2025/5/12 17:42作者周峻佑https://www.ithome.com.tw/news/168893
353億美元併購案IT架構整合挑戰大，100%上雲美國金融巨頭重回混合雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月，美國聯邦儲備委員會和貨幣監理署核准美國金融巨頭Capital One收購美國信用卡發行商Discover，這是一項價值高達353億美元的金融機構併購案。目前，Capital One在全美擁有1億多名客戶，為美國第三大發卡銀行。Discover在美國流通的卡片數則超過7000萬，為美國第四大信用卡發行商。併購交易完成後，Capital One也將會成為美國最大的信用卡發卡商。</p> <p>近期，Capital One執行長Richard Fairbank在財報電話會議上表示，針對IT技術整合議題，他們已經制訂了將Discover信用卡業務轉移到Capital One的技術架構路線圖。他提到，Capital One歷經過12年的技術轉型，技術架構已十分成熟，非常適合進行公司併購，「尤其是對信用卡公司而言。」他說。</p> <p>其實，早在2012年，Capital One就啟動數位轉型，要成為一家發展金融業務的科技公司。陸續推動IT現代化、微服務架構、敏捷開發，和開源優先策略等計畫，他們在2016年啟動上雲之旅，並在2020年關掉關掉最後一個本地端資料中心，成為美國第一間100%上雲的金融業者。</p> <p>不過，Richard Fairbank也在在財報電話會議上提到，Discover還有部分業務運作在資料中心和大型主機上。這也意味著，這間經過五年純雲管理模式的金融公司，因為併購案，要開始回頭接觸地端技術。</p> <p>Richard Fairbank表示，他們已規畫對Discover建立支付網路的現代畫改造計畫，但是否將這項業務放入雲端，他們仍需要一段時間衡量，「它不會是一項快速的轉變。」他說。</p> <p></p> </div></div></div>
2025/5/12 18:34作者李昀璇https://www.ithome.com.tw/news/168900
【臺灣資安大會直擊】老牌營建傳產欣陸投控分享內部強化資安治理作法，並符合上市櫃公司資安法遵規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市櫃傳統產業如何跟上現今資安威脅趨勢強化內部的資安治理？在今年臺灣資安大會上，旗下擁有大陸工程的欣陸投控資訊部副總經理費而隱分享他們的作法。</p> <p>欣陸投控旗下擁有大陸工程、大陸建設、欣達環工公司，涵蓋土木及營建工程、不動產開發、環境工程及水資源處理，擁有近2,000名員工，為國內上市公司。費而隱過去曾在台積電、鴻海、IBM等企業任職，在半導體、科技業、醫藥物流擁有豐富的資訊治理經驗，並於2022年加入欣陸投控。</p> <p>企業推動數位轉型發展過程中，數位科技應用目的是提升營運效率，也是大多數公司數位轉型發展的利器，從半導體、科技、醫藥物流到傳統產業推動資訊化的經驗，他將數位科技比喻為西遊記手持金箍棒的孫悟空，一路降伏各路妖怪保護唐僧西天取經安全，但是數位科技應用也需要妥善管理，才能讓孫悟空不會暴走影響取經，資安治理就如同緊箍咒，避免孫悟空暴走失控，扮演好護道者角色，</p> <p>「金箍棒和緊箍咒，如傳統產業運用數位科技提高業務效率，又要兼顧資訊安全及風險管理」，費而隱說。</p> <p>費而隱表示，欣陸投控的數位優化整體策略是，提升營運效率、強化風險控管、建構數位韌性。圍繞在該核心策略下，子公司業務加速運用數位科技，例如大陸工程導入BIM、無人機量測，以及儀表板視覺化的工地管理，大陸建設則運用數據分析，進行市場分析及產品優化，欣達環工以水資源處理為主，運用SCADA、遠端監控，涵蓋IT及OT管理、ESG相關議題。三個子公司之外，全集團也強化數位工作場所，運用數位化工具，例如以雲端優先、行動化提升員工生產力及數位力。</p> <p>欣陸投控另一項全集團推動的重點則是資訊安全，推動ISO認證、SOC建置，加強權限管理，還有建構資安文化，還有對上市公司而言，相當重要的法遵機制。</p> <p>「資安在公司內部也成為經常被討論的管理議題，甚至是策略議題」，費而隱說。</p> <p><span style="color:#B22222;"><strong>傳統產業的資安治理困境</strong></span></p> <p>從重視資訊化發展、嚴密資料安全的半導體、科技業投身到傳統產業，他分享對傳統產業推動資安治理的觀察。</p> <p>首先是，被動防守，缺乏戰略視角，資安經常被認為是資訊部門的工作，例如安裝防毒軟體、防火牆就認為作好資安，另外，也缺乏管理階層的預算及支持，管理高層對於資安的意識也比較薄弱。</p> <p>費而隱回想剛進入公司時，曾與老闆討論到資安議題，當時高層反問他，對營建業而言，資安風險很大嗎？公司內存在什麼機密資訊嗎？這讓他感到意外，也印象深刻，因為公司內的資料都屬於營業祕密，都有被妥善保護的必要，另方面客戶的個資保護也很重要，都是資安防護重要的一環。「必需透過不斷與老闆對話，向老闆洗腦資安的重要性」，他說。</p> <p>其次是，內部資訊系統發展較早，這些系統使用到現在已相當老舊，去年欣陸淘汰使用超過20年的舊系統，該系統使用Powerbuilder開發，為Client-Server架構，由於維護管理困難，加上漏洞難以修補，不得不打掉重練，委外重新以.NET開發新系統，但因應使用者的要求，外觀仍保留與舊系統的相似。</p> <p>另外，傳統產業也面臨人才招募困難，難以吸引年輕的人才，並且，不少員工對資安的認知仍停留在防毒軟體，對於社交工程等內部的風險警覺性不足。</p> <p>加上欣陸為上市公司，受到個資法、資安法、上市櫃公司相關法規的規範，特別是近幾年對資安的重視，但業者知道該做，卻不知道如何著手，另方面，外部的威脅如勒索軟體攻擊頻傳，供應鏈風險增加。</p> <p><strong><span style="color:#B22222;">資安不只是導入技術，更重要在於建立治理規範</span></strong></p> <p>費而隱表示，以往企業的資安策略習慣從技術思維切入，當時他加入欣陸，發現公司內部署防毒軟體、防火牆、IPS、XDR，甚至是購買暗網的情資，看似不吝鉅資投資資安，但是缺少資安治理的思維，當時進入防毒軟體管理後臺，發現不少亮紅燈的警示，雖然導入許多數位工具，但是缺少營運面持續維運管理。「當我們導入許多數位工具，如同金箍棒可大可小變化多端，但如果沒有好好的控制就可能會失控，必需考量風險，用資安緊箍咒作好平衡」，他說。</p> <p>他分享資安治理的六個心法，第一個心法是先建立紀律，如同唐僧為孫悟空戴上緊箍咒，建立資安政策及ISO27001框架，建立企業基本的紀律規範；第二是建立界線，如同緊箍咒為孫悟空畫分清楚什麼能做，什麼不能做，建立界線包括權限管理、網路區隔、系統隔離；第三是提醒，如同唐僧時常唸咒提醒孫悟空，資安也需要教育演練、社交工程演練，建立員工的資安意識。（下圖來源：費而隱）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962-600(1).jpg" style="width: 600px; height: 329px;" /></p> <p>第四個心法是懲戒，唐僧一發現孫悟空做錯事，就立即唸緊箍咒。企業建立事件通報、快速應變措施，快速止損；第五個是監控，如同唐僧監督孫悟空一言一行，企業部署SOC資安維運中心，監控異常發生的情形，防範於未然；第六個心法是要讓資安治理成為隱形存在，如同西遊記的後期孫悟空不再被唸咒，因為孫悟空學會自律，不再隨意殺生，換言之，讓資安從外部的規範內化為企業文化，雖然看不見，但是已成為企業組織文化的一部分。</p> <p><span style="color:#B22222;"><strong>從管理面、技術面、文化面加強資安治理</strong></span></p> <p>對於企業如何加強資安治理？費而隱建議企業可參考數發部委託CISA制定的「資通安全管理法」指採購指引懶人包，當中將資安治理分為三大構面，技術面（例如弱掃、端點防護、滲透測試等等）、管理面（建立制度、稽核、治理評估等等）、認知與訓練面（員工教育訓練，培養組織文化）。依照政府機關重要性分級，分為A、B、C、D、E等級，其中A級機關規定最嚴格的資安防護等級。</p> <p>儘管企業建立資安治理的紀律，但在落實上需要持續執行，費而隱直言，依照國際資安治理標準的規定，需要定期稽核企業的落實情形，但企業在資安治理缺乏持續落實，例如企業因為內部資源的調度，將原本應該執行弱掃的經費移作他用，或是只對新進、資深員工作最初資安教育訓練，之後沒有執行定期訓練，這些都反映建立管理面、認知與訓練面沒有妥善執行。</p> <p>為加強資安治理，費而隱向欣陸集團的高層建議導入ISO27001資安管理機制，他表示，欣陸集團過去3年導入ISO27001認證，這並不代為欣陸的資安做的很厲害，但是代表至少有60分，因為建立基本的治理框架，每年針對PDCA持續改善，並且建立內外稽核制度。</p> <p>欣陸集團採集團驗證模型，分三年依序導入ISO27001於各成員子公司，先在大陸建設、欣達環工導入，再在大陸工程導入，在顧問的輔導下，由SGS外部稽核，並採用PDCA持續改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600(1).jpg" style="width: 600px; height: 329px;" /></p> <p>最近幾年，證交所、金管會先後發布上市櫃公司重大訊息、年報、資通安全管控指引，要求發生資安事件應發重大訊息，下修資安事件發布重大訊息通知的門檻，還有資通安全內部管控措施，國發會也修正個資法。2024年5月金管會督導證交所、櫃買中心推動八大資安措施，例如重大資安事件揭露標準；擴大上市櫃公司首季抽查資安內控制度查核，從上市櫃公司的0.5%提高到1%；推動加入資安聯防中心等等。</p> <p>面對金管會以三大面向，資訊揭露、公司治理、監理協助，要求上市櫃公司加強資通安全防護，欣陸集團為遵循要求，在內部建立檢查表，費而隱表示，欣陸在管理面已符合主管機關的要求。</p> <p>例如在年報中揭露公司的資訊安全風險管理架構、資通安全政策、資通管理方案等等；公司網站揭露資通安全政策與作法；內控制度納入資通安全檢查暨法令規章遵循事項稽核；公司治理評鑑納入資安指標；定期向董事會報告資安執行狀況；通過ISO27001:2022認證；設立資安專責主管及一名資安專責人員；持續落實與遵循「上市上櫃公司資通安全管控指引」；加入TWCERT/CC資安聯防體系等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%963-600(1).jpg" style="width: 600px; height: 342px;" /></p> <p>至於技術面部分，費而隱則提到從裝置點、系統端、網路端、資料端、監控端，從各端點建立縱深防禦機制。</p> <p>在認知與訓練面，為提升員工的資安認知及意識，規定每位員工每年接受資安教育訓練2小時資安課程；其次是每年至少1次社交工程演練，如果違反第一次社交工程演練，後續再執行第二次社交工程演練；最後是資安事件演練，例如藍隊或紅隊演練，提高員工的資安意識及應變能力。</p> <p>作到上述措施還不夠，費而隱揭露欣陸的下一步是，持續深化資安治理、強化韌性。例如在系統安全的組態管理上，目前仍以人工管理為主，未來目標為導入CMDB的自動化管理；而在雲端方面，針對雲端服務加強管理及雲原生CNAPP保護，其他的資安措施還包括供應鏈及第三方風險管理、身分安全及特權管理、零信任安全架構、強化資安事件的韌性、軟體開發導入DevSecOps等。</p> <p>費而隱表示，數位轉型是企業破局的利器，但如果沒有資安治理，創新反而可能成為風險放大器，如同使用金箍棒推動創新，需要緊箍咒守護信任，對資安主管來說，創新及資安如同天秤的兩端需要平衡；企業導入ISO只是起點，治理才是關鍵，後續還需要持續PDCA改善，例如系統安全組態、零信任架構、雲端風險管理等等。更重要的是，資安不只是技術議題，如同緊箍咒內化悟空的自律，資安也應內化為企業文化，「資安不只是IT部門的責任，而是全體員工共同的責任，也是企業永續經營重要的一環」，他說。</p> </div></div></div>
2025/5/12 17:26作者蘇文彬https://www.ithome.com.tw/news/168891
中國駭客鎖定SAP NetWeaver滿分漏洞，企圖部署後門SuperShell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月24日<a href="https://www.ithome.com.tw/news/168625">SAP緊急修補應用程式伺服器NetWeaver資安漏洞CVE-2025-31324</a>，此漏洞CVSS風險高達10分，且已經被用於實際攻擊，通報此事的資安業者ReliaQuest指出，駭客將其用於在受害伺服器植入Web Shell，但還無法確認攻擊者的身分，現在有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，<a href="https://www.forescout.com/blog/threat-analysis-sap-vulnerability-exploited-in-the-wild-by-chinese-threat-actor/">他們從4月29日開始</a>，看到該漏洞遭到積極利用，當時駭客組織Chaya_004試圖掃描存在漏洞的NetWeaver伺服器，透過13個IP位址從事攻擊，此攻擊行動主要鎖定製造業環境，目的是部署後門程式SuperShell，而這些IP位址來自法國、德國、美國、波蘭的主機代管業者。</p> <p>而在調查與後門程式SuperShell位於同一IP位址的線索時，發現多個開放的連接埠，其中3232埠使用一張冒用Cloudflare名義的自簽憑證，接著他們再從罕見憑證CN值發現最多相關IP位址皆位於中國，包含：ALIBABA-CN-NET、TENCENT-NET-AP、HWCSNET、CHINA169-BACKBONE。</p> <p>附帶一提的是，對於駭客嘗試找到存在漏洞的伺服器方法，主要可依據他們掃描的元件來區分。其中，在4月29日至30日之間，他們運用3種方法來尋找可下手的目標，分別是掃描/irj/cache.jsp、/irj/helper.jsp，以及/developmentserver/metadatauploader，但從5月1日開始，這些駭客只使用最後一種手法來進行。</p> <p>研究人員指出，CVE-2025-31324存在於NetWeaver的Visual Composer元件，一旦攻擊者成功觸發，就能上傳惡意的Web Shell，從而達到遠端執行任意程式碼（RCE）的目的，攻擊者甚至有機會完全控制尚未修補的NetWeaver，因此他們呼籲IT人員，應儘速修補漏洞。</p> <p>值得留意的是，有其他研究人員公布他們的調查結果。其中，資安業者Onapsis揭露<a href="https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/">在這段期間觀察到的相關攻擊行動</a>，他們指出，駭客疑似使用前一組人馬留下的Web Shell，從事後續的攻擊行動。而對於漏洞遭到利用的過程，Onapsis表示他們從1月20日至2月10日就看到偵察活動，隨後就有嘗試利用漏洞的跡象，到了3月，有駭客成功部署了Web Shell，而這些駭客的攻擊（即第一波）約在4月30日趨緩。</p> <p>但攻擊行動並未就此結束，Onapsis表示，他們在5月5日與其他資安業者發現，後續有人利用前一波攻擊行動留下來的Web Shell，從事第二波攻擊，且有新的Web Shell出現，研究人員根據找到的有效酬載推測，駭客可能會改以寄生攻擊（LoL）維持存取受害主機的管道，並棄用Web Shell來隱匿行蹤。</p> </div></div></div>
2025/5/12 17:36作者周峻佑https://www.ithome.com.tw/news/168892
Fintech周報第265期：摩根大通集團資安長發布公開信，呼籲金融機構強化供應鏈安全控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/30-5/9金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#摩根大通</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #軟體供應鏈安全</span></strong></h3> <h3>摩根大通集團資安長呼籲金融機構強化供應鏈安全控管</h3> <p>隨著軟體供應鏈帶來的風險越來越大，近日，摩根大通集團資安長Patrick Opet發布了一封<a href="https://www.jpmorgan.com/technology/technology-blog/open-letter-to-our-suppliers">公開信件</a>，他呼籲軟體供應商推出功能時，應優先考慮安全性，而不是求快。另外，在信件中他也提到了金融機構，他提醒，金融機構必須開始針對軟體供應鏈安全議題建立新的安全原則，並實施強而有力的控制措施，在迅速採用雲端服務的同時，也要保護客戶免受供應商漏洞影響。例如，現有的網路分段分層，和協約終止等措施在當今的SaaS服務模式中可能不再可行。「相反，我們需要採用更複雜的授權方法、先進的偵測能力，和主動措施，來防止利用系統串聯進行的攻擊行為。」他說。</p> <p>最後，Patrick Opet也強調，最有效的方法，是由金融機構開始拒絕沒有提供更好解決方案的整合服務。「我希望你們能和我一起認識到這項挑戰，並果斷、合作、立即做出反應。」他說。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#Bunq</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #加密貨幣服務</span></strong></h3> <h3>歐洲第二大純網銀Bunq推出加密貨幣服務，用戶能在App開通帳戶、兌換加密貨幣</h3> <p>歐洲第二大純網銀Bunq近日宣布推出加密貨幣服務，用戶能在銀行App上開設加密貨幣帳戶，並運用歐元換取比特幣、以太幣等300多種加密貨幣。Bunq表示，根據他們最新研究顯示，歐洲高達六成五的民眾希望能在單一平臺上使用所有金融服務，包括銀行提供的服務和投資加密貨幣。並且，超過一半的民眾渴望在現有平臺上投資加密貨幣。這是他們提供加密貨幣服務的主要原因。</p> <p>目前，荷蘭、法國、西班牙、愛爾蘭、義大利和比利時的bunq用戶可以直接在App中使用加密貨幣服務。</p> <p>Bunq近年來積極發展創新科技服務。2023年底，Bunq推出GenAI助理Finn，一個建置於App中的Chatbot，能夠回答帳戶使用者的消費問題，還能根據交易地點、時間回應問題。去年中他們的App更整合了萬事達卡的開放銀行平臺，能連接超過3,000家位於歐洲的銀行，不僅能讓用戶在App中查看Bunq以外的銀行帳戶支出，GenAI助理Finn也能根據用戶持有的各家銀行帳戶資訊，回答用戶問題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#Capital One</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融併購</span></strong></h3> <h3>Capital One開始規畫美國信用卡發行商Discover的IT整合計畫</h3> <p>今年4月，美國聯邦儲備委員會和貨幣監理署核准美國金融巨頭Capital One收購美國信用卡發行商Discover，這是一項價值高達353億美元的金融機構併購案。交易完成後，Capital One也將會成為美國最大的信用卡發卡商。</p> <p>近期，Capital One執行長Richard Fairbank在財報電話會議上表示，針對技術整合議題，他們已經制訂了將Discover信用卡業務轉移到Capital One的技術架構路線圖。他提到，Capital One歷經過12年的技術轉型，技術架構已十分成熟，非常適合進行公司併購，「尤其是對信用卡公司而言。」</p> <p>其實，早在2020年，Capital One就關掉最後一個本地端資料中心，成為美國第一間100%上雲的金融業者。</p> <p>不過，Richard Fairbank也承認，在整合支付網路上，他們較缺乏同樣完整的方案或路線圖，因此在這項工程上會充滿更多未知數。他表示，Capital One會在未來幾年內再次接觸資料中心技術，因為Discover還有部分業務運作在資料中心和大型主機上。</p> <p>Richard Fairbank提到，他們已規畫對Discover建立支付網路的現代畫改造計畫，但將這項業務放入雲端仍需要一段時間衡量，「它不會是一項快速的轉變。」</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#玉山金控</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融無塵室</span></strong></h3> <h3>玉山金揭金融無塵室最新進展，第二階段要整合跨業資訊、提升軟硬體架構</h3> <p>玉山金控近日揭露金融無塵室計畫最新進展。除了在今年二月和中信金控、中華郵政完成金融無塵室第一階段POC，驗證警示帳戶偵測的技術可行性。接下來，金融無塵室第二階段目標是要透過結合多元跨業資訊，捕捉更多潛在被害人，並且運用更好的演算法和硬體架構，進一步提升警示精準度。</p> <p>此外，玉山金控也對外展示金融無塵室空間，他們提到，所有人員進出這個管制室，都需要移除自有裝置，例如不能攜帶手機或自有3C裝置。並且，這個空間也嚴禁任何資料攜出，管制室內部也會有個人專屬使用的對應裝置。(<a href="https://www.ithome.com.tw/news/168707">詳全文</a>)</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#中信銀行</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融資安韌性</span></strong></h3> <h3>中信銀首揭金融資安韌性三大對策</h3> <p>中國信託銀行資安長吳佑文在今年臺灣資安大會上表示，他們過去幾年在建立資安韌性上投入許多心力，而在金融資安論壇中，中信銀首次對外公開自家三大資安韌性對策。第一，是建立縱深防禦工程，根據MITRE ATT&CK TTP手法來設置防禦對策。例如，針對社交工程攻擊，設置電子郵件的資安機制。</p> <p>第二，是落實穿透測試，驗證每項資安控制措施的有效性。例如，針對檔案監控機制，中信銀的測試方法是放置無關檔案至受測伺服器，並預期系統偵測到異常檔案時需告警，且相關人員得在時效內處理問題。</p> <p>最後，是確認資安作業有效性。吳佑文說明，他們的作法有三步驟，第一步是盤點關鍵資安作業，依據作業重要性及驗證可行性等條件，來排序優先驗證項目。再來是分析資安控制的有效性要件，最後則是設計有效性的驗證機制，並設計監控KPI，每月定期追蹤，確保資安作業被落實。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#台新銀行</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融裁罰</span></strong></h3> <h3>台新銀行信用卡資料錯置缺失致個資外洩風險，遭金管會開罰600萬元</h3> <p>近日，台新銀行因信用卡帳單資料錯置和催收信函寄送地址異常缺失，遭金管會開罰600萬元。金管會在例行記者會中表示，台新銀過去兩次調整信用卡系統地址欄位時，未同步調整催收系統。並且，在一次調整行動銀行地址變更功能時，寫入臺幣核心系統的規則設計錯誤，導致催收系統產出之簽帳金融卡、信用卡及消金產品催收信函地址異常，產生個資外洩風險，影響客戶數共1089人。</p> <p>另外，由於台新銀委外廠商辦理信用卡帳單列印及封裝過程中，發生讀取異常問題，導致客戶資訊錯置，受影響客戶數共358人。</p> <p>綜合以上缺失，金管會認為台新銀未完善建立資訊系統異動之測試及檢覈機制，針對委外機構，台新銀對內未確實執行測試和驗收的作業規範，對外亦未有效督導，因此根據銀行法、內控內稽辦法，和委外辦法開罰600萬元罰鍰。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);">#凱基人壽</span></strong><strong style="font-weight: bold; font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融創新試辦</span></strong></h3> <h3>凱基人壽和玉山銀行合作試辦導入高齡錄音輔助系統</h3> <p>為確保高齡族群權益，保險業務員銷售保險商品給65歲以上客戶時，保險業者必須全程錄音或錄影保留對話紀錄。近期，凱基人壽與玉山銀行合作試辦導入高齡錄音輔助系統，讓玉山銀行行銷人員在銷售商品時，可透過自家銀行系統平臺，直接進入、使用凱基人壽的高齡錄音輔助系統。這套系統可以依據客戶需求，調整系統宣讀語速和進行重複宣讀，同時搭配業務員或行銷人員在旁輔助說明，確保客戶充分理解投保內容以保障自身權益。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>美國超過1300間金融公司加入美國政府發行的即時支付服務FedNow</li> <li>澳洲ANZ銀行取消密碼登入App形式，僅提供生物辨識、行動裝置密碼驗證，和經過專屬APP驗證等登入方式</li> <li>倫敦證券交易所集團宣布和AWS延長簽約，持續運用AI和推動上雲計畫</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年5月</p> <p></p> </div></div></div>
2025/5/12 10:58作者李昀璇https://www.ithome.com.tw/news/168883