iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

X執行長Linda Yaccarino辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年5月、馬斯克（Elon Musk）買下Twitter（之後更名為X）平臺之後，所延攬的第一任執行長<a href="https://x.com/lindayaX/status/1942957094811951197" target="_blank">Linda Yaccarino周三（7/9）宣布</a>將辭去X的執行長一職，<a href="https://x.com/elonmusk/status/1942967206993961124" target="_blank">馬斯克則回應</a>以感謝她的貢獻。Yaccarino並未公布離職的原因，或許是因<a href="https://www.ithome.com.tw/news/168140" target="_blank">X已被xAI收購</a>，還是xAI的Grok聊天機器人又在本周二（7/8）回應出反猶太人的言論。</p> <p>在加入X之前，Yaccarino曾擔任NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務，顯然Musk希望她能提振被自己搞垮的X廣告業務，不過，Yaccarino雖然成功保持了X身為美國主要社交程式的地位，但其廣告業務依然面臨挑戰。</p> <p>Yaccarino說，當馬斯克第一次談起他對X的願景時，她就知道這是她一生中難得的機會，得以肩負這家公司的非凡使命，感謝他賦予自己保護言論自由、扭轉公司頹勢，並將X轉型為「Everything App」的重任；如今，隨著X與xAI開啟新的篇章，美好的未來仍在前方。</p> <p>xAI在2023年底開始將Grok聊天機器人整合到X平臺上，供付費訂閱的X Premium Plus用戶使用。使用者可以呼叫Grok並詢問任何問題，而Grok也能即時存取X上的貼文、趨勢或熱門問題，來快速回應與時事或新聞相關的提問。</p> <p>相較於其它聊天機器人，Grok標榜個性化與幽默感，具備機智與叛逆的個性，但也曾惹出一些風波，例如今年初曾被發現於Grok 3的系統提示中，植入忽略Elon Musk/Donald Trump傳播錯誤信息之來源的指令；<a href="https://www.ithome.com.tw/news/169005" target="_blank">5月當機似地</a>回答「南非白人種族滅絕爭議」；7月因發布對土耳其總統及其家人的粗俗言論而直接被土耳其封鎖；這兩天Grok則開始出現讚揚希特勒及反猶太人的各種言論，並跳針似地在涉及猶太人的姓氏加上「every damn time」。</p> <p><a href="https://x.com/grok/status/1942720721026699451" target="_blank">Grok團隊除了努力刪除由自己引起的言論之外</a>，還說xAI已採取行動，在Grok於X發布貼文之前禁止仇恨言論。</p> <p>外界則期望<a href="https://x.com/elonmusk/status/1942325820170907915" target="_blank">即將於本周釋出的Grok 4</a>能有更好的表現。目前馬斯克尚未公布繼任的X執行長人選。</p> </div></div></div>
2025/7/10 14:29作者陳曉莉https://www.ithome.com.tw/news/169974
中華電信憑證撤信事件，立委葛如鈞質疑近半數部會仍使用中華電信憑證恐造成信任危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信TLS憑證遭Google宣布Crome將移除對中華電信8月後核發新憑證的信任，立委葛如鈞今天(7/10)質疑，政府部會仍有近半的部會使用中華電信的憑證，恐導致民眾無法如常瀏覽網站，造成信任危機。</p> <p><a href="https://www.facebook.com/Dr.JuChunKO/?locale=zh_TW" target="_blank">葛如鈞表示</a>，今年5月30日，Google及Mozilla宣布從8月起撤銷對中華電信TLS憑證的信任，不僅Chrome瀏覽器，Firefox更溯及至4月15日不信任，屆時民眾進入這些使用被撤銷憑證的網站，將看到「不安全」警示訊息，詐騙、釣魚網站更可能趁虛而入，幾乎政府網站都會受到影響。</p> <p>儘管數發部宣稱已提前在3月掌握訊息並「超前部署」，對政府網站已啟動雙憑證機制，且中華電信強調為其內部憑證管理上的疏失，並非憑證本身出現安全漏洞。</p> <p>葛如鈞指出，事實並非如此，仍有不少部會，包括數發部本身仍使用中華電信的憑證，並且發現政府部會並沒有設定自動切換雙憑證，實地測試，一旦憑證失效，這些政府網站並沒有直接切換至TWCA的憑證，其中交通部、農業部的憑證更在4月15日之後發出，直接受到Firefox新措施的影響，未來民眾點入兩部會網站將出現警嘆號、不安全的警示訊息，中華電信及數發部如何保證民眾不受影響？Google全球資安團隊所提出的問題，「怎麼會不是資安問題呢？」。</p> <p>葛如鈞並指出，現有的31個政府部會，仍有14個使用中華電信的憑證，比例約45.1%，如果扣除使用國外憑證，則比例高達50%，當政府機關網站被標示具有安全疑慮，民眾不敢進入數發部、交通部等部會網站，可能成為資安、詐騙的大破口，直言此一資安政策，如何談及國安。</p> <p>他認為，這起事件不僅影響政府機關，也外溢至民間產業，目前已收到電商業者陳情，擔心消費者進入電商網站跳出安全疑慮訊息，導致信任危機、訂單流失，造成商譽受損。更換憑證需要時間及成本，還有技術支援，數發部不應將責任向外推。</p> <p>葛如鈞要求3點，首先是數發部作為主管機關，應全面清查行政院所屬三級以上政府機關網站，確保全面建置且具自動切換的雙憑證機制；其次是，修改電子簽章法以納入伺服器憑證規範，強化法制，明確化監管；最後是協助民間，數發部檢討憑證管理的問題及資安原因，並督促中華電信提出補救方案，協助受影響業者渡過事件。</p> <p><span style="color:#B22222;"><strong>中華電信：已協助99.9%政府機關處理網站憑證問題</strong></span></p> <p>中華電信今天第一時間對外說明，中華電信董事長簡志誠親自對外說明，他表示，中華電信發的憑證是持續有效，不會在7月31日之後失效，其次是憑證為合法身分證，該起事件並沒有涉及資安，甚至是國家安全。對於Mozilla，Mozilla要求全球根憑證如果是早期發行的憑證，必需在2025年4月15日更新，中華電信已配合更新，甚至已提前更新，現在仍可以發Mozilla的憑證，並沒有被取消，並非Mozilla針對中華電信單一業者的政策要求。</p> <p>面對立委質疑Chrome此次撤信措施，對政府機關網站可能引發的安全疑慮，簡志誠指出，針對1.1萬多個政府網站憑證，已重新發給憑證且憑證持續有效，目前已處理的機關網站已達到99.9%，僅剩7個網站在申請中。</p> <p>對於立委展示網站使用中華電信憑證被移除後無法正常瀏覽的問題，簡志誠強調，中華電信目前的憑證持續有效，該展示直接將網站使用的有效憑證刪除，當然無法正常瀏覽網站是正常的，「這是個奇怪的展示」，簡志誠並指出，在數發部的支持下，現在已協助超過9成政府機關網站處理好問題，其中包括交通部、農業部網站，甚至數發部已啟動雙憑證機制。</p> <p>他也強調，中華電信目前核發的憑證持續有效，並非過了7月31日之後憑證失效，對於立委的質疑，可能混淆視聽造成外界的疑慮。對於使用中華電信憑證的網站啟動雙憑證機制，以兩張憑證建立備援，並且自動切換，不會有一張憑證無法使用，就造成網站無法正常瀏覽的問題。</p> <p>簡志誠也特別澄清，全球網站憑證核發共有67家，國內為中華電信及台網2家，網站憑證核發為商業機制，沒有涉及政府相關單位，台灣約有39.6萬個網站，中華電信僅發出2千多張商業憑證，中華電信已逐一與商業網站客戶聯絡並提供協助，目前已協助9成的客戶處理問題，更新憑證或協助客戶移轉到其他業者的憑證，目前剩餘的1成為申請憑證中。</p> <p>簡志誠認為，網站使用的憑證持續有效，沒有失效或是不信任的問題，無關民眾對政府信任與否，甚至是更大的國安議題。</p> </div></div></div>
2025/7/10 14:44作者蘇文彬https://www.ithome.com.tw/news/169975
三星發表要價2,000美元的超薄摺疊手機Galaxy Z Fold7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）本周三（7/9）<a href="https://news.samsung.com/global/samsung-galaxy-z-fold7-raising-the-bar-for-smartphones" target="_blank">發表了該公司的旗艦款折疊機Galaxy Z Fold7</a>，它的封面螢幕為6.3吋，展開後的內部螢幕為7.6吋，不過，折疊後的Z Fold7厚度只有8.9mm，重量也只有215公克，感覺上宛如一般手機。不過，Z Fold7依舊維持高價位，即日起開放預購的512GB優惠價為1999.99美元（62,900元新臺幣），預計於7月25日上市。</p> <p>相較之下，iPhone 16 Pro Max的厚度為8.25mm，重量為227公克。此外，Z Fold7展開時的厚度僅有4.2mm。</p> <p>Z Fold7搭載Snapdragon 8 Elite處理器，NPU效能提升41%，CPU提升38%，GPU提升26%，足以處理更多的AI體驗；配備2億畫素的廣角鏡頭，1000萬畫素的100度超廣角鏡頭，還有Night Video夜間拍片功能；電池容量為4272mAh。</p> <p>此外，它採用基於Android 16的One UI 8使用者介面，強調可結合大螢幕的多工處理及各種AI工具，支援Gemini Live與Circle to Search。</p> <p><a href="https://blog.google/products/android/galaxy-unpacked-2025-android-updates/" target="_blank">根據Google的說明</a>，長按Z Fold7的電源鍵就能將螢幕分享給Gemini，以展開各種任務，同時手機上內建的行事曆、提醒事項及備忘錄等三星程式也已可直接連結Gemini。</p> <p>同一天三星也<a href="https://news.samsung.com/global/galaxy-unpacked-2025-a-first-look-at-the-galaxy-z-flip7-refining-the-pocketable-foldable" target="_blank">發表了另一款新摺疊機Z Flip7</a>，它採用4.1吋的外螢幕與6.9吋的內螢幕，因其輕巧外型而有「粉餅機」稱號，新版折疊後的厚度僅有13.7mm；搭載三星自家的Exynos 2500處理器，5000萬畫素相機，1200萬畫素的超廣角，與1000萬畫素的前鏡頭，同樣採用One UI 8介面並支援Gemini Live。</p> <p>配備256GB儲存空間的Z Flip7售價為1,099.99美元，還有一個配備相對精簡的Z Flip7 FE粉絲版，價格則是899.99美元。</p> </div></div></div>
2025/7/10 14:52作者陳曉莉https://www.ithome.com.tw/news/169976
大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露<a href="https://www.ctm360.com/reports/baittrap-rise-of-baiting-news-sites">橫跨全球50個國家的網路投資詐騙活動BaitTrap</a>，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>除此之外，歹徒還會透過Google、Meta等廣告平臺來推播誘餌新聞網站，並使用引人注意的標題，例如：「你不會相信央行總裁剛揭露的在家賺錢方式」，並搭配官方照片或是國家標誌來增加可信度。這類廣告也經常刊登公眾人物的照片，並搭配新聞報導型式的假標題，塑造看起來合法的假象。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p>一旦使用者點選假新聞提供的連結，就會被重新導向到詐騙平臺，這些平臺聲稱使用者能輕鬆獲利並得到高額報酬，並要求他們輸入個人資訊進行註冊。</p> <p>在註冊完成後，受害者就會接到「投資專家」的電話，引導他們執行後續步驟，通常是指示如何啟動交易帳戶，過程中也會假借驗證用戶身分及準備開戶為由，要求受害者提供詳細個資。附帶一提的是，為了開戶，對方也會要求上傳身分證明文件，如身分證、護照，然後要求透過加密貨幣錢包、信用卡、Google Play禮物卡存入資金。</p> <p>為引誘受害者投入更多資金，歹徒提供的「投資平臺」會顯示捏造的收益，讓他們以為賺得高額報酬，然而當受害者試圖將投資報酬兌現，該平臺就會以系統錯誤、需通過額外驗證等理由拖延，並宣稱受害者必須支付解鎖費用，或是達到新的門檻才能發放。</p> <p>附帶一提的是，歹徒通常使用免費或低成本的網域架設誘餌新聞網站，但也有入侵合法網域名稱來代管假新聞網頁的情況，使得資安業者與執法單位想要識別及清除相關網站及網頁，變得更具挑戰。</p> </div></div></div>
2025/7/10 13:15作者周峻佑https://www.ithome.com.tw/news/169973
Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-67.html">電子表單平臺Adobe Experience Manager Forms（AEM Forms）</a>、<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-69.html">應用程式開發平臺ColdFusion</a>。</p> <p>本次公布最嚴重的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49533">CVE-2025-49533</a>，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49535">CVE-2025-49535</a>，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p>還有一個非常危險的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27203">CVE-2025-27203</a>，也需要注意，此弱點出現在<a href="https://helpx.adobe.com/security/products/connect/apsb25-61.html">線上會議平臺Adobe Connect</a>，屬於未獲信任資料的反序列化處理漏洞，攻擊者可用於執行任意程式碼，CVSS風險為9.3（美國國家漏洞資料庫登記為9.6分）。</p> </div></div></div>
2025/7/10 10:43作者周峻佑https://www.ithome.com.tw/news/169970
Citrix修補VDI平臺本機權限提升資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Citrix針對旗下的虛擬桌面平臺（Virtual Desktop Infrastructure，VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，<a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694820">修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759</a>，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？<a href="http://www.rapid7.com/blog/post/cve-2025-6759-citrix-virtual-apps-and-desktops-fixed/">通報漏洞的資安業者Rapid7表示</a>，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p>針對漏洞發現的過程，起初Rapid7觀察到，GfxMgr.exe裡面有個SYSTEM層級的處理程序，運用了PROCESS_ALL_ACCESS權限來進行操作，而這樣的處理程序竟被外洩到CtxGfx.exe的處理程序當中。由於這種弱點是將特殊權限的處理程序內容洩露給低權限使用者擁有的處理程序，因此能在無須額外、特殊的權限，就能複製並產生新的處理程序。</p> <p>為了驗證這項漏洞，他們使用能公開取得的工具GiveMeAHand並修改，來識別並利用這項弱點，結果成功將使用者的身分變為NT AUTHORITY\SYSTEM。</p> </div></div></div>
2025/7/10 11:37作者周峻佑https://www.ithome.com.tw/news/169972
Perplexity釋出AI瀏覽器Comet、OpenAI傳聞也即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋業者<a href="https://comet.perplexity.ai/" target="_blank">Perplexity昨日正式釋出AI瀏覽器Comet</a>以挑戰Google Chrome，而媒體報導OpenAI的自有瀏覽器，也即將在幾個星期內推出。</p> <p>Comet目前支援Mac及Windows，現階段提供給Perplexity Max方案付費用戶及邀請已加入等候清單的用戶使用。但該公司計畫會提供一款內含Comet的免費版Perplexity給所有用戶，未來幾個月也會再推出支援其他平臺的Comet版本。</p> <p>Comet內建Perplexity搜尋引擎，強調速度快且提供答案。Comet另一特色是加入Comet助理。安裝Comet瀏覽器後，按下右上方圖示即可叫出Comet助理，並在側邊欄展開。Comet助理允許用戶以自然語言互動作為上網的主要介面，省去用戶在不同分頁或多個應用程式來回切換的麻煩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-smart%20actions%20with%20Perplexity.png" style="width: 600px;" /></p> <p><a href="https://www.perplexity.ai/hub/blog/introducing-comet" target="_blank">根據Perplexity的示範</a>，不論是搜尋、購物比價、或對正在讀取的網頁有問題，都可以透過和Comet互動來完成。例如用戶想搜尋腳踏車資訊及比價時，可詢問Comet助理哪個網站有同樣產品但出貨較快，並且要它比較現有正在讀取的網頁產品。若是需要規畫旅遊行程，可讓Comet助理於Google地圖網頁輸入其需求，例如規畫倫敦市區的步行觀光路線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-2.png" style="width: 600px;" /></p> <p>Comet助理也能管理郵件。用戶輸入「找出來自同事的郵件」後，Comet就能列出同事郵件，並提供摘要。用戶還能要求它草擬回信內容，甚至讓它主動在Google行事曆上預約會議並發送邀請。</p> <p>不過要讓Comet完成無障礙的作業，必須提供它存取應用程式如Google Calendar、Gmail的權限。</p> <p>Perplexity Comet顯示新興業者挑戰Google Chrome的意圖。The Browser Company<a href="https://www.diabrowser.com/" target="_blank">推出原名Arc Search的Dia</a>、<a href="https://www.ithome.com.tw/news/169248" target="_blank">Opera今年5月公布代理式AI瀏覽器Neon</a>。<a href="https://www.ithome.com.tw/news/166176" target="_blank">去年The Information報導</a>OpenAI也考慮開發結合AI功能的瀏覽器。</p> <p><a href="https://www.reuters.com/business/media-telecom/openai-release-web-browser-challenge-google-chrome-2025-07-09/" target="_blank">路透社本周引述3名消息人士報導</a>，OpenAI的瀏覽器即將在未來幾周內問世。不過OpenAI拒絕評論本消息。</p> <p><a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">根據市調公司估計</a>，到今年7月，OpenAI ChatGPT每周平均經常用戶數達8億，平均每日經常用戶數達1.2億。若這些用戶都改投向OpenAI，將嚴重侵蝕Chrome現今瀏覽器超過六成的市占。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／</span><span style="color: rgb(105, 105, 105); font-size: 14px;">Perple</span><span style="color: rgb(105, 105, 105); font-size: 14px;">xity</span></p> </div></div></div>
2025/7/10 10:40作者林妍溱https://www.ithome.com.tw/news/169969
Fortinet修補網頁應用程式防火牆重大SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-151" target="_blank">Fortinet本周釋出安全公告</a>，修補網頁應用防火牆（Web Application Firewall，WAF）產品的重大風險漏洞，若不處理可能導致SQL程式碼注入（SQL Injection）攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（improper neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令。CVSS風險值達9.6。</p> <p>最新漏洞是由GMO Cybersecurity 研究人員Kentaro Kawane於7月通報，影響FortiWeb 7.0、7.2、7.4到7.6。Fortinet已經釋出更新。</p> <p>若用戶未能及時安裝新版軟體，應關閉HTTP/HTTPS管理員介面防堵SQL指令執行。</p> </div></div></div>
2025/7/10 11:18作者林妍溱https://www.ithome.com.tw/news/169971
Kia車載系統漏洞，讓攻擊者利用PNG圖檔注入程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hardwear.io/usa-2025/presentation/hardware-hacking-a-cars-head-unit-and-uncovering-a-vulnerable-rtos.pdf" target="_blank">研究人員發現Kia車載資訊娛樂系統存在漏洞</a>，能讓攻擊者以PNG圖檔在其作業系統注入惡意程式。</p> <p>厄瓜多安全研究人員<a href="https://www.linkedin.com/posts/vultara_automotive-reverseengineering-infosec-activity-7337972325247524864-S2Tl/" target="_blank">Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布</a>，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-8539" target="_blank">CVE-2020-8539</a>舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><span style="color:#B22222;"><strong>其他漏洞</strong></span></p> <p>這位研究人員在厄瓜多Kia汽車還揭露其他漏洞。包括Bootloader驗證不足；它僅使用1-byte循環冗餘檢測（CRC）確保韌體安全，因此被竄改的韌體還能通過檢查，還能正常啟動而不會有任何警告。另一項漏洞是RSA私鑰寫在韌體中，以及藍牙配對PIN以明碼出現在URAT logs，可能導致被攻擊者得以冒用身分、簽發惡意韌體及解密敏感資料。</p> <p>另外，Kia RTOS韌體還使用過期及有問題的函式庫（MatrixSSL 3.7.1及libpng 1.2.29）可能讓攻擊者輸入惡意指令執行程式碼。最後，系統目前缺乏官方更新和修補機制，因此有漏洞的車載系統無法透過Kia官方更新機制修補，而使車子永遠曝險。</p> <p>問題系統包括MOTREX MTXNC10AB系統，受影響的車子包含出貨到南美、中國和非洲的Kia Soluto/Pegas、Picanto等車款。</p> <p>該研究人員也在六月公布<a href="https://cybersecuritynews.com/kia-ecuador-keyless-entry-systems/" target="_blank">Kia另一項漏洞CVE-2025-6029</a>。原因出在Kia在中南美銷售的無鑰匙啟動系統（Keyless Entry Systems）的晶片採用了過時的學習代碼技術，而不是行業標準的滾動代碼（rolling code）系統，使車輛容易受到重放攻擊和信號克隆（signal cloning）。這使得車子可能遭到第三方人士截取合法遙控鑰匙的無線信號解鎖汽車。</p> <p>這項漏洞影響車種包括2022年到2025年在厄瓜多銷售的Kia汽車，包括Soluto、Río和Picanto等車款。Kia表示正在製作修補程式。</p> </div></div></div>
2025/7/10 08:32作者林妍溱https://www.ithome.com.tw/news/169967
臺灣生技業者推新藥開發AI Foundry平臺，已有3大落地實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到Nvidia AI Foundry啟發、提供自助式用平臺資源讓使用者開發AI應用，訊聯基因數位將這個概念帶入生技領域，將自己10多年來運用AI輔助藥物開發的成功經驗，打包為對外服務，推出名為AIDD的新藥開發AI Foundry平臺，並在今日（7/9）揭露3項落地實例，包括北醫大團隊用來打造AI新藥研發平臺，快速開發新穎小分子抑制劑，成功開發腦癌、胰臟癌新藥進入臨床前試驗；再來是基龍米克斯與藥廠的腫瘤新生抗原藥物開發，以及訊聯自己的抗灰髮胜肽設計。</p> <p><span style="font-size:22px;"><strong>15年累積AI輔助藥物開發經驗</strong></span></p> <p>訊聯基因數位執行長暨訊聯生物科技董事長蔡政憲指出，早在15年前，旗下團隊就開始運用AI協助新藥開發。當時，他們有個團隊專門做材料、化合物和藥物等分子模擬運算，後來AI興起，他們也納入更多AI功能到模擬運算中。</p> <p>直到COVID-19疫情間，各界對疫苗和藥物開發需求迫切，訊聯AI團隊迎來一波快速進展。他們先是在疫情間練就遠端研發能力，快速調整研發方向、爬梳並建立COVID-19相關蛋白質資料庫，來進行新藥研發。根據官網說明，他們後來在24小時內完成中草藥成分、大量比對近3萬人體與COVID-19蛋白質標，並協助解釋、優化療效，最後在5個月內研發出清冠一號（NRICM101），成為COVID-19另一解方。</p> <p><span style="font-size:22px;"><strong>推出新藥開發AI Foundry平臺服務</strong></span></p> <p>蔡政憲表示，他們後來受到Nvidia推出AI Foundry的啟發、能讓使用者透過雲端運算和AI資源來打造自己的AI應用，訊聯基因數位運用這個概念，將過去的成功經驗，轉換為一套新藥研發的AI Foundry平臺AIDD，來供業界使用。</p> <p>這套平臺主打2大功能，包括大分子藥物設計和小分子藥物設計，並整合了業界成熟的商用新藥研發系統，比如達梭生命科學平臺、凱杰生物科技軟體等，來提供AI模擬運算功能。訊聯基因數位分子數位中心銷售暨客戶關係部協理陳冠文說明，整合商用軟體是因其已有成熟的AI透明度和治理機制，可合規使用。他也補充，目前新藥研發平臺主要涵蓋新藥開發的研發階段，可提供工具讓業者使用自己的資料，來訓練AI模型，要是業者想用開源模型來研發，訊聯團隊也會提供服務。</p> <p><span style="font-size:22px;"><strong>實例1：膠質母細胞瘤藥物研發</strong></span></p> <p>訊聯今日也揭露3項使用AIDD平臺落地的實例，首先是協助北醫大醫學科技學院教授許凱程團隊開發智慧型藥物研發平臺。蔡政憲先解釋，常見的AI輔助藥物開發，並非真正的從無到有生成一款新藥，而是對原本已開發一段時間的藥物，運用AI來探索藥物作用機轉、其重要成分，或是根據這些知識，運用AI回調。而北醫大團隊的做法，則是運用AI進行藥效、合成難易度、藥物動力學等多種參數優化，更大程度運用AI輔助新藥研發。</p> <p>陳冠文舉例，北醫大團隊鎖定腦部惡性腫瘤的膠質母細胞瘤（GBM），要找出合適的治療藥物。這種藥物開發不只要提升藥效，也要優化穿越血腦障蔽（BBB）的能力，才能讓藥物進入腦部、發揮效用。因此，他們透過AIDD預測藥物穿過BBB的能力，成功將藥效從原本的1041 nM提高百倍至10.4 nM，且在動物實驗中，腫瘤確實縮小了。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20203954.png" /></p> <p>北醫大團隊也因此研發20款具新穎性的小分子藥物，範圍包括膠質母細胞瘤、胰臟癌、阿茲海默症、肺纖維化等疾病新藥。許凱程指出，平均臨床前新藥開發時長超過5年，且失敗率高，但透過AI驅動新藥研發應用，大幅縮短開發時間、降低成本，降低藥廠在早期新藥研發的負擔和風險。</p> <p>許凱程團隊打造的AI-化學合成-生物實驗驗證平臺，還可以縮短早期新藥開發時間，從傳統的2到3年縮短為1至5個月，還能壓低藥物合成成本超過九成。目前平臺已研發出數百個實驗驗證有效的新穎抑制劑，其中近30項進入後續細胞、動物、人體類器官等研發階段。</p> <p><span style="font-size:22px;"><strong>實例2：個人化癌症治療</strong></span></p> <p>另一個例子是老牌基因定序業者基龍米克斯（簡稱基米）採用AIDD，來預測新生抗原表位（Neoepitope），加速個人化癌症免疫療法的研發。</p> <p>一般來說，免疫治療是癌症治療中，討論度最高的療法，腫瘤新生抗原（Neoantigens）療法便是其一。該療法先透過NGS次世代基因定序，再用AI模擬演算，找出癌細胞特有的腫瘤新生抗原，來激發患者免疫系統、精準攻擊癌細胞，避免誤傷正常細胞。</p> <p>其中，新生抗原（Neoantigens）是指由腫瘤細胞基因突變產生的全新蛋白質片段，片段中包含多個新生抗原表位（Neoepitope）。然而，癌細胞可能表現出數百萬到數十億種不同的Neoepitope組合，於是基龍米克斯用AI預測這些抗原，從中快速找出可能性最高的幾組，再透過實驗室合成這些胜肽，來測試免疫細胞是否辨識這些癌細胞，進而加速個人化癌症免疫療法的開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204013.png" /></p> <p><span style="font-size:22px;"><strong>實例3：抗灰髮胜肽設計</strong></span></p> <p>另一個例子是訊聯集團旗下訊聯細胞智藥公司開發的抗灰髮胜肽設計。他們先透過AIDD，成功從龐大的組合數中（20的13次方）找出18條候選胜肽，且是自然界中不存在的胜肽。他們發現，其中4條胜肽明顯促進黑色素合成，於是，他們保留特定區域進行第二輪AI設計，發現更多具有促進黑色素合成能力的候選胜肽。</p> <p>不過，這項抗灰髮胜肽設計還在進行更多實驗中，產品成型後會另再揭露。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204021.png" /></p> <p></p> </div></div></div>
2025/7/9 20:49作者王若樸https://www.ithome.com.tw/news/169966
【資安日報】7月9日，微軟發布本月例行更新、修補130個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布今年第7次的每月例行更新（Patch Tuesday），雖然這次修補的漏洞數量相當多，但未提到這些漏洞出現用於實際攻擊行動的情況，僅有一個是在微軟修補前遭到公開的SQL Server弱點。漏洞懸賞專案Zero Day Initiative（ZDI）推測，微軟這次修補的漏洞數量大幅增加，很有可能與接下來8月初舉行的資安大型會議黑帽大會（Black Hat）、DEFCON有關。</p> <p>在資安威脅態勢方面，有人透過AI假冒美國國務卿盧比奧（Marco Rubio）的情況，引起該國政府重視；再者，駭客在Chrome、Edge延伸套件市集上架惡意套件的攻擊行動，這些套件已被下載230萬次，使用者應儘速確認是否受害；而對於新興勒索軟體Bert的動態，他們從原本鎖定Windows電腦，如今也加密虛擬化平臺的檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169958"><strong style="font-size: 22px;">AI偽冒美國國務卿，聯繫官員企圖竊取政府資</strong></a></p> <p>根據美聯社、NBC等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>華盛頓郵報取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>此電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p><a href="https://www.ithome.com.tw/news/169961"><strong style="font-size: 22px;">瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" style="width: 300px; float: right;" /></a></p> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露同時針對Chrome與Edge用戶而來的攻擊行動RedDirection，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/169962"><strong style="font-size: 22px;">勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案</strong></a></p> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，並聲稱竊得超過5 TB內部資料。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，5月已開發出Linux版勒索軟體，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技也觀察到這些Linux版勒索軟體，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169787"><strong style="font-size: 22px;">中國駭客Mustang Panda鎖定圖博而來，散布惡意軟體Pubload、Pubshell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_150608182.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_150608182.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客鎖定圖博人士從事攻擊的情況，不時有資安事故傳出，如今駭客利用達賴喇嘛90歲生日即將來到的時間點，鎖定近期舉行的會議與相關議題為誘餌，從事網路攻擊。</p> <p>其中一組名為Mustang Panda、Hive0154、RedDelta、Earth Preta、TA416的中國駭客，從今年5月鎖定圖博社群下手的情況升溫。揭露此事的IBM X-Force研究人員表示，駭客利用幾種誘餌來發動攻擊，其中一種是在6月2日至4日於日本東京舉行的第9屆世界國會議員圖博大會（World Parliamentarians' Convention on Tibet，WPCT），但也有利用中國政府在西藏自治區（TAR）的教育政策，以及達賴喇嘛發表的新書《Voice for the Voiceless》當誘餌的情況。</p> <p>研究人員指出，他們先前曾看到這些駭客從2024年底至今年初鎖定臺灣、美國、菲律賓、巴基斯坦從事網路間諜活動。而這次駭客也與之前接觸受害者的方式雷同，都是寄送各種地緣政治主題的釣魚郵件，並引誘他們上當。這郵件通常含有Google Drive的連結，一旦收信人點選，電腦就會下載ZIP或RAR壓縮檔。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=65007&SPOKE_DATE=20250708&COMPANY_ID=3694"><strong style="font-size: 22px;">海華科技資訊系統遭到駭客攻擊</strong></a></p> <p>和碩旗下無線通訊模組及數位影像處理方案廠海華科技於7月8日於股市公開觀測站發布資安重訊，指出他們於7日察覺資訊系統遭到駭客攻擊，為避免擴大影響範圍，資訊部門第一時間執行斷網阻隔因應。</p> <p>而對於這起事故帶來的影響，該公司表示經過初步的評估，對於財務及業務無重大影響，他們的營遲也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://labs.watchtowr.com/how-much-more-must-we-bleed-citrix-netscaler-memory-disclosure-citrixbleed-2-cve-2025-5777/">今年6月Citrix修補的兩項NetScaler重大漏洞已遭串連，用於實際攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ringreaper-new-linux-edr-evasion-tool/">Linux迴避偵測工具RingReaper遭利用，可利用系統核心元件io_uring逃過EDR偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體部署工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169956"><strong style="font-size: 22px;">微軟發布7月例行更新，修補130項資安漏洞</strong></a></p> <p>7月8日微軟發布每月例行更新（Patch Tuesday），總共修補130項漏洞，數量僅次於一月份的159個，為今年以來的第二多，也較上個月67個增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是CVE-2025-47981，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI），皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sap-july-2025-patch-day/">SAP發布7月例行更新，修補7項重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/macos-smbclient-flaw/">研究人員針對蘋果今年3月修補的SMBClient重大漏洞公布細節，若不處理恐導致macOS核心損毀</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> </div></div></div>
2025/7/9 17:28作者周峻佑https://www.ithome.com.tw/news/169963
勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，<a href="https://www.ithome.com.tw/news/169053">並聲稱竊得超過5 TB內部資料</a>。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，<a href="http://theravenfile.com/2025/06/16/bert-ransomware/">5月已開發出Linux版勒索軟體</a>，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技<a href="https://www.trendmicro.com/en_nl/research/25/g/bert-ransomware-group-targets-asia-and-europe-on-multiple-platforms.html">也觀察到這些Linux版勒索軟體</a>，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p>一旦這款勒索軟體執行，它就會透過特定命令強制關閉虛擬機器的處理程序，然後進行加密，被加密的檔案副檔名會被換成.encrypted_by_bert，最後留下勒索訊息，要求受害組織下載特定即時通訊軟體進行後續談判。</p> <p>附帶一提的是，此勒索軟體的組態為JSON格式檔案，內容包含公鑰、經Base64演算法處理的勒索訊息，以及其他詳細資訊。</p> <p>關於這款勒索軟體的來歷，趨勢科技和Rakesh Krishnan一樣，認為可能源於REvil，但他們額外提及資安業者SentinelOne的發現，他們研判與Babuk原始碼有所交集。對此，趨勢科技推測，Bert很有可能重覆使用REvil的程式碼，來打造Linux版勒索軟體。</p> <p>Windows版勒索軟體Bert的部分也有所變化，因為趨勢科技看到駭客使用PowerShell指令碼，充當惡意程式載入工具，執行勒索軟體的有效酬載payload.exe。此指令碼還具備其他功能，其中包含提升權限，並停用作業系統內建防毒Microsoft Defender、使用者帳號控制（UAC）、防火牆，然後從遠端IP位址下載勒索軟體並執行。根據駭客使用的IP位址，這些駭客很有可能在俄羅斯活動，或與俄羅斯駭客有關。</p> </div></div></div>
2025/7/9 17:12作者周峻佑https://www.ithome.com.tw/news/169962
瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露<a href="https://blog.koi.security/google-and-microsoft-trusted-them-2-3-million-users-installed-them-they-were-malware-fb4ed4f40ff5">同時針對Chrome與Edge用戶而來的攻擊行動RedDirection</a>，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p>再者，這些延伸套件並非一開始上架就帶有惡意內容，而是在特定版本更新引入有問題的功能，在導入惡意功能之前，它們的程式碼基礎（Codebase）相當乾淨，有的已經上架多年，後續才被用於攻擊。</p> <p>究竟這些套件有那些惡意行為？套件會挾持每個分頁的更新內容，截取使用者正在瀏覽的網頁URL，並傳送到遠端的伺服器，再從C2取得重新導向的網址。</p> <p>Koi Security也提及可能會出現的攻擊情境，其中一種是使用者收到Zoom會議邀請，並點選連結，此時惡意套件就可能從中攔截，在用戶參與會議之前重新導向特定網站，要求下載重要的Zoom更新，才能正常參與會議。但若是使用者照做，就會在電腦植入其他惡意軟體，使得攻擊者能進一步控制受害電腦。</p> <p>但這類攻擊行動，並非只針對Chromium為基礎打造的瀏覽器而來。一週前，Koi Security發現<a href="https://blog.koi.security/foxywallet-40-malicious-firefox-extensions-exposed-4c14419de486">鎖定Firefox用戶的攻擊行動FoxyWallet</a>，駭客於Firefox Browser Add-ons市集上架45款有問題的套件（附加元件），它們假冒成常見的加密貨幣錢包工具，一旦使用者不慎安裝，惡意套件就會無聲無息地挖掘與錢包有關的機敏資訊，導致用戶蒙受損失。</p> </div></div></div>
2025/7/9 15:36作者周峻佑https://www.ithome.com.tw/news/169961
Xpanceo打算開發可偵測健康的AI隱形眼鏡，成功融資2.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年於杜拜創立的科技新創<a href="https://x.com/xpanceo/status/1942554748697149895" target="_blank">Xpanceo周二（7/8）宣布</a>，已完成2.5億美元的A輪融資，公司估值為13.5億美元。</p> <p>Xpanceo是由俄羅斯企業家Roman Axelrod及烏克蘭科學家Valentyn Volkov共同創立，目標是打造基於隱形眼鏡的人機介面，<a href="https://xpanceo.com/product" target="_blank">根據該公司的官網介紹</a>，其產品是隱形又輕盈的隱形眼鏡，如同使用自己的視力一樣自然，喊出「最好的裝置就是沒有裝置」的口號，宣稱其產品將具備夜視與變焦功能，亦能將所有的應用及資料整合到延展實境（Extended Reality，ER）體驗中，藉由直覺的凝視便能發號施令，還能偵測使用者的健康與情緒狀態。</p> <p>總之，Xpanceo認為自己可以跳過實體的AI眼鏡階段，直接進入AI隱形眼鏡領域。</p> <p><a href="https://www.unite.ai/roman-axelrod-founder-and-managing-partner-of-xpanceo-interview-series/" target="_blank">Axelrod接受Unite.ai專訪時透露</a>，Xpanceo在24個月內便已打造出15個可運作的原型機，該公司的目標是將所有的個人裝置都融合為一個無縫的體驗，也就是使用者的雙眼。</p> <p>目前除了Meta與Google都已將觸角伸進實體的AI眼鏡市場之外，<a href="https://www.ithome.com.tw/news/169832" target="_blank">分析師郭明錤也說蘋果將加入AI眼鏡戰局</a>。</p> </div></div></div>
2025/7/9 14:47作者陳曉莉https://www.ithome.com.tw/news/169960
美國務卿遭以AI冒充聯繫官員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/rubio-artificial-intelligence-impersonation-1b3cc78464404b54e63f4eba9dd4f5a9" target="_blank">美聯社</a> 、<a href="https://www.nbcnews.com/tech/security/ai-voice-impersonated-marco-rubio-messages-high-level-officials-state-rcna217555" target="_blank">NBC</a>等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。</p> <p><a href="https://www.washingtonpost.com/national-security/2025/07/08/marco-rubio-ai-imposter-signal/" target="_blank">華盛頓郵報</a>取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>國務院的電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p>美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>美國政府近月來發生多起意圖在竊取政府資訊的資安事件。<a href="https://apnews.com/article/susie-wiles-phone-impersonation-bc6ac99e5db06ac70307ca031ab8d647" target="_blank">今年5月也有不明人士冒充白宮幕僚長Susie Wiles發送簡訊和電話</a>，聯絡參議員、州長、商界領袖等人士，疑似已取得其手機聯絡人資訊。更嚴重的是3月間美國國家安全顧問Michael Waltz在一場討論葉門軍事行動的Signal祕密會議中，不慎將《大西洋報》總編加入Signal群組，最後導致其去職。</p> </div></div></div>
2025/7/9 13:58作者林妍溱https://www.ithome.com.tw/news/169958
IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-07-08-ibm-power11-raises-the-bar-for-enterprise-it" target="_blank">IBM周二（7/8）發表</a>其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且內建的IBM Power Cyber Vault資安解決方案則能在1分鐘以內偵測到勒索軟體。預計於7月25日同步推出入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新一代的Power 11在效能上提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p>此外，相較於同類的x86伺服器，Power 11的每瓦效能是它們的兩倍，且在Power 11上啟用全新的節能模式（Energy Efficient Mode）時，其伺服器效率可比最大效能模式（Maximum Performance Mode）還多出28%。</p> <p><a href="https://my.idc.com/getdoc.jsp?containerId=prUS53264225" target="_blank">根據IDC去年第四季的全球伺服器市場調查</a>，前五名供應商依序是Dell（7.2%）、超微（Super Micro）（6.5%）、HPE（5.5%）、IEIT Systems（5.0%）及聯想（4.9%），它們的市占率也相對平均，IBM並不在榜上。</p> <p>未採用主流x86架構的IBM伺服器不管是開發或維護成本都相對高昂，售價也較高，強調的是可用性、不中斷、資安與彈性，因此多半被應用在關鍵任務上，主要客戶為金融業者、大型政府機構及製造/零售業。</p> <p>此外，在IDC的伺服器調查中，ODM Direct占比高達47.3%，這指的是微軟、Google、Amazon或Meta等業者會直接向製造商訂製伺服器，像是臺灣的廣達、鴻海、英業達或技嘉等。</p> </div></div></div>
2025/7/9 14:07作者陳曉莉https://www.ithome.com.tw/news/169959
微軟發布7月例行更新，修補130項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jul">每月例行更新（Patch Tuesday）</a>，總共修補130項漏洞，數量僅次於<a href="https://www.ithome.com.tw/news/166966">一月份的159個</a>，為今年以來的第二多，也較<a href="https://www.ithome.com.tw/news/169471">上個月67個</a>增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47981">CVE-2025-47981</a>，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/patch-tuesday-july-2025/">資安業者Rapid7</a>、<a href="https://www.zerodayinitiative.com/blog/2025/7/8/the-july-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>，皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p>另一項Rapid7與ZDI警告的資安漏洞，是存在於SharePoint的重大漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49704">CVE-2025-49704</a>，一旦攻擊者成為網站的所有者，就有機會在SharePoint伺服器寫入任意程式碼並注入，或是遠端執行程式碼，CVSS風險評為8.8。Rapid7指出，微軟提及攻擊者需取得網站所有者的權限，卻又表明不需要額外的權限提升，相當不尋常；ZDI透露這項漏洞是在Pwn2Own Berlin 2025找到，相當危險，因為攻擊者能透過網路進行程式碼注入，不過，想利用該漏洞，需滿足一個必要條件，那就是需事先通過部分層級的身分驗證。</p> <p>附帶一提，在7月例行安全更新公告中，<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49719">CVE-2025-49719</a>是在微軟修補前就已經被公開的零時差漏洞，存在於SQL Server，為高風險層級的資訊洩露漏洞，起因是輸入驗證不當，未經授權的攻擊者能透過網路洩露資訊，CVSS風險為7.5分，究竟該漏洞能被用來竊取什麼樣的資訊，微軟並未直接說明，僅透露能從未初始化的記憶體竊取資料，後續影響有待觀察。</p> </div></div></div>
2025/7/9 12:00作者周峻佑https://www.ithome.com.tw/news/169956
線上程式開發平臺商Replit轉向微軟Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/replit-collaborates-with-microsoft-to-bring-vibe-coding-to-enterprise-customers-302499416.html" target="_blank">知名線上整合開發平臺Replit本周宣布和微軟合作</a>，將整合微軟多項雲端工具，並且在微軟雲端App市集上架。</p> <p>Replit是強大的雲端開發環境（IDE），支援超過50種程式語言並提供範本，包括常見的Python、Java、C++ 等等，並允許多人即時協作開發專案。其用戶涵括專業開發商、業餘程式設計愛好者甚至沒有程式背景人士，估計其用戶數達2500萬。</p> <p>本次合作聚焦在企業各類用戶，不只是工程師，使他們都能以自然語言開發和部署企業應用。Replit聲稱已經有超過50 萬企業用戶使用其工具開發內部工具、業務、行銷和面向客戶的App。</p> <p>在這項合作下，Replit和微軟基礎架構服務像是Azure容器應用、Azure VM及微軟版Postgres資料庫（名為Neon Serverless Postgres）整合，方便開發人員在Microsoft Azure上開發並部署應用程式。此外，Replit亦將在Azure Marketplace上架，簡化開發人員購買程序。</p> <p>這項宣布意謂著Google將損失一家大客戶。Replit原本執行在Google Cloud，2024年使用Anthropic Claude 3.5 Sonnet為其程式撰寫助理Agent的引擎。<a href="https://www.inc.com/ben-sherry/after-partnering-with-anthropic-replit-has-grown-revenue-by-10x/91147509" target="_blank">報導指出</a>，該服務使其營收在半年內由1千萬美元成長10倍，也讓Replit成為Google Cloud上Anthropic模型的最大單一用戶。</p> <p>不過同時間微軟也不再握有AI客戶OpenAI的獨家供應合約。去年底OpenAI也和甲骨文Oracle Cloud合作Stargate計畫。<a href="https://finance.yahoo.com/news/openai-secures-30bn-cloud-deal-094538950.html" target="_blank">上周媒體報導</a>甲骨文取得一張新合約，估計從2028年起每年有300億美元訂單，而客戶疑似就是OpenAI。</p> </div></div></div>
2025/7/9 11:49作者林妍溱https://www.ithome.com.tw/news/169955
蘋果營運長Jeff Williams將在今年退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/07/apple-announces-chief-operating-officer-transition/" target="_blank">蘋果周二（7/8）宣布</a>，該公司營運長Jeff Williams準備於今年底退休，本月開始就會把他的職責陸續移交給蘋果營運資深副總裁Sabih Khan，而原本由Williams負責的設計團隊，屆時則將直接向蘋果執行長Tim Cook彙報。</p> <p>現年62歲的Williams是在1998年加入蘋果，在2015年被拔擢為營運長，他一直負責蘋果的全球營運，客戶服務與支援，也主導Apple Watch的開發及蘋果的健康計畫，還在2023年接手蘋果的設計團隊。</p> <p>Williams為蘋果供應鏈的核心架構師，主導供應鏈的責任與員工標準，所建立的供應鏈系統支持了蘋果的成長與全球客戶的需求，也協助蘋果於美國、中國、印度、日本與整個東南亞地區擴展業務。</p> <p>至於準備接任營運長的Khan現年約59歲，是在1995年進入蘋果，於2019年加入高階主管團隊，擔任營運資深副總裁，也在過去6年負責蘋果的全球供應鏈，監督供應鏈的各項職能。</p> <p>Williams說，今年6月就是他加入蘋果的27周年，也是他在科技產業的第40年，他深愛蘋果，但明年起將會花更多的時間與親友相處，很榮幸與Khan合作，他是世界上最有才華的營運主管，對他未來的領導充滿信心。</p> <p><a href="https://9to5mac.com/2025/07/08/apple-ceo-succession/" target="_blank">9to5Mac分析</a>，其實Williams一直被外界視為是蘋果執行長Cook的繼任人選，只是現年64歲的Cook還沒有要退休的意思，未來最有可能接任Cook的或許是目前50歲、擔任硬體工程資深副總裁的John Ternus。</p> </div></div></div>
2025/7/9 12:01作者陳曉莉https://www.ithome.com.tw/news/169957
北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月，資安業者Huntabil.IT揭露<a href="https://huntability.tech/threat-note-2025-04-23-nk-zoom/">北韓駭客鎖定一家Web3新創公司的攻擊行動</a>，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用<a href="https://www.ithome.com.tw/tags/nim">Nim</a>程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，<a href="https://www.sentinelone.com/labs/macos-nimdoor-dprk-threat-actors-target-web3-and-crypto-platforms-with-nim-based-malware/">著手調查並還原詳細的事故發生過程</a>，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便在惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p>針對相關攻擊行動發動的過程，駭客先冒充攻擊目標的聯絡人，並使用線上會議排程工具Calendly安排網路會議，然後透過Telegram接觸目標，接著該名用戶就會收到Zoom視訊會議的電子郵件，但特別的是，信中要求用戶執行升級Zoom軟體開發套件（SDK）的指令碼，並列出操作這些動作的指示。</p> <p>但實際上，此為惡意的AppleScript指令碼，一旦收信人依照指示操作，就會從冒牌Zoom網域下載第二階段酬載。附帶一提，駭客為了迴避偵測，在指令碼加入約1萬行的空白內容，企圖混淆實際的功能。SentinelOne進一步調查駭客使用的C2網域，透過公開的儲存庫找到一系列用來從事相關活動的惡意網域，研判這起攻擊行動遠比先前公布的規模更為廣泛。</p> <p>上述的過程在受害電腦植入兩個Mach-O二進位檔案，分別名為a與installer，其中，a是C++編譯的執行檔，會在磁碟寫入名為netchk的有效酬載，目的是截取另外兩個Bash指令碼進行資料竊取，範圍涵蓋系統資料、瀏覽器資料、Telegram交談記錄，以及其他應用程式的特定內容。</p> <p>另一個名為installer的二進位檔案，則是觸發第二個攻擊鏈，此檔案以Nim打造而成，主要功能是讓攻擊者能在受害電腦持續活動。一旦執行，就會在電腦載入兩個Nim檔案：分別名為GoogIe LLC、CoreKitAgent，其中駭客在冒充Google的二進位檔案當中，刻意使用了大寫的I來偽裝成小寫的L。</p> <p>對於GoogIe LLC的用途，主要是設置組態檔案並啟動下個階段的有效酬載CoreKitAgent。SentinelOne一共發現4種版本的CoreKitAgent，這些檔案從去年10月至今年4月出現，共通點是皆為利用macOS內建的kqueue機制，並以特定事件觸發。此二進位檔案會攔截SIGINT與SIGTERM終止訊號，無論是使用者試圖手動終止處理程序，或是系統與其他應用程式下達Kill的命令，都會觸發CoreKitAgent重新部署的流程。</p> </div></div></div>
2025/7/8 17:49作者周峻佑https://www.ithome.com.tw/news/169948
【資安日報】7月8日，macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往大多竊資軟體主要針對Windows電腦而來，但如今針對macOS用戶的竊資軟體接連出現，我們今天整理了Atomic Stealer（AMOS Stealer），以及北韓駭客打造的NimDoor，還有先前揭露的Odyssey Stealer，而這些事故都突顯出相關攻擊手法日益複雜的情形。</p> <p>另一方面，上週勒索軟體Hunters International宣布結束營運並免費提供解密金鑰，此舉也引起資安圈關注，但這並非代表駭客就此收手，而是為了避免遭到執法單位圍剿，決定不再使用勒索軟體從事破壞行為，有資安人員認為，此舉之後會有其他勒索軟體駭客跟進。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169947"><strong style="font-size: 22px;">macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" style="width: 300px; float: right;" /></a></p> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種Odyssey Stealer、Poseidon Stealer，最近其中一起事故，是駭客冒充美國電信業者Spectrum發動攻擊，如今有資安業者指出，此竊資軟體的開發團隊打造了更加危險的版本，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p><a href="https://www.ithome.com.tw/news/169948"><strong style="font-size: 22px;">北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" style="width: 300px; float: right;" /></a></p> <p>今年4月，資安業者Huntabil.IT揭露北韓駭客鎖定一家Web3新創公司的攻擊行動，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用Nim程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，著手調查並還原詳細的事故發生過程，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p><a href="https://www.ithome.com.tw/news/169828"><strong style="font-size: 22px;">竊資軟體Odyssey Stealer鎖定macOS使用者而來，透過ClickFix網釣散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借網頁故障或是進行圖靈驗證等理由做為幌子，要求使用者依照指示按下特定按鈕，並開啟執行視窗貼上惡意指令的ClickFix網釣攻擊手法，自3年前研究人員Mr.d0x提出警告後，相關攻擊變得極為氾濫，但這類攻擊手法大多針對Windows用戶而來，如今也有鎖定macOS用戶的情況。</p> <p>最近資安業者Cyfirma揭露的竊資軟體Odyssey Stealer，就是這樣的例子，駭客利用多個ClickFix攻擊策略，意圖對使用者傳遞惡意的AppleScript指令碼（osascripts），下達命令竊取Mac電腦瀏覽器的cookie、密碼、加密貨幣錢包資料，以及瀏覽器外掛的內容。駭客主要藉由註冊與金融業者、蘋果App Store、加密貨幣新聞網站拼字相似的網域，疑似鎖定對金融與加密貨幣感興趣的人士下手。</p> <p>駭客要求使用者依照指示按下Command+Space快速鍵，開啟Spotlight的功能，然後輸入Terminal並按下Return，最後按下網頁上的複製按鈕，將特定內容貼上終端機。但實際上用戶複製的並非網站上的I am not a robot字串，而是駭客經過Base64演算法處理的指令碼，從而在受害電腦下載竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/169934"><strong style="font-size: 22px;">勒索軟體Hunters International宣布關閉業務，釋出解密金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hunters International shutdown announcement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hunters%20International%20shutdown%20announcement.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Group-IB今年4月揭露勒索軟體Hunters International的最新動態，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據資安新聞網站Bleeping Computer的調查團隊發現，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>對於駭客宣布免費提供解密金鑰的現象，Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-use-av-edr-evasion-framework/">企業模擬攻防演練的工具驚傳遭濫用！駭客運用迴避偵測框架Shellter散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/tag-140-deploys-drat-v2-rat-targeting.html">駭客組織TAG-140鎖定印度政府、國防、鐵路領域而來，企圖散布Drat V2 RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/batavia-windows-spyware-campaign-targets-dozens-of-russian-orgs/">間諜軟體活動Batavia針對俄羅斯企業組織而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ailock-ransomware-emerges-with-hybrid-encryption-tactics/">勒索軟體AiLock採混合加密手法鎖住資料，脅迫受害組織就範</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169927"><strong style="font-size: 22px;">Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊</strong></a></p> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞CVE-2025-49826，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高度，CVSS基本分數為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p><a href="https://www.ithome.com.tw/news/169916"><strong style="font-size: 22px;">聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護</strong></a></p> <p>資安廠商發現聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows作業系統的AppLocker安全防護機制。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，而是告知用戶如何移除mfgstat.zip來因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/linux-boot-vulnerability/">Linux開機系統存在漏洞，攻擊者恐繞過安全開機防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169867"><strong style="font-size: 22px;">奧義智慧攜手臺灣AI業者APMIC，打造新世代AI防火牆安全模組</strong></a></p> <p>隨著AI應用，特別是大型語言模型在各產業的普及，其潛在的安全漏洞已成為企業揮之不去的陰影。臺灣資安業者奧義智慧科技（CyCraft）於日前宣布，將和臺灣提供企業自主AI解決方案業者APMIC（Accelerate Private Machine Intelligence Company）合作，共同推出業界首款專為防禦而生的AI模型XecGuard，以及Safety LLM安全評測服務。</p> <p>奧義智慧科技技術長暨共同創辦人邱銘彰表示，目前已經有多家正在使用AI聊天機器人的企業用戶會做先導測試（Pilot Run），預計今年第三季推出閘道端的AI防火牆產品XecGuard，便利更多企業使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> </div></div></div>
2025/7/8 18:07作者周峻佑https://www.ithome.com.tw/news/169950
伊朗駭客BladedFeline部署新型IIS與Exchange後門，滲透中東多地區政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司ESET<a href="https://www.welivesecurity.com/en/eset-research/bladedfeline-whispering-dark/">揭露</a>與伊朗關聯的駭客組織BladedFeline，持續滲透中東多地區政府與能源、電信單位，鎖定IIS與Exchange伺服器，並大規模散布Whisper、PrimeCache等新型後門程式。研究人員發現，BladedFeline自2017年起便長期潛伏於庫德自治區政府系統，2024起更已成功入侵伊拉克中央政府多名高階官員的網路環境。</p> <p>BladedFeline整體行動目標以蒐集中東地區政府與重要產業的敏感資訊為主，ESET推測其活動可能替伊朗取得區域政治與情報相關資料。</p> <p>根據ESET的程式碼分析，並比對受害目標族群及攻擊手法，BladedFeline推測可能是伊朗APT34（OilRig）旗下的子群組。該組織透過多種後門與反向通道工具，建立一套成熟的滲透、持久化及擴張三階段攻擊鏈，其中，IIS原生模組PrimeCache為關鍵技術，能被動攔截HTTP請求，並透過加密Cookie藏匿控制訊息，將參數分段接收、快取再組合執行，有效規避傳統防禦。PrimeCache全程採用RSA與AES-CBC加密並以Base64編碼，使其攻擊流量具隱蔽性不易被偵測。</p> <p>另一重要工具Whisper則針對Exchange郵件環境設計，能透過受害者的信箱雙向傳遞控制指令與回傳結果，具備自動設定信箱規則與定時回報存活狀態的功能，可遠端執行系統命令，並支援檔案上傳與下載。</p> <p>除了Whisper和PrimeCache兩大主要後門，BladedFeline也部署Shahmaran、Slippery Snakelet、Laret、Pinar等多樣化工具，結合Webshell、PowerShell腳本及反向SSH通道，建立多層次的隱蔽通道持久化滲透。</p> <p>研究人員推測，攻擊者可能先利用外部伺服器漏洞植入Webshell，再進一步部署Whisper與PrimeCache。實際入侵過程中，駭客在入侵目標運用多重後門與合法工具，進行橫向移動及維持存取權限，並持續監控關鍵系統狀態。BladedFeline還應用編譯時間戳造假與Base64混淆等技術，加強取證困難度。</p> </div></div></div>
2025/7/8 18:39作者李建興https://www.ithome.com.tw/news/169949
macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種<a href="https://www.ithome.com.tw/news/169828">Odyssey Stealer</a>、Poseidon Stealer，最近其中一起事故，是<a href="https://www.ithome.com.tw/news/169490">駭客冒充美國電信業者Spectrum發動攻擊</a>，如今有資安業者指出，<a href="https://moonlock.com/amos-backdoor-persistent-access">此竊資軟體的開發團隊打造了更加危險的版本</a>，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p>將竊資軟體與後門程式結合的做法，Atomic Stealer並非首例，北韓駭客在鎖定macOS用戶的攻擊行動裡，就積極結合這兩種惡意軟體，不過他們的目的並非為了長期在受害電腦活動，而是一口氣搜刮加密貨幣及受害者的敏感資料。</p> <p>究竟駭客如何散布Atomic Stealer？主要有兩種媒介，一種是提供破解軟體下載，另一種則是專門針對擁有大量加密貨幣的高價值目標。駭客通常會藉由工作面試流程尋找自由工作者、藝術家下手，並要求使用者輸入密碼，以便分享受害電腦的螢幕內容。一旦得逞，攻擊者就有機會挖掘密碼、通關密語（Seed Phrase）等機敏資料，並植入後門模組，以便等待接收遠端發送的命令。</p> <p>當Mac電腦感染新版Atomic Stealer之後，初期與先前版本的狀況差不多，但在竊取資料完成後，出現額外的活動。駭客以木馬化的DMG檔案模仿安裝程式，其中通常內含名為.Installer的Mach-O檔案，以及bash指令碼打造的延伸模組。Mach-O檔案具備竊資軟體的功能，而bash指令碼則內嵌了AppleScript，用途是透過osascript對.Installer下手，複製到暫存資料夾清除檔案屬性，並設置執行權限。接著，駭客也運用名為.agent的指令碼、.helper二進位檔案，以便持續於受害電腦活動。</p> </div></div></div>
2025/7/8 15:57作者周峻佑https://www.ithome.com.tw/news/169947
量子運算業者IonQ獲得10億美元私募投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250707987949/en/IonQ-Announces-Pricing-of-%241.0-Billion-Equity-Offering" target="_blank">量子運算服務供應商IonQ周一（7/7）宣布</a>，已透過定向增資方式向Heights Capital Management私募發行總值10億美元的普通股與權證，並由J.P. Morgan擔任唯一承銷商。</p> <p>2015年於美國創立的IonQ採用補獲離子技術，透過精密控制離子來執行量子運算，具備高度準確率及穩定性，提供自家開發的量子電腦及雲端運算服務，並整合AWS、Microsoft Azure Quantum及Google Cloud等平臺，提供藥物研發、金融建模、優化物流及國防等服務，並在今年6月宣布將以價值11億美元的股票買下英國量子運算新創Oxford Ionics，以強化全球布局。IonQ的目標是在2030年以前開發出具備200萬個量子位元的系統。</p> <p>此次IonQ的融資總額為10億美元，內容包括14,165,708股的普通股，每股售價為55.49美元，3,855,557股的預先認購權證，每股售價同樣是55.49美元，以及36,042,530的7年期權證，每股行使價為99.88美元。IonQ說，這是量子產業史上最大的一次單一機構投資。</p> <p>該交易的每股價格約比IonQ在7月3日收盤價（44.39美元）多出25%，而且雙方已於本周一開盤前完成交易，當天IonQ股價以45.2美元作收。</p> <p><a href="https://investors.ionq.com/news/news-details/2025/IonQ-Announces-First-Quarter-Financial-Results/" target="_blank">根據IonQ今年第一季財報</a>，該公司首季創下756.6萬美元的營收，與去年同期相當，淨虧損為3,225萬美元，比去年同期少虧了700萬美元。</p> </div></div></div>
2025/7/8 15:38作者陳曉莉https://www.ithome.com.tw/news/169946
勒索軟體Hunters International宣布關閉業務，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB今年4月<a href="https://www.bleepingcomputer.com/news/security/hunters-international-rebrands-as-world-leaks-in-shift-to-data-extortion/">揭露勒索軟體Hunters International的最新動態</a>，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">資安新聞網站Bleeping Computer的調查團隊發現</a>，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>為何駭客要結束Hunters International？根據該團體在暗網發表的聲明，起因是近期的事態發展，經過仔細考慮，最後做出的決定。雖然這份公告沒有明確說明原因，但Bleeping Computer指出就是受到執法行動的壓力，因為上述公告引用一則11月17號的聲明，內容提及基於執法行動增加與獲利減少，Hunters International很快就會關閉。</p> <p>Hunters International約於2023年下旬開始出沒，資安研究員與勒索軟體專家根據程式碼的比對，普遍認為是勒索軟體Hive品牌的品牌重塑，迄今聲稱發動約300起攻擊。受害組織包含<a href="https://www.bleepingcomputer.com/news/security/us-marshals-service-disputes-ransomware-gangs-breach-claims/">美國司法部旗下的法警局（United States Marshals Service）</a>、<a href="https://www.ithome.com.tw/news/162283">日本光學設備製造商Hoya</a>、<a href="https://www.ithome.com.tw/news/167672">印度汽車大廠Tata旗下的研發公司Tata Technologies</a>、<a href="https://www.bleepingcomputer.com/news/security/autocanada-says-ransomware-attack-may-impact-employee-data/">北美汽車經銷商AutoCanada</a>、<a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-behind-threats-to-fred-hutch-cancer-patients/">福瑞德·哈金森癌症研究中心（Fred Hutchinson Cancer Center）</a>等。</p> <p>個人資安產品評測網站Comparitech也<a href="https://www.comparitech.com/news/ransomware-gang-hunters-international-took-credit-for-250-cyber-attacks-before-shutting-down/">公布調查結果</a>，指出Hunters International營運期間約有250家企業組織受害，他們確認其中的55起事故，另有199起是尚未得到證實的事故。光是確認受害的企業組織，就有325萬筆記錄外流。</p> <p>根據受害組織的產業，有55起事故是針對一般企業、19起鎖定醫療照護機構、16起鎖定政府機關、2起是學術機構。其中針對一般企業的部分，又以製造業最多，有12起，但也有針對營造、金融、科技、法律、食品、零售的攻擊。</p> <p>對於駭客宣布免費提供解密金鑰的現象，<a href="https://www.securityweek.com/hunters-international-shuts-down-offers-free-decryptors-as-it-morphs-into-world-leaks/">Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露</a>，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p>這些駭客顯然看上竊取資料更為有利可圖的情況，他們在更名為World Leaks之後，積極利用竊得資料向受害組織勒索，而這樣的手法，在Hunters International時期就曾得逞，成功讓受害組織付錢。Rebecca Moody認為，Hunters International成員改組為World Leaks，不再加密檔案，而是集中以竊得資料進行勒索的策略，未來其他勒索軟體駭客很有可能會跟進。</p> <p>KnowBe4資安意識倡導員Erich Kron也對此現象提出看法，他指出有鑑於世界各地執法單位聯手大力打擊勒索軟體，Hunters International發布免費金鑰的舉動，應該是潛在執法活動的結果。</p> <p>駭客轉向資料竊取的做法，由於不像勒索軟體會破壞企業組織的營運，影響程度較低，Erich Kron認為，駭客這麼做比較不會引起執法機關的注意。</p> </div></div></div>
2025/7/8 12:45作者周峻佑https://www.ithome.com.tw/news/169934
Twitter創辦人Jack Dorsey開源其實驗性藍牙傳訊程式Bitchat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與創辦Twitter、Block與Bluesky的<a href="https://x.com/jack/status/1941989439237955773" target="_blank">Jack Dorsey在本周一（7/7）釋出了他利用周末開發的新專案Bitchat</a>，這是一個僅靠藍牙就能傳訊的程式，<a href="https://github.com/jackjackbits/bitchat" target="_blank">已透過GitHub開源</a>，亦登上<a href="https://testflight.apple.com/join/QwkyFq6z" target="_blank">蘋果的TestFlight應用程式測試平臺</a>，不到一天就達到TestFlight的1萬名測試上限。</p> <p>Bitchat是一個完全仰賴藍牙網狀網路（Mesh Network）的去中心化點對點傳訊應用程式，完全不需要電話號碼、電子郵件、Wi-Fi或行動網路連線。</p> <p>此外，它採用端對端加密，支援私訊與頻道加密，可建立群組頻道；支援儲存及轉寄，離線用戶在重連後仍可接到訊息；原生支援iOS與macOS，其協定可延伸支援Android；標榜不必註冊，不儲存個資，沒有永久ID，以及能夠緊急刪除資料。</p> <p>Bitchat亦允許使用者封鎖用戶，或是移交頻道所有權，一個訊息最多可經過7個中繼藍牙裝置來完成傳送，採用Unlicense公共領域授權，允許任何人自由使用、修改與散布，適用於在網路受限、災難應變或抗審查環境下的使用者。</p> <p>Dorsey在2006年共同創辦的Twitter是個微型部落格，初期限制使用者只能輸入140個字元，最後在2022年以440億美元賣給了馬斯克（Elon Musk），隨後被更名為X；2009年共同創立的Square之後更名為Block，這是一家金融科技公司，提供支付與金融服務；現身於2019年的Bluesky也是一個社交平臺，被視為是類似X的去中心化代替品，截至今年6月底已有超過3,690萬名註冊用戶。</p> </div></div></div>
2025/7/8 13:30作者陳曉莉https://www.ithome.com.tw/news/169935
ChatGPT Deep Research可能正測試串接Slack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI可能正在為Deep Research測試串接Slack的連接器（connector）功能，以便強化研究搜尋的範疇。</p> <p><a href="https://x.com/btibor91/status/1938680435854467332" target="_blank">一名研究人員Tibor研究ChatGPT程式碼發現</a>一疑似連接器的功能，並說明「允許ChatGPT deep research讀取Slack訊息。」</p> <p>目前不知OpenAI是經由和Slack合作，或是運用Slack API來達成串接。但一旦將這功能加入ChatGPT，它就能在執行Deep Research代理人進行網頁研究時，也擷取用戶的Slack內容。</p> <p>Deep Research是ChatGPT的AI代理人，可依據用戶提示，針對特定主題進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。但它逐漸加入搜尋範疇，<a href="https://www.ithome.com.tw/news/169155" target="_blank">5月時擴及Dropbox及Box雲端硬碟</a>。</p> <p>ChatGPT Deep Research代理人2月份以來開放Pro、Team、Plus方案用戶使用，<a href="https://www.ithome.com.tw/news/169155" target="_blank">OpenAI 4月另外公布輕量版Deep Research</a>，開放給免費版用戶。</p> </div></div></div>
2025/7/8 14:15作者林妍溱https://www.ithome.com.tw/news/169937
CoreWeave準備買下比特幣挖礦公司Core Scientific
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端GPU服務供應商<a href="https://www.coreweave.com/news/coreweave-to-acquire-core-scientific" target="_blank">CoreWeave周一（7/7）宣布</a>，將以全股票方式買下挖礦暨資料中心託管業者Core Scientific，每股Core Scientific將可換取0.1235股新發行的CoreWeave普通股，相當於以每股20.4美元、總價90億美元收購Core Scientific。消息一出，Core Scientific的盤後價格上漲了2.97%，為15.27美元，CoreWeave盤後亦上漲0.79%，達160.96美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-CoreWeave%20to%20Acquire%20Core%20Scientific.png" style="width: 600px;" /></p> <p>CoreWeave成立於2017年，當時公司名稱為Atlantic Crypto，所聚集的GPU資源主要用來開採以太幣，在加密貨幣於2018年崩盤之後，即更名為CoreWeave，並轉型對外供應基於GPU的運算資源，搭上了AI列車，還受到Nvidia青睞，總計投入了3.5億美元，持股7%。</p> <p>至於成立於2018年的Core Scientific，則是北美最大的區塊鏈資料中心供應商與比特幣挖礦公司，<a href="https://investors.corescientific.com/news-events/press-releases/detail/115/core-scientific-announces-fiscal-first-quarter-2025-results" target="_blank">根據該公司今年第一季的財報</a>，該季營收為7,950萬美元，就有6,720萬美元屬於挖礦收入，380萬美元為代管挖礦收入，以及860萬美元的資料中心託管收入。Core Scientific在今年第一季的營業損失為4,260萬美元。</p> <p>CoreWeave相中的是Core Scientific的資料中心業務及電力容量，目前Core Scientific在美國擁有10座資料中心，總電力容量為1.3GW，其中有840MW支援AI業務，有500MW用在挖礦上。<a href="https://investors.corescientific.com/news-events/press-releases/detail/119/coreweave-to-acquire-core-scientific" target="_blank">Core Scientific指出</a>，未來CoreWeave有可能將挖礦用的資料中心改為HPC用途，或是剝離挖礦業務。</p> <p>CoreWeave共同創辦人暨執行長Michael Intrator表示，此次收購加速了該公司大規模部署AI與HPC工作負載的策略，將Core Scientific高效能資料中心基礎設施的所有權垂直化，將可提升CoreWeave的營運效率，帶來更大的融資彈性，並強化其電力所有權及選擇能力，雙方預計於今年第四季完成交易。</p> <p>至於CoreWeave今年第一季的營收為9.8億美元，成長420%，淨虧損為3.1億美元，高於去年同期的1.3億美元虧損。不過，當CoreWeave於今年3月28日以每股40美元的發行價登上美國那斯達克（Nasdaq）股市之後，股價在3個月內漲了3倍。</p> <p>根據CoreWeave的統計，在交易完成之後，Core Scientific股東對新公司的持股比例將低於10%。</p> </div></div></div>
2025/7/8 11:32作者陳曉莉https://www.ithome.com.tw/news/169932
Azure存在曝露VPN金鑰及過高授權的漏洞可致敏感資訊外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.token.security/blog/azures-role-roulette-how-over-privileged-roles-and-api-vulnerabilities-expose-enterprise-networks" target="_blank">研究人員發現微軟Azure存在部分角色有過高特權以及曝露VPN金鑰的漏洞</a>，兩漏洞合用可能讓攻擊者輕易取得企業敏感資料。</p> <p>2項漏洞是由Token Security發現。其一存在Azure角色為基礎的存取控制（role-based access control, RBAC）。第二則位於Azure API，可能讓攻擊者洩露VPN金鑰。</p> <p>Azure RBAC是一權限管理機制，可讓管理員將權限分配給不同使用者、群組或是服務主體（service principals）。當管理員為一主體分派了角色，也就同時賦予其權限。但作者指出，在Azure 內建的400個角色中，有些角色具備過高特權（over-privileged）。作者認為有10個Reader角色被分配了不必要的讀取（*/read）特權，像是Log Analytics Reader、Managed Application Contributor Role和App Compliance Automation Reader等。</p> <p>另一漏洞存在Azure API。Azure API 一個呼叫設計錯誤，使得即便只有 read-only 特權的用戶，也能透過發送 GET 請求來取得本應該受限的敏感資料（例如 VPN閘道的預共享金鑰（pre-shared key, PSK）。</p> <p>研究人員說，結合這二個漏洞能發展出攻擊串，使駭客得以存取公司內部的雲資產或是本地部署網路。例如攻擊者先取得某個具備（或不當分配了）*/read特權的角色，取得VPN 閘道的共享金鑰，藉此建立站對站連線（site-to-site connection）連上內部網路，包括企業VPC和本地部署網路。他也以影片示範了如何利用Log Analytics Reader角色連上企業VPN發動竊密攻擊。</p> <p>研究人員將二項漏洞通報微軟後，針對VPN PSK洩露漏洞，微軟承認為「重要」風險，已修補完成，頒布7500美元獎金給研究人員。至於第一項過度給予特權（over-privileged）的角色漏洞，微軟認為是低度嚴重性的安全問題，決定不修補。研究人員提醒企業最好不要在環境中使用這10項角色。</p> </div></div></div>
2025/7/8 11:37作者林妍溱https://www.ithome.com.tw/news/169933
日本Yahoo如何實驗網站前端效能優化方法，用有限成本同時提升使用者體驗與廣告收入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新聞網站是日本Yahoo龐大流量集散地，累積7,770萬月活躍讀者，更是母公司LYC一年3千億日圓營收的展示型廣告業務中，不可或缺的重要廣告通路。今年LYC年度技術大會中，日本Yahoo分享自家提升網站前端效能的實驗歷程，探索如何用盡可能有限的資源，來改善使用者體驗及增加廣告收入。</p> <p>日本Yahoo廣告工程師Imamiya Masaki說，這並不是他們第一次，利用提升網站前端效能來增加廣告收入。他們曾經針對Google提出的Core Web Vitals網站效能指標來優化，提升高達15%單一工作階段網頁瀏覽次數（Page View）。他們還在導入Back-Forward Cache（往返快取）技術後，提升高達9%的廣告營收。</p> <p>這次，他們則希望強化預先渲染技術（Pre-render），來加速網站內容顯示速度，並觀察，內容顯示效率提升，能否增加閱讀量、停留時間、點擊率，或減少跳出率，進而對廣告業務指標做出貢獻。</p> <p>預渲染技術是，預測可能即將載入的資源，提前請求並渲染頁面和執行JavaScript。如此，使用者點擊連結或開啟新內容時，瀏覽器就能立即呈現完整內容。這種做法的代價是，若預測使用者點擊不夠準確，會導致預先渲染內容，最後卻不會呈現給使用者，白白增加資源消耗。為了衡量這項代價，日本Yahoo在實驗中追蹤「預渲染命中率」指標，亦即「使用者真正看到的」預渲染項目數占總體比例。</p> <p>日本Yahoo工程團隊導入Google開發的Speculation Rules API，來A/B測試不同預渲染預測規則下，網站前端表現及廣告收入如何受影響。這個API允許開發者透過宣告式JSON語法定義預渲染邏輯，包括針對哪些連結生效、需排除哪些條件等。開發者還可以調整Eagerness設定，決定不同觸發預渲染的規則。Immediate規則是立即預渲染下一個頁面；Moderate規則是滑鼠游標移動到連結上200毫秒後開始預渲染；Conservative規則則是在滑鼠按鈕按下（而非按下後釋放）連結後預渲染。</p> <p><strong>第一次實驗：在首頁預渲染新聞文章頁面</strong></p> <p>首次預渲染實驗對象是，使用者新聞網站首頁時，預先渲染個別新聞網站。他們採取Moderate規則，當使用者游標停留在文章連結200毫秒，即開始預渲染。結果顯示，點選連結後，平均畫面跳轉時間從0.8秒縮短至0.4秒。使用者設備性能不佳或網路連線不穩時，可以減少更多時間。</p> <p>然而，當日本Yahoo工程團隊發現，使用者行為數據與廣告收入等業務指標並未明顯變化。不只如此，預渲染命中率只有15%，造成浪費許多資源浪費。他們推測，因為新聞首頁基礎延遲已經很低、文章頁廣告內容未預渲染、新聞連結密集排列導致大量觸發預渲染等原因，無法判斷Moderate規則是否有作用。</p> <p><strong>第二次實驗：預渲染新聞文章頁面的廣告內容</strong></p> <p>日本Yahoo工程團隊根據這些教訓，來設計第二次實驗。這次，他們將實驗對象聚焦到「閱讀全文」連結的點擊後行為，像是頁面重新整理並重新顯示文章內容，以及廣告內容。</p> <p>這種設計下，觸發預渲染預測的前端UI元件只有閱讀全文連結，較不易造成誤判，也能測試更耗費資源的Immediate觸發規則。不只如此，他們希望廣告內容加速顯示，能吸引更多的讀者注意力。</p> <p>新聞文章頁面中，有上方大型廣告，以及下方小型廣告兩種版位。下方小型廣告格式簡單、請求處理通訊量較少，採取預先處理廣告庫載入、廣告請求處理、廣告顯示的完整流程。上方大型廣告格式包括圖片及影片，且需要呼叫多個伺服器，包括不支援預渲染的伺服器，只能預先處理「廣告請求處理」階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/yhads1.jpg" style="width: 800px;" /></p> <blockquote><p>點擊「閱讀全文」（紅色框）連結後，文章頁面會重新整理並顯示出來新文章內容及廣告內容（紫色框）。第二次實驗中，廣告內容也會被預渲染。</p> </blockquote> <p>實驗結果，下方小型廣告，從原本平均3秒顯示時間縮短至僅0.3至0.5秒。上方大型廣告顯示時間，則從原本平均4秒降至約1.6秒。命中率方面，Moderate規則的效果達到44%，而Immediate規則的效果也提升至31%，相較於前一輪的15%已有顯著進步。</p> <p>他們發現，並非所有廣告類型都出現業務指標提升。下方小型廣告雖然顯示加速，但業務指標並無變化。上方廣告中，僅支援影片格式的版本，在Immediate規則下，出現具統計意義的2至3%點擊率（CTR）增幅。以CTR通常只有個位數的新聞展示型廣告而言，幅度不小。</p> <p>日本Yahoo新聞工程師Kiraku Tomoki表示，儘管先前提升網站效能時，都能為廣告收入帶來效益，不過在大規模導入新的網站效能提升法時，工程團隊仍謹慎透過兩輪A/B實驗，來找出確實能帶來廣告收入的預渲染模式。這次實驗中，他們意識到單純提升顯示速度，未必會提升使用者與廣告互動的行為。內容類型、廣告版位與視覺設計等因素，可能同樣甚至更為關鍵。他們推測，預渲染影片廣告之所以有效，可能為使用者帶來更強烈的感官體驗，進而帶動更多點擊行為。他們也透過實驗鎖定了這個能帶來收入的模式，並計畫正式導入影片廣告預渲染做法。</p> <p></p> </div></div></div>
2025/7/8 10:46作者郭又華https://www.ithome.com.tw/news/169930
溫布頓網球賽AI線審頻出包備受批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>溫布頓（Wimbledon）網球錦標賽本次正式使用的AI線審，出現誤判或比賽中無法運作等問題遭多位選手批評。</p> <p>今年溫布頓網球賽首次啟用AI線審（ Electronic Line Calling，ELC）周一發生嚴重失誤。這個系統旨在完全取代人類線審判斷擊球是否出界並且發出聲音。但女單第四輪俄羅斯選手Anastasia Pavlyuchenkova對戰英國選手Sonay Kartal，在第一盤比賽打到4:4並且在Advanced時，Kartal的擊球明顯出界ELC系統卻沒有發出任何判決。主審立即喊停比賽，最後在與大會通過電話後向大會宣布，ELC系統未能追蹤到球，必須重打。最後英國選手拿下該局。雖然俄羅斯選手最終贏得比賽，<a href="https://www.dailymail.co.uk/sport/tennis/article-14883133/Wimbledon-electronic-line-errors-Sonay-Kartal.html" target="_blank">但她當時指控該局「遭大會偷走」</a>。</p> <p>原因是當時ELC使用的一組攝影鏡頭被工作人員不慎關閉。<a href="https://www.theguardian.com/sport/2025/jul/07/one-click-operator-error-led-to-wimbledon-line-calling-failure" target="_blank">媒體報導</a>，AI系統在該場比賽中停止運作6分49秒，漏判了3顆出界球。</p> <p>大會在周一緊急修正，使ELC攝影機無法在系統啟用時人為關閉。</p> <p>不過這並不是這次大會中AI線審首次出包。在此之前，<a href="https://www.theguardian.com/sport/2025/jul/07/player-faith-in-technology-shaken-by-storm-around-ai-line-calling-at-wimbledon" target="_blank">另兩名英國選手Emma Raducanu和Jack Draper也都在大會中聲稱，ELC系統沒有正確判決對手擊球出界</a>。</p> <p>而美國選手Ben Shelton則是在上周第二輪快打完時，被大會通知因為天色太暗會影響ELC判讀，剩下的一局必須隔日接續，隔日他僅花了1分10秒就結束比賽。本次大會許多其他場比賽都被迫拆成兩天完成。</p> <p>雖然飽受選手批評，但舉辦溫布頓公開賽的全英俱樂部仍然堅持繼續使用AI線審ELC。目前四大公開賽中，僅剩法網未使用俗稱鷹眼的電子線審系統。</p> </div></div></div>
2025/7/8 09:54作者林妍溱https://www.ithome.com.tw/news/169931
Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞<a href="https://vercel.com/changelog/cve-2025-49826">CVE-2025-49826</a>，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高，CVSS 3.1基本分數則為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p>Vercel官方公告指出，他們的架構設計不會讓204回應被CDN快取，因此所有在Vercel託管的用戶都不會受到這個漏洞影響。採用自建或其他非官方託管環境的開發者，則需特別注意相關設定與版本更新。</p> <p>針對此次漏洞，Next.js團隊已於15.1.8版本移除相關問題程式碼路徑，並針對導致競態條件（Race Condition）可能造成快取污染的部分進行修正。該漏洞未影響資料機密性與完整性，僅會造成可用性中斷，不過採用受影響版本的用戶仍應儘速升級，以降低相關潛在風險。</p> </div></div></div>
2025/7/7 19:22作者李建興https://www.ithome.com.tw/news/169927
【資安日報】7月7日，Linux命令列工具Sudo修補兩項權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這週末有數則漏洞修補的消息，其中尤以Sudo發布新版的消息相當值得留意，開發團隊這次一共修補兩項漏洞，但特別的是，其中一項危險程度僅有2.3分的低風險漏洞引發關注，因為從12年前發布的版本都受到影響，而有可能影響相當廣泛。</p> <p>而在這段期間發生的資安事故當中，Apache Tomcat、Camel漏洞利用的攻擊活動相當值得留意，再者，由於先前有<a href="https://www.ithome.com.tw/news/169883">Verizon、T-Mobile資料外洩事故</a>，西班牙電信業者Telefonica傳出資料外洩的情況，也引起關注；附帶一提的是，中國駭客仿冒知名品牌網站，試圖針對墨西哥用戶進行大規模網釣攻擊的現象，其手法也引起網路情報平臺Silent Push注意，並調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169918"><strong style="font-size: 22px;">Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" style="width: 300px; float: right;" /></a></p> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞CVE-2025-27636與CVE-2025-29891（風險值5.6、4.8），同月下旬資安業者Wallarm警告，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告揭露上述3項漏洞遭到利用的跡象，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p><a href="https://www.ithome.com.tw/news/169923"><strong style="font-size: 22px;">西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站BleepingComputer報導，有人在地下網站公佈了取得了Telefonica公司檔案及客戶資料，檔案大小高達106 GB，還揚言若不理會將全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路進行活動，並外傳資料了12小時之久，直到被切斷存取為止。Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3 GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統記錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則透露，這批是駭客以前外洩的資料。</p> <p><a href="https://www.ithome.com.tw/news/169896"><strong style="font-size: 22px;">中國駭客冒充知名品牌，企圖竊取消費者付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" style="width: 300px; float: right;" /></a></p> <p>網路情報平臺Silent Push日前披露，中國駭客正在仿冒墨西哥的各種熱門品牌，並建置基於英文及西班牙文的釣魚網站，以騙取消費者的Google Pay或是信用卡資訊，迄今仍有數千個釣魚網站存活。</p> <p>一名墨西哥記者Ignacio Gómez Villaseñor先是在今年5月底發現並報導此事，當時他找到了逾700個偽裝成各種品牌的網釣網站，而且它們都來自同一個IP。</p> <p>Silent Push接著對此展開了調查，發現駭客冒充的對象涵蓋Apple、Harbor Freight Tools、Hermes、Michael Kors、REI、PayPal、Wayfair及Wrangler Jeans等知名品牌，使用以假亂真的網址，通常只是小小的拼寫錯誤，但盜用了官網的圖片與設計，企圖誘拐消費者購買並輸入信用卡資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/rondobox-unveiled-breaking-down-a-botnet-threat">殭屍網路RondoDox鎖定TBK旗下設備而來，利用已知漏洞綁架DVR裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://Scattered Spider Enhances Tactics to Exploit Legitimate Tools for Evasion and Persistence">Scattered Spider濫用多種遠端管理工具試圖回避偵測、持續在受害組織活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/snake-keyloggers-exploit-java-utilities/">竊資軟體Snake Keyloggers濫用Java公用程式躲過資安工具偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體安裝工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">勒索軟體Hunters International關閉業務，釋出解密金鑰</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169928"><strong style="font-size: 22px;">Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限</strong></a></p> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞CVE-2025-32462、CVE-2025-32463，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報上述漏洞的資安業者Stratascale強調，目前沒有緩解這些弱點的措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462，此漏洞也同樣不能輕忽，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發，就能將權限提升為root。</p> <p><a href="https://www.ithome.com.tw/news/169854"><strong style="font-size: 22px;">已終止支援的D-Link DIR-816路由器含有遠端攻擊等多個重大漏洞</strong></a></p> <p>代號為pjqwudi的資安研究人員在今年6月初提交6個有關D-Link DIR-816路由器的安全漏洞，相關漏洞將允許駭客自遠端完全控制路由器，或者部署持久性的後門程式，由於該款路由器已於2023年11月便退役，也不再提供技術支援或韌體更新，D-Link強烈建議用戶停用該產品。</p> <p>上個月披露的6個D-Link DIR-816漏洞分別是CVE-2025-5622、CVE-2025-5623、CVE-2025-5624、CVE-2025-5630、CVE-2025-5620及CVE-2025-5621，除了命令注入漏洞CVE-2025-5620與CVE-2025-5621被列為高風險層級，另外4個皆為重大層級的緩衝區溢位漏洞，允許駭客自遠端執行任意程式、癱瘓設備、植入惡意韌體或是變更設定。</p> <p>資安研究人員警告，上述漏洞將讓駭客可完全掌控路由器，攔截與操縱網路流量，部署惡意軟體或後門程式。</p> <p><a href="https://www.ithome.com.tw/news/169873"><strong style="font-size: 22px;">德國資安業者揭露達發科技藍牙晶片漏洞，近30款音訊設備恐遭監聽</strong></a></p> <p>德國資安業者ERNW在Troppers資安會議上揭露，由聯發科子公司達發科技（Airoha）所設計的藍牙音訊系統單晶片（SoC）中含有3個安全漏洞，將允許駭客控制採用該晶片的裝置，像是耳機、喇叭或無線麥克風等，波及Bose、Sony、Jabra、JBL與Marshall等知名品牌的音訊裝置。Airoha已於今年6月初藉由更新SDK修補了相關漏洞。</p> <p>研究人員Dennis Heinze與Frieder Steinmetz解釋，這些採用Airoha解決方案的裝置曝露強大的專屬通訊協定，允許第三方讀寫隨機存取記憶體或快閃記憶體以控制裝置（CVE-2025-20702），且該協定在沒有身分驗證的情況下，就能透過低功耗藍牙的GATT介面（CVE-2025-20700），以及傳統藍牙的RFCOMM通道（CVE-2025-20701）存取。</p> <p>上述漏洞讓駭客只要位在藍牙範圍內，不必經過身分驗證或配對，就能透過傳統藍牙或低功耗藍牙展開攻擊，包括完全控制藍牙耳機，讀寫裝置的記憶體，或是劫持受害裝置與其它裝置的信任關係，進行竊聽，竊取手機號碼與通訊紀錄，也能根據手機配置以獲取聯絡人資訊，還具備蠕蟲式傳播潛力。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169866"><strong style="font-size: 22px;">防止CrowdStrike事件重演，微軟疑不再讓第三方防毒軟體存取Windows核心</strong></a></p> <p>為防去年CrowdStrike事故造成數百萬臺Windows裝置停擺事件重演，微軟最新合作夥伴計畫顯示，可能不再讓第三方防毒軟體存取Windows核心。</p> <p>微軟近期宣布Microsoft Virus Initiative（MVI）計畫3.0版，勾勒出最新規畫。MVI是在去年七月CrowdStrike更新出包，引發超過850萬臺Windows個人電腦與伺服器當機而生。CrowdStrike事件後，微軟於同年九月召集防毒及端點安全方案業者，發起MVI以提升Windows韌性，並釐清彼此責任。</p> <p>目前MVI已進入3.0。最新一代要求合作夥伴「採取特定行動」以改善Windows安全及穩定性。現有成果包括要求防毒軟體更新必須漸進式，並監控可能的不良影響、測試事件回應流程等。科技新聞媒體Ars Technica、Cybernews認為，此舉很有可能是微軟想將第三方防毒踢出Windows核心。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> </div></div></div>
2025/7/7 16:54作者周峻佑https://www.ithome.com.tw/news/169929
Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞<a href="https://www.sudo.ws/security/advisories/host_any/">CVE-2025-32462</a>、<a href="https://www.sudo.ws/security/advisories/chroot_bug/">CVE-2025-32463</a>，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報此事的資安業者Stratascale強調，這些漏洞沒有其他替代緩解措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。</p> <p>這項漏洞源自1.9.14版Sudo引入的路徑解析變更，一旦攻擊者在特定使用者的根目錄建立/etc/nsswitch.conf檔案，就有機會讓Sudo載入任意的共用程式庫。</p> <p>針對漏洞的危險之處，<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot">Stratascale指出</a>雖然這項弱點涉及chroot的功能，但由於不需使用者建立特定的規則，預設組態的Sudo就會曝險，若是遭到利用，攻擊者就能在取得任意本機使用者帳號的情況下，將權限提升為root。他們也確認Ubuntu 24.04.1、伺服器版Fedora 41預載的Sudo存在這項漏洞；1.8.32版以下的Sudo因尚未提供chroot功能，不受漏洞影響。</p> <p>另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462。這項漏洞存在於Sudo的host（-h或--host）選項當中，一般來說，使用者通常會搭配list（-l或--list）的選項，列出使用者在特定主機上的Sudo權限。</p> <p>這項弱點發生的原因為何？起因在於Sudo會將主機名稱錯誤地視為設定檔Sudoers規則的部分內容，使得此組態檔案只要host欄位只要不是設置為本機或是ALL，就會受到影響。這種弱點主要影響套用通用Sudoers檔案的區域網路電腦。</p> <p>值得留意的是，該漏洞影響2013年8月發布的1.8.8版，意味著這12年推出的Sudo都有這項漏洞。雖然這項漏洞的僅被評為低風險，但<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host">Stratascale認為不能輕忽</a>，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發就能將權限提升為root。他們也在Ubuntu 24.04.1、macOS Sequoia 15.3.2等作業系統上，確認存在這項弱點。</p> </div></div></div>
2025/7/7 16:42作者周峻佑https://www.ithome.com.tw/news/169928
Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭<a href="http://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq">露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813</a>（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞<a href="https://camel.apache.org/security/CVE-2025-27636.html">CVE-2025-27636</a>與<a href="https://camel.apache.org/security/CVE-2025-29891.html">CVE-2025-29891</a>（風險值5.6、4.8），同月下旬<a href="https://www.ithome.com.tw/news/167913">資安業者Wallarm警告</a>，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告<a href="https://unit42.paloaltonetworks.com/apache-cve-2025-24813-cve-2025-27636-cve-2025-29891/">揭露上述3項漏洞遭到利用的跡象</a>，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p>根據Palo Alto Networks這次發表的報告，CVE-2025-24813的成因與Tomcat提供的Partial PUT功能有關，一旦攻擊者成功利用，就有機會覆寫存放在磁碟上的序列化連線階段（Session）檔案，從而執行任意程式碼。這項漏洞形成的必要條件，就是Tomcat設置為存放HTTP連線階段資料，使得攻擊者能利用帶有Content-Range的標頭，引發Tomcat處理Partial PUT請求不當的現象。根據截取到攻擊者實際使用的有效酬載呈現的漏洞利用手法，Palo Alto Networks發現，攻擊者先發出HTTP PUT請求試圖利用漏洞，目的是偵察目標伺服器是否執行有弱點的Tomcat，假如利用成功，就有可能存取界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）伺服器。</p> <p>針對CVE-2025-27636與CVE-2025-29891的部分，這兩個弱點都存在於Camel的預設傳入標頭過濾器，使得攻擊者有機會透過特製的HTTP標頭或參數觸發。Apache基金會在資安公告提及，這些漏洞發生的根本原因相同，他們也使用相同的程式碼進行修正，攻擊者能夠利用漏洞的必要條件，就是Camel路由採用了特定元件。而Palo Alto Networks也在調查報告提出類似看法，指出攻擊者若是調整標頭的大小寫，就有機會繞過Camel的過濾器，從而利用漏洞。在其中一起利用CVE-2025-27636的攻擊行動裡，一旦成功觸發，Camel伺服器就執行echo命令；而在另一起嘗試利用CVE-2025-29891的活動當中，攻擊者疑似想要藉此連往存在弱點的Tomcat伺服器，並與OAST伺服器進行連線。</p> </div></div></div>
2025/7/7 12:54作者周峻佑https://www.ithome.com.tw/news/169918
西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-telef-nica-data-allegedly-stolen-in-a-new-breach/" target="_blank">BleepingComputer報導</a>，一名駭客在地下網站公佈了取得了Telefonica公司檔案及客戶資料高達106GB，還揚言全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路並活動並外傳資料了12小時之久，直到被切斷存取為止。</p> <p>Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統紀錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則說，是駭客以早前外洩的資料為幌子勒索公司。</p> <p>不知因為遭到Telefonica拒絕聯繫，這名Rey於上周釋出了5GB的公司資料，以證明這106GB資料皆為新資料。根據分析，駭客提供給媒體的部份資料包含歐洲數國、智利、祕魯的企業客戶資料，以及歐洲及南非數國的員工郵件信件，以及歐洲商業夥伴的發票。但這些檔案皆為2021年的資料。</p> <p>但駭客揚言，很快將公佈完整檔案樹，而且，若Telefonica還不照辦（付款），他會在接下來幾個星期釋出完整資料。</p> <p>Telefonica是最近傳出洩露大量資料的電信公司。上周<a href="https://www.ithome.com.tw/news/169883" target="_blank">美國二大電信公司Verizon、T-Mobile</a>也被傳上億筆資料落入駭客手中，不過兩公司矢口否認是新的資安事件。<a href="https://www.ithome.com.tw/news/169076" target="_blank">5月韓國電信SKT</a>則承認一起網路攻擊行動影響2700萬門號。2024年底資安廠商揭露中國駭客組織Salt Typhoon，透過思科網路設備漏洞，入侵了至少9家美國電信業者，<a href="https://www.ithome.com.tw/news/169688" target="_blank">加拿大一家電信公司則在上個月成為該組織最新一家受害者</a>。</p> </div></div></div>
2025/7/7 16:11作者林妍溱https://www.ithome.com.tw/news/169923
【資安週報】0630~0704，調查局破獲消防局行動派遣系統資訊遭竊，殯葬業者委託駭客攻擊，目的是搶生意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年7月初的資安新聞，臺灣有兩起重大新聞事件受矚目，包括消防救護領域有即時資訊遭竊，以及金融支付領域有全支付UAT測試環境帳密外洩情形。</p> <p>（一）調查局偵破消防局救護資訊遭竊案，全臺21縣市的行動派遣等緊急救護系統受影響，發現每年非法連線超過三千萬次。調查發現，喪葬業者委託潘姓男子入侵系統，非法取得派遣與出勤資訊，行為已持續逾四年。經檢察官複訊後，業者與工程師均涉犯刑法妨害電腦使用罪。<br /> （二）全支付Pxpay Plus測試環境的管理帳密被發現兜售於深網（Deep Web），該公司表示已掌握此事，確實有測試環境帳密外洩情資，經深入分析非內部系統遭駭，而是少數合作商戶遭駭客入侵，從其商戶的個人電腦取得登入資訊所導致。</p> <p>還有3起威脅與風險揭露，同樣值得臺灣留意，涵蓋網釣攻擊、鎖定Exchange伺服器的攻擊，以及國安局依據《行動應用APP基本資安檢測基準v4.0》抽查5款中國App的結果公開。<br /> ●資安業者Seqrite揭露國家級APT攻擊活動Swan Vector正鎖定臺灣、日本，藉由假的履歷表、財務文件名義網釣，鎖定教育與機械工程產業。<br /> ●資安業者Positive Technologies揭露有駭客鎖定Exchange伺服器注入鍵盤內容側錄工具（Keylogger），越南、俄羅斯與臺灣是前3大攻擊目標。<br /> ●國安局針對5款中國App進行抽查，依據15項指標檢測，發現小紅書每一項都違規，微博、抖音則有13項違規、微信為10項、百度雲盤為9項。</p> <p>在威脅態勢方面，國際間有一連串重大消息是：多家航空業運輸業發布資安事故公告，包括夏威夷航空、西捷航空與澳洲航空。</p> <p>更引發關注的是，這些事件可能都與駭客團體Scattered Spider有關，該組織擅長網釣、憑證竊取、語音網釣、SIM swapping、簡訊網釣，美國FBI已於6月30日於社群平臺X示警，指出該組織正將攻擊目標轉向航空與運輸業，手法是經常假冒員工或承包商誘騙企業IT支援服務臺（IT Help Desk），騙取內部系統存取權限。</p> <p>其他重要資安威脅態勢與事件，其中多款IDE延伸套件檢驗機制的問題最值得留意，需要開發人員重視。</p> <p>●資安業者OX發現常用IDE工具的IDE延伸套件檢驗機制存在瑕疵，影響範圍涵蓋Visual Studio Code、Visual Studio、IntelliJ IDEA、Cursor，導致攻擊者可讓惡意套件顯示「已通過驗證」徽章，欺騙開發人員。<br /> ●法國網路安全局（ANSSI）發布調查報告，指出中國駭客UNC5174自去年9月初開始，對當地的政府、電信、媒體、金融、交通產業發起攻擊行動Houken，主要利用Ivanti漏洞入侵。<br /> ●瑞士政府揭露資料外洩事件，起因是受非營利組織Radix遭勒索軟體攻擊波及。</p> <p>此外，還有3篇我們針對OTP盜刷網釣的報導，其最新態勢顯示同步竊取OTP的手法已經氾濫，且盜刷領域的網釣即服務（PhaaS）數量大增，因此支付與電商產業需採強式身分驗證機制，強化裝置指紋識別技術，持續發展AI/ML詐欺偵測模型。</p> <p>在漏洞消息方面，有一個零時差漏洞攻擊的事件，Google針對Chrome修補V8 JavaScript引擎的類型混淆CVE-2025-6554，已獲報有鎖定利用情形。還有兩個已知漏洞新遭鎖定，今年5月安全通訊解決方案廠商TeleMessage TM SGNL的漏洞CVE-2025-48927、CVE-2025-48928證實已遭利用。</p> <p>至於資安防禦與合規方面，有兩則重要新聞，在國際間，AT&T為了防堵SIM卡置換攻擊，推出可讓用戶啟用Wireless Account Lock的新機制，促使未來電信門號進行重要變更的程序時，需強制採取額外的步驟進行驗證；在國內，臉書廣告服務管理系統出包，又有23件廣告未即時揭露託播者訊息，遭數發部開罰1,500萬元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169807"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】微軟Exchange伺服器遭大規模攻擊鎖定，臺灣是前三大目標</span></strong></a></h3> <p>近期鎖定微軟Exchange伺服器的攻擊行動再度出現，值得留意的是，揭露此事的資安業者Positive Technologies表示，臺灣是駭客攻擊的主要目標，受害規模僅次於越南、俄羅斯。</p> <p>鎖定MFT檔案傳輸系統MOVEit、Citrix NetScaler已知漏洞的攻擊行動，以及惡名昭彰的Scattered Spider針對航空產業而來，都相當值得留意，在法規遵循方面的消息，國內數發部對Meta二度開罰、德國要求蘋果與Google下架DeepSeek行動裝置App的情況，後續發展值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169833"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</span></strong></a></h3> <p>6月下旬Citrix先後修補CitrixBleed 2（CVE-2025-5777）、CVE-2025-6543，並表明CVE-2025-6543已出現實際利用的情況，然而CitrixBleed 2也相當危險，輕忽不得！Shadowserver基金會指出，有超過1,200臺NetScaler設備尚未修補這項漏洞，值得留意的是，這樣的數字並不包含企業設置於內部網路環境、未與網際網路連線的NetScaler設備，因此實際曝險範圍可能遠大於此。</p> <p>在其他資安事故方面，有兩起網釣攻擊值得留意，其中，鎖定臺灣、日本的APT攻擊Swan Vector，駭客利用履歷表與財務文件當作誘餌引人上當；另一起則是針對使用簡體中文的用戶而來，中國駭客組織Silver Fox假借提供DeepSeek、WPS Office、搜狗輸入法等安裝程式，來散布惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/169852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</span></strong></a></p> <p>因應SIM卡置換（SIM Swapping）攻擊氾濫的現象，首度有大型美國電信業者祭出新的防護機制，而受到各界關注，這項服務免費提供，用戶必須在手機App當中啟用，才能受到保護。</p> <p>今天我們也整理多起資安事故與弱點相關消息，有兩件是關於網路攻擊，像是：瑞士政府機關因非營利組織Radix遭勒索軟體攻擊而導致資料外洩的情況、駭客以更隱密的手法濫用組態不當的Docker API從事挖礦攻擊，另外兩起是資安漏洞方面的狀況，例如：美國CISA證實Citrix NetScaler重大漏洞CVE-2025-6543已被用於實際攻擊、Google修補已遭利用的零時差漏洞CVE-2025-6554，也相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169878"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月3日】全支付測試環境帳密驚傳遭駭客兜售</span></strong></a></h3> <p>本日國內最受到關注的資安新聞，應該就屬電子支付平臺全支付（Pxpay Plus）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩，察覺此事的資安專家指出，由於測試與正式環境共用商業邏輯與金流驗證機制，有可能會波及正式環境。</p> <p>在上述的資安事故之餘，中國應用程式過度收集用戶個資並傳送到中國的情況，也相當值得留意，本週國安局認證5款熱門中國App存在嚴重資安風險，呼籲民眾挑選應用程式要特別小心；而在今天發生的國際資安事故當中，我們整理了澳洲航空Qantas傳出遭到Scattered Spider攻擊，再者，法國揭露去年中國駭客UNC5174利用Ivanti CSA設備零時差漏洞入侵當地企業組織的情形。</p> <h3><a href="https://www.ithome.com.tw/news/169894"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</span></strong></a></h3> <p>最近幾年鎖定開發人員而來的惡意套件攻擊相當氾濫，這些攻擊的範圍相當廣，涵蓋NPM、PyPI，以及Visual Studio Code（VSCode）等，多半都是上架市集引誘開發者上當，但最近資安業者OX發現，IDE對於延伸套件驗證機制存在缺陷，攻擊者可製作顯示已通過驗證（Verified）的套件，目的是誘騙開發者上當。</p> <p>而在今天的資安新聞，有數則與臺灣有關的消息，首先針對近日有人兜售全支付測試環境帳密資料的情況，我們獨家採訪該公司並取得回應，他們也進一步透露掌握的情況及調查結果；再者，有數家殯葬業者為了搶生意，竟找駭客來監聽消防救護系統，相當不可取；數發部警告有歹徒假冒買家、客服、第三方支付網站的情況，消費者須提高警覺。</p> <p> </p> </div></div></div>
2025/7/7 09:51作者羅正漢https://www.ithome.com.tw/news/169914
傳出版商向歐盟控訴Google推AI Overviews影響生機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/legal/litigation/googles-ai-overviews-hit-by-eu-antitrust-complaint-independent-publishers-2025-07-04/" target="_blank">路透社報導</a>，一群出版商日前向歐盟及英國主管機關控告Google的AI Overviews功能已影響其營收方式，要求主管機關出手禁止。</p> <p>根據媒體看到的6月30日遞交的文件，獨立出版商聯盟（Independent Publisher Alliance）控訴Google濫用了搜尋獨大地位，以出版商內容為基礎生成了AI內容，還置於優先位置，已經以流量、讀者群及營收損失的形式對出版商造成傷害，且傷害仍在持續。</p> <p>AI Overviews是Google以Gemini為基礎，這項功能在用戶搜尋關鍵字時，將網頁內容搜尋結果整理成摘要內容顯示在搜尋頁上方，讓用戶不必點進網頁也能得到答案。AI Overviews已在全球100多國推出，Google也計畫在AI Overviews加入廣告。</p> <p>獨立出版商聯盟說，他們除非退出Google搜尋引擎索引，否則就得被迫加入Google AI訓練或AI摘要的對象。出版商也要求主管機關在審案期間發出禁制令，阻止Google造成無法回復的傷害。</p> <p>Google對路透社表示，AI Overviews大幅提升使用者體驗，並為內容出版商創造接觸到用戶的新機會。</p> <p>歐盟拒絕評論報導，不過英國競爭與市場管理署（Competition and Markets Authority）則證實已接收到陳情文件。<a href="https://pressgazette.co.uk/platforms/cma-to-force-google-to-work-more-fairly-with-uk-publishers/" target="_blank">媒體報導</a>，英國CMA於6月底表示計畫指定Google為該國《2024數位市場、競爭和消費者法案》定義的具有「策略市場地位」的科技平臺，這表示CMA可要求Google以公平而合理原則和新聞出版商交易。</p> <p>出版商對AI大廠的不滿並非從AI Overviews才開始，更早的聊天機器人就已引發網路內容出版商抗議，並提出多起訴訟。CDN業者Cloudflare公布的一項研究，Google AI聊天機器人的出現，使出版商達到過去的流量的難度增加10倍。若是OpenAI ChatGPT或Anthropic Claude則要達到750及30,000倍。</p> <p>為此<a href="https://www.ithome.com.tw/news/169844" target="_blank">Cloudflare介紹</a>一種新商業模式，讓AI業者付錢換取內容網站准許AI爬蟲擷取網頁。</p> </div></div></div>
2025/7/7 11:42作者林妍溱https://www.ithome.com.tw/news/169917
聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oddvar.moe/2025/07/03/applocker-bypass-on-lenovo-machines-the-curious-case-of-mfgstat-zip/" target="_blank">資安廠商發現</a>聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows 的AppLocker提供的安全防護。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows/security/application-security/application-control/app-control-for-business/applocker/applocker-overview" target="_blank">AppLocker</a>是內建於Windows的安全工具，可讓標準使用者控制哪些App和文件檔案、指令碼、DLL、已封裝應用程式或Windows Installer等檔案可以執行，並防止使用者執行未經核准的檔案。</p> <p>研究人員表示，AppLocker 預設規則是，使用者可執行C:\Windows目錄下任何檔案，然其運作基礎是標準使用者無法寫入已受保護的區域。而mfgstat.zip就成了一個破口。一般使用者可以先在mfgstat.zip中寫入程式碼，然後運用經過核准的Windows二進位檔，例如研究人員測試時，以AppLVP.exe執行寫入的程式碼，繞過AppLocker防護。這個過程只需標準用戶身份，不必具備管理員權限。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，<a href="https://support.lenovo.com/us/en/product_security/HT517812" target="_blank">而是告知移除mfgstat.zip的方法</a>。最直觀的方法是利用檔案管理員，找到C:\Windows，利用「檢視」顯示隱藏的檔案，找到mfgstat.zip，再按右鍵從選單中選擇「刪除」。若是企業電腦，則必須使用微軟System Center 配置管理員（SCCM）中的群組規則（Group Policy）或其他工具來移除。</p> <p>mfgstat.zip是包含在聯想預設Windows映像檔中，但許多大型企業執行自有配置的作業系統，而不使用聯想預設軟體。因此使用自有映像檔的企業，應該不存在這個檔案。</p> </div></div></div>
2025/7/7 10:50作者林妍溱https://www.ithome.com.tw/news/169916
川普簽署《大而美法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在上周五（7/4）美國獨立紀念日當天，簽署了備受外界爭議的《大而美法案》（One Big Beautiful Bill），使它成為正式法令。</p> <p>此一法令的主要條款包括永久延續《減稅與就業法案》的個人與企業減稅，豁免小費、加班費及養老金的稅收，提高地方稅的扣除上限；大幅削減聯邦醫療補助支出；增加逾1,500億美元的國防預算；撤銷多項乾淨能源補貼，強化傳統能源產業；自動提高債務上限約5,000億美元，意味著美國政府不必經過國會同意就能多借5,000億美元。</p> <p>反對者認為該法令將增加美國財政赤字，造成稅賦不均，嚴重影響美國的綠色轉型，危及弱勢族群的醫療服務，且多數民調都顯示大眾普遍反對該法令，例如<a href="https://www.pewresearch.org/short-reads/2025/06/17/how-americans-view-the-gops-budget-and-tax-bill/" target="_blank">Pew民調顯示</a>有49%的民眾反對，僅有29%贊成，<a href="https://www.foxnews.com/politics/fox-news-poll-economic-pessimism-abates-slightly" target="_blank">Fox民調發現</a>有59%反對，38%支持。</p> <p><a href="https://x.com/elonmusk/status/1929954109689606359" target="_blank">美國知名科技企業家馬斯克（Elon Musk）早在今年6月初大力反對該法案</a>，抨擊此一充滿政治目的的國會支出法案令人噁心至極，也因而與他一路支持的川普翻臉。</p> <p><a href="https://www.whitehouse.gov/articles/2025/07/history-made-the-one-big-beautiful-bill-is-on-its-way-to-president-trumps-desk/" target="_blank">白宮將該法令稱為「美國史上最大規模的中產階級減稅法案」</a>，可維持美國的邊境安全，大規模的國防預算，也恢復了財政理性，將推動美國前所未有的經濟繁榮。</p> <p>川普政府將《大而美法案》列為優先法案，由於川普所屬的共和黨幾乎同時控制了參議院與眾議院，參議院在7月1日以51比50的票數通過該案，眾議院在7月3日通過，川普隔天就簽署，使它成為正式法令，成為美國史上少見的閃電立法。</p> <p>市場分析指出，新的法令可望降低大型科技企業與新創公司的研發成本，同時鼓勵資料中心的建設與資本支出；另一方面，它撤銷或削減對太陽能、儲能或電動車的補助與抵稅措施，可能邊緣化許多綠色科技專案，讓創投資金轉向；國防預算的增加則會讓國防科技受惠。</p> </div></div></div>
2025/7/7 08:10作者陳曉莉https://www.ithome.com.tw/news/169913
Graylog持續強化事件管理，增設資料湖預覽與掌握敵情的防禦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/graylog_6.2-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受限於本身的財力，小型機構或中小企業若想建置專業等級的事件管理系統（LMS）、安全資訊與事件管理系統（SIEM），甚至資安維運中心（SOC），可能會考慮開放原始碼的軟體，而在這個領域當中，較受歡迎的產品，有ELK stack（囊括Elasticsearch、Logstash、Kibana）、OpenSearch、Wazuh、Graylog，而在2024年臺灣資安大會，剛好有<a href="https://cybersec.ithome.com.tw/2024/session-page/2755">講者</a>以免費版本的Graylog為題，<a href="https://www.youtube.com/watch?v=U9AeGqMDhRU&ab_channel=CYBERSEC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">介紹</a>他藉此打造資安戰情中心的經驗。</p> <p>Graylog目前有幾家廠商在臺灣推廣，一家是<a href="https://www.jason.tools/opensource-log-server">節省工具箱</a>提供商業版本的服務，另一家是代理多種IT管理系統與資安系統品牌的廠商<a href="https://version-2.com.tw/graylog/">台灣二版</a>，去年開始宣傳Graylog最新動態。</p> <h3><span style="color:#0000FF;"><strong>事件管理系統是主力產品，以開放原始碼版本為核心，延伸提供進階功能的企業版，以及著重資安功能的安全版</strong></span></h3> <p>Graylog提供多種形式的解決方案，長期發展的事件管理系統是最廣為人知的產品。</p> <p>首先是以免費使用、開放原始碼聞名的Graylog Open，提供事件記錄集中管理功能，能夠橫跨多種IT環境執行資料的收集、解析、充實、分析；接著是基於Graylog Open、提供更多進階功能的Graylog Enterprise，具備交互關連（Correlation）、歸檔（Archiving）與轉送（Forwarder）、團隊多人協作與統計報表產生，以及多種雲端服務與應用程式的整合支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-coredeploymentarchitecture.jpg" style="width: 600px;" /></p> <p>值得注意的是，Graylog Enterprise又被稱為Graylog Operations，原因是<a href="https://graylog.org/post/announcing-graylog-v4-3-graylog-operations-graylog-security/">2022年5月Graylog Enterprise更名為Graylog Operations</a>，<a href="https://graylog.org/post/graylog-has-a-brand-new-look/">兩年後又將名字改回Graylog Enterprise</a>。</p> <p>而在Graylog Enterprise的基礎上，延伸出全代管的SaaS服務Graylog Cloud（<a href="https://graylog.org/post/graylog-announces-graylog-cloud/">2021年3月推出</a>），</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Enterprise1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Enterprise1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-conventionaldeploymentarchitecture.jpg" style="width: 500px;" /></p> <p>以及強化資安團隊所需功能的Graylog Security，能以此進行威脅的偵測、調查、應變工作（<a href="https://graylog.org/post/graylog-announces-security-solution-with-ml-based-anomaly-detection/">2021年10月推出</a>）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Security1.jpg" style="width: 600px;" /></a></p> <p>針對各種事件記錄資料解析能力的擴充，Graylog提供易用的內容套件（content packs），稱為Graylog Illuminate（<a href="https://graylog.org/post/announcing-graylog-illuminate/">2020年6月推出</a>），目前提供60種，透過內建的處理流程、解析規則、查詢表，協助Graylog Enterprise與Graylog Security充實與正規化處理資料內容，更有效率地分析不同來源的記錄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Illuminate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Illuminate1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg" style="width: 300px;" /></a></p> <p>Graylog<a href="https://graylog.org/releases/">軟體改版相當頻繁</a>，7月4日釋出<a href="https://graylog.org/post/announcing-graylog-6-3-1/">6.3.1版</a>，今年上半年發布重大更新主要是在今年<a href="https://graylog.org/post/introducing-graylog-6-2-a-siem-without-compromise/">4月底RSAC大會期間</a>，他們宣布推出<a href="https://graylog.org/post/announcing-graylog-6-2/">6.2版</a>，當中主打幾個特色，都會在付費版本（Graylog Enterprise與Graylog Security）提供，像是：針對去年秋季改版增加的資料湖與資料路由功能，加以延伸，能在擷取資料集之前，預覽工作團隊所需的資料是否在資料湖，隨後可運用選定資料擷取（Selective Data Retrieval）功能，隨需存取小範圍的記錄資訊，可大幅減少授權耗用量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview2.jpg" style="width: 298px;" /></a></p> <p>6.2版另一個新功能是提供「掌握敵情而成的防禦機制（Adversary Informed Defense）」，能自動辨識多個敵對團體的攻擊戰略、伎倆與程序（TTP），執行一連串的偵測，並根據每次額外確認的偵測結果以指數的方式增加風險評分，當中不僅基於MITRE ATT&CK列出的戰略與伎倆來標記偵測，也運用真實世界的威脅活動細部資訊，以便指認自身環境存在網路攻擊活動，而且就算是分散在多天、多週、多月的個別行動，也能依此方式進行辨識。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>跨足API防護應用，能夠監控與偵測API流量，產生攻擊警示與有問題的執行階段活動</strong></span></h3> <p>除了上述鎖定資安事件記錄管理用途的產品，Graylog旗下還有API安全解決方案，稱為Graylog API Security，可透過擷取API流量，探查存取的API，以及這些API是由合法使用者、惡意攻擊者、合作廠商、內部人員使用的，並運用內建與自定的特徵碼，自動偵測與警示當中的互動，確認是否存在網路攻擊、資料外洩行為。</p> <p>Graylog API Security的推出，源自2023年7月<a href="https://graylog.org/news/graylog-acquires-resurface-ios-api-security-solution/">併購新創資安公司Resurface</a>，2024年1月發表Graylog API Security 3.6，<a href="https://graylog.org/news/graylog-announces-free-api-security-tool/">2月釋出免費版</a>——僅能以單節點部署、儲存16 GB資料（容量一旦超過，將刪掉舊資料，留給新進資料）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Graylog</span></strong><br /> ●代理商：台灣二版<br /> ●建議售價：開放版免費，企業版每年1.5萬美元起，資安版每年1.8萬美元起，API Security版每年1.8萬美元起<br /> ●作業系統需求：Linux（Ubuntu 20.04, 22.04、RHEL 7/8/9、SUSE Linux Enterprise Server 12/15、Debian 10/11/12）、Docker<br /> ●系統基礎元件： Graylog、Data Node、MongoDB（5.0.7版至7.x版），選用OpenSearch（1.1.x版至2.15.x版）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/6 18:31作者李宗翰https://www.ithome.com.tw/review/169622
如何從0到1實作MCP？奧丁丁揭4大步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動代理型AI（Agentic AI）興起，如何善用自主能力更勝以往的AI代理完成任務、事半功倍，一直是企業探索的重要議題。尤其，為讓驅動AI代理的大型語言模型（LLM）使用外部工具和資料、產出更精準的回答，開發者得為每個資料來源，進行複雜的客製化串接。</p> <p>Model Context Protocol（MCP）因此應運而生，它就像統一的USB-C接口，不論資料還是工具，只要支援MCP，AI模型就能找到正確又即時的內容，給出更精準的答案。</p> <p>奧丁丁集團最近就實作MCP，做出一套伺服器來連接對外API技術文件，方便Cursor這類AI輔助開發工具搜尋，讓外部開發者透過AI問答，協助串接API、降低技術門檻。奧丁丁AI團隊還預告，他們內部也要這麼做，建置MCP伺服器來連接內部文件、加速自家開發流程。</p> <h1><strong>緣起：API串接的3大痛點</strong></h1> <p>奧丁丁AI團隊首先點出，以往企業將AI介接外部工具或資源時，都會面臨3大挑戰。</p> <p>第一，開發者得先閱讀複雜的API技術文件。這是因為，開發者將AI串接外部特定資源時，得仰賴API，必須先閱讀對方提供的API技術文件，自己再撰寫一份指令，來教導AI如何使用這支工具或資源。</p> <p>由於沒有統一的API技術文件規格，這些文件可以很複雜，而且「AI所串接的每一支工具或資料庫，我都要這麼做，累積下來可能就有20、30份文件要處理。」</p> <p>這情況帶出第二項挑戰，也就是維護成本。因為要處理的技術文件眾多，若提供API的企業或官方更改API，開發者就得重寫指令、重新教導AI使用該工具，衍生繁重的維護成本。</p> <p>第三個挑戰是重工問題。奧丁丁AI團隊表示，由於AI介接外部工具沒有統一的規格，常常介接A工具使用A格式、B工具使用B格式，導致開發者花時間重工，開發效率低下。</p> <p>不過，就在2024年11月，AI業者Anthropic發布開放協定MCP，將AI模型與外部資料或工具互動的方式標準化，就像是AI的USB-C般，來讓提供方和串接方遵循。</p> <h1><strong>4大步驟實作MCP</strong></h1> <p>常見的MCP支援方式有兩種，一是作為MCP Server（伺服器端），由開發者建置一個輕量級程式（即MCP Server），來讓外部AI或代理存取自家資源。另一種是作為MCP Client（客戶端），來使用MCP協定，讓自己的AI工具或代理存取各種支援MCP的資源，如知識庫、API等。</p> <p>觀察MCP已久的奧丁丁AI團隊，在今年初決定用自家的對外服務OwlPay Harbor來試水溫。這是一款剛上線的API工具，支付業者可整合進自己的服務，來轉換法幣與穩定幣。</p> <p>接著，奧丁丁AI團隊用4大步驟來實作MCP。第一步是設定目標，他們將目標定為，使用者可借AI之力，來更快速串接OwlPay Harbor。</p> <p>意思是，奧丁丁選擇作為MCP伺服器端，建置一套MCP伺服器，來連接API技術文件，讓外部AI模型或代理存取。如此一來，外部開發者就能透過Cursor這類的AI問答，來簡化API串接。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%8B%E7%99%BC%E8%80%85%E5%8F%AA%E9%9C%80%E4%BB%A5%E8%87%AA%E7%84%B6%E8%AA%9E%E8%A8%80%E8%A9%A2%E5%95%8F%EF%BC%8CAI%20Agent%20%E4%BE%BF%E6%9C%83%E8%87%AA%E5%8B%95%E5%B0%87%E6%8C%87%E4%BB%A4%E8%BD%89%E6%88%90%E6%90%9C%E5%B0%8B%E9%97%9C%E9%8D%B5%E5%AD%97%EF%BC%8C%E9%80%8F%E9%81%8E%20MCP%20%E5%B7%A5%E5%85%B7%E7%9B%B4%E6%8E%A5%E6%9F%A5%E8%A9%A2%E6%8A%80%E8%A1%93%E6%96%87%E4%BB%B6%EF%BC%8C%E4%B8%A6%E8%87%AA%E5%8B%95%E7%94%A2%E5%87%BA%20API%20%E7%AF%84%E4%BE%8B%E8%88%87%E5%B0%88%E6%A1%88%E6%9E%B6%E6%A7%8B.png" /></p> <p>串接MCP後，外部開發者可直接對AI輸入自然語言指令，AI代理就會自動將指令轉成搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，無需依賴外部搜尋引擎。</p> </blockquote> <p>雖然MCP伺服器也能直接連結API，但奧丁丁AI團隊選擇只提供API技術文件、不提供整支API，是因為OwlPay Harbor為金流處理工具，涉及敏感資料，若由AI自動控制金流可能增加風險。因此他們採取比較審慎的作法，將MCP保留最小操作權限，只鎖定「引導企業使用者完成串接流程」，逐步協助使用者串接，而不是直接授權AI操作金流。</p> <p>第二步是準備必要能力，也就是一支搜尋API，來告訴外部AI模型，如何檢索這些技術文件。這支API就像是查詢入口，讓AI在推論過程中，動態取得正確的文件內容。</p> <p>第三步是最有挑戰的一步，要將API技術文件轉換為AI可讀的形式。奧丁丁AI團隊解釋，要讓AI可搜尋檢索，就得將文件內容改為AI看得懂的格式，需要「高度語義化。」</p> <p>意思是，文件的結構和內容，都要明確標註並分類其「是什麼」和「用來做什麼」，讓AI系統能自動理解並處理。舉例來說，好的MCP輸出結構，應該要「分層敘述」，也就是依序有大分類、標題、摘錄和主文的層次，且在功能欄位中，要將URL從文件中分離出來，而非混合為一。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%BD%E7%9A%84MCP%E8%BC%B8%E5%87%BA.png" /></p> <p>另一方面，AI有其上下文窗口（Context window）限制，也就是AI一次互動可處理的最大Token（字符）數量，再加上AI多次互動時，會將先前的對話內容也算進窗口中，因此開發者必須控制文件長度，預留Token窗口供後續AI多次互動使用。</p> <p>奧丁丁AI團隊根據經驗法則，將單次MCP查詢時所回覆的API文件內容，控制在模型最大可讀的Token總數一半以內。舉例來說，若模型上限為10萬個Token，單次回覆內容則控制在5萬個Token以內。這麼做，可以預留空間來讓AI有效理解問題本身、保持回應品質，避免「內容過長導致模型失效。」</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/image%20(9).png" /></p> <p>與AI進行多輪對話時，AI會將過去的對話內容算進上下文窗口（Context window）中。因此，奧丁丁團隊將單次MCP查詢所回覆的內容，控制在模型最大可讀的Token總數一半。如此一來，AI才能有效理解問題、確保回應品質。</p> </blockquote> <p>最後一步則是使用開源工具，如Anthropic釋出的MCP工具，來將處理好的OwlPay Harbor技術文件和搜尋API封裝成MCP工具並發布，來讓其他支援MCP的AI模型安裝、使用。</p> <h1><strong>支援MCP不只降低開發門檻，還提供更精準回答</strong></h1> <p>這種MCP支援，還有不少好處。比如對外部開發者來說，可以降低API串接門檻，不必單靠自己閱讀API技術文件，而是透過AI問答、輔助撰寫程式碼完成。</p> <p>舉例來說，串接MCP後，開發者直接以自然語言輸入指令，AI代理就會自動將指令轉為搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，不必依賴外部搜尋引擎。</p> <p>再來，透過MCP支援，AI搜尋的資料範圍更精準，回答也更準確。這是因為，AI工具使用外部搜尋引擎，尋找特定技術文件時，可能會搜尋到其他類似資料，並混在一起回答問題，進而產生幻覺。但透過MCP工具，AI可以存取特定內容並搜尋、產出答案，大幅降低取得錯誤或過時資訊的可能性。</p> <p>另一個好處是，AI可透過MCP自主查詢整份文件、撰寫程式碼，不會處理一個段落後，再向使用者索取額外資料才能繼續作業。</p> <p>除此之外，使用MCP還有安全上的好處。就使用者來說，AI工具透過MCP直接存取外部資源，使用者不必另外開網頁、複製資料再貼到AI工具中，因此相對安全。</p> <p>對作為MCP伺服器端的企業來說，因為需根據目的，去設計能讓外部AI存取的內容，因此落實最小權限、給予最合適的內容範圍，也確保資料安全。</p> <h1><strong>觀望者可從目標設定先著手</strong></h1> <p>有了MCP實戰經驗，奧丁丁AI團隊也不藏私分享實作心得建議，供觀望者參考。</p> <p>第一是確認目標，比如要做MCP伺服器端，還是MCP客戶端。決定後，才能思考該為AI準備什麼能力，並召集相關部門討論可行方案，開發團隊再給出開發方式、規格和時程。</p> <p>第二個建議是安全性，也就是根據目標和希望給予AI的能力，來決定資料權限和範圍，比如奧丁丁決定將自家API技術文件打包成MCP工具，來供外部AI存取，那麼資料就得是原本已經公開的文件。</p> <p>同理，若企業想將內部文件打包成MCP工具、供內部人員使用，也得先劃分資料使用權限與範圍，才能確保機敏資訊不外洩。</p> <p>另一個建議是將文件改為AI可讀的形式，尤其是建置MCP伺服器來讓AI模型存取自家資料時，其資料格式、欄位就得高度語義化，且需保留適度的上下文窗口，才不會影響AI產出的答案。</p> <p>這次實戰經驗，也讓奧丁丁AI團隊思考，未來要建置MCP伺服器來連接內部文件、資源，供內部團隊使用。尤其，奧丁丁AI團隊已高度運用AI協助開發，若AI能存取更多資料、工具，就更能加速開發流程，提高工作效率。文⊙王若樸</p> </div></div></div>
2025/7/4 15:35作者王若樸https://www.ithome.com.tw/news/169898
IMA發起Taiwan Tongues推動台灣語料庫，要讓台灣在地語言在AI世界發聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI快速發展，然而，現今主流的AI模型使用的訓練語料多為英文或是簡體中文，導致模型缺少對台灣本地語言習慣、在地文化及價值觀，漸漸可能使台灣的在地語言在AI時代被邊緣化。IMA資訊經理人協會今年推動Taiwan Tongues「台灣通用語料庫計畫」，希望建立高品質的台灣語料庫，在號召之下，現在已有數十位作家參與、貢獻累計超過500萬字文學作品。</p> <p>IMA協會理事長蔡祈岩表示，AI快速發展後，儘管能夠支援繁體中文，但因為不瞭解台灣的語言，導致使用錯誤的用語或是誤讀台灣的語言，IMA協會發起Taiwan Tongues，號召作家組成Team Taiwan，讓全世界能夠聽台灣，包括兩層涵意，一個是聽得懂且理解，另一個則象徵我們在AI的主體性及主權，要讓AI能理解台灣人的腔、習慣。</p> <p>Taiwan Tongues目的為建立高品質的語料庫，一邊蒐集語料的同時，也將語料開源，該計畫號召台灣的文學作家參與授權，包括台灣使用的語言，包括台灣華語、台灣台語、台灣客語及原住民語，希望讓AI能夠聽懂、理解台灣的聲音。</p> <p>這項計畫由IMA執委胡長松帶領，身為文學作家的他也帶頭無償釋出約150萬字的作品，號召更多作家加入，目前已有向陽、曾貴海等知名作家參與釋出他們的作品，累計已有超過500萬字的高品質語料。</p> <p>胡長松指出，語言承載文化，作家或詩人擅長以詩文寄托文化價值觀，在AI時代下當本地的語言邊緣化，詩人、作家也應該站出來挽救語言、文化。Taiwan Tongues的目標是號召作家加入，共同建立高品質的台灣語料庫，目前已有不少的高品質語料，其中不少是台灣台語文學作品，已陸續上架到Hugging Face，以CC4.0授權，供外界非商業使用，例如語音助理、機器翻譯、語言教學、文化推廣等等，至於商業授權則必需與個別的作家談授權。</p> <p>這個台灣語料庫，希望透過開源讓外界使用，除了協助台灣的企業或研究機構建立本地的模型，也希望讓國外主流的模型運用，為在AI時代下拉抬台灣在地語言、文化在全球AI模型的能見度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-07-04%20%E4%B8%8B%E5%8D%886_29_34.jpeg" style="width: 600px; height: 443px;" /></p> <p>除了發起台灣語料庫，Taiwan Tongues計畫也和群聯電子合作，利用其提供的運算硬體資源，結合Reward Model、RL微調，開發可訓練具備多元觀點辨識和區域語音調適能力的模型訓語境訓練框架，來幫助企業訓練在地化的AI模型，降低單一語料、單一觀點可能產生的偏差風險。</p> <p>另外，協會也和陽明交智能所的廖元甫教授合作，建立一套台灣語境評測，可對模型驗證使用台灣語料庫後的成效，經過廖元甫帶領團隊的測試，使用Taiwan Tongues語料和教育部台灣辭典等公共語料，以CPT持續預訓練、SFT微調，經過台灣語料預訓練、微調，台語AI模型的正確率評分從31.5提高到42.6分，顯示台灣語料對模型帶來顯著的效果，提高對台語的理解、書信內容生成的正確率。</p> <p>數發部次長林宜敬則表示，除了民間發起的台灣語料庫，未來數發部也會統籌推動公部門的語料，以組成政府機關語料，未來進一步深化公部門和私部門合作，力促政府和民間在語料開放、模型建構和應用評測的合作。另外，今天Taiwan Tongues為號招作家加入，以無償貢獻文學作品，對於不願意無償授權的作家，數發部未來也會建立適合的授權機制，讓更多作家能夠以合理的方式參與。</p> <p>展望未來，IMA期望Taiwan Tongues繼續擴大台灣使用的華語、台語、客語、原住民語等多種語料，並希望和國際上的主流語言模型平臺合作，讓台灣的語言在全球AI生態中增加更多的能見度。</p> <p>Taiwan Tongue也準備開啟Wiki Taiwan，增加台灣語言在網路世界的能見度，首先是針對台灣使用的華語，號召志工補齊維基百科裡只有英文而沒有繁體中文的條目，其次是針對台語，先將維基百科上約140筆的繁體中文條目轉為台語內容，再進行英文條目的翻譯補齊工作。</p> </div></div></div>
2025/7/4 18:30作者蘇文彬https://www.ithome.com.tw/news/169900
軟體工程師的宿敵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0704-shu_zhai_960-ruan_ti_she_ji_ou_he_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在耦合變成世界各地軟體工程師的宿敵的很久之前，耦合就已經存在了。這個詞源自拉丁文copulare，而該詞又源自co（一起）和apere（綁緊）。因此耦合的意思就是「綁在一起」，或者把東西連接起來。</p> <p>當你看到「耦合」這個詞，你可以把它換成「連結」。當你說兩個服務之間存在「耦合」，就跟說這兩個服務之間存在「連結」是一樣的。同樣的，若說一個物件跟一個資料庫有高度耦合，就等於說這個物件和資料庫有高度連結。</p> <p>這顯示耦合是一種無所不在的現象，到處都能觀察到耦合：只要兩個個體相互連接，那麼它們之間就存在耦合。時鐘裡面有無數齒輪和彈簧相互連結，以便能正確衡量時間。引擎、車軸、車輪、剎車和其他零件耦合在一塊構成汽車。器官耦合起來構成生命體，包括我們人類。在更小的層面上，粒子的互動構成我們宇宙中的萬物，而在更大的層面上，星體則會透過重力場互動─ 儘管隔著極遠的距離，星體之間仍然存在耦合。</p> <p>耦合暗示了相連結個體之間的關係，而相耦合的東西便能用某種方式影響彼此。話雖如此，世上有各式各樣的系統和設計它們的各種方式，也有連接元件的不同辦法。不同的設計會帶來不同的結果與維護成本。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>耦合與系統設計</strong></span></span></p> <p>若要了解耦合在系統中扮演的角色，我們就務必先定義何謂系統。Donella H. Meadows 在她的經典作品《系統思考》（Thinking in Systems: A Primer）中，將系統定義為一組相互連結的元素，其組織方式能夠達成某種目的。這個簡潔的定義描述了構成系統的三個核心要素：元件（component）、連結關係（interconnection），以及目的（purpose）。</p> <p>在軟體工程中不只有眾多不同類型的系統，就連軟體本身都能解讀成由相互連結的小系統所構成的大系統。我們在更高層級能看到服務、應用程式、排程工作、資料庫與其他元件，它們會耦合起來實現系統的整體目的，也就是其商業功能。但這些大型元件本身自成一個系統，只不過層級較低而已。比如，圖1.5 中的「處理」服務是用物件導向程式語言寫的，因此該服務是由一系列所需的類別組成，好實作出該服務的功能。這些類別是該服務的元件，實現了整體系統（服務）的功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88-%E5%9C%963.png" style="width: 390px;" /></p> <p><strong><span style="color:#696969;">圖1.5　典型軟體系統的元素。</span></strong></p> <p>甚至，你能進一步鑽研軟體系統的階層本質：這些類別本身同樣能被視為系統，其元件包括方法和變數，用來建置出該類別的功能。再往下，方法自身也是系統，由各別的程式敘述來共同實現該方法的目的。</p> <p>那麼，是什麼讓各種層級的元件能夠協同合作、達成整體系統的目的呢？互動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>系統中的耦合</strong></span></span></p> <p>齒輪是真實鐘錶系統的元件。鐘錶系統的目的是衡量和顯示時間，但光是只有必要的齒輪跟彈簧是不夠的。系統若要能發揮作用，其元件就必須相連─ 或者產生耦合─ 以便能協同合作。話雖如此，把它們任意組合起來是沒用的。元件必須照特定方式結合，才能實現系統的目標。耦合不只能維繫整個系統的結構，更能讓系統價值超越個別零件價值的總和。</p> <p>系統三大元素─ 元件、互動和目的─ 彼此密切相關：</p> <p>● 一個系統的目的需要一群特定的元件，透過元件之間的互動來達成。</p> <p>● 元件介面的設計能允許和禁止某些整合行為。此外，元件自身的功能能夠令系統實現其目的。</p> <p>● 互動關係讓系統能藉由指揮元件協作來達成目的。</p> <p>總歸來說，在任何系統裡面，你不可能只改變其中一個元素，但不影響到至少另外一兩個元素。舉例來說，你想把一個軟體系統的功能（或者其目的）加以延伸，而若要改變目的，就必須修改其元件─ 服務、模組跟其他需要演進來適應新需求的部分。甚至，修改元件可能會改變其互動方式，或者改變元件整合和相互溝通的方式。</p> <p>這帶出了系統設計的另一個重要概念：邊界（boundaries）。如Ruth Malan 所說：「系統設計的本質便是關於邊界（裡外有什麼、有哪些會跨過邊界或來回移動）以及其取捨。它重新定義哪些東西屬於外界，正如它定義了哪些該留在邊界內」（Malan，2019）。一個元件的邊界定義了哪些知識屬於元件，哪些知識又該留在外頭─ 比如，哪些功能該由這個元件實作，哪些責任又該交給系統的其他部分。甚至，邊界定義了一個元件該如何跟系統的其他部分互動，或者更精確來說，有哪些知識允許通過元件邊界。到最後，元件與互動定義了系統設計能夠達成什麼結果。這表示互動性，也就是元件耦合的設計，是系統設計與生俱來的一環。</p> <p>以一般的系統來說，耦合概念在系統設計是不可或缺的。人們經常假設軟體設計的目的是要徹底去耦合、使元件完全獨立，但實際上並非如此。你不可能把耦合降到零；若兩個元件應該要協作，它們之間就得共享知識；互動的前提就是要分享知識。元件若沒有互動或耦合，就不可能實現系統目的。正是單元之間的互動成就了系統。</p> <p>我們身為軟體工程師，經常著重在把系統解耦合成元件的任務。為了做到這點，我們得先檢視商業領域，然後決定哪些部分可以打散成服務、模組跟物件。基本上，我們在設計系統架構時，經常會太過專注在劃定範圍上，但這些範圍之間的關聯最起碼也一樣重要─ 我們必須留意元件的互動設計，意即元件之間會分享哪些知識、知識如何共享，這些知識分享又會如何影響整體系統。此外，各位應該已經發現，元件的設計與元件間的互動其實息息相關。耦合不僅定義了哪些知識被允許在元件之間流動，更定義了哪些知識根本不該離開所屬元件的邊界。這表示在設計模組化軟體系統時，耦合其實是不可或缺的工具。</p> <p>耦合是將系統維繫起來的黏著劑，那麼這是否表示隨意結合元素和相依性就能產生良好設計呢？當然不可能。耦合可以是必要的，也有可能是意外的副作用。模組化設計需要消除意外的耦合，並謹慎管理必要的相互關係。<strong>（本文摘錄整理自《軟體設計耦合的平衡之道》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-%E6%9B%B8%E6%91%98600-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> <span style="color:#3366ff;">軟體設計耦合的平衡之道：建構模組化軟體系統的通用設計原則</span>（Balancing Coupling in Software Design）</strong></p> <p>Vlad Khononov／著；王寶翔（Alan Wang）／譯</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-%E6%9B%B8%E6%91%98200-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88.jpg" style="width: 180px;" /></p> <p><a href="https://vladikk.com/page/books/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Vlad Khononov</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>Vlad Khononov</strong></p> <p>Vlad Khononov是一名擁有廣泛業界經驗的軟體工程師，替規模各異的公司做事，扮演的角色自網站管理員到首席架構師都有。他的主要專業包括軟體架構、分散式系統及領域驅動設計。身為顧問與訓練師，Vlad協助企業理解它們的商業領域、重新整頓老舊系統，並搞定複雜的架構挑戰。</p> </div></div></div>
2025/7/4 16:52未署名https://www.ithome.com.tw/article/169899
【資安日報】7月4日，多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年鎖定開發人員而來的惡意套件攻擊相當氾濫，這些攻擊的範圍相當廣，涵蓋NPM、PyPI，以及Visual Studio Code（VSCode）等，多半都是上架市集引誘開發者上當，但最近資安業者OX發現，IDE對於延伸套件驗證機制存在缺陷，攻擊者可製作顯示已通過驗證（Verified）的套件，目的是誘騙開發者上當。</p> <p>而在今天的資安新聞，有數則與臺灣有關的消息，首先針對近日有人兜售全支付測試環境帳密資料的情況，我們獨家採訪該公司並取得回應，他們也進一步透露掌握的情況及調查結果；再者，有數家殯葬業者為了搶生意，竟找駭客來監聽消防救護系統，相當不可取；數發部警告有歹徒假冒買家、客服、第三方支付網站的情況，消費者須提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169883"><strong style="font-size: 22px;">Verizon、T-Mobile上億筆美國用戶資料遭兜售，兩大電信業者否認發生資料外洩事故</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/verizon-t-mobile-deny-data-breaches-user-records-sold-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon-t-mobile-deny-data-breaches-user-records-sold-2.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安媒體Hackread報導，名為G_mic的人士於地下網路犯罪論壇兜售兩家電信公司Verizon、T-Mobile的美國客戶資料，其中Verizon資料包含6,100萬筆（檔案大小3.1 GB），而T-Mobile則有5,500萬筆（未提及檔案大小）。</p> <p>HackRead取得駭客提供賣家比對的部分資料，Verizon的資料內容相當詳盡，包括城市、州、性別、IP位址、電話號碼、所在位置經緯度等。從資料年份來看，部分資料為2025年的更新數據。Verizon為全美最大行動電信業者，用戶數達1.46億，這批資料將佔總用戶數的41%。</p> <p>T-Mobile部分的資料包括姓名、性別、出生日期、裝置ID、cookie ID、IP位址、電子郵件、電話號碼、完整住家地址，甚至有稅籍編號，且顯然於2025年更新。這家電信業者在美國訂閱用戶有1.31億，這批資料將佔總用戶數的42%。</p> <p><a href="https://www.ithome.com.tw/news/169887"><strong style="font-size: 22px;">駭客聲稱入侵俄羅斯國防外包商，竊得海軍作戰系統等機密文件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/russian-navy-breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/russian-navy-breach.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Cybernews報導，一名駭客在駭客論壇上宣稱取得了俄羅斯國防外包商250 GB內部文件，包括提供給俄羅斯海軍的作戰軟體資料。這名駭客宣稱，手上持有的資料來自俄國最大國防外包商NPO MARS。NPO MARS提供了多項俄國海軍指揮控制系統，包括自動資訊交換系統TRASSA、掃雷艦自動控制系統DIEZ，以及船艦資訊管理系統等。</p> <p>這名駭客聲稱存取了NPO MARS數個系統，並公布了10 GB資料供買家檢驗。經過分析，這批資料有部分PDF為2017到2018年的PDF掃描檔，大部分技術文件為2024年，也有今年3月才建立或更新的檔案。但不確定是否所有資料都是最新版本。NPO MARS並未回應此事。</p> <p><a href="https://www.ithome.com.tw/news/169876"><strong style="font-size: 22px;">殯葬業者搶生意不擇手段！竟找駭客監聽消防救護系統，目的是能更早到事故現場攬客</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/16ccb4df7056426fb3955da49bd952c9.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/16ccb4df7056426fb3955da49bd952c9.jpg" style="width: 300px; float: right;" /></a></p> <p>為了牟取經濟利益，近期臺灣出現有企業組織尋求電腦工程師、網路駭客入侵公務系統的情況，例如：郭姓網球教練因經營網球學院需要使用相關場地，找上電腦工程師攻擊臺北市公有場地租借系統，並藉由網路爬蟲程式大量搶租熱門時段場地得逞。如今殯葬業者為了搶客，竟藉由駭客長期監聽消防單位的救護即時資訊。</p> <p>7月1日法務部調查局宣布破獲殯葬業者夥同駭客長期竊取消防局救護即時資訊的案件，曾擔任民間EMT救護車駕駛的潘姓嫌犯受到殯葬業者請託，從2021年開始研究內政部消防署救護派遣有關系統，從中取得派遣及出勤資訊，隔年又入侵維運廠商的測試機取得參考資料，從中截取民眾報案時間、派遣分隊、案件類型、案發地址、座標等資訊，且以相同手法陸續擴大至全國21個縣市。</p> <p>究竟殯葬業者拿到這些資料又會如何運用？他們安排員工24小時排班監看這些資料，只要出現重傷或是到院前心肺功能停止（OHCA）傷者資訊，業務員就會依照相關座標資訊前往現場等候搶客。</p> <p><a href="https://www.ithome.com.tw/news/169880"><strong style="font-size: 22px;">全支付獨家回應測試環境帳密外洩疑雲：證實禍源在「商戶個人電腦遭駭」，金流安全未受影響</strong></a></p> <p>近日，資安界盛傳有駭客在深網兜售全支付測試環境的管理者（Admin）帳號密碼資料，引發外界對全支付資安防護的關注。對此，本報獨家採訪全支付公司，其高層首次揭露事件調查結果與應對措施。</p> <p>全支付表示，他們已在第一時間掌握相關情資並取得外洩內容，經過深入分析，判定此次事件並非其後臺系統本身遭駭，而是起因於「少數合作商戶的個人電腦遭到駭客入侵」，駭客進而取得其電腦中留存的測試環境登入憑證。</p> <p>全支付強調，儘管部分測試環境資料外洩，但其主要金流服務及使用者（消費者）權益，並未受到實質影響。</p> <p><a href="https://www.ithome.com.tw/news/169893"><strong style="font-size: 22px;">數發部警告詐騙新手法! 小心假買家、假冒第三方支付網站及客服向真賣家詐騙</strong></a></p> <p>詐騙手法不斷推陳出新，數發部發現近期出現詐騙者假冒買家，向真賣家進行詐騙，向賣家要求使用知名第三方支付付款，偽冒知名第三方支付業者網站，並假冒支付業者客服人員，誘導賣家操作，造成賣家財產損失，數發部為加強數位支付建立的信任關係，今天（7月4日）與國內第三方支付業者共同合作，加強對新的詐驗手法的防詐工作，主動掃描偽造網站下架處理。</p> <p>資安院主動掃描網路上的類似網域名稱，偵測到超過200件類似網域名稱，並由TWNIC利用DNS RPZ下架處理，以避免有心人士假冒第三方支付業者網站，誘騙造成賣家金錢損失。根據數發部統計，從6月初掃描發現超過200件類似網域名稱，經過下架處理後已降到6月底的3件，降幅達9成。</p> <p>為確保數位支付的信任不受新的詐騙手法影響，數發部今天也與第三方支付業者合作，包括藍新、綠界、紅陽、統一數網、連加(Line Pay)，宣示打擊詐騙，數發部及第三方支付業者定期掃描網路上的類似網域名稱，向數發部通報後，進行下架處理，同時第三方支付業者也在其網站，以蓋版廣告向使用者宣傳假買家詐騙的手法，提高民眾的警覺心。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apache-tomcat-and-camel-vulnerabilities/">Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-hpingbot-exploits-pastebin-for-payload-delivery/">殭屍網路Hpingbot濫用文字共享服務Pastebin散布有效酬載</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169892"><strong style="font-size: 22px;">多款IDE延伸套件檢驗機制存在瑕疵，攻擊者可讓惡意套件顯示「已通過驗證」徽章欺騙開發人員</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4QpJLDhkKD.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4QpJLDhkKD.jpg" style="width: 300px; float: right;" /></a>為了讓開發人員加入額外的功能，許多整合式開發環境（IDE）支援延伸套件的機制，但有資安業者發現，這些IDE工具驗證延伸套件的流程存在弱點，使得攻擊者有機會將惡意套件標記為已通過驗證（Verified），引誘開發人員下載、安裝，從而在電腦執行惡意程式碼。</p> <p>資安業者OX指出，他們在今年5月至6月，發現Visual Studio Code（VSCode）、Visual Studio、IntelliJ IDEA、Cursor等IDE工具，在檢驗延伸套件的驗證方式存在瑕疵，導致攻擊者能讓惡意套件偽裝成已經過驗證的狀態，進而引誘開發人員安裝，而能在開發環境執行任意程式碼。</p> <p>針對上述的發現，OX向微軟、Cursor、JetBrains通報此事，三家廠商都表示他們不會進一步處理，對此該資安業者呼籲，開發人員最好直接從官方市集安裝延伸套件，並避免以套件是否具備通過驗證的徽章，做為主要確認的依據。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/azure-api-vulnerabilities-expose-vpn-keys/">Azure API存在曝露VPN金鑰的弱點，恐授予特殊層級的存取權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/grafana-releases-critical-security-update-for-image-renderer-plugin/">圖形化資料分析平臺Grafana發布更新，修補圖像渲染外掛弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/12-year-old-sudo-vulnerability/">Linux命令列工具Sudo存在權限提升漏洞，近12年的版本都曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169820"><strong style="font-size: 22px;">臉書廣告服務管理系統出包，又有23件廣告未即時揭露託播者訊息，遭數發部開罰1,500萬元</strong></a></p> <p>Meta旗下的臉書（Facebook）因廣告管理系統出現缺失，部分廣告未依防詐法揭露廣告託播者相關訊息，數發部調查後以情節重大為由，依違反防詐條例開罰1,500萬元。</p> <p>今年5月，Meta旗下臉書因未依詐欺犯罪危害防制條例，揭露廣告託播者相關資訊，數發部邀各部會開會討論後，以臉書上2則廣告違反防詐條例第31條第1項第2款，依同條例第40條第1項第4款規定，對Meta每案裁罰50萬元，也是國內防詐條例上路後首次對大型網路廣告平臺業者開罰。</p> <p>數發部對於Meta的開罰，原本認為僅是個案，但後續又接獲內政部移送23件臉書廣告違法案件，因數量較前次更多，數發部與相關部會開會，並邀Meta說明，最後認定為臉書的廣告管理系統有缺失，導致部分廣告無法在刊登或推播時即時揭露委託刊播者、出資者資訊，為系統性的缺失，依防詐條例第40條第2項予以連續處罰。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169819"><strong style="font-size: 22px;">微軟Authenticator自7月終止支援密碼管理服務</strong></a></p> <p>伴隨微軟推動無密碼登入，Microsoft Authenticator將從7月開始逐步無法支援密碼，微軟希望用戶改以Edge儲存及自動填入（autofill）密碼。</p> <p>微軟上個月預告Authenticator對密碼支援的落日時程，從2025年6月起， Authenticator已不能儲存新增密碼。根據微軟規劃，7月開始，Authenticator的密碼自動填入功能將無法使用。7月過後，Authenticator不但不允許你使用儲存的密碼，也會刪除任何支付資訊。8月之後，所有生成的密碼若未儲存都將被刪除。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169833"><strong>【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</strong></a></p> </div></div></div>
2025/7/4 13:27作者周峻佑https://www.ithome.com.tw/news/169894
50年經典款黃靴也能年銷售量增3成，Timberland如何用科技結合「體驗感經營」來進行OMO行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「品牌不只要出現在廣告中，更要出現在生活體驗中！」戶外休閒品牌Timberland臺灣暨香港品牌總監洪嘉陽揭露，貫穿自家OMO行銷策略背後的重要精神。</p> <p>現今消費環境中，品牌要經營線上線下銷售及行銷通路（OMO），已經是老生常談。不過，如何根據自家品牌和商品特性決定執行方向，再結合科技來提升效果，仍是複雜但重要的課題。近日一場活動中，洪嘉陽分享自家OMO行銷的策略和具體做法，如何半年內提升180萬元再行銷業績、增加6成電商搜尋流量，更讓最經典款的老商品，年銷售量提升高達3成。</p> <p><strong>行銷與顧客生活結合，不是販賣商品，而是「生活情境解決方案」</strong></p> <p>洪嘉陽表示，Timberland行銷不追求傳統的曝光效果，而是要達到「場景佔領」，也就是進入顧客生活場景中。他進一步說明，他們看待商品時，不只著眼商品功能，更聚焦如何讓顧客應用於生活中；看待通路時，則不只將其視為銷售和溝通的管道，而是「出現在顧客生活中的場域」。</p> <p>他坦言，這個思路的核心概念並不新穎，只是把眼光從自身販售商品的需求，轉移到顧客使用商品的需求。「消費者不是找商品，⽽是找場景解決⽅案。」Timberland以此概念，延伸出自家行銷心法，進而決定他們OMO通路經營、個人化行銷，以及SEO（搜尋引擎優化）的具體做法。</p> <p><strong>高度仰賴實體體驗的Timberland如何經營OMO零售</strong></p> <p>Timberland主力商品為鞋類和服飾類，傳統上非常仰賴實體通路，總貢獻度仍是實體通路會員最高。數位通路沒有真人服務、無法觸碰和感受鞋子服飾、無法即時擁有商品，如何經營，才能讓顧客買單？</p> <p>洪嘉陽指出，實體門市仍受到交通時間、營業時間限制等缺點。相較之下，電商網站有更多接觸點，如Line、App、社群網站，營業時間也全年無休。Timberland設計OMO零售做法時，目標是希望發揮線上及線下通路各自優點，而非取代彼此功能。</p> <p>Timberland OMO經營架構是，以CRM會員系統為核心，紀錄會員在電商及門市的銷售資料。社群媒體和通訊軟體，則作為溝通管道，用來宣傳、一對一行銷和再行銷、問卷調查，以及導流到門市或電商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TBLO2O.jpg" style="width: 600px;" /></p> <p>洪嘉陽分享自家操作再行銷、問卷調查及導購活動的做法。首先是購物車未結帳再行銷。當他們發現顧客在電商通路有購物車尚未結帳，會透過CRM找出顧客常去的特定實體門市，通知店員透過Line聯繫顧客，進行一對一再行銷，以及提供視訊丈量尺寸等服務。常見購物車未結帳再行銷做法，只會由電商系統送出推播，提醒會員購物車未結帳。Timberland則更進一步，增加真人服務感，更讓實體通路一同參與再行銷。這種做法，在半年內創造出180萬元業績，成交率高達46%。</p> <p>他們還利用Line投放問卷，作為大量快速與會員溝通的管道，不只蒐集會員意見和偏好，更用來宣傳新品，以及導購。曾經，他們嘗試性以會員點數為填寫誘因，於特定年齡層投放數萬份問卷，一個晚上就回收高達6,000份有效問卷。自此，他們開始積極利用問卷來作為市場調查利器，還在新品發售時，以調查為名，行商品介紹之實。後續新品上市時，都發揮出介紹及導購的效果。</p> <p>另一個做法則是透過CRM資料分析會員喜好，來選擇在社群媒體上代言的KOL，達成精準行銷效果同時，也不須砸大錢追求流量和知名度最大的代言人。洪嘉陽舉例，他們有一次主題活動，主打「客製化黃靴」商品，透過分析會員喜好，找來6位不同分眾領域的KOL代言，結果不只帶來巨大流量，且幾乎所有商品都一夜售罄。</p> <p><strong>從生活化行銷角度切入AI技術應用及SEO做法</strong></p> <p>不只經營舊客（會員）時強調從顧客生活情境與需求切入，Timberland獲取新客時也是如此。洪嘉陽強調，把商品視為生活情境解決方案的認知，深深影響他們SEO及電商通路經營做法。</p> <p>他們將商品關鍵字分為「品牌字」、「功能字」、「情境字」，分別用來形容品牌及商品名稱、商品功能及特性，以及商品相關情境。例如，「Timberland鞋子」、「健走鞋」、「馬祖繞境」。他們利用AI找出具有相關性的3大類關鍵字，並在電商中，自動為每個主題關鍵字產生專門主題頁面，而不只依照傳統商品分類模式來呈現商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/keywordstbml.jpg" style="width: 600px;" /></p> <p>他們希望用這種做法，使顧客對商品相關功能或情境有需求時，就算不搜尋品牌名稱，也有機會在搜尋引擎中找到自家商品。洪嘉陽補充，這些主題商品頁面必須確實符合顧客需求，且介面友善美觀。當顧客點進這些頁面後，較長停留時間和做出互動行為，都對SEO排名有幫助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tbtagpg.jpg" style="width: 600px;" /></p> <p>Timberland開始製作主題分類頁面後，電商的有機搜尋流量更是增加了64%、新顧客增加15%、分類商品頁面點擊數增加20%，從商品分類頁面進入自家電商網站的流量，更成長近3倍。其中特別成功的案例，包括「媽祖遶境」主題，使健走鞋在行銷檔期間銷量提升82%、主題頁面跳出率只有6.1%，遠低於他們平時的77%跳出率。另一個案例則是將經典款黃靴結合K-Pop偶像New Jeans、韓風穿搭等情境主題，讓這款1972年就問世的老商品，銷量達到驚人的年對年成長30%。</p> <p>洪嘉陽坦言，自家數位行銷和OMO經營模式，有許多做法乍看之下已是老生常談，技術也不算特別新穎。他認為自家特色在於，從數據分析出顧客需求來設計線上線下體驗，使商品和通路容易進入顧客生活中。「借用科技的力量，為顧客創造參與和體驗的機會。」他總結。</p> <p></p> </div></div></div>
2025/7/4 14:54作者郭又華https://www.ithome.com.tw/news/169897
數發部警告詐騙新手法! 小心假買家、假冒第三方支付網站及客服向真賣家詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>詐騙手法不斷推陳出新，數發部發現近期出現詐騙者假冒買家，向真賣家進行詐騙，向賣家要求使用知名第三方支付付款，偽冒知名第三方支付業者網站，並假冒支付業者客服人員，誘導賣家操作，造成賣家財產損失，數發部為加強數位支付建立的信任關係，今天(7/4)與國內第三方支付業者共同合作，加強對新的詐驗手法的防詐工作，主動掃描偽造網站下架處理。</p> <p>數發部數產署長林俊秀指出，過去詐騙多為假賣家，利用各種網路平臺散布銷售訊息，向有意購買的真買家詐騙，在政府及民間防意識提升後，詐騙業者翻新手法，近期出現假買家詐騙真賣家，詐騙業者先假冒買家，透過網路平臺聯繫真賣家，約定使用知名第三方支付進行交易，以匯款過程出現問題，假冒第三方支付業者客服人員，引導賣家進入偽造的第三方支付網站操作，欺詐賣家輸入驗證碼，該驗證碼實則為金錢，在賣家不察之下造成其財產損失。</p> <p>資安院主動掃描網路上的類似網域名稱，偵測到超過200件類似網域名稱，並由TWNIC利用DNS RPZ下架處理，以避免有心人士假冒第三方支付業者網站，誘騙造成賣家金錢損失。根據數發部統計，從6月初掃描發現超過200件類似網域名稱，經過下架處理後已降到6月底的3件，降幅達9成。</p> <p>為確保數位支付的信任不受新的詐騙手法影響，數發部今天也與第三方支付業者合作，包括藍新、綠界、紅陽、統一數網、連加(Line Pay)，宣示打擊詐騙，數發部及第三方支付業者定期掃描網路上的類似網域名稱，向數發部通報後，進行下架處理，同時第三方支付業者也在其網站，以蓋版廣告向使用者宣傳假買家詐騙的手法，提高民眾的警覺心。</p> <p>另外，從詐騙案例來看，數發部也提醒支付業者不會主動透過Line客服聯絡，民眾也不要點擊來路不明的網站連結，業者的聯繫方式也在數發部官網可找到。</p> <p>代表第三方支付公會籌備的綠界科技總經理劉士維坦言，過去第三方支付業者之間的溝通合作並不是那麼積極，籌備公協會加強業者之間的交流合作，此次新的詐騙手法對第三方支付業者相當大的困擾，因為在詐騙的過程中，不論是假造網域、偽冒支付業者客服、偽冒銀行客服向民眾行騙，這個過程中第三方支付業者並不知情，搜尋網路發現同名的網站相當多，因此這次各家支付業者合作，將各業者的IT集合起來，共同研發風險控管模型，主動掃描可能有詐騙風險的類似網域名稱，加上搜尋疑似造假的內容，向政府通報下架處理。</p> <p>劉士維進一步指出，根據觀察，過去出現類似網域名稱後，可能要5天以後才會開始產生網站內容，可能在8天之後開始詐騙，現在產生內容速度愈來愈快，現在只要2、3天就會產生內容開始詐騙，防堵速度太慢就難以跟上詐騙，這些假造的網站背後代表民眾受騙，支付業者也成為受害者，因此與數發部合作採取行動，一方面掃描網路下架可疑的網站，也從官網蓋版廣告向賣家警示詐騙手法，提高社會大眾的防詐意識。</p> </div></div></div>
2025/7/4 13:21作者蘇文彬https://www.ithome.com.tw/news/169893
逾60家企業要求歐盟延後實施AI Act
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aichampions.eu/" target="_blank">歐盟AI領袖倡議（EU AI Champions Initiative）於本周發出公開信予歐盟執委會</a>，以「Stop the Clock」為名，呼籲延後實施<a href="https://www.ithome.com.tw/news/164292" target="_blank">已於去年8月生效的《AI Act》</a>。</p> <p>公開信指出，《AI Act》的條文過於複雜、重疊且缺乏明確執行準則，將對歐洲AI產業的發展及部署能力造成負面影響，希望歐盟針對即將於今年8月實施的通用人工智慧模型規範，以及預計於2026年實施的高風險AI系統規定，全面延後兩年實施，讓企業有更多準備空間，同時允許歐盟得以在更清晰及可預測的條件下完善實施準則。</p> <p>歐盟AI領袖倡議是在今年2月於巴黎舉行的AI Action Summit上正式啟動，由超過60家歐洲大型及新創企業組成，涵蓋Airbus、ASML、家樂福（Carrefour）、漢莎航空（Lufthansa）、Mercedes-Benz、Spotify及ElevenLabs等，跨及航空、製造、能源、金融、零售與AI新創等產業。另有逾20家全球主要投資機構，諸如Balderton、KKR、EQT、Insight與Lightspeed等，承諾要在未來5年內於歐洲AI領域投入1,500億歐元，包括AI技術、AI應用與AI基礎設施。</p> <p>該倡議的目標是推動政策、產業、技術與資本的合作，以強化歐洲在全球AI競賽中的地位。</p> <p>公開信指出，AI的影響不僅止於科技領域，而是將重塑整體經濟架構。但不明確且複雜的法規將會危及當地企業在全球競爭所需規模上部署AI的能力，因而發動連署以希望歐盟能在關鍵法令實施之間先暫停兩年，以創造必要的空間來制定有利於創新的實施策略，同時找到簡化監管的途徑，包括通用AI模型、高風險AI模型，以及更廣泛的數位監管。</p> </div></div></div>
2025/7/4 13:37作者陳曉莉https://www.ithome.com.tw/news/169895
中國駭客冒充知名品牌，企圖竊取消費者付款資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.silentpush.com/blog/fake-marketplace/#Google-Pay-Widget-Integrated-Into-Sites-to-Take-Real-Payments" target="_blank">網路情報平臺Silent Push日前披露</a>，中國駭客正在仿冒墨西哥的各種熱門品牌，並建置基於英文及西班牙文的釣魚網站，以騙取消費者的Google Pay或是信用卡資訊，迄今仍有數千個釣魚網站存活。</p> <p>一名墨西哥記者<a href="https://www.publimetro.com.mx/noticias/2025/05/26/hot-sale-2025-hackers-crean-728-paginas-falsas-de-aurrera-suburbia-pop-mart-y-mas/" target="_blank">Ignacio Gómez Villaseñor先是在今年5月底發現並報導此事</a>，當時他找到了逾700個偽裝成各種品牌的網釣網站，而且它們都來自同一個IP。</p> <p>Silent Push接著對此展開了調查，發現駭客冒充的對象涵蓋Apple、Harbor Freight Tools、Hermes、Michael Kors、REI、PayPal、Wayfair及Wrangler Jeans等知名品牌，使用以假亂真的網址，通常只是小小的拼寫錯誤，但盜用了官網的圖片與設計，企圖誘拐消費者購買並輸入信用卡資訊。</p> <p>駭客在這些釣魚網站上提供萬事達卡、Visa、PayPal及Google Pay的支付方法，以蒐集使用者的信用卡資訊，或是竊取基於虛擬信用卡的Google Pay付款金額。</p> <p>Silent Push團隊發現了數千個與該活動有關的網域名稱，就算有些網釣網站在被發現後就遭到代管平臺或是防禦方封鎖，但截至今年6月，依舊有數千個活躍的網釣網站。</p> <p>此外，該團隊也從此一網釣活動的基礎設施中找到一些技術指紋，包括中文字與字串，推斷駭客來自中國。</p> <p><a href="https://www.metacompliance.com/blog/phishing-and-ransomware/5-ways-to-identify-a-phishing-website" target="_blank">根據資安顧問公司MetaCompliance的建議</a>，辨識網釣網站的5大步驟首先要檢查網址是否拼錯字及該站有否採用SSL憑證；其次是觀察官網上的整體體驗，像是拼字及語法是否有誤，還是使用蹩腳的英文；進階的檢查則能透過WHOIS來查詢網站的所有者；或是查詢該網址在網路上的評價；以及是否採用可靠的付款方式等。</p> </div></div></div>
2025/7/4 13:59作者陳曉莉https://www.ithome.com.tw/news/169896
多款IDE延伸套件檢驗機制存在瑕疵，攻擊者可讓惡意套件顯示「已通過驗證」徽章欺騙開發人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓開發人員加入額外的功能，許多整合式開發環境（IDE）支援延伸套件的機制，但<a href="https://www.ox.security/can-you-trust-that-verified-symbol-exploiting-ide-extensions-is-easier-than-it-should-be/">有資安業者發現</a>，這些IDE工具驗證延伸套件的流程存在弱點，使得攻擊者有機會將惡意套件標記為已通過驗證（Verified），引誘開發人員下載、安裝，從而在電腦執行惡意程式碼。</p> <p>資安業者OX指出，他們在今年5月至6月，發現Visual Studio Code（VSCode）、Visual Studio、IntelliJ IDEA、Cursor等IDE工具，在檢驗延伸套件的驗證方式存在瑕疵，導致攻擊者能讓惡意套件偽裝成已經過驗證的狀態，進而引誘開發人員安裝，而能在開發環境執行任意程式碼。</p> <p>針對上述的發現，OX向微軟、Cursor、JetBrains通報此事，三家廠商都表示他們不會進一步處理，對此該資安業者呼籲，開發人員最好直接從官方市集安裝延伸套件，並避免以套件是否具備通過驗證的徽章，做為主要確認的依據。</p> <p>一般來說，IDE工具會向伺服器發出請求，判斷延伸套件是否通過驗證，但OX發現，這個流程只會檢驗發行者的身分，並非確認套件內容有無遭到竄改，因此，攻擊者只要盜用已通過驗證的延伸套件中繼資料（Metadata），再以此製作惡意套件，在開發人員手動安裝這些檔案的過程當中，IDE工具就會顯示套件已通過官方驗證，從而降低開發人員的戒心。</p> <p>為了映證這項發現，OX在上述4款IDE工具進行概念驗證（PoC），結果這些惡意套件都會顯示已通過驗證的標章，但安裝後，都會讓IDE工具開啟小算盤程式。</p> <p>針對研究人員的發現，3家廠商也給出說明，解釋他們為何不予處理。其中，微軟的回覆最完整，該公司表示根據他們詳細調查，這樣的現象符合設計預期，不構成需立即修補的安全漏洞。他們也強調攻擊者無法在市集發布這些有問題的延伸套件檔案，只能經由側載（side-loading）安裝到Visual Studio或Visual Studio Code。這項弱點他們評估僅有中低風險，將不會登記CVE編號，也不會發布更新，微軟安全事件回應中心（MSRC）不會進行後續追蹤。</p> <p>JetBrains則認為，開發人員手動安裝打包成ZIP檔的延伸套件是刻意為之，由於這種套件並非來自JetBrains市集，他們一律視為第三方、未經驗證的套件。JetBrains強調在開發人員手動安裝的過程裡，IntelliJ IDEA會明確顯示警告，指出使用者從不受信任的來源安裝程式碼，必須自行負責。至於Cursor，他們表示不會驗證延伸套件的簽章。</p> </div></div></div>
2025/7/4 11:56作者周峻佑https://www.ithome.com.tw/news/169892
外傳Safe Superintelligence執行長Daniel Gross將加入Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/business/sutskever-lead-safe-superintelligence-after-meta-poaches-ceo-gross-ai-talent-war-2025-07-03/" target="_blank">路透社（Reuter）</a>與<a href="https://www.bloomberg.com/news/articles/2025-07-03/meta-hires-researcher-gross-to-join-new-ai-superintelligence-lab?embedded-checkout=true" target="_blank">彭博社（Bloomberg）</a>周四（7/3）分別引述消息來源報導，在2024年6月與OpenAI共同創辦人Ilya Sutskever一起創辦超級智慧公司Safe Superintelligence Inc（SSI）的Daniel Gross，已被延攬至Meta的超級智慧實驗室（Meta Superintelligence Labs，MSL）。雖然Sutskever證實Gross已經離職，但Gross與Meta都尚未對外公布Gross的去向。</p> <p><a href="https://www.ithome.com.tw/news/169824" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）本周對外宣布正在籌組MSL</a>，以主導Meta未來的AI發展方向，團隊規模估計為50人，迄今已延攬的高階主管包括Scale AI的共同創辦人暨執行長Alexandr Wang、曾擔任微軟副總裁與GitHub執行長的Nat Friedman，Gross則是另一個可能的人選。</p> <p>年僅33歲的Gross曾共同創辦可蒐集使用者社交帳戶活動，並呈現其一日生活的Cue服務，也曾主導蘋果的AI服務，投資語音AI測試平臺ElevenLabs，亦曾贊助閱讀被火山爆發淹沒的碳化紙卷的維蘇威火山挑戰賽（Vesuvius Challenge）。</p> <p><a href="https://x.com/ilyasut/status/1940802278979690613" target="_blank">Sutskever透過X證實</a>Gross已於6月29日退出SSI，感謝他對公司的早期貢獻，也祝福他未來的工作一切順利。</p> <p>此外，Gross原本也擔任SSI執行長，現則由擔任科學長的Sutskever兼任。另一方面，<a href="https://x.com/danielgross/status/1940818102402666597" target="_blank">Gross僅回應</a>SSI有個出色的團隊，並未說明自己的去處。</p> <p>這些高階的AI人才大多彼此熟識，例如<a href="https://x.com/natfriedman/status/1940682802644852999" target="_blank">已到任的Friedman</a>與Gross曾共同設立一個創投基金NFDG，<a href="https://www.ithome.com.tw/news/164867" target="_blank">並參與了SSI的融資</a>。</p> <p>Meta不僅挖角Gross，<a href="https://www.wsj.com/articles/meta-offers-to-buy-stake-in-venture-funds-started-by-ai-hires-nat-friedman-and-daniel-gross-cc72ad49?st=s2bqXF&reflink=desktopwebshare_permalink" target="_blank">根據華爾街日報（The Wall Street Journal，WSJ）的報導</a>，Meta亦打算收購NFDG股份。</p> <p>AI人才爭奪戰已讓相關人才的年薪水漲船高，外傳祖克柏向頂尖人才提出了第一年1億美元、4年3億美元的優渥待遇，也促使OpenAI打算重新評估其薪酬制度，至於由前OpenAI技術長Mira Murati新創的Thinking Machines Lab也祭出逾45萬美元的年薪來吸引人才。</p> </div></div></div>
2025/7/4 11:26作者陳曉莉https://www.ithome.com.tw/news/169891
駭客聲稱竊得俄羅斯國防外包商250GB海軍作戰系統等機密文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybernews.com/security/russian-defense-contractor-mars-breach-navy/" target="_blank">Cybernews報導</a>，一名駭客本周在駭客論壇上宣稱取得了俄羅斯國防外包商250GB內部文件，包括提供給俄羅斯海軍的作戰軟體資料。</p> <p>這名駭客宣稱手上持有的資料來自俄國最大國防外包商NPO MARS。NPO MARS提供了多項俄國海軍指揮控制系統，包括自動資訊交換系統TRASSA、掃雷艦自動控制系統DIEZ及船艦資訊管理系統等。</p> <p>根據這家業者高層公開說法，SIGMA和TRASSA是專為俄羅斯海軍開發控制巡邏艦、導彈艦、護衛艦、大型登陸艦及核子飛彈巡洋艦而開發。藉由竄改這些系統提供的資料，例如船艦座標和速度，則可影響俄國作戰決策。</p> <p>在2022年2月俄羅斯入侵烏克蘭後，這家業者就遭到美國、歐盟、加拿大、日本等國的制裁。</p> <p>這名駭客聲稱存取了NPO MARS數個系統，取得業者內部資料約250GB，並公布了10GB樣本資料。經過分析，這批資料有部份PDF為2017到2018年的PDF掃瞄檔，大部份技術文件為2024年，也有今年3月才建立或更新的檔案。但不確定是否所有資料都為新資料。</p> <p>目前NPO MARS並未回應此事。</p> </div></div></div>
2025/7/4 10:55作者林妍溱https://www.ithome.com.tw/news/169887
Verizon、T-Mobile上億筆資料遭到兜售，兩電信業者否認發生資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩大電信業者Verizon、T-Mobile數千萬筆客戶資料本周被發現已流入駭客手上，並在地下網站兜售。但兩家公司否認發生資料外洩事件。</p> <p><a href="https://hackread.com/verizon-t-mobile-deny-data-breaches-user-records-sold/" target="_blank">資安媒體Hackread首先報導</a>，一名代號G_mic的地下網路論壇兜售兩家公司的客戶資料。其中Verizon 3.1GB的資料包含6100萬筆，而T-Mobile美國部門則有5500萬筆。</p> <p>根據媒體取得的樣本資料，Verizon資料涵括詳盡的資料類別，包括城市、州、性別、IP位址、電話號碼、所在位置經緯度等。從資料年份來看，至少部份資料為2025年的更新數據。Verizon為全美最大行動電信業者，用戶數達1.46億，如果6100萬為其客戶新資料，將佔總資料量的41%。</p> <p>T-Mobile部份的資料包括全名、性別、出生日期、裝置IP、cookie ID、IP位址、電子郵件、電話及完整住家地址，甚至有稅籍編號，且顯然於2025 年更新。<a href="https://en.wikipedia.org/wiki/T-Mobile_US" target="_blank">這家電信業者在美國訂閱用戶</a>有1.31億，若5500萬為真實資料，也將佔到42%。</p> <p>在接獲媒體通知後，兩公司都否認資料外洩。Verizon表示，經過檢視，這些資料是先前已經外流並張貼在暗網上的舊資料，而T-Mobile官方則否認公司近日發生資料外洩。兩公司都堅稱，這批資料和該公司或客戶都沒有關聯。</p> <p>不過媒體警告，用戶仍需小心，因為兩家公司是國家駭客及網路駭客最青睞的攻擊目標。其中T-Mobile更是有一長串資料外洩前例，從2009到2025年，至少有8起經證實的資安事件。</p> </div></div></div>
2025/7/4 09:37作者林妍溱https://www.ithome.com.tw/news/169883
Cloudflare開放容器服務，預設全球部署並與Workers深度整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare<a href="https://blog.cloudflare.com/containers-are-available-in-public-beta-for-simple-global-and-programmable/">開放測試</a>新的容器（Containers）服務，這項服務目前適用於所有付費用戶，並主打與Cloudflare Workers運算服務高度整合，強調部署流程簡易、全球分布高運算彈性為主要特點。Cloudflare逐步擴展其開發者平臺，讓過去僅能在Workers執行的運算，現在也能透過Containers部署支援更廣泛的應用情境，包括多語言後端服務、影音與資料處理、批次任務與CLI工具等。</p> <p>Cloudflare Containers讓用戶只需撰寫少量設定與程式碼，透過Wrangler工具一鍵部署，即可將容器映像檔部署至Cloudflare全球節點，並由平臺自動挑選最佳地點，數秒即可啟動容器。與傳統雲端容器服務需手動管理多區域組態或調度策略不同，Cloudflare Containers支援全球部署，開發者無需考量區域配置即可就近服務全球用戶，實現低延遲且自動擴展的運算架構。</p> <p>在使用情境方面，Cloudflare Containers特別適合需要隔離執行環境的應用，如執行用戶自訂程式碼、人工智慧推論沙箱、影片轉檔或資料處理等。開發者可於Wrangler設定檔指定本地Dockerfile或現有映像檔，設定如埠口、閒置自動休眠時間與最大執行個體數。運作過程中，Containers可由Workers程式動態控制執行個體啟動與請求路由，開發者能根據工作負載與請求邏輯靈活調度，利用Cloudflare的全球資源。</p> <p>可觀測性與管理也是該服務的重點，Cloudflare Containers在管理介面內建即時監控與日誌查詢，開發者可隨時追蹤資源使用情形，日誌則可保留7天或串接至外部平臺，協助除錯與維運。</p> <p>Cloudflare Containers按用量計費，依每10毫秒實際用量計價，分別針對記憶體、CPU、儲存空間與網路流量收費，且每月內含免費額度。不同地區的流量價格有所不同，超過後則依照流量進行計價。官方同步提供多種資源規格，包括dev、basic與standard執行個體，最高可達4 GiB記憶體與半顆虛擬CPU。</p> </div></div></div>
2025/7/4 08:32作者李建興https://www.ithome.com.tw/news/169875
微軟調漲Exchange、SharePoint伺服器產品本地部署授權費10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/blog/partnernews/licensing-and-pricing-updates-for-on-premises-products-july-2025/4428554" target="_blank">微軟本周宣布包括SharePoint Server、Exchange Server等伺服器本地部署授權</a>，將從7月調漲10%。而且用戶端授權費也將於8月調漲。</p> <p>微軟說，為了支援本地部署軟體的持續維護和更新，所有單獨本地部署伺服器價格，包括SharePoint Server、Exchange Server及Skype for Business Server，從7月起調價。同時，用戶端核心存取授權（Core Client Access License，CAL）套件和企業版Enterprise CAL Suite將從8月1日起，分別調漲15%和20%。</p> <p>這些調整適用於本地版伺服器產品，不影響SharePoint Online、Exchange Online和Teams，不論是個別採購或經由Microsoft 365授權購買的用戶。</p> <p>連同Exchange Server本地部署版的漲價，微軟還宣布Exchange Server訂閱版本（Subscription Edition，SE）和Skype for Business訂閱版本7月起正式上市。</p> <p>Exchange Server訂閱版本（和Skype for Business訂閱版本）是為了偏好本地部署，不想用代管版本的企業而設計。<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924" target="_blank">微軟解釋</a>，和舊式產品差別在於SE由現代生命周期政策（Modern Lifecycle Policy）治理，這表示產品會持續獲得支援，Exchange SE codebase會永遠在最新狀態，不再像過去以年份編號（如Exchange Server 2019）有版本差異。</p> <p>Exchange Server SE訴諸Exchange Server 2019、2016及2013用戶升級。微軟說，為簡化從Exchange Server 2019就地升級到Exchange SE RTM，和Exchange Server 2019 CU15相較，SE版沒有移除或增加功能，AD schema不會變動、不需新的授權金鑰，安裝條件也沒變動。</p> <p>Exchange Server 2019企業用戶可以直接執行從Exchange Server 2019 CU(cumulative update) 14/15升級到Exchange Server SE。但Exchange Server 2013及2016的版本，則必須先升級到Exchange Server 2019 CU 14/15才能升級到SE。</p> </div></div></div>
2025/7/4 08:51作者林妍溱https://www.ithome.com.tw/news/169882
好的產品經理需要具備什麼特質
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_chan_pin_ling_dao_ren_zhi_dao_960_tu_pian_lai_yuan_qi_feng_zi_xun_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你可能會認為，定義所謂「好」是件直接了當的事情。然而，就像產品世界裡的大多數事情一樣，對於是什麼讓某人成為一名好產品經理有很多不同觀點。有一個值得考慮的衡量標準是由Marty Cagan所提出：產品成功是衡量產品經理的唯一標準。</p> <p>Marty說的當然沒錯，然而，還有其他方向可以確定一名產品經理是否具備在工作中表現出色的條件嗎？是否有什麼好方法可以為產品經理提供他們改善所需的回饋和指導呢？有沒有產品部門最高主管（Head of Product，HoP）可以用來評估產品經理表現的最佳框架？我認為前兩個問題的回答顯然是肯定的，而最後一個問題的答案則是絕對的否定。沒有一種解決方案是萬能的，每位HoP都必須根據產業、公司、團隊和產品的面向，建立他自己對於好產品經理的定義。</p> <p>不幸的是，我知道太多的公司基於某些原因，沒有用文字定義什麼是好產品經理，更不用說寫下產品經理的主要任務和職責應該是什麼了。在少了這個定義的情況下，作為HoP的你怎麼知道你的產品經理的程度如何？或者有沒有成為好產品經理的潛力？更重要的是，你的產品經理自己要怎麼知道呢？</p> <p>定義你認為的「好」可為你提供一個指南針，幫助你和你的產品經理們在各種不同情境下掌握方向。這些定義每個人都可以清楚看見，同時也是你與產品經理們每次對話的其中一部分。你的團隊會清楚知道你對他們的期望，也會知道你對團隊中每個人都擁有相同的期待和標準。</p> <p>是的，你需要投資大量的時間來定義你所謂的「好」。如果你在一個非常大的產品組織中工作，你甚至需要定義出不同類型的「好」。然而，這是一項會對你帶來回報的事情——不僅在你目前的職位，整個職涯都是如此。當你在現有公司開始擔任新角色，或者決定轉職到一家全新的公司時，你都可以帶著它並隨時進行微調。</p> <p>那麼，要怎麼建立一個框架，來定義你認定的「好」呢？你可以自己想出一個方法，或者採用其他人已經開發出的方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>定義對你而言重要的產品經理職責、技能和知識</strong></span></span></p> <p>PMwheel是一個用來定義產品經理職責、技能和知識非常有幫助的框架，你可以使用我的PMwheel版本，或者調整它建立屬於你自己的獨特版本，只要你擁有這類型的框架，而且能夠用在招募、入職培訓、輔導、蒐集回饋等事項上，就是一件好事。</p> <p>PMwheel的八個部分如下：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 1. 理解問題 </span></strong></span> 你的產品經理是否了解使用者面臨的根本問題？他們是否了解目標受眾的動機、問題和信念？他們有考慮過公司/組織的需求嗎？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 2. 尋找解決方案 </span></strong></span> 他們已經找到一些需要被解決的好問題了嗎？太棒了！他們能夠與團隊和利害關係人合作，提出一些可能的解決方案、並設計一個實驗來測試哪些方案值得建構嗎？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 3. 做些規劃 </span></strong></span> 無論你喜歡傳統的產品路線圖，或知道如何使用最新的敏捷規劃方式，產品經理都必須準備好一份計劃和說個好故事來解釋下一步是什麼。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 4. 把事情完成！</span></strong></span> 每個產品經理都得知道如何與開發團隊合作，以將產品交付給客戶。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 5. 聆聽與學習 </span></strong></span> 一旦你釋出了一些新產品或功能，你會想要觀察人們是否有在使用以及如何使用它，並根據觀察後的學習進行迭代與改善。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 6. 團隊 </span> </strong></span>產品經理在團隊合作的部份表現如何？他們對橫向領導和團隊激勵了解多少？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 7. 成長！</span></strong></span> 作為一個產品人，他們是否投資了一些時間在個人成長上？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 8. 敏捷 </span> </strong></span>他們只是參考其他人的敏捷工作法，還是真正理解敏捷的價值、原則和實踐方式？</p> <p>上述前五項都是產品開發流程的一部分，而後三項則較為一般性，並不限定於產品開發。我的網站上有更詳細的版本（<a href="https://www.strongproductpeople.com/pmwheel">https://www.strongproductpeople.com/pmwheel</a>），包含了許多可作為指引的引導提問，可能會對你有所幫助。</p> <p>在PMwheel中，「理解問題」的部份有17個提問，以下是其中4個範例：</p> <p><strong>● 她能夠將使用者需求轉化為產品價值和潛在收益嗎？(商業考量)</strong></p> <p><strong>● 她能夠引導出好的使用者訪談並帶來洞見嗎？她知道訪談「可以」和「無法」釐清什麼事項嗎？</strong></p> <p><strong>● 她能考量到使用者偏見和人們的心理層面嗎？</strong></p> <p><strong>● 當談論到產品經理應該「成為使用者的代言人」時，她能獲得充份的信任嗎？</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>開始使用你的定義</strong></span></span></p> <p>既然你已經對「好」的定義做了反思，接下來就應該要開始使用它了。我建議你先做一個快速測試：用這個定義來反思你的產品團隊中每一個人，檢視他們的個性特質、技能、知識、職責和價值觀。這個定義對你有幫助嗎？使用它能否為你帶來清晰的資訊？它可以幫助你設計一對一會談的架構嗎？如果還沒有達到這些效果，請持續進行調整，直到它能帶來一些成效。</p> <p>請記住，人是複雜的，即使你對「好」的定義已經像PMwheel那樣完整，它還是無法捕捉到一個人的所有面向。我發現，當我使用PMwheel時，它就像雪花的形狀一般——對於每個產品經理所做出的評估都是獨一無二的。有些產品經理在某個領域很強，也有人擅長其他領域，請務必記住這一點。</p> <p>當評估產品經理時，你可以使用0到7分的評分方式（使用這個範圍是因為它沒有中位數）。例如，如果你的產品經理對「把事情完成！」這項一無所知，那他將得到0分。反之，如果他在「把事情完成！」的表現最令人驚艷，那麼他將得到7分。在完成對所有產品經理的評估後，很重要的是再次查看整個團隊的評估結果，並進行必要的調整，例如：所有在「做些規劃」得到6分的人都一樣好嗎？</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>初步評估會議</strong></span></span></p> <p>現在你已經定義了你的「好」並完成了快速測試，接下來呢？</p> <p>在此要跟你說明一件之前還沒談到的事：初步評估會議。你會在這個會議上對你的產品經理們介紹你對「好」的定義，然後再和他們一起進行第一次的協同評估。為了讓這個會議對你和你的產品經理們都有效益，我建議採取以下方法：</p> <p>● 解釋你的框架以及你是如何設計它的。</p> <p>● 邀請你的產品經理進行第一次協同評估會議。請他們在PMwheel的八個部分中為自己評分（你也會準備好你對他們的評估），並請他們將團隊和公司價值納入考量。</p> <p>● 向產品經理分享你對他的評估，並解釋你在個別項目為何給出這個分數。順帶一提，產品經理給自己的評分比他們的主管給的低是很常見的情況。（在這個部分不要只著重在不足之處，還要讓他們知道，你認為他們已經做得很好的地方！）</p> <p>● 在會議中找出一個可以改善的部分，最好是一些小的、容易學習或改變的事情，你會希望他們在這個部分獲得成功。</p> <p>● 詢問他們希望更常進行這樣的討論嗎？如果是的話，多久一次？</p> <p>● 鼓勵他們提供意見，甚至反駁你的方法也可以。你的產品經理可能會有些看法，能夠立刻改善你的「好」產品經理定義。<strong>（本文摘錄整理自《產品領導人之道》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E7%94%A2%E5%93%81%E9%A0%98%E5%B0%8E%E4%BA%BA%E4%B9%8B%E9%81%93_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">產品領導人之道｜培育卓越產品經理的全方位指南</span>（Strong Product People: A Complete Guide to Developing Great Product Managers）</strong></p> <p>Petra Wille／著；李文忠(Jenson)／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E7%94%A2%E5%93%81%E9%A0%98%E5%B0%8E%E4%BA%BA%E4%B9%8B%E9%81%93_200.jpg" style="width: 160px;" /></p> <p><a href="https://www.petra-wille.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Petra Wille</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Petra Wille</strong></p> <p>Petra Wille是一位獨立的產品領導力教練，自2013年以來一直在幫助產品團隊提升技能與表現。除了她的自由職業工作外，Petra還共同組織並策劃了德國漢堡的Mind the Product Engage活動。</p> </div></div></div>
2025/7/4 06:00未署名https://www.ithome.com.tw/article/169803
殯葬業者搶生意不擇手段！竟找駭客監聽消防救護系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了牟取經濟利益，近期臺灣出現有企業組織尋求電腦工程師、網路駭客入侵公務系統的情況，例如：<a href="https://www.mjib.gov.tw/news/Details/1/1102">郭姓網球教練因經營網球學院需要使用相關場地</a>，找上電腦工程師攻擊臺北市公有場地租借系統，並藉由網路爬蟲程式大量搶租熱門時段場地得逞。如今殯葬業者為了搶客，竟藉由駭客長期監聽消防單位的救護即時資訊。</p> <p>7月1日法務部調查局<a href="https://www.mjib.gov.tw/news/Details/1/1109">宣布破獲殯葬業者夥同駭客長期竊取消防局救護即時資訊的案件</a>，曾擔任民間EMT救護車駕駛的潘姓嫌犯受到殯葬業者請託，從2021年開始研究內政部消防署救護派遣有關系統，從中取得派遣及出勤資訊，隔年又入侵維運廠商的測試機取得參考資料，從中截取民眾報案時間、派遣分隊、案件類型、案發地址、座標等資訊，且以相同手法陸續擴大至全國21個縣市。</p> <p>潘姓嫌犯以自行架設之雲端開發平臺並以手機架設資料伺服器，將消防單位出勤資訊提供予殯葬業者使用，按月收取數千元至數萬元不等之不法利益。</p> <p>究竟殯葬業者拿到這些資料又會如何運用？他們安排員工24小時排班監看這些資料，只要出現重傷或是到院前心肺功能停止（OHCA）傷者資訊，業務員就會依照相關座標資訊前往現場等候搶客。調查局指出，這些業者透過潘姓嫌犯提供的資訊，每個月可多增加5至10件生命禮儀業務。離譜的是，甚至出現殯葬業者業務員比救護車還要早抵達現場的情況。</p> <p>針對這起事故察覺有異的情況，調查局表示他們在去年8月接獲線報，高雄市政府消防局行動派遣系統等緊急救護系統出現異常，疑遭駭客攻擊引起。他們隨即立案調查，結果發現去年6至8月高雄市政府消防局119指派系統遭多個機關異常連線，導致系統運作受到影響，經分析確認是潘姓嫌犯以駭客技術截取消防單位出勤救護資訊所致。</p> <p>檢調今年3月持搜索票搜索潘姓嫌犯住所，查獲犯案程式及連線設備。經約談後潘嫌坦承犯案。經高雄市調查處擴大清查，發現4家殯葬業者負責人、掮客、資訊工程師涉有重嫌。這些人經訊問後均坦承犯行。檢察官複訊後認定潘嫌等人均涉犯刑法妨害電腦使用罪嫌，臺灣高雄地方法院裁定潘嫌羈押，其餘嫌犯各以新臺幣3萬至50萬元交保。</p> </div></div></div>
2025/7/3 18:10作者周峻佑https://www.ithome.com.tw/news/169876
【資安日報】7月3日，全支付測試環境帳密驚傳遭駭客兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日國內最受到關注的資安新聞，應該就屬電子支付平臺全支付（Pxpay Plus）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩，察覺此事的資安專家指出，由於測試與正式環境共用商業邏輯與金流驗證機制，有可能會波及正式環境。</p> <p>在上述的資安事故之餘，中國應用程式過度收集用戶個資並傳送到中國的情況，也相當值得留意，本週國安局認證5款熱門中國App存在嚴重資安風險，呼籲民眾挑選應用程式要特別小心；而在今天發生的國際資安事故當中，我們整理了澳洲航空Qantas傳出遭到Scattered Spider攻擊，再者，法國揭露去年中國駭客UNC5174利用Ivanti CSA設備零時差漏洞入侵當地企業組織的情形。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169877"><strong style="font-size: 22px;">資安專家爆料，駭客深網兜售全支付Pxpay Plus測試環境帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pxpay-plus1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/pxpay-plus1.jpg" style="width: 300px; float: right;" /></a></p> <p>電子支付市場競爭激烈，安全防護卻絲毫不能鬆懈。由全聯福利中心轉投資的電子支付平臺「全支付（Pxpay Plus）」今日（7月3日）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩消息。</p> <p>有匿名資安研究員在深網（Deep Web）偵測到，自稱握有平臺後臺資料的駭客正在地下論壇兜售相關憑證，並要求買家以匿名加密貨幣門羅幣（XMR）交易。雖然根據資安專家初步勘驗指出，此次外洩的資料疑為測試環境帳密，但專家強調，測試與正式環境共用商業邏輯與金流驗證機制，一旦缺口擴大，衝擊恐波及真實金流與消費者權益。</p> <p>而全支付受訪時表示，資安團隊在昨日已有偵測到該起外洩情資，並進一步取得相關外洩資料，確認是測試環境非正式環境，且無用戶個資，已掌握可能的外洩管道，全支付目前已重新處理並加強防禦。</p> <p><a href="https://www.ithome.com.tw/news/169870"><strong style="font-size: 22px;">法國企業組織遭中國駭客UNC5174鎖定，透過Ivanti CSA設備零時差漏洞入侵</strong></a></p> <p>資安業者Ivanti自去年9月至10月上旬，針對Cloud Services Application（CSA）修補CVE-2024-8190、CVE-2024-8963、CVE-2024-9380等多項資安漏洞（CVSS風險介於7.2至9.4分），並表明部分在他們公布之前有已遭利用的跡象，最近有相關調查結果出爐，說明中國駭客在Ivanti提供修補之前，就利用這些弱點攻擊法國。</p> <p>法國網路安全局（ANSSI）本週發布調查報告指出，去年9月中國駭客也利用這些零時差漏洞發起攻擊行動Houken，對當地的政府機關、電信業者、媒體、金融通構、交通產業下手。</p> <p>針對這些駭客的身分，ANSSI指出就是資安業者Mandiant揭露的中國駭客UNC5174，Houken很有可能是旗下專門取得初始入侵管道的團隊所為，從2023年就開始從事活動，得逞後將相關資訊轉賣給其他駭客。而對於這些初始入侵管道買家的身分，ANSSI表示大部分是國家級駭客，但他們也看到UNC5174賣給從事挖礦攻擊的駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/169869"><strong style="font-size: 22px;">澳洲航空Qantas被駭，危及600萬客戶資料</strong></a></p> <p>澳洲航空Qantas周三（7月2日）坦承，該公司的第三方客戶平臺遭到駭客入侵，該平臺存放了600萬筆的Qantas客戶資料。外界則猜測這起事件是由駭客組織Scattered Spider所為。</p> <p>針對這起事故發生的過程，駭客鎖定該公司其中一個客服中心，獲得了第三方客服平臺的存取權，該公司是在周一（6月30日）偵測到該平臺的異常活動，並立即採取措施以控制系統。此平臺擁有600萬客戶的服務紀錄，包括姓名、電子郵件位址、電話號碼、出生日期，以及常客飛行會員編號，而對於受害的範圍，Qantas仍在調查實際被竊的比例與內容。</p> <p>Qantas強調，此資安意外並不影響營運與飛安，而且該系統並未存放信用卡資訊、個人財務資訊及護照資訊，而常客的帳號、密碼、PIN碼與登入資訊，也未外洩。</p> <p><a href="https://www.ithome.com.tw/news/169826"><strong style="font-size: 22px;">微軟揭露北韓遠端IT工作者滲透全球企業的手法</strong></a></p> <p>長期遭到聯合國與美國制裁的北韓，積極利用各種手段創造外匯收入。除了透過國家級駭客進行網路攻擊籌資外，北韓政府也派遣具備IT專長的國民，偽裝成遠端工作者滲透各國企業，為政權賺取外匯。微軟將此活動稱為Jasper Sleet，並於本周揭露北韓IT工作者不斷演進的滲透策略，包括運用AI技術以提高滲透成功率。</p> <p>這些位於北韓的IT人員通常有深厚的技術背景，他們創立虛假的身分檔案，也會在LinkedIn及GitHub建立專業檔案，主動投遞求職申請；在面試時，他們會透過VPN偽裝IP位置，透過變聲軟體改變聲音，並謊稱技術問題以關閉攝影機；若被錄取，有許多時候就需要由美國的「協助者」來提供居住地址，接收公司寄送的工作筆電，提供銀行帳戶，購買當地電話號碼，同時設置筆電農場（Laptop Farm）及遠端連線。</p> <p>工作時就由北韓IT工作者遠端連線至美國境內的筆電進行操作，以完成專案任務及日常職責，也能透過公司的通訊系統與同事互動。這些IT工作者主要藏身的據點，為北韓、中國，以及俄羅斯。</p> <p><a href="https://www.ithome.com.tw/news/169488"><strong style="font-size: 22px;">【OTP盜刷網釣現況大公開2】2025中國信用卡盜刷網釣即服務百家爭鳴，甚至公然在即時通訊軟體頻道打廣告與教人盜刷</strong></a></p> <p>關於網釣即服務（PhaaS）的態勢，我們從2016年至今，已經看到許有許多資安業者揭露這項威脅態勢，指出PhaaS的興起，降低業餘駭客的攻擊門檻，只要租賃雲端服務就可發動攻擊，同時也讓網路犯罪的網釣商業模式成形，而後續的資安研究也顯示，有更多提供犯罪的PhaaS供應商被揭露，並會持續提供進階釣魚與偵測規避的功能。</p> <p>不過，多數研究報告都是由國外資安業者發布，我們很少能具體瞭解其概況，近期台灣駭客協會理事戴辰宇（GD）揭露駭客竊取OTP盜刷網釣威脅現況時，亦介紹詐欺偵測的資料科學家Strawberry Donut的多項研究成果，當中就指出PhaaS不僅降低網路犯罪的技術門檻，也助長了這類攻擊的規模更擴大。同時，他還揭露了更多關於這個網路犯罪生態系不為人知的細節，包括全套與半套的不同PhaaS型態。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/verizon-t-mobile-deny-data-breaches-user-records-sold/">Verizon、T-Mobile數百萬記錄遭到兜售，兩家電信業者否認發生資料外洩事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-macos-malware-uses-process-injection/">北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dozens-of-fake-wallet-add-ons-flood-firefox-store-to-drain-crypto/">逾40款Firefox冒牌外掛上架市集，意圖榨乾用戶加密貨幣錢包</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/norwegian-dam-valve-forced-open-hours-in-cyberattack/">今年4月挪威水壩閘門遭到網路攻擊，被迫連續開啟數小時</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169862"><strong style="font-size: 22px;">思科整合通訊管理平臺CUCM存在危險程度達到滿分的漏洞，竟允許以預設root帳號登入</strong></a></p> <p>上週思科針對網路存取控制（NAC）平臺Identity Services Engine（ISE）修補滿分（10分）漏洞CVE-2025-20281、CVE-2025-20282，並指出這些漏洞可讓攻擊者在未經授權的情況下，遠端於作業系統底層以root的身分發出命令。本週他們又對另一套應用系統修補滿分漏洞，再度受到外界矚目。</p> <p>7月2日思科發布公告，指出旗下的整合通訊管理平臺Unified Communications Manager（Unified CM或CUCM）存在靜態的SSH帳密，未經授權的攻擊者可遠端利用，並以root帳號登入受影響的裝置，相當危險。該公告提及，此帳號使用了預設、靜態的帳密，且無法修改，或是刪除帳號。</p> <p>針對上述帳號出現的原因，思科表示是這套系統尚於開發階段保留下來的，攻擊者一旦濫用，就能以root使用者的身分執行任意命令。該弱點被登記為CVE-2025-20309，CVSS風險達到10分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/nessus-vulnerabilities-on-windows/">Tenable修補漏洞管理平臺代理程式Nessus資安漏洞，若不處理可對Windows電腦覆寫系統檔案</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169871"><strong style="font-size: 22px;">國安局認證5款熱門中國App存在嚴重資安風險，原因是過度蒐集個資與權限濫用</strong></a></p> <p>中國打造的應用程式存在資安疑慮，暗中收集個資或是回傳資料，過往通常是使用者察覺異常而東窗事發，隨著臺海局勢日益緊張，中國對臺灣的威脅與日俱增，這樣的議題也引起我國政府的重視。</p> <p>國家安全局本週發布新聞稿，指出他們為了避免中國政府以不正當管道竊取臺灣民眾個資，根據《國家情報工作法》規範，針對中國製造的行動裝置App進行檢驗，結果反映這些軟體確實存在過度收集個資及侵犯用戶隱私等資安問題，呼籲民眾在挑選應用程式的時候必須特別留意。</p> <p>這次查驗的中國製應用程式共5款，分別是：小紅書、微博、抖音、微信、百度雲盤，皆為許多臺灣民眾耳熟能詳的App。法務部調查局及警政署刑事局根據數位發展部發布的《行動應用APP基本資安檢測基準v4.0》，針對15項指標進行檢測，結果發現，這些App均存在違反大多數指標的情況。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169833"><strong>【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169807"><strong>【6月30日】微軟Exchange伺服器遭大規模攻擊鎖定，臺灣是前三大目標</strong></a></p> </div></div></div>
2025/7/3 18:32作者周峻佑https://www.ithome.com.tw/news/169878
全支付獨家回應測試環境帳密外洩疑雲：證實禍源在「商戶個人電腦遭駭」，金流安全未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，資安界盛傳有駭客在深網兜售全支付測試環境的管理者（Admin）帳號密碼資料，引發外界對全支付資安防護的關注。對此，本報獨家採訪全支付公司，其高層首次揭露事件調查結果與應對措施。</p> <p>全支付表示，他們已在第一時間掌握相關情資並取得外洩內容，經過深入分析，判定此次事件並非其後臺系統本身遭駭，而是起因於「少數合作商戶的個人電腦遭到駭客入侵」，駭客進而取得其電腦中留存的測試環境登入憑證。</p> <p>全支付強調，儘管部分測試環境資料外洩，但其主要金流服務及使用者（消費者）權益並未受到實質影響。</p> <h2><strong>駭客深網兜售測試環境帳密，全支付第一時間掌握情資並啟動調查</strong></h2> <p>根據本報取得的情報，資安專家發現駭客在深網上販售全支付測試環境的Admin帳密資料，數量多達近30組全支付商戶帳號密碼，甚至包含可能與管理帳戶相關的資訊。</p> <p>全支付指出，該公司資安監控機制已於7月1日一早便通報此事，顯示其對資安情資具有即時掌握能力。為釐清真相，全支付更設法取得駭客手中情資，並進行全面清查。</p> <h2><strong>全支付澄清，資安漏洞源於商戶端而非內部系統遭駭</strong></h2> <p>對於外界可能將矛頭指向全支付內部系統的疑慮，全支付嚴正澄清，此次資料洩漏的源頭「並非全支付的後臺系統遭駭」。</p> <p>全支付說明，駭客是透過入侵「商戶的個人電腦」取得登入資訊。舉例而言，駭客可能連結到某個合作商戶的電腦，竊取其瀏覽器中儲存的所有網站帳密（如Cookie資料），進而得知該商戶曾登入全支付的測試環境後臺，再循線登入查看內部資料。</p> <p>全支付強調，駭客進入的是「某個個人的電腦環境」，而不是直接入侵全支付的測試環境。儘管如此，此次爆料的資安專家也提醒，測試環境與正式環境在「商業邏輯」及「金流加解密」部分仍有相似之處，潛在風險不容小覷。</p> <p>此事件也凸顯了駭客攻擊手法日益多樣化，不再僅限於直接攻破企業主機，轉而利用終端使用者資安意識不足的弱點進行突破。</p> <h2><strong>落實資安分級管理，金流安全防線更嚴密</strong></h2> <p>全支付進一步說明其資安防護策略，針對不同環境有不同層級的保護措施，並強調，凡涉及金流的安全防護措施，將採取更嚴密的措施。</p> <p>全支付指出，此次外洩的測試後臺是「開放給一般商戶測試使用」的，其本質上「不會鎖來源IP」。主要考量是許多商戶，特別是個人戶，其家用網路IP地址很多是動態IP，若強制鎖定IP將不符使用彈性，因此無法做到全面的限制來源IP。</p> <p>相較之下，全支付的內部系統則有嚴格的IP鎖定機制。全支付表示，該公司的內部系統，不能從外部IP去連線，僅限從公司內部網路及公司自有電腦連線；所有內部電腦均須符合金管會要求的資安強度標準，包括EDR（端點偵測與回應）、防毒軟體及各種資安偵測機制，以確保內部營運的安全性。</p> <p>全支付強調，其系統對密碼複雜度有基本要求。但在調查外洩資料時，他們赫然發現，有用戶的「所有平臺的帳密都是同一組」，這凸顯了部分商戶乃至一般民眾在資安意識上的不足，極易成為駭客利用的目標。</p> <p>全支付指出，帳號密碼設定與使用方式，這是一個值得深思的議題，這也反映出，科技與數位工具的使用度雖高，但民眾的資安意識仍待加強，「這也是普遍存在於各行業的挑戰。」全支付說道。</p> <p>資安專家曾質疑，全支付是否未進行紅隊演練或滲透測試，導致UAT（使用者驗收測試）環境容易受駭。</p> <p>全支付則對此回應，都有定期該相關該做的資安防護，也委託外部資安業者進行相關的滲透測試與紅隊演練，全支付也說，這些資安作為也都是被主管機關要求的必要程序，目的就是要確保系統穩定性與防禦能力。</p> <p>全支付認為，此次資安事件因屬商戶的個人電腦受駭，與這些系統層級的演練「沒有絕對性的關係」，其本質更接近於社交工程或個人終端安全問題。</p> <h2><strong>確保商戶金流與消費者權益，安全無虞</strong></h2> <p>此外，資安專家也質疑，全支付在測試環境中是否缺乏多因素認證（MFA）的保護，導致即使帳密被竊，駭客仍能輕易登入。</p> <p>對此，全支付承認，商戶使用的測試平臺因「機密等級較低」，確實「沒有做到多因素認證。」全支付以銀行網銀為例，解釋其MFA策略。使用者登入網銀，往往只需要帳號密碼就可以；但是當使用者要進行其他的撥款、交易，或者是提領的時候，則會強制使用雙因素認證。</p> <p>全支付表示，這樣的作法，意味著在「不同的功能機制面」上會採取「不同強度層級的保護」。</p> <p>對於全支付的商戶後臺而言，其功能如同網銀的初步登入，僅能「登入看資訊內容」，例如查看撥款或帳務資料；若是要進行相關金流交易資料變更，例如提領或轉帳行為，則不能線上作業，必須走另外的申請流程才能變更，確保金流的絕對安全。</p> <p>全支付指出，這種分層防護的設計，目的在於平衡便利性與安全性，將最高強度的驗證，集中在涉及金錢交易的關鍵環節。</p> <p>全支付強調，針對消費者會受影響的機制，或內部員工從遠端連回公司等高風險環節，均已實施MFA。</p> <p>全支付也坦言，雖然可以設定更嚴謹的MFA方式，但關鍵仍在於如何教育合作商戶，讓他們主動使用雙因素驗證或其他安全措施，這是一個需要持續推廣和強化的環節。</p> <p>全支付再三強調，此次事件對商戶的「金流安全性是不受影響的」。由於商戶更改撥款帳戶等關鍵金流資訊，均需要獨立的線下申請流程，而非僅憑帳密即可變更，因此即使駭客取得測試環境的帳密，也無法直接動搖商戶的資金安全。</p> <p>至於廣大全支付使用者（消費者），由於他們根本無法進入後臺，其權益完全不受影響，無須擔憂個人資料或金錢安全問題。</p> <h2><strong>主動通知高風險商戶，強化資安意識是業界一大挑戰</strong></h2> <p>全支付表示，針對此次事件中可能受影響的商戶名單，他們已進行複查，並將主動通知這些商戶「電腦可能有風險」，建議他們進行變更密碼，以防範於未然。全支付也坦言，許多合作夥伴可能根本不知道自己的電腦已被入侵，因此及時的風險提示至關重要。</p> <p>此次事件也讓全支付意識到，如何教育這些合作夥伴，提升其資安意識是當務之急。全支付表示，他們會將商戶的權限「設得很嚴謹」，並限制其在網路上能做的行為，只要是「跟金流相關的東西要做變更」，就「只能走一般程序」，不能透過線上系統直接變更，以此從制度面降低潛在風險。</p> <p>全支付指出，這類商戶帳密外洩事件並非全支付獨有，他們在調查過程中發現，駭客在深網兜售的論壇平臺上，還有許多「其他業者的商戶帳密都在上面」。這反映出一個普遍的業界問題，隨著科技發展與數位化普及，一般民眾的「資安意識」往往不夠。</p> <p>全支付表示，有許多用戶習慣在多個平臺使用同一組帳號密碼，或是忽略個人電腦的基本資安防護，這些作為都為駭客創造了可乘之機。全支付將持續觀察並思考，如何更有效地提升合作夥伴及社會大眾的資安素養，共同強化數位金融的安全防線，「這將是一個長期且艱鉅的任務。」全支付說道。</p> <p>此次全支付測試環境帳密外洩事件，雖經全支付澄清，禍源在商戶個人電腦遭駭，且聲明金流及消費者權益未受實質影響，但仍為業界敲響警鐘。</p> <p>它不僅凸顯了個人資安防護的重要性，更提醒金融服務業者在推動數位化的同時，需持續強化對合作夥伴的資安教育與權限管理，共同應對日益複雜的網路攻擊挑戰。</p> <p>全支付此次及早掌握相關情資，並主動調查與通知受駭商戶，積極應對的作為也展現了其面對資安事件的負責態度，為此事件畫上階段性句點。在網路威脅無所不在的當下，企業與用戶雙方都應該共同肩負資安責任，才是抵禦駭客攻擊的長久之計。</p> <h2><a href="https://www.ithome.com.tw/news/169877"><span style="color:#0000FF;"><strong>相關新聞：資安專家爆料，駭客深網兜售全支付pxpay plus測試環境帳密</strong></span></a></h2> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> </div> </div></div></div>
2025/7/3 19:49作者黃彥棻https://www.ithome.com.tw/news/169880
資安專家爆料，駭客深網兜售全支付pxpay plus測試環境帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子支付市場競爭激烈，安全防護卻絲毫不能鬆懈。由全聯福利中心轉投資的電子支付平臺「全支付（pxpay plus）」今日（7月3日）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩消息。</p> <p>有匿名資安研究員在深網（Deep Web）偵測到，一名自稱手握平臺後臺資料的駭客正在地下論壇兜售相關憑證，並要求買家以匿名加密貨幣門羅幣（XMR）交易。</p> <p>雖然根據資安專家初步勘驗指出，此次外洩的資料疑為測試環境帳密，但專家強調，測試與正式環境共用商業邏輯與金流驗證機制，一旦缺口擴大，衝擊恐波及真實金流與消費者權益。</p> <p>而全支付受訪時表示，資安團隊在昨日已有偵測到該起外洩情資，並進一步取得相關外洩資料，確認是測試環境非正式環境，且無用戶個資，已掌握可能的外洩管道，全支付目前已重新處理並加強防禦。</p> <h2><strong>駭客深網兜售帳密，測試平臺疑成破口</strong></h2> <p>有匿名資安專家在例行性掃描深網論壇時，意外發現一則貼文標題直指「pxpayplus.com Breached！Admin Details On Sale」，貼文中附有數張後臺登入介面截圖與局部帳密測試字串，包含系統管理者「joe」、財務主管「hana_jiang」、專案管理主管「qa_tool」等多組帳號。貼文作者並未公開完整憑證，而是留下通訊方式，要求有意買家私訊洽詢價格並以XMR（門羅幣）支付。</p> <p>匿名資安專家進一步比對帳號格式，注意到其中出現「Reda_UAT」「kevin_uat」等典型測試環境（User Acceptance Test，UAT）字樣，研判駭客持有的並非正式營運資料。但該名資安專家也指出，駭客提供的「測試資料」仍具高度真實度；若並非透過入侵所得，至少亦掌握了內部測試站點URL及弱密碼設定，可見平臺外部攻擊面已遭揭露。</p> <p>此外，駭客未公布標價，而是採「暗標」模式，反映其對資料價值信心十足；在地下市場裡，愈重要的系統憑證，愈傾向私下議價，以免被第三方低價攪局。由於電子支付平臺關乎金錢流向與個資保護，任何與「Admin」相關的外洩資訊，都足以提高買家出價意願。</p> <h2><strong>深網與暗網的邊界，地下交易的灰色地帶</strong></h2> <p>多數社會大眾常將 Deep Web（深網）與 Dark Net（暗網）混為一談。實際上，深網是指「未被一般搜尋引擎索引」的網域，凡需帳號密碼才能存取、或阻擋機器人爬蟲的網站，皆屬其範疇。</p> <p>但是，暗網則必須透過特定工具（如Tor洋蔥路由器）才能進入，且網址結尾多為.onion。本次駭客貼文出現在需註冊、登入且禁止搜尋引擎抓取的論壇，屬於深網而非暗網，卻同樣隱蔽難追。</p> <p>深網論壇歷來是「資料盜售」與「零時差漏洞（Zero Day）」買賣集散地，攻擊者以匿名帳號張貼樣本，藉此證明持有權，再與買家透過加密訊息商洽；門羅幣（XMR）因交易難以追蹤，已成地下經濟主流貨幣。若電商或金融機構的資料，在這些地下論壇流通時，往往代表攻擊者或駭客，已經取得入侵相關企業的第一把鑰匙的門檻。</p> <h2><strong>資安專家質疑，全支付輕忽測試環境風險</strong></h2> <p>匿名資安專家從此次深網外洩全支付帳密事件來看，他認為，不管是全支付或是相關的系統外包業者，至少有管理不當的問題，即便駭客沒有販售常見的個資，反而販售平臺資訊，但沒有個資外洩，平臺資訊外洩對企業和使用帶來風險仍然很大。</p> <p>該名資安專家依據其資安專業指出，全支付第一個面臨的顯著風險就是：全支付的測試平臺，可能沒有鎖來源IP（IP Whitelisting）。測試環境通例為便於多地開發人員存取，若未設定來源IP限制，就等於將登入頁面暴露於公開網路，易遭自動化掃描工具鎖定。專家研判，攻擊者可能透過 Shodan 等搜尋引擎，以關鍵字與指紋特徵比對，找到測試站點後再進行暴力破解。</p> <p>其次，該名資安專家推測，全支付外洩的測試平臺密碼強度未受控管。他指出，目前看不出來是駭客利用平臺漏洞打進測試平臺，還是因為平臺使用弱密碼被駭客猜到而登入測試平臺。</p> <p>因為測試站點時常沿用「通用帳密」或「預設密碼」，例如 admin/admin、test/123456 等，以方便QA或PM隊伍快速驗證功能。若缺乏密碼強度政策（長度、複雜度、輪替週期），即使未有嚴重程式漏洞，帳密仍可能被嘗試出來。</p> <p>他表示，這些測試用帳密因為沒有遮蔽，一旦被不明人士掃描到或測試人員洩漏網址，資料將面臨洩露風險。</p> <p>他也好奇，全支付電子平臺的測試環境是否有採用多因素（MFA）認證。他表示，正式環境對資安要求更嚴謹，大多會導入像是硬體Token、TOTP 或FIDO2等更嚴謹的密碼機制，但測試環境卻常常被忽視。「只要帳密一洩，沒有第二道驗證關卡，攻擊者就能如入無人之境。」他提醒說道。</p> <p>最後，該名資安專家質疑，全支付電子支付平臺是否有定期進行紅隊演練。他指出，紅隊演練（Red Team Exercise）可以從外部攻擊者的視角驗證系統韌性，對於攸關金流安全性的全支付而言，紅隊演練是否涵蓋UAT、DEV、Staging等環境很關鍵，他認為，如果演練有到位，理應能預先發現「測試站點外放」等基礎缺陷。</p> <h2><strong>商業邏輯與金流驗證方法，正式與測試環境同步</strong></h2> <p>業界慣例為保護個資，測試環境往往以假資料、遮蔽卡號、隨機商戶交易進行，但保持「與正式環境一致的商業邏輯」才能確保QA成效。</p> <p>換言之，包括加解密方法、API參數格式、金流驗證演算法等，大多直接複製正式環境。此一做法雖合理，卻讓測試環境一旦外洩，攻擊者可藉此逆向工程協定細節，提前為未來入侵鋪路。</p> <p>匿名資安專家提醒，若駭客手中除帳密外，還握有前端或後端程式碼，即可能解構請款機制、費率設定與交易狀態碼，進而設計偽造請求。「電子支付的核心價值不在個資，而在金流路徑安全。」他擔心，駭客只要能偽造交易並繞過風控，就足以造成平臺甚至使用者的財務損失。</p> <p>正如資安專家所言：「測試環境只是『沒有真實個資』，卻絕不是『沒有真實風險』。」唯有把每一扇看似不起眼的小門鎖緊，金融科技的創新之路才能走得長遠而穩健。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%85%A8%E6%94%AF%E4%BB%982.jpg" style="width: 600px; height: 336px;" /></p> <p> </p> <blockquote><p>根據駭客揭露的測試資料顯示，有一些Admin帳密帶有UAT字眼，資安專家推測應該是測試環境的帳密資料。</p> </blockquote> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/7/3 18:21作者黃彥棻https://www.ithome.com.tw/news/169877