【資安月報】2025年11月，「小烏龜」資安風險恐衝擊國家安全。網路詐騙防範挑戰備受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年11月的資安新聞中，「小烏龜」資安風險與網路詐騙防範成為最熱門、最受矚目的焦點議題，還有國內外重大資安事件、針對開發者生態的攻擊，以及其他威脅升溫的趨勢同樣不容忽視。我們整理出6大焦點，帶大家快速回顧本月的關鍵新聞與資安趨勢。<br /> </p> <p><span style="color:#FF0000;"><strong>（一）小烏龜資安風險衝擊國家安全</strong></span></p> <p>本月最熱門的資安新聞，莫過於電信業者提供的數據機──也就是俗稱的「小烏龜」──被揭露存在多項安全漏洞，牽動網路服務供應商與網通設備產品安全的整體討論。過去一年來，趨勢科技資深威脅研究員游照臨多次談及此議題，本月我們進行專訪了解整體概況。首要問題點是ISP方面，他指出中華電信配發數據機給用戶後，缺乏妥善維護，當數據機產品生命週期終止（EoL），廠商與用戶卻仍未更換這些設備。他可以理解相關電信業者遇到的困難，但引發政府、金融、軍方網路門戶洞開的危機需要正視，而且事件爆出一年仍未汰換完畢，處理明顯不夠積極。</p> <p>產品資安漏洞議題也受到討論，因為他最早的發現過程，就是因為自己搬家順手檢查中華電信新裝的數據機，這項下班後研究卻讓他挖出超過30個、跨多家大廠的CVE漏洞。他並指出，許多老設備都有不安全的設計，存在3種常見漏洞問題，包括認證繞過、隱藏後門、遠端程式碼執行，而且這些產品資安問題都沒妥善解決，常有漏洞繼承未處理的現象。另外，許多廠商表示產品已達EoL而拒絕修補，資安風險將轉嫁使用者。</p> <p>更需要我們重視的是，他還提及未修補漏洞的數據機可能成為詐騙集團的間接幫凶。一旦駭客取得邊緣設備的控制權，不只可以竊取資料，更能監控或攔截整個網路封包；也能竄改使用者要存取的網頁，置換成精心設計的釣魚頁面；甚至將設備納入殭屍網路，成為詐騙、DDoS攻擊或更複雜滲透行動的跳板。<br /> </p> <p><span style="color:#FF0000;"><strong>（二）網路詐騙威脅持續成全球重要議題</strong></span></p> <p>網路詐騙議題持續受關注，本月我們有一期封面故事是探討LINE如何對抗詐騙產業鏈，有兩大焦點議題：<br /> 第一點：LINE 分享今年6月與刑事局合作的打詐經驗，說明如何運用警方提供的高風險門號資料分析模型，成功揪出7.3萬個異常帳號，且誤封率極低，僅1名用戶需恢復權限。LINE並提及過去封鎖可疑帳號的兩難，直到去年打詐新四法的詐欺犯罪危害防制條例提供平臺「避風港」，得以強化自動化處置流程，更即時阻斷可疑帳號。<br /> 第二點：2024年投票釣魚問題大幅暴增，帳號遭盜通報數量是2023年的5.5倍。此類攻擊以假「投票活動」名義，濫用合法的LINE帳號轉移機制來奪走帳號控制權，雖然多數民眾知道連結要檢查、不亂點，也對LINE帳號轉移有了解而有所警覺，但對年幼、長者或不熟網路者仍具高度迷惑性。因此，LINE 從攻擊者角度思考，繪製授權釣魚運作流程，以尋找最有效的阻斷點。</p> <p>另外，本月還有台灣數位信任協會發表「2025社群冒名詐騙報告書」，解析臺灣社群冒名貼文的場景，同時也指出全球有更多國家都在針對打詐立法，包括數位詐騙防治新法、澳洲實施SPF防詐框架，都是今年重要議題。而在國際上，Google指出近年假冒物流「包裹卡住」或「未繳路費」的簡訊氾濫，他們設法從政策與立法層面發力，針對一個提供簡訊釣魚服務的PhaaS平臺Lighthouse背後團體提起訴訟，希望幫助打擊詐騙工具鏈。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）國際重大資安新聞事件</strong></span></p> <p>本月國際資安新聞中，有4則具代表性、影響範圍廣或備受討論的事件。<br /> ●中國資安公司「知道創宇」11月發生資料外洩事件，駭客聲稱竊取1.2萬份機密資料。更受全球關注的是，資安研究員NetAskari分析指出，其外洩文件再次揭露該公司受政府委託從事全球網路間諜活動，而其攻擊目標涵蓋臺灣、日本、越南等20多個國家。<br /> ●與Salesforce有關的供應鏈威脅再度浮現，11月20日Salesforce針對Gainsight遭駭示警，指出由Gainsight提供且與Salesforce連接的應用程式有異常活動，估計事件影響200家Gainsight用戶的Salesforce資料，由於3個月前曾發生攻擊者利用竊取的Drift OAuth憑證入侵，這次事件再度引發CRM生態系供應鏈安全問題關注。<br /> ●先前曝光的Oracle商業應用系統E-Business Suite（EBS）零時差漏洞攻擊事件，到了11月有大量受害者身分曝光。從施耐德電機、艾默生電機，到英國NHS、安聯人壽英國子公司、華盛頓郵報、羅技、日立子公司GlobalLogic等。迄今，攻擊並外洩Oracle EBS資料的Cl0p駭客，已宣稱駭入100多家企業組織，並公開近半組織的資訊。<br /> ●安永會計師事務所資料庫雲端備份暴露在公開網路，這項消息在當時也成為熱門的資安新聞。通報此事的研究人員對外揭露這項發現並提醒，即便具備完整資源與專業能力的大型組織，也可能因設定不當而意外將SQL Server資料庫備份暴露於外，各機構都應以此為戒。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）多起臺灣上市櫃重大資安事件</strong></span></p> <p>接下來將焦點回到國內，本月共有4家上市櫃公司在公開資訊觀測站發布資安重大訊息，我們整理如下：<br /> ●第一週1起，福貞-KY子公司福建福貞金屬包裝遭受駭客網路攻擊，傳出Radar勒索軟體組織宣稱是其所為。<br /> ●第三週2起，東和紡織表示部分資訊系統遭受駭客網路攻擊；中菲電腦說明發生網路資安事件。<br /> ●第四週1起，有成精密揭露部分資訊系統遭受駭客網路攻擊。<br /> 另外留意的是，Google威脅情報團隊揭露中國駭客APT24的攻擊手法轉變，攻擊型態從水坑式攻擊擴展為多向量攻擊，當中曝光了一家臺灣數位行銷業者去年7月遭該組織發動供應鏈攻擊，因此波及逾千個網域。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）蠕蟲攻擊活動正大量鎖定開發者生態而來</strong></span></p> <p>開發人員當心，軟體開發套件儲存庫與整合式開發環境的延伸套件，持續成為駭客攻擊重心，近來蠕蟲攻擊最受關注，有多家資安業者不約而同提出警告，揭露這方面的威脅態勢：</p> <p><span style="color:#0066ff;"><strong>IndonesianFoods蠕蟲程式：</strong></span>已在NPM孳生逾10萬個套件，研究人員指出，攻擊者大量上架無用套件，疑似牟取開源專案貢獻獎勵的Tea加密貨幣，但此狀況也引發供應鏈安全專家對未來可能被惡意利用的憂慮。<br /> <span style="color:#0066ff;"><strong>Shai-Hulud蠕蟲程式：</strong></span>新一波攻擊活動在短短3天內上傳逾千個NPM套件，並感染約2.7萬個GitHub儲存庫。該蠕蟲可在Windows、Linux、macOS的開發環境快速擴散，利用掃描工具TruffleHog搜索外洩金鑰與雲端憑證，並將資料上傳到公開的GitHub儲存庫，同時又再自我複製後持續上架新套件。<br /> <span style="color:#0066ff;"><strong>GlassWorm蠕蟲攻擊活動：</strong></span>近期攻擊活動再度現身Open VSX，其行為會蒐集受害開發環境中的NPM、GitHub與Git憑證，並破壞其他套件或擴充元件。研究人員指出，攻擊程式碼混入肉眼難以察覺的Unicode字元，近期發現該惡意套件已被下載近1萬次。<br /> </p> <p><span style="color:#FF0000;"><strong>（六）多項資安威脅快速升級需要戒備</strong></span></p> <p>近期多起網路威脅活動也陸續被揭露，同樣值得高度關注，我們列出6起重要態勢：<br /> ●運輸物流業者當心！資安業者Proofpoint揭示一波鎖定運輸物流業的攻擊行動。攻擊者濫用合法遠端管理工具（RMM），目的不在竊取資料，而是取得帳號與權限後竄改配送資訊，進而竊取實體貨物轉售獲利，各界需提高警覺。<br /> ●中國駭客鎖定華碩WRT系列路由器已知漏洞入侵，資安業者SecurityScorecard警告，許多使用者未套用安全更新，使其有可乘之機，而攻擊者入侵綁架設備的目的是架設ORB網路，用來隱匿網路攻擊與間諜活動的真實來源。<br /> ●中國駭客PlushDaemon最新攻擊活動被揭露，資安業者ESET指出其攻擊是入侵路由器後竄改DNS組態，從而讓受害者電腦自攻擊者的伺服器下載包含惡意的更新，已棄用的搜狗輸入法也是他們利用的目標。<br /> ●中國製生成式AI語言模型隱憂受關注，法務部調查局抽查DeepSeek、豆包、文心一言，警政署刑事警察局抽查通義千問、騰訊元寶，發現相關產品普遍存在資安風險及內容偏頗等問題，提醒國人慎選並注意資料外洩。<br /> ●微軟10月修補的WSUS漏洞CVE-2025-59287成國家級駭客鎖定目標，例如資安業者Darktrace指出有攻擊者利用並植入Skuld竊資軟體，後續韓國資安業者AhnLab示警，發現中國APT駭客鎖定未修補用戶攻擊，並部署惡意程式ShadowPad。<br /> ●Amazon威脅情報團隊揭露，伊朗駭客Imperial Kitten與MuddyWater正以「cyber-enabled kinetic targeting」模式，透過軍用船隻的自動識別系統與監視器等系統蒐集情資，支援後續軍事打擊行動。<br /> </p> <h3><a href="https://www.ithome.com.tw/news/172143"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1103~1107，普發現金萬元開跑，財政部封假冒網站並提醒國人務必識別政府網域</span></strong></a></h3> <p>回顧2025年10月第一星期資安新聞，最受關注的消息是LockBit 5.0新版惡意程式已被資安業者確認存在，在威脅態勢方面，還有多起與漏洞攻擊與資安事故的消息，其中鎖定Sudo已知漏洞的攻擊情形引發關注，還有英國車廠有兩座工廠因網路攻擊停擺一個月，導致供應商斷鏈危機，引發英國政府替其貸款提供擔保</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172269"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1110~1114，零時差漏洞攻擊再升溫，2個多月前揭露的Citrix與思科漏洞在公布前即遭國家級駭客利用</span></strong></a></h3> <p>在2025年10月第二星期資安新聞中，駭客鎖定Oracle商業應用程式E-Business Suite（EBS）發動零時差漏洞攻擊是主要焦點，還有Red Hat資料外洩恐影響5千家企業的消息引發關注；國內有兩家上市櫃公司發布重大訊息揭露資安事故，包括太子建設與葡萄王生技代子公司葡眾企業發布</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172429"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1117~1121，電信業提供「小烏龜」已屆EoL，卻未主動幫用戶更換，邊緣裝置產品資安風險成焦點</span></strong></a></h3> <p>在2025年10月第三星期的資安新聞中，最重要的消息是Windows 10作業系統終止支援的日期已經到來，之後將不再獲得常規安全更新；在攻擊態勢上，有駭客鎖定微軟、思科產品發動多個零時差漏洞攻擊，還有國家級駭客入侵資安公司F5的消息也震驚各界</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172549"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1122~1126，LINE資安弱點揭露受關注。Salesforce針對Gainsight遭駭示警</span></strong></a></h3> <p>在2025年10月第四星期的資安新聞中，汽車大廠Jaguar Land Rover遭駭事件的後續損失評估出爐，經濟損失高達19億英鎊（約788億元），創下英國史上最高紀錄；在漏洞攻擊態勢方面，最受關注的是微軟近期修補的WSUS、SMB漏洞，已有攻擊者積極利用這些漏洞發動攻擊</p> <h3> </h3> <p><span style="color: rgb(255, 255, 255);">文⊙羅正漢</span></p> <h3><a href="https://www.ithome.com.tw/news/172056">【2025年10月資安月報，AI助攻漏洞防禦，自動化漏洞發現與修補快速崛起】</a><br /> </h3> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171458">【2025年9月資安月報，臺灣企業組織的資安預算創新高，總統公布資安法修正通過】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170940">【2025年8月資安月報，駭客鎖定Salesforce用戶，語音網釣與第三方應用程式成主要破口】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170565">【2025年7月資安月報，語音網釣與ClickFIX網釣日益嚴峻】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170026">【2025年6月資安月報，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/169340">【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】</a><br /> </h3> </div></div></div>
