iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】1月2日，第三波蠕蟲Shai Hulud變種現身NPM儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173123"><strong style="font-size: 22px;">NPM供應鏈蠕蟲Shai Hulud新變種現身</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-99.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-99.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Aikido Security與OX Security提出警告，他們在0.26.2版@vietmoney/react-big-calendar偵測到新的Shai Hulud變種，目前並未出現大規模散布或感染的情況，研判攻擊者可能正在測試有效酬載。</p> <p>最早發現及公布此事的是Aikido Security，他們指出，第三波Shai Hulud的新變種，仍延續既有供應鏈惡意套件的典型路徑，藉由套件安裝流程在開發者電腦或自動化建置環境執行，蒐集環境變數與金鑰，並嘗試將資料外洩到GitHub儲存庫，同時在特定條件下試圖發布套件。新的Shai Hulud有幾個特徵，首先，初始啟動檔名改為bun_installer.js，主要載荷改為environment_source.js。其次，外洩到GitHub時使用的儲存庫描述字串改成Goldox-T3chs:OnlyHappyGirl，並把外洩檔名改成較難以字串比對攔截的形式，例如3nvir0nm3nt.json、cl0vd.json、c9nt3nts.json。</p> <p>新變種在細節上微調執行流程，例如改善金鑰掃描工具TruffleHog逾時的錯誤處理，並補上在Windows環境呼叫Bun發布套件的相容性。同時，其蒐集資料與寫入檔案的順序被重新排列，研究人員認為，攻擊者仍在迭代其外洩管道。由於事件仍在發展，資安人員應將其視為測試或前哨，須持續追蹤是否出現後續擴散。</p> <p><a href="https://www.ithome.com.tw/news/173132"><strong style="font-size: 22px;">VS Code延伸套件蠕蟲GlassWorm鎖定macOS開發者而來，企圖散布木馬化的加密貨幣錢包</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6952d1319ada4a224d63fc6c_c57b7c79.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6952d1319ada4a224d63fc6c_c57b7c79.png" style="width: 300px; float: right;" /></a></p> <p>鎖定整合式開發環境（IDE）工具Visual Studio Code（VS Code）用戶的蠕蟲程式GlassWorm，約從10月下旬出現首波攻擊，截至11月底已有3波活動，事隔一個月，這些駭客再度活動，而且鎖定的目標也出現變化。</p> <p>資安公司Koi Security指出，具有自我傳播能力的蠕蟲GlassWorm近期出現第四波攻擊。這次活動展現了駭客顯著的技術演進，首先，攻擊的作業系統目標從Windows全面轉向macOS，相關惡意延伸套件pro-svelte-extension、vsce-prettier-pro，以及full-access-catppuccin-pro-extension，迄今已被下載約5萬次；再者，是採用專門鎖定Ledger與Trezor等硬體錢包應用程式的木馬化技術。</p> <p>該公司提及，駭客的攻擊核心機制與過往活動相同，GlassWorm都是從區塊鏈平臺Solana取得C2資訊，執行來自C2的指令，不過，這次駭客將有效酬載嵌入經過編譯的JavaScript指令碼，並使用AES-256-CBC演算法進行加密處理。值得留意的是，他們過往使用的特殊手法並未在這次活動出現，例如：無法透過肉眼看到的Unicode字元，或是Rust打造的二進位檔案等。</p> <p><a href="https://www.ithome.com.tw/news/173111"><strong style="font-size: 22px;">MongoBleed漏洞已遭實際濫用，CISA要求聯邦民事行政部門機關三週內修補</strong></a></p> <p>12月29日美國網路安全暨基礎設施安全局（CISA）將MongoDB漏洞CVE-2025-14847（MongoBleed）加入已知遭利用漏洞清單（KEV），並要求聯邦民事行政部門機關（FCEB）在2026年1月19日前完成修補，期限約三周。 </p> <p>CISA將CVE-2025-14847列入KEV，原因是已出現積極利用的跡象。CVE-2025-14847又被稱為MongoBleed，該漏洞在不需要身分驗證且不需使用者互動的情況下，可能讓攻擊者遠端讀取伺服器記憶體中的敏感片段，例如帳密或其他存取憑證、API或雲端服務的金鑰、工作階段權杖、內部紀錄，以及可識別個人的資料等。</p> <p>雖然BOD 22-01的指令適用範圍主要是美國聯邦民事行政部門機關，但對一般組織而言，MongoBleed同樣危險。要是環境中有使用MongoDB，特別是對外提供服務或是向網際網路開放的部署型態，CISA同樣建議應把CVE-2025-14847列為近期修補的優先項目。</p> <p><a href="https://www.ithome.com.tw/news/173114"><strong style="font-size: 22px;">800美元即可買斷ClickFix攻擊服務，套裝工具ErrTraffic可自架後臺分流投遞竊資程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ErrTraffic-Post-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ErrTraffic-Post-1.png" style="width: 300px; float: right;" /></a></p> <p>資安情資公司Hudson Rock發布報告指出，名為ErrTraffic或ErrTraffic v2的ClickFix攻擊服務，在俄語系網路犯罪論壇被公開兜售，整套專案標價800美元。研究人員提到，該工具把原本較零散的社交工程誘導流程做成可重複部署的產品，讓攻擊者能以較低門檻在被入侵網站上大量鋪設誘餌，再依受害者的作業系統投遞不同惡意程式。</p> <p>ErrTraffic主打假故障效果，該工具會在網頁上製造破碎文字與視覺雜訊等異常狀態，讓使用者誤以為網站或瀏覽器發生嚴重錯誤，進而產生急迫感，並讓修復按鈕看起來像是唯一解決方案，提升ClickFix誘導成功機率。推廣者也貼出活動儀表板截圖，顯示在與誘餌互動的訪客中，部分活動的成功率接近60%。</p> <p>另一個賣點是跨平臺投遞能力，ErrTraffic會對訪客作業系統進行指紋辨識，涵蓋Windows、macOS、Android，以及Linux，並依環境提供不同惡意載荷。研究人員也提到，控制臺設定可見針對獨立國家國協（CIS）相關國家或俄語圈常見的地理封鎖排除項目，這類設計通常被用來降低在地執法風險。研究人員認為，該細節不足以直接指向特定組織，但顯示工具在商業化之餘，也把地下社群的操作習慣寫進產品預設。</p> <p><a href="https://www.ithome.com.tw/news/173121"><strong style="font-size: 22px;">針對北韓IT工作者誘騙開發人員成為應徵遠距工作的幫兇，資安公司聯手透過沙箱解密相關行為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Y.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Y.png" style="width: 300px; float: right;" /></a></p> <p>針對北韓駭客以IT工作者的身分在北美與歐洲謀取遠距工作的情況，過往大多都是美國政府破獲筆電農場（Laptop Farm），或是逮捕協助犯案的人士，從起訴書公布調查結果，也有曾經不慎僱用的資安公司，揭露駭客如何騙過人資部門審核，以及後來如何察覺異狀，不過，這些駭客獲得工作後會從事那些行為？從上述公布的資訊很難得知具體細節。有研究人員特別透過沙箱環境，得以觀察他們的一舉一動。</p> <p>威脅情報公司BCA LTD及NorthScan聯手，調查北韓駭客Lazarus旗下團體Famous Chollima（也被稱作WageMole、UNC5267、Nickel Tapestry）最新一波攻擊活動，當時他們發現，這些駭客試圖透過GitHub垃圾訊息、Telegram，以及假的求職平臺等管道，先對想要應徵開發人員或工程師職務的開發人員下手，然後借用這些開發人員的真實身分向歐美企業應徵職缺。由於這樣的情況相當不尋常，他們與雲端沙箱公司Any.Run合作，假冒開發人員應徵，然後引誘駭客存取Any.Run的沙箱環境，觀察他們的行為。</p> <p>具體而言，他們偽裝成位於美國的開發者，並由Any.Run提供特製的互動式沙箱環境，建立虛擬工作站，擁有完整的使用記錄、開發工具，並且透過美國代理伺服器（Residential Proxy）進行路由，使得這些沙箱看起來就像遠端辦公的電腦。</p> <p><a href="https://www.ithome.com.tw/news/173130"><strong style="font-size: 22px;">IBM修補可導致駭客存取系統的API重大漏洞</strong></a></p> <p>IBM上周發出安全公告，警告API元件存在重大資安漏洞CVE-2025-13915，此漏洞存在API Connect，可讓遠端攻擊者繞過身分驗證機制存取應用程式，呼籲用戶儘速安裝更新。</p> <p>這項漏洞CVSS風險值達9.8。在類型上，被列為「藉由主要弱點繞過身分驗證」。根據漏洞資料庫，這是指驗證演算法沒有問題，但實作可能因為別的弱點，導致驗證機制被繞過。</p> <p>受到影響的API Connect版本包括V10.0.8.0至V10.0.8.5，以及V10.0.11.0。IBM已釋出iFix版本（即interim fix）修補漏洞。對於無法即時套用修補程式的用戶，IBM建議暫時緩解作法，停用開發人員入口網站的自助註冊（self-service sign-up）功能，減少攻擊者利用此漏洞來註冊或濫用入口的機會。</p> <p><a href="https://www.ithome.com.tw/news/173102"><strong style="font-size: 22px;">多款主機板UEFI實作存在缺陷，開機前恐遭直接記憶體存取攻擊</strong></a></p> <p>一般情況下，電腦在開機時會由UEFI（Unified Extensible Firmware Interface）韌體與IOMMU（Input–Output Memory Management Unit）先行建立基本防護，避免支援直接記憶體存取（Direct Memory Access，DMA）的周邊裝置在作業系統尚未啟動前，就能擅自讀取或竄改系統記憶體。</p> <p>不過，研究人員近日揭露，一項影響多家主機板廠商的UEFI資安漏洞，可能讓上述防護機制失效，使系統在早期開機階段暴露於DMA攻擊風險之下。受影響的品牌包括華擎科技（ASRock）、華碩（Asus）、技嘉（Gigabyte）與微星（MSI），涵蓋多款採用Intel與AMD晶片組的主機板。</p> <p>這項漏洞出現在部分UEFI與IOMMU的實作中。理論上，UEFI與IOMMU應在作業系統載入前就建立基礎防護，防止周邊裝置未經授權存取系統記憶體。然而研究人員發現，韌體雖然顯示已啟用DMA防護，實際上卻未在關鍵開機階段正確設定與啟用IOMMU，導致防護機制形同虛設。</p> <p><a href="https://www.ithome.com.tw/news/173131"><strong style="font-size: 22px;">中華電信完成內部憑證治理重整工作並取得第三方稽核，已申請重返Chrome信任清單</strong></a></p> <p>中華電信趕在2025年最後一天，於12月31日宣布旗下的根憑證管理中心（CHT TrustRoot CA）已完成為期約半年的組織與制度重整，並通過國際WebTrust for Certification Authorities第三方獨立稽核，相關稽核報告已獲瀏覽器業者採認，並已於12月29日正式向Google Chrome申請加入根憑證預設信任清單。</p> <p>中華電信先前因憑證管理不符要求，Google以基於憑證治理與合規的考量，從 2025年7月31日起，停止Chrome預設信任中華電信所簽發的TLS網站新憑證。即從該日期之後新簽發的憑證，可能在Chrome瀏覽器中出現安全警示，對使用其憑證的政府機關及企業帶來衝擊。</p> <p>因應此事件的衝擊，中華電信從2025年8月1日起已全面暫停簽發新的TLS憑證，並於期限前完成協助既有客戶進行憑證更新或轉換，以降低對客戶網站營運的影響。此外，該公司也啟動內部CA團隊重整，重整其憑證管理中心的組織架構，並成立專責改善團隊，檢視管理流程、合規制度與治理機制。</p> <p><a href="https://www.ithome.com.tw/news/173115"><strong style="font-size: 22px;">聯合19國執法單位，國際刑警組織大舉查緝非洲網路犯罪組織</strong></a></p> <p>12月19日國際刑警組織（Interpol）公布Sentinel執法行動（Operation Sentinel）成果，由Interpol協調非洲19個國家的執法機構共同參與，成功瓦解當地多個活躍的網路犯罪集團。</p> <p>根據Interpol的新聞公告，在為期一個月的查緝行動內，在非洲當地共逮捕574名嫌犯，查扣約300萬美元不法資金，下架超過6,000個惡意連結，並成功解密6種不同的勒索軟體變種。這波執法行動鎖定商業電子郵件詐騙（BEC）、勒索（extortion）及勒索軟體威脅，估計造成的財務損失超過2,100萬美元。</p> <p>除了Interpol的警示，趨勢科技也針對非洲地區發動的數位勒索活動進行觀察，他們發現以非洲為主要據點的網路犯罪集團，已展現高度成熟的社交工程能力，並明確鎖定海外市場。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=174649&SPOKE_DATE=20251231&COMPANY_ID=2457"><strong style="font-size: 22px;">飛宏科技網站代管公司遭DDoS攻擊</strong></a></p> <p>電源供應器大廠飛宏科技於12月31日傍晚發布資安重訊，該公司網站的委外代管廠商遭受DDoS攻擊。飛宏在發現異常後已第一時間啟動應變機制，目前網站服務已恢復正常，對公司營運並無實質影響。經過初步盤查，此事件並未影響公司核心營運系統，評估對公司營運無影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/trust-wallet-chrome-extension-hack.html">Chrome延伸套件Trust Wallet傳出遭Shai-Hulud供應鏈攻擊，損失850萬美元</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hacker-dumped-macbook-in-river-to-destroy-digital-evidence/">針對酷澎資料外洩事故，協助駭客犯案的前員工傳出企圖將筆電丟入河裡滅證</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/windows-event-logs/">駭客利用網頁應用程式漏洞入侵IIS伺服器，意圖於受害組織植入勒索軟體Warlock</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/everest-ransomware-asus-data-leak/">勒索軟體Everest公布聲稱是來自華碩的1 TB敏感資料</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安弱點</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-54322-cvss-10-ai-agents-uncover-critical-zero-day-in-global-networking-gear/">中國網路設備製造商Xspeeder旗下SD-WAN設備韌體SXZOS存在滿分零時差漏洞，恐影響全球逾7萬臺主機</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173122"><strong>【12月31日】金管會揭露未來4年金融業資安韌性發展藍圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173087"><strong>【12月30日】React2Shell漏洞利用活動肆虐，近6萬臺Next.js應用程式伺服器被入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173078"><strong>【12月29日】MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵</strong></a></p> </div></div></div>
1/2 11:46作者周峻佑https://www.ithome.com.tw/news/173134
SpaceX、OpenAI及Anthropic都可能在今年IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國金融時報（Financial Times，FT）本周引述消息來源<a href="https://www.ft.com/content/bf607829-dca5-497d-b1a1-ca945d32a8c6?utm_social_post_id=639331114&utm_social_handle_id=18949452" target="_blank">報導</a>，太空基礎設施公司SpaceX，以及兩家人工智慧新創OpenAI與Anthropic，最快都可能在2026年首度公開發行股票（Initial Public Offering，IPO）。</p> <p>馬斯克（Elon Musk）於2002年創辦的SpaceX，為一提供火箭發射、衛星通訊，以及太空運輸的太空基礎設施公司，最有名的產品是可重複使用的火箭，以及Starlink衛星網路。目前Starlink在太空中有超過9,000顆通訊衛星，於155個國家擁有逾900萬名用戶，已是全球規模最大的低軌道衛星通訊服務。</p> <p>SpaceX也被視為是全球最大的獨角獸，在2025年7月二級市場交易的估值為4,000億美元，但FT說SpaceX目前正在展開新一輪的二級市場交易，估值已達到8,000億美元。</p> <p>而OpenAI亦為現階段的全球AI龍頭，根據外界在去年7月的估算，OpenAI旗下ChatGPT約有7億的每周用戶數，Plus與Pro付費用戶數則約有3,500萬人，占活躍用戶數的5%。</p> <p>OpenAI在2025年10月的<a href="https://www.ithome.com.tw/news/171505" target="_blank">估值</a>達到5,000億美元，但根據FT的報導，OpenAI正在討論新一輪的募資，估值可能達到或超越7,500億美元。</p> <p>至於同屬AI新創的Anthropic成立於2021年，由前OpenAI成員所創立，主力產品Claude的特色在於文字理解及長文處理能力強，特別受到程式設計師、研究人員及企業用戶青睞，整體策略偏向B2B及專業領域。正在洽談的新一輪募資估值可望超過3,000億美元。</p> <p>根據報導，SpaceX已向投資人表示，除非市場出現重大衝擊，否則該公司將會在未來12個月內上市；Anthropic則已開始籌備上市事宜；OpenAI也正尋找IPO的法律顧問。這3家眾所矚目的科技新創最快都可能在2026年IPO，且一旦成真，其募資規模就可能超過2025年、200家美國IPO公司的募資總額。</p> </div></div></div>
1/2 12:51作者陳曉莉https://www.ithome.com.tw/news/173136
VS Code延伸套件蠕蟲GlassWorm鎖定macOS開發者而來，企圖散布木馬化的加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定整合式開發環境（IDE）工具Visual Studio Code（VS Code）用戶的蠕蟲程式GlassWorm，約從<strong><a href="https://www.ithome.com.tw/news/171854">10月下旬出現首波攻擊</a></strong>，截至<strong><a href="https://www.ithome.com.tw/news/171854">11月底已有3波活動</a></strong>，事隔一個月，這些駭客再度活動，而且鎖定的目標也出現變化。</p> <p>資安公司Koi Security指出，<strong><a href="https://www.koi.ai/blog/glassworm-goes-mac-fresh-infrastructure-new-tricks">具有自我傳播能力的蠕蟲GlassWorm近期出現第四波攻擊</a></strong>。這次活動展現了駭客顯著的技術演進，首先，攻擊的作業系統目標從Windows全面轉向macOS，相關惡意延伸套件pro-svelte-extension、vsce-prettier-pro，以及full-access-catppuccin-pro-extension，迄今已被下載約5萬次；再者，是採用專門鎖定Ledger與Trezor等硬體錢包應用程式的木馬化技術。</p> <p>該公司提及，駭客的攻擊核心機制與過往活動相同，GlassWorm都是從區塊鏈平臺Solana取得C2資訊，執行來自C2的指令，不過，這次駭客將有效酬載嵌入經過編譯的JavaScript指令碼，並使用AES-256-CBC演算法進行加密處理。值得留意的是，他們過往使用的特殊手法並未在這次活動出現，例如：無法透過肉眼看到的Unicode字元，或是Rust打造的二進位檔案等。</p> <p>為何駭客將目標轉向macOS用戶？原因是在加密貨幣、Web3，以及新創公司的環境裡，開發者經常會選擇使用這類平臺從事工作。Koi Security強調駭客並非單純將Windows版GlassWorm進行移植，因為macOS版本採用該作業系統專有的技術，其中，包含使用AppleScript代替PowerShell，隱密執行相關指令；再者，駭客也透過LaunchAgents取代原本於Windows電腦上的工作排程與登錄檔，而能在受害電腦持續活動；還有他們也直接針對鑰匙圈存取（Keychain）下手，挖掘各式帳密資料及憑證。</p> <p>除此之外，GlassWorm還納入延遲執行的迴避偵測能力，攻擊者下達執行命令後，會經過90萬毫秒（15分鐘）才會執行，之所以這麼做，與大部分自動化沙箱檢測機制不超過5分鐘有關。</p> <p>值得留意的是，新的GlassWorm不僅能竊取逾50種瀏覽器的加密貨幣錢包延伸套件，以及各式的開發環境憑證，駭客也試圖置換硬體錢包應用程式。此惡意軟體會檢查電腦是否安裝應用程式Ledger Live或Trezor Suite，並嘗試下載被植入木馬的版本進行置換。儘管目前攻擊者似乎尚未完成惡意版本應用程式製作，或是正在轉換基礎設施，Koi Security測試後發現，C2伺服器回傳的是空檔案，而無法通過GlassWorm對於檔案大小的驗證機制，不過他們強調，其他惡意功能都能完全正常運作。</p> </div></div></div>
1/2 11:33作者周峻佑https://www.ithome.com.tw/news/173132
Starlink將調降衛星高度至480公里，以降低碰撞與太空碎片風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SpaceX的Starlink工程副總裁<a href="https://x.com/michaelnicollsx/status/2006790372681220530" target="_blank">Michael Nicolls周四（1/1）表示</a>，Starlink將在2026年逐步將目前運行在約550公里高度的所有通訊衛星，調降至480公里的軌道，以提升太空安全。</p> <p>從2019年發射第一批衛星迄今，Starlink已發射1萬顆通訊衛星，扣除退役數量，目前約有超過9,000顆衛星仍在軌道上運行，其衛星高度分布橫跨300~570公里，其中最早、規模最大的550公里殼層約有4,400顆衛星。</p> <p>Nicolls說，Starlink將把這4,400顆衛星的高度，從550公里調降到480公里處。</p> <p>降低衛星高度將使Starlink的軌道更加集中，也可於多個層面提升太空安全。因為隨著太陽活動邁向極小期，大氣密度會下降，意味著在相同高度下，物體的彈道衰減時間將會顯著拉長；也就是說，失效衛星自然進入大氣層燒毀所需的時間會大幅延後。在太陽極小期，位於550公里高度的失效衛星，可能要4年以上才會墜落，在這期間都將處於失控且無法主動閃避的狀態，增加在軌碰撞風險。</p> <p>反之，位於高度480公里的軌道上，它的大氣密度明顯較高，使得失效衛星會受到足夠阻力，而無法維持原有軌道高度，並更快進入地球大氣層。Nicolls表示，在太陽極小期，480公里軌道的彈道衰減時間可減少超過80%，也就是從原本需要4年以上，縮短至僅需數個月。</p> <p>此外，500公里以下的軌道相對不擁擠，既有太空碎片與大型衛星星座較少，也有助於降低碰撞風險。</p> <p>Nicolls強調，Starlink衛星本身具備極高的可靠性，在逾9,000顆仍在運作的衛星中，僅有2顆失效。即便如此，一旦有衛星於軌道上發生故障，他們仍希望它能儘快脫離軌道並重返大氣層。</p> <p>對太空安全而言，最危險的不是衛星失效，而是失效後仍長時間滯留在軌道上；一旦重返大氣層並燒毀，該物體便被移出軌道環境，大幅降低碰撞與碎片風險。</p> </div></div></div>
1/2 11:40作者陳曉莉https://www.ithome.com.tw/news/173133
中華電信完成內部憑證治理重整工作並取得第三方稽核，已申請重返Chrome信任清單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中華電信趕在2025年最後一天，於12月31日宣布旗下的根憑證管理中心（CHT TrustRoot CA）已完成為期約半年的組織與制度重整，並通過國際WebTrust for Certification Authorities第三方獨立稽核，相關稽核報告已獲瀏覽器業者採認，並已於12月29日正式向Google Chrome申請加入根憑證預設信任清單。</p> <p>中華電信先前因憑證管理不符要求，Google以基於憑證治理與合規考量，從 2025年7月31日起，停止Chreom預設信任中華電信所簽發的TLS網站新憑證。即從該日期之後新簽發的憑證，可能在Chrome瀏覽器中出現安全警示，對使用其憑證的政府機關及企業帶來衝擊。</p> <p>因應此事件的衝擊，中華電信從2025年8月1日起已全面暫停簽發新的TLS憑證，並於期限前完成協助既有客戶進行憑證更新或轉換，以降低對客戶網站營運的影響。</p> <p>此外，該公司也啟動內部CA團隊重整，重整其憑證管理中心的組織架構，並成立專責改善團隊，檢視管理流程、合規制度與治理機制。</p> <p>在制度與技術面上，中華電信宣稱已導入多項憑證自動化與驗證工具，包括 PKIlint 與 zlint，以降低憑證簽發錯誤風險，並強化多重審查機制。此外，也建立大量憑證撤銷與更換的標準程序，並透過多次演練，提升在短時間內處理大規模憑證事件的應變能力。</p> <p>該公司稱相關改善作為已通過WebTrust for CA的第三方獨立稽核，稽核機構確認其作業流程與治理制度符合國際憑證管理標準。</p> <p>中華電信已正式向Google Chrome提出申請，爭取其根憑證重新納入預設信任清單。至於後續是否恢復信任，仍須視瀏覽器業者審查與決策結果而定。</p> <p>除合規調整外，中華電信亦表示，已開始導入後量子加密（Post-Quantum Cryptography）相關防護機制，並透過ACME協定，推動網站憑證生命週期自動化管理，以提升憑證服務效率。</p> </div></div></div>
1/2 10:56作者蘇文彬https://www.ithome.com.tw/news/173131
美知名會計師事務所Sax坦承2024年網攻事件外洩23萬人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國知名會計師事務所<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/c5d247ed-f8ce-4344-b25d-c8b9ce9dba5a.html" target="_blank">Sax上個月揭露</a>公司系統遭駭，導致將近23萬人個資外洩，不過是將近17個月前的事。</p> <p>Sax是美國頂尖會計師事務所，提供名人及企業顧問服務，年營收超過1億美元，員工超過400人。</p> <p>根據Sax向美國緬因州政府<a href="https://www.maine.gov/cgi-bin/agviewerad/ret?loc=3450" target="_blank">呈交的文件</a>，該公司於2024年8月7日獲得通知，系統環境有可疑活動。業者立即採取行動確保網路安全，並偕同第三方安全廠商展開調查。調查顯示，部份個人個資外洩。</p> <p>該公司在2025年12月初完成徹底調查，並且於上月通知當局及受影響人士。SAX說明，外洩資料包含姓名、出生日期、社會安全碼、駕照或州身分證以及護照號碼。受影響人數達到228,876人。</p> <p>Sax為受影響個人提供免費的信用資料外洩、暗網監控、信用免責保、資料回復及財物損失協助服務。</p> <p>Sax並未說明這些資料外洩個人是否為客戶。此外，哪些系統遭非法存取也不清楚。</p> <p><a href="https://www.securityweek.com/top-us-accounting-firm-sax-discloses-2024-data-breach-impacting-220000/" target="_blank">SecurityWeek</a>、<a href="https://cybernews.com/security/sax-data-breach-quarter-million-exposed/" target="_blank">Cybernews</a>等媒體批評，在事件發生後16、17個月才發出用戶通知，已經超過一般企業資料外洩事件的延遲期間。一般情形下，資料外洩的企業在幾周到數月之間就會發出通知。</p> </div></div></div>
1/2 09:33作者林妍溱https://www.ithome.com.tw/news/173128
IBM修補可導致駭客存取系統的API重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM上周發出<a href="https://www.ibm.com/support/pages/security-bulletin-authentication-bypass-ibm-api-connect-0" target="_blank">安全公告</a>，警告API元件存在一項可能讓駭客存取應用的重大資安漏洞，呼籲用戶儘速安裝更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0101-CVE-2025-13915-IBM.png" style="width: 600px;" /></p> <p>編號CVE-2025-13915的漏洞存在API Connect，可讓遠端攻擊者繞過驗證機制存取應用。IBM API Connect為企業級API管理（API Management）平臺，提供API生命周期管理、負責驗證把關的API閘道及開發者入口網站（Developer Portal）。</p> <p>這項漏洞CVSS風險值達9.8。在類型上，被列為「藉由主要弱點繞過身分驗證」。根據<a href="https://cwe.mitre.org/data/definitions/305.html" target="_blank">漏洞資料庫</a>，這是指驗證演算法沒有問題，但實作可能因為別的弱點，導致驗證機制被繞過。</p> <p>受到影響的API Connect版本包括V10.0.8.0-V10.0.8.5和V10.0.11.0。IBM已釋出iFix版本（即interim fix）修補漏洞。對於無法即時安裝iFix的用戶，IBM建議暫時緩解作法，停用開發人員入口網站的自助註冊（self-service sign-up）功能，減少攻擊者利用此漏洞來註冊或濫用入口的機會。</p> </div></div></div>
1/2 10:03作者林妍溱https://www.ithome.com.tw/news/173130
NPM供應鏈蠕蟲Shai Hulud新變種現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Aikido Security<a href="https://www.aikido.dev/blog/shai-hulud-strikes-again---the-golden-path">發現</a>NPM套件@vietmoney/react-big-calendar偵測到疑似Shai Hulud第三個變種的首起樣本。研究人員表示，現階段還未有明顯擴散或大量受害跡象，比較像攻擊者在公開套件庫測試投放惡意載荷。</p> <p>Shai Hulud第三波樣本的程式碼差異顯示其為重新混淆後的版本，而非在既有樣本上直接修改。研究人員因此判斷，這不像仿冒者拼湊的跟風攻擊，更可能出自握有原始蠕蟲程式碼的人。資安公司OX Security也在分析中<a href="https://www.ox.security/blog/shai-hulud-3-the-attack-continues/">提到</a>，惡意程式出現在@vietmoney/react-big-calendar的0.26.2版本，並稱其撰寫報告時尚未看到外洩資料出現在GitHub。</p> <p>Shai Hulud新變種仍延續既有供應鏈惡意套件的典型路徑，藉由套件安裝流程在開發者電腦或自動化建置環境執行，蒐集環境變數與密鑰，並嘗試將資料外洩到GitHub儲存庫，同時在特定條件下嘗試發布套件。</p> <p>就新變種的變更點，Aikido研究人員整理出多項可供辨識的更新。首先，初始啟動檔名改為bun_installer.js，主要載荷改為environment_source.js。其次，外洩到GitHub時使用的儲存庫描述字串改成Goldox-T3chs:OnlyHappyGirl，並把外洩檔名改成較難以字串比對攔截的形式，例如3nvir0nm3nt.json、cl0vd.json、c9nt3nts.json。</p> <p>研究人員指出，攻擊者疑似失手導致流程不一致，惡意程式會嘗試抓取c0nt3nts.json，但實際寫入時卻存成c9nt3nts.json。該命名落差可能降低自動化外洩流程的成功率，反而提供防禦端一個更具體的追查線索。</p> <p>此外，新變種在細節上微調執行流程，例如改善金鑰掃描工具TruffleHog逾時的錯誤處理，並補上在Windows環境呼叫Bun發布套件的相容性。同時，其蒐集資料與寫入檔案的順序被重新排列，研究人員認為，攻擊者仍在迭代其外洩管道。由於事件仍在發展，資安公司將其視為測試或前哨，仍須持續追蹤是否出現後續擴散。</p> </div></div></div>
1/2 09:14作者李建興https://www.ithome.com.tw/news/173123
針對北韓IT工作者誘騙開發人員成應徵遠距工作的幫兇，資安公司聯手透過沙箱解密相關行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對北韓駭客以IT工作者的身分在北美與歐洲謀取遠距工作的情況，過往大多都是美國政府破獲筆電農場（Laptop），或是逮捕協助犯案的人士，從起訴書公布調查結果，也有曾經不慎僱用的資安公司，揭露駭客如何騙過人資部門審核，以及後來如何察覺異狀，不過，這些駭客獲得工作後會從事那些行為？從上述公布的資訊很難得知具體細節。有研究人員特別透過沙箱環境，得以觀察他們的一舉一動。</p> <p>威脅情報公司BCA LTD及NorthScan聯手，<strong><a href="https://any.run/cybersecurity-blog/lazarus-group-it-workers-investigation/">調查北韓駭客Lazarus旗下團體Famous Chollima（也被稱作WageMole、UNC5267、Nickel Tapestry）最新一波攻擊活動</a></strong>，當時他們發現，這些駭客試圖透過GitHub垃圾訊息、Telegram，以及假的求職平臺等管道，先對想要應徵開發人員或工程師職務的開發人員下手，然後借用這些開發人員的真實身分向歐美企業應徵職缺。由於這樣的情況相當不尋常，他們與雲端沙箱公司Any.Run合作，假冒開發人員應徵，然後引誘駭客存取Any.Run的沙箱環境，觀察他們的行為。</p> <p>具體而言，他們偽裝成位於美國的開發者，並由Any.Run提供特製的互動式沙箱環境，建立虛擬工作站，擁有完整的使用記錄、開發工具，並且透過美國代理伺服器（Residential Proxy）進行路由，使得這些沙箱看起來就像遠端辦公的電腦。</p> <p>兩家威脅情報公司的研究人員看到駭客在GitHub儲存庫發送的垃圾訊息，駭客聲稱在美國經營求職公司，他們看過GitHub用戶的個人檔案及LinkedIn資料，發現用戶有美國公司合作的經驗。駭客表明平均會一天有4場面試，需要有人代表他參加，希望開發人員能夠協助，開發人員必須參與面試，不過駭客會從中協助回答相關問題，若是成功錄取，他們有5位具有經驗的開發團隊負責技術工作，他們將與開發人員平分薪資所得，號稱開發人員能每月得到約3千美元。</p> <p>研究人員假扮一名位於美國的新手工程師，根據上述Famous Chollima張貼的求才訊息「應徵」，駭客要求能透過AnyDesk全天候存取研究人員的筆電，進行遠端工作，駭客要求能透過AnyDesk全天候存取研究人員的筆電，進行遠端工作，研究人員假裝是涉世未深的開發人員，使得對方必須下達更加詳細、清楚的指示，說明冒用身分的意圖。這麼做的目的，就是藉由針對性的問題，來收集更多的資訊。</p> <p>駭客存取研究人員的LinkedIn帳號找工作，並鎖定IT、金融科技、電子商務，以及醫療保健領域。</p> <p>成功取得職務後，研究人員將駭客引導到Any.Run提供的「工作筆電」環境，並藉由對環境的掌控，對駭客的一舉一動進行觀察，並避免他們從事實際的破壞行為。駭客在成功透過AnyDesk存取工作環境後，首先使用DxDiag檢查系統環境，以及電腦所在的地理位置，並將Chrome設為預設瀏覽器。根據駭客連線的IP位址等資訊，發現對方使用了Astrill VPN，而這正是北韓駭客偏好的工具。後續研究人員製造當機的現象，避免駭客從事真正的惡意行為。</p> <p>接著研究人員藉故更換另一臺「筆電」，駭客重覆上述動作，檢查電腦的地理位置，並將Chrome設為預設瀏覽器，不過，這次他遇到無法通過動態密碼驗證的情況，並透過記事本留下訊息，要求研究人員將所有文件和資料給他，才能進行相關「工作」。</p> <p>後續再度發生當機的情況，電腦恢復到上一個系統還原點的狀態，研究人員開始向對方施壓，質問駭客到底做了什麼，造成電腦出現藍色當機（BSOD），懷疑是否使用了奇怪的VPN或是設定錯誤造成。研究人員藉由提供不完整的資料，讓駭客陷入近一個小時的驗證碼循環，從中收集入侵指標並分析行為模式。</p> <p>雖然他們只有與一名駭客交涉，但後續竟然有另一個帳號登入同一個環境，研究人員推測，可能是駭客打算將工作交給同夥接手。</p> <p>在經過一番往來之後，駭客終於成功登入自己的Google帳號，並透過同步功能將個人設定與延伸套件載入Chrome，使得研究人員能夠掌握Famous Challima使用的工具組（Chrome延伸套件），包括：自動填寫求職表單工具Simplify Copilot、自動職缺尋找工具AiApply、即時面試問題回答工具Final Round AI、記錄大型語言模型提示的Saved Prompts for GPT，以及動態密碼延伸套件OTP.ee與Authenticator.cc。此外，這些駭客使用命令列與PowerShell設定筆電的組態，設置PIN碼為123456，然後檢視自己的電子郵件信箱。</p> <p>究竟駭客利用開發人員的筆電從事哪些行為，研究人員根據信箱內容發現，駭客訂閱多個求職平臺的職缺資訊，並存取多個Slack工作區與其他合作人士進行通訊，其中一名可能是穆斯林，因為對方表明會因為開齋節或其他穆斯林節慶外出。</p> <p>這段過程還出現另一個插曲，駭客找來同夥的原因，其實是研究人員從另一個層面向他施壓，宣稱已有另一個北韓駭客Ralph開出更好的條件，而且看起來真正熱衷工作不會造成麻煩。沒想到駭客認為，Ralph很可能就是造成他的個人資料被封鎖、密碼被竄改的元兇。駭客找來同夥，從而讓研究人員確認他們共用基礎設施與資產的情況，不同團隊之間未有溝通協調，原因是對於駭客來說，從另一個招募團隊搶走工程師似乎是常態。另一個沒有互相協調的證據，是研究人員看到多組北韓駭客在同一天對相同職缺進行面試。</p> </div></div></div>
2025/12/31 18:04作者周峻佑https://www.ithome.com.tw/news/173121
【資安日報】12月31日，金管會揭露未來4年金融業資安韌性發展藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173100"><strong style="font-size: 22px;">金管會揭露未來4年金融業資安韌性發展藍圖，鼓勵資安納入軟體安全設計、研擬金融業AI系統安防指引、加強導入零信任架構</strong></a></p> <p>金管會持續加強金融業資安管理，從2020年首次發布金融資安行動方案1.0開始，2022年發布行動方案2.0在今年底到期後，12月30日金管會發布「金融資安韌性發展藍圖」，描繪我國金融業未來4年強化資安治理發展方向，例如鼓勵業者資安左移，將安全納入設計，並將研擬金融業AI系統安防指引，加速導入零信任架構。</p> <p>「金融資安韌性發展藍圖」除了承續金融資安行動方案2.0，並參考「國家資通安全戰略2025」及「第七期國家資通安全發展方案」等國家資通安全戰略，來強化我國金融系統的資安韌性，確保營運不中斷，該藍圖中可分為4構面，包括建立目標治理、建立全域防護、加強生態聯防、堅實韌性。</p> <p>金管會資訊服務處長林裕泰指出，首先在目標治理方面，面對資安威脅的增加，必須建立資安治理的目標，特別是強化高層問責、資安法規調適及強化人才韌性；在全域防護方面，納入資安左移，將資安的思維向左移至資訊單位，加強不同規模的金融業部署零信任架構的成熟度，並針對新興科技如AI、量子建立相關的指引規範。</p> <p><a href="https://www.ithome.com.tw/news/173113"><strong style="font-size: 22px;">普發現金一萬上路兩個月，數發部揭露防範詐騙網站的策略</strong></a></p> <p>臺灣全民普發現金一萬元於11月5日正式上路，截至12月17日，已有近九成民眾登記及領取，有別於上路前曾因立法通過及即將普發現金的傳聞，出現假冒中央存款保險公司的名義行騙，以及冒牌普發現金登記網站的情況，這兩個月鮮少出現相關詐騙網站，負責相關資訊系統建置的數位發展部，近期透露他們採取的防護策略。</p> <p>12月30日數發部長林宜敬透過臉書貼文的形式，揭露相關資訊系統的防詐方式設計。過程中，數發部透過黑名單與白名單策略，有效防堵相關詐騙行為。所謂的白名單策略，關鍵在於「只此一家，別無分號」。數發部與財政部等部會事先進行協調，將普發現金的登記與查詢作業流程，全部集中在一個網站，他們也透過大肆宣傳，告訴民眾無論是登記或查詢資料，都必須在專屬網站進行，對於其他網站的資訊，不要輕易相信。如此一來，數發部大幅縮小了防守的範圍。</p> <p>黑名單策略的實施，重點在於主動防堵。他們將與普發現金網站10000.gov.tw相似的網域名稱，都註冊登記，以免這些網域名稱落入駭客手中；再者，他們也在網際網路透過自動搜索的方式，若是發現可疑網站，就會進行確認及封鎖。而這些措施的目的，是避免民眾接觸到詐騙訊息。</p> <p><a href="https://www.ithome.com.tw/news/173085"><strong style="font-size: 22px;">中國駭客組織Evasive Panda透過AiTM網釣與DNS中毒，對土耳其、中國、印度散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/evasive-panda-apt3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/evasive-panda-apt3.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織Daggerfly（別名Evasive Panda或StormBamboo）去年曾對臺灣發動攻擊，現在又傳出新一波活動，引起外界關注。</p> <p>資安公司卡巴斯基揭露這些駭客自2022年11月開始從事的高度針對性攻擊，他們針對土耳其、中國，以及印度特定目標從事對手中間人攻擊（AiTM），並採用一系列的複雜手法來進行，持續到2024年11月才結束。其中最引起該公司注意的地方，在於駭客將惡意軟體的加密元件另外存放於伺服器上，而相關元件的用途，就是解析特定網站的DNS請求。再者，這些駭客開發新的惡意程式載入工具，並採用混合加密手法，因此，所有植入受害系統的惡意程式檔案都不同。駭客打造專屬的注入工具，並以DLL側載手法，讓惡意程式MgBot注入合法處理程序，並在記憶體內執行。</p> <p>這些駭客擅長將作案工具偽裝成熱門應用程式的更新，來當作引誘使用者上當的誘餌，這波活動也不例外，其中一個是冒充視訊串流應用程式搜狐影音加速器（SohuVA）的更新程式，然後傳送惡意軟體。卡巴斯基認為，駭客疑似使用DNS中毒攻擊（DNS Poisoning）手法，竄改攻擊者控制的伺服器DNS回應。除了搜狐影音加速器，也有將惡意程式偽裝成愛奇藝、IObit Smart Defrag，以及騰訊QQ等中國熱門應用程式的情況。由此看來，這波活動很顯然主要針對中國使用者而來。</p> <p><a href="https://www.ithome.com.tw/news/173110"><strong style="font-size: 22px;">中國駭客Mustang Panda用核心層級Rootkit隱匿後門程式ToneShell活動，以便進行間諜活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/honeymyte-kernel3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/honeymyte-kernel3.png" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基揭露發生在2025年中旬的資安事故，外號為Mustang Panda、Earth Preta、RedDelta，以及TA416的中國駭客組織，將惡意驅動程式部署到亞洲的企業組織網路環境，最終在系統處理程序注入後門程式ToneShell。其中，他們使用可能外流或遭竊的憑證簽署驅動程式，並對於惡意檔案、以使用者模式執行的處理程序、系統登錄檔加入防護機制，避免攻擊活動受到干擾。該公司認為，這波活動代表Mustang Panda的攻擊手法出現重大變化。</p> <p>根據ToneShell的C2伺服器資料，卡巴斯基研判攻擊活動從2025年2月開始，此次駭客使用的ToneShell，經常用於攻擊東南亞及東亞政府機關，目的是從事網路間諜活動，其中，緬甸和泰國是駭客的主要目標。</p> <p>針對駭客入侵受害組織的管道，卡巴斯基表示不清楚，不過這些企業組織存在共通點，就是都曾被Mustang Panda植入惡意程式，其中包括：USB蠕蟲ToneDisk、PlugX，以及舊版ToneShell。因此，在這波攻擊當中，駭客疑似透過已遭入侵的電腦進行二度犯案。</p> <p><a href="https://www.ithome.com.tw/news/173107"><strong style="font-size: 22px;">歐洲太空總署證實外部伺服器被駭，機密資料未外洩</strong></a></p> <p>歐洲太空總署（European Space Agency，ESA）本周回應資料外洩，但強調是外部伺服器被駭，並沒有機密資料外流。</p> <p>代號為888的駭客宣稱在12月18日，駭入ESA系統長達一周，竊得超過200 GB資料，計畫出售換取門羅（XMR）幣。據稱這名駭客手上的ESA資料包括未公開Bitbucket程式庫中的原始碼、CI/CD管線配置、API和存取令牌、內部文件、SQL資料庫檔案、Terraform基礎架構、硬編寫的憑證和配置檔等。</p> <p>ESA得知資料外洩事件後已展開調查，並已強化資安措施確保可能有風險的裝置。ESA說，被駭的伺服器位於ESA企業網路外，根據目前調查，這起事件僅影響「非常少量」的外部伺服器。ESA並說，這些伺服器支援的是科學社群內合作性質的工程活動，所有相關人士都已接獲通知。ESA表示之後會再提供更多相關資訊。</p> <p><a href="https://www.ithome.com.tw/news/173106"><strong style="font-size: 22px;">韓亞、大韓航空遭駭，外洩數萬員工資料</strong></a></p> <p>韓國航空公司近日分別傳出資料外洩事件。韓亞航空（Asiana）及母公司大韓航空（Korean Air）先後傳出內部系統被駭，分別導致1萬和3萬名員工資料外洩。</p> <p>根據韓國媒體Korea JoongAng Daily報導引述消息人士報導，聖誕節前夕，韓亞航空內部公告，這起資料外洩事件是起於駭客於前一天未授權登入一臺海外伺服器，藉此駭入公司內部網路。外洩的資料包含員工姓名、部門、職稱、電話號碼、員工識別證號及電子郵件，影響約1萬名員工，包含合作夥伴公司的員工。</p> <p>在不到一星期後，韓亞航空母公司，也是韓國航空龍頭業者大韓航空（Korean Air）在內部公告，公司使用的Oracle E-Business Suite（EBS）遭到駭客存取，外洩逾3萬員工資料。</p> <p><a href="https://www.ithome.com.tw/news/173094"><strong style="font-size: 22px;">針對3,370萬名用戶資料外洩，酷澎將賠償11.7億美元</strong></a></p> <p>針對12月初的3,370萬用戶資料外洩事件，韓國最大電商平臺酷澎（Coupang）本週一宣布，將對受影響的用戶以購物券形式賠償，總價達1.685兆韓圓（約11.7億美元、368億臺幣）。</p> <p>這筆費用預計從2026年1月15日起發放，適用受影響的3,370萬用戶。適用者涵括11月30日以前接到通知的用戶包括WOW及非WOW會員，也包含曾取消會員籍但收到通知的前用戶。經過平分，平均每人可獲得5萬韓圓（1,092臺幣）。酷澎也會陸續以簡訊通知相關的用戶。</p> <p>這筆費用將全部以4種購物券／折價券形式發放，包括酷澎電商平臺5,000韓圓、酷澎美食外送（Coupang Eats）5,000韓圓、酷澎旅遊（Coupang Travel）2萬韓圓、酷澎高階美妝（Coupang R.LUX）2萬韓圓。</p> <p><a href="https://www.ithome.com.tw/news/173089"><strong style="font-size: 22px;">密碼管理公司LastPass資料外洩影響延燒迄今，俄羅斯駭客疑竊取2,800萬美元</strong></a></p> <p>2022年密碼管理工具開發商LastPass爆發資料外洩事件，資安業者指出，事件負面影響持續延燒到2025年，仍然對用戶造成近3,000萬美元金錢損失，而俄羅斯駭客可能是背後元兇。</p> <p>資安廠商TRM Labs指出，這些憑證雖然經過加密，一開始攻擊者沒有用戶的主密碼可能無法讀取，但他們可以整批下載，任何使用弱主密碼的管理庫最後都會被離線破解，使得單一入侵事件演變成多年破口，讓攻擊者慢慢破解密碼、存取加密貨幣錢包悄悄提款。</p> <p>TRM研究人員分析2024和2025年的電子錢包的外洩金流，發現是俄羅斯駭客操作的網路犯罪。他們發現有人透過混幣器（mixer）存取受害者加密貨幣錢包進行混幣和洗錢行為，這階段運作和俄羅斯基礎架構有多次互動，而加密貨幣出金（off-ramps）也是使用高風險的俄羅斯交易平臺，因此判斷近兩年竊取財務活動和俄國駭客的關聯性。研究人員估計近兩年2024年底到2025年初LastPass用戶被竊走的加密貨幣被轉成比特幣，再經由Wasabi Wallet洗錢，總資產超過2,800萬美元。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/silver-fox-targets-indian-users-with.html">中國駭客Silver Fox以稅務主題為誘餌，針對印度用戶散布惡意程式Winos 4.0</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/google-phishing-3000-global-organisations/">全球逾3千個企業組織遭鎖定，駭客以Google相關誘餌從事網釣</a></strong></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/27-malicious-npm-packages-used-as.html">27個惡意NPM套件透過網釣基礎設施竊取帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/former-coinbase-support-agent-arrested-for-helping-hackers/">前Coinbase客服專員傳出被捕，起因是協助駭客竊取客戶敏感資訊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安弱點</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-13915-critical-9-8-flaw-in-ibm-api-connect-lets-attackers-bypass-login/">IBM API Connect存在重大漏洞，攻擊者恐繞過登入機制</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173087"><strong>【12月30日】React2Shell漏洞利用活動肆虐，近6萬臺Next.js應用程式伺服器被入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173078"><strong>【12月29日】MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173061"><strong>【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</strong></a></p> </div></div></div>
2025/12/31 18:12作者周峻佑https://www.ithome.com.tw/news/173122
2025 Python型別調查點出三大痛點，第三方函式庫與進階泛型門檻仍高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由JetBrains、Meta與Python型別標註社群成員共同發起的<a href="https://engineering.fb.com/2025/12/22/developer-tools/python-typing-survey-2025-code-quality-flexibility-typing-adoption/">2025 Typed Python調查顯示</a>，型別提示（Type Hints）已成為多數Python開發者日常工作的一部分。同時，受訪者在回應最困難之處時，頻繁提到第三方函式庫與進階泛型等挑戰。該調查共收集1,241份回覆，受訪者多具多年Python與型別提示使用經驗。</p> <p>調查顯示，86%受訪者表示自己總是或經常使用型別提示，比例與去年相近。以Python年資分層，5到10年經驗者採用率最高達93%，0到2年者為83%，10年以上者為80%。調查人員也提到，資深開發者採用率略低的原因並不明確，可能與更常面對大型或既有程式碼庫，導入成本較高有關。</p> <p>在超過800則關於最困難之處的回應中，受訪者的討論重點多落在第三方函式庫註記品質不一、進階泛型等型別特性不易掌握，以及不同型別檢查器之間的行為差異。</p> <p>第一個痛點是第三方函式庫與框架。受訪者提到，專案仰賴的第三方函式庫，要是缺乏完整或正確的型別註記，整合型別檢查就會變得困難，並增加團隊在處理型別定義缺漏與誤報上的成本，影響開發環境的自動完成與導航體驗，也讓團隊在程式碼審查與重構時更難預測改動可能帶來的變化，最後仍得回到人工判讀與額外測試。</p> <p>第二個痛點落在進階型別特性本身。調查人員歸納，泛型、型別變數，以及協變（Covariance）與逆變（Contravariance）等概念，常被認為不易理解或難以用精準又可維護的方式表達。當程式涉及裝飾器、包裝函式、可呼叫介面或複雜巢狀資料結構時，型別註記往往變得冗長，甚至讓人覺得程式碼可讀性被稀釋。</p> <p>第三個痛點是工具生態分裂。受訪者認為，不同型別檢查器之間的行為差異，使團隊在規則選擇、錯誤判讀與持續整合上付出額外成本。調查人員提到Python靜態型別檢查工具Mypy在大型專案上的效能疑慮，以及社群對一致性，甚至由官方提供型別檢查器的期待。</p> <p class="rtecenter"><a href="http://engineering.fb.com/2025/12/22/developer-tools/python-typing-survey-2025-code-quality-flexibility-typing-adoption/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1231-python.png" style="width: 600px;" /></a></p> <p>從工具使用來看，Mypy仍是最常見的型別檢查器，有58%受訪者使用，較前一年的61%略降。另一方面，Pyrefly、Ty、Zuban等以Rust撰寫的新型別檢查工具，合計已被超過兩成受訪者採用，代表部分開發者正嘗試不同工具組合，以改善大型程式碼庫的檢查效能與使用體驗。</p> </div></div></div>
2025/12/31 18:42作者李建興https://www.ithome.com.tw/news/173116
聯合19國執法單位，國際刑警組織大舉查緝非洲網路犯罪組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國際刑警組織（Interpol）本月公布Sentinel行動（Operation Sentinel）成果，由Interpol協調非洲19個國家的執法機構共同參與，成功瓦解當地多個活躍的網路犯罪集團。</p> <p>根據Interpol的<a href="https://www.interpol.int/News-and-Events/News/2025/574-arrests-and-USD-3-million-recovered-in-coordinated-cybercrime-operation-across-Africa" target="_blank">新聞公告</a>，在為期一個月的查緝行動內，在非洲當地共逮捕574名嫌犯，查扣約300萬美元不法資金，下架超過6,000個惡意連結，並成功解密6種不同的勒索軟體變種。這波執法行動鎖定商業電子郵件詐騙（BEC）、勒索（extortion）及勒索軟體威脅，估計造成的財務損失超過2,100萬美元。</p> <p>在具體案例方面，商業電子郵件詐騙組織鎖定塞內加爾（Senegal）一家大型石油公司，駭客入侵該石油公司內部電子郵件系統並冒充高階主管，試圖核准一筆790萬美元的電匯交易。所幸當地執法單位即時凍結指定匯款帳戶，成功在資金遭盜領前阻止詐騙分子得手。</p> <p>迦納（Ghana）當地則有一家金融機構遭勒索軟體攻擊，約100TB資料遭加密，損失12萬美元，關鍵服務也因此中斷。迦納當局後續成功辨識勒索軟體種類並開發解密工具，協助復原近30TB資料。</p> <p>此外，迦納執法單位也瓦解一個活躍於迦納與奈及利亞（Nigeria）的網路詐騙集團。該集團利用精心設計的網站與行動應用程式，仿冒知名速食品牌誘騙消費者下單，受害者超過200人，詐騙金額逾40萬美元。</p> <p>Interpol表示，Sentinel執法行動的成功，也仰賴多個民間組織的技術支援，包括Team Cymru、Shadowserver基金會、趨勢科技（Trend Micro）、TRM Labs與Uppsala Security，協助Interpol追蹤網路非法行動所使用的IP位址，並支援凍結非法金融資產。</p> <p>針對非洲地區的網路威脅態勢，Interpol在2025年6月<a href="https://www.interpol.int/News-and-Events/News/2025/New-INTERPOL-report-warns-of-sharp-rise-in-cybercrime-in-Africa" target="_blank">發布的相關報告</a>則進一步揭示，有三分之二的非洲會員國觀察到，網路犯罪已達整體犯罪活動的中度甚至高度占比，西非與東非已有30%以上的通報案件屬於網路犯罪，包括網路詐騙、勒索軟體、商業電子郵件詐騙（BEC），以及性勒索（sextortion）。此外，高達9成的會員國坦言，其防範數位犯罪的偵查技術與法律制度仍有待加強，顯示在網路犯罪規模與複雜度持續升高的情況下，多數國家仍面臨人力、技術與跨境合作不足的挑戰。</p> <p><a href="http://www.interpol.int/News-and-Events/News/2025/New-INTERPOL-report-warns-of-sharp-rise-in-cybercrime-in-Africa" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1231-interpol-600-1.png" style="width: 600px;" /></a></p> <hr /> <p><span style="font-size:24px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 非洲網路攻擊組織鎖定美歐市場，社交工程手法趨於成熟 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>除了Interpol的警示，趨勢科技（Trend Micro）本週也針對非洲地區發動的數位勒索活動<a href="http://www.trendmicro.com/en_us/research/25/l/operation-sentinel-digital-extortion-campaigns-identified.html" target="_blank">提出觀察</a>，他們發現以非洲為主要據點的網路犯罪集團，已展現高度成熟的社交工程能力，並明確鎖定海外市場。</strong></span></p> <p><span style="color:#696969;"><strong>在勒索郵件<strong>語言</strong>使用上，攻擊者會依目標族群進行客製化，主要使用英文（48.1%）與葡萄牙文（47.8%）。</strong></span><strong style="color: rgb(105, 105, 105);">美洲為最主要攻擊目標，占比達64.6%；歐洲占24.9%，顯示高經濟價值地區仍是網路犯罪集團的首選。亞太地區（APAC）占9.6%，中東與北非（MENA）僅占0.8%。</strong></p> <p><a href="http://www.trendmicro.com/en_us/research/25/l/operation-sentinel-digital-extortion-campaigns-identified.html" target="_blank"><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1231-interpol-600-2.png" style="width: 530px;" /></strong></a></p> <p><span style="color:#696969;"><strong>趨勢科技認為，非洲地區網路犯罪活動已高度組織化，並具備全球化運作能力。企業在面對勒索與數位敲詐威脅時，應將跨國社交工程與多語言攻擊情境，納入整體資安風險評估。</strong></span></p> </div></div></div>
2025/12/31 19:04作者王珮瑤https://www.ithome.com.tw/news/173115
普發現金一萬上路兩個月，數發部揭露防範詐騙網站的策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣全民普發現金一萬元於11月5日正式上路，截至12月17日，<strong><a href="https://pro.10000.gov.tw/news-regulations-33.html">已有近九成民眾登記及領取</a></strong>，有別於上路前曾因立法通過及即將普發現金的傳聞，出現假冒中央存款保險公司的名義行騙，以及冒牌普發現金登記網站的情況，這兩個月鮮少出現相關詐騙網站，負責相關資訊系統建置的數位發展部，近期透露他們採取的防護策略。</p> <p>12月30日<a href="http://www.facebook.com/yijing1/posts/10162911287984495">數發部長林宜敬透過臉書貼文的形式</a>，揭露相關資訊系統的防詐方式設計。過程中，數發部透過黑名單與白名單策略，有效防堵相詐騙行為。</p> <p>所謂的白名單策略，關鍵在於「只此一家，別無分號」。數發部與財政部等部會事先進行協調，將普發現金的登記與查詢作業流程，全部集中在一個網站，他們也透過大肆宣傳，告訴民眾無論是登記或查詢資料，都必須在專屬網站進行，對於其他網站的資訊，不要輕易相信。如此一來，數發部大幅縮小了防守的範圍。</p> <p>黑名單策略的實施，重點在於主動防堵。他們將與普發現金網站10000.gov.tw相似的網域名稱，都註冊登記，以免這些網域名稱落入駭客手中；再者，他們也在網際網路透過自動搜索的方式，若是發現可疑網站，就會進行確認及封鎖。而這些措施的目的，是避免民眾接觸到詐騙訊息。</p> <p>針對上述的措施規畫與執行，林宜敬特別形容這是「無感的政績」，他想表達「有感」並非最理想的施政目標。有別於民眾普遍希望政府施政要有感，林宜敬認為，數發部將政府的資訊作業做得很順暢，做到民眾幾乎沒有發現他們的存在，甚至無感，其實就是重要的政績。事實上，在資安領域也常常出現造成使用者不便與資安防護之間兩難，要在使用者無感的情況下提升資安防護，其實並不容易。</p> <p>為防範假冒普發現金「釣魚網站」詐騙手法，財政部已與數發部及財金公司，組成跨機關防詐騙專案小組，24小時即時監控偵測相似偽冒網址或圖示。截至12月17日止，<strong><a href="http://pro.10000.gov.tw/news-regulations-33.html">他們已成功停止解析共13個偽冒普發現金網站</a></strong>。</p> </div></div></div>
2025/12/31 14:33作者周峻佑https://www.ithome.com.tw/news/173113
NCC公布網路服務申訴救濟及透明度報告2項指引，明年將公布臉書、抖音、Dcard等5大網路平臺業者作為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼2022年推動數位中介服務法，希望加強對網際網路服務平臺業者的管理，隨後因為爭議過大而停止數位中介服務法，今天(12/31)NCC再提出「網際網路服務使用者申訴及救濟機制指引」（簡稱申訴救濟指引）及「網際網路服務提供者透明度報告指引」(簡稱透明度指引），希望透過2項指引讓業者自律，明年將邀請多方利害關係人召開會議，檢視臉書、抖音等5大網路平臺業者的申訴救濟及透明度作為。</p> <p>根據NCC在113年度對網際網路傳播的社會調查，51.2%的受訪者不滿意平臺提供的申訴救濟回應，約有4成的受訪者認為平臺提供的申訴救濟機制的健全性不足，此外，6成5的受訪者認為平臺的透明度措施不足；調查顯示民眾對於網路服務業者提供的使用者申訴救濟及透明度措施做的並不夠。</p> <p>而觀察國際上對網際網路服務業者的治理趨勢，像是歐盟制定的「數位服務法」(DSA)、英國的「線上安全法」、澳洲的「線上安全法」、新加坡的「線上安全作業準則」等，要求網際網路服務業者建立申訴救濟機制，以及必需揭露透明度報告的義務，日本「資訊流通平臺應對法」也要求業者揭露透明度報告。</p> <p>我國在2022年曾計畫加強對網際網路服務業者的管理，NCC當時提出「數位中介服務法」草案，參考歐盟DSA的，大幅提高對數位中介服務者的法遵義務，並且明定違法的裁罰，後因為數位中介法影響的範圍太廣，引發各界的反彈，最後數位中介服務草案胎死腹中。</p> <p>NCC並沒有放棄對網際網路的治理，在2024年提出網際網路傳播政策白皮書，揭示我國對網路採取自律、他律、法律的治理框架，以及透明度、申訴救濟的治理概念，今天發布的「網際網路服務使用者申訴及救濟機制指引」及「網際網路服務提供者透明度報告指引」，一方面呼應白皮書的精神，也針對社會調查結果，改進申訴救濟機制、透明度，趕上網路服務的國際治理趨勢。</p> <p>NCC強調從2025年4月到11月，已邀請專家學者、產業代表、政府機關、民間團體，召開17場多方利害關係人諮詢會議，最終提出申訴救濟指引、透明度指引，為軟性指引而非立法，目的在引導業者達到維護民眾權益，以及提高透明度及民眾信任的目標。</p> <p>申訴救濟指引列出7項重點：提供申訴救濟管道並強化易讀性；配置正體中文及熟悉我國文化的人員；明確告知使用者並給予說明的機會；揭露內容調控規則與判斷標準；建立權益恢復與避免濫用措施；落實我國法令保障及權利行使；建立合理處理期程及多方協作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-31%20%E4%B8%8B%E5%8D%885_29_16.jpeg" style="width: 600px; height: 374px;" /></p> <p>而透明度指引也有7項重點：定期揭露風險緩解及資訊自主措施說明內容調控之依據及原因；說明內容調控之標準與結果；說明申訴救濟與素養推廣情形；揭露政府請求之公私協力合作；揭露個人資料運用與隱私政策；示明政策變更與多方協作機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-31%20%E4%B8%8B%E5%8D%885_28_10.jpeg" style="width: 600px; height: 371px;" /></p> <p>由於是軟性指引，目的在引導業者改善，並未針對業者設定明確的要求及裁罰。但是，NCC準備在明年中召開多方利害關係人會議，包括政府機關、民間團體、學者專家、產業代表，檢視網路服務業者在申訴救濟及透明度改進的作為，預計在明年底公開檢視的結果，希望形成外部問責。</p> <p>NCC計畫明年先針對Google YouTbue、Meta的臉書、Line官方帳號、抖音、Dcard進行檢視。</p> <p>NCC主任祕書黃文哲表示，網路服務業者包括網路、內容、接取業者，初期檢視會先以上述5大網路平臺為優先，新發布的2項指引將可提供網路平臺業者參考，依自律的方式引導業者改善自身所提供的服務，未來也歡迎其他網路服務平臺業者參考2項指引，改善他們的申訴救濟及透明度措施。</p> <p>黃文哲也補充說明我國對於網際網路服務的治理架構，包括業者自律(包含參考2項指引)，社會公眾的他律監督(社會公評、壓力)，以及法律如社維法、兒少法的法律(觸法裁罰、封鎖)。2項指引雖沒有裁罰效力，但目的是希望透過軟性指引方式，引導網路業者自律，結合社會他律，共同形成良善的網際網路環境，避免不好的事情發生。</p> <p>針對民眾使用網路服務，其帳號可能被莫名的凍結使用，向網路服務業者申訴救濟，沒有得到網路業者妥善的回應；黃文哲也表示，民眾遭受網路業者「不公平」的對待，可向NCC申訴，明年NCC召開多方利害關係人會議，將根據網路業者的公開資訊及收到民眾的申訴，對外公布相關報告，供外界參考。</p> </div></div></div>
2025/12/31 17:35作者蘇文彬https://www.ithome.com.tw/news/173117
800美元即可買斷ClickFix攻擊服務，套裝工具ErrTraffic可自架後臺分流投遞竊資程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安情資團隊Hudson Rock<a href="https://www.infostealers.com/article/the-industrialization-of-clickfix-inside-errtraffic/">發布報告</a>指出，名為ErrTraffic或ErrTraffic v2的ClickFix服務在俄語系網路犯罪論壇被公開兜售，整套專案標價800美元。研究人員提到，該工具把原本較零散的社交工程誘導流程做成可重複部署的產品，讓攻擊者能以較低門檻在被入侵網站上大量鋪設誘餌，再依受害者的作業系統投遞不同惡意程式。</p> <p>ClickFix是近年快速增長的社交工程技術，常借用瀏覽器更新或系統修復的情境，引導使用者自行在作業系統層級完成一段操作，讓惡意指令以使用者身分被執行。研究人員在報告中點出，現代瀏覽器已大幅壓縮零互動下載的攻擊空間，攻擊者因此更依賴使用者自行完成最後一步的手動執行，藉此跨過瀏覽器與作業系統之間的防護落差。</p> <p>ErrTraffic的特色在於把這套誘導流程包裝成具管理後臺的服務。推廣者使用LenAI身分在論壇刊登ErrTraffic v2介面的宣傳貼文，並標示整套專案一次買斷，同時揭露其後臺介面採儀表板呈現，外觀接近一般雲端軟體服務的管理介面，攻擊者可以在其中管理活動流量、追蹤訪客互動與下載數據，並設定投遞規則。</p> <p>ErrTraffic主打假故障效果，該工具會在網頁上製造破碎文字與視覺雜訊等異常狀態，讓使用者誤以為網站或瀏覽器發生嚴重錯誤，進而產生急迫感，並讓修復按鈕看起來像是唯一解決方案，提升ClickFix誘導成功機率。推廣者也貼出活動儀表板截圖，顯示在與誘餌互動的訪客中，部分活動的成功率接近60%。</p> <p>另一個ErrTraffic重點是跨平臺投遞能力，ErrTraffic會對訪客作業系統進行指紋辨識，涵蓋Windows、macOS、Android與Linux，並依環境提供不同惡意載荷。研究人員也提到，控制臺設定可見針對CIS相關國家或俄語圈常見的地理封鎖排除項目，這類設計通常被用來降低在地執法風險。研究人員認為，該細節不足以直接指向特定組織，但顯示工具在商業化之餘，也把地下社群的操作習慣寫進產品預設。</p> <p>研究人員提醒，竊資程式常不只竊取金融帳密，也會蒐集網站內容管理系統與主機管理介面等帳號密碼，後續可能被用來在更多網站注入同一類型腳本，形成自我擴散的迴圈。也就是說，ClickFix不只是單點感染手法，還可能被用來持續擴大後續投遞面。</p> </div></div></div>
2025/12/31 17:18作者李建興https://www.ithome.com.tw/news/173114
中國駭客Mustang Panda用核心層級Rootkit隱匿後門程式ToneShell活動，以便進行間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著資安公司不斷揭露國家級駭客的網路間諜活動，駭客也試圖透過更複雜的手段，隱匿相關活動及作案工具。</p> <p>資安公司卡巴斯基揭露<strong><a href="https://securelist.com/honeymyte-kernel-mode-rootkit/118590/">發生在2025年中旬的資安事故</a></strong>，外號為Mustang Panda、Earth Preta、RedDelta，以及TA416的中國駭客組織，將惡意驅動程式部署到亞洲的企業組織網路環境，最終在系統處理程序注入後門程式ToneShell。其中，他們使用可能外流或遭竊的憑證簽署驅動程式，並對於惡意檔案、以使用者模式執行的處理程序，並對系統登錄檔加入防護機制，避免攻擊活動受到干擾。該公司認為，這波活動代表Mustang Panda的攻擊手法出現重大變化。</p> <p>根據ToneShell的C2伺服器資料，卡巴斯基研判攻擊活動從2025年2月開始，此次駭客使用的ToneShell，經常用於攻擊東南亞及東亞政府機關，目的是從事網路間諜活動，其中，緬甸和泰國是駭客的主要目標。</p> <p>針對駭客入侵受害組織的管道，卡巴斯基表示不清楚，不過這些企業組織存在共通點，就是都曾被Mustang Panda植入惡意程式，其中包括：USB蠕蟲ToneDisk、PlugX，以及舊版ToneShell。因此，在這波攻擊當中，駭客疑似透過已遭入侵的電腦進行二度犯案。</p> <p>這波攻擊活動與過往最大的不同，就是駭客使用核心模式的惡意驅動程式ProjectConfiguration.sys，以此載入ToneShell。此驅動程式實作rootkit功能，具備強大的自我防護機制，藉由檔案鎖定、保護特定處理程序，並且使用特定的登錄檔，以保護惡意服務的執行，甚至，對於Windows作業系統內建防毒Microsoft Defender，也能竄改執行的優先層級，阻止關鍵的驅動程式WdFilter載入。</p> <p>駭客也使用上述rootkit載入ToneShell，此為具備反向Shell功能的木馬程式，由於透過核心驅動程式載入，並於記憶體內執行，使得ToneShell不會在儲存裝置留下運作的痕跡。</p> </div></div></div>
2025/12/31 11:55作者周峻佑https://www.ithome.com.tw/news/173110
資料決定AI能力邊界
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了提升公共安全，導入AI系統進行改善是大家都希望能做到的，然而，想要讓AI發揮功效，首先須確保相關資料都能持續擷取與蒐集、受到妥善而完整的儲存，而且獲得足夠的安全保護，對於AI或任何分析系統而言，資料不僅是驅動這些工作能否順利進行的重要「燃料」，也是整體能力的天花板，需要滿足正確性、完整性、代表性、一致性、時效性等層面的要求。</p> <p>同時，搭配適當的應用系統也很重要，這是讓AI發揮能力的關鍵，有了它，才能從概念驗證或技術展示，真正進入實踐階段。</p> <p>這讓我想到最近臺北市發生隨機殺人攻擊事件，臺北大眾捷運公司研議在捷運站、轉運站等人流密集處的監視器，導入AI異常行為辨識系統，若偵測到激烈肢體動作、持械或群眾異常推擠，將觸發警報，促使現有的監控系統功能從事後調閱，轉為事前預警。</p> <p>然而，AI再厲害，沒有正確而完整的資料，必定影響相關機制的成效。因為事發當時有民眾質疑監視器失靈，臺北大眾捷運公司在21日表示，同一個場域裝設多支監視器（視訊攝影機），由相關的主機進行系統控管，有相互備援，以事發的多個區域之一：板南線B2層為例，有4組網路監控影片錄影機（NVR），目的就是避免單一設備故障造成影像紀錄中斷，可彼此備援，若一組有畫面異常問題，還有三組可比對畫面，遺憾的是，事發前一天有一組硬碟磁區發生故障，但還有其他NVR的畫面可比對，然而，也會需要耗費比較多時間處理這些工作。</p> <p>針對上述狀況，我們詢問幾家廠商是否有相關解決方案，可提供更完善的系統，確保監控攝影機畫面的妥善擷取、儲存、管理，並且具備AI即時偵測與分析能力。</p> <p>例如，專攻網路攝影機、影像管理軟體、雲端服務等領域的晶睿通訊（Vivotek），提供多樣的AI攝影機、AI安防網路錄影機後端系統Core+ NVR，以及影像監控管理系統VAST Security Station Pro，最多能串連超過兩萬臺攝影機，安全人員可透過深度搜尋技術，同時尋找關鍵人車特徵，可根據性別、年齡、衣服顏色、車型和車體顏色等資訊進行篩選，追蹤目標的移動軌跡，精準查找關鍵影像片段，最終也能產生報告，協助進行系統化的資訊整理。</p> <p>晶睿通訊也提供雲端服務Vortex，支援混合雲架構部署，搭配直接上雲的Vortex攝影機，提供精準的AI影像分析與預警通報，可快速掌握異常行為，也能搭配既有網路攝影機，透過晶睿通訊網路錄影機橋接上雲，獲得即時遠端管理和事件偵測。</p> <p>旗下有影像監控產品的群暉科技，提出三個方向的建議。首先，他們的NVR系統DVA系列與監控攝影機Synology Camera提供智慧影像辨識，可即時偵測人車動態、入侵、擁擠等狀況，也與其他技術夥伴合作，例如Vaidio的AI視覺平臺支援武器偵測功能，群暉能以API串接各種AI功能，也能設定使監控主機接收到事件時，觸發對應警報或行動規則，提升監控效率並大幅減少人力監看盲點；第二，強化多攝影機與跨站點管理，他們提供集中管理系統，能在單一介面看到所有站點的錄影畫面，方便安全人員監控。</p> <p>第三，避免關鍵畫面遺失，群暉的視訊解決方案內建多種防護，含RAID儲存裝置備援、兩臺主機的高可用性確保、錄影不中斷，以及N+M故障轉移，當錄影伺服器故障，可自動將資料轉移至備援伺服器。</p> <p>威聯通（QNAP）針對捷運等高人流的公共場域環境提出解法，重點在於提升系統韌性與即時反應力。透過RAID檢測，他們的產品可在硬碟異常時主動警示，搭配Recording Vault主動式監控備份，以及雲端備份。</p> <p>他們表示，QNAP的視訊監控架構並非傳統各自獨立的DVR或NVR主機，而是以集中式平臺為核心，透過RAID與Recording Vault機制進行主動式溫備份，並可將關鍵攝影機影像同步備份至雲端。一旦硬碟或錄影異常，系統會即時通報，可避免發生「需要調閱影像時才發現錄影早已中斷」的狀況。</p> <p>在AI應用上，QNAP的解決方案提供人流與越線偵測，也可整合第三方行為分析系統，進一步辨識跌倒、聚眾鬥毆、非法闖入或煙霧火光等異常情境，並即時連動通報，可透過API與既有通報或指揮系統連動，讓公共安全從事後調查提升為預警與快速應變。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E5%AE%89%E9%98%B2">AI安防</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E5%85%B1%E5%AE%89%E5%85%A8">公共安全</a></div><div class="field-item even"><a href="/tags/%E6%99%BA%E6%85%A7%E7%9B%A3%E6%8E%A7">智慧監控</a></div><div class="field-item odd"><a href="/tags/%E5%BD%B1%E5%83%8F%E8%BE%A8%E8%AD%98">影像辨識</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86">資料治理</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3ai">邊緣AI</a></div><div class="field-item even"><a href="/tags/%E5%9F%8E%E5%B8%82%E5%AE%89%E5%85%A8">城市安全</a></div></div></div>
2025/12/31 12:21作者李宗翰https://www.ithome.com.tw/voice/173112
MongoBleed漏洞野外已遭濫用，CISA要求美國聯邦文職機關三周內修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2025/12/29/cisa-adds-one-known-exploited-vulnerability-catalog">將MongoDB漏洞CVE-2025-14847加入已知遭利用漏洞清單（KEV）</a>，並要求聯邦民事行政部門機關（FCEB）在2026年1月19日前完成修補，期限約三周。 </p> <p>CISA將CVE-2025-14847列入KEV的理由，是已出現野外濫用跡象。<a href="https://www.ithome.com.tw/news/173071">CVE-2025-14847又被稱為MongoBleed</a>，該漏洞在不需要身分驗證且不需使用者互動的情況下，可能讓攻擊者遠端讀取伺服器記憶體中的敏感片段，例如帳密或其他存取憑證、API或雲端服務金鑰、工作階段權杖、內部紀錄與可識別個人資料等。</p> <p>該漏洞的嚴重性在於，攻擊者不一定需要先取得合法登入權限，只要目標MongoDB服務對外公開，就可能藉由觸發記憶體洩漏，獲得足以作為後續入侵跳板的線索，進而擴大橫向移動與資料外洩風險。而造成漏洞的原因，是MongoDB伺服器端在處理zlib壓縮的協定標頭時長度欄位不一致，可能讓未經驗證的遠端用戶端讀取伺服器端未初始化的堆積記憶體（Heap Memory）內容，屬於資訊洩漏類型漏洞。</p> <p>MongoDB已在2025年12月19日釋出修補版本<a href="https://www.mongodb.com/docs/manual/release-notes/8.0/#8.0.17---dec-19--2025">MongoDB 8.0.17</a>，CISA後續也將該漏洞納入KEV並設定到期日，要求受BOD22-01指令約束的機關在指定期限內完成處置。</p> <p>雖然BOD 22-01的指令適用範圍主要是美國聯邦民事行政部門機關，但對一般組織而言，MongoBleed同樣危險。要是環境中有使用MongoDB，特別是對外提供服務或是向網際網路開放的部署型態，CISA同樣建議應把CVE-2025-14847列為近期修補的優先項目。</p> </div></div></div>
2025/12/31 13:16作者李建興https://www.ithome.com.tw/news/173111
記憶體短缺擴大衝擊2026年PC出貨量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>市場研究機構IDC與集邦科技（TrendForce）近日不約而同地指出，AI占據了記憶體產能，推動消費性記憶體價格的大幅上漲，將擴大衝擊2026年的PC出貨量。其中，<a href="https://www.prnewswire.com/news-releases/revises-down-2026-global-notebook-shipments-to-a-5-4-yoy-decline-apple-and-lenovo-demonstrate-resilience-on-supply-chain-and-scale-advantages-says-trendforce-302650707.html" target="_blank">集邦科技</a>已將2026年全球筆記型電腦的出量從下滑2.4%再下修至下滑5.4%，最壞情況可能下滑10.1%；而<a href="https://www.idc.com/resource-center/blog/global-memory-shortage-crisis-market-analysis-and-the-potential-impact-on-the-smartphone-and-pc-markets-in-2026/" target="_blank">IDC</a>也把明年PC出貨量從下滑2.4%下修至下滑4.9%，並說最糟可能萎縮8.9%。</p> <p>其實不管是集邦科技或是IDC對於2.4%下滑幅度的預測都是今年11月提出的，<a href="https://www.ithome.com.tw/news/172505" target="_blank">當時消費記憶體價格</a>已不斷創下新高，但情況持續惡化又使得兩家業者下修原本的預測。</p> <p>IDC說明，記憶體市場正處於一個結構性轉折點，其需求遠超過供給。不同於過去典型的景氣循環，這次是因AI基礎設施及工作負載的快速擴張，對記憶體生態系統造成巨大壓力。AI需要大量記憶體，部分短缺來自於產能從消費性電子轉向高毛利AI記憶體解決方案的結構性調整，主要記憶體業者不再擴充智慧型手機與PC使用的DRAM與NAND，而是將產能轉向AI資料中心所需的高頻寬記憶體（HBM）與高容量DDR5，進而壓縮通用型記憶體供給，推升整體價格。</p> <p>AI建置潮吸走了不成比例的全球產能，供應商優先滿足雲端業者與AI伺服器的OEM訂單，使得可供消費市場使用的DRAM進一步減少。IDC更認為，這並非只是短期的供需錯配，而是全球矽晶圓產能的長期、策略性重分配。過去數十年，智慧型手機與PC用DRAM與NAND一直是產能配置的核心，如今，三星、SK Hynix及美光等全球三大記憶體廠商都已將有限的資源轉向高毛利的企業產品。</p> <p>總之，記憶體短缺與價格上揚將提高諸如手機或PC等消費性電子產品的成本，已有多家PC品牌預告，要在2026年下半年調漲15%~20%，將成本轉嫁給消費者的可能還有中低階的智慧型手機。IDC的結論是，2026年可能會是因為供給受限，而讓科技產品全面變貴的一年。</p> </div></div></div>
2025/12/31 11:44作者陳曉莉https://www.ithome.com.tw/news/173109
多款主機板UEFI實作存在缺陷，開機前恐遭直接記憶體存取攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般情況下，電腦在開機時會由UEFI（Unified Extensible Firmware Interface）韌體與IOMMU（Input–Output Memory Management Unit）先行建立基本防護，避免支援直接記憶體存取（Direct Memory Access，DMA）的周邊裝置在作業系統尚未啟動前，就能擅自讀取或竄改系統記憶體。</p> <p>不過，研究人員近日揭露，一項影響多家主機板廠商的UEFI資安漏洞，可能讓上述防護機制失效，使系統在早期開機階段暴露於DMA攻擊風險之下。受影響的品牌包括華擎科技（ASRock）、華碩（Asus）、技嘉（Gigabyte）與微星（MSI），涵蓋多款採用Intel與AMD晶片組的主機板。</p> <p>這項漏洞出現在部分UEFI與IOMMU的實作中。理論上，UEFI與IOMMU應在作業系統載入前就建立基礎防護，防止周邊裝置未經授權存取系統記憶體。然而研究人員發現，韌體雖然顯示已啟用DMA防護，實際上卻未在關鍵開機階段正確設定與啟用IOMMU，導致防護機制形同虛設。</p> <p>根據美國電腦應變協調中心<a href="https://kb.cert.org/vuls/id/382314" target="_blank">（CERT/CC）說明</a>，在這樣的情況下，若攻擊者具備實體存取條件，便可能利用支援DMA的PCIe裝置，在作業系統核心與其安全機制尚未啟動前，讀取或竄改系統記憶體內容。</p> <p>CERT/CC警告，攻擊者不僅可能存取記憶體中的敏感資料，還可能影響系統初始狀態，進而破壞整體開機流程的完整性。若成功濫用這項漏洞，甚至可在開機前階段進行程式碼注入，對尚未修補的系統構成高度風險。</p> <p>目前已揭露的漏洞包含以下項目，CVSS風險評分皆為7.0，屬中高風險等級：</p> <p>● <a href="https://www.twcert.org.tw/tw/cp-132-10578-c43b4-1.html" target="_blank">CVE-2025-14304</a>：影響華擎科技與其子公司採用Intel 500、600、700、800系列晶片組的ASRock、ASRock Rack與ASRock Industrial主機板</p> <p><a href="https://www.asrock.com/support/Security.asp?iD=1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E6%93%8E-ASROCK-CVE-2025-14304_0.png" style="width: 600px;" /></a></p> <p>● <a href="https://www.asus.com/security-advisory/" target="_blank">CVE-2025-11901</a>：影響多款採用Intel Z490至W790系列晶片組的華碩主機板</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E7%A2%A9-ASUS-CVE-2025-14302_0.png" style="width: 600px;" /></p> <p>● <a href="https://www.twcert.org.tw/tw/cp-132-10574-ddf09-1.html" target="_blank">CVE-2025-14302</a>：影響多款採用Intel與AMD晶片組的技嘉主機板，除了TRX50平臺預計於2026年第一季提供修補之外，其他受漏洞影響的主機板已釋出韌體更新</p> <p><a href="https://www.gigabyte.com/Support/Security/2338" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%80%E5%98%89-GIGABYTE-CVE-2025-14302_0.png" style="width: 600px;" /></a></p> <p>● <a href="https://www.twcert.org.tw/tw/cp-132-10576-0a0fd-1.html" target="_blank">CVE-2025-14303</a>：影響採用Intel 600與700系列晶片組的微星主機板</p> <p><a href="https://csr.msi.com/global/product-security-advisories" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E6%98%9F-MSI-CVE-2025-14303_0.png" style="width: 600px;" /></a></p> <p>隨著相關廠商陸續釋出新版韌體，修正IOMMU初始化流程並強化整個開機期間的DMA防護，CERT/CC呼籲終端使用者與系統管理員儘速套用更新。CERT/CC也強調，對於無法完全控管實體存取的環境，更應重視即時修補與硬體資安最佳實務。</p> <p>這項問題由Riot Games的Nick Peterson與Mohamed Al-Sharifi發現。<a href="https://www.riotgames.com/en/news/vanguard-security-update-motherboard" target="_blank">Riot Games指出</a>，即使主機上的安全設定看似已啟用，這類安全弱點仍可能讓硬體外掛作弊工具在不被察覺的情況下，進行程式碼注入，突顯韌體層級設定正確性對整體資安的重要性。</p> </div></div></div>
2025/12/31 12:12作者王珮瑤https://www.ithome.com.tw/news/173102
歐洲太空總署證實外部伺服器被駭未外洩機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲太空總署（European Space Agency，ESA）本周回應資料外洩，<a href="https://x.com/esa/status/2005938460448715055" target="_blank">但強調</a>是外部伺服器被駭，並沒有機密資料外流。</p> <p>ESA是針對上周駭客論壇BreachForums一則<a href="https://cyberinsider.com/european-space-agency-confirms-breach-following-leak-of-internal-data/" target="_blank">公告</a>所做的回應。一名代號888的駭客宣稱12月18日駭入ESA系統長達一周，竊得超過200GB資料，計畫出售換取Monero （XMR）幣。</p> <p>據稱這名駭客手上的ESA資料包括未公開Bitbucket程式庫中的原始碼、CI/CD管線配置、API和存取令牌、內部文件、SQL資料庫檔案、Terraform基礎架構、硬編寫的憑證和配置檔等。</p> <p>他並公布數幀螢幕擷圖，可能是ESA系統目錄架構、程式碼片段和內部配置檔。不過資料真實性尚未獲驗證。</p> <p>ESA得知資料外洩事件後已展開調查，並已強化資安措施確保可能有風險的裝置。ESA說，被駭的伺服器位於ESA企業網路外，根據目前調查，這起事件僅影響「非常少量」的外部伺服器。ESA並說，這些伺服器支援的是科學社群內合作性質的工程活動，所有相關人士都已接獲通知。ESA表示之後會再提供更多相關資訊。</p> <p>去年大約同時，ESA也發生資安事件。ESA商品網站被駭客<a href="https://izoologic.com/region/europe/european-space-agency-site-hack-resulted-in-a-payment-card-heist/" target="_blank">植入</a>惡意JavaScript以顯示假的Stripe支付頁面，目的在騙取造訪消費者的信用卡資料。</p> </div></div></div>
2025/12/31 10:37作者林妍溱https://www.ithome.com.tw/news/173107
軟銀正式取得11%的OpenAI股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本軟體銀行集團（SoftBank Group，軟銀）本周<a href="https://group.softbank/en/news/press/20251231" target="_blank">宣布</a>，已於上周五（12/26）完成對OpenAI的225億美元追加投資，履行了2025年3月對OpenAI所作出的承諾，與其它第三方共同完成投資，正式取得約11%的OpenAI股份。</p> <p>OpenAI是在2025年3月底<a href="https://www.ithome.com.tw/news/168182" target="_blank">展開</a>由軟銀主導的400億美元融資活動，根據軟銀的規畫，其中將有100億美元分配給其它的投資者，軟銀最多會獨立投資300億美元，條件是OpenAI成功轉型為營利導向的公司，否則軟銀的投資金額將會縮減為200億美元。完成該融資活動後的OpenAI估值將達3,000億美元。</p> <p>接著OpenAI在2025年10月<a href="https://www.ithome.com.tw/news/171923" target="_blank">完成</a>資產重組，由非營利實體OpenAI基金會控制公益性公司OpenAI Group PBC。OpenAI Group PBC估值約為5,000億美元，微軟持股27%，OpenAI基金會持股26%。持股11%的軟銀成為OpenAI的第三大股東。</p> <p>軟銀表示，該公司是在2025年4月透過軟銀願景基金2（SoftBank Vision Fund 2，SVF 2）投資了75億美元，上周也是藉由SVF 2追加投資225億美元，其它第三方投資者則超額認購至110億美元，使得最終的總投資額達到410億美元。</p> <p>軟銀董事長暨執行長孫正義表示，該公司與OpenAI的願景是一致的，亦即確保通用人工智慧能夠造福全人類。</p> <p>不過，根據<a href="https://www.reuters.com/business/media-telecom/softbank-races-fulfill-225-billion-funding-commitment-openai-by-year-end-sources-2025-12-19/" target="_blank">路透社</a>（Reuters）的報導，軟銀為了兌現對OpenAI的融資承諾，已出清了所持有的、價值58億美元的Nvidia股份，也出售了價值48億美元的T-Mobile US股份，再加上大幅裁員，為孫正義迄今規模最大的投資之一。</p> </div></div></div>
2025/12/31 11:02作者陳曉莉https://www.ithome.com.tw/news/173108
韓亞、大韓航空遭駭外洩數萬員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>韓國航空公司近日分別傳出資料外洩事件。韓亞航空（Asiana）及母公司大韓航空（Korean Air）分別在上周及本周傳出內部系統被駭，分別導致1萬和3萬員工資料外洩。</p> <p>根據韓國媒體<a href="https://koreajoongangdaily.joins.com/news/2025-12-25/national/socialAffairs/Asiana-Airlines-informs-employees-of-personal-data-hack/2486623" target="_blank">Korea JoongAng Daily報導</a>引述消息人士報導，聖誕節前夕，韓亞航空內部公告，這起資料外洩事件是起於駭客於前一天未授權登入一臺海外伺服器，藉此駭入公司內部網路。外洩的資料包含員工姓名、部門、職稱、電話號碼、員工識別證號及電子郵件，影響約1萬名員工，包含合作夥伴公司的員工。</p> <p>在不到一星期後，韓亞航空母公司，也是韓國航空龍頭業者大韓航空（Korean Air）本周也在內部公告，公司使用的Oracle E-Business Suite（EBS）遭到駭客存取，外洩逾3萬員工資料。</p> <p><a href="https://koreajoongangdaily.joins.com/news/2025-12-29/business/industry/Data-breach-at-Korean-Air-leaks-30000-employee-records/2488168" target="_blank">大韓航空內部公告說明</a>，事件起因是受到供應機上餐點及商品的供應商KC&D遭駭波及。KC&D（Korean Air Catering & Duty-Free）原是大韓航空的業務部門，於2020年出售給了外部公司。這家供應商近日被駭，讓攻擊者得以存取公司Oracle EBS資料。外洩的資料包含近3萬名現任及前任員工的姓名和銀行帳號。</p> <p>韓亞航空和大韓航空都表示事件未影響客戶資料，且都已經通報主管機關。</p> <p>兩公司資料外洩事件是否相關還不得而知。雖然尚未有駭客組織出面坦承犯案，不過大韓航空的Oracle EBS資料外洩，可能是發動Cl0p勒索軟體的組織FIN11所為。兩個月前美國航空（American Airlines）旗下子公司Envoy Air也證實其Oracle EBS遭駭，外洩「小部份業務資訊和商業聯絡資訊」。</p> <p>二家公司事件也是韓國近日傳出的最新大規模資料外洩的企業。今年12月酷澎遭內部員工非授權存取客戶資料系統，造成3370萬客戶個資外流，迫使該公司<a href="https://www.ithome.com.tw/news/173094" target="_blank">支付</a>11.7億美元客戶賠償。</p> </div></div></div>
2025/12/31 10:07作者林妍溱https://www.ithome.com.tw/news/173106
歐洲高鐵業者Eurostar AI客服曝4弱點，護欄繞過衍生提示注入與自跨站腳本風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲高速鐵路營運商Eurostar官網的AI客服，被英國資安公司Pen Test Partners<a href="https://www.pentestpartners.com/security-blog/eurostar-ai-vulnerability-when-a-chatbot-goes-off-the-rails/">揭露</a>曾存在四項安全缺陷，包含護欄機制可被繞過、提示注入導致系統提示等資訊外洩、回覆內容可被誘導輸出非預期HTML而引發自跨站腳本（Self XSS）風險，以及對話與訊息識別碼驗證不足。</p> <p>研究人員在問題修補後才公開細節。外媒City AM引述自Eurostar發言人，該聊天機器人未連結客戶帳戶或其他系統，並稱相關弱點已修補且會持續強化資安治理。</p> <p>研究人員Ross Donald指出，他以一般旅客身分規畫行程時接觸到該聊天機器人，注意到其回覆帶有固定拒答文字，推測前端介面外還有一層程式化護欄在伺服器端先行判斷是否允許提問，因而進一步檢視其後端介面行為。</p> <p>依其分析，該聊天機器人採用介面驅動設計，每次送出訊息時，前端會把整段對話歷史一併送到後端，後端會針對最新一則訊息進行護欄判定，並在後續請求中只檢查最新一則訊息的簽章。問題在於，較早的訊息不會被重新驗證，也未與當次護欄判定做完整的加密綁定，導致用戶端要是竄改既有對話歷史，仍可能被當成可信上下文送入模型，形成護欄繞過的基礎條件。</p> <p>在上述條件下，研究人員發現可進一步透過提示注入，誘導模型輸出原本不應揭露的資訊，例如系統提示內容。研究人員強調，這類外洩雖不等同於取得其他使用者資料，但會讓外界更容易理解系統如何拼接上下文與產生回覆，進而降低後續攻擊門檻。</p> <p>另一起風險與前端呈現方式有關，系統提示會引導模型產生帶有HTML標記的回覆內容以呈現說明連結，但前端要是直接算繪模型輸出而缺乏嚴格消毒，就可能被誘導輸出非預期的HTML片段，進而在使用者自己的瀏覽器內觸發自我跨站腳本等問題。</p> <p>第四項缺陷是對話識別碼與訊息識別碼的驗證不足，研究人員指出，他可把原本應為UUID的識別碼改成1或hello之類的簡單值，後端仍接受並繼續對話，代表伺服器端缺乏足夠的格式與一致性檢查，可能會提高對話被重放或拼接的風險。不過研究人員也說，基於Eurostar漏洞揭露計畫的範圍限制，他們未嘗試驗證是否存在跨使用者的實際影響。</p> </div></div></div>
2025/12/31 06:00作者李建興https://www.ithome.com.tw/news/173097
金管會揭露未來4年金融業資安韌性發展藍圖，鼓勵資安左納入軟體安全設計、研擬金融業AI系統安防指引、加強導入零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會持續加強金融業資安管理，從2020年首次發布金融資安行動方案1.0開始，2022年發布行動方案2.0在今年底到期後，金管會今天(12/30)發布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202512300002&dtable=News" target="_blank">「金融資安韌性發展藍圖」</a>，描繪我國金融業未來4年強化資安治理發展方向，例如鼓勵業者資安左移，將安全納入設計，並將研擬金融業AI系統安防指引，加速導入零信任架構等等。</p> <p>金管會強調發布「金融資安韌性發展藍圖」，除了承續金融資安行動方案2.0，並參考「國家資通安全戰略2025」及「第七期國家資通安全發展方案」等國家資通安戰略，來強化我國金融系統的資安韌性，確保營運不中斷，該藍圖中可分為4構面，包括建立目標治理、建立全域防護、加強生態聯防、堅實韌性。</p> <p>金管會資訊服務處長林裕泰指出，首先在目標治理方面，面對資安威脅的增加，必需建立資安治理的目標，特別是強化高層問責、資安法規調適及強化人才韌性；在全域防護方面，納入資安左移，將資安的思維向左移至資訊單位，加強不同規模的金融業部署零信任架構的成熟度，並針對新興科技如AI、量子建立相關的指引規範。</p> <p>在生態聯防方面，林裕泰指出，除了金融業外，因應跨域合作、供應鏈攻擊的威脅增加，從金融業跨出去，和相關產業建立生態聯防合作；堅實韌性方面，加強演訓、備援及風險分層的概念，加強金融系統及服的韌性。</p> <p>藍圖也分別在4個構面列出10大重點工作，這些重點工作有一部分是延續資安行動方案2.0的延伸強化作業。</p> <p><span style="color:#B22222;"><strong>強化資安長賦權及問責</strong></span></p> <p>例如在資安行動方案2.0中，已提升董事會的資安監督能量，將資安納入公司治理的核心，其次是對於達到一定規模電子交易的金融業者需建立副總級以上的資安長。林裕泰指出，金管會接下來希望強化資安長在企業營運中賦權及問責機制，讓資安長擁有相當的權限、資源來處理資安議題。此外，由於新興科技發展快速，滾動調整金融相關的資安法規。</p> <p>在資安人才方面，先前發布的金融資安人才職能地圖後續持續調整。林裕泰也指出，資安還是要以人才為本，延續過去人才培訓角度外，希望回到金融機構內部合理的資安人才職能配置為重點，此外，鼓勵金融機構的典範能夠跨機構交流，讓典範發展為金融業者之間的最佳實務。</p> <p><strong><span style="color:#B22222;">推動零信任架構導入向成熟階段發展</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-30%20%E4%B8%8B%E5%8D%887_06_17.jpeg" style="width: 600px; height: 335px;" /></p> <p>至於金管會在2024年7月已發布的金融業導入零信任架構參考指引，經過一年多的發展，不同規模金融機構在導入零信任架構上的進展不一，以零信任架構導入的4個階段而言，有的金融業者在傳統階段，發展較快的業者已進入起始階段或進階階段，較少業者進入最佳階段。</p> <p>在藍圖中，金管會希望延續零信任架構導入高風險場域，逐步推動業者導入零架任架構，並向成熟階段發展，金管會也希望建立導入實務共識，漸漸納入基礎規範。</p> <p>在資安監控方面，林裕泰表示，過去幾年主要推動從攻擊角度檢視資安的組態、監控規則，未來會持續推動，也因應金融業者上雲，推動相同機制帶到雲端，此外，也鼓勵業者持續透過DDoS攻擊、紅藍隊攻防演練等方式，檢視業者自身資安監控防護的有效性。</p> <p><strong><span style="color:#B22222;">納入資安左移降低資安風險及漏洞處理成本</span></strong></p> <p>在全域防護方面，除了推動業者導入零信任架構外，也迎合軟體安全設計(Secure By Design)的趨勢；林裕泰指出，過去資安是在軟體開發後部署才開始防護，當後續發現漏洞，需要投入更多的成本處理，因此推動資安左移，鼓勵在軟體設計開發流程中嵌入安全機制，並且跟進國際上軟體供應鏈SBOM透明化，根據軟體清單追蹤重大漏洞，即時修補以降低風險，鼓勵金融業者透過資安左移以降低處理成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-30%20%E4%B8%8B%E5%8D%887_04_36.jpeg" style="width: 600px; height: 333px;" /></p> <p>先前金融會推動Open Banking的API安全防護，金管會也希望延伸到供應鏈夥伴的API安全防護，研訂API的安全基準。</p> <p>新興科技方面，特別是AI的資安防護，參考國際資安組織OWASP等針對生成式AI、大語言模型發布弱點或攻擊警訊，金管會希望在明年召集金融業者，共同研擬金融業AI系統安全防護及檢測參考指引。</p> <p>至於後量子密碼(PQC)遷移，金管會在2025年7月先邀請部分金融業者參與先導小組，先凝聚共識，盤點密碼學的技術清單，後續進行風險評估，逐漸布局後量子密碼遷移，未來希望研擬金融業PQC遷移參考指引。不過，由於目前量子密碼遷移仍持續發展中，金管會現階段不願透露何時發布金融業PQC遷移參考指引。</p> <p><span style="color:#B22222;"><strong>擴大金融業供應鏈聯防及情資分享</strong></span></p> <p>建立生態聯防機制部分，考量到供應鏈資安管理愈來愈重要，金管會希望金融業除了提升自身的資安防護，也能帶動金融業供應鏈的資安防護向上提升；林裕泰指出，金管會將依照金融服務的敏感性、可用性等不同屬性後，對其供應商建立分級，對委外的資安責任建立參考範本，提供資安事件通報、應處能力提出共通的要求。另外，也鼓勵資安情資分享，不只是金融業之間，也和供應鏈分享情資。</p> <p>在資安情資的取得上，金管會統計，目前F-ISAC已有7成的情資來自會員，顯示已建立情資分享的基礎，持續擴大F-ISAC取得情資的管道，今年增加外部攻擊面管理(EASM)、來自暗網的情資，未來希望增加金融業生態供應鏈、產品資安事件應變小組(PSIRT)、安全漏洞揭露計畫(VDP)的情資，並且加強與國際合作。</p> <p>在精進金融韌性上，過去鼓勵金融業者投入DDoS、紅藍隊攻防演練，以及重大資安事件的情境模擬演練；林裕泰指出，明年開始希望擴大參與的範圍，讓中小型缺乏人力的金融機構也能加入演練，將兩項演練延伸變成體驗營擴大金融機構參與。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-30%20%E4%B8%8B%E5%8D%886_44_33.jpeg" style="width: 600px; height: 333px;" /></p> <p>在金融機構的備援機制部分，加強金融服務備援機制，確保服務的可用性，持續推動金融業者導入國際性營運持續的標準之外，也會針對複合式災難情境建立關鍵服務的多層次備援機制；林裕泰指出，假設金融業者面臨複雜的災難情境，如何在資源有限的情形下，調度資源支持關鍵服務，不只是金融業者自身，也包括金融服務的生態合作夥伴，建立備援協作機制。</p> <p>與先前推動行動方案一樣，金管會為推動金融業者遵循發展藍圖，將召集相關局及單位、公會，制定各項目的推動指標、執行進程，以公私協力、差異化管理、資源共享、增加誘因、國際合作等方式促成金融業者依資安韌性藍圖的目標發展。</p> <p>林裕泰表示，「金融資安韌性發展藍圖」希望提升國內金融業的資安治理成熟及韌性，支撐金融服務的創新及安全落地；在管理面從金融業者擴大到生態圈；技術面則是縮短金融業者遭遇重大資安攻擊事件的平均回復時間(MTTR)。過去金融業的資安防護從事前預防攻擊，轉向遭到攻擊時可以快速應變，快速回復服務。「金融資安韌性發展藍圖」的最終目的是打造安全、可信、可持續創新的臺灣金融生態系。</p> </div></div></div>
2025/12/30 19:06作者蘇文彬https://www.ithome.com.tw/news/173100
Chrome擴充套件Trust Wallet 2.68遭植入惡意程式碼，用戶約7百萬美元資產遭到洗劫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>加密貨幣錢包服務Trust Wallet在12月26日在X<a href="https://x.com/TrustWallet/status/2004316503701958786">發出警示</a>，指出Chrome瀏覽器擴充套件2.68版涉及安全事件，要求使用者立即停用並升級至2.69版，同時強調僅使用行動版應用程式及其他擴充套件版本不受影響。社群隨後陸續出現<a href="https://x.com/Aaleks_crypt/status/2004281742031528262">回報</a>，稱在使用該擴充套件操作後出現未授權轉出，資產在短時間內被清空。</p> <p>區塊鏈資安公司SlowMist<a href="https://slowmist.medium.com/christmas-heist-analysis-of-trust-wallet-browser-extension-hack-bdb35c3cc6dd">分析</a>2.68版被植入的惡意邏輯，其做法是逐一走訪原本存在於擴充套件內的錢包資料，並在使用者解鎖錢包的關鍵時機點動手。當使用者輸入密碼或通行金鑰密碼完成解鎖後，惡意程式碼會觸發取得助記詞的流程，將擴充套件內加密保存的助記詞解密成明文，再把這些敏感資料偽裝成正常的分析或量測流量封裝後送出，目的地則是由攻擊者控制的外部網域。</p> <p>該手法的危險性在於，攻擊者可能不必等待使用者在當下重新匯入助記詞，也不一定需要透過釣魚頁面誘導輸入。SlowMist研究人員指出，惡意邏輯會在使用者解鎖錢包時，利用輸入的密碼或通行金鑰密碼解密並竊取擴充套件內已保存的助記詞或私鑰，使攻擊者得以重建錢包並在鏈上快速執行未授權轉出。</p> <p>Trust Wallet<a href="https://x.com/EowynChen/status/2005042356773638157">已辨識</a>出2,596個受影響錢包地址，攻擊者從近3,000個加密貨幣錢包地址轉走約700萬美元資產，Trust Wallet執行長Eowyn Chen並於X<a href="https://x.com/EowynChen/status/2005408573942104488">表示</a>，內部調查確認這起事件的影響範圍只限於瀏覽器擴充套件2.68版，且曾開啟擴充套件並登入的使用者，行動版應用程式與其他擴充套件版本不受影響。</p> <p>他進一步表示，惡意的2.68版並非透過Trust Wallet內部的人工發布流程釋出。依目前掌握的線索，攻擊者可能利用外洩的Chrome Web Store API金鑰，從外部提交惡意版本以繞過既有發布檢查，相關細節仍在調查中。團隊已向網域註冊商NiceNIC通報並要求停用惡意網域，同時使發布相關的API憑證失效，並表示將在稽核紀錄與調查結果完成驗證後公布完整事後分析。</p> <p>由於Trust Wallet為Binance於2018年收購並持續營運的錢包服務，Binance共同創辦人趙長鵬也在X<a href="https://x.com/cz_binance/status/2004397190819783013">表示</a>，Trust Wallet將負責承擔此次事件造成的損失。</p> </div></div></div>
2025/12/30 18:22作者李建興https://www.ithome.com.tw/news/173096
【資安日報】12月30日，React2Shell漏洞利用活動肆虐，近6萬臺Next.js應用程式伺服器被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173083"><strong style="font-size: 22px;">攻擊行動Operation PCPcat鎖定Next.js應用程式而來，近6萬臺伺服器被入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exploit-nextjs_DO2N-6xH_Z2iJXwI.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/exploit-nextjs_DO2N-6xH_Z2iJXwI.png" style="width: 300px; float: right;" /></a></p> <p>12月初React開發工程團隊揭露及修補重大資安漏洞CVE-2025-55182（React2Shell），此為發生在React Server Components（RSC）元件的漏洞，在公布數小時後就傳出遭到利用，近期有資安公司發現新一波大規模攻擊，並指出駭客成功的機率相當高。</p> <p>AI密罐陷阱平臺Beelzebub揭露名為Operation PCPcat的攻擊活動，駭客針對Next.js應用程式下手，試圖透過React2Shell入侵，並進行大規模憑證收集，經確認兩天內已針對91,505臺進行探測，有59,128臺伺服器受害，漏洞利用活動的成功比例高達64.6%。以每臺伺服器被偷走5至10個憑證來估算，恐有30萬至59萬組憑證外洩。</p> <p>針對這波攻擊活動，駭客從大規模掃描可從網際網路存取的Next.js應用程式網域名稱開始，並透過複雜的命令工具react.py，識別應用程式伺服器是否存在React2Shell並觸發，然後藉由原型汙染（prototype pollution）手法操作JSON有效酬載，執行命令注入，將結果得到的資料，將獲取的資料透過HTTP標頭重新導向手法外傳。駭客搜刮的資料包含系統環境變數、SSH金鑰、雲端憑證、Git儲存庫憑證、重要系統檔案，以及最近下達的100個指令等。</p> <p><a href="https://www.ithome.com.tw/news/173077"><strong style="font-size: 22px;">文字編輯器EmEditor官網安裝檔遭動手腳，駭客以瀏覽器擴充套件建立持久化</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7bd1965a6acac28dc24ed36302ae733a.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7bd1965a6acac28dc24ed36302ae733a.png" style="width: 300px; float: right;" /></a></p> <p>文字編輯器EmEditor開發商Emurasoft在公告指出，官方網站首頁的下載導引疑遭第三方未授權改寫，導致使用者在特定時間區段透過官網下載的Windows安裝套件，可能不是由官方提供的版本，而是被置換的MSI檔。依Emurasoft說法，可能受影響期間為臺灣時間約為12月20日上午至12月23日清晨。</p> <p>Emurasoft目前僅確認64位元安裝套件emed64_25.4.3.msi涉及此事件，官方指出，可疑檔案同樣使用emed64_25.4.3.msi檔名，但檔案大小略為不同，且數位簽章顯示為WALSHAM INVESTMENTS LIMITED。Emurasoft表示，要是簽章不是Emurasoft或雜湊值不符，即可能是遭竄改的檔案，建議不要執行並立即移除。</p> <p>中國資安業者奇安信表示，其團隊捕捉到此事件的後續載荷，指出惡意程式具資訊竊取行為，會蒐集系統資訊與瀏覽器資料，並可能竊取包含VPN設定、Windows登入憑證、瀏覽器Cookies等內容。奇安信也提到，攻擊者可能透過安裝名為Google Drive Caching的瀏覽器擴充套件作為持久化手法。</p> <p><a href="https://www.ithome.com.tw/news/173008"><strong style="font-size: 22px;">MacSync Stealer偽裝合法App，成功通過macOS Gatekeeper防線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/macsync-installer.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/macsync-installer.png" style="width: 300px; float: right;" /></a></p> <p>鎖定macOS的資訊竊取型惡意程式MacSync Stealer，正悄悄改變其投放方式。資安業者Jamf近日揭露，最新觀察到的MacSync Stealer已不再依賴傳統的社交工程終端機指令，而是改以「已完成程式碼簽署與Apple公證」的Swift應用程式作為投放工具，成功通過macOS的Gatekeeper安全檢查。</p> <p>MacSync Stealer的活動至少自2023年開始，主要目標是竊取使用者的瀏覽器帳密、系統資訊以及加密貨幣錢包資料。早期版本多半假冒通訊軟體或系統工具，誘騙使用者將檔案拖入終端機，或依指示貼上一段經過混淆的指令碼。這類手法雖然成功率不低，但行為本身相當可疑，也容易被防毒軟體或企業端點防護機制攔截。</p> <p>然而，Jamf發現新版本的MacSync Stealer在投放策略上出現關鍵轉變。駭客改以Swift開發一個具備合法程式碼簽署，並通過蘋果軟體公證機制（Notarization）的Mac應用程式作為投放工具。該程式被包裝在磁碟映像檔中，外觀與一般合法App無異，使用者只要依照正常安裝流程雙擊執行，便可通過macOS的Gatekeeper安全機制，全程不需要任何終端機操作。</p> <p><a href="https://www.ithome.com.tw/news/172985"><strong style="font-size: 22px;">Firefox附加元件遭攻擊行動GhostPoster入侵，用PNG圖示藏惡意JavaScript程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69412b3d88a020394c89686a_image 1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69412b3d88a020394c89686a_image%201.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Koi Security揭露一波名為GhostPoster的惡意擴充套件攻擊行動，鎖定Firefox附加元件生態系。攻擊者把惡意JavaScript藏進附加元件的PNG圖示檔尾端，在附加元件載入時才讀取與抽出執行，進而在使用者瀏覽器內植入後門與追蹤機制。研究人員統計，相關活動至少涉及17款附加元件，累計安裝量超過5萬次。</p> <p>研究人員先是在名為Free VPN Forever的附加元件中觀察到異常行為。該附加元件會讀取自身logo.png，表面上像是一般載入資源，但程式接著對圖形檔案的原始位元組（Raw Bytes）層級做額外處理，藉此找出被夾帶在檔尾端的程式碼。研究人員指出，審查流程往往更容易聚焦在可執行程式碼檔案，攻擊者因此把第一階段載入器藏在看似無害的圖示檔內，讓圖示正常顯示的同時，也能在附加元件載入時抽出並執行隱藏程式碼。</p> <p>從圖示中抽出的程式碼主要負責連回攻擊者的C2伺服器，再下載真正的惡意載荷。研究人員提到，相關附加元件會透過延後啟動與間歇性連線來躲避偵測，例如在啟動後約每48小時才嘗試建立連線，且僅約10%會實際取回下一階段惡意載荷。</p> <p><a href="https://www.ithome.com.tw/news/172972"><strong style="font-size: 22px;">YouTube幽靈網路新攻勢，以Node.js載入器散布Rhadamanthys竊資程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/I42LDY9E7Y-rId28.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/I42LDY9E7Y-rId28.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Check Point研究人員公開其追蹤的YouTube幽靈網路新一波活動，利用遭入侵的YouTube帳號上架影片，引導觀眾下載遊戲外掛與破解軟體相關檔案，最終在受害Windows電腦散布Rhadamanthys竊資程式。研究人員在感染鏈中辨識出以Node.js撰寫且高度混淆的載入器GachiLoader，並開源一套用於動態追蹤Node.js惡意程式行為的分析工具Nodejs-Tracer。</p> <p>這波YouTube幽靈網路活動由遭入侵帳號發布影片，內容以外掛與破解器等題材吸引特定族群點擊。影片說明欄會提供壓縮檔密碼，而且，常指示使用者關閉Windows Defender，研究人員統計，與此活動相關的影片超過百支，累積約22萬次觀看，分散在39個遭入侵帳號，第一支影片上傳時間為2024年12月22日，研究人員研判這波活動已持續一段時間。</p> <p>GachiLoader在部分樣本中會散布第二階段載入器Kidkadi，並觀察到一種過去未見公開文件完整描述的可移植的可執行檔注入作法。研究人員將其稱為Vectored Overloading，核心概念是利用向量化例外處理機（Vectored Exception Handling）配合硬體斷點（hardware breakpoint機制，在載入合法動態連結函式庫DLL的流程中，誘導Windows載入器把原本應載入的映像檔對應到記憶體中的惡意內容。研究人員也釋出概念性驗證程式，供研究社群理解這項手法並用於測試偵測能力。</p> <p><a href="https://www.ithome.com.tw/news/172533"><strong style="font-size: 22px;">.NET 10統一建置架構，加快安全修補與版本發布節奏</strong></a></p> <p>微軟在.NET 10正式版中導入新的統一建置架構（Unified Build），重整產品建置與發行流程，讓版本更新與安全修補的速度與可預測性大幅提升。官方提到，這項改造是.NET團隊近4年投入基礎建置工作的成果，結合原先Linux原始碼建置經驗，目標是簡化多儲存庫開發造成的建置延遲與維護負擔。</p> <p>統一建置架構採用虛擬單一儲存庫（Virtual Monolithic Repository，VMR）技術，將原本分散的程式碼整合為統一原始碼版面（Source Layout）。開發者仍可在各自儲存庫作業，但正式建置只依VMR內容進行，確保所有版本源自單一提交點，該方法不僅減少協調與相依項目更新的時間，也提升整體一致性。</p> <p>該架構改採垂直建置（Vertical Build）概念，每個垂直建置負責特定平臺與堆疊，像是Windows x64或Linux Arm64，能以單一命令在單機完成，如此降低跨平臺相依性，使建置流程更單純。部分跨平臺元件仍需額外建置階段處理，但整體效率已大幅改善。</p> <p><a href="https://www.ithome.com.tw/news/173007"><strong style="font-size: 22px;">Google在臺解析Passkey技術新進展，展示Credential Manager強化功能，降低開發者導入門檻</strong></a></p> <p>在12月初舉行的FIDO Taipei Seminar 2025研討會上，FIDO聯盟在臺公布Passkey最新成果，同時指出現階段仍有3大關鍵課題需持續突破。特別的是，現場亦有Google專家解析其Credential Manager的研發成果與最新進展，協助開發者與企業精準掌握實務發展方向。</p> <p>對於如何持續優化Passkey的使用者體驗、朝向整體安全設計？持續是開發者與企業在身分驗證設計上的共同關注焦點。在這場研討會中的一場演說中，Google開發人員倡議者Eiji Kitamura，以及Google資深開發者關係工程師暨FIDO印度工作小組主席Niharika Arora，兩人談及Google在這方面的最新發展與規畫。</p> <p>針對相關規畫與發展方向，大致可歸納為三項重點，首先是推出整合Passkey的Credential Manager；再者，透過自動建立與復原機制，來促進Passkey應用普及；而對於全新進展的部分，Google正著手導入憑證可攜與更強電話驗證。</p> <p><a href="https://www.ithome.com.tw/news/173065"><strong style="font-size: 22px;">安碁設立AI專責管理單位，投入生成式AI應用研發</strong></a></p> <p>近期許多大公司開始裁員，因為有研究顯示將近12％的工作是AI可以取代的，而且比例越來越高，但吳乙南強調，資安的人力永遠都是缺乏的，他們之所以採用AI，並不是為了減少人力，臺灣的資安人力缺口超過兩萬人，因此，他們關注如何讓同仁工作更有效率，節省的人力可轉作更多創新服務。</p> <p>在對外提供的資安服務方面，安碁資訊正在發展AI應用的資安健檢，目前已經開始有客戶進行這樣的檢測，因為客戶都希望導入AI的時候，能有一些預防機制。而在AI檢測作業的執行上，他們會依據OWASP公布的十大風險進行，每個風險都有一些檢測工具，用完後需要人為判別，吳乙南表示，安碁2025年在某家銀行已經做了第一個案例，後續的資安檢測，包含一般系統與網路的弱點掃描、滲透測試、紅隊演練、入侵及攻擊模擬演練、雲端資安檢測，後續AI檢測也是重點發展業務。</p> <p>CyberSage是聚焦資安領域的AI大腦，比起通用的LLM更能理解資安術語、攻擊鏈邏輯與減少幻覺，能在資安任務的處理展現顯著優勢。根據安碁的內部測試， CyberSage的理解與任務拆分精準度可達到100％，GPT-4o-mini則是86.47％，領先幅度為13.53；而在運算資源效率（每個問題消耗的詞元總量）上，CyberSage比GPT-4o-mini少了46.75％。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/iran-apt-spying-dissidents">伊朗駭客Prince of Persia鎖定伊拉克、土耳其、印度、歐洲及加拿大人士長期監控</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-state-hackers-use-rootkit-to-hide-toneshell-malware-activity/">中國駭客透過rootkit程式從事活動，目的是隱匿利用資安漏洞ToneShell的行為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186290/cyber-crime/romanias-oltenia-energy-complex-suffers-major-ransomware-attack.html">羅馬尼亞能源公司Oltenia遭勒索軟體攻擊，大型發電廠資訊系統停擺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186275/data-breach/korean-air-discloses-data-breach-after-the-hack-of-its-catering-and-duty-free-supplier.html">韓國航空傳出資料外洩，起因是餐飲及免稅供應商KC&D遭駭</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coupang-to-split-117-billion-among-337-million-data-breach-victims/">針對大規模資料外洩事故，酷澎宣布將賠償11.7億美元</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173078"><strong>【12月29日】MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173061"><strong>【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> </div></div></div>
2025/12/30 12:10作者周峻佑https://www.ithome.com.tw/news/173087
中國數位人民幣將在2026年邁向存款貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國人民銀行副行長<a href="https://www.cf40.org.cn/article/1/289233" target="_blank">陸磊於中國金融時報上指出</a>，2026年1月1日將實施新一代數位人民幣（e-CNY）的政策，數位人民幣將由現金型1.0版，升級為存款貨幣型2.0版。這次調整並非改變民眾的支付方式，而是重新界定數位人民幣在金融體系中的制度角色。</p> <p>在新制度下，部分數位人民幣將在銀行體系內以帳戶方式管理，具備商業銀行負債屬性，並可依法計付利息、納入準備金與存款保險體系。這代表數位人民幣在制度上不再僅是電子形式的現金，而是在特定情況下，開始接近銀行存款的管理邏輯，被視為數位人民幣邁入2.0階段的關鍵變化。</p> <p>中國人民銀行是在2014年成立專責團隊來研究數位貨幣，在2016年確定由央行（中國人民銀行）發行及商業銀行參與的營運模式，在2019年與2020年開始於深圳及蘇州等地展開數位人民幣的封閉測試，之後迄今即在中國各地擴大測試並展開跨境測試。</p> <p>此外，中國央行也在2022年推出數位人民幣錢包App，用戶可透過手機號碼與App中建立數位人民幣錢包，包括匿名制與實名制錢包，後者可直接連接銀行進行充值與提現，之後即可用來支付、收款及轉帳。迄今已有2.3億人註冊數位人民幣錢包，有超過1,800萬個組織或商家註冊數位人民幣錢包App，累積交易筆數為34.8億筆，交易金額為16.7兆元人民幣。</p> <p>中國雖然已將數位人民幣定位為法定貨幣，但尚未進入全面制度化運作，新制度的落地是否會因此加速推廣，仍得觀察銀行體系與實際應用場景的配合情況而定。</p> </div></div></div>
2025/12/30 14:22作者陳曉莉https://www.ithome.com.tw/news/173095
供應鏈攻擊瞄準Java生態，套件儲存庫Maven Central出現仿冒Jackson惡意套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Aikido Security研究人員在Java生態常用的公開套件儲存庫Maven Central，<a href="https://www.aikido.dev/blog/maven-central-jackson-typosquatting-malware">發現一個仿冒Jackson的惡意套件</a>，其唯一識別字串為org.fasterxml.jackson.core:jackson-databind，字串刻意貼近開發者熟悉的Jackson相依套件，藉此誘騙下載惡意元件。研究人員已將相關網域通報給GoDaddy並向Maven Central回報，該套件也約在1.5小時內下架。</p> <p>正牌Jackson常見發布命名空間為com.fasterxml.jackson.core，攻擊者則改用僅一字之差的org.fasterxml.jackson.core，利用com與org前綴互換混淆視聽。研究團隊也觀察到攻擊基礎設施採用相同手法，以fasterxml.org對照正牌fasterxml.com，降低開發者在倉促檢視時察覺異常的機率。 </p> <p>冒牌Jackson為具多階段投放特徵的下載器，其程式碼經混淆處理，並包含用來干擾自動化分析的設計。當專案採用Java應用程式開發框架Spring Boot時，惡意套件會偽裝成框架常見的自動設定元件，利用啟動時的掃描與載入流程，在應用程式啟動後自動觸發執行，開發者不需要在程式碼中主動呼叫即可被帶入執行路徑。 </p> <p>一旦觸發後，惡意程式會連線至攻擊者控制的C2端點下載設定，再依作業系統下載對應的可執行檔並在本機執行，並建立特定檔案作為標記，降低重複執行時被察覺的機會。研究人員在分析中強調，攻擊者刻意提供跨平臺投放能力，並以多層混淆與加密字串增加逆向成本。 </p> <p>研究人員將其取得Linux與macOS的樣本後提交至VirusTotal，多數偵測引擎將其辨識為Cobalt Strike的Beacon程式。Cobalt Strike原本是商用滲透測試工具，常被攻擊者挪作遠端控制與後續滲透的工具，研究人員提醒，這類惡意載荷如果被辨識為Cobalt Strike Beacon，往往意味著攻擊者具備遠端控制與後續滲透的能力，攻擊目的也可能不只停留在一次性行為。</p> </div></div></div>
2025/12/30 14:29作者李建興https://www.ithome.com.tw/news/173092
Meta買下AI代理人開發商Manus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.facebook.com/business/news/manus-joins-meta-accelerating-ai-innovation-for-businesses" target="_blank">Meta周一（12/29）宣布</a>，已買下AI代理人開發商Manus，以加速企業的人工智慧創新，雙方並未揭露交易金額，但外傳這起交易價值數十億美元。</p> <p>Manus現身於<a href="https://www.ithome.com.tw/news/167762" target="_blank">今年3月</a>，當時是由該公司科學長季逸超所發表，定位為全球首個通用AI代理，可直接結合概念與執行並交付成果。<a href="https://manus.im/zh-tw/blog/manus-joins-meta-for-next-era-of-innovation" target="_blank">Manus表示</a>，其AI代理人可協助用戶高效完成研究、自動化與複雜任務，迄今Manus已處理逾147兆個Token，建立了超過8,000萬臺的虛擬計算機。</p> <p>在併入Meta之後，Manus將繼續透過App及網站替用戶提供產品及訂閱服務，而且公司將繼續於新加坡經營。</p> <p>根據中國媒體<a href="https://www.latepost.com/news/dj_detail?id=3344" target="_blank">LatePost的報導</a>，Manus的母公司其實是肖弘在2022年所創辦的蝴蝶效應（Butterfly Effect Technology），該公司的首款產品為<a href="https://monica.im/" target="_blank">Monica AI</a>瀏覽器聊天機器人擴充程式，第二個產品才是Manus。</p> <p>LatePost還說，Meta買下的是蝴蝶效應，且蝴蝶效應正以20億美元的估值進行新一輪的融資，因此該收購案應價值數十億美元。未來蝴蝶效應將維持獨立運作，但肖弘將出任Meta副總裁。</p> </div></div></div>
2025/12/30 13:36作者陳曉莉https://www.ithome.com.tw/news/173091
軟銀以40億美元收購數位基礎設施資產管理公司DigitalBridge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本軟體銀行（SoftBank Group，軟銀集團）周一（12/29）<a href="https://group.softbank/en/news/press/20251229" target="_blank">宣布</a>，已簽署正式協議，將以每股16美元、總價約40億美元收購數位基礎設施資產管理公司DigitalBridge，以實現人工超級智慧（Artificial Super Intelligence，ASI），推動人類福祉。雙方預計於2026年下半年完成交易。</p> <p>DigitalBridge於2007年在美國創立，為一專注於數位基礎設施的全球資產管理公司，替投資人管理及經營資料中心、行動通訊基地臺、光纖網路、小型基地臺，以及邊緣運算基礎設施，定位為支撐雲端運算、行動通訊，以及AI應用的底層關鍵資產平臺。</p> <p>DigitalBridge的營收核心為資產管理費用，<a href="https://ir.digitalbridge.com/static-files/5e500891-a729-4eaf-8c14-c789699437f7" target="_blank">今年第三季的營收</a>為9,350萬美元，全來自資產管理，比去年同期成長22%。收購消息一出，DigitalBridge當天股價即上漲了9.63%，以15.26美元作收。</p> <p>軟銀董事長暨執行長孫正義表示，隨著AI重塑全球各行各業，人們需要更多的運算能力、連線能力、電力，以及可擴展的基礎設施。DigitalBridge是數位基礎設施領域的領導者，這項收購將強化次世代AI資料中心的基礎，推進軟銀成為領先ASI平臺供應者的願景。</p> <p>DigitalBridge執行長Marc Ganzi則說，AI基礎設施是這一代最重要的投資，軟銀與DigitalBridge都是屬於長期投資人，致力於擴展具轉型性的數位基礎設施。</p> <p>自從2022年底的ChatGPT吹響了AI號角之後，軟銀即開始系統性部署AI版圖，包括2024年加碼投資OpenAI，於2025年與OpenAI及甲骨文共同啟動Stargate計畫，並進一步收購DigitalBridge。未來 DigitalBridge將提升軟銀集團在全球發掘、融資、營運與擴展數位基礎設施投資機會的能力，協助確保大規模AI所需的關鍵產能。</p> </div></div></div>
2025/12/30 13:52作者陳曉莉https://www.ithome.com.tw/news/173093
3,370萬用戶資料外洩酷澎將賠償11.7億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對12月初的3,370萬用戶資料外洩事件，韓國最大電商平臺<a href="https://www.aboutcoupang.com/English/news/news-details/2025/update-on-coupang-korea-cybersecurity-incident/" target="_blank">酷澎（Coupang）本周一宣布</a>，將對受影響的用戶以購物券形式賠償，總價達1.685兆韓圓（約11.7億美元，368億臺幣）。酷澎並報告本案調查進度。</p> <p>這筆費用預計從2026年1月15日起發放，適用受影響的3,370萬用戶。適用者涵括11月30日以前接到通知的用戶包括WOW及非WOW會員，也包含曾取消會員籍但收到通知的前用戶。經過平分，平均每人可獲得5萬韓圓（1,092臺幣）。酷澎也會陸續以簡訊通知相關的用戶。</p> <p>這筆費用將全部以4種購物券／折價券形式發放，包括酷澎電商平臺5,000韓圓、酷澎美食外送（Coupang Eats）5,000韓圓、酷澎旅遊（Coupang Travel）2萬韓圓、酷澎高階美妝（Coupang R.LUX）2萬韓圓。</p> <p>酷澎臨時執行長Harold Rogers再次致歉，並表示，該公司將把此事件視為轉捩點，Coupang本著「以客為中心」原則，貫徹責任，轉型為顧客值得信賴的公司。</p> <p>此事發生在11月底，酷澎連同韓國執法機構及資安公司調查，並揭露資料外洩案，估計受影響人數為3,370萬人。<a href="https://www.ithome.com.tw/news/172807" target="_blank">此事造成</a>酷澎執行長朴大俊（Park Dae-jun）請辭，由行政長和法務長Harold Rogers為臨時執行長。首爾警方亦搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。</p> <p>根據韓國媒體報導，警方的搜索狀指向一名中國籍前員工涉嫌從6月間就已違法存取酷澎通訊網路及資訊系統。</p> <p>酷澎上周說明，已在執法機關建議下，於本月中與洩密者會面並繳回證物。該公司在附近河中尋回洩密者丟棄的MacBook Air筆記型電腦，使用鑑識團隊回復資料，連同硬碟和桌機，以及嫌犯三份自白書和指紋證件都交給韓國當局。</p> </div></div></div>
2025/12/30 14:06作者林妍溱https://www.ithome.com.tw/news/173094
密碼管理公司LastPass資料外洩影響延燒迄今，俄羅斯駭客疑竊取2,800萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2022年密碼管理工具開發商LastPass爆發資料外洩事件，<a href="https://www.trmlabs.com/resources/blog/trm-traces-stolen-crypto-from-2022-lastpass-breach-on-chain-indicators-suggest-russian-cybercriminal-involvement" target="_blank">資安業者指出</a>，事件負面影響持續延燒到2025年，仍然對用戶造成近3,000萬美元金錢損失，而俄羅斯駭客可能是背後元兇。</p> <p>2022年一群駭客駭入LastPass內部系統造成將近3,000萬用戶管理庫（vault）的敏感憑證，包括加密金鑰和確保加密貨幣錢包的種子密語（seed phrases）備份曝露。而這些資產外洩遺害到今天。</p> <p>資安廠商TRM Labs指出，這些憑證雖然經過加密，一開始攻擊者沒有用戶的主密碼可能無法讀取，但他們可以整批下載，任何使用弱主密碼的管理庫最後都會被離線破解，使得單一入侵事件演變成多年破口，讓攻擊者慢慢破解密碼、存取加密貨幣錢包悄悄提款。</p> <p>TRM研究人員分析2024和2025年的電子錢包的外洩金流，發現是俄羅斯駭客操作的網路犯罪。他們發現有人透過混幣器（mixer）存取受害者加密貨幣錢包進行混幣和洗錢行為，這階段運作和俄羅斯基礎架構有多次互動，而加密貨幣出金（off-ramps）也是使用高風險的俄羅斯交易平臺，因此判斷近兩年竊取財務活動和俄國駭客的關聯性。研究人員估計近兩年2024年底到2025年初LastPass用戶被竊走的加密貨幣被轉成比特幣，再經由Wasabi Wallet洗錢，總資產超過2,800萬美元。</p> <p>LastPass資安防護不周已引發用戶<a href="https://www.ithome.com.tw/news/155011" target="_blank">集體控告</a>。英國隱私主管機關英國資訊委員會辦公室（Information Commissioner's Office，ICO）則基於160萬英國用戶個資外洩，在2025年12月初<a href="https://www.ithome.com.tw/news/172867" target="_blank">判罰</a>LastPass 120萬英鎊。</p> </div></div></div>
2025/12/30 13:08作者林妍溱https://www.ithome.com.tw/news/173089
日本使用AI物聯網攝影機建立熊蹤通報系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2025年熊害造成日本人員牲畜死傷與農作損失，近日正在熊出沒嚴重地區部署AI攝影機以加強辨識。</p> <p>這套系統名為「熊隻AI自動偵測暨通報系統」（英文名為AI-Based Automatic Detection and Notification System for Harmful Animals），簡稱Bear Alert，是由<a href="https://www.rikuden.co.jp/kenkyu/attach/joho15.pdf" target="_blank">北陸電力內部研究所開發</a>。</p> <p>日本並非今年才有熊害。2020年日本亞洲黑熊出沒件數約2萬件，並傳出傷人事件，因此廠商在2021年已完成這套系統開發及測試。</p> <p>這套系統結合連網攝影機、邊緣AI及行動網路。架設在熊出沒頻繁山區林間的連網攝影機蒐集周遭動物影像，將影像傳送回位於各地站點的小型電腦，由AI判讀是否為熊，或是野豬、猴子、鹿等其他動物。一旦判讀為熊，系統會將照片透過電子郵件發送到當地市政府等相關單位，以便即時採取行動。根據廠商宣稱，系統使用的AI模型判讀精度達99%，因此可協助提早30分鐘發送居民避難警告。</p> <p>日本<a href="https://english.kyodonews.net/articles/-/67340" target="_blank">京都新聞報導</a>，目前這套系統已安裝到日本北陸地區包括群馬縣、富山縣和石川縣等熊出沒高風險地區。</p> <p>另一方面，日本也有<a href="https://www.scmp.com/news/asia/east-asia/article/3337153/japanese-drone-school-develops-ai-system-track-bears-amid-rise-encounters" target="_blank">無人機學校</a>或行動電信業者<a href="https://www.japantimes.co.jp/news/2025/12/01/japan/japan-drone-use-for-bear-measures/" target="_blank">NTT Docomo</a>開發無人機AI偵測系統，部署在秋田縣、福島縣等地偵查熊蹤。</p> <p> </p> </div></div></div>
2025/12/30 13:13作者林妍溱https://www.ithome.com.tw/news/173090
攻擊行動Operation PCPcat鎖定Next.js應用程式而來，近6萬臺伺服器被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月初React開發工程團隊揭露及修補滿分資安漏洞CVE-2025-55182（React2Shell），此為發生在React Server Components（RSC）元件的漏洞，在公布數小時後就傳出遭到利用，近期有資安公司發現新一波大規模攻擊，並指出駭客成功的機率相當高。</p> <p>AI密罐陷阱平臺Beelzebub揭露<strong><a href="https://beelzebub.ai/blog/threat-huntinga-analysis-of-a-nextjs-exploit-campaign/">名為Operation PCPcat的攻擊活動</a></strong>，駭客針對Next.js應用程式下手，試圖透過React2Shell入侵，並進行大規模憑證收集，經確認兩天內已針對91,505臺進行探測，有59,128臺伺服器受害，漏洞利用活動的成功比例高達64.6%。以每臺伺服器被偷走5至10個憑證來估算，恐有30萬至59萬組憑證外洩。</p> <p>針對這波攻擊活動，駭客從大規模掃描可從網際網路存取的Next.js應用程式網域名稱開始，並透過複雜的命令工具react.py，識別應用程式伺服器是否存在React2Shell並觸發，然後藉由原型汙染（prototype pollution）手法操作JSON有效酬載，執行命令注入，將結果得到的資料，將獲取的資料透過HTTP標頭重新導向手法外傳。駭客搜刮的資料包含系統環境變數、SSH金鑰、雲端憑證、Git儲存庫憑證、重要系統檔案，以及最近下達的100個指令等。</p> <p>最終駭客部署完整的C2通訊基礎設施，其中包括：SOCKS5代理伺服器工具GOST、反向隧道Fast Reverse Proxy（FRP），以及React主機掃描工具。此外，駭客也透過建立systemd服務、運作異常時自動延遲啟動，以及重開機後有效酬載仍會留存等機制，企圖維持在受害伺服器活動。</p> </div></div></div>
2025/12/30 10:40作者周峻佑https://www.ithome.com.tw/news/173083
中國駭客組織Evasive Panda透過AiTM網釣與DNS中毒，對土耳其、中國、印度散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國駭客組織Daggerfly（別名Evasive Panda或StormBamboo）去年曾對臺灣發動攻擊，現在又傳出新一波活動，引起外界關注。</p> <p>資安公司卡巴斯基揭露這些駭客自2022年11月開始從事的高度針對性攻擊，<strong><a href="https://securelist.com/evasive-panda-apt/118576/">他們針對土耳其、中國，以及印度特定目標從事對手中間人攻擊（AiTM）</a></strong>，並採用一系列的複雜手法來進行，持續到2024年11月才結束。其中最引起該公司注意的地方，在於駭客將惡意軟體的加密元件另外存放於伺服器上，而相關元件的用途，就是解析特定網站的DNS請求。再者，這些駭客開發新的惡意程式載入工具，並採用混合加密手法，因此，所有植入受害系統的惡意程式檔案都不同。駭客打造專屬的注入工具，並以DLL側載手法，讓惡意程式MgBot注入合法處理程序，並在記憶體內執行。</p> <p>這些駭客擅長將作案工具偽裝成熱門應用程式的更新，來當作引誘使用者上當的誘餌，這波活動也不例外，其中一個是冒充視訊串流應用程式搜狐影音加速器（SohuVA）的更新程式，然後傳送惡意軟體。卡巴斯基認為，駭客疑似使用DNS中毒攻擊（DNS Poisoning）手法，竄改攻擊者控制的伺服器DNS回應。除了搜狐影音加速器，也有將惡意程式偽裝成愛奇藝、IObit Smart Defrag，以及騰訊QQ等中國熱門應用程式的情況。由此看來，這波活動很顯然主要針對中國使用者而來。</p> <p>針對惡意程式載入工具，卡巴斯基指出是採用Windows範本程式庫（Windows Template Library，WTL）與C++打造而成，程式碼與微軟WTL範例應用程式有極高度的相似性，因此他們推測，駭客疑似事先在正牌專案嵌入惡意程式碼，使得他們的作案工具能夠隱藏攻擊意圖。</p> <p>此載入工具採用以XOR演算法為基礎的機制解密MgBot，然後透過多階段Shell Code執行的手法，並透過PJW雜湊值演算法，而能在執行的過程當中，同時以隱密的方式解析Windows的API，以此從特定DAT檔案解密資料，或是從攻擊者的伺服器啟動下個階段的Shell Code部署工具。此時他們也確認受害電腦執行的Windows版本，以便下載對應的惡意程式。</p> <p>接著，駭客還會運用另一個惡意程式載入工具，並將其偽裝成合法的Windows程式庫，用於執行更隱密的惡意程式載入機制，它仰賴具有合法簽章的執行檔evteng.exe，並接收現有模組的完整路徑，寫入特定檔案。卡巴斯基推測，這很有可能是駭客正在打造的新版工具。</p> </div></div></div>
2025/12/30 11:58作者周峻佑https://www.ithome.com.tw/news/173085
Airoha藍牙音訊晶片曝三漏洞，可能讓攻擊者控制耳機並冒充連上手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究人員Dennis Heinze與Frieder Steinmetz<a href="https://insinuator.net/2025/12/bluetooth-headphone-jacking-full-disclosure-of-airoha-race-vulnerabilities/">公開</a>Airoha藍牙音訊系統單晶片相關研究的完整技術細節，指出多款採用Airoha SoC的藍牙耳機與真無線耳機，可能因三項漏洞被攻擊者在藍牙距離內濫用，不只可能影響耳機本身，還可能在特定條件下進一步冒充耳機與使用者手機建立受信任連線，衍生出竊聽與通話操控等風險。</p> <p>該研究重點在於CVE-2025-20700、CVE-2025-20701與CVE-2025-20702三項漏洞。前兩者與低功耗藍牙與經典藍牙在部分裝置上，未強制要求已配對裝置才能連線或存取服務有關，使攻擊者在附近即可嘗試連接並互動。</p> <p>CVE-2025-20702進一步指向自訂RACE協定的高風險能力，研究團隊指出該協定原本用於工廠測試或除錯，卻可能透過藍牙通道被外界存取，並提供讀寫RAM與快閃記憶體等能力，讓攻擊面從一般音訊控制，擴大到資料擷取與持久性改寫。</p> <p>最直接的可見風險是耳機在未預期狀態下被第三方連線，當攻擊者能以經典藍牙建立免持通話相關連線，就可能啟用耳機麥克風進行收音，不過由於在實務上可能伴隨音樂中斷或連線被搶占，使用者有機會察覺異常。相較之下，低功耗藍牙常見於裝置對外廣播與背景連線，連線建立對使用者更不容易被感知，較容易成為切入點。</p> <p>另一種更受關注的串連路徑，是攻擊者先在藍牙距離內連上耳機，再利用RACE協定從耳機快閃記憶體等儲存內容取得配對相關資訊，當中可能包含手機與耳機用來互相辨識的藍牙連結金鑰。研究團隊指出，攻擊者如果能同時取得該金鑰，並偽裝成同一副耳機的藍牙位址，就可能在不再接觸耳機的情況下冒充耳機連回手機，以受信任周邊裝置身分觸發免持通話指令或存取部分資訊。</p> <p>Airoha已提供軟體開發套件更新給其客戶作為緩解措施，但最終修補狀況，仍取決於各耳機品牌是否透過韌體更新推送到使用者端，以及各家是否公開說明修補狀態。</p> <p>研究團隊建議一般使用者優先確認耳機韌體是否已更新到最新版本。當手機保留大量不再使用的藍牙配對紀錄，也可主動清理以縮小可能外洩的受信任連線範圍。研究團隊另提醒，使用者身分屬於高風險族群，或工作情境對近距離監聽特別敏感，可在重要場合改用有線耳機。</p> </div></div></div>
2025/12/30 08:49作者李建興https://www.ithome.com.tw/news/173080
三星手機Bixby助理可能將整合Perplexity AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>三星近年已經用Gemini取代自己的手機助理Bixby，不過最近釋出的軟體測試版顯示，三星可能引進Perplexity AI來強化Bixby。</p> <p>12月初三星釋出手機軟體<a href="https://news.samsung.com/tw/%E4%B8%89%E6%98%9Fone-ui-8-5-beta%E5%B0%87%E6%98%93%E7%94%A8%E6%80%A7%E6%8F%90%E5%8D%87%E8%87%B3%E5%B6%84%E6%96%B0%E5%A2%83%E7%95%8C" target="_blank">One UI 8.5 Beta</a>。當中包含升級版AI功能「相片智慧助理」，能為使用者生成新相片或圖片。至於回覆使用者問題的AI助理三星並未著墨。這是因為Bixby使用率並不高。事實上三星2025年初的<a href="https://tech.yahoo.com/phones/articles/samsung-replaced-bixby-gemini-no-113221606.html" target="_blank">One UI 7</a>已經用Google Gemini取代Bixby。</p> <p>但是一名使用者在<a href="https://x.com/achultra/status/2004884916161704262" target="_blank">UI 8 Beta</a>中發現到，Bixby悄悄改進了，現在它在回覆複雜問題時會查詢Perplexity，由其提供自然語言回應，以及更完整的答案。<a href="https://samsung.gadgethacks.com/news/samsung-bixby-gets-perplexity-ai-boost-in-one-ui-85/" target="_blank">例如</a>用戶詢問天氣時，它不僅提供氣溫，還能建議穿著。</p> <p><a href="https://www.androidauthority.com/samsung-bixby-renew-perplexity-ai-3628037/" target="_blank">媒體認為</a>這顯示三星可能希望借引進第三方AI之力重振Bixby旗鼓，一如蘋果在macOS及iOS平臺引入OpenAI ChatGPT實作Apple Intelligence。兩者合作，由Bixby控制硬體及系統運作，而Perplexity則負責對話經驗及資訊蒐集與研究。<a href="https://dataconomy.com/2025/12/29/samsung-bixby-gains-perplexity-ai-search-powers-in-new-update/" target="_blank">媒體推測</a>，最早整合Perplexity的三星手機可能會是下一代旗艦機Galaxy 26系列。</p> <p>在Galaxy手機之前，三星的其他產品包括<a href="https://www.sammobile.com/news/you-can-now-talk-to-ai-powered-bixby-on-your-2025-samsung-tv/" target="_blank">智慧電視</a>已經整合了Perplexity AI。Perplexity本周<a href="https://www.perplexity.ai/page/lg-and-samsung-preview-competi-n1z_sQwzRcanHTronDIZ.w" target="_blank">宣布</a>將進駐三星和LG智慧家電，並在2026年消費電子大展（CES）亮相。</p> <p>但三星應該並未放棄Google Gemini而全押注Perplexity。三星<a href="https://tech.yahoo.com/ai/gemini/articles/samsung-putting-gemini-fridge-itll-100900323.html" target="_blank">宣布</a>預定在明年CES上展出首個整合Google Gemini的智慧冰箱。</p> </div></div></div>
2025/12/30 09:00作者林妍溱https://www.ithome.com.tw/news/173081
【資安日報】12月29日，MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173071"><strong style="font-size: 22px;">8.7萬臺MongoDB主機曝露MongoBleed，傳出已有實際漏洞利用活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G9DitlgXEAI-h2z.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G9DitlgXEAI-h2z.png" style="width: 300px; float: right;" /></a></p> <p>12月19日MongoDB開發工程團隊發布8.2.3、8.0.17、7.0.28、6.0.27、5.0.32，以及4.4.30版重大更新，修補高風險漏洞CVE-2025-14847（MongoBleed），問題在於MongoDB伺服器的zlib實作，有機會造成未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5分，如今有資安公司與研究人員公布更多細節，並警告已有實際攻擊活動。</p> <p>針對這項漏洞會帶來的影響，軟體供應鏈安全公司OX Security最早公布細節，指出未經身分驗證的攻擊者可從MongoDB伺服器的記憶體洩露敏感資料，過程中完全不需要登入。他們可藉由發送惡意網路封包，觸發zlib元件的缺陷，從而截取部分私有資料片段，其中包括使用者資訊、密碼，以及API金鑰。</p> <p>Elastic資安團隊研究員Joe Desimone公布概念驗證（PoC）程式碼，並指出CVE-2025-14847發生的原因，就是在zlib解壓縮訊息的過程，導致攻擊者能從MongoDB洩露資料，由於與2014年爆發的OpenSSL嚴重漏洞Heartbleed（CVE-2014-0160）類似，他將CVE-2025-14847稱作MongoBleed。</p> <p><a href="https://www.ithome.com.tw/news/173076"><strong style="font-size: 22px;">電玩遊戲虹彩六號傳出被滲透，駭客大撒幣與隨機封帳，疑利用資安漏洞MongoBleed得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G9LXfNPXQAE82on.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G9LXfNPXQAE82on.jpg" style="width: 300px; float: right;" /></a></p> <p>一週前MongoDB開發工程團隊推出重大更新，修補資訊洩露漏洞CVE-2025-14847（MongoBleed），許多資安公司與研究人員紛紛提出警告，以及公布細節，並指出有人利用概念驗證（PoC）程式碼，嘗試觸發漏洞的跡象。然而，在這段期間，有遊戲公司的伺服器傳出可能因此遭駭的消息，成為第一個公開遭到此漏洞攻擊的受害者，這種罕見的情況，成為外界關注的焦點。</p> <p>根據資安新聞網站Bleeping Computer與Cyber Security News、多家科技新聞網站與遊戲新聞網站的報導，Ubisoft公司旗下的電玩大作《虹彩六號：圍攻行動（Tom Clancy's Rainbow Six Siege）》，傳出遊戲伺服器遭到駭客入侵並接管的情況，不少玩家發現自己的帳號被存入大量的遊戲代幣，並解鎖原本需付費的特殊造型，駭客也濫用遊戲的管理系統封鎖許多帳號，其中包含許多玩家及Ubisoft官方帳號。有資安研究團隊認為，攻擊者就是利用MongoBleed而得逞。</p> <p>對此，資安研究團隊VX-Underground透露，總共有4組人馬表明他們對虹彩六號的系統下手，其中的第一組人馬，是利用該遊戲的漏洞，封鎖玩家並竄改道具內容，這些駭客向玩家送出的遊戲代幣，價值達到339兆9,600億美元，不過，他們並未存取用戶的資料。</p> <p><a href="https://www.ithome.com.tw/news/173067"><strong style="font-size: 22px;">勒索軟體Everest駭客宣稱入侵美國汽車大廠克萊斯勒，從Salesforce等內部系統竊得1 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" style="width: 300px; float: right;" /></a></p> <p>操作勒索軟體Everest的駭客組織在聖誕節當天，於暗網網站宣告成功入侵美國汽車大廠克萊斯勒（Chrysler）內部系統，竊走超過1 TB資料。</p> <p>根據媒體發現的公告，遭駭客存取的資料庫內含1088 GB資料，當中包含超過105 GB的Salesforce資料夾。資料庫內為2021年到2025年聖誕節的資料，像是個人資料，如姓名、電話號碼、地址和電子郵件位址、客服人員工作記錄如召回事件筆記、聯繫紀錄（如語音留言、失聯、電話號碼有誤）、以及汽車狀態（如已銷售、維修、找不到車主）、開會預約等。駭客還公布數張Salesforce資料螢幕擷圖作為證明，顯示內部FTP檔案路徑、內部工具、經銷商名冊、召回方案等，以及包含員工姓名、工作狀態的人力資源（HR）資料。</p> <p>目前無法確定犯案時間，以及影響克萊斯勒哪個部門或地區的內部資料，或是本案和早前另一件母公司Salesforce資料外洩是否有關。克萊斯勒母公司跨國汽車業巨擘Stellantis集團九月也曾公告遭駭，外洩北美客戶資料。ShinyHunters向Bleeping Computer表示，宣稱從Stellantis的Salesforce竊走超過1,800萬筆紀錄，包含姓名、聯絡資訊等。</p> <p><a href="https://www.ithome.com.tw/news/173072"><strong style="font-size: 22px;">駭客聲稱竊得Wired資料庫，洩露230萬筆記錄</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，有人聲稱成功駭入媒體集團康泰納仕（Condé Nast），並且公開旗下雜誌Wired包含230萬筆訂戶記錄的資料庫，還預告會再公布更多用戶資料。</p> <p>使用代號Lovely的人士在聖誕節在駭客論壇上張貼公告，邀請眾人下載Wired的資料庫。他聲稱這個媒體集團不在乎用戶資料安全，害駭客花了一個月說服其修補網站漏洞。</p> <p>根據Have I Been Pwned分析，外洩的Wired資料期間為1996年4月到2025年9月，外洩資料型態包括訂閱戶ID、電子郵件地址、顯示的名稱，少部份用戶還被洩露姓名、電話、出生日期、地點或完整地址、性別等。除了Wired的資料外，他們預告未來幾個星期還會再公布約4,000萬筆的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lovely-post.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lovely-post.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/173074"><strong style="font-size: 22px;">ColdFusion聖誕假期攻擊潮，兩個來源IP位址系統性掃描十多個已知漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GreyNoise Labs公布研究指出，2025年聖誕節連假期間出現一波針對Adobe ColdFusion伺服器的協同掃描與濫用嘗試，流量高峰落在12月25日。研究人員統計ColdFusion相關請求共5,940次，目標涵蓋20個國家，顯示攻擊者傾向挑在假期維運與監控力道較弱的時段，加大對既有漏洞的掃描與嘗試利用。</p> <p>研究人員指出，這波活動的流量高度集中，約98%來自同一自治系統（Autonomous System）AS152194之下的兩個來源IP位址。兩個IP位址以1至5秒的節奏自動送出請求，且部分時間同時運作，呈現協同基礎設施的特徵。同時，攻擊者也會針對同一目標輪番切換多種攻擊手法，以提高命中率與覆蓋面。</p> <p>對於駭客利用的漏洞範圍，以2023年至2024年間ColdFusion的10多個已知CVE漏洞為主，並搭配通用型的遠端程式碼執行（RCE）與本地文件包含（Local File Inclusion，LFI）測試，同時也可見少量針對較舊漏洞的驗證請求。研究人員強調，攻擊並非只鎖定單一漏洞，而是以組合方式逐一試探多個入口，從存取控制繞過、任意檔案讀取到遠端程式碼執行都在掃描清單內。</p> <p><a href="https://www.ithome.com.tw/news/173049"><strong style="font-size: 22px;">WatchGuard警告Firebox程式碼RCE漏洞已遭到濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/yfjIyIHMwN.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yfjIyIHMwN.png" style="width: 300px; float: right;" /></a></p> <p>資安業者WatchGuard警告用戶，Firebox防火牆存在能讓未經授權攻擊者遠端執行程式碼的重大漏洞CVE-2025-14733，而且已經遭到濫用。值得留意的是，目前還有九萬臺裝置未修補漏洞，包括臺灣約170臺。</p> <p>該公司在12月23日發出公告，已經觀察到兩起濫用漏洞攻擊Firebox裝置的活動。其中一起，攻擊者先遠端攻擊Firebox裝置，再把裝置的現行配置檔加密回傳給攻擊來源IP位址。第二起攻擊中，攻擊者將現行配置檔及本地管理使用者資料庫建立成gzip檔，再回傳給來源IP位址。</p> <p>根據網路安全監控非營利組織Shadowserver基金會的數據顯示，截至12月24日，全球網路上曝險的Firebox裝置還有9.1萬臺。而以國家來看，美國3萬臺最多，其次為義大利、德國及英國，各有7000餘臺；臺灣迄今仍有171臺曝險。</p> <p><a href="https://www.ithome.com.tw/news/173000"><strong style="font-size: 22px;">鳳凰城大學公布Oracle EBS遭駭事件調查結果．350萬人資料恐外流</strong></a></p> <p>美國鳳凰城大學（University of Phoenix，UoPX）報告，三個月前駭客駭入Oracle E-Business Suite（EBS），竊走350萬人個資。</p> <p>12月初鳯凰城大學公告，在美商甲骨文公司公告EBS零時差漏洞後，該校自我檢查後證實發生EBS資料外洩事件。未經授權人士存取了EBS儲存的現任及前任師生、職員，以及供應商個資，包含聯絡資訊、出生日期、社會安全碼，以及銀行帳號和匯款編號。但當時不清楚有多少人受影響。</p> <p>根據該校向緬因州檢察長辦公室呈交的報告，事件發生於8月13日。總影響人數達3,489,274名。</p> <p><a href="https://www.ithome.com.tw/news/173052"><strong style="font-size: 22px;">LLM調度框架LangChain核心元件序列化注入漏洞，可能導致環境變數機密外洩</strong></a></p> <p>知名大型語言模型調度開源框架LangChain團隊發布安全通報，揭露核心套件langchain-core存在序列化注入漏洞CVE-2025-68664，該漏洞CVSS 3.1基礎分數為9.3，屬重大等級。受影響版本為langchain-core小於0.3.81，或介於1.0.0以上且低於1.2.5。官方已釋出修補版本0.3.81與1.2.5，並同步收緊load()與loads()的預設行為，以降低誤用風險。</p> <p>漏洞出在langchain-core本身的dumps與dumpd序列化功能。LangChain有一套內部資料格式，會用lc這個保留欄位來標記這段資料可以在之後被還原成LangChain物件。官方指出，問題在於dumps()與dumpd()在序列化一般字典資料時，沒有妥善處理剛好含有lc欄位的外部可控內容。結果是這些資料在後續經由load()或loads()還原時，可能被當成真正的LangChain物件來建立，進而引發安全風險。</p> <p>LangChain在JavaScript版本也發布了相似機制的漏洞安全通報CVE-2025-68665，指出toJSON未跳脫含lc鍵的使用者可控物件，可能在後續load()時造成環境變數機密外洩與不安全實例化，並將secretsFromEnv明確改為預設false，以降低環境變數機密外洩與不安全實例化風險。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/prefix-swap-panic-sophisticated-jackson-imposter-infiltrates-maven-central/">惡意Maven套件偽裝成知名JSON程式庫Jackson，鎖定Java開發者發動攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-compromise-trust-wallet-chrome-extension/">Chrome延伸套件Trust Wallet傳出遭到滲透，用戶數百萬美元資產遭到洗劫</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186191/digital-id/stolen-lastpass-backups-enable-crypto-theft-through-2025.html">針對密碼管理公司LastPass資料外洩事故，有資安公司指出俄羅斯駭客涉嫌重大</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/eurostar-blackmail-research-report-ai-chatbot-flaw/">歐洲高速鐵路公司Eurostar的AI聊天機器人存在缺陷，可透過HTML注入或即時注入觸發</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/operation-sentinel-african-cybercrime-syndicates">19國執法單位圍剿非洲網路犯罪集團，逮捕逾570人、追回300萬美元</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173061"><strong>【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> </div></div></div>
2025/12/29 16:43作者周峻佑https://www.ithome.com.tw/news/173078
電玩遊戲虹彩六號傳出被滲透，駭客大撒幣與隨機封帳，疑利用資安漏洞MongoBleed得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前MongoDB開發工程團隊推出重大更新，修補資訊洩露漏洞CVE-2025-14847（MongoBleed），<strong><a href="https://www.ithome.com.tw/news/173071">許多資安公司與研究人員紛紛提出警告</a></strong>，以及公布細節，並指出有人利用概念驗證（PoC）程式碼，嘗試觸發漏洞的跡象。然而，在這段期間，有遊戲公司的伺服器傳出可能因此遭駭的消息，成為第一個公開遭到此漏洞攻擊的受害者，這種罕見的情況，成為外界關注的焦點。</p> <p>根據資安新聞網站<strong><a href="https://www.bleepingcomputer.com/news/security/massive-rainbow-six-siege-breach-gives-players-billions-of-credits/">Bleeping Computer</a></strong>與<strong><a href="https://cybersecuritynews.com/ubisoft-rainbow-six-siege-servers-breached/">Cyber Security News</a></strong>、多家科技新聞網站與遊戲新聞網站的報導，Ubisoft公司旗下的電玩大作《虹彩六號：圍攻行動（Tom Clancy's Rainbow Six Siege）》，傳出遊戲伺服器遭到駭客入侵並接管的情況，不少玩家發現自己的帳號被存入大量的遊戲代幣，並解鎖原本需付費的特殊造型，駭客也濫用遊戲的管理系統封鎖許多帳號，其中包含許多玩家及Ubisoft官方帳號。有資安研究團隊認為，攻擊者就是利用MongoBleed而得逞。</p> <p>這起事故的曝光，起初是有玩家於12月27日晚間發現異常，<strong><a href="https://x.com/kinggeorge/status/2004902566434668686">並在社群網站X公開相關現象</a></strong>，其中有玩家公布<strong><a href="https://x.com/ViTo_DEE91/status/2004910559884628290">連續有人遭到封鎖的螢幕截圖</a></strong>。後續虹彩六號的官方帳號也<strong><a href="https://x.com/Rainbow6Game/status/2004917731829948808">證實發生事故</a></strong>，<strong><a href="https://x.com/rainbow6game/status/2004943312390926740">並關閉遊戲與市集因應</a></strong>。但除此之外，Ubisoft並未進一步說明事故發生的原因，也沒有透露受到影響的玩家人數。</p> <p>對此，資安研究團隊VX-Underground透露，<strong><a href="https://x.com/vxunderground/status/2005008887234048091">總共有4組人馬表明他們對虹彩六號的系統下手</a></strong>，其中的第一組人馬，是利用該遊戲的漏洞，封鎖玩家並竄改道具內容，這些駭客向玩家送出的遊戲代幣，價值達到339兆9,600億美元，不過，他們並未存取用戶的資料。</p> <p>第二組人馬利用MongoBleed攻擊了Ubisoft的MongoDB伺服器，得以在一定程度上存取該公司內部Git程式碼儲存庫，並竊得大量內部原始碼，號稱這些資料涵蓋90年代至今，包括軟體開發工具套件，以及多人遊戲服務資料等。</p> <p>第三組人馬聲稱也使用了MongoBleed對Ubisoft下手，竊得使用者資料並向Ubisoft勒索，VX-Underground提及該組織於Telegram頻繁活動。</p> <p>第四組人馬並未透露他們如何攻擊Ubisoft，但他們指控第二組駭客其實早就能存取該公司的原始碼，現在打算嫁禍給第一組人馬，趁著上述遊戲伺服器被入侵的時間點，冒用第一組駭客的名義洩露相關資料，而非近期才利用MongoBleed得逞。第四組駭客表示，他們與第一組駭客，都對於第二組駭客的作為感到相當憤怒。</p> <p>由於多個駭客組織各說各話，還有駭客指控其他攻擊者說謊的情況，使得眾人至今仍搞不清楚這起事故的具體樣貌，對於第二組駭客是否說實話，以及第三組人馬的身分，VX-Underground表示，有待進一步釐清。</p> </div></div></div>
2025/12/29 16:20作者周峻佑https://www.ithome.com.tw/news/173076
文字編輯器EmEditor官網安裝檔遭動手腳，第三方指以瀏覽器擴充套件建立持久化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>文字編輯器EmEditor開發商Emurasoft在<a href="https://www.emeditor.com/general/important-security-incident-notice-regarding-the-emeditor-installer-download-link/">公告</a>指出，官方網站首頁的下載導引疑遭第三方未授權改寫，導致使用者在特定時間區段透過官網下載的Windows安裝套件，可能不是由官方提供的版本，而是被置換的MSI檔。依Emurasoft說法，可能受影響期間為臺灣時間約為12月20日上午至12月23日清晨。官方強調這是保守估計，實際受影響的時間區段可能較短。 </p> <p>EmEditor首頁的下載按鈕平時會導向支援站臺的最新安裝程式連結，再由該連結進行重新導向，但在受影響期間，重新導向疑被改寫，改成從EmEditor官網的WordPress上傳目錄提供檔案，因此使用者可能下載到非原廠產製的安裝套件。 </p> <p>Emurasoft目前僅確認64位元安裝套件emed64_25.4.3.msi涉及此事件，官方指出，可疑檔案同樣使用emed64_25.4.3.msi檔名，但檔案大小略為不同，且數位簽章顯示為WALSHAM INVESTMENTS LIMITED。Emurasoft表示，要是簽章不是Emurasoft或雜湊值不符，即可能是遭竄改的檔案，建議不要執行並立即移除。</p> <p>官方指出可疑安裝套件在執行時，可能嘗試呼叫PowerShell下載並執行遠端內容，且該內容來源網域emeditorjp.com不屬於Emurasoft管理。即使遭置換的安裝套件，仍可能正常安裝出合法的EmEditor程式檔案，讓使用者更難從表面察覺異常。 </p> <p>針對已下載或可能已執行可疑檔案的情境，Emurasoft建議先以端點隔離方式降低外洩與橫向移動風險，並進行完整惡意程式掃描與環境檢視。官方也提醒需評估憑證外洩可能性，將該裝置上使用或儲存的帳號密碼進行更換，並啟用多因素驗證。</p> <p>此外，Emurasoft也列出多種不受影響的取得途徑，例如透過EmEditor內建更新機制自動更新，或直接從download.emeditor.info下載，以及透過winget安裝或更新等。如果僅下載但未執行可疑檔案，官方也視為不在受害範圍內。</p> <p>除官方公告之外，中國資安業者奇安信<a href="https://ti.qianxin.com/blog/articles/emeditor-supply-chain-incident-details-disclosed-en/">表示</a>，其團隊捕捉到此事件的後續載荷，指出惡意程式具資訊竊取行為，會蒐集系統資訊與瀏覽器資料，並可能竊取包含VPN設定、Windows登入憑證、瀏覽器Cookies等內容。奇安信也提到，攻擊者可能透過安裝名為Google Drive Caching的瀏覽器擴充套件作為持久化手法。</p> </div></div></div>
2025/12/29 16:56作者李建興https://www.ithome.com.tw/news/173077
ColdFusion聖誕假期攻擊潮，兩個來源IP系統性掃描10多個已知漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者GreyNoise Labs公布<a href="https://www.labs.greynoise.io/grimoire/2025-12-26-coldfusion/">研究指出</a>，2025年聖誕節連假期間出現一波針對Adobe ColdFusion伺服器的協同掃描與濫用嘗試，流量高峰落在12月25日。研究人員統計ColdFusion相關請求共5,940次，目標涵蓋20個國家，顯示攻擊者傾向挑在假期維運與監控力道較弱的時段，加大對既有漏洞的掃描與嘗試利用。</p> <p>研究人員指出，這波活動的流量高度集中，約98%來自同一自治系統（Autonomous System）AS152194之下的兩個來源IP。兩個IP以1至5秒的節奏自動送出請求，且部分時間同時運作，呈現協同基礎設施的特徵。同時，攻擊者也會針對同一目標輪番切換多種攻擊手法，以提高命中率與覆蓋面。</p> <p>攻擊者大量使用ProjectDiscovery的Interactsh平臺進行界外回呼（Out-of-band Callback）驗證，也就是透過外部回呼來確認探測是否奏效。就本次事件而言，研究人員點名JNDI與LDAP注入是主要向量，並搭配多個回呼網域追蹤每一次嘗試的結果。 </p> <p>受影響的漏洞範圍以2023年至2024年間ColdFusion的10多個已知CVE為主，並搭配通用型的遠端程式碼執行與本地文件包含（Local File Inclusion）測試，同時也可見少量針對較舊漏洞的驗證請求。研究人員強調，攻擊並非只鎖定單一漏洞，而是以組合方式逐一試探多個入口，從存取控制繞過、任意檔案讀取到遠端程式碼執行都在掃描清單內。</p> <p>而且這波ColdFusion活動其實只是更大規模掃描行動的一小部分，約占兩個主力IP整體掃描量的0.2%。同一批基礎設施累計送出逾250萬次請求，嘗試767個不同CVE，目標橫跨47種以上技術堆疊，並使用近1萬個Interactsh界外回呼網域。研究人員研判，這更像是一場有組織的漏洞偵察作業，可能與初始存取掮客（Initial Access Broker）的需求相符。</p> </div></div></div>
2025/12/29 14:46作者李建興https://www.ithome.com.tw/news/173074
中國準備規範擬人化AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國政府準備規範擬人化的AI服務，在上周六（12/28）<a href="https://www.cac.gov.cn/2025-12/27/c_1768571207311996.htm" target="_blank">發表了</a>《人工智慧擬人化互動服務管理暫行辦法》，此一草案主要規範的是提供模擬人類人格特性、思維模式與溝通風格，透過文字或其它形式與人類進行情感互動的產品或服務，要求供應商在偵測到用戶出現過度依賴或沉迷傾向時，必須即時提醒。</p> <p>此一草案出自中國國家互聯網信息辦公室，舉凡提供擬人化互動服務，註冊用戶達到100萬或是每月活躍用戶超過10萬的都會受到規範。儘管它並未舉例，但外界認為不管是聊天機器人，或者是陪伴型聊天AI，以及虛擬戀人都在受監管之列。</p> <p>該草案要求相關服務不得生成或傳播危害國家安全/利益、非法宗教活動、暴力及誹謗等內容；也不得提供嚴重影響用戶行為的虛假承諾及損害人際關係的服務；不得藉由美化或暗示自殘，或是透過語言暴力及情感操控等方式損害用戶身體健康；不得藉由演算法操控或設置情感陷阱，來誘導用戶作出不合理的決策。</p> <p>還說供應商的模型預訓練必須使用符合社會主義核心價值觀的資料集，強化資料集的透明度及可靠性，也應定期改善或升級資料集。此外，也要求供應商必須具備心理健康保護、情感邊界引導，以及依賴風險預警等安全能力，不能將取代社會交往、控制用戶心理，以及誘導沈迷依賴等特性作為服務的設計目標。</p> <p>該草案要求供應商必須具備用戶狀態識別能力，發現涉及威脅用戶生命及財產安全的高風險傾向時，及時輸出安撫及鼓勵尋求幫助等內容；建立緊急回應機制，在用戶明確提出自殺或自殘等極端情境時，由人工接管對話並聯絡用戶監護人。針對未成年人及老年人用戶要求填寫監護人與緊急聯絡人。</p> <p>當系統發現用戶出現過度依賴或沈迷狀況時，或者是在用戶初次使用及重新登錄時，都應該要以彈出式視窗提醒，所互動的對象為AI。一旦用戶連續使用該服務超過2小時，也應提供用戶暫時休息。</p> </div></div></div>
2025/12/29 13:19作者陳曉莉https://www.ithome.com.tw/news/173073
8.7萬臺MongoDB主機曝露MongoBleed，傳出已有實際漏洞利用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月19日MongoDB開發工程團隊發布8.2.3、8.0.17、7.0.28、6.0.27、5.0.32，以及4.4.30版重大更新，<strong><a href="https://www.ithome.com.tw/news/173060">修補高風險漏洞CVE-2025-14847</a></strong>（MongoBleed），問題在於MongoDB伺服器的zlib實作，有機會造成未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5分，如今有資安公司與研究人員公布更多細節，並警告已有實際攻擊活動。</p> <p>針對這項漏洞會帶來的影響，<strong><a href="https://www.ox.security/blog/attackers-could-exploit-zlib-to-exfiltrate-data-cve-2025-14847/">軟體供應鏈安全公司OX Security最早公布細節，</a></strong>指出未經身分驗證的攻擊者可從MongoDB伺服器的記憶體洩露敏感資料，過程中完全不需要登入。他們可藉由發送惡意網路封包，觸發zlib元件的缺陷，從而截取部分私有資料片段，其中包括使用者資訊、密碼，以及API金鑰。</p> <p>根據MongoDB開發工程團隊推出的修補程式內容，OX Security指出問題出現在網路傳輸層，資料庫在解壓縮網路訊息的過程裡，可能被迫收集或處理極小的記憶體緩衝區。起因是原本用來回傳解壓縮資料大小的命令，實際上，傳送的內容卻是已分配的記憶體數量，使得攻擊者有機會透過zlib洩露資料。</p> <p>Elastic資安團隊研究員Joe Desimone<a href="https://github.com/joe-desimone/mongobleed"><strong>公布概念驗證（PoC）程式碼</strong></a>，<strong><a href="https://x.com/dez_/status/2004351287715156023">並指出</a></strong>CVE-2025-14847發生的原因，就是在zlib解壓縮訊息的過程，導致攻擊者能從MongoDB洩露資料，由於與2014年爆發的<strong><a href="https://www.ithome.com.tw/news/86526">OpenSSL嚴重漏洞Heartbleed（CVE-2014-0160）</a></strong>類似，他將CVE-2025-14847稱作MongoBleed。</p> <p>資安專家Kevin Beaumont也提出看法，<strong><a href="https://doublepulsar.com/merry-christmas-day-have-a-mongodb-security-incident-9537f54289eb">認為MongoBleed相當容易利用</a></strong>，攻擊者只要取得MongoDB實體（instance）的IP位址，就能夠使用上述的概念驗證程式碼，從資料庫挖掘明文密碼，或是AWS金鑰等機密資料。由於全球有21.4萬臺MongoDB主機，再加上已有概念驗證工具，因此接下來很快就可能出現大規模漏洞利用。</p> <p>威脅情報公司Censys提出警告，截至12月27日，<strong><a href="https://censys.com/advisory/cve-2025-14847">他們一共偵測到超過8.7萬臺MongoDB實體存在漏洞</a></strong>，其中美國有近2萬臺最多，中國約1.7萬臺居次，德國、印度，以及法國，分別有超過7,700、5,400，以及5,100臺。臺灣有多少MongoDB實體曝險，目前仍不得而知。</p> <p>值得留意的是，有資安公司已經察覺漏洞遭到利用的跡象。雲端資安公司Wiz指出，他們從12月26日Joe Desimone公布概念驗證之後不久，<strong><a href="https://www.wiz.io/blog/mongobleed-cve-2025-14847-exploited-in-the-wild-mongodb">發現有人實際利用漏洞的情況</a></strong>。由於此漏洞廣泛出現在雲端環境，42%的雲端環境存在MongoBleed，再加上攻擊者無須通過身分驗證，利用過程無須使用者互動，因此，曝露於網際網路的MongoDB伺服器很容易成為攻擊目標，此漏洞的影響規模相當廣泛。Wiz提及，同樣使用zlib的Ubuntu rsync套件，也會受到MongoBleed影響，但相關細節他們並不清楚。</p> </div></div></div>
2025/12/29 12:02作者周峻佑https://www.ithome.com.tw/news/173071
駭客聲稱竊得Wired資料庫，洩露230萬筆記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bleepingcomputer.com/news/security/hacker-claims-to-leak-wired-database-with-23-million-records/" target="_blank">Bleeping Computer報導</a>，一名駭客聲稱成功駭入媒體集團康泰納仕（Condé Nast），並且公開旗下雜誌Wired包含230萬筆訂戶記錄的資料庫，還預告會再公布更多用戶資料。</p> <p>一名代號Lovely的人士在聖誕節在駭客論壇上張貼公告，邀請眾人下載Wired的資料庫。他聲稱這個媒體集團不在乎用戶資料安全，害駭客花了一個月說服其修補網站漏洞。</p> <p>根據<a href="https://haveibeenpwned.com/Breach/WIRED" target="_blank">Have I Been Pwned</a>分析，外洩的Wired資料期間為1996年4月到2025年9月，外洩資料型態包括訂閱戶ID、電子郵件地址、顯示的名稱、少部份用戶還被洩露了姓名、電話、出生日期、地點或完整地址、性別等。除了Wired的資料外，他們預告未來幾個星期還會再公布約4000萬筆的資料。</p> <p>駭客並列出已從康泰納仕旗下其他竊得資料的刊物清單。其他刊物包括The New Yorker、Epicurious、SELF、Vogue、Allure、Vanity Fair、Glamour、Men's Journal、Architectural Digest、Golf Digest、Teen Vogue、Style.com及Condé Nast Traveler。</p> <p>根據<a href="https://databreaches.net/2025/12/25/conde-nast-gets-hacked-and-databreaches-gets-played-christmas-lump-of-coal-edition/" target="_blank">Databreaches</a>報導，去年11月接獲這名叫Lovely的駭客聯繫。他宣稱是名安全研究人員，要求Databreaches.com協助聯繫康泰納仕集團資安人員以協助通知網站漏洞。一開始這名Lovely表示只下載了部份資料，但後來卻說已下載集團共3300萬筆用戶資料，以及所有刊物的用戶帳號數量。</p> <p>報導指稱，這名駭客後來透過Databreaches.com連繫上康泰納仕集團，告知找到6個網站漏洞，並且以公開所有訂戶資料勒索贖金。其中一項漏洞可允許攻擊者讀取每個Conde Nast用戶帳號資料，並且變更帳號郵件及密碼。</p> <p>康泰納仕集團尚未證實此事。</p> </div></div></div>
2025/12/29 12:14作者林妍溱https://www.ithome.com.tw/news/173072
Ruby 4.0引入Ruby Box隔離機制與ZJIT即時編譯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>程式語言Ruby開發團隊按慣例在每年聖誕節發布更新，推出<a href="https://www.ruby-lang.org/en/news/2025/12/25/ruby-4-0-0-released/">Ruby 4.0.0</a>，這個主要版本把重點放在兩項新功能，包含實驗性的Ruby Box隔離機制，以及新一代即時編譯器ZJIT。除此之外，Ruby也持續推進Ractor的平行執行機制，並同步調整部分語言行為與標準函式庫配置。</p> <p>Ruby 4.0新增的Ruby Box其核心概念是隔離，官方描述該功能可用來分離各種定義的影響範圍，包含猴子修補程式（Monkey Patch）、全域變數與類別變數的變更、類別與模組定義，以及載入的原生或Ruby函式庫。Ruby Box目前屬於實驗功能，其像是提供一個基礎層API，讓開發者把原本容易互相汙染的修改關在各自的範圍內，以降低副作用擴散。</p> <p>官方也點出Ruby Box的預期用途，最直覺的是測試隔離。當測試為了模擬情境而大量調整行為時，隔離機制可以降低影響其他測試的機率。另一個被提及的方向是，同一個程序內並行跑多個網頁應用程式實例，用於藍綠部署，或在更新相依套件期間，先讓新舊版本並行一段時間，再以Ruby程式比對回應差異，協助團隊評估改版風險。官方同時提到，Ruby Box也可能成為未來更高層封裝機制的基礎，但目前尚未定案。</p> <p>Ruby 4.0引入ZJIT即時編譯器。ZJIT是下一代新編譯器，目標一方面提高效能上限，包含更大的編譯單元與SSA形式的中介表示，另一方面也希望以較傳統的方法式編譯器設計，吸引更多外部貢獻。</p> <p>不過，Ruby團隊對ZJIT的成熟度相對保守，官方指出，雖然ZJIT目前比直譯器更快，但仍不及YJIT，目前不建議直接用於正式環境，並預告Ruby 4.1會持續改進ZJIT。</p> <p>官方也持續強化Ractor機制，Ruby 4.0進一步加入新類別Ractor::Port，針對Ractor之間的訊息傳送與接收提供新的同步通訊介面，同時也提供更容易在Ractor間共享Proc物件的方式，例如Ractor.shareable_proc。效能面上，Ruby調整多個內部資料結構，以降低全域鎖(Global Lock)相關的鎖競爭，並減少Ractor並行執行時的CPU快取競爭，藉此提升平行度與整體執行效率。</p> <p>Ractor自Ruby 3.0以實驗功能登場，Ractor的設計目標，是在同一個Ruby程序內讓多段Ruby程式更有機會利用多核心進行平行運算。官方也表示希望在2026年移除其實驗性標記，顯示並行路線仍在持續推進。</p> </div></div></div>
2025/12/29 11:28作者李建興https://www.ithome.com.tw/news/173063
OpenAI招募與模型安全相關的準備度主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI共同創辦人暨執行長<a href="https://x.com/sama/status/2004939524216910323?s=20" target="_blank">Sam Altman上周宣布</a>，該公司正在招募一名準備度主管（Head of Preparedness），負責評估模型的風險，從模型能不能作惡、會不會突破現有防護，到可否發布等，不計股票的年薪為55.5萬美元（逾1,800萬元新臺幣）。</p> <p>根據OpenAI所公布的<a href="https://openai.com/careers/head-of-preparedness-san-francisco/" target="_blank">職缺</a>，準備度主管隸屬於安全系統團隊，主導OpenAI準備度框架的技術策略與實際執行，該框架將可說明OpenAI如何追蹤及因應前沿能力所帶來、可能造成嚴重傷害的新型風險。</p> <p>而準備度主管將負責評估模型能力、判斷潛在威脅，以及所對應的風險防護措施，並確保這些工作被整合為一套一致、嚴謹，且能隨著產品規模與更新節奏運作的安全流程。OpenAI表示，此一職務需要深厚的技術判斷力、清楚溝通能力，以及跨多個風險領域推動複雜工作的能力。</p> <p>具體而言，該職務將全權負責OpenAI的準備度策略，主導前沿能力評估的開發，監督主要風險領域，引導評估結果的解讀，也應隨著新風險或能力的出現改善準備度框架，以及同時與研究、工程、產品、政策監測，以及執法、治理及外部合作夥伴跨部門協作，以將準備度落實於實際部署中。</p> <p>從職務設計來看，外界認為OpenAI正試圖將安全焦點從理論層次的長期風險，轉為能直接影響產品發布的實務問題。</p> <p>Altman說，如果想幫世界找出如何賦予網路安全防禦者最頂尖的能力，同時確保攻擊者無法利用這些能力來作惡，亦想捍衛生物相關功能的安全性，或是如何放心讓系統自我進化，那麼請考慮加入OpenAI。這是一份壓力非常大的工作，一開始就會直接面對最棘手的問題。</p> </div></div></div>
2025/12/29 11:37作者陳曉莉https://www.ithome.com.tw/news/173070
聚焦IT與OT資安檢測、人才培育、AI應用，臺灣第一大資安服務業者揭露未來業務三大成長動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">在2000年成立、以<a href="https://www.ithome.com.tw/news/4037">網路資料中心代管業務起家</a>的安碁資訊，幾年後跨入資安維運中心（SOC），2016年提供資安檢測服務，2017年成立電腦資安事件應變中心ACSI-CSIRT，2019年在臺灣資安大會展示首座OT資安工控系統實驗平臺、掛牌上櫃，2021年投資成立子公司安碁學苑（ACSI Academy，ACAD），2022年合併宏碁雲架構（Acer eDC），截至2025年10月底為止，年營收累計19.34億元，年增13.29％，回顧113年度，營收為21.46億元，成為臺灣最大的資安服務商。</p> <p style="margin-left:.05pt;">安碁資訊目前營收有兩個主軸，其中最大的來源是資訊安全服務，包含資訊安全整合性監控及防護服務、資訊安全專業顧問服務、營運不中斷服務，例如安全維運中心（SOC）7x24，其次是資訊部門營運委外服務，屬於宏碁雲架構，與資料中心、AI算力有關的部分。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-SEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-SEC.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">在11月底舉行的2025年第三季宏碁集團聯合法人說明會，吳乙南透露，安碁目前服務的SOC 7x24客戶有四百多個，客戶續約率目前高達95%以上，相較於2025年初113年報揭露約300個B2B客戶，成長顯著。</p> <p style="margin-left:.05pt;">縱觀安碁經營的主要資安產品服務面向，總經理吳乙南在12月初舉行的2025媒體資安講堂表示，他們這幾年積極布局雲端，為SOC下個階段的轉型做準備，而對於政府重視的資安檢測作業，他們也提供很多服務，尤其是各種攻防演練；有鑑於整體資安防護，除了安碁提供的資安監控與資安鑑識，政府也將備援演練跟資料備份演練納入，所以，他們與宏碁雲架構都在做這方面的準備。</p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>藍隊與紅隊攻防演練帶來高成長的資安商機</strong></span></h3> <p style="margin-left:.05pt;">因為網路攻擊活動越來越頻繁，資料通報量變大、通報週期縮短，再加上近期大型雲端業者服務中斷，對於組織的資安防護而言，是個相當沉重的負擔，但也代表資安是非常具有潛力的市場。吳乙南說，安碁資訊今年成長較多的部分是在資安檢測，包括屬於藍隊演練（Blue Teaming）類型的<a href="https://www.acercsi.com/tw/service/16/1259">入侵及攻擊模擬演練（Breach and Attack Simulation，BAS）</a>，透過模擬真實世界攻擊者曾使用的伎倆，自動化發動攻擊，可持續測試組織的資安防禦能力，識別資安弱點，驗證組織如何防禦，以及<a href="https://www.acercsi.com/tw/service/16/1261">紅隊演練（Red Teaming）</a>，運用攻擊者思維與手法執行進階的入侵演練測試，評估組織的資安防禦能力，基本上，這部分的單價更高，需要的技術程度也比較專精。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-1.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">除了上述屬於IT領域的資安服務，OT/IoT與雲端領域的資安服務也是安碁2025年發展的重點。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-OT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-OT.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">10月份完成台灣自來水公司（台水）的攻防演練，這是台水第二次執行的攻防演練，也是安碁進行的第四次關鍵基礎設施攻防演練，包括藍隊（防守方）、紅隊（攻擊方）、紫隊（協作整合方），透過實兵演練，協助受測單位熟悉不同狀況，並且找出問題。</p> <p style="margin-left:.05pt;">在2025年第三季宏碁集團聯合法人說明會上，吳乙南透露他們到臺南市新營區的一個抽水站進行攻防演練，將藍隊、紅隊、紫隊聚集在當地演練四個半小時，滿分是兩千分，台水獲得一千九百分，表現相當優異。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR teaming.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR%20teaming.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR%20teaming2.jpg" style="width: 600px;" /></p> <p style="margin-left:.05pt;">11月底，他們完成<a href="https://web.pcc.gov.tw/tps/atm/AtmAwardWithoutSso/QueryAtmAwardDetailHist?fkPmsMainHist=OTU5NDk1MjQ=">台灣電力公司的智慧電網入侵偵測系統標案</a>議價，決標金額將近7千萬元，涵蓋整個變電站OT設備的整合，吳乙南表示，經過三、四年的努力，他們重新取得OT的專案。</p> <p style="margin-left:.05pt;">而且，在國家八大關鍵基礎設施當中，安碁目前已涵蓋四大領域，在中央與地方政府機關、銀行與金融，市占率過半，到了能源、水資源領域，也就是油水電，屬於國營企業，從ISAC、CSIRT到SOC監控，基本上都是安碁負責，2025年底他們拿下這個案子後，就是以IT層級的SOC資安服務業者的身分，再把當中的OT納入監控，整個事件的應變將更為一致。吳乙南表示，IT跟OT的共管是大勢所趨，安碁資訊目前有這樣的優勢，因為他們掌握IT、有明確的大客戶，再加上OT的市占率，因此，後續看好這兩者的整合。</p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>持續推展雲端與教育訓練的業務</strong></span></h3> <p style="margin-left:.05pt;">關於雲端的發展，安碁這幾年持續推動Cloud SOC，並且連同宏碁雲架構，整合相關的領域知識跟基礎架構，2025年有些客戶已移轉到雲端，而且都是由安碁負責，由於這些環境會是混合雲的架構，對安碁而言，是個莫大的商機。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-2-SOC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-2-SOC.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">關於教育訓練的推廣，安碁學苑開設多種資安通識課程，同時提供企業包班的<a href="https://www.acsiacad.com/course_detail/3111">內部人員訓練</a>，例如，針對公司員工的<a href="https://www.acsiacad.com/sublist/1032">強化企業資安韌性課程</a>，也有轉職到資安領域的<a href="https://www.acsiacad.com/course_detail/3112">資訊安全維運工程師培育計畫</a>，還有一些<a href="https://www.acsiacad.com/course_content/2026">資安證照課程</a>，像是<a href="https://www.acsiacad.com/course_detail/3081">ISO/IEC 27001:2022資訊安全管理系統主導稽核員訓練課程</a>，轉版與轉證訓練課程。由於整體資訊安全的需求一直增加，安碁學苑也持續擴充更多課程，例如，去年新增的CCSK雲端安全知識證照培訓班。</p> <p style="margin-left:.05pt;">因應企業與政府單位對人才培育的需求愈加迫切，根據安碁學苑的統計，他們在2025年共培育 10,202 名資安人才，總共有164個單位或企業包班，橫跨多個產業，包括：金融業37家，政府機關39個單位，製造業17家，其他產業71家，金融與政府機關占比最高。</p> <p style="margin-left:.05pt;">隨著網路攻擊型態快速演進，也反映在企業與學員熱烈報名的課程類型，安碁學苑2025年前五大受歡迎的課程分別為：社交工程防護實務課程、數位時代的資安防身術、個資與資料保護管理實務課程、滲透測試類課程、AI與GPT類課程，他們表示，部分課程可依企業需求客製課程內容，例如社交工程防護實務和AI與GPT類課程。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-4-ACAD.jpg" style="width: 600px;" /></p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>設立AI專責管理單位，投入生成式AI應用研發</strong></span></h3> <p style="margin-left:.05pt;">為了支援ACSI、Acer eDC、ACAD上述業務的發展，安碁資訊針對技術與研發的投入，擴增不少人力，目前員工數量達到700人（113年度為643人），針對人工智慧的發展與應用上，吳乙南表示，安碁今年已經成立專責管理單位（PMO），以便推動發展，公司旗下有多個單位在使用AI，分享使用經驗之餘，也投入AI治理與AI架構發展的研究，並且在學習工具、維運情資、自動化處理等層面，都逐漸有系統地導入AI，他們也將進行AI的實力盤點，這些都是後續可改善公司毛利的部分。</p> <p style="margin-left:.05pt;">安碁目前如何採用AI？2022年OpenAI推出ChatGPT，安碁發現將其用於比對的效果不錯，也嘗試後續出現的生成式AI服務，像是Perplexity AI、Gemini、Grok；過程中，他們不僅使用免付費的AI服務，也開放部分工程師採用付費的AI服務，因此，實際體驗到AI服務業者依詞元（Token）長度計費的使用模式，而開始關注到如何節省成本的議題。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI strategy1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI%20strategy1.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">另一方面，安碁技術單位的員工比例將近8成，有部分人員將AI用在提升自動化處理或報表產出效率，部分資料需要進行去識別化處理，確保機密或個資不外洩，因此，他們必須要在AI的使用與架構發展上，建立與實施規範。</p> <p style="margin-left:.05pt;">而對於應用系統開發的提升，吳乙南表示，他們的工作思維正在從傳統的Coding（撰寫程式碼），轉為能夠善用多種工具的Programming（程式設計），例如採用Python或新的程式產生器，他們正在關注如何將這部分工作變得更有效率，提高有效性。</p> <p style="margin-left:.05pt;">在內部AI應用的部分，安碁目前嘗試發展部分工具的自動化處理能力，陸續從技術的層面著手開發。例如，他們希望將ISO 27001資訊安全認證輔導服務，也就是資訊安全管理系統（ISMS）建置輔導的工作，盡量做到自動化，目標是在兩到三年完成30％到50％。</p> <p style="margin-left:.05pt;">這項工作正是安碁資訊推動的GenAI應用孵化計畫（GenAI App Incubator），初期先以 ISMS 導入經驗作為基礎，發展 ISO 27001 顧問服務新模式。將條文、控制項精神與既有顧問方法論系統化整合，建立完整的私有知識庫，並透過 GenAI + RAG 即時檢索並重組符合企業情境的導入步驟、文件清單與控制措施建議，協助企業快速理解需求、縮短導入時程，進而提升顧問服務效率與品質。</p> <p style="margin-left:.05pt;">在安碁發展AI的過程當中，除了關注大型語言模型（LLM）產生的建議內容，也了解到很多工作都必須自動化處理，要進行判讀、選出合適的模型來對應不同的模式。以演練模式而言，模型的建立非常重要，後面要注意的關鍵在於檢索的資料變大。</p> <p style="margin-left:.05pt;">吳乙南也以安碁正在研發的ISMS導入助手為例解釋，通常ISO 27001的問卷是固定從一階、二階、三階逐步進行的，因為系統很多、人員經驗不同，所以顧問要統整品質，將一階、二階、三階全部審視，最後產生事件報告，在處理這些流程的過程中，有些工作因為固定，可運用AI的學習來協助，例如，透過圖像識別、建立模型之後，我們就能從一階、二階、三階去導入，能協助後續的自動判讀與報告撰寫，此外，他們察覺還能獲得邊際效應，可額外從圖像識別來判斷品質的優劣，他們正在投入相關的研究。</p> <p style="margin-left:.05pt;">上述內部進行的研發應用也與安碁學苑有關，目前進行的教育訓練課程可能五天或十天就結束，他們希望創造這樣的工具，促使上課的人員能夠與安碁學苑有更多連結，後續也能藉此加速學習過程，使其能夠很快上手，將其當作教育訓練的高手。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-12-ACSI LLM Implement Assistant.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-ACSI%20LLM%20Implement%20Assistant.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">眼見近期許多大公司開始裁員，<a href="https://fortune.com/2025/11/27/mit-report-ai-can-already-replace-nearly-12-of-the-us-workforce/">因為有研究顯示將近12％的工作是AI可以取代的</a>，而且比例越來越高，但吳乙南強調，資安的人力永遠都是缺乏的，他們之所以採用AI，並不是為了減少人力，<a href="https://www.chinatimes.com/newspapers/20251102000154-260202?chdtv">臺灣的資安人力缺口超過兩萬人</a>，因此，他們關注如何讓同仁工作更有效率，節省的人力可轉作更多創新服務。</p> <p style="margin-left:.05pt;">在對外提供的資安服務方面，安碁資訊正在發展AI應用的資安健檢，目前已經開始有客戶進行這樣的檢測，因為客戶都希望導入AI的時候，能有一些預防機制。而在AI檢測作業的執行上，他們會依據<a href="https://genai.owasp.org/">OWASP公布的十大風險</a>進行，每個風險都有一些檢測工具，用完後需要人為判別，吳乙南表示，安碁2025年在某家銀行已經做了第一個案例，後續的資安檢測，包含一般系統與網路的弱點掃描、滲透測試、紅隊演練、入侵及攻擊模擬演練、雲端資安檢測，後續AI檢測也是重點發展業務。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI strategy2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI%20strategy2.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-12-ACSI OWASP for LLM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-ACSI%20OWASP%20for%20LLM.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">除此之外，安碁資訊也在2025媒體資安講堂，首度公開介紹自行發展的通用生成式AI模型CyberSage，以及基於這個LLM的代理型AI平臺Anda（安答）。</p> <p style="margin-left:.05pt;">CyberSage是聚焦資安領域的AI大腦，比起通用的LLM更能理解資安術語、攻擊鏈邏輯與減少幻覺，能在資安任務的處理展現顯著優勢。根據安碁的內部測試， CyberSage的理解與任務拆分精準度可達到100％，GPT-4o-mini則是86.47％，領先幅度為13.53；而在運算資源效率（每個問題消耗的詞元總量）上，CyberSage比GPT-4o-mini少了46.75％。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI3-CyberSage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI3-CyberSage.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI4-CyberSage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI4-CyberSage.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">安答是專為資安與雲端營運打造的代理型AI平臺，透過安碁自行研發的模型融合雲端維運與資安知識，精準解析監控指標、事件日誌、效能異常，而且能運用多個AI代理的協同運作，整合多種來源的資料進行語意分析與專業判讀，提供更準確、一致的回應。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI2-Anda.jpg" style="width: 600px;" /></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-GenAI1-Anda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-GenAI1-Anda.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/12/29 11:42作者李宗翰https://www.ithome.com.tw/news/173065
【資安週報】1222~1226，羅馬尼亞水務局近千臺電腦遭勒索軟體攻擊，攻擊者利用BitLocker將檔案惡意加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2025年12月第四個星期資安新聞，有3起臺灣上市公司的資安重訊受到關注，其中南陽實業資訊系統遭駭事件尤為引人注意，駭客為了對受害企業施加壓力，在入侵後刻意濫用企業介接外部簡訊服務商的內部系統，向受害企業的用戶發送簡訊，以擴大資料遭竊事件的傳播。</p> <p>●南陽實業作為韓國現代汽車（Hyundai）在臺總代理，在12月23日傳出遭駭事件，部分車主收到署名DireWolf勒索團體的簡訊，聲稱車主個資已被南陽實業洩露。後續南陽實業表示：公司簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊，同日，南陽實業的母公司三陽工業也代其發布資安重訊，說明南陽實業偵測到部分資訊系統遭駭客網路攻擊。<br /> ●臺灣連接器廠商信邦電子於12月24日發布重大訊息，揭露其集團與海外子公司發現主機遭不明駭客入侵，伺服器資料被惡意加密，導致系統部分無法使用。<br /> ●半導體元件代理與經銷商至上電子在12月21日發布重訊，說明發生網路資安事件，指出資訊系統遭受駭客網路攻擊。</p> <p>還有一項消息是，甫上櫃的NAS廠商威聯通驚傳資安事故，有駭客聲稱取得myQNAPcloud的內部存取權限，後續威聯通發布重訊，澄清報導內容是媒體誤解，是單一用戶的舊款設備因設定不當遭入侵。</p> <p>在漏洞攻擊消息方面，有1起零時差漏洞攻擊事件，WatchGuard的Firebox防火牆成為攻擊者鎖定目標，該廠商已發布安全通告修補此一漏洞CVE-2025-14733，並說明已有攻擊者實際利用。</p> <p>還有永恒數位通訊科技（Digiever）DS-2105 Pro的老舊漏洞CVE-2023-52163，一個月前<a href="https://www.fortinet.com/blog/threat-research/shadowv2-casts-a-shadow-over-iot-devices">FortiGuard Labs揭露ShadowV2利用情形</a>後，現被美國CISA列入KEV清單。此漏洞雖於2023年7月即被<a href="https://www.txone.com/blog/digiever-fixes-sorely-needed/">TXOne Network研究人員Ta-Lun Yen通報</a>，廠商以產品停產5年結案，直到<a href="https://www.ithome.com.tw/news/166652">2024年底Akamai觀察到</a>實際攻擊活動後，CVE的編號才被MITRE指派，突顯EoL產品在漏洞通報與修補面臨的問題。</p> <p>在國際間，近期揭露的重大資安事件與威脅活動，多數與關鍵CI遭鎖定，或是涉及網路間諜活動有關，我們整理如下。<br /> ●羅馬尼亞水務局向該國網路安全局通報遭勒索軟體攻擊，近千個ICT系統受影響，調查發現駭客濫用Windows內建的BitLocker資料保護機制來發動惡意加密。<br /> ●丹麥國防情報局指控俄羅斯駭客Z-Pentest去年對該國水務設施發動網路攻擊，而今年4月挪威水壩控制系統遭控制，挪威政府也指出是俄羅斯駭客發動。<br /> ●中國駭客Ref7707攻擊範圍擴大，資安公司Check Point指出，這群駭客原本鎖定東南亞及南美洲，如今延伸到歐洲，並打造惡意程式NanoRemote用於近期攻擊活動。<br /> ●中國駭客組織LongNosedGoblin發動網路間諜攻擊，鎖定東南亞及日本政府機關，資安公司ESET示警，受害企業會被植入後門程式NosyDoor、竊資軟體NosyStealer、鍵盤側錄工具NosyLogger。</p> <p>另外，美國NIST原子鐘故障，衝擊NTP網路時間協定服務，此事件也引發各界對「時間基礎設施」脆弱性的關注。</p> <p>其他重要威脅活動的揭露，包括：中國資安公司奇安信揭露安卓作業系統電視盒成大型殭屍網路Kimwolf綁架標的，保守估計就有180萬臺設備遭受感染；還有兩起攻擊者利用合法流程誘導受害者上當的威脅活動，包括WhatsApp裝置配對功能遭濫用，以及Microsoft 365 OAuth裝置碼授權機制遭濫用的消息，攻擊者皆是透過社交工程手法誤導不熟悉相關機制的用戶完成操作，進而讓受害者親手將自身帳號的存取權限提供給駭客。</p> <p>在資安防禦動向上，有兩則AI方面的重要消息，首先是行政院擬定的人工智慧基本法（AI基本法），於12月23日經立法院三讀通過，顯示國內在相關立法方面已有實質進展，但如何接軌國際是問題，只分類不分級是否管得動，仍有很大挑戰需要我們面對；另一是資策會公布2026年十大AI關鍵技術，當中提及一項為不實訊息資安（Disinformation Security）議題，指出新興的「不實訊息即服務」（Disinformation-as-a-Service）正利用AI合成內容操弄社群流量，進而干擾政經與商業活動。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172969"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</span></strong></a></h3> <p>近期資安公司ESET揭露專門針對東南亞及日本的中國駭客組織LongNosedGoblin引起關注，駭客在植入大部分惡意軟體的過程裡，會運用群組原則物件（GPO）來達到目的，這種做法也成為ESET識別該組織活動的重要特徵</p> <h3><a href="https://www.ithome.com.tw/news/172989"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</span></strong></a></h3> <p>中國駭客組織Ref7707（CL-STA-0049、Earth Alux、Jewelbug）近期動作頻頻，近期最新的調查結果指出，這些駭客原本鎖定東南亞及南美洲，現在也將範圍擴張到歐洲，挾持受害組織的IIS與SharePoint伺服器建立中繼網路，用於傳遞C2指令</p> <h3><a href="https://www.ithome.com.tw/news/173025"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</span></strong></a></h3> <p>繼22日傳出有人聲稱入侵NAS設備商威聯通（QNAP）的遠端檔案存取服務，隔天下午有另一組駭客寄送簡訊給部分現代（Hyundai）車主，聲稱總代理南陽實業洩露車主的個資，引發高度關注</p> <h3><a href="https://www.ithome.com.tw/news/173061"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</span></strong></a></h3> <p>近期MongoDB的開發工程團隊修補一項資安漏洞引起外界高度關注，他們提及漏洞出現在zlib實作，可能被用來存取未初始化的記憶體堆疊，呼籲用戶要儘速處理</p> <p> </p> </div></div></div>
2025/12/29 10:37作者羅正漢https://www.ithome.com.tw/news/173069
Nvidia傳縮減DGX公雲組織配置轉為內部用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/nvidia-restructures-cloud-team-retreating-aws-competition" target="_blank">The Information報導</a>，Nvidia近日內部改組，縮減公雲部門DGX組織規模，以專注在晶片開發業務。</p> <p>報導引述消息人士指出，Nvidia並未完全裁撤DGX公雲部門，只是縮減人數，並將合併到Nvidia核心工程事業群下，由負責軟體工程的資深副總裁Dwight Diercks統率。而未來DGX雲的功用也轉為僅供內部工程師用於AI研究或軟、硬體開發及測試。</p> <p>報導並說，在稍早的財報中，Nvidia已不再單單強調對DGX Cloud基礎架構的支出，被認為在淡化它在外部營運的角色。</p> <p>Nvidia是在2023年<a href="https://nvidianews.nvidia.com/news/nvidia-launches-dgx-cloud-giving-every-enterprise-instant-access-to-ai-supercomputer-from-a-browser" target="_blank">推出</a>DGX Cloud服務。基本上該服務是架構在甲骨文Oracle Cloud、Microsoft Azure及Google Cloud上的雲服務，旨在讓企業客戶可以像租用AWS伺服器一樣租用Nvidia自己最強大的GPU（如H100 / Blackwell系列）與完整軟體堆疊來訓練與部署大型AI模型。Nvidia當時承諾可讓客戶避開GPU供不應求的情況，並且借由DGX Cloud提供「端到端」可控的AI計算環境。但由於Nvidia同時也向公雲業者，包括Amazon Web Services（AWS）銷售GPU，因此這服務意味著和AWS產生雲服務競爭。</p> <p>縮減DGX業務有助於避免和客戶的利益衝突，同時Nvidia可藉此專注於現今訂單接到手軟的AI晶片與硬體平臺，以及自家AI模型（如Isaac、Nemotron）和軟體工具（如CUDA）的開發。</p> <p><a href="https://www.nvidia.com/en-us/data-center/dgx-cloud-lepton/" target="_blank">Nvidia是否會持續DGX Cloud Lepton marketplace則不清楚</a>，這個GPU供應市集目的在讓企業用戶能透過Nvidia連接到合作的GPU雲供應商，而不是透過Nvidia自己營運完整公有雲，這更偏向和AWS、Azure及GCP等公雲平臺的生態整合策略。</p> </div></div></div>
2025/12/29 08:49作者林妍溱https://www.ithome.com.tw/news/173066
勒索軟體Everest駭客宣稱竊得克萊斯勒包含Salesforce等1TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>操作勒索軟體Everest的駭客組織上周在聖誕節當天，於其暗網網站宣告成功入侵美國汽車大廠克萊斯勒（Chrysler）內部系統，竊走超過1TB資料。</p> <p><a href="https://hackread.com/everest-ransomware-group-chrysler-data-breach/" target="_blank">根據媒體發現到的公告</a>，遭駭客存取的資料庫內含1088 GB資料，當中包含超過105GB的Salesforce資料夾。資料庫內為2021年到2025年聖誕節的資料，像是個人個資如姓名、電話號碼、地址和電子郵件位址、客服人員工作記錄如召回事件筆記、聯繫紀錄（如語音留言、失聯、電話號碼有誤）、以及汽車狀態（如已銷售、維修、找不到車主）、開會預約等。</p> <p>駭客還公佈了數張Salesforce資料螢幕擷圖作為證明，顯示內部FTP檔案路徑、內部工具、經銷商名冊、召回方案等以及包含員工姓名、工作狀態的HR資料。</p> <p>不確定犯案時間，以及影響克萊斯勒哪個部門或地區的內部資料，或是本案和早前另一件Salesforce資料外洩是否有關。克萊斯勒母公司跨國汽車業巨擘Stellantis集團九月也曾<a href="https://www.ithome.com.tw/news/171342" target="_blank">公告遭駭</a>，外洩北美客戶資料。ShinyHunters向Bleeping Computer表示，宣稱從Stellantis的Salesforce竊走超過1,800萬筆紀錄，包含姓名、聯絡資訊等。</p> </div></div></div>
2025/12/29 09:06作者林妍溱https://www.ithome.com.tw/news/173067
【資安日報】12月26日，MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173060"><strong style="font-size: 22px;">MongoDB呼籲IT人員儘速修補高風險資安漏洞</strong></a></p> <p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，他們發布重大更新修補資安漏洞CVE-2025-14847，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5，呼籲用戶要儘速套用新版因應。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> <p><a href="https://www.ithome.com.tw/news/173059"><strong style="font-size: 22px;">Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" style="width: 300px; float: right;" /></a></p> <p>12月24日Fortinet提出警告，他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）皆將這個弱點的嚴重性認定為重大層級，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點，即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p><a href="https://www.ithome.com.tw/news/173032"><strong style="font-size: 22px;">Linux核心首度出現Rust漏洞，恐導致系統當機</strong></a></p> <p>Linux核心近期修補一項重大資安漏洞CVE-2025-68260，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process Communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p><a href="https://www.ithome.com.tw/news/173044"><strong style="font-size: 22px;">駭客平臺Anna's Archive聲稱搜刮Spotify近乎全部的歌曲</strong></a></p> <p>號稱是史上最大的開放資料庫Anna's Archive上周末宣稱，他們成功從音樂串流服務業者Spotify抓走約300 TB檔案，這些檔案包含2025年7月以前收錄平臺的2.56億首歌曲和音樂，以及1.86億條國際標準錄音錄影資料代碼（ISRC）。駭客宣稱，釋出的資料占Spotify所有歌曲的99.9%，而其備份的8,600萬個音樂檔案，資料量達300 TB，占比達99.6%。最受歡迎的10,000首歌曲已經以13.8MB的gzip檔格式釋出。駭客說，將分階段把Spotify資產，包括中繼資料（metadata）、音樂檔案、唱片專輯，以及作為重建原始檔案之用的.xstdpatch檔案開放。</p> <p>12月22日Spotify對媒體說明，駭客使用了第三方單位建立的帳號得逞，而非「駭入Spotify」。駭客違反該公司使用條款，竊走平臺某些音樂資料，時間約數個月，但是該公司未說明外洩資料的規模。該平臺強調，駭客並未竊取用戶資料，而且公開檔案前沒有聯繫他們。現在Spotify已經找到駭客用於資料竊取的檔案且加以關閉，他們也已經加入新的防護措施，持續監控可疑行動。</p> <p>AI Certs分析Anna's Archive的犯案手法。駭客是從Spotify API端點進行大規模網頁抓取，研究人員懷疑可能使用令牌收割（token harvesting）以繞過流量速限保護。而且駭客可能違法繞過了DRM防護而擷取了某些聲音檔。MalwareBytes分析，這事件可以說是產業規模內容竊取的教科書式案例，並警告如果有心人士駭入夠多合法帳號或建立看似合法的假帳號，長期而言就能削弱內容防護。</p> <p><a href="https://www.ithome.com.tw/news/172964"><strong style="font-size: 22px;">安裝數逾800萬的4款瀏覽器擴充程式驚傳攔截AI對話資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot 2025-12-15 at 14_32_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot%202025-12-15%20at%2014_32_32.png" style="width: 300px; float: right;" /></a></p> <p>專注於瀏覽器擴充程式與端點軟體的以色列資安業者Koi Security上周踢爆，有4款Chrome及Microsoft Edge擴充程式會監看、記錄並傳輸使用者與AI的對話。</p> <p>Koi Security共同創辦人暨技術長Idan Dardikman表示，他在使用AI助理時，忽然懷疑是否有人會窺探這些對話，於是使用代理式AI風險引擎Wings，掃描是否有瀏覽器擴充套件具備讀取並外傳AI聊天內容的能力，原本以為只會找到少數下載量不高且來源可疑的工具，結果卻發現由Urban Cyber Security所開發的4款擴充程式，會蒐集使用者與AI聊天機器人的對話，再提供給資料經紀商BiScience進行分析及轉售。</p> <p>這4款擴充程式分別是Urban VPN Proxy、1ClickVPN Proxy、Urban Browser Guard，以及Urban Ad Blocker，它們分別在Chrome及Microsoft Edge的擴充程式商店上架，名義上為VPN、瀏覽器防護與廣告封鎖工具，實際上卻共用一套監控後端。其中，Urban VPN Proxy在Chrome與Edge上分別有600萬及132萬名用戶，1ClickVPN Proxy分別有60萬與3.6萬名用戶，Urban Browser Guard有4萬及1.3萬名用戶，Urban Ad Blocker也各自擁有1萬及逾6,000名用戶，總計安裝數量超過800萬。</p> <p><a href="https://www.ithome.com.tw/news/173014"><strong style="font-size: 22px;">微軟釋出硬體加速的BitLocker，減少拖慢PC效能並強化安全性</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-12-18 131458.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-12-18%20131458.png" style="width: 300px; float: right;" /></a></p> <p>微軟宣布推出硬體加速的BitLocker，取代CPU加速，以提升Windows 11機器的運作效能，並減少金鑰曝露風險。新功能已於9月加入Windows 11 24H2與25H2，並計畫藉由新一代CPU與SoC，普及到次世代PC。</p> <p>新BitLocker有兩項重大變革：一是將加密工作從CPU卸載到專用加密引擎上，以便主要CPU資源能用於主要任務需求，提升效能及減少電力耗用。第二是金鑰由硬體防護。如果機器的SoC晶片支援，BitLocker可自動切換，將加密金鑰交由硬體層隔離與封裝，以免其曝露於CPU及記憶體，可降低旁路攻擊及記憶體漏洞曝露金鑰的風險。微軟表示，這是在受信任平臺模組（Trusted Platform Module，TPM）外的新一層安全機制。</p> <p>要在Windows電腦啟用BitLocker有幾種作法，除手動啟動，亦能透過政策或是指令碼（script）。若搭載NVMe磁碟的電腦晶片支援，Windows就會預設使用新的硬體加速BitLocker和TS-AES-256演算法。</p> <p><a href="https://www.ithome.com.tw/news/173031"><strong style="font-size: 22px;">Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私</strong></a></p> <p>近日Roundcube專案團隊發布安全更新，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中CVE-2025-68461屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為CVE-2025-68460，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p><a href="https://www.ithome.com.tw/news/173030"><strong style="font-size: 22px;">Kibana出現高風險XSS漏洞，多個版本恐遭惡意指令碼攻擊</strong></a></p> <p>Elastic在12月19日發布資安公告，說明Kibana存在一項高風險資安漏洞，可能讓已通過驗證的攻擊者，在其他使用者瀏覽的網頁內容中植入並執行惡意指令碼。該漏洞編號為CVE-2025-68385，屬於高風險等級（CVSS分數7.2）。</p> <p>Elastic表示，問題出在Kibana用來顯示圖表的Vega視覺化元件。系統在產生網頁內容時，沒有仔細檢查使用者輸入的內容，讓攻擊者有機會把惡意指令碼藏進圖表中。當其他人開啟這些圖表時，瀏覽器就會執行惡意指令碼，可能導致帳號資訊或重要資料被竊取。</p> <p>CVE-2025-68385被歸類為CWE-79的跨站腳本攻擊（XSS）手法，雖然攻擊者必須通過身分驗證，但影響範圍不僅限於單一帳號，惡意內容可擴散至同一Kibana實例中的多名使用者，對資料機密性與完整性構成威脅。</p> <p><a href="https://www.ithome.com.tw/news/172885"><strong style="font-size: 22px;">FIDO在臺落地規模擴大，逾300個政府與企業系統支援，Passkey體驗成下一步關鍵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7B）FIDO 2025年底最新進展_臺灣支援FIDO與Passkey現況_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967B%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>隨著FIDO、Passkey技術應用升溫，為促進臺灣與國際間的技術交流，在12月初，FIDO聯盟與FIDO聯盟臺灣分會特別舉辦研討會，揭露最新成果，例如，Passkey在短短3年內，從無到有累積至約35至40億個活躍帳號，展現前所未見的採用速度，同時FIDO聯盟臺灣分會會長張心玲也公開臺灣的FIDO採用現況。</p> <p>對於產業應用態勢，他指出，今年Passkey推動上出現兩大重要變化。首先，是銀行與金融業的快速採用。進入2025年，他觀察到越來越多國際金融機構，包括澳洲、紐西蘭、歐洲、美國及臺灣的多家指標性銀行，已將Passkey納入用戶登入選項。</p> <p>其次，是政府端擴大採用與監管政策的推動。早期Passkey多由電子商務、內容平臺與支付服務引領，如今受監管產業的全面加入，象徵著技術落地的關鍵轉折。包含臺灣、澳洲、美國、英國與德國在內的多國政府，不僅在公共服務中導入Passkey，也更進一步應用於內部的員工身分驗證系統。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152737&SPOKE_DATE=20251224&COMPANY_ID=3023"><strong style="font-size: 22px;">信邦集團與海外子公司部分資訊系統遭網路攻擊</strong></a></p> <p>製作連接線組與連接器的電子零件整合設計暨製造商信邦於12月24日發布資安重訊，表明他們偵測到有部分資訊系統遭網路攻擊，資安部門立即啟動相關資安防禦與系統復原，委請外部資安技術公司共同處理，目前資訊系統正陸續恢復。根據初步調查結果，對於公司營運、資訊安全，以及個資無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-mas-windows-activation-domain-used-to-spread-powershell-malware/">惡意程式Cosmali Loader假借提供非法Windows啟用工具散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/evasive-panda-apt/">駭客組織Evasive Panda透過AiTM網釣與DNS中毒散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/cisa-flags-actively-exploited-digiever.html">CISA警告永恒數位旗下的NVR設備已知漏洞遭積極利用</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> </div></div></div>
2025/12/26 16:32作者周峻佑https://www.ithome.com.tw/news/173061
Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Fortinet在12月例行更新當中，修補<strong><a href="https://www.ithome.com.tw/news/172750">重大層級的漏洞CVE-2025-59718及CVE-2025-59719</a></strong>引起高度關注，事隔3天<a href="https://www.ithome.com.tw/news/172862">傳出有人用於實際攻擊</a>，本週該公司指出，有個5年前的資安漏洞，近期再度出現漏洞利用的情況而成為焦點。</p> <p>12月24日Fortinet提出警告，<strong><a href="https://www.fortinet.com/blog/psirt-blogs/product-security-advisory-and-analysis-observed-abuse-of-fg-ir-19-283">他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用</a></strong>，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2020-12812">皆將這個弱點的嚴重性認定為重大層級</a></strong>，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。</p> <p>一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點。以名稱為jsmith的使用者為例，若是攻擊者輸入Jsmith、jSmith，或JSmith，由於FortiGate不會將登入資料與本機使用者進行比對，就可能尋找次要組態設定的群組（如Auth-Group），嘗試取得LDAP伺服器的資訊。即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p>對於防範上述的漏洞利用行為，IT人員應依照<strong><a href="https://www.fortiguard.com/psirt/FG-IR-19-283">FG-IR-19-283</a></strong>套用相關更新，若是無法升級，必須在所有FortiGate本機帳號當中，停用相關設定；此外，假如企業組織不需要備援的LDAP群組，也最好將其移除。</p> </div></div></div>
2025/12/26 15:16作者周峻佑https://www.ithome.com.tw/news/173059
MongoDB呼籲IT人員儘速修補高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，<strong><a href="https://jira.mongodb.org/browse/SERVER-115508">他們發布重大更新修補資安漏洞CVE-2025-14847</a></strong>，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-14847">4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5</a>，呼籲用戶要儘速套用新版因應</strong>。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> </div></div></div>
2025/12/26 16:11作者周峻佑https://www.ithome.com.tw/news/173060
LLM調度框架LangChain核心元件序列化注入漏洞，可能導致環境變數機密外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名大型語言模型調度開源框架LangChain團隊發布安全通報，揭露核心套件langchain-core存在序列化注入漏洞<a href="https://github.com/advisories/GHSA-c67j-w6g6-q2cm">CVE-2025-68664</a>，該漏洞CVSS 3.1基礎分數為9.3，屬重大等級。受影響版本為langchain-core小於0.3.81，或介於1.0.0以上且低於1.2.5。官方已釋出修補版本0.3.81與1.2.5，並同步收緊load()與loads()的預設行為，以降低誤用風險。</p> <p>漏洞出在langchain-core本身的dumps與dumpd序列化功能。LangChain有一套內部資料格式，會用lc這個保留欄位來標記這段資料可以在之後被還原成LangChain物件。官方指出，問題在於dumps()與dumpd()在序列化一般字典資料時，沒有妥善處理剛好含有lc欄位的外部可控內容。結果是這些資料在後續經由load()或loads()還原時，可能被當成真正的LangChain物件來建立，進而引發安全風險。</p> <p>官方指出，較常見的風險並非攻擊者直接提供序列化內容要求系統載入，而是大型語言模型回應中的欄位，可能在提示詞注入影響下，被引導生成攻擊者想要的內容或結構，例如metadata、additional_kwargs或response_metadata等。當這些欄位經由框架既有流程被序列化，並在串流事件或日誌等路徑於後續階段再度還原，就可能跨越開發者原先假設的信任邊界，形成可被利用的注入點。</p> <p>就可能造成的後果而言，其一是環境變數機密外洩，當反序列化在secrets_from_env選項啟用的情況下，攻擊者要是能讓注入結構被還原，就有機會從環境變數取得機密資料。其二是不安全物件實例化，雖然LangChain對可還原的類別採取命名空間限制，但仍可能在既有受信任命名空間內實例化Serializable子類別，當建構流程伴隨網路呼叫或檔案操作等副作用，將擴大安全風險。 </p> <p>LangChain在本次修補中，除了補上序列化跳脫缺口，也一併收緊load()與loads()的預設行為。官方解釋，新版引入更嚴格的允許清單策略，並將secrets_from_env預設由True改為False，同時以init_validator預設阻擋Jinja2樣板等高風險初始化行為。官方也提醒這些變更對少數使用情境可能屬破壞性調整，使用者需留意相依程式碼是否仰賴舊預設。 </p> <p>LangChain在JavaScript版本也發布了相似機制的漏洞安全通報<a href="https://github.com/advisories/GHSA-r399-636x-v7f6">CVE-2025-68665</a>，指出toJSON未跳脫含lc鍵的使用者可控物件，可能在後續load()時造成環境變數機密外洩與不安全實例化，並將secretsFromEnv明確改為預設false，以降低環境變數機密外洩與不安全實例化風險。</p> </div></div></div>
2025/12/26 15:07作者李建興https://www.ithome.com.tw/news/173052
瀏覽器引擎WebKit引入CSS Grid Lanes，瀑布流排版走向原生CSS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源瀏覽器引擎WebKit團隊提出<a href="https://webkit.org/blog/17660/introducing-css-grid-lanes/">CSS Grid Lanes</a>，試圖把長期依賴JavaScript函式庫才能穩定完成的瀑布流（Waterfall）排版配置，放進瀏覽器原生的CSS版面配置能力之中。該設計以新增的display:grid-lanes為入口，讓開發者沿用既有CSS Grid的軌道（Grid Track）定義語法來描述欄或列，再交由瀏覽器負責自動放置不同高度的內容項目。目前功能已可在Apple Safari技術預覽234版進行測試。</p> <p>WebKit在說明中將Grid Lanes定位為瀑布流的下一步，並提到這套做法以Mozilla與WebKit之前的投入作為基礎，同時也經過CSS工作小組與各家瀏覽器多輪討論後，逐步收斂出較明確的運作方式。</p> <p>W3C發布<a href="https://www.w3.org/TR/css-grid-3/">CSS Grid Layout Module Level 3工作草案</a>，文件把grid-lanes與inline-grid-lanes納入display屬性的新值，並定義Grid Lanes的版面配置模型與相關行為。</p> <p>WebKit特別把可用性與可存取性納入討論，由於傳統瀑布流常見的問題是視覺順序與鍵盤導覽順序不一致，使用者按Tab時可能一路走到第一欄底部，才跳回第二欄頂端，閱讀與操作感受不連續。Grid Lanes的目標是在保留瀑布流排版視覺密度的同時，讓使用者能更自然地以鍵盤在目前可見內容之間移動，也降低過去為了量測內容高度與決定放置位置而必須用JavaScript介入排版的需求。</p> <p>為了減少瀑布流因微小高度差而頻繁換欄，造成視覺跳動與導覽上的困惑，WebKit提出item-tolerance，讓瀏覽器在選擇下一個項目落點時，把高度差距小到一定程度的候選欄位視為同一級距，避免因細微差異而做出讓人意外的換欄決策。這個屬性在規格與Safari技術預覽234版目前採用item-tolerance命名，且預設以1 em作為判斷接近程度的基準，但WebKit也提醒名稱仍可能調整。</p> <p>W3C的工作草案也討論了相容性上的自然降級。文件範例指出，作者可先宣告display:grid再宣告display:grid-lanes，在不支援Grid Lanes的使用者代理程式中，後者會被忽略，版面仍會以一般Grid呈現，只是可能出現較多垂直方向空隙。該寫法讓團隊能以較低風險方式，在支援環境中逐步啟用新能力，同時保留可接受的降級呈現。</p> <p>現階段Grid Lanes仍處於工作草案與技術預覽版可測的階段，細節包含命名與部分行為仍可能調整。</p> </div></div></div>
2025/12/26 15:25作者李建興https://www.ithome.com.tw/news/173054
Kotlin 2.3.0強化多平臺工具鏈，JVM支援Java 25並提升Wasm原生互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JetBrains釋出<a href="https://kotlinlang.org/docs/whatsnew23.html">Kotlin 2.3.0</a>，該版本更新重點在於語言功能的穩定與多平臺工具鏈進展，涵蓋JVM、原生、WebAssembly與JavaScript等目標。此版本一方面讓部分語言能力走向更明確的預設行為與穩定狀態，另一方面也帶來跨平臺互通、建置效率與相容性相關的更新，協助開發者在不同執行環境間維持一致的開發與部署節奏。</p> <p>Kotlin 2.3.0將巢狀型別別名，以及when表達式的資料流窮盡性（Exhaustiveness）檢查提升為穩定功能，同時把表達式主體且明確回傳型別的函式可使用return陳述式，調整為預設行為。由於要降低開發時因忽略函式回傳結果而意外犯錯的風險，官方新增未使用回傳值檢查器與相關註記，用於提示回傳值未被使用的情況。</p> <p>另一方面，2.3.0也提供仍屬實驗性的明確後備欄位語法，讓屬性在對外暴露型別與內部實作型別不同的情境下，可以用更直接的方式表達與維護。至於情境式解析功能，官方仍持續修正其解析範圍與判定方式，並在可能造成歧義的情況下加入警告提示。</p> <p>在Kotlin/JVM方面，2.3.0開始支援產生Java 25位元碼。Kotlin原生端則強化與Swift的互通能力，透過Swift匯出機制新增對原生列舉與可變參數的支援，同時把C與Objective-C函式庫匯入推進到Beta測試階段，並改善正式發布Release建置效能。JetBrains也同步調高iOS、tvOS與watchOS的最低支援版本，並將多個x86_64的Apple目標下調至較低支援等級，對仍依賴Intel目標的專案，需要及早盤點後續維護與搬遷規畫。</p> <p>Kotlin WebAssembly方面，2.3.0預設啟用KClass.qualifiedName，讓完整類別名稱可在執行期取得，藉此減少從JVM搬遷到WebAssembly時在診斷與程式行為上的落差。至於例外處理機制，2.3.0僅在wasmWasi目標預設採用新版WebAssembly例外處理提案，wasmJs目標仍維持預設關閉，必要時可透過編譯器選項啟用。</p> <p>Kotlin JavaScript則新增兩項面向互通的變更，包含實驗性支援將suspend函式直接匯出給JavaScript使用，以及以BigInt64Array表示LongArray的選項，方便對接偏好型別化陣列的JavaScript API。</p> <p>工具鏈方面，Kotlin 2.3.0宣布完全相容於軟體建置工具Gradle 7.6.3至9.0.0，並新增用於註冊生成程式碼來源的Gradle API，目標是讓IDE更容易區分生成程式碼與手寫程式碼。支援2.3.0的Kotlin外掛已隨最新版IntelliJ IDEA與Android Studio提供，標準函式庫也把時間追蹤能力提升為穩定，並擴充仍屬實驗的UUID（Universally Unique Identifier）生成與解析。</p> </div></div></div>
2025/12/26 15:38作者李建興https://www.ithome.com.tw/news/173057
舊金山停電，Waymo無人車阻斷交通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國太平洋瓦斯電力公司（PG&E）位於舊金山的變電站12月20日發生火災，造成舊金山出現大規模停電，影響全市近三分之一地區用電，多處主要道路交通號誌同時失效，市區交通一度陷入混亂。停電期間，亦傳出Waymo無人駕駛計程車停留在十字路口，進一步加劇道路壅塞，<a href="https://waymo.com/blog/2025/12/autonomously-navigating-the-real-world" target="_blank">Waymo隨後暫停在舊金山的服務</a>。</p> <p>在停電期間，多輛Waymo無人計程車被拍到停在街道與路口中央，後方車流回堵，引發民眾與駕駛不滿。<a href="https://x.com/ArthurSXAI/status/2002813776416911868" target="_blank">社群平臺流傳的畫面</a>顯示，部分路口同時有多輛Waymo車輛停留原地。舊金山是Waymo自駕計程車的重要營運城市，外界估計當地約部署1,000輛Waymo車輛。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/20Xhfn-uMlo?si=TujRhWrL8Fqm052n" title="YouTube video player" width="560px"></iframe></div> <p>Waymo於周二（12/23）說明，應對如此大規模的事件對自動駕駛技術而言是一項獨特挑戰。Waymo Driver在設計上，會將熄燈的交通號誌視為四向停車路口，但在部分情況下仍會請求後端確認，以確保做出最安全的選擇。</p> <p>Waymo表示，其無人駕駛計程車於20日當天成功通過超過7,000個號誌失效的路口，但此次停電導致確認請求短時間內激增，形成積壓，部分車輛因此停留時間拉長，加劇了擁塞情況。為避免進一步影響交通，Waymo隨後暫停營運，並指示車隊靠邊停放，確保緊急車輛優先通行。</p> <p>Waymo也指出，事件發生後已整合更多停電相關資訊，更新緊急準備與應變機制，並擴大與第一線緊急應變人員的合作。</p> <p>多家外媒指出，Waymo無人計程車在營運中仍需人力支援處理物理問題，例如乘客下車後未關好車門，或車輛無法自行復位。Waymo透過第三方平臺召集支援人員到場，手動關門的報酬約22至24美元，拖吊車輛的費用約60至80美元。此次舊金山停電導致交通混亂，也放大這類人力需求，凸顯無人車營運仍存在不可忽視的人力成本。</p> <p>另一方面，Waymo主要競爭對手特斯拉（Tesla）執行長<a href="https://x.com/undercoverwhale/status/2002775975214629297" target="_blank">馬斯克（Elon Musk）則表示</a>，舊金山停電並未影響特斯拉的Robotaxi服務。不過，目前特斯拉Robotaxi仍須配備人類監督員，尚未以完全無人形式營運。</p> </div></div></div>
2025/12/26 14:44作者陳曉莉https://www.ithome.com.tw/news/173056
Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名開放原始碼網頁郵件專案Roundcube，提供類似桌面郵件軟體的操作介面，具備多語系、通訊錄、郵件搜尋、外掛擴充等功能，廣泛被企業、學術機構與主機服務商採用，作為自架電子郵件系統的網頁前端。由於受到各界採用的規模龐大，其資安風險一旦曝光，影響範圍往往不容小覷。</p> <p>近日Roundcube專案團隊<a href="https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank">發布安全更新</a>，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p><a href="http://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Security%20updates%201_6_12%20and%201_5_12%20released.png" style="width: 500px;" /></a></p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68461" target="_blank">CVE-2025-68461</a>屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>在實際攻擊情境中，只要使用者於網頁郵件介面中開啟含有惡意SVG的電子郵件，瀏覽器便可能立即執行JavaScript惡意指令碼。在網頁郵件服務中，XSS漏洞的危害尤為嚴重，常被用來竊取連線階段Cookie、進行帳號劫持，甚至在使用者不知情的情況下重新導向至釣魚網站。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68460" target="_blank">CVE-2025-68460</a>，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p>Roundcube開發團隊建議管理員立即升級至1.6.12或1.5.12版，以封堵潛在攻擊途徑，降低系統遭到入侵或資料外洩的風險。</p> <p>網頁郵件服務向來是跨站腳本攻擊（XSS）的高風險目標，主因在於其必須在瀏覽器中動態顯示來自外部來源的內容，包括HTML郵件、圖片、附件預覽與內嵌樣式等。即使系統本身未遭入侵，攻擊者仍可透過電子郵件這類「可信輸入管道」，將惡意內容直接送入使用者的瀏覽器環境。</p> </div></div></div>
2025/12/26 11:12作者王珮瑤https://www.ithome.com.tw/news/173031
Linux核心首度出現Rust漏洞，恐導致系統當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux核心近期修補<a href="https://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank">一項重大資安漏洞CVE-2025-68260</a>，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p><a href="http://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-CVE-2025-68260-linux.png" style="width: 600px;" /></a></p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p>一旦這種狀況發生，連結串列的指標結構可能遭到破壞，導致記憶體損毀。實務上，該漏洞最直接的後果是核心崩潰（Kernel Panic），系統紀錄中可能出現「Unable to handle kernel paging request」等錯誤訊息，造成設備非預期重新開機或服務中斷，對企業環境與關鍵系統風險尤高。</p> <p>Linux核心CVE團隊指出，該漏洞是在Linux核心6.18版本中引入，源自一筆更新Binder程式碼的提交，但當時未妥善處理同步機制。相關問題已在後續版本中完成修補，包括Linux核心6.18.1與6.19-rc1。</p> <p>修補方式是重新設計Node::release的處理流程，改為直接從原始清單中取出元素，完全移除中介的暫時堆疊清單，以避免在鎖定解除後仍存取共享資料結構。</p> <p>Linux核心CVE團隊強烈建議使用者直接升級至最新的穩定版核心。官方也提醒，由於單一修補並未獨立測試，不建議僅選擇性套用特定提交。若短期內無法進行完整升級，管理人員可考慮從上游核心穩定分支套用相關修補，作為暫時因應措施，以降低系統當機風險。</p> <p><span style="font-size:22px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 為何這起Rust漏洞具有指標意義 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>這次事件再次提醒，Rust雖然具備記憶體安全方面的語言優勢，但並非「零漏洞保證」，仍需要嚴謹的設計與持續更新，才能真正發揮安全效益。</strong></span></p> <p><span style="color:#696969;"><strong>不過，<a href="https://www.ithome.com.tw/news/172247" target="_blank">從Android團隊在系統層大量導入Rust的經驗來看</a>，Rust在降低風險方面仍展現明顯成效。根據Android團隊統計，Rust程式碼的記憶體安全漏洞密度約為每百萬行0.2個，相較之下，C與C++程式碼歷年平均約為每百萬行1,000個，兩者差距接近千倍。</strong></span></p> <p><span style="color:#696969;"><strong>Android團隊也指出，重點不在於是否「完全沒有漏洞」，而是在於能否大幅降低漏洞出現的頻率與密度，而這正是Rust在系統層程式開發上的核心價值。</strong></span></p> </div></div></div>
2025/12/26 11:28作者王珮瑤https://www.ithome.com.tw/news/173032