iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 8篇
近 24 小時: 24篇
近 7 天: 136篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 136 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】1月26日，ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173581"><strong style="font-size: 22px;">身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 300px; float: right;" /></a></p> <p>身分驗證業者Okta偵測到有開發團隊以租用服務形式提供客製化的網釣套件，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。資安新聞網站Bleeping Computer指出，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>對此，ShinyHunters後來聲稱這波攻擊行動是他們所為，並表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/173577"><strong style="font-size: 22px;">Fortinet坦承FortiCloud SSO漏洞修補不全，將再釋出更新</strong></a></p> <p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet上週證實去年12月修補的FortiCloud單一登入（SSO）整合漏洞，發生修補不全的問題，承諾將再釋出更新軟體。</p> <p>今年1月15日起，資安公司Arctic Wolf發現新一波針對FortiGate裝置的惡意活動，不明人士濫用CVE-2025-59718，擅自以管理者帳號經由FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於相關活動僅間隔數秒，Arctic Wolf判斷可能是自動化指令碼程式或工具執行。</p> <p>對此，Fortinet指出有部分攻擊事故發生在已完成修補的設備，研判有新的攻擊途徑，該公司產品安全團隊聲稱已經找出問題，正在趕製修補程式，待修補範圍及時程確定後，將發布新的安全公告。Fortinet強調，目前僅有該廠牌的單一登入功能遭濫用，不過這項弱點也可能影響其他實作SAML單一登入的環境。</p> <p><a href="https://www.ithome.com.tw/news/173576"><strong style="font-size: 22px;">未設密碼防護的資料庫系統暴露在公開網路，iCloud、Gmail、Netflix等近1.5億筆憑證曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" style="width: 300px; float: right;" /></a></p> <p>VPN業者ExpressVPN指出，資安研究員Jeremiah Fowler發現有1.49億筆帳密資料的雲端資料庫，該資料庫未設置密碼或套用加密防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的憑證曝險。</p> <p>Jeremiah Fowler估計，公開的資料涵括主要雲端郵件服務及雲端服務，其中Gmail最多，有4,800萬筆、Yahoo與Outlook居次，分別為400萬筆及150萬筆，iCloud有9萬筆。此外，其他常見的社群網站或服務包含臉書、Instagram、Netflix、抖音、幣安（Binance），以及OnlyFans，分別有1,700萬、650萬、340萬、78萬、42萬，以及10萬筆。值得留意的是，學術機構（.edu網域）平臺的憑證，有140萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加，可能還會影響國家安全和公共安全。</p> <p><a href="https://www.ithome.com.tw/news/173575"><strong style="font-size: 22px;">駭客宣稱駭入Nike竊得近19萬份檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究人員Dominic Alvieri發現，駭客組織WorldLeaks在網站張貼公告，宣稱駭入知名運動品牌Nike，竊得18.8萬份檔案、共1.4 TB資料。</p> <p>為了取信買家，駭客張貼螢幕擷圖來證明。根據截圖內容，外洩的資料可能來自其中一家Nike的分公司，至少包含製造端，像是多個系列的製造和工廠資料。從螢幕截圖的倒數日期來判斷，WorldLeaks疑似向Nike施壓，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p>對此，Nike對媒體表示，該公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.ithome.com.tw/news/173573"><strong style="font-size: 22px;">惡意軟體測試服務AVCheck遭瓦解，荷蘭警方逮捕疑似實際營運者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" style="width: 300px; float: right;" /></a></p> <p>多國執法單位在2025年中旬瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體HackRead引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie發布的官方聲明，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p>荷蘭警方說明，AVCheck屬於所謂的「反防毒測試服務（Counter Antivirus，CAV）」，主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p><a href="https://www.ithome.com.tw/news/173572"><strong style="font-size: 22px;">歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商</strong></a></p> <p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（Cybersecurity Package）」，內容包括修訂《歐盟網路安全法》（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p>此次推動修法與2020年推出的「5G網路安全工具箱」（EU 5G Security Toolbox）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p><a href="https://www.ithome.com.tw/news/173559"><strong style="font-size: 22px;">愛爾蘭新法草案允許警察使用間諜軟體惹議</strong></a></p> <p>愛爾蘭一項新法案允許警方使用間諜軟體來截取人民所有通訊內容，以偵辦及防範犯罪及國家安全危害事件。</p> <p>這項法案名為通訊攔截與合法存取法案（Communications Interception and Lawful Access Bill）是由愛爾蘭司法、內政暨移民部提出的新法草案，本法案旨在反映現代通訊技術環境的變化，將更新並取代20多年前制訂的《郵政包裹與電信訊息法Regulation Act》，以作為「合法攔截通訊」的法規框架。</p> <p>愛爾蘭民權協會（Irish Council for Civil Liberties）認為，新法案將賦予愛爾蘭警方「深度侵入性」的權力。全球加密聯盟（Global Encryption Coalition）則警告法案可能削弱整體通訊加密強度與安全性，是對廣泛使用者造成風險。公開信中還指出一些歐盟成員國已經對愛爾蘭參與的聊天控管（Chat Control）措施表態反對，稱其對隱私構成重大威脅。</p> <p><a href="https://www.ithome.com.tw/news/173570"><strong style="font-size: 22px;">約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限</strong></a></p> <p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為CVE-2025-14533，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體Bleeping Computer與WordPress資安公司Wordfence的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/konni-hackers-target-blockchain-engineers-with-ai-built-malware/">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員及工程師而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-osiris-ransomware-emerges-as-new.html">勒索軟體Osiris鎖定東南亞餐飲加盟廠商，利用惡意驅動程式Poortry迴避偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/multi-stage-phishing-campaign-targets.html">惡意軟體Amnesia RAT與勒索軟體鎖定俄羅斯而來，駭客濫用Defendbot停用防毒</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/">運動品牌Under Armour調查客戶電子郵件信箱外洩事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-malware-uses-ai-to-click-on-hidden-browser-ads/">安卓點擊詐欺木馬利用機器學習模型TensorFlow，自動偵測並與廣告互動</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> </div></div></div>
1/26 17:40作者周峻佑https://www.ithome.com.tw/news/173582
【幕後技術】直播臺北101徒手攀登的關鍵，Netflix如何打造千萬人直播的IT架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>站在508公尺高的臺北101大樓最高點，昨天全球Netflix觀眾都看到了美國徒手攀岩大神霍諾德的英姿。這是Netflix直播節目距離地面最高的一個直播現場。</p> <p>早在3年前，2022年中，全球串流影音龍頭Netflix，Netflix問了自己一個問題，能不能用直播來娛樂全世界？要如何做到？</p> <p>這一問，啟動了Netflix一項全新的節目形式：直播節目。第一場就是2023年3月4日開播的現場喜劇表演「克里斯洛克的「抓狂有道」，後續更一連直播了數百場節目，從美式足球比賽，到全球最賺錢YouTuber與前世界拳王泰森對決直播，最熱烈的這場拳賽，更吸引超過6500萬人線上同步收看。甚至美國職業摔角聯盟WWE的比賽，每一個禮拜都在Netflix平臺獨家直播到全球。Netflix甚至已經開始計畫，明年在加拿大地區提供，世界盃女子足球比賽的全賽事直播。</p> <p>昨天剛落幕的霍諾德徒手攀登臺北101大樓，正是這系列直播節目的其中一場，但是這一次的直播現場，是拍攝現場距離地面最高的一次。不只有高空的直升機、無人機，還有從臺北101吊掛鋼索，跟著霍諾德一步步升高的高空攝影師，就吊掛在距離霍諾德幾公尺旁運鏡。101大樓不同高度的露臺，更設置了不少攝影機，來拍攝更多角度的畫面，光是用來傳輸節目的光纖長度就超過900公尺，還特地從英國空運來臺設置。</p> <p>根據美國媒體推測，Netflix直播節目收看人數最高的一場是2024年11月，27歲網紅和前世界拳王泰森的直播表演賽，吸引超過6千萬戶家庭，同時上線人數最高達到6,500萬人。美國媒體推測，光靠這場比賽，Netflix第四季的訂戶就暴增了1千萬人。</p> <p>為了確保直播順暢，Netflix採用了許多開源技術和自製的大規模即時監控技術，每秒可以處理最多到3800萬個資料事件，才足以因應如此龐大規模的全球直播活動。</p> <p>2022年中，推出串流影音服務超過15年的Netflix，開始思考一個問題，能不能用直播來娛樂全球，也展開了相關的技術架構準備。因為全球規模的直播活動，與Netflix原本的影音串流架構有很大的不同，甚至可說，當時的Netflix技術架構，還無法支撐起全球性的直播活動。</p> <p>所以，Netflix先用一場劇場中的喜劇節目作為試點，也就是主持過奧斯卡頒獎的克里斯、洛克的脫口秀「抓狂有道」。</p> <p>不過，Netflix下定決心要做直播節目時，距離這場脫口秀，只剩下9個月的時間準備，需要快速執行，同時又要考慮得日後的規模化和多樣性，來進行架構設計。他們決定要從直播生命週期的角度，涵蓋製作到螢幕播放的全程，來設計這款新的影音節目產品。</p> <h2><span style="color:#FF0000;"><strong>顛覆Netflix既有模式的挑戰，直播節目與按需播放的五大不同</strong></span></h2> <p>從技術層面來看，Netflix擅長的是Video On Demand（按需播放）形式，這和直播節目的Live Streaming形式，有五大不同。從取材角度來看，第一的不同是，從拍攝鏡頭到觀眾螢幕的時間大不同。按需播放形式往往可以擁有好幾天到好幾個月的時間，但是，直播只有幾秒鐘，得完成從畫面捕捉，轉碼，處理成不同影音串流可用的內容形式。</p> <p>從觀眾角度來說，兩種模式提供的使用者體驗也很不一樣，按需播放提供的是隨時、隨地，隨意裝置都可以收看的內容，但是，直播是預先排定的固定時間，更需要許多事前宣傳和促銷活動。</p> <p>更進一步來看技術面，第三個不同是觀看模式的差異，這也會帶來截然不同的網路流量高峰變化。按需播放模式有週期性，定期會出現流量高峰，可以善用像CDN來預先配置資源，或是參考歷史流量記錄，運用公雲來分流。但是，直播節目的流量，是完全不確定的爆量，隨時都可以爆量，需要更即時回應和規模調整的負載平衡能力。</p> <p>回放暫存單位的差異是第四項不同點，按需播放形式的暫存單位以「分鐘」為單位來快取，可以有幾分鐘的快取，但是，直播必須以秒為單位來處理延遲。<br /> 最後一項是兩者的運作模式也大不相同。按需播放形式採取了「待命模式（On-call）」，觀眾有需要才會播放，沒人看甚至都不用播放，但是，直播是即時性的節目，一旦有問題得，就得在最快時間內恢復播放。</p> <p>Netflix的目標是，盡可能支援最多種類的裝置，都可以流暢的播放，也要有能力支援當時全球超過3億名用戶的收看規模。</p> <h2><strong><span style="color:#FF0000;">為支援全球任何地點直播，NetFlix如何設計直播技術架構</span></strong></h2> <p>為了支援日後可能在全球任何地方舉行的節目，（當初應該沒有想到，有一天會在508公尺的高空拍攝），因為不見得每一個地點都有充足的現場直播設施或是妥善的網路連線。Netflix直播技術團隊，採取了分散式的廣播營運中心（Broadcast Operations Center）架構，搭配可以用來偵測和截取訊號、同時又可以處理字幕、圖文和廣告管理的專用系統。盡可能採取可重複利用和高度自動化的架構。</p> <p>整個直播節目的技術運作架構如下，從直播製作，廣播維運中心（取得影音和檢查），直播編碼流程（進行轉碼，封裝，播放），再將內容傳送到分散式CDN服務，再發送到使用者端的裝置。另外還有一套內容處理的雲端服務，涵蓋了訊息推送，回放服務，探索內容服務（例如推薦功能）。</p> <p><strong>Netflix直播節目的技術運作架構，關鍵是製作和播放區分成兩套架構。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>Netflix直播節目的設計是將製作和播放區分開來，現場直播節目製造組，只需要將節目內容傳送到播放單位，也就是廣播維運中心，後續全部由廣播維運中心來負責。</p> <p>廣播維運中心收到的來源，包含了已製作完成的節目，但是還需進行編碼和打包等多項數位處理，才能串流傳輸到不同裝置。這些處理全都透過公雲的服務來處理，舉例來說，透過公雲服務將內容轉碼成各種視訊品質等級的內容版本，可以針對每個節目設計不同的視訊品質。例如第一檔直播的喜劇節目Chris Rock: Selective Outrage，採用了每秒30幀的超高清畫質，而在去年舉辦的多場NFL美國美式足球聯盟聖誕大賽中，則採用了每秒59.94幀的高清畫質，同時包括4種語言的聲音和廣告。數位版權管理 (DRM)、內容管理和內容交付服務也都部署在公雲上。</p> <p>交付內容時，主要透過Netflix自行開發的CDN服務Open Connect，在靠近觀眾的6千個地點上，建置了超過18,000臺CDN伺服器，並透過專用的 Open Connect骨幹網路，連接到公雲業者的句點，串接影音來源的主機。光是這套Open Connect及時交付架構，Netflix過去十多年來投入超過10億美元的投資。</p> <p>為了讓多數用戶，不用需升級串流媒體的設備，就可以存取直播節目，Netflix三年前就決定相容性最廣的HTTPS Live Streaming。採用了AVC和HEVC視訊編解碼器，可以支援從高清到 4K畫質等多種影音品質等級的影音轉碼。為了兼顧壓縮效率、基礎設施的負載和傳輸延遲的考量，Netflix最後採取了2秒片段時長的快取設計。直播節目進行時，還有數十隻雲端服務，提供播放配置、個人化調整以及相關顧客數據指標的搜集。</p> <h2><strong><span style="color:#FF0000;">直播架構大量依靠開源技術，也自行開發多套串流工具平臺</span></strong></h2> <p>直播節目所用的即時監控系統，採用了Netflix內部開發的工具，像是即時串流分析工具Atlas、串流處理即服務平臺Mantis、自助式儀表板工具Lumen，也採用了開源 Kafka和Druid來建置，曾經支援過最大型的直播活動，整套Netflix直播系統，每秒可以處理高達3,800萬個事件，只要幾秒鐘，就可以提供關鍵指標和營運分析。</p> <p>在每一場直播節目開播之前，他們也有不少準備工作。像是會事先進行收視率預測，來預先配置可能需要的雲端資源和CDN容量，也會提前與ISP業者和雲端合作夥伴共享預測結果，讓他們可以規畫網路和運算資源。</p> <p>在雲端也有一套即時擴充系統，可以用彌補預測系統的不同，即時擴充系統可以針對不同的使用者行為，如註冊、登入、內容發現和播放服務的變化，即時因應來擴充對應服務的可用資源，來因應超出原本預測收視率，所做的準備工作。</p> <p>在大型活動現場，也會與關鍵系統的工程負責人設立現場發布室。為了快速檢測和回應可能的問題，Netflix直播團隊會事先制定出一整套的問題指標，作為問題的先期指標，也針對常見的操作問題，預先制定了詳盡的緊急應變手冊，提前演練故障的應對。這份直播緊急應變手冊，不只限於工程部門的操作，還涵蓋了通報到高階主管、客戶服務、生產、傳播或社交等不同部門的協調項目。</p> <p>在這次臺北101徒手攀登直播開播之前，Netflix就預告，會有10秒鐘的時間延遲，以便有任何突發事故時，可以中斷或調整直播內容。</p> <h2><span style="color:#FF0000;"><strong>10秒延遲的應變關鍵，一站式的播放中控系統關鍵平臺Control Room</strong></span></h2> <p>前面提到Netflix將節目製作和節目播放區分開來，在直播播放團隊有一套Netflix自行開發的播放中控系統，稱為「控制室」（Control Room），可以用來控制和調度，各種直播活動的資源配置。調度人員可以在這個控制室系統上，監看各種數據和畫面，來因應10秒延遲時間出現的各種變化。</p> <p><strong>Netflix自行開發的播放中控系統，稱為「控制室」（Control Room）。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>這套「控制室」系統，提供了一個統一的控制介面，可以用來監看和控制一場直播活動的雙區域播放架構。每一檔節目都採取了雙雲端區域架構的備援，同時透過兩個公雲區域中心，來播放。</p> <p>操作人員透過控制室可以協調兩個雲端區域的資源，也可以監控關鍵指標。一旦出現故障，也有故障轉移的手動切換機制，像是其中一個雲端區域塞爆或當機，操作員只要幾秒鐘就能將流量導向另一個正常運作的區域來提供串流服務。</p> <p>一檔直播活動還可以細分成三個階段，直播前準備階段、編碼和直播階段、支播後清理階段。在這套控制室系統上，操作人員可以監看每一個階段的所有狀態資訊，也能確保觀眾看到的節目時間表，和預先排定節目表一致。因為直播節目沒有預定的結束時間（後面也不會像電視有下一檔節目要播），需要透過人工操作，啟動「結束指令」，來結束這一檔直播節目。</p> <p>若直播發生中斷，在控制室中也預先安排了不同的中斷事件圖卡，來告知觀眾，目前處於什麼樣的狀態，接下來又會如何接續，是中斷節目，還是稍後多久可以重啟直播等。</p> <p>Netflix原本的直播節目團隊，只是一個小團隊，但現在已經發展成一個數十團隊協作，來打造和維運這一整套的直播系統，包括了營運和可靠性團隊、開發團隊、內容交付團隊、設備播放團隊、串流媒體演算法團隊、UI工程團隊、搜尋和發現服務、訊息傳輸技術團隊、內容促銷和配銷團隊、資料平臺團隊、雲端基礎架構團隊、資料科學和工程團隊、PM團隊、全球化部門、消費者洞察團隊、廣告團隊、資安團隊、支付團隊、直播產品團隊、體驗設計團隊、產品行銷和客服團隊等。</p> <p>從這個團隊清單，更可以看出Netflix為一檔直播節目所下的投資和決心，可說是串流之後的戰略級新娛樂模式。</p> <p> </p> </div></div></div>
1/26 16:10作者王宏仁https://www.ithome.com.tw/news/173586
【資安週報】0119~0123，臺灣7家業者接連受駭引發關注，中國立訊也傳遭勒索，駭客甚至威脅公開蘋果、Nvidia、…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年1月第三星期的資安新聞，有多起資安事故消息浮上檯面，顯現企業受駭態勢持續擴大，有昭輝實業、億力光電、永擎電子3家公司發布重訊揭露狀況，還有4家未上市公司也傳出遭駭情形。</p> <p>●汽車塑膠零組件大廠昭輝在18日發布資安重訊，說明有部分電腦遭不明駭客入侵，且部分伺服器資料遭加密，已啟動防禦與復原機制。<br /> ●LED封裝大廠億光19日代子公司億力光電公告遭遇資安事故，部分資訊系統遭受駭客網路攻擊，由於提到啟動復原作業，可能是遭到勒索軟體攻擊。<br /> ●1月20日我們蒐集勒索軟體情資發現臺灣受害公司竟多達5家，包括：勒索軟體集團Everest宣稱入侵吉興工程顧問、萬機鋼鐵工業、上市公司永擎電子，勒索軟體集團Qilin宣稱入侵志邦企業，勒索軟體集團Gentlemen宣稱入侵寶華貿易。當日上午我們發信向各家公司求證，均未獲得回覆。兩日後永擎電子發布資安重訊，指出外包廠商帳密外流，內部清查後受影響權限僅涉及官網資料與特定產測程式。</p> <p>此外，我們另發現台新新光金發布個資方面的重訊，說明其子公司新光人壽因業務檢查缺失，遭金管會認定違反保險法及個人資料保護法，裁罰新台幣395萬元。</p> <p>國際間亦有多起重大資安事故，中國代工巨頭立訊精密遭駭事件震驚全球，勒索組織RansomHub宣稱已入侵該公司系統，並威脅將公開蘋果、Nvidia與特斯拉的資料，目前立訊精密尚未回應此事；還有勒索軟體Everest聲稱入侵印度麥當勞，並公布運動服飾品牌Under Armour大量客戶資料。</p> <p>至於其他重大事故有3起，包括：歐鐵通行證Eurail Pass荷蘭營運商Eurail B.V.揭露資料外洩事故，旅客個資、訂位或護照等資料遭未經授權存取，以及加拿大投資監管組織CIRO揭露去年8月遭網釣攻擊，導致75萬投資人個資外洩；IT業者Ingram Micro通報主管機關去年7月遭勒索軟體攻擊，有4.2萬人個資外流。</p> <p>在威脅態勢方面，首要焦點在於國家級駭客威脅態勢的揭露，微軟指出，近年臺灣面臨的國家級駭客活動事件數達143起，居於全球第6名，僅次於美國、以色列、烏克蘭、阿拉伯聯合大公國、英國。</p> <p>社交工程威脅同樣不可輕忽，去年多家資安業者指出，越來越多攻擊者假冒員工，誘騙IT服務臺人員發動語音網釣，目的是重設系統密碼與新增MFA裝置綁定，當時我們曾提醒，攻擊者後續可操弄的環節仍相當多元，如今出現竄改薪資帳戶資訊的案例，其後段手法與BEC詐騙類似，但仍有差異，這次是駭客直接修改銀行帳戶號碼。至於其他社交工程威脅還涵蓋工具假冒、魚叉式網釣等，我們整理如下：</p> <p>●資安公司Palo Alto Networks揭露薪水海盜行動，駭客利用語音網釣騙過IT服務臺獲取權限後，進而竄改薪資系統銀行帳號以盜取薪資，薪水遲付才發現異常。<br /> ●人資及ERP系統用戶當心！有攻擊者鎖定Workday、NetSuite、SuccessFactors等用戶，推出可簡化多帳號管理或加速工作流程的惡意Chrome延伸套件，實際可劫持用戶Session Cookie取得存取權限，已有2,300人受害。<br /> ●有APT組織利用後門程式PDFSider滲透財星百大企業，資安公司Resecurity指出，駭客透過魚叉式網釣發送ZIP檔，並以DLL側載技術規避防毒與EDR監控。<br /> ●駭客利用串接千個ZIP檔手法散布惡意軟體載入工具GootLoader，MDR業者Expel警告，該檔僅在Windows檔案總管開啟時才啟動，企圖迴避防毒軟體偵測。<br /> ●密碼管理服務LastPass安全團隊示警，有攻擊者寄送釣魚郵件假借服務維修通知，要求用戶24小時內備份，實則引導至釣魚網站竊取主密碼。</p> <p>在漏洞消息方面，這一星期約有1,268個CVE漏洞揭露，當中有1個是已遭利用的零時差漏洞：思科已針對Unified CM及Webex修補漏洞CVE-2026-20045。</p> <p>已知漏洞方面則有6個需特別留意，攻擊者鎖定未修補用戶持續攻擊的嚴峻態勢居高不下，例如：Fortinet日前修補FortiSIEM漏洞CVE-2025-64155，兩日後資安廠商Defused表示在蜜罐陷阱發現有攻擊者開始針對該漏洞濫用。</p> <p>其他已知漏洞的目標包括：Zimbra Collaboration Suite的漏洞（CVE-2025-68645），Versa Concerto的漏洞（CVE-2025-34026），VMware vCenter Server的漏洞（CVE-2024-37079）；攻擊者亦鎖定開源工具攻擊，包括Vitejs開源專案的漏洞（CVE-2025-31125），還有熱門NPM套件eslint-config-prettier去年7月因被暗藏惡意程式碼而修補的漏洞（CVE-2025-54313），現在被美國CISA列入KEV清單。</p> <p>在資安防禦方面，有多個重要消息發布，涵蓋加速NTLMv1棄用、強化雲端身分安全、歐盟網路安全法改版、MITRE針對嵌入式系統發表ESTM框架。此外，短效臨時憑證漸成主流，去年<a href="https://www.ithome.com.tw/news/169608#long-termcredentialsrisk">我們注意到AWS資安長強調，<strong>應消除長期憑證風險</strong></a>，以臨時憑證與角色存取機制確保最小權限原則，如今Let’s Encrypt亦有同樣的行動。</p> <p>●去年6月微軟宣布棄用身分驗證通訊協定NTLM，近期Google Mandiant公布Net-NTLMv1彩虹表，主要透過展示其易受破解的風險，以加速NTLMv1棄用。<br /> ●歐盟計畫修訂歐盟網路安全法（EU Cybersecurity Act），改版方向聚焦將網路安全與地緣政治信任連結，降低供應鏈中高風險國家供應商的威脅。<br /> ●美國白宮推動雲端身分安全強化，NIST發布IR 8587草案，聚焦Token與Assertions的安全防護，為既有的NIST SP 800-53提供雲端面的IAM實務指引。<br /> ●MITRE發表嵌入式系統威脅矩陣（Embedded Systems Threat Matrix，ESTM），由MITRE與美國空軍網路韌性武器系統辦公室合作開發，主要借鑑ATT&CK模式，目標是強化工業設備、機器人及電信等關鍵基礎設施的資安韌性。<br /> ●Let’s Encrypt宣布推出效期160小時的短效TLS憑證，並新增IP位址憑證，以縮短憑證存續時間，降低私鑰外洩與濫用風險，並減少對憑證撤銷機制的依賴。</p> <p style="margin: 0px;">此外，企業瀏覽器持續成為市場關注焦點，CrowdStrike傳出以4.2億美元併購瀏覽器資安業者Seraphic，希望瀏覽器執行層的即時安全防護技術整合到企業安全架構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173440"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</span></strong></a></h3> <p>透過瀏覽器延伸套件發動攻擊的情況，近期已有多起事故傳出，最近有一起事故特別引起關注，原因是該活動相當有針對性，駭客專門對Workday、NetSuite，以及SuccessFactors的用戶下手</p> <h3><a href="https://www.ithome.com.tw/news/173483"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</span></strong></a></h3> <p>資安廠商提出警告，去年11月再度活動的惡意軟體GootLoader，駭客利用名為ZIP檔案串接技術（ZIP Concatenation）手法，使得有效酬載只有Windows檔案總管（File Explorer）能解開，從而迴避使用資安工具與第三方解壓縮工具的資安人員檢查</p> <h3><a href="https://www.ithome.com.tw/news/173507"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</span></strong></a></h3> <p>為蘋果、特斯拉等知名企業代工的中國精密製造業者立訊精密（Luxshare），近日勒索軟體組織RansomHub聲稱從其內部網路環境竊得眾多設計及生產資料，並揚言若未收到贖金，將公開與客戶相關的機密資訊，而成為各界的焦點</p> <h3><a href="https://www.ithome.com.tw/news/173528"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</span></strong></a></h3> <p>近日資安公司Palo Alto Networks發現一起相當特別的攻擊行動，駭客鎖定IT服務臺從事社交工程活動，而能在未入侵企業內部網路環境的情況下存取薪資系統，並將部分員工的薪水轉走</p> <h3><a href="https://www.ithome.com.tw/news/173553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</span></strong></a></h3> <p>一個月前Fortinet修補的重大漏洞CVE-2025-59718與CVE-2025-59719，近日有資安公司發現，駭客試圖利用自動化滲透手法利用漏洞，從而竄改防火牆的配置，以便建立長期存取的管道</p> <p> </p> </div></div></div>
1/26 16:30作者羅正漢https://www.ithome.com.tw/news/173574
惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Socket威脅研究團隊<a href="https://socket.dev/blog/pypi-package-impersonates-sympy-to-deliver-cryptomining-malware">揭露</a>，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。研究人員指出，sympy-dev針對Linux環境並會執行加密貨幣挖礦程式XMRig。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站或自動化建置與測試環境。</p> <p>該攻擊結合近年開源生態常見的誤植名稱（Typosquat）與專案頁面仿冒攻擊手法，由於開發者平時透過pip安裝相依套件時，往往仰賴套件名稱與頁面描述作為快速判斷依據，而攻擊者藉由相似名稱與複製內容提高誤導開發者安裝機率。研究人員提到，SymPy套件使用情境涵蓋研究、教育與工程等領域，屬於高曝光套件，仿冒者不需要很大的散布量，只要有少量開發者被誘騙安裝，就能在特定社群與流程中擴散。</p> <p>sympy-dev安裝後不會立刻啟動惡意行為，攻擊者是在惡意套件內，將下載與執行的程式碼埋進仿造SymPy多項式模組的程式碼路徑，等到使用者呼叫特定多項式相關函式時才觸發。觸發後，程式會先取得遠端設定檔並寫入本機，再下載Linux用的可執行檔，並以偏向在記憶體中啟動的方式降低落地痕跡，但並非完全不留檔。</p> <p>研究人員透過動態分析觀察到，sympy-dev被下載與啟動的第二階段程式為XMRig挖礦程式，並依設定導向以加密連線方式連到挖礦服務端點。攻擊者透過網路端點位址提供設定與載入程式，因此攻擊者可隨時更換遠端提供的內容，即使不再更新PyPI上的版本，也能調整後續投放的程式型態與目的。</p> <p>Socket表示已向PyPI安全團隊通報，並要求下架套件及處理發布者帳號。依目前PyPI專案頁面回應狀態，sympy-dev已無法下載或檢視，頁面顯示找不到資源。</p> </div></div></div>
1/26 17:09作者李建興https://www.ithome.com.tw/news/173588
身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對身分驗證資安業者用戶而來的攻擊行動，不時有相關事故傳出，例如：<strong><a href="https://www.ithome.com.tw/news/173522">密碼管理業者LastPass發現有人假冒他們的名義寄送釣魚信</a></strong>，聲稱伺服器即將進行維修，用戶應在一天內備份密碼保險庫因應，但若是照做，攻擊者就可能取得使用者的主密碼。現在又有類似的事故傳出。</p> <p>消息來自身分驗證業者Okta，因為<strong><a href="http://www.okta.com/blog/threat-intelligence/phishing-kits-adapt-to-the-script-of-callers/">他們偵測到有開發團隊以租用服務形式提供客製化的網釣套件</a></strong>，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" style="width: 580px;" /></a></p> <p>雖然Okta並未特別說明，不過多家資安媒體普遍認為，駭客的最終目的，就是打算竊取單一登入（SSO）憑證。</p> <p>對於攻擊發生的流程，Okta指出通常駭客會針對目標進行偵察，掌握使用者姓名、常用的應用程式，以及IT服務臺的電話號碼，然後設置專屬的釣魚網頁，並假借企業IT支援部門或客服部門，向攻擊目標撥打電話。</p> <p>攻擊過程是這樣進行的：駭客假借IT支援或是資安需求，誘騙使用者打開瀏覽器存取釣魚網站，並輸入使用者名稱及密碼。此時，這些資料會即時自動轉送到駭客的Telegram頻道。</p> <p>接著，駭客就會在實際的登入網頁輸入帳密資料，在出現需要進行多因素驗證的流程當中，他們也即時更新釣魚網站，藉此要求受害者輸入動態密碼（OTP）、同意登入的推播通知，或是執行其他對應的進階身分驗證項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 580px;" /></a></p> <p>由於駭客能進一步控制整個攻擊流程，例如：遇到推播通知可利用電話告訴受害者，並搭配釣魚網頁內容的調整，顯示推播訊息已經發送，使得受害者更難以察覺有異，而依照駭客的指示繼續操作。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。<strong><a href="https://www.bleepingcomputer.com/news/security/okta-sso-accounts-targeted-in-vishing-based-data-theft-attacks/">資安新聞網站Bleeping Computer指出</a></strong>，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>接著，駭客發動對手中間人攻擊（AiTM），誘騙員工存取特製的釣魚網站，並截取單一登入憑證及動態密碼，這些網站通常以受害公司命名，網址包含internal或my。假若得逞，駭客就會試圖檢視該名員工能夠存取的應用程式，並挖掘內部資料；若是活動東窗事發，駭客便隨即向受害公司發送勒索信，要求支付贖金換取資料不被公開。知情人士指出，部分勒索信署名是ShinyHunters。</p> <p>對此，<strong><a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claim-to-be-behind-sso-account-data-theft-attacks/">ShinyHunters後來聲稱這波攻擊行動是他們所為</a></strong>，但否認Okta公布的網釣工具平臺與他們有關，該團體強調他們的工具是內部自行打造。再者，ShinyHunters表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> </div></div></div>
1/26 16:09作者周峻佑https://www.ithome.com.tw/news/173581
駭客宣稱駭入Nike竊得近19萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>運動鞋及服飾巨擘Nike遭傳被駭，竊走近19萬份資料，已展開調查。</p> <p>知名資安研究人員<a href="https://x.com/AlvieriD/status/2014387992249487793" target="_blank">Dominic Alvieri上周發現</a>駭客組織WorldLeaks在其官網張貼公告，宣稱駭入Nike，竊得18.8萬份檔案、共1.4TB資料。</p> <p>駭客還貼出了螢幕擷圖以證實所言。根據貼圖，外洩的資料可能來自一家分公司，至少包含製造端，像是多個系列的製造和工廠資料。從研究人員張貼的駭客貼文擷圖中的倒數日期來判斷，WorldLeaks駭客可能是威脅Nike，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p><a href="https://securityaffairs.com/187303/data-breach/nike-is-investigating-a-possible-data-breach-after-worldleaks-claims.html" target="_blank">Nike對媒體表示，</a>公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.pcmag.com/news/nike-probes-potential-breach-after-threat-from-hacking-group" target="_blank">資安業者指出</a>，WorldLeaks原以Hunters International之名活動，他們透過勒索軟體加密竊取企業用戶資料，藉此勒索贖金。去年這個組織在警方加強查緝後改為現名，並在ShinyHunters成員被捕後興起。</p> <p><a href="https://www.securityweek.com/nike-probing-potential-security-incident-as-hackers-threaten-to-leak-data/" target="_blank">SecurityWeek報導</a>，WorldLeaks官網列出了100多家受害企業，包括Dell及德國珠寶品牌CHRIST Juweliere。</p> <p>這是近期發生資料外洩的服飾品牌。去年Everest宣稱駭入Under Armour取得343GB資料，疑似<a href="https://www.ithome.com.tw/news/173515" target="_blank">公開</a>7,270萬筆電子郵件信箱紀錄，內有姓名、出生日期、性別、地址和購買資訊等。這家美國品牌業者<a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/" target="_blank">表示</a>已啟動調查。</p> <p>德國運動服飾及鞋類品牌愛迪達（Adidas）則是於去年5月<a href="https://www.ithome.com.tw/news/169222" target="_blank">自曝</a>，因第三方的客戶服務供應商之故外洩了部分消費者資料。之後資安廠商Malwarebytes<a href="https://www.malwarebytes.com/blog/news/2025/08/how-google-adidas-and-more-were-breached-in-a-salesforce-scam" target="_blank">指出</a>，可能是Salesforce系統被存取。</p> </div></div></div>
1/26 11:34作者林妍溱https://www.ithome.com.tw/news/173575
惡意軟體測試服務AVCheck遭瓦解後，荷蘭警方逮捕疑似實際營運者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多國執法單位<a href="https://www.ithome.com.tw/news/169290" target="_blank">在2025年中旬</a>瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體<a href="https://hackread.com/operation-endgame-dutch-police-arrest-avcheck-operator/" target="_blank">Hackread</a>引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie<a href="https://www.om.nl/actueel/nieuws/2026/01/12/verdachte-aangehouden-in-onderzoek-naar-cybercriminaliteit" target="_blank">發布的官方聲明</a>，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p><span style="color:#B22222;"><strong>AVCheck在網路犯罪中的角色</strong></span></p> <p><a href="https://www.politie.nl/en/news/2025/may/30/key-service-for-malware-developers-taken-offline.html" target="_blank">荷蘭警方說明</a>，AVCheck屬於所謂的「反防毒測試服務」（Counter Antivirus，CAV），主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p>這類服務常被用於勒索軟體、木馬程式等惡意程式的開發過程，屬於攻擊前的準備環節。透過反覆測試與修改，攻擊者可提高惡意程式在實際攻擊中成功取得初始存取權限的機率，使AVCheck成為網路犯罪即服務生態系中的關鍵基礎服務之一。</p> <p>警方指出，也正因為這類平臺能協助惡意程式避開防護機制，才成為執法單位優先鎖定的目標。相較於在攻擊發生後才進行應變，從源頭打擊這類支援型服務，更有助於降低後續實際攻擊事件的發生風險。</p> <p>AVCheck相較於同樣提供檔案分析的病毒掃描服務VirusTotal，有何差異？VirusTotal是合法資安分析平臺，主要服務對象是資安研究人員與企業資安團隊，<a href="https://www.ithome.com.tw/news/163823" target="_blank">過去曾被</a>惡意軟體開發者採用，測試其檔案是否能被防毒引擎偵測，但對攻擊者而言，VirusTotal過於公開且對防守方友善，目的是共享情資、強化集體防禦，攻擊者若將檔案上傳至此進行驗證，等於主動把樣本送給全世界的防禦方，而AVCheck是為惡意軟體開發者量身打造的工具，不共享樣本、不回饋給防毒廠商、不留下可追蹤紀錄，攻擊者可以「放心」在此調整，而非幫防守方練功。</p> <p><span style="color:#B22222;"><strong>從關閉服務到追究營運責任</strong></span></p> <p>荷蘭警方強調，此次行動的重點不僅在於下架單一平臺，而是進一步釐清其營運模式、資金流向與使用者網絡。警方在前次取締行動中已蒐集到大量數位證據，目前正持續分析，並不排除擴大追查其他涉案人員或關聯服務。</p> <p>執法單位指出，若僅止於關閉服務，類似平臺往往能以不同形式快速重現，因此同步鎖定營運者與其背後的組織結構，才能對地下產業形成實質嚇阻效果。</p> <p><span style="color:#B22222;"><strong>Operation Endgame下的供應鏈打擊策略</strong></span></p> <p>警方也說明，AVCheck案件是跨國執法行動<a href="https://www.google.com/search?q=Operation+Endgame+site%3Awww.ithome.com.tw%2Fnews&num=10&lr=&as_qdr=all&sxsrf=ANbL-n55xqL-ERqW27XYNDrgE23WujOFuA%3A1769258410333&tbs=cdr%3A1%2Ccd_min%3A1%2F1%2F2024%2Ccd_max%3A1%2F24%2F2026&tbm=" target="_blank">Operation Endgame</a>的一環。該行動由多國執法機關合作推動，鎖定支撐網路犯罪生態系的關鍵基礎服務，包括惡意程式的測試、加殼、加密與散布等環節，藉此從供應鏈層面削弱地下產業的運作能力。</p> <p>警方指出，這類針對上游服務的執法策略，目標是在惡意程式尚未大規模散布前即介入處理，降低後續攻擊對企業與組織造成的實際衝擊。</p> </div></div></div>
1/26 11:56作者王珮瑤https://www.ithome.com.tw/news/173573
未設密碼防護的雲端資料庫外洩，iCloud、Gmail、Netflix等近1.5億筆憑證曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.expressvpn.com/blog/149m-infostealer-data-exposed/" target="_blank">研究人員揭露</a>一個雲端資料庫未加密碼防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的帳號、密碼等近1.5億筆憑證曝險。</p> <p>這個資料庫是由ExpressVPN研究人員Jeremiah Fowler發現，資料庫內有149,404,754筆不重複登入帳號及密碼，資料量達96GB。研究人員抽取的部分資料，顯示內含電子郵件信箱地址、使用者名稱、密碼和URL。</p> <p>研究人員估計公開的資料涵括主要雲端郵件服務及雲端服務。包括Gmail 4,800萬、Yahoo 400萬、Outlook 150萬、iCloud 9萬筆以及.edu平臺憑證140萬筆。其他重要資料源包含Facebook 1,700萬、Netflix 340萬、IG 650萬、TikTok 78萬、Binance 42萬和OnlyFans 10萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加可能影響國家安全和公共安全。</p> <p>這個資料庫沒有持有者的相關資訊，研究人員在聯繫多個單位及代管業者將近一個月後，無法得知持有者是某個犯罪組織或個人或是研究單位。研究人員也無從得知該資料庫無密碼存在多久。最後該代管資料庫被停權，使個人用戶憑證免於公開。</p> </div></div></div>
1/26 12:00作者林妍溱https://www.ithome.com.tw/news/173576
Fortinet坦承FortiCloud SSO漏洞修補不全將再釋出更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios" target="_blank">上周證實</a>去年<a href="https://www.ithome.com.tw/news/172862" target="_blank">12月修補</a>的FortiCloud單一簽入漏洞修補不全，承諾將再釋出更新軟體。</p> <p>今年1月15日起Arctic Wolf研究人員發現，新一波針對FortiGate裝置的惡意活動。有不明人士濫用，利用CVE-2025-59718非授權以FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者就新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於皆間隔數秒、研究人員判斷可能是自動化腳本程式或工具執行。</p> <p>於此同時，有些Fortinet產品用戶反映FortiGate遭人利用在安裝CVE-2025-59718登入。但是其裝置都是安裝Fortinet去年12月釋出，已修補CVE-2025-59718及CVE-2025-59719漏洞的FortiOS 7.4.9版本。</p> <p>Fortinet指出，近日一小部分客戶Fortinet裝置的異常登入活動和去年12月的問題非常類似。該公司證實，多起攻擊案例是發生在軟體完全更新到最新版本的產品，他們判斷可能有新的攻擊路徑。</p> <p>網路觀察組織<a href="https://dashboard.shadowserver.org/statistics/iot-devices/map/?date_range=1&vendor=fortinet&model=forticloud+sso&data_set=count&scale=log" target="_blank">Shadowserver的偵測</a>，在揭露近2個月後，現今全球還有超過1萬臺Fortinet裝置未補漏洞，而臺灣也還有99臺曝險。</p> <p>Fortinet產品安全團隊聲稱已經找出問題，並且正在趕製修補程式。等修補範圍及時程確定後，Fortinet會再公布安全公告。Fortinet強調此時只有觀察到FortiCloud SSO功能遭濫用。但是本問題影響任何具有SAML SSO實作的環境。</p> <p>在釋出完整修補程式前，Fortinet建議用戶實行安全政策，將邊緣網路裝置管理員權限縮小到受信賴的IP位址。由於還沒有修程式，企業用戶應關閉Fortinet裝置上的FortiCloud SSO功能。若企業用戶已觀察到前述入侵指標，Fortinet建議用戶應立即輪換憑證（所有LDAP/AD帳號）並重設配置。</p> </div></div></div>
1/26 12:08作者林妍溱https://www.ithome.com.tw/news/173577
AI應用開發框架Chainlit爆高風險漏洞，恐遭濫用入侵雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="335" data-start="217">每月<a href="https://pypistats.org/packages/chainlit" target="_blank">下載</a>量達數十萬次、廣泛用於打造對話式與代理型AI服務的開源框架Chainlit，近日被資安研究人員揭露存在兩項高風險資安漏洞。在特定部署條件下，相關弱點可能遭攻擊者濫用，導致未經授權存取應用資料，甚至成為入侵雲端環境的切入點，已引發資安社群關注。</p> <p data-end="614" data-start="337">根據美國國家漏洞資料庫（NVD）公布的資訊，Chainlit相關漏洞分別被指派為<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22218" target="_blank">CVE-2026-22218</a>與<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22219" target="_blank">CVE-2026-22219</a>。其中，CVE-2026-22218為任意檔案讀取漏洞，源於存取控制機制不足，在特定情況下，已通過身分驗證的攻擊者，可能藉由框架的自定元素端點讀取伺服器的檔案內容，CVSS風險分數為7.1分。另一項CVE-2026-22219則屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）類型漏洞，可能被用來對內部或雲端服務發送未預期的請求，CVSS風險分數高達8.3分，兩者皆被評為高風險等級。</p> <p data-end="776" data-start="616">揭露這組漏洞的雲端資安公司<a href="https://www.zafran.io/resources/chainleak-critical-ai-framework-vulnerabilities-expose-data-enable-cloud-takeover" target="_blank">Zafran將其命名為「Chainleak」</a>，並指出當Chainlit被部署於多租戶或雲端原生環境時，相關風險將進一步放大。研究人員表示，在缺乏額外防護措施的情況下，攻擊者不僅可能存取AI應用處理的對話內容、API金鑰或模型輸出結果，還可能藉由漏洞進行橫向移動，進一步影響雲端環境的整體安全性。</p> <p data-end="936" data-start="778">針對這些問題，<a href="https://github.com/Chainlit/chainlit/releases/tag/2.9.4" target="_blank">Chainlit專案團隊已發布Chainlit 2.9.4版進行修補</a>。官方說明指出，新版本已強化存取控制邏輯，並修正可能導致跨使用者資料暴露與不當請求轉送的安全風險。開發團隊呼籲所有使用者，特別是在雲端或對外公開環境中部署Chainlit的組織，應儘速升級至2.9.4或以上版本，以降低遭到攻擊的風險。</p> <p data-end="936" data-start="778"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-chainlit-600-1.png" style="width: 600px;" /></p> <p data-end="1084" data-start="938">目前尚未有明確證據顯示上述漏洞已遭到大規模實際利用，但資安研究人員提醒，隨著漏洞細節與修補資訊已公開，未來不排除出現實際濫用案例。建議企業除更新套件版本外，也應重新檢視AI應用的雲端部署架構，避免將敏感金鑰或高權限設定直接暴露於應用層，並落實最小權限原則及額外的存取控管機制，以降低潛在風險。</p> </div></div></div>
1/26 10:48作者王珮瑤https://www.ithome.com.tw/news/173563
約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-14533" target="_blank">CVE-2025-14533</a>，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>ACF Extended定位為補強Advanced Custom Fields功能的WordPress外掛，主要用於協助網站開發者建立自訂內容欄位，並延伸前端表單的應用情境，例如讓訪客或會員透過表單提交內容，甚至進行使用者資料的新增與更新。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後端驗證不足，使用者角色限制可被繞過</strong></span></span></p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體<a href="http://www.bleepingcomputer.com/news/security/acf-plugin-bug-gives-hackers-admin-on-50-000-wordpress-sites/" target="_blank">Bleeping Computer</a>與WordPress資安公司<a href="http://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/" target="_blank">Wordfence</a>的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>偵察活動升溫，尚未觀測到大規模濫用</strong></span></span></p> <p>雖然目前尚未觀測到針對CVE-2025-14533的實際大規模攻擊行為，但網路流量分析業者<a href="http://www.labs.greynoise.io/grimoire/2026-01-19-creepy-crawlers-hunting-those-who-hunt-for-wordpress-plugins/index.html" target="_blank">GreyNoise</a>指出，透過其感測與流量分析系統觀測，自2025年10月下旬至2026年1月中，出現大規模針對WordPress外掛的偵察行為。</p> <p>GreyNoise表示，相關活動來自近1,000個IP位址，橫跨145個自治系統編號（ASN），針對超過700款WordPress外掛進行列舉掃描，累計次數逾4萬次，顯示攻擊者仍在進行前期盤點與目標篩選行動。該公司也指出，這類掃描行為未必針對單一漏洞，而是常見於實際攻擊行動前的準備階段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>官方已修補，建議盤點前端使用者管理功能</strong></span></span></p> <p>ACF Extended開發團隊已於<a href="https://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/#:~:text=We%20provided%20full,and%20timely%20patch." target="_blank">去年12月14日發布0.9.2.2版本</a>，修補上述權限提升漏洞。Wordfence建議，仍在使用舊版外掛的網站管理者，應立即更新至0.9.2.2或以上版本，並確認是否有前端表單提供新增或更新使用者帳號的功能，避免該類功能在未妥善控管的情況下對外公開。</p> <p>Bleeping Computer引述<a href="http://wordpress.org/plugins/acf-extended/advanced/" target="_blank">WordPress官方外掛平臺</a>資料指出，目前約有10萬個網站啟用ACF Extended外掛。相較於0.9.2.2版本於12月14日釋出後至今年1月20日期間，僅約5萬次的下載量，顯示仍有相當比例的網站尚未更新至修補版本。</p> <p>資安業者提醒，凡是涉及使用者角色或權限設定的前端功能，若對外開放存取，皆應視為高風險項目。除定期更新外掛與套件外，也應搭配存取控管、行為監控與最小權限原則，以降低帳號遭冒用及網站遭接管的風險。</p> </div></div></div>
1/26 10:49作者王珮瑤https://www.ithome.com.tw/news/173570
歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（<a href="http://ec.europa.eu/commission/presscorner/detail/en/ip_26_105" target="_blank">Cybersecurity Package</a>）」，內容包括<a href="https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-eu-cybersecurity-act" target="_blank">修訂《歐盟網路安全法》</a>（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p class="rtecenter"><a href="https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_105/IP_26_105_EN.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Cybersecurity%20Package-600-PDF.png" style="width: 500px;" /></a></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>5G安全工具箱落實程度不一</strong></span></span><span style="color:#B22222;"><span style="font-size:28px;"><strong>，成為推動修法的關鍵原因</strong></span></span></p> <p>歐盟此次推動修法，與2020年推出的「5G網路安全工具箱」（<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_20_123" target="_blank">EU 5G Security Toolbox</a>）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>地緣政治與網路威脅升高，供應鏈安全成為國安議題</strong></span></span></p> <p>歐盟執委會指出，近年地緣政治情勢與網路威脅持續升高，國家級行為者與犯罪組織對關鍵產業的滲透與攻擊風險增加，供應鏈安全已不再只是技術層面的問題，而是牽涉對特定國家或供應來源的依賴，以及外國勢力介入的整體國安風險。這也反映出，供應鏈資安在歐盟政策中，正被提升為與國防、外交與產業安全同等重要的制度議題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>明確歐盟層級權限，統一推動風險評估與限制措施</strong></span></span></p> <p>依修法規畫，歐盟將明確訂定歐盟執委會在供應鏈安全上的權限，使其可在歐盟層級統一推動風險評估，並視情況對敏感基礎設施使用的特定設備或技術提出限制，甚至要求禁用。相關評估可由歐盟執委會主導，或在至少3個成員國提出要求後啟動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>執行面要求更具體，營運商最遲36個月內完成汰換</strong></span></span></p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p>歐盟官方文件並未點名特定國家或企業，但外界普遍認為，這項修法延續了歐盟近年對「高風險供應商」的管制作法，與過<a href="https://digital-strategy.ec.europa.eu/en/library/communication-commission-implementation-5g-cybersecurity-toolbox" target="_blank">去在5G安全議題上</a>對部分中國電信設備商的疑慮一脈相承。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>擴大ENISA職權，強化預警、通報與跨國應變</strong></span></span></p> <p>除供應鏈規範外，這項包裹法案也同步擴大ENISA的職權，使其在威脅預警、資安事故通報與跨國應變協調上扮演更關鍵角色。未來ENISA將可發布歐盟層級的早期威脅警示，並負責營運統一的資安事故通報機制，協助企業與各國主管機關即時掌握重大事件。</p> <p>在勒索軟體等跨境攻擊應變方面，ENISA也將與歐洲刑警組織Europol及各國電腦緊急應變團隊（CSIRT）加強合作，提供技術與協調支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>修法仍待完成立法程序</strong></span></span></p> <p>依歐盟立法流程，修訂版《歐盟網路安全法》仍須經歐洲議會（European Parliament）與歐盟理事會（Council of the EU）審議通過後，才能正式生效。法案完成立法程序後，成員國也將依規定時程，調整各自的國內法制與監管措施。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/eu-plans-cybersecurity-overhaul-to-block-foreign-high-risk-suppliers/" target="_blank">Bleeping Computer</a>與隱私與法遵專業組織<a href="https://iapp.org/news/a/a-view-from-brussels-europe-gears-up-toward-tougher-cybersecurity-rules" target="_blank">IAPP</a>（International Association of Privacy Professionals）指出，若修法順利推進，歐盟在高風險供應商管理與供應鏈資安治理上的作法，將從過去以建議與協調為主，轉為具法律拘束力的共同規範，對電信、雲端與其他關鍵產業的設備採購與技術選擇，勢必產生長期影響。</p> </div></div></div>
1/26 10:51作者王珮瑤https://www.ithome.com.tw/news/173572
Android Studio Otter 3擴大代理式開發支援，可改用第三方與本機模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google釋出Android應用程式整合開發環境<a href="https://android-developers.googleblog.com/2026/01/llm-flexibility-agent-mode-improvements.html">Android Studio Otter 3 Feature Drop 2025.2.3穩定版</a>，其更新重點放在代理式開發工作流程，讓IDE內建AI功能可改用開發團隊自選的大型語言模型，涵蓋第三方遠端模型與本機模型兩種方式。另外，也強化代理模式Agent Mode的裝置互動與變更審查機制，並加入以自然語言撰寫的旅程測試，以及透過MCP協定串接外部工具等功能。</p> <p>Android Studio新增遠端模型介接機制，用戶可在IDE內配置第三方模型供應商並使用既有API端點與金鑰。除了OpenAI的GPT與Anthropic的Claude等遠端模型，也支援透過LM Studio或Ollama等提供者使用本機模型，對連線受限或希望降低資料洩漏的環境提供替代途徑。</p> <p>Google提醒，IDE在使用AI功能時可能會把輸入內容送往所選模型供應商，而Gemini仍會是預設建議，改用其他模型實際體驗與可用能力會因供應商而異。</p> <p>Android Studio Otter 3將代理的工作範圍延伸到驗證修改結果。代理可將應用部署到連接裝置，讀取畫面並截圖，檢視Logcat錯誤訊息，並與正在執行的應用互動，協助反覆修正並確認改動是否生效。Android Studio新增集中管理代理修改的變更清單，會把代理動過的檔案彙整列出，讓開發者直接在IDE內檢視差異，並可逐一保留或撤回修改，同時也支援多個對話串，讓不同任務分開進行，避免互相干擾。</p> <p>除代理模式外，Google也把端對端測試與外部工具串接納入同一代理流程。新的旅程測試（Journeys）功能，可讓開發者以自然語言描述使用者旅程的步驟與檢查條件，再由AI在裝置上執行互動並輸出結果。Android Studio還支援連接MCP遠端伺服器，讓代理直接取用外部服務。</p> <p>其他更新則與介面開發、建置除錯與函式庫發行相關。Compose預覽面板新增代理式協助入口，可用於產生與調整介面並修正常見UI檢查問題。App Links Assistant則加入代理輔助，協助產生深度連結導向到App內指定畫面（Deep Link）與相關測試。</p> <p>在除錯方面，Android Studio Otter 3 Feature Drop提供自動堆疊回溯還原，可在R8啟用時自動還原Logcat中的堆疊資訊。另一方面，Android Gradle Plugin 9.0提供融合函式庫外掛，可把多個Android函式庫模組封裝成單一可發布的AAR，讓使用者端以單一相依項目導入。</p> </div></div></div>
1/26 08:43作者李建興https://www.ithome.com.tw/news/173568
採用Xeon 6、提供6TB記憶體，AWS擴增記憶體最佳執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_x8i-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在去年12月初舉行的re:Invent大會期間，AWS發表新的記憶體最佳化執行個體服務Amazon EC2 X8i預覽版，當中採用訂製版的英特爾Xeon 6處理器平臺，可提供公有雲領域最高的運算效能與最快的記憶體存取，適用的工作負載類型，包括記憶體內資料庫與資料分析系統、大型傳統資料庫系統、電子設計自動化系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS X8i-C8ine.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20X8i-C8ine.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-2025-12-1.jpg" style="width: 600px;" /></a></p> <p>相較於上一代X2i執行個體，X8i記憶體容量最高可提供到1.5倍（4 TB vs. 6 TB），記憶體頻寬增長至3.4倍。至於8月上市的<a href="https://www.ithome.com.tw/review/170919">R8i</a>，同樣採用訂製版的英特爾Xeon 6處理器，記憶體容量最高可提供到3 TB。</p> <p>此時SAP也宣布認證X8i的應用系統效能測試數據，AWS表示，相較於X2i執行個體，X8i的效能領先幅度為46％。若用於某些類型的工作負載，X8i效能比X2i高出35％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS X8i-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20X8i-2025-12.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP Benchmark-2025-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20Benchmark-2025-12-2.jpg" style="width: 600px;" /></a></p> <p>到了今年1月中，AWS宣布X8i正式上線，初期在4個雲端區域供應：美國東部（北維吉尼亞）、美國西部（俄亥俄）、美國西部（奧勒岡）、歐洲（法蘭克福），採用的訂製型Xeon 6處理器，所有核心的時脈均維持在3.9 GHz，而在硬體規格與效能突破方面，對比於X2i，X8i的最大記憶體容量如預告為1.5倍，記憶體頻寬增長3.4倍，用於某些工作負載的效能領先幅度為43％，而在SAP應用系統效能標準測試的效能上，可達到50％的增長，PostgreSQL資料庫效能加快47％，記憶體內快取系統Memcached效能提升88％，AI推論效能也增加了46％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SAP Benchmark-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%20Benchmark-2025-12-1.jpg" style="width: 600px;" /></a></p> <p>在硬體組態上，X8i提供14種執行個體，當中包含兩種裸機型態的選擇：x8i.metal-48xl、x8i.metal-96xl，能用於部署需直接存取實體系統資源的工作負載，而且，就單臺執行個體而言，最大可配置384顆vCPU、6,144 GB容量的記憶體、100 Gbps網路頻寬（搭配EFA網路卡），存取雲端區塊儲存服務EBS的吞吐量為80 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 X8i-console.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20X8i-console.jpg" style="width: 600px;" /></a></p> <p>如同AWS近期推出的第8代雲端運算服務，如<a href="https://www.ithome.com.tw/review/172803">M8a、R8a、C8a</a>，以及<a href="https://www.ithome.com.tw/review/173033">C8i與C8i-flex</a>，X8i也支援<a href="https://docs.aws.amazon.com/ebs/latest/userguide/instance-bandwidth-configuration.html?trk=d8ec3b19-0f37-4f8c-8c12-189f913e205c&sc_channel=el">執行個體的頻寬設定（IBC）功能</a>，用戶可在網路與EBS頻寬之間進行調配，最多可增加25％，藉此提升資料庫效能、查詢處理速度，以及事件記錄效率。X8i也導入AWS自行研發的IT基礎架構I/O卸載技術：第六代Nitro平臺，能透過專屬的軟硬體架構，幫忙分攤CPU虛擬化，以及儲存與網路功能的負荷，強化工作負載的效能與安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-2025-12-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v6-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v6-2026-01.jpg" style="width: 298px;" /></a></p> </div></div></div>
1/25 16:49作者李宗翰https://www.ithome.com.tw/review/173571
增設8個GbE埠機型，HPE大幅擴充CX入門級交換器陣容
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_6000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2021年，HPE針對遠端辦公室與中小企業市場<a href="https://www.businesswire.com/news/home/20210622005321/en/Aruba-ESP-Improves-Network-Agility-for-Organizations-Adapting-to-New-Business-Realities">增設</a>專用的入門級L2交換器設備，名為Aruba CX 6000系列，長年提供48埠、24埠、12埠的GbE交換器組態，總共有6款機型，其中4款支援乙太網路供電（PoE）。在2023年5月發布的此系列硬體規格改款公告中，產品名稱從原本的Aruba CX 6000 Switch Series換成HPE Aruba Networking CX 6000 Switch Series。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Aruba CX6000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Aruba%20CX6000.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE CX PORTFOLIO-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20CX%20PORTFOLIO-2025-12.jpg" style="width: 600px;" /></a></p> <p>到了今年1月中的全美年度最大零售業聯盟展（NRF），HPE展示其零售解決方案之餘，也宣布HPE Aruba Networking CX交換器在這當中扮演重要角色，而他們採取的具體行動就是<a href="https://www.hpe.com/us/en/newsroom/press-release/2026/01/hpe-helps-retail-customers-ensure-business-continuity-and-enhance-security-with-expanded-hpe-networking-and-hpe-compute-portfolios.html">大幅擴充CX 6000系列</a>產品線，機型數量一口氣提升到22款之多，最顯著的改變在於，此系列開始提供8埠的GbE交換器組態，可支援零售業的POS終端機、物聯網設備，以及員工操作系統的安全連網需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 6000 Models-2026-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%206000%20Models-2026-3.png" style="width: 600px;" /></a></p> <p>改款的CX 6000系列同樣有不少機型支援PoE，因此，不僅便於部署無線網路基地臺、網路視訊監控攝影機，以及環境狀態感測器，也能藉此建置門市店面內部的多種數位服務，像是電子看板、智慧結帳系統，以及邊緣運算分析系統。透過上述硬體設備與應用系統的協助，企業可獲得進階遙測、物聯網探測，以及全方位的系統監控能力，實現自主式的實體商店營運型態，對於店面環境能源耗用的洞察分析，也可以變得更精確。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking CX 6000 8p-2026.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%20CX%206000%208p-2026.jpg" style="width: 398px; float: right;" /></a></p> <p>單就8埠的CX 6000系列交換器而言，HPE標榜下列幾項特色。首先，它們採用無風扇的散熱設計，可放置在靠近使用者的空間，例如，能夠懸掛在牆壁、鄰近收銀櫃臺、教室或病患候診室；若採用支援PoE的機型，可藉此提供網路與電力的整合連接，便於設置監控攝影機、Wi-Fi網路基地臺、智慧照明設備，以及其他連網設備。相較之下，企業若要滿足上述需求，往往需要搭配專屬的網路與電力連線機櫃。</p> <p>除此之外，它們採用的系統軟體平臺是<a href="https://arubanetworking.hpe.com/techdocs/AOS-CX/Consolidated_RNs/HTML-6000/Content/10_17/overview-1017x.htm">AubaOS-CX （AOS-CX）</a>，提供企業級的網路應用功能，包含服務品質管理（QoS）、存取控制清單（ACL）、靜態路由、IPv6支援，以及彈性的管理機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AOS-CX%2010_16.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">HPE Aruba Networking CX 6000系列</span><br /> ●原廠：HPE<br /> ●建議售價：516.53美元起<br /> ●網路埠組態：8埠、12埠、24埠、48埠（10/100/1000BASE-T）<br /> ●機型數量：22款，其中14款支援PoE<br /> ●機箱尺寸：1U<br /> ●網路交換容量：最大104 Gbps<br /> ●MAC位址數量：均為8,192個<br /> ●封包緩衝記憶體：均為12.38 MB<br /> ●處理器：均為Arm Cortex A9雙核心1016 MHz<br /> ●記憶體：DDR3，16款為2GB，6款為4GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/24 15:02作者李宗翰https://www.ithome.com.tw/review/173558
Windows Kerberos驗證恐被DNS別名誘導，微軟補強HTTP服務防中繼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Cymulate研究團隊<a href="https://cymulate.com/blog/kerberos-authentication-relay-via-cname-abuse/">揭露</a>，Windows在進行Kerberos服務驗證時，建構服務主體名稱（Service Principal Name，SPN）的流程會跟隨DNS回應的CNAME別名，並以別名主機名稱向票證授權服務TGS索取服務票證。研究人員指出，要是攻擊者能在網路路徑上攔截或竄改受害者的DNS查詢，就可能誘導用戶端替攻擊者指定的SPN索取票證，再把票證中繼到未強制簽章或未強制通道（Channel）綁定權杖CBT的服務，達到冒用使用者身分存取資源的效果。</p> <p>該風險的前提在於攻擊者能介入或改寫受害者的DNS流量，例如透過ARP欺騙、DHCPv4或DHCPv6投毒等手法取得中間人位置，以影響DNS回應內容。研究人員指出，他們在多個已更新的Windows版本上都觀察到一致行為，並以SMB檔案分享與HTTP類服務為例說明，只有在服務端未強制簽章或未強制通道綁定權杖CBT時，中繼攻擊（Relay Attack）才較可能成立。</p> <p>研究人員指出，該手法的風險在於降低了Kerberos中繼攻擊的既有限制。過去攻擊者往往難以左右用戶端會為哪一個服務主體名稱SPN索取服務票證，但一旦能利用DNS的CNAME別名影響SPN的主機名稱部分，用戶端就可能在不知情的情況下，將取得的服務票證送往攻擊者控制的端點。至於中繼是否能進一步得逞，仍取決於目標服務端是否已把簽章或通道綁定權杖CBT等防中繼機制設為強制要求。</p> <p>研究人員已於2025年10月通報並經微軟確認。微軟在2026年1月的安全性更新中，替Windows的HTTP.sys補上通道綁定權杖CBT支援，並把修補套用到仍受支援的Windows Server版本。該漏洞以CVE-2026-20929編號追蹤，微軟在2026年1月安全性更新中針對HTTP.sys加入通道綁定權杖CBT支援，藉此提升HTTP類服務端面對Kerberos中繼的抵抗力。</p> <p>不過，研究人員也指出，Windows用戶端跟隨DNS CNAME別名建構SPN的底層行為仍未改變。企業即使推進停用NTLM或以Kerberos取代，也不代表中繼攻擊風險會自動消失。企業仍須檢視各服務端的設定與更新狀態，同時盤點環境中仍允許未簽章或未綁定驗證的服務端點並加以修正。</p> </div></div></div>
1/24 09:27作者李建興https://www.ithome.com.tw/news/173567
Yelp以3億美元收購AI客服Hatch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球在地生活評論巨頭<a href="https://www.businesswire.com/news/home/20260121295483/en/Yelp-Accelerates-Strategy-with-Acquisition-of-AI-Lead-Management-Platform-Hatch" target="_blank">Yelp周三（1/21）宣布</a>，已與AI潛在客戶管理暨通訊（Lead Management and Communication）平臺Hatch簽署併購協議，將以3億美元的現金收購Hatch，以加速Yelp的AI轉型。</p> <p>成立於2004年的Yelp是全球最大的在地商家評論平臺，透過用戶真實的星級評價與照片，成為消費者找餐廳、水電修繕或各類生活服務的首選；隨後進化為全方位商務平臺，讓用戶直接於App中完成預約、點餐、或傳訊索取服務報價。根據Yelp在2025年第三季的<a href="https://www.yelp-ir.com/news/press-releases/news-release-details/2025/Yelp-Reports-Third-Quarter-2025-Results/" target="_blank">財報</a>，該季Yelp締造3.76億美元的營收，成長4%，獲利3,900萬美元；其中有95%為廣告營收，另外的5%屬於資料授權等其它營收。</p> <p>至於創立於2018年的Hatch則是家專注於AI驅動的通訊及潛在客戶管理業者，著重於協助客戶有效地回覆大量湧入的諮詢。Hatch所開發的SaaS平臺利用AI技術，可自動發起與客戶的對話，涵蓋簡訊、電子郵件與電話等多種管道，且除了罐頭回覆外，也能進行個人化的雙向溝通，引導潛在客戶完成預約或確認需求，從而大幅提升轉化率並降低營運成本。</p> <p>Yelp共同創辦人兼執行長Jeremy Stoppelman表示，收購Hatch是YelpAI轉型的重要一步，這將加速該公司替在地店家提供強大AI工具的戰略佈局。Hatch解決了服務業在潛在客戶管理與溝通上的棘手痛點，相信透過雙方的整合，將可協助服務供應商提升營運效率並實現成長。</p> <p>根據雙方的協議，Yelp將以約2.7億美元現金收購Hatch，並另提供3000萬美元的員工留任獎勵；Hatch的年化經常性收入約為2500萬美元，年增率達70%，現金流略為負值。雙方預計於今年2月完成交易，之後Hatch將成為Yelp的全資子公司。</p> </div></div></div>
1/24 09:01作者陳曉莉https://www.ithome.com.tw/news/173569
愛爾蘭新法草案允許警察使用間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.ie/en/department-of-justice-home-affairs-and-migration/press-releases/minister-jim-ocallaghan-strengthens-lawful-interception-powers/" target="_blank">愛爾蘭一項新法案</a>允許警方使用間諜軟體來截取人民所有通訊內容，以偵辦及防範犯罪及國家安全危害事件。</p> <p>這項法案名為通訊攔截與合法存取法案（Communications Interception and Lawful Access Bill）是由愛爾蘭司法、內政暨移民部提出的新法草案，本法案旨在反映現代通訊技術環境的變化，將更新並取代20多年前制訂的《郵政包裹與電信訊息法Regulation Act》，以作為「合法攔截通訊」的法規框架。</p> <p>愛爾蘭司法大臣Jim O'Callaghan指出，因應重大犯罪及安全威脅，該國具有迫切需求以新法規框架支持合法攔截通訊。</p> <p>本法案可允許執法機關針對任何能傳送及接收訊息的數位裝置和服務進行合法截聽，包括物聯網、電子郵件和數位通訊服務，不論這些通訊是否有加密，也允許執法單位取得內容、相關metadata（包括收發人士、地點、來源及目的地IP），也可用於包裹服務。</p> <p>在技術面，新法案提供框架，允許執法機關使用隱蔽的間諜軟體（spyware）合法攔截通訊內容，也允許使用某些電子掃描設備在特定區域定位與記錄移動設備的識別數據。</p> <p>愛爾蘭官員並聲稱，政府會設立司法授權機制，攔截和監控須得到法院許可，而不是無限制的行政授權。合法截聽也伴隨必要的隱私、加密和數位安全防護。此外，官員表示，新法有助於該國和其他歐盟國家在犯罪防治及安全的國際合作。</p> <p>不過本法案引來隱私權團體反對。<a href="https://www.laois-nationalist.ie/minister-seeking-to-give-garda%C3%AD-profoundly-intrusive-powers-iccl-warns_arid-84708.html" target="_blank">愛爾蘭民權協會</a>（Irish Council for Civil Liberties）認為將賦予愛爾蘭警方「深度侵入性」的權力。<a href="https://www.globalencryption.org/2025/10/open-letter-irish-communications-interception-and-lawful-access-bill/" target="_blank">全球加密聯盟</a>（Global Encryption Coalition）則警告法案可能削弱整體通訊加密強度與安全性，是對廣泛使用者造成風險。公開信中還指出一些歐盟成員國已經對愛爾蘭參與的聊天控管（Chat Control）措施表態反對，稱其對隱私構成重大威脅。</p> <p>不過<a href="https://techcrunch.com/2026/01/22/ireland-proposes-new-law-allowing-police-to-use-spyware/" target="_blank">Techcrunch</a>報導，其他國家雖然沒有明文支持使用間諜軟體，但政府使用相當普遍。<a href="https://www.ithome.com.tw/news/169558" target="_blank">義大利</a>、<a href="https://www.ithome.com.tw/news/148629" target="_blank">波蘭</a>政府、<a href="https://www.ccc.de/en/updates/2011/staatstrojaner" target="_blank">德國</a>被發現使用間諜軟體來監控異議人士和記者。</p> </div></div></div>
1/23 15:21作者林妍溱https://www.ithome.com.tw/news/173559
Waymo無人計程車服務擴張至邁阿密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://waymo.com/blog/2026/01/miami-your-waymo-ride-is-ready" target="_blank">Waymo周四（1/22）宣布</a>，即日起向一般民眾開放在邁阿密搭乘其全自動駕駛計程車服務，成為該市首個對公眾提供無人計程車服務的業者。</p> <p>迄今Waymo在全美已於舊金山、洛杉磯、鳳凰城、奧斯汀及亞特蘭大五大城市穩定營運。總車隊規模約2,500輛，每週載客超過45萬次。另也於英國倫敦與日本東京等海外城市展開測試。</p> <p>外界認為進軍邁阿密可視為Waymo的重要里程碑。因為邁阿邁不僅有強烈的太陽與暴雨等惡劣天氣，也有複雜的交通，可替Waymo的技術進行壓力測試，也是Waymo進入全國化複製的關鍵分水嶺。</p> <p>此外，Waymo也強調，根據超過1.27億英里的全自動行駛數據，Waymo在營運區內的嚴重受傷事故率較人類駕駛降低了10倍。</p> <p>目前Waymo於邁阿密的服務採用分階段邀請制，首波僅支援60平方英里的服務區域，從Design District、Wynwood到Brickell與Coral Gables，很快就會擴展至邁阿密國際機場，目前當地已有接近1萬名居民完成註冊。</p> </div></div></div>
1/23 15:33作者陳曉莉https://www.ithome.com.tw/news/173560
【資安日報】1月23日，Fortinet單一簽入功能重大漏洞傳出攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173541"><strong style="font-size: 22px;">Fortinet單一登入整合功能的重大漏洞傳出攻擊活動，防火牆遭變更組態</strong></a></p> <p>Fortinet去年12月公布並修補FortiCloud單一登入（SSO）漏洞，近日被安全研究人員發現網路上又再度出現濫用活動，篡改受害FortiGate裝置配置。</p> <p>從今年1月15日起，Arctic Wolf研究人員發現，新一波針對FortiGate裝置的惡意活動為自動執行，在非授權情況下變更防火牆配置，主要目的在建立新的通用帳號以便持久存取，變更防火牆配置可讓攻擊者以VPN存取這些帳號及外洩防火牆配置。</p> <p>遭到利用的是Fortinet上個月修補的重大驗證繞過漏洞：CVE-2025-59718與CVE-2025-59719，在開啟FortiCloud單一登入功能的Fortinet設備上，攻擊者傳送變造的SAML訊息，就有機會繞過單一登入機制存取裝置，CVSS風險值皆高達9.8。</p> <p><a href="https://www.ithome.com.tw/news/173548"><strong style="font-size: 22px;">IT服務臺Zendesk遭到濫用，駭客以此發動大規模垃圾郵件攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zendesk-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/zendesk-emails.png" style="width: 300px; float: right;" /></a></p> <p>駭客為了取得入侵企業網路環境的管道，透過社交工程攻擊的情況相當常見，其中一種手法在去年特別引人注目，那就是冒充公司員工對IT服務臺下手，因此，只要與此種類型平臺有關的攻擊活動，都相當值得留意。</p> <p>根據資安新聞網站Bleeping Computer的報導，近期有許多人收到大量來自Zendesk寄出的不明郵件，儘管這些信件沒有惡意連結或是其他明顯的網釣特徵，然而這些郵件主題怪異，有些假裝是執法請求或取消訂單，也有提供免費Discord Nitro服務，甚至有求救信，以採用加粗的Unicode字體或夾雜多種語言的字體，而且數量相當龐大，還是讓不少使用者感到混亂，並擔心可能成為駭客鎖定的目標。</p> <p>這些信件來自多家企業組織的Zendesk系統，涵蓋軟體服務業者、政府機關、健康照護，以及交通產業，包括：Discord、Tinder、Riot Games、Dropbox、CD Projekt（2k.com）、Maya Mobile、NordVPN、美國田納西州勞工部、田納西州稅務局、Lightspeed、CTL、Kahoot、Headspace，以及Lime。</p> <p><a href="https://www.ithome.com.tw/news/173526"><strong style="font-size: 22px;">臺灣面臨的國家級駭客活動事件數量居全球第6，IT產業是中國駭客主要目標</strong></a></p> <p>關於國家級駭客的威脅態勢，每年微軟數位防禦報告都會針對此議題提出觀察，該報告點名的政府資助（State-Sponsored）駭客組織，主要涉及俄羅斯、中國、伊朗與北韓等。</p> <p>值得關注的是，在先前的年度報告中，微軟曾指出臺灣名列國家級駭客活動影響較為顯著的地區之一，排名依序是美國、以色列、烏克蘭、阿拉伯聯合大公國、英國、臺灣。而在最新報告中，我們看到微軟進一步公布更具體的統計數字，呈現各國境內被觀察到的國家級駭客活動事件情形。以事件數來看，在美國、以色列被觀察到的國家級駭客活動事件數最多，分別達623起、603起，其次為烏克蘭的277起、阿拉伯聯合大公國的166起、英國的144起，以及臺灣的143起。</p> <p>若從地區來看，以東南亞與太平洋地區而言，臺灣面臨的威脅嚴峻程度則是居於第一名，其次為南韓的126起、印度的100起。值得我們注意的是，回顧2023年的報告內容，當時南韓被攻擊的事件數量是東南亞與太平洋地區最高的，臺灣居次。如今排名出現變化，顯示臺灣與南韓同樣位於國家級駭客行動的主要關注範圍內，但臺灣所面臨的威脅態勢也更值得持續關注。</p> <p><a href="https://www.ithome.com.tw/news/173546"><strong style="font-size: 22px;">AI生成漏洞通報氾濫，Curl維護者終止抓蟲獎勵方案</strong></a></p> <p>由於接到太多外界以AI生成的低品質漏洞報告，Curl專案維護者宣布終止抓漏獎勵方案。</p> <p>Curl創辦人暨維護者Daniel Stenberg宣布，該專案漏洞通報獎勵方案將在2026年1月底結束。Curl專案不再針對外界通報的臭蟲或漏洞提供任何獎勵。他們也不再援助經由其他來源解決Curl問題的研究人員。Stenberg解釋，抓漏獎勵讓一些人惡意尋找並杜撰漏洞，造成專案的不必要負擔和濫用。</p> <p>對於杜撰漏洞的情況，該專案近日在16小時內收到7則漏洞通報，經過相當長時間的檢視，卻發現沒有一則是真正的漏洞。Stenberg表示，他們從2026年起已收到20則這類通報。</p> <p><a href="https://www.ithome.com.tw/news/173472"><strong style="font-size: 22px;">微軟1月例行更新出錯，引發Windows裝置無法開機、遠端連線</strong></a></p> <p>上周發布的一月份例行安全更新（Patch Tuesday），造成眾多消費者及企業版本Windows裝置無法開機、遠端登入等災情，微軟周末發出例外（Out-of-Band，OOB）修補更新。</p> <p>微軟在周末證實此事，緊急針對Windows 11釋出更新，解決KB5073455引發的問題。微軟說明，安裝KB5073455引發的問題包括了，具備「安全啟動」（secure launch）的部分裝置無法關機或休眠，而是重新啟動，受影響的版本為Windows 11 23H2。</p> <p>此外，另些用戶在遠端桌面連線時無法登入。這問題發生在Windows遠端桌面系統App的驗證步驟，影響Azure Virtual Desktop和Windows 365。這問題影響Windows 11 25H2、Windows 10 22H2，以及Windows Server 2025、2022、2019。</p> <p><a href="https://www.ithome.com.tw/news/173453"><strong style="font-size: 22px;">Let's Encrypt六天短效TLS憑證與IP位址憑證正式上線</strong></a></p> <p>憑證機構Let's Encrypt宣布，短效憑證現已正式提供，一張憑證的有效期為160小時，略高於六天，並採選用方式啟用。Let's Encrypt也推出IP位址憑證，並規定IP位址憑證一律採短效憑證形式簽發。此新選項可縮短私鑰外洩或遭竊後的暴露時間，並延續Let's Encrypt未來數年把預設有效期逐步從90天降至45天的既定方向。</p> <p>Let's Encrypt表示，推動短效憑證的主要理由，是縮短憑證遭濫用時的風險窗口。過往公開信任TLS憑證多採最長90天有效期，當私鑰外洩或被竊取時，傳統作法多仰賴憑證撤銷來降低衝擊，但撤銷在實務上常被認為不夠可靠，導致部分憑證依賴方仍可能在憑證到期前接受已受損的憑證。改採約六天的有效期後，即使撤銷未能即時生效，暴露時間也會因憑證較快到期而縮短。</p> <p>不過，Let's Encrypt也強調短效憑證暫時不會成為預設值，原因在於各組織的自動化程度差異很大。對已把憑證申請與續期納入自動流程的組織而言，改用短效憑證相對可行，但對仍仰賴半手動更新的環境，六天有效期意味著更密集的維運節奏，也更需要監控與警示，降低憑證過期導致服務中斷的風險。</p> <p><a href="https://www.ithome.com.tw/news/173493"><strong style="font-size: 22px;">以國家安全為由，中國要求企業停用美國、以色列的資安軟體</strong></a></p> <p>在美中緊張關係再次升溫之際，路透社、彭博等媒體報導，中國政府基於國家安全風險，要求國內企業不要使用美國及以色列公司的資安軟體，影響Check Point、Palo Alto Networks等10多家廠商。</p> <p>遭到中國主管機關禁用的美國公司包括：VMware、Palo Alto Networks、Fortinet、Mandiant、CrowdStrike、SentinelOne、McAfee、Recorded Future、Claroty、Rapid7和Wiz。名列禁用名單的以色列公司則有：Check Point、CyberArk、Orca Security、Cato Networks，以及Imperva（現為法商Thales所有）等。</p> <p>媒體無法取得有多少中國企業接獲主管機關的通知。但多家被點名的資安業者表示影響不大。例如，CrowdStrike、Recorded Future、SentinelOne，以及Claroty表示，他們未在中國設立營運據點、或是沒有顯著來自中國的營收。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=114551&SPOKE_DATE=20260122&COMPANY_ID=7711"><strong style="font-size: 22px;">永擎電子外包廠商發生帳密資料外流事故</strong></a></p> <p>主攻AI伺服器主機板與系統開發的永擎電子（7711）於1月22日上午發布重大訊息，說明其外包廠商帳號密碼外流，外洩的帳密僅涉及該公司網站的資料，再者，該公司提及，被公開的資訊，為需要搭配特定硬體才能運作的產測程式。針對這起事故帶來的影響，該公司表示營運不受影響，且受影響範圍未包含公司機密文件、重大財務資訊，以及客戶或員工的個人資料，沒有相關資料外洩情事發生。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bind-9-flaw-crashes-servers/">DNS伺服器BIND 9存在高風險漏洞，攻擊者可利用惡意DNS記錄造成當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/cuda-flaw-enables-code-execution/">NVIDIA CUDA Toolkit漏洞可被用於命令注入、任意程式碼執行</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-22822-critical-flaw-in-external-secrets-operator-breaks-namespace-isolation/">K8s工具External Secrets Operator存在重大漏洞，攻擊者可充當後門竊取敏感資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-0622-hardcoded-secret-exposes-open5gs-5g-core-networks/">5G核心網路元件Open5GS存在憑證寫死的重大漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173483"><strong>【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</strong></a></p> </div></div></div>
1/23 14:32作者周峻佑https://www.ithome.com.tw/news/173553
Dell翻新8-GPU運算系統，採用Blackwell架構HGX B300平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_xe9780_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年3月GTC大會，<a href="https://nvidianews.nvidia.com/news/nvidia-blackwell-ultra-ai-factory-platform-paves-way-for-age-of-ai-reasoning">Nvidia發表新一代的Blackwell Ultra平臺</a>，當中包含整櫃型融合式GPU伺服器系統GB300 NVL72，以及8-GPU伺服器系統HGX B300，預計下半年將會透過多家伺服器廠商供應，Dell正是其中之一，而在5月舉行的<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2025~05~dell-technologies-and-nvidia-unveil-next-generation-enterprise-ai-solutions.htm#/filter-on/Country:en-us">Dell Technologies World年度大會</a>期間，該公司預告將推出搭配Nvidia HGX B300的4款伺服器，氣冷機型是XE9780與XE9785，導入直接液冷的機型是XE9780L與XE9785L，透過這些產品建構AI工廠解決方案，支撐大型AI應用系統，獲得因應嚴苛運算需求，以及多個模型推論工作負載的運算能力。</p> <p>到了9月下半的Dell Technologies Forum 2025，Dell正式在臺介紹上述4款機型，可惜的是，當時他們並未在活動陳列這些硬體設備，而是在現場展示的GPU伺服器旁邊XE7745，放了指示牌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-Dell Forum Taipei-AI Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-Dell%20Forum%20Taipei-AI%20Server.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server2.jpg" style="width: 298px;" /></a></p> <p>之後，他們也陸續在網站公布<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9780-technical-guide.pdf">XE9780</a>、<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9785l-technical-guide.pdf">XE9785L</a>、<a href="https://www.delltechnologies.com/asset/en-us/products/servers/technical-support/poweredge-xe9785-technical-guide.pdf">XE9785</a>的技術指南。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell AI Server-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20AI%20Server-2026-01.jpg" style="width: 600px;" /></a></p> <p> </p> <p>就體型而言，XE9780與XE9785均採用10U尺寸機箱，前者搭配兩顆英特爾Xeon 6系列處理器（最多86核心），以及32支DDR5-6400記憶體（最多4 TB），後者搭配兩顆AMD EPYC 9005系列處理器（最多192核心）與24支DDR5-6400記憶體（最多6 TB）；XE9785L採用3OU尺寸機箱，處理器與記憶體規格比照XE9785L。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell Forum-2025-09-AI Server4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Forum-2025-09-AI%20Server4.jpg" style="width: 600px;" /></a></p> <p>前一代機型<a href="https://www.ithome.com.tw/review/156425">XE9680</a>採用6U尺寸機箱，搭配兩顆英特爾第五代Xeon Scalable系列處理器（最多64核心），以及32支DDR5-5600記憶體（最多4 TB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XE%209x80%20Comparsion-2.jpg" style="width: 600px;" /></p> <p>關於GPU平臺，最新上市的XE9780可搭配Nvidia HGX B300或Nvidia HGX B200，XE9785與XE9785L均可搭配Nvidia HGX B300或AMD Instinct MI355X平臺。值得注意的是，Nvidia HGX B300整合<a href="https://www.ithome.com.tw/review/173167">ConnectX-8 SuperNIC</a>，因此，若XE9780與XE9785搭配這個8-GPU平臺，也預設有8個ConnectX-8網路介面（OSFP埠）。回顧前一代機型<a href="https://www.ithome.com.tw/review/156425">XE9680</a>，最初主打搭配Nvidia HGX H100 8-GPU，後續可選擇Nvidia HGX H200、Nvidia HGX H20、Nvidia HGX A100，或是8個加速器組態的AMD Instinct MI300X、<a href="https://www.ithome.com.tw/review/162428">Intel Gaudi3</a>，</p> <p><a href="https://s4.itho.me/sites/default/files/images/XE 9x80 Comparsion-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE%209x80%20Comparsion-1.jpg" style="width: 600px;" /></a></p> <p>到了11月，MLCommons發布<a href="https://infohub.delltechnologies.com/en-us/p/dell-technologies-showcases-leadership-in-mlperf-tm-training-v5-1-driving-ai-performance-forward/">MLPerf Training 5.1</a>的效能測試結果， XE9780也是當中列出的一款機型，Dell標榜這是首批公開通過驗證、採用Nvidia Blackwell架構GPU的量產型伺服器，可提供2.1 TB容量的GPU記憶體（每個Nvidia B300內建270 GB記憶體），並採用第五代NVLink互連技術，提供14.4 TB/s的匯聚頻寬，能確保多個GPU之間的超快速存取，FP8運算效能可達到72 PFLOPS、FP4運算效能為144 PFLOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Training-HGX B300.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Training-HGX%20B300.jpg" style="width: 600px;" /></a></p> <p>最近我們看到Nvidia合格系統目錄當中，終於將HGX B300列入，Dell的XE9780也是首波被認可的伺服器系統產品之一。不過，我們注意到Nvidia在這裡的GPU組態，標示為HGX B300 NVL8 144GB Air-Cooled，意思是8個記憶體容量為144 GB的B300組成，記憶體總容量為1,152GB，但這和HGX B300目前公告的規格有出入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Quailifed System Catalog-B300.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Quailifed%20System%20Catalog-B300.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#008080;">Dell PowerEdge XE9780</span><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：10U<br /> ●處理器：2顆，Xeon 6系列（最高搭配86核心機型，熱設計功耗500瓦）<br /> ●記憶體：32個DDR5-6400插槽，最大可擴充至4 TB<br /> ●儲存配置：16臺E3.S外形NVMe固態硬碟（245.76 TB）、10臺2.5吋U.2外形NVMe固態硬碟（153.6 TB）<br /> ●搭配GPU：Nvidia HGX B300，8個SXM7形式GPU（270 GB記憶體），或是Nvidia HGX B200，8個SXM6形式GPU（180 GB記憶體）<br /> ●I/O擴充介面：搭配Nvidia B300，可擴充4張PCIe 5.0 x16全高半長介面卡（熱設計功耗均為150瓦）；搭配Nvidia B200，可擴充12張PCIe 5.0 x16全高半長介面卡（熱設計功耗8張75瓦、4張150瓦）<br /> ●電源供應器：12臺3200瓦<br /> ●系統管理介面：iDRAC10</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/23 14:48作者李宗翰https://www.ithome.com.tw/review/173530
特斯拉無人計程車正式上路了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>特斯拉執行長馬斯克（Elon Musk）本周四（1/22）<a href="https://x.com/elonmusk/status/2014397578352226423" target="_blank">透過X平臺宣布</a>，特斯拉無人計程車（Robotaxi）服務在德州奧斯汀（Austin）邁出關鍵一步，正式開始提供無車內安全監管員的乘客載運服務。</p> <p>特斯拉Robotaxi於2025年6月正式在德州奧斯汀<a href="https://www.ithome.com.tw/news/169692" target="_blank">展開初步測試</a>，最初採邀請制並由Model Y車型組成。乘客需透過專屬的Robotaxi App註冊叫車，上車後可藉由車內觸控螢幕自訂空調、座椅及音樂，雖然沒有駕駛員，但前方座位仍設置一名人類安全監督員。隨後特斯拉將該服務擴展至加州，迄今總計已有超過200輛Robotaxi上路。</p> <p>特斯拉AI主管Ashok Elluswamy<a href="https://x.com/aelluswamy/status/2014398853991301538" target="_blank">在同一天表示</a>，目前正將無人監管的Robotaxi車輛逐步混入現有的測試車隊中，之後將持續增加無人監管車輛的比例與總數。</p> <p>不過，儘管車隊規模持續擴大，但目前僅有奧斯汀獲准移除安全監管員，加州車隊依法仍須配備人類駕駛員。</p> <p>特斯拉面臨Alphabet旗下Waymo的強力競爭。與特斯拉剛起步的混合部署不同，Waymo的全數車隊皆為完全無人駕駛，且早已在舊金山、鳳凰城與洛杉磯等地常態性經營超過1,500輛無人車，在本周進軍邁阿密，甚至已<a href="https://www.ithome.com.tw/news/172221" target="_blank">獲准駛上高速公路</a>。</p> <p>市場分析指出，相較於Waymo依賴昂貴的光學雷達（LiDAR）與高精地圖，特斯拉堅持純視覺路線試圖壓低成本。這場競爭不僅是技術路線之爭，也是商用化完整度與法規適應力的對決。</p> </div></div></div>
1/23 15:03作者陳曉莉https://www.ithome.com.tw/news/173557
英特爾營收下滑4%，盤後股價大跌12%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英特爾（Intel）於周四（1/22）<a href="https://www.intc.com/news-events/press-releases/detail/1759/intel-reports-fourth-quarter-and-full-year-2025-financial" target="_blank">公布2025年第四季財報</a>，該季營收為137億美元，較前一年同期下滑4%。由於受到供應鏈短缺與保守展望影響，英特爾盤後股價下滑12%，跌至47.8美元。</p> <p>在營收表現上，該季用戶端運算事業群（CCG）創下82億美元營收，下滑7%；資料中心與AI事業群（DCAI）營收為47億美元，比前一年同期成長9%；英特爾晶圓代工（Intel Foundry）營收45億美元，成長4%，但部門間交易抵銷為43億美元。</p> <p>英特爾在2025年第四季虧損了6億美元，高於去年同期1億美元的虧損。</p> <p>至於英特爾2025全年營收為529億美元，與2024年基本持平。受惠於成本重組計畫，全年淨虧損由前一年度的188億美元大幅收斂至2.67億美元。其中，英特爾晶圓代工（Intel Foundry）全年營運虧損高達103億美元，彰顯出英特爾正利用設計晶片的獲利來補貼代工業務的巨大支出。</p> <p>英特爾執行長陳立武表示，英特爾對CPU在AI時代的核心地位充滿信心，18A製程在美已進入高產量製造，是轉型的重要里程碑，未來將透過強化執行力與工程卓越，全面捕捉AI市場的龐大機遇。</p> <p>Intel 18A為英特爾1.8奈米製程的代號，被視為是該公司重返全球半導體領導地位的關鍵，它導入了可精確控制電流並減少漏電的RibbonFET電晶體技術，以及背面供電技術PowerVia，將同時用來生產自家及代工晶片；首款基於Intel 18A製程的<a href="https://www.ithome.com.tw/news/173187" target="_blank">英特爾CPU為Panther Lake</a>，目標是讓Windows筆電在AI運算效能與電池續航上，能全面擊敗高通與蘋果。</p> <p>不過，英特爾財務長David Zinsner坦承，英特爾正處於新舊製程交替的陣痛期，可交付給客戶的成品供應量將在2026年第一季觸底，隨後在第二季及以後才會逐步改善。</p> <p>英特爾為美國本土唯一具備尖端製程開發與量產能力的半導體業者，卻因先進製程研發多次延宕，導致技術領先地位首度遭到對手反超。隨著<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府取得</a>9.9%的英特爾股份，<a href="https://www.ithome.com.tw/news/171281" target="_blank">Nvidia對英特爾</a>的50億美元投資（估計占5.1%股份）及合作，再加上大規模瘦身與資產重組，都讓一度衰退的英特爾再現生機。</p> </div></div></div>
1/23 13:57作者陳曉莉https://www.ithome.com.tw/news/173555
GNU Inetutils套件中的telnetd服務可讓攻擊者取得Root權限的重大漏洞近日遭人企圖濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商<a href="https://viz.greynoise.io/tags/inetutils-telnetd--f-auth-bypass-attempt?days=1" target="_blank">Greynoise發現</a>，GNU Inetutils套件中的telnetd服務一項11年後才被發現的漏洞，近日已有企圖濫用存取系統。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。</p> <p>telnetd程式在啟動使用者登入時，會讀取並傳遞客戶端提供的環境變數（USER）。編號CVE-2026-24061的漏洞，出在GNU Inetutils的telnetd（telnet daemon）對USER變數驗證不當，使攻擊者透過在輸入中加入-f root值，得以繞過驗證流程，獲得root權限。<a href="https://ccb.belgium.be/advisories/warning-critical-authentication-bypass-gnu-inetutils-telnetd-patch-immediately" target="_blank">比利時網路安全中心警告</a>，濫用本漏洞可能讓攻擊者讀取敏感資料、修改系統配置、執行任意指令、毁損系統可用性。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24061" target="_blank">NIST漏洞資料庫</a>，本漏洞風險值達9.8。原因是本漏洞可讓非經驗證的攻擊者從網路遠端發動，易於操作、且不需使用者互動，而且濫用後果嚴重性高。</p> <p><a href="https://www.theregister.com/2026/01/22/root_telnet_bug/" target="_blank">The Register</a>指出，這漏洞是導因於2015年該軟體引入的變更，直到現在才被研究人員揭露。</p> <p>最新漏洞影響GNU InetUtils 1.9.3到2.7，GNU已提供修補程式碼修正telnetd中的參數注入問題，已合併到上游原始碼中。但是需要下游OS業者將修補程式整合進其軟體並釋出更新版。目前<a href="https://linuxsecurity.com/advisories/debian/inetutils-dsa-6106-1-2026-24061" target="_blank">Debian已公告</a>釋出新版本。</p> <p><a href="https://www.cyber.gc.ca/en/alerts-advisories/gnu-security-advisory-av26-047" target="_blank">加拿大</a>、比利時等主管機關皆發出安全公告。比利時政府呼籲用戶更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> </div></div></div>
1/23 14:23作者林妍溱https://www.ithome.com.tw/news/173556
TikTok完成美國重組，推薦演算法與核心控制權落地美國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://newsroom.tiktok.com/announcement-from-the-new-tiktok-usds-joint-venture-llc?lang=en" target="_blank">TikTok今日（1/23）宣布</a>，已依據美國總統川普（Donald Trump）的行政命令，正式成立TikTok USDS Joint Venture合資公司；如同<a href="https://www.ithome.com.tw/news/172913" target="_blank">先前的規畫</a>，由甲骨文等美國業者取得大多數股權，母公司字節跳動（ByteDance）僅保留19.9%的少數股權。</p> <p>川普在今年9月<a href="https://www.whitehouse.gov/fact-sheets/2025/09/fact-sheet-president-donald-j-trump-saves-tiktok-while-protecting-national-security/" target="_blank">祭出的行政命令</a>要求字節跳動持股降至20%以下，且必須在甲骨文雲端環境中，由美國團隊利用本土數據重新訓練演算法，確保內容推薦不受外部操縱，以在維持2億用戶使用權的同時，徹底解決數據與資訊安全的疑慮。</p> <p>新成立的TikTok USDS採用複雜的股權結構，美國資本及國際資本總計占了50%，字節跳動既有的投資者占了30.1%，字節跳動則占了19.9%。其中，甲骨文、銀湖資本（Silver Lake）與MGX各取得了15%的股權，屬於具備實際影響力的管理投資者（Managing Investor）。</p> <p>TikTok USDS將服務超過2億名美國用戶以及750萬家在地企業。新公司由TikTok原營運主管Adam Presser出任執行長，並由7人組成的董事會領導，其中大多數為美國成員，包括甲骨文執行副總裁Kenneth Glueck與銀湖資本共同執行長Egon Durban。新實體的職責不僅限於資料保護，還涵蓋演算法安全、內容審核以及軟體保證（Software Assurance），將平臺的所有關鍵控制環節正式落地於美國境內。</p> <p>在實際運作上，新公司將把TikTok核心推薦演算法部署於甲骨文的雲端環境中，並針對美國用戶的互動數據進行重新訓練，以切斷其受字節跳動或其他外部因素影響的可能性。</p> <p>此外，雖然TikTok Global仍負責全球市場的產品整合與商業營運，例如TikTok Shop與廣告業務，但美國市場的演算法治理與軟體更新程式碼，必須通過美方安全團隊以及甲骨文的審查與驗證。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-01-23/tiktok-seals-deal-to-create-us-venture-with-oracle-silver-lake" target="_blank">彭博社</a>（Bloomberg）分析指出，這筆交易對甲骨文而言是巨大的商業勝利，不僅替該公司帶來長期雲端業務營收，更確立其在美國社交媒體資安領域的樞紐地位。</p> <p>美國媒體則普遍認為，此一結果反映了川普在國安疑慮與政治現實間的權衡。透過將技術監管移交給甲骨文等盟友，川普成功在保留2億用戶支持度的同時，也達成了削弱母公司字節跳動影響力的目標。</p> </div></div></div>
1/23 11:24作者陳曉莉https://www.ithome.com.tw/news/173549
IT服務臺Zendesk遭到濫用，駭客以此發動大規模垃圾郵件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客為了取得入侵企業網路環境的管道，透過社交工程攻擊的情況相當常見，其中一種手法在去年特別引人注目，那就是冒充公司員工對IT服務臺下手，因此，只要與此種類型平臺有關的攻擊活動，都相當值得留意。</p> <p>根據資安新聞網站Bleeping Computer的報導，<strong><a href="https://www.bleepingcomputer.com/news/security/zendesk-ticket-systems-hijacked-in-massive-global-spam-wave/">近期有許多人收到大量來自Zendesk寄出的不明郵件</a></strong>，儘管這些信件沒有惡意連結或是其他明顯的網釣特徵，然而這些郵件主題怪異，有些假裝是執法請求或取消訂單，也有提供免費Discord Nitro服務，甚至有求救信，以採用加粗的Unicode字體或夾雜多種語言的字體，而且數量相當龐大，還是讓不少使用者感到混亂，並擔心可能成為駭客鎖定的目標。</p> <p>這些信件來自多家企業組織的Zendesk系統，涵蓋軟體服務業者、政府機關、健康照護，以及交通產業，包括：Discord、Tinder、Riot Games、Dropbox、CD Projekt（2k.com）、Maya Mobile、NordVPN、美國田納西州勞工部、田納西州稅務局、Lightspeed、CTL、Kahoot、Headspace，以及Lime。</p> <p>攻擊者濫用Zendesk允許未經驗證用戶提交支援工單的功能，工單會自動產生，並發送到攻擊者控制的電子郵件地址。由於Zendesk會透過自動回覆的方式，確認收到工單，攻擊者能透過大量電子郵件信箱建立假客服工單，將這些系統變成大規模垃圾郵件平臺。由於這些信件來自合法公司的Zendesk，因此它們繞過了垃圾郵件過濾器，比一般垃圾郵件更具侵略性。</p> <p>對此，已有多家公司確認受到這波垃圾郵件影響，其中包含Dropbox與CD Projekt，他們透過回覆工單的內容，呼籲使用者不要恐慌，直接忽略這些郵件即可。</p> <p>Zendesk也對此表示，為防範這種垃圾郵件活動，他們正在引入新的安全功能。值得留意的是，<strong><a href="https://support.zendesk.com/hc/en-us/articles/9833274501786-Important-notice-about-recent-spam-emails-via-Zendesk">該公司曾在一個月前對類似活動提出警告</a></strong>，指出攻擊者是利用中繼垃圾信（relay spam）手法，透過Zendesk系統寄送大量垃圾郵件。該公司也呼籲企業組織應限縮能建立工單的人員，並移除電子郵件或工單主旨等欄位（placeholders），來防範IT服務臺遭到濫用。</p> </div></div></div>
1/23 12:17作者周峻佑https://www.ithome.com.tw/news/173548
蘋果調動硬體負責人John Ternus職務，傳是替接手執行長鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-01-22/apple-hardware-chief-john-ternus-now-overseeing-design-tim-cook-ceo-succession?embedded-checkout=true" target="_blank">彭博社（Bloomberg）本周報導</a>，蘋果執行長庫克（Tim Cook）已於2025年年底，低調擴張硬體工程高級副總裁John Ternus的職權，委任其全面統籌公司的設計團隊。此舉被外界視為是鞏固了Ternus作為庫克繼任者的領跑地位。</p> <p>Ternus在1997年畢業於賓夕法尼亞大學機械工程系，在2001年即加入蘋果產品設計團隊，曾參與第一代iPad的原始開發，並主導AirPods與歷代iPhone的硬體工程；他在2021年升任硬體工程高級副總裁，正式進入蘋果核心決策圈；在蘋果內部並以「情緒穩定」及「低調謙遜」著稱。</p> <p><a href="https://www.macworld.com/article/3040394/apples-john-ternus-just-became-the-new-jony-ive.html" target="_blank">Macworld指出</a>，這代表Ternus同時管轄蘋果的硬體工程與軟體介面設計團隊，此一跨界的職權廣度，在蘋果歷史上僅有前首席設計長Jony Ive等極少數核心人物曾擁有。顯示出庫克正刻意將Ternus曝露於更多元的營運範疇，以替未來接任執行長進行全方位培訓。</p> <p>其實在Ive離職之後，蘋果設計團隊是由營運長Jeff Williams負責監督與管理，但Williams在去年<a href="https://www.ithome.com.tw/news/169957" target="_blank">退休</a>了，庫克並未把設計團隊交給新的營運長Sabih Khan，而是轉交給了Ternus。</p> <p><a href="https://gizmodo.com/yeah-this-guys-looking-like-the-frontrunner-for-new-ceo-of-apple-2000713135" target="_blank">Gizmodo則分析</a>，Ternus被視為與庫克高度一致的務實主義者，曾於iPhone產品策略中展現精準的成本與市場洞察，例如提議僅在高端機型加入高階感測技術，而非全線配備。</p> <p>有部分員工與評論家認為，若Ternus最終接掌帥印，意謂著蘋果或將延續務實穩健的路線，相較於賈伯斯時代的突破性開創，未來可能更專注於現有產品的細緻優化與商業穩定。</p> </div></div></div>
1/23 10:58作者陳曉莉https://www.ithome.com.tw/news/173545
AI生成漏洞通報氾濫 Curl維護者終止抓蟲獎勵方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由於接到太多外界以AI生成的低品質漏洞報告，Curl專案維護者本周<a href="https://github.com/curl/curl/blob/cc8df2b13d057a5d1e68380089eec220d7d0cef2/docs/BUG-BOUNTY.md" target="_blank">宣布終止抓漏獎勵方案</a>。</p> <p>Curl是廣受歡迎的開源、跨平臺的命令列網路資料傳輸專案，它支援HTTP/HTTPS、FTP/FTPS、SCP/SFTP、SMTP/IMAP/POP3、DAP、SMB、MQTT等協定可用於呼叫REST API、下載/上傳檔案、測試Web服務，或進行資安研究和除錯。</p> <p>Curl創辦人暨維護者Daniel Stenberg本周宣布Curl漏洞通報獎勵方案將在2026年1月底結束。Curl專案不再針對外界通報的臭蟲或漏洞提供任何獎勵。他們也不再援助經由其他來源解決Curl問題的研究人員。Stenberg解釋，抓漏獎勵讓一些人惡意尋找並杜撰漏洞，造成專案的不必要負擔和濫用。</p> <p>Curl專案從2019年起透過主要平臺如HackerOne及Internet Bug Bounty等實施漏洞通報獎勵方案，以回饋通報curl及libcurl漏洞的研究人員。</p> <p>但<a href="https://lists.haxx.se/pipermail/daniel/2026-January/000143.html" target="_blank">Stenberg上周說明</a>，近日在16小時內收到7則漏洞通報，經過相當長時間的檢視，發現沒有一則是真正的漏洞。從2026年起該專案已收到20則這類通報。</p> <p>例如他和一位「研究人員」來回爭論許久，之後他公開在社群平臺揶揄對方以AI生成品質粗糙的漏洞報告。雖然Stenberg未指明對方身份，但對方則堅持他的發言「毁了他們的專業生涯」。</p> <p>Stenberg在另一篇<a href="https://mastodon.social/@bagder/115937745037450670" target="_blank">社群貼文</a>說明Curl專案在2025年接到的通報率超過其他開源專案，並形容其中不少是「垃圾」。</p> <p>說，關閉抓漏獎勵方案主要是關閉低品質、不嚴謹通報的誘因，不論是不是AI生成的。現有低品質通報氾濫已對curl安全團隊形成重大負擔。因此這決定是為了移除這類「噪音」，讓真正有價值的報告更易於提出和處理。</p> <p>這決定意謂著Curl專案將退出HackerOne。<a href="https://www.bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/" target="_blank">Bleeping Computer</a>報導，Curl專案將在1月底結束任何報酬支付，現有審查中的報告仍會被處理。2月1日起，Curl專案不再經由HackerOne，而要求研究人員直接透過GitHub通報問題。Stenberg說，希望即使不再未付酬勞後，還能接到真正的漏洞通報。</p> </div></div></div>
1/23 11:10作者林妍溱https://www.ithome.com.tw/news/173546
Fortinet SSO登入漏洞再現濫用活動 FortiGate遭變更組態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Fortinet去年12月公布並修補FortiCloud SSO登入漏洞，近日被<a href="https://www.securityweek.com/new-wave-of-attacks-targeting-fortigate-firewalls/" target="_blank">安全研究人員發現</a>網路上又再度出現濫用活動，篡改受害FortiGate裝置配置。</p> <p>從今年1月15日起<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-malicious-configuration-changes-fortinet-fortigate-devices-via-sso-accounts/" target="_blank">Arctic Wolf</a>研究人員發現，新一波針對FortiGate裝置的自動執行的惡意活動，在非授權情況下變更防火牆配置。</p> <p>這波攻擊主要目的在建立新的通用帳號以便持久存取，變更防火牆配置可讓攻擊者以VPN存取這些帳號及外洩防火牆配置。</p> <p>遭到存取的是<a href="https://www.ithome.com.tw/news/172750" target="_blank">Fortinet上個月修補</a>的重大驗證繞過漏洞：CVE-2025-59718與CVE-2025-59719。二個漏洞可讓攻擊者傳送變造的SAML訊息繞過單一簽入（SSO）登入驗證登入裝置（假如已開啟FortiCloud SSO登入功能）。兩漏洞風險值皆高達9.8，影響產品涵括FortiOS、FortiWeb、FortiProxy及FortiSwitchManager。</p> <p>兩個漏洞在公布後不到一周就發生濫用情形。到12月底網路上還有超過2萬台裝置曝險。</p> <p>在最新的攻擊中，在利用FortiCloud SSO登入後，就經由GUI介面下載防火牆配置，接著攻擊者就新增次要管理員帳號以維持持久存取。上述階段之間皆間隔數秒、顯示可能是自動化腳本程式或工具執行。</p> <p>由於這是還在進行的事件，有許多細節目前還不清楚。研究人員目前追查出的入侵指標包括二個登入防火牆的惡意帳號、數個連線來源IP位址，包括來自美國、歐洲及Cloudflare的伺服器（但可能作為代理節點或被濫用），以及駭客建立的後門管理員帳號（如secadmin、itadmin、support等）。</p> <p>研究人員建議管理員將Fortinet軟體升級到最新版本、檢查是否有異常SSO登入與配置下載行為，重設受影響防火牆系統的憑證與密碼，並且將裝置管理介面權限縮限到受信賴的內部使用者。</p> <p>針對尚未能修補漏洞的企業，研究人員建議管理員關閉FortiCloud SSO登入功能。</p> </div></div></div>
1/23 10:14作者林妍溱https://www.ithome.com.tw/news/173541
GitLab修補雙因素驗證繞過與多項DoS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitLab<a href="https://about.gitlab.com/releases/2026/01/21/patch-release-gitlab-18-8-2-released/">發布</a>社群版與企業版18.8.2、18.7.2、18.6.4版本更新，修正可在特定條件下繞過雙因素驗證的高風險漏洞，以及多項可能導致拒絕服務（DoS）的安全弱點。官方呼籲自管部署儘速升級到上述任一修補版本。GitLab.com已套用修補版本，GitLab Dedicated用戶不需採取行動。</p> <p>這次更新共涵蓋5項安全修正，其中3項為高風險、2項為中度風險。影響面主要為DoS情境，包含未經驗證者可觸發的請求型攻擊，也有在特定條件下由已登入使用者引發的情境，可能影響服務可用性，另外一項是與身分驗證服務回傳值處理相關的問題，可能在特定條件下影響雙因素驗證的防護效果。</p> <p>在高風險項目中，GitLab修補CVE-2026-0723，該問題與驗證服務回傳值處理不完整有關。官方說明，要是攻擊者已掌握受害者的憑證識別碼，可能透過偽造裝置回應，在特定條件下繞過雙因素驗證。</p> <p>另外兩項高風險漏洞屬於DoS，CVE-2025-13927出現在Jira Connect整合，未經驗證者可能送出帶有格式異常驗證資料的特製請求造成DoS。CVE-2025-13928則與Releases API的授權檢查不正確有關，GitLab指出，未經驗證者可能利用API端點的授權檢查缺陷觸發DoS。</p> <p>中度風險漏洞方面，CVE-2025-13335與Wiki重新導向流程有關，在特定狀況下，已登入使用者可透過設定格式異常的Wiki文件，繞過迴圈偵測機制，導致系統陷入無限迴圈進而形成DoS。另一項CVE-2026-1102則涉及SSH驗證請求，官方說明，未經驗證者可能透過反覆送出格式異常的SSH驗證請求，造成API端點DoS。</p> <p>GitLab提醒這次修補版包含資料庫搬遷，可能影響升級時程安排，單節點部署在升級過程中需要等待搬遷完成，GitLab服務才能啟動，因此通常會需要停機處理，多節點部署若依照零停機升級流程進行，可把服務中斷風險降到較低。18.7.2版本則包含部署後搬遷，也就是可在完成程式升級後再執行資料庫搬遷。</p> </div></div></div>
1/23 08:04作者李建興https://www.ithome.com.tw/news/173531
憑證機構LiteSSL遭揭ACME驗證資料重用漏洞，官方稱已撤銷143張憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>憑證機構LiteSSL在Mozilla相Mozilla CA Program的公開合規事件追蹤中被<a href="https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/EiuXvY3m_gU/m/BSEzPfNaFwAJ">點名</a>，外部研究人員指稱其ACME自動化簽發服務的網域驗證資料可被不當重用，導致在憑證簽發時，出現未重新確認網域控制權就核發萬用字元憑證的風險。</p> <p>研究人員提出兩項問題，其中一項是ACME伺服器的IP節流政策設計不良，可能造成簽發經常失敗。更受關注的是第二項指控，也就是研究者懷疑DNS-01驗證挑戰的狀態被長時間保留，且伺服器在後續簽發時疑未檢核請求是否出自同一個ACME帳號，因而可能出現未重新驗證網域控制權就取得他人網域萬用字元憑證的風險。由於萬用字元憑證可涵蓋大量子網域，一旦被未授權取得，潛在影響通常比單一網域憑證更大。</p> <p>研究人員在公開貼文<a href="https://archive.ph/u6U2p">表示</a>，他先以自建的臨時網域完成DNS-01驗證以重現流程，接著再從crt.sh的簽發清單隨機挑選含萬用字元網域的既有憑證作為示範目標，文中舉例為*.vaadd.com。crt.sh顯示，與vaadd.com及*.vaadd.com相關的憑證在2026年1月21日被記錄到憑證透明度日誌，其簽發者顯示為TrustAsia Technologies旗下的LiteSSL ECC CA 2025。</p> <p>DNS-01是ACME常見的網域控制權驗證方式之一，做法是要求申請者在DNS中放置指定TXT紀錄，以證明其能控制該網域的DNS設定。一旦DNS-01的驗證結果與憑證申請身分之間的對應關係出現瑕疵，就可能動搖CA簽發憑證前必須確認網域控制權的基本前提。</p> <p>Mozilla Bugzilla上的初步事故報告則<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=2011713">指出</a>，TrustAsia在2026年1月21日收到社群通報後調查確認，LiteSSL的ACME服務存在與網域驗證資料重用相關的漏洞。影響範圍涵蓋2025年12月29日之後以ACME簽發的憑證，原因是ACME驗證授權資料曾跨不同ACME帳號被重用，合計影響143張，TrustAsia表示目前已全數撤銷且完成修補，服務已恢復。</p> </div></div></div>
1/23 08:11作者李建興https://www.ithome.com.tw/news/173536
Claude新版憲章公開，Anthropic以脈絡完整文件引導模型行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI公司Anthropic<a href="https://www.anthropic.com/constitution">公布</a>新版Claude憲章，作為其AI模型Claude的行為準則與價值框架，並同步公開全文。官方表示，該文件不只是對外說明立場，更會在模型訓練中扮演關鍵角色，直接影響Claude在面對複雜情境時如何取捨與回應。以CC0授權釋出，允許任何人自由使用。</p> <p>相較於過去以多條原則並列的寫法，Anthropic這次選擇把憲章改寫成一份脈絡完整的文件，花更多篇幅解釋希望Claude以特定方式行動的原因，以及這些要求背後的理由。Anthropic的核心主張是，要讓模型在新情境中做出更穩健的判斷，就不能只要求它照規則行事，而是要讓它理解原則的用意與限制，才能在價值衝突時較少落入僵硬套用。</p> <p>Anthropic也強調，這份憲章主要是寫給Claude看的。文件會交代Claude所處的環境與可能遇到的兩難，並提供應對建議，例如在誠實與同理之間如何拿捏，或在提供協助時如何保護敏感資訊。</p> <p>Claude憲章會被用在多個階段，除了作為目標規範，Claude也會依據憲章生成合成訓練資料，而這類資料可用來訓練未來版本的Claude，使其更接近憲章所描述的樣貌。</p> <p>新版憲章也明確提出行為優先順序，Anthropic希望現階段的Claude先確保整體安全，不削弱人類對AI的監督與修正能力，其次是維持廣義倫理，包括誠實與避免造成不當傷害，再來是遵循Anthropic更具體的指引，最後才是對使用者提供實質幫助。Anthropic指出，這種排序並非宣稱安全必然高於倫理，而是考量當前模型仍可能因誤判或缺乏情境而做出危險行為。</p> <p>Anthropic在憲章中仍保留少數高風險領域的嚴格限制，強調在某些情境下Claude不應提供可能大幅提高危害的協助。Anthropic同時表示，憲章不打算成為僵硬的法律文本，硬性限制僅用於特別高風險、不可逾越的行為邊界，其餘情境仍希望Claude能以理解與判斷來處理例外與灰色地帶。</p> <p>至於Claude自身的本質，Anthropic承認對於AI是否可能具備某種意識或道德地位仍無定論，僅表達希望Claude在面對相關問題時保持謹慎、穩定與一致的自我理解，以降低風險並維持判斷品質。Anthropic在結語中把這份憲章稱為持續更新的活文件，承認訓練出完全符合憲章的模型仍是技術挑戰，現實行為也可能與意圖出現落差，並表示會在系統卡等文件中揭露這類差距。</p> </div></div></div>
1/23 08:18作者李建興https://www.ithome.com.tw/news/173537
微軟揭露21種傳統攻擊手法因AI進化，網域冒充問題加劇需正視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安界長期關注攻擊者如何運用AI強化攻擊行動，例如打破語言障礙，或製作可信度更高的社交工程郵件與Deepfake語音。去年底微軟發布新一年度數位防禦報告，讓我們特別感興趣的是，報告中對這一趨勢進行了更具體的通盤整理，一共列出21項受到AI加持的攻擊手法或技術，過去我們很少看到如此細緻的分類，相當難得。為了方便閱讀，我們進一步將這21項內容歸納為四大類別，例如：</p> <p><span style="color: rgb(128, 0, 0);">●用於助長社交工程與身分詐欺。</span>涵蓋自動化詐騙、自動化魚叉式網路釣魚、語言翻譯、深偽技術（Deepfake）、合成身分建立、網域冒充。</p> <p><span style="color: rgb(128, 0, 0);">●用於惡意軟體與攻擊工具開發。</span>涵蓋惡意軟體生成、程式碼生成與除錯、漏洞利用開發、混淆或變異惡意軟體酬載。</p> <p><span style="color: rgb(128, 0, 0);">●用於情報偵查與研究。</span>涵蓋開源掃描、偵察、研究、識別敏感憑證。</p> <p><span style="color: rgb(128, 0, 0);">●用於攻擊操作與橫向移動。</span>涵蓋管理C2伺服器、機器人自動化、隱匿服務、自動化數據外洩至橫向移動管道、勒索軟體談判，甚至是嵌入式提示注入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟數位防禦報告_攻擊者用AI提升21項傳統攻擊技術_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E6%94%BB%E6%93%8A%E8%80%85%E7%94%A8AI%E6%8F%90%E5%8D%8721%E9%A0%85%E5%82%B3%E7%B5%B1%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <h3><strong>網域冒充威脅擴大，微軟提出4大應對策略</strong></h3> <p>近期微軟印度暨南亞區首席資安顧問Anujh Tewari亦針對這方面進行解析。他強調，現在攻擊者正隨著AI時代進步，利用AI來擴大攻擊規模，一旦發現某次攻擊效果不錯，就可以迅速複製攻擊模式。</p> <p>以網路釣魚為例，微軟觀察到，AI已使網路釣魚攻擊的點擊率提高4.5倍，而且2025年的手段已不局限於電子郵件，攻擊者會透過Teams等協作工具直接撥打電話，冒充IT人員要求存取權限；在管理C2伺服器方面，過去需由人工逐步操作的攻擊流程，現在只需將數據餵給AI就能自動執行；在網域冒充方面，過去攻擊者必須自行尋找可用網域，現在AI縮短了這類作業的時間與成本。</p> <p>值得注意的是，他還指出網域冒充（Domain Impersonation）情形將愈來愈普遍，值得各界提高警覺。由於過去在討論社交工程攻擊時，多半聚焦於「語言翻譯」、「魚叉式網路釣魚」、「詐騙」與「Deepfake」等手法，「網域冒充」雖同樣屬於社交工程的重要環節，卻往往容易被忽略。也因此，Anujh Tewari此次對網域冒充的進一步剖析，特別引起我們的重視。</p> <p>一般而言，較容易被使用者識別的釣魚網址，往往與品牌名稱無明顯關聯；相較之下，「網域冒充」則是攻擊者刻意設計、並搶先註冊與品牌高度相似的網址，藉此降低受害者的警覺心，這類行為有時也被稱為Cybersquatting，也就是俗稱的網路蟑螂。</p> <p>網域冒充的目的很多元，包括用於網路釣魚、詐騙、惡意軟體散布，或是勒索、網路抹黑等行為。</p> <p>Anujh Tewari強調，微軟已觀察到，現在犯罪分子開始利用生成對抗網路（GANs）等AI技術，自動學習合法網域的命名邏輯，生成高度逼真的虛假網域。常見的網域冒充手法，大致可分為三類，包括：●誤植域名搶先註冊（Typo-squatting），透過刻意拼錯字母來混淆視聽；●同形異義字搶先註冊（Homograph-squatting），像是rn與m相像字型混淆；●組合層級搶先註冊 (Combo/Level-squatting)，增加額外單字或子網域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）微軟數位防禦報告Domain impersonation_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8ADomain%20impersonation_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>這樣的態勢意味著，網域冒充情形將更為普遍。我們該如何應對？Anujh Tewari提出4大建議，並說明這也是微軟的經驗與作法，可作為企業因應相關威脅的參考。這4大建議是：<br /> （一）預先註冊相似網域，並確保公司官方帳號皆完成身分驗證。<br /> （二）持續監控社交平臺上的假冒帳號與惡意廣告。<br /> （三）強化使用者對偽造網址與釣魚郵件的辨識能力。<br /> （四）建立快速應變機制，在發現威脅時能即時啟動通知下架或封鎖流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）微軟數位防禦報告Domain impersonation_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8ADomain%20impersonation_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>另外Anujh Tewari亦提醒，AI正全面加速網路攻擊的速度、規模與精密度，但AI也正在重塑網路防禦。<span style="color: rgb(255, 255, 255);">文⊙羅正漢</span></p> <p>對於防禦者而言，關鍵在於強化異常訊號的早期掌握，並導入AI驅動的自動化回應機制。他建議可從下列3個方向思考，例如：將應變處理與威脅抑制自動化，提升威脅偵測的速度與精準度，以及識別偵測缺口並隨攻擊者行為持續演進。而微軟本身也是採取相同策略，運用AI強化身分系統、雲端工作負載與AI Agents的安全防護。</p> </div></div></div>
1/22 17:33作者羅正漢https://www.ithome.com.tw/news/173505
臺灣面臨的國家級駭客活動事件數量居全球第6，IT產業是中國駭客主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>關於國家級駭客的威脅態勢，每年微軟數位防禦報告都會針對此議題提出觀察，該報告點名的政府資助（State-Sponsored）駭客組織，主要涉及俄羅斯、中國、伊朗與北韓等。</p> <p>值得關注的是，<a href="https://www.ithome.com.tw/news/166901#%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%A7%AD%E5%AE%A2">在先前的年度報告中，微軟曾指出臺灣名列國家級駭客活動影響較為顯著的地區之一</a>，排名依序是美國、以色列、烏克蘭、阿拉伯聯合大公國、英國、臺灣。</p> <p>而在<a href="https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/msc/documents/presentations/CSR/Microsoft-Digital-Defense-Report-2025.pdf#page=1">最新報告</a>中，我們看到微軟進一步公布更具體的統計數字，呈現各國境內被觀察到的國家級駭客活動事件情形。</p> <p>以事件數來看，在美國、以色列被觀察到的國家級駭客活動事件數最多，分別達623起、603起，其次為烏克蘭的277起、阿拉伯聯合大公國的166起、英國的144起，以及臺灣的143起。</p> <p>若從地區來看，以東南亞與太平洋地區而言，臺灣嚴峻程度則是居於第一名，其次為南韓的126起、印度的100起。值得我們注意的是，回顧2023年的報告內容，當時南韓被攻擊的事件數量是東南亞與太平洋地區最高的，臺灣居次。如今排名出現變化，顯示臺灣與南韓同樣位於國家級駭客行動的主要關注範圍內，但臺灣所面臨的威脅態勢也更值得持續關注。</p> <h3><strong>泰國成中國駭客攻擊新重點，威脅正向東南亞擴展</strong></h3> <p>針對各國家級駭客行動的攻擊目標分布，我們發現，今年報告提供更為細緻的統計視角，相較於先前呈現單一國家級駭客行動鎖定的「<a href="https://s4.itho.me/sites/default/files/images/2026-01-22_153125.jpg">區域</a>」，最新報告則進一步細分至「國家」。換言之，這次直接揭示單一國家級駭客行動鎖定哪些國家，使威脅輪廓更加清晰。</p> <p>在此當中，中國政府資助駭客組織的活動跡象，自然是臺灣關注的重點。報告顯示，以中國駭客攻擊的活動事件而言，美國是最主要的攻擊目標，比例達35%，其次為泰國的14%、臺灣的12%，再來是韓國的8%、日本的4%。</p> <p>令我們意外的是，泰國遭受中國駭客的攻擊比臺灣更高。微軟認為，中國駭客對泰國的關注程度，可說是反映其在東南亞擴張影響力戰略的意圖。<img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-22_153125.jpg" style="width: 10px; height: 7px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_nation-state%20activity_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟數位防禦報告2025揭露中國政府資助駭客組織行動的目標分布，指出美國、泰國、臺灣是其最常鎖定的國家。</strong></span></p> <h3><strong>中國駭客主要鎖定IT產業、政府部門、智庫與非營利組織</strong></h3> <p>至於哪些產業是中國駭客最常鎖定的行動目標？IT產業占比最高，達23%，其次為政府部門的10%；智庫與非營利組織、製造業並列第三，各占9%，學術與研究機構、消費與零售產業則並列第五，各占6%。</p> <p>換言之，這些產業仍是國家級駭客行動鎖定的重點對象，其中又以IT產業在近期承受的攻擊壓力最為明顯。</p> <p>微軟指出，這些中國駭客組織的行動，與中國政府在重塑國際秩序、提升地緣政治影響力，以及在關鍵地區制衡西方影響力的戰略目標密切相關。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E4%BC%8A%E6%9C%97%E6%94%BF%E5%BA%9C%E8%B3%87%E5%8A%A9%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p style="margin: 0px;"><span style="color:#696969;"><strong>伊朗政府資助駭客組織將以色列視為首要目標，比例超過一半（64%），攻擊相當集中。微軟指出，伊朗長期將以色列視為主要地緣政治對手，並透過網路行動進行情蒐、施壓與戰略對抗。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96Y%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BF%E5%BA%9C%E8%B3%87%E5%8A%A9%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>關於俄羅斯政府資助駭客組織的攻擊重點，除了烏克蘭之外，其餘前十名鎖定對象皆為北約（NATO）成員國，反映在戰爭持續期間，相關網路行動同步鎖定烏克蘭，以及美國與多個歐洲國家，作為主要施壓對象。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖Z）微軟數位防禦報告_北韓政府資助駭客組織_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96Z%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E5%8C%97%E9%9F%93%E6%94%BF%E5%BA%9C%E8%B3%87%E5%8A%A9%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p data-end="535" data-start="468"><span style="color:#696969;"><strong>關於北韓政府資助駭客組織的攻擊目標分布，美國是其最主要的鎖定對象，占比高達50%，其次為義大利、澳洲、英國、瑞士與印度。微軟說明，美國占比最高，與北韓駭客行動常透過偽裝身分，滲透遠端IT工作者或相關職位有關。</strong></span></p> <p>另外，除了微軟對2025年國家資助駭客組織態勢的揭露，近期臺灣國家安全局也發布《<a href="https://www.ithome.com.tw/news/173172">2025年中共對我國關鍵基礎設施網駭威脅分析</a>》，以及資安情資公司TeamT5（杜浦數位安全）發布《<a href="https://www.ithome.com.tw/news/173160">2025年亞太地區APT威脅形勢報告</a>》，也提供不同角度的觀察，可做為國內企業組織參考。</p> </div></div></div>
1/22 17:41作者羅正漢https://www.ithome.com.tw/news/173526
【資安日報】1月22日，駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173519"><strong style="font-size: 22px;">駭客透過社交工程對IT服務臺下手，轉走員工薪資牟取經濟利益</strong></a></p> <p>資安公司Palo Alto Networks揭露一起透過社交工程得逞的薪水海盜（Payroll Pirates）攻擊行動，駭客先假冒員工向受害企業的多個IT服務臺撥打電話，這些服務臺同時提供IT、人力資源（HR），以及薪資業務方面的服務。攻擊者企圖操弄多個IT服務臺，然後成功繞過挑戰碼與回應形式的身分驗證機制，騙過服務臺的客服人員，並執行重設密碼與重新綁定多因素驗證的裝置，最終竄改薪資系統多名員工的銀行帳號，將相關款項轉到攻擊者控制的帳戶。受害企業直到員工投訴薪水遲遲未入帳，才驚覺有異，並尋求威脅情報團隊Unit 42協助調查此事。</p> <p>Palo Alto Networks提及，駭客從社群平臺輕鬆取得相關公開資訊，而能繞過IT服務臺的驗證。在許多情況下，攻擊者甚至會多次撥打電話，探查所問的驗證問題類型，從而收集所需的資料。隨著社群平臺持續擴大個人與專業資料的數量，這項偵察變得比以往更容易。</p> <p>一旦成功進入薪資系統，攻擊者便迅速行動，他們入侵了多個員工帳號，每個帳號都授權存取敏感的薪資資訊。攻擊者隨後修改多名員工的存款資料，將他們的薪資轉入攻擊者控制的銀行帳戶。</p> <p><a href="https://www.ithome.com.tw/news/173522"><strong style="font-size: 22px;">LastPass用戶遭鎖定，駭客假借維護通知要求用戶限時備份密碼保險庫，企圖騙取主密碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-phishing-campaign-targeting-lastpass-customers-png.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-phishing-campaign-targeting-lastpass-customers-png.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定密碼管理服務LastPass用戶的攻擊行動，不時有消息傳出，例如：去年有人假借提供macOS版LastPass應用程式的名義，在GitHub散布竊資軟體Atomic Stealer（AMOS Stealer），近期又有攻擊行動，使得LastPass再度提出警告，呼籲用戶提高警覺。</p> <p>LastPass旗下的威脅情報團隊Threat Intelligence, Mitigation, and Escalation（TIME）提出警告，他們約從1月19日開始，發現針對該公司用戶發起的網釣活動，駭客透過多個電子郵件信箱寄送釣魚信，這些信件雖然有多種標題，但內容大致相同，都是宣稱LastPass即將進行維修，用戶應在24小時內備份密碼保險庫因應。對此，LastPass強調，這是駭客製造使用者壓力的手段，他們不會要求用戶在短時間進行相關備份，使用者要特別提高警覺，若是無法自行判斷信件是否來自LastPass，可向[email protected]進行通報及確認。</p> <p>他們提及駭客在釣魚信的標題裡，會以「緊急」、「重要更新」或「最後機會」等字眼，來製造收件人緊張，這些信件會附上連結，佯稱能協助收件人備份密碼保險庫，但假如照做，收件人就會被導向釣魚網站，而有可能被騙走LastPass帳密資料。TIME團隊指出，駭客特別挑選美國週末假期出手，這是企業組織資安人力配置降低的時間，目的就是試圖延遲相關活動被發現的時間。</p> <p><a href="https://www.ithome.com.tw/news/173515"><strong style="font-size: 22px;">勒索軟體Everest聲稱入侵印度麥當勞，公布近7,300萬Under Armour客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-mcdonalds-india-data-breach-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-mcdonalds-india-data-breach-2.jpg" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的Everest勒索軟體宣稱駭入印度麥當勞取得公司敏感資料、並公布運動服飾品牌Under Armour近7,300萬筆客戶資訊。</p> <p>這個和俄國政府有關聯的駭客組織在地下論壇張貼公告，說手中持有印度麥當勞內部文件及客戶資料，共861 GB。駭客還貼出螢幕截圖以證實其真實性。資安媒體HackRead分析這些截圖，判斷是2023年到2026年的財務報表、稽核資料、成本追蹤表、ERP搬移檔案、定價資料，以及其他敏感內部通訊。</p> <p>一些目錄甚至標示出月份，顯示駭客已存取會計或ERP系統。另一目錄名為「投資人資訊」，表示攻擊者可能已存取到機密的董事會層級資訊。名為聯絡人資料庫的試算表包括美國、英國、新加坡，以及印度的投資人和業務合作夥伴的聯絡資訊，像是姓名、郵件、電話號碼、電子郵件信箱等。此外還有麥當勞分店資料，店長姓名、公司電子郵件信箱，以及聯繫資訊等。</p> <p><a href="https://www.ithome.com.tw/news/173521"><strong style="font-size: 22px;">思科修補整合通訊管理平臺Unified CM、Webex產品可允許任意指令執行的零時差漏洞</strong></a></p> <p>思科釋出安全更新以修補存在整合通訊管理（Unified Communications Manager，Unified CM）系列，包括Webex產品可讓未經驗證的遠端攻擊者，在受害裝置上執行任意指令的重大漏洞。</p> <p>編號CVE-2026-20045的漏洞出現在Unified CM，原因是對使用者提出HTTP請求的輸入內容驗證不當。攻擊者可傳送一系列的變造HTTP請求，到思科裝置的網頁管理介面來濫用本漏洞。成功濫用可讓攻擊者取得底層作業系統的使用者層權限，然後再提升到Root層級。本漏洞CVSS風險分數為8.2，思科表示，由於漏洞濫用可導致權限提升為Root，因此將該漏洞的安全影響評等列為「重大」，而非「高風險」。</p> <p>該漏洞影響產品包括Unified CM、Unified CM Session Management Edition（SME）、Unified Communications Manager IM & Presence Service（Unified CM IM&P）、Unity Connection，以及Webex Calling Dedicated Instance。</p> <p><a href="https://www.ithome.com.tw/news/173516"><strong style="font-size: 22px;">為加速NTLMv1棄用，Mandiant公布Net-NTLMv1彩虹表</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/net-ntlmv1-fig3_max-800x800.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/net-ntlmv1-fig3_max-800x800.png" style="width: 300px; float: right;" /></a></p> <p>微軟在2024年6月宣布棄用身分驗證通訊協定NT LAN Manager（NTLM），不再對其進行開發，後續在半年後於技術文件指出，已從Windows 11 24H2和Windows Server 2025正式移除NTLMv1支援，然而為了向下支援執行舊版作業系統的工作站、伺服器，以及印表機等硬體設備，有不少企業仍在使用而可能面臨相關風險，對此，有資安團隊採用更激進的作法，希望能加快防守方淘汰NTLMv1的速度。</p> <p>1月16日Google Cloud旗下的資安團隊Mandiant正式公開完整的Net-NTLMv1彩虹表（Rainbow Tables）資料集，目的是讓資安人員能用來展示其安全性不足的現象，該團隊指出，雖然市面上早就有相關利用工具，但通常需要上傳敏感資料到第三方服務，或透過昂貴硬體進行暴力破解，透過他們提供的彩虹表，研究人員僅需運用成本低於600美元的硬體，就能在半天內將金鑰復原。</p> <p>Mandiant也說明如何下載及運用彩虹表，研究人員需事先取得Net-NTLMv1雜湊值，然後搭配現有的彩虹表搜尋軟體，如：rainbowcrack、RainbowCrack-NG，或是RainbowCrackalack，就能使用彩虹表進行破解。</p> <p><a href="https://www.ithome.com.tw/news/173481"><strong style="font-size: 22px;">白宮推動雲端身分安全強化，NIST與CISA發布身分權杖防護指引草案</strong></a></p> <p>美國白宮於2025年6月發布行政命令，警告網路攻擊者已大量竊取並濫用合法身分憑證，繞過帳密與多因素驗證機制，取得長時間存取權限，對雲端服務與政府系統構成實質風險。在此背景下，白宮要求主管機關提出可具體實踐的技術與治理指引，以因應雲端環境中身分識別與存取管理（Identity and Access Management，IAM）風險持續升高的情況。</p> <p>為回應政策要求，2025年12月22日，美國國家標準暨技術研究院（NIST）與美國網路安全暨基礎設施安全局（CISA）發布跨機關報告《Protecting Tokens and Assertions from Forgery, Theft, and Misuse》，即NIST IR 8587初版草案（Initial Public Draft），並開放徵詢意見至2026年1月30日。</p> <p>NIST指出，IR 8587草案建立於既有的NIST SP 800-53資安控制標準之上。SP 800-53長期作為美國聯邦政府的核心資安控制依據，涵蓋身分驗證、存取控制、金鑰管理與稽核等要求，也是FedRAMP雲端安全評估的重要基礎。</p> <p><a href="https://www.ithome.com.tw/news/173523"><strong style="font-size: 22px;">MITRE公布嵌入式系統安全框架</strong></a></p> <p>非營利資安研究機構MITRE本周發布嵌入式系統威脅矩陣（Embedded Systems Threat Matrix，ESTM），提供嵌入式設備專用的ATT&CK攻擊框架，協助資安人員確保工業設備、機器人和電信設備等國家關鍵基礎設施的安全。</p> <p>ESTM框架是MITRE連同美國空軍網路韌性武器系統辦公室（Cyber Resiliency Office for Weapon Systems，CROWS）共同發展。本框架旨在提供研究人員、資安專家和廠商辨識嵌入式系統漏洞及打造強大系統的實用工具，可用在運輸、能源、健康、工業控制和機器人等領域。</p> <p>其實，ESTM的結構是借鑒於MITRE ATT&CK框架，並以MITRE概念驗證和理論研究為基礎開發，整合專門針對嵌入式系統的攻擊戰術和手法，可供研究人員、資安從業人員進行威脅建模、評估，分析風險、並與現有資安方法如MITRE ATT&CK、威脅情報格式整合。它也包含新興威脅和漏洞，協助防患未然。</p> <p><a href="https://www.ithome.com.tw/news/173344"><strong style="font-size: 22px;">Anthropic捐150萬美元力挺Python基金會，強化PyPI供應鏈安全</strong></a></p> <p>Python軟體基金會宣布，已與AI公司Anthropic建立為期兩年的合作關係，Anthropic將在兩年內合計提供150萬美元，支持基金會推進以Python生態系安全工作。基金會指出，這筆資金將用於推動CPython與Python套件索引PyPI的安全強化，同時也會支援基金會維持語言、生態系與社群運作所需的核心工作。</p> <p>基金會把重點放在降低PyPI面臨的供應鏈攻擊風險，官方提到，資金將用來推進既定的安全藍圖，並規畫開發新的自動化工具，針對所有上架到PyPI的套件進行主動審查。該工作的目的在於補足現行流程較偏向事後反應式審查的限制，希望讓平臺能更早攔截可疑套件，降低使用者下載到惡意內容的機率。</p> <p>為了支撐主動審查工具的設計與驗證，基金會也預告將建立一套已知惡意軟體資料集，並以能力分析作為方法基礎，協助後續工具在辨識惡意行為時有可依循的樣本與特徵。同時指出，這些工具與資料集將具可移轉性，未來有機會延伸到其他開源套件儲存庫，先從Python生態系開始，逐步擴大到更多開源社群。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-zoom-vulnerability-enables-remote-code-execution/">Zoom修補近滿分的命令注入漏洞，參與會議的攻擊者可用於遠端執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gitlab-warns-of-high-severity-2fa-bypass-denial-of-service-flaws/">GitLab修補高風險的雙因素驗證繞過及DoS漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chainlit-ai-framework-bugs-let-hackers-breach-cloud-environments/">開源AI應用程式框架Chainlit存在高風險漏洞，攻擊者可用於讀取伺服器任何檔案、洩露敏感資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/acf-plugin-bug-gives-hackers-admin-on-50-000-wordpress-sites/">WordPress外掛ACF Extended存在重大漏洞，攻擊者可未經身分驗證取得管理員權限</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173483"><strong>【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173440"><strong>【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</strong></a></p> </div></div></div>
1/22 17:46作者周峻佑https://www.ithome.com.tw/news/173528
ElevenLabs推出《The Eleven Album》專輯，示範AI如何成為音樂創作工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI語音新創<a href="https://elevenlabs.io/blog/introducing-the-eleven-album" target="_blank">ElevenLabs周三（1/21）發表</a>了全新的音樂專輯《The Eleven Album》，試圖用一張完整、可商用的作品，說明生成式AI在音樂創作中的實際角色。與其說這是一張「AI音樂專輯」，它其實更像是一個產業示範案例，用以說明AI並不會取代創作者，只是改變了創作流程。</p> <p>成立於2022年的ElevenLabs，最初以高擬真AI語音合成技術打開市場，主打自然語調、情緒控制與多語言能力，快速被內容創作者、遊戲與媒體產業採用。近年來，該公司逐步將技術版圖從語音擴展至更廣泛的音訊創作領域，並於2025年推出<a href="https://www.ithome.com.tw/news/170449" target="_blank">AI音樂生成模型Eleven Music</a>，正式切入音樂製作市場。</p> <p>《The Eleven Album》正是Eleven Music的首個大型公開示範。專輯邀請多位風格與世代差異極大的藝術家參與，橫跨流行、R&B、饒舌、EDM與影像配樂等類型，既包括Liza Minnelli、Art Garfunkel等資深音樂人，也涵蓋製作人與新世代創作者，內含13首原創作品。ElevenLabs刻意拉開參與者背景差距，藉此展示AI在不同創作型態中的輔助方式。</p> <p>在實際創作中，AI並未被設定為「寫歌者」，而是扮演生成草稿、加速試錯與探索風格的工具。以歌手Liza Minnelli為例，她的強項向來是情感詮釋與舞臺敘事能力，而非編曲或技術製作。在專輯中，她參與的是一首以人聲表現為核心的原創作品，由AI協助生成音樂結構與伴奏基底，但歌曲的情緒走向、節奏判斷與最終演唱，仍由Minnelli本人主導。</p> <p>而長期致力於將巴西放克推向全球市場的巴西音樂與影像製作人KondZilla，則創作了一首融合巴西放克節奏元素、但以英文Trap與R&B語境呈現的作品，AI被用來快速測試節奏與配器配置，降低跨市場實驗的成本。</p> <p>在商業製作層面，資深流行音樂製作人Patrick Patrikios的參與，則凸顯AI在效率上的價值。他利用AI生成多個旋律與編曲版本作為初期素材，再由自己篩選、重組與精修，將時間集中在結構判斷與品質控管上。</p> <p>ElevenLabs強調，專輯中所有作品皆為全新原創，權利歸屬清楚，可用於商業發行，也未涉及未經授權的資料訓練。公司同時透過Iconic Marketplace與產業夥伴合作，嘗試建立以授權與同意為核心的AI音樂商業模式。</p> <p>整體而言，《The Eleven Album》並非宣告AI開始創作音樂，而是試圖為產業劃出一條界線，彰顯出創作主體、風格判斷與所有權仍掌握在人類手中，而AI的角色，是加速流程、擴展可能性，以及成為可被納入專業製作體系中的工具。</p> </div></div></div>
1/22 16:29作者陳曉莉https://www.ithome.com.tw/news/173527
Blue Origin發表商業衛星通訊服務TeraWave
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由Amazon創辦人貝佐斯（Jeff Bezos）在2000年創辦的太空基礎設施及衛星系統公司Blue Origin（藍色起源），周三（1/21）<a href="https://www.blueorigin.com/zh-HK/news/blue-origin-introduces-terawave-space-based-network-for-global-connectivity" target="_blank">發表TeraWave服務</a>，鎖定全球企業、資料中心與政府機構提供衛星通訊服務。不過，TeraWave衛星星系預計要到2027年第四季，才會開始部署。</p> <p>相較之下，雖然Blue Origin的創立時間早於2002年才由馬斯克（Elon Musk）成立的SpaceX，但兩家公司選擇了不同的發展路徑。SpaceX憑藉可重複使用的火箭Falcon 9，已建立高頻率的商業發射能力，並於2020年推出Starlink衛星通訊服務，目前在低地球軌道上部署的衛星數量已超過9,000顆；而Blue Origin則採取相對保守、低風險的策略，其所規畫的TeraWave衛星星系，將由5,408顆具備光學互連能力的衛星組成，分別部署於低地球軌道（LEO）與中地球軌道（MEO）。</p> <p>其中，LEO衛星負責對企業與政府據點提供接入服務，單一連線最高可達144 Gbps，採用Q/V頻段傳輸；MEO衛星則透過光學鏈路構成全球骨幹網路，其6 Tbps指的是整體骨幹層級的總吞吐能力，用於跨洲、跨資料中心的大量資料傳輸。這樣的設計更接近企業級網路與通訊骨幹規畫，而非面向一般消費者的衛星寬頻服務。</p> <p>Blue Origin表示，此一多軌道設計可於全球樞紐之間建立超高吞吐量連線，並為分散式用戶提供多Gbps連線能力，特別適用於光纖建設成本高昂、技術上不可行或部署緩慢的偏遠、鄉村與郊區地區。此外，TeraWave的企業級用戶與閘道終端可快速在全球部署，並可與既有高容量基礎設施介接，提供額外的路由多樣性並強化整體網路韌性。</p> <p>TeraWave同時提供點對點連線與企業級網際網路服務，讓客戶可依需求變化，自行選擇所需的吞吐量與實體部署位置。</p> <p>儘管市場認為TeraWave鎖定政府及企業的策略是合理的，長期而言亦頗具潛力，但相較已進入商用階段、並快速擴張的Starlink，Blue Origin仍需時間證明其規畫能否順利轉化為實際服務能力。</p> </div></div></div>
1/22 15:31作者陳曉莉https://www.ithome.com.tw/news/173524
為加速NTLMv1棄用，Mandiant公布Net-NTLMv1彩虹表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在2024年6月宣布棄用身分驗證通訊協定NT LAN Manager（NTLM），不再對其進行開發，後續在半年後於技術文件指出，已從Windows 11 24H2和Windows Server 2025正式移除NTLMv1支援，然而為了向下支援執行舊版作業系統的工作站、伺服器，以及印表機等硬體設備，有不少企業仍在使用而可能面臨相關風險，對此，有資安團隊採用更激進的作法，希望能加快防守方淘汰NTLMv1的速度。</p> <p>1月16日Google Cloud旗下的資安團隊Mandiant<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/net-ntlmv1-deprecation-rainbow-tables">正式公開完整的Net-NTLMv1彩虹表（Rainbow Tables）資料集</a></strong>，目的是讓資安人員能用來展示其安全性不足的現象，該團隊指出，雖然市面上早就有相關利用工具，但通常需要上傳敏感資料到第三方服務，或透過昂貴硬體進行暴力破解，透過他們提供的彩虹表，研究人員僅需運用成本低於600美元的硬體，就能在半天內將金鑰復原。</p> <p>什麼是彩虹表？這是用於破解密碼雜湊的工具，開發者預先計算大量雜湊值與可能的明文對應資料，讓攻擊者能快速反查密碼，具備查找速度快，比起暴力破解能省下大量時間的特性。</p> <p>Mandiant也提及，研究人員警告Net-NTLMv1不安全的情況，至少可追溯到2012年，當時的大型資安會議DEFCON 20就有資安專家以此為題發表演講，並指出其加密機制是1999年以前的技術；2016年密碼復原工具Hashcat加入破解資料加密標準（Data Encryption Standard，DES）的金鑰，只需利用已知的明文內容，就能對Net-NTLMv1發動攻擊。而針對彩虹表的概念，起源是2003年研究人員Philippe Oechslin發表的論文，他引用了1980年Martin Hellman提出的時間記憶權衡理論。</p> <p>假若攻擊者取得了Net-NTLMv1雜湊值，再加上企業並未為特定的明文內容採取Extended Session Security（ESS）保護措施，那麼攻擊者就能發動已知明文攻擊（Known-plaintext Attack，KPA），從而取得驗證AD物件（使用者或電腦）的密碼雜湊值，迅速入侵特定物件並進行權限提升。其中最常見的攻擊鏈，就是攻擊者透過網域控制器（DC）等高權限物件，進行強制身分驗證，從而入侵其他的AD帳號。</p> <p>Mandiant也說明如何下載及運用彩虹表，研究人員需事先取得Net-NTLMv1雜湊值，然後搭配現有的彩虹表搜尋軟體，如：rainbowcrack、RainbowCrack-NG，或是RainbowCrackalack，就能使用彩虹表進行破解。</p> <p>雖然微軟已經棄用NTLMv1，不過由於AD群組原則基於向下相容的考量，目前主要是採取限制措施，尚未完全封鎖，有可能讓攻擊者重新啟用NTLMv1，而對企業造成風險。<strong><a href="https://www.ithome.com.tw/news/167104">一年前資安公司Silverfort提出警告</a></strong>，依賴AD群組原則並無法完全阻擋NTLMv1的使用，企業內部開發或第三方應用程式有可能無意間允許或啟用這種不安全的驗證機制，對此，他們呼籲企業必須重新檢視現有的網路基礎架構，以及身分驗證機制，才能淘汰不安全的技術來降低風險。</p> </div></div></div>
1/22 15:36作者周峻佑https://www.ithome.com.tw/news/173516
駭客透過社交工程對IT服務臺下手，轉走員工薪資牟取經濟利益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客為了入侵企業的網路環境，其中最常見的做法，就是對員工從事網釣或社交工程攻擊而得逞，不過，去年有一種手法特別引人注目，那就是利用IT服務臺驗證機制的弱點，假冒員工要求重設密碼，以及重新註冊多因素驗證（MFA）綁定的裝置，進而挾持部分員工帳號，以便存取企業內部網路環境。然而，最近有一起資安事故相當特別，駭客竟是對IT服務臺下手，從而在沒有入侵企業網路環境的情況下，洗劫員工的血汗錢。</p> <p>資安公司Palo Alto Networks揭露一起透過社交工程得逞的<strong><a href="https://unit42.paloaltonetworks.com/social-engineering-payroll-pirates/">薪水海盜（Payroll Pirates）攻擊行動</a></strong>，駭客先假冒員工向受害企業的多個IT服務臺撥打電話，這些服務臺同時提供IT、人力資源（HR），以及薪資業務方面的服務。攻擊者企圖操弄多個IT服務臺，然後成功繞過挑戰碼與回應形式的身分驗證機制，騙過服務臺的客服人員，並執行重設密碼與重新綁定多因素驗證的裝置，最終竄改薪資系統多名員工的銀行帳號，將相關款項轉到攻擊者控制的帳戶。受害企業直到員工投訴薪水遲遲未入帳，才驚覺有異，並尋求威脅情報團隊Unit 42協助調查此事。</p> <p>Palo Alto Networks提及，駭客從社群平臺輕鬆取得相關公開資訊，而能繞過IT服務臺的驗證。在許多情況下，攻擊者甚至會多次撥打電話，探查所問的驗證問題類型，從而收集所需的資料。隨著社群平臺持續擴大個人與專業資料的數量，這項偵察變得比以往更容易。</p> <p>此外，駭客為了建立持久的存取管道，他們試圖透過外部電子郵件信箱，作為驗證Azure AD環境中服務帳號的方法。這突顯駭客明確的長期存取意圖，並非只是單純的薪資轉移。</p> <p>一旦成功進入薪資系統，攻擊者便迅速行動，他們入侵了多個員工帳號，每個帳號都授權存取敏感的薪資資訊。攻擊者隨後修改多名員工的存款資料，將他們的薪資轉入攻擊者控制的銀行帳戶。</p> <p>由於憑證有效且多因素驗證的流程看起來合法，這些活動融入了正常運作，此事件是在員工通報薪資支票遺失後，才被發現的。這引發了內部調查，追蹤到可疑帳號變更的歷史，攻擊活動可追溯到數週前。</p> <p>Unit 42介入調查後進一步確認，這起事故只有造成特定帳號資料，以及部分員工薪水被轉走，目前尚未發現駭客進行橫向移動或是外洩其他資料的跡象。附帶一提的是，他們竟然在受害企業的OT環境裡，意外發現勒索軟體WannaCry潛伏多年的情形。</p> </div></div></div>
1/22 15:39作者周峻佑https://www.ithome.com.tw/news/173519
LastPass用戶遭鎖定，駭客假借維護通知要求用戶限時備份密碼保險庫，企圖騙取主密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來鎖定密碼管理服務LastPass用戶的攻擊行動，不時有消息傳出，例如：去年有人<strong><a href="https://www.ithome.com.tw/news/171349">假借提供macOS版LastPass應用程式的名義</a></strong>，在GitHub散布竊資軟體Atomic Stealer（AMOS Stealer），近期又有攻擊行動，使得LastPass再度提出警告，呼籲用戶提高警覺。</p> <p>LastPass旗下的威脅情報團隊Threat Intelligence, Mitigation, and Escalation（TIME）提出警告，他們約從1月19日開始，<strong><a href="https://blog.lastpass.com/posts/new-phishing-campaign-targeting-lastpass-customers">發現針對該公司用戶發起的網釣活動</a></strong>，駭客透過多個電子郵件信箱寄送釣魚信，這些信件雖然有多種標題，但內容大致相同，都是宣稱LastPass即將進行維修，用戶應在24小時內備份密碼保險庫因應。對此，LastPass強調，這是駭客製造使用者壓力的手段，他們不會要求用戶在短時間進行相關備份，使用者要特別提高警覺，若是無法自行判斷信件是否來自LastPass，可向[email protected]進行通報及確認。</p> <p>他們提及駭客在釣魚信的標題裡，會「緊急」、「重要更新」或「最後機會」等字眼，來製造收件人緊張，這些信件會附上連結，佯稱能協助收件人備份密碼保險庫，但假如照做，收件人就會被導向釣魚網站，而有可能被騙走LastPass帳密資料。TIME團隊指出，駭客特別挑選美國週末假期出手，這是企業組織資安人力配置降低的時間，目的就是試圖延遲相關活動被發現的時間。</p> <p>對此，LastPass正與第三方夥伴合作，儘速將釣魚網域下架，並強調該公司未曾要求用戶提供主密碼，凡是要求用戶輸入這類資料，就可能是網釣攻擊。</p> <p>回顧過去，除前述2025年針對macOS用戶散布竊資軟體的活動，這幾年都有針對LastPass用戶的攻擊事故傳出，2024年，<strong><a href="https://www.ithome.com.tw/news/162411">駭客利用語音網路釣魚手法</a></strong>，冒充LastPass客服誘騙用戶密碼保險庫資料；2023年有人寄送釣魚信，<strong><a href="https://www.ithome.com.tw/news/158995">佯稱收信人部分LastPass功能遭到封鎖</a></strong>，必須在指定時間內輸入個資進行身分確認，才能重新啟用，但實際上收信人若是照做，他們輸入的個資就落入駭客手裡。</p> </div></div></div>
1/22 15:42作者周峻佑https://www.ithome.com.tw/news/173522
美國醫療AI新創OpenEvidence完成2.5億美元募資，估值達120億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國醫療AI新創<a href="https://www.businesswire.com/news/home/20260121029132/en/OpenEvidence-Raises-%24250-Million-to-Build-Medical-Superintelligence-for-Doctors" target="_blank">OpenEvidence周三（1/21）宣布</a>，已完成由Thrive Capital與DST Global共同領投的D輪融資，成功募集2.5億美元，公司估值達120億美元，並宣稱是全球估值最高的醫療AI公司。</p> <p>創立於2021年的<a href="https://www.openevidence.com/" target="_blank">OpenEvidence</a>專注於為臨床醫師提供即時、可追溯來源的醫療知識支援，目標是解決醫師在臨床工作中「資訊過載但時間不足」的結構性問題。OpenEvidence定位為專業醫療搜尋引擎，其模型僅訓練於經同儕審查的醫學期刊、臨床研究與權威醫療資料，亦與多家醫療內容機構建立官方合作關係，包括《新英格蘭醫學期刊》（New England Journal of Medicine）、美國醫學會（American Medical Association）、美國國家綜合癌症網絡（National Comprehensive Cancer Network）及美國心臟學會（American College of Cardiology）等，確保回答內容具備高度可信度與引用來源。</p> <p>OpenEvidence採免費、廣告支撐的商業模式，目前已被超過40%的美國醫師日常使用，涵蓋逾萬家醫院與醫療中心，且年營收已超過1億美元。</p> <p>OpenEvidence創辦人暨執行長Daniel Nadler表示，如果醫師只閱讀前10大醫學期刊的新證據，以及專科指引的最新變動，每天就要花上9小時，現實上難以負荷，OpenEvidence想成為醫師的大腦延伸，協助其在有限時間內作出更好的臨床決策。</p> <p>新一輪資金將用於投入OpenEvidence的多AI代理人架構之研發與算力成本。該系統透過協調多個專精於不同臨床次專科的專屬AI模式，如同頂級醫院的專家醫療團隊，由中央的指揮者AI將醫師提問動態分派給最合適的次專科模式，確保答案具備最高水準的數位醫療專業性。</p> <p>根據<a href="https://www.offcall.com/learn/articles/the-10-ai-tools-doctors-actually-use-daily-ranked-by-real-physicians" target="_blank">Offcall</a>於2025年12月發布的「醫師每日實際使用的10大AI工具」調查，該研究訪問逾1,000名來自多個專科的美國醫師，發現受訪者實際使用的AI工具多達71種。其中，在單一工具使用率排名中，OpenEvidence位居第一，使用率達44.9%；第二名為ChatGPT，占15.6%；第三名則是Abridge，這是一款背景式臨床記錄AI，使用率為4.9%。</p> </div></div></div>
1/22 16:04作者陳曉莉https://www.ithome.com.tw/news/173525
思科修補整合通訊管理平臺Unified CM、Webex產品可允許任意指令執行的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科昨日<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b" target="_blank">釋出安全更新</a>以修補存在整合通訊管理（Unified Communications Manager，Unified CM）系列，包括Webex產品一個可讓未經驗證的遠端攻擊者，在受害裝置上執行任意指令的重大漏洞。</p> <p><a href="http://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CVE-2026-20045-cisco.png" style="width: 500px;" /></a></p> <p>編號CVE-2026-20045的漏洞出於Unified CM產品對使用者提出HTTP請求的輸入內容驗證不當。攻擊者可傳送變造一系列的HTTP請求到思科裝置的Web管理介面來濫用本漏洞。成功濫用可讓攻擊者取得底層OS的使用者層權限，然後再提升到Root層級。</p> <p>本漏洞CVSS風險分數為8.2，思科表示，由於漏洞濫用可導致權限提升為Root，因此將該漏洞的安全影響評等列為「重大」，而非「高風險」。</p> <p>該漏洞影響產品包括Unified Communications Manager（Unified CM）、Unified CM Session Management Edition（SME）、Unified Communications Manager IM & Presence Service（Unified CM IM&P）、Unity Connection以及Webex Calling Dedicated Instance。</p> <p>思科已針對各項產品發布更新，並警告該漏洞沒有暫時解決方案。</p> <p>思科產品安全事件回應小組（PSIRT）已發現網路上已有濫用本漏洞的活動，因此強烈建議用戶需儘速安裝更新版軟體以確保安全。</p> <p>這是本月思科修補的第二批漏洞。<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xxe-jWSbSDKt" target="_blank">兩星期前</a>這項網路設備大廠還修補影響ISE（Identity Service Engine）、ISE-PIC一個可造成敏感資訊洩露的漏洞CVE-2026-20029，網路上已出現針對該漏洞的概念驗證（PoC）攻擊程式。</p> </div></div></div>
1/22 15:02作者林妍溱https://www.ithome.com.tw/news/173521
MITRE公布嵌入式系統安全框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非營利資安研究機構<a href="https://www.mitre.org/news-insights/news-release/mitre-launches-embedded-systems-threat-matrix-strengthen-cyber-defense" target="_blank">MITRE本周發布</a>嵌入式系統威脅矩陣（Embedded Systems Threat Matrix），提供嵌入式設備專用的ATT&CK攻擊框架，協助資安人員確保工業設備、機器人和電信設備等國家關鍵基礎設施的安全。</p> <p>MITRE以維護CVE漏洞資料庫和開發MITRE ATT&CK攻擊框架聞名，該框架是全球標準的網路威脅情報知識庫，用於分類、理解和對抗進階持續性威脅（APT）。</p> <p>名為Embedded Systems Threat Matrix（ESTM）的框架是MITRE連同美國空軍網路韌性武器系統辦公室（Cyber Resiliency Office for Weapon Systems，CROWS）共同發展。本框架旨在提供研究人員、資安專家和廠商辨識嵌入式系統漏洞及打造強大系統的實用工具，可用在運輸、能源、健康、工業控制和機器人等領域。</p> <p>ESTM其實結構是借鑒於MITRE ATT&CK框架，並以MITRE概念驗證和理論研究為基礎開發，整合專門針對嵌入式系統的攻擊戰術和手法，可供研究人員、資安從業人員進行威脅建模、評估，分析風險、並與現有資安方法如MITRE ATT&CK、威脅情報格式整合。它也包含新興威脅和漏洞，協助防患未然。</p> <p><a href="https://estm.mitre.org/" target="_blank">ESTM官方網站</a>指出，ESTM最早於去年9月公布，現在為ESTM 3.0。ESTM已提供STIX 2.1（Structured Threat Information eXpression）格式版本，可以給機器讀取。</p> <p>ESTM現已涵蓋約218個技術/13個戰術（並標註哪些被棄用），能讓工具、分析師或模型匯入現有安全方案。威脅矩陣頁也<a href="https://estm.mitre.org/estm-matrix/" target="_blank">提供下載</a>STIX 2.1 json檔。</p> <p>ESTM可和<a href="https://emb3d.mitre.org/" target="_blank">MITRE EMB3D</a>威脅模型結合共用，形成完整的安全系統設計資源。MITRE同時鼓勵資安專家貢獻知識改進ESTM。</p> </div></div></div>
1/22 15:17作者林妍溱https://www.ithome.com.tw/news/173523
勒索軟體Everest聲稱入侵印度麥當勞、公布近7,300萬Under Armour客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡名昭彰的Everest勒索軟體本周宣稱駭入印度麥當勞取得公司敏感資料、並公布運動服飾品牌Under Armour近7,300萬筆客戶資訊。</p> <p>這個疑似和俄國政府有關聯的駭客組織在地下論壇張貼公告，說手中持有印度麥勞內部文件及客戶資料，共861 GB。駭客還貼出了檔案螢幕擷圖以證實其真實性。媒體<a href="https://hackread.com/everest-ransomware-mcdonalds-india-breach-customer-data/" target="_blank">Hackread.com分析</a>這些擷圖，判斷是2023年到2026年的財務報表、稽核資料、成本追蹤表、ERP搬移檔案、定價資料和其他敏感內部通訊。</p> <p>一些目錄甚至標示出月份，顯示駭客已存取會計或ERP系統。另一目錄名為「投資人資訊」，表示攻擊者可能已存取到機密的董事會層級資訊。名為聯絡人資料庫的試算表包括美國、英國、新加坡與印度的投資人和業務合作夥伴的聯絡資訊，像是姓名、郵件、電話號碼、電子郵件信箱等。此外還有麥當勞分店資料，列出店長姓名、mcdonaldsindia.com網址的公司電子郵件信箱與聯繫資訊等。</p> <p>駭客並限期二日內麥當勞必須回應，否則就可能公布機敏資訊。</p> <p>Under Armour（UA）則是遭到Everest公開內部資料。去年11月<a href="https://hackread.com/everest-ransomware-under-armour-users-data/" target="_blank">駭客公告</a>，竊得這家美國運動服飾品牌商343GB資料，Have I Been Pwned（HIBP首先報導，UA客戶資料遭駭客公開。外洩的資料包括7,270萬筆電子郵件信箱紀錄，內有姓名、出生日期、性別、地址和購買資訊等。</p> <p>印度麥當勞和UA皆尚未對此做出評論。</p> <p>這是Everest近日最新的資料外洩活動。去年12月該組織也宣稱了竊取汽車大廠<a href="https://www.ithome.com.tw/news/173067" target="_blank">克萊斯勒</a>1TB公司及客戶資訊、駭入<a href="https://www.ithome.com.tw/news/172644" target="_blank">華碩</a>。而去年6月他們也聲稱成功竊得<a href="https://www.ithome.com.tw/news/169228" target="_blank">可口可樂</a>內部資訊。</p> </div></div></div>
1/22 09:37作者林妍溱https://www.ithome.com.tw/news/173515
以信任與韌性驅動金控整併，台新新光金的萬億資產防線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在台新與新光金控合併進入關鍵階段之際，資安不只是技術層面的防護工作，而是牽動治理、信任與成長節奏的核心戰略。身兼台新新光金控與台新銀行資安長的陳詰昌，正站在這場整併工程的樞紐位置，負責整合攸關營運穩定的「數位大腦」，讓資安成為支撐金融創新的力量，而非阻力。</p> <p>出身警界，長年投入科技犯罪偵查的背景，陳詰昌對攻防對抗與威脅演化有高度敏銳度，也形塑了他的資安管理理念：風險從來不是靜態問題，而是一場持續變動的管理課題。陳詰昌接手偵辦第一銀行和遠東商銀的資安事件，進入金融體系後，他認為資安長更重要的任務是：將複雜的風險轉譯為組織能理解、能決策的語言，並在其中建立共識與信任。</p> <p>這樣的思維，正好呼應台新與新光合併所面臨的挑戰，整併不只是系統與制度的對齊，更是一場文化與治理的深度融合。陳詰昌認為，關鍵不在於誰併誰，而是如何重新界定整個集團可承受的風險邊界，建立一套能被共同理解與接受的資安治理語言，避免原本獨立的體系在整合過程中彼此掣肘。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>金控整併的資安棋局，追求一致性與協同綜效</strong></span></span></p> <p>隨著台新與新光兩大體系正式進入整併深水區，資安不再只是系統層面的技術工程，而是一場牽動治理邏輯、組織文化與長期競爭力的全局棋局。身為台新新光金控資安長，陳詰昌此刻的核心任務，是在高度複雜的集團架構中，建立一致的資安治理基礎，同時催生市場與經營團隊期待的整併綜效。</p> <p>在他的定義裡，一致性不等於一模一樣。金控治理追求的，並非要求所有子公司使用相同系統，而是先建立集團層級的控制框架與風險口徑，讓銀行、證券與保險能以同一套「風險語言」溝通。這套語言，必須清楚界定風險胃納、關鍵風險指標與衡量方式，確保風險能被看見、被理解，也能被管理。</p> <p>這樣的思維，來自他對金融業務本質差異的深刻體認，證券講求毫秒級的極速交易，壽險重視長達數十年的資料穩定性，銀行則介於即時性與穩定性之間，若強行以單一標準套用所有事業體，反而可能製造新的風險。</p> <p>他提出以「基準線」為核心的治理原則，要求所有子公司先達到一致的基本資安水準，再依業務特性向上加嚴，讓整體防禦維持完整，同時保有彈性。</p> <p>在整併最受關注的綜效議題上，陳詰昌選擇從能力的集中化著手，資安監控中心的集中，不只是成本考量，而是讓成熟度最高的單位成為集團的經驗引擎，將銀行累積的威脅獵捕與事件應變經驗，快速轉化為流程與規則，擴散到證券與保險子公司。對他而言，真正的綜效，不在帳面縮減，而在能力是否可以複製與放大。</p> <p>在具體時程上，整併節奏相當清楚。去年7月24日，台新與新光金控已完成合併；同年11月投信率先整併；今年元旦人壽完成合併，4月證券接續整合；規模最龐大、系統最複雜的銀行體系，規畫於2027年元旦完成系統整合。系統選擇上，他採取取長補短的策略，銀行以台新系統為核心，證券則保留元富在交易速度與機房配置上的優勢，同時導入台新的治理制度。</p> <p>在行動銀行、開放API與跨境服務成為常態的環境下，陳詰昌對資安的期待早已超越「不被攻破」。他更重視的是，一旦事件發生，服務是否仍能維持、組織是否能快速復原。這種「韌性」思維，讓身分識別、設備驗證與資料保護成為可重複使用的基礎能力，也讓營運持續與備援演練成為對市場與客戶的承諾。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>重新定義資安長的角色，從技術防衛到風險治理</strong></span></span></p> <p>2022年，陳詰昌先接任台新銀行資安長；之後，肩負起台新新光金控資安長的重任。對他而言，不只是職稱升級，而是責任尺度與視角的根本轉換。在高度依賴資訊系統、同時承載市場信心與監理壓力的金融業，一起資安事件的衝擊，往往超越系統本身，直接考驗組織的治理能力與信任基礎。</p> <p>因此，上任後他並未急著強化單點防禦，而是先試圖改變組織「如何看待資安」。金控是一個由銀行、保險、證券、委外服務與供應鏈交織而成的風險共同體，資安如果仍停留在防火牆或端點防護層次，終將失焦。他認為，真正有效的資安，必須上升到治理層級，成為董事會能監督、高層能討論，並與集團風險胃納緊密連動的管理議題。</p> <p>在這樣的框架下，資安不再只是門檻，而是一項支撐業務成長的能力。陳詰昌認為，資安長的關鍵不在踩煞車，也不在技術有多深，而在能否將技術風險轉化為業務影響，並在跨部門之間建立共識。真正考驗資安長的，往往不是是否被入侵，而是在事件前後，是否具備風險溝通與危機領導的能力。</p> <p>這個觀點，來自他從警界轉戰金融的深刻體悟。過去在偵查單位，核心任務是證據保全與追查嫌犯；但在銀行，首要目標是營運持續，必須在最短時間內恢復服務、控制影響範圍。他坦言，銀行不是辦案單位，不必追求完美的證據鏈，對客戶而言，服務不中斷才是關鍵。</p> <p>因此，他在策略層面明確指出，企業資源有限，不可能做到零風險，與其追求百分之百防禦，不如確保組織不會成為駭客鎖定攻擊的軟柿子；一旦遭遇攻擊，具備快速復原的能力。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <hr /> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>讓董事會看懂資安的「紅綠燈」</strong></span></span></p> <p>在陳詰昌的資安治理哲學中，溝通從來不是附加任務，而是資安長的核心職責。他直言，資安長若不主動走向高層，資安議題將被侷限在技術部門，影響力只會愈來愈小。</p> <p>他上任的第一年，擬定資安政策時，便刻意將「資安長每年須向董事長報告，並提交董事會核可」正式寫入制度，為資安治理爭取一個固定且可被監督的決策位置，而非臨時性的簡報場合。</p> <p>這樣的設計，並非只是為了預算或資源，更重要的是建立一條理解彼此期待的溝通管道。董事會關心的從來不是防火牆或惡意程式的技術細節，而是風險是否可控、投入是否產生效果。</p> <p>為了縮短這項落差，陳詰昌刻意放棄過於複雜的量化風險模型，轉而採用美國NIST的網路安全框架（CSF）並加以簡化，轉成一套高層能直覺判讀的管理指標。</p> <p>這套指標就是他口中的「資安治理紅綠燈」，將原本技術性的數據，如防毒覆蓋率、VPN開放狀態或中毒告警數量，重新編排成紅、黃、綠三種燈號，讓風險狀態一眼可見。</p> <p>他分享，自從紅綠燈機制上線後，經營團隊在會議中只需聚焦亮起紅燈的項目，要求相關單位限期改善，資安長反而不必再花大量時間解釋背景。透過這樣的轉譯，資安治理從抽象的專業語言，轉變為可追蹤、可檢視的管理績效。</p> <p>這種量化與可視化的治理方式，讓資安更自然地進入企業永續的討論脈絡。陳詰昌主動將資安與ESG連結，特別是在「社會責任」層面，他認為提供穩定、安全、不輕易中斷的金融服務，本身就是對社會最直接的承諾。</p> <p>談到韌性，他刻意將其與傳統的營運持續管理（BCM）區隔開來。在他的定義中，營運持續管理多半針對地震、水災等已知風險進行事前準備；而韌性，則是組織在面對未知衝擊時，是否具備快速決策與即時應變的能力。這種能力，來自資訊透明度、制度成熟度，也來自高層在關鍵時刻是否願意承擔風險、果斷下判斷。</p> <p>他坦言，推動營運持續管理的過程並不輕鬆。初期，不少業務單位仍將其視為IT或資安部門加諸的負擔，而非自身責任。為了扭轉認知，他花了近三年時間反覆溝通，強調營運持續的核心不在於昂貴的系統備援，而在於業務能否在危機中存活。他甚至引用海外子公司的案例說明，即使在系統失效時，透過人工流程或傳真維持基本服務，也是一種務實可行的營運持續方案。</p> <p>這種不迷信技術、回歸業務本質的做法，逐漸獲得風控與業務等不同單位的認同，讓營運持續管理從資安部門的專案，轉變為全組織共同承擔的責任。在陳詰昌的治理藍圖中，資安並非追求零事故的理想國，而是一套能量化、能討論，能在不確定中支撐決策的管理工具。</p> <p><span style="font-size: 28px;"><span style="color: rgb(178, 34, 34);"><strong>跨界者如何打造資安的信任工程</strong></span></span></p> <p>回憶剛接任台新銀行資安長的前100天，陳詰昌最大焦慮並非技術能力不足，而是難以在龐大的銀行和金控架構中看清全貌。他認為，資產若不可見、權責不清楚，再先進的防護工具都可能淪為空中樓閣。</p> <p>這樣的體悟，與他在警界養成的實戰思維密切相關。過去從攻擊者角度出發，思考事件如何發生、如何擴散；在進入金融業後，他格外重視資安治理的可視化與制度化，因為金控內部橫跨資訊、法遵、稽核與業務單位，若缺乏清楚分工，事件發生時反而容易彼此牽制。</p> <p>因此，他上任後率先推動跨部門協作，並引入「RACI」權責概念，釐清誰負責（Accountable）、誰執行（Responsible）、誰被諮詢（Consulted）、誰被告知（Informed），將重大資安事件中的指揮、執行、通報與查核角色事前定義清楚，而非事後才追究責任。他強調，這不只是流程設計，更是一種文化轉向，希望團隊在危機來臨時，第一時間思考的是如何完成任務，而不是責任歸屬。</p> <p>這套治理邏輯更延伸到金控子公司之間，不同業務屬性，對風險的感知自然不同，唯有在認知與通報節奏上取得一致，整體韌性才能成立。透過反覆演練與實際事件回饋，集團逐步建立起共同的資安語言。</p> <p>陳詰昌認為，內部治理是打底工程，對外聯防是最具辨識度的實踐。他是國內金融界首位推動與調查局簽署合作備忘錄的資安長，並將警界人脈轉化為防詐能量，例如透過刑事局的DNS RPZ機制，加速攔阻與下架詐騙網站。他估算，過去單一銀行處理一個詐騙網站，往往耗費五、六萬元與兩、三天時間，但聯防機制不僅速度更快、成本更低，也能為民眾提供更即時的保護。</p> <p>在他眼中，這種合作從來不是單向支援，是建立在互信上的雙贏關係：警政單位更理解金融實務，企業則取得即時情資與處置管道。這更促使台新新光金控加入 FIRST等國際組織，持續強化CSIRT能量；與調查局共同進行的駭侵演練，則讓資安、風控與業務單位在實戰中，理解營運持續的真正意義。</p> <p>這樣的溝通能力，在台新推動「虛擬資產信託試辦案」時發揮了關鍵作用。當業務單位對區塊鏈、私鑰與密碼學感到陌生甚至不安時，陳詰昌不僅參與研究，更站在業務立場，用白話拆解風險與可行性。</p> <p>面對主管機關在閉門會議中專業而尖銳的提問，他能精準回應，即時把複雜技術轉化為可治理的制度設計。他表示，當業務單位意識到資安長既懂技術、也懂商業時，資安便不再是創新的阻力，反而成為新業務得以前行的「托底力量」。</p> <p>談到對後進的期許，陳詰昌引用巴菲特的「雪球理論」，鼓勵年輕人找到自己的斜坡與濕雪，選對方向、持續累積，讓時間成為放大器。他借用《納瓦爾寶典》的概念，提醒資安工作者要「把自己產品化」，將一次性的付出，轉為可重複交付的價值。從警界走到金控資安長，陳詰昌自己，正是那顆持續滾動的雪球。</p> <hr /> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> CISO小檔案 </span></strong></span></p> <p><strong>陳詰昌</strong></p> <p><strong>台新新光金控兼台新銀行資安長</strong></p> <p>學經歷：臺灣科技大學資訊工程碩士班畢業，任職警察時，工作內容囊括資訊科技到外勤，一路從基層員警到擔任刑事局偵九大隊隊長、數位證據股股長、科技研發科技正、刑事局刑事資訊科科長，於2022年擔任台新銀行資安長，後續接任台新新光金控兼台新銀行資安長一職</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-300.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 公司檔案 </span></strong></span></p> <p><strong>台新新光金控公司</strong></p> <p>●成立時間：1992年3月23日正式營業</p> <p>●公司演變：2025年7月24日台新與新光金控進行合併，台新金控為存續公司，新光金控為消滅公司</p> <p>●子公司整併歷程：2025年11月台新投信完成整併；2026年元旦新光人壽完成合併；今年4月台新證券和元富證券完成整合；2027年元旦完成台新銀行和新光銀行系統整合</p> <p>●董事長：吳東亮（台新新光金控、台新銀行）</p> <p>●總經理兼發言人：林維俊</p> <p>●資訊長：孫一仕</p> <p>●資安長：陳詰昌</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 資安部門檔案 </span></strong></span></p> <p>●成立時間：2018年</p> <p>●部門主管：部長</p> <p>●直屬主管：資安長陳詰昌</p> <p>●資安部門人數：22人</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 資安大事記 </span></strong></span></p> <p>●2025/12/26：自建金融專用大語言模型「台新新光腦」，臺灣第一個由金融機構自建並部署於地端環境的金融專用繁體中文大型語言模型，榮獲由亞洲企業商會（Enterprise Asia）主辦的2025年「國際創新獎」（IIA）《服務與解決方案》類別殊榮</p> <p>●2025/3/25：攜手北檢簽署「戰神專案」防詐合作備忘錄（MOU），提前預警通報並預控潛在高風險帳戶，共同攜手打擊重大詐騙案件</p> <p>●2024/11/01：參加「2024台北金融科技展」，透過「智慧型徵信報告服務模組」監控授信品質與風險管控；將台新「AI智慧通」導入企業網路銀行的智能客服；運用AI偵測及大數據分析建立「戰神模型」防詐機制，協助實體分行及數位通路建立防詐網路</p> <p>●2023/05/11：號召38家金融機構團結提升防詐行動力，參加「金融業打擊詐欺高峰會」，台新銀行自2021年至2023年第1季，共成功阻攔557件詐騙案，金額達新臺幣2億9906萬元</p> <p>●2022/12/19：台新金聯手刑事局共創資安聯盟，與刑事局簽署合作意向書（MOU），「金融科技偕阻詐，資安聯防齊擋駭」進行阻詐合作專案，包括「資安智慧聯防」加速釣魚網站及惡意APP下架；將台新全臺的ATM嵌入「科技犯罪與駭侵事件預警」預警情資機制，協助降低警示戶數及詐騙金額</p> <p>●2022/11/1：與法務部調查局簽訂「國家資通安全聯防與情資分享合作備忘錄（MOU）」，調查局首次與金融機構簽署資通安全合作備忘</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0122-ciso-9601.jpg" width="960" height="420" alt="" title="台新新光金控兼台新銀行資安長陳詰昌" /></div></div></div>
1/22 09:00作者黃彥棻https://www.ithome.com.tw/people/173514
NoSQL資料庫Firestore企業版換新查詢引擎，可串接多階段複雜資料轉換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行動與Web應用開發平臺Google Firebase旗下NoSQL資料庫Firestore企業版<a href="https://firebase.blog/posts/2026/01/firestore-enterprise-pipeline-operations">更新</a>，導入重新設計的查詢引擎，並推出名為Pipeline Operations的新查詢介面，主打把查詢拆成多個階段串接執行，讓開發者能在一次查詢中完成更複雜的資料轉換與運算。同時，企業版的索引策略也改為可選，集合預設不自動建立索引。</p> <p>Pipeline Operations是一組內建於Firestore各SDK的API，讓開發者以多階段方式描述Firestore端的資料轉換流程，並可組合階段、運算式與函式，概念上更接近在資料庫端表達一段資料處理程序，而不是只做傳統的條件過濾與排序。<a href="https://firebase.google.com/docs/firestore/enterprise/pipelines-overview#stage-based-composable-syntax">官方文件也指出</a>，為了導入Pipeline Operations而更新的企業版查詢引擎，額外新增超過百項查詢能力。</p> <p>這次更新也調整索引策略，Firestore企業版預設不會自動建立單欄位索引，且查詢不再要求先建立索引才能執行。官方指出，如此通常能降低寫入時的負擔，進而改善寫入效能並降低儲存成本，但若直接查詢大型且未建立索引的集合，查詢速度可能明顯變慢。</p> <p>由於要讓開發者在索引改為自行管理後仍能掌握效能，Firestore提供查詢分析工具，例如Query Explain與Query Insights，用來協助觀察查詢的執行方式與效能指標，協助用戶找出瓶頸，再決定值得建立的索引。企業版也支援稀疏索引、非稀疏索引與唯一索引，除了改善查詢效能，也可用於約束集合行為。</p> <p>Pipeline Operations目前已支援Android、iOS、Web與管理用SDK，Flutter、Unity與C++仍在後續規畫中。官方同時強調，標準版不會下線，既有查詢方法會繼續可用，而企業版並非僅針對大型企業，目前以公開預覽形式提供，開發者可透過Firebase控制臺建立企業版資料庫並開始試用。</p> <p>在計費差異上，企業版把寫入與刪除合併視為寫入操作，並提供寫入的免費額度，另以資料區塊為單位計算讀取與寫入費用，文件較小時可能更有利。相對地，因為索引由使用者負責管理，未建立索引的集合在查詢上可能更慢且更昂貴，開發團隊需要更早把索引與查詢分析納入日常維運。</p> </div></div></div>
1/22 09:06作者李建興https://www.ithome.com.tw/news/173512
國科會揭明年科技預算上看1,850億元，投資AI新十大建設、量子、淨零科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國科會今天(1/21)召開委員會議，公布2027年的我國科技發展重點規畫，先期規畫2027年科技預算需求為1,850億元，以支持跨部會推動AI新十大建設、五大信賴產業、大南方新矽谷、晶創臺灣、淨零科技創新方案、海洋科技方案等，推動我國AI、量子科技、淨零科技等領域發展。</p> <p>去年國科會揭露2026年科技預算為1,601億元，中央政府總預算仍待立法院審議，但科技投資布局不能停擺，因此國科會今天召開委員會議，先期規畫2027年科技預算1,850億元，較2026科技預算成長約15%。</p> <p>國科會計畫運用科技預算，除了推動行政院推動的「AI新十大建設推動方案」，還有「大南方新矽谷推動方案」、「晶片驅動臺灣產業創新方案」、「次世代通訊科技發展方案」、「智慧機器人產業推動方案」、「高齡科技產業行動計畫」、「海洋科技方案」、「淨零科技創新方案等政策」。透過預算補助基礎學術研究、科技人才培育。</p> <p>國科會主委吳誠文表示，2027年的科技預算為國科會與各部會討論的先期規畫，根據我國產業的能量及科技產業發展的現況，未來發展的目標，推動幾個重要的科技方案，希望能夠順利執行，這些科技方案涵蓋半導體、AI等，從技術的創新將來擴充到各行各業的發展，未來帶動我國的產業發展，透過科技研發支撐未來產業關鍵技術及人才的需求。</p> <p>儘管中央政府總預算仍在立法院待審，朝野政黨之間爭執不休，但吳誠文仍希望科技預算能獲得立法院的理解支持。</p> <p><strong style="color: rgb(178, 34, 34);">實現2030年減碳26%到30%的中期目標</strong></p> <p>其中2023年開始推動的「淨零科技方案」即將在2026年到期，因此國科會再提出「淨零科技創新方案(草案)」以作為後續實踐2030年我國減碳28%正負2%(基準年為2005年)的目標，最終在2050年達到淨零排放的目標。</p> <p>淨零科技創新方案的推動包含5大主軸，包括布局前瞻的淨零科學研究，支援減碳旗艦計畫、推動高值碳循環科技，打造綠色循環產業鏈、創新AI淨零應用，加速產業減碳規模、淨雲科技實域驗證，公私協力打造淨零樞紐、社會實作普惠科技，驗動淨零永續發展社會力。</p> <p>在5大主軸的指導策略下，未來投入5大科技領域，包括永續及前瞻能源(如再生能源、氫/氦能、電網與儲能)、低(減)碳(如住商部門、製造部門減碳)、負碳(如碳捕捉、碳再利用、自然碳匯等)、循環(如工業循環、民生、水資源、農業循環)，還有人文社會科學(如人才培育、行為改變、綠色金融)。</p> <p>國科會預期「淨零科技創新方案」的效益，包括建構去碳的能源系統，培養綠色領域的科研人才、創新循環供應體系(提升戰略資源循環利用率)、提升企業綠色競爭力、建構在地的淨零社會力。</p> <p><span style="color:#B22222;"><strong>我國量子科技從技術交流、引進到系統整合</strong></span></p> <p>在AI新十大建設中，量子科技也是其中之一，今天國科會委員會也報告我國在2021年開始推動量子運算國家戰略，第一期由國科會跨部會成立量子國家隊，從5年來在量子科技的推動成果，例如在量子電腦硬體部分，實現10個量子位元及19個可調耦合器的1D鏈狀QPU；完成國內第一個自製的可程式矽光子量子運算晶片，展示通用型光子量子運算晶片；以及在新竹到新北市間70公里的星狀量子加密網路，確保通訊安全；人才培養方面，累計培養超過350位碩博士、25位博位後人才；和國外科技巨頭、研究單位交流，包括與荷蘭IQM合作引進量子電腦完成驗收，預計2026年開放服務。</p> <p>國科會揭示接下來5年我國量子科技發展將進入第二期，目標為從元件製造升級為系統整合，不只是硬體的量子位元及周邊讀取控制技術提升，還包括軟體擴充、資安跨域團隊的建立，建構量子大腦。</p> <p>另外，國科會也規畫在南部建置國家級的HPC-QC異質混合運算主機，事實上，吳誠文先前在國網雲端算力中心啟用時，曾表示該中心不只具備GPU超級電腦，也具備部署量子電腦的戰略潛能，2028年建置我國第一部整合高效能運算環境的量子電腦（HPQC），以支援我國相關的量子應用技術發展。</p> <p>吳誠文表示，未來希望透過國際合作，和國外的科技或學研單位共同合作，開發軟硬體技術，台灣所具有的半導體產業優勢，是吸引國外業者、學研共同合作的很好誘因，他希望國外業者不能只是將賣產品給台灣，我國的目標是雙方共同技術合作，以縮短台灣的摸索期。</p> </div></div></div>
1/21 19:26作者蘇文彬https://www.ithome.com.tw/news/173511
瞄準診所帳務管理痛點，醫療新創聯手銀行推聯名卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣，許多診所的採購和帳務管理仍仰賴人工，常衍生核銷不精準等問題。瞄準這個痛點，專攻診所醫病管理系統的臺灣新創AlleyPin今（1/21）聯手遠東商銀，發起企業聯名卡，供診所、藥局等醫療和醫事機構使用。該卡的支出記錄也會同步彙整到AlleyPin的醫病管理系統後臺，不必人工逐筆登錄，診所也更容易掌握庫存成本分布。接下來，他們將擴大既有的後臺AI功能，來針對資金、支出和庫存記錄，提供智慧預警。</p> <h2><strong>瞄準診所帳務管理3大痛點</strong></h2> <p>AlleyPin以診所醫病管理（PRM）系統起家，2017年成立後主打2大產品，包括提供24小時線上掛號和諮詢的醫病媒合平臺PinMed，以及可串接診所醫療資訊系統（HIS）、整合Line官方帳號和AI功能的PRM平臺1.Talk。這款PRM平臺涵蓋診所預約掛號、診前提醒與後續衛教追蹤等一條龍功能，去年10月還正式上線AI Agent客服功能，目前已有2,000多家臺灣和日本診所採用。</p> <p>AlleyPin共同創辦人暨營運長羅偉誠指出，在與診所接觸的經驗裡，他們觀察到診所帳務管理存在3大痛點。首先是公私帳務容易混淆，尤其是診所剛開幕，許多採購和消費常以院長自己的信用卡先行墊付，再加上沒有妥善的管理工具來記錄，月底報費時容易混淆、難以釐清私人消費和公務支出。</p> <p>再來，傳統診所支付供應商貨款時，多仰賴支票、現金或匯款，這就得仰賴人工一一進行紙本對帳，容易因量大而發生人為疏失，比如遺漏或重複匯款。另一個痛點是，診所採用現金或即期支票支付，意味著資金即刻流出，在醫藥品庫存備貨的高峰期，這種龐大的現金壓力，會排擠其他營運資金。</p> <p>鑑於醫療支付還未完全數位化，AlleyPin與遠東商銀推出診所、藥局等醫療醫事機構專用的AlleyPin Nova聯名卡，來滿足診所需求。</p> <p>這張卡有3個特點，一是以事業為申辦主體，不占用院長或診所負責人個人信用額，二是提供一般信用卡也有的優惠，比如達消費門檻可享國內1%、海外2%現金回饋，也能抵該月帳單等。第三是使用範圍廣，除了一般性的機票差旅、公務加油、雲端服務外，醫藥品、設備和耗材也都能刷。</p> <p>羅偉誠更透露，他們正與許多醫藥公司、設備商洽談，近期也會與一家指標性醫藥業者的完成合作，來提供優惠。</p> <h2><strong>不只是帳務管理數位化，還有更多應用潛力</strong></h2> <p>他也點出，這張卡不是支付的單點服務，而是從支付到帳務管理的整合式數位應用。羅偉誠說明，業者透過該卡採購後，相關記錄會經API串接，同步彙整到自家的1.Talk後臺並歸戶，免除行政人員逐筆手動輸入。不過，AlleyPin未說明這些記錄能否匯入第三方帳務管理系統。</p> <p>這些資訊匯入專用後臺，也能完整呈現藥品、耗材的採購和支出歷程，讓管理者可快速掌握庫存成本分布，作為決策參考。AlleyPin接下來也打算擴展AI Agent功能，不再只分擔客服，而是能根據帳務記錄，來針對資金水位和未來支出提供預警。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E9%A0%90%E6%B8%AC(1).JPG" /></p> <p></p> </div></div></div>
1/21 18:09作者王若樸https://www.ithome.com.tw/news/173509
【資安日報】1月21日，中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173495"><strong style="font-size: 22px;">勒索軟體組織RansomHub宣稱成功攻擊立訊，揚言公開其客戶蘋果、Nvidia、特斯拉的資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/luxshare-data-breach-post.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/luxshare-data-breach-post.png" style="width: 300px; float: right;" /></a></p> <p>網路媒體Cybernews報導，勒索軟體組織RansomHub近日於駭客論壇張貼公告宣稱，去年駭入替蘋果、特斯拉等公司代工的中國精密製造業者立訊精密（Luxshare）內部系統，手中握有其眾多設計及生產資料，並揚言若未拿到贖金將公開其客戶相關機密資訊。由於立訊是蘋果重要代工組裝廠，負責為蘋果生產iPhone、AirPods、Apple Watch，以及Vision Pro等產品，這起事故引起全球高度關注。</p> <p>RansomHub宣稱去年12月15日成功攻擊這家蘋果代工廠，取得該公司大量資料，然而卻久久未等到立訊聯繫，似乎IT部門想隱匿事件。他們要求立訊儘速聯繫，以確保該公司機密資料、專案文件不外流。顯然若駭客未接獲立訊聯繫，就會公開手中的資料。</p> <p>根據Cybernews公布的駭客貼文截圖，RansomHub手中擁有的資料包含機密3D CAD產品建模、3D工程設計、3D工程文件、高精密幾何設計資料、製造用2D繪圖、機械元件草圖、機密工程繪圖PDF文件、PCB設計、電子設計文件、與電子佈線架構資料，以及Gerber檔案。資料來源包含蘋果、Nvidia、特斯拉、LG、吉利汽車的生產與研發資料，都具有保密協定（NDA）保護。</p> <p><a href="https://www.ithome.com.tw/news/173494"><strong style="font-size: 22px;">IT業者Ingram Micro遭遇勒索軟體攻擊調查結果出爐，逾4.2萬人個資外流</strong></a></p> <p>去年7月IT服務供應商Ingram Micro傳出遭遇勒索軟體攻擊，導致部分系統無法運作，後續勒索軟體駭客組織SafePay聲稱是他們所為，竊得3.5 TB內部資料，近期該公司透露受害規模。</p> <p>根據1月16日Ingram Micro向美國緬因州檢察長辦公室通報的資料，這起資安事故發生於7月2日至3日，他們於12月26日確認有42,521人受到本次駭客攻擊影響，這些人主要是員工與曾經投遞履歷的求職者，受影響的個資包含姓名、聯絡資訊、生日，以及政府發出的識別號碼，像是社會安全碼、駕照，以及護照號碼等。此外，部分個資還有特定的員工相關資料，例如與工作有關的評估資訊。針對受影響的人士，Ingram Micro將提供2年信用監控與身分保護服務。</p> <p>這起事故最早由資安新聞網站Bleeping Computer報導，當時傳出7月3日凌晨發生網路攻擊，導致網站與線上訂購系統停擺，員工在他們的裝置上發現勒索信，Ingram Micro要求部分員工居家工作，知情人士透露，攻擊者入侵該公司網路環境的管道，疑似使用外流的帳密資料，存取VPN平臺GlobalProtect而得逞。</p> <p><a href="https://www.ithome.com.tw/news/173499"><strong style="font-size: 22px;">WordPress外掛Modular DS重大漏洞被鎖定，駭客恐藉此得到網站管理權限</strong></a></p> <p>1月14日資安公司Patchstack提出警告，名為Modular DS的WordPress外掛程式存在重大漏洞CVE-2026-23800，形成的原因在於不正確的權限分配，攻擊者可用於提升權限，CVSS風險評分達到10分（滿分10分），影響2.5.1以下所有版本的Modular DS，全球逾4萬個網站恐受到影響。值得留意的是，通報此事的資安人員指出，已有攻擊行動出現，Patchstack呼籲用戶升級2.6.0版因應。</p> <p>這項弱點結合多種因素，包含直接路由選擇、繞過身分驗證機制，以及自動以管理員身分登入，核心問題在於URL路由配對機制過於寬鬆、直接請求（Direct Request）模式過度信任特定請求參數、身分驗證僅依賴網站是否連接Modular DS來判斷，以及在特定的登入流程裡，若是系統無法取得使用者的ID，將會自動退回，並以現有的管理員帳號登入。</p> <p>通報此事的WP.one支援工程團隊指出，他們在世界標準時間（UTC）1月13日凌晨2時，首度偵測到漏洞利用的情況，攻擊者下達GET的存取請求/api/modular-connector/login/，並設置origin與type參數為mo及foo。Patchstack也公布攻擊來源的IP位址，分別是：45.11.89[.]19、185.196.0[.]11，以及64.188.91[.]37。</p> <p><a href="https://www.ithome.com.tw/news/173506"><strong style="font-size: 22px;">駭客假借提供擋廣告延伸套件從事ClickFix變種網釣，以瀏覽器當機為由誘騙使用者執行惡意指令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897-CrashFix.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897-CrashFix.png" style="width: 300px; float: right;" /></a></p> <p>近期網釣攻擊最受矚目的新興手法ClickFix，後續出現各式各樣的變形版本，像是整個攻擊流程都在瀏覽器進行的FileFix，或是藉由覆蓋整個螢幕內容脅迫受害者依照指示操作的JackFix，以及結合OAuth身分驗證流程的ConsentFix，如今又有駭客發展出新型態手法，讓使用者以為瀏覽器出錯而乖乖依照指示「修復」。</p> <p>威脅情報公司Huntress揭露名為CrashFix的攻擊手法，發動者是外號為KongTuke、LandUpdate808或TAG-124的駭客組織，他們近期透過惡意瀏覽器延伸套件NexShield，意圖於受害電腦植入惡意軟體ModeloRAT。此延伸套件冒充知名的擋廣告工具uBlock Origin Lite，一旦使用者安裝，瀏覽器就會出現當機訊息，然後要求使用者依照指示下達特定指令來排除，然而若是照做，就會複製、貼上及執行駭客的惡意指令，導致電腦感染ModeloRAT。</p> <p>這些駭客鎖定在網路上尋找廣告攔截工具的使用者，他們投放惡意廣告，引導使用者到Chrome Web Store延伸套件市集下載NexShield，Huntress經過比對發現，駭客的延伸套件幾乎完全複製uBlock Origin Lite的程式碼，以此騙過Google的初步審核與使用者的信任。再者，駭客聲稱該套件是uBlock Origin Lite作者Raymond Hill的開發，並提及一個實際上不存在的GitHub程式庫，這麼做是濫用使用者對於知名開源專案的信任。</p> <p><a href="https://www.ithome.com.tw/news/173504"><strong style="font-size: 22px;">Anthropic用於Git的MCP伺服器曝三漏洞，提示注入可繞過路徑限制並覆寫檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Anthropic-Git-MCP-Flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Anthropic-Git-MCP-Flow.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Cyata揭露，Anthropic維護的官方Git用MCP伺服器mcp-server-git存在三項弱點。攻擊者只要能以提示注入影響AI助理讀到的內容，就可能引導模型在呼叫工具時帶入惡意參數，繞過原本設定的儲存庫路徑限制，擴大可被操作的Git範圍，並在特定工具呼叫下造成檔案覆寫或刪除，要是環境又啟用可寫入檔案的能力，風險還可能擴大到程式碼執行。</p> <p>第一項漏洞CVE-2025-68145與路徑驗證有關，mcp-server-git啟動時可限定允許操作的儲存庫位置，但工具呼叫時傳入的儲存庫路徑未與該限制比對，導致在提示注入影響下，AI可能被引導操作系統上其他可存取的Git儲存庫。第二項漏洞CVE-2025-68143是Git初始化缺乏路徑限制，可能在任意目錄初始化新的Git儲存庫，讓原本不是專案的資料夾被納入Git操作範圍。Cyata也提醒，該情境可能使檔案內容被讀入模型，雖不等於直接外傳，但仍會讓敏感資訊進入AI可見範圍與後續處理流程。</p> <p>第三項CVE-2025-68144屬於參數注入漏洞，該伺服器在執行Git差異比對時，會把使用者提供的比對目標參數直接交由Git命令列解析，缺乏必要的參數約束。攻擊者可藉此把原本應該只是指定比對對象的輸入，變成可影響Git輸出行為的選項，造成檔案被覆寫，達到破壞或等同刪除的效果。</p> <p><a href="https://www.ithome.com.tw/news/173500"><strong style="font-size: 22px;">ServiceNow AI平臺爆漏洞，允許攻擊者冒用帳號並劫持AI代理流程</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CleanShot-2026-01-08-at-12_11_05.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CleanShot-2026-01-08-at-12_11_05.png" style="width: 300px; float: right;" /></a></p> <p>資安業者AppOmni指出，ServiceNow的Virtual Agent API與Now Assist AI Agents應用程式存在重大漏洞CVE-2025-12420，研究人員將其命名為BodySnatcher，該漏洞CVSS評分為9.3分，屬於重大（Critical）等級。</p> <p>攻擊鏈結合了一組跨環境共用的靜態憑證與帳號自動連結邏輯，使未經身分驗證的攻擊者在提供目標電子郵件位址後，可能冒用任意使用者身分，進一步以被冒用帳號的權限執行平臺內被允許的操作，並可能成為觸發Now Assist AI代理工作流程的入口。</p> <p>該漏洞的成因在於Virtual Agent API的外部整合模式，也就是提供者（Providers）與通道（Channels）的設定以及帳號連結流程。不少企業會把Virtual Agent整合到Slack或Microsoft Teams，外部訊息進入ServiceNow後，系統會先依提供者設定驗證整合請求，再透過自動連結機制，把外部身分對應到ServiceNow帳號。</p> <p><a href="https://www.ithome.com.tw/news/173300"><strong style="font-size: 22px;">駭客鎖定配置錯誤的代理伺服器與LLM端點，試圖濫用付費API</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/695fecae272a20c62c0a2907_78996d07.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/695fecae272a20c62c0a2907_78996d07.png" style="width: 300px; float: right;" /></a></p> <p>資安監測業者GreyNoise在語言模型開源工具Ollama蜜罐環境中，於2025年10月至2026年1月間記錄到91,403次攻擊會話，並歸納出兩波主要行動。一波以伺服器請求偽造（SSRF）為主，手法是迫使伺服器對外發出連線，並透過界外回呼機制確認是否成功，另一波則大規模探測LLM端點，疑似專門尋找配置錯誤的代理伺服器或對外暴露的相容API介面，藉此取得商用付費API的存取機會。</p> <p>攻擊者鎖定Ollama的模型拉取功能，透過注入惡意註冊庫URL，誘使伺服器替攻擊者對外發出HTTP請求。同一期間也觀測到與Twilio SMS webhook整合相關的探測行為，攻擊者透過操弄MediaUrl參數觸發外連。該行動在耶誕節前後出現尖峰，48小時內累積1,688次會話，攻擊者使用界外應用程式安全測試（OAST）的回呼方式確認是否成功，手法常見於漏洞研究與自動化測試，但規模仍值得企業留意。</p> <p>從2025年12月28日開始，兩個IP位址在11天內就產生80,469次會話，系統性探測73種以上LLM模型端點，測試同時涵蓋相容於OpenAI的API格式與Google的Gemini格式。探測提示刻意保持低雜訊，多為問候、空字串或簡單常識題，目的可能是辨識端點背後真正回應的模型類型，同時降低觸發告警的機率。</p> <p><a href="https://www.ithome.com.tw/news/173479"><strong style="font-size: 22px;">CrowdStrike傳出以4.2億美元買下瀏覽器資安業者Seraphic</strong></a></p> <p>1月13日資安廠商CrowdStrike正式宣布，他們與瀏覽器安全新創公司Seraphic簽署最終併購協議，預計於CrowdStrike的2027財年第一季完成交易，外傳併購金額為4.2億美元。由於不到一週前CrowdStrike才以7.2億買下身分安全即時授權公司SGNL，接連併購新創公司的舉動引起各界關注。</p> <p>針對這次併購，CrowdStrike強調是擴展旗下Falcon平臺能力的重要舉措，他們將Seraphic專注於瀏覽器執行層的即時安全防護技術整合到企業安全架構中，使企業能夠將任何主流瀏覽器，轉變成具備企業級安全性的平臺，跨設備、跨管理範圍提供保護。</p> <p>CrowdStrike與Seraphic並未公布併購的具體金額，僅透露CrowdStrike主要以現金購買Seraphic，部分款項以股票的形式交付。根據外電的報導，交易金額至少有4億美元：Calcalist指出在併購的一年前Seraphic共募得約3700萬美元，估計CrowdStrike約以4億美元買下；SDxCentral與SecurityWeek指出，併購金額為4.2億美元。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/everest-ransomware-mcdonalds-india-breach-customer-data/">勒索軟體Everest聲稱入侵印度麥當勞，竊得861 GB資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-kerberos-relay-technique-exploits-dns-cnames-to-bypass-existing-defenses/">研究人員揭露新型態Kerberos中繼攻擊手法，可藉由DNS CNAME繞過防禦措施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-stackwarp-hardware-flaw-breaks-amd.html">AMD處理器存在StackWarp弱點，恐被用於繞過SEV-SNP防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/cloudflare-fixes-acme-validation-bug.html">Cloudflare修補ACME驗證邏輯漏洞，攻擊者有機會繞過網頁應用程式防火牆存取原始主機</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173483"><strong>【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173440"><strong>【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173401"><strong>【1月16日】Palo Alto Networks修補能被用於停止防火牆運作的資安漏洞</strong></a></p> </div></div></div>
1/21 17:44作者周峻佑https://www.ithome.com.tw/news/173507
駭客假借提供擋廣告延伸套件從事ClickFix變種網釣，以瀏覽器當機誘騙使用者執行惡意指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期網釣攻擊最受矚目的新興手法ClickFix，後續出現各式各樣的變形版本，像是整個攻擊流程都在瀏覽器進行的<strong><a href="https://www.ithome.com.tw/news/169733">FileFix</a></strong>，或是藉由覆蓋整個螢幕內容脅迫受害者依照指示操作的<strong><a href="https://www.ithome.com.tw/news/172511">JackFix</a></strong>，以及結合OAuth身分驗證流程的<strong><a href="https://www.ithome.com.tw/news/172800">ConsentFix</a></strong>，如今又有駭客發展出新型態手法，讓使用者以為瀏覽器出錯而乖乖依照指示「修復」。</p> <p>威脅情報公司Huntress揭露名為<strong><a href="https://www.huntress.com/blog/malicious-browser-extention-crashfix-kongtuke">CrashFix</a></strong>的攻擊手法，發動者是外號為KongTuke、LandUpdate808或TAG-124的駭客組織，他們近期透過惡意瀏覽器延伸套件NexShield，意圖於受害電腦植入惡意軟體ModeloRAT。此延伸套件冒充知名的擋廣告工具uBlock Origin Lite，一旦使用者安裝，瀏覽器就會出現當機訊息，然後要求使用者依照指示下達特定指令來排除，然而若是照做，就會複製、貼上及執行駭客的惡意指令，導致電腦感染ModeloRAT。</p> <p>這些駭客鎖定在網路上尋找廣告攔截工具的使用者，他們投放惡意廣告，引導使用者到Chrome Web Store延伸套件市集下載NexShield，Huntress經過比對發現，駭客的延伸套件幾乎完全複製uBlock Origin Lite的程式碼，以此騙過Google的初步審核與使用者的信任。再者，駭客聲稱該套件是uBlock Origin Lite作者Raymond Hill的開發，並提及一個實際上不存在的GitHub程式庫，這麼做是濫用使用者對於知名開源專案的信任。</p> <p>在使用者安裝了NexShield之後，過了一陣子瀏覽器就會突然變得無法回應，若是將瀏覽器重新開啟，就會顯示異常終止的彈出式視窗，要求使用者執行掃描，結果指出偵測到瀏覽器有潛在的安全問題，有可能導致上網資料被駭，使用者必須依照指示操作，手動開啟執行視窗（Windows鍵+R）、貼上（Ctrl+V），然後按下Enter。但實際上，電腦會執行駭客的指令，從C2下載ModeloRAT並進行部署。</p> <p>為何瀏覽器會出現無法回應的現象？原因是NexShield對瀏覽器進行阻斷服務（DoS）攻擊，攻擊者執行特定功能函數，一口氣進行多達10億次的反覆執行（iterate），每次都會建立新的連線，而且當迴圈執行完成時，又會透過另一個功能函數再度排隊執行上述迴圈，從而達到無限迴圈消耗處理器與記憶體等運算資源的目的，導致瀏覽器內部的訊息基礎設施不堪負荷，出現運作延遲甚至反應遲鈍的現象，最終導致瀏覽器當機，使用者有可能需要手動終止相關處理程序。</p> <p>值得一提的是，目前攻擊者似乎偏好鎖定有加入網域的電腦，突顯他們的目標是打算藉此得到入侵企業網路環境的管道，因為這代表攻擊者有機會存取AD、內部系統，以及橫向移動。若是未加入網域的一般使用者，則會被引導至另一個尚在測試的感染鏈。不過，Huntress指出，這不代表一般個人用戶就能掉以輕心，這可能只是駭客還沒有準備完成，而非只打算攻擊企業組織的電腦。</p> </div></div></div>
1/21 17:04作者周峻佑https://www.ithome.com.tw/news/173506
Anthropic官方Git MCP伺服器曝三漏洞，提示注入可繞過路徑限制並覆寫檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Cyata Research<a href="https://cyata.ai/blog/cyata-research-breaking-anthropics-official-mcp-server/">揭露</a>，Anthropic維護的官方Git用MCP伺服器mcp-server-git存在三項弱點。攻擊者只要能以提示注入影響AI助理讀到的內容，就可能引導模型在呼叫工具時帶入惡意參數，繞過原本設定的儲存庫路徑限制，擴大可被操作的Git範圍，並在特定工具呼叫下造成檔案覆寫或刪除，要是環境又啟用可寫入檔案的能力，風險還可能擴大到程式碼執行。</p> <p>MCP是Anthropic所提出的開放標準，讓AI助理以一致介面連結外部工具與資料來源，例如檔案系統、應用程式介面與Git等。該架構讓MCP伺服器會依模型的決策，在本機或開發環境執行操作，因此提示注入不只是內容誤導，也可能轉化成具體的工具呼叫與系統動作。</p> <p>研究人員說明，第一項CVE-2025-68145漏洞與路徑驗證有關，mcp-server-git啟動時可限定允許操作的儲存庫位置，但工具呼叫時傳入的儲存庫路徑未與該限制比對，導致在提示注入影響下，AI可能被引導操作系統上其他可存取的Git儲存庫。第二項CVE-2025-68143漏洞是Git初始缺乏路徑限制，可能在任意目錄初始化新的Git儲存庫，讓原本不是專案的資料夾被納入Git操作範圍。研究人員也提醒，該情境可能使檔案內容被讀入模型上下文，雖不等於直接外傳，但仍會讓敏感資訊進入AI可見範圍與後續處理流程。</p> <p>第三項CVE-2025-68144漏洞屬於參數注入。研究人員發現，該伺服器在執行Git差異比對時，會把使用者提供的比對目標參數直接交由Git命令列解析，缺乏必要的參數約束。攻擊者可藉此把原本應該只是指定比對對象的輸入，變成可影響Git輸出行為的選項，造成檔案被覆寫，達到破壞或等同刪除的效果。研究人員也提到，要是同時具備寫入檔案能力，攻擊者可能改寫Git設定，利用Git既有機制在特定操作時觸發命令殼層指令，使風險上升到程式碼執行層級。</p> <p>Cyata在2025年6月向Anthropic通報並持續補充細節，9月通報獲得接受，12月完成CVE編號指派並提交修補。使用者需升級mcp-server-git至2025.12.18或更新版本，同時盤點實際啟用的MCP伺服器組合，避免在未評估風險下同時開放Git與檔案系統等高權限能力，並留意非預期目錄出現.git資料夾等狀況。</p> </div></div></div>
1/21 16:13作者李建興https://www.ithome.com.tw/news/173504
X開源貼文推薦演算法，計畫每4周更新一次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬斯克（Elon Musk）旗下的社交平臺X近日<a href="https://github.com/xai-org/x-algorithm" target="_blank">透過GitHub上開源</a>其「For You」動態牆的核心貼文推薦演算法，並承諾未來將以每4周為一個周期，持續公開更新版本與開發說明。這項動作被外界視為X在透明度壓力下，對外界長期質疑其演算法黑箱運作的最新回應。</p> <p>此次開源的內容，聚焦於X用來決定使用者動態牆中，哪些貼文與帳號會被推薦顯示的核心推薦系統。X說明，該系統同時整合來自使用者追蹤帳號的內容，以及透過機器學習從全站發掘的「非追蹤內容」，再進行統一排序。整套流程涵蓋候選內容的取得、資料補齊、過濾、評分與最終排序，構成完整的推薦管線。</p> <p>相較於<a href="https://www.ithome.com.tw/news/150636" target="_blank">2023年釋出</a>的版本，X此次開源的推薦系統已完成大幅重構，核心不再建立在大量人工撰寫的排序規則之上，而是改由模型統一負責貼文的評分與排序。這代表動態牆的運作邏輯，已從工程師手動調整權重，轉向由系統根據使用者實際互動行為自行學習與判斷，成為此次開源最關鍵的差異之一。</p> <p>在技術實作上，這項核心任務由名為Phoenix的模型負責。Phoenix採用以Grok-1為基礎改造的Transformer架構，能從使用者一段時間內的互動行為序列中，預測其對不同貼文可能產生的各種反應，並作為推薦排序的依據，取代過去以人工規則為主的設計方式。</p> <p>不過，X也明確說明，雖然公開了系統架構與運作流程，但實際的模型權重、行為加權數值與使用者資料仍未對外揭露。</p> <p>X執行長<a href="https://x.com/elonmusk/status/2010062264976736482" target="_blank">Elon Musk表示</a>，定期開源與說明演算法更新，是希望讓外界能持續理解系統如何變化，而非一次性的透明展示。不過，是否能真正做到每4周如期更新，並在未來監管與輿論壓力下維持開放程度，仍有待觀察。</p> </div></div></div>
1/21 14:55作者陳曉莉https://www.ithome.com.tw/news/173502
ServiceNow AI平臺爆漏洞，允許攻擊者冒用帳號並劫持AI代理流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者AppOmni<a href="https://appomni.com/ao-labs/bodysnatcher-agentic-ai-security-vulnerability-in-servicenow/">指出</a>，ServiceNow的Virtual Agent API與Now Assist AI Agents應用程式存在重大漏洞CVE-2025-12420，研究人員將其命名為BodySnatcher，該漏洞CVSS為9.3分，屬於重大（Critical）等級。</p> <p>攻擊鏈結合了一組跨環境共用的靜態憑證與帳號自動連結邏輯，使未經身分驗證的攻擊者在提供目標電子郵件位址後，可能冒用任意使用者身分，進一步以被冒用帳號的權限執行平臺內被允許的操作，並可能成為觸發Now Assist AI代理工作流程的入口。</p> <p>該漏洞的成因在於Virtual Agent API的外部整合模式，也就是提供者（Providers）與通道（Channels）的設定以及帳號連結流程。不少企業會把Virtual Agent整合到Slack或Microsoft Teams，外部訊息進入ServiceNow後，系統會先依提供者設定驗證整合請求，再透過自動連結機制把外部身分對應到ServiceNow帳號。</p> <p>研究人員指出，Now Assist AI Agents引入的部分提供者採用靜態憑證，且該憑證在不同客戶環境共用，搭配僅以電子郵件位址進行自動連結的邏輯，導致攻擊者一旦取得該憑證，就可能把任一已存在的電子郵件位址連結成對應帳號，進而繞過MFA與SSO等既有控管。</p> <p>研究人員同時提醒，聊天通道一旦能呼叫具代理能力的自動化流程，傳統驗證瑕疵的影響便會被放大。虛擬代理的應用程式介面可能成為非預期的AI代理執行路徑，外部訊息在特定內部主題流程的轉換下，能夠以被冒用帳號的權限觸發AI代理任務。對企業而言，風險不只在於對話內容被冒名發送，更在於AI代理可能被用來執行變更資料與建立存取途徑等操作。</p> <p>AppOmni列出Now Assist AI代理應用程式sn_aia的5.0.24至5.1.17，以及5.2.0至5.2.18版本，與虛擬代理外部介面sn_va_as_service的3.15.1以下，以及4.0.0至4.0.3版本。AppOmni在2025年10月23日通報，ServiceNow於10月30日完成修補並通知客戶。</p> <p>ServiceNow官方表示，已對多數託管環境部署更新，並向自建環境與合作夥伴提供安全更新，建議尚未更新者儘速套用。AppOmni也指出，使用ServiceNow雲端託管服務的客戶不需額外動作，自建環境則應儘速升級到修補後版本sn_aia為5.1.18與5.2.19，sn_va_as_service為3.15.2與4.0.4。</p> </div></div></div>
1/21 13:31作者李建興https://www.ithome.com.tw/news/173500
AI新創Humans&獲得來自Nvidia與貝佐斯的種子輪資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由一群分別來自Anthropic、OpenAI、Meta及Google的AI專家在2025年冬天創立的<a href="https://humansand.ai/" target="_blank">AI新創Humans&</a>周二（1/20）正式對外曝光，並向<a href="https://siliconangle.com/2026/01/20/newly-launched-ai-startup-humans-raises-480m-round-backed-nvidia-gv/" target="_blank">SiliconANGLE</a>等媒體宣布已完成4.8億美元的種子輪融資，估值為44.8億美元，且包括Nvidia、Amazon創辦人貝佐斯（Jeff Bezos）及Google Ventures都參與了該融資活動。</p> <p>甫創立3個月的Humans&表示，它們是一個以人為中心的前沿AI實驗室，相信AI能夠重新被想像，把重心置放在人，以及人與人之間的關係上，在最理想的狀態下，AI應該成為更深層的連結組織，強化組織與社群。</p> <p>Humans&公司首頁尚無任何產品說明，但其共同創辦人Andi Peng在接受<a href="https://www.nytimes.com/2026/01/20/technology/humans-ai-anthropic-xai.html" target="_blank">紐約時報專訪</a>時透露，Humans&認為AI應該可賦能予人類，而非取代人類。新公司的目標是開發一款能夠促進人類協作的軟體，類似於AI版的即時通訊應用，也能協助人們進行網路搜尋，或是其它適合由機器完成的任務。</p> <p>另一名從Meta跳槽到Humans&的<a href="https://mireshghallah.github.io/blog/why_i_joined_humansand.html" target="_blank">Niloofar Mireshghallah則說</a>，當她與Humans&共同創辦人暨執行長的Eric Zelikman聊天時，發現他們同樣認為AI應該以人的長遠利益為出發點，應建構能夠兼顧人與其互動關係的模型。此外，Mireshghallah也認為，隱私是情境式的，而非千篇一律的。</p> <p>紐約時報指出，即使許多金融分析師或業內人士警告AI泡沫化的存在，但Humans&的出現彰顯出投入AI新創的資金並沒有放緩的跡象。</p> </div></div></div>
1/21 13:46作者陳曉莉https://www.ithome.com.tw/news/173501
IT業者Ingram Micro遭遇勒索軟體攻擊調查結果出爐，逾4.2萬人個資外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月IT服務供應商Ingram Micro傳出遭遇勒索軟體攻擊，導致部分系統無法運作，後續勒索軟體駭客組織SafePay聲稱是他們所為，竊得3.5 TB內部資料，近期該公司透露受害規模。</p> <p>根據1月16日Ingram Micro<strong><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/0675e1b9-a308-4b90-be71-458afcc6f542.html">向美國緬因州檢查長辦公室通報的資料</a></strong>，這起資安事故發生於7月2日至3日，他們於12月26日確認有42,521人受到本次駭客攻擊影響，這些人主要是員工與曾經投遞履歷的求職者，受影響的個資包含姓名、聯絡資訊、生日，以及政府發出的識別號碼，像是社會安全碼、駕照，以及護照號碼等。此外，部分個資還有特定的員工相關資料，例如與工作有關的評估資訊。針對受影響的人士，Ingram Micro將提供2年信用監控與身分保護服務。</p> <p>這起事故最早由<strong><a href="https://www.bleepingcomputer.com/news/security/ingram-micro-outage-caused-by-safepay-ransomware-attack/">資安新聞網站Bleeping Computer報導</a></strong>，當時傳出7月3日凌晨發生網路攻擊，導致網站與線上訂購系統停擺，員工在他們的裝置上發現勒索信，Ingram Micro要求部分員工居家工作，知情人士透露，攻擊者入侵該公司網路環境的管道，疑似使用外流的帳密資料，存取VPN平臺GlobalProtect而得逞。</p> <p>根據勒索信的內容，Bleeping Computer認為攻擊者的身分就是SafePay。這些駭客的活動最早約在2024年11月出現，經常利用外流的憑證資料、密碼潑灑攻擊，以及透過VPN閘道作為入侵受害企業組織的手段。</p> <p>後續Palo Alto Networks表示，經過他們的調查，確認GlobalProtect未受到這起事故影響，也並非漏洞的來源，他們懷疑攻擊者利用外流的憑證，或是Ingram Micro的網路設定錯誤而成功入侵。</p> <p>7月8日Ingram Micro坦承這是勒索軟體攻擊，並宣布他們已陸續讓系統重新上線，但並未透露攻擊者身分。事隔數週，7月底SafePay聲稱是他們所為，疑似索討贖金不成，<strong><a href="http://www.securityweek.com/42000-impacted-by-ingram-micro-ransomware-attack/">憤而在8月公布竊得資料</a></strong>。</p> </div></div></div>
1/21 14:09作者周峻佑https://www.ithome.com.tw/news/173494
WordPress外掛Modular DS重大漏洞被鎖定，駭客恐藉此得到網站管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，WordPress是許多開發人員架設網站的首選，這類平臺或其外掛程式一旦出現嚴重的漏洞，可能成為攻擊者利用的標的。</p> <p>1月14日資安公司Patchstack提出警告，名為Modular DS的WordPress外掛程式<strong><a href="https://patchstack.com/articles/critical-privilege-escalation-vulnerability-in-modular-ds-plugin-affecting-40k-sites-exploited-in-the-wild/">存在重大漏洞CVE-2026-23800</a></strong>，形成的原因在於不正確的權限分配，攻擊者可用於提升權限，CVSS風險評分達到10分（滿分10分），影響2.5.1以下所有版本的Modular DS，全球逾4萬個網站恐受到影響。值得留意的是，通報此事的資安人員指出，已有攻擊行動出現，Patchstack呼籲用戶升級<strong><a href="https://help.modulards.com/en/article/modular-ds-security-releases-modular-connector-260-and-252-dm3mv0/">2.6.0版</a></strong>因應。</p> <p>這項弱點結合多種因素，包含直接路由選擇、繞過身分驗證機制，以及自動以管理員身分登入，核心問題在於URL路由配對機制過於寬鬆、直接請求（Direct Request）模式過度信任特定請求參數、身分驗證僅依賴網站是否連接Modular DS來判斷，以及在特定的登入流程裡，若是系統無法取得使用者的ID，將會自動退回，並以現有的管理員帳號登入。</p> <p>通報此事的WP.one支援工程團隊指出，他們在世界標準時間（UTC）1月13日凌晨2時，首度偵測到漏洞利用的情況，攻擊者下達GET的存取請求/api/modular-connector/login/，並設置origin與type參數為mo及foo。Patchstack也公布攻擊來源的IP位址，分別是：45.11.89[.]19、185.196.0[.]11，以及64.188.91[.]37。</p> <p>值得留意的是，雖然經過通報後Modular DS工程開發團隊隨即發布2.5.2版修補漏洞，但後續Patchstack發現新的漏洞利用途徑，並指出相關活動特徵：攻擊者發出請求的路徑通常像是 /?rest_route=/wp/v2/users&origin=mo&type=x，根據使用者代理字串（User Agent），攻擊者多半透過Firefox存取，有效酬載主體通常具備username與email參數，其中包含了名為backup的用戶名稱，以及[email protected]或[email protected]，攻擊來自62.60.131[.]161及185.102.115[.]27。對此，工程開發團隊再度發布2.6.0版更新，呼籲用戶儘速升級，並檢查網站是否遭到入侵。</p> </div></div></div>
1/21 14:11作者周峻佑https://www.ithome.com.tw/news/173499
網飛財報出爐，全球付費訂閱用戶達3.25億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網飛（Netflix）周二（1/20）公布2025財年<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2025/q4/FINAL-Q4-25-Shareholder-Letter.pdf" target="_blank">第四季營收</a>，該季網飛創造120.5億美元的營收，成長17.6%，每股盈餘為0.56美元，高於市場所預期的0.55美元。營收成長主要受益於付費訂閱用戶及廣告營收的增加，其中，網飛全球訂閱用戶數已達到3.25億，全年廣告營收則超過15億美元，比去年成長2.5倍。</p> <p>其實網飛自一年前就不再公布訂閱用戶數，改以營收及利潤成長等指標作為衡量成功的核心，不過，這次網飛不僅公布了訂閱用戶數，表示已達到一個新的里程碑，還說若計算每個訂閱所服務的用戶數量，全球應該已有接近10億的網飛觀眾。</p> <p>此外，網飛<a href="https://www.ithome.com.tw/news/172678" target="_blank">在去年12月宣布</a>要以827億美元的收購華納兄弟（Warner Bros. Discovery，WBD）的串流媒體服務，現金加上股票的每股價格為27.75美元；除了等待主管機關同意之外，也惹來美國老牌影業派拉蒙（Paramount）<a href="https://www.ithome.com.tw/news/172718" target="_blank">針對WBD發動</a>每股30美元的惡意收購。</p> <p>在此次的財報中，網飛強調該收購是一筆以內容為核心的投資，而且為了加速進展，將全面改為現金交易，價格同樣是每股27.75美元，公司也為此保留現金以儘快完成交易。</p> <p>網飛在2025年11月14日進行1拆10拆股。拆股前股價約700美元，拆股後股價理論上變為約70美元，但股東持有的股數增加10倍，總市值不變。財報公布當天，網飛股價略下滑0.84%，以87.26美元作收。</p> </div></div></div>
1/21 11:24作者陳曉莉https://www.ithome.com.tw/news/173497
OpenAI為ChatGPT加入AI偵測用戶年齡的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/en/articles/12652064-age-prediction-in-chatgpt" target="_blank">OpenAI昨日（1/20）宣布</a>ChatGPT加入以AI預測用戶年齡功能，以減少未成年用戶接觸到不適宜內容的機會。</p> <p>這項功能也意在防範未成年用戶在和ChatGPT聊天後，可能產生自殘或其他傷害行為。OpenAI的年齡預測功能已部署到全球，歐盟地區則會在未來幾周內上線。</p> <p>ChatGPT已加入一項額外的安全設定，以判斷是否提供性、暴力、血腥等內容及回應給使用者。該安全設定是ChatGPT根據其年齡預測AI模型判斷是否啟用。這個AI系統會依據帳號的多個訊號來判定用戶年齡，像是用戶談論的一般主題，或是使用ChatGPT的時段等。</p> <p>一旦系統判定用戶未滿18歲，ChatGPT即自動啟用額外的安全設定。在此設定下，ChatGPT會更小心處理某些主題，以減少敏感內容。包括過度暴力、危險或有害行為、性或情愛或角色扮演內容、以及提倡某些極端審美、不健康飲食或控制身材的內容。</p> <p>如果ChatGPT誤判用戶未滿18歲而自動加入額外的安全設定，用戶可透過驗證年齡來移除該設定。用戶可從Web版ChatGPT登入>開啟「設定」>「帳戶」>「驗證」，再遵循第三方夥伴提供的Persona進行驗證，或以<a href="https://chatgpt.com/verify_age" target="_blank">驗證網址</a>，跟隨Persona對話框指示完成驗證。Persona會要求使用者線上自拍臉部及上傳身份證、駕照或護照照片，它會檢查生日和比對用戶自拍照進行驗證。Persona驗證證實用戶滿18歲後，ChatGPT就會移除安全設定。當然，成年用戶如果能接受額外的安全設定，亦可不驗證而持續使用。</p> <p>OpenAI強調驗證完就會在7天內移除用戶的ID和自拍照，這些圖像都不會被OpenAI儲存。OpenAI只會接收用戶出生日期或年齡預測資料，並安全儲存。</p> <p>不希望被OpenAI預測年齡的用戶可以直接使用Persona驗證年齡。完成驗證者就不會被OpenAI針對帳號執行年齡預測。</p> <p>用戶也可以在「設定」>「資料控管」中，控制其資料是否被用於訓練OpenAI的模型。</p> <p>未成年者從ChatGPT或社群媒體接觸到不當內容引發倫理爭議及法律官司，<a href="https://www.ithome.com.tw/news/168539" target="_blank">Meta已在去年導入</a>AI來辨識用戶年齡。但各國政府決定採取更強硬手段。澳洲政府去年12月啟動禁止未滿16歲用戶使用社群服務如TikTok、Facebook及Snapchat。<a href="https://www.bbc.com/news/articles/cgm4xpyxp7lo" target="_blank">英國政府也考慮跟進</a>。</p> </div></div></div>
1/21 11:55作者林妍溱https://www.ithome.com.tw/news/173498
勒索軟體組織RansomHub宣稱成功攻擊立訊揚言公開蘋果、Nvidia、特斯拉資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路媒體<a href="https://cybernews.com/security/luxshare-apple-iphone-assembler-breach/" target="_blank">Cybernews報導</a>，勒索軟體組織RansomHub近日於駭客論壇張貼公告宣稱，去年駭入替蘋果、特斯拉等公司代工的立訊精密（Luxshare）內部系統，手中握有其眾多設計及生產資料，並揚言若未拿到贖金將公開其客戶相關機密資訊。</p> <p>RansomHub宣稱去年12月15日成功攻擊這家蘋果代工廠，取得該公司大量資料，然而卻久久未等到立訊聯繫，似乎IT部門想隱匿事件。他們要求立訊儘速聯繫以確保該公司機密資料、專案文件不外流。顯然若駭客未接獲立訊聯繫就會公開手中的資料。</p> <p>立訊是蘋果重要代工組裝廠，負責為蘋果生產的產品包括iPhone、AirPods、Apple Watch和Vision Pro等。</p> <p>RansomHub則為2024年出現的勒索軟體即服務（Ransomware-as-a-Service，RaaS），可能和俄國政府有關，是近年最活躍的<a href="https://www.ithome.com.tw/news/164809" target="_blank">勒索軟體組織</a>。資安專家指出，RansomHub採分工模式運作，其同夥負責曝露未受保護的機器、降低偵測風險，並提升攻擊成功率。美國網路安全暨基礎設施安全局（CISA）安全公告說明，RansomHub 2024年攻擊了超過200家企業組織，被<a href="https://deepstrike.io/blog/ransomware-groups-2025" target="_blank">資安業者</a>列為最危險的4大勒索軟體之一。</p> <p>根據Cybernews公布的駭客貼文截圖，RansomHub手中擁有的資料包含機密3D CAD產品建模、3D工程設計、3D工程文件；高精密幾何設計資料；製造用2D繪圖；機械元件草圖；機密工程繪圖PDF文件；PCB設計、電子設計文件、與電子佈線架構資料；Gerber檔。資料來源包含蘋果、Nvidia、特斯拉、LG、吉利汽車的生產與研發資料，都具有保密協定（NDA）保護。</p> <p>駭客也公開釋出了部分資料以茲證明，包含疑似蘋果和立訊之間裝置維修和出貨等機密專案資料，有時程、詳細流程和立訊其他客戶資訊。還有疑似特定專案的成員的個資，像是全名、職稱和公用電子郵件地址。Cybernews分析後，認為可能是真實資料。</p> <p>立訊尚未對此置評。</p> </div></div></div>
1/21 11:01作者林妍溱https://www.ithome.com.tw/news/173495
中國要求企業停用美國、以色列的資安軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在美中緊張關係再次升溫之際，<a href="https://www.reuters.com/world/china/beijing-tells-chinese-firms-stop-using-us-israeli-cybersecurity-software-sources-2026-01-14/" target="_blank">路透社</a>、<a href="https://www.bloomberg.com/news/articles/2026-01-14/china-bans-cyber-products-from-top-us-israeli-security-firms" target="_blank">彭博</a>等媒體報導，中國政府基於國家安全風險，要求國內企業不要使用美國及以色列公司的資安軟體，影響Check Point、Palo Alto等10多家廠商。</p> <p>媒體引述二名消息人士報導，本禁令出於中國政府擔心來自美國和以色列的軟體會暗中蒐集用戶機密資訊並傳送海外。</p> <p>遭到中國主管機關禁用的美國公司包括：VMware、Palo Alto Networks、Fortinet、Mandiant、CrowdStrike、SentinelOne、McAfee、Recorded Future、Claroty、Rapid7和Wiz。名列禁用名單的以色列公司則有：Check Point、CyberArk、Orca Security、Cato Networks和Imperva（現為法商Thales所有）等。</p> <p>中國最新軟體禁令也反映近來美中外交及貿易關係緊張化。除了稀土及關稅長期爭議外，還有晶片問題；美國雖然放行Nvidia的H200晶片輸出中國，但中國卻傳出禁止進口。</p> <p>同時間，美國也不吝指控中國竊取美國人資訊。中國經常被許多資安廠商點名是許多駭客活動的背後主使者，或是稱中國軟體或手機有資安漏洞，或暗中蒐集用戶資訊。</p> <p>媒體無法取得有多少中國企業接獲主管機關的通知。但多家被點名的資安業者表示影響不大。CrowdStrike、Recorded Future、SentinelOne和Claroty表示未在中國設立營運據點、或是沒有顯著來自中國的營收。</p> <p>McAfee則說在中國主要鎖定消費市場，意謂不受政府或企業規定影響。</p> <p>Check Point亞太區代表指出尚未接獲任何政府通知，也未聽聞在中國營運的限制。該公司<a href="https://www.securityweek.com/cybersecurity-firms-react-to-chinas-reported-software-ban/" target="_blank">表示</a>會持續支援國際企業及本地企業客戶。</p> <p>在中國有辦公室的主要資安軟體業者如博通/VMware、Fortinet及Palo Alto則沒有回應。</p> <p>中國主管機關包括網信辦和工信部也未回應<a href="https://www.reuters.com/world/china/beijing-tells-chinese-firms-stop-using-us-israeli-cybersecurity-software-sources-2026-01-14/" target="_blank">路透社</a>的詢問。</p> </div></div></div>
1/21 10:22作者林妍溱https://www.ithome.com.tw/news/173493