iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟財報出爐，Microsoft Cloud成長26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟周三（1/28）公布截至2025年12月31日的<a href="https://www.microsoft.com/en-us/Investor/earnings/fy-2026-Q2/press-release-webcast" target="_blank">2026財年第二季財報</a>，該季微軟創下813億美元的營收，年增17%。在一般公認會計原則（GAAP）下，微軟淨收入為385億美元，年增60%；若排除對OpenAI投資帶來的影響，非GAAP淨收入為309億美元，年增23%。財報公布後，微軟盤後股價下滑5.66%，跌至454.36美元。</p> <p>從各部門營收來看，包括Microsoft 365、LinkedIn與Dynamics的生產力與業務流程（Productivity and Business Processes）締造341億美元營收，年增16%；涵蓋伺服器產品與雲端服務的智慧雲端（Intelligent Cloud）營收為329億美元，年增29%；更多個人運算（More Personal Computing）營收為143億美元，年減3%。</p> <p>至於所有以雲端、訂閱或用量計費方式交付的Microsoft Cloud，該季營收達515億美元，年增26%。該類別的商業剩餘履約義務（Commercial Remaining Performance Obligation，RPO）年增110%，達6,250億美元。<a href="https://www.cnbc.com/2026/01/28/microsoft-msft-q2-earnings-report-2026.html" target="_blank">根據CNBC報導</a>，在這6,250億美元的商業剩餘履約義務中，約45%與OpenAI相關。</p> <p>在<a href="https://www.ithome.com.tw/news/171923" target="_blank">微軟與OpenAI</a>於2025年10月公開的協議中，微軟持有OpenAI Group PBC營利事業約27%的股份，而OpenAI則承諾在未來多年向微軟採購價值約2,500億美元的Azure雲端服務。</p> <p>從個別服務表現來看，該季營收成長幅度最高的是Azure與其他雲端服務，年增39%；其次為Microsoft 365 Consumer Cloud，年增29%；Microsoft Cloud整體營收年增26%。</p> <p>在會計處理上，微軟並未將OpenAI併入合併報表，而是以投資方式認列其對損益的影響。2026財年第二季，微軟因投資OpenAI認列約76億美元的淨收益，使GAAP淨收入顯著提升；微軟在Non-GAAP數據中則將OpenAI投資影響排除，Non-GAAP淨收入為309億美元。微軟指出，Non-GAAP結果較能反映雲端、辦公軟體與企業服務等核心業務的實際經營表現。</p> <p>微軟執行長Satya Nadella表示，目前仍處於AI普及的起步階段，但微軟已建立規模不亞於部分核心業務的AI業務，並持續在整體AI技術堆疊上推進創新。</p> </div></div></div>
1/29 14:04作者陳曉莉https://www.ithome.com.tw/news/173659
【資安日報】1月29日，波蘭電力基礎設施遭遇攻擊，傳出是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173597"><strong style="font-size: 22px;">俄羅斯國家級駭客Sandworm鎖定波蘭電力產業，利用惡意軟體DynoWiper抹除資料</strong></a></p> <p>1月23日資安公司ESET表示，去年底波蘭能源系統遭到大規模網路攻擊，根據他們的調查結果，這起事故發生在12月29日，其特徵與Sandworm過往發動的資料破壞攻擊高度重疊，因此研判應該是這些俄羅斯駭客所為。這次駭客使用的資料破壞軟體（Wiper），ESET命名為DynoWiper。對於整起事故發生的完整過程，該公司表示尚在進一步調查當中，不過，目前尚未出現災情。</p> <p>針對駭客的動機，很可能是Sandworm鎖定能源設施發動攻擊正好滿10週年。2015年12月，該組織攻擊烏克蘭電網，使用惡意軟體BlackEnergy入侵變電站重要系統，導致約有70萬人停電數小時，而這是首度電力系統因惡意軟體攻擊造成的停擺的事故。</p> <p><a href="https://www.ithome.com.tw/news/173655"><strong style="font-size: 22px;">針對波蘭電網遭到攻擊有新的調查結果，駭客鎖定分散式能源下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RSYtYwtFIw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RSYtYwtFIw.png" style="width: 300px; float: right;" /></a></p> <p>波蘭指出該國電力系統於12月的最後一週，遭遇近幾年最大規模的網路攻擊，意圖打亂再生能源設施與配電營運公司之間的通訊，但並未得逞。專精於工控領域的資安業者Dragos發布調查報告，指出這場攻擊活動是與Sandworm有關的另一個組織Electrum發起。這起攻擊活動的目標，並非傳統的大型發電廠，而是鎖定波蘭境內的分散式能源資源（Distributed Energy Resources，DER），標誌著網路攻擊戰術正隨著全球能源轉型而出現重大轉向。</p> <p>針對這起事故的影響範圍，Dragos指出，攻擊者成功入侵了至少12個設施，受害環境包括熱電共生（Combined Heat and Power，CHP）設施、風力發電場，以及太陽能發電場。攻擊者不僅禁用重要通訊控制設備，甚至部署惡意軟體對硬體進行破壞，導致部分遠端終端單元（RTU）永久損壞（Bricking），無法透過遠端修復。</p> <p><a href="https://www.ithome.com.tw/news/173612"><strong style="font-size: 22px;">滲透合作公司員工郵件帳號發SharePoint文件共用信，能源公司遭多階段AiTM網釣與BEC鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟21日揭露一起鎖定能源產業的大規模攻擊，駭客結合了對手中間人攻擊（AiTM）與商業郵件詐騙，過程裡運用SharePoint檔案共用服務發送釣魚的有效酬載，並依賴電子郵件系統的收件匣規則，讓使用者難以察覺異狀。一旦攻擊者成功入侵，他們就會利用受害組織能夠信任的內部使用者身分，藉此擴大活動範圍。針對這起事故，微軟指出駭客展現了對手中間人攻擊手法的複雜性，而且，採用的攻擊手段超越一般身分驗證的入侵方式，受害企業光是重設密碼不足以因應，必須撤銷尚在使用的連線階段（Session）及Cookie，並清除攻擊者建立的收件匣規則。</p> <p><a href="https://www.ithome.com.tw/news/173649"><strong style="font-size: 22px;">惡意VS Code延伸套件偽裝成Clawdbot，開發者電腦恐遭遠端完全控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Aikido近日揭露針對Visual Studio Code（VS Code）開發者的供應鏈攻擊事件，有人在延伸套件市集Visual Studio Code Marketplace，發布打著Clawdbot名號的AI程式碼助理擴充套件，由於Clawdbot專案並未推出VS Code延伸套件，該套件引起Aikido注意。經過調查後，確認套件內含惡意程式碼，會在使用者電腦上植入遠端管理工具ConnectWise ScreenConnect，使攻擊者能完全控制受害系統。Aikido向微軟通報此事，該套件已被移除。</p> <p>這款套件完整的名稱是「ClawdBot Agent – AI Coding Assistant」，顯然是攻擊者刻意仿冒熱門開源AI代理專案的名稱，藉此降低開發者戒心。值得留意的是該延伸套件在安裝後具備駭客宣稱的功能，表面看起來與一般AI程式碼助理工具無異，反而更容易取得使用者信任。</p> <p><a href="https://www.ithome.com.tw/news/173653"><strong style="font-size: 22px;">竊資軟體Amatera Stealer透過Click-Fix網釣散布，濫用App-V元件迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Blackpoint Cyber近日揭露最新一波ClickFix網釣攻擊手法，駭客透過偽造CAPTCHA圖靈驗證網頁，引導使用者主動執行系統指令，進而在電腦植入竊資軟體Amatera Stealer，其攻擊鏈設計與常見手法不同，關鍵差異在於濫用App‑V元件作為中繼節點，以迴避端點防護與行為型偵測機制。</p> <p>這起事件的攻擊鏈起點是看似正常的CAPTCHA驗證頁面，內容聲稱需要進行圖靈驗證或修復瀏覽器異常，要求使用者依照指示操作，然而若是照做，他們的電腦就會被植入竊資軟體。與多數ClickFix攻擊鏈直接呼叫PowerShell或CMD不同，這次攻擊者在初始階段改以Windows內建、具有合法簽章的SyncAppvPublishingServer.vbs指令碼作為攻擊鏈的一環。此指令碼屬於App‑V應用程式虛擬化架構工具，使攻擊鏈在行為上更接近正常系統作業，有效降低攻擊指令被EDR即時攔截的機率。</p> <p><a href="https://www.ithome.com.tw/news/173646"><strong style="font-size: 22px;">SoundCloud後臺輔助儀表板遭未授權存取，HIBP指約2,980萬帳號資料外流</strong></a></p> <p>音樂串流平臺SoundCloud日前揭露資安事件，表示其後臺一處周邊服務儀表板出現未授權活動，攻擊者得以把約兩成用戶的電子郵件地址，與原本就可在公開個人檔案頁面取得的資料建立對應關係。1月27日資料外洩追蹤網站Have I Been Pwned（HIBP）指出，受影響帳號約2,980萬筆，且外洩資料包含約3,000萬個唯一電子郵件地址，使攻擊者能將公開個人檔案資訊連結到特定電子郵件地址，資料並在隔月遭公開釋出，HIBP已收錄這批資料供民眾比對。</p> <p><a href="https://www.ithome.com.tw/news/173579"><strong style="font-size: 22px;">HPE修補Alletra與Nimble系列儲存陣列遠端提升權限漏洞</strong></a></p> <p>作為當前一線儲存大廠的HPE，於1月20日揭露影響其Alletra與Nimble系列儲存陣列作業系統軟體的重大漏洞，並釋出修補。根據該公司的公告，Alletra與Nimble儲存系統存在重大漏洞CVE-2026-23594，可能導致攻擊者從遠端提升權限，進而控制儲存陣列，CVSS嚴重性等級評分為8.8。</p> <p>根據HPE的公告，CVE-2026-23594影響的作業系統版本，包含：6.1.2.800之前的版本，以及6.1.3至6.1.3.300之前的版本。修補這個弱點的方法，是將上述HPE儲存陣列的作業系統更新至6.1.2.800版，或6.1.3.300版。</p> <p><a href="https://www.ithome.com.tw/news/173567"><strong style="font-size: 22px;">Kerberos驗證恐被DNS別名誘導，微軟補強HTTP服務防中繼攻擊</strong></a></p> <p>資安業者Cymulate研究團隊揭露，Windows在進行Kerberos服務驗證時，建構服務主體名稱（Service Principal Name，SPN）的流程會跟隨DNS回應的CNAME別名，並以別名主機名稱向票證授權服務TGS索取服務票證。研究人員指出，要是攻擊者能在網路路徑上攔截或竄改受害者的DNS查詢，就可能誘導用戶端替攻擊者指定的SPN索取票證，再把票證中繼到未強制簽章或未強制通道綁定權杖CBT的服務，達到冒用使用者身分存取資源的效果。</p> <p>研究人員已於2025年10月通報上述問題並經微軟確認，該漏洞以CVE-2026-20929編號追蹤，微軟在2026年1月安全性更新中針對HTTP.sys加入通道綁定權杖CBT支援，藉此提升HTTP類服務端面對Kerberos中繼的抵抗力。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-23830-critical-sandboxjs-flaw-cvss-10-allows-total-sandbox-escape/">JavaScript沙箱SandboxJS存在滿分層級的重大沙箱逃逸漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-24765-phpunit-vulnerability-exposes-ci-cd-pipelines-to-rce/">PHPUnit存在高風險漏洞，恐導致CI/CD管線曝露，攻擊者可竄改程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/safety-broken-pytorch-safe-mode-bypassed-by-critical-rce-flaw/">PyTorch安全模式存在漏洞，攻擊者可繞過防護執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/hpe-aruba-patches-high-severity-rce-and-openssl-flaws/">HPE Aruba修補高風險OpenSSL弱點</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173643"><strong>【1月28日】竄紅的開源AI平臺Clawdbot出現部分系統配置不當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173616"><strong>【1月27日】金管會資安監理政策2026年六大新重點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> </div></div></div>
1/29 14:11作者周峻佑https://www.ithome.com.tw/news/173656
惡意VS Code延伸套件偽裝成Clawdbot，開發者電腦恐遭遠端完全控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源AI代理專案Clawdbot（現已更名為Moltbot）異軍突起，本週然吸引大量關注，但也<strong><a href="https://www.ithome.com.tw/news/173641">引發組態設定不當而產生資安風險的爭議</a></strong>，然而駭客也跟上這波熱潮，假冒其名號散布惡意軟體。</p> <p>資安公司Aikido近日揭露針對Visual Studio Code（VS Code）開發者的供應鏈攻擊事件，有人在延伸套件市集Visual Studio Code Marketplace，<strong><a href="https://www.aikido.dev/blog/fake-clawdbot-vscode-extension-malware">發布打著Clawdbot名號的AI程式碼助理擴充套件</a></strong>，由於Clawdbot專案並未推出VS Code延伸套件，該套件引起Aikido注意。經過調查後，確認套件內含惡意程式碼，會在使用者電腦上植入遠端管理工具ConnectWise ScreenConnect，使攻擊者能完全控制受害系統。Aikido向微軟通報此事，該套件已被移除。</p> <p>這款套件完整的名稱是「ClawdBot Agent – AI Coding Assistant」，顯然是攻擊者刻意仿冒熱門開源AI代理專案的名稱，藉此降低開發者戒心。值得留意的是該延伸套件在安裝後具備駭客宣稱的功能，表面看起來與一般AI程式碼助理工具無異，反而更容易取得使用者信任。</p> <p><a href="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" style="width: 580px;" /></a></p> <p>一旦開發者安裝此延伸套件，電腦就會被植入ConnectWise ScreenConnect用戶端，用來讓受害電腦主動連線至攻擊者的伺服器，形成隱蔽的遠端存取通道。</p> <p>在連線建立之後，攻擊者便能即時操作受害系統，包含存取程式碼專案、竊取憑證、橫向移動至企業內部網路，甚至進一步部署其他惡意程式。對開發者而言，這類攻擊不僅威脅個人設備安全，也可能波及整個組織的軟體供應鏈。</p> <p>另一方面，該惡意延伸套件內建多組備援下載機制。若主要惡意伺服器無法連線，程式會嘗試其他硬編碼的備用網域，確保惡意負載仍能成功下載與執行。這種多層設計顯示攻擊者具備相當成熟的惡意程式開發經驗，藉此提高攻擊的成功率。</p> </div></div></div>
1/29 11:28作者周峻佑https://www.ithome.com.tw/news/173649
SoundCloud後臺輔助儀表板遭未授權存取，HIBP指約2,980萬帳號資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>音樂串流平臺SoundCloud日前<a href="http://soundcloud.com/playbook-articles/protecting-our-users-and-our-service">揭露</a>資安事件，表示其後臺一處周邊服務儀表板出現未授權活動，攻擊者得以把約兩成用戶的電子郵件地址，與原本就可在公開個人檔案頁面取得的資料建立對應關係。資料外洩追蹤網站Have I Been Pwned（HIBP）收錄後<a href="https://haveibeenpwned.com/Breach/SoundCloud">指出</a>，受影響帳號約2,980萬筆，且外洩資料包含約3,000萬個唯一電子郵件地址，使攻擊者能將公開個人檔案資訊連結到特定電子郵件地址，資料並在隔月遭公開釋出。</p> <p>SoundCloud在2025年12月15日說明，團隊偵測到未授權活動後即啟動事件應變程序並迅速阻止，並委託第三方資安專家協助調查。該公司強調，此次受影響的資料不包含密碼或財務資料，主要是電子郵件地址與公開個人檔案資訊。</p> <p>依SoundCloud說法，事件處置後平臺曾遭遇阻斷服務（DoS）攻擊，其中兩次一度影響網站端的可用性，SoundCloud也調整相關設定，強化監控、威脅偵測以及身分與存取控管，但部分使用VPN的用戶因此短暫出現連線問題，官方表示正持續修復。</p> <p>在1月13日後續更新中，SoundCloud指出，宣稱涉案的攻擊者團體近期提出要求，並以電子郵件洪水攻擊騷擾用戶、員工與合作夥伴，同時持續聲稱取得敏感資料。SoundCloud表示目前沒有證據支持這些說法，並已強化周邊防護與DoS攻擊的偵測與緩解能力，也正全面檢視服務並修補潛在弱點。</p> <p>HIBP於1月27日將該事件加入資料外洩清單，網站列出的受影響資料類型包含電子郵件地址、姓名、使用者名稱、頭像、地理位置與個人檔案統計等。由於電子郵件地址長被用作登入身分或對外聯絡管道，一旦能與公開個人檔案連結，外界就更容易鎖定特定對象投遞垃圾郵件，或以社交工程手法偽裝熟人與客服來訊，提高受害者誤信的機率。</p> <p>SoundCloud建議用戶維持基本的帳號與郵件防護習慣，留意可疑訊息與網路釣魚手法。官方強調不會以任何方式索取密碼或帳號憑證，當收到可疑來訊應避免點擊連結或回覆，以免在外洩資料被用來進一步冒用身分時，擴大後續損害。</p> </div></div></div>
1/29 11:29作者李建興https://www.ithome.com.tw/news/173646
WhatsApp新增安全設定防範高風險個人遭植入監聽軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.whatsapp.com/whatsapps-latest-privacy-protection-strict-account-settings" target="_blank">Meta宣布</a>為WhatsApp新增嚴格帳戶設定（Strict Account Settings），以防止使用者遭到進階攻擊者，如政府監聽通訊內容或外洩資訊。</p> <p>這項設定是向所有WhatsApp使用者開放的功能選項，一般消費者也可以啟用，但官方說明指出，這個功能是為了應對高度複雜和精準網路攻擊情境而設計，主要設定用戶是可能處於高風險的人士，如記者、公眾人物、維權人士等。本功能會在未來幾周內部署。</p> <p>WhatsApp表示，嚴格帳戶設定來自WhatsApp確保用戶免於進階網路威脅的技術之一。開啟此設定後，部份設定會鎖定在最嚴格，限制某些功能的運作，例如封鎖非聯絡人清單的附件和影音內容。</p> <p>進入「設定」>「隱私」>「進階」，啟用「嚴格帳號設定」。目前只能在主裝置即手機上開啟，無法在WhatsApp Web或桌機版上設定。</p> <p>此外，WhatsApp也在後臺導入了Rust撰寫成的媒體一致性（media library）函式庫，用以媒體格式驗證和一致性檢查，防止惡意檔案透過WhatsApp傳送給用戶。WhatsApp表示這項技術可確保用戶在和外界通訊時，免於照片、影片和訊息被間軟體等惡意程式監聽監看。</p> <p>最新安全設定是為了防範敵對國家、政府、或駭客利用間諜軟體竊聽特定個人通訊內容。<a href="https://www.ithome.com.tw/news/167253" target="_blank">去年初媒體揭露</a>義大利知名調查報導媒體Fanpage總編Francesco Cancellato及另二名異議人士手機，疑似遭義國政府利用Paragon出品的間諜軟體Graphite，竊取通訊內容及個資。此外，以色列業者NSO Group的間諜軟體Pegasus也常被用來監控WhatsApp用戶，據傳全球受害用戶約1,400人。2019年Meta/WhatsApp對NSO Group<a href="https://www.ithome.com.tw/news/133908" target="_blank">提出控告</a>。</p> </div></div></div>
1/29 11:49作者林妍溱https://www.ithome.com.tw/news/173654
竊資軟體Amatera Stealer透過Click-Fix網釣散布，濫用App-V元件迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近幾年極為氾濫的網釣攻擊手法ClickFix，已經衍生出多種變形版本，例如誘導使用者操作流程都在瀏覽器進行的<strong><a href="https://www.ithome.com.tw/news/169733">FileFix</a></strong>、製造電腦必須進行安全更新假象的<strong><a href="https://www.ithome.com.tw/news/172511">JackFix</a></strong>、結合OAuth身分驗證流程的<strong><a href="https://www.ithome.com.tw/news/172800">ConsentFix</a></strong>，以及讓瀏覽器看起來像當掉的<strong><a href="https://www.ithome.com.tw/news/173506">CrashFix</a></strong>與<strong><a href="https://censys.com/blog/errtraffic-inside-glitchfix-attack-panel">GlitchFix</a></strong>，現在有人結合Windows內建的公用程式，讓惡意指令執行更加不受阻礙。</p> <p>資安公司Blackpoint Cyber近日<strong><a href="https://blackpointcyber.com/blog/novel-fake-captcha-chain-delivering-amatera-stealer/">揭露最新一波ClickFix網釣攻擊手法</a></strong>，駭客透過偽造CAPTCHA圖靈驗證網頁，引導使用者主動執行系統指令，進而在電腦植入竊資軟體Amatera Stealer，其攻擊鏈設計與常見手法不同，關鍵差異在於濫用App‑V元件作為中繼節點，以迴避端點防護與行為型偵測機制。</p> <p>這起事件的攻擊鏈起點是看似正常的CAPTCHA驗證頁面，內容聲稱需要進行圖靈驗證或修復瀏覽器異常，要求使用者依照指示操作，然而若是照做，他們的電腦就會被植入竊資軟體。與多數ClickFix攻擊鏈直接呼叫PowerShell或CMD不同，這次攻擊者在初始階段改以Windows內建、具有合法簽章的SyncAppvPublishingServer.vbs指令碼作為攻擊鏈的一環。此指令碼屬於App‑V應用程式虛擬化架構工具，使攻擊鏈在行為上更接近正常系統作業，有效降低攻擊指令被EDR即時攔截的機率。</p> <p>這種在攻擊鏈中插入App‑V元件的設計，能模糊命令真正的啟動來源，削弱資安產品對於異常命令行關聯分析的效果，成為本案最具代表性的技術差異。</p> <p>App‑V全名是Microsoft Application Virtualization，可將應用程式與作業系統環境隔離執行。它允許程式在虛擬環境中運行，不直接安裝到系統磁碟或修改登錄檔，並能集中管理與部署。然而，對攻擊者而言，App‑V腳本可作為合法外殼，在攻擊鏈中啟動PowerShell或其他程式，降低被資安防護系統偵測的可能性。</p> <p>此外，該攻擊鏈仍保留ClickFix常見的門檻檢查機制，例如確認指令是否經由剪貼簿貼上、是否由互動式使用者操作執行。若環境不符合預期條件，攻擊鏈便會中止，以避免在沙箱或自動化分析環境中暴露行為。</p> <p>在通過初步檢查後，攻擊鏈後段會從Google行事曆的ICS檔案中讀取攻擊設定，其中包含下一階段有效酬載的下載位置。利用高度可信的雲端服務作為設定來源，使攻擊者能即時調整攻擊鏈內容，同時降低惡意基礎設施遭封鎖的風險。</p> <p>接著，真正的惡意負載被隱藏於PNG圖片中，透過隱寫術將加密資料嵌入影像位元。圖片下載後，竊資軟體會在記憶體中解碼並執行，避免在磁碟留下明顯檔案，進一步提升整條攻擊鏈的隱蔽性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/app-v-png.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" style="width: 580px;" /></a></p> <p>該攻擊鏈的最終目標是植入竊資軟體Amatera Stealer。此軟體主要用於竊取瀏覽器儲存的帳號密碼、Cookie、加密貨幣錢包資料，以及其他敏感資訊，並透過加密通道回傳至攻擊者控制的伺服器，同時刻意混淆Host標頭等網路連線特徵，以降低被流量分析機制偵測的可能性。</p> </div></div></div>
1/29 12:08作者周峻佑https://www.ithome.com.tw/news/173653
Ai2推出SERA程式開發代理，公開可重現的低成本後訓練流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國艾倫AI研究院Ai2<a href="https://allenai.org/blog/open-coding-agents">發表</a>開源程式開發代理（Open Coding Agents）計畫，首波釋出SERA開源程式開發代理模型，並公開訓練資料與可重現的後訓練流程。Ai2目標是讓開發團隊能把模型快速調整到特定程式碼庫，包含企業內部或個人私有儲存庫，同時也把模型與整合工具放到公開平臺供外界取用。</p> <p>Ai2說明，封閉式模型通常未見過組織內部程式碼與慣例，因此在資料管線、內部API或程式碼風格等情境，容易出現理解落差。Ai2提出以合成資料驅動的後訓練方法，目標是降低私有程式碼庫的調整門檻。官方估算，重現先前最佳開源成果約需400美元的運算資源。若要把效能推進到同級尺寸的業界頂尖模型水準，成本最高約1.2萬美元，讓實驗室與小型團隊也較能負擔完整配方。</p> <p>在基準測試上，Ai2表示SERA-32B在SWE-Bench Verified的解題率可達54.2%，並稱以約40個GPU日或更少即可完成訓練，部署時也能直接相容於Claude Code。Ai2另與Nvidia合作，進行推論最佳化，提升在H100與B200等平臺的吞吐量。</p> <p>Ai2設定SERA為軟驗證的高效率儲存庫代理，其作法是先產生包含修補程式的合成開發軌跡資料。這些修補程式不必完全正確或通過完整測試驗證，也能用於訓練，藉此降低對測試環境與測試基礎設施的依賴，同時壓低合成資料生成成本。Ai2也引用既有分析整理的51種常見程式臭蟲型態，擴充資料多樣性，讓同一段函式程式碼能衍生出多種任務情境，增加訓練資料涵蓋面。</p> <p>在針對特定儲存庫調整後的表現上，Ai2以Django、SymPy與Sphinx等SWE-Bench大型儲存庫進行專案化訓練，稱每個儲存庫僅用8,000筆合成開發過程資料做監督式微調，就能在部分設定下達到或超過教師模型GLM-4.5-Air，並公布在32K上下文條件下，Django與SymPy的成績分別為52.23%與51.11%。</p> <p>Ai2也釋出SERA CLI與Claude Code相容層，並在PyPI提供ai2-sera-cli套件，說明其用途是讓Claude Code CLI可對接SWE-agent格式模型。官方表示本次釋出內容涵蓋模型、整合與訓練配方，讓研究者能檢視資料與方法，並在自身環境重現與延伸應用。</p> </div></div></div>
1/28 19:00作者李建興https://www.ithome.com.tw/news/173644
Yahoo公布AI搜尋引擎Yahoo Scout 先在美國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Google及眾多新進業者跨入AI搜尋服務後，老牌搜尋業者Yahoo也宣布融合新式介面的AI搜尋引擎<a href="https://www.yahooinc.com/press/introducing-yahoo-scout-a-new-ai-answer-engine" target="_blank">Yahoo Scout</a>，目前為Beta版，已在美國推出給手機及桌機用戶。</p> <p>Yahoo將Yahoo Scout稱之為AI回覆引擎（answer engine），為Yahoo搜尋服務中的一個分頁。Yahoo Scout介面為簡單的搜尋列，和Perplexity或Google搜尋很類似，允許使用者輸入自然語言查詢。</p> <p>Yahoo Scout在回答用戶問題時會開放網際網路、以及Yahoo的資料和內容搜尋並合成答案。Yahoo強調其答案整合Yahoo豐富媒體、包括列表和表格的結構化內容的直覺格式，及資料來源，提供可信度和透明度，方便用戶檢視及進一步探查。</p> <p>從技術上，Yahoo Scout結合了Anthropic和微軟的技術。Anthropic的Claude提供Scout的基礎模型，仰賴其速度、問題理解力、高品質生成內容及安全性來提供用戶可信賴且個人化的答案。另一方面它使用了微軟搜尋引擎Bing的Grounding API來抓取開放網路上的內容，以便將這些內容與Claude AI生成的答案整合。</p> <p>雖然主要技術來自合作廠商，但<a href="https://www.theverge.com/ai-artificial-intelligence/868374/yahoo-scout-looks-like-a-more-web-friendly-take-on-ai-search" target="_blank">Yahoo也強調</a>自己是全美第三大搜尋引擎，擁有全球5億消費者用戶及連結10億實體的知識圖譜，每年消費者事件（consumer event）高達18兆，可讓Yahoo Scout提供個人化答案和行動建議。</p> <p>Yahoo也加入微軟的出版商內容市集測試（Publisher Content Marketplace pilot）計畫。這個計畫主要是透過財務回饋機制，讓網路內容創作者在其內容被AI整合提供用戶時能獲得金錢回饋，透過內容市集的合作架構，增加內容創作者的收入。</p> <p>除了Yahoo Scout外，Yahoo也宣布推出Yahoo Scout智慧平臺。該平臺整合了Yahoo線上服務，包括Yahoo Mail、News、Sports及AI能力，提供加值服務像是郵件的AI摘要、運動新聞的賽事分析、新聞的重點整理等。其他還有在Yahoo購物服務加入專家文章或網路討論的AI整理，以及在Yahoo Finance提供Yahoo Scout匯整的特定公司新聞、分析師評等及財報數字等作為投資參考。Yahoo首頁也將整合特定新聞的讀者討論內容。</p> <p>Yahoo Scout現為Beta版，已在美國上線，供2.5億桌機及手機用戶存取。</p> </div></div></div>
1/29 11:01作者林妍溱https://www.ithome.com.tw/news/173651
Meta Q4營收成長24%，今年將加速部署AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta周三（1/28）<a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-Fourth-Quarter-and-Full-Year-2025-Results/default.aspx" target="_blank">公布該公司2025年第四季財報</a>，該季Meta創下599億美元的營收，成長24%，淨收入為228億美元，成長9%。因財報數字超越分析師預期，當天Meta盤後股價上漲了6.3%，攀上711美元。</p> <p>包括臉書、Messenger、Instagram、WhatsApp與Threads在內的應用程式家族（Family of Apps）是Meta主要的營收來源，在599億美元的營收中，就有589億美元來自該家族，占比超過98%，且營收成長了25%；而元宇宙部門Reality Labs的營收為9.55億美元，還低於前一年同期的10.8億美元。</p> <p>此外，應用程式家族替Meta帶進308億美元的營業收入，Reality Labs則帶來60億美元的虧損，與前一年同期相當。</p> <p>應用程式家族不只是營收與淨收入成長，其每日活躍用戶數為35.8億，也成長了7%。另一方面，Meta逐步將重心從VR/AR轉向AI，在1月初<a href="https://www.ithome.com.tw/news/173336" target="_blank">裁撤</a>了1,500名Reality Labs部門的人力，約占該部門10%。</p> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）在財報會議上透露，Meta已進入重大的AI加速階段，預計於未來幾個月開始推出新模型與產品；其長期願景是打造能理解個人背景、興趣、內容及關係的超級智慧，讓AI變成更為個人化的助手；而AI代理技術已初步顯現其價值，未來將可建立全新的產品類別並改變工作方式及體驗。</p> <p>這一年來，Meta創立了<a href="https://www.ithome.com.tw/news/169824" target="_blank">超級智慧實驗室</a>（Meta Superintelligence Labs，MSL），不僅到處高薪<a href="https://www.ithome.com.tw/news/169841" target="_blank">挖角</a>AI人才，還宣布<a href="https://www.ithome.com.tw/news/173314" target="_blank">Meta Compute</a>計畫，打算在未來10年建置數十GW等級的運算與能源基礎，直逼雲端巨頭與國家級規模。</p> <p>Meta在2025年的成本暨費用為1,177億美元。Meta估計，2026年的相關數字應該落在1,620~1,690億美元之間，大多數的支出成長來自於基礎設施，包括第三方的雲端支出與基礎設施營運費用，其次則是員工薪資，主要為對技術人才的投資。</p> <p>至於Meta在2025年的資本支出為722.2億美元，今年則預估會成長至1,150~1,350 億美元，用以支援Meta超級智慧實驗室及核心業務。</p> </div></div></div>
1/29 11:14作者陳曉莉https://www.ithome.com.tw/news/173652
Anthropic完成新一輪融資，估值上看3,500億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據外電報導，AI新創Anthropic本周完成新一輪融資，估值上看3,500億美元。其中，<a href="https://www.cnbc.com/2026/01/27/anthropic-fundraising-microsoft-nvidia.html" target="_blank">CNBC指出</a>，此次融資超過了最初100億美元的目標，<a href="https://www.ft.com/content/5e6ee0d4-a313-452c-baac-27b45f5f2de5?utm_sf_cserv_ref=10977192&utm_sf_post_ref=660384781" target="_blank">金融時報</a>（Financial Times）則說，此次融資金額達到200億美元，達到原本計畫的兩倍，顯現出投資人對AI的熱情。</p> <p>Anthropic是在2021年成立於美國的AI新創，共同創辦人包括Dario Amodei與Daniela Amodei，兩人皆曾在OpenAI負責核心研究與安全工作。Anthropic最知名的產品為Claude系列大型語言模式，定位為強調安全、穩定與企業可用性的對話型AI，除了獲得Amazon與Google投資外，亦與Amazon AWS建立深度合作關係。</p> <p>擔任執行長的Dario Amodei日前對外透露，Anthropic在2025年已創造近100億美元的收入。相較之下，OpenAI在2025年的年化收入則突破了200億美元。</p> <p>根據報導，此次融資將由新加坡主權財富基金GIC與美國投資機構Coatue領投，紅杉資本（Sequoia Capital）與Anthropic既有投資者也會加入。目前並不確定Nvidia與微軟是否參與此次融資，這兩家業者<a href="https://www.ithome.com.tw/news/172340" target="_blank">去年承諾</a>將投資150億美元予Anthropic。</p> <p>目前全球前三大市值最高的AI新創依序是<a href="https://www.ithome.com.tw/news/171923" target="_blank">OpenAI</a>的5,000億美元，Anthropic的3,500億美元，以及<a href="https://www.ithome.com.tw/news/173214" target="_blank">xAI</a>的2,300億美元，其中，OpenAI與Anthropic都傳出可能會在今年首次公開發行股票（IPO）。</p> </div></div></div>
1/29 04:23作者陳曉莉https://www.ithome.com.tw/news/173648
【資安日報】1月28日，竄紅的開源AI平臺Clawdbot出現部分系統配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173641"><strong style="font-size: 22px;">開源AI代理專案Clawdbot竄紅，研究人員警告部分系統出現配置不當，恐讓外人隨意存取機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" style="width: 300px; float: right;" /></a></p> <p>由PDF技術公司PSPDFKit（後續更名為Nutrient）創辦人Peter Steinberger推出的開源AI代理專案Clawdbot（現已更名為Moltbot），近期在開發者社群爆紅，吸引大量使用者自行架設。資安研究人員Jamieson O’Reilly近日於社群平臺X發文指出，他在網際網路上發現數百個設置不當的Clawdbot Control管理介面。這些介面若未妥善設置驗證機制，可能讓未經授權的第三方直接存取，進而完全接管AI代理系統，包括讀取對話內容、竊取憑證資訊，甚至以系統最高權限執行指令。</p> <p>O’Reilly指出，由於Clawdbot Control在HTML回應中具有明確識別特徵，例如頁面標題包含「Clawdbot Control」，任何人都能透過Shodan、Censys等物聯網搜尋引擎，在短時間內找出大量公開Clawdbot執行個體（instance）的IP位址。O’Reilly實際檢視後發現，其中部分部署未正確啟用身分驗證機制，導致任何人都可直接連線存取。他也呼籲，若使用者將Clawdbot架設於反向代理伺服器後方，應立即設定下列項目：gateway.auth.password或gateway.trustedProxies，以避免曝險。</p> <p><a href="https://www.ithome.com.tw/news/173629"><strong style="font-size: 22px;">Fortinet公布已被積極利用的FortiCloud單一登入新漏洞，並釋出部分版本的更新程式</strong></a></p> <p>去年12月，Fortinet修補兩項重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719（CVSS風險皆為9.8分），影響多款啟用FortiCloud單一登入（SSO）機制的設備，包括防火牆FortiGate、網頁應用程式防火牆FortiWeb、網頁安全閘道FortiProxy，以及網路設備管理平臺FortiSwitchManager。然而，一個月後，即傳出攻擊者自1月15日開始，仍可透過單一登入帳號竄改防火牆組態，22日Fortinet坦承先前修補不完整，並發現已修補上述漏洞的防火牆被入侵，該公司於27日將駭客利用的攻擊途徑登記新的CVE編號列管。</p> <p>根據Fortinet發布的最新資安公告，FortiCloud單一登入存在身分驗證繞過漏洞CVE-2026-24858。該漏洞影響FortiOS 7.0版以上的防火牆、FortiProxy、FortiSwitchManager，以及安全事件記錄分析與報告平臺FortiAnalyzer；FortiOS、FortiSwitchManager、FortiAnalyzer 6.4版不受影響。Fortinet評估其CVSS風險值為9.4分，美國國家漏洞資料庫（NVD）則標示為9.8分。同日，美國網路安全暨基礎設施安全局（CISA）將此漏洞列入已遭利用漏洞清單（KEV），要求聯邦機構於1月30日前完成因應措施。</p> <p><a href="https://www.ithome.com.tw/news/173638"><strong style="font-size: 22px;">俄羅斯與中國駭客加入利用WinRAR路徑遍歷漏洞的行列</strong></a></p> <p>Google威脅情報團隊（GTIG）提出警告，他們已掌握多組國家級駭客組織正積極利用WinRAR路徑遍歷漏洞CVE-2025-8088，同時也觀察到以經濟利益為動機的犯罪集團投入漏洞利用。攻擊者普遍透過該漏洞，在受害系統中取得初始存取權限，並投放多種惡意酬載，其手法高度一致，主要是將惡意檔案寫入Windows啟動資料夾（Startup Folder），以確保惡意程式能在系統重新啟動後持續執行。</p> <p>在國家級威脅方面，GTIG 指出俄羅斯駭客組織為主要勢力，攻擊重心多半鎖定烏克蘭軍方與政府單位，並以地緣政治議題作為社交工程誘餌。相關組織包括RomCom（UNC4895、Cigar）、APT44（FrozenBarents）、TEMP.Armageddon，以及Turla（Summit）。除了俄羅斯駭客外，GTIG也揭露一個未公開名稱的中國駭客組織同樣投入漏洞利用，該組織會將BAT批次檔寫入啟動資料夾，進一步下載並執行木馬程式PoisonIvy。</p> <p><a href="https://www.ithome.com.tw/news/173623"><strong style="font-size: 22px;">微軟緊急修補已遭利用的Office零時差漏洞</strong></a></p> <p>1月26日微軟緊急修補已遭駭客利用的Office零日漏洞CVE-2026-21509，該漏洞也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用漏洞列表（KEV），要求政府機構在2月16日以前完成修補。</p> <p>該漏洞影響多個Office版本，包括Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024，以及Microsoft 365 Apps等。微軟已經釋出Office 2016與Office 2019的官方更新，微軟亦從伺服器端更新了Office 2021與之後的版本，使用者只要重啟便能生效。</p> <p><a href="https://www.ithome.com.tw/news/173631"><strong style="font-size: 22px;">逾80萬臺採用GNU Inetutils建置的Telnet伺服器存在重大漏洞，臺灣有2.4萬臺曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G_lR06cXIAAzCaF.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_lR06cXIAAzCaF.jpg" style="width: 300px; float: right;" /></a></p> <p>上周研究人員揭露GNU Inetutils telnetd重大漏洞CVE-2026-24061，網路安全調查顯示，網路上有將近80萬伺服器曝險。非營利網路研究及偵測機構ShadowServer Foundation本周掃描結果顯示，存在本漏洞的Telnet伺服器已由最高峰的148萬臺減少，但截至1月26日，仍有超過80萬臺曝險。以曝險伺服器數量而言，中國（13萬）、巴西（12萬）和美國（5萬）為前三大，臺灣也有2萬4千多臺Telnet伺服器曝險。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。研究人員及各國主管機關呼籲用戶應儘速更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> <p><a href="https://www.ithome.com.tw/news/173595"><strong style="font-size: 22px;">CISA警告VMware vCenter重大漏洞CVE-2024-37079已遭濫用</strong></a></p> <p>美國網路安全暨基礎設施管理署（CISA）上周正式將2024年修補的VMware vCenter Server重大漏洞，加入已知遭濫用漏洞（KEV）清單，要求聯邦政府機關限期完成軟體的防護措施。</p> <p>CISA在安全公告指出，CVE-2024-37079屬於越界寫入漏洞，是常見的網路攻擊向量，對聯邦政府及相關機關造成重大危害，因此要求在2月13日之前完成IT環境盤查和軟體升級。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140811&SPOKE_DATE=20260127&COMPANY_ID=3518"><strong style="font-size: 22px;">電子業者柏騰資訊系統遭網路攻擊，已採取隔離、檢測、系統復原措施因應</strong></a></p> <p>專精電子製造與真空濺鍍薄膜技術的上市公司柏騰（3518）於1月27日發布重大訊息公告，說明公司近期發生資訊安全事件。該公司於當日偵測到資訊系統遭受網路攻擊，隨即啟動相關資安應變與防護機制進行處理。他們已立即採取隔離、檢測及系統復原等措施，目前系統已恢復正常運作。經初步調查與評估，尚未發現有個人資料、機密資料，或重要營運資訊外洩情形。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191143&SPOKE_DATE=20260127&COMPANY_ID=2745"><strong style="font-size: 22px;">五福旅行社發資安重訊，指出資訊系統有部分資料外流</strong></a></p> <p>上櫃公司五福旅行社（2745）於1月27日晚間於股市公開觀測站發布重大訊息，說明部分資訊系統遭受網路攻擊的情況，導致系統運作異常。公司資訊與資安單位即刻啟動防禦措施，並委請外部資安專家及系統廠商協助處理，目前受影響系統已恢復正常運作。根據內部初步調查，雖在事件中發現有部分資料外流，但經公司研判，未造成重大損害或實質影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-soundcloud-data-breach-impacts-298-million-accounts/">音訊串流共享平臺SoundCloud資料外洩，近3千萬帳號遭竊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-hackers/">北韓駭客Lazarus鎖定歐洲無人機製造商從事網路間諜活動，意圖加速北韓無人機開發</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/indian-users-targeted-in-tax-phishing.html">惡意程式Blackmoon鎖定印度用戶而來，假冒稅務名義從事網釣活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/access-system-flaws-enabled-hackers-to-unlock-doors-at-major-european-firms/">Dormakaba門禁系統存在漏洞，攻擊者恐遠端開啟大門</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173616"><strong>【1月27日】金管會資安監理政策2026年六大新重點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> </div></div></div>
1/28 19:25作者周峻佑https://www.ithome.com.tw/news/173643
衛福部正式啟動高算力中心暨跨國聯邦學習平臺，要解決公雲的合規局限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="285" data-start="152">衛福部今（28日）正式啟動高算力中心暨跨國聯邦學習平臺，除了回應行政院提出的AI新十大建設，也希望解決醫療體系在使用商用公雲時面臨的合規與治理局限。這座高算力中心，從硬體設備、機房環境、系統管理人員到模型訓練流程，全都設在臺灣境內，且完全受我國法規管轄。</p> <p data-end="433" data-start="287">這個算力中心早在2024年就開始規畫，當時衛福部已先建置LS40等級系統，去年再導入H200等級系統，未來還將進一步引進GB200等級系統。除了提升算力，衛福部也以這座高算力平臺為基礎，推動聯邦學習（Federated Learning），來解決醫療AI模型「不夠通用」的老問題。</p> <h2><strong>回應2大痛點：公雲局限與醫療AI通用性不足</strong></h2> <p>主導這項計畫的衛福部資訊處處長李建璋指出，建置專屬高算力中心，背後有3大國家層級的考量：AI主權、隱私與資安，以及聯邦學習的實際落地。</p> <p>他說明，目前商用公雲服務在醫療領域仍有難以跨越的限制，特別是涉及極度敏感的健康資料時，合規與管轄權就是一大問題。一旦公雲業者的外籍員工擁有存取權限，資料若被不當存取或帶出境外，國內法規將難以有效處理。</p> <p>因此，與全民健康高度相關的資料，政府必須握有絕對控制權，確保資料主權不外流。這也是衛福部提出高算力中心暨聯邦學習平臺的原因，從硬體、機房、系統管理到模型訓練流程，全數留在臺灣境內，並完全納入我國法規治理，形同打造一個隱私與資安等級最高的示範場域。</p> <h2><strong>用聯邦學習解決「模型換醫院就不準」的問題</strong></h2> <p>另一個亟需解決的問題，是醫療AI模型的通用性不足。李建璋指出，目前許多醫療AI模型，都是用單一醫學中心的資料訓練而成，在原訓練醫院表現良好，但一換到其他醫院，準確度就明顯下降。</p> <p>原因在於，不同醫院代表不同病患族群、疾病嚴重程度與就醫行為，資料分佈本來就不一樣，模型自然會「水土不服」。</p> <p>但醫療資料高度敏感，政府也不可能將全臺醫療資料集中到單一資料庫來訓練模型。為此，衛福部選擇聯邦學習作為解方，讓資料不離開醫院，也能進行接近全國規模的模型訓練與驗證。</p> <p>李建璋解釋，聯邦學習的運作方式，是由中央節點發起訓練計畫，先將初始模型送到各家參與醫院，各醫院再用本地資料進行訓練，資料全程留在院內。完成一輪訓練後，醫院只需回傳模型參數，由中央節點彙整並更新模型，重複進行，直到模型收斂。透過這種方式，就能訓練出更能適應不同醫院特性的AI模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%81%AF%E9%82%A6%E5%AD%B8%E7%BF%92.JPG" /></p> <p>他也強調，這種模式有助於讓算力與人才不足的小型醫院，也能使用接近醫學中心等級的AI診斷輔助，讓醫療AI真正成為公共建設，而不是少數大醫院的專利。</p> <h2><strong>2年前啟動建置，未來將導入GB200等級系統</strong></h2> <p>在硬體建設方面，衛福部早在2年前就啟動機房升級與改造工程。2024年完成電力與環境調整後，先建置LS40等級系統（效能相當於DGX A100），支援高效能運算與基礎AI訓練需求。</p> <p>2025年進一步導入H200等級系統，為大型語言模型（LLM）與醫學影像分析做準備，未來還將引進GB200等級系統，以因應更高複雜度的模型運算需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A1%AC%E9%AB%94%E5%BB%BA%E7%BD%AE%E8%B7%AF%E5%BE%91.JPG" /></p> <p>在算力資源管理上，李建璋指出，傳統靜態配置容易造成GPU閒置、使用效率不佳，因此衛福部導入Nvidia的Run:ai解決方案，能依模型需求即時分配算力，讓同一套硬體平行支援多個 AI 專案，提高整體使用效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%BA%90%E7%AE%A1%E7%90%86.JPG" /></p> <h2><strong>串聯19家醫院，打造國家級平臺</strong></h2> <p>李建璋也說明，這座高算力中心將結合原本三大AI中心中「第二類中心」的4家主責醫院，以及聯盟內已建置聯邦學習網路的15家醫院，共19家醫療機構，以高算力中心為樞紐，形成國家級的醫療AI平臺。</p> <p>衛福部補充，這項關鍵基礎建設成果，來自廣達電腦、Nvidia臺美團隊、工研院、衛福部次世代計畫團隊，以及由臺中榮總榮譽院長陳適安擔任召集人的16家AI外部驗證中心醫院共同投入與協作。</p> <h2><strong>走向跨國，與泰國、瑞典展開合作</strong></h2> <p>除了國內應用，衛福部也以這座高算力中心暨聯邦學習平臺為基礎，拓展跨國合作。</p> <p>其中一項合作是與泰國瑪希敦大學建立跨國聯邦學習機制，用於乳房攝影與肺結核X光影像的AI自動監測模型驗證。衛福部指出，透過這種合作模式，臺灣的智慧醫療產品未來可在東協市場進行驗證與落地，東協與泰國的AI模型也能在臺灣完成臨床驗證。</p> <p>另一項合作則是與瑞典卡洛琳斯卡醫院，目標是要推動跨國、跨族群的智慧醫療研究。李建璋甚至透露，未來也評估讓臺灣的醫療資訊長（CMIO）前往該院進行為期6個月的實務訓練。</p> <p data-end="433" data-start="287"> </p> </div></div></div>
1/28 19:57作者王若樸https://www.ithome.com.tw/news/173647
OpenSSL修補高風險CMS解析堆疊溢位漏洞，恐致DoS甚至引發RCE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenSSL專案發布安全公告，修補高風險漏洞<a href="https://openssl-library.org/news/vulnerabilities/#CVE-2025-15467">CVE-2025-15467</a>。官方指出，程式在解析加密訊息語法（Cryptographic Message Syntax，CMS）的AuthEnvelopedData資料時，如果輸入惡意製作的訊息，可能觸發堆疊緩衝區溢位，導致服務當機形成拒絕服務（DoS），且在部分平臺防護不足時不排除被利用為遠端程式碼執行。</p> <p>官方說明，問題出在使用具驗證的加密演算法例如AES-GCM時，抽象語法表示法（ASN.1）參數中的初始化向量會被複製到固定大小的堆疊緩衝區，但程式未先驗證長度是否符合目的緩衝區大小。攻擊者可透過提供過長初始化向量的CMS訊息，在任何驗證或標籤檢查之前就造成越界寫入。官方也特別提醒，由於溢位發生在驗證前，觸發漏洞不需要有效金鑰。</p> <p>受影響版本涵蓋OpenSSL 3.0到3.6多個分支，OpenSSL 1.1.1與1.0.2則不受此漏洞影響。官方也表示FIPS模組不受影響，原因是CMS實作不在FIPS模組邊界內。</p> <p>OpenSSL指出，只要是會解析不受信任的CMS或公鑰加密標準PKCS#7內容，且使用AEAD加密演算法的服務與應用都可能受影響，例如處理S/MIME AuthEnvelopedData且採用AES-GCM的情境。因此企業郵件閘道或內容掃描服務，會自動解析外部寄入的S/MIME封裝內容，且底層連結到受影響版本，建議列為高優先修補項目。</p> <p>修補方面，OpenSSL已在各分支釋出安全修補版本，包括OpenSSL 3.6.1、3.5.5、3.4.4、3.3.6與3.0.19，並在版本發布資訊中列入此漏洞修正。</p> <p>用戶可先盤點主機與容器映像內實際提供的OpenSSL函式庫版本，並依所屬分支升級到對應修補版，因為許多應用程式即使完成更新，執行時仍會動態載入系統或映像中的libssl與libcrypto，當底層函式庫未同步更新，修補可能不會生效。</p> <p>除了CVE-2025-15467，OpenSSL這次更新也一併修補多項風險較低或較受使用情境限制的漏洞，包含中等風險的CVE-2025-11187，以及多個主要影響為拒絕服務的低風險議題。其中CVE-2025-11187修補重點，是在驗證PKCS#12檔案的PBMAC1參數時缺乏完整驗證，可能在MAC驗證流程觸發堆疊緩衝區溢位或指標相關錯誤，導致服務當機形成DoS，官方指出，PKCS#12用於保存私鑰與憑證，實務上多屬內部產製與管理，應用程式直接接收不受信任PKCS#12檔案的情境相對少見，因此整體評估為中等風險。</p> </div></div></div>
1/28 18:31作者李建興https://www.ithome.com.tw/news/173642
俄羅斯與中國駭客加入利用WinRAR路徑遍歷漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月底，知名壓縮軟體WinRAR開發商Rarlab發布7.13版，修補高風險路徑遍歷漏洞CVE-2025-8088，CVSS風險評為8.8分（4.0版為8.4分），<strong><a href="https://www.ithome.com.tw/news/170567">最早通報漏洞的資安業者 ESET 指出</a></strong>，發現漏洞的起因，是俄羅斯駭客組織RomCom已實際將其用於攻擊行動，目標涵蓋歐洲與加拿大的金融、製造、國防及物流產業。</p> <p>後續，俄羅斯資安公司BI.Zone也觀察到另一個俄羅斯駭客組織Paper Werewolf（又稱 Goffee），疑似從駭客論壇取得漏洞利用方式後投入實戰。隨著漏洞細節在地下社群擴散，越來越多駭客組織加入濫用行列，使得攻擊規模持續擴大。</p> <p>Google威脅情報團隊（GTIG）進一步指出，<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/exploiting-critical-winrar-vulnerability">他們已掌握多組國家級駭客組織正積極利用CVE-2025-8088</a></strong>，同時也觀察到以經濟利益為動機的犯罪集團投入漏洞利用。攻擊者普遍透過該漏洞，在受害系統中取得初始存取權限，並投放多種惡意酬載，其手法高度一致，主要是將惡意檔案寫入Windows啟動資料夾（Startup Folder），以確保惡意程式能在系統重新啟動後持續執行。</p> <p>在國家級威脅方面，GTIG 指出俄羅斯駭客組織為主要勢力，攻擊重心多半鎖定烏克蘭軍方與政府單位，並以地緣政治議題作為社交工程誘餌。相關組織包括RomCom（UNC4895、Cigar）、APT44（FrozenBarents）、TEMP.Armageddon，以及Turla（Summit）。其中，RomCom散布惡意程式被稱為NestPacker或Snipbot；APT44透過漏洞投放惡意LNK檔案；TEMP.Armageddon則將HTA檔案置入啟動資料夾，以下載第二階段工具；Turla則利用漏洞散布惡意軟體StockStay。GTIG特別警告，TEMP.Armageddon的相關攻擊行動至今仍在進行中。</p> <p>除了俄羅斯駭客外，GTIG也揭露一個未公開名稱的中國駭客組織同樣投入漏洞利用，該組織會將BAT批次檔寫入啟動資料夾，進一步下載並執行木馬程式PoisonIvy。</p> <p>在以金錢為動機的攻擊活動中，GTIG觀察到多個犯罪集團利用漏洞部署RAT木馬與竊資惡意程式。其中一個駭客組織鎖定印尼企業，將CMD檔投放至啟動資料夾；另一組專門針對旅館與旅遊業者，以訂房相關主題為誘餌，散布XWorm與AsyncRAT；此外，也有攻擊團隊鎖定巴西銀行客戶，散布惡意Chrome瀏覽器擴充功能，於特定銀行網頁中注入JavaScript，顯示釣魚內容以竊取使用者憑證。</p> <p>由於各駭客組織的利用手法高度一致，GTIG認為這與漏洞在地下生態圈被「商品化」高度相關。報告中提到，漏洞掮客zeroplayer曾於今年7月宣稱握有CVE-2025-8088的漏洞利用工具，顯示該漏洞可能早已在黑市中流通。</p> <p>GTIG最後呼籲，企業與一般用戶儘速將WinRAR更新至最新版本，防止攻擊者持續利用已知漏洞取得系統存取權限。</p> </div></div></div>
1/28 14:45作者周峻佑https://www.ithome.com.tw/news/173638
開源AI代理專案Clawdbot竄紅，研究人員警告部分系統出現配置不當，恐讓外人隨意存取機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由PDF技術公司PSPDFKit（後續更名為Nutrient）創辦人Peter Steinberger推出的開源AI代理專案Clawdbot（<strong><a href="https://x.com/moltbot/status/2016058924403753024">現已更名為Moltbot</a></strong>），<strong><a href="https://www.ithome.com.tw/news/173578">近期在開發者社群爆紅</a></strong>，吸引大量使用者自行架設。由於該專案主打可在本地端長時間運行，不少開發者甚至為此添購低功耗、體積小、可長時間開機的Mac mini，使該設備銷量攀升。然而，資安專家近日提出警告，指出大量Clawdbot部署因錯誤配置而暴露於公開的網際網路，恐讓任何人都有機會完全接管整套AI代理系統。</p> <p>Clawdbot是一款開源AI代理整合平臺，強調使用者可自行掌控與部署，無須依賴特定雲端服務或專屬介面。使用者可在個人電腦上部署後，透過WhatsApp、Telegram、Discord等即時通訊軟體與AI互動，並將對話資料儲存在本地端，以確保隱私安全。該專案目前在GitHub已累積約7.8萬顆星，被不少使用者形容為電影《鋼鐵人》中AI助理Jarvis的「開源版本」。</p> <p>資安研究人員Jamieson O’Reilly<strong><a href="https://x.com/theonejvo/status/2015401219746128322">近日於社群平臺X發文指出</a></strong>，他在網際網路上發現數百個錯誤配置的Clawdbot Control管理介面。這些介面若未妥善設置驗證機制，可能讓未經授權的第三方直接存取，進而完全接管AI代理系統，包括讀取對話內容、竊取憑證資訊，甚至以系統最高權限執行指令。</p> <p>O’Reilly指出，由於Clawdbot Control在HTML回應中具有明確識別特徵，例如頁面標題包含「Clawdbot Control」，任何人都能透過Shodan、Censys等物聯網搜尋引擎，在短時間內定位大量公開的Clawdbot實體（instance）。實際檢視後發現，其中部分部署未正確啟用驗證機制，導致可直接連線存取。他也呼籲，若使用者將Clawdbot架設於反向代理伺服器後方，應立即設定gateway.auth.password或gateway.trustedProxies，以避免曝險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" style="width: 580px;" /></a></p> <p>針對漏洞成因，O’Reilly說明，問題主要來自反向代理部署下的信任模型錯誤。Clawdbot預設會自動信任來自localhost的連線，原本是為了方便本地開發，但實務上多數使用者會透過Nginx或Caddy等反向代理工具對外提供服務，導致所有外部連線在應用層看起來皆來自127.0.0.1，進而繞過驗證機制。</p> <p>儘管Clawdbot本身提供受信任代理伺服器（trusted proxy）與密碼驗證等安全設定選項，但這些功能預設並未啟用，且需使用者自行閱讀文件進行設定，導致不少實際部署長期暴露於高風險狀態。</p> <p>調查結果也凸顯AI代理架構在安全上的結構性挑戰。由於AI代理必須集中保存多組高權限憑證、長期儲存對話內容，並具備執行系統指令的能力，使其成為攻擊者極具吸引力的目標。一旦遭入侵，影響層面遠高於傳統單一應用程式。</p> <p>在部分錯誤配置的實例中，攻擊者可直接讀取完整系統設定，包括AI服務的API金鑰、Telegram機器人權杖、Slack的OAuth憑證與簽章密鑰，形同全面憑證外洩。此外，Clawdbot Control亦可存取所有歷史對話紀錄，涵蓋私訊內容、附件與跨平臺溝通資訊，具高度情報價值。</p> <p>更嚴重的是，部分Clawdbot代理啟用了指令執行功能，且系統容器以root權限運行。研究人員實測發現，在未經任何身分驗證的情況下，即可透過Control介面直接執行系統指令，取得完整主機控制權，風險等同於遠端未驗證的系統入侵。</p> <p>至於影響範圍，<strong><a href="https://www.facebook.com/unwirehk/posts/pfbid0uD7zFy6aiPDoASp4jce955u1sr3Fvidz8mVsFm3JaghXhsVLSwX2Vk3cfVHs27Kwl">香港科技媒體Unwire.hk亦提出警告</a></strong>，只要在網際網路上掃描Clawdbot預設開啟的連接埠18789埠，就有機會找到配置不當的Clawdbot平臺，進而竊取API金鑰與密碼、檢視所有對話記錄，甚至控制使用者電腦，他們透過Shadon發現有923臺疑似配置不當的Clawdbot主機。該媒體呼籲使用者應立即調整Clawdbot組態設定；企業方面，則應留意是否出現與18789埠相關的可疑流量，並透過防火牆或網路設備加以管制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/622436525_1323993719769091_3872440273740078010_n-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/622436525_1323993719769091_3872440273740078010_n-2.jpg" style="width: 580px;" /></a></p> </div></div></div>
1/28 17:57作者周峻佑https://www.ithome.com.tw/news/173641
Google平價AI Plus方案拓展至全球包括臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google昨日（1/27）宣布Google AI Plus再推向35個市場，包含美國、臺灣，使這個平價版AI方案得以在全球上線。</p> <p>Google去年公布AI Plus首先在40個新興國家市場推出，包括越南、菲律賓、印尼等。AI Plus包括可在Gemini App使用Gemini 3 Pro及Nano Banana（但臺灣方案沒有包含Nano Banana）、智慧AI影片製作應用程式Flow、圖像生成工具Google Whisk、研究撰寫助理服務NotebookLM、以及內建Gemini的Gmail、Google Docs與Spreadsheets。其中Flow有200 AI點數的額度限制。此外還享有200GB線上儲存空間，可以和最多5名家人共享。</p> <p>最新方案為Google在現有Google AI Pro（20美元/650臺幣）和AI Ultra（250美元/8150臺幣）外提供的低價方案。Google AI Plus方案在美國每月7.99美元。<a href="https://support.google.com/googleone/answer/16548195?hl=zh-US" target="_blank">臺灣則為</a>每月260元臺幣，現在提供前兩個月每月130元臺幣優惠。</p> <p>在已推出Google AI Plus方案的市場中，若使用者為Google One Premium 2TB訂閱用戶，未來幾天內也可自動取得Google AI Plus使用權利。但透過第三方合作夥伴訂閱Google One及Pixel Pass訂閱Google One方案者無法升級到Google AI Plus方案。</p> <p>Google AI Plus將直接和本月宣布的OpenAI平價版AI方案<a href="https://www.ithome.com.tw/news/173427" target="_blank">ChatGPT Go</a>競爭。ChatGPT Go為每月8美元或290元臺幣。</p> </div></div></div>
1/28 09:30作者林妍溱https://www.ithome.com.tw/news/173634
逾80萬臺採用GNU Inetutils建置的Telnet伺服器存在重大漏洞CVE-2026-24061，臺灣有2.4…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上周研究人員揭露GNU Inetutils telnetd重大漏洞CVE-2026-24061，網路安全調查顯示，網路上有將近80萬伺服器曝險。</p> <p><a href="https://www.ithome.com.tw/news/173556" target="_blank">CVE-2026-24061</a>是由資安廠商GreyNoise發現。它源自於GNU Inetutils的telnetd（telnet daemon）對USER變數驗證不當，使攻擊者透過在輸入中加入-f root值，得以繞過驗證流程，獲得root權限。濫用本漏洞可能讓攻擊者讀取敏感資料、修改系統配置、執行任意指令、毀損系統可用性。由於漏洞可讓非經驗證的攻擊者從網路遠端發動，易於操作、且不需使用者互動，而且濫用後果嚴重性高。<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24061" target="_blank">NIST漏洞資料庫</a>將之CVSS風險評分列為9.8。</p> <p>CVE-2026-24061影響GNU Inetutils 1.9.3到2.7，維護組織已釋出2.8版解決本漏洞。</p> <p>非營利網路研究及偵測機構ShadowServer Foundation本周<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=scan&source=scan6&tag=telnet&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank">掃描結果顯示</a>，存在本漏洞的Telnet伺服器已由最高峰的148萬臺減少，但截至1月26日仍有超過80萬臺曝險。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Regarding CVE-2026-24061 in GNU InetUtils telnetd: while we are not scanning for it explicitly (due to current lack of ability to check in a safe way, we share - and have for years - data on exposed instances in our Accessible Telnet Report: <a href="https://t.co/2JR0hChy5Z">https://t.co/2JR0hChy5Z</a></p> <p>~800K exposed <a href="https://t.co/cPLGvOtnZK">pic.twitter.com/cPLGvOtnZK</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/2015732286562398351?ref_src=twsrc%5Etfw">January 26, 2026</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://x.com/Shadowserver/status/2015732286562398351" target="_blank">根據詳細統計</a>，以曝險伺服器數量而言，中國（13萬）、巴西（12萬）和美國（5萬）為前三大，臺灣也有2萬4千多臺Telnet伺服器曝險。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。研究人員及各國主管機關呼籲用戶應儘速更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> </div></div></div>
1/28 12:40作者林妍溱https://www.ithome.com.tw/news/173631
OpenAI推出科學文件協作平臺Prism
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周二（1/27）<a href="https://openai.com/zh-Hant/index/introducing-prism/" target="_blank">推出了Prism服務</a>，該服務建置在OpenAI所買下的雲端LaTeX平臺Crixet上，並導入GPT‑5.2，成為一個可用來撰寫科學文件、修訂內容，以及團隊協作的AI原生雲端工作區。</p> <p>OpenAI表示，AI已在各個領域加快科學研究的推進速度，像是於數學研究中拓展前沿，在人類免疫細胞實驗中加速分析⁠，或是在分子生物學實驗提升反覆測試的效率⁠等；然而，研究工作涉及的許多日常步驟，包括論文撰寫、論點修訂、管理公式與引文，以及協作者之間的協調，至今仍分散在多個各自為政的工具之中。</p> <p>這使得研究人員經常在文字編輯器、PDF、LaTeX編輯器、參考文獻管理工具，以及獨立的對話介面之間來回切換，而Prism即是為了解決上述問題而推出的服務。</p> <p>LaTeX是種專為學術寫作而設計的文件排版系統，主要可讓數學與科學文件能以高度精確、可重現的方式排版。使用者能以指令描述文件結構，例如標題、章節、公式、引文與圖表，再由系統自動排版成符合學術標準的文件。由於它能穩定處理複雜公式、跨頁排版、期刊格式與參考文獻的一致性，而在數學、物理、工程、電腦科學與部分生命科學領域被廣泛採用。</p> <p>至於Crixet則是一個基於LaTeX的雲端寫作與協作平臺，OpenAI是在發布Prism時才揭露已收購Crixet，並讓它成為Prism的基礎。</p> <p><a href="https://prism.openai.com/" target="_blank">Prism擁有獨立的介面</a>，只要擁有ChatGPT個人帳戶的使用者都能使用，在建立一個專案後，即能於該工作區與GPT‑5.2 Thinking對話，探索、測試或推論複雜的科學問題；可以加入公式；請它撰寫論文摘要；加入參考文獻；新增表格；邀請協作者；或要求LaTeX轉換手繪圖等。</p> <p>OpenAI指出，Prism專為大規模協作所設計，支援不限人數的協作，且使用者完全不需安裝LaTeX管理環境，可把時間花在真正重要的研究工作上。Prism開放一般用戶免費使用，未來也會透過付費的ChatGPT方案提供更強大的Prism功能。</p> </div></div></div>
1/28 14:01作者陳曉莉https://www.ithome.com.tw/news/173632
法國推動數位主權，政府部門將以Visio取代Teams與Zoom
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國負責公務體系與國家改革的部長級代表David Amiel<a href="https://presse.economie.gouv.fr/souverainete-numerique-letat-generalise-visio-sa-solution-de-visioconference-securisee-et-souveraine-a-destination-des-agents-publics/?utm_source=chatgpt.com" target="_blank">在本周一（1/26）宣布</a>，法國政府將在2027年前，於所有國家機關全面推廣由該國政府自行開發的視訊會議工具Visio，取代Teams、Zoom、GoTo Meeting或Webex等非歐洲解決方案，以維持數位主權。</p> <p>法國經濟、財政暨工業、能源與數位主權部（Ministère de l’Économie, des Finances et de la Souveraineté industrielle, énergétique et numérique）表示，目前許多行政機關同時使用Teams、Zoom、GoTo Meeting或Webex等多種工具，不僅增加資料安全風險，也使國家對外部基礎設施形成策略依賴，造成額外成本並提高跨部會協作的複雜度。</p> <p>因此，法國政府將在未來幾個月，逐步推動由國家掌控、以法國技術為基礎的統一解決方案。</p> <p>而<a href="https://lasuite.numerique.gouv.fr/produits/visio" target="_blank">Visio則是由</a>法國跨部會數位事務處（DINUM）開發的視訊會議工具，它最多可支援150人與會，藉由AI產生即時字幕，可將對話轉錄成文字，也能錄製會議。只要是法國的公務人員都可免費使用Visio，並藉由連結邀請他人與會。</p> <p>此外，Visio採用法國國家資訊系統安全局（ANSSI）認證的SecNumCloud主權雲端，代表它不管是在安全性、機密性及法規主權上都符合高標。</p> <p>其實法國政府自1年前就開始試驗Visio，迄今已有4萬名固定用戶，正準備擴大部署至20萬名公務人員，包括CNRS、法國全民健康保險、公共財政總署（DGFiP）與國防部都將在2026年第一季全面導入。</p> <p>除了安全性及主權以外，法國政府估計，每年讓10萬名使用者轉至Visio，不再付費使用其它付費軟體授權，一年約可替法國政府省下100萬歐元的經費。</p> </div></div></div>
1/28 14:14作者陳曉莉https://www.ithome.com.tw/news/173633
Fortinet公布已被積極利用的FortiCloud單一登入新漏洞，並釋出部分版本的更新程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月，Fortinet<strong><a href="http://www.ithome.com.tw/news/172750">修補兩項重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719</a></strong>（CVSS風險皆為9.8分），影響多款啟用FortiCloud單一登入（SSO）機制的設備，包括防火牆FortiGate、網頁應用程式防火牆FortiWeb、網頁安全閘道FortiProxy，以及網路設備管理平臺FortiSwitchManager。然而，一個月後，即傳出<strong><a href="http://www.ithome.com.tw/news/173541">攻擊者自1月15日開始，仍可透過單一登入帳號竄改防火牆組態</a></strong>，22日Fortinet<strong><a href="http://www.ithome.com.tw/news/173577">坦承先前修補不完整</a>，並發現已修補上述漏洞的防火牆被入侵</strong>，該公司於27日將駭客利用的攻擊途徑登記新的CVE編號列管。</p> <p>根據Fortinet發布的最新資安公告，<a href="http://www.fortiguard.com/psirt/FG-IR-26-060">FortiCloud單一登入存在身分驗證繞過漏洞CVE-2026-24858</a>。該漏洞影響FortiOS 7.0版以上的防火牆、FortiProxy、FortiSwitchManager，以及安全事件記錄分析與報告平臺FortiAnalyzer；FortiOS、FortiSwitchManager、FortiAnalyzer 6.4版不受影響。Fortinet評估其CVSS風險值為9.4分，<strong><a href="http://nvd.nist.gov/vuln/detail/CVE-2026-24858">美國國家漏洞資料庫（NVD）則標示為9.8分</a></strong>。同日，美國網路安全暨基礎設施安全局（CISA）<strong><a href="http://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞列入已遭利用漏洞清單（KEV）</a></strong>，要求聯邦機構於1月30日前完成因應措施。</p> <p>Fortinet指出，CVE-2026-24858正是其PSIRT團隊在調查攻擊事件時，所發現的全新攻擊途徑，攻擊者可針對已完成修補CVE-2025-59718與CVE-2025-59719的設備繼續發動攻擊。該漏洞屬於「替代路徑或頻道」導致的身分驗證繞過弱點，攻擊者可利用已註冊的裝置及FortiCloud帳號，登入其他同樣啟用FortiCloud SSO功能的設備。</p> <p>雖然相關設備預設並未啟用FortiCloud單一登入機制，但若管理員在註冊裝置至技術支援服務平臺FortiCare時，未於註冊頁面手動關閉「允許使用FortiCloud SSO進行管理員登入」選項，系統便會在裝置註冊過程中自動啟用該功能，進而擴大風險曝露面。</p> <p>針對漏洞遭實際利用的情況，Fortinet透露已發現兩個惡意FortiCloud帳號，並於1月22日將其封鎖。隨後，該公司在1月26日一度全面停用FortiCloud單一登入機制，並於27日重新啟用，但僅允許已完成修補CVE-2026-24858的裝置使用。Fortinet同時公布入侵指標（IoC），指出攻擊者使用的FortiCloud帳號與來源IP位址，並說明駭客在成功入侵後，會於受害設備建立多個本機管理員帳號，並下載設備組態設定檔。</p> <p>在修補進度方面，Fortinet目前僅針對部分版本釋出更新，包括FortiOS 7.4.11、FortiManager 7.4.10，以及FortiAnalyzer 7.4.10，其餘版本對應的修補程式，尚未正式發布。</p> </div></div></div>
1/28 12:29作者周峻佑https://www.ithome.com.tw/news/173629
Moonshot AI開源Kimi K2.5，可自動生成最多100個子代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國AI新創<a href="https://www.kimi.com/blog/kimi-k2-5.html" target="_blank">Moonshot AI近日宣布</a>開源新一代模型Kimi K2.5，並將其定位為「視覺型代理智慧（Visual Agentic Intelligence）」，宣稱是目前能力最強的開源模型之一，不僅具備原生多模態能力，還能在處理複雜任務時，自動生成並協調最多100個子代理，平行處理大規模工作流程。</p> <p>Moonshot AI的中文名稱為「月之暗面」，在2023年於北京創立，同年即推出<a href="https://www.kimi.com/" target="_blank">Kimi聊天機器人</a>，主要開發「可實際完成工作的AI」，甫於去年<a href="https://www.ithome.com.tw/news/170033" target="_blank">開源Kimi K2模型</a>。</p> <p>新一代的Kimi K2.5是在Kimi K2基礎上持續預訓練而成，並額外使用約15兆個混合文字及視覺的Token進行訓練，且從模型架構上便採用原生多模態設計，使得它能同時理解文字、圖片與影片內容。Moonshot AI說，在足夠規模下，視覺與文字能力不再需要取捨，而是同步提升，替真實應用場景提供穩定基礎。</p> <p>Kimi K2.5最大的特色為「代理群（Agent Swarm）」，當任務複雜度提高時，K2.5可自行拆解問題，動態生成最多100個子代理，並行執行搜尋、程式撰寫、資料整理與驗證等工作，最多可協調1,500次工具呼叫。</p> <p>此外，整個代理群由模型自動建立與調度，無需事先定義角色或人工設計工作流程，相較於單一代理模式，代理群可將整體執行時間最多縮短4.5倍。</p> <p>Kimi K2.5也具備結合視覺的程式能力，可根據自然語言指令，直接生成完整的前端介面，包含互動式版面與動畫效果，並能透過圖片或影片進行程式生成與視覺除錯。</p> <p>Kimi K2.5已可透過Kimi.com、Kimi App、API與Kimi Code使用。Kimi.com與Kimi App目前提供K2.5 Instant、K2.5 Thinking、K2.5 Agent與K2.5 Agent Swarm的4種模式，其中的Agent Swarm仍處於測試階段，僅開放高階付費用戶試用。研究或開發人員也可透過<a href="https://huggingface.co/moonshotai/Kimi-K2.5" target="_blank">Hugging Face下載</a>Kimi K2.5模型的權重與配置。</p> </div></div></div>
1/28 12:33作者陳曉莉https://www.ithome.com.tw/news/173630
微軟調查Windows 11安全更新引發的電腦無法開機問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟一月針對Windows 10及Windows 11釋出的安全更新又傳出包，引發部分PC無法正常開機。微軟表示已經著手調查。</p> <p>微軟於上周二（1/13）釋出針對Windows 11 24H2及25H2的安全更新<a href="https://support.microsoft.com/zh-tw/topic/2026-%E5%B9%B4-1-%E6%9C%88-13-%E6%97%A5-kb5074109-%E4%BD%9C%E6%A5%AD%E7%B3%BB%E7%B5%B1%E7%B5%84%E5%BB%BA-26200-7623-%E8%88%87-26100-7623-3ec427dd-6fc4-4c32-a471-83504dd081cb#id0enbd=windows_update" target="_blank">KB5074109</a>。這個版本旨在解決WSL鏡像網路失敗、Azure虛擬桌面環境中啟動RemoteApp連線失敗、解決數據機驅動程式相容性問題、強化安全啟動、並解決Windows核心元件WinSqlite3.dll安全漏洞等。然而<a href="https://learn.microsoft.com/zh-tw/answers/questions/5724404/kb5074109" target="_blank">用戶抱怨</a>安裝後出現各種毛病。但本周<a href="https://www.neowin.net/news/windows-11-patch-tuesday-horrors-continue-as-some-pcs-now-cannot-boot/" target="_blank">Neowin</a>首先報導，有些用戶安裝本更新後，Windows 11電腦無法開機，成為繼上周引發眾多大小問題後最為嚴重的麻煩。</p> <p>媒體<a href="https://www.askwoody.com/forums/topic/reports-of-boot-failures-with-the-january-2026-security-update-and-later-updates/" target="_blank">Askwoody</a>發現微軟在管理員中心通知中證實，接獲少部分用戶通報此事。這些裝置安裝1月13日釋出的KB5074109及之後更新後發生無法開機，以及顯示「UNMOUNTABLE_BOOT_VOLUME」的錯誤訊息。受影響裝置顯示黑色螢幕（即「死亡螢幕」）及一行「裝置發生問題，必須重新啟動。」的訊息。但用戶試圖重啟時，裝置卻無法完成啟動，需要手動回復步驟。</p> <p>微軟說，迄今的通報顯示問題只侷限在實體裝置，沒有客戶反映問題出現在虛擬機器，此外，問題僅影響安裝Windows 11 24H2及25H2的用戶端OS，不影響伺服器。</p> <p>微軟表示正在調查本問題，看看是否為Windows更新引發的回歸問題。微軟承諾會再更新資訊。</p> <p>這是針對Windows 11 24H2/25H2發布的1月Patch Tuesday所引發的最新麻煩。在此之前，微軟已經釋出二次例外（out-of-band,OOB）更新修補問題。第一次更新修補Windows 11電腦無法成功關閉、休眠、或在遠端連線下無法登入。<a href="https://www.windowscentral.com/microsoft/windows-11/windows-11-second-emergency-out-of-band-update-kb5078127-released-address-outlook-bugs" target="_blank">微軟周末釋出</a>第二次例外更新KB5078127/KB5078132/KB5078131，解決了Windows App無法順利開啟或儲存檔案到OneDrive，以及Outlook儲存PST檔到OneDrive時，Outlook無法順利開啟的問題。</p> <p>其他包括鎖定畫面登入選項看不到密碼圖示等小問題，微軟表示會持續尋找解決方案，並會再更新資訊。</p> </div></div></div>
1/28 11:41作者林妍溱https://www.ithome.com.tw/news/173628
ISC修補BIND 9高風險漏洞CVE-2025-13878，惡意DNS紀錄可導致服務當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Internet Systems Consortium（ISC）揭露，旗下開源DNS伺服器軟體BIND 9存在高風險漏洞CVE-2025-13878。攻擊者可透過惡意構造的DNS資源紀錄，遠端觸發named服務程序異常終止，造成名稱解析服務中斷，形成阻斷服務（DoS）風險。ISC已發布修補版本，建議管理者儘速升級。</p> <p><a href="https://kb.isc.org/docs/cve-2025-13878" target="_blank">ISC於1月21日發布安全公告指出</a>，該漏洞源於BIND處理BRID與HHIT類型DNS資源紀錄的方式當中，存在驗證邏輯的缺陷。在特定條件下，BIND可能因檢查失敗而直接中止服務程序，進而影響DNS解析的可用性。攻擊者不需通過驗證，即可從遠端觸發該問題。</p> <p>BIND 9是廣泛使用的開源DNS伺服器軟體，常部署為遞迴解析器或權威DNS伺服器，支撐網站、電子郵件與各類網路服務的名稱解析需求。由於DNS屬於關鍵基礎設施，一旦解析服務中斷，影響範圍可能擴及多項對外服務。</p> <p><span style="color:#B22222;"><strong>漏洞影響多個BIND 9版本，CVSS評為高風險</strong></span></p> <p>根據ISC公告，CVE-2025-13878影響多個仍在維護中的BIND 9版本，包括9.18.40至9.18.43、9.20.13至9.20.17，以及9.21.12至9.21.16，亦波及相對應的預覽版本。</p> <p><a href="https://www.cve.org/CVERecord?id=CVE-2025-13878" target="_blank">CVE資料顯示</a>，該漏洞的CVSS風險分數為7.5，屬於高風險等級。攻擊者可在無需使用者互動的情況下遠端觸發漏洞，主要影響系統可用性。</p> <p><span style="color:#B22222;"><strong>ISC釋出更新，建議管理者儘速修補</strong></span></p> <p>ISC已釋出修補版本BIND 9.18.44、9.20.18與9.21.17，建議管理者儘速完成升級。對於短期內無法更新的環境，管理者可評估限制不必要的DNS功能與存取範圍，並加強服務監控，以降低遭濫用風險。</p> <p>資安廠商<a href="https://www.sentinelone.com/vulnerability-database/cve-2025-13878/" target="_blank">SentinelOne則提醒</a>，實務上風險較高的情境，主要出現在對外公開的遞迴DNS解析器或權威DNS伺服器。若DNS服務允許來自任意來源的查詢請求，攻擊者即可遠端送出特製封包觸發漏洞，導致名稱解析服務中斷，因此相關部署模式更容易成為阻斷服務攻擊的目標。</p> <p>雖然ISC的公告未提及是否已有大規模攻擊行為，但由於DNS在網路服務中的關鍵角色，相關漏洞仍可能被用於阻斷服務攻擊，管理者應及早評估環境風險並完成修補。</p> </div></div></div>
1/28 11:47作者王珮瑤https://www.ithome.com.tw/news/173622
Amazon將關閉Amazon Go、Fresh實體無人超市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-fresh-go-stores-closing-expanding-whole-foods" target="_blank">Amazon宣布</a>將關閉智慧超市Amazon Go、Amazon Fresh，以強化線上零售同日遞送及Whole Foods Market的經營。</p> <p><a href="https://www.ithome.com.tw/news/126004" target="_blank">Amazon Go</a>與<a href="https://www.ithome.com.tw/news/162115" target="_blank">Amazon Fresh</a>分別在2018年及2020年開設首家店面。兩個實體店面品牌都標榜以智慧科技如電腦視覺、感測器、AI及自動化系統，如自動結帳系統Just Walk Out取代人力結帳，提供免排隊、快速而方便的自助購物體驗。</p> <p>Amazon表示，雖然Amazon實體超市展現令人振奮的訊號，但公司仍未能創造真正獨特客戶體驗，以及大量擴展所需的經濟模式。在審慎評估下。公司被迫做出困難決定，關閉Amazon Go和Amazon Fresh實體店面。未來這些據點將轉為同屬Amazon集團的有機食品超市連鎖Whole Foods Markets店面。Amazon Fresh線上銷售則不受影響。</p> <p>雖然Amazon強調實體店面的科技創新，像是閘門式無人結帳系統Just Walk Out，但其實2024年Amazon就已<a href="https://www.ithome.com.tw/news/162115" target="_blank">停用</a>本方案，而改使用較小的智慧購物車Dash Cart方案。</p> <p>未來，Amazon將把資源聚焦在高成長領域，包括Amazon電商平臺的同日遞送（Same-Day Delivery）以及Whole Foods Markets。<a href="https://www.ithome.com.tw/news/114980" target="_blank">Whole Foods Market</a>為Amazon 2017年收購，目前有550多個地方設有據點。年銷售額成長率達40%。Amazon也計畫將生鮮商店同日遞送推向更多社區。</p> <p>另一方面，伴隨Amazon強化AI資料中心及服務的投資、以及辧公室導入AI，這家電商巨人近年也開始削減人事及其他成本。<a href="https://www.reuters.com/business/world-at-work/amazon-plans-thousands-more-corporate-job-cuts-next-week-sources-say-2026-01-22/" target="_blank">路透社</a>上周引述消息人士報導 Amazon計畫裁減3萬白領員工，而在去年裁員1.4萬人後，Amazon可能在本周還會進行第二波裁員。</p> </div></div></div>
1/28 10:57作者林妍溱https://www.ithome.com.tw/news/173624
微軟緊急修補已遭利用的Office零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509" target="_blank">微軟周一（1/26）緊急修補</a>了位於Office中、已遭駭客利用的CVE-2026-21509零日漏洞。該漏洞也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用漏洞(Known Exploited Vulnerabilities，KEV)目錄，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">要求政府機構</a>在2月16日以前完成修補。</p> <p class="rtecenter"><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog#:~:text=MICROSOFT%20%7C%20OFFICE,CWE%3A%20CWE%2D807" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0128-CVE-2026-21509-office-600.png" style="width: 600px;" /></a></p> <p>CVE-2026-21509是一個安全性功能繞過漏洞，源自於Microsoft Office在進行安全判斷時依賴不可信的輸入，導致未經授權的駭客可在本機情境下繞過原本用於防護的OLE/COM緩解機制。駭客必須將惡意的Office檔案傳送給使用者，同時誘導使用者開啟該檔案，才能成功利用CVE-2026-21509。</p> <p>COM的全名為元件物件模型（Component Object Model），為Windows上的軟體架構標準，用來讓不同程式與不同語言撰寫的功能模組，能以一致的方式彼此呼叫與互通；而物件連結與嵌入（Object Linking and Embedding，OLE）則建立在COM之上，允許不同應用程式的內容可於同一份文件中被嵌入、連結與互動。</p> <p>該漏洞影響多個Office版本，包括Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024，以及Microsoft 365 Apps等。微軟已經釋出Office 2016與Office 2019的官方更新，微軟亦從伺服器端更新了Office 2021與之後的版本，使用者只要重啟便能生效。</p> </div></div></div>
1/28 09:27作者陳曉莉https://www.ithome.com.tw/news/173623
Nvidia擴大Earth-2開放模型家族，涵蓋15天全球預報與短時即時預報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia在美國氣象學會年會<a href="https://blogs.nvidia.com/blog/nvidia-earth-2-open-models/">公布</a>Earth-2開放模型家族，將氣象與氣候AI所需的模型、函式庫與框架整理成一套開放軟體堆疊。新一批模型涵蓋最長可達15天的全球中期預報，以及0到6小時的臨近預報，用於支援地方尺度的風暴與危害性天氣判讀。</p> <p>過去高品質天氣預報多仰賴以物理為基礎的數值天氣預報模式與大型運算資源，Nvidia表示，把AI預報定位為降低計算成本與時間的一條路徑，讓更多國家、氣象服務單位與企業能建置更貼近自身情境的預報系統，而不是只依賴少數大型中心的運算能力。</p> <p>新公布的三個核心模型分別對應氣象流程的不同環節，Earth-2 Medium Range採用名為Atlas的模型架構，用於中期預報，涵蓋溫度、氣壓、風與濕度等70種以上變數。Earth-2 Nowcasting採用StormScope架構，以生成式AI學習衛星與雷達資料，將國家尺度的預報轉為公里等級解析度，並在數分鐘內產出0到6小時的地方風暴預報。Earth-2 Global Data Assimilation則採用HealDA架構，負責把多來源觀測資料轉成預報所需的初始條件，並宣稱可在GPU上以秒級產出，縮短傳統超級電腦資料同化（Data Assimilation）的耗時。</p> <p>除了新增模型，Nvidia也把既有的開放模型放在同一個Earth-2脈絡下，包含用於降尺度的Earth-2 CorrDiff，以及用於多種氣象變數預測的Earth-2 FourCastNet3。Nvidia同時提到，Earth-2也可整合ECMWF、微軟、Google等單位釋出的開放模型，並以PhysicsNeMo作為訓練與微調的開源Python框架，讓研究或企業能在自有基礎設施上延伸既有能力。</p> <p>Nvidia也點出目前已參與或評估的用戶，包括臺灣中央氣象署、以色列氣象服務機構、The Weather Company與美國國家氣象局NWS等預報單位，以及能源預報與電網營運相關的TotalEnergies、Eni與GCL等。另外還有能源交易、保險與風險評估等業者，該工具鏈不只能用於研究，也支援需要天氣資訊作為決策輸入的應用場景。</p> <p>Nvidia表示，Earth-2 Medium Range與Earth-2 Nowcasting已透過Earth2Studio開放取得，並同步在GitHub與Hugging Face提供預訓練模型與相關工具。Earth-2 Global Data Assimilation則預計在今年稍晚釋出。</p> </div></div></div>
1/28 09:45作者李建興https://www.ithome.com.tw/news/173620
GitHub釋出Copilot SDK，供應用程式內嵌Copilot CLI代理執行迴圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://github.blog/news-insights/company-news/build-an-agent-into-any-app-with-the-github-copilot-sdk/" target="_blank">GitHub公布</a>Copilot SDK技術預覽版，將GitHub Copilot CLI背後的代理執行迴圈封裝成可程式化介面，讓開發者能在自家應用程式中執行多回合任務，並由Copilot負責規畫步驟、呼叫工具、編輯檔案與執行命令。GitHub強調，該SDK沿用Copilot CLI的執行核心，目標是降低團隊自行開發規畫器、工具迴圈與執行環境的負擔。</p> <p>官方直言，從零開始打造代理式工作流程並不容易，在真正開發產品邏輯之前，通常就得先處理一整套共通的工程問題。而Copilot SDK的目標，是把這些基礎能力做成現成可用的元件，讓團隊把心力放到應用設計。</p> <p>Copilot SDK首波支援Node.js與TypeScript、Python、Go與.NET。開發者可沿用既有GitHub Copilot訂閱，也可採自備金鑰模式，並延續Copilot CLI對多個AI模型的支援，官方也提到，SDK支援MCP伺服器整合、GitHub身分驗證與即時串流輸出，方便在互動介面呈現回應與執行進度。</p> <p>官方儲存庫文件指出，各語言SDK透過JSON-RPC與Copilot CLI的伺服器模式溝通，SDK會管理CLI程序生命周期，也可改連接外部CLI伺服器。這使Copilot CLI原本在終端機內完成的工具呼叫與檔案操作，能以程式呼叫方式嵌入桌面程式、網頁服務或內部系統。</p> <p>不過，GitHub也提醒，Copilot SDK在預設設定下會啟用Copilot CLI的第一方工具組合，也就是說，代理具備檔案系統操作、Git操作與網際網路請求等能力。開發者可透過SDK明確指定可以使用與需停用的工具，以配合權限模型與風險控管需求。</p> </div></div></div>
1/28 08:59作者李建興https://www.ithome.com.tw/news/173619
【資安日報】1月27日，金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173594"><strong style="font-size: 22px;">金管會資安監理政策2026年六大新重點</strong></a></p> <p>金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，值得留意的是，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。</p> <p>其中，金管會預計在2026年底前完成的重點工作，包括訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。金管會在2026年還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。</p> <p><a href="https://www.ithome.com.tw/news/173599"><strong style="font-size: 22px;">為協助警方辦案，微軟傳出曾提供BitLocker復原金鑰給FBI惹議</strong></a></p> <p>根據富比士的報導，2025年微軟將3臺筆電的BitLocker加密磁碟之復原金鑰交給了FBI。FBI為了偵辦一起發生於關島的失業救濟金詐騙案，需要存取嫌犯筆電上的資料，因而向微軟出示搜索票，這被視為首度公開揭露微軟向執法單位提供BitLocker復原金鑰的案例。微軟向媒體證實，如果接到有效的法律命令，的確會提供BitLocker復原金鑰。微軟發言人並說，該公司平均每年會接獲20件提供復原金鑰的請求。</p> <p>迫於警方或法院命令交出金鑰，此舉仍引發商業倫理與用戶隱私層面的爭議，因為這留有行政濫權的空間。約翰霍普金斯大學教授Matt Green認為，蘋果、Google，以及Meta等科技巨頭皆未曾向執法單位低頭，並因無法取得金鑰為由拒絕提供，微軟是唯一沒有這麼做的公司，既然FBI與其他政府機構已經知道微軟會配合類似關島案的搜查令，未來勢必會向該公司提出更多加密金鑰的要求。</p> <p><a href="https://www.ithome.com.tw/news/173596"><strong style="font-size: 22px;">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point揭露針對軟體開發人員與工程團隊的網路釣魚活動，此攻擊由北韓駭客組織Konni發起，利用區塊鏈與加密貨幣相關的專案文件作為誘餌，散播AI生成的PowerShell後門程式。這象徵北韓攻擊者的技術手段有了重大演進，AI在網路攻擊中已從實驗階段正式進入實戰運用，並擴張了駭客在亞太地區的攻擊範圍。</p> <p>為何Check Point會發現後門由AI生成？原因在於其程式碼結構與邏輯具有明顯的AI生成特徵，結構極其工整，擁有異常清晰、人員容易理解的註解說明，充分描述指令碼的功能；再者，該後門採用模組化設計，當中使用大量AI助理常見的程式碼格式；另外，程式碼當中包含類似「此處應填入特定功能」的占位修飾符號或教學式註解，這也是程式碼由AI生成的重要特徵。</p> <p><a href="https://www.ithome.com.tw/news/173588"><strong style="font-size: 22px;">惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket威脅研究團隊揭露，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站，或自動化建置與測試環境。</p> <p><a href="https://www.ithome.com.tw/news/173536"><strong style="font-size: 22px;">憑證機構LiteSSL遭揭ACME驗證資料重用漏洞，已撤銷143張憑證</strong></a></p> <p>憑證機構LiteSSL在Mozilla CA Program的公開合規事件追蹤中被點名，外部研究人員指稱其ACME自動化簽發服務的網域驗證資料可被不當重用，導致在憑證簽發時，出現未重新確認網域控制權就核發萬用字元憑證的風險。</p> <p>Mozilla Bugzilla上的初步事故報告則指出，TrustAsia在2026年1月21日收到社群通報後調查確認，LiteSSL的ACME服務存在與網域驗證資料重用相關的漏洞。影響範圍涵蓋2025年12月29日之後以ACME簽發的憑證，原因是ACME驗證授權資料曾跨不同ACME帳號被重用，合計影響143張，TrustAsia表示目前已全數撤銷且完成修補，服務已恢復。</p> <p><a href="https://www.ithome.com.tw/news/173613"><strong style="font-size: 22px;">Pwn2Own Automotive 2026發出逾百萬美元獎金，電動車充電樁成最大攻擊面</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Leaderboard Day 3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Leaderboard%20Day%203.png" style="width: 300px; float: right;" /></a></p> <p>由趨勢科技旗下Zero Day Initiative（ZDI）主辦的Pwn2Own Automotive 2026，日前於日本東京Automotive World舉行，為期三天的競賽共揭露76個獨立零日漏洞，發出總獎金104.7萬美元，吸引來自全球的資安研究團隊，共提交73次攻擊嘗試，規模創下汽車主題Pwn2Own新高。</p> <p>本屆比賽項目涵蓋車載資訊娛樂系統（In-Vehicle Infotainment，IVI）、特斯拉（Tesla）資訊娛樂USB實體攻擊、電動車Level 2與Level 3充電樁，以及車用作業系統Automotive Grade Linux，受測對象均為實際商用產品，反映汽車與充電生態在高度軟體化下的真實攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/173505"><strong style="font-size: 22px;">21種傳統攻擊手法因AI進化，網域冒充問題加劇需正視</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟數位防禦報告_攻擊者用AI提升21項傳統攻擊技術_圖片來源微軟.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E6%94%BB%E6%93%8A%E8%80%85%E7%94%A8AI%E6%8F%90%E5%8D%8721%E9%A0%85%E5%82%B3%E7%B5%B1%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 300px; float: right;" /></a></p> <p>去年底微軟發布新一年度數位防禦報告，一共列出21項受到AI加持的攻擊手法或技術，這些傳統攻擊手法受到AI加持，威脅程度大增，涵蓋自動化詐騙、自動化魚叉式網路釣魚、語言翻譯、深偽技術（Deepfake）、合成身分建立、網域冒充等，正提高網路攻擊的速度、規模，以及精密度。</p> <p>近期微軟印度暨南亞區首席資安顧問Anujh Tewari亦針對這方面進行解析。他強調，現在攻擊者正隨著AI時代進步，利用AI來擴大攻擊規模，一旦發現某次攻擊效果不錯，就可以迅速複製攻擊模式。</p> <p><a href="https://www.ithome.com.tw/news/173615"><strong style="font-size: 22px;">生命週期結束的晶睿通訊網路攝影機存在重大漏洞</strong></a></p> <p>上週資安業者Akamai指出，他們透過AI逆向工程工具，在數十款晶睿通訊（Vivotek）已終止支援的網路攝影機當中，發現未經授權的命令注入漏洞CVE-2026-22755，此漏洞允許未經身分驗證的攻擊者，遠端以root權限執行任意指令，4.0版CVSS風險評分達到9.3分（滿分10分），相當危險。對此，我們連繫晶睿並詢問此事，該公司表示，本次涉及之機型為已停止支援之舊款產品，其產品生命週期已結束，不在韌體與資安更新的支援範圍，對於仍在使用該類機型的用戶，該公司建議將設備部署於受保護的內部網路環境，避免直接對外連線，並儘速更換以確保資訊安全。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=155443&SPOKE_DATE=20260126&COMPANY_ID=5511"><strong style="font-size: 22px;">營造業者德昌子公司經典國際遭網路攻擊</strong></a></p> <p>上櫃建築營造公司德昌營造（5511）於1月26日發布重大訊息，其重要子公司經典國際發生資訊系統遭受網路攻擊，察覺後立即啟動相關防禦機制，目前營運尚未受重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-800-000-telnet-servers-exposed-to-remote-attacks/">近8萬臺採用GNU InetUtils建置的Telnet伺服器存在重大漏洞CVE-2026-24061</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-misconfiguration-behind-recent-bgp-route-leak/">針對BGP路由洩露的事故，Cloudflare表示是組態設定出錯造成</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/187340/data-breach/shinyhunters-claims-2-million-crunchbase-records-company-confirms-breach.html">駭客組織ShinyHunters聲稱竊得創業公司資料庫Crunchbase逾200萬筆記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-patches-actively-exploited-office-zero-day-vulnerability/">微軟修補已遭利用的辦公室軟體Office高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/phishing-attack-uses-stolen-credentials.html">駭客假借Greenvelope發送邀請函，企圖在受害組織部署遠端管理工具LogMeIn進行滲透</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> </div></div></div>
1/27 16:49作者周峻佑https://www.ithome.com.tw/news/173616
兩款VS Code AI程式開發助理延伸套件遭指洩漏資料，安裝量合計約150萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Koi Security發布<a href="https://www.koi.ai/blog/maliciouscorgi-the-cute-looking-ai-extensions-leaking-code-from-1-5-million-developers">研究報告</a>，指出兩款上架於微軟Visual Studio Marketplace的VS Code AI程式開發助理延伸套件，除了提供程式碼問答與自動完成功能，還會在未明確告知的情況下蒐集使用者工作區檔案內容與行為資料，並回傳至位於中國的伺服器。研究人員將該活動命名為MaliciousCorgi，並稱兩套件合計安裝量約150萬。</p> <p>被點名的延伸套件為ChatGPT - 中文版與ChatGPT - ChatMoss（CodeMoss）。研究人員指出，兩者含有相同的惡意程式碼與後端架構，只是以不同發行者身分在市集中流通。以2026年1月27日Marketplace頁面為準，ChatGPT - 中文版累計1,340,885次安裝，ChatGPT - ChatMoss（CodeMoss）則超過15萬次。</p> <p>兩套件具有三個外傳資料的管道，其一是即時監控，使用者只要開啟檔案，延伸套件就會讀取整份內容並送出，且在每次編輯時持續回傳更新後內容。其二是伺服器端可下指令觸發批次蒐集，研究人員提到，惡意套件可在不需使用者額外操作下，一次性蒐集工作區多個檔案，最高可達50個。其三則是行為剖析，報告稱延伸套件內嵌頁面會載入多個分析服務的程式碼，用於彙整使用者行為與裝置特徵。</p> <p>編輯器延伸套件安裝門檻低，不少開發者只看評分與安裝量就決定採用，研究人員提醒，AI助理需要讀取部分程式碼才能回覆，但仍應要求揭露資料傳輸範圍與目的，並以內部政策限制延伸套件的安裝來源。此外，要是開發環境包含商業機密或客戶資料，風險與處理成本會更高。</p> <p>在企業開發環境中，工作區常同時包含程式碼庫、組態檔與各式機密資料，例如環境變數檔、API金鑰與SSH金鑰等。依研究人員分析，這些資料可能在使用者開啟檔案或遭批次蒐集時一併被回傳，目的地為位於中國的伺服器。</p> </div></div></div>
1/27 18:31作者李建興https://www.ithome.com.tw/news/173617
政府永續長聯盟論壇，鄭麗君：淨零光能與氣候調適雙軸治理為政府永續政策關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>環境部舉辦「115年政府永續長聯盟論壇」，聚集中央政府機關及地方政府、國營事業永續長齊聚一堂，行政院長鄭麗君也以行政院永續長的身分出席；她指出，面對2050淨零排放與極端氣候加劇的雙重挑戰，政府正以「淨零轉型」與「氣候調適」作為永續治理的兩大主軸，透過制度設計、跨部會協作與科技工具導入，強化臺灣社會與產業的整體韌性。</p> <p data-end="379" data-start="254">今年論壇聚焦「淨零光能」、「深度節能」、「建築能效」及「韌性治理」四大議題，政府永續政策已從單一能源或環保措施，轉向涵蓋能源、建築、國土與資料治理的系統性工程。鄭麗君指出，相關議題必須由中央、地方政府、國營事業及產業界共同參與，才能將政策目標落實為可執行的治理架構。</p> <p><span style="color:#B22222;"><strong>公部門帶頭，新舊建築需設置太陽光電設施</strong></span></p> <p data-end="538" data-start="381">在能源政策上，「淨零光能」是臺灣能源轉型的重要技術路徑之一。除持續推動地面型太陽光電外，近年政策重心逐步轉向屋頂型與立面型太陽光電，以降低土地使用爭議，並提升分散式能源比例。</p> <p>根據經濟部盤點，中央公部門與國營事業既有及潛在可建置的屋頂型太陽光電容量合計可達1GW，被視為政府推動光電政策的重要示範場域。</p> <p data-end="658" data-start="540">為制度化推動光電與建築整合，政府也調整相關法規。鄭麗君指出，內政部與經濟部已完成協調，要求建築面積1,000平方公尺以上的新建築，須增設屋頂型太陽光電，相關規定已於去年底公告，預計會在今年8月實施，未來光電設計將成為大型建築的基本配置之一。</p> <p>針對既有建築方面則以「老宅延壽計畫」，在提升結構安全、無障礙設施與管線更新的同時，將其納入屋頂型、立面型太陽光電的設置。鄭麗君指出，這類光電設施除可躉售電力外，未來也可朝向公共設施或住戶自用發展，有助於降低用電成本、提升能源自主性，同時兼具降溫與建築保護效果，形成減碳與環境調適的複合解方。</p> <p><span style="color:#B22222;"><strong>以資料整合、科技分析強化環境的永續治理</strong></span></p> <p data-end="935" data-start="807">在氣候調適政策上，鄭麗君強調，政府已將調適視為與減碳同等重要的治理工作。行政院已成立「行政院水及流域永續推動小組」，規劃為期6年的「水及流域永續發展行動計畫」，嘗試以資料整合與科技分析，從傳統工程導向的治水模式，轉向以風險管理與國土韌性為核心的治理思維。</p> <p data-end="1041" data-start="937">她指出，政府將透過氣候、水文、土砂、都市排水與滯洪等資料的圖資套疊，盤點包括大規模崩塌潛勢區、河川污染測站、高風險取水口水質改善，以及汙水下水道與再生水建設等優先治理項目，作為跨部會與中央地方協作的決策依據。</p> <p data-end="1158" data-start="1043">鄭麗君也提到，未來將調整過往由地方單向向中央爭取預算的模式，改以由上而下，以及由下而上交叉盤點的方式，提升政策資源配置的精準度，並加快調適行動的落實速度。相關計畫仍有賴國會預算支持，待預算通過後，將啟動新一波水環境與供水系統改善工程。</p> <p>她最後指出，氣候調適範疇已超越水資源，涵蓋國土、公共安全、健康與社會韌性等面向。在環境部推動的國家調適行動計畫指引下，政府將持續強化政策整合與科技治理，透過永續長聯盟平台，讓淨零與調適政策從目標設定走向可衡量、可執行的治理機制。</p> </div></div></div>
1/27 18:55作者蘇文彬https://www.ithome.com.tw/news/173618
生命週期結束的晶睿通訊網路攝影機存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客鎖定已終止支援（EOL）的物聯網裝置挖掘漏洞，並從事漏洞利用的情況，最近兩到三年頻頻出現，由於廠商不再支援，因此漏洞通常不會得到修補，而成為攻擊者偏好的目標。若有研究人員公開揭露相關漏洞，也隨即吸引外界關注，因為接下來可能會有人試圖利用這些已公開的漏洞。</p> <p>上週資安業者Akamai指出，他們透過AI逆向工程工具，在數十款晶睿通訊（Vivotek）已終止支援的網路攝影機當中，<strong><a href="https://www.akamai.com/blog/security-research/2026/jan/command-injection-vivotek-legacy-firmware-need-to-know">發現未經授權的命令注入漏洞CVE-2026-22755</a></strong>，此漏洞允許未經身分驗證的攻擊者，遠端以root權限執行任意指令，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22755">4.0版CVSS風險評分達到9.3分</a></strong>（滿分10分），相當危險。對此，我們連繫晶睿並詢問此事，該公司表示，本次涉及之機型為已停止支援之舊款產品，其產品生命週期已結束，不在韌體與資安更新的支援範圍，對於仍在使用該類機型的用戶，該公司建議將設備部署於受保護的內部網路環境，避免直接對外連線，並儘速更換以確保資訊安全。</p> <p>針對漏洞的核心問題，Akamai指出，問題在於upload_map.cgi指令碼對使用者輸入的處理不當。系統在處理上傳檔案時，會使用snprintf()功能函式將使用者提供的檔名組合成殼層指令，隨後直接將字串傳遞給system()功能函式執行。由於缺乏對檔名的過濾與驗證，攻擊者可以透過在檔名中注入分號等殼層元字元，藉此中斷原本的指令，並執行惡意程式碼。</p> <p>雖然這項漏洞相當危險，不過，Akamai指出，想要利用這個漏洞，須具備必要條件，首先，攻擊者上傳的檔案必須小於5 MB，而且要通過韌體驗證檢查；再者，韌體特定的二進位檔案必須維持完整狀態，駭客必須利用內建的Boa Web Server，使用專用的非標準環境變數，將資料傳送到cgi-bin；最後，呼叫的指令碼必須是upload_map.cgi。</p> </div></div></div>
1/27 17:41作者周峻佑https://www.ithome.com.tw/news/173615
滲透合作公司員工郵件帳號發SharePoint文件共用信，能源公司遭多階段AiTM網釣與BEC鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期鎖定能源產業而來的攻擊行動不時傳出，最近一起是<strong><a href="https://www.ithome.com.tw/news/173597">波蘭電力系統12月底遭遇俄羅斯駭客Sandworm攻擊</a></strong>，駭客使用資料破壞軟體（Wiper）試圖進行破壞，不過並未得逞。現在有駭客對這類產業發動商業郵件詐騙（BEC）攻擊，引起研究人員的關注。</p> <p>微軟21日揭露一起<a href="https://www.microsoft.com/en-us/security/blog/2026/01/21/multistage-aitm-phishing-bec-campaign-abusing-sharepoint/"><strong>鎖定能源產業的大規模攻擊</strong></a>，駭客結合了對手中間人攻擊（AiTM）與商業郵件詐騙，過程裡運用SharePoint檔案共用服務發送釣魚的有效酬載，並依賴電子郵件系統的收件匣規則，讓使用者難以察覺異狀。一旦攻擊者成功入侵，他們就會利用受害組織能夠信任的內部使用者身分，<br /> 近期鎖定能源產業而來的攻擊行動不時傳出，藉此擴大活動範圍。針對這起事故，微軟指出駭客展現了對手中間人攻擊手法的複雜性，而且，採用的攻擊手段超越一般身分驗證的入侵方式，受害企業光是重設密碼不足以因應，必須撤銷尚在使用的連線階段（Session）及Cookie，並清除攻擊者建立的收件匣規則。</p> <p>在這起事故發生的過程中，攻擊者已事先取得某個可信組織的電子郵件帳號，利用該帳號發送看似正常的SharePoint連結，誘使收信人查看共享文件。由於SharePoint是企業常用的協作工具，容易讓人信以為真。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-BEC-20.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-20.png" style="width: 580px;" /></a></p> <p>一旦收信人點擊郵件中的SharePoint連結時，就會啟動對手中間人攻擊流程。他們會被引導到偽造的登入網頁。這個頁面會記錄使用者的憑證，並進一步竊取多因素認證（MFA）驗證過程資料，使攻擊者得以建立合法的連線階段，從而入侵收信人的電子郵件信箱。</p> <p>攻擊者登入後，會在被入侵的收件匣裡建立郵件規則，例如自動刪除新郵件或標示為已讀，避免受害者察覺帳號異常。透過這個已被控制的信箱，攻擊者向受害者的內部與外部聯絡人寄出超過600封釣魚信，擴大攻擊範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" style="width: 580px;" /></p> <p>除了加入特定規則，駭客也監控受害者的電子郵件信箱內容，並將未送達或是非公務郵件，從封存（Archive）資料夾刪除。再者，駭客使用商業郵件詐騙常見的手法，針對聯絡人對釣魚郵件的真實性提出質疑的來信，進行回覆，來誤導受害者及聯絡人，而無法察覺實際上信件是攻擊者所寄送。若是聯絡人點選釣魚郵件的網址，就會再衍生新一輪的對手中間人攻擊。</p> </div></div></div>
1/27 18:10作者周峻佑https://www.ithome.com.tw/news/173612
Pwn2Own Automotive 2026落幕，電動車充電樁成最大攻擊面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由趨勢科技（Trend Micro）旗下Zero Day Initiative（ZDI）<a href="https://www.zerodayinitiative.com/blog/2026/1/23/pwn2own-automotive-2026-day-three-results-and-the-master-of-pwn" target="_blank">主辦的Pwn2Own Automotive 2026</a>，日前於日本東京Automotive World結束。為期三天的競賽共揭露76個獨立零日漏洞，發出總獎金104.7萬美元，吸引來自全球的資安研究團隊，共提交73次攻擊嘗試，規模創下汽車主題Pwn2Own新高。</p> <p><a href="https://www.zerodayinitiative.com/Pwn2OwnAuto2026Rules.html" target="_blank">本屆比賽項目</a>涵蓋車載資訊娛樂系統（In-Vehicle Infotainment，IVI）、特斯拉（Tesla）資訊娛樂USB實體攻擊、電動車Level 2與Level 3充電樁，以及車用作業系統Automotive Grade Linux，受測對象均為實際商用產品，反映汽車與充電生態在高度軟體化下的真實攻擊面。</p> <p>根據ZDI在這3天所公布的成功攻擊案例，電動車充電樁類別合計34件，高於一般IVI系統的28件，成為本屆競賽中最密集的攻擊面。另外，特斯拉資訊娛樂USB攻擊與Automotive Grade Linux各有一次成功的攻擊案例。</p> <p>充電樁的成功案例分布於Autel、ChargePoint、Phoenix Contact、Grizzl-E與Alpitronic等多個品牌與型號，顯示充電樁不僅數量多，且在不同設備上反覆出現可被利用的弱點。相關攻擊涵蓋系統層控制、韌體更新機制與充電通訊訊號操控。研究人員不僅能取得管理權限，還可干預充電流程，甚至在設備上執行任意程式，顯示充電樁一旦被入侵，風險已從單一設備擴及整體充電基礎設施。</p> <p>至於IVI的攻擊多集中於媒體解析與系統服務層，例如USB、藍牙或檔案處理流程中的緩衝區溢位、命令注入與權限提升。研究人員可藉此取得車機的程式碼執行權限，但影響通常侷限於資訊娛樂系統本身。相較充電樁，IVI風險較偏向隱私與系統完整性，而非直接影響車輛或基礎設施運作。</p> <p>此次第一名的隊伍為來自歐洲的Fuzzware.io團隊，該團隊取得了28分的成績，抱走21.5萬美元的獎金；第二名則是跨國團隊Team DDOS，拿到17.25分的成績與約10萬美元的獎金；第三名的Synacktiv為法國資安公司，雖然只帶走8.5萬美元的獎金，卻是唯一透過USB攻陷特斯拉資訊娛樂系統的團隊。</p> </div></div></div>
1/27 15:57作者陳曉莉https://www.ithome.com.tw/news/173613
Claude導入MCP Apps，AI工具整合邁向可視化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI新創Anthropic周一（1/26）宣布，旗下AI聊天機器人<a href="https://claude.com/blog/interactive-tools-in-claude" target="_blank">Claude正式導入MCP Apps</a>，能將第三方工具的互動介面直接嵌入Claude中，使Claude從以文字為主的協作工具，進一步走向可視化的工作介面，現已支援Asana、Box、Figma及Slack等9種工具，亦計畫支援Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/166199" target="_blank">MCP（Model Context Protocol）</a>是Anthropic所釋出的開放標準，用來定義AI如何安全連接外部工具、取得脈絡並執行動作；MCP Apps則是建立在MCP之上的官方擴充，讓工具不只被AI呼叫，還能把互動式介面直接嵌入AI對話中，讓使用者與AI即時共同操作同一個工作畫面。</p> <p>Claude過去已能透過MCP連接外部工具，代表使用者建立任務或執行操作，但實際流程多半以文字回饋呈現，工具本身的操作狀態並不透明；而MCP Apps則進一步允許工具供應商將自身的互動式UI一併提供給聊天機器人顯示與操作。</p> <p>在實際操作上，使用者可於Claude對話中直接看到並操作Asana的專案與時程，於格式化預覽中編修Slack訊息，在Figma FigJam中將文字提示轉為流程圖或甘特圖，或透過Hex即時探索含互動式圖表的資料分析結果。Anthropic指出，這樣的設計讓使用者能與AI共同操作同一個工作畫面，而非僅等待AI完成任務後回報結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-MCP%20App-%EF%BC%92.png" style="width: 600px;" /></p> <p>目前MCP Apps所支援的互動式操作工具包括：Amplitude、Asana、Box、Canva、Clay、Figma、Hex、monday.com與Slack等，涵蓋專案管理、設計、資料分析與企業協作等常見工作場景。Anthropic預計很快就會加入Salesforce，透過Agentforce 360替Claude導入更完整的企業情境與資料整合能力。</p> <p>MCP Apps延續了Anthropic對開放標準的布局，讓工具不只提供API結果，而能在AI介面中呈現原生操作體驗。外界認為，這將有助於開發者透過同一套標準，降低跨AI平臺整合的成本。</p> </div></div></div>
1/27 13:33作者陳曉莉https://www.ithome.com.tw/news/173601
傳中國政府介入調查可能造成Meta/Manus收購案生變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-01-23/china-deepens-review-of-meta-s-landmark-2-billion-manus-buyout" target="_blank">彭博報導</a>，中國監管機關深入調查Meta和AI代理人新創公司Manus的收購案是否合法、以及是否涉及技術輸出與資料外流，可能造成收購的推遲甚至取消。</p> <p>由中國創業家肖弘創立Manus提供AI代理人服務，能為企業生成網站原型、內部工具，甚至簡單的業務自動化，而不必具備完整程式開發技能。在2025年3月發表後引發關注。<a href="https://www.ithome.com.tw/news/173091" target="_blank">Meta去年12月底宣布</a>，買下AI代理人開發商Manus，以加速企業人工智慧創新。外傳這起交易價值數十億美元。彭博則稱價值為20億美元。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-01-07/china-reviews-meta-s-2-billion-deal-to-buy-ai-startup-manus" target="_blank">中國商務部本月初宣布</a>將對這項收購案與相關合規性展開評估初步調查。最新宣布中，中國政府將全面審查。審查範圍由技術出口、對外投資合法性，擴大到深入評估Manus收購是否涉及中國技術輸出，以及是否可能導致AI訓練資料外洩等面向。</p> <p>中國官方將深入審查是否涉及中國技術或演算法，是否可能違反《出口管制法》。外國投資調查可能涵括Meta支付收購款項、資金流向、相關外匯和投資報備手續是否符合規定。</p> <p>此外，中國官方也關注Manus AI處理的大量數據。是否會存在未經許可的數據跨境流動或個人資料外洩，審查可能涉及對公司資料架構、儲存及傳輸路徑的評估。</p> <p>最後，報導指出，中國政府可能調查交易是否涉及中國創始人、員工或原始研發貢獻包含中國來源技術，在跨境合併後是否仍然受制於中國法律管轄，並進一步評估有無違規。</p> <p><a href="https://www.worldjournal.com/wj/story/121474/9257709" target="_blank">報導引述專家分析</a>，此舉顯示中方希望加強AI敏感技術出口管控，審查恐耗時半年，且中國官方還可能考量是否若Meta在AI技術或市場上獲得顯著優勢，可能會有反壟斷方面的考量。</p> <p>為避開美中貿易紛爭，Manus母公司Butterfly Effect於2025年中將總部遷往新加坡，營運實體改為Butterfly Effect Pte. Ltd.（新加坡），原本在中國的團隊、業務則逐步縮減或調整。</p> <p><a href="https://www.idnfinancials.com/news/60321/china-investigates-metas-acquisition-of-ai-startup-manus" target="_blank">Meta發言人表示</a>，此交易後，Manus AI將不再有中國所有權，Manus AI也將停止在中國的服務與營運。</p> </div></div></div>
1/27 14:20作者林妍溱https://www.ithome.com.tw/news/173610
Maia 200正式亮相，用以強化微軟自家AI推論基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.microsoft.com/blog/2026/01/26/maia-200-the-ai-accelerator-built-for-inference/" target="_blank">微軟周一（1/26）發表</a>新一代的推論AI加速晶片Maia 200，這是微軟在第一方的AI晶片計畫中，首個進入大規模商用部署的版本；同時，隨著生成式AI進入實際營運階段，微軟正將AI運算從單點效能競賽，推進到長期可擴展、可控成本的雲端基礎設施層級。</p> <p>Maia並非通用GPU的替代品，而是專為大規模AI推論而設計的雲端加速器，<a href="https://www.ithome.com.tw/news/159884" target="_blank">首次於2023年</a>Ignite大會對外揭露。</p> <p>新一代的Maia 200採用台積電3奈米製程打造，內建原生FP4與FP8 Tensor核心，並配置216GB HBM3e、7TB/s記憶體頻寬與272MB晶片內SRAM，整體設計明確鎖定低精度推論與高Token吞吐需求。微軟指出，Maia 200在FP4運算效能上約為第三代AWS Trainium的3倍，FP8效能亦高於Google第七代TPU，且在其資料中心實際部署中，效能成本比提升約30%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Maia%20200-microsoft-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>儘管Maia 200在硬體形態上是一顆AI加速器晶片，但其設計並未止於晶片本身。微軟在開發過程中，同步定義了晶片的互連方式、資料中心網路拓撲、機架配置與散熱方案，使Maia 200能直接融入Azure資料中心，作為可規模化的AI推論運算單位。</p> <p>現階段微軟已將Maia 200部署於Azure資料中心，用於支援包括OpenAI最新GPT-5.2系列模型、Microsoft 365 Copilot與Microsoft Foundry等服務。Maia 200主要承擔高頻率的Token生成任務，作為GPU之外的另一條推論運算路徑，降低對單一硬體平臺的依賴，並提升AI服務在高負載狀態下的成本可預測性。</p> <p>此外，微軟內部的超智慧團隊亦使用Maia 200進行合成資料生成與強化學習，支援下一代自研模型的研發流程。這使Maia不僅服務於既有產品推論，也被納入模型開發與優化體系之中。</p> </div></div></div>
1/27 12:17作者陳曉莉https://www.ithome.com.tw/news/173598
俄羅斯國家級駭客Sandworm鎖定波蘭電力產業，利用惡意軟體DynoWiper抹除資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月底波蘭傳出電力系統遭遇大規模網路攻擊，近日有資安公司指出，攻擊者的身分就是俄羅斯駭客Sandworm。</p> <p>1月23日<strong><a href="https://www.welivesecurity.com/en/eset-research/eset-research-sandworm-cyberattack-poland-power-grid-late-2025/">資安公司ESET表示</a></strong>，去年底波蘭能源系統遭到大規模網路攻擊，根據他們的調查結果，<strong><a href="https://bsky.app/profile/esetresearch.bsky.social/post/3md44r4veyc2e">這起事故發生在12月29日</a></strong>，其特徵與Sandworm過往發動的資料破壞攻擊高度重疊，因此研判應該是這些俄羅斯駭客所為。這次駭客使用的資料破壞軟體（Wiper），ESET命名為DynoWiper。對於整起事故發生的完整過程，該公司表示尚在進一步調查當中，不過，目前尚未出現災情。</p> <p>針對駭客的動機，很可能是Sandworm鎖定能源設施發動攻擊正好滿10週年。2015年12月，該組織攻擊烏克蘭電網，<strong><a href="https://www.ithome.com.tw/news/103331">使用惡意軟體BlackEnergy入侵變電站重要系統</a></strong>，導致約有70萬人停電數小時，而這是首度電力系統因惡意軟體攻擊造成的停擺的事故。</p> <p>這起資安事故的曝光<strong><a href="https://www.reuters.com/sustainability/climate-energy/massive-cyberattack-polish-power-system-december-failed-minister-says-2026-01-13/">源自於路透社的報導</a></strong>，1月13日波蘭能源部長Milosz Motyka透露，該國電力系統於12月的最後一週，遭遇近幾年最大規模的網路攻擊，有別於過往針對大型發電機組或是電力運輸網路下手，這次駭客意圖打亂再生能源設施與配電營運公司之間的通訊，但並未得逞。雖然Motyka當時並未透露攻擊者的身分，不過，路透社認為很有可能是俄羅斯駭客所為，ESET公布的資料，印證了這樣的推測。</p> <p>除了上述的網路攻擊事故，自2022年烏克蘭戰爭爆發，俄羅斯駭客攻擊波蘭關鍵基礎設施的活動顯著增加。路透社取得政府官員的說法指出，2025年俄羅斯軍事情報機構為對波蘭採取網路攻擊的資源，增加了三倍。</p> </div></div></div>
1/27 12:31作者周峻佑https://www.ithome.com.tw/news/173597
微軟傳曾提供BitLocker復原金鑰給FBI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>媒體<a href="https://www.forbes.com/sites/thomasbrewster/2026/01/22/microsoft-gave-fbi-keys-to-unlock-bitlocker-encrypted-data/" target="_blank">Forbes報導</a>，微軟曾將Windows硬碟加密技術BitLocker的復原金鑰交給美國聯邦調查局（FBI），以利警方蒐集偵查案件所需的資料。</p> <p>BitLocker是微軟在Windows 10/11筆電的磁碟加密功能，透過加密整個磁碟機來保護資料安全，避免裝置遺失或被竊時未經授權的第三方存取資料。當登入微軟帳戶時，BitLocker通常會預設自動開啟。</p> <p>使用者可選擇將BitLocker的加密金鑰儲存在個人微軟帳號，或是企業的Active Directory或Azure AD下，以便用戶電腦開機失敗或重置TPM晶片、變更UEFI設定時BitLocker自動加密，由微軟伺服器中取回復原（或修復）金鑰解鎖磁碟。</p> <p>根據報導，2025年微軟將3臺筆電的BitLocker加密/回復金鑰交給了FBI。FBI為了偵辦一起發生於關島的失業救濟金詐騙案，需要存取嫌犯筆電上的資料，因而向微軟出示搜索票。</p> <p>微軟向媒體證實，如果接到有效的法律命令，的確會提供BitLocker回復金鑰。微軟發言人並說，該公司平均每年會接獲20件提供復原金鑰的使用者請求。</p> <p>迫於警方或法院命令交出金鑰雖然情有可原，但從商業及法律倫理來看似乎說不過去，因為這留有行政濫權的空間。另一方面，蘋果也曾面臨執法機關交出資料解密金鑰的壓力。<a href="https://www.ithome.com.tw/news/104023" target="_blank">最著名的</a>是2016年蘋果和FBI因一起槍擊案歹徒的iPhone解鎖事件鬧上法院，原因在於iPhone的安全設計，讓手機資料加密後連蘋果也無法存取。</p> <p>此外Google在Android加入的裝置全資料加密（Full-Disk Encryption）功能，也不會傳送加/解密金鑰到Google伺服器。</p> <p>報導引述約翰霍普金斯大學教授Matt Green說法，蘋果和Google都能做到，微軟卻是唯一一家大廠沒這麼做的。他說，如果廠商能存取到金鑰，執法機關就會找上門來。</p> </div></div></div>
1/27 12:32作者林妍溱https://www.ithome.com.tw/news/173599
Nvidia強化與CoreWeave合作，再以20億美元入股
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidianews.nvidia.com/news/nvidia-and-coreweave-strengthen-collaboration-to-accelerate-buildout-of-ai-factories" target="_blank">Nvidia周一（1/26）宣布</a>，擴大與美國雲端GPU服務供應商CoreWeave的合作，協助該公司在2030年前加速建置超過5GW規模的AI工廠，同時以每股87.2美元的價格、總計20億美元認購CoreWeave股票。根據<a href="https://www.sec.gov/Archives/edgar/data/1045810/000104581026000008/xslSCHEDULE_13G_X01/primary_doc.xml" target="_blank">CoreWeave提交</a>給美國證券交易委員會的文件，這讓Nvidia所持有的CoreWeave股份增加至11.5%。</p> <p>CoreWeave成立於2017年，當時公司名稱為Atlantic Crypto，所聚集的GPU資源主要用來開採加密貨幣。在加密貨幣於2018年崩盤之後，即更名為CoreWeave，並轉型對外供應基於GPU的運算資源，搭上了AI風潮列車。現在的CoreWeave定位為專為AI打造的雲端服務供應商，在美國與歐洲經營超過30個資料中心，部署逾25萬張Nvidia GPU，以支援AI雲端部署。</p> <p>根據美國媒體報導，Nvidia是在2023年首度投資CoreWeave，當時約注資1億美元，每股價格低於6美元；在2025年CoreWeave進行IPO之前，再加碼認購，<a href="https://www.sec.gov/edgar/search/#/q=CoreWeave%252C%2520Inc.%252013D&sort=desc" target="_blank">當時Nvidia</a>總計持有約7%的CoreWeave股份；最近一次的20億美元，讓Nvidia的持股比例增加至11.5%。</p> <p>Nvidia表示，此一投資反映出該公司對CoreWeave業務模式、團隊及成長策略的信心，也認定它是個以Nvidia基礎設施為核心的雲端平臺；為了回應市場對運算資源的需求，雙方將進一步深化在基礎設施、軟體及平臺上的整合。</p> <p>根據雙方的規畫，CoreWeave將負責建置與經營AI工廠，並採用Nvidia的加速運算平臺技術，涵蓋Nvidia Rubin平臺、Nvidia Vera CPU，以及Nvidia BlueField儲存系統；同時Nvidia也將透過其財務實力，協助CoreWeave加速AI工廠在土地、電力與建築等基礎設施層面的投入與採購。</p> <p>周一消息傳出後，CoreWeave當天股價上漲5.73%，以98.31美元作收。CoreWeave在2025年3月28日IPO時的發行價為40美元。</p> </div></div></div>
1/27 12:52作者陳曉莉https://www.ithome.com.tw/news/173600
微軟揭露AI使網釣點擊率飆升4.5倍，竊資軟體興起亦備受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在去年10月發布的微軟2025數位防禦報告中，揭示近期網路犯罪手法出現一項重要變化，正從傳統的系統入侵，大幅轉向竊取合法身分後進行非法登入。對此，微軟印度暨南亞區首席資安顧問Anujh Tewari也進一步解析，指出「社交工程」、「初始存取」、「AI」與「竊資軟體」是企業必須關注的四大重點。</p> <p>首先，我們從新興的竊資軟體（InfoStealer）威脅來看，Anujh Tewari指出，這類惡意威脅幾年前未被視為重要的網路攻擊類別，但2025年微軟觀察到「竊資軟體即服務（InfoStealer as a Service）」模式大量出現，大幅降低攻擊門檻。</p> <p>對此態勢，我們並不感到意外。事實上，過去兩三年來，iThome已多次報導資安公司揭露不同竊資軟體活動的消息。這類惡意威脅不僅能竊取瀏覽器存放的帳號密碼與憑證，亦可存取瀏覽器中的Cookie；部分能力更強的變種，甚至能直接劫持Session Cookie，利用已完成驗證的登入狀態來繞過MFA的防護。</p> <p>值得注意的是，不常接觸資安的人可能誤以為竊資軟體是「偷資料」的惡意軟體。事實上，這裡竊取的「資」是指身分驗證相關的「資訊」（Information），而非一般的「資料（Data）」。更具體地說，InfoStealer竊取的是所謂的憑證（Credentials），包含登入帳密、瀏覽器紀錄的密碼、加密貨幣錢包相關憑證，以及至關重要的Session Cookie。因此，攻擊者並非直接竊取文件，而是先奪取身分權限。一旦身分失守，後續威脅將不再侷限於資料外洩，更可能演變為深度的企業滲透、惡意加密、資料刪除，甚至導致整體的業務停擺與商譽損失。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）微軟數位防禦報告2025_Phishing Landscape_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A2025_Phishing%20Landscape_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>另一更關鍵的威脅態勢，在於社交工程、初始存取、AI的交互作用。Anujh Tewari引用具體數據說明其嚴重性。微軟發現，AI加持下的網釣攻擊點擊率高達54%，相較於傳統釣魚手法的12%，大幅高出4.5倍。他並表示，這顯示一般用戶難以辨別真偽，情況令人憂心。</p> <p>長期以來，社交工程與初始存取一直是網路攻擊的核心戰術，網釣攻擊至今仍是最常見的攻擊管道之一，但現在的狀況是，攻擊者愈來愈頻繁運用AI，打造高度逼真的社交工程誘騙手法，過去許多資安業者都針對此一威脅態勢示警，例如去年<a href="http://www.ithome.com.tw/news/168949">Google在臺揭露</a>攻擊者運用AI真實現況，亦曾提到AI已成為強化社交工程攻擊的常見手法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9B）微軟數位防禦報告2025_Phishing Landscape_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969B%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A2025_Phishing%20Landscape_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>對於社交工程、初始存取、AI的融合攻擊態勢演變，Anujh Tewari指出，2025年的主要威脅已不再侷限於電子郵件，駭客開始利用Teams等協作工具撥打語音電話，冒充IT人員直接騙取存取權限，這類手法正變得愈來愈常見。近年來，我們也多次報導駭客團體Scattered Spider的攻擊事件，以及駭客假扮外部供應商員工透過Microsoft Teams電話發動網釣攻擊，也印證這類威脅日益增加的趨勢。</p> <p>綜合來看，上述攻擊手段最終都指向同一個目標：突破身分權限。根據微軟報告指出，超過97%的身分識別攻擊源自「密碼攻擊」。僅在2025年上半年，身分識別類攻擊便激增32%，顯示企業遭遇的大多數惡意登入嘗試，駭客多半是利用已外洩的帳密資料庫，發動大規模撞庫攻擊。</p> <p>然而，微軟現也指出，利用外洩憑證嘗試非法登入並非唯一的攻擊手段，竊資軟體的使用量在2025年顯著上升，逐漸成為駭客取得初始存取權的重要途徑；此外，Anujh Tewari還提醒，雲端身分濫用呈現增加趨勢，同樣是值得企業持續關注的面向。</p> <p> </p> </div></div></div>
1/27 11:25作者羅正漢https://www.ithome.com.tw/news/173584
微軟發布2025數位防禦報告，臺灣遭網路威脅影響排名全球第十名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟去年10月底發布「數位防禦報告2025」揭露全球威脅態勢，兩個月後，他們透過線上研討會說明報告重點，過程中，他們揭露幾項威脅的數據與臺灣有關。</p> <p>首先，從全球威脅焦點來看，網路犯罪持續是全球最大的地下經濟體，國家級駭客的行動版圖也在持續擴張，微軟印度暨南亞區首席資安顧問Anujh Tewari指出，他們觀察到，美國客戶遭受網路威脅的影響程度全球排名第一，占全球總量的24.8%，其次為英國（5.6%）、以色列（3.5%）、德國（3.3%）、烏克蘭（2.8%）、加拿大（2.6%）、日本（2.6%）、印度（2.3%）、阿拉伯聯合大公國（2.0%）。</p> <p>臺灣也名列其中，與澳洲並列為第10大受威脅程度最嚴重的國家，比例為1.8%。換言之，上述受威脅程度居高不下的國家，正處於這場數位防禦戰的最前線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟數位防禦報告揭露2025年臺灣客戶遭受網路威脅影響排名全球第十名_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A%E6%8F%AD%E9%9C%B22025%E5%B9%B4%E8%87%BA%E7%81%A3%E5%AE%A2%E6%88%B6%E9%81%AD%E5%8F%97%E7%B6%B2%E8%B7%AF%E5%A8%81%E8%84%85%E5%BD%B1%E9%9F%BF%E6%8E%92%E5%90%8D%E5%85%A8%E7%90%83%E7%AC%AC%E5%8D%81%E5%90%8D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>若從產業別來看，全球遭受攻擊最多的產業為「政府機關與服務」及「IT公司」。這類機構掌握大量關鍵公共服務的敏感資料，涵蓋醫療、研究學術、交通與公共安全等範疇，同時吸引出於地緣政治動機的國家級攻擊者，以及以金錢利益為目的的網路犯罪分子，因此成為駭客的首要攻擊目標。</p> <p>不過，Anujh Tewari更想強調的是，「研究與學術機構」雖然僅排名第三，但近年遭受攻擊的情況明顯加劇，相較過往是嚴重許多，主要與其掌握大量研究資料與國際合作資訊有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-26_180710.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-26_180710.jpg" style="width: 600px;" /></a></p> <p>從攻擊動機與目標層面來看，「資料」持續是攻擊者鎖定的重點。Anujh Tewari指出，在過去一年微軟處理的所有被動事件處理案件中，高達8成比例都存在資料搜集的行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-15_174152.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-15_174152.jpg" style="width: 600px;" /></a></p> <p>再從攻擊者鎖定的存取管道來看，遠端桌面協定（RDP）仍是最常被利用的入侵途徑，占比高達53%，其次則是企業的遠端存取入口，占比為26%。因此Anujh Tewari強調，企業需要重視零信任網路安全策略（Zero Trust），以及部署SASE類型的網路架構，評估其如何協助強化整體企業環境的安全性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）微軟數位防禦報告RDP Access_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8ARDP%20Access_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p>此外，Anujh Tewari也進一步說明這些數據的蒐集方式與背景，解釋相關觀察主要來自微軟在全球所偵測到的風險態勢。其偵測範圍與能量涵蓋每天處理約100兆個安全訊號、在身分識別層面每日執行約3,800萬次風險偵測，並結合超過15,000家合作夥伴的情資。另外，微軟也從2023年新啟動SFI（安全未來倡議）計畫，這方面目標主要是提升微軟產品、服務與整體營運的安全性，以對應日益增長的網路攻擊規模與風險。</p> <p>他還提到該公司近年投入約34,000名全職工程師來應對資安，展現對資安的重視。儘管這項數據並非在討論威脅情勢，但從資源投入的規模來看，反映資安人才市場需求的規模不小，單是一家公司所編制的資安團隊規模，就超過許多個別大型企業的員工總數。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-01-15_174027(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-01-15_174027(1).jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
1/27 11:34作者羅正漢https://www.ithome.com.tw/news/173589
北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客利用AI打造惡意軟體的情況越來越常見，過往大多是軟體開發能力不足的新手採用這種方法，不過現在也有國家級駭客將其用於實際攻擊活動。</p> <p>資安業者Check Point揭露<strong><a href="https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/">針對軟體開發人員與工程團隊的網路釣魚活動</a></strong>，此攻擊由北韓駭客組織Konni發起，利用區塊鏈與加密貨幣相關的專案文件作為誘餌，散播AI生成的PowerShell後門程式。這象徵北韓攻擊者的技術手段有了重大演進，AI在網路攻擊中已從實驗階段正式進入實戰運用，並擴張了駭客在亞太地區的攻擊範圍。</p> <p>Konni的攻擊活動最早可追溯到2014年，這些駭客向來的主要目標，是針對韓國的政府、外交、非政府組織（NGO），以及學術界，通常利用朝鮮半島局勢等地緣政治議題，作為誘餌並從事網釣。不過，本次駭客攻擊範圍擴大到整個亞太地區，日本、澳洲，以及印度傳出受害。</p> <p>這些誘餌文件的內容，明確與區塊鏈相關技術有關，內含專案資料，包含架構、技術堆疊、開發時程，以及部分預算與交付里程碑等技術細節。本次活動Konni似乎針對開發工程團隊而來，意圖破壞開發環境，藉此取得敏感資產的存取權限，包括基礎設施、API憑證、加密貨幣錢包，以及加密貨幣資產。Check Point指出，這種針對區塊鏈與加密貨幣的活動，雖然很容易被認定是其他北韓駭客所為，不過Konni過往也有基於財務動機鎖定相關領域的情形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image1-2048x1337.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image1-2048x1337.png" style="width: 580px;" /></a></p> <p>針對攻擊行動的流程，是從Discord伺服器的連結開始，使用者點選後，將下載ZIP檔，其內容包含誘餌PDF檔，以及Windows捷徑檔（LNK），一旦啟動LNK檔，電腦就會執行PowerShell惡意程式載入工具，解出Word文件與CAB檔，並開啟文件檔案誘餌，以轉移使用者注意力，然後擷取CAB檔內容，包括：PowerShell後門、批次檔案，以及用來繞過使用者存取控制（UAC）的工具，最終駭客啟動後門程式，以進行下個階段的活動。不過，對於駭客如何引誘使用者點選Discord連結啟動感染鏈，Check Point並未說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" style="width: 580px;" /></a></p> <p>當PowerShell後門程式啟動時，會先檢查受害電腦的環境，防止在研究人員的分析環境或沙箱運作，其中包括檢查硬體資源是否達到最低門檻，以及掃描IDA、Wireshark、Promon等分析及監控工具。此外，該後門還會監控滑鼠的活動，確認使用者點選動作必須達到一定次數才繼續執行。</p> <p>接著，後門將確認取得的權限，若是一般使用者，該後門將會執行UAC繞過工具來提升權限；假如是管理員，則會在防毒軟體Microsoft Defender將惡意程式列入白名單，並執行另一個批次檔；如果後門得到SYSTEM層級權限，就會部署遠端管理工具SimpleHelp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image7.png" style="width: 580px;" /></a></p> <p>為何Check Point會發現後門由AI生成？原因在於其程式碼結構與邏輯具有明顯的AI生成特徵，結構極其工整，擁有異常清晰、人員容易理解的註解說明，充分描述指令碼的功能；再者，該後門採用模組化設計，當中使用大量AI助理常見的程式碼格式；另外，程式碼當中包含類似「此處應填入特定功能」的占位修飾符號或教學式註解，這也是程式碼由AI生成的重要特徵。</p> </div></div></div>
1/27 11:47作者周峻佑https://www.ithome.com.tw/news/173596
Clawdbot走紅，顯示AI助理正從聊天工具走向行動代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源AI代理專案<a href="https://github.com/clawdbot/clawdbot" target="_blank">Clawdbot</a>近日在開發者社群迅速竄紅，成為AI代理浪潮中的代表案例之一。該專案由奧地利軟體工程師、PSPDFKit共同創辦人Peter Steinberger於2026年1月對外發布，主打「可由使用者自行掌控、部署於本地的個人AI助理」，而非依賴單一雲端產品或專屬介面。</p> <p>Clawdbot的核心概念，是讓大型語言模型從被動回應，進一步成為能實際執行任務的行動代理。使用者可將Clawdbot部署在自己的電腦或伺服器上，並串接OpenAI、Anthropic等大型語言模型API，再透過Telegram、WhatsApp、Slack、Discord、Microsoft Teams等既有通訊平臺與其互動。AI在取得明確授權後，可執行檔案讀寫、終端機指令、網頁抓取與流程自動化等操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-Clawdbot-600(1).png" style="width: 471px;" /></p> <p>與多數雲端AI服務不同，Clawdbot並不強制使用專屬網頁介面，而是融入使用者原本的工作與通訊流程。其架構以Gateway作為控制平面，負責訊息轉發與權限管理，實際的行動能力則來自部署於本地的代理與工具模組。</p> <p>Clawdbot開源後迅速在GitHub累積大量關注，同時引發社群對「本地AI代理」與「行動型AI」的廣泛討論。部分使用者也在社群平臺分享實驗案例，例如創業家<a href="https://x.com/AlexFinn/status/2015133627043270750" target="_blank">Alex Finn表示</a>，他將Clawdbot部署於本地，用於內容腳本、電子報與競品研究等流程自動化；研究人員<a href="https://x.com/heyshrutimishra/status/2015327280911073789" target="_blank">Shruti Mishra則指出</a>，透過權限與工具配置，Clawdbot可讓大型語言模型不只生成文字，而是進一步執行檔案處理與網路操作等實際行動。</p> <p>整體而言，Clawdbot目前仍更接近一個開發者框架與實驗場，而非成熟的消費級產品。其影響力，或許不在於短期實際用戶數，而在於清楚示範了一種可能性：未來的AI助理，未必只能存在於雲端聊天框，而是能在使用者可控的環境中，真正參與並推動工作流程。</p> </div></div></div>
1/27 11:50作者陳曉莉https://www.ithome.com.tw/news/173578
金融CIO和CISO必看！金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，其中，有7項延續了2.0方案，延續且擴大或強化的措施也有10項，其餘新增措施則多達了12項。</p> <p>雖然這是一份長達四年的資安監理政策，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。所以，我們整理了一份CIO和CISO一定要知道的2026年金管會資安監理最新重點措施。</p> <p>2026年底前，金管會已經宣布將完成的重點工作是，訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。</p> <p>2026年，還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。</p> <h2><strong>新資安監理要求1：明定資安長權責</strong></h2> <p>先來看治理面的資安長新權責要求，原本在「金融資安行動方案」中，只要求一定規模的金融業要設立資安長，董事會則要有資安專業的成員，沒有針對資安長的職責有更多細緻的規範。從2026年開始，金管會進一步強化了資安長的職責和權責要求，明確要求金融機構得明定資安長職責，包括了在資安治理、風險管理、事件應對上的具體職責，資安長也要簽署保證資安業務合規的聲明書。</p> <p>金管會更要求，每一年，資安長必須到董事會報告前一年資安執行情況，金管會甚至列出了一定要報告的項目，包括了資安計畫執行及變更情況，重大資安事件與改善措施、現行資安風險評估情形和控制措施的有效性、資安預算的運用與資源配置。這個要求，也將資安預算的討論拉高到董事會層級。</p> <p>值得觀察的是，雖然，金管會在去年底記者會中沒有透露，明定資安長權責的新要求，是否會延續擴大到上市櫃公司。金管會在2021年要求金融機構設置資安長之後，不到一年也跟著要求大型上市櫃公司跟進，比照金融業設置資安長。所以，上市櫃公司也不可忽視，也得開始因應這項新金融資安監理規範預先做合規的準備。</p> <h2><strong>新資安監理要求2：零信任架構成為必備</strong></h2> <p>金管會從金融資安行動方案2.0開始鼓勵金融業導入，也訂出了四階段的零信任成熟度分級，並提出六個鼓勵金融業者導入的高風險場域，包括遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商和跨機構協作。根據金管會調查，多數金融機構至少有1個場域導入或是規畫要導入零信任架構，最多金融業導入的場域是遠距辦公，其次是系統維運管理。</p> <p>到了2026年的韌性發展藍圖，零信任架構從鼓勵導入政策，轉為必須導入的要求，而上述六大鼓勵導入場域，也變成了六大優先導入場域，金管會也要求金融機構要逐漸提高零信任架構的成熟度階段。<br /> 雖然金管會還沒有明確訂出零信任架構的導入時程，但金管會已經預告，未來會逐漸將零信任實作的參考原則，納入金融業的資安基礎規範，零信任架構已經成為金融業者的資安必備架構。</p> <h2><strong>新資安監理要求3：軟體供應鏈安全機制</strong></h2> <p>根據我們去年2025年CIO大調查，金融業對於軟體物料清單SBOM技術的採用，雖然是各產業最高者，但也只有14%，每七家金融業者只有一家採用。但在金管會新的資安韌性發展藍圖中，SBOM將成為金融業未來非導入不可的新監理要求。</p> <p>在這份藍圖中，金管會將資安左移、安全納入設計列為新的監理重點，其中，資安左移屬於鼓勵導入的項目，但是軟體供應鏈透明化和弱點追蹤機制，則列為必須建立的項目，不過，金管會沒有明定出金融業者必須導入SBOM的時間，只列入四年持續達成的新措施。</p> <p>金管會提出的SBOM應用場景，則用於金融業者完成程式碼後，透過軟體成分分析，識別出這段程式碼所用的組件，包括開源元件或第三方元件，產生一份軟體物料清單（SBOM），同時也要連結到弱點資料庫(CVE)或是已知被利用的漏洞來比對，像是CISA的KEV清單，可以建立一個漏洞管理與即時版本更新的機制。 </p> <p>除了三項明確的新資安監理要求之外，金管會更明確宣布，2026年將完成的多項指引和資安基準，包括了針對金融業者的「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，以及提供金融業管理IT供應商的新措施「供應商分級及委外資安責任參考範本」。</p> <h2><strong>2026年新金融資安基準：API安全基準、容器服務監控基準</strong></h2> <p>API安全基準是資安左移措施下的一項配套要求，金管會原有針對金融科技應用，責成銀行公會制定了一套開放銀行Open API規範，用來規範特定項目的開放金融API，包括了公開資料查詢、消費者資訊查詢和少數交易面資訊的API應用。</p> <p>金管會預定進一步擴大這份Open API規範，訂定更完整而且涵蓋了與對外合作夥伴串接用的Partner API以及對內的Internal API的安全基準，以存取資料的機敏程度和對象來分類和分級。這一套金融對內對外的API安全基準，是必將成為銀行等金融業者API通用基準，有意與金融業往來的IT供應商也勢必得遵循同一套API基準。</p> <p>換句話說，金管會預計在2026年要訂定的API安全基準，有可能成為臺灣業界自願遵循的API安全通則。</p> <p>金管會對資安基準的強化不只如此，原有的雲端資安監控基準規範，2026年也將新增容器服務，這是微服務和GAI應用最常用的雲原生運算資源，2027年還會擴增更多PaaS範疇，像是雲端資料庫、無伺服器應用、雲端SOAR等，未來都會納入到統一的監控規範中。</p> <p>雲端資安監控基準的制定，等於統一了金融業所用的雲端服務監控指標，形成一套金融業界通用的可觀察性指標，也有助跨機構的監控數據的互通，來強化跨機構的韌性協作或資安聯防。</p> <p>這兩套新的資安基準，更意味著，金融業通用的資安基準涵蓋範圍，從傳統的VM型應用，延伸擴大到雲原生應用。</p> <h2><strong>2026年新興技術資安指引：AI系統安全防護及檢測和PQC遷移資安指引</strong></h2> <p>資安基準的調整是為了因應金融IT現代化的發展，金融主流IT技術，從VM型應用，轉向了容器應用為主的雲原生浪潮。而另外針對新興科技的發展，金管會更積極要在2026年，訂出兩套新興技術的資安參考指引，包括了AI系統的安全防護及檢測參考指引，以及後量子演算法遷移的參考指引。</p> <p>針對「AI系統安全防護及檢測參考指引」，將是一套涵蓋從系統設計到服務提供等AI生命週期的治理機制，金管會計畫參考國際組織OWASP 的生成式AI 安全性專案、AI進階威脅框架MITRE ATLAS 等國際AI資安框架的安全設計及檢測機制。</p> <p>而後量子密碼則已在2025年7月找來少數金融機構，設立先導小組，目前正在持續進行密碼學技術清單的建立，也會建立相關業務風險的評估機制等。金管會同樣預定在2026年發布金融業PQC遷移的參考指引。<br /> 這兩項參考指引同樣領先各產業主管機關，勢必成為其他產業跟進的參考目標。不只金融業者，就連其他產業或相關資訊業者，這兩份指引都相當值得參考。 </p> <h2><strong>2026年新金融IT委外措施：供應商分級及委外資安責任參考範本</strong></h2> <p>早在2019年，金管會修正金融委外規定，開放金融業可以上雲，2023年更進一步鬆綁，放寬金融上境外公雲的規範。這是過去幾年最重要的兩次金融委外辦法修正，也促成了臺灣金融產業的上雲潮。</p> <p>2026年，金融委外辦法即將再一次的重大修正，金管會要訂定委外資安責任參考範本，針對銀行與第三方供應商的委外契約，訂出參考範本。不是採取一體適用的契約，而將針對金融產業特性、供應商所接觸的系統類別、資料敏感度等面向來提供不同資安責任等級的參考委外契約，這等於也訂定了一套新的金融IT供應商分級管理制度。 </p> <p>這份契約範本預計涵蓋資安服務水準會議(SLA)、資料保護責任、對於資安事件之通報時限及資安風險揭露等，另外也會要求供應商必須提供軟體產品的軟體物料清單（SBOM），違反的業者將有罰則。這個措施，賦予了供應鏈透明化要求的法源，影響不只金融業者，而擴大到與金融業有往來的所有第三方IT供應商。</p> <h1><span style="color:#FF0000;"><strong>2026年金管會新增的重點資安監理要求</strong></span></h1> <ol> <li> <h3>明定資安長權責，每年，資安長必須到董事會報告前一年資安執行情況。</h3> </li> <li> <h3>金融業要建立軟體供應鏈安全機制，如SBOM表。</h3> </li> <li> <h3>零信任架構成為必備，優先導入六大高風險場域</h3> </li> <li> <h3>2026訂定新金融資安基準：API安全基準、容器服務監控基準</h3> </li> <li> <h3>2026公布新興技術資安指引：AI系統安全防護及檢測參考指引、PQC遷移資安指引</h3> </li> <li> <h3>2026年新金融IT委外措施：供應商分級、委外資安責任參考範本</h3> </li> </ol> <h3><span style="font-size: 13px;">資料來源：金管會</span></h3> </div></div></div>
1/27 09:29作者王宏仁https://www.ithome.com.tw/news/173594
CISA警告VMware vCenter重大漏洞CVE-2024-37079已遭濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施管理署（CISA）上周（1/23）正式將2024年修補的VMware vCenter Server重大漏洞，<a href="https://www.cisa.gov/news-events/alerts/2026/01/23/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">加入已知遭濫用漏洞（KEV）清單</a>，要求聯邦政府機關限期完成軟體的防護措施。</p> <p>CVE-2024-37079為存在VMware vCenter Server中對DCERPC實作的堆積溢位漏洞，具有vCenter Server存取權限的攻擊者可傳送變造的網路封包觸發本漏洞，進而遠端執行程式碼，而無需系統高級權限或使用者互動。這項漏洞CVSS風險值達9.8。<a href="https://www.ithome.com.tw/news/163541" target="_blank">VMware在2024年</a>6月已釋出更新版解決該漏洞。</p> <p>CISA在安全公告指出，CVE-2024-37079屬於越界寫入漏洞，是常見的網路攻擊向量，對聯邦政府及相關機關造成重大危害，因此要求在2月13日之前完成IT環境盤查和軟體升級。</p> <p>VMware的新東家博通也<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453#:~:text=Notes" target="_blank">更新了CVE-2024-37079的安全公告</a>，說明已接獲本漏洞可能遭到濫用的資訊。</p> <p>不過目前濫用本漏洞的惡意活動為何或背後組織尚不得而知。</p> </div></div></div>
1/27 10:37作者林妍溱https://www.ithome.com.tw/news/173595
Kubernetes祕密管理工具External Secrets Operator爆重大漏洞，恐跨命名空間外洩身分憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Kubernetes生態系常用的祕密管理元件External Secrets Operator（ESO）近日被揭露存在重大資安漏洞。在特定條件下，攻擊者可能繞過原有的命名空間隔離機制，存取不屬於自身命名空間的Kubernetes Secret。該漏洞已被編號為CVE-2026-22822，CVSS風險分數達9.3分，屬於重大（Critical）等級漏洞。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>範本函式設計疏失，破壞Kubernetes命名空間隔離</strong></span></span></p> <p>External Secrets Operator是一款部署於Kubernetes環境中的控制器，主要用途是將雲端祕密管理服務或第三方金鑰系統中的敏感資料，同步為Kubernetes Secret，讓應用程式不必直接持有外部祕密存取能力。</p> <p>根據<a href="https://github.com/external-secrets/external-secrets/security/advisories/GHSA-77v3-r3jw-j2v2" target="_blank">官方GitHub安全公告</a>與美國國家漏洞資料庫<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22822" target="_blank">（NVD）</a>的說明，CVE-2026-22822的問題出在External Secrets Operator提供的一項範本函式getSecretKey。該函式原本用於支援特定祕密管理後端，但在設計上，卻允許控制器在既有的權限邊界下，執行跨命名空間讀取Kubernetes Secret的行為。</p> <p><a href="http://github.com/external-secrets/external-secrets/security/advisories/GHSA-77v3-r3jw-j2v2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-external-secrets-CVE-2026-22822-600.png" style="width: 600px;" /></a></p> <p data-end="771" data-start="684">在錯誤設定或遭到惡意運用的情境下，攻擊者可透過ExternalSecret資源，間接存取其他命名空間中的敏感資料，進而破壞Kubernetes核心安全假設之一的命名空間隔離。</p> <p data-end="912" data-start="773">External Secrets Operator開發團隊指出，該漏洞影響v0.20.2以上、v1.2.0以前的多個版本。由於問題源自功能設計本身，而非單純的程式實作錯誤，官方最終選擇在v1.2.0版本中，完全移除getSecretKey相關功能，改以其他受控方式存取祕密資料。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">位於祕密存取關卡，一旦失守，不只影響單一工作負載</span></span></strong></p> <p>從系統架構來看，External Secrets Operator負責集中處理祕密同步流程，讓應用程式僅需讀取Kubernetes Secret，而不必直接存取雲端金鑰或祕密管理服務。由於該元件通常部署於正式環境，並管理多個服務共用的敏感資料，一旦其功能設計或存取行為出現缺陷，影響就可能擴大至整個叢集。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>尚未觀測到大規模濫用，建議儘速升級並檢視控制器行為範圍</strong></span></span></p> <p data-end="1228" data-start="1130">目前尚未有明確證據顯示CVE-2026-22822已遭大規模濫用。不過研究人員指出，凡是能突破命名空間隔離、跨範圍讀取Secret的漏洞，本質上都具備高度攻擊價值，特別是在多租戶或共用叢集環境中。</p> <p data-end="1376" data-start="1230">External Secrets Operator開發團隊已建議使用者儘速升級至v1.2.0以上版本，並重新盤點該控制器實際可執行的行為與祕密存取範圍，確認其運作方式是否仍符合原本的命名空間隔離與最小權限設計假設。資安人員也應將祕密管理控制器視為高敏感元件，納入例行的設定稽核與行為檢視範圍。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為何這類漏洞比一般Kubernetes漏洞更危險</strong></span></span></p> <p>資安界指出，CVE-2026-22822的風險關鍵，不在於單一功能出錯，而是動搖Kubernetes賴以成立的命名空間隔離前提。由於External Secrets Operator本身掌握祕密同步與存取能力，一旦設計邊界失守，影響範圍便不再侷限於單一服務，而可能導致多個工作負載共用的憑證與金鑰遭非預期存取。對多租戶或共用叢集環境而言，其實際衝擊往往高於僅影響單一元件的Kubernetes漏洞。</p> </div></div></div>
1/27 09:57作者王珮瑤https://www.ithome.com.tw/news/173593
K8s新設Checkpoint Restore工作組，強化搶占與跨節點調度的狀態保存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Kubernetes社群<a href="https://www.kubernetes.dev/blog/2026/01/21/introducing-checkpoint-restore-wg/">成立檢查點與還原（Checkpoint/Restore）工作組</a>，推進檢查點與還原能力與Kubernetes的整合，並作為Kubernetes貢獻者與CRIU（Checkpoint/Restore In Userspace）社群討論需求的協作平臺。官方在公告中點出多個將優先被帶進討論的方向，包含互動式工作負載的資源使用最佳化、縮短長初始化應用的啟動時間、長時間工作負載的容錯，以及中斷感知排程（Interruption-aware Scheduling）與跨節點搬遷。</p> <p>檢查點與還原是在程序或容器仍在執行時，先保存一份可恢復的執行狀態，必要時再從保存點接續運作。以快啟動為例，公告提到Java應用與大型語言模型推論服務等情境，在啟動階段需要較長的初始化，要是能在初始化完成後建立檢查點，之後擴展或重啟就有機會從接近就緒的狀態直接開始，降低等待時間與資源浪費。</p> <p>可搶占排程的情境，是讓排程更能處理中斷。在資源緊張時，叢集可能需要讓出資源給較高優先級Pod，而較低優先級Pod只能透過重新啟動回到可用狀態，工作組提出的方向是中斷感知排程搭配透明的檢查點與還原，讓較低優先級Pod在被搶占前先保存執行狀態，待資源允許後再還原繼續執行，讓搶占帶來的中斷成本更可預期。</p> <p>至於Pod搬遷，公告中提到因為負載平衡與節點維護的需求，過去搬遷常伴隨重啟或短暫中斷，對互動式工作負載不友善，工作組希望透過檢查點保存運行狀態，並在另一個節點完成還原並接續運行，讓跨節點搬遷在不干擾工作負載的前提下更可行，也讓叢集維運與資源調度更有彈性。</p> <p>至於Pod搬遷，公告列出的情境之一是因負載平衡與節點維護而需要跨節點重新安排Pod。若以重建或重啟的方式重新安排，對互動式工作負載可能造成中斷。工作組希望透過檢查點保存運行狀態，並在另一個節點完成還原後接續運行，讓跨節點搬遷在不干擾工作負載的前提下更可行，也讓叢集維運與資源調度更有彈性。</p> <p>除以上三項重點，工作組也把周期性檢查點列為容錯手段，對分散式模型訓練等長時間工作負載，可在失效後回到最近保存點，減少重算成本。同時也提出鑑識用檢查點，強調在網路攻擊、資料外洩或未授權存取等資安事件發生後，保存當下狀態以便後續分析。</p> </div></div></div>
1/27 08:25作者李建興https://www.ithome.com.tw/news/173592
跨平臺工具鏈導入Windows現代API門檻降低，微軟winapp CLI公開預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://blogs.windows.com/windowsdeveloper/2026/01/22/announcing-winapp-the-windows-app-development-cli/">宣布</a>Windows App Development CLI（winapp）進入公開預覽階段，該開源命令列工具針對跨平臺框架，以及不以Visual Studio或MSBuild為核心的開發流程，把Windows應用程式常見的環境準備與封裝作業整合成一致的指令介面，使得不同工具鏈更容易使用Windows AI等現代API功能。</p> <p>微軟指出，Windows開發往往得管理多個SDK版本，處理資訊清單與憑證，並面對複雜的封裝要求。對Electron和CMake等工具鏈而言，這些前置作業容易成為程式進入Windows平臺的阻力，而winapp的方向是把分散的步驟集中到單一CLI，降低手動設定造成的錯誤與時間成本。</p> <p>Winapp提供以單一指令完成初始化與還原的機制，開發者可下載所需SDK套件並建立基本設定，也支援在GitHub Actions與Azure DevOps等CI/CD流程中自動安裝，讓團隊或多臺機器可重建一致的環境狀態。</p> <p>官方強調，包含Windows AI、安全性與通知等多項Windows API，常要求應用程式具備套件身分。過去開發者需要先完整封裝並安裝應用程式才能測試相關功能，導致除錯迴圈變長，但是winapp提供建立除錯用身分的能力，讓既有可執行檔在除錯階段也能取得所需身分，縮短驗證路徑。</p> <p>在封裝與簽署上，winapp以命令列介面提供MSIX封裝與簽署能力，官方表示，工具可從建置輸出產生可供商店提交或側載的套件，並把封裝與簽署串成較一致的流程，讓不使用MSBuild的專案也能用相近方式產出Windows套件。</p> <p>針對Electron生態，微軟也把winapp以npm套件形式提供，並加入用來串接Node.js與Windows原生程式碼的相關指令，協助開發者建立原生附加元件，同時在需要套件身分的情境下，仍能維持較順暢的除錯流程。微軟也透露，已開始利用這套CLI建置實驗性的Node.jsAPI投影（Projection），讓Node.js程式能以較貼近JavaScript的方式呼叫Windows AI等相關能力。</p> <p>微軟強調winapp仍處於早期階段，仍有多種Windows開發情境在規畫與實作中，此次先釋出公開預覽版，主要用意是蒐集實際使用回饋與功能需求。現階段winapp已在GitHub提供文件、指南與問題回報管道。安裝方面，官方提供透過Windows Package Manager的WinGet安裝，也提供NPM套件供Electron專案導入。</p> </div></div></div>
1/26 18:27作者李建興https://www.ithome.com.tw/news/173591
【資安日報】1月26日，ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173581"><strong style="font-size: 22px;">身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 300px; float: right;" /></a></p> <p>身分驗證業者Okta偵測到有開發團隊以租用服務形式提供客製化的網釣套件，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。資安新聞網站Bleeping Computer指出，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>對此，ShinyHunters後來聲稱這波攻擊行動是他們所為，並表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/173577"><strong style="font-size: 22px;">Fortinet坦承FortiCloud SSO漏洞修補不全，將再釋出更新</strong></a></p> <p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet上週證實去年12月修補的FortiCloud單一登入（SSO）整合漏洞，發生修補不全的問題，承諾將再釋出更新軟體。</p> <p>今年1月15日起，資安公司Arctic Wolf發現新一波針對FortiGate裝置的惡意活動，不明人士濫用CVE-2025-59718，擅自以管理者帳號經由FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於相關活動僅間隔數秒，Arctic Wolf判斷可能是自動化指令碼程式或工具執行。</p> <p>對此，Fortinet指出有部分攻擊事故發生在已完成修補的設備，研判有新的攻擊途徑，該公司產品安全團隊聲稱已經找出問題，正在趕製修補程式，待修補範圍及時程確定後，將發布新的安全公告。Fortinet強調，目前僅有該廠牌的單一登入功能遭濫用，不過這項弱點也可能影響其他實作SAML單一登入的環境。</p> <p><a href="https://www.ithome.com.tw/news/173576"><strong style="font-size: 22px;">未設密碼防護的資料庫系統暴露在公開網路，iCloud、Gmail、Netflix等近1.5億筆憑證曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/149m-infostealer-data-exposed-3.png" style="width: 300px; float: right;" /></a></p> <p>VPN業者ExpressVPN指出，資安研究員Jeremiah Fowler發現有1.49億筆帳密資料的雲端資料庫，該資料庫未設置密碼或套用加密防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的憑證曝險。</p> <p>Jeremiah Fowler估計，公開的資料涵括主要雲端郵件服務及雲端服務，其中Gmail最多，有4,800萬筆、Yahoo與Outlook居次，分別為400萬筆及150萬筆，iCloud有9萬筆。此外，其他常見的社群網站或服務包含臉書、Instagram、Netflix、抖音、幣安（Binance），以及OnlyFans，分別有1,700萬、650萬、340萬、78萬、42萬，以及10萬筆。值得留意的是，學術機構（.edu網域）平臺的憑證，有140萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加，可能還會影響國家安全和公共安全。</p> <p><a href="https://www.ithome.com.tw/news/173575"><strong style="font-size: 22px;">駭客宣稱駭入Nike竊得近19萬份檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WorldLeaks-Nike.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究人員Dominic Alvieri發現，駭客組織WorldLeaks在網站張貼公告，宣稱駭入知名運動品牌Nike，竊得18.8萬份檔案、共1.4 TB資料。</p> <p>為了取信買家，駭客張貼螢幕擷圖來證明。根據截圖內容，外洩的資料可能來自其中一家Nike的分公司，至少包含製造端，像是多個系列的製造和工廠資料。從螢幕截圖的倒數日期來判斷，WorldLeaks疑似向Nike施壓，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p>對此，Nike對媒體表示，該公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.ithome.com.tw/news/173573"><strong style="font-size: 22px;">惡意軟體測試服務AVCheck遭瓦解，荷蘭警方逮捕疑似實際營運者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dutch-Police-Arrest-33-Year-Old-Suspect-Linked-to-AVCheck-Malware-Network-1.jpg" style="width: 300px; float: right;" /></a></p> <p>多國執法單位在2025年中旬瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體HackRead引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie發布的官方聲明，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p>荷蘭警方說明，AVCheck屬於所謂的「反防毒測試服務（Counter Antivirus，CAV）」，主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p><a href="https://www.ithome.com.tw/news/173572"><strong style="font-size: 22px;">歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商</strong></a></p> <p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（Cybersecurity Package）」，內容包括修訂《歐盟網路安全法》（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p>此次推動修法與2020年推出的「5G網路安全工具箱」（EU 5G Security Toolbox）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p><a href="https://www.ithome.com.tw/news/173559"><strong style="font-size: 22px;">愛爾蘭新法草案允許警察使用間諜軟體惹議</strong></a></p> <p>愛爾蘭一項新法案允許警方使用間諜軟體來截取人民所有通訊內容，以偵辦及防範犯罪及國家安全危害事件。</p> <p>這項法案名為通訊攔截與合法存取法案（Communications Interception and Lawful Access Bill）是由愛爾蘭司法、內政暨移民部提出的新法草案，本法案旨在反映現代通訊技術環境的變化，將更新並取代20多年前制訂的《郵政包裹與電信訊息法Regulation Act》，以作為「合法攔截通訊」的法規框架。</p> <p>愛爾蘭民權協會（Irish Council for Civil Liberties）認為，新法案將賦予愛爾蘭警方「深度侵入性」的權力。全球加密聯盟（Global Encryption Coalition）則警告法案可能削弱整體通訊加密強度與安全性，是對廣泛使用者造成風險。公開信中還指出一些歐盟成員國已經對愛爾蘭參與的聊天控管（Chat Control）措施表態反對，稱其對隱私構成重大威脅。</p> <p><a href="https://www.ithome.com.tw/news/173570"><strong style="font-size: 22px;">約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限</strong></a></p> <p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為CVE-2025-14533，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體Bleeping Computer與WordPress資安公司Wordfence的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/konni-hackers-target-blockchain-engineers-with-ai-built-malware/">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員及工程師而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-osiris-ransomware-emerges-as-new.html">勒索軟體Osiris鎖定東南亞餐飲加盟廠商，利用惡意驅動程式Poortry迴避偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/multi-stage-phishing-campaign-targets.html">惡意軟體Amnesia RAT與勒索軟體鎖定俄羅斯而來，駭客濫用Defendbot停用防毒</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/">運動品牌Under Armour調查客戶電子郵件信箱外洩事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-malware-uses-ai-to-click-on-hidden-browser-ads/">安卓點擊詐欺木馬利用機器學習模型TensorFlow，自動偵測並與廣告互動</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173507"><strong>【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</strong></a></p> </div></div></div>
1/26 17:40作者周峻佑https://www.ithome.com.tw/news/173582
【幕後技術】直播臺北101徒手攀登的關鍵，Netflix如何打造千萬人直播的IT架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>站在508公尺高的臺北101大樓最高點，昨天全球Netflix觀眾都看到了美國徒手攀岩大神霍諾德的英姿。這是Netflix直播節目距離地面最高的一個直播現場。</p> <p>早在3年前，2022年中，全球串流影音龍頭Netflix，Netflix問了自己一個問題，能不能用直播來娛樂全世界？要如何做到？</p> <p>這一問，啟動了Netflix一項全新的節目形式：直播節目。第一場就是2023年3月4日開播的現場喜劇表演「克里斯洛克的「抓狂有道」，後續更一連直播了數百場節目，從美式足球比賽，到全球最賺錢YouTuber與前世界拳王泰森對決直播，最熱烈的這場拳賽，更吸引超過6500萬人線上同步收看。甚至美國職業摔角聯盟WWE的比賽，每一個禮拜都在Netflix平臺獨家直播到全球。Netflix甚至已經開始計畫，明年在加拿大地區提供，世界盃女子足球比賽的全賽事直播。</p> <p>昨天剛落幕的霍諾德徒手攀登臺北101大樓，正是這系列直播節目的其中一場，但是這一次的直播現場，是拍攝現場距離地面最高的一次。不只有高空的直升機、無人機，還有從臺北101吊掛鋼索，跟著霍諾德一步步升高的高空攝影師，就吊掛在距離霍諾德幾公尺旁運鏡。101大樓不同高度的露臺，更設置了不少攝影機，來拍攝更多角度的畫面，光是用來傳輸節目的光纖長度就超過900公尺，還特地從英國空運來臺設置。</p> <p>根據美國媒體推測，Netflix直播節目收看人數最高的一場是2024年11月，27歲網紅和前世界拳王泰森的直播表演賽，吸引超過6千萬戶家庭，同時上線人數最高達到6,500萬人。美國媒體推測，光靠這場比賽，Netflix第四季的訂戶就暴增了1千萬人。</p> <p>為了確保直播順暢，Netflix採用了許多開源技術和自製的大規模即時監控技術，每秒可以處理最多到3800萬個資料事件，才足以因應如此龐大規模的全球直播活動。</p> <p>2022年中，推出串流影音服務超過15年的Netflix，開始思考一個問題，能不能用直播來娛樂全球，也展開了相關的技術架構準備。因為全球規模的直播活動，與Netflix原本的影音串流架構有很大的不同，甚至可說，當時的Netflix技術架構，還無法支撐起全球性的直播活動。</p> <p>所以，Netflix先用一場劇場中的喜劇節目作為試點，也就是主持過奧斯卡頒獎的克里斯、洛克的脫口秀「抓狂有道」。</p> <p>不過，Netflix下定決心要做直播節目時，距離這場脫口秀，只剩下9個月的時間準備，需要快速執行，同時又要考慮得日後的規模化和多樣性，來進行架構設計。他們決定要從直播生命週期的角度，涵蓋製作到螢幕播放的全程，來設計這款新的影音節目產品。</p> <h2><span style="color:#FF0000;"><strong>顛覆Netflix既有模式的挑戰，直播節目與按需播放的五大不同</strong></span></h2> <p>從技術層面來看，Netflix擅長的是Video On Demand（按需播放）形式，這和直播節目的Live Streaming形式，有五大不同。從取材角度來看，第一的不同是，從拍攝鏡頭到觀眾螢幕的時間大不同。按需播放形式往往可以擁有好幾天到好幾個月的時間，但是，直播只有幾秒鐘，得完成從畫面捕捉，轉碼，處理成不同影音串流可用的內容形式。</p> <p>從觀眾角度來說，兩種模式提供的使用者體驗也很不一樣，按需播放提供的是隨時、隨地，隨意裝置都可以收看的內容，但是，直播是預先排定的固定時間，更需要許多事前宣傳和促銷活動。</p> <p>更進一步來看技術面，第三個不同是觀看模式的差異，這也會帶來截然不同的網路流量高峰變化。按需播放模式有週期性，定期會出現流量高峰，可以善用像CDN來預先配置資源，或是參考歷史流量記錄，運用公雲來分流。但是，直播節目的流量，是完全不確定的爆量，隨時都可以爆量，需要更即時回應和規模調整的負載平衡能力。</p> <p>回放暫存單位的差異是第四項不同點，按需播放形式的暫存單位以「分鐘」為單位來快取，可以有幾分鐘的快取，但是，直播必須以秒為單位來處理延遲。<br /> 最後一項是兩者的運作模式也大不相同。按需播放形式採取了「待命模式（On-call）」，觀眾有需要才會播放，沒人看甚至都不用播放，但是，直播是即時性的節目，一旦有問題得，就得在最快時間內恢復播放。</p> <p>Netflix的目標是，盡可能支援最多種類的裝置，都可以流暢的播放，也要有能力支援當時全球超過3億名用戶的收看規模。</p> <h2><strong><span style="color:#FF0000;">為支援全球任何地點直播，NetFlix如何設計直播技術架構</span></strong></h2> <p>為了支援日後可能在全球任何地方舉行的節目，（當初應該沒有想到，有一天會在508公尺的高空拍攝），因為不見得每一個地點都有充足的現場直播設施或是妥善的網路連線。Netflix直播技術團隊，採取了分散式的廣播營運中心（Broadcast Operations Center）架構，搭配可以用來偵測和截取訊號、同時又可以處理字幕、圖文和廣告管理的專用系統。盡可能採取可重複利用和高度自動化的架構。</p> <p>整個直播節目的技術運作架構如下，從直播製作，廣播維運中心（取得影音和檢查），直播編碼流程（進行轉碼，封裝，播放），再將內容傳送到分散式CDN服務，再發送到使用者端的裝置。另外還有一套內容處理的雲端服務，涵蓋了訊息推送，回放服務，探索內容服務（例如推薦功能）。</p> <p><strong>Netflix直播節目的技術運作架構，關鍵是製作和播放區分成兩套架構。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>Netflix直播節目的設計是將製作和播放區分開來，現場直播節目製造組，只需要將節目內容傳送到播放單位，也就是廣播維運中心，後續全部由廣播維運中心來負責。</p> <p>廣播維運中心收到的來源，包含了已製作完成的節目，但是還需進行編碼和打包等多項數位處理，才能串流傳輸到不同裝置。這些處理全都透過公雲的服務來處理，舉例來說，透過公雲服務將內容轉碼成各種視訊品質等級的內容版本，可以針對每個節目設計不同的視訊品質。例如第一檔直播的喜劇節目Chris Rock: Selective Outrage，採用了每秒30幀的超高清畫質，而在去年舉辦的多場NFL美國美式足球聯盟聖誕大賽中，則採用了每秒59.94幀的高清畫質，同時包括4種語言的聲音和廣告。數位版權管理 (DRM)、內容管理和內容交付服務也都部署在公雲上。</p> <p>交付內容時，主要透過Netflix自行開發的CDN服務Open Connect，在靠近觀眾的6千個地點上，建置了超過18,000臺CDN伺服器，並透過專用的 Open Connect骨幹網路，連接到公雲業者的句點，串接影音來源的主機。光是這套Open Connect及時交付架構，Netflix過去十多年來投入超過10億美元的投資。</p> <p>為了讓多數用戶，不用需升級串流媒體的設備，就可以存取直播節目，Netflix三年前就決定相容性最廣的HTTPS Live Streaming。採用了AVC和HEVC視訊編解碼器，可以支援從高清到 4K畫質等多種影音品質等級的影音轉碼。為了兼顧壓縮效率、基礎設施的負載和傳輸延遲的考量，Netflix最後採取了2秒片段時長的快取設計。直播節目進行時，還有數十隻雲端服務，提供播放配置、個人化調整以及相關顧客數據指標的搜集。</p> <h2><strong><span style="color:#FF0000;">直播架構大量依靠開源技術，也自行開發多套串流工具平臺</span></strong></h2> <p>直播節目所用的即時監控系統，採用了Netflix內部開發的工具，像是即時串流分析工具Atlas、串流處理即服務平臺Mantis、自助式儀表板工具Lumen，也採用了開源 Kafka和Druid來建置，曾經支援過最大型的直播活動，整套Netflix直播系統，每秒可以處理高達3,800萬個事件，只要幾秒鐘，就可以提供關鍵指標和營運分析。</p> <p>在每一場直播節目開播之前，他們也有不少準備工作。像是會事先進行收視率預測，來預先配置可能需要的雲端資源和CDN容量，也會提前與ISP業者和雲端合作夥伴共享預測結果，讓他們可以規畫網路和運算資源。</p> <p>在雲端也有一套即時擴充系統，可以用彌補預測系統的不同，即時擴充系統可以針對不同的使用者行為，如註冊、登入、內容發現和播放服務的變化，即時因應來擴充對應服務的可用資源，來因應超出原本預測收視率，所做的準備工作。</p> <p>在大型活動現場，也會與關鍵系統的工程負責人設立現場發布室。為了快速檢測和回應可能的問題，Netflix直播團隊會事先制定出一整套的問題指標，作為問題的先期指標，也針對常見的操作問題，預先制定了詳盡的緊急應變手冊，提前演練故障的應對。這份直播緊急應變手冊，不只限於工程部門的操作，還涵蓋了通報到高階主管、客戶服務、生產、傳播或社交等不同部門的協調項目。</p> <p>在這次臺北101徒手攀登直播開播之前，Netflix就預告，會有10秒鐘的時間延遲，以便有任何突發事故時，可以中斷或調整直播內容。</p> <h2><span style="color:#FF0000;"><strong>10秒延遲的應變關鍵，一站式的播放中控系統關鍵平臺Control Room</strong></span></h2> <p>前面提到Netflix將節目製作和節目播放區分開來，在直播播放團隊有一套Netflix自行開發的播放中控系統，稱為「控制室」（Control Room），可以用來控制和調度，各種直播活動的資源配置。調度人員可以在這個控制室系統上，監看各種數據和畫面，來因應10秒延遲時間出現的各種變化。</p> <p><strong>Netflix自行開發的播放中控系統，稱為「控制室」（Control Room）。圖片來源：Netflix</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netlix%E7%9B%B4%E6%92%AD2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpeg" /></p> <p>這套「控制室」系統，提供了一個統一的控制介面，可以用來監看和控制一場直播活動的雙區域播放架構。每一檔節目都採取了雙雲端區域架構的備援，同時透過兩個公雲區域中心，來播放。</p> <p>操作人員透過控制室可以協調兩個雲端區域的資源，也可以監控關鍵指標。一旦出現故障，也有故障轉移的手動切換機制，像是其中一個雲端區域塞爆或當機，操作員只要幾秒鐘就能將流量導向另一個正常運作的區域來提供串流服務。</p> <p>一檔直播活動還可以細分成三個階段，直播前準備階段、編碼和直播階段、支播後清理階段。在這套控制室系統上，操作人員可以監看每一個階段的所有狀態資訊，也能確保觀眾看到的節目時間表，和預先排定節目表一致。因為直播節目沒有預定的結束時間（後面也不會像電視有下一檔節目要播），需要透過人工操作，啟動「結束指令」，來結束這一檔直播節目。</p> <p>若直播發生中斷，在控制室中也預先安排了不同的中斷事件圖卡，來告知觀眾，目前處於什麼樣的狀態，接下來又會如何接續，是中斷節目，還是稍後多久可以重啟直播等。</p> <p>Netflix原本的直播節目團隊，只是一個小團隊，但現在已經發展成一個數十團隊協作，來打造和維運這一整套的直播系統，包括了營運和可靠性團隊、開發團隊、內容交付團隊、設備播放團隊、串流媒體演算法團隊、UI工程團隊、搜尋和發現服務、訊息傳輸技術團隊、內容促銷和配銷團隊、資料平臺團隊、雲端基礎架構團隊、資料科學和工程團隊、PM團隊、全球化部門、消費者洞察團隊、廣告團隊、資安團隊、支付團隊、直播產品團隊、體驗設計團隊、產品行銷和客服團隊等。</p> <p>從這個團隊清單，更可以看出Netflix為一檔直播節目所下的投資和決心，可說是串流之後的戰略級新娛樂模式。</p> <p> </p> </div></div></div>
1/26 16:10作者王宏仁https://www.ithome.com.tw/news/173586
【資安週報】0119~0123，臺灣7家業者接連受駭引發關注，中國立訊也傳遭勒索，駭客甚至威脅公開蘋果、Nvidia、…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年1月第三星期的資安新聞，有多起資安事故消息浮上檯面，顯現企業受駭態勢持續擴大，有昭輝實業、億力光電、永擎電子3家公司發布重訊揭露狀況，還有4家未上市公司也傳出遭駭情形。</p> <p>●汽車塑膠零組件大廠昭輝在18日發布資安重訊，說明有部分電腦遭不明駭客入侵，且部分伺服器資料遭加密，已啟動防禦與復原機制。<br /> ●LED封裝大廠億光19日代子公司億力光電公告遭遇資安事故，部分資訊系統遭受駭客網路攻擊，由於提到啟動復原作業，可能是遭到勒索軟體攻擊。<br /> ●1月20日我們蒐集勒索軟體情資發現臺灣受害公司竟多達5家，包括：勒索軟體集團Everest宣稱入侵吉興工程顧問、萬機鋼鐵工業、上市公司永擎電子，勒索軟體集團Qilin宣稱入侵志邦企業，勒索軟體集團Gentlemen宣稱入侵寶華貿易。當日上午我們發信向各家公司求證，均未獲得回覆。兩日後永擎電子發布資安重訊，指出外包廠商帳密外流，內部清查後受影響權限僅涉及官網資料與特定產測程式。</p> <p>此外，我們另發現台新新光金發布個資方面的重訊，說明其子公司新光人壽因業務檢查缺失，遭金管會認定違反保險法及個人資料保護法，裁罰新台幣395萬元。</p> <p>國際間亦有多起重大資安事故，中國代工巨頭立訊精密遭駭事件震驚全球，勒索組織RansomHub宣稱已入侵該公司系統，並威脅將公開蘋果、Nvidia與特斯拉的資料，目前立訊精密尚未回應此事；還有勒索軟體Everest聲稱入侵印度麥當勞，並公布運動服飾品牌Under Armour大量客戶資料。</p> <p>至於其他重大事故有3起，包括：歐鐵通行證Eurail Pass荷蘭營運商Eurail B.V.揭露資料外洩事故，旅客個資、訂位或護照等資料遭未經授權存取，以及加拿大投資監管組織CIRO揭露去年8月遭網釣攻擊，導致75萬投資人個資外洩；IT業者Ingram Micro通報主管機關去年7月遭勒索軟體攻擊，有4.2萬人個資外流。</p> <p>在威脅態勢方面，首要焦點在於國家級駭客威脅態勢的揭露，微軟指出，近年臺灣面臨的國家級駭客活動事件數達143起，居於全球第6名，僅次於美國、以色列、烏克蘭、阿拉伯聯合大公國、英國。</p> <p>社交工程威脅同樣不可輕忽，去年多家資安業者指出，越來越多攻擊者假冒員工，誘騙IT服務臺人員發動語音網釣，目的是重設系統密碼與新增MFA裝置綁定，當時我們曾提醒，攻擊者後續可操弄的環節仍相當多元，如今出現竄改薪資帳戶資訊的案例，其後段手法與BEC詐騙類似，但仍有差異，這次是駭客直接修改銀行帳戶號碼。至於其他社交工程威脅還涵蓋工具假冒、魚叉式網釣等，我們整理如下：</p> <p>●資安公司Palo Alto Networks揭露薪水海盜行動，駭客利用語音網釣騙過IT服務臺獲取權限後，進而竄改薪資系統銀行帳號以盜取薪資，薪水遲付才發現異常。<br /> ●人資及ERP系統用戶當心！有攻擊者鎖定Workday、NetSuite、SuccessFactors等用戶，推出可簡化多帳號管理或加速工作流程的惡意Chrome延伸套件，實際可劫持用戶Session Cookie取得存取權限，已有2,300人受害。<br /> ●有APT組織利用後門程式PDFSider滲透財星百大企業，資安公司Resecurity指出，駭客透過魚叉式網釣發送ZIP檔，並以DLL側載技術規避防毒與EDR監控。<br /> ●駭客利用串接千個ZIP檔手法散布惡意軟體載入工具GootLoader，MDR業者Expel警告，該檔僅在Windows檔案總管開啟時才啟動，企圖迴避防毒軟體偵測。<br /> ●密碼管理服務LastPass安全團隊示警，有攻擊者寄送釣魚郵件假借服務維修通知，要求用戶24小時內備份，實則引導至釣魚網站竊取主密碼。</p> <p>在漏洞消息方面，這一星期約有1,268個CVE漏洞揭露，當中有1個是已遭利用的零時差漏洞：思科已針對Unified CM及Webex修補漏洞CVE-2026-20045。</p> <p>已知漏洞方面則有6個需特別留意，攻擊者鎖定未修補用戶持續攻擊的嚴峻態勢居高不下，例如：Fortinet日前修補FortiSIEM漏洞CVE-2025-64155，兩日後資安廠商Defused表示在蜜罐陷阱發現有攻擊者開始針對該漏洞濫用。</p> <p>其他已知漏洞的目標包括：Zimbra Collaboration Suite的漏洞（CVE-2025-68645），Versa Concerto的漏洞（CVE-2025-34026），VMware vCenter Server的漏洞（CVE-2024-37079）；攻擊者亦鎖定開源工具攻擊，包括Vitejs開源專案的漏洞（CVE-2025-31125），還有熱門NPM套件eslint-config-prettier去年7月因被暗藏惡意程式碼而修補的漏洞（CVE-2025-54313），現在被美國CISA列入KEV清單。</p> <p>在資安防禦方面，有多個重要消息發布，涵蓋加速NTLMv1棄用、強化雲端身分安全、歐盟網路安全法改版、MITRE針對嵌入式系統發表ESTM框架。此外，短效臨時憑證漸成主流，去年<a href="https://www.ithome.com.tw/news/169608#long-termcredentialsrisk">我們注意到AWS資安長強調，<strong>應消除長期憑證風險</strong></a>，以臨時憑證與角色存取機制確保最小權限原則，如今Let’s Encrypt亦有同樣的行動。</p> <p>●去年6月微軟宣布棄用身分驗證通訊協定NTLM，近期Google Mandiant公布Net-NTLMv1彩虹表，主要透過展示其易受破解的風險，以加速NTLMv1棄用。<br /> ●歐盟計畫修訂歐盟網路安全法（EU Cybersecurity Act），改版方向聚焦將網路安全與地緣政治信任連結，降低供應鏈中高風險國家供應商的威脅。<br /> ●美國白宮推動雲端身分安全強化，NIST發布IR 8587草案，聚焦Token與Assertions的安全防護，為既有的NIST SP 800-53提供雲端面的IAM實務指引。<br /> ●MITRE發表嵌入式系統威脅矩陣（Embedded Systems Threat Matrix，ESTM），由MITRE與美國空軍網路韌性武器系統辦公室合作開發，主要借鑑ATT&CK模式，目標是強化工業設備、機器人及電信等關鍵基礎設施的資安韌性。<br /> ●Let’s Encrypt宣布推出效期160小時的短效TLS憑證，並新增IP位址憑證，以縮短憑證存續時間，降低私鑰外洩與濫用風險，並減少對憑證撤銷機制的依賴。</p> <p style="margin: 0px;">此外，企業瀏覽器持續成為市場關注焦點，CrowdStrike傳出以4.2億美元併購瀏覽器資安業者Seraphic，希望瀏覽器執行層的即時安全防護技術整合到企業安全架構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173440"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</span></strong></a></h3> <p>透過瀏覽器延伸套件發動攻擊的情況，近期已有多起事故傳出，最近有一起事故特別引起關注，原因是該活動相當有針對性，駭客專門對Workday、NetSuite，以及SuccessFactors的用戶下手</p> <h3><a href="https://www.ithome.com.tw/news/173483"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</span></strong></a></h3> <p>資安廠商提出警告，去年11月再度活動的惡意軟體GootLoader，駭客利用名為ZIP檔案串接技術（ZIP Concatenation）手法，使得有效酬載只有Windows檔案總管（File Explorer）能解開，從而迴避使用資安工具與第三方解壓縮工具的資安人員檢查</p> <h3><a href="https://www.ithome.com.tw/news/173507"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊</span></strong></a></h3> <p>為蘋果、特斯拉等知名企業代工的中國精密製造業者立訊精密（Luxshare），近日勒索軟體組織RansomHub聲稱從其內部網路環境竊得眾多設計及生產資料，並揚言若未收到贖金，將公開與客戶相關的機密資訊，而成為各界的焦點</p> <h3><a href="https://www.ithome.com.tw/news/173528"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</span></strong></a></h3> <p>近日資安公司Palo Alto Networks發現一起相當特別的攻擊行動，駭客鎖定IT服務臺從事社交工程活動，而能在未入侵企業內部網路環境的情況下存取薪資系統，並將部分員工的薪水轉走</p> <h3><a href="https://www.ithome.com.tw/news/173553"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</span></strong></a></h3> <p>一個月前Fortinet修補的重大漏洞CVE-2025-59718與CVE-2025-59719，近日有資安公司發現，駭客試圖利用自動化滲透手法利用漏洞，從而竄改防火牆的配置，以便建立長期存取的管道</p> <p> </p> </div></div></div>
1/26 16:30作者羅正漢https://www.ithome.com.tw/news/173574
惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Socket威脅研究團隊<a href="https://socket.dev/blog/pypi-package-impersonates-sympy-to-deliver-cryptomining-malware">揭露</a>，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。研究人員指出，sympy-dev針對Linux環境並會執行加密貨幣挖礦程式XMRig。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站或自動化建置與測試環境。</p> <p>該攻擊結合近年開源生態常見的誤植名稱（Typosquat）與專案頁面仿冒攻擊手法，由於開發者平時透過pip安裝相依套件時，往往仰賴套件名稱與頁面描述作為快速判斷依據，而攻擊者藉由相似名稱與複製內容提高誤導開發者安裝機率。研究人員提到，SymPy套件使用情境涵蓋研究、教育與工程等領域，屬於高曝光套件，仿冒者不需要很大的散布量，只要有少量開發者被誘騙安裝，就能在特定社群與流程中擴散。</p> <p>sympy-dev安裝後不會立刻啟動惡意行為，攻擊者是在惡意套件內，將下載與執行的程式碼埋進仿造SymPy多項式模組的程式碼路徑，等到使用者呼叫特定多項式相關函式時才觸發。觸發後，程式會先取得遠端設定檔並寫入本機，再下載Linux用的可執行檔，並以偏向在記憶體中啟動的方式降低落地痕跡，但並非完全不留檔。</p> <p>研究人員透過動態分析觀察到，sympy-dev被下載與啟動的第二階段程式為XMRig挖礦程式，並依設定導向以加密連線方式連到挖礦服務端點。攻擊者透過網路端點位址提供設定與載入程式，因此攻擊者可隨時更換遠端提供的內容，即使不再更新PyPI上的版本，也能調整後續投放的程式型態與目的。</p> <p>Socket表示已向PyPI安全團隊通報，並要求下架套件及處理發布者帳號。依目前PyPI專案頁面回應狀態，sympy-dev已無法下載或檢視，頁面顯示找不到資源。</p> </div></div></div>
1/26 17:09作者李建興https://www.ithome.com.tw/news/173588
身分驗證服務供應商Okta警告竊取單一登入憑證的語音網釣攻擊活動，傳出是ShinyHunters所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對身分驗證資安業者用戶而來的攻擊行動，不時有相關事故傳出，例如：<strong><a href="https://www.ithome.com.tw/news/173522">密碼管理業者LastPass發現有人假冒他們的名義寄送釣魚信</a></strong>，聲稱伺服器即將進行維修，用戶應在一天內備份密碼保險庫因應，但若是照做，攻擊者就可能取得使用者的主密碼。現在又有類似的事故傳出。</p> <p>消息來自身分驗證業者Okta，因為<strong><a href="http://www.okta.com/blog/threat-intelligence/phishing-kits-adapt-to-the-script-of-callers/">他們偵測到有開發團隊以租用服務形式提供客製化的網釣套件</a></strong>，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶。這些網釣套件能攔截目標使用者的憑證，並誘騙他們進行多因素驗證（MFA），而且，攻擊者還能即時調整並控制釣魚網頁顯示的內容，目的是在攻擊者試圖登入受害者帳號的過程裡，同步掌握指令碼執行的進度。對此，Okta呼籲用戶要提高警覺，並參考最佳實作因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing-mspanel-lowres-wm.png" style="width: 580px;" /></a></p> <p>雖然Okta並未特別說明，不過多家資安媒體普遍認為，駭客的最終目的，就是打算竊取單一登入（SSO）憑證。</p> <p>對於攻擊發生的流程，Okta指出通常駭客會針對目標進行偵察，掌握使用者姓名、常用的應用程式，以及IT服務臺的電話號碼，然後設置專屬的釣魚網頁，並假借企業IT支援部門或客服部門，向攻擊目標撥打電話。</p> <p>攻擊過程是這樣進行的：駭客假借IT支援或是資安需求，誘騙使用者打開瀏覽器存取釣魚網站，並輸入使用者名稱及密碼。此時，這些資料會即時自動轉送到駭客的Telegram頻道。</p> <p>接著，駭客就會在實際的登入網頁輸入帳密資料，在出現需要進行多因素驗證的流程當中，他們也即時更新釣魚網站，藉此要求受害者輸入動態密碼（OTP）、同意登入的推播通知，或是執行其他對應的進階身分驗證項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mermaid-vishing-ss-wm.png" style="width: 580px;" /></a></p> <p>由於駭客能進一步控制整個攻擊流程，例如：遇到推播通知可利用電話告訴受害者，並搭配釣魚網頁內容的調整，顯示推播訊息已經發送，使得受害者更難以察覺有異，而依照駭客的指示繼續操作。</p> <p>雖然Okta並未提及攻擊者的身分，但是有資安媒體指出，這起攻擊行動是去年曾針對Salesforce平臺的駭客組織ShinyHunters所為。<strong><a href="https://www.bleepingcomputer.com/news/security/okta-sso-accounts-targeted-in-vishing-based-data-theft-attacks/">資安新聞網站Bleeping Computer指出</a></strong>，他們得知駭客從1月19日開始，打電話給受害企業的員工，竊得Okta單一登入憑證，受害企業向Okta通報此事。該媒體得知駭客冒充受害企業的IT團隊打電話給員工，宣稱協助設置Okta單一登入的通行金鑰（Passkey）。</p> <p>接著，駭客發動對手中間人攻擊（AiTM），誘騙員工存取特製的釣魚網站，並截取單一登入憑證及動態密碼，這些網站通常以受害公司命名，網址包含internal或my。假若得逞，駭客就會試圖檢視該名員工能夠存取的應用程式，並挖掘內部資料；若是活動東窗事發，駭客便隨即向受害公司發送勒索信，要求支付贖金換取資料不被公開。知情人士指出，部分勒索信署名是ShinyHunters。</p> <p>對此，<strong><a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claim-to-be-behind-sso-account-data-theft-attacks/">ShinyHunters後來聲稱這波攻擊行動是他們所為</a></strong>，但否認Okta公布的網釣工具平臺與他們有關，該團體強調他們的工具是內部自行打造。再者，ShinyHunters表示他們不光針對Okta，也攻擊Google與微軟Entra單一登入（SSO）平臺的用戶。Google與微軟對此說法表示，目前沒有發現相關系統遭到利用的跡象。</p> </div></div></div>
1/26 16:09作者周峻佑https://www.ithome.com.tw/news/173581
駭客宣稱駭入Nike竊得近19萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>運動鞋及服飾巨擘Nike遭傳被駭，竊走近19萬份資料，已展開調查。</p> <p>知名資安研究人員<a href="https://x.com/AlvieriD/status/2014387992249487793" target="_blank">Dominic Alvieri上周發現</a>駭客組織WorldLeaks在其官網張貼公告，宣稱駭入Nike，竊得18.8萬份檔案、共1.4TB資料。</p> <p>駭客還貼出了螢幕擷圖以證實所言。根據貼圖，外洩的資料可能來自一家分公司，至少包含製造端，像是多個系列的製造和工廠資料。從研究人員張貼的駭客貼文擷圖中的倒數日期來判斷，WorldLeaks駭客可能是威脅Nike，若不在時限前聯繫或支付贖金，就會公開手中的資料。</p> <p><a href="https://securityaffairs.com/187303/data-breach/nike-is-investigating-a-possible-data-breach-after-worldleaks-claims.html" target="_blank">Nike對媒體表示，</a>公司非常重視消費者隱私和資料安全，現已著手調查可能的資料安全事故及評估狀況。</p> <p><a href="https://www.pcmag.com/news/nike-probes-potential-breach-after-threat-from-hacking-group" target="_blank">資安業者指出</a>，WorldLeaks原以Hunters International之名活動，他們透過勒索軟體加密竊取企業用戶資料，藉此勒索贖金。去年這個組織在警方加強查緝後改為現名，並在ShinyHunters成員被捕後興起。</p> <p><a href="https://www.securityweek.com/nike-probing-potential-security-incident-as-hackers-threaten-to-leak-data/" target="_blank">SecurityWeek報導</a>，WorldLeaks官網列出了100多家受害企業，包括Dell及德國珠寶品牌CHRIST Juweliere。</p> <p>這是近期發生資料外洩的服飾品牌。去年Everest宣稱駭入Under Armour取得343GB資料，疑似<a href="https://www.ithome.com.tw/news/173515" target="_blank">公開</a>7,270萬筆電子郵件信箱紀錄，內有姓名、出生日期、性別、地址和購買資訊等。這家美國品牌業者<a href="https://www.securityweek.com/under-armour-looking-into-data-breach-affecting-customers-email-addresses/" target="_blank">表示</a>已啟動調查。</p> <p>德國運動服飾及鞋類品牌愛迪達（Adidas）則是於去年5月<a href="https://www.ithome.com.tw/news/169222" target="_blank">自曝</a>，因第三方的客戶服務供應商之故外洩了部分消費者資料。之後資安廠商Malwarebytes<a href="https://www.malwarebytes.com/blog/news/2025/08/how-google-adidas-and-more-were-breached-in-a-salesforce-scam" target="_blank">指出</a>，可能是Salesforce系統被存取。</p> </div></div></div>
1/26 11:34作者林妍溱https://www.ithome.com.tw/news/173575
惡意軟體測試服務AVCheck遭瓦解後，荷蘭警方逮捕疑似實際營運者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多國執法單位<a href="https://www.ithome.com.tw/news/169290" target="_blank">在2025年中旬</a>瓦解惡意軟體測試服務AVCheck後，近期出現新進展。資安媒體<a href="https://hackread.com/operation-endgame-dutch-police-arrest-avcheck-operator/" target="_blank">Hackread</a>引述執法單位消息指出，荷蘭警方本月在阿姆斯特丹逮捕33歲荷蘭籍男子，疑似為AVCheck實際營運者。</p> <p>另依荷蘭檢察署Openbaar Ministerie<a href="https://www.om.nl/actueel/nieuws/2026/01/12/verdachte-aangehouden-in-onderzoek-naar-cybercriminaliteit" target="_blank">發布的官方聲明</a>，該名嫌犯涉嫌長期營運一項支援網路犯罪的線上服務，內容包括協助測試惡意軟體是否能避開防毒軟體偵測的測試功能，並被認為與AVCheck平臺的實際營運有關，相關調查目前仍在進行中。</p> <p><span style="color:#B22222;"><strong>AVCheck在網路犯罪中的角色</strong></span></p> <p><a href="https://www.politie.nl/en/news/2025/may/30/key-service-for-malware-developers-taken-offline.html" target="_blank">荷蘭警方說明</a>，AVCheck屬於所謂的「反防毒測試服務」（Counter Antivirus，CAV），主要供惡意軟體開發者測試其程式是否會被主流防毒產品偵測。使用者可將惡意程式樣本上傳至平臺，比對多款防毒引擎的掃描結果，再依據回饋內容調整程式碼，以降低被攔截的機率。</p> <p>這類服務常被用於勒索軟體、木馬程式等惡意程式的開發過程，屬於攻擊前的準備環節。透過反覆測試與修改，攻擊者可提高惡意程式在實際攻擊中成功取得初始存取權限的機率，使AVCheck成為網路犯罪即服務生態系中的關鍵基礎服務之一。</p> <p>警方指出，也正因為這類平臺能協助惡意程式避開防護機制，才成為執法單位優先鎖定的目標。相較於在攻擊發生後才進行應變，從源頭打擊這類支援型服務，更有助於降低後續實際攻擊事件的發生風險。</p> <p>AVCheck相較於同樣提供檔案分析的病毒掃描服務VirusTotal，有何差異？VirusTotal是合法資安分析平臺，主要服務對象是資安研究人員與企業資安團隊，<a href="https://www.ithome.com.tw/news/163823" target="_blank">過去曾被</a>惡意軟體開發者採用，測試其檔案是否能被防毒引擎偵測，但對攻擊者而言，VirusTotal過於公開且對防守方友善，目的是共享情資、強化集體防禦，攻擊者若將檔案上傳至此進行驗證，等於主動把樣本送給全世界的防禦方，而AVCheck是為惡意軟體開發者量身打造的工具，不共享樣本、不回饋給防毒廠商、不留下可追蹤紀錄，攻擊者可以「放心」在此調整，而非幫防守方練功。</p> <p><span style="color:#B22222;"><strong>從關閉服務到追究營運責任</strong></span></p> <p>荷蘭警方強調，此次行動的重點不僅在於下架單一平臺，而是進一步釐清其營運模式、資金流向與使用者網絡。警方在前次取締行動中已蒐集到大量數位證據，目前正持續分析，並不排除擴大追查其他涉案人員或關聯服務。</p> <p>執法單位指出，若僅止於關閉服務，類似平臺往往能以不同形式快速重現，因此同步鎖定營運者與其背後的組織結構，才能對地下產業形成實質嚇阻效果。</p> <p><span style="color:#B22222;"><strong>Operation Endgame下的供應鏈打擊策略</strong></span></p> <p>警方也說明，AVCheck案件是跨國執法行動<a href="https://www.google.com/search?q=Operation+Endgame+site%3Awww.ithome.com.tw%2Fnews&num=10&lr=&as_qdr=all&sxsrf=ANbL-n55xqL-ERqW27XYNDrgE23WujOFuA%3A1769258410333&tbs=cdr%3A1%2Ccd_min%3A1%2F1%2F2024%2Ccd_max%3A1%2F24%2F2026&tbm=" target="_blank">Operation Endgame</a>的一環。該行動由多國執法機關合作推動，鎖定支撐網路犯罪生態系的關鍵基礎服務，包括惡意程式的測試、加殼、加密與散布等環節，藉此從供應鏈層面削弱地下產業的運作能力。</p> <p>警方指出，這類針對上游服務的執法策略，目標是在惡意程式尚未大規模散布前即介入處理，降低後續攻擊對企業與組織造成的實際衝擊。</p> </div></div></div>
1/26 11:56作者王珮瑤https://www.ithome.com.tw/news/173573
未設密碼防護的雲端資料庫外洩，iCloud、Gmail、Netflix等近1.5億筆憑證曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.expressvpn.com/blog/149m-infostealer-data-exposed/" target="_blank">研究人員揭露</a>一個雲端資料庫未加密碼防護，使Gmail、Outlook、iCloud、Netflix、Facebook等主要雲端服務及知名平臺的帳號、密碼等近1.5億筆憑證曝險。</p> <p>這個資料庫是由ExpressVPN研究人員Jeremiah Fowler發現，資料庫內有149,404,754筆不重複登入帳號及密碼，資料量達96GB。研究人員抽取的部分資料，顯示內含電子郵件信箱地址、使用者名稱、密碼和URL。</p> <p>研究人員估計公開的資料涵括主要雲端郵件服務及雲端服務。包括Gmail 4,800萬、Yahoo 400萬、Outlook 150萬、iCloud 9萬筆以及.edu平臺憑證140萬筆。其他重要資料源包含Facebook 1,700萬、Netflix 340萬、IG 650萬、TikTok 78萬、Binance 42萬和OnlyFans 10萬筆。</p> <p>此外還有.gov網域相關的憑證，研究人員指出，雖然不是所有政府帳號都能存取敏感系統，但這些憑證可能被用作精準釣魚、冒充或被用以登入政府網路，而.gov憑證外洩的增加可能影響國家安全和公共安全。</p> <p>這個資料庫沒有持有者的相關資訊，研究人員在聯繫多個單位及代管業者將近一個月後，無法得知持有者是某個犯罪組織或個人或是研究單位。研究人員也無從得知該資料庫無密碼存在多久。最後該代管資料庫被停權，使個人用戶憑證免於公開。</p> </div></div></div>
1/26 12:00作者林妍溱https://www.ithome.com.tw/news/173576
Fortinet坦承FortiCloud SSO漏洞修補不全將再釋出更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業用戶反映遭駭及資安廠商揭露後，Fortinet<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios" target="_blank">上周證實</a>去年<a href="https://www.ithome.com.tw/news/172862" target="_blank">12月修補</a>的FortiCloud單一簽入漏洞修補不全，承諾將再釋出更新軟體。</p> <p>今年1月15日起Arctic Wolf研究人員發現，新一波針對FortiGate裝置的惡意活動。有不明人士濫用，利用CVE-2025-59718非授權以FortiCloud SSO登入FortiGate，再經由GUI介面下載防火牆配置，接著攻擊者就新增次要管理員帳號以維持持久存取。攻擊者從[email protected]及[email protected]兩個帳號登入防火牆。建立的後門帳號包括secadmin、itadmin、support等。由於皆間隔數秒、研究人員判斷可能是自動化腳本程式或工具執行。</p> <p>於此同時，有些Fortinet產品用戶反映FortiGate遭人利用在安裝CVE-2025-59718登入。但是其裝置都是安裝Fortinet去年12月釋出，已修補CVE-2025-59718及CVE-2025-59719漏洞的FortiOS 7.4.9版本。</p> <p>Fortinet指出，近日一小部分客戶Fortinet裝置的異常登入活動和去年12月的問題非常類似。該公司證實，多起攻擊案例是發生在軟體完全更新到最新版本的產品，他們判斷可能有新的攻擊路徑。</p> <p>網路觀察組織<a href="https://dashboard.shadowserver.org/statistics/iot-devices/map/?date_range=1&vendor=fortinet&model=forticloud+sso&data_set=count&scale=log" target="_blank">Shadowserver的偵測</a>，在揭露近2個月後，現今全球還有超過1萬臺Fortinet裝置未補漏洞，而臺灣也還有99臺曝險。</p> <p>Fortinet產品安全團隊聲稱已經找出問題，並且正在趕製修補程式。等修補範圍及時程確定後，Fortinet會再公布安全公告。Fortinet強調此時只有觀察到FortiCloud SSO功能遭濫用。但是本問題影響任何具有SAML SSO實作的環境。</p> <p>在釋出完整修補程式前，Fortinet建議用戶實行安全政策，將邊緣網路裝置管理員權限縮小到受信賴的IP位址。由於還沒有修程式，企業用戶應關閉Fortinet裝置上的FortiCloud SSO功能。若企業用戶已觀察到前述入侵指標，Fortinet建議用戶應立即輪換憑證（所有LDAP/AD帳號）並重設配置。</p> </div></div></div>
1/26 12:08作者林妍溱https://www.ithome.com.tw/news/173577
AI應用開發框架Chainlit爆高風險漏洞，恐遭濫用入侵雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="335" data-start="217">每月<a href="https://pypistats.org/packages/chainlit" target="_blank">下載</a>量達數十萬次、廣泛用於打造對話式與代理型AI服務的開源框架Chainlit，近日被資安研究人員揭露存在兩項高風險資安漏洞。在特定部署條件下，相關弱點可能遭攻擊者濫用，導致未經授權存取應用資料，甚至成為入侵雲端環境的切入點，已引發資安社群關注。</p> <p data-end="614" data-start="337">根據美國國家漏洞資料庫（NVD）公布的資訊，Chainlit相關漏洞分別被指派為<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22218" target="_blank">CVE-2026-22218</a>與<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-22219" target="_blank">CVE-2026-22219</a>。其中，CVE-2026-22218為任意檔案讀取漏洞，源於存取控制機制不足，在特定情況下，已通過身分驗證的攻擊者，可能藉由框架的自定元素端點讀取伺服器的檔案內容，CVSS風險分數為7.1分。另一項CVE-2026-22219則屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）類型漏洞，可能被用來對內部或雲端服務發送未預期的請求，CVSS風險分數高達8.3分，兩者皆被評為高風險等級。</p> <p data-end="776" data-start="616">揭露這組漏洞的雲端資安公司<a href="https://www.zafran.io/resources/chainleak-critical-ai-framework-vulnerabilities-expose-data-enable-cloud-takeover" target="_blank">Zafran將其命名為「Chainleak」</a>，並指出當Chainlit被部署於多租戶或雲端原生環境時，相關風險將進一步放大。研究人員表示，在缺乏額外防護措施的情況下，攻擊者不僅可能存取AI應用處理的對話內容、API金鑰或模型輸出結果，還可能藉由漏洞進行橫向移動，進一步影響雲端環境的整體安全性。</p> <p data-end="936" data-start="778">針對這些問題，<a href="https://github.com/Chainlit/chainlit/releases/tag/2.9.4" target="_blank">Chainlit專案團隊已發布Chainlit 2.9.4版進行修補</a>。官方說明指出，新版本已強化存取控制邏輯，並修正可能導致跨使用者資料暴露與不當請求轉送的安全風險。開發團隊呼籲所有使用者，特別是在雲端或對外公開環境中部署Chainlit的組織，應儘速升級至2.9.4或以上版本，以降低遭到攻擊的風險。</p> <p data-end="936" data-start="778"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-chainlit-600-1.png" style="width: 600px;" /></p> <p data-end="1084" data-start="938">目前尚未有明確證據顯示上述漏洞已遭到大規模實際利用，但資安研究人員提醒，隨著漏洞細節與修補資訊已公開，未來不排除出現實際濫用案例。建議企業除更新套件版本外，也應重新檢視AI應用的雲端部署架構，避免將敏感金鑰或高權限設定直接暴露於應用層，並落實最小權限原則及額外的存取控管機制，以降低潛在風險。</p> </div></div></div>
1/26 10:48作者王珮瑤https://www.ithome.com.tw/news/173563
約10萬個WordPress網站使用的ACF Extended外掛，存在高風險漏洞可讓攻擊者取得管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>WordPress外掛ACF Extended近日被揭露存在高風險資安漏洞，未經驗證的攻擊者在特定條件下，可能直接建立具備管理員權限的帳號，進而取得完整網站控制權。該漏洞已被編號為<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-14533" target="_blank">CVE-2025-14533</a>，CVSS風險評分高達9.8分，屬於重大（Critical）等級。</p> <p>ACF Extended定位為補強Advanced Custom Fields功能的WordPress外掛，主要用於協助網站開發者建立自訂內容欄位，並延伸前端表單的應用情境，例如讓訪客或會員透過表單提交內容，甚至進行使用者資料的新增與更新。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>後端驗證不足，使用者角色限制可被繞過</strong></span></span></p> <p>CVE-2025-14533漏洞最早由資安研究人員Andrea Bocchetti通報。根據資安媒體<a href="http://www.bleepingcomputer.com/news/security/acf-plugin-bug-gives-hackers-admin-on-50-000-wordpress-sites/" target="_blank">Bleeping Computer</a>與WordPress資安公司<a href="http://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/" target="_blank">Wordfence</a>的分析，問題出在ACF Extended處理「新增或更新使用者」的前端表單時，未在後端正確驗證可指派的使用者角色。</p> <p>即便網站管理者已在外掛設定中，限制前端表單可指派的使用者角色，攻擊者仍可透過自行構造的請求，指定帳號角色為administrator，成功建立或升級為具備最高權限的管理員帳號。Wordfence指出，該漏洞僅在網站實際啟用包含使用者管理欄位的ACF Extended前端表單，且該表單對外開放存取時，才具備可被濫用的條件。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>偵察活動升溫，尚未觀測到大規模濫用</strong></span></span></p> <p>雖然目前尚未觀測到針對CVE-2025-14533的實際大規模攻擊行為，但網路流量分析業者<a href="http://www.labs.greynoise.io/grimoire/2026-01-19-creepy-crawlers-hunting-those-who-hunt-for-wordpress-plugins/index.html" target="_blank">GreyNoise</a>指出，透過其感測與流量分析系統觀測，自2025年10月下旬至2026年1月中，出現大規模針對WordPress外掛的偵察行為。</p> <p>GreyNoise表示，相關活動來自近1,000個IP位址，橫跨145個自治系統編號（ASN），針對超過700款WordPress外掛進行列舉掃描，累計次數逾4萬次，顯示攻擊者仍在進行前期盤點與目標篩選行動。該公司也指出，這類掃描行為未必針對單一漏洞，而是常見於實際攻擊行動前的準備階段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>官方已修補，建議盤點前端使用者管理功能</strong></span></span></p> <p>ACF Extended開發團隊已於<a href="https://www.wordfence.com/blog/2026/01/100000-wordpress-sites-affected-by-privilege-escalation-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/#:~:text=We%20provided%20full,and%20timely%20patch." target="_blank">去年12月14日發布0.9.2.2版本</a>，修補上述權限提升漏洞。Wordfence建議，仍在使用舊版外掛的網站管理者，應立即更新至0.9.2.2或以上版本，並確認是否有前端表單提供新增或更新使用者帳號的功能，避免該類功能在未妥善控管的情況下對外公開。</p> <p>Bleeping Computer引述<a href="http://wordpress.org/plugins/acf-extended/advanced/" target="_blank">WordPress官方外掛平臺</a>資料指出，目前約有10萬個網站啟用ACF Extended外掛。相較於0.9.2.2版本於12月14日釋出後至今年1月20日期間，僅約5萬次的下載量，顯示仍有相當比例的網站尚未更新至修補版本。</p> <p>資安業者提醒，凡是涉及使用者角色或權限設定的前端功能，若對外開放存取，皆應視為高風險項目。除定期更新外掛與套件外，也應搭配存取控管、行為監控與最小權限原則，以降低帳號遭冒用及網站遭接管的風險。</p> </div></div></div>
1/26 10:49作者王珮瑤https://www.ithome.com.tw/news/173570
歐盟擬修訂網路安全法案，強化供應鏈資安管理並限制高風險供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟執委會（European Commission）於1月20日公布新一波「網路安全包裹法案（<a href="http://ec.europa.eu/commission/presscorner/detail/en/ip_26_105" target="_blank">Cybersecurity Package</a>）」，內容包括<a href="https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-eu-cybersecurity-act" target="_blank">修訂《歐盟網路安全法》</a>（EU Cybersecurity Act）、擴大歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）職權，以及推動供應鏈去風險化措施。歐盟藉此希望把過去僅具政策指引性質、各成員國執行程度不一的供應鏈風險管理，納入具法律拘束力的共同規範。</p> <p class="rtecenter"><a href="https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_105/IP_26_105_EN.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Cybersecurity%20Package-600-PDF.png" style="width: 500px;" /></a></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>5G安全工具箱落實程度不一</strong></span></span><span style="color:#B22222;"><span style="font-size:28px;"><strong>，成為推動修法的關鍵原因</strong></span></span></p> <p>歐盟此次推動修法，與2020年推出的「5G網路安全工具箱」（<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_20_123" target="_blank">EU 5G Security Toolbox</a>）執行成效有限有關。該工具箱屬於自願性措施，各成員國在限制高風險供應商的作法與進度上落差明顯，使歐盟難以在整體層級確保通訊網路與關鍵基礎設施的安全水準，也促使執委會轉而尋求具有法律拘束力的制度途徑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>地緣政治與網路威脅升高，供應鏈安全成為國安議題</strong></span></span></p> <p>歐盟執委會指出，近年地緣政治情勢與網路威脅持續升高，國家級行為者與犯罪組織對關鍵產業的滲透與攻擊風險增加，供應鏈安全已不再只是技術層面的問題，而是牽涉對特定國家或供應來源的依賴，以及外國勢力介入的整體國安風險。這也反映出，供應鏈資安在歐盟政策中，正被提升為與國防、外交與產業安全同等重要的制度議題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>明確歐盟層級權限，統一推動風險評估與限制措施</strong></span></span></p> <p>依修法規畫，歐盟將明確訂定歐盟執委會在供應鏈安全上的權限，使其可在歐盟層級統一推動風險評估，並視情況對敏感基礎設施使用的特定設備或技術提出限制，甚至要求禁用。相關評估可由歐盟執委會主導，或在至少3個成員國提出要求後啟動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>執行面要求更具體，營運商最遲36個月內完成汰換</strong></span></span></p> <p>在實際執行層面，成員國將針對歐盟界定的18個關鍵領域，共同評估供應商原屬國、企業治理結構與潛在國安影響等因素。待歐盟完成高風險供應商認定後，行動通訊網路營運商須在最遲36個月內，分階段汰換核心或敏感網路環節使用的相關設備。</p> <p>歐盟官方文件並未點名特定國家或企業，但外界普遍認為，這項修法延續了歐盟近年對「高風險供應商」的管制作法，與過<a href="https://digital-strategy.ec.europa.eu/en/library/communication-commission-implementation-5g-cybersecurity-toolbox" target="_blank">去在5G安全議題上</a>對部分中國電信設備商的疑慮一脈相承。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>擴大ENISA職權，強化預警、通報與跨國應變</strong></span></span></p> <p>除供應鏈規範外，這項包裹法案也同步擴大ENISA的職權，使其在威脅預警、資安事故通報與跨國應變協調上扮演更關鍵角色。未來ENISA將可發布歐盟層級的早期威脅警示，並負責營運統一的資安事故通報機制，協助企業與各國主管機關即時掌握重大事件。</p> <p>在勒索軟體等跨境攻擊應變方面，ENISA也將與歐洲刑警組織Europol及各國電腦緊急應變團隊（CSIRT）加強合作，提供技術與協調支援。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>修法仍待完成立法程序</strong></span></span></p> <p>依歐盟立法流程，修訂版《歐盟網路安全法》仍須經歐洲議會（European Parliament）與歐盟理事會（Council of the EU）審議通過後，才能正式生效。法案完成立法程序後，成員國也將依規定時程，調整各自的國內法制與監管措施。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/eu-plans-cybersecurity-overhaul-to-block-foreign-high-risk-suppliers/" target="_blank">Bleeping Computer</a>與隱私與法遵專業組織<a href="https://iapp.org/news/a/a-view-from-brussels-europe-gears-up-toward-tougher-cybersecurity-rules" target="_blank">IAPP</a>（International Association of Privacy Professionals）指出，若修法順利推進，歐盟在高風險供應商管理與供應鏈資安治理上的作法，將從過去以建議與協調為主，轉為具法律拘束力的共同規範，對電信、雲端與其他關鍵產業的設備採購與技術選擇，勢必產生長期影響。</p> </div></div></div>
1/26 10:51作者王珮瑤https://www.ithome.com.tw/news/173572