iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

SAP NetWeaver ABAP存在近滿分重大漏洞，可導致資料洩露與竄改
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日SAP發布<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2026.html">本月例行更新（Security Patch Day）</a></strong>，公布16項更新內容，其中修補3項重大等級的資安漏洞，根據CVSS風險評分，最危險的漏洞存在於SAP NetWeaver Application Server ABAP，編號登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-44747">CVE-2026-44747</a></strong>，CVSS評分達到9.9（滿分10分），通過身分驗證的攻擊者可藉由記憶體管理邏輯錯誤，造成記憶體損毀，而能夠未經授權存取、竄改資料，或是導致系統無法使用。</p> <p>另外兩個重大漏洞是<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-27690">CVE-2026-27690</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-44761">CVE-2026-44761</a></strong>，分別為程式庫SAP Approuter的HTTP請求走私弱點，以及SAP Commerce Cloud不安全的範例憑證造成的問題，CVSS評分皆為9.1。</p> </div></div></div>
7/15 14:06作者周峻佑https://www.ithome.com.tw/news/177335
CISA警告新一波鎖定SharePoint資安漏洞的攻擊活動，呼籲用戶儘速強化防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations">於7月14日發布最新警報</a></strong>，駭客正積極利用3項微軟SharePoint漏洞，鎖定企業內部建置的伺服器發動攻擊。攻擊者可藉由這些漏洞取得遠端程式碼執行（RCE）能力，並進一步竊取IIS主機上的機器金鑰（machine key）、執行反序列化攻擊，藉此在受害系統中維持持久性存取並部署惡意程式。CISA呼籲所有SharePoint用戶，立即加強修補與資安監控作業，並確認SharePoint是否啟用反惡意軟體掃描介面（AMSI）整合功能。</p> <p>這些遭到利用的漏洞是CVE-2026-32201、CVE-2026-45659、CVE-2026-56164，CISA先後於4月14日、7月1日、7月14日列入已遭利用的漏洞列表（KEV）。不過，CISA特別提及<strong><a href="https://www.ithome.com.tw/news/177319">本月例行更新（Patch Tuesday）</a>當中，</strong>微軟修補的另外兩個漏洞<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040">CVE-2026-55040</a></strong>、<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644">CVE-2026-58644</a></strong>也非常危險，這些弱點可用來繞過安全功能與執行任意程式碼，CVSS評分為9.1、9.8分，屬重大等級漏洞，用戶也要儘速修補。</p> </div></div></div>
7/15 14:32作者周峻佑https://www.ithome.com.tw/news/177336
Google DeepMind執行長Demis Hassabis提議建立AI標準組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google DeepMind共同創辦人兼執行長<a href="https://demishassabis.substack.com/p/a-framework-for-frontier-ai-and-the-dawning-of-a-new-age" target="_blank">Demis Hassabis周二（7/14）主張</a>美國應成立新的AI標準組織，建立前沿AI模型的測試與安全評估制度。他認為，人工通用智慧（AGI）可能數年後便會到來，在AI能力快速提升之際，可由美國率先建立兼顧創新與安全的治理機制，再推動成為國際共同標準。</p> <p>Hassabis表示，人類正站在科技奇點（Singularity）的山麓，AGI將成為人類史上最具變革性的技術，其重要性如同電力或火的發現；他預估AI帶來的影響可能達到工業革命的10倍，且速度也是10倍，可望加速新藥研發、潔淨能源及新材料開發，甚至讓資源不再成為限制人類進步的因素。</p> <p>但他同時也警告，前沿AI的發展速度已超越人類對這項技術的理解，目前沒有人能確定未來走向，網路安全、核子與生物風險也可能隨模型能力提升而加劇。因此，Hassabis提議美國應成立由聯邦政府監督、採公私協力或自律模式運作的AI標準組織。</p> <p>此一標準組織的董事會應納入獨立技術專家及開源社群代表，所需經費則主要由產業界提供。該組織將制定前沿AI模型的評估方法，並與聯邦機關及美國國家實驗室合作，測試模型在國家安全相關領域的能力。</p> <p>依照Hassabis的構想，標準組織將依據定期更新的基準測試，認定哪些模型屬於「前沿級模型（Frontier-class Models）」，其開發單位則列為「前沿實驗室（Frontier Labs）」。前沿實驗室應公布模型技術資料、強化內部資安、審查關鍵人員，並投入足夠資源從事安全研究。</p> <p>制度初期採自願參與，業者可在模型發布前30天內提交審查，評估應涵蓋網路安全、生物威脅及其他高風險領域；待評估機制證實有效且穩健後，再轉為強制制度，要求前沿模型通過測試才能在美國市場部署。</p> <p>若模型具備代理能力，則應另行測試其是否會試圖繞過安全護欄或出現欺騙行為。相關基準應定期更新，標準組織也應逐步建立自行設計獨立測試的能力，避免模型針對既有評估過度最佳化；若情勢需要，還可進一步協調各前沿實驗室放慢AI開發速度。</p> <p><a href="https://www.axios.com/2026/07/14/demis-hassabis-ai-regulation-google-deepmind" target="_blank">根據Axios的報導</a>，Hassabis已低調遊說數月；且美國媒體偏向將其稱為AI監管機構，而非中立的標準組織；此外，包括OpenAI執行長Sam Altman及Anthropic執行長Dario Amodei也都與Hassabis採取類似的立場。</p> </div></div></div>
7/15 14:53作者陳曉莉https://www.ithome.com.tw/news/177338
NIST發布ICT供應商盡職調查指南，提出5類調查項目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://csrc.nist.gov/pubs/sp/1326/final" target="_blank">美國國家標準暨技術研究院（NIST）於7月8日發布《網路安全供應鏈風險管理：盡職調查評估快速入門指南》</a>，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1326.pdf" target="_blank">文件編號為NIST SP 1326</a>，主要內容是針對組織在採購資訊與通訊科技（ICT）產品與服務，或管理既有系統時，該如何做好評估供應商與產品的供應鏈風險。</p> <p>基本上，NIST將此處的「盡職調查」定義為蒐集並查證供應商或產品的相關資訊，協助組織針對新採購案或既有系統做出決策。基本盡職調查可先從公開資訊著手，不必直接向供應商索取資料；組織也可依據可用資源及採購標的的關鍵程度，採用商業資料庫、專有資料來源及供應鏈可視性分析工具進行強化盡職調查，並比對多項來源，確認資訊是否一致。</p> <p>指南提出5類調查項目，包括外國所有權、控制或影響力（Foreign Ownership, Control, or Influence）、來源與沿革（Provenance）、韌性（Resilience）、基礎資安實務（Foundational Cyber Practices），以及供應鏈層級（Supply Chain Tiers）。調查內容包括供應商的股權結構、與外國政府的關係、研發與製造地點、財務與法規遵循狀況，以及漏洞修補和產品支援情形；組織也可進一步追查直接供應商背後的次級供應商，找出多家供應商是否共同依賴相同來源，辨識供應來源過度集中的風險。</p> <p>NIST建議組織依自身風險容忍度及系統重要程度，為各項調查結果設定不同的關注等級，並定期更新資料或持續監控供應商狀況。針對軟體產品，組織也可利用軟體物料清單（SBOM），檢視第三方相依元件是否仰賴單一或少數貢獻者維護，元件是否已進入生命週期終點，以及是否存在仍未修補的已知漏洞，作為評估供應鏈風險的重要依據。</p> </div></div></div>
7/15 12:33作者王珮瑤https://www.ithome.com.tw/news/177333
聚焦自主AI代理交易，FIDO聯盟啟動Agentic Commerce標準制定，OpenAI亦加入理事會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>致力於建構安全無密碼世界的FIDO聯盟，近年在金融支付方面的推動與合作相當積極，從早年與國際信用卡組織EMVCo合作，到支持<a href="https://fidoalliance.org/passkey-use-case/payments/">Payment Passkey</a>與<a href="https://fidoalliance.org/white-paper-secure-payment-confirmation/">W3C安全支付確認（SPC）候選標準</a>，2026年再度迎來重大發展，當中最受矚目的趨勢，莫過於針對自主AI代理交易行為建立可信基礎，因為已有市場數據指出：2030年AI代理商務（Agentic Commerce）規模將上看5兆美元。</p> <p>隨著AI代理技術逐步邁向成熟，自主AI代理交易已從概念想像轉向實務落地的現實課題。近日FIDO聯盟臺灣分會會長張心玲公布FIDO聯盟最新發展動向，指出Agentic AI與Agentic Payments已成當今發展重點之一。因此，不只是AI代理的身分、授權、責任邊界與風險受關注，同時反映出FIDO的發展不僅聚焦強驗證的應用，建立商務與支付流程中「可查驗的授權」也成當務之急。</p> <p>隨著科技巨頭加速布局，FIDO聯盟正發揮其產業凝聚力以整合共識。張心玲指出，近期幾項重要發展正反映這項轉型趨勢：</p> <p>首先，從產業生態系來看，生成式AI巨頭OpenAI今年4月加入FIDO聯盟並取得理事會席次。張心玲強調，這項指標性行動不僅反映市場共識，突顯AI與身分驗證開始匯流，也大幅提升產業界對AI代理驗證必要性的關注。</p> <p>其次，為因應AI代理人的興起，FIDO聯盟於2026年4月正式成立Agentic Authentication技術工作小組，該小組由醫療零售業CVS Health、Google及OpenAI共同出任主席，並由Amazon、Google與Okta擔任副主席。其核心目標在於定義AI代理如何「代表使用者」進行驗證、操作與交易，確保其行為具備可信度與不可否認性。</p> <p>張心玲進一步透露，上述技術工作小組已經成立Agentic Payments子工作組，不僅討論AI作為第四方介入交易時的責任歸屬問題，更啟動「代理商務（Agentic Commerce）」的規格制定，並獲得多家國際大廠的初始技術貢獻。其中，Google捐出其Agent Payments Protocol（AP2）協定原型，萬事達卡（Mastercard）與飛馬科技（FIME）則貢獻可驗證意圖的相關架構。這些技術的投入，都將成為後續標準制定的重要參考資源。</p> <p>張心玲強調，免密碼與Agentic AI已成主流，國內業者應及早布局Agentic AI與數位憑證相關技術應用，雖然臺灣目前已成為FIDO聯盟全球會員數第二高的國家，擁有深厚的硬體與供應鏈優勢，但參與規格制定更重要，而非等到標準定案後再跟進採用，這將是國內業者需要積極把握的轉型契機。</p> <p>若從整體FIDO聯盟發展來看，上述提及的AI代理驗證與商務授權標準制定，已成為FIDO聯盟在2026年發展的主要重點之一。此外，我們年初曾報導FIDO聯盟<a href="https://www.ithome.com.tw/news/175115#FIDODC"><strong>數位憑證新工作小組新動向</strong></a>，將朝向建構可互通的數位皮夾生態系發展，而推動多年的Passkeys也將從普及階段邁入深化應用。至於FDO（FIDO Device Onboard）生態系的推動，則預期將隨AI邊緣運算興起與供應鏈安全需求而持續擴大發展。</p> <p> </p> </div></div></div>
7/15 12:36作者羅正漢https://www.ithome.com.tw/news/177321
微軟7月例行更新揭露3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今天（7月15日）微軟<strong><a href="https://www.ithome.com.tw/news/177319">發布本月例行更新</a></strong>（Patch Tuesday），總共修補1,050個漏洞，有622個是微軟產品漏洞，其餘為Chromium弱點。<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-Jul">微軟提及</a>其中</strong>有3個漏洞特別值得留意，因為這些漏洞已在修補前遭到利用或被公開。</p> <p>其中，已被用於實際攻擊的漏洞是<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-56155">CVE-2026-56155</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-56164">CVE-2026-56164</a></strong>，分別影響AD聯合身分驗證服務服務（ADFS）與SharePoint，都屬於權限提升類型的弱點，微軟列出的CVSS評分為7.8、5.3，歸納為重要（Important）與中度風險等級。美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog">也表示掌握漏洞遭到積極利用的證據</a></strong>，將它們列入已遭利用的漏洞名單（KEV）。然而，美國政府對於CVE-2026-56164的危險程度認定與微軟有明顯落差，美國國家漏洞資料庫（NVD）<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-56164">評估CVSS分數為9.8</a></strong>，CISA要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-56164">必須在3天內完成修補</a></strong>。</p> <p>在修補之前就被公開的漏洞是<strong><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50661">CVE-2026-50661</a></strong>，此為BitLocker安全功能繞過弱點，CVSS風險評為6.1分，歸類為重要等級風險。</p> </div></div></div>
7/15 10:48作者周峻佑https://www.ithome.com.tw/news/177324
SonicWall修補防火牆已遭利用的滿分漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日SonicWall針對SMA1000設備<strong><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008">發布資安公告</a></strong>，指出6210、7210、8200v等部分機種當中，存在CVE-2026-15409、CVE-2026-15410兩項漏洞，影響12.4.3-03245至12.5.0-02800等多個版本，造成的危險程度CVSS評分達到滿分10分，而且已出現積極利用的漏洞攻擊活動，由於沒有其他替代緩解措施，該公司呼籲用戶應儘速升級至12.4.3-03453或12.5.0-02835以上版本因應。</p> <p>CVE-2026-15409、CVE-2026-15410分別為伺服器請求偽造和命令注入漏洞，其中又以CVSS評分達到10分的CVE-2026-15409特別危險，此弱點存在於Work Place介面，未經驗證的攻擊者有機會讓防火牆向非預期的位置發出請求。</p> </div></div></div>
7/15 11:32作者周峻佑https://www.ithome.com.tw/news/177329
紐約州發出全美首個暫停資料中心進駐令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.governor.ny.gov/news/first-statewide-moratorium-new-hyperscale-data-centers-launched-governor-kathy-hochul" target="_blank">紐約州州長Kathy Hochul周二（7/14）簽署行政命令</a>，宣布暫停核准新的超大規模（Hyperscale）資料中心進駐，禁令最長1年，成為全美首個對大型資料中心實施州級暫停令的州政府。</p> <p><a href="https://www.governor.ny.gov/executive-order/no-62-establishing-temporary-moratorium-data-centers-new-york-while-state-develops" target="_blank">此一行政命令適用於</a>用電量達或可達50MW以上的資料中心，但主要用於製造、研究、教育及醫療用途的設施不受影響。</p> <p>近年受到AI及大型運算需求推動，紐約州資料中心開發案快速增加。州政府指出，新建資料中心可能需要龐大的電力與冷卻用水來支援數千臺伺服器運作，因此引發能源、用水及環境衝擊等疑慮。</p> <p>Hochul今年初便推動Energize NY計畫，指示公共服務部（Department of Public Service，DPS）展開相關程序，要求資料中心自行負擔更多能源成本或自行供電，避免一般民眾承擔新增用電需求。</p> <p>新的行政命令進一步要求DPS制定一份通用環境影響評估（Generic Environmental Impact Statement，GEIS），建立全州一致的資料中心審查標準。在GEIS完成前（預計約1年），州環境保育廳（DEC）將不再核發新的相關裁量性環境許可。GEIS計畫評估資料中心對能源需求、水資源、水質及空氣品質等影響；待標準完成後即會解除禁令。</p> <p>除了環境影響評估之外，Hochul亦指示紐約州經濟發展局（Empire State Development，ESD）在60天內提出社區投資框架，協助地方政府及大型資料中心業者協商社區回饋。另也指示DPS研究設立紐約電網加速基金（New York Grid Acceleration Fund），要求資料中心投資州內老舊電網及能源基礎設施，包括支持新增潔淨能源、保險基金、分散式能源與電池儲能等建設，確保大型資料中心所需電力不會增加一般民眾負擔。</p> </div></div></div>
7/15 11:49作者陳曉莉https://www.ithome.com.tw/news/177330
Grok Build被發現偷偷把用戶整個程式庫上傳到雲端，馬斯克承諾將刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://gist.github.com/cereblab/dc9a40bc26120f4540e4e09b75ffb547" target="_blank">研究人員發現</a>SpaceXAI的AI程式撰寫工具Grok Build會偷偷將用戶Git程式庫及其他紀錄，甚至是開發中的專案上傳到雲端平臺。消息公開後，馬斯克承諾將把這些資料刪除，SpaceXAI並增加零資料保留設定（zero data retention，ZDR）。</p> <p><a href="https://github.com/cereblab/grok-build-exfil-repro" target="_blank">代號cereblab的研究人員</a>上周公佈一項針對Grok 0.2.93版Build CLI進行通訊協議（wire-level）分析，發現三項值得注意的行為。首先，SpaceXAI Build CLI會透過兩個API，包括即時對話API(POST /v1/response)及工作區狀態API(POST /v1/storage)將讀取過的檔案內容一字一句、不加遮蔽或刪減地傳送到SpaceXAI（即合併SpaceX及xAI後的公司）。</p> <p>其次，除了代理人讀取的檔案，它還會將整個Git儲存庫外加Git歷史紀錄打包成Git Bundle上傳。研究人員以一個12GB的專案測試，發現在對話僅產生192KB數據，但背後已上傳了5.10GiB（註：約等於5.4GB）資料，二者比率達2.7萬倍。</p> <p>第三，這些資料上傳目的地並非SpaceXAI自有資料中心或AWS S3，而是Google Cloud Storage (GCS)儲存桶，但研究人員在CLI任何文件上皆未看到該機制，表示這是預設開啟，且無從藉由關閉「改善模型」(improve the model)的選項來阻止。</p> <p>研究人員指出，這項測試著重的不是SpaceXAI訓練AI的方法，而是討論違反隱私政策，因為本測試已設定關閉上傳。</p> <p>報告公開後，SpaceXAI迅速<a href="https://x.com/SpaceXAI/status/2076692402442846289" target="_blank">作出回應</a>。該公司表示關心用戶隱私也尊重客戶選擇。針對Grok Build程式庫上傳，SpaceXAI表示提供零資料保留（ZDR）選項。啟動該選項的專案，公司將不再儲存程式碼和runtime。而未啟動ZDR的專案，則可在CLI輸入entering/privacy來關閉資料保留。</p> <p>研究人員cereblab分析，報告公開後，SpaceXAI已經關閉上傳的伺服器端、加入/privacy opt-out API，但他測試後判斷，這是資料保留設定，並未提供封鎖上傳。</p> <p><a href="https://x.com/elonmusk/status/2076739687658496209" target="_blank">馬斯克也說</a>，之前上傳的SpaceXAI資料將全數刪除，一點也不留，意謂著用戶刻意上傳的資料也會被刪掉。但<a href="https://x.com/elonmusk/status/2076737992689914215" target="_blank">他之後又說</a>這些資料有助於SpaceXAI除錯，用戶如果保留他們會很感激，但仍尊重用戶的選擇。</p> </div></div></div>
7/15 12:02作者林妍溱https://www.ithome.com.tw/news/177331
CISA將SonicWall防火牆、微軟ADFS與SharePoint資安漏洞列KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月14日美國網路安全與基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog">發布公告</a></strong>，表示他們已掌握<strong><a href="https://www.ithome.com.tw/news/177319">微軟</a></strong>及<strong><a href="https://www.ithome.com.tw/news/177329">SonicWall</a></strong>本週修補的部分資安漏洞被積極利用的跡象，將這些弱點列入已遭利用的漏洞名單（KEV），並要求聯邦機構限期修補。</p> <p>這些包含了存在於SonicWall SMA100設備的伺服器請求偽造（SSRF）漏洞CVE-2026-15409、命令注入漏洞CVE-2026-15410，以及AD聯合身分驗證服務服務（ADFS）權限提升漏洞CVE-2026-56155、SharePoint權限提升漏洞CVE-2026-56164。值得留意的是，大部分漏洞CISA要求聯邦機構必須在7月17日前完成修補，只有CVE-2026-56155給予兩週的時間因應。</p> </div></div></div>
7/15 12:09作者周峻佑https://www.ithome.com.tw/news/177332
微軟7月例行更新修補自家產品622個漏洞，連同Chromium總計超過1千個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前<strong><a href="https://www.ithome.com.tw/news/177264">微軟透露</a></strong>，隨著AI加速漏洞發現的速度，該公司已利用相關技術提早找出Windows弱點，並預告未來的每月例行更新（Patch Tuesday）將會納入更多修補內容，繼6月修補<strong><a href="https://www.ithome.com.tw/news/176497">漏洞總數突破500</a></strong>，本次修補弱點數量近乎翻倍。</p> <p>7月15日微軟<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-Jul">發布本月例行更新</a></strong>，公開622個由該公司登記編號的資安漏洞，數量是上個月206個的3倍。若是加上該公司修補428個與Chromium有關的資安漏洞，總數將達到1,050個，無論是微軟登記CVE的漏洞，還是修補第三方漏洞的數量，都再度創下史上最多的紀錄。附帶一提的是，這次微軟不再逐一列出他們登記編號的CVE漏洞，而是根據應用系統類型，列出發布的更新套件與漏洞修補數量。</p> <p><a href="/sites/default/files/images/Jun_0VY9GE96Cq.png" target="_blank"><img alt="" src="/sites/default/files/images/Jun_0VY9GE96Cq.png" style="width: 580px;" /></a></p> <p><a href="/sites/default/files/images/Jul_V9VCTLalUu.png" target="_blank"><img alt="" src="/sites/default/files/images/Jul_V9VCTLalUu.png" style="width: 580px;" /></a></p> <p>從漏洞修補的數量來看，Windows仍是大宗，有416個，其次是Office、Edge和開發工具，分別為82個、46個，以及27個。SharePoint、SQL Server、Exchange Server為17個、8個、5個，雲端平臺Azure微軟共揭露了11個弱點，此外，防毒軟體Microsoft Defender也獨立列出，解決了5個弱點。</p> </div></div></div>
7/15 10:25作者周峻佑https://www.ithome.com.tw/news/177319
OpenAI GPT-5.6旗艦模型擅自刪除用戶檔案、資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI上周上線的GPT-5.6 Sol模型會在未經詢問下，自作主張刪除用戶檔案，多名用戶相繼受害，甚至有人整個資料庫被刪掉。</p> <p>眾多GPT-5.6 Sol用戶透過<a href="https://www.reddit.com/r/OpenAI/comments/1uvcipm/warning_gpt_56_randomly_deleting_files/" target="_blank">Reddit</a>及X描述其遭遇。其中，HyperWrite開發者<a href="https://x.com/mattshumer_/status/2075657271401390161" target="_blank">Matt Shumer說</a>GPT-5.6 Sol刪掉他幾乎所有Mac電腦檔案，這也說明了Anthropic Claude Fable何以更值得信賴1000倍。<a href="https://x.com/brunolemos/status/2076769881534398974" target="_blank">另一名用戶說</a>，GPT-5.6 Sol刪掉他整個營運資料庫，這在別的模型從未發生過。</p> <p>使用者遭遇固然值得同情，但也有其他Reddit用戶認為使用者也有責任，因為他們給予GPT-5.6 Sol完整存取權限，也可能未在沙箱中執行控制損害範圍。</p> <p>事實上，<a href="https://deploymentsafety.openai.com/gpt-5-6/forecasting-misaligned-behavior-with-deployment-simulation-of-internal-traffic" target="_blank">GPT-5.6推出時的系統卡（System Card）網頁</a>就已說明有違反用戶意思的可能。OpenAI說，在撰寫程式碼時，GPT-5.6會出現不符指令（misalignment）的行為，通常原因出於GPT過於急切想完成任務，以及誤將用戶指令解讀為操作許可，因此除非用戶明白且清楚禁止，否則模型會假設行為獲得許可。當模型企圖完成被交辦的任務時，會繞過被設下的限制、行動時無意間逾越限制而造成破壞、或在向用戶報告時有欺瞞行為。雖然大部份情況下不聽話行為後果嚴重性不大，但偶爾也可能出現造成嚴重後果，例如繞過重要的安全限制或刪除重要檔案。</p> <p>OpenAI尚未對此回應。</p> <p>不過AI誤刪用戶檔案並非首次發生。在Anthropic Claude Opus 4.6上運行的Cursor代理人4月<a href="https://www.ithome.com.tw/news/175391" target="_blank">也曾經誤刪用戶檔案</a>，在9秒內刪除一家新創公司的營運資料庫及雲端備份。</p> </div></div></div>
7/15 10:31作者林妍溱https://www.ithome.com.tw/news/177320
外傳OpenAI將在今年發表智慧喇叭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://archive.ph/wTC6i" target="_blank">彭博社（Bloomberg）</a>本周引述消息來源報導，OpenAI準備在今年底發表首款硬體裝置，這是款支援ChatGPT的智慧喇叭，而且支援充電電池，方便移動。</p> <p>OpenAI並未隱藏該公司想進軍消費性硬體裝置的企圖心，<a href="https://www.ithome.com.tw/news/169088" target="_blank">在2025年5月收購</a>了由蘋果前首席設計師Jony Ive成立的AI裝置新創公司io，該公司全球事務長Chris Lehane<a href="https://www.ithome.com.tw/news/173477" target="_blank">亦曾公開宣布</a>OpenAI預計在2026年下半年推出其首款硬體裝置。</p> <p>根據報導，此一智慧喇叭將仰賴OpenAI日前才發表的<a href="https://www.ithome.com.tw/news/177203" target="_blank">語音技術ChatGPT Voice</a>，ChatGPT Voice標榜能夠同步聆聽與回應使用者的語音，並可在產生語音回應的同時持續聆聽使用者輸入，以持續判斷是否該繼續聽、保持沉默、插話或開始回答。</p> <p>它被定位為一款可在家中使用、具備人類互動特性的AI陪伴裝置，可用來控制智慧家庭設備、播放影音內容、回答問題、回覆訊息，以及存取OpenAI ChatGPT的各項能力。</p> <p>此外，OpenAI的智慧喇叭將同時支援插電及充電電池。目前主流的智慧喇叭都必須插電使用，包括蘋果、Google及Aamzon在內，具備充電電池代表方便使用者將它攜帶至家中不同角落。</p> <p>OpenAI並未證實此一報導。另一方面，<a href="https://www.ithome.com.tw/news/177258" target="_blank">蘋果上周</a>才具狀控告OpenAI，指稱OpenAI藉由招募、面試及供應鏈合作等方式，持續取得蘋果未公開產品、硬體設計及供應鏈等商業機密，以加速其AI硬體業務的發展。</p> </div></div></div>
7/15 10:36作者陳曉莉https://www.ithome.com.tw/news/177322
IT服務廠商遭駭，超市連鎖業者Lidl被竊走德、比、荷線上商店客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲平價超市連鎖業者Lidl（利多）本周通知德國、<a href="https://service.lidl.nl/html_mail.jsp?params=8LybHsuKa7Kn1nJNHJQVXNX0gmCmtqL%2BDv1%2FqBuU15CDljiqHnnM21YJF1q%2FnFUEywx3Rzgho98wZxcM9Vu14In%2BUF9apXtZuAjldylkmGg%3D" target="_blank">荷蘭</a>和<a href="https://customerservice.lidl.be/html_mail.jsp?params=8tKyobllxvsU6%2BgXDYjBJc6MQ853XtdVS6zBsH7vxJZSVH%2FBzLZpSM%2Fxo%2BNkxRbDFx7Qk%2FX0EmHNQMTiaWr%2FGCKi%2FhYKokW6%2FkoUR8Rjn4I%3D" target="_blank">比利時</a>客戶，受到一家IT服務供應商發生資安事件影響，使三國的線上商店客戶資料外洩。</p> <p>Lidl是總部位於德國的平價超市連鎖，全球分店超過1.1萬家分布30多國。根據Lidl公告，該公司稍早接獲一家IT服務供應商通知發生IT資安事件。儘管該供應商IT安全水準很高，但仍讓一個身分不明人士（或組織）短暫存取了該服務商儲存Lidl線上客戶資料的資料庫，並竊取部分資料。</p> <p>遭駭客竊取的線上商店客戶資訊包括顧客姓名、稱謂、電話號碼、電子郵件地址、出生日期和客戶編號。Lidl強調，客戶密碼、帳單地址、送貨地址、銀行帳號或其他支付資訊都沒外洩，顧客個人帳號也未受實質影響。Lidl並說，其線上商店系統本身未受影響。該IT服務商在發現異狀時立即回應，恢復受影響IT系統的安全，並立即延請數位鑑識專家調查。該業者除了Lidl，也通報了資料保護的主管機關。</p> <p>Lidl此時沒有證據顯示資料遭不當利用，但呼籲用戶小心可能的釣魚和身分詐欺事件。目前尚未有駭客團體出面承認。駭客竊取了多少Lidl線上商店客戶資料也還不清楚。</p> </div></div></div>
7/15 10:45作者林妍溱https://www.ithome.com.tw/news/177323
Cloudflare推出Precursor，以網站工作階段行為辨識AI代理與機器人流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.cloudflare.com/introducing-precursor/" target="_blank">網路與應用程式安全服務業者Cloudflare推出機器人防護功能Precursor</a>，透過持續分析訪客在整個網站工作階段的操作行為，辨識流量來自真人、自動化機器人或AI代理。</p> <p>使用Cloudflare Enterprise Bot Management的網站管理人員，可在Cloudflare控制臺啟用Precursor。啟用後，Cloudflare會在網站傳送給訪客的HTML回應中，自動加入輕量化JavaScript指令碼，蒐集滑鼠指標移動、鍵盤活動、網頁元素焦點變化及頁面顯示狀態等訊號，再由邊緣伺服器交叉比對各項行為訊號是否一致。Precursor會持續彙整同一工作階段的行為分析結果，因此，機器人無法透過重新整理頁面或重新開始驗證挑戰，清除先前累積的行為特徵以規避後續偵測。</p> <p>Cloudflare表示，Precursor只記錄鍵盤操作的時間點與輸入節奏，不會記錄使用者實際按下的按鍵；至於其他行為訊號，則由Cloudflare的機器人偵測系統以整體行為模式進行分析，不會直接顯示個別操作紀錄。網站管理人員可透過Security Analytics查看以完整工作階段為單位的分析結果，了解流量是否偏離一般使用模式，或呈現自動化操作跡象。Precursor也會將分析結果納入既有的機器人評分（Bot Score）、驗證挑戰決策及安全規則，協助辨識自動化流量，並依照既有規則採取相應措施。</p> </div></div></div>
7/15 10:51作者王珮瑤https://www.ithome.com.tw/news/177325
惡意Go模組牽出GitHub誘餌網路，涉及222個儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://socket.dev/blog/malicious-go-module-exposes-github-malware-lure-network" target="_blank">軟體供應鏈安全業者Socket揭露代號Muck and Load的惡意程式散布行動</a>。攻擊者將惡意Go模組github[.]com/kaleidora/dnsub-scanning-tool偽裝成DNS與子網域掃描工具，並仿冒合法開放原始碼專案dnsub，誘使開發者誤信其為可信套件。該模組自2026年1月24日發布首個版本以來，已累積超過1,200個版本，其中逾700個含有惡意程式碼。</p> <p>開發者執行該模組後，載入器會透過Pastebin、Telegram及Google Docs等公開服務取得惡意程式下載網址，再從GitHub下載加上密碼保護的7-Zip壓縮檔。解壓縮後，載入器會在偽裝成Microsoft Photos安裝目錄的資料夾內執行Microsoft.exe。研究人員分析這些惡意程式樣本後，發現AsyncRAT與Quasar等遠端控制木馬，可用來持續控制受害系統、存取瀏覽器資料及擷取螢幕畫面。</p> <p>Socket進一步追查發現，這套誘餌網路（lure network）至少包含222個儲存庫，涉及190個GitHub帳號。這些儲存庫利用GitHub Actions反覆產生提交紀錄，營造專案持續維護的假象，但並非全部直接散布惡意程式。研究人員在部分儲存庫確認至少14個不重複的惡意檔案，包括Vidar竊資程式、惡意程式載入器與下載器、間諜程式，以及與XMRig或BitMiner相關的Monero挖礦程式。Go安全團隊已封鎖這個惡意模組，Socket也已將確認的惡意GitHub基礎設施通報GitHub安全團隊。</p> </div></div></div>
7/15 10:54作者王珮瑤https://www.ithome.com.tw/news/177326
Google Cloud開源k8s-aibom專案，協助盤點Kubernetes叢集內的AI工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cloud.google.com/blog/products/identity-security/introducing-k8s-aibom-on-gke-for-automated-ai-bills-of-materials" target="_blank">雲端服務業者Google Cloud宣布釋出k8s-aibom開源專案</a>，<a href="https://github.com/GoogleCloudPlatform/k8s-aibom" target="_blank">採用Apache 2.0授權</a>，協助企業盤點Google Kubernetes Engine（GKE）及其他Kubernetes叢集實際執行的AI工作負載，並持續產生符合OWASP CycloneDX 1.6規格的機器學習物料清單（ML-BOM），協助辨識未經正式登記的影子AI工作負載。</p> <p>不同於在軟體建置階段產生AI物料清單的工具，k8s-aibom會持續盤點Kubernetes叢集納管命名空間內的AI工作負載，並分析容器映像檔、環境變數及命令列參數，辨識模型推論環境、AI代理框架、向量資料庫、檢索增強生成（RAG）元件，以及模型訓練與評估等工作負載，呈現正式環境實際執行的AI元件及其相依項目。</p> <p>根據Google Cloud說明，k8s-aibom會在k8s-aibom-system命名空間中，以單一且不具特殊權限的Kubernetes Deployment資源執行，不需修改既有Pod規格或CI/CD流程。盤點結果會標示各項資訊是由使用者明確宣告、工具推斷或仍待確認，協助資安與治理團隊進一步檢查模型參數、權重或版本等資訊無法確認的AI工作負載。</p> <p>Google Cloud表示，k8s-aibom產生的標準化清冊，可協助企業盤點AI資產，並為歐盟《AI法案》、NIST AI風險管理框架（AI RMF）及ISO/IEC 42001的法規遵循與稽核需求，提供基礎資料。不過，這項開源專案並非Google正式支援的產品，目前仍處於早期開發與測試階段（alpha），僅適合非關鍵環境的觀察用途，不能取代既有的建置階段掃描與雲端安全態勢管理工具。</p> </div></div></div>
7/15 11:07作者王珮瑤https://www.ithome.com.tw/news/177327
AWS開源企業AI代理平臺Loom，整合身分委派、權限控管與人工核准
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://aws.amazon.com/blogs/opensource/building-secure-ai-agents-at-scale-introducing-loom-for-aws/">AWS開源Loom for AWS</a></strong>，提供企業統一建立、部署及管理AI代理的參考平臺。AI代理可依使用者指令呼叫外部工具及執行工作，Loom則將代理的部署與操作、記憶、身分驗證、權限管理及人工核准整合到同一套系統，主要供企業平臺工程團隊使用。</p> <p>Loom是建立在AWS Strands Agents與Amazon Bedrock AgentCore等既有AWS服務上的開源專案，提供統一管理介面，可處理代理、記憶資源、外部工具連線及代理之間的協作，也能串接企業既有的身分驗證系統，並記錄模型與運算資源用量。</p> <p>在權限管理上，Loom會依使用者角色及所屬群組，限制可查看或操作的代理與資源。系統建立資源時，也會自動加入應用、群組及擁有者標籤，企業可再增加成本中心等自訂標籤，以追蹤費用及資源歸屬。</p> <p>Loom提供預先寫好的Python代理程式，企業可設定代理的行為規則、記憶功能及工具連線，再部署至Amazon Bedrock AgentCore Runtime。不需要自訂程式時，也可採用AgentCore的受管機制，只透過設定定義並部署代理。Loom的控制平面只開放系統允許調整的部署參數，避免使用者任意變更底層設定。</p> <p>Loom不會在執行或部署過程中即時產生並部署程式碼，企業可先測試及安全掃描固定的代理程式，後續建立不同代理時主要只更換設定，減少每次部署都要重新審查程式碼的工作。連接外部服務所需的機密資訊與憑證則存放於AWS Secrets Manager，不直接保存在Loom。</p> <p>代理代表使用者呼叫其他服務時，Loom會透過AgentCore Identity交換存取權杖，讓後續系統同時取得原始使用者與代理的身分資訊，並保留委派關係。下游服務可依原始使用者的既有權限限制資料與資源存取，使代理呼叫鏈維持最小權限原則。</p> <p>Loom也整合目前處於公開預覽階段的AWS Agent Registry，記錄代理及工具的連線位置、授權方式與功能。代理經組織內部審核後，才能發布供正式環境使用。代理若要修改資料或執行其他敏感操作，系統可先暫停流程，待人員核准後再繼續。</p> <p>Loom原始碼已公布於AWS Labs的GitHub專案頁面，企業可檢視及修改其實作，並參考架構說明與部署指南建立內部代理平臺。</p> </div></div></div>
7/15 10:15作者李建興https://www.ithome.com.tw/news/177318
拒絕提供健康資料給AI訓練的Samsung Health用戶，可能面臨停止同步及資料刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>新改版的三星健康程式Samsung Health要求用戶允許使用健康資料來訓練AI，若用戶拒絕，未來將無法同步資料，甚至可能被刪除資料。</p> <p>根據<a href="https://9to5google.com/2026/06/04/samsung-health-ai-redesign-galaxy-watch-9/" target="_blank">9to5Google</a>報導，三星於6月初改版Samsung Health App，主要賣點是增加AI功能，以配合下一代智慧手錶Galaxy Watch。目前Samsung Health App新版已經正式向用戶部署。另一方面，<a href="https://www.howtogeek.com/samsung-health-requires-ai-training-consent/" target="_blank">科技媒體How-To Geek發現</a>，部分用戶收到Samsung Health的新使用同意通知，因條款要求用戶允許三星將健康資料用於AI訓練，否則將無法繼續同步資料，而對這項要求感到不安。<a href="https://samsunghealth.com/shd/gen-ai" target="_blank">三星表示</a>，用戶允許它蒐集和處理的健康資料，將被用於AI訓練和建模，包括人力審查，以改良Samsung Health包括分析健康狀態的演算法及AI功能。</p> <p>三星希望用戶提供的資料包括身體量測值、營養、步數／活動、睡眠；用藥資料，包括處方和成藥。健康紀錄和醫療資訊，例如診斷、測試、療法及過往紀錄；和生理期相關的資料，包括心率。</p> <p>這家大廠表示，用戶之後任何時間都可以透過隱私設定撤回同意，那時三星也會停止使用用戶資料訓練AI。同時三星也提醒，用戶的同意也適用於其他裝置上同一帳號登入的Samsung Health App。根據報導，若用戶表達拒絕，App設定將跳出視窗顯示一段訊息，告知一旦用戶撤回同意，未來用戶再也無法與三星帳號同步資料，Health App也將刪除用戶健康資料，除非依據法律需要保留一段時日。可是保留期結束後，三星也會刪除這些資料。</p> <p>三星官方尚未正式向媒體<a href="https://www.pcmag.com/news/samsung-health-app-may-erase-your-data-if-you-opt-out-of-ai-training" target="_blank">回應此事</a>。</p> </div></div></div>
7/14 22:03作者林妍溱https://www.ithome.com.tw/news/177317
NPM 12預設停用套件安裝的自動執行指令碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月8日<strong><a href="https://github.blog/changelog/2026-07-08-npm-install-time-security-and-gat-bypass2fa-deprecation/">套件管理器NPM第12版大改版正式推出</a></strong>，如同<strong><a href="https://www.ithome.com.tw/news/176519">一個月前預告</a></strong>的重大變更，將多項安裝過程過去自動執行的高風險行為改為預設關閉、需明確授權才會執行。同時，GitHub也宣布將分階段淘汰雙因素驗證（2FA）繞過型細粒度存取權杖（2FA-bypass Granular Access Tokens）中最敏感的使用情境，以降低帳號與套件發布流程遭濫用的風險。</p> <p>其中，在執行npm install的套件安裝過程有3項明顯變更，首先是allowScripts預設改為關閉；再者，Git與遠端URL相依性參數--allow-git、--allow-remote，預設值皆調整為無，這些情境除非得到明確的允許，否則都不會執行或是解析。上述變更GitHub已於11.16.0以上版本NPM開始通知，用戶應在升級前進行準備，檢視並許可受到信任的指令碼，並提交到允許清單。</p> </div></div></div>
7/14 17:34作者周峻佑https://www.ithome.com.tw/news/177304
微軟警告ShinyHunters濫用OAuth攻擊SaaS應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/security/blog/2026/07/13/defending-saas-based-applications-against-shinyhunters-oauth-abuse" target="_blank">微軟本周警告</a>，ShinyHunters近來手法由以往運用惡意程式或暴力破解，轉向濫用OAuth驗證功能來攻擊Salesforce等合法SaaS應用程式，象徵其入侵手法的轉變。</p> <p>在2025年中到2026年中，ShinyHunters犯下多波重大攻擊，每一波都涉及多家企業客戶及知名雲端應用，包括Salesforce、Oracle EBS、KLUE等。微軟分析近一年來的攻擊活動，歸納出三項新的、不同於以往的入侵途徑。</p> <p>其一是使用語音釣魚（Vishing），ShinyHunters自2025年發動語音釣魚攻擊，冒充IT技術支援，誘騙企業員工准許其惡意OAuth應用程式，透過OAuth工作流通過驗證存取企業的Salesforce雲端租戶。例如其中一例是冒充Salesforce Data Loader工具。這使得駭客透過這些具高度權限的OAuth應用程式，代替用戶執行API呼叫。後續動作包括枚舉受害企業的Salesforce執行個體、長期存取Salesforce CRM資料、利用發現的憑證橫向移動到其他SaaS平臺。</p> <p>在初次駭入系統後，ShinyHunters提升SaaS供應鏈攻擊，目標是受信賴的Salesforce第三方整合應用。例如2025年8月Salesloft Drift憑證被竊，讓ShinyHunters駭客得以取得連結憑證，獲取下游SaaS應用的OAuth權杖，入侵多家企業的Salesforce執行個體，進而竊取企業的客戶資料。類似的案例還有2025年11月的Gainsight出版的應用，以及2026年6月的市場情報平臺Klue。</p> <p>第三路徑是濫用未授權的訪客權限（Guest Access）與GraphQL整合。駭客利用未驗證的Salesforce Aura端點，使用GraphQL的Aura請求，系統性查詢並檢索資料，繞過查詢紀錄筆數的限制，合法大量外傳CRM敏感資料。</p> <p>微軟之前已和Salesforce技術合作，<a href="https://www.salesforce.com/platform/shield/" target="_blank">Salesforce Shield: Event Monitoring</a>可串聯新的Defender for Cloud Apps Salesforce連結器，讓用戶可以更快偵測及調查針對Salesforce攻擊。最近雙方再進一步，在Defender for Cloud Apps加入更多遙測資料、應用屬性和應用核准分析，以偵測可疑的OAuth活動、調查可能被破壞的整合連結及事後分析。</p> </div></div></div>
7/14 17:44作者林妍溱https://www.ithome.com.tw/news/177305
歐盟準備制定兒少使用社交媒體的最低年齡規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲</a>、印尼、土耳其、英國及法國都已實施或準備限制青少年存取社交平臺之際，歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/statement_26_1590" target="_blank">主席Ursula von der Leyen周一（7/13）表示</a>，打算設定一個讓孩子可以合法使用社交媒體的年齡，且在夏天之後就會提出方案。</p> <p>EC在2025年成立兒少網路安全特別小組（Special Panel on Child Safety Online），以替歐盟研擬一套兼具實務性與一致性的兒少網路保護政策，成員包括來自健康、神經科學、心理學、電腦科學、兒童權利與數位素養等領域的專家，也納入青少年代表及公民意見，主要研究是否制定全歐盟一致的社交媒體最低年齡，如何依據兒童年齡與平臺風險採取不同保護措施，社交媒體/遊戲/通訊軟體/AI工具對兒少健康與福祉的影響，以及科技平臺應負擔哪些兒少安全責任等，<a href="https://commission.europa.eu/document/download/d833504d-5ec3-4fac-945f-38e7d0bd5326_en?filename=Special-panel-report.pdf" target="_blank">並在本周提交最終報告</a>。</p> <p>該報告建議限制未滿13歲者存取高風險數位服務，同時要求平臺證明產品安全，並依年齡逐步增加兒少的使用自主權。在更詳細的年齡規範中，主張0至2歲應避免接觸螢幕及社交媒體，12歲以下只能在監督下使用上網裝置，13至18歲則只應接觸適齡及預設安全的服務。</p> <p>其核心政策建議為全歐盟統一設定13歲門檻，限制未滿13歲者存取社交媒體或其他高風險數位服務，包括AI伴侶。另也主張導入保護隱私的年齡驗證機制，並要求社交平臺及數位服務業者擔負主要責任，移除或限制無限捲動、自動播放及個人化推薦系統等成癮設計。</p> <p>報告所建議的規範對象除了社交媒體、遊戲及AI伴侶之外，還包括影音分享平臺、應用程式商店，以及可能讓兒少接觸陌生人或不當商業行為的數位服務。</p> <p>Leyen指出，平臺必須證明其服務不會對兒少造成危害，而非將責任交給家長或孩子。她認為，孩子應有足夠時間在演算法影響之前塑造自己的身分與個性，因此支持建立社交媒體最低使用年齡。</p> </div></div></div>
7/14 18:04作者陳曉莉https://www.ithome.com.tw/news/177306
【資安日報】7月14日，勒索駭客組織Helix竊取SharePoint資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177297#Helix">資料勒索駭客Helix專門針對SharePoint存放的資料而來</a><br /> ● <a href="https://www.ithome.com.tw/news/177297#Java">中國駭客WP-ShellStorm攻擊企業Java應用系統的基礎設施</a><br /> ● <a href="https://www.ithome.com.tw/news/177297#Center16">13國共同針對俄羅斯軍情單位旗下駭客攻擊行動提出警告</a><br /> ● <a href="https://www.ithome.com.tw/news/177297#VibeCoding">駭客以Vibe Coding打造作案工具滲透企業AD環境進行偵察</a> <br /> ● <a href="https://www.ithome.com.tw/news/177297#Lightwell">企業開放原始碼軟體供應鏈安全服務Lightwell正式推出</a> <a id="Helix" name="Helix"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177267"><span style="font-size: 22px;"><strong>駭客組織Helix鎖定SharePoint竊取資料，以此向企業索討贖金</strong></span></a></p> <p>近兩年不斷透過竊得資料向受害組織進行勒索的駭客組織ShinyHunters（UNC6661），近期傳出疑似衍生出新的團體，引起研究人員的注意。威脅情報公司ReliaQuest於7月10日揭露資料勒索團體Helix，結合語音網釣、裝置驗證碼釣魚，以及自動化SharePoint資料竊取手法，對多個企業組織展開攻擊。研究人員研判，Helix極可能是今年4月宣告解散的勒索集團BlackFile（UNC6671）分裂後的團體，其手法與惡名昭彰的勒索集團ShinyHunters也有交集。<a href="https://www.ithome.com.tw/news/177267">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177269"><span style="font-size: 22px;"><strong>新型釣魚平臺Forg365結合AI技術，鎖定M365帳號發動攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/forg365_invitations_module-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/forg365_invitations_module-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司ZeroBEC揭露新型釣魚即服務（PhaaS）平臺Forg365，鎖定Microsoft 365帳號發動釣魚攻擊。研究人員指出Forg365採訂閱制營運，並透過Telegram平臺提供銷售、支援及更新服務，其控制面板直接整合AI產生釣魚信件內容的功能，利用Amazon SES發送釣魚信件，並提供多種攻擊路徑，以及透過專用瀏覽器擴充套件協助維持長期存取能力，整體來說，是與今年稍早揭露的Kali365相似的成熟PhaaS平臺，結合多種已知攻擊手法，同時加入AI功能。<a href="https://www.ithome.com.tw/news/177269">詳全文</a> <a id="Java" name="Java"></a></p> <p><a href="https://www.ithome.com.tw/news/177294"><span style="font-size: 22px;"><strong>中國駭客團體WP-ShellStorm試圖針對企業的Java基礎設施發動攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/nacos-campaign-stolen-data-wordpress-operation-pivot_-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/nacos-campaign-stolen-data-wordpress-operation-pivot_-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司SOCRadar發現中國駭客WP-ShellStorm公開曝露的伺服器，並指出駭客在攻擊WordPress網站之前，曾對企業組織採用的Java基礎設施下手，試圖掃描Apache Nacos、XXL-Job，以及Spring Boot，由於它們是許多微服務與金融科技基礎設施的骨幹，一旦遭到滲透，影響範圍將極為廣泛。基本上，Nacos的設定檔通常包含XXL-Job管理員的網址和存取權杖，若是攻擊者成功繞過Nacos的身分驗證流程，就能得到XXL-Job的有效管理員權杖，然後對執行個體的所有節點遠端執行任何程式碼。<a href="https://www.ithome.com.tw/news/177294">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177290"><span style="font-size: 22px;"><strong>中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式</strong></span></a></p> <p><a href="/sites/default/files/images/two_flags_v2_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/two_flags_v2_2-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司SentinelOne指出，與中國和印度相關的駭客團體，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方都曾攻擊俾路支省（Balochistan）警察機關，該機關有多項IT資產受到影響，包含兩臺網路設備、多臺執行俾路支省警方網站應用程式的伺服器，以及1臺Fortinet FortiMail設備。由於這套系統同時供警察人員與民眾使用，攻擊者若感染警察人員的設備，可能以此作為入侵警察機關內部網路的跳板；若感染民眾設備，則可能監控曾透過該系統提出陳情的民眾。<a href="https://www.ithome.com.tw/news/177290">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177281"><span style="font-size: 22px;"><strong>CISA要求聯邦機構修補思科IOS平臺跨站偽造請求弱點</strong></span></a></p> <p>美國網路安全與基礎設施安全局（CISA）於7月13日指出，他們發現思科網路設備作業系統IOS的資安漏洞CVE-2008-4128遭積極利用，將其列入KEV並要求聯邦機構在7月16日前完成修補。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，存在於HTTP Administration元件，攻擊者可發送如show privilege、alias exec等特定請求到指定URI觸發，從而遠端執行任意命令，CVSS風險評為4.3分，為中度風險等級。<a href="https://www.ithome.com.tw/news/177281">詳全文</a> <a id="Center16" name="Center16"></a></p> <p><a href="https://www.ithome.com.tw/news/177289"><span style="font-size: 22px;"><strong>俄羅斯國家級駭客攻擊關鍵基礎設施，13國呼籲強化路由器防護因應</strong></span></a></p> <p><a href="/sites/default/files/images/Figure 1 FSB Center 16 activity and recommended mitigation actions-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Figure%201%20FSB%20Center%2016%20activity%20and%20recommended%20mitigation%20actions-63.jpg" style="width: 300px; float: right;" /></a></p> <p>美國國家安全局（NSA）、CISA、FBI，與澳洲、紐西蘭、英國、捷克、丹麥等12個國家的資安機構與軍情單位聯手提出警告，俄羅斯聯邦安全局（FSB）第16單位（Center 16）旗下的多個駭客團體，持續鎖定全球組態設定不佳或存在弱點的網路設備，破壞多個關鍵基礎設施的網路環境，對此，執法機關呼籲關鍵基礎設施業者採取行動因應，包括實作第3代SNMP通訊協定（SNMP v3）、使用高強度的安全密碼、停用Cisco Smart Install功能，並於防火牆封鎖SNMP、TFTP、SMI等通訊協定。<a href="https://www.ithome.com.tw/news/177289">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177300"><span style="font-size: 22px;"><strong>英歐聯手制裁俄羅斯駭客組織</strong></span></a></p> <p>英國7月13日宣布與歐盟聯手，制裁涉及俄羅斯網路攻擊、資訊戰及混合式作戰的個人與實體，並正式認定波蘭能源電網的攻擊事故由俄羅斯聯邦安全局（FSB）第16單位（Centre 16）主使。此次英國制裁24名個人與實體，包括指揮網路與混合威脅行動的俄羅斯軍事情報總局（GRU）高層、協助招募駭客的IMPULS公司、竊資軟體Lumma Stealer幕後人士，以及Rybar媒體公司的10名董事、高階主管與內容設計人員。<a href="https://www.ithome.com.tw/news/177300">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177283"><span style="font-size: 22px;"><strong>韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查</strong></span></a></p> <p>韓國最大行動支付平臺Kakao Pay在2024年被爆出違法傳送個資事件，Kakao Pay自2018年至2024年5月，在未經用戶明確同意的情況下，竟將全體用戶個資每日傳輸至支付寶新加坡電子商務公司，韓國個人資訊保護委員會（PIPC）今年1月宣布，Kakao Pay違反個資法跨境傳輸規定，處以59億6,800萬韓元行政罰鍰，如今有新進展。最近韓國多家媒體報導指出，當地警方自7月6日突擊搜查Kakao Pay總部，進行為期兩天的搜查和扣押行動。<a href="https://www.ithome.com.tw/news/177283">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177282"><span style="font-size: 22px;"><strong>Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限</strong></span></a></p> <p><a href="/sites/default/files/images/RedHook-figure1-14-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/RedHook-figure1-14-63.jpg" style="width: 300px; float: right;" /></a></p> <p>2025年7月現身的Android遠端存取木馬（RAT）RedHook，近期擴大活動範圍並推出新版本。威脅情報公司Group-IB指出，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。由於這類攻擊會仿冒政府機關與金融服務網站，研究人員建議金融機構監控使用者連線階段，及早發現裝置感染惡意程式或連線行為異常，並持續追蹤仿冒網站及品牌遭冒用情況。<a href="https://www.ithome.com.tw/news/177282">詳全文</a> <a id="VibeCoding" name="VibeCoding"></a></p> <p><a href="https://www.ithome.com.tw/news/177265"><span style="font-size: 22px;"><strong>駭客利用Vibe Coding開發惡意工具，入侵Active Directory環境收集用戶資訊</strong></span></a></p> <p><a href="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_f5c746f4c4904f669874c60d9d072c09-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_f5c746f4c4904f669874c60d9d072c09-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司Huntress揭露利用AI輔助開發惡意工具的攻擊事件，攻擊者透過直覺式程式開發（Vibe Coding）方式產生PowerShell指令碼，用於收集企業Active Directory（AD）環境資訊，顯示生成式AI正被攻擊者濫用於製作客製化的攻擊工具，儘管這些惡意工具的程式碼可能雜亂無章，但仍能構成實在的威脅，也增加傳統特徵碼偵測的難度，防禦者必須採取行為分析來捕捉其惡意行為。Huntress發現明顯的AI生成特徵，包括過度設計、同時使用多種備用方法來尋找網域控制器等。<a href="https://www.ithome.com.tw/news/177265">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177262"><span style="font-size: 22px;"><strong>Datadog揭露GitHub API偵察行動，幽靈帳號長期掃描企業儲存庫</strong></span></a></p> <p><a href="/sites/default/files/images/ghost-accounts-attack-flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ghost-accounts-attack-flow-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Datadog揭露多起濫用GitHub API的偵察行動，駭客利用建立多年的幽靈（Ghost）帳號，系統性蒐集企業GitHub組織、儲存庫及使用者資訊，以建立企業GitHub組織、開發人員及專案之間的關連；部分行動另使用外洩的OAuth權杖與個人存取權杖（PAT），已有成功複製私有儲存庫的情形。自2025年10月以來，Datadog已觀察到超過50個幽靈帳號參與這類偵察活動，這些帳號多建立於2至5年前，長期閒置後突然開始針對多家企業大量發送API請求，通常持續1至3周後再停止活動。<a href="https://www.ithome.com.tw/news/177262">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177227"><span style="font-size: 22px;"><strong>金融詐欺攻擊利用ClickFix手法散布SCMBANKER工具包</strong></span></a></p> <p><a href="/sites/default/files/images/REF6045-17-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/REF6045-17-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Elastic揭露代號REF6045的攻擊行動，鎖定墨西哥金融服務的使用者，攻擊者架設假CAPTCHA驗證頁面，要求使用者完成額外步驟，藉此引導對方將惡意命令貼到Windows的「執行」對話方塊。命令執行後，批次指令碼會開啟假Windows更新畫面作為掩護，並透過Windows內建命令列工具bitsadmin下載SCMBANKER相關元件，再利用Windows登錄機碼Run Key與啟動資料夾（Startup Folder）建立開機自動執行機制，使惡意程式在系統重開機後繼續運作。<a href="https://www.ithome.com.tw/news/177227">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177271"><span style="font-size: 22px;"><strong>新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密</strong></span></a></p> <p><a href="/sites/default/files/images/GhostCommit-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GhostCommit-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究組織ASSET Research Group公開概念驗證攻擊手法GhostCommit，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，圖片要求代理讀取儲存庫根目錄的.env，將其中每個位元組轉成數字，再以名為_PROV_CANARY的整數序列寫進Python程式。研究團隊在受控環境測試多款AI工具，結果顯示，多數工具與模型組合會依照圖片指令，將完整.env內容寫入程式碼。<a href="https://www.ithome.com.tw/news/177271">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177230"><span style="font-size: 22px;"><strong>研究揭LLM攻擊新手法HalluSquatting，可誘使AI程式開發助理安裝惡意程式</strong></span></a></p> <p>以色列特拉維夫大學（Tel Aviv University）揭露名為HalluSquatting的新型大型語言模型（LLM）攻擊手法。攻擊者可先找出LLM在查找儲存庫、AI代理技能（skill）等外部資源時容易編造出的錯誤名稱，搶先註冊這些名稱，藉此建立假資源，並植入對抗性提示內容；一旦AI程式開發助理拉取這些假資源，就可能執行攻擊者控制的指令。研究人員測試多款代理式LLM應用程式，驗證這項攻擊可導致遠端工具執行與遠端程式碼執行（RCE）。<a href="https://www.ithome.com.tw/news/177230">詳全文</a> <a id="1196" name="1196"></a></p> <p><a href="https://www.ithome.com.tw/news/177226"><span style="font-size: 22px;"><strong>GuardFall攻擊鎖定開源AI程式開發代理，繞過Shell命令防護</strong></span></a></p> <p><a href="/sites/default/files/images/guardfall-shell-injection-ai-coding-agents-3-e1782815808862-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/guardfall-shell-injection-ai-coding-agents-3-e1782815808862-63.jpg" style="width: 300px; float: right;" /></a></p> <p>AI安全業者Adversa AI於6月30日揭露名為GuardFall的攻擊手法，由於多款開源AI程式開發代理與電腦操作型AI代理在執行Shell命令前，安全檢查主要仰賴原始命令字串比對或阻擋清單，攻擊者可利用Bash等命令列直譯器（Shell）的特性，在實際執行命令前，先展開變數、移除引號並重新解析命令，避開代理程式檢查，讓惡意命令以開發者帳號權限，在開發者主機或CI環境執行。GuardFall並非在所有情境下都會成立，攻擊鏈仍取決於AI模型是否會將惡意內容視為一般開發任務並產生Shell命令。<a href="https://www.ithome.com.tw/news/177226">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177263"><span style="font-size: 22px;"><strong>Palo Alto Networks修補13項漏洞，含防火牆作業系統的高風險緩衝區溢位問題</strong></span></a></p> <p>Palo Alto Networks於7月9日發布資安更新，修補旗下產品的13項漏洞，涵蓋PAN-OS、Cloud NGFW、Prisma Access等網路安全產品，以及Prisma Browser企業瀏覽器。其中最嚴重的是CVE-2026-0288，CVSS嚴重性評分達7.2分，涉及PAN-OS防火牆作業系統的緩衝區溢位問題，可能導致服務中斷，並存在執行任意程式碼的風險，影響PAN-OS 10.x、11.x與12.x版，以及Prisma Access的10.x與11.x版，用戶應更新至公告中指示的各修補版本。<a href="https://www.ithome.com.tw/news/177263">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177241"><span style="font-size: 22px;"><strong>OpenClaw存在高風險弱點，攻擊者可透過WhatsApp外部訊息觸發</strong></span></a></p> <p><a href="/sites/default/files/images/1_kweMnaMRhIY1GhDPadaKXA-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/1_kweMnaMRhIY1GhDPadaKXA-63.jpg" style="width: 300px; float: right;" /></a></p> <p>研究人員Chinmohan Nayak發現一批開源AI代理整合平臺OpenClaw資安弱點，涉及環境變數過濾機制、Git傳輸協定，以及沙箱防護功能，攻擊者只要利用偽裝成除錯請求的WhatsApp訊息，就有機會於OpenClaw主機上執行任意程式碼。Nayak強調，這些弱點形成的原因，並非是零時差漏洞或記憶體破壞手法，純粹是利用AI代理程式「照單全收」的特性造成。上述弱點尚無CVE編號，影響2026.6.1版OpenClaw，CVSS風險評為8.8至8.4分，OpenClaw開發團隊已發布2026.6.6版完成修補。<a href="https://www.ithome.com.tw/news/177241">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177264"><span style="font-size: 22px;"><strong>微軟坦承AI將讓未來Patch Tuesday的修補弱點數量變多</strong></span></a></p> <p>7月9日微軟宣布，隨著AI加速漏洞發現，正擴大利用AI提早找出Windows漏洞、加速修補與驗證流程，並預期未來每次安全更新將納入更多修補內容。上述策略的核心為微軟於5月發表的MDASH多模型代理式AI安全系統，它會掃描Windows重要的二進位檔，並利用多個AI模型驗證潛在漏洞，之後送入Windows專屬流程排除誤報，最後才交由工程師調查。微軟也計畫將MDASH等AI漏洞掃描工具，以及相關的漏洞發現與驗證作法，推廣到其他產品部門。<a href="https://www.ithome.com.tw/news/177264">詳全文</a> <a id="Lightwell" name="Lightwell"></a></p> <p><a href="https://www.ithome.com.tw/news/177285"><span style="font-size: 22px;"><strong>IBM與紅帽正式推出Lightwell，首波提供逾6,500個完成安全修補與驗證的相依套件</strong></span></a></p> <p>IBM與紅帽（Red Hat）於7月8日宣布，正式推出企業開放原始碼軟體供應鏈安全服務Lightwell，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。其中，Lightwell Network已正式供應，首波提供逾6,500個應用程式層相依套件，均已完成漏洞修補、數位簽章及認證，涵蓋Java與Python等軟體生態系。<a href="https://www.ithome.com.tw/news/177285">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177268"><span style="font-size: 22px;"><strong>資安桌遊Cybercrete融合CTEM與團隊合作，奧義智慧揭設計概念</strong></span></a></p> <p>將複雜的企業資安管理概念融入桌遊，已成為資安教育的新趨勢，先前奧義智慧科技（CyCraft）在此領域的發展引發業界關注，因為他們成功將MITRE ATT&CK與Cyber Defense Matrix（CDM）的資安框架，呈現在遊戲卡牌與桌遊，去年該公司再度推出新作《Cybercrete：守衛資安之路》，進一步將持續威脅曝險（Continuous Threat Exposure Management，CTEM）框架帶到大眾面前，近日奧義智慧資安研究處長陳仲寬公開闡釋其幕後設計概念。<a href="https://www.ithome.com.tw/news/177268">詳全文</a> </p> </div></div></div>
7/14 14:24作者周峻佑https://www.ithome.com.tw/news/177297
Amazon揭露數位永續三大策略：打造高效率雲端、把雲端變減碳工具、發展永續IT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著生成式AI帶動全球雲端基礎建設快速擴張，Amazo近期發表2025年永續報告，揭露其數位永續策略，聚焦於更高效率的雲端基礎設施、將雲端視為企業減碳工具，以及發展永續IT管理能力。不過，受到資料中心大規模擴建及供應鏈活動增加影響，該公司2025年整體碳排放仍較前一年增加16%，反映AI時代下基礎建設快速成長帶來新的永續挑戰。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-07-14%20%E4%B8%8B%E5%8D%884_32_32.jpeg" style="width: 600px; height: 596px;" /></p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-9a3924d3-7fff-11c1-ef40-d993dc54dbbb"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">提升雲端基礎設施效率</span></span></span></span></h2> <p>身為雲端巨頭，Amazon直言，2025年其新增的資料中心容量比任何其他公司都多，光是在去年第四季就增加超過1.2GW容量，因此提升AWS資料中心的效率被視為首要策略。</p> <p>報告指出，AWS資料中心持續優化能源與水資源使用效率，例如全球平均電力使用效率（PUE）達1.14，比公有雲平均高9%效率，也比企業自建資料中心高約30%效率，透過空氣冷卻、再生水利用及冷卻系統優化，提升資料中心用水效率，降低每單位運算所需的能源與水資源。</p> <p>除了提升資料中心本身的營運效率，該公司也持續擴大碳自由能源(Carbon-free energy)布局。截至2025年底，Amazon在全球建置712個碳自由能源專案，涵蓋太陽能、風力、核能及地熱等能源來源，希望以此支撐AI與雲端服務快速成長所帶來的龐大電力需求，同時降低資料中心的碳排放強度。</p> <p>除了能源採購與資料中心設計，Amazon也從運算硬體、軟體最佳化及冷卻架構三個層面提升雲端基礎設施效率，以降低AI工作負載快速成長帶來的能源消耗。</p> <p>在硬體層面，Amazon持續發展自研AI晶片，包括用於AI訓練的Trainium系列與推論用途的Inferentia系列。其中新一代Trainium3採用先進製程與系統設計，相較前一代Trainium2，提供最高4倍的訓練效能提升，並改善每瓦運算效率，協助企業在執行大型AI模型訓練時，以較低能源成本取得更高運算能力。</p> <p>Amazon認為，專用AI晶片能透過針對雲端AI工作負載最佳化的硬體架構，提高能源使用效率，降低單位運算所需的電力消耗。</p> <p>在軟體與系統管理方面，Amazon也透過軟體最佳化提升資料中心資源利用率，包括改善伺服器使用效率、最佳化工作負載配置，以及透過自有網路元件提升資料傳輸效率，減少閒置運算資源造成的能源浪費。</p> <p>在Amazon的資料中心，約有9成的時間使用自然氣冷，即引進室外的空氣，送入資料中心內的伺服器吸收熱量，僅有約1成使用水冷。</p> <p>因應AI伺服器功耗持續增加，Amazon擴大部署可配置式的Liquid-to-Chip晶片液冷技術，相較於傳統冷卻整個資料中心的作法，Liquid-to-Chip將冷卻能力直接送至產生熱量的晶片位置，換言之，更精準的將冷卻送到晶片層級。Amazon表示，該技術正從新建資料中心延伸至既有設施，在尖峰冷卻期間，最多可降低50%的機械冷卻能耗，同時不會增加每MW運算容量的用水量。</p> <p>透過自研晶片、軟體最佳化與晶片液冷等技術整合，Amazon希望提升AI資料中心每單位運算的能源效率，在支撐生成式AI需求成長的同時，降低基礎設施擴張對環境造成的影響。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-9a3924d3-7fff-11c1-ef40-d993dc54dbbb"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">將雲端視為企業IT減碳的重要工具</span></span></span></span></h2> <p>除了改善自身基礎設施，Amazon也將雲端視為企業數位轉型與減碳的重要手段。</p> <p>報告指出，相較於企業自建資料中心，AWS透過大型共享基礎設施、更高的伺服器利用率及集中式能源管理，可降低每單位運算的能源消耗。因此，企業將工作負載遷移至雲端，不只取得雲端彈性與擴充能力，也有助於降低IT基礎設施的環境衝擊。</p> <p>Amazon也強調通過Customer Carbon Footprint Tool等工具，協助企業掌握雲端工作負載所產生的碳排放，作為ESG揭露、碳管理及減碳規畫的依據，將永續能力延伸至企業IT管理層面。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-9a3924d3-7fff-11c1-ef40-d993dc54dbbb"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">運用AI提升整體營運效率</span></span></span></span></h2> <p>Amazon的永續IT策略並不僅限於AWS的資料中心基礎建設，還延伸至整體營運流程。</p> <p>例如在在電商營運方面，他們透過AI、資料分析及自動化技術，來改善物流配送、包裝設計及供應鏈效率，例如最佳化配送路徑、減少包裝材料使用、提升包裝自動化，以及擴大可回收紙材應用，希望降低商品配送過程中的資源消耗與碳排放。</p> <p>Amazon坦言，在AI需求持續推升雲端基礎建設投資下，2025年整體碳排放仍增加16%，主因為資料中心基礎建設的大規模擴建，以及相關供應鏈活動增加，包括建築施工、設備製造及採購等排放。不過，該公司也強調，自2019年以來，業務規模持續成長，但碳排放強度已下降38%，意謂著透過提升基礎設施效率與能源管理，降低每單位營運帶來的環境衝擊。</p> </div></div></div>
7/14 16:33作者蘇文彬https://www.ithome.com.tw/news/177302
韓國友利銀行爆發1.7萬名客戶個資外洩，起因為再委外業者員工擅自保存資料並上傳至開發者平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>任何產業發生委外供應鏈資安事故都受關注，金融業也不例外，近日韓國友利銀行（Woori Bank）於2026年7月3日向客戶發布公告說明，由於外部開發商員工的作業疏失，導致該行約1.7萬名客戶的個人資訊發生外洩。曾處理該行NFT平臺使用者個資的再委外業者（재수탁사）Blocko，隨後也承認因內部員工管理不當才引發此次事件。</p> <p>根據<a href="https://www.yna.co.kr/view/AKR20260703115451002"><strong>韓聯社報導</strong></a>，友利銀行於6月30日晚間得知外洩事故後，立即展開調查行動，確認這批外洩資料源於兩年前執行的非同質化代幣（NFT）平臺建置專案，儘管該計畫早已終止，但仍有委外廠商員工違規私自留存資料，並將包含個資的文件連結上傳至開發者平臺。目前確認受影響人數為17,551人，外洩個資類別包含用戶別名，以及用於線上身分識別的加密資料「連結資訊（Connecting Information，CI）」。</p> <p>同日，<strong><a href="https://blocko.io/board/board/260703">區塊鏈技術公司Blocko也發布相關事件的個資外洩公告</a></strong>，補充此次事件的具體時間軸。Blocko說明他們參與友利銀行在2024年9月23日至2025年2月22日期間的NFT平臺建置專案，曾處理該服務使用者的個人資料，並坦承一名員工於2025年9月左右不慎流出檔案連結，直到2026年6月30日Blocko察覺此異常情況後，已於第一時間通報銀行與個資保護委員會並採取應對行動。</p> <p> </p> </div></div></div>
7/14 15:30作者羅正漢https://www.ithome.com.tw/news/177296
英歐聯手制裁俄羅斯駭客組織，13國同步發布防禦指南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.uk/government/news/uk-and-eu-strike-russian-cyber-networks-with-new-sanctions" target="_blank">英國周一（7/13）宣布</a>首度與歐盟聯手制裁涉及俄羅斯網路攻擊、資訊戰及混合式作戰的個人與實體，並正式把針對波蘭能源電網的網路攻擊歸因於俄羅斯聯邦安全局（FSB）第16中心（Centre 16）。同一天，英國國家網路安全中心（NCSC）也聯合12國18個資安機構<a href="https://www.ncsc.gov.uk/news/uk-and-allies-urge-critical-sectors-to-improve-defences-against-russian-intelligence-targeting" target="_blank">發布防禦指南</a>，協助關鍵基礎設施營運單位防範俄羅斯情報機構的網路攻擊。</p> <p>英國與歐盟表示，俄羅斯政府長期透過情報機構、網路犯罪集團及代理組織，在歐洲從事網路攻擊、干預選舉、散布反烏克蘭假訊息及其他混合式作戰，企圖製造混亂與分裂。隨著俄羅斯持續對烏克蘭發動戰爭，俄羅斯情報機構也愈來愈依賴網路犯罪集團蒐集情報，支援其軍事及外交目標，因此英國與歐盟同步祭出制裁，打擊相關個人、實體及代理組織。</p> <p>英國此次制裁24名個人與實體，包括指揮網路與混合威脅行動的俄羅斯軍事情報總局（GRU）高層、協助招募駭客的IMPULS公司、資訊竊取程式Lumma Stealer幕後人士，以及Rybar媒體公司的10名董事、高階主管與內容設計人員。歐盟則制裁9名個人與4個實體，鎖定俄羅斯情報人員、駭客、惡意主機服務商及網路攻擊組織，部分對象與英國名單重疊。</p> <p>歐盟與英國也正式將2025年12月針對<a href="https://www.ithome.com.tw/news/173715" target="_blank">波蘭能源電網的網路攻擊</a>歸因於FSB Centre 16。英國表示，這起攻擊雖未成功，但若得逞，可能導致約50萬名民眾在冬季失去電力供應，顯示俄羅斯正持續將歐洲關鍵基礎設施列為攻擊目標。</p> <p><a href="https://www.consilium.europa.eu/en/press/press-releases/2026/07/13/cyber-russia-statement-by-the-high-representative-on-behalf-of-the-european-union-denouncing-russia-s-malicious-cyber-ecosystem-targeting-the-eu-its-member-states-and-international-partners/" target="_blank">歐盟指出</a>，FSB Centre 16控制包括Turla在內的多個駭客組織，長期對歐盟各國政府及關鍵基礎設施發動攻擊。Turla自2010年起就在法國從事政府網路間諜活動，還在2025年攻擊法國國防產業。</p> <p>同一天，NCSC亦與其它12國的18個資安機構共同發布聯合網路安全公告《Improve Router Hygiene to Protect Against Russian State-Sponsored Targeting》，揭露FSB Centre 16持續利用設定不當或存在已知漏洞的路由器，攻擊全球關鍵基礎設施。</p> <p>NCSC指出，FSB Centre 16會透過網際網路掃描仍使用預設或弱密碼的路由器，也會利用思科（Cisco）設備、Cisco Smart Install（SMI）功能及網頁管理介面的已知漏洞，取得網路設備控制權。</p> <p>相關攻擊主要鎖定通訊、國防、能源、金融服務、政府及醫療等關鍵基礎設施，並呼籲相關單位改用SNMPv3、停用舊版SNMP、為網路設備設定高強度且唯一的密碼，並限制管理介面的存取權限，以降低遭入侵風險。</p> <p>與英國一起發布公告的12個國家為澳洲、加拿大、捷克、丹麥、愛沙尼亞、芬蘭、法國、義大利、紐西蘭、波蘭、瑞典及美國。</p> </div></div></div>
7/14 14:42作者陳曉莉https://www.ithome.com.tw/news/177300
OpenAI最進階的GPT-5.6模型安全能力，9月將要求個人用戶啟用硬體安全金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI上周將最新版<a href="https://www.ithome.com.tw/news/177229" target="_blank">GPT-5.6模型開放上線</a>，並要求如欲使用高風險、高權限網路安全功能的個人用戶，應以硬體安全金鑰啟用進階帳戶安全防護（Advanced Account Security）。</p> <p>GPT-5.6標榜在程式撰寫、生命科學及網路安全領域都更進階，部分項目上超越Google Gemini和Anthropic Claude Mythos及Fable 5。<a href="https://openai.com/zh-Hant/index/gpt-5-6/" target="_blank">在GPT-5.6的相關網頁</a>，OpenAI說明GPT-5.6支援重要的資安防禦任務，如安全程式碼審查、修補、威脅建模和藍隊演練。OpenAI Daybreak旗下的網路安全可信賴存取計畫（Trusted Access for Cyber），可使用GPT-5.6更進階安全功能，包括漏洞分級處理與驗證、惡意軟體分析、偵測工程及修補程式驗證。</p> <p>欲使用這些功能的個人用戶，<a href="https://chatgpt.com/cyber?openaicom_referred=true" target="_blank">需驗證身分並申請可信賴存取權限</a>，<a href="https://openai.com/zh-Hant/form/enterprise-trusted-access-for-cyber/" target="_blank">企業或組織則可以為團隊提出申請</a>。個人用戶必須在9月1日前使用硬體金鑰啟用「進階帳戶安全防護」（advanced account security）才能存取安全能力最強的GPT模型。屆時未啟用者將恢復為較低的預設存取權。</p> <p><a href="https://www.ithome.com.tw/news/175474" target="_blank">進階帳號安全是OpenAI 5月</a>為了防範記者、政治人物等敏感身分人物的模型使用紀錄被人竊取推出，適用於ChatGPT及Codex服務。在這二項服務下，OpenAI帳號支援以YubiKeys等產品登入。除了符合FIDO規範的實體安全金鑰，OpenAI也和Yubico聯名推出YubiKey金鑰。</p> <p>至於組織用戶，若想使用進階模型能力，則是必須透過加入OpenAI的信賴合作夥伴計畫，即可使用沒有限制的Mythos模型。但合作內容都需向美國政府報告。</p> </div></div></div>
7/14 13:48作者林妍溱https://www.ithome.com.tw/news/177295
俄羅斯國家級駭客攻擊關鍵基礎設施，13國呼籲強化路由器防護因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）於7月13日，<strong><a href="https://www.ithome.com.tw/news/177281">將CVE-2008-4128列入已遭利用的漏洞列表（KEV）</a></strong>，並緊急要求聯邦機構必須在3天內完成修補，這樣的情況對於一個已公布接近20年的老舊弱點而言相當罕見。而這個漏洞被加入KEV且要求美國所有政府機關必須在短時間內採取行動，很可能與同一天發布的聯合公告有關。</p> <p>美國國家安全局（NSA）、CISA、FBI，與澳洲、紐西蘭、英國、捷克、丹麥等12個國家的資安機構與軍情單位<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-194a">聯手提出警告</a></strong>，俄羅斯聯邦安全局（FSB）第16單位（Center 16）旗下的多個駭客團體，持續鎖定全球組態設定不佳或存在弱點的網路設備，破壞多個關鍵基礎設施的網路環境，範圍涵蓋電信、國防工業基地、能源、金融服務、政府服務與設施、醫療保健與公共衛生等領域。這些被盯上的網路設備主要是路由器，他們透過SNMP協定尋找下手目標。但除了一般的路由器，這些執法機關也提及駭客針對思科IOS與IOS XE的平臺的情形，其中利用的弱點已確定有2個，分別是剛被加入KEV的CVE-2008-4128，以及重大等級的CVE-2018-0171。</p> <p>對此，執法機關呼籲關鍵基礎設施業者採取行動因應，包括實作第3代SNMP通訊協定（SNMP v3）、使用高強度的安全密碼、停用Cisco Smart Install功能，並於防火牆封鎖SNMP、TFTP、SMI等通訊協定。</p> </div></div></div>
7/14 11:51作者周峻佑https://www.ithome.com.tw/news/177289
【臺灣資安大會直擊】從一場虛擬紅隊演練，解構紅隊與藍隊的攻防作為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>對於許多企業而言，每一次進行紅隊演練時，委外的紅隊面對企業內部堅守防禦陣營的藍隊，往往是敵對的狀態，攻擊方想方設法透過內部橫向移動，取得管理員權限，進而建立永久後門並外洩資料；而防守方在面對資訊不對稱的情況下，往往只能被動迎擊，即便無法在第一時間掌握紅隊攻擊的手法和進度，但仍盡可能透過各種蛛絲馬跡找到被入侵的證據，並在有限的資源下，確保企業內重要關鍵資產的安全性。</p> <p>即便紅隊與藍隊因為攻守的立場不同形成對峙的局面，但日前在臺灣資安大會（CYBERSEC 2026）戴夫寇爾（DEVCORE）執行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩維（HW Chen）共同發表演講，這兩位相識超過二十年好友，在此進行一場虛擬紅隊演練的現場對談。</p> <p>翁浩正提到，他們兩人最早是在網路上的駭客與資安討論區彼此結識；爾後在2007年共同創立輔仁大學的NISRA資安社團，被視為臺灣校園資安社群最早的雛形之一。之後，翁浩正留在臺灣持續深耕，於2012年創立以滲透測試與紅隊服務為核心的戴夫寇爾（DEVCORE）；陳浩維則選擇出國深造，並加入Amazon打造企業內部的藍隊與資安應變團隊，之後轉戰韓國電商巨頭Coupang擔任臺灣資安長，直到今年初才返臺服務。</p> <p>兩位二十年好友，在資安產業同行，從駭客社群相識到攻防兩端各自紮根，兩人不約而同認為，資安不該只是個人或單一企業的責任，而是必須仰賴整個產業與政府協力，才能真正墊高臺灣的整體防禦韌性。</p> <h1><span style="color:#B22222;">第一週的資訊蒐集與資產盲區：一場虛擬紅隊演練</span></h1> <p>為了讓現場聽眾能更具體理解攻防兩端，在同一時間軸上各自看到什麼、又各自在忙什麼，兩人以一個虛構情境切入：陳浩維扮演企業資安長的角色，委託翁浩正的紅隊團隊執行為期一個月的滲透演練。</p> <p>翁浩正說明，紅隊在正式取得任何存取權限之前，第一週的重點是在不驚動防禦方的前提下，盡可能完整地盤點企業的外部攻擊面。</p> <p>具體做法包括透過憑證透明度紀錄（Certificate Transparency Log）追出企業所有歷史子網域，利用Shodan、Censys等工具，以SSL憑證指紋、favicon雜湊值（favicon hash）與自治系統編號反查對外資產；並透過被動式DNS紀錄，找出那些對外已經下線、卻仍在網路上存活的IP位址。</p> <p>此外，從翁浩正的實務經驗也發現，只要在GitHub進行程式碼搜尋，往往能挖出企業員工或前員工不慎外洩的設定檔與commit紀錄，甚至包括離職員工的個人帳號。</p> <p>他也直言，如今許多企業與外包廠商的工程師習慣直接在公開的GitHub儲存庫上進行開發與版本控管，無意間就把公司網域名稱、內部信箱與員工姓名一併攤在陽光下，成為攻擊者最初也最容易取得的情資來源。</p> <p>相對地，陳浩維從防禦方的角度指出，當時企業內部正利用攻擊面管理工具執行盤點，VPN伺服器雖然也被列入清查範圍，但因為仍需維持正常服務而未被真正凍結。</p> <p>他說，更關鍵的是，憑證透明度紀錄的監控並未被納入資安維運中心（SOC）的例行盤點項目，VPN帳號密碼的安全性也未曾被稽核，加上部分漏洞獎勵計畫（Bug Bounty Program）通報的漏洞尚未完成修補。</p> <p>因此，他強調，這個階段真正該做的功課，是強化外部漏洞風險的防護、主動進行OSINT內部資訊的清理，以及補齊日誌監控的完整性。「否則這些看似細瑣的資產缺口，終將成為攻擊者長驅直入的起點。」他說。</p> <h1><span style="color:#A52A2A;">第二週的合法入侵：弱密碼撞庫與VPN滲透</span></h1> <p>進入第二週，紅隊的目標從單純蒐集外部情報，轉為取得一個能被系統認可的合法身分，藉此進入企業內網。</p> <p>翁浩正說明，團隊會從公開的資料外洩資料庫中，篩選出符合企業網域信箱格式的帳號紀錄，藉此掌握員工在其他網站重複使用的弱密碼；同時，團隊也會從GitHub程式碼裡挖出可用的弱密碼，進而找到維護廠商所使用的帳號密碼組合。</p> <p>為了避開防禦方的告警機制，紅隊採取低速、分散式的撞庫策略，刻意拉長間隔並分散來源IP位址，最終成功以外包廠商的合法帳號登入VPN。</p> <p>陳浩維則從藍隊視角補充，當時企業其實已經部署VPN暴力破解偵測機制，但由於攻擊者刻意壓低每個IP位址的嘗試次數，使得偵測門檻始終未被觸發；系統雖然也設有異常地理位置登入的告警，但攻擊者使用的常駐代理IP位址，在偵測系統眼中與合法的家用網路幾乎無異。</p> <p>他表示，更令人憂心的是，維護廠商人員的多因素驗證（MFA）政策僅止於「建議」而非強制，導致這道原本應該存在的最後防線形同虛設，使得一連串異常行為始終沒有觸及任何已定義的偵測規則。</p> <p>陳浩維指出，這正是防禦方必須優先補強的環節，唯有將偵測機制持續優化，並在零信任架構下真正強制導入多因子驗證，才能讓合法帳號被冒用的門檻大幅提高。</p> <h1><span style="color:#B22222;">第三週的橫向移動與示警：從外包工作站到網域控制器</span></h1> <p>接著是第三週，紅隊的目標從一個委外帳號，擴張成整個網域的管理員權限。翁浩正描述，團隊先透過VPN進入內網，並在外包人員的工作站上完成落地，接著使用SharpHound工具建立完整的Active Directory（目錄服務）攻擊圖，盤點權限結構、群組關係與可能的攻擊路徑。</p> <p>攻擊團隊隨後找到一組因群組原則偏好設定（Group Policy Preferences）漏洞，而暴露在SYSVOL中的服務帳號密碼，並發現多臺主機共用同一組本機管理員密碼，因此得以透過Pass-the-Hash這種直接傳遞 Hash，而不是輸入密碼的攻擊技術，橫向移動（Lateral Movement）至網域控制器，最終取得整個Active Directory資料庫（NTDS.dit）的密碼雜湊值。</p> <p>翁浩正坦言，這是許多進階持續性威脅（APT）組織慣用的手法，而企業方往往因為某一臺主機設定疏漏，就讓整條攻擊鏈路一路暢通無阻。值得慶幸的是，防禦方這次並非全然無所察覺。</p> <p>陳浩維進一步說明，此時企業的資安人員注意到，有一個名為jenkins-build的服務帳號出現行為異常，包括：平常只在固定時段、固定主機上運作，卻突然出現在不該出現的伺服器上，且登入時間落在非上班時段。</p> <p>藍隊隨即啟動初步調查後發現，外包工程師的工作站存在異常的PowerShell活動，於是立即隔離該工作站、重設外包帳號密碼，並著手檢視端點行為紀錄、追查橫向移動路徑、停用相關帳號。</p> <p>陳浩維特別提醒，一旦發現攻擊者已經滲透至此，防禦方不能只滿足於處理眼前這一個異常事件，而必須同步啟動更大範圍的調查，釐清這名外包人員的足跡為何會出現在不該出現的位置，並比對是否還有其他相似的行為模式潛藏在其他主機之中。</p> <h1><span style="color:#B22222;">第四週建立持久後門：憑證濫用與資料外傳</span></h1> <p>到了第四週，紅隊的行動開始出現分歧的兩條線。第一條攻擊路線，是濫用憑證管理系統（Active Directory Certificate Services，ADCS）。</p> <p>翁浩正說明，團隊利用Certify工具列出企業內所有憑證範本，找到一個設定錯誤的範本，一個在任何網域使用者都能申請、申請者可自行指定主體別名（Subject Alternative Name，SAN），且用途涵蓋用戶端身分驗證。</p> <p>攻擊團隊便以一個普通使用者帳號申請憑證，並將主體別名指定為網域管理員的使用者主體名稱（UPN），而憑證管理系統竟同意簽發；紅隊便拿著這張憑證，便能以網域管理員身分取得Kerberos票證授權票證（TGT），進而暢行無阻地存取資料庫、Exchange等任何與Active Directory串接的服務，等同在企業內部埋下一道長期可用的後門。</p> <p>陳浩維坦承，防禦方當時正忙於處理前一週事件的事後檢討（post-incident review），而憑證管理系統的稽核紀錄預設處於關閉狀態；即便啟用，龐大的日誌量，也讓資安人員難以從中識別出真正有意義的異常。</p> <p>他認為，更根本的問題是，企業內部完全沒有工具能夠監控「異常的憑證申請行為」。陳浩維直言，這個環節該做的補強，就是同步優化偵測機制、加強對關鍵資產（crown jewel）的防護強度，並持續保持警戒，不能因為上一起事件已經落幕就鬆懈下來。</p> <p>第二條攻擊路線，則是資料外傳。翁浩正指出，紅隊利用剛取得的網域管理員權限登入資料庫伺服器，刻意不下載大量資料，只取部分樣本以降低被偵測風險，並將敏感資料切片後，編碼成DNS查詢封包，經由內部DNS伺服器這條看似合法的路徑，將資料悄悄送出企業邊界。</p> <p>陳浩維接著說明，這時候的防禦方，原本正忙著撰寫上一起事件的報告並向上呈報，一度誤以為資安危機已經解除、戒備等級隨之降低；儘管企業內部仍保有被動式DNS日誌（ Passive DNS Log），卻沒有規則能夠檢測「同一臺內部主機對外部網域發出大量查詢」這種典型的DNS通道（DNS Tunneling）特徵。</p> <p>他指出，資料外洩防護（DLP）規則雖然能攔截常見的外傳管道，如HTTP POST或電子郵件附件，卻完全沒有涵蓋DNS通道這條隱蔽路徑。最終仍是在演練結束後，由紅隊主動告知，藍隊才知道資料外傳確實曾發生。</p> <p>陳浩維認為，企業這時候，應該根據駭客最常用的資料竊取方式，事先在資安監控系統（如 SIEM、EDR 或 SOC）設定各種偵測規則，一旦出現大量壓縮檔案、異常對外傳輸、使用可疑工具上傳資料、DNS Tunneling 或連線至未知雲端儲存服務等行為，就能即時發出警報，讓資安團隊及早發現並阻止資料外洩。</p> <h1><span style="color:#B22222;">攻防認知落差，造成資訊不對稱下沒有真正贏家</span></h1> <p>整場演練攤開在同一條時間軸上，認知落差便一目瞭然。拆解紅藍隊的作為之後，可以發現紅隊在第一週盤點外部資產、進行公開來源情資蒐集時，藍隊當週的日常情資分析並未發現任何異常。</p> <p>但是，從第二週開始，紅隊已取得員工VPN帳號並合法登入內網，防禦方卻毫無察覺；進入第三週後，紅隊雖已取得網域管理員權限，但行動終於被察覺，藍隊也在同一週偵測到服務帳號異常並啟動事件調查。</p> <p>然而，在第四週，當紅隊透過憑證管理系統建立起永久性的存取後門時，藍隊卻已將該起事件結案、著手撰寫事後檢討報告。</p> <p>翁浩正坦言，這正是一場資訊不對稱的戰爭，因為攻擊方永遠握有先手優勢，防禦方幾乎不可能將所有外部情報一一掌握。但他也強調，藍隊真正的價值，不在於這一次是否完全攔下攻擊，而在於能否藉由每一次資安事件與每一次演練，讓組織變得更強韌。</p> <p>不管是翁浩正或是陳浩維，兩人都不約而同提到「紫隊」（Purple Team）的概念，那就是讓紅隊與藍隊坐下來，逐一比對紅隊行動的時間軸，檢視藍隊究竟在哪些節點真正發現異常、又有哪些節點完全錯過。</p> <p>他們都同意，一起坐下來檢視的目的並非究責，而是讓駭客下一次的攻擊變得更困難。陳浩維特別提醒，面對紅隊演練的結果，企業內部的心態不該是互相究責，而應該正向看待每一次落差，把它當成讓組織變得更強的養分。</p> <h1><span style="color:#B22222;">企業常見四大防禦盲點：心態、資源、組織與演練</span></h1> <p>翁浩正進一步歸納出臺灣企業在資安防禦上常見的四大盲點。首先是心態盲點，像是許多企業誤以為合規等於安全，實際上，通過稽核並不代表萬無一失，「但合規終究只是最低標準而非終點，」他說。此外，過度依賴單一供應商的心態也十分普遍，他指出，有不少企業以為只要採購名列Gartner象限的產品就等於安全無虞，卻無力分辨廠商之間的品質優劣。</p> <p>第二是資源盲點。許多企業的預算大量投入工具設備，卻沒有相應投資在人員身上，機房堆滿各式各樣的資安設備，資安人員卻被排山倒海的告警雜訊淹沒。</p> <p>翁浩正也進一步解釋，紅隊真正發動攻擊時，決定成敗的關鍵其實是：資安人員能否根據某一條日誌的線索，判斷是否應該在凌晨兩點叫醒資安長，並不是該公司的設備本身有多先進。</p> <p>第三是組織盲點。資安團隊往往被孤立於企業決策圈之外，難以真正影響資安策略的制定。所以，翁浩正表示，當資安被視為IT部門的延伸業務、而非全公司共同的責任時，員工自然而然把資安問題當成別人的事。此時，就會發生像是：員工看到釣魚郵件仍隨手點擊；密碼寫在便利貼上且貼在螢幕邊等行為，都是這種組織文化下的副作用。</p> <p>第四是演練盲點，因為沒經過演練檢驗過的防禦機制，終究稱不上真正的防禦。翁浩正指出，許多企業從未執行過紅隊演練、桌上型演練或資安事件應變演練，即便事前寫好看似完備的資安應變手冊（Playbook），等到真正出事時才發現，原來手冊裡登載的緊急聯絡電話，竟然是早已離職同仁的舊號碼。</p> <h1><span style="color:#B22222;">從被動防禦邁向主動覺察</span></h1> <p>面對這些盲點，陳浩維以其在Amazon與Coupang等企業建置資安應變團隊的實務經驗，說明資安事件的應變（Incident Response）不該是事後救火，而必須是事前準備與反覆演練的成果。</p> <p>他強調，像是資安應變手冊的核心，在於清楚界定每個角色的職責分工、明確的升級通報條件、如何有效控制情況範圍、如何徹底移除風險，以及最終不可或缺的事後檢討機制。</p> <p>企業無論選擇建置內部應變團隊或委外處理，都需要清楚掌握自身的能量與缺口所在。因此，陳浩維也特別推崇桌上型演練（Tabletop Exercise）帶來的價值。</p> <p>他認為，那是成本最低的一種災難演練形式，不需要任何技術門檻，卻能真實暴露出組織在壓力情境下的實際反應，藉此釐清職責分工、檢視發現的問題，並透過持續性的演練循環不斷改善。</p> <p>談到威脅情資的運用，陳浩維直言，情資不是花錢訂閱資訊來源（feed）就足夠，真正有價值的情資必須是「可行動」的，而非堆積如山、卻無人消化的入侵指標（IOC）。他認為，只有情資能夠實際影響決策、主動引導紅隊測試方向，才稱得上真正發揮威脅情資的價值。</p> <p>不管是翁浩正或是陳浩維，兩人也不約而同呼籲，企業必須從被動防禦轉向主動防禦。這也就意味著，企業不能只是被動等待告警、等待通報、等待資安事件發生；反而應該主動進行威脅獵捕（Threat Hunting），更要假設企業早已被入侵、並持續進行控制驗證（control validation）。</p> <p>翁浩正強調，這場轉變的關鍵從來不是工具，而是思維本身；陳浩維也補充，被入侵在未來將成為常態，重點不在於是否被攻破，而在於企業如何處理與應對：對內要建立正向的團隊文化、給予團隊足夠的資源；對外則展現處理事件的積極度與透明度，唯有願意誠實面對自己，企業才能真正持續改善。</p> <h1><span style="color:#B22222;">紅藍隊演練的真正目的是，驗證原本停留在紙本上的假設</span></h1> <p>面對臺灣資安產業發展的下一步，翁浩正指出，臺灣資安人才的養成速度始終追不上人才流失的速度，呼籲更多人投入資安產業，並持續壯大像臺灣駭客協會與HITCON這樣的社群力量，讓從業者不只是被動等待，而能主動分享、參與與連結彼此。</p> <p>陳浩維則從自身跨國企業資安長的角度分享，他始終認為，即便企業之間存在商業上的競爭關係，但從資安角度來看，所有企業真正的競爭對手其實只有攻擊者。他直言，唯有攜手防禦、共同拉高攻擊者的成本，才是真正有意義的合作。</p> <p>他也鼓勵，所有的資安從業人員不要只是被動等待政策推動，應主動向政府與學界發聲，把資安社群觀察到的有效做法帶入企業；再透過與政府機關的互動，將相關經驗回饋給產業；最後共同促成整體防禦能量的提升。</p> <p>翁浩正強調，紅隊演練的意義從來不是要證明企業失敗，而是讓那些原本停留在紙上的假設，真正被驗證過一次；唯有誠實面對自己的缺口，組織才能透過每一次的改善變得更有韌性。</p> <p>而陳浩維則認為，企業真正的防禦韌性，不在於堆疊多少工具，而在於企業是否培養出主動覺察風險的文化。</p> <p>翁浩正和陳浩維的共同結論則是：紅隊與藍隊終究是同一隊，唯有紅藍無間、攜手同行，臺灣資安才有真正站穩全球最前線的底氣。</p> </div></div></div>
7/14 12:47作者黃彥棻https://www.ithome.com.tw/news/177293
中國駭客團體WP-ShellStorm試圖針對企業的Java基礎設施發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個月前威脅情報公司SOCRadar發現公開的伺服器137.175.93[.]126，內含Webshell、漏洞利用指令碼、bash執行記錄，以及C2組態資訊，共有434個檔案、大小約800 MB，從而揭露以經濟利益為動機的中國駭客組織WP-ShellStorm，<strong><a href="https://www.ithome.com.tw/news/177253">鎖定逾140萬個WordPress網站</a></strong>的大規模攻擊，不過在這波活動之餘，SOCRadar發現，上述的內容管理系統（CMS）並非唯一駭客鎖定的目標，他們曾對企業組織採用的Java基礎設施下手。</p> <p>SOCRadar<strong><a href="https://socradar.io/blog/wp-shellstorm-expose-1-4m-wordpress-sites/">根據駭客存放的bash記錄資料內容</a></strong>，發現WP-ShellStorm試圖掃描企業組織採用的Apache Nacos、XXL-Job，以及Spring Boot，由於它們是許多微服務與金融科技基礎設施的骨幹，一旦遭到滲透的影響範圍將極為廣泛。基本上，Nacos的設定檔通常包含XXL-Job管理員的網址和存取權杖，若是攻擊者成功繞過Nacos的身分驗證流程，就能得到XXL-Job的有效管理員權杖，然後對執行個體的所有節點遠端執行任何程式碼。</p> <p>這波以Java為核心的活動發生在WordPress網站攻擊之前，駭客在今年5月於9個受害企業組織當中，從11個系統竊得613個組態設定檔，過程裡利用Nacos身分驗證繞過漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-29441">CVE-2021-29441</a></strong>（CVSS風險評為9.8分），攻擊僅花費兩天時間，受害企業遍布金融科技、電子商務、物流、遊戲，以及消費性電子產業。</p> </div></div></div>
7/14 13:07作者周峻佑https://www.ithome.com.tw/news/177294
IBM與紅帽正式推出Lightwell，首波提供逾6,500項完成安全修補與驗證的相依套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM與紅帽（Red Hat）於7月8日宣布，<a href="https://www.redhat.com/en/about/press-releases/ibm-and-red-hat-expand-lightwell-new-offerings-build-trust-infrastructure-ai-era-open-source" target="_blank">正式推出企業開放原始碼軟體供應鏈安全服務Lightwell</a>，延續兩家公司先前公布的Project Lightwell計畫，將紅帽長期累積的企業開放原始碼工程與漏洞修補能力，擴大應用於第三方開放原始碼軟體。</p> <p>其中，Lightwell Network已正式供應，首波提供逾6,500個應用程式層相依套件，均已完成漏洞修補、數位簽章及認證，涵蓋Java與Python等軟體生態系。企業可取得二進位檔、原始碼，以及軟體物料清單（SBOM）等法規遵循所需資料，並將相關套件與資料納入既有的軟體開發、部署及供應鏈管理流程。</p> <p>在修補方式上，紅帽說明，Lightwell採用生成式AI驅動的漏洞修補引擎，結合頂尖與開放AI模型與工程人員的專業經驗，找出、驗證並修補應用程式相依套件中的資安漏洞。這套機制可將關鍵安全修正向後移植（backport）至企業仍在使用的長期版本，讓企業不必為取得安全修正而升級至上游專案的主要版本，降低破壞性變更及冗長迴歸測試造成的負擔。</p> <p>另一項方案Lightwell Clearinghouse Premier目前採限量供應，初期鎖定金融服務業。這項方案由Lightwell擔任受信任的協調中介者，讓符合資格的參與組織可在漏洞資訊公開前在此提報，並在保密期內協調漏洞修補、特定產業的威脅情資與應變，以及指定版本的修補需求。</p> <p>至於修補成果，紅帽表示，Lightwell完成漏洞修補後，會將相關修正提交回原始開放原始碼社群審查與採用，避免各方採用不同修補版本而造成專案碎片化。</p> </div></div></div>
7/14 11:22作者王珮瑤https://www.ithome.com.tw/news/177285
韓國Kakao Pay違法跨境傳輸個資案延燒，警方發動突擊搜查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>韓國最大行動支付平臺<strong><a href="https://www.ithome.com.tw/news/164555">Kakao Pay在2024年被爆出違法傳送個資事件</a></strong>，如今有新進展，<strong><a href="https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=10955#LINK">韓國個人資訊保護委員會（PIPC）今年1月宣布</a></strong>，針對違反個資法跨境傳輸規定的Kakao Pay，處以59億6,800萬韓元行政罰鍰，最近韓國多家媒體報導指出，當地警方自7月6日針對相關事件突擊搜查Kakao Pay的總部，進行為期兩天的搜查和扣押行動。</p> <p>根據PIPC調查揭露，此案源於Kakao Pay、Apple與支付寶（Alipay）的業務合作，由支付寶受託建立評估App Store扣款風險的「NSF分數」模型。然而，在2018年至2024年5月期間，Kakao Pay在未經用戶明確同意的情況下，竟將全體用戶個資每日傳輸至支付寶新加坡電子商務公司。PIPC指出其存在兩項重大違規：首先是未取得個資提供予第三人及跨境傳輸的明確授權；其次是傳輸範圍過大，甚至連從未與Apple生態系互動的Android用戶個資也一併遭到傳送，影響約4千萬Kakao Pay用戶。</p> <p>關於此案的後續進展，根據<a href="https://www.yna.co.kr/view/AKR20260611120751004"><strong>韓聯社報導</strong></a>，首爾行政法院於6月11日針對Kakao Pay提出的撤銷處分訴訟作出初審判決，裁定Kakao Pay敗訴。法院理由指出，用戶在註冊時簽署的通用同意書，並不足以讓其預見個資會被用於建構特定的信用評估模型，因此認定PIPC的行政處分合法。緊接著<a href="https://www.chosun.com/economy/stock-finance/2026/07/09/ME2DKZJYME4TQMZTGBRTAYRVMI/"><strong>朝鮮日報指出</strong></a>，京畿南部警察廳反腐敗與經濟犯罪調查組於7月6日發動強制搜索，此行動是應金融監督院（FSS）於今年3月提出的刑事調查要求，目的是要查明公司內部的決策過程，並確認是否涉及違反《信用資訊法》與《電子金融交易法》。</p> </div></div></div>
7/14 11:34作者羅正漢https://www.ithome.com.tw/news/177283
中國、印度背景駭客分別鎖定巴基斯坦同一警察機關，陳情系統遭植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.sentinelone.com/labs/one-target-china-india-espionage-converge-on-pakistani-law-enforcement/" target="_blank">端點資安業者SentinelOne旗下威脅研究團隊SentinelLABS指出</a>，疑似中國相關的威脅行為者與印度相關的威脅行為者，在2024年2月至2026年4月間，分別對巴基斯坦多個執法機關發動網路間諜攻擊，兩方攻擊行動都曾波及俾路支省（Balochistan）警察機關。</p> <p>研究團隊確認俾路支省警察機關有多項IT資產受到影響，並於2024年6月2日至2026年4月9日間觀察到異常連線，涉及兩臺網路設備、多臺執行俾路支省警方網站應用程式的伺服器，以及1臺Fortinet FortiMail設備。這臺設備先前曾作為主要入站郵件閘道，事發時仍在該機關網路中運作。</p> <p>在具體攻擊手法方面，研究團隊研判，俾路支省警察機關的陳情管理系統（Complaint Management System，CMS）入侵事件，與疑似中國背景攻擊者有關。攻擊者在網站目錄植入2個惡意程式變體，其中一個用於下載及執行後續攻擊酬載，另一個則以反射方式載入遠端控制木馬AsyncRAT的用戶端。由於這套系統同時供警察人員與民眾使用，攻擊者若感染警察人員的設備，可能以此作為入侵警察機關內部網路的跳板；若感染民眾設備，則可能監控曾透過該系統提出陳情的民眾。</p> </div></div></div>
7/14 11:54作者王珮瑤https://www.ithome.com.tw/news/177290
全球經濟學家與科技領袖聯署籲正視AI經濟衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wemustactnow.ai/" target="_blank">一群經濟學家及科技業人士本周一（7/13）發動一項連署</a>《We Must Act Now—A Statement on AI’s Transformation of the Economy》，指出AI在未來10年內，可能會比今天強大得多，呼籲各界及政策制定者應更積極地因應AI所帶來的風險。</p> <p>根據<a href="https://digitaleconomy.stanford.edu/news/wemustactnow/" target="_blank">史丹佛大學數位經濟實驗室（Stanford Digital Economy Lab，DEL）的說明</a>，此一聲明是由經濟學家Erik Brynjolfsson、Ajay Agrawal、Anton Korinek及Tom Cunningham共同發起，認為能力日益提升的AI系統可能以前所未有的速度重塑全球經濟。雖然AI可望大幅提升生產力及生活水準，但也將對勞工、企業及公共機構帶來重大挑戰。</p> <p>聲明中呼籲經濟學家、政策制定者及科技領袖必須立即行動，深入理解具變革性的AI（Transformative AI）對經濟的影響，並建立適當的誘因（Incentives）、防護機制（Guardrails）及制度（Institutions），引導AI朝向能與人類互補、並使整體社會受益的方向發展。</p> <p>DEL主任Brynjolfsson表示，AI能力提升的速度，遠遠快於我們理解其經濟影響的速度。而這段落差，正蘊藏著這個時代最大的機會。我們必須立即行動，引導AI成為人類的互補者，而不是單純模仿人類，並讓繁榮惠及多數人，而非少數人。</p> <p>諾貝爾經濟學獎得主Michael Spence認為，AI技術進展的規模、範圍及速度，加上其對經濟各領域影響的程度及時機仍充滿高度不確定性，因此需要各界全面投入，共同引導AI朝有利社會的方向發展。</p> <p>目前借調至Anthropic擔任經濟顧問的學者Korinek則說，蒸汽機、電力及電腦都給了社會數十年時間適應，但AI留給人們的時間可能只有幾年，倘若等到變革發生後才臨時建立策略與制度，往往為時已晚。</p> <p>在DEL的號召下，該聲明迄今已獲得數百名專家學者的支持，包括16位諾貝爾獎得主及許多AI研究人員，聲明中並未提出具體政策，而是呼籲各界先就AI可能帶來的經濟衝擊建立共識，設計能引導企業朝有利社會方向使用AI的誘因（Incentives）、降低負面衝擊的防護機制（Guardrails），以及因應AI經濟轉型所需的制度安排（Institutions）。</p> </div></div></div>
7/14 12:00作者陳曉莉https://www.ithome.com.tw/news/177291
別等更好的後量子簽章演算法，Cloudflare主張先採用ML-DSA展開PQC轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雖然美國國家標準暨技術研究院（NIST）仍在評估其他後量子數位簽章候選演算法，但<a href="https://blog.cloudflare.com/ml-dsa-will-have-to-do/" target="_blank">網路基礎設施與資安服務業者Cloudflare認為</a>，不應等待更成熟的方案，應先採用目前已完成標準化的模組格基式數位簽章演算法（ML-DSA），展開後量子密碼學（PQC）第一階段部署，待未來其他標準成熟後，再逐步升級。</p> <p>目前NIST已將9種後量子數位簽章候選演算法推進至第三輪評估，FN-DSA標準草案也預計近期發布。部分候選演算法在簽章尺寸、公開金鑰大小或驗證效率方面優於ML-DSA，但完成標準化後，仍須納入TLS通訊協定及數位憑證標準，並等待密碼學程式庫、作業系統與產品支援，距離廣泛部署可能還要數年。Cloudflare預估，FN-DSA在2033年前恐難以廣泛部署，其他候選方案可能還要更久。</p> <p>ML-DSA雖然公開金鑰與簽章尺寸較大，在簽章及驗證效能方面也未全面占優勢，但仍是目前已由NIST完成標準化、整體取捨較均衡的通用型後量子數位簽章方案，可作為現階段的部署基礎。Cloudflare指出，各種後量子簽章演算法都有不同限制，目前不存在能在公開金鑰大小、簽章尺寸及運算效能等面向全面占優勢的單一方案。</p> </div></div></div>
7/14 10:53作者王珮瑤https://www.ithome.com.tw/news/177279
OpenJS公布Node.js資安進展，以AI協助處理暴增的漏洞通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openjsf.org/blog/openjs-security-update-q2-2026" target="_blank">OpenJS基金會（OpenJS Foundation）公布2026年第二季資安進展</a>，重點包括Node.js安全更新流程自動化，以及因應AI代理輔助掃描工具帶來的漏洞通報量激增。基金會旗下CVE編號授權機構（CNA）發布的CVE數量，也從2025年下半年的3個增至2026年上半年的49個。</p> <p>首先，Node.js推出重大改版，這個開源軟體專案的安全團隊利用自動化工具，將原本涉及36個步驟的安全更新發布流程縮減至7個，並建立網頁管理介面，集中呈現納入更新的漏洞報告、尚缺少的資料，以及各版本分支檢查清單完成情形。這套仍處於測試階段的工具也導入大型語言模型（LLM），參考Node.js威脅模型、過往已接受的CVE、常見弱點列舉（CWE）模式及歷史通報內容，產生可信度分數與預估CVSS分數，再交由安全團隊審查。Node.js也取消大多數漏洞修補的資訊保密要求，協作者收到通報後即可著手撰寫與測試修補程式，不必等到安全更新發布前才開始處理。</p> <p>AI代理輔助掃描工具也使漏洞通報數量明顯增加。2026年2月，Node.js安全團隊收到的HackerOne通報增至原本的4.6倍，單在3月就收到65件漏洞通報。不過，OpenJS旗下的Node.js網頁應用程式框架Express與JavaScript工具函式庫Lodash收到的通報中，有70％至90％最終遭到駁回。Node.js安全團隊因此更新通報範本，要求通報者以JavaScript提供可重現範例，並利用LLM分類器，在人員審查前先評估通報內容的可信度。</p> </div></div></div>
7/14 11:01作者王珮瑤https://www.ithome.com.tw/news/177280
CISA要求聯邦機構修補思科IOS平臺跨站偽造弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月上旬美國網路安全與基礎設施安全局（CISA）多次表示已掌握漏洞遭到積極利用的證據，然後將它們加入已遭利用的漏洞列表（KEV），這些漏洞存在於微軟SharePoint、Adobe ColdFusion、Langflow，以及多款Joomla外掛程式，皆為最近幾個月公布與修補的資安弱點，且危險程度多為重大等級。不過最近CISA新增至KEV的一項弱點相當特別，因為它是已公布18年的中度風險漏洞。</p> <p>CISA<strong><a href="https://www.cisa.gov/news-events/alerts/2026/07/13/cisa-adds-one-known-exploited-vulnerability-catalog">於7月13日指出</a></strong>，他們發現思科網路設備作業系統IOS的資安漏洞CVE-2008-4128遭積極利用，將其列入KEV並要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2008-4128">在7月16日前</a></strong>完成修補。此弱點存在於12.4版IOS平臺，為跨網站偽造請求（CSRF）類型的漏洞，存在於HTTP Administration元件，攻擊者可發送如show privilege、alias exec等特定請求到指定URI觸發，從而遠端執行任意命令，CVSS風險評為4.3分，為中度風險等級。</p> </div></div></div>
7/14 11:04作者周峻佑https://www.ithome.com.tw/news/177281
Android木馬RedHook出現新變種，濫用ADB無線偵錯取得Shell層級權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2025年7月現身的Android遠端存取木馬（Remote Access Trojan，RAT）RedHook，近期擴大活動範圍並推出新版本。<a href="https://www.group-ib.com/blog/redhook-android-rat-upgraded/" target="_blank">資安業者Group-IB指出</a>，攻擊者濫用Android偵錯橋接器（Android Debug Bridge，ADB）的無線偵錯功能，讓RedHook取得Shell層級權限，進一步安裝或移除應用程式、修改安全設定，並為自身授予敏感權限。</p> <p>攻擊者通常透過電話或通訊軟體主動聯繫受害者，假冒政府機關、金融機構或客服人員，並以完成官方程序或啟用服務為由，誘導對方前往仿冒Google Play商店的網站，下載RedHook惡意APK檔案。RedHook安裝後，會引誘使用者啟用無障礙服務，再自動開啟開發人員選項與ADB無線偵錯，取得裝置顯示的Android無線偵錯配對碼。執行上述操作時，RedHook會以全螢幕覆蓋畫面遮住Android設定介面，使受害者難以察覺裝置設定已遭更動。</p> <p>在權限提升手法上，RedHook採用與開源工具Shizuku相近的運作方式，透過ADB無線偵錯在裝置內建立ADB連線，不需外接電腦或USB電纜，即可啟動具備uid 2000權限的Shell處理程序，藉此執行一般Android應用程式無法使用的系統操作。</p> <p>由於這類攻擊會仿冒政府機關與金融服務網站，研究人員建議金融機構監控使用者連線階段，及早發現裝置感染惡意程式或連線行為異常，並持續追蹤仿冒網站及品牌遭冒用情況。</p> </div></div></div>
7/14 11:11作者王珮瑤https://www.ithome.com.tw/news/177282
新型攻擊GhostCommit將提示注入指令藏進圖片，誘使AI代理外洩機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究組織ASSET Research Group公開名為<strong><a href="https://asset-group.github.io/disclosures/ghostcommit/">GhostCommit</a></strong>的概念驗證攻擊，顯示攻擊者可將提示注入指令藏在PNG圖片中，避開只檢查文字差異的AI程式碼審查工具。惡意內容合併至儲存庫後，具備影像理解能力的程式開發代理可能在後續工作中讀取圖片，依照其中指示開啟環境變數設定檔.env，再將檔案內容逐位元組轉為整數序列寫入程式碼。</p> <p>攻擊者先新增代理指示文件AGENTS.md，將圖片指定為建置規格的正式來源，並要求代理讀取docs/images/build-spec.png。AGENTS.md本身不直接提及.env，也未寫出將其內容轉為整數序列的完整程序，因此只分析文字差異的審查工具較難辨識風險。</p> <p>真正的攻擊指令藏在圖片裡，圖片要求代理讀取儲存庫根目錄的.env，將其中每個位元組轉成數字，再以名為_PROV_CANARY的整數序列寫進Python程式。.env常用來保存API金鑰、資料庫連線資訊及雲端存取憑證，一旦整份內容被轉成數字寫入程式碼，攻擊者便可從後續公開的提交紀錄取得資料，將數字還原為原始.env內容。</p> <p>研究團隊表示，若把相同指令直接寫在AGENTS.md中，Cursor Bugbot與CodeRabbit都會判定為高風險，而改藏進圖片後，兩項工具均未提出警告。CodeRabbit的預設設定還會略過PNG圖片，因此無法檢查其中的文字。</p> <p>研究團隊還在攻擊範例中加入驗證程式及虛構的事故紀錄，讓圖片中的要求看起來像既有的建置規範。由於這些周邊檔案本身沒有直接出現惡意指令，可用來通過審查工具對規則與程式碼的一致性檢查。</p> <p>研究團隊在受控環境測試Cursor、Antigravity、Codex CLI及Claude Code等工具，結果顯示，多數工具與模型組合會依照圖片指令，將完整.env內容編碼為整數序列寫入程式碼，而Claude Code搭配不同Claude模型時則拒絕執行。相同模型在不同工具中出現相反結果，顯示執行結果不只取決於AI模型，也受到代理工具及其安全防護設計影響。</p> <p>被寫入程式碼的.env內容以數字序列呈現，也可能避開只比對特定字串格式的機密資料掃描工具。研究團隊已<strong><a href="https://github.com/asset-group/ghostcommit">在GitHub公開攻擊範例與解碼工具</a></strong>。</p> </div></div></div>
7/14 07:45作者李建興https://www.ithome.com.tw/news/177271
英國雙管齊下對抗網路威脅，啟動企業承諾並打造國家級AI盾牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對因AI而加劇的網路安全威脅，<a href="https://www.gov.uk/government/news/businesses-across-britain-sign-up-to-cyber-resilience-pledge-as-ministers-urge-firms-to-strengthen-cyber-defences" target="_blank">英國政府與國家網路安全中心（National Cyber Security Centre，NCSC）上周二（7/7）宣布</a>啟動企業的網路韌性承諾（Cyber Resilience Pledge），並<a href="https://www.ncsc.gov.uk/blogs/cyber-shield-the-path-to-an-agentic-ai-future-for-cyber-defence" target="_blank">公布國家級AI網路防禦藍圖Cyber Shield</a>。</p> <p>NCSC的調查資料顯示，英國企業在2025年遭受超過500萬次的網路攻擊，整體年度經濟損失高達147億英鎊（約6,320億元新臺幣）。這使得英國政府鼓勵企業主動提升資安韌性，在今年4月發表網路韌性承諾，邀請企業參與並採取3項具體行動來改善資安，包括將網路安全提升至董事會層級責任，註冊NCSC的免費預警服務，以及強化供應鏈網路安全。</p> <p>上周英國政府正式啟動網路韌性承諾，並宣布已有超過60家企業簽署該承諾，涵蓋零售、金融、媒體與科技等產業，如百貨業者Marks & Spencer、金融機構Nationwide、電視臺ITV及英國電信業者Vodafone等。</p> <p>NCSC表示，網路韌性承諾的3項措施都是切實可行的行動，有助提升組織抵禦網路攻擊及事件復原能力，更能保護客戶；若廣泛推動，也將提升整體英國經濟的韌性。</p> <p>至於Cyber Shield是由NCSC及科學、創新與技術部（DSIT）共同開發的國家級網路防禦藍圖，核心目標是利用最先進的代理人AI，打造一個可大規模、以機器速度自動化運作的國家網路防禦體系。</p> <p>根據規畫，Cyber Shield將具備可靠且可說明決策依據的AI、聯邦式代理人（Federated Agents）、漏洞發現與緩解、協同偵測與回應，以及國家級的掃描與緩解等功能。</p> <p>未來將由紅隊及藍隊AI代理人協同運作，紅隊負責以機器速度發現系統弱點，藍隊則即時偵測、遏制威脅並防禦入侵。這些AI系統初期將以自動發現漏洞與威脅為主，再逐步發展至自動修復；它們可在各自組織的控制與授權下運作，並跨越組織邊界無縫協作，共同提升英國的國家安全。</p> <p>Cyber Shield目前仍處於規畫階段，NCSC將先與政府及關鍵產業合作測試相關能力，再逐步發展為可於全國部署的商業化方案。</p> </div></div></div>
7/13 20:17作者陳曉莉https://www.ithome.com.tw/news/177272
資安桌遊融合CTEM與團隊合作，奧義智慧揭Cybercrete設計概念
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>將複雜的企業資安管理概念融入桌遊，已成為資安教育的新趨勢，先前奧義智慧科技（CyCraft）在此領域的發展引發業界關注，因為他們成功將<strong><a href="https://www.ithome.com.tw/news/139029">MITRE ATT&CK</a></strong>與<a href="https://www.ithome.com.tw/news/144252#Cybercans"><strong>Cyber Defense Matrix（CDM）</strong></a>的資安框架，呈現在遊戲卡牌與桌遊，去年該公司再度推出新作《Cybercrete：守衛資安之路》，進一步將持續威脅曝險（Continuous Threat Exposure Management，CTEM）框架帶到大眾面前，近日奧義智慧資安研究處長陳仲寬特別公開闡釋其幕後設計概念，解析資安框架與遊戲機制的融合重點。</p> <p>陳仲寬表示，《Cybercrete》的設計核心緊扣2022年Gartner提出的「持續性威脅暴露管理」（CTEM）方法論。該框架強調，企業在識別攻擊面時不應視為一次性任務，而需透過持續性的行動，達成動態且具適應性的主動式攻擊面管理。</p> <p><a href="/sites/default/files/images/（圖1）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>具體而言，這款遊戲由奧義智慧資安研究員參與開發，是一套貼合企業真實資安情境的策略模擬遊戲，目的是讓玩家在有限資源下，學習如何持續管理威脅暴露，並在事件發生時有效應對。</p> <p>遊戲流程完整貫穿CTEM的五大步驟：從釐清防禦範圍的「界定」、識別資產風險的「探索」、到決定處理順序的「排序」、確認風險真實性的「驗證」，以及最終動員資源解決問題的「行動」。</p> <p>陳仲寬指出，玩家可以想像，企業必須找到所有資產並識別風險，但資源有限，因此排序至關重要。在遊戲中，玩家可能只能處理前三大風險，必須先驗證其存在再執行應對。而且，各角色如何針對威脅進行應變，更是這套模擬工具要傳達的核心概念。</p> <p><a href="/sites/default/files/images/（圖3）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>這款桌遊的另一大特色是結合「多人合作」與「劇本殺」元素。陳仲寬表示，開發團隊依據美國NICE資安人才框架，設計出6種遊戲角色，包括資安長、安全架構師、IT工程師、資訊安全分析師、威脅情資研究員及SOC工程師，讓玩家扮演不同職能來聯手應對事件。</p> <p>為了模擬大型事件發生時的攻防情境，遊戲地圖呈現企業的網路資產拓樸，並引入遊戲主持人來引導遊戲劇情推進。在執行任務時，每個角色的職能邊界非常明確。陳仲寬舉例：「如果你扮演的是安全分析師，你將無法幫其他人修補漏洞，因為這是IT人員的職能；同樣地，IT人員也無法代替你進行威脅調查。」這種角色功能的嚴格切割，亦可讓玩家深刻體會跨部門溝通與協作的必要性。</p> <p>此外，在規則設計上，開發團隊不僅考量資安概念的融入，更從多款成熟的桌遊玩法中獲得啟發。例如，借鑑策略合作類桌遊《瘟疫危機》的機制，並融入《山中小屋》的劇本殺元素，藉此打造出一款同時具備桌遊趣味性與資安教育意義的作品。</p> <p><a href="/sites/default/files/images/（圖2）奧義智慧桌遊Cybertete_以CTEM作為核心概念.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E6%A1%8C%E9%81%8ACybertete_%E4%BB%A5CTEM%E4%BD%9C%E7%82%BA%E6%A0%B8%E5%BF%83%E6%A6%82%E5%BF%B5.jpg" style="width: 600px;" /></a></p> <p>在追求趣味性的同時，遊戲核心仍緊扣實務需求。陳仲寬強調，《Cybercrete》的首要目標是帶領玩家深入理解CTEM框架，並體認到資安管理的第一步，就是預先瞭解自己內部資產配置與權限。</p> <p>玩家在遊戲過程中，不僅能學習漏洞管理、端點安全、組態配置評估及憑證外洩防護等知識，還能從中領會情資對於資安防禦的重要性，並且深刻體悟「資安不是一個人的事」，每個角色都有其關鍵任務，必須攜手應對。</p> <p> </p> </div></div></div>
7/13 18:36作者羅正漢https://www.ithome.com.tw/news/177268
駭客組織Helix鎖定SharePoint竊取資料，以此向企業索討贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近兩年不斷透過竊得資料向受害組織進行勒索的駭客組織ShinyHunters（UNC6661），近期傳出疑似衍生出新的團體，引起研究人員的注意。威脅情報公司ReliaQuest於7月10日揭露<strong><a href="https://reliaquest.com/blog/threat-spotlight-helix-new-name-in-data-extortion-ecosystem">資料勒索團體Helix</a></strong>，駭客結合語音網釣（vishing）、裝置驗證碼釣魚（device code phishing），以及自動化SharePoint資料竊取手法，對多個企業組織展開攻擊。研究人員研判，Helix極可能是今年4月宣告解散的勒索集團BlackFile（UNC6671）分裂後的團體，其手法與惡名昭彰的勒索集團ShinyHunters也有交集。</p> <p>Helix的攻擊完全以身分盜用為基礎，他們會先透過電話語音網釣（vishing）接觸受害組織員工，在一起事故中，攻擊者偽冒目標的直屬主管撥打電話。取得信任後，攻擊者會誘導受害者完成裝置代碼驗證流程，藉此繞過條件式存取原則（Conditional Access），在不觸碰密碼的情況下，取得已驗證的工作階段權杖（session token）。</p> <p>ReliaQuest指出，這些駭客在部分活動裡，採取戰術性分頭進行的模式，Helix先利用第一個被入侵的帳號偵察並下載SharePoint的資料內容，然後數日或數週後再入侵另一個帳號，透過微軟協作平臺Teams與電子郵件，在受害組織內部發送勒索訊息。研究人員認為，這種作法是為了干擾受害組織進行事件回應，由於兩個帳號彼此無直接關聯，資安團隊即使揪出並停用了負責竊取資料的帳號，另一個帳號仍可能持續運作，大幅增加調查與防堵的難度。</p> </div></div></div>
7/13 17:30作者周峻佑https://www.ithome.com.tw/news/177267
立委提案修法放寬StarLink等低軌衛星業者來臺限制，台灣通訊學會：不能只是鬆綁，也要建立境外業者監管機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>立法院交通委員會今天（7/13）日審查「電信管理法」第36條修正草案，外界關心修法可能為Starlink等低軌衛星業者進入臺灣市場鋪路。對此，台灣通訊學會發出聲明指出，支持引進多元低軌衛星服務，提升國家通訊韌性，但修法若只是放寬外資持股及負責人資格限制，卻未同步建立對境外衛星業者的監理制度，恐在市場開放與公共責任間形成治理缺口。</p> <p>目前「電信管理法」第36條規定，設置使用電信資源的公眾電信網路者，其董事長須具有中華民國國籍，外國人直接持股不得超過49%，直接及間接持股合計不得超過60%。為了放寬低軌衛星業者進入臺灣市場，立委提出6個修正草案版本，希望對於衛星通信業者增訂例外或放寬相關限制。</p> <p>台灣通訊學會指出，近年地緣政治風險升高，加上俄烏戰爭顯示衛星通訊可在地面網路受損時提供重要備援能力，而臺灣國際通訊高度依賴海底電纜，因此有必要建構海纜、微波及衛星等多元備援架構，加速導入非地面網路（NTN），提升國家數位韌性。</p> <p>不過，學會認為，政策討論不應聚焦特定業者，而應以技術中立、風險相稱及公共利益為原則。若僅是調整外資持股與董事長資格，卻未同步建立國家安全審查、在地營運、資料治理、通訊監察、資安、防詐及退場機制等配套，將增加長期治理風險。</p> <p>台灣通訊學會理事長王維菁表示，臺灣需要多元衛星服務，但關鍵通訊控制、用戶資料治理及法律責任，都必須納入在地可監理、可執行的體系。「衛星服務可以跨境，責任不能境外化；市場開放的前提，是政府在平時能監督、事件發生時能介入，並確保服務持續與民眾權益。」</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><strong><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-72683b91-7fff-cbbd-eb93-510293b47e4f"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">可參考日本模式，要求在臺建立實質營運能力</span></span></span></span></strong></h2> <p>針對未來制度設計，學會建議可參考日本模式。日本的KDDI、NTT DOCOMO及SoftBank皆已與Starlink合作推出手機直連衛星服務，將衛星能力納入既有電信服務及公共安全體系。</p> <p>因此台灣通訊學會建議，國際衛星業者進入臺灣市場時，原則上應在臺設立具實質營運與履責能力的法人；若提供手機直連衛星服務，或使用臺灣行動頻率、號碼及核心網路資源，應與本地持照電信業者合作。同時，也應設置境內地面站、閘道器或具有同等監理效力的節點，並承擔用戶服務、緊急通信、個資保護、資安、防詐及司法協力等責任。</p> <p>學會也呼籲主管機關建立透明且可驗證的審查制度，針對業者控制權、供應鏈安全、資料流向、服務持續性及消費者保障訂定審查條件，並保留附加負擔、限期改善、停止服務及撤銷許可等必要監理機制。</p> <p>學會也強調，調整外資持股與負責人資格限制前，應完整檢視國家安全、監理執行及公共利益等配套措施，透過完善制度讓低軌衛星成為我國通訊韌性的關鍵備援，同時維持政府對跨境衛星服務的監理與介入能力。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-72683b91-7fff-cbbd-eb93-510293b47e4f"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">現有衛星服務多採合作模式，修法瞄準業者直接進入市場</span></span></span></span></h2> <p>值得注意的是，目前國內已有低軌及多軌衛星服務布局，但主要是由本地電信業者與國際衛星業者合作，將衛星能力納入既有通信服務體系。例如國內電信業者已導入OneWeb低軌衛星及SES中軌衛星等服務，作為地面網路之外的通信備援方案。</p> <p>在現有的模式下，國際衛星業者主要提供衛星網路、頻寬或衛星系統能力，本地電信業者負責本地服務整合、用戶管理及對主管機關承擔電信服務相關責任。</p> <p>這次「電信管理法」第36條規定多項修正草案則是希望針對「以衛星通信技術設置使用電信資源的公眾電信網路業者」新增例外機制，經主管機關考量國家安全、公眾電信網路安全、電信資源使用及公共利益等因素核准後，可不受原本的限制。</p> <p>兩者最大的差異在於，現有OneWeb、SES等服務主要是「衛星業者提供能力、臺灣電信業者負責服務落地」；而第36條修正草案目的是是否讓具高度國際化股權結構的衛星通信業者，得以直接參與臺灣電信市場，因此引起電信產業、學會的關注。</p> </div></div></div>
7/13 17:50作者蘇文彬https://www.ithome.com.tw/news/177266
【資安日報】7月13日，後門程式WP-ShellStorm大舉入侵140萬WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/news/177261#WP-ShellStorm">後門程式WP-ShellStorm試圖滲透全球逾140萬個網站</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#Joolma">CISA要求聯邦機構3天內修補兩款Joolma延伸套件滿分漏洞</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#ShareFile">Progress要求用戶關閉ShareFile特定控制器元件惹議</a><br /> ● <a href="https://www.ithome.com.tw/news/177261#U-Boot">開源開機載入程式U-Boot漏洞恐影響大量設備</a> <br /> ● <a href="https://www.ithome.com.tw/news/177261#1196">中國網軍冒充國際記者對臺政學界進行社交工程攻擊</a> <a id="WP-ShellStorm" name="WP-ShellStorm"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177253"><span style="font-size: 22px;"><strong>駭客利用後門程式WP-ShellStorm入侵WordPress網站並兜售存取權限，來自臺灣的IP位址存取基礎設施次數居冠引起關注</strong></span></a></p> <p><a href="/sites/default/files/images/request-volume-country-taiwan-ip-server-traffic-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/request-volume-country-taiwan-ip-server-traffic-63.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司SOCRadar揭露後門程式WP-ShellStorm的大規模攻擊活動，中國駭客鎖定超過140萬個網域、利用27個CVE漏洞，主要目的是在WordPress網站植入Webshell，並將受害網站的存取權限轉賣給其他駭客組織。SOCRadar將這些駭客的活動稱為Webshell Access Brokerage Operation（WABO），並確認正在活動的Webshell超過5,700個。雖然SOCRadar認為攻擊者來自中國，不過他們特別提及存取上述SimpleHTTPServer主機的次數，最多的竟然是臺灣的IP位址113.196.56[.]150，總共發出超過4.2萬次請求，並系統性下載攻擊工具。<a href="https://www.ithome.com.tw/news/177253">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177248"><span style="font-size: 22px;"><strong>澳洲警告多種內容管理平臺遭鎖定，駭客企圖在網站植入Webshell</strong></span></a></p> <p>7月9日澳洲網路安全中心（ACSC）發布重大警訊，指出他們掌握鎖定多種內容管理平臺（CMS）資安漏洞的全球性大規模攻擊活動，其中已有許多澳洲中小型企業受到影響。駭客積極掃描網站，利用影響CMS與外掛程式的各種已知弱點，試圖尋找部署Webshell的機會。一旦成功植入Webshell，駭客就能遠端存取受害主機並進行控制，而有可能破壞網站及中斷運作、擷取網站用戶輸入的憑證或存放的資料、上傳惡意軟體以用於欺騙用戶。<a href="https://www.ithome.com.tw/news/177248">詳全文</a> <a id="Joolma" name="Joolma"></a></p> <p><a href="https://www.ithome.com.tw/news/177238"><span style="font-size: 22px;"><strong>CISA將兩款Joomla延伸套件重大漏洞列入KEV，要求聯邦機構7月13日完成修補</strong></span></a></p> <p>繼前幾天將Joomlack Page Builder與JoomShaper SP Page Builder滿分漏洞列入已遭利用漏洞清單（KEV），美國網路與基礎設施安全局（CISA）於7月10日再度更新已遭利用漏洞清單，加入開放原始碼內容管理系統Joomla兩款外掛套件的漏洞，分別是：iCagenda的CVE-2026-48939，以及Balbooa Forms的CVE-2026-56291，皆因CVSS嚴重度評分為10分漏洞出現遭到積極利用的活動，所以被列入KEV，聯邦機構需在3天內完成漏洞修補。<a href="https://www.ithome.com.tw/news/177238">詳全文</a> <a id="ShareFile" name="ShareFile"></a></p> <p><a href="https://www.ithome.com.tw/news/177255"><span style="font-size: 22px;"><strong>Progress要求ShareFile用戶關閉Storage Zone Controller，因應突發資安威脅</strong></span></a></p> <p>負責營運企業檔案分享平臺ShareFile的廠商Progress於7月10日緊急通知用戶，要求暫時關閉執行Storage Zone Controller的伺服器，以因應外部資安威脅。Progress已暫停受影響帳號的存取權限，並正在調查事件，目前尚未發現任何ShareFile帳號或資料遭未授權存取的跡象，但仍要求用戶採取預防性措施，手動關閉受影響的伺服器，直到收到進一步通知。Progress目前仍未公布這次事件的具體情況或威脅性質，部分用戶在Reddit論壇上表達不滿。<a href="https://www.ithome.com.tw/news/177255">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177242"><span style="font-size: 22px;"><strong>Zimbra爆發嚴重漏洞，攻擊者可透過發送特製郵件在收件者Webmail介面執行惡意程式碼</strong></span></a></p> <p>7月7日Zimbra維護單位釋出Daffodil（v10.1.19）更新版本，修補經典Web用戶端的跨站指令碼（XSS）漏洞，可讓攻擊者傳送特製郵件，以便在用戶執行階段執行惡意腳本程式。但這項漏洞並未被分配CVE漏洞編號，也不知風險值。維護團隊提醒ZCS 10.0.x、9.0.x或8.8.15的用戶，必須先升級到ZCS 10.1.19版，再套用SNMP緩解措施。而ZCS 10.1.x的用戶，若已經施行了SNMP緩解措施則無需任何動作，因SNMP緩解在10.1.19環境仍然有效。<a href="https://www.ithome.com.tw/news/177242">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177237"><span style="font-size: 22px;"><strong>Microsoft Defender零時差漏洞RoguePlanet修補出爐</strong></span></a></p> <p>外號為Nightmare Eclipse的研究人員Chaotic Eclipse於6月上半揭露的RoguePlanet漏洞CVE-2026-50656，微軟7月8日正式提供修補，用戶可確認Microsoft Defender的惡意軟體防護引擎版本是否已升級到1.1.26060.3008或更高版本，若為1.1.26050.11或更老舊的版本，則是受此漏洞影響的版本，須儘快執行Windows更新。CVE-2026-50656存在Microsoft Defender惡意軟體防護引擎，是關於權限提升的重要等級漏洞，CVSS 3.1嚴重度評分為7.8分。<a href="https://www.ithome.com.tw/news/177237">詳全文</a> <a id="U-Boot" name="U-Boot"></a></p> <p><a href="https://www.ithome.com.tw/news/177240"><span style="font-size: 22px;"><strong>開源開機載入程式U-Boot存在6個資安漏洞，大量伺服器、網路設備、物聯網設備均可能受到影響</strong></span></a></p> <p>專精韌體與軟體供應鏈安全的資安研究機構Binarly，7月初揭露開放原始碼開機載入程式（bootloader）U-Boot存在6個漏洞，當中兩個（BRLY-2026-037、BRLY-2026-038）可能導致任意程式碼執行，其餘4個漏洞（BRLY-2026-039、BRLY-2026-040、BRLY-2026-041、BRLY-2026-042）則可能引發服務中斷（DoS）。Binarly警告，U-Boot自2013年7月推出以來，近60個版本都受到影響，若再計入眾多分支版本，這些漏洞對產業的影響將更為廣泛。<a href="https://www.ithome.com.tw/news/177240">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177210"><span style="font-size: 22px;"><strong>Elastic修補Kibana高風險漏洞，影響7.x與8.x分支版本</strong></span></a></p> <p>資安廠商Elastic發布開源資料視覺化與分析工具Kibana更新，修補可能造成日誌內容遭竄改的高風險漏洞CVE-2026-49091。Kibana 7.17.14版以前的7.x版以及8.11.0以前的8.x版都存在前述漏洞，Elastic已為Elastic Cloud Serverless雲端服務完成修補，自行管理（Self-Managed）系統的用戶則應儘速升級至已修補的7.17.15與8.11.1版。CVE-2026-49091的CVSS嚴重性評分為8.0分，可能導致攻擊者透過特製輸入內容，進而竄改日誌檔案。<a href="https://www.ithome.com.tw/news/177210">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177258"><span style="font-size: 22px;"><strong>蘋果控告OpenAI系統性竊取商業機密，揭露已有逾400名前員工跳槽至OpenAI</strong></span></a></p> <p>蘋果於7月10日向美國加州北區聯邦地方法院提告OpenAI、旗下AI硬體新創io Products及兩名前蘋果員工，指稱OpenAI藉由招募、面試及供應鏈合作等方式，持續取得蘋果未公開產品、硬體設計及供應鏈等商業機密，以加速AI硬體業務發展。蘋果指控OpenAI及io竊取與不當使用商業機密，並控告兩名前員工違反保密及智慧財產權協議。兩名涉案前員工是iPhone資深系統電氣工程師Chang Liu，以及iPhone與Apple Watch產品設計副總裁Tang Yew Tan。<a href="https://www.ithome.com.tw/news/177258">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177245"><span style="font-size: 22px;"><strong>OpenMandriva Linux專案傳出遭惡意貢獻者蓄意破壞</strong></span></a></p> <p>開源專案OpenMandriva Linux上周傳出重大事件，貢獻者惡意破壞、刪除專案長達十年、數十個儲存庫，並且破壞GNOME和COSMIC套件，恐危及下游開發人員系統。開發人員Davide Beatrici近日因開發團隊認為沒有必要將專案的儲存庫鏡射到自己的私人雲端平臺，濫用管理員權限刪除該專案於GitHub的部分儲存庫內容，毀掉逾10年的心血，後續將空白套件發布到cooker儲存庫，藉此破壞所有GNOME和COSMIC套件。<a href="https://www.ithome.com.tw/news/177245">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177257"><span style="font-size: 22px;"><strong>拉脫維亞林業公司遭勒索軟體攻擊，系統恢復恐將耗時數週</strong></span></a></p> <p>根據資安新聞網站The Record報導，拉脫維亞國有林業公司（LVM）於6月22日遭到勒索軟體攻擊，事發已逾三週，公司至今仍在修復受影響的資訊系統。LVM技術長Maris Kuzmins近日向當地媒體透露，目前情況已趨於穩定，但要讓營運完全恢復正常，仍相當具有挑戰性，目前仍有約三分之二簽有服務合約的客戶，尚無法使用受影響的系統。Kuzmins表示，攻擊者鎖定某個2年未更新的系統下手，利用特定漏洞而得逞。<a href="https://www.ithome.com.tw/news/177257">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177244"><span style="font-size: 22px;"><strong>荷蘭警方揭露2月電信公司Odido事故調查結果，指出有當地人士涉案</strong></span></a></p> <p>今年2月荷蘭大型電信公司Odido證實遭遇網路攻擊，駭客團體ShinyHunters冒充該公司IT部門的員工從事網釣而得逞，並向當地媒體透露約有620萬名客戶的帳號資料外流。這起事故也引起荷蘭當局的重視並介入調查，近日公布最新調查結果。7月9日荷蘭國家檢察署與荷蘭國家調查與行動單位發布聯合聲明，指出這起事故疑似有荷蘭人涉案。其中一個跡象，就是冒充Odido公司IT人員的駭客，曾打電話給Odido客服中心，這名駭客是使用荷蘭語的男性。<a href="https://www.ithome.com.tw/news/177244">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177260"><span style="font-size: 22px;"><strong>針對5月資料外洩事故，CISA公布後續處理及調查結果</strong></span></a></p> <p>5月中旬資安部落格Krebs On Security、資安公司GitGuardian提出警告，美國網路安全與基礎設施安全局（CISA）的公開GitHub儲存庫，存放多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，可能成為近期美國政府最嚴重的資料外洩事故而引起外界關注。7月9日CISA發布部落格文章指出，他們在5月15日接獲通報後，已立即著手消除相關資料公開暴露，此GitHub儲存庫並非CISA所有，而是承包商所建立，目前已被下架。<a href="https://www.ithome.com.tw/news/177260">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177246"><span style="font-size: 22px;"><strong>樂扣樂扣等3企業遭韓國個資委員會重罰7億韓元，基礎防護形同虛設</strong></span></a></p> <p>韓國個人資訊保護委員會（PIPC）於7月8日宣布，針對3家違反《個人資訊保護法》資安防護義務的企業：樂扣樂扣（LocknLock）、Ubase及Sunphoto，處以總計7億100萬韓元的行政裁罰金，以及540萬韓元的行政罰鍰。PIPC強調，這些個資外洩事故的主因是企業疏於最基本的安全防護。當中最受關注的是，以保鮮盒聞名的生活用品品牌業者樂扣樂扣，遭裁罰逾5億韓元（約1,071萬元），情節最為嚴重。<a href="https://www.ithome.com.tw/news/177246">詳全文</a> <a id="1196" name="1196"></a></p> <p><a href="https://www.ithome.com.tw/news/177219"><span style="font-size: 22px;"><strong>調查局破獲中國網軍冒充國際記者，對臺政學界進行社交工程攻擊</strong></span></a></p> <p><a href="/sites/default/files/images/0e360cc9aca143ea8afacf607c4f5a98-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0e360cc9aca143ea8afacf607c4f5a98-63.jpg" style="width: 300px; float: right;" /></a></p> <p>針對中國網軍對臺灣政治界、學術界人士進行社交工程攻擊，7月7日法務部調查局宣布破案，網軍偽冒國際記者犯案，藉此刺探及收集機敏資訊，並寄送夾帶惡意程式的電子郵件，意圖入侵及操控受害者的電腦設備。辦案人員搜索約談協助網軍蒐集LINE帳號的愛彼蓋爾公司，士林地檢署今依違反個資法對該公司前後負責人李華倫、陳孟森處分緩起訴。調查局呼籲，民眾除對不明人士加LINE傳訊攀談，或接獲不明郵件、簡訊要提高警覺，也不應將所申請、註冊之手機門號、LINE帳號等提供他人使用，避免涉入幫助犯罪而觸法。<a href="https://www.ithome.com.tw/news/177219">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177249"><span style="font-size: 22px;"><strong>破壞型後門GigaWiper整合磁碟抹除、檔案加密與遠端控制功能</strong></span></a></p> <p>微軟威脅情報團隊揭露針對Windows平臺破壞型後門程式GigaWiper，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。研究人員自2025年10月起，觀測到遭入侵環境出現破壞性資料抹除活動。進一步分析發現，這套以Go語言開發的惡意程式，將命令暨控制（C2）、遠端控制及多種系統破壞功能整合至單一後門。GigaWiper整合至少3個原本各自獨立的惡意程式家族，其中一項工具會直接覆寫實體磁碟。<a href="https://www.ithome.com.tw/news/177249">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177221"><span style="font-size: 22px;"><strong>Android惡意軟體RedWing以租賃模式提供買家，協助發動金融詐騙</strong></span></a></p> <p><a href="/sites/default/files/images/RedWing-8-3-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/RedWing-8-3-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Zimperium揭露新型Android惡意軟體RedWing，透過Telegram通訊平臺以惡意軟體即服務（Malware-as-a-Service，MaaS）模式出租，讓缺乏技術能力的犯罪者也能從事金融詐騙，目前已有82家機構遭受攻擊，以俄羅斯金融機構為主。RedWing疑似惡意軟體Oblivion新變種，攻擊者可選擇建立仿冒Google Play、Galaxy Store或其他應用程式商店的網頁，藉此誘騙受害者下載惡意程式，而惡意程式則能提供一系列惡意操作，如透過覆蓋畫面（Overlay）偽造銀行應用程式登入頁面。<a href="https://www.ithome.com.tw/news/177221">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177213"><span style="font-size: 22px;"><strong>惡意工具DEBULL濫用Microsoft裝置驗證碼流程，攻擊者可藉此接管受害者M365帳號</strong></span></a></p> <p><a href="/sites/default/files/images/debull_attack_flow-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/debull_attack_flow-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者ZeroBEC揭露駭客在釣魚信件中利用惡意工具DEBULL，濫用Microsoft合法的OAuth裝置授權流程，誘導受害者輸入由攻擊者產生的裝置驗證碼（Device Code），藉此取得OAuth存取權杖，繞過傳統密碼與多因素驗證機制，進而接管受害者Microsoft 365帳號。由於DEBULL的部分元件程式碼含有土耳其語的標記，懷疑程式碼來源可能與土耳其語系開發者有關。DEBULL可能是釣魚即服務（PhaaS）工具，駭客用於搭配GraphSpy或衍生的惡意工具來進行後續攻擊。<a href="https://www.ithome.com.tw/news/177213">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177252"><span style="font-size: 22px;"><strong>語音網釣鎖定Microsoft 365使用者，攻擊者企圖註冊自行控制的通行金鑰</strong></span></a></p> <p><a href="/sites/default/files/images/o-unc-066-recoverykey-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/o-unc-066-recoverykey-63.jpg" style="width: 300px; float: right;" /></a></p> <p>身分與存取管理業者Okta警告，自2026年4月起，代號O-UNC-066的威脅行為者以語音網釣（vishing）手法鎖定多個產業的企業與組織，致電目標企業員工，謊稱對方需要為Microsoft 365帳號註冊新的通行金鑰（passkey），誘騙受害者交出帳號密碼，並配合完成登入所需的多因素驗證（MFA）。若受害者依照指示完成MFA，攻擊者接著可讓假網站顯示仿冒通行金鑰註冊流程的頁面，以及名為「復原金鑰」的頁面，要求使用者保存一組從攻擊者控制的清單產生、包含12個單字的助記詞（mnemonic sentence）。<a href="https://www.ithome.com.tw/news/177252">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177251"><span style="font-size: 22px;"><strong>前勒索軟體談判人員勾結BlackCat，遭判70個月徒刑</strong></span></a></p> <p>美國法院判處前勒索軟體談判人員Angelo Martino 70個月徒刑。他利用工作取得的機密資訊，暗中協助BlackCat（又稱ALPHV）勒索軟體集團向受害組織索取更高贖金，並與兩名前資安從業人員Kevin Martin及Ryan Goldberg合作，共同對美國更多組織部署該勒索軟體。Martino於2026年4月承認一項共謀以勒索手段妨礙州際商業活動罪，法院於7月9日判處70個月徒刑。同案共犯Martin及Goldberg則於5月1日各遭判處48個月徒刑。<a href="https://www.ithome.com.tw/news/177251">詳全文</a> </p> </div></div></div>
7/13 14:56作者周峻佑https://www.ithome.com.tw/news/177261
微軟坦承AI將讓未來Patch Tuesday的修補數量變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/" target="_blank">微軟上周四（7/9）宣布</a>，隨著AI加速漏洞發現，Windows正擴大利用AI提早找出漏洞、加速修補與驗證流程，並預期未來每次安全更新將納入更多修補內容。</p> <p>微軟Windows與裝置部門執行副總裁Pavan Davuluri表示，AI的進步讓漏洞發現的速度與規模大增，為了在駭客利用前搶先防範，Windows正透過全新基礎設施，全面擴大整個平臺內部的漏洞發現與驗證。</p> <p>上述策略的核心為微軟於5月發表的<a href="https://www.ithome.com.tw/news/175805" target="_blank">MDASH多模型代理式AI安全系統</a>，它會掃描Windows重要的二進位檔，並利用多個AI模型驗證潛在漏洞，之後送入Windows專屬流程排除誤報，最後才交由工程師調查。微軟也計畫將MDASH等AI漏洞掃描工具，以及相關的漏洞發現與驗證作法，推廣到Windows以外的產品部門。</p> <p>此外，微軟也將AI導入後續修補流程，協助分析錯誤原因、提出候選修補方式、找出其他相似問題及挑選回歸測試，但修補程式仍須由工程師審查及驗證後才能發布。</p> <p>微軟表示，隨著AI協助防禦方發現更多問題，未來每次Windows安全更新將納入更多修補內容，而修補數量的增加代表漏洞辨識與處理能力提升。也暗示這並非是Windows突然出現更多安全問題。</p> <p>微軟並未透露正式導入AI發現/修補漏洞流程的時間，不過，<a href="https://www.ithome.com.tw/news/176497" target="_blank">今年6月微軟在Patch Tuesday</a>修補約200個自家產品漏洞，較5月約118個大增近7成，也是歷來規模最大的單月安全更新之一。</p> </div></div></div>
7/13 16:22作者陳曉莉https://www.ithome.com.tw/news/177264
Datadog揭露GitHub API偵察行動，Ghost帳號長期掃描企業儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://securitylabs.datadoghq.com/articles/coordinated-github-api-enumeration/" target="_blank">資安業者Datadog上周揭露</a>多起濫用GitHub API的偵察行動，駭客利用建立多年的Ghost帳號，系統性蒐集企業GitHub組織、儲存庫及使用者資訊；部分行動另使用外洩的OAuth Token與個人存取權杖（PAT），有一案例已成功複製私有儲存庫。</p> <p>GitHub提供多種可存取公開資料的API。根據Datadog的調查，駭客利用建立多年的Ghost帳號，透過這些API查詢企業公開儲存庫、組織成員、使用者追蹤關係、Gist及收藏的儲存庫，並大量利用GraphQL查詢及REST API蒐集資訊，以建立企業GitHub組織、開發人員及專案之間的關係圖。由於這些查詢多針對公開資料，不會留下登入失敗或權限不足等明顯錯誤紀錄，因此容易混入一般API流量，不易被企業察覺。</p> <p>自2025年10月以來，Datadog已觀察到超過50個Ghost帳號參與這類偵察活動，這些帳號多建立於2至5年前，長期閒置後突然開始針對多家企業大量發送API請求，通常持續1至3周後再停止活動。此外，Datadog也發現部分攻擊利用外洩的OAuth Token及個人存取權杖（PAT）嘗試存取私有儲存庫，並至少確認一個成功存取及複製私有儲存庫的案例。</p> <p>Datadog建議企業啟用GitHub稽核日誌串流，建立正常User-Agent使用基準，並監控異常API活動、存取權杖及私有儲存庫的查詢、複製與下載行為，以便及早發現未授權存取及資料外洩跡象。</p> </div></div></div>
7/13 15:03作者陳曉莉https://www.ithome.com.tw/news/177262
針對5月資料外洩事故，CISA公布後續處理及調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>5月中旬<strong><a href="https://www.ithome.com.tw/news/175968">資安部落格Krebs On Security</a></strong>、<strong><a href="https://www.ithome.com.tw/news/176012">資安公司GitGuardian</a></strong>提出警告，美國網路安全與基礎設施安全局（CISA）的公開GitHub儲存庫，存放多個高權限的AWS GovCloud政府雲端服務帳號，以及大量CISA內部系統憑證，可能成為近期美國政府最嚴重的資料外洩事故而引起外界關注，此事亦引起美國國會關切。近期CISA公布了這起事故的後續處理結果。</p> <p>7月9日CISA<strong><a href="https://www.cisa.gov/news-events/news/lessons-cisas-cyber-incident">發布部落格文章</a></strong>指出，他們在5月15日接獲通報後，已立即著手消除相關資料公開暴露，以防止進一步的傷害。此GitHub儲存庫並非CISA所有，而是承包商所建立，目前已被下架。CISA也將開發環境下線，並重置相關憑證。此外，他們也撤銷承包商的系統存取權限。根據事件記錄鑑識的結果，洩漏的憑證並未用於CISA以外的環境，沒有客戶或任務資料外洩。</p> <p>針對這起事故發生的原因，是承包商將CISA開發儲存庫複本上傳到私人的GitHub帳號，目的是建造自動化雲端基礎設施，其內容涵蓋了CISA的基礎設施即程式碼（Infrastructure as Code），以及管理員及編譯憑證。對於該承包商曾擔任管理員的環境，CISA將所有憑證都進行輪換，並調整程式碼儲存庫的允許及封鎖名單，限縮使用者上傳至公開儲存庫的能力。</p> </div></div></div>
7/13 13:43作者周峻佑https://www.ithome.com.tw/news/177260
微軟永續報告揭AI時代新挑戰：總體排放增加25%，資料中心能源與零碳電力成關鍵戰場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟近期發布的<a href="https://www.microsoft.com/en-us/corporate-responsibility/topics/sustainability/report/">「2026 Environmental Sustainability Report」</a>，揭露其在2025會計年度（FY2025）的最新環境永續進展。該報告顯示，微軟全球溫室氣體排放量較2020年基準仍增加，其中FY2025排放較前一年增加25%。微軟指出，排放增加主要受到資料中心基礎設施擴張，以及停止採用未綁定（unbundled）的再生能源憑證（Renewable Energy Certificates, REC）等因素影響。</p> <p>從排放結構來看，微軟今年最大的變化是能源相關排放的重要性提高。Scope 2（能源間接排放）占整體排放比例明顯上升，從前一年占比2%，提高至FY2025的13%，反映隨著雲端運算、人工智慧服務及資料中心建設持續擴大，企業面臨的永續挑戰已逐漸從單純提升能源效率，延伸至如何取得足夠且低碳的電力來源。</p> <p><img alt="" src="/sites/default/files/images/emmision-1.jpg" style="width: 600px; height: 526px;" /></p> <p>微軟表示，過去部分再生能源憑證雖可用於排放計算，但未必能實際促成新的潔淨能源供應。因此，微軟逐步停止採用未綁定的再生能源憑證，轉而投入更具額外性（additionality）的零碳能源方案，例如長期能源採購協議（PPA）及支持新增再生能源供應。這也使排放數據更直接反映實際能源使用情況。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="color:#B22222;"><span style="font-size:20px;"><span id="docs-internal-guid-c35928af-7fff-1bbc-87e5-d9407a3f023b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">資料中心永續焦點轉向電力與基礎設施</span></span></span></span></h2> <p>該報告也反映明顯趨勢，AI快速發展正在重新定義資料中心永續策略。</p> <p>過去企業資料中心永續管理多聚焦於PUE（Power Usage Effectiveness）、伺服器效率提升與能源節省，但隨著生成式AI帶動GPU運算需求增加，資料中心面臨更高密度、更高功耗的運算環境，資料中心的永續議題也開始延伸至電力供應、散熱、水資源及供應鏈管理。</p> <p>微軟在報告中強調資料中心的永續設計，例如導入更高效率的冷卻技術，以因應AI工作負載帶來的散熱需求。其中微軟曾在6月分享其資料中心的永續設計，例如晶片層級液冷（chip-level liquid cooling）及封閉式循環冷卻架構，降低高功率運算環境的水資源消耗。</p> <p>相較於傳統依賴空氣冷卻或蒸發式冷卻的資料中心架構，液冷技術能直接將熱量從高功耗元件帶走，更適合未來AI伺服器與高密度GPU機櫃部署，成為下一代資料中心基礎設施的重要技術。</p> <h2 dir="ltr" style="line-height:1.38;margin-top:18pt;margin-bottom:4pt;"><span style="font-size:20px;"><span style="color:#B22222;"><span id="docs-internal-guid-c35928af-7fff-1bbc-87e5-d9407a3f023b"><span style="font-family: Arial, sans-serif; background-color: transparent; font-weight: 700; font-variant: normal; vertical-align: baseline; white-space: pre-wrap;">Scope 3仍是最大減碳挑戰</span></span></span></span></h2> <p>除了能源使用之外，占比最大的Scope 3（其他間接排放）仍是減碳最大挑戰。</p> <p>對大型雲端業者而言，資料中心建設本身涉及大量供應鏈，包括半導體、伺服器、網通設備、鋼材及混凝土等材料，其製造過程產生的碳排放往往高於資料中心營運階段。</p> <p>因此，微軟持續推動供應商減碳，包括低碳材料、設備再利用及循環經濟措施，希望降低資料中心生命周期中的隱含碳排（embodied carbon）。</p> <p>從微軟2026永續報告揭示，AI時代的資料中心永續競爭不只是比較誰能打造更節能的設備，而是誰能取得足夠的低碳能源、建立更有效率的冷卻架構，以及管理更複雜的供應鏈碳排。</p> <p> </p> </div></div></div>
7/13 14:20作者蘇文彬https://www.ithome.com.tw/news/177254
拉脫維亞林業公司LVM遭勒索軟體攻擊，系統恢復恐將耗時數週
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<strong><a href="https://nra.lv/tehnologijas/525072-lvm-skaidro-kiberuzbrukuma-iespejamibu.htm">資安新聞網站The Record報導</a></strong>，拉脫維亞國有林業公司（LVM）於6月22日遭到勒索軟體攻擊，事發已逾三週，<strong><a href="https://x.com/valstsmezi/status/2075121682973442240">公司至今仍在修復受影響的資訊系統</a></strong>。LVM技術長Maris Kuzmins<strong><a href="https://nra.lv/tehnologijas/525072-lvm-skaidro-kiberuzbrukuma-iespejamibu.htm">近日向當地媒體透露</a></strong>，目前情況已趨於穩定，但要讓營運完全恢復正常，仍相當具有挑戰性，目前仍有約三分之二簽有服務合約的客戶，尚無法使用受影響的系統。Kuzmins表示，攻擊者鎖定某個2年未更新的系統下手，利用特定漏洞而得逞，不過Kuzmins沒有說明系統名稱，並強調他們沒有收到勒索訊息，也不會向駭客低頭付錢。</p> <p>拉脫維亞電腦緊急應變團體CERT.LV<strong><a href="https://cert.lv/lv/2026/06/as-latvijas-valsts-mezi-kiberdrosibas-incidents-aktuala-informacija">介入調查此事</a></strong>，並指出攻擊者是以經濟利益為動機的外國勒索軟體駭客集團，曾對於北約及歐盟的企業與公共機構從事攻擊，這些駭客於網路上公布LVM約44 GB資料，內容涵蓋內部文件、往來電子郵件、專案程式碼、各種系統的憑證與金鑰，以及使用者的帳密資料等。值得留意的是，這起事故受到當地高度關注的原因，在於LVM也參與開發拉脫維亞國會的選舉系統。對此CERT.LV也進行說明，LVM負責電子選民名冊的開發，相關開發工作於獨立的隔離環境進行，原始碼未存放於LVM一般的程式碼儲存庫，並直接交付拉脫維亞國家數位發展局（VDAA）保管，7月初CERT.LV表示經比對交付的程式碼，確認未遭竄改或是未經授權存取，而不受影響。</p> <p>值得留意的是，CERT.LV透露同一組人馬也入侵當地基礎設施供應商Olpha的伺服器，其中至少一個資訊系統遭到未經授權存取，不過檔案未遭到加密。CERT.LV表示，LVM與Olpha事故並無直接關連。</p> </div></div></div>
7/13 13:02作者周峻佑https://www.ithome.com.tw/news/177257
蘋果控告OpenAI系統性竊取商業機密，揭露已有逾400名前員工跳槽至OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果上周五（7/10）向美國加州北區聯邦地方法院提告OpenAI、旗下AI硬體新創io Products及兩名前蘋果員工，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.474095/gov.uscourts.cand.474095.1.0_1.pdf" target="_blank">指稱OpenAI</a>藉由招募、面試及供應鏈合作等方式，持續取得蘋果未公開產品、硬體設計及供應鏈等商業機密，以加速AI硬體業務發展。蘋果指控OpenAI及io竊取與不當使用商業機密，並控告兩名前員工違反保密及智慧財產權協議。</p> <p>被告的兩名前員工分別是蘋果前iPhone資深系統電氣工程師Chang Liu，以及前iPhone與Apple Watch產品設計副總裁Tang Yew Tan。蘋果指控，兩人分別透過非法存取內部系統及招募、面試等方式，協助OpenAI取得蘋果商業機密。其中，在蘋果任職8年的Liu甫於今年1月離職並加入OpenAI，Liu被指控利用蘋果內部系統的身分驗證漏洞進入蘋果網路儲存系統，同時也利用前同事的蘋果工作電腦存取蘋果系統。</p> <p>而在蘋果任職24年的Tan，曾擔任iPhone及Apple Watch產品設計副總裁，於2024年離職後與前蘋果設計長Jony Ive共同創辦AI硬體新創io。2025年5月，OpenAI宣布以65億美元收購io，Tan隨之出任OpenAI硬體長。蘋果指控，Tan利用自己熟悉的蘋果未公開產品、供應鏈及製造技術，透過招募及面試蘋果員工蒐集未公開產品資訊，甚至要求應徵者攜帶零件及原型參加面試，並利用掌握的供應鏈資訊接觸蘋果合作夥伴，以協助OpenAI發展AI硬體業務。</p> <p>蘋果表示，目前已有超過400名前蘋果員工任職於OpenAI，因此OpenAI部分員工掌握蘋果機密及專有資訊並不令人意外，且這些人本來就有義務對相關資訊保密。然而，OpenAI反而利用這些機密資訊，進一步向仍在蘋果任職的員工及合作夥伴蒐集更多機密，並設計面試流程試圖套取蘋果的機密資訊，同時採取措施掩飾相關行為。</p> <p>OpenAI在媒體的詢問下否認了蘋果的指控，指出他們對其它公司的商業機密沒有任何興趣，將持續專注於打造創新技術。</p> </div></div></div>
7/13 13:11作者陳曉莉https://www.ithome.com.tw/news/177258
澳洲警告多種內容管理平臺遭鎖定，駭客企圖在網站植入Webshell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>7月9日澳洲網路安全中心（ACSC）<strong><a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms">發布重大警訊</a></strong>，指出他們掌握鎖定多種內容管理平臺（CMS）資安漏洞的全球性大規模攻擊活動，其中已有許多澳洲中小型企業受到影響。駭客積極掃描網站，利用影響CMS與外掛程式的各種已知弱點，試圖尋找部署Webshell的機會。這些弱點涵蓋未經身分驗證的檔案上傳、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF），以及反序列化漏洞。一旦成功植入Webshell，駭客就能遠端存取受害主機並進行控制，而有可能破壞網站及中斷運作、擷取網站用戶輸入的憑證或存放的資料、上傳惡意軟體以用於欺騙用戶，甚至有可能將網頁伺服器作為更加廣泛的入侵途徑。</p> <p>這波攻擊行動被鎖定的弱點，大部分存在於WordPress外掛程式，不過也有其他CMS平臺成為攻擊目標，包括：Craft CMS、MaxSite CMS、MetInfo CMS，此外近期公布的Joomla的JCE外掛程式滿分漏洞CVE-2026-48907，也是駭客利用的對象。而在WordPress外掛程式的部分，ACSC提到Simple File List、WavePlayer、BerqWP、WPBookit、Ninja Forms、ThemeREX Addons、Breeze Cache、pay-uz、ACF Extended、Sneeit Framework、WPvivid Backup、Gravity Forms，以及GutenKit與Hunk Companion的弱點，並指出這些漏洞不僅已有公開的CVE編號，且軟體開發團隊皆已提供修補程式，駭客正是利用網站管理者未及時更新的空窗期嘗試滲透網站。</p> </div></div></div>
7/13 11:26作者周峻佑https://www.ithome.com.tw/news/177248
微軟揭GigaWiper破壞型後門，整合磁碟抹除、檔案加密與遠端控制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.microsoft.com/en-us/security/blog/2026/07/09/gigawiper-anatomy-of-a-destructive-backdoor-assembled-from-multiple-malware/" target="_blank">微軟威脅情報團隊（Microsoft Threat Intelligence）揭露針對Windows平臺破壞型後門程式GigaWiper</a>，攻擊者可遠端控制受害電腦，並啟用磁碟抹除、檔案加密及系統破壞功能。</p> <p>研究人員自2025年10月起，觀測到遭入侵環境出現破壞性資料抹除活動。進一步分析發現，這套以Go語言開發的惡意程式，將命令暨控制（C2）、遠端控制及多種系統破壞功能整合至單一後門。</p> <p>GigaWiper整合至少3個原本各自獨立的惡意程式家族。其中一項工具會直接覆寫實體磁碟，並移除非Windows安裝磁碟的磁碟分割區資訊；另一項功能大量採用Crucio勒索軟體的程式碼，可加密檔案並將副檔名改為.candy，但不會保存隨機產生的金鑰及初始化向量，也不會留下勒索訊息，因此檔案遭加密後無法解密。第三項功能則是以Go語言重新實作磁碟抹除惡意程式FlockWiper，該軟體原本以C語言開發，可用來多次覆寫Windows安裝所在的系統磁碟。除了抹除與加密資料，GigaWiper也具備遠端控制、系統資訊蒐集及資料外傳能力。</p> <p>微軟同時公布與GigaWiper相關的C2伺服器IP位址及惡意程式SHA-256雜湊值，供企業進行偵測與封鎖。在防護方面，研究人員建議企業啟用防竄改與雲端防護功能，並讓端點偵測與回應（EDR）工具以封鎖模式運作。</p> </div></div></div>
7/13 11:26作者王珮瑤https://www.ithome.com.tw/news/177249
樂扣樂扣等3企業遭韓國個資委員會重罰7億韓元，基礎防護形同虛設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12242#LINK">韓國個人資訊保護委員會（PIPC）於7月8日宣布</a></strong>，針對3家違反《個人資訊保護法》資安防護義務的企業：樂扣樂扣（LocknLock）、Ubase 及 Sunphoto，處以總計7億100萬韓元的行政裁罰金，以及540萬韓元的行政罰鍰。PIPC強調，這些個資外洩事故的主因是企業疏於最基本的安全防護。</p> <p>當中最受關注的是，以保鮮盒聞名的生活用品品牌業者樂扣樂扣，遭裁罰逾5億韓元（約1,071萬元），情節最為嚴重。根據PIPC說明，調查發現駭客於2024年間兩度利用郵件伺服器漏洞入侵其內部系統，導致約130萬名會員及1,111筆員工的敏感個資外洩。</p> <p>其重大缺失包含：（一）未修補自2022年起已公開的伺服器漏洞；（二）多臺核心伺服器共用管理員密碼，缺乏基本帳號管控；（三）未建立異常流量監測與應變機制，直到收到駭客寄來的勒索郵件才驚覺受害；（四）未對高敏感個資採取加密保護措施；（五）未依規銷毀已結束營運門市的客戶個資。</p> <p>至於另外兩家業者，Ubase與Sunphoto則因管理員介面的存取未設IP位址限制且缺乏MFA身分驗證，導致個資外洩。企業客服外包商Ubase因1,852名用戶個資流向Telegram，罰款1億6,800萬韓元；影像設備商Sunphoto則因17萬名會員個資外洩並引發電信詐騙，遭處3,000萬韓元。</p> </div></div></div>
7/13 11:35作者羅正漢https://www.ithome.com.tw/news/177246
前勒索軟體談判人員勾結BlackCat，遭判70個月徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國法院判處前勒索軟體談判人員Angelo Martino 70個月徒刑。他利用工作取得的機密資訊，暗中協助BlackCat（又稱ALPHV）勒索軟體集團向受害組織索取更高贖金，並與兩名前資安從業人員共同對美國更多組織部署該勒索軟體。</p> <p><a href="https://www.justice.gov/opa/pr/florida-ransomware-negotiator-who-extorted-and-attacked-multiple-us-victims-sentenced-prison" target="_blank">美國司法部（D</a><a href="https://www.justice.gov/opa/pr/florida-ransomware-negotiator-who-extorted-and-attacked-multiple-us-victims-sentenced-prison" target="_blank">OJ）指出</a>，現年41歲的Martino曾任職於一家美國資安事件應變公司，自2023年4月起與BlackCat攻擊者勾結。他利用替5個受害組織與勒索軟體組織談判的機會，將客戶的談判策略、保險理賠上限等機密資訊洩露給BlackCat，協助攻擊者索取更高贖金，並從中收取報酬。</p> <p>除了洩露客戶資訊，Martino還與另外兩名前資安從業人員Kevin Martin及Ryan Goldberg合作，在2023年4月至11月間，對美國其他組織部署BlackCat勒索軟體。</p> <p>Martino於2026年4月承認一項共謀以勒索手段妨礙州際商業活動罪，法院於7月9日判處70個月徒刑。同案共犯Martin及Goldberg則於5月1日各遭判處48個月徒刑。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-ransomware-negotiator-gets-4-years-in-prison-for-blackcat-attacks/" target="_blank">資安媒體Bleeping Computer</a>引述法院文件指出，Martino當時任職於資安事件應變業者DigitalMint。DigitalMint執行長Jonathan Solomon向Bleeping Computer表示，公司發現Martino與Kevin Martin涉案後，便將兩人解雇。</p> <p>這起案件也延續美國執法部門對勒索軟體的追查行動。美國司法部曾於2023年底展開干擾BlackCat勒索軟體行動，過程中，FBI查扣數個由BlackCat營運的網站，並開發解密工具，協助數百個受害組織復原系統，免於支付贖金規模估計約9,900萬美元。</p> </div></div></div>
7/13 11:48作者王珮瑤https://www.ithome.com.tw/news/177251
語音網釣鎖定Microsoft 365使用者，攻擊者企圖註冊自行控制的通行金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.okta.com/en-au/blog/threat-intelligence/vishing-actors-target-microsoft-entra-passkey-enrollment-/" target="_blank">身分與存取管理業者Okta警告</a>，自2026年4月起，代號O-UNC-066的威脅行為者以語音網釣（vishing）手法鎖定多個產業的企業與組織，致電目標企業員工，謊稱對方需要為Microsoft 365帳號註冊新的通行金鑰（passkey），誘騙受害者交出帳號密碼，並配合完成登入所需的多因素驗證（MFA）。研究人員研判，攻擊者企圖藉此接管帳號，並註冊自行控制的通行金鑰。</p> <p>根據Okta對網釣工具的分析，受害者在假網站輸入帳號密碼後，攻擊者可能在數秒內透過微軟的合法登入頁面嘗試存取受害者帳號，再確認系統要求採用哪一種MFA方式，並切換假網站頁面，誘使對方輸入簡訊驗證碼、驗證器應用程式產生的一次性密碼，或在驗證器應用程式輸入攻擊者提供的數字，核准登入要求。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0712-O-UNC-066-phishing-okta.png" style="width: 501px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Okta</span></span></p> <p>若受害者依照指示完成MFA，攻擊者接著可讓假網站顯示仿冒通行金鑰註冊流程的頁面，以及名為「復原金鑰」的頁面，要求使用者保存一組從攻擊者控制的清單產生、包含12個單字的助記詞（mnemonic sentence），而且，這組助記詞是遵守比特幣改進提案第39號標準（Bitcoin Improvement Proposal 39，BIP-39）而產生的內容，類似加密貨幣應用程式產生易於記憶的種子字做法。研究人員指出，這類助記詞與微軟雲端身分識別服務Microsoft Entra ID或通行金鑰註冊流程沒有已知的直接關聯，研判相關頁面是為了讓受害者忙於無關操作，讓攻擊者趁機將自行控制的通行金鑰註冊到真正的Microsoft帳號內。</p> </div></div></div>
7/13 12:01作者王珮瑤https://www.ithome.com.tw/news/177252
後門程式WP-ShellStorm大規模入侵WordPress網站，駭客意圖兜售網站的存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>威脅情報公司SOCRadar揭露<strong><a href="https://socradar.io/blog/wp-shellstorm-expose-1-4m-wordpress-sites/">後門程式WP-ShellStorm的大規模攻擊活動</a></strong>，中國駭客鎖定超過140萬個網域、利用27個CVE漏洞，主要目的是在WordPress網站植入Webshell，並將受害網站的存取權限轉賣給其他駭客組織。SOCRadar將這些駭客的活動稱為Webshell Access Brokerage Operation（WABO），並確認正在活動的Webshell超過5,700個。</p> <p>該公司察覺這波攻擊活動的跡象，源自駭客曝露的Python SimpleHTTPServer執行個體，內容呈現了具備專業技能、以經濟利益為動機的網路犯罪團體活動，包括了完整的工具、事件記錄，以及攻擊目標的清單。值得留意的是，雖然駭客的主要目標的WordPress網站，但更引起SOCRadar注意的地方，是另一部分更為低調的活動，駭客的目標是企業的Java基礎設施。</p> </div></div></div>
7/13 12:02作者周峻佑https://www.ithome.com.tw/news/177253
Zimbra爆發嚴重漏洞，攻擊者可透過發送特製郵件在收件者Webmail介面執行惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源郵件及協同平臺Zimbra上周發出安全更新，以修補一個讓攻擊者以惡意郵件在網頁用戶端執行惡意程式的重大漏洞。</p> <p>Zimbra Collaboration Suite（ZCS）為廣受歡迎開源協同平臺，整合電子郵件、行事曆、即時通訊和雲端硬碟功能。最新發現的漏洞為一存在ZCS的經典Web用戶端的跨站指令碼（Cross-Site Scripting，XSS）漏洞，可讓攻擊者傳送特製郵件，以便在用戶執行階段執行惡意腳本程式。但這項漏洞並未被分配CVE漏洞編號，也不知風險值。</p> <p><a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.19" target="_blank">Zimbra維護單位上周釋出Daffodil（v10.1.19）更新版本</a>，並提醒ZCS 10.0.x、9.0.x或8.8.15的用戶必須先升級到ZCS 10.1.19版，再更新SNMP緩解措施。而ZCS 10.1.x的用戶，若已經施行了SNMP緩解措施則無需任何動作，因SNMP緩解在10.1.19環境仍然有效。</p> <p>Zimbra維護單位並未提及是否有針對本漏洞的濫用行為。<a href="https://thehackernews.com/2026/07/critical-zimbra-flaw-could-let-crafted_0483473395.html" target="_blank">但The Hacker News提醒</a>，Zimbra的XSS漏洞向來是駭客喜愛的攻擊目標，<a href="https://www.ithome.com.tw/news/149713" target="_blank">早在2021年就曾經</a>有駭客武器化Zimbra的XSS漏洞CVE-2022-24682發動名為Operation EmailThief行動，攻擊歐洲政府和媒體。<a href="https://www.ithome.com.tw/news/171603" target="_blank">去年Zimbra又有零時差漏洞CVE-2025-27915</a>被濫用攻擊巴西軍方，可在受害者讀取惡意信件時觸發而可執行任意JavaScript，使駭客得以設定受害者郵件，導致信件重導向或資料外洩。</p> </div></div></div>
7/13 10:35作者林妍溱https://www.ithome.com.tw/news/177242
Meta證實評估跨足AI雲端租賃業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bloomberg.com/news/articles/2026-07-09/meta-s-zuckerberg-says-exploring-ai-cloud-business-makes-sense" target="_blank">彭博報導</a>，Meta執行長祖克柏（Mark Zuckerberg）證實，公司正在思考跨入服務業務，出售多餘的AI雲端基礎架構運算資源。</p> <p>祖克柏稱，出售其Meta Compute多餘的AI運算資源「很合理」，該公司正在研究這項計畫。</p> <p>這項計畫也解釋了Meta何以對AI基礎架構如此雄心勃勃。<a href="https://www.ithome.com.tw/news/173314" target="_blank">Meta今年初啟動</a>Meta Compute計畫，打算在未來10年建置數十GW等級的運算與能源規模，且未來可能成長到數百GW以上。當時業界認為這項規劃的目的，明顯不是為了單一AI公司或模型訓練需求而設計，而是等同Amazon Web Services（AWS）、Microsoft Azure、Google Cloud Platform的基礎架構。<a href="https://finance.yahoo.com/technology/ai/articles/meta-plans-sell-ai-compute-113611740.html" target="_blank">Meta預估</a>今年的AI基礎架構投資金額在1250到1450億美元。</p> <p>同時間Meta積極推動研發AI自有晶片。<a href="https://www.reuters.com/world/asia-pacific/meta-put-ai-chip-into-production-september-it-looks-double-computing-capacity-2026-07-09/" target="_blank">路透社上周報導</a>，Meta為了明年資料中心可提供今年2倍、高達14 gigawatt的運算容量，預計九月起生產第四代MTIA（Meta Training and Inference Accelerators）計畫的晶片，包括代號Iris的自家設計。Meta並和博通合作，共同開發多個世代的MTIA晶片，包括推理與生成式AI等工作負載，也將引進博通的乙太網與XPU平臺，建構可支援大規模運算叢集的低延遲、高頻寬架構。</p> <p>這項計畫可望以其Meta Compute為中心展開，推動公司轉型為企業AI服務供應商，然而也使其成為原有AI架構供應商的競爭者。<a href="https://thenextweb.com/news/meta-zuckerberg-ai-cloud-business-makes-sense" target="_blank">The Next Web報導</a>，報導一出，Meta的新式雲端（neocloud）供應商CoreWeave、Nebius、IREN股價下跌超過10%。<a href="https://thenextweb.com/news/meta-coreweave-21-billion-ai-cloud-deal" target="_blank">其中Meta向CoreWeave採購</a>了350億美元的運算容量，是這家新創業者最大客戶之一。若Meta真的開始銷售運算容量，可能形同作為CoreWeave容量的經銷商。</p> <p>不過媒體也分析，Meta向來是以消費應用為主力，而AI基礎架構需要的是平臺營運維護能力、企業客戶技術支援及服務人力與團隊，這些都不是短期間可養成的能力，若Meta有意跨入服務商領域，也將面臨這些挑戰。</p> </div></div></div>
7/13 10:45作者林妍溱https://www.ithome.com.tw/news/177243
荷蘭警方揭露2月電信公司Odido事故調查結果，指出有當地人士涉案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年2月荷蘭大型電信公司Odido<strong><a href="https://www.odido.nl/veiligheid">證實遭遇網路攻擊</a></strong>，駭客團體ShinyHunters於2月5日至6日，冒充該公司IT部門的員工從事網釣而得逞，並<strong><a href="https://www.nu.nl/binnenland/6385809/gegevens-miljoenen-odido-klanten-gelekt-na-grote-cyberaanval.html">向當地媒體透露</a></strong>約有620萬名客戶的帳號資料外流。這起事故也引起荷蘭當局的重視並介入調查，近日公布最新調查結果。</p> <p>7月9日荷蘭國家檢察署與荷蘭國家調查與行動單位<strong><a href="https://www.politie.nl/nieuws/2026/juli/8/onderzoek-naar-hack-odido-wijst-op-mogelijke-betrokkenheid-nederlanders.html">發布聯合聲明</a></strong>，指出這起事故疑似有荷蘭人涉案。其中一個跡象，就是冒充Odido公司IT人員的駭客，曾打電話給Odido客服中心，這名駭客是使用荷蘭語的男性。對此，荷蘭警方表示正在對涉案人士進一步調查，呼籲這名冒充IT人員的嫌犯出面自首，不排除日後會公布此人的聲音。荷蘭警方表示，他們已在調查初期，關閉駭客用於散布竊得資料的多臺伺服器。</p> </div></div></div>
7/13 10:52作者周峻佑https://www.ithome.com.tw/news/177244
OpenMandriva Linux專案傳出遭惡意貢獻者蓄意破壞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://forum.openmandriva.org/t/statement-regarding-attempted-distribution-sabotage/8997" target="_blank">開源專案OpenMandriva Linux上周傳出重大事件</a>，貢獻者惡意破壞，刪除了專案長達十年、數十個儲存庫，並且破壞GNOME和COSMIC套件，幾乎危及下游開發人員系統。</p> <p>OpenMandriva Linux為Mandriva的開源版本。它繼承Mandriva的易用血統，內建OM Control Center等圖形化管理工具，且預設搭載最新KDE Plasma桌面環境及可自訂視覺介面，讓不熟悉命令列的使用者也能輕鬆上手。它是少數堅持完全使用LLVM/Clang編譯器（而非GCC）打造系統核心的發行版，吸引對編譯技術與效能最佳化感興趣的工程人員。</p> <p>上周三（7/8）OpenMandriva Linux維護暨管理員AngryPenguin透過版上公告欄<a href="https://forum.openmandriva.org/t/statement-regarding-attempted-distribution-sabotage/8997" target="_blank">向社群公佈一起違紀事件及社群警告</a>。開發人員Davide Beatrici加入OpenMandriva Linux以貢獻即時通訊App名為Mumble聞名。Beatrici還建議將OpenMandriva Linux專案搬移到其私人雲端空間OneDev上，不過由於社群成員有疑慮，因此仍在專案架在公開平臺GitHub，但有數十個儲存庫備份及鏡射到其私人雲端執行個體。</p> <p>Beatrici是和另二個友人一起加入OpenMandriva Linux，卻引發專案危機。其中一人在私訊（PM）中，對OpenMandriva Linux的特定用戶和成員表現出攻擊（abusive）行為，導致部份成員和用戶離開。隨後該名人士在社群對話及GitHub上攻擊另一友人。AngryPenguin於是決定將該攻擊者踢出對話群組，雖然並未封鎖他，不過Beatrici為此不悅因而退出專案。</p> <p>OpenMandriva Linux成員認為已經沒有必要再把專案鏡射到Beatrici的私人雲端平臺上，因此出手中斷連線，此事進一步惹惱Beatrici。上周他濫用仍然有效的管理員權限，刪除了專案在GitHub上的部份儲存庫，毀掉了專案超過10年的心血。接著他將空白的套件出版到cooker儲存庫，破壞所有GNOME和COSMIC套件，此舉可能損壞使用這些套件的人的系統。</p> <p>經過全盤檢查，專案小組目前沒有發現其他破壞行為。專案成員目前正在努力重置被刪除的儲存庫，及復原遭破壞的套件功能。他們警告開源社群小心這號人物，同時考慮對他提出法律行動。</p> </div></div></div>
7/13 11:00作者林妍溱https://www.ithome.com.tw/news/177245