本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
- 雙重驗證是什麼？對於網路安全的重要性為何？
- 《資安漫畫 》手機的照片被勒索病毒綁架了
- 防假冒企業高層主管的BEC變臉詐騙攻擊 趨勢科技首創採人工智慧分析技術防範電子郵件詐騙
- 要加班,但工作用筆電不能帶回家,使用雲端服務有風險嗎?
- 機器學習如何偵測虛擬貨幣挖礦病毒?
媒體資安精選
折扣季當心詐騙 資安專家5個網購叮嚀 台灣蘋果日報網
男追以太幣大盜 抓到親兒 怪業者有漏洞 法院：已雙重驗證免賠 台灣蘋果日報
微軟IIS 6.0舊漏洞再被用來挖礦 iThome
搶劫流行搶比特幣？ 高投報難追查！刑案量恐持續攀升 ETtoday新聞雲
物聯網漏洞！駭客從溫度計侵入賭場資料庫，撈出豪賭大戶名單 INSIDE
透過電線偷取電腦資料，不連網也會中招 科技新報網
壯警苦心扮仙女 宣導「竄改電郵詐騙」 台灣蘋果日報網
俄羅斯法院下令封鎖 Telegram INSIDE
數萬CMS網站被駭，小心假更新訊息騙你下載惡意程式 iThome
國外立法 植入木馬軟體 監控嫌犯 聯合報
防電郵被入侵 專家：裝防毒登入電腦後加倍小心 東網 (台灣版)
Adobe Flash Player存在安全漏洞，允許攻擊者在受害系統上執行任意程式碼，請儘速確認並進行更新[轉技服中心資訊] Twcert
你以為裝完所有手機安全更新，其實沒有，研究發現：多款Android手機的安全更新資訊不實 iThome
GDPR實施在即 駭客鎖定跨國企業 CIO IT經理人
防主管變臉詐騙 趨勢科技首創AI技術防電子郵件詐騙 台灣蘋果日報網
新型 Android 挖礦程式現身 用盡全力榨乾你的手機電量、CPU 電腦王阿達
救命啊！小編親自示範在台灣 Spotify帳號遭駭被盜，該如何即刻救援？ buzzbooklet
行動金融時代來臨 小心帳密被盜風險 三立新聞網
俄入侵路由器 英美：恐為未來網攻鋪路 中央社即時新聞網
沒有洩漏帳密就不會被偷？駭客只需一封郵件就能還原你的密碼！ Ctimes
僵屍網絡仍是持久的網絡威脅 TTNews大台灣旅遊網
川普簽署FOSTA 打擊網路非法性交易卻可能損害言論自由？ 匯流新聞網
百慕達將建立監管框架 吸引國際加密貨幣產業進駐 heasay
各國紛紛祭出禁令防制虛擬貨幣洗錢犯罪，臺灣即將跟進，法務部擬把虛擬貨幣納入洗錢防制體系 iThome
以太幣被盜 業者：用戶須善盡保管密碼責任 台灣蘋果日報網
網路資安問題延燒 YouTube知名頻道Vevo遭駭 電子商務時報網
資安研究：程式碼注入不稀奇，「早鳥」程式碼注入興起 iThome
回應Facebook洩密與假新聞事件 Google：我們不會有這問題 ETtoday新聞雲
微軟移除所有Windows更新對防毒軟體的相容性檢查 iThome
身分驗證整合平台Auth0修補token參數核驗破綻與CSRF瑕疵 Twcert
被詐騙集團盯上！ 客控垂坤伴手禮「洩資」 tvbs新聞網
34家領先公司簽署打擊網絡攻擊協議，承諾為全球客戶提供平等保護 美通社
區塊鏈技術讓科學家共享患者健康資訊，同時保障個人資料安全 科技新報網
趨勢科技運用 NetApp 儲存方案 為全球客戶提供最即時的資安防護網服務 iThome
科技業年度盛事 COMPUTEX聚焦六亮點 經濟日報網
臺灣安控產業於美西安全科技展(ISC West 2018)發表 新產品，4家台灣精品廠商展現資訊安全 台灣商會聯合資訊網
台美國防工業會議 聚焦造潛艦 僑務電子報 (中文版)
顧立雄：純網銀明年可上路 監理標準與一般商業銀行相同，不會因服務模式不同而有差別待遇 工商時報
折扣季當心詐騙 資安專家5個網購叮嚀 台灣蘋果日報網
母親節送禮、換季破盤出清挑起大家的購物慾，但資安專家趨勢科技特別提醒，留意偽裝成網購網站或是信用卡公司的網路釣魚詐騙信件，它會誘導用戶前往外觀極度相似的山寨網站，進而要求輸入帳號、密碼、個資或信用卡資料。因此按下購買前，有7件事需要注意。
<回到新聞條列重點>
男追以太幣大盜 抓到親兒 怪業者有漏洞 法院：已雙重驗證免賠 台灣蘋果日報
台中市李姓男子去年7月發現購自中國業者的120枚以太幣，被移轉至台灣Maicoin數位資產交易所不詳帳戶且遭盜賣，李男報警並要求Maicoin凍結贓款，但贓款仍被匯出，一個月後警方查出竟是李男兒子找上中國「黑客在線」的駭客，破解密碼盜賣，怒告兒子竊盜，另向Maicoin求償，但士林地院以業者已執行雙層驗證，日前判免賠。
<回到新聞條列重點>
微軟IIS 6.0舊漏洞再被用來挖礦 iThome
IIS 6.0主要是Windows Server 2003的服務，微軟已於2016年終止支援支援服務，去年3月IIS 6.0被揭露漏洞，近來研究人員發現該漏洞又遭利用，用以進行挖礦攻擊。
<回到新聞條列重點>
搶劫流行搶比特幣？ 高投報難追查！刑案量恐持續攀升 ETtoday新聞雲
14日晚間，新北市板橋龍華會館遭黑衣人連開7槍，警方調查後發現與比特幣投資糾紛有關。近年來虛擬貨幣突然崛起成為投資市場新寵兒，但也因為高投報率，引起有心人士覬覦，加上攜帶方便、交易方便、隱私高等特性，替投資者帶來不少隱藏的危機。有資深刑警不諱言，虛擬貨幣帶來的刑案恐怕只會越來越多。
<回到新聞條列重點>
物聯網漏洞！駭客從溫度計侵入賭場資料庫，撈出豪賭大戶名單 INSIDE
根據 Business Insider 報導，英國知名資安公司 Darktrace 執行長 Nicole Eagan 在上週的華爾街日報執行長會議活動中出席，並呼籲各界應更加重視物聯網安全。
<回到新聞條列重點>
透過電線偷取電腦資料，不連網也會中招 科技新報網
以往要保密重要資料，方法就是物理斷網，例如儲存有比特幣錢包編碼、國家機密的電腦，只要斷絕網路連接，就不怕數據被盜。但繼透過熱力與電波之後，以色列科學家發現，利用電線傳遞電流的變動，經過獲取分析後，可從中盜取電腦數據。
<回到新聞條列重點>
壯警苦心扮仙女 宣導「竄改電郵詐騙」 台灣蘋果日報網
刑事局今天發佈預警，表示近來有國內大盤食品商因電郵遭駭客鎖定被詐騙貨款。警方指出，這類手法起因於國外供貨廠商的電子信箱遭駭，歹徒取得供貨商與訂貨客戶的電郵對話紀錄後，另外偽造一個與供貨商非常類似的電子信箱，寄送電郵給訂貨客戶，謊稱帳戶變更，要求將貨款匯入另一個帳戶（實際上為詐騙集團帳戶）。
<回到新聞條列重點>
俄羅斯法院下令封鎖 Telegram INSIDE
莫斯科一個地方法院在星期五頒令，在俄羅斯境內封鎖通訊軟體 Telegram 的服務，直到 Telegram 滿足俄國聯邦安全局（FSB）要求，交出解密用戶訊息的密鑰為止。
<回到新聞條列重點>
數萬CMS網站被駭，小心假更新訊息騙你下載惡意程式 iThome
Malwarebytes Labs首席惡意軟體情報分析師Jérôme Segura指出，這個被稱為FakeUpdates的活動，駭客會對使用CMS建立的網站，植入惡意Javascript程式碼啟動一連串的感染行為。
<回到新聞條列重點>
國外立法 植入木馬軟體 監控嫌犯 聯合報
LINE、微信、臉書等通訊的軟體「庇護」，讓檢警過去靠著監聽辦案手法式微，有檢察官建議，引進國外的偵查用木馬程式，否則台灣淪為詐欺、毒品王國是遲早的事。
<回到新聞條列重點>
防電郵被入侵 專家：裝防毒登入電腦後加倍小心 東網 (台灣版)
21歲印度生涉入侵教授電郵被捕。香港互聯網協會網絡保安及私隱小組召集人楊和生指，要進入他人電郵，主要有2個途經，最簡單的是「估密碼」。
<回到新聞條列重點>
Adobe Flash Player存在安全漏洞，允許攻擊者在受害系統上執行任意程式碼，請儘速確認並進行更新[轉技服中心資訊] Twcert
Adobe釋出的四月份更新中包含3個Adobe Flash Player可能遭遠端執行程式碼的安全漏洞(CVE-2018-4932、CVE-2018-4935及CVE-2018-4937)，攻擊者可藉由誘騙使用者點擊含有惡意Flash的檔案或網頁等，進而導致遠端攻擊者可在受害系統上執行任意程式碼。
<回到新聞條列重點>
你以為裝完所有手機安全更新，其實沒有，研究發現：多款Android手機的安全更新資訊不實 iThome
從大廠三星、Sony到HTC及中國手機等Android手機提供用戶的安全更新資訊，皆或多或少有誇大不實的問題，導致用戶以為自己完成更新，但其實沒有完成，而曝露於安全風險之中。
<回到新聞條列重點>
GDPR實施在即 駭客鎖定跨國企業 CIO IT經理人
趨勢科技日前發表2017年資安總評報告「2017 年資安總評：弔詭的網路威脅」，指出2017年勒索病毒、加密虛擬貨幣挖礦程式，以及變臉詐騙（BEC）數量持續攀升，成為網路犯罪集團的主要攻擊手法。
<回到新聞條列重點>
ATM吐鈔的攻擊事件頻傳，最早在俄羅斯境內，駭客利用相同手法入侵歐洲、亞洲、拉丁美洲和墨西哥，日前全球兩大ATM提款機製造商DieboldNixdorf和NCRCorp.發出警告，指出美國境內發生的ATM吐鈔攻擊與2017年10月發生在墨西哥境內的攻擊手法相似，恐已遭駭客鎖定。
<回到新聞條列重點>
防主管變臉詐騙 趨勢科技首創AI技術防電子郵件詐騙 台灣蘋果日報網
網路資安解決方案廠商趨勢科技今天發表一項專為提升變臉詐騙攻擊防範能力的最新技術。這項以人工智慧（AI）為基礎的創新技術將整合至趨勢科技多項產品當中，應用在發現專門假冒公司執行長或其他重要人士名義所發出的電子郵件時提供警告。
<回到新聞條列重點>
新型 Android 挖礦程式現身 用盡全力榨乾你的手機電量、CPU 電腦王阿達
雖然數位貨幣相較於半年前已經沒那麼火紅，但變換成現金的匯率還是相當誘人，因此非法的挖礦程式依舊層出不窮！前陣子趨勢科技就公佈他們發現到最新的 Android 挖礦程式 ANDROIDOS_HIDDENMINER ，使用者不小心安裝之後，它會隱藏在背景不斷佔用你 Android 行動裝置的 CPU 進行挖礦，直到電池沒電或是發熱當機為止，所以說如果你覺得最近手機電池很快就沒電，搞不好就是有挖礦程式在作祟。
<回到新聞條列重點>
救命啊！小編親自示範在台灣 Spotify帳號遭駭被盜，該如何即刻救援？ buzzbooklet
清晨，台北的天空還下著雨，剛起床的筆者一如往常查看手機上有沒有任何通知。此時一封E-Mail吸引了我的注意，而當時的筆者還不知道，原來自己早已陷進了一場資安危機中卻不自覺。
<回到新聞條列重點>
行動金融時代來臨 小心帳密被盜風險 三立新聞網
現在有不少人使用銀行提供的APP進行轉帳，或是使用行動支付APP。根據國發會最新調查顯示，台灣民眾12歲以上的上網率突破八成，手機已成為民眾日常生活主要的上網工具，許多消費者選擇在手機裝置中下載行動銀行APP，以行動銀行執行重要的企業及個人活動。
<回到新聞條列重點>
俄入侵路由器 英美：恐為未來網攻鋪路 中央社即時新聞網
英國和美國今天警告，俄國政府資助的駭客正在入侵各國政府和商業電腦網路的重要硬體設備，例如路由器和防火牆，賦予他們實際掌控資料流的能力，可能為未來攻擊行動奠定基礎。
<回到新聞條列重點>
沒有洩漏帳密就不會被偷？駭客只需一封郵件就能還原你的密碼！ Ctimes
別再相信「沒在釣魚網頁輸入帳密就不會被盜」的說法，現在駭客只要發這封郵件就有機會還原你的密碼。
<回到新聞條列重點>
僵屍網絡仍是持久的網絡威脅 TTNews大台灣旅遊網
2017年，CenturyLink 威脅研究實驗室平均每天跟蹤到195,000起由僵屍網絡引起的威脅，受影響的單一目標平均達到1.04億個，包括伺服器、電腦、手持設備或其它聯網設備，等等。
<回到新聞條列重點>
川普簽署FOSTA 打擊網路非法性交易卻可能損害言論自由？ 匯流新聞網
美國總統川普（Donald Trump）11日簽署了一項旨在打擊網路性交易的法案FOSTA，要求網路平台如Google、Facebook等對自家平台上的非法性交易負責，卻引起不少爭議。
<回到新聞條列重點>
百慕達將建立監管框架 吸引國際加密貨幣產業進駐 heasay
繼地中海島國馬爾他 (Malta) 成功吸引幣安設點之後，又一島國表示歡迎國際加密貨幣產業，百慕達日前宣布將透過先進的加密貨幣監管及法律框架，使其成為世界重要的金融創新中心。
<回到新聞條列重點>
各國紛紛祭出禁令防制虛擬貨幣洗錢犯罪，臺灣即將跟進，法務部擬把虛擬貨幣納入洗錢防制體系 iThome
利用虛擬貨幣洗錢、犯罪在國際上越加猖獗，美、日、韓、中、印等多國皆祭出法令進行管制。臺灣法務部也在10日正式宣布，擬定將虛擬貨幣納入洗錢防制體系，並召集各主管機管與業者進行研討，納管政策、範圍與方式，將由行政院裁決後實施。
<回到新聞條列重點>
以太幣被盜 業者：用戶須善盡保管密碼責任 台灣蘋果日報網
MaiCoin表示，雙重驗證機制目前在業界已算是相當高的安全標準，李男會發生此情況，無法排除手機被駭入的可能，若是如此，代表當事人的損失並非因MaiCoin的系統漏洞造成，而是用戶沒有做好手機端的資安防護，對於帳戶的安全，用戶也應善盡保管密碼及密碼接收機制的義務。
<回到新聞條列重點>
網路資安問題延燒 YouTube知名頻道Vevo遭駭 電子商務時報網
11日YouTube上的頻道Vevo遭到駭客入侵，除了圖片被換成戴著面具、手拿槍的一群人，頻道的介紹文字也被竄改，還造成多部熱門影片下架，從YouTube暫時消失，雖異常問題回報後已經修復，卻突顯了YouTube資安問題的隱憂。
<回到新聞條列重點>
資安研究：程式碼注入不稀奇，「早鳥」程式碼注入興起 iThome
Early Bird手法卻是於執行緒初始化非常早期的階段，在許多防毒軟體還沒部署Hook前就載入惡意程式碼，而能在不被偵測到的狀態下展開惡意行動。
<回到新聞條列重點>
回應Facebook洩密與假新聞事件 Google：我們不會有這問題 ETtoday新聞雲
針對個資外洩問題， Facebook 創辦人兼任 CEO 馬克.祖克柏(Mark Zuckerberg)親上美國國會作證，卻爆出多項案外案，越來越多人質疑 Facebook 不當使用用戶資訊、做了科技廠最壞的示範；對此，Google 高層稍早在接受訪談的過程中回應，Google從草創期就很重視個資與假新聞問題，因此不會發生類似 Facebook 的狀況。
<回到新聞條列重點>
微軟移除所有Windows更新對防毒軟體的相容性檢查 iThome
微軟在周二釋出的更新中，除了功能問題的修復，也移除了年初微軟針對Meltdown、Spectre漏洞的作業系統更新對防毒軟體的相容性檢查。
<回到新聞條列重點>
身分驗證整合平台Auth0修補token參數核驗破綻與CSRF瑕疵 Twcert
為整合平台間複雜的身分驗證，大型‘Identity-as-a-service’供應商Auth0扮演代理人角色，幫助開發人員連通自家系統和第三方，融合現行主流authentication(認證)和authorization(授權)協定，當第三方登入之際，Auth0的API封裝授權協議，提供統一介面，完成用戶認證流程，再回應系統是否認證成功，經Cinta Infinita研究員滲透測試，查Auth0 authentication出現嚴重安全破綻，藉由token-based認證，駭客得以繞過JSON Web Token(JWT)之audience參數檢查，將token移花接木假冒他人，越權獲得暨控制資料。
<回到新聞條列重點>
被詐騙集團盯上！ 客控垂坤伴手禮「洩資」 tvbs新聞網
新北市的黃小姐控訴，上個月她在網路上訂購垂坤食品的伴手禮，一個月後她卻接到詐騙集團的電話，對方不但自稱是店員，手上還握有黃小姐本人的手機、地址和全名，連她買了什麼都一清二楚，質疑是店家沒有保護好顧客個資，對此業者回應疑似是網站被駭，除了趕緊修補之外，目前也已經關閉網站，避免更多人受害。
<回到新聞條列重點>
34家領先公司簽署打擊網絡攻擊協議，承諾為全球客戶提供平等保護 美通社
華盛頓州雷蒙德2018年4月18日電 /美通社/ — 週二，34家全球技術和安全公司簽署了一項網絡安全技術協議(Cybersecurity Tech Accord)，這是有史以來規模最大的一批公司達成的分水嶺協議，就保護全球所有客戶免受網絡犯罪企業和國家的惡意攻擊達成一致意見。
<回到新聞條列重點>
《數位時代》與《創業小聚》連續三年製作創業大調查，並在2017年決定加入Startup Genome，讓台北代表台灣加入全球調查，其中目的之一，是希望能透過這份調查報告對標出台北創業生態系在世界的位置，並藉由國際調查的分項，瞭解我們所處環境的優/劣勢。
<回到新聞條列重點>
區塊鏈技術讓科學家共享患者健康資訊，同時保障個人資料安全 科技新報網
前醫生在依據乳房攝影判斷乳癌發生的情況下，有四分之一的乳癌無法被及時判斷發現。為了提升乳癌確診的效率，科學家計劃以數百萬包含了健康女性以及患有乳癌的女性乳房攝影資料來訓練人工智慧，希望能夠提升診斷的精確度。就像醫事放射師隨著經驗的累積，能夠增進分辨腫瘤生成與否的能力，隨著更多樣數量更多的資料訓練，提升人工智慧判斷癌症發生的能力。
<回到新聞條列重點>
趨勢科技運用 NetApp 儲存方案 為全球客戶提供最即時的資安防護網服務 iThome
趨勢科技持續使用 NetApp 儲存設備的主因，除具備無須停機即可將新儲存控制器或磁碟櫃新增至既有儲存叢集的能力外，其高達 92% 以上的重複資料刪除率，能讓儲存空間獲得充分利用，發揮 IT 預算的最大價值。
<回到新聞條列重點>
科技業年度盛事 COMPUTEX聚焦六亮點 經濟日報網
台灣科技業年度盛事，2018年台北國際電腦展（COMPUTEX 2018），即將於6月初登場，今年展會將聚焦包含AI（人工智慧）、IoT（物聯網技術應用）、創新與新創（Innovations & Startups）及電競與虛擬實境（Gaming & VR），並新增Blockchain（區塊鏈）、5G元素，總計六大主軸。
<回到新聞條列重點>
臺灣安控產業於美西安全科技展(ISC West 2018)發表 新產品，4家台灣精品廠商展現資訊安全 台灣商會聯合資訊網
由經濟部國際貿易局主辦、外貿協會執行的「臺灣產業形象廣宣計畫」，於美西安全科技展(The International Security Conference & Exposition，ISC West 2018)首日(4月11)日辦理臺灣安控產業新產品發表會，以Safeguard your security為主題，安排台灣精品獲獎廠商慧友電子、奇偶科技、普萊德科技與晶睿通訊發表最新產品與技術，展現台灣安控產實力。
<回到新聞條列重點>
台美國防工業會議 聚焦造潛艦 僑務電子報 (中文版)
美台商會十日在華府宣佈，首次台美國防產業論壇將於五月十日在台灣高雄漢來大飯店召開。與會者將針對造船、資安與航太三大議題進行分組討論。預料美國協助台灣建造潛艦將是會議焦點。
<回到新聞條列重點>
顧立雄：純網銀明年可上路 監理標準與一般商業銀行相同，不會因服務模式不同而有差別待遇 工商時報
金管會擬開放兩張純網路銀行執照，預計業者明年就可以申請，資本額門檻為新台幣100億元。金管會主委顧立雄15日表示，為讓金融消費者能夠安心，金管會對純網銀的監理標準會跟一般商業銀行一樣，純網銀不可能因為服務模式不同，而在金融監管上有差別待遇。
<回到新聞條列重點>