本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 什麼是無檔案病毒（Fileless Malware）攻擊?
- 利用機器學習來對 Gh0st RAT 變種的惡意網路流量分群 (Clustering)
- 勒索病毒家族數量減少,但感染為何持續發生?
- 垃圾郵件舊瓶裝新酒,專挑冷門檔案格式夾帶惡意附件
- 起死回生的Emotet銀行木馬程式,在全球建立了721個非重複的 C&C 伺服器
媒體資安新聞精選:
資訊月登場 720度虛擬飛行體驗超吸睛 中央通訊社
資訊月登場 主題館 4 大亮點齊發 Pchome 新聞
電競筆電三萬有找 資訊月懶人包一次看 ETtoday新聞雲
樂齡智慧生活教室 以科技守護健康 工商時報
惡意廣告攻擊行動在48小時內挾持3億次的行動瀏覽期間 iThome
俄廣告詐騙集團橫行 美公司損失數千萬美元 中央廣播電臺
Mirai 殭屍網路捲土重來，這次瞄準Linux伺服器 iThome
有半數釣魚網站都會讓你以為它是安全的 Engadget中文版
微信新詐騙「語音複製」多人中招 山寨朋友圈僅需5秒 ETtoday新聞雲
銀行木馬研究報告 銀行木馬Emotet已在全球建立了721個C&C伺服器 iThome Weekly電腦報
使用者資安意識倒退嚕！75％會在多個應用系統配置相同密碼 iThome
指紋辨識就安全了嗎？研究：AI能產生以假亂真的假指紋 iThome
【區塊鏈】新犯罪浪潮？駭客透過電話號碼竊取價值百萬美元加密貨幣 匯流新聞網
研究人員破解了德國晶片身分證的線上驗證程序 iThome
美國大選期間，研究：6%的Twitter帳號散播31%不可靠的訊息 iThome
GDPR施行後的法遵議題 落實GDPR，從隱私工程做起 iThome Weekly電腦報
Uber消費者個資遭駭事件 遭英荷開罰117萬美元 經濟日報網
美國郵政署網站API漏洞恐使6000萬用戶資料外洩 iThome
英國線上眼鏡商城Vision Direct個資外洩，偽造Google Analytics惹的禍 iThome
FBI前局長：報復性網路攻擊才能阻擋中國攻勢 台灣蘋果日報網
五電信商挺行動身分識別 經濟日報網
隱藏巨大國家資安問題 紐西蘭政府拒用華為5G設備 ETtoday新聞雲
亞馬遜智慧助手遇瓶頸？WeWork暫停測試企業版Alexa 匯流新聞網
合晶上海EPI廠受電腦病毒攻擊 部分產品出貨遞延數日影響不大 工商時報電子報
軟體供應鏈攻擊再現! 熱門函式庫Event-Stream遭植入比特幣竊取程式 iThome
台灣投票亂象，效仿國外 E 化真的好？那些背後你沒看見的隱憂 數位時代
德國首樁GDPR開罰案例出爐，遭駭的聊天平台Knuddels.de因明文存放密碼遭罰2萬歐元 iThome
美國禁用華為網路設備，傳也要外國盟友別買 iThome
以色列提供駭客技術 《國土報》：助沙國王儲監控卡舒吉及政敵手機 上報
【避免雲端檔案意外曝光，落實資料管理SOP成重要關鍵】保護雲上企業機密，從掌握資料的動態下手 iThome
電子學習平台Moodle出現嚴重CSRF缺陷，TWCERT/CC籲儘速修補 iThome
【機敏資料不當存取權限指派已成為企業雲上的未爆彈】雲端資料儲存不設防，成重大資訊治理隱憂 iThome
WebEx Meetings漏洞沒補好，思科再補一次 iThome
Linux 4.20修正了「幽靈」v2安全性漏洞，但效能會掉50%！ 電腦硬派月刊
數位時代，你是就業市場搶手的人才嗎? 快樂工作人雜誌
研究：大多數ATM只要不到20分鐘就能攻陷 iThome
資訊月登場 720度虛擬飛行體驗超吸睛 中央通訊社
台北資訊月今天起展出6天，其中主題館展示六軸機械手臂結合虛擬實境體感模擬器、台灣設計跨界創新科技、科技整合打造多元生活以及青年創意創新方案等。
<回到新聞條列重點>
資訊月登場 主題館4大亮點齊發 Pchome 新聞
今年台北資訊月今天起到12月3日於世貿一館登場，共有300家廠商參展，使用1000個攤位。包括宏碁、華碩、微星、技嘉、趨勢科技、LG電子、Epson、全國電子、燦坤等大廠參展。
<回到新聞條列重點>
電競筆電三萬有找 資訊月懶人包一次看 ETtoday新聞雲
台北資訊月明天（28日）登場，今年重頭戲就放在電競產品，各家大廠無不拿出主打商品，其中宏碁祭出3萬元有找的電競筆電，華碩推出全球最薄筆電，華為則是產品一元起標，LG展出全系列產品，另外全國電子端出超殺SWITCH和RAZER電競產品。
<回到新聞條列重點>
樂齡智慧生活教室 以科技守護健康 工商時報
台灣進入高齡社會，國內科技廠商、醫療院所都已注意到高齡者照護智慧科技產品及服務的重要性，並積極投入研發。政府部門如教育部、經濟部、衛福部等單位近年來亦針對樂齡科技執行多項計畫，今年資訊月由台北市電腦公會主辦的「樂齡智慧生活教室」展區，即整合政府計畫及民間研發產品，要讓民眾認識及體驗以科技守護健康。
<回到新聞條列重點>
惡意廣告攻擊行動在48小時內挾持3億次的行動瀏覽期間 iThome
Confiant在11月12日觀察到大規模的惡意廣告攻擊行動，該波攻擊鎖定美國地區的iOS用戶，挾持使用者的行動瀏覽至惡意網頁，並以廣告詐騙個資，在48小時內挾持了3億次的行動瀏覽期間。
<回到新聞條列重點>
俄廣告詐騙集團橫行 美公司損失數千萬美元 中央廣播電臺
美國檢察官表示，在這些詐騙團體中，包括2014年成立的Methbot集團，他們在美國多個城市的商業資訊中心，租用1,900 多個電腦伺服器，然後宣稱擁有美國各大媒體的廣告庫存，並將這些廣告賣給各公司廠家，實際上這些廣告是刊登在冒牌媒體網站上，Methbot再偽造大量的虛假點擊，以取得不法收入。
<回到新聞條列重點>
Mirai殭屍網路捲土重來，這次瞄準Linux伺服器 iThome
曾感染數十萬台路由器的殭屍網路程式Mirai，近期有資安業者發現出現變種，攻擊對象從攝影機、路由器轉向Hadoop YARN資源管理伺服器。
<回到新聞條列重點>
有半數釣魚網站都會讓你以為它是安全的 Engadget中文版
網路世界危機四伏，即使瀏覽器都加入了各種不同的功能來盡量保障瀏覽過程，使用者也被教導要認清網址列上有沒有掛鎖圖示來確保資料獲加密保護。然而，PhishLabs 卻發表報告表示有 49% 的釣魚網站其實都有使用與時併進地採用 SSL 加密，所以網址列上都同樣會顯示掛鎖圖示，這比例較去年的 35% 和前年的 25% 要增加不少。
<回到新聞條列重點>
微信新詐騙「語音複製」多人中招 山寨朋友圈僅需5秒 ETtoday新聞雲
微信是大陸最主要的社交平台，利用其詐騙的事件也層出不窮，如今最新詐騙手段「語音複製」讓不少人中招。不法集團通過木馬複製賬號，盜用版不僅可以「一鍵轉發」語音、看到之前聊天記錄後模仿語氣，還能山寨朋友圈，且全程只需5、6秒。
<回到新聞條列重點>
銀行木馬研究報告 銀行木馬Emotet已在全球建立了721個C&C伺服器 iThome Weekly電腦報
趨勢科技指出銀行木馬程式Emotet已在全球建立了721個C&C伺服器, 蒐集分析惡意程式樣本，Emotet至少有兩個平行運作架構，可能具備不同的目的及功能，或是提高被追蹤的難度。
<回到新聞條列重點>
使用者資安意識倒退嚕！75％會在多個應用系統配置相同密碼 iThome
僅管近年來專家大力鼓吹，使用者需要加強自我的資安意識，然而根據提供身分驗證解決方案業者SailPoint的調查，使用者在多項應用系統中採用相同密碼的情況，比起4年之前還要糟糕，平均每4個人就有3個這麼做，而2014年時大約只有一半的使用者採取上述做法。
<回到新聞條列重點>
指紋辨識就安全了嗎？研究：AI能產生以假亂真的假指紋 iThome
研究人員利用生成對抗網路，合成繪製出假指紋，在小面積的指紋辨識、解析度不佳的app及指紋比對的安全層級條件下，可以假亂真，冒充真實的指紋通過辨識機制。
<回到新聞條列重點>
【區塊鏈】新犯罪浪潮？駭客透過電話號碼竊取價值百萬美元加密貨幣 匯流新聞網
隨著比特幣（bitcoin）等加密貨幣成為現代人投資的新選擇，新型犯罪已出現！日前美國舊金山一男子的電話號碼遭到駭客利用，帳戶中價值100萬美元的加密貨幣不翼而飛，該犯罪型態被稱為SIM卡劫持（SIM hijacking，或稱SIM swapping），且這已並非首例。
<回到新聞條列重點>
研究人員破解了德國晶片身分證的線上驗證程序 iThome
德國從2010年開始就頒發鑲有射頻識別（RFID）晶片的數位身分證，並於晶片上存放德國民眾的身分資料，包括姓名、生日、照片，或是指紋等，民眾只要配備讀卡機及晶片身分證的客戶端軟體（eID client）就能使用線上認證功能，存取各式網路服務。
<回到新聞條列重點>
美國大選期間，研究：6%的Twitter帳號散播31%不可靠的訊息 iThome
印第安納大學在美國大選期間，針對Twitter進行研究，發現約有6%的機器人帳號，發佈了31%的不可靠來源訊息。
<回到新聞條列重點>
環顧近年資安事件，往往發生在不可預期的時點，凸顯新式資安威脅不易阻擋；Gigamon台灣區域銷售總監錢旭光認為，癥結在於資安設備的處理效能，無法跟上網速與資料量之倍增，另SSL加密流量與日俱增，亦降低企業對威脅流量的可視性。
<回到新聞條列重點>
GDPR施行後的法遵議題 落實GDPR，從隱私工程做起 iThome Weekly電腦報
從今年的5月25日後，各界對於GDPR的討論已經從條文內容理解，慢慢進步到應該如何落實在企業的層面，隱私不是橫空出世、無中生有的概念，涉及許多的風險控管議題，而當主管監理機關對於企業的隱私保護工作，提出了更多的要求，以及媒體的宣導等，在這些因素的推波助瀾之下，社會大眾、企業越來越重視隱私。
<回到新聞條列重點>
Uber消費者個資遭駭事件 遭英荷開罰117萬美元 經濟日報網
財經網站CNBC報導，英國資訊專員辦公室（ICO）宣布對Uber開罰38.5萬英鎊（約49萬美元），理由是Uber未能在2016年10月和11月的網路攻擊中保護消費者個人資訊。荷蘭資料保護局（DPA）也針對該事件對Uber開罰60萬歐元（約68萬美元）。
<回到新聞條列重點>
美國郵政署網站API漏洞恐使6000萬用戶資料外洩 iThome
安全研究人員在美國郵政署網站上名為Informed Visibility的網頁服務API中發現漏洞，讓有心人士可以查詢曾登入該站的用戶資料，甚或竄改用戶資料。
<回到新聞條列重點>
英國線上眼鏡商城Vision Direct個資外洩，偽造Google Analytics惹的禍 iThome
歐洲線上眼鏡商城Vision Direct證實，他們旗下所有網站出現資料外洩，根據多方資安專家研究的結果，指出網站內的側錄軟體，竟偽裝成幾可亂真的Google Analytics程式碼。
<回到新聞條列重點>
FBI前局長：報復性網路攻擊才能阻擋中國攻勢 台灣蘋果日報網
中國疑似以網路駭客手段，對其他國家的政府或企業發動攻擊，竊取機密資訊。美國聯邦調查局（FBI）前局長佛里(Louis Freeh)呼籲，應對中國進行報復性網路攻擊，以阻止中國對其他國家進行駭客攻擊。
<回到新聞條列重點>
工業自動化與智慧化引入資訊與通訊科技，資安威脅自然也隨之而來。工業生產設施、物聯網、以及關鍵的產業基礎設施，成為駭客新一波鎖定攻擊的目標。
<回到新聞條列重點>
五電信商挺行動身分識別 經濟日報網
未來進行身分認證，有手機號碼也通。台灣網路認證公司設立的TWID 身分識別中心，昨(28)日與五大電信公司簽約，提供「Mobile ID行動身分識別服務」，透過手機可以進行實名認證，未來可望應用在電子化政府各項網路便民服務、金融業線上開戶或純網銀開戶的身分識別、金融交易即時確認、甚至是電商平台、遊戲業等所需要的身分識別，透過手機一指搞定。
<回到新聞條列重點>
隱藏巨大國家資安問題 紐西蘭政府拒用華為5G設備 ETtoday新聞雲
今年3月時，Spark才與華為合作在紐西蘭議會前的街道上展示5G測試站，時任廣播通訊暨數位媒體部部長柯蘭（Clare Curran）也出席參與。而8月澳洲也以安全為由，禁止採用華為5G設備。
<回到新聞條列重點>
亞馬遜智慧助手遇瓶頸？WeWork暫停測試企業版Alexa 匯流新聞網
去（2017）年12月亞馬遜（Amazon）宣布語音助理Alexa不只要待在「家」中，更要走進辦公室為企業與員工效勞，但現在共享辦公室龍頭WeWork卻宣布要暫停測試企業版Alexa（Alexa for Business）。目前雙方都沒有說明為何這項測試已被停止。
<回到新聞條列重點>
合晶上海EPI廠受電腦病毒攻擊 部分產品出貨遞延數日影響不大 工商時報電子報
矽晶圓大廠合晶（6182）旗下上海EPI磊晶矽晶圓廠，近日遭遇電腦病毒的攻擊，所幸並非生產線機台中毒，而是控制數據的少部份電腦中毒，所以生產線仍然可以正常生產。
<回到新聞條列重點>
大陸工業和資訊化部27日發布網路安全管理局對7家電信企業網路與資訊安全檢查結果，結果顯示南京途牛科技有限公司（下稱途牛）、阿里雲計算有限公司（下稱阿里雲）、上海帝聯網路科技有限公司、鄭州市景安網路科技股份有限公司、上海攜程商務有限公司（下稱攜程）、武漢長城寬頻網路服務有限公司（下稱長城寬頻）、成都西維數碼科技有限公司這7家企業存在問題。
<回到新聞條列重點>
軟體供應鏈攻擊再現! 熱門函式庫Event-Stream遭植入比特幣竊取程式 iThome
Event-Stream易手後，被發現植入了可竊取比特幣的惡意程式，會竊取比特幣錢包Copay內私鑰等機密訊息，並將錢包內的比特幣轉至駭客的帳號。
<回到新聞條列重點>
台灣投票亂象，效仿國外 E 化真的好？那些背後你沒看見的隱憂 數位時代
其實線上投票的可行性，早已被討論了十多年時間，近期隨著區塊鏈（Blockchains）技術的興起，更開啟了不同的可能性，究竟傳統的投票方式，能不能從科技中找到解方呢？
<回到新聞條列重點>
德國首樁GDPR開罰案例出爐，遭駭的聊天平台Knuddels.de因明文存放密碼遭罰2萬歐元 iThome
德國聊天平台Knuddels.de在今年7月遭駭，駭客竊取該站用戶資料，包括用戶名稱、密碼、電子郵件、居住地等，由於Knuddels.de以明文存放用戶的密碼，遭德國政府依GDPR開罰2萬歐元。
<回到新聞條列重點>
由於近一年來各企業資訊安全頻拉警報，使得過去因保費高而不太被企業重視的資安險，今年來投保件數及金額已增。產險業表示，資料保護和資訊系統不法行為等和資安來關的險種，今年都較去年倍數成長，預計明年成長率會更高。
<回到新聞條列重點>
美國禁用華為網路設備，傳也要外國盟友別買 iThome
華爾街日報報導，美國近日向義大利、德國、日本等友好國家政府官員及電信業者簡報，說明在資安疑慮下，鼓勵盟友不要購買華為產品，並考慮提供財務協助。
<回到新聞條列重點>
以色列提供駭客技術 《國土報》：助沙國王儲監控卡舒吉及政敵手機 上報
據《國土報》（Haaretz）25日報導，2017年在王儲薩勒曼（Mohammad bin Salman）對王室內部實行反貪大整肅前，以色列網絡情報技術公司「NSO Group Technologies」提供沙國駭入手機的高科技技術。
<回到新聞條列重點>
【避免雲端檔案意外曝光，落實資料管理SOP成重要關鍵】保護雲上企業機密，從掌握資料的動態下手 iThome
容易取得且能快速因應需求的特性，使得許多企業紛紛上雲，但若是員工使用上沒有統一管制與監督的措施，便可能讓無心造成的不當配置，成為潛藏在雲上的威脅。
<回到新聞條列重點>
從企業引進網路應用起，資安同時就成為企業經營重點，而2016年物聯網(IoT)設備遭到大規模資安攻擊，讓日本政府與大企業再度強化資安投資。
<回到新聞條列重點>
電子學習平台Moodle出現嚴重CSRF缺陷，TWCERT/CC籲儘速修補 iThome
開源電子學習平臺Moodle出現跨站請求偽造漏洞，能讓使用者身分驗證後與Moodle連線的期間，被有心人士冒名操作，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）清查後發現，國內至少37所大學採用這套系統，需要儘速檢查並更新軟體。
<回到新聞條列重點>
【機敏資料不當存取權限指派已成為企業雲上的未爆彈】雲端資料儲存不設防，成重大資訊治理隱憂 iThome
近期研究人員不斷發現多起雲端曝露企業重要資料情事，導致任何人都能隨意存取，而造成的原因，竟多半來自於員工無心將企業機密檔案存放在雲端公開資料夾。
<回到新聞條列重點>
WebEx Meetings漏洞沒補好，思科再補一次 iThome
雖然思科在10月已修補了Windows版Cisco Webex Meetings桌面程式的漏洞，但資安業者發現修補並不完全，本周思科再重新修補一次。
<回到新聞條列重點>
Linux 4.20修正了「幽靈」v2安全性漏洞，但效能會掉50%！ 電腦硬派月刊
2018年伊始，由Google的Project Zero (俗稱GPZ)團隊於2018年1月3日在自家部落格率先揭發出「崩潰」(Meltdown)與「幽靈」(Spectre)這兩種嚴重的處理器安全性漏洞事件，致使後來包括Intel、AMD、ARM等處理器大廠都各自發表聲明，來說明應對方式與解決方法。而軟體大廠也紛紛推出各式安全性更新，以嘗試彌平這次的「災難」！
<回到新聞條列重點>
數位時代，你是就業市場搶手的人才嗎? 快樂工作人雜誌
數位化經濟的大肆崛起，讓現代人的生活有了巨大的改變！在公車站，就有電子看板告訴你，下一班車何時來；身上不必帶錢包，只要有「行動支付」就能走到那買到那；「醫指付」App掃描QR code即完成繳費…，未來的改變令人期待，但這些幕後的研發與工作人才，就業市場的企業需求也越來越大，身為年輕世代的你，該如何因應這股數位經濟浪潮，在職場發光發熱？
<回到新聞條列重點>
研究：大多數ATM只要不到20分鐘就能攻陷 iThome
俄羅斯資安業者Positive Technologies測試三大ATM品牌26台ATM，發現85%的ATM可透過網路攻擊，69%可以黑盒子攻擊攻陷，76%可以操控退出自助終端模式以執行攻擊命令，甚至92%的ATM可直接存取硬碟。
<回到新聞條列重點>