本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- Newark 發布全球 IoT 趨勢報告,點出加速 IoT 普及三項重要條件
- 全球 80% 的企業在未來一年之內有可能發生客戶資料外洩事件
- 奧運精彩賽事免費看? 小心駭客坐你旁邊一起看
- 「戴資穎」、「麟洋配」、「國旗正飄揚 台灣No.1」詐騙貼圖趁奧運熱潮四處流竄
- 網站推播通知跳不停?竟是到過成人網站或盜版網站副作用!
- ICS端點威脅報告:全球十大惡意程式偵測量排行,台灣榜上有名
- 資安長(CISO)該如何挑選資安合作夥伴?
資安新聞精選
Wedge Networks獨家防禦技術在網路端即時阻擋未知威脅 電子時報
網路攻擊態勢不減 打好基本功方能治標保本 電子時報
擁抱5G/雲端商機伴隨風險 聯網汽車迎戰資安威脅 新通訊元件雜誌
PYPI上數款惡意套件可竊取用戶信用卡資料或是身份驗證權杖 iThome
美、英、澳聯手公布2020年最常被利用的CVE漏洞 iThome
中國盜賣個資嚴重 遭破獲詐騙集團竟然手握5000萬條資料 新頭殼
副總統、周杰倫都來過 餐飲店總經理臉書被盜：私密資料險外流 自由時報電子報
詐騙搶搭奧運熱 不只貼圖還假冒戴資穎遭狹持簡訊詐騙 台灣蘋果日報網
北美8成主要醫院所安裝的氣動輸送系統含有9個安全漏洞 iThome
法國在3名記者手機上發現間諜程式Pegasu iThome
【資安關鍵字：攻擊手法｜Living Off-the-Land】使用受害電腦現成的合法工具，掩蓋攻擊行動 iThome
網傳LINE、FB收發早安圖要「雙向收費」是假的！手機查明真相用這一招 自由時報電子報
SolarWinds網攻 美聯邦檢察官也受「駭」 Youth Daily青年日報
手機警告「被不明來源入侵攻擊」 網曝真相：點了才出事 tvbs新聞網
給 YouTuber 的神祕委託：散播輝瑞疫苗不實謠言 科技新報網
臺廠Zyxel加入CVE編號管理者，2021上半MITRE CNA計畫成員大增 iThome
企業專網的資安疫苗該怎麼打？ CIO IT經理人
疫情期間網購夯！「幽靈包裹」詐騙暴增11.9％ 消基會：犯罪黑數恐更多 民視新聞網
Exchange Server Proxylogon漏洞可能早在2017年就被駭 iThome
微軟安全警告：出現鎖定 Office 365 用戶且「比以往更狡滑」的新網路釣魚攻擊 科技新報網
PDF藏病毒 北韓網攻南韓政府機構 青年日報
美國防堵工業資安危機 訂定ICS原則 工商時報電子報
48個組織要求FTC禁止企業監控行為，點名Amazon Ring、Alexa iThome
和臉書、LinkedIn共享用戶個資！Zoom賠24億換和解 新頭殼
港口、碼頭也可能成為網路攻擊受害者 台灣新生報
電信線上申辦簡易遭網路犯罪利用，自動扣繳直接盜取民眾存款，警方表示多達160人受害 iThome
Windows 11 推出第一個 Beta 版，持續改善穩定性並修除 Bug LineToday
找回瀏覽器密碼的軟體反被攻擊者用於竊密 惡意NPM套件挾帶密碼復原工具 多達一千多位開發者下載 個人帳密可能遭竊而難以察覺 iThome電腦報周刊
SentinelLabs在伊朗火車系統攻擊事件中發現前所未見的資料抹除程式 iThome
Google 準備刪除休眠開發者帳號與沒有更新的停滯應用程式 電腦王阿達
AWS合作夥伴高峰會首次在台舉辦 電子時報網
PetitPotam漏洞恐讓攻擊者挾持AD網域，多個版本Windows Server都有這個漏洞，且沒有修補程式 iThome
以色列政府開始調查境內駭客公司NSO Group的行為 iThome
美、英、澳警告儘速修補正發生攻擊的漏洞 iThome
Wedge Networks獨家防禦技術在網路端即時阻擋未知威脅 電子時報
近年惡意程式不斷推陳出新，在網路攻擊中時常看到從未見過的惡意程式出現，而這樣的問題在進入高速的5G及萬物聯網世代後，更大幅增加IT與資安工作者的負擔。
網路攻擊態勢不減 打好基本功方能治標保本 電子時報
資安業者趨勢科技今日發表最新「網路資安風險指標（Cyber Risk Index, CRI）簡」報告研究，指出過去一年來網路攻擊風險逐漸升高，全球有 80% 的企業在未來 12 個月內可能發生資料外洩事件。
擁抱5G/雲端商機伴隨風險 聯網汽車迎戰資安威脅 新通訊元件雜誌
聯網汽車與相關技術不斷演進，開啟了不少提升汽車效率和安全的契機。然而，網路犯罪集團也同樣虎視眈眈地開發各種新式攻擊手法，讓聯網汽車與相關技術陷入資安風險中。
PYPI上數款惡意套件可竊取用戶信用卡資料或是身份驗證權杖 iThome
PYPI上被發現存在數款惡意套件，下載次數約為3萬次，功能除了竊取身份驗證權杖之外，還會竊取密碼和信用卡等敏感資訊。
美、英、澳聯手公布2020年最常被利用的CVE漏洞 iThome
美國CISA與FBI、英國NCSC與澳洲ACSC聯手發布資安公告，當中彙整了近年駭客最高度鎖定的30個漏洞，並針對2020年最常被攻擊者利用的近兩年已知漏洞，整理出原廠修補資訊、緩解方式、IoC與偵測方法，並持續呼籲盡速修補。
中國盜賣個資嚴重 遭破獲詐騙集團竟然手握5000萬條資料 新頭殼
中國盜賣個資猖獗，連自己國人也不放過。今年五月，中國江蘇響水人顧宏（化名）的個人資訊在網路上「裸奔」，顧宏從沒想過自己的資料被人當成商品在網上公開叫賣，其中包括姓名、身份證號、聯繫方式、家庭住址、銀行流水等各類個資信息。更讓人驚訝的是還被詐騙集團在個資上備註「有資金需求」將他變成電信詐騙和網絡放貸團伙的重點目標。
副總統、周杰倫都來過 餐飲店總經理臉書被盜：私密資料險外流 自由時報電子報
是因為疫情業績不好轉行賣手機？一名政商關係良好的餐飲業總經理，上個月突然在臉書上PO文賣iPhone手機，不少友人以為是疫情關係，力挺購買，友人得知買手機不收現金、只收點數後，懷疑是詐騙，這名總經理報案後，在南市刑大科技偵查隊協助下，最後花了2天取回帳號，慶幸私密資料沒有外流。
詐騙搶搭奧運熱 不只貼圖還假冒戴資穎遭狹持簡訊詐騙 台灣蘋果日報網
隨著東京奧運賽事白熱化，詐騙集團也伺機搶搭奧運熱潮！根據趨勢科技統計，今年7月已為全球攔截逾1億筆惡意網址，其中包括東京奧運開幕迄今，高達上萬筆與奧運相關的惡意網址四處流竄，手法如推出LINE詐騙貼圖「世界球后戴資穎勇闖金牌戰」、「奧運黃金羽球麟洋配」；偽裝為線上轉播串流平台的釣魚網站，甚至還有「假冒戴資穎遭狹持」的簡訊詐騙等。
北美8成主要醫院所安裝的氣動輸送系統含有9個安全漏洞 iThome
資安業者Armis發現由Swisslog Healthcare開發的氣動輸送管道系統Translogic PTS，含有9個安全漏洞，將允許駭客取得該系統面板的控制權。
法國在3名記者手機上發現間諜程式Pegasu iThome
衛報（The Guardian）於本周報導，法國的網路安全局ANSSI在當地3個媒體記者的手機上發現間諜程式Pegasus的蹤跡，其中一家媒體已準備展開法律行動。
【資安關鍵字：攻擊手法｜Living Off-the-Land】使用受害電腦現成的合法工具，掩蓋攻擊行動 iThome
駭客利用受害電腦裡現成的工具，來執行攻擊行動的有關任務，這種手法被稱作「Living Off-the-Land（LoL）」，目的是藉由這些合法工具來掩護非法行動。
網傳LINE、FB收發早安圖要「雙向收費」是假的！手機查明真相用這一招 自由時報電子報
通訊軟體LINE、FB Messenger與WeChat微信，近日再有假消息被廣泛轉發流傳。以LINE訊息為例，該則內容提到「從8月1日起凡是發問安圖片如早安、午安、晚安圖，要開始雙向收費，而且只要是收到問安圖片發在你的賴群組或微信群組，即使你沒發也同樣收取費用。一個小紅心或一朵小花都是0.2元一個，全群的人都要用出費用，一個大圖片是1元，動感圖片更貴，八月一日正式實施。記住了，都會收費，而且是免密直接劃走，切記！」，對此，台灣事實查核中心近日發布最新查核報告指出，此傳聞訊息為錯誤，其中「動感圖片」、「免密直接劃走」均非台灣用語。
數位化為未來各式應用必然的發展方向，而COVID-19(新冠肺炎)疫情爆發更是推動數位化的進程，再加上新興科技如人工智慧(AI)、物聯網(IoT)、5G等的蓬勃發展，更成為數位化進展的幕後推手。
SolarWinds網攻 美聯邦檢察官也受「駭」 Youth Daily青年日報
美國司法部證實，去年SolarWinds軟體漏洞駭客案中，有27個聯邦檢察官辦公室遭入侵，係該案最新受害者；其中，紐約4名聯邦檢察官辦公室受「駭」最大，至少8成資料外洩，相關資訊恐被用於更多非法行為。
手機警告「被不明來源入侵攻擊」 網曝真相：點了才出事 tvbs新聞網
現代人「人手一機」的景象稀鬆平常，手機、網路的便利性使得許多民眾將重要的個資儲存於手機APP當中，也促使近年來駭客攻擊、詐騙、軟體中毒等事件頻傳。近日，一名女網友於臉書社團發文詢問，自己的iPhone手機時常跳出被不明來源入侵攻擊的通知，讓她不禁懷疑此訊息是否為真，此貼文也引來各大網路行家替她解答。
給 YouTuber 的神祕委託：散播輝瑞疫苗不實謠言 科技新報網
今年5月，擁有約150萬訂閱的知名德國YouTuber兼記者德羅茨曼（Mirko Drotschmann），在Twitter分享某合作邀約，他透露通常都會忽略品牌業配邀請，但這封邀約信實在太不尋常。
臺廠Zyxel加入CVE編號管理者，2021上半MITRE CNA計畫成員大增 iThome
近期國內網通設備大廠兆勤科技宣布，Zyxel成為MITRE通用漏洞揭露計畫的CVE Numbering Authority（CNA）成員，值得關注的是，近年國際間越來越多廠商也看重並加入這項計畫，前年新增17個，去年新增40個，光是今年上半又增加29個。
企業專網的資安疫苗該怎麼打？ CIO IT經理人
5G專網專頻法預計年底上路，持續延燒的疫情更讓企業數位轉型需求超高速成長。然而隨著資訊網路 (IT)、通訊技術 (CT) 與營運科技 (OT) 的高度整合，企業專網未來要面對的資安威脅不亞於COVID 19的刁鑽詭譎，更是企業應提前部署且需長期規劃的領域。
疫情期間網購夯！「幽靈包裹」詐騙暴增11.9％ 消基會：犯罪黑數恐更多 民視新聞網
疫情助長網路電商業績，不少民眾宅在家、網路下單，超商取貨，真的很方便！但現在有民眾收到簡訊，通知到超商領貨付款，回家拆包裹才發現，不是自己訂的貨，但錢已經付出去了，一路追查都找不到來源，只能自認倒楣。消基會提醒，幽靈包裹詐騙案層出不窮，民眾收貨前，要先確認內容物，若是不明包裹，應該直接拒收。
當傳統封閉式的工業場域，因應數位化應用需求必須接取網路，極易衍生資安風險。從過去一兩年來，本土國際級製造業接連遭受勒索軟體感染而登上新聞版面，不難看出以非法手段謀取利益已成為現代駭客攻擊的主要目的，正在積極發展數位轉型的製造業不得不防。
Exchange Server Proxylogon漏洞可能早在2017年就被駭 iThome
Cybereason研究發現，中國駭客組織Group 3390（APT27），在過去幾年攻擊行動所開採的Exchange漏洞，就是今年初引發嘩然的ProxyLogon漏洞。
微軟安全警告：出現鎖定 Office 365 用戶且「比以往更狡滑」的新網路釣魚攻擊 科技新報網
微軟安全情報團隊已向 Office 365 用戶和管理員發出安全警告，提醒特別注意會採用假冒寄件人地址的「狡猾」網路釣魚（Fishing）電子郵件。
PDF藏病毒 北韓網攻南韓政府機構 青年日報
南韓資安公司「ESTsecurity」表示，南韓政府近期遭遇多起電子郵件PDF附加檔暗藏病毒的駭客攻擊，疑與北韓軍方支持的駭客組織「Thallium」有關。
美國防堵工業資安危機 訂定ICS原則 工商時報電子報
美國總統拜登於7月28日簽署一份正式備忘錄，美國政府未來將針對民營企業所使用的工業控制系統（ICS）訂定網路安全監管原則。資誠（PwC）會計師事務所3日指出，台商企業應採用符合OT/ICS產業特性的風險評估方法，藉此達成美國安全信任、韌性設計和全面啟動OT網路防禦等目的。
48個組織要求FTC禁止企業監控行為，點名Amazon Ring、Alexa iThome
包括Fight for the Future、Constitutional Alliance與Consumer Federation of America在內的48個美國維權組織，上周向美國聯邦交易委員會（Federal Trade Commission，FTC）陳情，要求FTC透過其制定規則的權力，禁止企業使用人臉辨識技術，或是在公共場所進行連續性的監控，以及扼止整個產業的資料濫用行為。
和臉書、LinkedIn共享用戶個資！Zoom賠24億換和解 新頭殼
視訊會議軟體Zoom在疫情期間一夕爆紅，卻也傳出不少隱私爭議，近日因涉嫌外洩用戶個資，被美國用戶集體提告，最後Zoom同意付出8600萬美元（約新台幣24億元）換取和解。
港口、碼頭也可能成為網路攻擊受害者 台灣新生報
根據英國航運相關網站引述，美國白宮國家海事網路安全計畫報告顯示，海運業占美國國內生產總值（GDP）的四分之一，一次成功的網路攻擊，恐將中斷日常營運，並對全球經濟造成重大影響，而網路威脅不僅限於船舶及航運公司，有時港口及碼頭也可能成為網路攻擊的受害者，其中包括工業控制系統（ICS）、操作技術（OT）中發現漏洞，例如GPS、警報系統、衛星通信、自動識別系統（AIS）及船舶集成導航系統（VINS）等。
電信線上申辦簡易遭網路犯罪利用，自動扣繳直接盜取民眾存款，警方表示多達160人受害 iThome
疫情期間，有不肖分子詐騙民眾個資上傳電信平臺申辦手機門號，利用小額付款並線上辦理自動扣繳盜取民眾銀行存款，刑事警察局在7月中旬公告偵破此案。值得我們關切的是，電信門號已具備類實名角色，若電信平臺提供的線上申辦與自動扣款服務的審查出現漏洞，值得相關單位與各界重
Windows 11 推出第一個 Beta 版，持續改善穩定性並修除 Bug LineToday
在經歷了數個 Build 版本後，如今的 Windows 11 版本來到 22000.100。這串數字看起來很工整，幾乎可以認定是 Windows 11 的其中一個候選版本。而似乎是為了印證這個說法，微軟選擇在今天將 Windows 11 22000.100 轉到 Beta 頻道，可以說正式確認自此開始 Windows 11 從 Dev 階段前進到 Beta，距離正式版的釋出也已經不遠了。
當前全球製造業皆看重工業物聯網（IIoT）的應用模式，參照國際自動化協會提出ISA-95架構下的獨立運行系統予以串連，逐步邁向智慧製造的目標。以電腦輔助設計模型軟體（CAD）起家的PTC（參數科技），為因應高科技業、石化業、科學農業、智慧交通等客戶數位轉型的需求，針對工業物聯網應用發展三大關鍵技術，包含Kepware工業設備連接、ThingWorx工業物聯網平台、Vuforia擴增實境（AR），協助製造業實現數位化應用。
找回瀏覽器密碼的軟體反被攻擊者用於竊密 惡意NPM套件挾帶密碼復原工具 多達一千多位開發者下載 個人帳密可能遭竊而難以察覺 iThome電腦報周刊
惡意軟體分析解決方案業者ReversingLabs揭露鎖定開發人員的供應鏈攻擊，攻擊者在提供的NPM套件中，挾帶了合法工具ChromePass，來收集受害電腦的瀏覽器帳密。
SentinelLabs在伊朗火車系統攻擊事件中發現前所未見的資料抹除程式 iThome
在今年的7月9日，伊朗的火車系統遭到駭客入侵，駭客變更了火車站的資訊顯示系統，向大眾宣布火車因網路攻擊而誤點了，同時要求乘客打電話去投訴，但螢幕上顯示的投訴電話是伊朗最高領袖阿里·哈米尼（Ayatollah Ali Khamenei）的辦公室。美國資安業者SentinelOne著手分析此一攻擊事件之後，發現駭客使用了前所未見的資料抹除程式Meteor。
Google 準備刪除休眠開發者帳號與沒有更新的停滯應用程式 電腦王阿達
Google Play 商店可說是應用程式共同的「家」，Android 系統也因為有數量眾多、成千上萬的各色應用程式受到全球用戶的喜愛，現在的 Android 平台基本已經走向穩定發展，在數量累積龐大之後，也是時候該來對應用程式的品質把關，於是 Google 即將推出新的政策用以去蕪存菁。
AWS合作夥伴高峰會首次在台舉辦 電子時報網
Amazon Web Services(AWS)將於8月3日首次在台灣舉辦AWS合作夥伴高峰會(AWS Partner Summit)，透過這場盛會，AWS將創造專屬於 AWS合作夥伴(AWS Partner)的平台，以加強、深化AWS合作夥伴社群關係，並讓台灣更多企業瞭解合作共贏的數位轉型趨勢。
PetitPotam漏洞恐讓攻擊者挾持AD網域，多個版本Windows Server都有這個漏洞，且沒有修補程式 iThome
法國資安研究員Gilles Lionel揭露可接管AD網域的漏洞PetitPotam，藉由遠端檔案系統加密（Encrypting File System Remote，EFSRPC）協定，強制網域控制器向惡意伺服器進行NTLM驗證，進而取得網域的控制權。目前微軟已提出緩解措施，但尚未推出修補程式。
以色列政府開始調查境內駭客公司NSO Group的行為 iThome
以色列國防部（MoDIsrael）決定針對因打造間諜軟體Pegasus，而引發軒然大波的NSO Group公司展開調查。
美、英、澳警告儘速修補正發生攻擊的漏洞 iThome
美、英與澳洲安全主管機關昨（28）日發佈聯合網路安全公告，警告一些前幾年的漏洞仍遭駭客持續攻擊，其中有30項，官方呼籲企業用戶儘速修補。