本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 兒童遊戲平台,竟出現違禁性遊戲!Roblox《機器磚塊》有自己的貨幣,也有網路釣魚和虛擬性愛
- 為何你該關心網路資料隱私權?五個提高資料安全的建議
- 《上週資安新聞周報》NFT遊戲Axie Infinity被盜走逾6億美元的加密貨幣/微軟不放水了！出手封殺 Windows 11「偷渡升級」 /豐田也中招！2度遭駭客入侵 台廠怎麼防？
- 2021年趨勢科技攔截逾 940 億次威脅,網路釣魚翻倍,三產業最常成為勒索目標
資安新聞精選
勒索軟體事件激增 最新調查：企業高層對網路安全仍缺乏認識 匯流新聞網
《科技》趨勢：應強化WFH資安防護 雅虎奇摩
Discord上包括無聊猿猴在內的多個NFT專案遭駭客入侵並廣播詐騙訊息 iThome
周杰倫被盜損失「千萬」 官方證實周董NFT損失慘重 中時電子報網
今年第1季投資詐騙簡訊超過60萬筆 NFT詐騙是新手法 經濟日報網
別亂點！烏克蘭捐款、投資NFT全被騙 揭3大網路詐術 tvbs新聞網
愚人節網路詐騙 三大關鍵「雷區」現形 經濟日報網
CISA 警告：連網 UPS 不斷電系統已成為企業安全新破口 科技新報網
資安機構曝這些APP藏木馬 詐騙、竊個資還會遠端幫下載惡意程式 匯流新聞網
路透：美警告企業 卡巴斯基軟體可能遭俄國利用 中央通訊社
【資安日報】2022年3月31日，Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果 iThome
最新勒索軟體鎖定Jupyter Notebook Web App iThome
微軟公布Windows 11與Windows 365整合功能 iThome
微軟推資安規格Office 365 Government Secret 政府處理數位文件更安全 聯合新聞網
微軟升級Windows 11、Windows 365服務 加入這些功能因應後疫情時代來臨 聯合新聞網
Microsoft Teams 五年有成全球用戶 2.7 億，軟硬體生態系打造混合辦公體驗 科技新報網
用戶死守舊版本？微軟 Windows 11 市佔成長驚見不到 1% 自由時報電子報
臉書對加密幣不死心 Meta規劃「祖克幣」用於App內打賞 經濟日報網
駭客偽造緊急資料請求以向蘋果與Meta等業者索取用戶個資 iThome
2021年電腦及資服業營業額逾4500億 創歷史新高 中央通訊社
德國破獲全球最大暗網市集Hydra Market，美國著手展開制裁 iThome
鴻海MIH發布3月工作進度報告 會員數突破2300 自由時報電子報
冒用健康存摺詐騙又有新招！ 健保署提醒要求輸入銀行帳號都是假的 自由時報電子報
電子郵件行銷公司MailChimp遭駭，牽連加密貨幣業者 iThome
最新資料刪除軟體導致Viasat歐洲通訊衛星斷線 iThome
黃明志YT遭駭13年心血成泡影 60億點擊一夜蒸發怒比中指嗆駭客 自由時報電子報
Lapsus$持續作案，駭入IT廠商Globant並公布70GB客戶專案程式碼 iThome
GitLab修補允許駭客接管用戶帳號的重大漏洞 iThome
明知含有遠端存取漏洞還不修補，Wyze遭抨擊 iThome
蘋果修補兩個可能已被開採的零時差漏洞 iThome
Spring Core出現零時差遠端程式攻擊漏洞 iThome
【資安日報】2022年4月6日，Spring漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則 iThome
雲端系統成為加密挖礦黑客新戰場 LIFE生活網
駭客企圖開採微軟雲端服務上的SpringShell漏洞 iThome
SEMI攜英國考文垂大學發布半導體資安調查報告 iThome
守護網路安全不分你我，公部門、關鍵CI、民間都要投入 美國升起資安防護罩 iThome電腦報周刊
消費調查近9成人傾向非現金支付 但1成5不信任金融資安 今日新聞
金管會規定上市櫃公司年底應設「資安長」，但資安長的職責與角色目前還很模糊 T客邦
勒索軟體事件激增 最新調查：企業高層對網路安全仍缺乏認識 匯流新聞網
Sophos發表和Tech Research Asia合作進行的《亞太地區和日本網路安全未來》第三版調查報告，指出儘管勒索軟體的發生率、影響和成本不斷上升，但企業高層缺乏對網路安全的認識，並普遍認為公司永遠不會受到攻擊。
資訊安全問題近年漸漸浮上檯面，獲得更多人的關注，而不可諱言的是，COVID-19(新冠肺炎)疫情為各界帶來更多潛在的攻擊態勢，其中層出不窮的莫過於針對遠距辦公模式的網路攻擊。根據趨勢科技發布的2021年度網路資安報告，當中提到，隨著駭客持續提高針對企業與個人的攻擊頻率，企業數位基礎架構與遠端工作者將面臨更高的資安風險。
《科技》趨勢：應強化WFH資安防護 雅虎奇摩
疫情衝擊之下，在家工作（WFH）或遠距工作已成為全球企業積極採用的全新工作模式，不過隨之而來的資安風險也提高。趨勢科技最新資安報告就指出，在家工作者遭受到釣魚的風險通常比在辦公室上班的員工更高，台灣更是去年智慧家庭連網最常受到內外部攻擊的前三名國家，在現今「在家上班」成為普遍工作型態之時，智慧家庭網路安全應被更加重視。
在資安風險管理架構中，資料外洩防護（Data Loss Prevention，DLP）可說是必備的機制之一，過去資料外洩防護部署思維是依據防火牆定義內網與外網隔離，如今的混合辦公模式，開始採用雲端平台提供的工具與檔案儲存空間，對此，趨勢科技資深技術顧問吳宗霖指出，資料外洩防護措施主要用於偵測與保護企業內對外的行為，當工作型態轉變成混合辦公後，IT必須打破以往邊界防護的邏輯。
Discord上包括無聊猿猴在內的多個NFT專案遭駭客入侵並廣播詐騙訊息 iThome
Discord上包括無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）在內的多個NFT專案在4月1日傳出遭駭事件，駭客於這些NFT專案的官方伺服器上發布詐騙訊息，要求使用者支付以太幣以鑄造新的NFT，除了BAYC之外，Nyoki Club、Shamanz、Doodles及Kaiju Kingz等NFT專案也都傳出災情，但不確定有多少用戶受害。
周杰倫被盜損失「千萬」 官方證實周董NFT損失慘重 中時電子報網
台灣歌壇天王周杰倫除了唱歌之外有很多副業，最近他就跟上元宇宙熱潮，投資當下最熱的NFT（非同質化代幣），沒想到在愚人節這天周杰倫發現自己的NFT被釣魚網站偷走了，更透露那是黃立成之前送的超夯「無聊猿」，周杰倫吐露心聲：「我以為愚人節在跟我開玩笑…結果去查看，真的沒了…」。
今年第1季投資詐騙簡訊超過60萬筆 NFT詐騙是新手法 經濟日報網
愚人節不當「愚」人！全球網路資安解決方案領導廠商趨勢科技在愚人節前夕拆穿最新網路謊言騙術，提醒資安素養三大要點。趨勢科技觀察，2022年第1季最常見的網路詐騙手法大多出現在「投資」、「捐款」與「交友」行為中，有心人士利用熱門話題設下謊言圈套，呼籲民眾小心提防，避免落入「愚」人的詐騙陷阱。
別亂點！烏克蘭捐款、投資NFT全被騙 揭3大網路詐術 tvbs新聞網
網路詐騙層出不窮，資安廠商趨勢科技公佈最新網路謊言騙術，2022年第一季最常見的網路詐騙手法大多出現在「投資」、「捐款」與「交友」行為中，有心人士利用熱門話題設下謊言圈套，呼籲民眾小心提防，避免落入詐騙陷阱，也提醒資安素養3要點，辨別真偽。
愚人節網路詐騙 三大關鍵「雷區」現形 經濟日報網
趨勢科技觀察，2022年第一季最常見的網路詐騙手法大多出現在「投資」、「捐款」與「交友」行為中，有心人士利用熱門話題設下謊言圈套，因此呼籲民眾小心提防，避免落入「愚」人的詐騙陷阱。
CISA 警告：連網 UPS 不斷電系統已成為企業安全新破口 科技新報網
駭客「尋隙」攻擊並非什麼新鮮事，但這也突顯了駭客會不時想方設法地挖掘各種可能的攻擊管道與目標。最重要的是，我們必須隨時掌握駭客最新的攻擊「喜好」與趨勢，才能精準地加以反制。從過去的駭客攻擊史可以知道，凡是能連網的電腦裝置、網通設備、儲存裝置或 IoT 裝置全都曾被駭客「臨幸」過，根據美國網路安全暨基礎設施安全局（CISA）週二發布的最新警告指出，駭客現在開始動起連網 UPS 不斷電系統的壞腦筋，所以企業今後也需要將 UPS 納入安全防護網的範疇內。
資安機構曝這些APP藏木馬 詐騙、竊個資還會遠端幫下載惡意程式 匯流新聞網
現代人人手一機，許多重要個資都儲存在這個與自己時刻都不分離的裝置中，不過這麼多重要資料存放在其中，真的安全嗎？近日國外資安公司就發現，有幾個知名APP都藏有木馬程式，用戶個資、帳戶將可能被竊取。
當混合工作模式逐漸興起，確保隨處辦公的資料安全性便成了當前企業IT與資安人員必須正視的議題。趨勢科技資深技術顧問吳宗霖指出，工作模式變得彈性後，員工無須進入辦公室也可以處理公務，確實有必要重新審視機敏資料保護標的與工作流程，趨勢科技基於端點防護引擎優勢，增添了整合式資料外洩防護（Integrated Data Loss Prevention）機制，以簡化複雜的部署過程，為儲存中、使用中、傳輸中的機敏資料增添控管措施。
路透：美警告企業 卡巴斯基軟體可能遭俄國利用 中央通訊社
一名美國高階官員和2名知情人士告訴路透社，俄羅斯2月24日入侵烏克蘭後，美國政府隔天便開始私下警告一些美國企業，莫斯科可能利用俄國資安公司卡巴斯基的軟體來造成傷害。
【資安日報】2022年3月31日，Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果 iThome
Java框架Spring出現了極為嚴重的漏洞SpringShell，而引起許多資安人員的高度關注；再者，美國衛星通訊服務業者Viasat，也針對2月24日遭駭而影響衛星網路用戶的事故做出說明。
最新勒索軟體鎖定Jupyter Notebook Web App iThome
安全廠商Aqua攔截到的勒索軟體，不是使用惡意程式作者常用的GoLang、Dang、Rust及Nim開發，而是以Python撰寫。它利用組態不當的問題存取進Jupyter Notebook環境，加密所有檔案後、再自我刪除以免被發現。
微軟公布Windows 11與Windows 365整合功能 iThome
微軟本周說明Windows 11即將增加的新功能，進一步強化本地端Windows和雲端服務Windows 365的整合。Windows 365總經理Wangui McKelvey指出，隨著COVID-19疫情消褪，企業轉向更永久的混合工作策略，需要新的整合功能來適應彈性作業。為此，微軟很快將會有一批新功能，可進一步整合PC及雲端，支持Windows無縫轉換又不犠牲安全性。
微軟推資安規格Office 365 Government Secret 政府處理數位文件更安全 聯合新聞網
過去針對政府機構使用需求，分別推出Azure Government Secret與Azure Government Top Secret兩種安全層級的雲端服務之後，微軟稍早再次針對政府數位文書資料處理需求，推出符合Impact Level 6 (IL6)資安規格的Office 365 Government Secret服務，讓政府機構能在更安全且符合使用規範情況下處理各類數位文件資料。
微軟升級Windows 11、Windows 365服務 加入這些功能因應後疫情時代來臨 聯合新聞網
微軟在去年推出的Windows 11作業系統加入諸多對應混合工作模式功能，並且宣布推出可對應各類連網裝置使用的Windows 365雲端PC服務之後，此次更進一步針對更多後疫情時代使用需求做了諸多升級。
Microsoft Teams 五年有成全球用戶 2.7 億，軟硬體生態系打造混合辦公體驗 科技新報網
微軟的一站式溝通協作平台 Microsoft Teams 問世 5 週年了！做為團隊溝通的中心，持續擴大軟硬體生態系及對第三方 App 支援，目前全球每月有 2.7 億活躍用戶在商用環境下運用 Microsoft Teams 工作。
用戶死守舊版本？微軟 Windows 11 市佔成長驚見不到 1% 自由時報電子報
根據 AdDuplex 網站最新統計，微軟 Windows 11 在上市後市佔率快速成長，近期卻開始停滯成長，單月增加比例甚至小於 1%。
臉書對加密幣不死心 Meta規劃「祖克幣」用於App內打賞 經濟日報網
金融時報周三（6日）報導，臉書母公司Meta已經著手策劃虛擬代幣與貨幣，在旗下平台流通。代幣用來獎賞平台上的創作者，也準備進行借貸或其他金融服務。在這之前，臉書曾經發表過雄心勃勃的加密幣方案，後來推動失敗而放棄。
駭客偽造緊急資料請求以向蘋果與Meta等業者索取用戶個資 iThome
根據彭博社報導，企圖向蘋果與Meta等業者騙取用戶資料的駭客，會先駭入執法機關系統取得緊急資料請求信件加以改造，再以政府機關名義發詐騙信給網路服務供應商、社交平臺或電信業者，以盜取特定用戶個資。
2021年電腦及資服業營業額逾4500億 創歷史新高 中央通訊社
疫情推升遠距商機，進而帶動資安防護及網路架構等相關軟硬體需求成長，經濟部今天表示，電腦及資訊服務業去年營業額達新台幣4534億元，寫下歷史新高紀錄，年增12.4%，增幅為2008年以來最大。
德國破獲全球最大暗網市集Hydra Market，美國著手展開制裁 iThome
德國打擊網路犯罪的中央辦公室（ZIT）與德國聯邦刑警（BKA）在周二（4/5）宣布，在與美國各執法機構自去年8月聯手調查暗網市集Hydra Market之後，已於本周接管了Hydra Market位於德國的伺服器基礎設施，扣押了價值2,300萬歐元的比特幣，同一天美國財政部亦宣布針對Hydra Market及相關的加密貨幣交易平臺Garantex展開制裁。
鴻海MIH發布3月工作進度報告 會員數突破2300 自由時報電子報
鴻海（2317）主導的MIH開放電動車發布3月份工作小組進度報告，範圍包括先進駕駛輔助系統、傳動系統、電子電氣架構、無線軟體更新、雲服務與開發平台，以及智慧座艙與車載應用，截至3月底，共有來自63個國家與地區、共2313間軟硬體廠商和企業加入MIH。
冒用健康存摺詐騙又有新招！ 健保署提醒要求輸入銀行帳號都是假的 自由時報電子報
健保署表示，最近接到民眾檢舉，有不肖分子冒用健保署的名義發送簡訊，要求更新健保卡資料，點入連結出現仿冒的健保快易通、健康存摺畫面，需要輸入個資與金融帳號及密碼，提醒千萬不要上當。
電子郵件行銷公司MailChimp遭駭，牽連加密貨幣業者 iThome
電子郵件行銷公司MailChimp在3月下旬遭到駭客入侵，駭客存取了該公司的內部工具，進而取得MailChimp客戶的API金鑰，藉由MailChimp行銷平臺鎖定加密貨幣業者展開網釣攻擊，加密貨幣硬體錢包業者Trezor已確定受到牽連，多名Trezor用戶在不知情的狀況下交出了自己的助記詞（Seed Words），而讓駭客盜轉了他們的加密貨幣。
最新資料刪除軟體導致Viasat歐洲通訊衛星斷線 iThome
2月底俄羅斯侵略烏克蘭不久，美國公司Viasat的高吞吐量通訊衛星KA-SAT位於烏克蘭境內的數據機遭到攻擊斷線，接著法國有近9,000家用戶、以及歐洲電信衛星（Eutelsat）1萬多名用戶網路斷線，並導致德國5,800多架用於發電的風機無法遠端監控與控制。此次攻擊起因雖然眾說紛紜，但一直沒有技術細節公布。但SentinelOne發現肇禍者是最新的資料刪除程式。
黃明志YT遭駭13年心血成泡影 60億點擊一夜蒸發怒比中指嗆駭客 自由時報電子報
馬來西亞鬼才創作歌手黃明志經營YouTube頻道13年，擁有327萬訂閱戶，沒想到昨天爆出他的頻道被駭，所有影片消失，累積60億點擊量一夜蒸發，由於疑似是遭俄羅斯駭客所盜，因此他怒比中指嗆駭客：「Fxxk you！我們支持烏克蘭。」把俄羅斯侵略烏克蘭的怒氣一起發洩。
Lapsus$持續作案，駭入IT廠商Globant並公布70GB客戶專案程式碼 iThome
上周遭英國警方逮捕疑似特定成員的駭客組織Lapsus$並未因此歇手，本周稍早又再公布Google、Meta、DHL的委外開發商Globant的系統密碼，以及疑似其客戶專案的原始碼超過70GB。
GitLab修補允許駭客接管用戶帳號的重大漏洞 iThome
針對可被駭客接管帳號的重大安全漏洞CVE-2022-1162，GitLab除了發布修補也同步重設特定用戶的密碼，並釋出腳本程式協助管理員辨識哪些使用者帳號受到影響。
明知含有遠端存取漏洞還不修補，Wyze遭抨擊 iThome
資安業者Bitdefender公開2019年通報3項家用監視器Wyze Cam漏洞細節給Wyze Labs的過程，其中包含1項允許未經身分認證存取SD卡的漏洞，並揭露Wyze Labs直至今年才全數完成修補。
蘋果修補兩個可能已被開採的零時差漏洞 iThome
蘋果於3月31日釋出了macOS Monterey 12.3.1、iOS 15.4.1與iPadOS 15.4.1，這是蘋果的緊急安全更新，修補了兩個可能已被駭客開採的安全漏洞。
Spring Core出現零時差遠端程式攻擊漏洞 iThome
針對存在於Spring Core的零時差漏洞，資安業者建議在官方修補出爐前，Spring框架用戶先藉由限制危險的DataBinder參數，以暫時緩解概念性驗證攻擊程式曝光造成的安全風險。
【資安日報】2022年4月6日，Spring漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則 iThome
Java框架Sping重大資安漏洞攻擊態勢持續受關注，有資安業者指出有16%的企業組織面臨針對SpringShell漏洞的嘗試性攻擊；資安防護態勢本日有兩則消息受關注，一是Go語言揭露如何減緩軟體供應鏈攻擊，一是MITRE ATT&CK第四輪評估計畫結果出爐。
雲端系統成為加密挖礦黑客新戰場 LIFE生活網
報告顯示，越來越多黑客會尋找及利用已暴露的事件漏洞，並透過暴力破解取得 SecureShell（SSH）登入憑證，以入侵雲端資產進行挖礦。被鎖定目標的常見特徵包括在雲端環境部署的雲端軟體已經過時、雲端資訊保安環境欠佳及對維護雲端服務安全的知識不足等，令黑客更容易利用漏洞取得系統存取權限。
駭客企圖開採微軟雲端服務上的SpringShell漏洞 iThome
微軟周一（4/4）指出，該公司定期會監控旗下雲端基礎設施與服務的攻擊行動，而自從Spring Core漏洞被揭露後，微軟便在其雲端服務上追蹤到有少數針對Spring Cloud與Spring Core漏洞的攻擊嘗試。
SEMI攜英國考文垂大學發布半導體資安調查報告 iThome
隨著全球對半導體的需求增加，如何保護半導體產業鏈免受資安威脅成為了各國至關重要的課題。SEMI國際半導體產業協會攜手英國考文垂大學(Coventry University)未來交通與城市研究所(IFTC)系統安全組(SSG)共同啟動半導體資安調查計畫，一探驅動企業和消費者選用電腦資安硬體背後的考量因素。
守護網路安全不分你我，公部門、關鍵CI、民間都要投入 美國升起資安防護罩 iThome電腦報周刊
資安即國安不僅是臺灣主推的網路安全政策，也是世界趨勢，在爆發烏克蘭戰爭的局勢之下，美國總統拜登3月下半發布公告，宣示做好網路安全防護，要求企業、關鍵基礎設施業者必須積極提升防護力，並頒布全國資安防護指引計畫Shields Up。
消費調查近9成人傾向非現金支付 但1成5不信任金融資安 今日新聞
新冠肺炎疫情加速行動支付使用，根據Money101最新「2022消費者支付調查」結果顯示，有近5成消費者主要以行動支付及電子錢包為主，但也有11.9%不信任金融資訊安全，仍會使用非現金支付也有11.9%，另有4%完全不信任金融資訊安全，僅以現金交易。不過，有高達90%消費者表示未來將持續且更常使用非現金支付工具，其中44.4%表示將全面改以非現金支付為主，46.3%現金與非現金支付同時並存。
金管會規定上市櫃公司年底應設「資安長」，但資安長的職責與角色目前還很模糊 T客邦
近日台灣微軟由 Microsoft 365 事業部副總經理朱以方，針對上市櫃公司「資安長」新角色問題分享台灣產業資安現況，亦邀請日本網路安全創新委員會代表理事梶浦敏範 Kajiura Toshinori，以及微軟亞洲首席資安長花村実 Hanamura Minoru，闡述日本企業設立資安長的過程與經驗。
🔴訂閱資安趨勢電子報
