本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 什麼是NFT? 認識「非同質化代幣( Non-Fungible Token)」
- 【詐騙警訊週報】Instagram 流傳「這是你嗎？」詐騙/「你本週出現在5次搜尋裡」LinkedIn 詐騙誘你上成人網站/ MetaMask釣魚郵件
- 企業搶納 CISO(資安長) 資安治理該何去何從？
- CISO(資安長)如何管理 WFH (在家工作/遠距上班)資安問題?
- 【Costco詐騙警訊】慶賀好市多創造840億年營收,每日推出20個AirPods 第3代?一頁式詐騙!
- Android用戶注意,新銀行木馬Octo,能控制你手機
- 《上週資安新聞周報》75% 資安事件曾造成生產線停擺！打造智慧工廠必備「這 5 大資安思維」/挖礦軟體罪犯目標轉向雲端/Android用戶注意,新銀行木馬Octo,能控制你手機
資安新聞精選
沒信心？趨勢科技：超過四分之三台企業認為在 2022 年可能遭駭客入侵 科技新報網
去年出現58個零時差攻擊程式，創歷年新高 iThome
遠距上班駭客進逼 調查：76%台企憂被攻擊得逞 中央通訊社
用戶小心！假 Windows 11 網站出現，更新即被竊取個資 Xfastest Media
新木馬程式偽裝成可在Windows 11安裝Google Play Store的工具 iThome
什麼是 RagnarLocker？FBI 發布舊勒索軟體家族的新警報 iThome
趨勢科技獲Forrester端點偵測及回應領導者 工商時報電子報
加密詐騙再現新招，受害者MetaMask錢包遭掏空，官方呼籲關閉iCloud備份功能 奧丁丁新聞
新創「智趨動」頒發200萬獎學金，推動台灣智慧醫護領域新希望 T客邦
矽谷人才狂跳槽，Web3 為何成全新夢幻工作？ 科技新報網
針對日本市場的 LINE NFT 交易平台上線，首波釋出約 4 萬枚 NFT 科技新報網
超高年薪、獎金還配加密貨幣！矽谷人才狂跳槽，Web3 為何成全新夢幻工作？ 科技報橘網
快更新 Chrome！Google 緊急釋出重要安全更新 自由時報電子報
買網購收這封信？「1動作」洩個資 信用卡直送詐騙集團 今日新聞
惡意程式Tarrask利用Windows排程工具躲避偵測 iThome
美國宣稱是北韓駭客Lazarus盜走了Ronin Network上價值6.15億美元的加密貨幣 iThome
聯盟化趨勢不可擋？ MIH資安工作小組力拚團體戰 電子時報網
2022電動車滲透率提升 帶動關鍵零組件市場需求 電子時報網
智慧車電時代台灣不缺席 mTARC聯盟與產業一同馭視未來 經濟日報網
先進駕駛輔助系統推動車輛安全穩步前行 CompoTech Asia 電子與電腦網
「車輪上的資料中心」加速進入大眾視野 電子工程專輯
微軟、鴻海雙強聯手，Azure HPC助攻，推動台灣自駕車及數位醫療迎向新未來 數位時代
更新先等等！Windows四月更新傳災情 瀏覽器跳「錯誤代碼」無法使用 ETtoday新聞雲
微軟關閉Windows 11家用版SMB1協定支援 iThome
微軟資料治理產品改名為Microsoft Purview iThome
駭客著手開採微軟今年2月修補的Windows Print Spooler漏洞 iThome
微軟成立安卓體驗部門 將進一步整合Win 11和安卓系統 新浪網(臺灣)
微軟CVE-2022-26809漏洞出現攻擊程式只是早晚的問題？專家警告快修補 iThome
Google Cloud 公布永續調查報告: 89% 將永續視為企業轉型關鍵! 點子科技
疫情蔓延企業數位化轉型！DDoS 資安威脅引起重視 科技新報網
【資安日報】2022年4月20日，美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞 iThome
對於資安託管服務信賴程度不足？ATT&CK評估計畫開始獨立評測MDR與MSSP，17家資安業者響應 iThome
MITRE Engenuity新推實驗性評估計畫，首先鎖定欺敵技術領域 iThome
研究人員發現WebEx在用戶關靜音仍在蒐集麥克風資料 iThome
當心！駭客攻擊手法再創新 音訊檔「WAV」成犯罪工具 匯流新聞網
小心新型詐騙冒充逆向轉帳，掏空用戶銀行帳戶 iThome
美國揭露北韓駭客Lazarus攻擊區塊鏈業者手法 iThome
公民實驗室揭露未曾被發現的iOS零點擊漏洞Homage，而英國首相辦公室的手機也遭Pegasus感染 iThome
【資安日報】2022年4月19日，英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體 iThome
創作歌手臉書被駭 眼睜睜看駭客囂張開直播打遊戲 自由時報電子報
駭客用盜來的OAuth權杖存取GitHub的私有儲存庫 iThome
【資安日報】2022年4月18日，攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手 iThome
【投資詐騙花招多3】防範方法懶人包：4招阻擋垃圾簡訊、辨識合法投資管道 雅虎奇摩
Opera釋出iOS版加密貨幣瀏覽器 iThome
分散式雲平台 跨雲服務保資安 網管人
北市府資安事件7年增9倍 議員揭：4成資訊人員無專業背景釀漏洞 自由時報電子報
美國警告國家級駭客正鎖定ICS/SCADA裝置發動攻擊 iThome
假訊息新戰場 科學人
俄烏戰爭下，假消息成蔓延全球的新戰場！如何在社群上避免以訛傳訛？ 數位時代
【資安日報】2022年4月14日，國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰 iThome
《數位發展部》最快 6 月掛牌！部長內定唐鳳，三大次長人選出爐 科技新報網
沒信心？趨勢科技：超過四分之三台企業認為在 2022 年可能遭駭客入侵 科技新報網
網路資安廠商趨勢科技公布最新的 2021 下半年全球網路資安風險指標（Cyber Risk Index，CRI）：-0.04，代表風險略高，而台灣指數則來到 0.53，風險程度居於「中等」。除此之外，根據受訪者的回答顯示，全球與台灣皆有高達 76% 的企業機構認為自己在未來 12 個月內有可能遭駭客攻擊得逞，而且有 25% 認為可能性非常高，顯示各國企業對於未來一年遭受駭客攻擊的風險感到憂心。
去年出現58個零時差攻擊程式，創歷年新高 iThome
Google Zero專案表示2021年全球出現58個零時差攻擊程式的觀察結果，是該專案自2014年以來觀察該趨勢的最高紀錄，不一定代表駭客攻擊技術提升，也可以解讀為資安社群的偵測能力變好了。
遠距上班駭客進逼 調查：76%台企憂被攻擊得逞 中央通訊社
資安業者趨勢科技今天公布2021年下半年全球網路資安風險指標報告指出，全球與台灣皆有76%的企業機構認為在未來12個月內可能遭駭客攻擊得逞，且25%認為可能性非常高，顯示各國企業對於未來1年遭駭客攻擊的風險感到憂心。
用戶小心！假 Windows 11 網站出現，更新即被竊取個資 Xfastest Media
自Windows 11 系統發布以來，一直不斷有各種欺騙用戶下載的惡意Windows 11 安裝程序。網絡安全公司 CloudSEK 近日發現了一個新型惡意軟體活動，使用了 Inno Setup Windows 安裝程序，看起來非常像是微軟的官方網站。
什麼是 RagnarLocker？FBI 發布舊勒索軟體家族的新警報 iThome
根據身份盜竊資源中心的數據，勒索軟體攻擊的數量在 2020 年翻倍成長，並在 2021 年再次翻倍。RagnarLocker 勒索軟體有趣的地方在於，自 2019 年以來它就一直是既存的網路威脅，即使它與其他勒索軟體一樣，如 Maze、DarkSide、REvil 和 BlackMatter，曾經消退或被捕。但事實上，FBI是於 2020 年 11 月 19 日首次發布了關於 RagnarLocker 勒索軟體的 FLASH 警報。在該警報中，FBI 曾警告說 RagnarLocker 的目標是雲服務供應商、電信、建築、旅遊和企業軟體開發公司。
趨勢科技獲Forrester端點偵測及回應領導者 工商時報電子報
全球網路資安解決方案領導廠商趨勢科技宣布該公司在Forrester的端點偵測及回應（Endpoint Detection and Response，簡稱EDR）產品評比當中獲選為「領導者」。這份報告肯定了公司對於創新、以客戶為中心以及端點防護的持續專注。趨勢科技是榮獲Forrester評選為EDR領導者的三家廠商之一。
加密詐騙再現新招，受害者MetaMask錢包遭掏空，官方呼籲關閉iCloud備份功能 奧丁丁新聞
Sentinel 創辦人 Serpent 於推特分享最新加密網路詐騙手法，藉由誆騙受害者重置 Apple ID 並取得 2FA 一次性驗證碼後，詐騙者得以訪問其儲存於 iCloud 上的 MetaMask 相關數據並掏空資金。MetaMask 也隨即在推特呼籲用戶關閉 iCloud 備份功能。
新創「智趨動」頒發200萬獎學金，推動台灣智慧醫護領域新希望 T客邦
由趨勢科技執行長暨共同創辦人陳怡樺所成立的「智趨動」公司，運用最新科技推動數位安康，協助高齡與身障者自主活動，希望透過仿生外肢或輔具，縮小因為各種肢體障礙所造成的活動侷限。新公司成立伊始，特別設立研究獎助學金，獎勵以外骨骼、人工肌肉、醫療工程等相關研究領域的國內外大專院校碩博士研究生深化研究，突破目前的技術與想像限制。
本篇報導探討車用資安風險，引述趨勢科技研究報告指出，自2015年起，各大車廠包括Tesla、BMW、Lexus、三菱、福斯等在內，皆發生不只一件遠端攻擊事件，資安事件預期將不減反增。對此，趨勢科技核心技術執行副總裁暨資訊長鄭奕立指出，連網車資安並非僅是汽車本身的問題，其攸關到車廠背後龐大的供應鏈體系，供應鏈資安在未來汽車電動化、聯網化、智慧化之後，單一電子零組件及其軟體應用程式是否具備一定的資安防護能力，將會是台廠難以漠視的問題。
醫療機器人系統 Tug 有嚴重漏洞，駭客可遠端控制 科技新報網
據報導指，物聯網醫療安全公司 Cynerio 在為一家客戶醫院部署 Tug 機器人時，發現系統存在 JekyllBot:5 安全漏洞，其 CVSS 評級在 7.6 至 9.8 之間。Cynerio 方面表示，如果駭客利用 JekyllBot:5 漏洞進行攻擊，就可以完全接管系統控制權，存取即時畫面和裝置數據，並在使用這些機器人的醫院造成破壞，而且漏洞的技術門檻甚低，駭客可以簡單地繞過安全措施來控制機器人。幸好發現漏洞的時候，醫院的機器人系統並未連接網路，因此沒有讓漏洞公開。
新木馬程式偽裝成可在Windows 11安裝Google Play Store的工具 iThome
多名研究人員發現，GitHub上一個名為Windows Toolbox的工具，標榜可在Windows 11上安裝Google Play Store，其實會在受害裝置植入木馬點擊程式，並罕見地濫用Cloudflare Worker服務以下載指令及惡意檔案到受害者裝置，來躲避防毒偵測。
針對日本市場的 LINE NFT 交易平台上線，首波釋出約 4 萬枚 NFT 科技新報網
NFT 是一種獨一無二的數位資產，運用區塊鏈技術來追蹤所有權。LINE NFT 則是 LINE 針對日本市場推出的 NFT 交易平台，用戶能夠輕鬆買賣 NFT，還能將數位資產存放在 LINE BITMAX Wallet 數位錢包當中。
超高年薪、獎金還配加密貨幣！矽谷人才狂跳槽，Web3 為何成全新夢幻工作？ 科技報橘網
矽谷 Web2 的科技公司一直以來都是科技人才夢寐以求的夢幻高薪工作，以 FAANG 五家公司來說，資深軟體工程師的年收入都可以超過 30 萬美元。 近幾年 Web3 開始嶄露頭角，不僅在薪資上快速追上 Web2 科技公司，甚至祭出各種條件吸引人才大量跳槽到加密貨幣新創，讓蘋果、Meta 等公司也都因此傷透了腦筋。但是 Web3 的工程師薪水到底有多高？
快更新 Chrome！Google 緊急釋出重要安全更新 自由時報電子報
該漏洞是 Google 今年針對 Chrome 推出的第三個緊急更新，前兩項分別在 2 月、3 月發布，三者也皆與 Google 開發的「V8」引擎有關。後者是一項開源的 JavaScript 引擎，使用於 Chromium 架構的瀏覽器中，包括微軟的 Edge 和 Chrome，可提升瀏覽器處理 JavaScript 程式碼的速率。
買網購收這封信？「1動作」洩個資 信用卡直送詐騙集團 今日新聞
詐騙集團頻出新招，不斷翻新技倆才能騙民眾上當。疫情之下網路購物成為新消費型態，也成為詐騙主要管道。有民眾收到中華郵政來信通知，因為尚未支付關稅故無法投遞包裹，要求線上刷卡支付關稅，由於補繳金額僅50元，一般人不會起疑心，殊不知卡一刷，信用卡資料就全到詐騙集團手中，陷於被盜刷的風險之中。
惡意程式Tarrask利用Windows排程工具躲避偵測 iThome
本篇報導指出微軟發現中國駭客組織Hafnium打造的Tarrask惡意程式，會利用Windows排程工具躲避偵測，以對目標組織進行長期滲透，微軟發現本次的攻擊手法對關鍵系統如網域控制器、資料庫伺服器等不常重開機的系統影響尤其嚴重，應留意關鍵系統的對外通訊是否有異常行為。
美國宣稱是北韓駭客Lazarus盜走了Ronin Network上價值6.15億美元的加密貨幣 iThome
美國財政部周四（4/14）宣布制裁北韓駭客集團Lazarus，並公布了Lazarus所使用的數位錢包，顯示其錢包位址0x098B716B8Aaf21512996dC57EB0615e2383E2f96與日前Ronin Network遭駭所使用的錢包一致，而Ronin Network母公司Sky Mavis也已證實此事。
聯盟化趨勢不可擋？ MIH資安工作小組力拚團體戰 電子時報網
隨著車聯網、先進駕駛輔助系統(ADAS)、自駕及各式車用電子設備於車內佔比、以及汽車所需半導體及被動元件使用量拉高至新境界，駭客攻擊的頻率及範圍亦將持續攀漲。根據國際學術雜誌IEEE Spectrum預估，2030年車用電子零件設備於整車中的佔比將會超過50%，這也代表過去好發於伺服器、資料中心、物聯網裝置的資安攻擊，亦有可能發生於汽車及其車載產品之中。
2022電動車滲透率提升 帶動關鍵零組件市場需求 電子時報網
根據市場研究公司Canalys於今(2022)年2月中發布的報告，2021年全球電動車(EV)的銷售量達到650萬輛，年增109%。其中，特斯拉以14%的市占率位列第一。報告並指出，電動車的需求在2021年保持強勁，若非長期的零組件短缺，對全球各大汽車製造商造成衝擊，全年電動車銷售量應該會更高。
智慧車電時代台灣不缺席 mTARC聯盟與產業一同馭視未來 經濟日報網
智慧車電時代台灣不缺席!經濟部技術處 mTARC主題館，今年4月20~23日再次進駐台北國際汽車零配件與車用電子展，契合時下最夯的電動車與自駕車議題，以「馭.視未來-Drive into Future」為主題，精選展示18項車輛領域科技專案成果，充分展現了法人與產業在車輛產業自動化、聯網化、電動化及服務化等四大發展趨勢的旺盛能量。
先進駕駛輔助系統推動車輛安全穩步前行 CompoTech Asia 電子與電腦網
這只是眨眼間的事，行車時，你一時被手機上跳出的簡訊、或坐在後座的小孩分散了注意力，轉瞬間，在你回過神前，車子已經行駛了好幾公尺，撞上前方急停的車輛。或者，另一種情境是，車上的自動緊急剎車系統及時偵測到前方出現障礙物，在短短幾毫秒內強制介入剎車，讓你有驚無險地逃過一劫。
「車輪上的資料中心」加速進入大眾視野 電子工程專輯
Molex與貿澤電子(Mouser)合作進行最新的汽車產業調查，受訪者對未來5年內會成為新轎車和卡車標準配備的功能進行了排名。其中，透過行動裝置應用程式提供使用者介面(50%)、串流電影和電視(47%)、遠端啟用新功能/附加功能(46%)、以訂閱模式購買重要功能 (46%)、安全性與駕駛協助(45%)，以及無線(OTA)軟體更新(43%)等預想最多。
微軟、鴻海雙強聯手，Azure HPC助攻，推動台灣自駕車及數位醫療迎向新未來 數位時代
台灣微軟攜手鴻海，在去年三月開啟雲原生技術開發、混合辦公場域建立與核心系統上雲布局全球等三大戰略合作，重新定義台灣智慧製造樣貌；經過一年的努力，鴻海研究院憑藉微軟 Azure 雲端平台的高速算力，取得多項人工智慧技術的研究突破，不但大幅減少對抗式模型訓練時間，從3小時縮短到5分鐘，藉由使用大量「無標註」資料做預訓練，建立AI模型訓練新範式，亦能能透過人工智慧模型實現即時、連續性的進行血壓偵測，守護大眾健康。
更新先等等！Windows四月更新傳災情 瀏覽器跳「錯誤代碼」無法使用 ETtoday新聞雲
更新電腦先等等！微軟釋出最新的更新版本，但這版本卻傳出部分災情，許多人常用的Chrome、Edge 等瀏覽器會出現錯誤代碼，導致無法使用，讓許多用戶十分困擾。不過，只要刪除更新中的特定更新，就可以恢復正常。
微軟關閉Windows 11家用版SMB1協定支援 iThome
SMBv1協定是很老舊的傳輸協定，曾被WannaCry用來散布感染數百萬臺電腦。微軟於2017年的Windows 10更新（Fall Creators Update）釋出的Windows Server就不再安裝SMBv1服務。在用戶端，企業版本也都不含這項服務，但家用（Home）及專業版（Pro）Windows 10仍然保留，以便Windows 電腦可連結只支援SMBv1的第三方NAS儲存裝置或是其他舊設備。
微軟資料治理產品改名為Microsoft Purview iThome
去年推出資料治理服務Azure Purview後，本周微軟宣布所有分散於Microsoft 365 Compliance和Azure Purview、Office 365 Compliance產品線的產品，將全部統一為新的Microsoft Purview品牌。
駭客著手開採微軟今年2月修補的Windows Print Spooler漏洞 iThome
美國網路安全及基礎設施安全局（CISA）本周將微軟於今年2月修補的CVE-2022-22718納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中，顯示此一涉及Windows Print Spooler的安全漏洞已經遭到駭客利用。
微軟成立安卓體驗部門 將進一步整合Win 11和安卓系統 新浪網(臺灣)
本周早些時候，微軟為其新部門”Android微軟平台和體驗”發布了招聘信息，該部門旨在將應用程序/服務Phone Link或Your Phone、SwiftKey、Microsoft Launcher以及包括”Surface Duo體驗”在內的其他服務納入一個部門。招聘信息表示：「Android微軟平台和體驗團隊是一個世界級的平台、中間件、應用程序和服務組織，以各種不同的形式帶來端到端的體驗–通過設備與Windows、M365和Azure的強大連接，賦予客戶更大權力。」
微軟CVE-2022-26809漏洞出現攻擊程式只是早晚的問題？專家警告快修補 iThome
就在微軟於本周二（4/12）修補128個安全漏洞之後，資安業者紛紛跳出來警告，當中的CVE-2022-26809屬於零點擊漏洞，出現攻擊程式只是早晚的問題，勢必要優先修補。
Google Cloud 公布永續調查報告: 89% 將永續視為企業轉型關鍵! 點子科技
去年聯合國氣候變遷大會 (COP 26) 發表淨零排放目標，台灣政府也於日前公布 2050 年淨零排放路徑，而從 Google Cloud 橫跨全球 16 個國家，針對共 1,491 位高階主管所做的「Google Cloud 永續調查報告」可看出，台灣企業緊跟著這股永續發展浪潮，多項數據高於全球平均，包括 79% 的台灣企業將「環境保護 (Enviroment)、社會責任 (Social)、公司治理 (Goveranace)，ESG」 視為組織發展的優先任務之一，僅次於招募與留任人才 (83%)；而在促進永續發展與轉型上，89% 將永續視為企業轉型關鍵，83% 認為永續是組織的成長中心 (growth center)，另有 96% 肯定科技能幫助組織提高永續發展程度，顯現科技在企業永續發展上的重要性。
雲部署已成為企業邁向上雲的必要IT策略，根據VMware的調研指出，目前75％的企業已使用兩個以上的公共雲，其中更有40%將使用三個或以上的公有雲。隨著越來越多企業已加速上雲的腳步，同時對於數位化轉型、應用現代化發展的需求也持續增加，我們預期未來20年多雲部署將是企業IT的主流發展，而能為企業帶來彈性、敏捷、高效管理等優勢的多雲策略，也將是企業部署雲端時的重要考量。
疫情蔓延企業數位化轉型！DDoS 資安威脅引起重視 科技新報網
根據 2021 年「DDoS 攻擊現狀與趨勢調查報告」顯示，受到 5G、物聯網及區塊鏈等網路新科技的推波助瀾，大幅降低 DDoS 攻擊的門檻，相較 2020 年，DDoS 資安事件持續增加，整體攻擊流量創新紀錄，攻擊手法也變得更加多元。
【資安日報】2022年4月20日，美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞 iThome
在今年2月微軟公告的Print Spooler漏洞CVE-2022-22718，當時該公司表示有可能已被攻擊者利用，但最近美國祭出公告要求聯邦機構限期完成修補，因為這項漏洞已經被用於攻擊行動。
對於資安託管服務信賴程度不足？ATT&CK評估計畫開始獨立評測MDR與MSSP，17家資安業者響應 iThome
為推動資安託管服務的進步與發展，在2022年第二季MITRE Engenuity將進行首屆ATT&CK Evaluations for Managed Services的評測，在4月16日已公布有17家資安業者參與，希望藉由這樣的計畫，以公開、透明的方法，幫助MSSP與MDR業者展現其識別內部威脅的能力，同時也促進供應商服務達到更專業的要求。
MITRE Engenuity新推實驗性評估計畫，首先鎖定欺敵技術領域 iThome
近年來，MITRE ATT&CK資安攻防框架深受企業關注，而後續衍生的ATT&CK評估計畫，不僅國際重量級資安業者響應，且每次都有更多的資安業者參與，顯示這項計畫持續被資安界看重。現在這項評估計畫，在2022年有了更多開展。
研究人員發現WebEx在用戶關靜音仍在蒐集麥克風資料 iThome
視訊會議App因為疫情而成為企業運作不可或缺的工具，但一份研究顯示，有許多用戶的思科WebEx會時常蒐集用戶麥克風資料，即使用戶關靜音的狀態下。不過思科今年稍早已經停止這項作為。
當心！駭客攻擊手法再創新 音訊檔「WAV」成犯罪工具 匯流新聞網
安全研究人員近日發現 7-Zip 存在一個零日漏洞，該漏洞可以提高攻擊者權限並讓他們執行程式碼。目前還未有修補程式，但使用單位可以採取行動避免漏洞被利用。
該漏洞編號為 CVE-2022-29072，影響Windows最新版本21.07 版。攻擊者只要將有.7z副檔名的檔案拖到Help(說明) 功能選項下的Contents (內容) ，即可啟動漏洞。檔案可以不必是真的是7z的壓縮檔。
小心新型詐騙冒充逆向轉帳，掏空用戶銀行帳戶 iThome
這類詐騙手法是結合釣魚簡訊及冒充銀行客服電話，針對使用即時支付用戶發動攻擊。即時支付App一般是綁定用戶銀行帳號，要付款時，只要知道受款者的手機或電子郵件信箱，即可啟動轉帳。
美國揭露北韓駭客Lazarus攻擊區塊鏈業者手法 iThome
美國財政部甫於日前出手制裁北韓駭客集團Lazarus，本周就與聯邦調查局（FBI）及網路安全及基礎設施安全局（CISA）發布了聯合網路安全通報（Joint Cybersecurity Advisory），揭露北韓駭客集團Lazarus攻擊加密貨幣與區塊鏈業者與使用者的手法。
公民實驗室揭露未曾被發現的iOS零點擊漏洞Homage，而英國首相辦公室的手機也遭Pegasus感染 iThome
加拿大多倫多大學公民實驗室（Citizen Lab）本周指出，英國首相辦公室以及英國外交、國協與發展事務部（FCDO）之員工的手機，都曾感染Pegasus間諜程式，此外，該實驗室在調查新一波的攻擊行動中，發現了一個未曾被揭露過的iOS零點擊漏洞Homage。
【資安日報】2022年4月19日，英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體 iThome
又有Pegasus間諜軟體的攻擊行動，但與過往被揭露的事故有所不同，先前遭到監控的對象多半是中東地區國家人士，而這次加拿大多倫多大學公民實驗室發現，英國首相辦公室與該國的外交機關遭到監控。
創作歌手臉書被駭 眼睜睜看駭客囂張開直播打遊戲 自由時報電子報
為TVBS《機智校園生活》唱作插曲《機智校園》 的劉文瀚，愚人節當天臉書粉絲頁被駭，至今未能拿回，駭客還用他帳號開直播打遊戲，非常囂張，第一時間老闆陳威全以為是他沒日沒夜掛在網上打電動，留言訓誡：「怎麼一直在打電動？！」最後才發現罵錯人。
駭客用盜來的OAuth權杖存取GitHub的私有儲存庫 iThome
GitHub上周五（4/15）警告，駭客濫用了授予Heroku及Travis-CI的OAuth使用者權杖，以於GitHub存取及下載屬於數十個組織的資料，包括npm在內。
【資安日報】2022年4月18日，攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手 iThome
在上週末到今日發生的資安新聞裡，駭客利用遭竊的OAuth憑證入侵NPM等數十個組織的GitHub，而此處濫用的OAuth憑證，疑似來自雲端應用程式服務Heroku，以及程式碼持續整合服務Travis-CI。但攻擊者究竟如何從這兩家公司偷得相關憑證？有待後續進一步的調查。
【投資詐騙花招多3】防範方法懶人包：4招阻擋垃圾簡訊、辨識合法投資管道 雅虎奇摩
一直收到惱人的投資詐騙簡訊實在不堪其擾！家人疑似被詐騙了該怎麼查證訊息真偽？投資詐騙層出不窮，有什麼方式可以不要再被詐騙集團騷擾，防範方法又有哪些。
隨著各種數位服務平台的增加，使用者被要求必須註冊、管理多組帳號密碼，不僅費時沒效率，也間接衍生出許多資安風險，同時讓企業在IT、開發人員的維護人力與資源成本增加，而無密碼身分驗證的機制提供了新的資安選擇。
Opera釋出iOS版加密貨幣瀏覽器 iThome
Opera宣稱該專案的目的是為了建置一個讓人們方便體驗Web3的瀏覽器，而Web3的核心為區塊鏈，因此目前的Opera加密貨幣瀏覽器除了基本的瀏覽功能之外，主要的特色多圍繞在以太坊、Polygon及Celo等區塊鏈生態體系與相關的加密貨幣。
分散式雲平台 跨雲服務保資安 網管人
擅長於研發設計應用程式防火牆（WAF）方案的F5，近年因應企業雲端應用模式的增長，投入更多資源發展雲端服務，整合了旗下BIG-IP、NGINX，以及收購取得的Volterra、Shape Security、Threat Stack等技術，日前最新發布F5分散式雲平台（Distributed Cloud），首推服務項目WAAP（Web Application and API Protection）正式上線，同時具備網路應用必備的DDoS緩解、惡意機器人控管與API防護機制，以SaaS應用模式為多雲網路與邊緣運算環境提供資安控管機制。
北市府資安事件7年增9倍 議員揭：4成資訊人員無專業背景釀漏洞 自由時報電子報
台北市長柯文哲近年將推動智慧城市掛嘴邊，但議員王浩發現，隨著台北市政府各項E化、數位化政策上路，衍生許多資安問題，尤其單去年就發生54件資安事件，7年大幅增加9倍，質疑北市府近年大量聘僱不具專業背景的資訊類人員，再加上訓練研習成效不彰，使得資訊人員專業度不足，導致資安問題持續惡化。
美國警告國家級駭客正鎖定ICS/SCADA裝置發動攻擊 iThome
美國能源部（DOE）、國安局（NSA）、聯邦調查局（FBI）與美國網路安全及基礎設施安全局（CISA）本周聯手警告，已有特定的先進持續威脅（APT）駭客組織展示了它們存取工業控制系統（ICS）及系統監控和資料蒐集（SCADA）系統的能力，涵蓋施耐德電機（Schneider Electric）與歐姆龍（OMRON）的Sysmac NEX可程式化邏輯控制器，以及開源且跨平臺的感應器傳輸標準OPC Unified Architecture（OPC UA）。
假訊息新戰場 科學人
本篇為科學人文章，本文提到隨著網路科技的進步，事實查核的重要性也隨之升高，在面對假消息時，有超過55%的受訪者表示曾使用趨勢科技防詐達人來辨別消息真偽。
俄烏戰爭下，假消息成蔓延全球的新戰場！如何在社群上避免以訛傳訛？ 數位時代
俄羅斯總統蒲亭（Vladimir Putin）今年2月24日揮軍入侵烏克蘭領土，俄烏戰爭陸海空全面開打。與此同時，卻傳出烏克蘭總統澤倫斯基（Volodymyr Zelenskyy）早已安排家人出逃的假音檔：「……安排他們走，這樣我會好受點……馬上安排，可以去西班牙！比較暖和的地方，或者加勒比海地區……讓他們在外面待上幾個月。」
【資安日報】2022年4月14日，國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰 iThome
昨天的資安新聞中，資安業者協助烏克蘭電腦緊急應變小組（CERT-UA）成功攔阻俄羅斯駭客對於當地發電廠的攻擊行動，其中駭客意圖控制高壓變電所的ICS系統。這樣的情況也使得今天美國對關鍵基礎設施業者（尤其是能源業者）發布資安警訊，要求嚴加防範這種針對ICS與SCADA的國家級駭客攻擊。
《數位發展部》最快 6 月掛牌！部長內定唐鳳，三大次長人選出爐 科技新報網
行政院下設 14 個部會新設《數位發展部》，目前傳出最快 6 月掛牌，人事部署目前已大致確定，首任部長內定由數位政委唐鳳擔任，兩位政務次長傳可能由一卡通董事長李懷仁、亞矽人資長闕河鳴出任，常務次長人選則傳是唐鳳倚重的通傳會參事葉寧。
加入趨勢科技LINE@好友,每週五資安新聞周報送到你手上
