本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 新興地下商業模式:專賣企業網路存取權限的 AaaS ,五個資安長 (CISO) 該知道的防禦策略
- 如何隨時隨地取得免費 WiFi 連線?四個祕訣
- 當雲端環境出現挖礦活動,對企業是一種警訊
- 趨勢科技宣布成立新公司VicOne 為電動車提供優異資安解決方案與服務
- 研究報告:駭客集團入侵大量雲端機器挖礦圖利,對企業造成那些影響?
- 什麼是加密貨幣挖礦（Crypto Mining）？新手挖礦掏金前需要知道的幾件事
- 54% IT 資安決策者表示:「已經被警示通知所淹沒」,是時候採取全方位網路資安平台了!
- 如何解決＂你的連線不是私人連線＂錯誤?
- 5G 與飛航：探討資安與技術升級的配合
- 零信任與 XDR 如何相輔相成?
- 《上週資安新聞周報》 勒索軟體Quantum僅耗時4小時攻陷受害目標/Android 手機準備讓「密碼徹底消失」/假冒執法官員索用戶個資,傳蘋果、Meta和Google受騙
資安新聞精選
影／趨勢科技成立VicOne 布局電動車產業資安防護 聯合新聞網
一秒找到快篩哪裡買 微軟「找找快篩試劑」Chatbot上線 工商時報電子報
網路資安風險指標：台灣超過四分之三的企業認為在2022年可能遭駭 電子時報網
網路報稅成趨勢 會計師提醒：小心6跡象、駭客竊個資！ ETtoday新聞雲
防範肉搜，用戶可要求Google Search搜尋結果移除包含用戶個資的網頁連結 iThome
PC用戶別上當！駭客勒索病毒假冒「Windows Update」更新檔入侵電腦 自由時報電子報
Chrome 瀏覽器曝7個高風險漏洞恐遭駭利用！Google緊急釋修補更新 自由時報電子報
【資安日報】2022年5月4日, 駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞 iThome
微軟關閉VBA使Emotet改用新手法感染用戶 iThome
微軟終於決定在 Windows 11 的應用商店公開各應用的最近更新時間 電腦王阿達
【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式 iThome
微軟Edge瀏覽器新增內建VPN功能 iThome
微軟修補Azure PostgreSQL租戶隔離漏洞 iThome
Lenovo 最新研究：五分之三的企業資訊長有意替換現有技術為數位轉型歷程導入aaS即服務商業模式 CIO IT經理人
鴻海 / 你相信AI嗎？鴻海研究院：AI資安像打不死的小強難防治 雅虎奇摩
Malvuln專案公布WannaCry、REvil、Conti及LokiLocker等勒索軟體漏洞 iThome
Mozilla分析32款心理健康程式，8成的安全及隱私有缺陷 iThome
醫療轉型臨床5大資安危機，兼顧資安防護與醫療效能是關鍵 資安人
中國駭客Moshen Dragon濫用防毒軟體並鎖定中亞電信產業發動攻擊 iThome
南台別院舉辦攜手同圓講座 邀趨勢科技創辦人張明正及陳怡蓁演講 雅虎奇摩
Cymetrics發布臺灣十大百貨業者資安曝險調查報告 iThome
Telegram 開放加密貨幣交易功能，Toncoin 卻大跌 10% 科技新報網
馬斯克希望推特私訊加入全程加密 iThome
代表台灣簽署《未來網際網路宣言》，唐鳳：相信台灣能夠有所貢獻 關鍵評論網
Linux 系統拉警報！全新 Nimbuspwn 漏洞讓駭客成功獲取系統最高權限 科技新報網
Cloudflare緩解歷來最大的HTTPS DDoS攻擊，每秒呼叫1,530萬次 iThome
網購詐騙再現！5大高風險電商曝 來電出現「+」就要當心 三立新聞網
影／趨勢科技成立VicOne 布局電動車產業資安防護 聯合新聞網
隨著電動車越來越普及，車聯網會產生新的資安問題，趨勢科技宣布成立車用資安新公司VicOne，布局電動車產業資安防護，協助台灣電動車供應鏈通過國際車廠車用資安規格。出席記者會的趨勢科技執行長暨共同創辦人陳怡樺表示，趨勢科技投入車用資安已近8年，沒有賺過一毛錢，從既有基礎上打造台灣安全的車用資安方案，因應未來電動車軟體控制應用趨勢，未來車用全自動化，資安技術與團隊是確保車用安全的關鍵，需要結合外部夥伴一起m合作。
一秒找到快篩哪裡買 微軟「找找快篩試劑」Chatbot上線 工商時報電子報
疫情緊繃，「你知道哪裡還有快篩試劑嗎？」這句話已成為近期民眾見面的重要對話。即使開放快篩試劑實名制，到了藥局撲空，或者找不到銷售藥局的狀況仍層出不窮。微軟AI社群技術專家陳葵懋，以微軟Azure AI為核心，一天內快速打造「找找快篩試劑」LINE聊天機器人（Line ID：@054ehalj），解決民眾的燃眉之急。民眾只要輸入位置，「找找快篩試劑」可立即告知附近藥局與快篩劑庫存，用人工智慧技術解決民眾最關心的m問題。
網路資安風險指標：台灣超過四分之三的企業認為在2022年可能遭駭 電子時報網
趨勢科技威脅情報副總裁Jon Clay表示：「要建立一套有效的網路資安策略，企業機構必須確實掌握風險管理。所以，像CRI這樣的報告就是絕佳的資源，可點出需要注意的地方。隨著遠距上班與數位基礎架構帶來持續的威脅，企業機構應採取一種資安平台的做法，好讓防護發揮最大效益，同時降低因管理多個資安產品所造成的資源m耗費。」
網路報稅成趨勢 會計師提醒：小心6跡象、駭客竊個資！ ETtoday新聞雲
KPMG安侯建業連和會計師事務所指出，每年報稅季都是駭客集團意圖竊取民眾個資、報稅敏感資訊的高峰期，尤其今年臺灣也受新冠疫情衝擊，民眾透過網路與手機報稅意願提高。KPMG安侯數位智能風險顧問公司董事總經理謝昀澤說，今年美國報稅季，已出現偽冒美國國稅局名義的釣魚郵件，夾藏木馬程式進行攻擊，而且高度仿真，竊取報稅人敏感資料。使用網路繳納，可從六大跡象揪出駭客是否m入侵。
防範肉搜，用戶可要求Google Search搜尋結果移除包含用戶個資的網頁連結 iThome
Google 宣布擴大用戶個資保護，現在用戶可以要求Google從搜尋結果移除特定敏感個資的連結，包含特定個人資訊的網頁連結，如電話號碼、電子郵件及住家地址，或是其他可能造成身份竊盜的資料，像是登入密碼等。以防範肉搜或被用於金錢m詐騙。
網購詐騙再現！5大高風險電商曝 來電出現「+」就要當心 三立新聞網
刑事局統計出近3個月5大高風險賣場，包含東森購物、誠品書局、遠傳friDay購物、蝦皮購物以及金石堂都在榜上，詐騙件數超過上千件。其中報導訪問趨勢科技全球消費市場開發暨行銷協理劉彥伯，指出駭客可能透過廠商的電腦或是手機入侵竊取個資。提醒民眾，若是來電開頭顯示「＋」號、「＋2」或「＋886」等號碼，很有可能就是詐騙集m團。
據刑事警察局統計，去年全部詐騙案件近2萬4000件，財損金額約新台幣50億餘元，無論是詐騙發生率及財損金額皆為近3年高峰，遭詐騙對象多為年輕與壯年族群。對此，國泰世華銀行提出「4不」教戰守則，包含銀行不會推薦單一商品、不用專家名人名義推薦單一投資標的、不用非官方帳號成立社團、不保證獲m利等。
市場調查機構 Sensor Tower 公布全球手機 APP 的統計資料，公布 2022 年第一季度全球前 10 大下載量最高的應用程式，總下載量最高的是短影音平台 TikTok，社交媒體平台 Instagram 、 Facebook 則居於第二、m三名。
PC用戶別上當！駭客勒索病毒假冒「Windows Update」更新檔入侵電腦 自由時報電子報
據外媒 BleepingComputer 報導，近日已接獲數起遭勒索病毒 Magniber惡意感染的案例。此次Magniber 勒索軟體是利用偽裝成由 Windows 10 作業系統提供的「Windows Update」更新檔名義，並透過如 Warez 這類專門提供盜版軟體下載的非法網站進行惡意m散播。
Chrome 瀏覽器曝7個高風險漏洞恐遭駭利用！Google緊急釋修補更新 自由時報電子報
Google 近日正式釋出 Chrome 瀏覽器最新桌面版本「101.0.4951.41 」的安全更新，緊急搶修30個安全漏洞，其中，有7個安全漏洞被評為「高風險」等級，恐遭駭客開採利用發動攻擊，建議所有使用 Windows、Mac、Linux 等電腦系統的 Chrome 用戶，務必盡快手動更新瀏覽器版本。
【資安日報】2022年5月4日, 駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞 iThome
駭客利用Google的SMTP中繼服務來隱藏釣魚郵件的手法，在4月份出現升溫的現象；廣受嵌入式系統採用的程式庫uClibc、uClibc-ng，存在的DNS漏洞恐影響逾200個廠牌設備。
微軟關閉VBA使Emotet改用新手法感染用戶 iThome
安全廠商Proofpoint去年11月偵測到蟄伏10個月的殭屍網路程式Emotet復出，它背後的駭客組織TA542也開始在多個地方散布數萬釣魚郵件感染數千用戶。他們觀察到駭客在4月4日到19日放完「春假」後再度活動，然而這次卻採用不同的策略來散布包含Emotet的郵件。
微軟終於決定在 Windows 11 的應用商店公開各應用的最近更新時間 電腦王阿達
Windows 的應用程式商店一直有個大家都知道的問題，那就是臭名昭著的應用版本差異化。應用程式商店的出現與過去 Windows Mobile 時代離不開關係，隨著 iOS 與 Android 的發展蒸蒸日上，很多開發者都專注在行動版應用，早就把 Microsoft Store 的順位放到很後面，這也是造成現在問題的原因。
【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式 iThome
從上週末到今天的資安新聞中，資安業者揭露的網路間諜攻擊行動相當值得留意，而在其中一起事故當中，駭客的手法相當特別，他們鎖定受害組織的Exchange伺服器下手，竊取公司併購相關的往來郵件，但除此之外，駭客還利用後門程式針對有網路視訊設備下手，將這些系統變成殭屍網路的機器人（Bot）。但攻擊者是否也針對鏡頭錄下的內容進行監聽？研究人員沒有進一步說明。
微軟Edge瀏覽器新增內建VPN功能 iThome
微軟宣布透過和Cloudflare合作，為Edge瀏覽器新增VPN功能。Microsoft Edge Secure Network可確保經由Edge送出的資料經由加密通道傳送，上網活動及網頁資訊都能獲得保護，可防止ISP或駭客得知用戶存取哪些網站、用戶所在地點或IP位址，或是在公共Wi-Fi網路竊聽透過網頁傳送的資訊。
微軟修補Azure PostgreSQL租戶隔離漏洞 iThome
微軟在今年1月接獲Wiz Research通報該漏洞後，已於本周更新Flexible Servers完成修補，Azure用戶無需採取任何動作，但微軟仍建議用戶在設定Flexible Server執行個體時，啟用VPN等安全連線。
Lenovo 最新研究：五分之三的企業資訊長有意替換現有技術為數位轉型歷程導入aaS即服務商業模式 CIO IT經理人
由Lenovo 委託進行的研究顯示，除了傳統科技領域，企業資訊長參與其他營運決策的比例較以往更高，例如商業模型轉型、企業策略以及環保永續等議題。在提升組織敏捷度並有效精簡營運成本的前提下，有 57% 的資訊長認為自己目前的技術部署（tech stack）仍有進步空間，其中 21% 有意替換幾乎所有的技術部署。
鴻海 / 你相信AI嗎？鴻海研究院：AI資安像打不死的小強難防治 雅虎奇摩
人工智慧（AI，Artificial Intelligence）應用漸廣，就連貼身手機都能見到AI功能，也因為無人能獨善其身，使得AI資安重要性提升，鴻海（2317）研究院執行長李維斌4日表示，網路安全（Cyber Security）攻擊就像是「打不死的小強」一樣難以防治，因此發展AI系統時，就應該把資安議題加入考慮，以提升人類對AI終端產品的信任度。
Malvuln專案公布WannaCry、REvil、Conti及LokiLocker等勒索軟體漏洞 iThome
一名代號為Hyp3rlinx的獨立安全研究人員John Page於去年1月發起了Malvuln專案，專門查找惡意程式與勒索軟體的安全漏洞，並將它們公諸於世，上線一年多以來，該專案已公布了數百個惡意程式的安全漏洞，以及相關漏洞的攻擊程式，並於本周二（5/3）揭露惡名昭彰的WannaCry、REvil、Conti及LokiLocker等勒索軟體的漏洞細節。
Mozilla分析32款心理健康程式，8成的安全及隱私有缺陷 iThome
Mozilla周一（5/1）公布了心理健康暨禱告程式類別的隱私安全清單，顯示在所調查的32款程式中，有28款取得了「缺乏隱私」（Privacy Not Included）的警告標籤，同時這也是Mozilla自2017年所調查的產品類別中，最不具隱私與安全性的類別。
醫療轉型臨床5大資安危機，兼顧資安防護與醫療效能是關鍵 資安人
有鑑於醫療業數位轉型已成大勢所趨，衛福部資訊處處長龐一鳴宣佈衛福部將電子病歷交換中心（EEC）架構改為FHIR 交換架構，以符合國際醫療資料交換標準，並降低眾多接口產生的資安風險。
中國駭客Moshen Dragon濫用防毒軟體並鎖定中亞電信產業發動攻擊 iThome
美國資安業者SentinelLabs本周揭露了中國駭客集團Moshen Dragon最近的攻擊行動，指稱Moshen Dragon企圖將惡意的DLL檔案側載至各大防毒軟體，並竊取憑證以於受害組織中橫向移動，攻擊目標為中亞的電信業者，根據分析，遭到Moshen Dragon濫用的防毒軟體產品包括Symantec SNAC、TrendMicro Platinum Watch Dog、BitDefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher。
南台別院舉辦攜手同圓講座 邀趨勢科技創辦人張明正及陳怡蓁演講 雅虎奇摩
佛光山南台別院舉辦攜手同圓講座，二日晚邀趨勢科技公司創辦人張明正，及共同創辦人兼趨勢教育基金會董事長暨執行長陳怡蓁，暢談二人從攜手共創世界知名防毒軟體公司，到熱心投入社會公益，如何運用慈悲喜捨四無量心轉念，為人生開展不一樣的精采生命旅程。
Cymetrics發布臺灣十大百貨業者資安曝險調查報告 iThome
業資安檢測品牌Cymetrics發布臺灣百貨業資安曝險調查報告，針對10 家知名百貨業者的外在資安曝險情形進行評級與分析。近來大型百貨業者因應數位轉型的浪潮，以及疫情所帶來的消費者行為變化，陸續推出自有的電子支付工具以及電商平台，隨之帶來更多的數位足跡曝露在網路上，因此Cymetrics利用其曝險評估即服務 (Exposure Assessment as a Service，EAS)，評級並分析臺灣前 10 大百貨業者的外在資安曝險情形，以協助業者了解自身的資安狀況，改善其可能存在之外在曝險，其中半數業者疏於管理電子郵件安全，四成業者甚至發生帳號密碼外洩事件，包含微風廣場、新光三越、誠品及遠東百貨。
遠端工作已成為新常態，企業資安管理須改為基於零信任原則控管存取行為，更適用於確保遠端工作者存取內網資源、機敏檔案，以及合法取用雲端服務權限。隨著工作型態轉變，可能衍生出新的資安破口，受到企業關注的SASE防護框架，逐漸成為落實零信任網路存取的指導原則，Check Point基於深厚資安領域知識，提出Harmony方案，藉由連通管道設置控管機制，以解析使用者行為並賦予合適的防護措施。
隨著雲端服務採用數量增長，員工工作地點不再限制於辦公室環境，企業網路安全策略正在過渡到零信任原則，改以用戶與裝置為核心實作控管，因此基於雲端平台設計的SASE（Secure Access Service Edge）框架，成為資安廠商共同的發展方向。Fortinet自2020年收購OPAQ Networks取得SASE雲端平台技術持續發展，如今的FortiSASE已提供零信任網路存取（ZTNA）、防火牆即服務（FWaaS）、網頁安全閘道（SWG）、雲端存取資安代理（CASB）等服務，建構零信任邊緣架構，貼近現代化應用場景。
Telegram 開放加密貨幣交易功能，Toncoin 卻大跌 10% 科技新報網
Telegram 本週新增「加密貨幣」支付功能，5.5 億用戶將可以直接在聊天室中傳送加密貨幣給對方，而無需透過繁雜的電子錢包地址和漫長的等待。
馬斯克希望推特私訊加入全程加密 iThome
推特平臺曾發生多個名人帳號遭入侵的安全事件，當時媒體便直指推特私訊未全程加密的安全問題，比該起事件引發的金融詐騙問題更嚴重。
代表台灣簽署《未來網際網路宣言》，唐鳳：相信台灣能夠有所貢獻 關鍵評論網
美國政府於昨（28）日由白宮國安顧問蘇利文（Jake Sullivan）作為代表和50多國共同簽署《未來網際網路宣言（A Declaration for the Future of the Internet）》，其中包含澳洲、加拿大、日本、英國及歐盟執委會等國。行政院政務委員唐鳳也應邀代表我國進行簽署，承諾將促進一個開放自由、全球化和安全的網際網路。
Linux 系統拉警報！全新 Nimbuspwn 漏洞讓駭客成功獲取系統最高權限 科技新報網
微軟 365 Defender 研究團隊發出安全報告指出，他們發現可讓本地端駭客提升 Linux 系統權限的「Nimbuspwn」漏洞（漏洞編號為 CVE-2022-29799 及 CVE-2022-29800），該漏洞是集結許多常見安全漏洞的統稱，包括目錄遊走（Directory Traversal，又稱目錄遍歷弱點）、符號連結競爭（Symlink Race）以及檢查時間/使用時間競爭條件（Time-of-Check-Time-of-Use Race Condition）等漏洞。一旦駭客取得更高系統權限，便能將後門程式或勒索軟體等惡意軟體植入受害系統之中。
Cloudflare緩解歷來最大的HTTPS DDoS攻擊，每秒呼叫1,530萬次 iThome
CDN及網路防禦供應商Cloudflare昨（28）日表示，該公司近日偵測並緩解了一次呼叫流量高達15.3M rps（request-per-second）的分散式阻斷服務（DDoS）攻擊，是有紀錄以來最大的HTTPS流量攻擊。
訂閱資安趨勢電子報,每日掌握資安趨勢
加入趨勢科技LINE@好友,每週五資安新聞周報送到你手上
