本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 專售電腦存取權限, Emotet 殭屍網路死灰復燃
- 多平台 APT 攻擊瞄準線上博弈網站
- 加密貨幣騙局再進化,Deepfake 移花接木影片,利用馬斯克背書
- 你的帳號名稱會讓你被『肉搜』嗎?使用隨機名稱來保護隱私
- 《上週資安新聞周報》全球每年將被騙走「一個鴻海」/ WannaCry 爆發 5 周年勒索軟體攻擊更猖狂！/Office零時差漏洞 關閉巨集也不見得擋得了/OpenSea 新型態詐騙！空投不知名NFT，再用高額出價引誘至釣魚網站
資安新聞精選
NCC 抽查台灣15款熱銷手機資安！僅 iPhone 12 初測即過關 自由時報
看中遲遲未修復的微軟「Follina」漏洞，國家贊助駭客鎖定歐美政府機構發動釣魚攻擊 科技新報網
以Trend Micro One全方位網路資安平台為中樞 強化資安風險應變治理 電子時報網
趨勢科技最新研究顯示：可視性與控管上的漏洞正在侵蝕企業資安 資安人
手機上網、內建軟體App如何防範個資遭外洩？NCC 傳授「三不五要」撇步 自由時報
調查：63%台灣企業自認資安存在盲點 中央通訊社
生技資安隱憂！ FDA揭Illumina軟體資安漏洞、諾華實驗室數據遭竊 環球生技月刊
Bored Ape Yacht Club 遭釣魚攻擊，NFT 約損失 200 以太幣 科技新報網
資安長必須應對的 10 大 NFT 和加密貨幣安全風險 CIO IT經理人
工業設備網路攻擊對企業造成數以百萬美元損失 新聞稿自助吧
打著「1922」名號詐騙 紓困補貼簡訊竟是釣魚網頁 自由時報電子報
Exchange Server下一版延到2025年、現有版本同年10月終止支援 iThome
為了把 Deepfake 關進籠子，各大公司都拚了 科技新報網
Lockbit駭客宣稱攻擊資安廠商Mandiant，竊走35萬份檔案 iThome
微軟對企業預覽Windows 11 22H2更新 iThome
駭客利用微軟零時差漏洞Follina來攻擊歐洲與美國政府 iThome
台灣微軟首席營運長 Flora ：面對下個創新十年，台灣在黃金轉骨期該補些什麼？ 報橘
黎巴嫩駭客Polonium濫用OneDrive服務，遭微軟封鎖 iThome
【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手 iThome
微軟Windows Autopatch進入公開預覽 iThome
歐盟網路安全演練聚焦醫療領域，Cyber Europe 2022於6月登場 iThome
BUREAU VERITAS頒布IECEE 62443工業資訊安全認證全球逾50% Ctimes
TTIA與OmniAir簽署MOU 推進國際車聯網標準驗證落地 Ctimes
ZettaScale與TTTech Auto共同開發即時、安全的自駕軟體 Ctimes
物聯網安全攸關營運風險 強化辨識攻擊限縮損害 新通訊元件雜誌
【事實釐清】網傳新聞片段「太恐怖太進步的詐騙技術，只要填了基本資料，你的人生就完全被偷走了！」？ 台灣事實查核中心
「辦理紓困貸款」不會以簡訊通知 請民眾切勿輕易相信 很角色時報
Meta 首位資安長，祖克柏點名 Guy Rosen 出任 科技新報網
美國安機構警告 中共黑客攻擊主要電信商 新唐人電視台
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集 iThome
Google Cloud釋出更多資源，協助企業、公家機構建構安全雲端服務 Mashdigi
支援無密碼、「遊戲體驗升級」！蘋果新 macOS Ventura 有 5 大特點 自由時報電子報
Conti駭客發展出攻擊英特爾晶片韌體的能力 iThome
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊 iThome
防堵不了！匿名者再駭入俄羅斯央行 自由時報電子報
連三個月三次！「Move to Earn」遊戲 Stepn 再遭 DDOS 攻擊 區塊客
NCC 抽查台灣15款熱銷手機資安！僅 iPhone 12 初測即過關 自由時報
NCC國家通訊傳播委員會公佈，針對電信事業110年第1、2季銷售量較高且未取得資安認證的10款不同廠牌智慧型手機，再加上5款中國大陸廠牌手機，進行手機系統內建軟體的資安檢測。共15款手機之中，僅蘋果 iPhone 12於初測即通過，另14款手機經手機製造商積極配合改善後複測通過。NCC表示，有鑑於手機資安威脅日漸升高，此次抽測更著重於應用軟體及通訊協定應有的個資保護及加密機制。
看中遲遲未修復的微軟「Follina」漏洞，國家贊助駭客鎖定歐美政府機構發動釣魚攻擊 科技新報網
資安通報編號 CVE-2022-30190 的微軟 Office「Follina」漏洞，雖然被通用漏洞評分系統（CVSS）評定為 7.8 分高風險，但微軟除了在 5 月底曾發布權宜應變措施之外，直到現在都沒有發布任何更新修補程式。如今，這個遲遲未見修補的漏洞已被國家贊助駭客看中，並用來做為攻擊歐美政府機構的絕佳利器。
以Trend Micro One全方位網路資安平台為中樞 強化資安風險應變治理 電子時報網
為落實永續經營，降低資安風險是企業首要任務；但要正確評估攻擊來源，以及瞬息萬變的威脅，並適時採取適當回應，終至建立有效合理的資安策略，相當挑戰。
趨勢科技最新研究顯示：可視性與控管上的漏洞正在侵蝕企業資安 資安人
發表一份最新全球研究指出，無法明確掌握及保護網路資安的受攻擊面，正阻礙企業管理風險的效率。趨勢科技在這份研究當中調查了全球 29 個國家共 6,297 名 IT 及企業決策者。
手機上網、內建軟體App如何防範個資遭外洩？NCC 傳授「三不五要」撇步 自由時報
因應智慧型手機的資安風險及威脅日益升高，且與民眾隱私個資密切相關，NCC國家通訊傳播委員會，近年來都會公布手機內建軟體資安的抽測結果。在考量多樣性情況下，受測的市售手機品牌，除5家來自中國大陸品牌之外，還會從市售近半年來銷售量較高，且尚未取得資安認證的不同手機廠牌，進行手機系統內建軟體的資安檢測，在經初測、複測與改善程序後，並向外界公佈抽測結果，讓民眾藉此瞭解與重視手機資安意識，以審慎購買手機與使用。
調查：63%台灣企業自認資安存在盲點 中央通訊社
資安廠商趨勢科技今天發布研究報告指出，無法明確掌握及保護網路資安的受攻擊面，正阻礙企業管理風險的效率；全球62%與台灣63%受訪企業坦承，他們的資安存在某些盲點。
生技資安隱憂！ FDA揭Illumina軟體資安漏洞、諾華實驗室數據遭竊 環球生技月刊
近期包括lllumina、諾華等生技公司在內，都發生產品出現資安漏洞，或數據遭網路攻擊竊取事件，美國食品藥物管理局調查表示，駭客可利用漏洞遠端控制儀器、更改儀器或在網路上的設置，以及影響用於臨床診斷的儀器導致產出不正確的結果，也可能造成隱私數據外流。
Bored Ape Yacht Club 遭釣魚攻擊，NFT 約損失 200 以太幣 科技新報網
知名 NFT 專案 Bored Ape Yacht Club（BAYC）4 日被駭，官方 Twitter 帳號確認此事，表示被盜 NFT 價值約 200 以太幣（約 35 萬美元、新台幣 1,827 萬元）。據區塊鏈資安公司 PeckShield 資料，有一枚 BAYC 和兩枚 Mutant Apes 代幣被盜。
資安長必須應對的 10 大 NFT 和加密貨幣安全風險 CIO IT經理人
隨著許多組織開始討論 Web3的影響性以及它所帶來的可能機會，本文報導針對加密貨幣和 NFT 可能帶給資安長的十大最重要安全風險進行探討，首先是網路安全和身分詐欺、市集安全風險、金鑰和資料管理，以及隱私。包括 NFT 在內的任何形式加密貨幣，都存在一系列大多數公司有可能不甚熟悉的威脅和安全問題。
工業設備網路攻擊對企業造成數以百萬美元損失 新聞稿自助吧
趨勢科技基礎架構策略副總裁 William Malik 指出：「全球的工業製造都在採用數碼化以維持增長，但卻引來各式各樣他們無法有效防範的威脅，造成重大的財務與商譽損失。要有效管理這些高度連網的資訊科技與營運科技環境，企業應挑選經驗豐富、具備遠見及廣泛能力，並能為整體環境提供最佳防護的合作夥伴。」
打著「1922」名號詐騙 紓困補貼簡訊竟是釣魚網頁 自由時報電子報
刑事警察局接獲反映，有民眾接獲帶有「+886」的行動電話門號發送「1922達人提醒您可申請紓困補貼，點擊https://jtach.tech/」等詐騙簡訊內容，經點擊網址進入網站後，即為假冒「行政院紓困振興專區」之釣魚網頁，要求民眾上傳身分證件影像、提供個人資料並填入銀行帳號及密碼，經查為中國IP網址，警方已通報各電信公司阻斷，以防止民眾被害。
Exchange Server下一版延到2025年、現有版本同年10月終止支援 iThome
微軟宣布，本地部署適用的Exchange Server下一版本將延遲到2025年推出。而現今主流的Exchange Server 2013、2016和2019版也將在同年10月終止支援。
為了把 Deepfake 關進籠子，各大公司都拚了 科技新報網
由於受眾廣泛，市面有不少現成Deepfake演算法，如DeepFaceLab（DFL）和FaceSwap。且深度學習技術普及，也有一些低成本甚至免費線上工具訓練演算法，讓好事之徒輕鬆達成目的。
Lockbit駭客宣稱攻擊資安廠商Mandiant，竊走35萬份檔案 iThome
近日猖獗的勒索軟體Lockbit背後的駭客組織本周宣稱已駭入知名資安廠商Mandiant，竊走35餘萬份檔案，並揚言若未獲得對方贖款，將公開這些檔案。而Mandiant昨日表示，根據駭客公布的資料，無法顯示Mandiant資料外洩。Lockbit疑似是不滿Mandiant先前宣稱俄國駭客Evil Corp與其有關聯的說法，而刻意放出Mandiant遭駭並導致資料外洩的假消息。
微軟對企業預覽Windows 11 22H2更新 iThome
配合這波軟體釋出，微軟也將對企業用戶提供免費支援，協助企業及早測試及做好部署規畫。微軟表示Windows 7、8.1及Windows 10上的應用程式都可在Windows 11執行。若碰到有和22H2的App相容問題，微軟則提供App Assure with Microsoft FastTrack技術支援。
駭客利用微軟零時差漏洞Follina來攻擊歐洲與美國政府 iThome
隨著微軟在5月30日揭露修補Windows漏洞CVE-2022-30190後，資安業者Proofpoint已發現多起企圖開採該漏洞的網釣攻擊行動，目標對象為歐洲各國及美國政府組織。
台灣微軟首席營運長 Flora ：面對下個創新十年，台灣在黃金轉骨期該補些什麼？ 報橘
台灣正準備迎接下一個創新十年，這個重要的「黃金轉骨期」階段，我們究竟該「補」些什麼？企業轉型遍地開花，中小企業在這樣轉型的浪潮中，如何面對過程中的內憂外患？微軟又是如何成功進行數位轉型？
黎巴嫩駭客Polonium濫用OneDrive服務，遭微軟封鎖 iThome
微軟OneDrive團隊利用微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）所開發的指標與戰術資訊，偵測並封鎖了遭到黎巴嫩駭客集團Polonium所使用的多個OneDrive帳號，及關閉了由Polonium所建立的逾20個OneDrive應用程式，並推測Polonimu曾與伊朗政府聯手攻擊以色列當地組織。
【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手 iThome
於4月出現的駭客組織Black Basta，其攻擊目標開始納入VMware虛擬化平臺引起研究人員關注；近期出現的MSDT零時差漏洞再傳攻擊行動，有人利用對烏克蘭政府單位發動釣魚郵件攻擊。
微軟Windows Autopatch進入公開預覽 iThome
為了迎接即將於今年7月上線的Windows Autopatch，微軟於5月底展開了Autopatch的公開預覽，以讓企業的IT管理人員可以提前適應Autopatch的到來。
歐盟網路安全演練聚焦醫療領域，Cyber Europe 2022於6月登場 iThome
為了幫助歐盟提升關鍵基礎設施防護水準，歐洲網路資訊安全局（ENISA）6月將舉辦Cyber Europe 2022，這是歐盟舉辦第六次網路安全演練，特別的是，這次演練對象是近年屢成攻擊目標的醫療領域相關組織與供應商。
BUREAU VERITAS頒布IECEE 62443工業資訊安全認證全球逾50% Ctimes
IEC 62443是網路安全的關鍵性標準，最初是為工業自動化和控制系統而設立現今已是最重要的資安規範之一。現為國際廣泛採納和認可的工業自動化及控制系統（Industrial Automation and Control System；IACS）的網通安全標準，通過IEC驗證後所持認證，可達多邊認可效用。
TTIA與OmniAir簽署MOU 推進國際車聯網標準驗證落地 Ctimes
為了促進台灣車聯網產業發展與國際無縫接軌，以協助業者獲得國際市場認可。台灣車聯網產業協會（TTIA）自2020年起，配合交通部「淡海新市鎮智慧交通場域試驗研究計畫」，訂定「號誌控制器與車聯網路側設施間資通訊標準（Traffic Controller to Roadside Open Standard, TCROS）」，即是為了接軌國際SAE J2735相關標準，並調和台灣交通環境特性。
ZettaScale與TTTech Auto共同開發即時、安全的自駕軟體 Ctimes
凌華科技宣布旗下ZettaScale Technology獲得知名自駕車軟體公司TTTech Auto策略性投資，並且將共同開發的自駕軟體，可用於靈活、安全的「軟體定義汽車」應用程式。位於法國的ZettaScale源自於凌華科技的先進技術辦公室，專注於機器人科技和邊緣運算之開發。ZettaScale獲得TTTech Auto資金挹注以後，將可推動在自動駕駛和車聯網軟體的應用。
物聯網安全攸關營運風險 強化辨識攻擊限縮損害 新通訊元件雜誌
物聯網（IoT）應用場域逐漸深入企業工作環境，甚至是製造業生產流程，從原料投放、製程，產品出廠前的品質檢測，每個步驟皆可透過監控攝影機辨識影像、擷取即時資料，產品經過包裝出貨還得持續追蹤，整體產品生命週期過程得透過各式連網功能的裝置來輔助。針對IoT資安風險，則可藉由Check Point Quantum IoT Protect方案建立防護。
【事實釐清】網傳新聞片段「太恐怖太進步的詐騙技術，只要填了基本資料，你的人生就完全被偷走了！」？ 台灣事實查核中心
資安專家指稱，網傳影片的個案是在一連串不自覺地洩漏個資下，一步一步逃過審核機制，被佔用所有的商業身份和資產。此案例比較極端一點，但金融身份被盜用的手法是現在非常常見的詐騙形式。
「辦理紓困貸款」不會以簡訊通知 請民眾切勿輕易相信 很角色時報
警政署刑事警察局接獲反映，有民眾接獲帶有「+886」的行動電話門號發送「1922達人提醒您可申請紓困補貼，點擊https://jtach.tech/」等詐騙簡訊內容，經點擊網址進入網站後，即為假冒「行政院紓困振興專區」之網頁，並要求民眾上傳身分證件影像、提供個人資料並填入銀行帳號及密碼，經查網址為大陸IP，已通報各電信公司阻斷，以防止民眾被害。
隨著社群平台發達，臉書恐嚇犯罪層出不窮，因為受限臉書規定，導致警方偵辦出現困境跟障礙，調閱用戶資料必須符合重大刑案標準，萬一或是留言裡面沒有「殺人字眼」，還會被演算法自動排除，也因此成了臉書、IG上的安全防護漏洞，就算能取得資料，也要等一個禮拜，這也是最大盲點。
Meta 首位資安長，祖克柏點名 Guy Rosen 出任 科技新報網
Facebook 母公司 Meta 最新任命副總裁 Guy Rosen 擔任資安長（Chief Information Security Officer，CISO）一職，將持續監督和審視用戶、公司以及整個產業的安全，是這家社交媒體公司的首位 CISO。Guy Rosen 自 2013 年加入當時公司名稱還稱為 Facebook 的 Meta，近期則領導團隊在產品安全和誠信工作的業務。
Meta 宣布組織重組 4 大重點，包括 Responsible AI 組織將加入 Social Impact 團隊；致力於保護使用 Meta 平台的人們、改善推薦系統並提升內容相關性、以及改善 Meta 廣告和商務服務的 AI for Product 團隊，將會轉移至產品工程團隊；AI4AR 團隊將加入 Reality Labs 的 XR 團隊；至於 FAIR（Facebook AI Research）將成為 Reality Labs Research 的一大支柱，依舊秉持卓越研究、開放科學以及廣泛合作來推動 AI 領域的突破。
美國安機構警告 中共黑客攻擊主要電信商 新唐人電視台
美國安全機構週二（6月7日）發出警告，指中共當局支持的網路黑客正在向全球主要電信商發動攻擊，這些黑客通過了路由器和一些流行的網路設備的軟件漏洞，攻陷了部分大型通信公司的網系統。
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集 iThome
Windows系統診斷工具（MSDT）零時差漏洞CVE-2022-30190再度傳出被用於攻擊行動；大型藥廠諾華（Novartis）實驗資料外洩也引起關注。
Google Cloud釋出更多資源，協助企業、公家機構建構安全雲端服務 Mashdigi
Google預計在6月15日於台灣舉辦Google Cloud Security Summit Recap : Taiwan安全性高峰會，同時也將說明Google分別透過保護軟體供應鏈、採用零信任架構、雲端管理，以及改善安全性作業四大面向，藉此確保雲端服務安全。其中，Google針對開放原始碼軟體 (Open Source Software, OSS)供應鏈進行合作，針對越來越多網路攻擊鎖定開放原始碼軟體的情況，進一步加強安全防護措施，其中包含透過模糊程式碼處理550個最常被使用的開放原始碼專案，截至今年1月底已經挖掘超過36000個安全漏洞。
支援無密碼、「遊戲體驗升級」！蘋果新 macOS Ventura 有 5 大特點 自由時報電子報
蘋果今（7日）凌晨舉辦 WWDC 開發者大會主題演講，也同步更新了旗下各裝置的作業系統，包含 iOS 16 和 iPadOS 16。而在預計於今年秋季正式釋出的新一代 macOS Ventura 上，蘋果也公布了多項新功能，如新版的信箱、多工操作等。
Conti駭客發展出攻擊英特爾晶片韌體的能力 iThome
今年3月一名代號ContiLeaks的研究人員駭入Conti組織伺服器，公布成員間的聊天軟體對話。而安全廠商Eclypsium從中發現到，這群駭客可能已經發展出攻擊英特爾晶片韌體漏洞的新能力以及開採概念驗證程式。
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊 iThome
自6月3日到今天的資安新聞裡，有不少是駭客攻擊行動的揭露。其中，我們要特別提及的是針對協作平臺Atlassian Confluence的零時差漏洞攻擊，因為這項漏洞在公布之後，相關攻擊行動已出現大幅增加的情況。
防堵不了！匿名者再駭入俄羅斯央行 自由時報電子報
網路駭客集團匿名者（Anonymous ）自俄羅斯入侵烏克蘭後，不斷發動對俄網攻，最近再次入侵俄羅斯聯邦中央銀行 （CBR），給俄羅斯在網路戰打了一記耳光。
連三個月三次！「Move to Earn」遊戲 Stepn 再遭 DDOS 攻擊 區塊客
基於 Solana（SOL）區塊鏈的「邊走邊賺」（Move To Earn）遊戲項目 STEPN 週末再次受到分散式阻斷服務攻擊（DDoS Attack），而這已是 STEPN 近三個月內第三度遭遇此類攻擊。
訂閱資安趨勢電子報,每日掌握資安趨勢
加入趨勢科技LINE@好友,每週五資安新聞周報送到你手上