本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 新的DawDropper Android手機病毒正在竊取你的銀行資料
- 趨勢科技警告：針對廣被公有雲使用的Linux 系統勒索病毒攻擊暴增 75% , 上半年總共攔截了 630 億次威脅
- 什麼是暗宇宙（Darkverse）?比暗網更危險嗎?
- 「你的 IG 帳號被投訴違反版權和社群守則？」 IG、Netflix、DHL 紛遭冒用傳送釣魚連結
- Facebook 的元宇宙將帶來更大的受攻擊面
- 暗中修改的程式碼如何破壞開放原始碼生態系安全?
- 改善軟體供應鏈的網路資安
- 《上週資安新聞周報》針對 Linux 系統的勒索程式攻擊因系統普及而暴增 75% / 安裝過Google翻譯桌面版？它很可能是惡意挖礦軟體/防範選舉詐騙，LINE 推「候選人認證官方帳號」
CYBERSEC 2022 趨勢科技主場 ➤ 看全部議程
資安升級一『站』到位！趨勢科技擔任 CYBERSEC 共同主辦多年，2022 我們將貢獻更多符合您期待的資安議題，請看議程完整介紹，並至活動官網進行報名
資安新聞精選
推特前資安長：推特IT管理落後10年、4000名員工可存取用戶資料、無法追查到外國情報員 iThome
瀏覽器中的瀏覽器？駭客偽造Steam登入頁釣玩家帳密 完整客服到認證難查異狀 聯合新聞網
防疫詐騙網址偵測數量暴增20倍！高達665種變形網址已流竄全台 T客邦
NFT 去中心化精神無價？政府納管與否考驗智慧 中央通訊社
數位部明年編列預算218億元，擴大招募資安人才 iThome Weekly電腦報
YouTube上出現冒充蘋果背書的加密貨幣詐騙影片 iThome
逾半環球企業供應鏈曾遭勒索程式襲擊 新聞稿自助吧
歐盟網路安全新規草案下周公告 企業違規最高罰1,500萬美元 經濟日報網
資安人員披露一場巨大的網路釣魚活動，佈局半年、超過 130 家公司受害、 9931 個登錄憑證被盜 T客邦
勒索軟體成企業首要資安威脅 電子工程專輯
KKday員工跳槽對手Klook／前經理涉竊密30萬交保 自由時報電子報
【資安日報】2022年9月8日，Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊 iThome
【資安日報】2022年9月13日，思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917 iThome
◎延伸閱讀：Yanluowang 閻羅王勒索病毒含有數位簽章，會中止資料庫相關處理程序 資安趨勢部落格
North Face大量用戶帳號遭憑證填充攻擊 iThome
駭客團體入侵洛聯合學區 稱獲機敏資料 世界新聞網
你更新了嗎？iOS 16 自定義鎖定畫面來了 科技新報網
違法蒐集個資 南韓重罰谷歌、臉書逾22億 自由時報電子報
按下去就芭比 Q 了，10 大類 NFT 詐騙看準人性弱點 中央通訊社
微軟Patch Tuesday修補64個安全漏洞，當中一個已被開採 iThome
鴻海：電動車促典範轉移 台灣資通訊半導體扮要角 中央通訊社
SEMICON Taiwan 2022國際半導體展揭幕 工商時報電子報
數位產業署攜手業者 共推半導體設備資安標準 中央通訊社
Forescout和First Health Advisory建立醫療網路安全合作夥伴關係，幫助醫療機構減輕資訊技術、營運技術和醫療物聯網風險 中央通訊社
2022年半導體資安解決方案集結！SECPAAS在9月14日到16日推出SEMICON Taiwan資安主題館 T客邦
macOS Safari 16.0發布，正式支援通行金鑰簡易登入方法 iThome
Linux基金會宣布將建立OpenWallet基金會促進開源錢包互通 iThome
Rust基金會獲OpenSSF和JFrog投資，將建立專門安全團隊 iThome
【資安日報】2022年9月14日，趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法 iThome
勤崴國際/VicOne導入車用IDPS 自駕巴士資安再升級 新電子雜誌
打詐升級聯防 金管會下三令 工商時報電子報
Google完成收購Mandiant iThome
名家縱論／數位部 能否走向奶與蜜之地？ 聯合新聞網
【iThome 2022 資安大調查(上) 資安人力趨勢】2022年企業資安人力需求缺口多大？ iThome
Zoom推出客戶管理金鑰方案，可自帶金鑰保護雲端數據 資安人
你更新了嗎？iOS 16 自定義鎖定畫面來了 科技新報網
蘋果稍早釋出了今年最新的 iOS 16 作業系統更新，在最新版本的作業系統中包含了許多新功能，像是可編輯、收回的 iMessage 功能，以及可讓使用者自定義的鎖定畫面等。不過要注意的是，iOS 16 僅提供 iPhone 8 與後續機型下載使用。
違法蒐集個資 南韓重罰谷歌、臉書逾22億 自由時報電子報
南韓個人資訊保護委員會（PIPC）週三以網路巨擘Google及Meta（臉書母公司）在未經用戶同意下，擅自蒐集個資，並將此用於投放個人化廣告，違反「個資保護法」，對兩家公司開罰共一千億韓元（約二十二．三億台幣），成為該法實施以來，南韓政府裁定的最高額度罰款。
推特前資安長：推特IT管理落後10年、4000名員工可存取用戶資料、無法追查到外國情報員 iThome
推特前資安長Peiter Zatko繼上個月透過媒體揭露這家社交平臺的資安管理問題後，昨（13）日又在美參議院聽證會上爆出推特沒有測試環境、資訊管理落後，4000名工程師可以存取用戶資訊等驚人內幕。他也指出推特員工中有包括印度及中國的情報員，但他們當時追查不出來。
瀏覽器中的瀏覽器？駭客偽造Steam登入頁釣玩家帳密 完整客服到認證難查異狀 聯合新聞網
隨著各種技術的進步，現代的網路釣魚詐騙手法也開始變得更加複雜，甚至能夠以假亂真。而最新一波出現在 Steam 平台上的駭客攻擊手段，則鎖定了一些渴求表現機會的電競專業玩家。
防疫詐騙網址偵測數量暴增20倍！高達665種變形網址已流竄全台 T客邦
趨勢科技偵測發現，台灣8月份與防疫補助相關的詐騙網址總偵測數量相較前一個月份竟驟升20倍，單一月份測得數量甚至超越整個2022上半年。此外，8月更有高達665種防疫補助相關的變形假網址流竄全台，顯見這波詐騙手法來勢洶洶，犯罪集團快速變化詐騙攻勢，郵件信箱、簡訊、社群貼文都淪陷。
NFT 去中心化精神無價？政府納管與否考驗智慧 中央通訊社
「非同質化代幣」（Non-Fungible Token，NFT）熱潮方興未艾，卻已暴露易遭詐騙特質，以及洗錢和逃漏稅弊端。政府該不該破壞區塊鏈「去中心化」價值將其納管，專家示警，「想要出手管制，就等於在 web 3.0 這條路上停下腳步。」趨勢科技全球消費市場開發暨行銷協理劉彥伯認為，即使是區塊鏈，也有一些「中心化的交易所」，雖然認為法規還是要給予應有的規範，去監視 NFT 相關交易，但也擔憂對「去中心化」為特色的區塊鏈技術實施監管後，「就失去原始精神」。如何調和兩者之間找到平衡，有賴政府與各界的智慧。
按下去就芭比 Q 了，10 大類 NFT 詐騙看準人性弱點 中央通訊社
每天數以萬計的「非同質化代幣」（Non-Fungible Token，NFT）被鑄造和交易，有多少是真貨。市面上常見的10大類「NFT詐騙」，不論專家或新手都可能上當，消費者處於先天不利的3大風險，一旦按下核准交易鈕，別想討回損失。「幣圈流傳一句話，『沒被詐騙過就不算懂NFT』」趨勢科技全球消費市場開發暨行銷協理劉彥伯表示，「NFT具備區塊鏈去中心化特性，用意良善，但也成了致命的高風險。」
YouTube上出現冒充蘋果背書的加密貨幣詐騙影片 iThome
就在蘋果公布新iPhone 14系列與Apple Watch Series 8的同時，YouTube上出現一則以蘋果為名義的加密貨幣詐騙直播影片。這則影片名稱是「Apple Crypto Event. Ceo of Apple Tim Cook: Apple & Metaverse in 2022.」活動，內容其實取自蘋果執行長庫克（Tim Cook）2018年接受《CNN Money》的訪談，右上角以比特幣及以太幣兩大加密貨幣的logo加強可信度，不過字幕部位卻有不知所云的「Urgent News」字樣。
逾半環球企業供應鏈曾遭勒索程式襲擊 新聞稿自助吧
一年前，一家資訊科技管理軟件商遭遇精密攻擊，連帶其下游的數十家託管式服務商（MSP）與數千家客戶也遭入侵。然而，僅有 47% 的企業會與其供應商分享有關勒索程式攻擊的知識，另有 25% 表示他們不會與合作夥伴分享可能有用的威脅資訊。
數位部明年編列預算218億元，擴大招募資安人才 iThome Weekly電腦報
數位發展部（簡稱數位部）在上周六（8/27）正式揭牌，新成立的數位部座落在原本國家通訊傳播委員會北區監理處辦公大樓，數位部首位部長唐鳳表示，數位部將扮演臺灣數位發展的「馬達」，推動發展「全民數位韌性」。另外，新成立的數位部明年編列預算為218億元，底下數位產業署、資通安全署兩大次級機關首長人事也終於確定。
歐盟網路安全新規草案下周公告 企業違規最高罰1,500萬美元 經濟日報網
根據下周將公布的歐盟草案，物聯網產品製造商須遵守免遭網路攻擊的新規定，違者將處以1,500萬歐元（約1,500萬美元）罰款、或前一年全球營收的2.5%，取金額較高者處罰。
資安人員披露一場巨大的網路釣魚活動，佈局半年、超過 130 家公司受害、 9931 個登錄憑證被盜 T客邦
Group – IB 的報告表示，從受害者的角度來看，這個釣魚網站看起來很有說服力，因為它與他們習慣看到的認證頁面非常相似。受害者被要求提供他們的使用者名稱、密碼和一個雙因素認證程式碼。這些資訊隨後被傳送給攻者。
KKday員工跳槽對手Klook／前經理涉竊密30萬交保 自由時報電子報
近年我國企業內部營業秘密遭竊事件頻傳，調查局獲報，知名旅遊公司Klook涉嫌利用競爭對手KKday的離職員工，蒐集內部資訊及系統漏洞，進行商業滲透及竊取營業秘密；台北地檢署依妨害電腦使用及洩漏工商秘密等罪，諭令跳槽Klook當資深副總監的KKday前經理陳鈞暘卅萬元交保、另兩名Klook涉案員工，陳柏安十萬元交保、孫儀芬三萬元交保。
微軟Patch Tuesday修補64個安全漏洞，當中一個已被開採 iThome
微軟本周二（9/13）釋出的9月Patch Tuesday修補了64個安全漏洞，本月只有5個重大漏洞，但有3個已被公開的零時差漏洞，其中的CVE-2022-37969則已遭到駭客開採。CVE-2022-37969位於通用紀錄檔系統，是個權限擴張漏洞，根據趨勢Zero Day Initiative（ZDI）團隊的說明，這類的漏洞通常採用社交工程攻擊手法，駭客誘導使用者開啟或點選連結，即可擴張權限並接管受害者系統。
鴻海：電動車促典範轉移 台灣資通訊半導體扮要角 中央通訊社
鴻海集團半導體S事業群總經理陳偉銘表示，電動車帶動軟硬體技術革新，台灣掌握資通訊和半導體產業能量，可扮演關鍵角色，擁有廣大內需市場的新興國家，可掌握電動車典範轉移契機，成為趨勢下的新贏家。觀察車用產業，陳偉銘指出，傳統汽車產業開發進程過慢且昂貴，相關供應鏈過長且不夠透明，製造成本過高，在車用聯網安全以及提升使用者經驗也面臨挑戰，若透過車用開放平台，可解決上述大部分課題。
SEMICON Taiwan 2022國際半導體展揭幕 工商時報電子報
SEMICON Taiwan 2022國際半導體展今(14)日於台北南港展覽館一館登場，本屆展會除涵蓋700家國內外廠商參與、推出2,450個展覽攤位，預計將吸引超過50,000位專業人士共襄盛舉，開幕式主辦單位SEMI特別邀請行政院副院長沈榮津、經濟部部長王美花、美國在台協會(AIT)處長孫曉雅、歐洲經貿辦事處高哲夫、日本台灣交流協會台北事務所首席副代表服部崇、環球晶圓集團董事長暨執行長暨SEMI全球董事會董事徐秀蘭、台灣半導體產業協會執行長伍道沅博士等產官學代表出席開幕典禮，SEMI 全球總裁暨執行長Ajit Manocha亦透過線上方式參與盛會。
數位產業署攜手業者 共推半導體設備資安標準 中央通訊社
數位發展部數位產業署今天攜手業者，舉辦「半導體設備資安推動誓師大會」，發表半導體產線設備資安標準SEMI E187推動成果，希望台灣可以成為供應鏈可信賴合作夥伴，也帶動資安產業發展。
Forescout和First Health Advisory建立醫療網路安全合作夥伴關係，幫助醫療機構減輕資訊技術、營運技術和醫療物聯網風險 中央通訊社
動化網路安全領域的全球領導者Forescout Technologies今天宣布與醫療資訊技術風險管理領域的領導者First Health Advisory建立新的醫療網路安全合作夥伴關係。此項合作夥伴關係透過在醫療機構的整個資訊技術、物聯網、營運技術和醫療物聯網資產網路進行技術資料收集、問題緩解和風險降低措施的自動化，打造了一種創新型互聯資產風險管理方法。
2022年半導體資安解決方案集結！SECPAAS在9月14日到16日推出SEMICON Taiwan資安主題館 T客邦
一年一度的SEMICON Taiwan國際半導體展，即將於9/14-16在南港展覽館一館盛大展開，今年SECPAAS一樣不缺席，透過資安主題館，即將帶領台灣資安廠商共同參與。今年SECPAAS主題館共有鴻璟科技、眾至資訊、幻雲資訊、台眾電腦、杜浦數位安全、智弘軟體科技、雲智維科技、三甲科技、捷而思、全景軟體、盧氪賽忒、椰棗科技、中華資安國際、來毅數位科技、奧義智慧科技、睿控網安、博斯資訊安全、精品科技等18家夥伴廠商，透過攤位展示、主題分享、影片輪播及DM發放等方式，推廣有助於SEMI E187合規及供應鏈安全強化的國產資安解決方案，展示台灣資安技術能量。
macOS Safari 16.0發布，正式支援通行金鑰簡易登入方法 iThome
Safari 16.0現在正式在macOS Monterey以及Big Sur上發布，用戶已經可以用到WebKit更新在Safari中帶來的新功能，其中最大亮點便是支援無密碼登入的通行金鑰（Passkeys）功能，另外，Safari 16現在也提供容器查詢，使得開發者能夠知道當前容器布局的大小。
【資安日報】2022年9月13日，思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917 iThome
一個月前，思科公布他們遭到勒索軟體駭客閰羅王入侵的事故，而現在該公司進一步指出，對方竊得的資料已經在暗網公開，但強調不會對營運造成影響。然而駭客聲稱取得了大量機密資料，雙方各執一詞。
Linux基金會宣布將建立OpenWallet基金會促進開源錢包互通 iThome
OpenWallet基金會要開發一個安全且多用途的開源引擎，讓任何人都可以利用該引擎建構具互通性的錢包，透過在開源程式碼上的協作，替數位錢包技術配置最佳實踐，打造可互通、安全和隱私保護錢包的基礎。
Rust基金會獲OpenSSF和JFrog投資，將建立專門安全團隊 iThome
Rust基金會由於獲得了OpenSSF Alpha-Omega資金，以及最新白金級成員DevOps工具廠商JFrog的加入，使得Rust基金會有能力建立一支專門的安全團隊，針對Rust程式語言的安全性下功夫，繼續維持Rust一直以來所提供的安全性。
【資安日報】2022年9月14日，趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法 iThome
趨勢科技針對企業防毒軟體Apex One用戶發布資安通告，指出已在4月修補的漏洞被用於攻擊行動，呼籲用戶應儘速安裝新版的伺服器元件，以及用戶端的代理程式。
勤崴國際/VicOne導入車用IDPS 自駕巴士資安再升級 新電子雜誌
台灣電子地圖廠商勤崴國際與趨勢科技車用資安公司VicOne共同宣布，成功在桃園虎頭山創新園區內由勤崴國際所開發的自駕巴士車輛控制系統中導入VicOne車用入侵檢測和保護系統(IDPS)- xCarbon，藉由完整保護車輛關鍵電子控制單元(ECU)。
勒索軟體成企業首要資安威脅 電子工程專輯
Acronis發表旗下網路防護營運中心(Cyber Protection Operation Centers) 製作的年中資安報告，詳細說明勒索軟體為何持續對包含政府機關在內的大型與中型企業構成首要威脅，並特別強調IT及基礎架構的過度複雜性導致攻擊頻率上升的背後成因。
打詐升級聯防 金管會下三令 工商時報電子報
詐騙手法隨時事不斷更新，金管會13日公布，本國銀行在去年到今年6月的一年半期間，成功攔阻民眾疑被詐騙匯款共7,525件，攔下資金近35億元，金管會主委黃天牧除宣布36家金融機構啟動「聯防」機制，並增加三招，包括網銀約定轉帳、防杜人頭帳戶詐騙及強加化虛擬帳號管理，盡可能堵住資金流向詐騙者。
Google完成收購Mandiant iThome
Google表示，Mandiant的收購將可強化Google Cloud既有的安全服務，包括零信任安全方案BeyondCorp Enterprise、惡意軟體分析服務VirusTotal、雲端原生安全資訊與事件管理（SIEM）平臺Chronicle、安全監控及安全管理指引服務等，讓Google Cloud得以提供端對端的安全營運服務，以便企業在安全生命周期的每一階段都能獲得保障。
名家縱論／數位部 能否走向奶與蜜之地？ 聯合新聞網
更特別的是，韓國政府的GovTech initiative in 2019數位化策略及經驗，以及去年制定的GovTech Maturity Index（ＧＴＭＩ），今年被世界銀行當作全球標竿，說明好的數位政府如何造福全民，走向美好世界。
【iThome 2022 資安大調查(上) 資安人力趨勢】2022年企業資安人力需求缺口多大？ iThome
近幾年，大型資安事件頻傳，讓企業高層越來越重視資安，對於資安投資，也比過去更積極，願意設置更多資安人力的編制，再加上近年多項法遵要求，不論是資安法對於八大關鍵基礎設施產業的資安要求，或是金管會要求金融產業、上市櫃公司，都必須設置資安專責人力，這些法遵要求，也大幅帶動了臺灣大型企業對資安人才的需求。
Zoom推出客戶管理金鑰方案，可自帶金鑰保護雲端數據 資安人
不論身處何種產業，資訊安全都須針對該產業之相關規範，並以合規的方式量身打造安全解決方案。因此，Zoom 宣布推出 Zoom 客戶管理金鑰（Zoom Customer Managed Key，CMK），協助用戶在面對高標準規範時，能有相對應的應變能力，使用自己的加密金鑰來保護儲存於 Zoom Cloud 雲端基礎建設中的特定數據。 Zoom 客戶管理金鑰進階安全方案為自帶金鑰（BYOK）解決方案內的其中一款付費方案。
【資安日報】2022年9月8日，Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊 iThome
針對Linux電腦的攻擊行動可說是越來越頻繁，同時駭客也開始運用了一些過往較為少見的方法，而有可能讓資安系統難以察覺有異。像是名為Shikitega的惡意軟體，駭客就利用了至少4到5個步驟來執行，但目的卻是利用受害電腦進行挖礦。研究人員認為，這類手法很有可能未來會被用於散布更危險的惡意軟體。
North Face大量用戶帳號遭憑證填充攻擊 iThome
The North Face是美國服飾公司VF Corporation旗下品牌之一。VF Corporation也於本周寄發用戶信，通知受影響的用戶。The North Face是在8月11日偵測到官網thenorthface.com有異常活動，經過調查後，判斷攻擊者對該網站發動憑證填充（credential stuffing）攻擊。
駭客團體入侵洛聯合學區 稱獲機敏資料 世界新聞網
駭客團體Vice Society9月3日晚間入侵洛杉磯聯合學區（LAUSD）資訊系統，幸好學區資安機制反應迅速、立刻關掉所有電腦，才沒有讓學區系統整個被勒索軟體癱瘓，但Vice Society還是宣稱他們已經掌握一些機敏資料，並可能對外公開。
如何防禦勒索病毒？
🔴一般用戶
假使您也不幸成了受害者，請保持冷靜，最好向外尋求協助，但不要支付贖金。而平時，最好可以安裝一套防毒軟體的即時防護。如 趨勢科技 PC-cillin 的「勒索剋星」可為您的寶貴檔案提供多一層防護。》立即免費下載試用
🔴企業用戶
建議企業採用一套跨世代的多層式防護技術來防止最新勒索病毒攻擊，在適當時機套用適當的技術來保護您的使用者和資料。》立即前往了解
