本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 執行資安策略最常被員工抱怨的三件事！如何化阻力為助力？
- S4x23 資安大會回顧：工業物聯網 (IIoT) 網路資安
- 「您有一筆交通罰款逾期未到案」用.gov.tw包裝詐騙網址、「汽燃費逾期徴收通知」、「請登入gmail重設密碼」、「你的 IG 帳號被投訴」這些是詐騙嗎？
- S4x23 資安大會回顧：疫情與網攻雙面夾擊的醫療業
- S4x23 資安大會回顧：演進中的能源產業網路資安
- 趨勢科技加入Microsoft私有邊緣運算生態系
- 趨勢科技通過 AWS Level 1 MSSP 能力認證
- 《上週資安新聞周報》辦公室上百支桌機狂響 詐騙集團來電聲稱「健保卡異常」/升級後的GPT-4可能讓網路犯罪也升級/外媒警告與 ChatGPT 聊天千萬別做這 4 件事
資安新聞精選
既有法遵面臨挑戰 雲世代資安長如何應對？ 電子時報網
獨家／Gmail這封信「盜光你存款」！資安專家曝自保之道 三立新聞網
AI工具激增！業界警告：更容易大量製造真假難辨的「網路詐騙」 新頭殼
要防iPhone遭竊並降低損害？能用這三招 經濟日報網
駭客到底多愛《艾蜜莉》！數百萬人誤用「假ChatGPT」 臉書慘被盜「大頭貼全變成她」 聯合新聞網
Google搜尋2021 Webspam報告：過濾垃圾網站數量是2020年的六倍 Xfastest Media
報導指稱Google透過特定免費字型追蹤使用者線上瀏覽行為 Mashdigi
自由共和國》鄭景平、林宗男／金管會該明確面對 ChatGPT帶來的個資與隱私挑戰 自由時報電子報
1999引進ChatGPT 桃市議員憂個資外洩 自由時報電子報
睿控網安助攻數位韌性 對戰駭客 守護製造鏈 經濟日報(臺灣)
虛擬貨幣騙局再現！工程師慘遭騙走180萬存款，小心這三種近期正夯的詐騙手法 knowing
【錯誤】網傳簡訊「您好，我是疫情防疫志願者，請添加line配合疫情防疫工作」？ 台灣事實查核中心
NFT交易平台Open Sea被駭！百萬美元BAYC收藏品遭竊 新頭殼
製造業淪為勒索軟體攻擊最大重點目標 科技新報網
駭客入侵無聊猿猴IG帳號，盜走粉絲價值數百萬美元的NFT iThome
別上當！詐騙集團成立「王雪紅也飆股」 宏達電：保留法律追訴權 TVBS
一頁式廣告詐騙又來！ 假冒業者賣低價快篩 民視新聞網
沒這麼好康！ 台中2021「投資詐騙」財損上億元 民視新聞網
Google Authenticator開始與Google帳號同步，不必再擔心裝置遺失 iThome
Google出大絕！整合兩大AI團隊創立Google DeepMind TechNice 科技島
Google、OpenAI都從這裡白拿內容！「美國PTT」Reddit將向AI巨頭們收費 數位時代
趨勢科技推出Trend Micro One網路資安平台 工商時報電子報
AWS安全合規滿足客戶掌控雲端資料需求 賦能雲世代資安長 Ctimes
SailPoint：做好身分帳號管理才能做好企業資安 科技新報網
Atlassian修補Jira元件重大安全漏洞 iThome
【資安日報】2022年4月26日，勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線 iThome
北市線上課酷課雲狂當機 蔡炳坤：國外駭客4波攻擊 自由時報電子報
助攻企業 5G 專網 趨勢科技加入Microsoft私有邊緣運算生態系 科技島
【資安日報】4月25日，PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成 iThome
中共複合式威脅 國安局提4大面向與因應作為 中央通訊社
Telegram「截圖詐欺」持續蔓延 背後原理與搶救方式全解析 CTWant
防堵網路詐騙 林右昌：已和line建立紅色通道 自由時報電子報
電子廣告看板遭駭 未依規立即停止播放將斷電 自由時報電子報
165專線「1日3千通」 2022年「假確診釣魚簡訊」詐騙電話量創新高 ETtoday新聞雲
殭屍網路病毒 Mirai變種RapperBot採用新型態暴力破解手法入侵連網設備 iThome Weekly電腦報
【資安日報】4月21日，久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式 iThome
科技創新不受疫情影響，聯發科宣布第 3 屆智在家鄉創新競賽照常舉行 科技新報網
訂閱資安新聞週報
既有法遵面臨挑戰 雲世代資安長如何應對？ 電子時報網
AWS針對雲端時代下的資安長發表觀點，AWS台灣暨香港總經理王定愷提到，資安不僅是雲端團隊的責任，更是企業共同責任。其中報導引用趨勢科技台灣區技術總監劉家麟建議，雲端資安的第一步，是先強化環境的可視性，藉由持續性的自動化檢查與修復能力，為資安人員提供資產、服務與設定的可視性，同時減少雲端服務成本與縮短解決問題的時間
Google搜尋2021 Webspam報告：過濾垃圾網站數量是2020年的六倍 Xfastest Media
由週四發佈的“網路垃圾偵測（Webspam）報告“可知，Google搜尋在 2021 年過濾的垃圾網站數量、竟是 2020 年的六倍。據悉，作為 Alphabet 旗下子公司，Google 有一套名為 SpamBrian 的人工智慧垃圾過濾系統，並且可在超過 99% 情況下實現“不受垃圾所困擾”（spam-free）的搜尋體驗。
獨家／Gmail這封信「盜光你存款」！資安專家曝自保之道 三立新聞網
Google 官方發出警告，提醒用戶若在使用Gmail時，看到一封來自官方的「祝賀郵件」，千萬別點開，因為這是新型的詐騙手法，若用戶點開後可能會造成個資外洩，甚至銀行帳密遭竊，盜走你所有積蓄。對此，資安廠商趨勢科技資深技術顧問簡勝財指出，詐騙手法層出不窮，民眾如果看到不認識且來路不明的信件不要輕易點開，若不小心點開了，就不要再點進信件裡面的連結或附件。
報導指稱Google透過特定免費字型追蹤使用者線上瀏覽行為 Mashdigi
英國每日郵報 (Daily Mail)報導指稱，Google透過提供特定免費字型讓使用者下載安裝，藉此追蹤使用者藉由裝置上網時的瀏覽行為。報導指稱，Google至少已經讓6000萬個網站使用這些免費字型，並且標榜能加快網頁內容在手機、平板或PC端載入速度，但顯然同時也會將使用者用於瀏覽網頁的裝置名稱、所瀏覽網頁，以及在特定網頁停留時間與相關點擊行為等資訊，都會逐一回送給Google進行統計，藉此用於精準廣告投放。
AI工具激增！業界警告：更容易大量製造真假難辨的「網路詐騙」 新頭殼
國際網通設備大廠思科(Cisco System)發出警告，指像ChatGPT等人工智慧軟體會讓網路釣魚詐騙更難被檢測，思科的安全與合作部門主管佩戴爾(Jeetu Patel)指出，人工智慧(AI)工具可快速製作出大量、內容難辨真偽的駭客騙局內容。因此企業必須採取新的防範措施。
駭客到底多愛《艾蜜莉》！數百萬人誤用「假ChatGPT」 臉書慘被盜「大頭貼全變成她」 聯合新聞網
近期傳出多起偽造的ChatGPT擴充程式，透過系統漏洞，竊取下載的使用者個資 ，並成功盜用許多臉書 帳號，將其改成《艾蜜莉在巴黎》女主角莉莉·柯林斯的照片，目前已經有數百萬以上使用者受害，而駭客 仍試圖詐騙更多人牟利。
自由共和國》鄭景平、林宗男／金管會該明確面對 ChatGPT帶來的個資與隱私挑戰 自由時報電子報
自ChatGPT上線以來，文字生成式AI模型已經對人們的生活造成許多衝擊，許多企業也已經或打算將ChatGPT導入工作流程中。據報載，國內已經有銀行開始採用ChatGPT來協助處理客戶的KYC調查（Know Your Customer）。然而，ChatGPT雖然方便、好用，卻也帶來新形態的隱私與資訊安全風險。
要防iPhone遭竊並降低損害？能用這三招 經濟日報網
華爾街日報最近的報導指出，一些iPhone竊賊正在利用一種名為恢復密鑰的安全設定，致使iPhone持有人幾乎無法看手機裡的照片、訊息和資料等。一些受害人甚至表示，在竊賊取得手機內金融應用程式的進入權限後，他們銀行帳戶裡的錢被提領精光。
睿控網安助攻數位韌性 對戰駭客 守護製造鏈 經濟日報(臺灣)
製造業等數位韌性不足、資安能力脆弱的企業近年成駭客攻擊目標。睿控網安TXOne Networks以專注工業生產線、工業物聯網（OT）資安的技術能力成為市場一方之霸，吸引投資圈注意，去年完成兩次B輪融資，拿下8,080萬美元（約新台幣24.8億元），是去年台灣募資最好的新創。
【錯誤】網傳簡訊「您好，我是疫情防疫志願者，請添加line配合疫情防疫工作」？ 台灣事實查核中心
資安專家說，經檢視傳言訊息LINE連結，該帳號是假帳號；與疫情相關的公家機關訊息群組，不會使用個人大頭貼照片；專家也說，各地衛生所的防疫人員，在做疫調的時候，會以電話通知民眾，並且清楚地表明身份單位，不會以個人的Line帳號來和民眾聯繫。
NFT交易平台Open Sea被駭！百萬美元BAYC收藏品遭竊 新頭殼
近期出現假冒快篩試劑業者，在「一頁式網站」販賣快篩，用比較低廉的價格，吸引民眾上鉤。對此，警方強調，一頁式網站購物沒保障，藥局也指出，快篩是醫療器材，不能隨意販售，提醒民眾別受騙。
駭客入侵無聊猿猴IG帳號，盜走粉絲價值數百萬美元的NFT iThome
新興的非同質化代幣（NFT）不斷遭到駭客覬覦，繼於今年4月初入侵Discord伺服器以廣播詐騙的NFT鑄幣訊息之後，無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）的官方Instagram帳號本周一（4/25）再遭到駭客入侵，駭客利用同樣的手法，於BAYC的IG帳號上張貼詐騙連結，盜走了受害者錢包中的91個NFT，價值超過280萬美元。
別上當！詐騙集團成立「王雪紅也飆股」 宏達電：保留法律追訴權 TVBS
詐騙集團猖獗，近來社群媒體充斥「假名人投資詐騙」，詐團假冒名人名義，透過臉書、Instagram等吸引投資客加入飆股社團，宏達電（2498）董事長王雪紅近來也受害，聲稱可領免費教學，民眾花500元菜錢就能投資。對此，宏達電聲明直言：「王雪紅董事長未經營FB粉絲團。」將保留法律追訴權。
一頁式廣告詐騙又來！ 假冒業者賣低價快篩 民視新聞網
NFT交易平台Open Sea昨(25)日遭駭，價值近百萬美元的NFT收藏品都被駭客竊取，其中包括著名NFT收藏品Bored Ape Yacht Club和其他NFT收藏品。目前Open Sea已經將駭客NFT交易的帳號封鎖，駭客所偷竊BAYC收藏品不會再被轉移或進行任何交易，但BAYC是否會回到原本用戶的手中，目前BAYC及Open Sea都還沒給出一個回應。
沒這麼好康！ 台中2021「投資詐騙」財損上億元 民視新聞網
網路投資，當心沒賺反倒賠！疫情期間，民眾宅在家，使用網路時間變長，台中市刑警大隊統計，2021年前三大詐騙，第一名就是「投資詐欺」，財損高達1億多元，通常詐騙集團，會先讓被害人小額獲利，等到上當加碼投資，辛苦錢就會石沉大海。
Google Authenticator開始與Google帳號同步，不必再擔心裝置遺失 iThome
Google是在2010年推出Google Authenticator，可安裝於Android或iOS手機上，當使用者造訪支援Google Authenticator的服務或網站時，這些程式/網站可運算並要求使用者輸入一個6~8位數的一次性密碼，作為尋常密碼之外的第二階段驗證因素，裝置上的Google Authenticator便會運算並顯示該密碼，供使用者輸入以驗證身分。
Google出大絕！整合兩大AI團隊創立Google DeepMind TechNice 科技島
Google母公司Alphabet似乎真的要對微軟威脅全力以赴了。據報導，該公司正在將其兩大人工智慧研究團隊 Google Brain和DeepMind合併，並將成為「Google DeepMind」。在Alphabet和Google首席執行長Sundar Pichai分享的一篇文章中，他說合併後的小組將「大大加快我們在人工智慧方面的進展」。
Google、OpenAI都從這裡白拿內容！「美國PTT」Reddit將向AI巨頭們收費 數位時代
近年來，Reddit論壇上的聊天內容已成為谷歌、OpenAI和微軟等公司的免費訓練工具，用於開發人工智慧系統。現在，許多業內人士認為，這些人工智慧系統將成為科技行業的下一個大事件。
趨勢科技推出Trend Micro One網路資安平台 工商時報電子報
企業隨時都在對抗來自四面八方的攻擊，面對複雜且日益擴大的受攻擊面以及持續攀升的網路資安風險，資安團隊早已因資安產品的各自為政而疲於奔命。因此，趨勢科技推出一套全方位的資安平台，能持續評估風險與威脅，幫助企業盤點受攻擊面、分析網路資安風險，進而防範並回應威脅。
AWS安全合規滿足客戶掌控雲端資料需求 賦能雲世代資安長 Ctimes
安全合規的環境日益複雜，全球有132個國家與地區已制定資料保護和隱私相關法規。台灣金融監督管理委員會（金管會）在2021年頒布設立資安長（CISO）的新準則，資安長不僅需要肩負風險管理的責任，亦須在業務拓展上扮演重要推手。
SailPoint：做好身分帳號管理才能做好企業資安 科技新報網
對於企業主來說，資訊安全是現今最重要的議題，不過對於多數的企業來說，對於「資安」的印象可能大多會認為是做好防火牆、嚴防駭客入侵，但其實做好每位員工的身分帳號管理，也是需要重視的一環。
Atlassian修補Jira元件重大安全漏洞 iThome
這項編號CVE-2022-0540的漏洞為Jira及Jira Service Management的Web驗證框架Seraph內的驗證繞過漏洞，可讓未獲授權的攻擊者傳送惡意HTTP呼叫繞過外掛模組WebWork action的驗證以執行指令。Atlassian將本漏洞嚴重等級列為重大（critical）。
【資安日報】2022年4月26日，勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線 iThome
在勒索軟體攻擊行動裡，駭客用來投放勒索軟體的惡意程式，也扮演了重要的角色。例如，上述事件的攻擊者利用了惡意軟體IcedID，而勒索軟體駭客Conti則是使用了BazarLoader來執行相關任務。但為何資安系統難以發現BazarLoader的攻擊意圖？此惡意軟體利用Windows的API執行，且駭客在程式碼裡運用罕見的混淆手法來埋藏攻擊特徵。
北市線上課酷課雲狂當機 蔡炳坤：國外駭客4波攻擊 自由時報電子報
國內疫情升溫，台北市國、高中學生昨起進行在家線上教學演練一週，據台北市教育局統計，演練學生數約12萬餘人，卻頻傳酷課雲當機，台北市副市長蔡炳坤今表示，昨下午1時5分發生大流量登入，導致系統中斷1小時，經查是來自國外IP、每秒1萬次登入的大量攻擊，也就是所謂的DDOS阻斷服務攻擊，到剛剛記者會開始前已有4波攻擊。
助攻企業 5G 專網 趨勢科技加入Microsoft私有邊緣運算生態系 科技島
趨勢科技在2023 年德國漢諾威展 (Hannover Messe 2023)宣布加入Microsoft私有邊緣運算生態系，成為Azure 私有 5G 多接取邊緣運算 (MEC) 軟體合作夥伴，將帶動在Azure上安全地建置5G專網的普及。
1999引進ChatGPT 桃市議員憂個資外洩 自由時報電子報
桃園市政府規劃將「ChatGPT」人工智能用在一九九九市民諮詢服務熱線，昨天成為議會焦點議題，跨黨派議員普遍擔心民眾個人資料外洩，也對其可信度質疑；副市長蘇俊賓答詢說，ChatGPT用於一九九九會「去識別化」，不會有個資洩漏問題，未來利用ChatGPT的語意、系統邏輯等強項，進行議題分析，讓一九九九服務更精進。
製造業淪為勒索軟體攻擊最大重點目標 科技新報網
網路資安廠商 Fortinet 釋出了「2023 年勒索軟體威脅報告」。結果顯示，勒索軟體對全球供應鏈帶來的威脅持續升級，即使企業認為內部已落實全面性的資安防護，卻仍有高達半數的企業，淪為勒索軟體攻擊的受害者。此外，Fortinet亦發現，多數企業組織在應對勒索軟體威脅時，依舊會以支付贖金來解決攻擊事件，其中製造業在實際付款的比例和遭駭客索取的金額方面，更是在所有產業裡排名最高。
繼資安大廠趨勢科技（Trend Micro）發現並通報影印機管理軟體公司PaperCut名下的管理系統PaperCut MF/NG出現兩個名為CVE-2023-27350和CVE-2023-27351的安全漏洞，後者在澳洲東部時間25日發布緊急安全公告，指出已經釋出補丁，呼籲全球逾一億名客戶盡速執行更新動作，避免未來因此遭到駭客攻擊。
【資安日報】4月25日，PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成 iThome
上週列印管理系統供應商PaperCut提出警告，該公司於1個月前修補的高風險漏洞出現攻擊行動，資安業者Huntress提出警告，根據他們的調查，大部分的PaperCut用戶仍在使用存在漏洞的軟體版本，呼籲IT人員儘速安裝更新程式。
法務部調查局本部大火，起火點位在調查官的辦公大樓資通安全處1樓，調查局回應，資料每天備份，也有存在「異地備援」，不用擔心，初步推測是機器設備負載量過大，悶燒導致迅速燃燒，但現在依然無法排除人為縱火的可能性！
中共複合式威脅 國安局提4大面向與因應作為 中央通訊社
針對中共近年威脅動作頻頻，國安局指出，中共藉軍事威懾、認知作戰、經貿拉壓及網路駭侵等手法，對台進行複合式威脅，將加強掌握中共策略作為，即時提供網防措施偵阻等因應作為，亦與國際友方合作掌握共軍動態並強化戰略預警。
Telegram「截圖詐欺」持續蔓延 背後原理與搶救方式全解析 CTWant
從大約2月起，知名加密通訊Telegram（俗稱TG、紙飛機）就傳出大量詐騙集團盜取帳號的事情。時至今日，這起盜帳號的行為不僅沒有被遏制，反而越演越烈，詐騙集團抓準了各種人性與Telegram系統上的漏洞，直到近期還能聽到有人遭到盜取帳號。
防堵網路詐騙 林右昌：已和line建立紅色通道 自由時報電子報
近年網路詐騙猖獗，內政部長林右昌今天表示，日前拜訪LINE公司，已經成立紅色通道，未來如果有緊急嚴重的詐騙事件發生，透過紅色通道，可立即將群組或網路頁面下架，減少被詐騙的可能性。
電子廣告看板遭駭 未依規立即停止播放將斷電 自由時報電子報
美國前眾議院議長裴洛西去年8月訪台時，有超商、台鐵、公務機關電子廣告看板遭駭，出現謾罵裴洛西的簡體字，為防止類似情形再度發生，內政部日前公告「招牌廣告及樹立廣告管理辦法」，電視牆、電腦顯示板的招牌廣告有資安及社會公共利益疑慮者，主管機關應以命其立即停止使用並改善，經同意後始得恢復，若違反規定將斷電。
165專線「1日3千通」 2022年「假確診釣魚簡訊」詐騙電話量創新高 ETtoday新聞雲
165第一線人員發現，早上詐騙型態大多是「假檢警」或「猜猜我是誰」，受害對象大多是長者；傍晚開始，型態轉成「解除分期付款」和「假名人投資詐騙」，成員們印象最深刻的案件是2022年假衛福部確診釣魚簡訊，當時一天電話量就高達2到3千通，還有民眾打不進來！
殭屍網路病毒 Mirai變種RapperBot採用新型態暴力破解手法入侵連網設備 iThome Weekly電腦報
殭屍網路Mirai又有新的攻擊行動了！Palo Alto Networks近日指出，他們發現新的Mirai變種病毒，鎖定企業多種類型的網路設備與應用系統下手，包含SSL VPN設備、網路防火牆、網路交換器、無線路由器，以及裝置管理平臺等。
【資安日報】4月21日，久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式 iThome
駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。
科技創新不受疫情影響，聯發科宣布第 3 屆智在家鄉創新競賽照常舉行 科技新報網
聯發科 20 日宣布，雖然受到全球性的疫情影響，但是第 3 屆「智在家鄉」數位社會創新競賽仍將正常舉辦，即日起至 7 月 15 日止開放線上報名。聯發科董事長蔡明介表示，「智在家鄉」 競賽是為社會創新團隊所打造的平台，在此時更應該踏穩腳步，鼓勵關懷家鄉的民間力量。