本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 部分9.8 分高風險漏洞,攻擊的可能性卻很低！如何判斷修補更新優先順序，強化勒索病毒防禦？
- 網路資安風險下降然 78% 的企業仍憂心未來一年遭駭客鎖定
- 「媽，我被綁架了！」小心你上傳的短影片, 3秒就被AI 做成「分聲」詐騙你媽
- Google Chrome更新錯誤？一按修復安全問題,你的電腦就變挖礦機!
- 資安營運進化的三種方式
- 執行資安策略最常被員工抱怨的三件事！如何化阻力為助力？
- 《上週資安新聞周報》既有法遵面臨挑戰 雲世代資安長如何應對？/ 別點開Gmail這封信 帳戶錢財恐不保 Google警告用戶注意 / AI工具激增！業界警告：更容易大量製造真假難辨的「網路詐騙」
⭕️【資安大會 即將登場】，最不能錯過的超級品牌，立馬點選，一目瞭然
https://trend-tw.com/2Bm8a/趨勢科技主場議程
優先掌握 ➤ Trend Vision One 攻擊面風險管理，提高可視性，基於零信任架構，主動發掘威脅，搶先一步掌握防禦先機
☞ https://trend-tw.com/OYK0U/安全團隊不再分身乏術
主題演講 ➤ 美國政府網路資安成熟度及實行零信任架構的實戰經驗
☞ https://trend-tw.com/3Xxh4/台灣企業機構能學到什麼?
資安新聞精選
AI驚動白宮！美國出手召OpenAI、Google、微軟開「國安會議」 自由時報電子報
傳工程師擅用ChatGPT、外洩原始碼 三星亡羊補牢 MoneyDJ 理財網
駭客假造桌面版ChatGPT 透過Telegram傳送被盜數據 TechNice 科技島
CEO們終於說實話：人工智慧消滅的工作崗位將多的數不清 TechNice 科技島
TBK監視器爆長年漏洞 全球用戶陷資安風險 TechNice 科技島
【資安日報】5月3日，中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制 iThome
【資安日報】5月2日，俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊 iThome
蘋果釋出第一批修補零時差漏洞的快速安全更新 iThome
趨勢科技加入微軟私有邊緣運算生態系 推動5G專網 中央通訊社
防駭悍將資安長 遠見雜誌網
收到簡訊、郵件看清楚！資安業者公布「駭客最愛冒用」9 大品牌 自由時報電子報
金管會防詐騙 為何對「約定轉帳」開第一槍？ 經濟日報網
金管會：IM.B若違法吸金將重罰 工商時報
金管會修法 投資廣告禁止六行為 工商時報
網路資安升級！國科會攜手清大打造全台首座量子加密通訊 經濟日報網
刑事局公布112年首季高風險賣場 蝦皮購物回應：平台無個資外洩 三立新聞網
美代表團討論印太安全 鄭文燦闢謠：非賣軍火 民視新聞網
防堵詐騙！ 數位部與無店面公會合作推動防詐平台 經濟日報網
LiTV遭駭財損近3千萬元 刑事局拘提前工程師送辦 中央通訊社
【資安日報】4月27日，中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來 iThome
【資安日報】4月24日，美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案 iThome
2022年Google阻止143萬個惡意軟體、超過20億美元的詐騙 史塔夫科技事務所
Cynet 360 AutoXDR 內建欺敵誘捕技術，在各攻擊階段檢測威脅並採取措施 iThome
駭客假造桌面版ChatGPT 透過Telegram傳送被盜數據 TechNice 科技島
網路上出現一款偽裝成ChatGPT桌面版軟體，但實質上卻是竊取受害者Google Chrome數據的新惡意程式。
AI驚動白宮！美國出手召OpenAI、Google、微軟開「國安會議」 自由時報電子報
科技界大打AI戰，生成式AI在全球掀起熱潮，但也引發相當大的爭議，除了假新聞、資安等，還有失業問題更是讓人擔憂，路透社報導，美國白宮已經出手召集各大科技巨頭召開AI會議。
傳工程師擅用ChatGPT、外洩原始碼 三星亡羊補牢 MoneyDJ 理財網
NET、南華早報引述外媒報導，根據三星週一(5月1日)發出的內部備忘錄，旗下工程師曾在4月初不小心外洩內部原始碼，將之上傳至ChatGPT。由於上傳到ChatGPT、Bard、Bing等AI平台的資料主要儲存在外部伺服器，三星擔憂，資料恐怕難以收回並刪除，最終可能遭其他用戶挪用。
CEO們終於說實話：人工智慧消滅的工作崗位將多的數不清 TechNice 科技島
根據《Insider》報導，所有這些關於人工智慧的討論，時機並非巧合。艱難的經濟局勢與生成式人工智慧的出現不謀而合。這項技術使公司能夠進行裁員，並幫助提高效率。
TBK監視器爆長年漏洞 全球用戶陷資安風險 TechNice 科技島
資安大廠Fortinet旗下研究團隊警告，監視器業者TBK Vision的4104／4216系列錄影主機在2018年被發現，編號為CVE -2018-9995之安全漏洞正被網路犯罪者廣泛利用，藉此繞過身分驗證並取得管理員權限，盜取影片檔案。
【資安日報】5月3日，中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制 iThome
趨勢科技揭露中國駭客組織APT41旗下的Earth Longzhi攻擊行動，這些駭客針對臺灣、泰國、菲律賽、斐濟而來，其攻擊特徵是濫用Microsoft Defender的可執行檔來進行DLL側載，並發動自帶驅動程式攻擊（BYOVD），利用存在弱點的驅動程式zamguard64.sys來停用防毒軟體。
【資安日報】5月2日，俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊 iThome
在開戰期間，俄羅斯駭客頻頻針對烏克蘭發動網路釣魚攻擊，他們大多假借提供有關戰爭情勢、空襲警報的資訊來做為幌子，但現在這些駭客假扮成組織的IT人員，宣稱要收信人執行電腦更新的名義來進行情資收集的工作，而很有可能讓收信人信以為真，照著對方的指示操作。
蘋果釋出第一批修補零時差漏洞的快速安全更新 iThome
蘋果是在去年6月公布macOS Ventura時宣布快速安全更新（Rapid Security Update），這是在常規的安全更新以外，針對iOS及macOS已經遭到濫用的漏洞釋出的緊急安全修補程式，類似微軟的例外安全更新（out-of-band security update）。
防駭悍將資安長 遠見雜誌網
駭客已經變成一個新興產業，無差別攻擊大小企業、政府機關、銀行、廣告看板，物聯網也被稱是駭客圈Killer App（殺手級應用）。台灣重大資安事件頻傳，政府規定所有的上市櫃公司，必須在今年內設立資安長。此外，資安長除了抗駭外，更肩負企業數位轉型二次加速重責大任。趨勢科技總經理洪偉淦認為，內部培養資安人員才是正途，因為不管在業界或應屆畢業生，人員總數都過少。
收到簡訊、郵件看清楚！資安業者公布「駭客最愛冒用」9 大品牌 自由時報電子報
資安業者 Check Point Research 發布《2023 年第一季品牌網路釣魚報告》，列出駭客最愛冒用知名品牌，藉此誘騙民眾點擊惡意連結，或是下載釣魚軟體，科技業是最常成為假扮的對象。
金色財經報導，Web3反詐騙工具Scam Sniffer發文稱，近幾周陸續收到多個用戶被谷歌搜尋廣告釣魚的案例，經統計，這些谷歌搜尋廣告釣魚已導致416萬美元被盜，受害者超3000名，大部分被盜發生在近期一個月左右。 這些惡意網站偽裝成Zapper、Lido、Stargate、Defillama等項目，受害者進入惡意網站並在使用中過程簽署了惡意簽名，最終導致錢包里的資產丟失。
趨勢科技加入微軟私有邊緣運算生態系 推動5G專網 中央通訊社
資安廠商趨勢科技宣布，已獲選為微軟Microsoft Azure雲端運算平台的私有5G多接取邊緣運算軟體合作夥伴，將彼此合作拓展至快速成長的5G專網領域，目前已有多個與共同客戶合作的專案正在進行中。
金管會防詐騙 為何對「約定轉帳」開第一槍？ 經濟日報網
為防堵金融詐騙，金管會已發函給各銀行，做兩大要求，首先，民眾申請非本人的網銀、或電話語音銀行等做約定轉入帳號時，各銀行可視風險自行評估將生效日，從申請後「次一日」，改為「次二日」，延長約定轉帳到非本人帳號的生效時間。
金管會：IM.B若違法吸金將重罰 工商時報
P2P借貸平台im.B爆詐騙，投資人炸鍋。銀行局副局長童政彰2日指出，金管會近期持續接獲民眾指陳該公司疑有以「高利息假債權」收受民眾款項投資相關產品，似涉有違反銀行法規定，依法最重可處七年以上有期徒刑，併科2,500萬以上、5億元以下罰金。
金管會修法 投資廣告禁止六行為 工商時報
詐騙猖狂，行政院日前公布的「防詐三法」加速審查。金管會主委黃天牧3日將赴財委會修訂「投信投顧法」，包括投資廣告內容禁止六大行為，刊登者必須採「實名制」及違規「廣告下架」，力拚本會期過關，並要求網路平台業者落實廣告審查，否則須負「連帶損害賠償責任」。
網路資安升級！國科會攜手清大打造全台首座量子加密通訊 經濟日報網
國科會與清華大學發表台灣首座量子加密通訊網路，可達永久加密、且遭竊聽就偵測得到。下一步這項技術將在中華電信實際光纖測試，系統穩定後將推廣到台全網路，包括未來衛星通訊。
刑事局公布112年首季高風險賣場 蝦皮購物回應：平台無個資外洩 三立新聞網
刑事局日公布首季高風險賣場名單，其中蝦皮購物以781件位居冠軍，歹徒的詐騙方式包括以話術使被害人誤信為電商平台客服人員，進而依指示操作匯款受騙。對此蝦皮回應，平台個資保護完善，並無遭駭入或個資外洩情形，請用戶放心。
美代表團討論印太安全 鄭文燦闢謠：非賣軍火 民視新聞網
美台商會率25家國防產業公司代表團訪台，今天（5月2日）一大早到國防院參訪，雙方針對印太區域安全現況和俄烏戰爭可能的影響，進行廣泛討論。不少人誤解是「買賣軍火」，行政院副院長鄭文燦出面否認。事實上是「美中貿易戰」後，台灣的供應商備受關注，成了各國尋求合作的重要對象。
防堵詐騙！ 數位部與無店面公會合作推動防詐平台 經濟日報網
數位發展部數位產業署持續推動公私協力防詐合作，於4月26日與台灣高等檢察署、以及中華民國無店面零售商業，共同召開「公私協力網路防詐宣導合作會議」，針對假冒電商詐騙網址、電商物流隱碼及FIDO身份驗證技術等防詐措施進行討論，達成建立溝通平台，進一步落實相關公私協力防詐措施的推動及執行。
LiTV遭駭財損近3千萬元 刑事局拘提前工程師送辦 中央通訊社
線上影視平台LiTV日前遭駭客入侵並被惡意刪除營業用資料庫及雲端虛擬伺服器，財損近新台幣3000萬元，刑事局獲報後分析入侵日誌紀錄，循線拘提公司前陳姓資訊工程師送辦。
【資安日報】4月27日，中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來 iThome
中國駭客組織的攻擊行動不時傳出，最近有研究人員揭露駭客組織Evasive Panda針對非政府組織（NGO）人士而來的惡意程式攻擊行動，駭客藉由當地常見的即時通訊軟體QQ更新的名義來進行，但由於研究人員取得的證據不足，他們初步認為是供應鏈攻擊，但也不排除了對手中間人攻擊（AiTM）的可能。
【資安日報】4月24日，美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案 iThome
3月底網路電話系統製造商3CX傳出供應鏈攻擊，日前有資安業者發現源頭還有另一個X_Trader軟體供應鏈的事故，並指出在3CX之外還有其他組織也可能受到影響。賽門鐵克指出，他們至少發現有4個關鍵基礎設施（CI）遭到攻擊，其中有2個是能源領域（美國、歐洲各有1個），另外2個是金融產業的組織。研究人員透露駭客入侵受害組織的手法，先是利用帶有數位簽章的安裝程式散布，然後於受害電腦部署後門程式。
2022年Google阻止143萬個惡意軟體、超過20億美元的詐騙 史塔夫科技事務所
確保 Google Play 上面的使用者和開發人員都安全，一直是 Google 的首要任務。「Google Play 安全防護」每天在數十億台的 Android 裝置上，持續掃描數十億個被安裝的應用程式，來保護使用者不會受到惡意軟體和垃圾軟體這樣的威脅侵害。
Cynet 360 AutoXDR 內建欺敵誘捕技術，在各攻擊階段檢測威脅並採取措施 iThome
在網路安全的世界裡，欺詐技術對於檢測已經滲透到環境中的對手非常有用。之所以會成為重要防禦技術的原理相當簡單，在最壞的情況下，攻擊者會以某種方式繞過邊界安全控制並成功入侵您的網路，部署具有吸引力的誘餌主機、檔案、網路等，當攻擊者存取時，就能暴露他的存在。使用誘敵誘捕技術擴展了檢測能力，並提供額外的網路攻擊防禦層。