受新冠狀病毒(COVID-19,俗稱武漢肺炎) 的影響，全球企業都急於將資源和基礎架構移轉到雲端，而這也使得企業的受攻擊面從企業內部轉移到了雲端。
受 Covid-19 疫情的影響，全球企業都急於將資源和基礎架構移轉到雲端，而這也使得企業的受攻擊面從企業內部轉移到了雲端。然而急就章的同時，卻也帶來了一些 IT 資安部門從未面對過的受攻擊面。雖然 IT 資安部門已經知道如何保護企業內 DevOps 團隊的應用程式開發與發布作業，甚至是將準備上線的服務和容器發布到雲端。但當整個應用程式建構流程都全部移轉至雲端時，資安團隊卻不一定了解相關的資安風險。
最近出現了一個新型的 Linux 惡意程式叫作「DOKI」，它會攻擊各主要雲端廠商對外公開的 Docker API。駭客使用一個之前發現的漏洞攻擊技巧來入侵容器環境，但有關 DOKI 惡意程式的文獻記載卻是直到最近出現。
繼續閱讀關於防護物聯網（IoT ,Internet of Thing）安全的話題，通常專注在現今市場上的”物”或裝置。雖然不可否認地，連網裝置會帶來資安挑戰，但網路（在建立物聯網環境安全的作用中）同樣重要。
這段在家工作(Work-From-Home,WFH)的期間也讓網路需求不斷地增加，因為遠端作業更加地需要物聯網。所以現在也是時候來重新檢視網路安全防護。簡單來說，使用者不該將重心放在保護可能危及網路的單一裝置，而應該是要防護整個網路，最大限度地減少跨多裝置的威脅。
物聯網裝置的漏洞是使用者必須面對的現實。網路上的裝置越多，追踪和防範可能危及整體環境的威脅也就越加困難。為了防止物聯網裝置被用來進行如分散式阻斷服務（DDoS）之類的攻擊，使用者在使用這類裝置時必須要記得應用最佳實作。
使用LINE 時候，常會在聊天頁面頂端出現廣告,提醒大家,不肖業者刊登以誇張的標題吸引你點進去後，再以假的用戶見證,誘導你加好友、註冊。常見的方式有「點擊添加老師 LINE」「點擊添加客服 LINE好友」,一步步地誘惑你掉進陷阱！
網路詐騙完全沒有衰退的跡象,藉由假的通知及訊息誘導至釣魚詐騙網站的手段日新月異。遇到網路詐騙該怎麼辦?
發現詐騙第一時間,按下「X」的按鈕也無法關閉標籤怎麼辦?
你的電腦及智慧型手機上是否曾顯示過「無人在家,已將訂購貨品帶回」 、「發現你的裝置感染病毒」、 「已完成成人網站登錄,請付款」 、「恭喜您中了最新 iphone」 等的訊息呢。其實這大多是謊言，目的在於利用你的不安及突破心防，讓受害人支付金錢及輸入個人資訊的手段。
這些網路詐騙的主要誘因是，詐騙簡訊及詐騙郵件、網路犯罪者所刊登的惡意網路廣告、被網路犯罪者所篡改的網站。其中，惡意廣告不僅僅會出現在成人網站及影視網站上，甚至也會出現在正規的網站上，如果你還抱持著「只要不連結上可疑的網站就安全了」的心態就太消極了。以下讓我們看看網路詐騙的五個代表性手法。
顯示「發現病毒」、「系統檔案毀損」等假資安警告訊息手法，在技術支援詐騙（Tech Support Scam）及假警告文上經常可見。技術支援詐騙是一種誘使用戶向假技術支援中心撥打電話，不僅會利用支援服務的費用的名義騙取金錢，還會要求傳送姓名及郵件地址、電話號碼、信用卡等的資訊。另一方面，假的警告訊息，會以系統修復及刪除病毒的名義，催促用戶下載軟體，企圖使受害人安裝垃圾郵件軟體。藉此從垃圾郵件的聯盟行銷（Affiliate）中獲得收入。
在WannaCry 想哭勒索病毒肆虐全球之際,曾經發生過警方接獲通報一名用戶在上網時電腦忽然跳出感染 WannaCry 勒索病毒警告視窗，且無法關閉。受害者不疑有他撥打電話視窗上假冒微軟技術支援的電話,並被騙取約12500元台幣安裝「惡意軟體移除工具」。
上述這個畫面是針對電腦所發出的假防毒軟體範例
這個畫面是電腦被病毒感染時所出現的「假防毒軟體」的詐騙訊息。掃瞄電腦的畫面出現過後，會似有似無的顯示好像電腦遭受到很大的衝擊，且顯示感染病毒的樣子，這是企圖矇騙用戶購買假防毒軟體。
即便按照指示安裝好的軟體，也不會具有檢測及移除病毒的功能。除此之外，購買軟體時所輸入的個人資訊、信用卡資料等的訊息都有可能會落入駭客的手裡，進而出現金錢損失的狀況。
繼續閱讀
趨勢科技研究人員在 Google Play 上的三款不同應用程式上都發現 Content Provider 路徑瀏覽漏洞，其中一個應用程式已經累積 5 百萬次下載。這三個應用程式分別為：鍵盤客製化應用程式、 知名百貨公司購物應用程式，以及歐洲心臟學會 (European Society of Cardiology，簡稱 ESC) 應用程式。還好，前兩個 (鍵盤與百貨公司) 應用程式目前開發廠商已經修正，但 ESC 應用程式截至本文撰稿為止仍尚未修正。經過進一步的研究顯示，此漏洞很可能被用來竊取私密資訊。以下提供漏洞分析以及一些協助開發人員在未來避免此類問題的一些建議。
要了解此漏洞，首先必須先了解一下什麼是 Content Provider (內容供應器)？根據 Android Developer 網站的說明，這是一個讓某個處理程序中的資料能被另一個處理程序使用的標準介面。它能將資料包裝起來然後提供介面給應用程式使用，同時也提供一個建立資料防護的機制。而這也是應用程式彼此之間共享資料所必需的。
這些網路詐騙的主要誘因是，詐騙簡訊及詐騙郵件、網路犯罪者所刊登的惡意網路廣告、被網路犯罪者所篡改的網站。其中，惡意廣告不僅僅會出現在成人網站及影視網站上，甚至也會出現在正規的網站上，如果你還抱持著「只要不連結上可疑的網站就安全了」的印象的話那您就太落伍了。以下讓我們看看網路詐騙的幾個代表性手法。
繼續閱讀本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
芭比娃娃製造商Mattel遭到勒索軟體攻擊 IT Home
Oracle Solaris重大零時差漏洞遭駭客開採，曾潛伏企業內長達2年 iThome
Google再修補10個Chrome安全漏洞，當中一個已被開採 iThome
被勒索軟體攻擊的雲端軟體業者Blackbaud面臨23起集體訴訟案 iThome
雙11年度大戲 電商繃緊神經催買氣 雅虎奇摩
Google發現Win7到Win10零日漏洞 微軟將盡速釋出安全修補 ETtoday新聞雲
Google「雲端硬碟」成駭客網路釣魚新招！外媒揭露詐騙手法 自由時報電子報
自由時報電子報
智慧農業也要留意資安！逾百個智慧灌溉系統未被密碼保護，但通報後仍有近80個可任人竄改設定 iThome
駭客趁疫情作亂 英美400醫療院所遭勒贖軟體攻擊 中央通訊社
暗網搶手貨？駭客熱衷兜售Robinhood相關個資 本周近萬筆電郵資料遭洩 台灣蘋果日報網
台虎被消失！官方臉書不見 業者證實遭駭客入侵 台灣蘋果日報網
23萬網站被駭客挾持，因管理者未修補的RCE與任意檔案上傳漏洞惹禍！使用WordPress、Joomla、Drupal的網站都要注意 iThome
CISA與FBI聯手警告：駭客正鎖定醫療院所展開Ryuk勒索軟體攻擊 iThome
FBI警告：駭客藉由配置錯誤的SonarQube實例竊取政府機構與私人企業的原始碼 iThome
Maze勒索軟體也宣布退出江湖，Egregor接手資產 iThome