企業資安部落格文章精選（隨時更新）

從 Canvas 大規模外洩事件，看教育產業的供應鏈資安風險

2026 年 5 月，SHADOW-AETHER-015 外洩了 50 個國家共 8,809 家 Canvas 客戶的資料，這起事件的起因似乎是 Canvas 的母公司 Instructure 的平台後端系統遭駭客入侵所導致。此次外洩事件影響了全球各地的大專院校、幼稚園至高中 (K-12) 學區，以及教學醫院，其中包括八家常春藤聯盟 (Ivy League) 學校。由於 Canvas 會儲存個人揭露的敏感資訊，例如：住宿申請時的醫療資料以及與顧問的私人對話，因此其最大風險在於假借真實機構名義的高度針對性魚叉式網路釣魚。至於立即性的風險則包括：後續的社交工程攻擊、登入憑證濫用，以及針對性網路釣魚攻擊。

⟫ 完整文章

複製指令就中招？深入剖析假冒 Claude Code 的 InstallFix 攻擊鏈

• InstallFix 攻擊行動的社交工程技巧瞄準了正在尋找 Anthropic Claude AI 的使用者，透過 Google Ads 來推銷假的安裝網頁，進而散布惡意程式。
• 駭客會利用逼真且對應作業系統的安裝指示來誘騙使用者執行惡意的 PowerShell 指令，進而啟動一個多重階段的感染鏈，包括使用 mshta.exe、加密編碼腳本，以及無檔案惡意程式散布技巧。
• 這起行動的感染鏈還包含了進階躲避技巧，例如：躲避 Windows 惡意程式掃描介面 (AMSI)、停用 SSL 憑證驗證，以及受害者專屬的幕後操縱網址，讓偵測與矯正變得更加複雜。
• TrendAI Vision One™ 的監測資料證實了駭客會建立排程工作來常駐於系統，同時也觀察到連上駭客 CC 伺服器的網路流量。
• 這起行動瞄準了美洲、亞太地區、中東與非洲 (AMEA) 以及歐洲的企業機構，包括政府機關、電子、教育、食品飲料等產業。

⟫ 完整文章

開發者請注意！Void Dokkaebi 偽裝面試邀請，透過 GitHub 散布惡意程式

TrendAI 對 Void Dokkaebi 行動的研究發現，該組織發起了一場將遭感染的開發者程式碼儲存庫，轉變為惡意程式散布管道的攻擊行動。由於攻擊透過受信任的工作流程、企業程式碼庫與開源專案擴散，因此可能從單一入侵事件，進一步升級為更廣泛的供應鏈風險。

⟫ 完整文章

AI 時代的數位分身量產：員工身分成為新的攻擊目標

身分已成為現代化企業的主要攻擊面。隨著企業不斷擴大至雲端平台、SaaS 生態系，以及分散式工作人力，駭客也越來越常利用人類行為、組態設定錯誤以及控管不連貫的漏洞來發動攻擊。根據 2025 年 Verizon 資料外洩調查報告 (Data Breach Investigations Report，簡稱 DBIR) 指出，將近 60% 的資料外洩都涉及了人為因素，包括：錯誤、濫用或社交工程。

繼續閱讀

從假檢警結合「來電轉接」接管手機，到報稅季假退稅通知、AI 生成假影片、假投資資訊，近期詐騙手法正快速升級，甚至開始利用 AI 技術與日常服務增加真實感。許多受害者並非因為貪心，而是在「協助查證」、「驗證帳戶」或「處理問題」的過程中，一步步交出個資、驗證碼與金融控制權。

本週我們整理近期最受關注的詐騙新聞，包括「**21*」來電轉接金融接管、假 LINE Pay 驗證信、假皮克敏客服、AI 假監視器影片，以及報稅季常見退稅詐騙等案例，帶你快速掌握最新詐騙趨勢與防範重點。

⭕️ 重點預覽：

• 一、假檢警詐騙結合「**21*」來電轉接　⚠️
• 二、報稅季詐騙升溫　假退稅通知大量出現
• 三、AI 假影片、假新聞增加　真假愈來愈難辨
• 四、假投資詐騙升級　冒名企業家與政府機關
• 五、LINE Pay驗證信、《皮克敏 》遊戲客服也成詐騙目標
• 六、「老闆加 LINE 群要求匯款」1633萬元飛了

繼續閱讀

在物價高漲、好房難求的時代，看到裝潢精美、地段優越且租金合理的房子，總讓人想立刻衝去簽約。然而，這些看似完美的「夢幻物件」，背後往往隱藏著精心設計的陷阱。

---

「寄鑰匙給你自己去看房」詐騙劇本三套路

許多詐騙集團利用租客求屋心切的心理，偽裝成身處外地的房東，試圖用一場「看不見人」的交易騙取您的信任與金錢。請注意，如果您在私訊房東的過程中，發現對方的回覆中出現了以下這幾種似曾相識的『關鍵字』，請務必提高警覺，因為這極有可能是租屋詐騙集團慣用的劇本套路：

1. 「人在離島/國外，無法親自帶看」

繼續閱讀