Adobe疑似資料外洩事件，駭客聲稱取得大量客戶與員工資料

來源：https://www.ithome.com.tw/news/174920

近日國外資安媒體Cyber Security News、Cybernews等報導，軟體大廠Adobe疑似發生資料外洩事件，攻擊者聲稱取得1,300萬筆內含個人資料的客戶支援工單（support ticket），1.5萬筆員工紀錄，還有涉及HackerOne漏洞懸賞平臺的資料，Adobe尚未就此事件發布正式聲明，實際情況仍待釐清。

這起疑似資料外洩事件，最初是資安社群International Cyber Digest在X（Twitter）平臺上發布訊息，駭客Mr. Raccoon宣稱透過入侵Adobe支援系統，取得支援工單與員工資料，隨後多家資安媒體轉述此消息，並補充相關細節。

Cyber Security News在這起事件的報導中指出，攻擊者表示並非直接入侵Adobe系統，而是從Adob​​e的一家印度業務流程外包商（Business Process Outsourcing，BPO）著手，透過惡意電子郵件在一名外包商員工電腦上部署遠端存取工具，然後逐步擴大控制範圍。令人訝異的是，該BPO廠商的客服系統，竟允許提出單一請求即可大量匯出內含敏感資料的支援工單文件，如客戶個人資料，以及報修技術問題描述等，顯示支援工單平臺可能存在存取控制設定錯誤——允許大量匯出資料，而沒有觸發安全控制或速率限制機制。外洩資料中，還包括從HackerOne漏洞懸賞平臺提交的資料，這意味著可能有尚未公開的漏洞，或其他資安訊息因此洩漏。

雖然Adobe尚未公開回應這起事件，不過，單就攻擊者聲稱的入侵手法而言，也凸顯業務外包及外包商資料存取可能帶來的資安風險。

'

GitHub Copilot CLI新增Rubber Duck審查代理，以雙模型審查機制提供第二意見

來源：https://www.ithome.com.tw/news/174915

GitHub在Copilot CLI中以實驗模式推出名為Rubber Duck的新功能，透過引入不同AI模型家族作為獨立審查者，在程式碼代理的關鍵工作階段提供第二意見，藉此降低AI自動產生程式碼時累積錯誤的風險。

現行AI程式開發代理的工作流程通常是評估任務、擬定計畫、實作、測試，再根據結果迭代修正。該流程雖然有效，但要是代理在早期規畫階段做出錯誤判斷，後續所有工作都會建立在有問題的基礎上，等到開發者察覺時，往往已經牽連多處程式碼。過去的做法是讓模型自我審查，但同一個模型受限於相同的訓練資料與偏差，很難發現自身盲點。

Rubber Duck的做法，是引入不同模型家族擔任獨立審查者。當使用者在Copilot CLI的模型選擇器中選用Claude系列模型作為主要模型時，Rubber Duck會以GPT-5.4進行獨立審查，提出主模型可能遺漏的細節與值得質疑的假設，以及需納入考量的邊界情況。GitHub表示，目前Claude家族模型Opus、Sonnet與Haiku皆可搭配Rubber Duck使用，也正探索GPT-5.4擔任主要模型時的其他模型組合。

GitHub以開源專案中大型、高難度的實際程式問題SWE-Bench Pro進行評測，結果顯示Claude Sonnet 4.6搭配由GPT-5.4驅動的Rubber Duck，可補上Sonnet與Opus之間74.7%的效能差距。在跨越3個以上檔案，通常需要70個以上步驟的困難任務中，效果更明顯，較Sonnet基準高3.8%，在三次試驗辨識出的最困難問題上則高4.8%。

在觸發機制上，Rubber Duck會在3個檢查點自動啟動，分別是規畫草案完成後、複雜實作完成後，以及測試撰寫完成但尚未執行前。此外，當代理陷入迴圈無法推進時，也會主動尋求Rubber Duck的回饋。使用者則可在任意時間點手動要求Copilot進行審查。GitHub強調，Rubber Duck僅在回饋價值最高的時機介入，以避免干擾正常工作流程。

目前該功能需在Copilot CLI中執行/experimental斜線指令啟用，並需具備GPT-5.4的存取權限。GitHub表示，Rubber Duck較適合用於複雜重構、架構變更、高風險任務，以及需要確認測試覆蓋率是否完整的情境。

'

【資安日報】4月8日，APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施

來源：https://www.ithome.com.tw/news/174916

美國破壞APT28架設的AiTM網釣基礎設施，駭客綁架TP-Link路由器從事DNS挾持活動

4月7日美國司法部（DOJ）與聯邦調查局（FBI）宣布，他們取得了法院授權，於美國境內破壞與俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下駭客團體APT28（Sofacy Group、Forest Blizzard、Fancy Bear）設置的網路環境，此網路是經由綁架多臺SOHO路由器所組成，駭客將其用於對俄羅斯當局關注的軍情目標，進行惡意DNS挾持活動，範圍涵蓋軍事單位、政府機關，以及關鍵基礎設施。

美國司法部指出，APT28至少從2024年開始，利用已知漏洞竊得全球數千臺TP-Link路由器憑證，然後竄改這些路由器的DNS設定，使其導向GRU控制的惡意DNS解析器。值得留意的是，駭客後來導入自動過濾機制，攔截特定的DNS請求。他們針對特定的目標，透過解析器提供特定網域名稱的假DNS紀錄，藉此模仿合法的IT系統服務，其中一種是Microsoft Outlook Web Access。

APT28從事網釣攻擊活動FrostArmada，藉由路由器DNS組態將受害者導向AiTM基礎設施

Lumen旗下的資安實驗室Black Lotus指出，他們追蹤APT28從事名為FrostArmada的攻擊活動，駭客入侵邊緣設備並竄改DNS組態，將與身分驗證有關的流量進行重新導向。駭客這麼做的目的，就是將指定的受害者導向AiTM基礎設施，並在幾乎不需與使用者互動的情況下，收集他們的憑證與權杖。值得留意的是，在去年8月英國網路安全中心（NCSC）公布Authentic Antics攻擊調查結果後，Lumen就看到APT28快速改變戰術，改以入侵路由器與DNS重新導向的手法進行相關攻擊。

資安廠商Zscaler指出，他們發現有人打著Claude Code leak的名號，於GitHub散布特定的ZIP壓縮檔，表明是利用Anthropic近期外流的原始碼，編譯具備特定企業級功能、無訊息限制的Claude Code，然而若是開發人員依照指示操作，電腦就有可能被植入竊資軟體Vidar，以及代理伺服器工具GhostSocks。

APT28滲透SOHO裝置從事DNS挾持活動，逾200家企業受害

針對APT28利用路由器等邊緣設備從事網釣的活動，微軟公布調查結果指出，APT28與附隨組織Storm-2754，從去年8月開始大規模綁架資安防護脆弱的SOHO網路設備，挾持DNS請求來收集特定網路流量。這些駭客還進一步向上游發動攻擊，入侵大型企業組織網路上游（upstream）的邊緣設備，藉由這類較少受到監控與管理的資產，探測企業的內部網路環境。該公司確認有超過200家企業組織、5,000臺消費型裝置受到影響。

對於駭客綁架上述設備的目的，主要與協助俄羅斯當局收集外國情報有關。他們透過DNS挾持活動，針對微軟網路郵件服務Outlook的TLS連線從事對手中間人攻擊。微軟指出，這是他們首度看到APT28利用邊緣設備、DNS挾持等技術來從事網釣的情況。

CERT-EU公布歐盟執委會網站資料外洩事件調查結果，證實與Trivy供應鏈攻擊有關

三月底歐盟執委會公布駭客攻擊事件，約350 GB的內部資料疑似外洩。近日歐盟電腦緊急應變團隊（CERT-EU）證實，此事和開源軟體Trivy遭遇供應鏈攻擊的事件有關。

經過近二週調查，CERT-EU證實，此次攻擊是近日爆發TeamPCP所為的Trivy供應鏈攻擊事件的一部分。駭客在Trivy資安事故當中，拿到特定的AWS API金鑰，而能控制和歐盟有關的AWS帳號。同一天駭客試圖呼叫Security Token Service（STS）來啟動憑證掃描，並驗證AWS憑證的工具，然後使用TruffleHog尋找其他憑證。

Storm-1175利用至少16個企業尚未修補的漏洞，於受害組織植入勒索軟體Medusa，最短在一天內就完成加密

為了滲透企業組織的網路環境，其中一種最常見的作法就是針對能從網際網路存取的應用系統，透過已知或未知的漏洞來達到目的，駭客通常還會在企業組織還無法及時修補或實施緩解措施的空窗期，利用這些漏洞來增加成功的機會。

最近微軟揭露中國駭客組織Storm-1175的攻擊活動，就是這種型態的例子。這些以經濟利益為動機的駭客，鎖定曝露在網際網路的系統，將廠商公開的已知漏洞（N-Day）快速打造成武器，在企業組織尚未普遍套用修補程式空窗期從事活動，一旦得逞，駭客就會迅速外洩資料並部署勒索軟體Medusa，大部分攻擊只有短短數天，有些甚至在1天內就完成。

疑不滿微軟處理態度，研究人員憤而公布Windows零時差漏洞BlueHammer

根據資安新聞網站Bleeping Computer的報導，自稱是Chaotic Eclipse的研究員近日透過部落格表示，他在GitHub公布名為BlueHammer的資安漏洞，並強調不會進一步說明漏洞細節，要「諸位天才」自行解析。這名研究員在GitHub說明網頁提及，概念驗證工具（PoC）存在一些臭蟲，目的是避免有人直接拿來用於實際攻擊，不過，他之後有可能會進行修正。值得留意的是，雖然Chaotic Eclipse並未說明漏洞細節，不過在字裡行間明顯表達了對微軟安全回應中心（MSRC）的不滿。

究竟上述漏洞的真實性與嚴重程度為何？Tharros首席漏洞分析師Will Dormann透過社群網站Mastodon指出，BlueHammer確實是有效漏洞，此零時差漏洞涉及本機權限提升，不過並非每次觸發都能成功。

逾1.7萬臺F5 BIG‑IP APM裝置暴露在遠端執行程式碼攻擊風險下，用戶須立即修補

資安監測組織Shadowserver基金會近日揭露，超過1.7萬臺F5 BIG-IP APM裝置暴露於公共網路環境，更直接面臨CVE-2025-53521漏洞濫用行為的威脅。

根據Shadowserver基金會的掃描顯示，目前網際網路的F5 BIG-IP APM裝置總共有1.7萬臺，這應是高風險系統數量的上限，因為我們目前無法得知未修補系統的數量與比例，其中以美國地區最多，占5,300臺，次之是日本的1,500臺、德國的1,100臺與澳洲的1,000臺，臺灣也有228臺，若這些裝置尚未完成修補，形同於暴露於這項漏洞導致的執行任意程式碼威脅下，可能成為攻擊者入侵的入口，用戶應立即進行修補以降低風險。

研究人員揭露ChatGPT資料外洩漏洞，攻擊者可竊取用戶對話內容與敏感資訊

資安公司Check Point發布報告，揭露ChatGPT存在資料外洩漏洞，OpenAI若未及時修補或緩解，將可能導致攻擊者竊取用戶對話內容與上傳資料。

該漏洞之所以發生，Check Point認為源自隔離程式碼執行環境（isolated code execution environment）的防護缺陷，攻擊者可利用隱蔽對外通道（covert outbound channel）繞過安全措施，將用戶的對話記錄、上傳檔案與AI生成內容傳送到外部。

OpenAI Codex存在指令注入漏洞，攻擊者可藉此取得用戶GitHub存取權杖

資安公司BeyondTrust研究人員近日揭露，OpenAI旗下的程式碼生成工具Codex存在重大指令注入漏洞，攻擊者可藉此竊取開發者的GitHub存取權杖（Token），進而存取開發者的GitHub程式庫。

研究人員指出，這項漏洞源自Codex在建立任務環境時，未妥善過濾外部輸入，導致GitHub分支名稱（branch name）可被直接帶入Shell指令中執行。攻擊者可在儲存庫中建立含惡意內容的分支名稱，當Codex處理相關專案時，就有機會觸發指令並洩漏GitHub存取權杖，進而導致攻擊者存取開發者的程式碼儲存庫。

天災人禍成我國海纜障礙新威脅，數發部擬加強「斷纜不斷網」韌性架構

臺灣四面環海，連接國內外的海纜已成為我國重要的國家關鍵基礎建設（CI）。數發部4月7日公布2025年我國海纜受損分析報告，指出臺灣面臨的資安風險不只來自駭客，還包括海上對海底電纜的「實體攻擊」。近4年臺灣海纜事故中，臺灣近岸（24海浬內）平均每年發生7至8起海纜障礙事件，其中因「船錨勾損」的平均占比達38.3%，平均每3起海纜障礙事件，就有超過1起源於船舶下錨。

如果從2025年發生的7起近岸障礙事件來看，3起為「船錨勾損」，占比升至42.9%，且有2起肇因為外籍「權宜輪」（FOC）非法下錨，已形成我國海纜安全的新威脅。

豐達科遭網路攻擊，資訊系統受影響但無資料外洩

航太零組件廠豐達科技（3004）於4月7日在股市公開觀測站發布重大訊息，指出公司部分資訊系統遭受駭客網路攻擊，已立即啟動資安防禦機制並展開應變處置。針對影響評估，豐達科指出，目前未發現有個資、機密或重要文件資料外洩情形，且整體營運未受到重大影響。

其他資安威脅

◆伊朗駭客鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施

◆伊朗駭客發動大規模密碼潑灑攻擊，逾300家採用M365的企業組織受害

◆北韓駭客濫用GitHub充當C2，對韓國從事多階段攻擊

◆歐洲政府遭到鎖定，中國駭客TA416透戰OAuth網釣散布惡意軟體PlugX

◆WordPress表單外掛Ninja Forms存在重大漏洞，駭客已試圖用於攻擊活動

◆AI代理建置工具Flowise滿分漏洞遭到利用

近期資安日報

【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌

【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口

【4月1日】熱門NPM套件Axios遭北韓駭客供應鏈攻擊

'