解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策

來源：https://www.ithome.com.tw/news/174936

近期大量LINE帳號遭盜用的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關驗證機制仍仰賴OTP認證碼（一次性密碼）。

儘管全球產業早已推動採用更強的多因素驗證（MFA）與Passkey，以降低雲端服務登入遭網釣風險，但許多雲端服務在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。

是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露全球多國政府陸續禁用OTP的態勢之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。

串連電信資源，電話號碼驗證PNV正興起

何俊炘表示，FIDO生態系如何與電信業者深度結合，是他今年2月參與FIDO巴黎研討會時關注的核心議題。

目前相關對策仍在持續發展中，其中有兩大技術趨勢備受矚目：一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。

關於PNV的發展，何俊炘表示，身為FIDO聯盟成員的Google，去年在臺解析Passkey技術時，就曾介紹PNV認證機制的進展，而其重點就是設法與電信業者合作。

他進一步解釋，由於Google等許多大型雲端服務業者的用戶規模數以億計，難以逐一驗證身分，因此現行的帳號復原流程，仍會依賴電信業者協助傳送簡訊OTP。然而，鑑於簡訊OTP安全性不足，因此業界正加速轉向更安全的驗證機制，像是Google推動的PNV認證機制，就是設法與電信業者的直接整合，並藉助Firebase等服務來協調與介接。

根據Firebase網站說明，Firebase PNV公開預覽版已於今年3月1日正式推出，象徵電話號碼驗證機制的重大演進。目前，該計畫已與芬蘭、德國、印度、荷蘭、馬來西亞及英國等多國電信業者展開深度合作。

換言之，Google新推動的PNV認證即是為了解決簡訊OTP的痛點：藉由電信業者在網路端掌握的門號、裝置與連線資訊進行背景驗證。

另一科技大廠Meta同樣重視此議題，何俊炘表示，Meta在一個月前發布白皮書「The Promise of Phone Number Silent Authentication APIs」，也是基於相同理由聚焦靜默網路認證（Silent Network Auth）而來。

在此同時，GSMA全球行動通訊系統協會亦積極推動標準化，在GSMA Open Gateway框架之下，提供Number Verification API，利用行動網路原生的IP位址與裝置狀態資訊來背景比對，實現無感門號驗證，並可協同SIM Swap API快速偵測該門號指定期間（如近一個月內）是否有更換SIM卡的紀錄，藉此防範帳號盜用。

提倡「去電話號碼識別」，eSIM Passkey發展成新焦點

關於另一項eSIM Passkey與去電話號碼識別的發展，何俊炘表示，目前FIDO聯盟成員正與電信業者合作，評估導入eSIM Passkey的可行性，以提供更安全的MFA。

具體而言，太思科技正與GSMA全球行動通訊系統協會討論，將eSIM Passkey API標準化，成為全球電信業者通用的Open API。在此同時，太思科技已經開始與印度、日本、歐洲等幾個國家電信業者展開合作。

為何此機制比PNV更安全？何俊炘指出，前述的Number Verification機制本質上是被動驗證，用戶通常不會察覺驗證過程，但對於高風險交易而言，仍需要用戶主動確認。

他進一步說明，現行GSMA Open Gateway框架雖然透過開放API提供驗證能力，但本質多屬於網路層的狀態查詢與比對。對金融業者而言，僅依賴這類網路層回報，難以滿足強式MFA、可稽核性與不可否認性等監管要求。因此，仍需由電信端或信任服務端提供更高安全性的機制，才能支撐銀行與高風險服務場景的需求。

另一項關鍵議題在於，現行電話號碼一旦給出去就難以收回，任何人甚至AI都可以撥打或發送簡訊給你。何俊炘強調，電話號碼的本質並非為網路身分而設計，其初衷是通訊路由，而非數位身分識別。將電話號碼視為身分錨點，已帶來系統性風險，未來的信任架構應朝「去識別化即設計（De-identification by design）」發展。

因此，這項新方案不僅是將FIDO技術延伸至eSIM層，發展出eSIM Passkey，同時也強調電話號碼去識別化，並達到身分驗證AAL2的安全水準，而且亦可整合數位身分皮夾。

不過這項方案仍需與FIDO聯盟合作推動。新方案採用電信OTA專用通道進行驗證，與現行FIDO機制有所不同，因此這仍是目前需要持續推進的發展方向。

總結這兩項技術的發展，何俊炘指出，PNV是電信網路端發起，用戶被動接受認證的方案，某些低安全性認證情境可以取代簡訊OTP；eSIM Passkey則進一步以eSIM晶片做到AAL2加密認證，取代目前使用簡訊OTP作為MFA的場景。

另外，對於近期LINE帳號盜用的事件，後續我們也請何俊炘分享其觀察與見解。何俊炘表示：駭客使用LINE語音驗證的前提，需要知道用戶的電話號碼，才能進入語音信箱聽取OTP。所以，根本的原因是個人資料的洩漏，如果服務商不以用戶電話號碼作為服務ID，就可以避免這樣的問題。而像是eSIM Passkey的認證方式，不需要電話號碼，不會洩漏個資。

'

全球掀起簡訊OTP禁用潮，印度、UAE金融監管新法4月生效

來源：https://www.ithome.com.tw/news/174934

全球政府禁用簡訊OTP（一次性密碼）的態勢越發顯著，在今年3月舉辦的FIDO臺灣分會活動中，就有電信身分識別專家分享此類議題，太思科技董事長何俊炘針對簡訊OTP議題說明產業對策，在解析eSIM Passkey技術發展之餘，特別指出多國政府正陸續加入禁用OTP的行列。

回顧2024年，新加坡因網路釣魚詐騙造成至少1,420萬美元損失，為此，新加坡金融管理局要求銀行限期汰除簡訊OTP，此舉引發我們關注其後續發展，隨後，當地多家銀行陸續採取行動，改以手機App作為身分驗證機制，包括星展銀行、大華銀行、華僑銀行等皆已推動相關措施。

這次何俊炘在演說中進一步揭露，這股趨勢正迅速擴散：馬來西亞更早提出分階段推動，現已全面停用簡訊OTP；阿拉伯聯合大公國（UAE）則從2026年3月31日開始全面禁用簡訊OTP，印度亦從4月1日起禁止銀行以簡訊OTP為唯一認證管道，並且要求銀行負擔賠償責任。

因應詐騙與網路犯罪，馬來西亞、UAE與印度強化金融監管

我們進一步檢視相關消息，例如，馬來西亞國家銀行（BNM）從2022年就開始宣布，由於詐騙與網路犯罪日益猖獗，因此，業者要求高風險線上銀行作業，必須從簡訊OTP遷移至更安全的驗證方式。後續當地銀行分階段遷移，包括馬來亞銀行在內的多家銀行已於2024年9月完成過渡。

阿拉伯聯合大公國中央銀行（CBUAE）於2025年5月發布第2025/3057號通知，明訂自2026年3月31日起，國內支付、國際轉帳及線上購物等金融交易，不得再將簡訊OTP、Email OTP或靜態密碼作為獨立驗證手段，必須改以生物辨識、App推播或FIDO等強驗證方式取代。

印度儲備銀行（RBI）於2025年9月祭出新法，其頒布的《數位支付交易認證機制指令2025》，明定所有數位支付交易自2026年4月1日起，必須至少採用雙因素驗證（2FA），簡訊OTP不得單獨作為驗證方式，須搭配生物辨識、App通證或裝置綁定等更安全機制，且若未落實導致詐騙發生，銀行恐需負擔賠償責任。

綜觀多國政府汰除簡訊OTP的態勢，其實與FIDO聯盟目標一致

對於全球多國相繼禁用簡訊OTP的態勢，何俊炘分析指出，網路犯罪生態系長期將簡訊OTP視為防禦破口。攻擊者常透過社交工程、釣魚網站誘騙受害者提供驗證碼，進而非法取得雲端帳戶存取權限。

在此類威脅日益嚴峻之下，傳統簡訊OTP的多因素驗證（MFA）已顯得力不從心，這也使得各國監管機構正加速淘汰簡訊OTP的使用。

而這樣的政策方向，也與FIDO聯盟推動的Passkey發展高度一致。何俊炘強調，為了因應網釣攻擊，轉向具備抗網釣能力的強式MFA驗證機制已是必然。

整體來看，我們可以發現，這股汰換浪潮並非一蹴而就，早在前幾年舉行的FIDO研討會上，即指出美國國家標準技術研究所（NIST）2016年發布的數位身分認證指南，已開始建議企業不要再透過電信的簡訊與電話語音來執行二次驗證；後續美國CISA也在2019年特別發布抗網釣MFA導入指引文件，明確將簡訊MFA定位為「過渡到強式MFA之前的臨時方案」；時至今日，這股趨勢已轉化為全球性的監管行動，陸續有政府將禁用OTP列入政策。

至於未來還有哪些重要發展？隨著Passkey應用漸趨普及，讓用戶在帳號登入可防範網釣攻擊，但何俊炘指出，在帳號登入之外，帳號註冊與帳號復原等流程也需要同步升級驗證機制。何俊炘在演說中也提到FIDO聯盟成員正與電信業合作研發應對方案，例如電話號碼驗證（PNV）等新技術，以及基於eSIM Passkey的技術方案，這也是全球產業正在持續探討與發展的最新態勢。

'

HPE擴展後量子密碼技術應用，為ProLiant伺服器引進PQC加密技術

來源：https://www.ithome.com.tw/news/174957

面對日漸逼近的量子運算威脅，HPE正積極為旗下產品引進後量子密碼學（PQC）技術，近期宣布為ProLiant Compute Gen12伺服器導入PQC技術，以因應量子電腦破解傳統公鑰加密的風險。

HPE在2025年4月發表ProLiant Compute Gen12伺服器時，便率先表示將在配套的iLO7遠端管理平臺上支援PQC技術，且能符合美國聯邦資訊處理標準FIPS 140-3 Level 3的產品資安認證。HPE表示藉由iLO7晶片，ProLiant伺服器將成為率先做好抗量子運算密碼學（Quantum-resistant cryptography）準備的伺服器。

而在近日的RSA大會上，HPE進一步發表iLO7支援PQC的具體時間，預定於2026年夏季正式推出這項功能。

PQC是針對量子電腦發展而提出的新一代加密技術，目標是在既有電腦環境下，建立可同時抵禦傳統與量子運算攻擊的加密與數位簽章機制。由於量子運算的發展較預期更快，促使許多IT業者紛紛縮短將加密技術遷至PQC的時程，例如在雲端服務業者方面，Google與Cloudflare都在近期宣布，要在2029年完成PQC遷移，較NIST設定的2035年時間點大幅提前。

縱觀市面上的伺服器基礎架構廠商，目前我們只看到HPE發布伺服器產品支援PQC的具體架構，以及正式導入時間的訊息，但僅限於最新的ProLiant Compute Gen12伺服器，以及iLO7管理平臺，但更早世代的ProLiant伺服器與iLO平臺的PQC遷移規畫，目前仍不明朗。

其他硬體系統大廠方面， 以Dell而言，近日在RSA大會表示，將為商用PC產品提供抵禦量子威脅的安全功能，但尚未提及伺服器產品的情況，或許在5月底舉行的Dell Technologies World 2026大會，會釋出相關消息。

至於Supermicro與聯想（Lenovo），曾在2025年5月的DMTF標準制定聯盟新聞稿中，宣布將支援DMTF的安全協議與資料模型（SPDMl）進一步發展工作，預計擴展這項標準的能力，以支援PQC技術，不過，這兩家廠商後續未提到產品落實PQC的具體規畫，可能分別在Computex或公司年度大會揭露。

'

中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國

來源：https://www.ithome.com.tw/news/174956

曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。

資安公司Sekoia針對Silver Fox進行長期追蹤，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。

雖然在作案工具的運用出現變化，但是這些駭客取得受害企業組織的初期存取管道的做法，仍是偏好冒充國家稅務機關，或是以薪資檔案為誘餌。不過，駭客的活動範圍，從原本針對臺灣與中國，已經延伸到日本、馬來西亞、印度、印尼、新加坡、泰國及菲律賓等多個南亞國家的實體。

Sekoia從去年1月開始，看到這些駭客3個階段的攻擊手法演進，第一波是針對臺灣企業組織，以稅務稽核抽查的名義，誘使收信人開啟PDF附件，導致受害電腦被植入Winos 4.0。附帶一提的是，Fortinet同年4月發現相關攻擊範圍擴大，駭客也攻擊日本企業組織。

第二波攻擊出現在去年12月中旬，這次Silver Fox針對馬來西亞、菲律賓、泰國、印尼、新加坡、印度，雖然駭客同樣以稅務當作幌子，並延用部分基礎設施，不過這次他們並未使用PDF附件，而是直接在釣魚信嵌入連結，引誘收信人連往冒牌稅務網站，並從網站下載壓縮檔，其內容為中國品牌的遠端監控與管理工具的安裝程式。

最近一波手法轉變出現在今年2月，這些駭客改用Python竊資軟體來取代遠端監控與管理工具。Sekoia看到的活動針對馬來西亞，但他們不排除駭客也會對南亞其他國家的企業從事類似攻擊。駭客將竊資軟體偽裝成WhatsApp應用程式，其竊得的資料除被用於網路間諜活動，還有可能用於商業郵件詐騙（BEC），或是竊取內部資料並轉售牟利。

'