【2026 CIO&CISO大調查】各產業加碼投資AI達65%，醫療業卻逆勢縮手

來源：https://www.ithome.com.tw/news/175277

生成式AI（GenAI）持續掀起企業革命，從最初始的大型語言模型（LLM）聊天查詢，再到近期遍地開花的AI代理應用，企業導入的腳步愈來愈快。這股擁抱GenAI的勢頭，也在iThome 2026 CIO & CISO資訊長與資安長大調查中得到印證。

政府學校與金融業帶頭，AI預算大幅成長

首先，今年度企業AI預算平均為1,843萬元，比去年的AI實際支出1,119萬元，成長了65%。不過，與前幾年相比，今年的AI預算本身占了總IT預算的6%，微幅成長。

進一步分產業來看，政府學校今年的投資力道最大。他們去年的AI實際支出為1,103萬元，今年度AI預算翻倍到2,579萬元，成長了134%。再來是金融業，與去年AI實際支出5,221萬元相比，今年度AI預算高達1.1兆元，成長將近2倍，金額還是所有產業中最高的。

若不分產業、單就百億營收企業來說，去年AI實際支出為1,789萬元，今年AI預算則接近3,800萬元，也是翻倍成長。但是，有別於所有產業的正成長趨勢，醫療業今年度AI預算反而走下坡，負成長36%，從去年的實際支出1,367萬元來到今年預算的871萬元。

生成式AI在未來3年內將大幅改變組織

在所有AI投資中，生成式AI是企業押寶的一大重點。據調查，近半數企業資訊主管和資安主管深信，生成式AI將在未來1至3年間，也就是2027年至2029年間，大幅影響企業組織。

尤其，金融業和高科技製造業對生成式AI的看法更是如此，分別55%和57%的受試主管看好GenAI在未來1到3年對組織實際衝擊。

但有趣的是，也有些資訊長和資安長表示，生成式AI現已大幅改變組織。以對AI投資負成長的醫療業，有33%認為生成式AI已經帶來大幅改變，是所有產業中比例最高的一群人，其次則是服務業的24%。這也意味著，醫療業和服務業，是最快感受到生成式AI對組織影響的2大產業。

近6成企業的生成式AI應用成熟度，仍處於試水溫階段

再進一步來看，就企業生成式AI應用的成熟度來說，臺灣目前仍有59%還在試水溫。其中26%處於計畫階段，也就是開始規畫發展GenAI，但還沒實際導入；另有33%處於導入與驗證階段，正在熟悉技術、進行PoC驗證中。

而實際擁抱GenAI的領先企業，則占了23%。

這當中包含處於正式上線階段的15%企業，已在關鍵系統、工作場所、對外產品或服務中採用生成式AI應用；再來有7%的企業正在擴⼤採⽤，在內建立系統化流程、組織與架構，加速導入和擴⼤範疇。另還有1%的企業達到深化內化階段，GenAI已成企業應⽤的DNA，關鍵系統都少不了它。

若按產業來看，今年最積極導入GenAI與驗證的是金融業和政府與學校，分別占了45%和42%。而在GenAI領先者企業中，今年最積極進入正式上線階段的產業，則是醫療業和金融業，分別占25%、21%。

GenAI最大效益：大幅提高員工生產力

企業積極導入GenAI，親身體驗到的最大效益不外乎是大幅提高員工生產力（40%），以及鼓勵更多創新（39%）。

然而，如何才能提升GenAI帶來的效益，資訊長與資安長們給出幾個答案。首先是盡可能給員工使用（45%），讓員工熟悉技術、可以上手來改善工作效率，其次是將GenAI深度嵌入流程和部門（34%），來優化作業流程。

要提高GenAI效益，還有很關鍵的一點是強化資料安全與合規能力（31%）。因為，生成式AI還是一項近期才遍地開花的技術應用，要它能在企業場域好用，就必須滿足嚴謹的安全與合規要求，才能心安理得的發展。

缺乏人才和資料治理，是導入GenAI的資安難題

這個對資料安全和合規能力的重視，也反映在企業導入GenAI時，面臨的資安挑戰。

其中，最困擾企業的挑戰是缺乏AI資安與治理⼈才，占了29%；其次是資料治理成熟度不⾜，占了23%，再來是缺乏對未授權AI⼯具的管理與控制（18%）。

這些挑戰，也呼應了企業面臨的GenAI風險。如何防範，各產業企業的解方大同小異，包括培訓員工、讓其具備識別與緩解GenAI風險的能力（38%），強化GenAI使用的機敏資料控管（32%）、追蹤相關法遵要求來確保合規（30%）。

此外，也有不少企業看重內部稽核機制，比如23%的企業認為要建立盤查機制，掌握企業所有的GenAI使用；或是21%的企業要建立GenAI⼯具和應⽤的內部稽核作法，另也有2成企業認為，應統⼀管理GAI技術和⼯具，以及建立GAI相關治理框架，來降低使用風險。

2026 iThome CIO&CISO大調查說明：自2026年1月1日至1月29日執行，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份。71%填答者是企業CIO與資訊主管。57%是CISO與資安主管。

'

溫室氣體盤查申報倒數一週，環境部提醒未登錄的企業最高恐罰百萬元

來源：https://www.ithome.com.tw/news/175301

法定溫室氣體排放量盤查登錄期限將於4月30日截止，環境部今天(4/24)提醒，尚未完成申報的企業應把握最後一週期限，避免逾期遭裁罰。依規定，未如期完成登錄者，將被要求限期補正，若仍未改善，最高將處新臺幣100萬元罰鍰。

今年申報對象分為兩大類。一是既有的列管產業，包括發電、鋼鐵、石油煉製、水泥、半導體及面板等高排放產業，以及年排放量達2.5萬公噸二氧化碳當量以上的企業；二是今年首度納入的擴大盤查對象，涵蓋服務業、運輸業、醫院、大專校院與部分製造業，皆須在期限前完成年度排放量盤查並上網登錄。

根據環境部的資料，目前申報情況，傳統排放大戶因已有多年申報經驗，加上碳費即將上路，整體進度較快。而首次納管的企業，因為對數據準確性較為謹慎，整體完成率偏低。環境部指出，擴大納管首年重點在於建立企業的盤查能力，即便資料尚不完備，後續仍可在期限內補正，若因此遲疑未申報將會面臨裁罰。

'

【2026 CIO&CISO大調查】企業IT人力需求衝上2.2萬人，金融業暴增85%成最大推力

來源：https://www.ithome.com.tw/news/175273

企業IT人力需求持續升溫。今年調查顯示，今年2000大企業IT人力需求達2.2萬人，相較於去年約1.8萬人成長23%，反映企業在AI導入與數位轉型壓力下，持續擴編技術人力。

平均而言，今年企業IT部門規模約80人，整體人力年增13%，每家企業平均招募11.8人，高於去年的9人。生成式AI（GAI）與代理AI的導入，是這波人力需求成長的關鍵動能，調查顯示今年有58%企業將GAI創新列為今年重點，僅次於資安。

金融業撐起半數需求

雖然今年有IT招募需求的企業比例從50%降至43%，但產業間出現明顯差異。其中，金融業成為最大推力來源。

金融業IT人力需求年增85%，由去年的約7,200人攀升至近1.1萬人，占整體需求近一半。相較之下，醫療業年增57%、需求約1,900人，其餘產業則多持平或微幅下修，包括高科技業約4,200人、服務業近3,000人、一般製造業約1,100人。

金融業人力需求暴增的背後，可能和大型併購案後的市場競爭升溫，加速布局金融科技、營運韌性與AI應用有關。

其中大型金控併購與重組，讓業者必需加速整合核心系統、客戶資料與通路平臺，短期產生大量的IT建置與轉換需求，以及長期系統治理與維運複雜度；另外，AI導入從試驗走向規模化落地，金融業正試圖將AI應用於風險控管、詐欺偵測、客戶分群、智能客服與投資建議等金融場景，從PoC到實際落地，需要更多資料科學家、AI工程師與系統整合人才支撐。

AI也帶動金融業者新的客戶體驗、營運效率競爭，迫使金融業必需加速擁抱數位科技與AI技術，例如優化AI客服流程，改善用戶體驗，提升行銷精準度、自動化內部作業流程。

另外，鑑於極端氣候、國際地緣政治緊張，金融主管機關也提高金融服務的營運韌性，促使業者加碼IT投資，包括資安防護、數據治理、備援架構與災難復原機制，這些都需要持續投入人力與技術，以符合監管要求，並降低營運風險。

例如富邦金控、國泰金控近期在法說會、校園徵才活動，對外說明擴大AI與數位科技投資，帶動資料科學、雲端與系統開發職缺的增加。

開發與資安人力「人數增、占比降」

從職能結構來看，企業仍然持續擴大招募資安與開發人力。平均招募資安人力由2.9人增至3人，開發人力由5.68人提升至6.7人，金融業仍是開發人才最大需求來源，平均招募14.9人。

但若觀察IT部門內部結構，則出現不同趨勢。

開發人力占比自從COVID 19疫情爆發到解封，企業體認到加速數位轉型對於營運持續的重要性，2021年開發人力占比一度達到68%的高峰，後來降到2024年的64%，2025年驟降至53%，今年小幅回升至54%。

雖然從今年的角度來看，開發人力比例是增加的，但是從最近3年來看，各產業的開發人力比例都呈現下滑趨勢，其中金融業降幅最大，達18個百分點。

資安人力也呈現類似情況，雖然招募增加，但占比從去年的11%降至今年的6%。

GAI領先企業轉向維運導向

導入GAI較深的企業，其IT人力結構更明顯轉變。

這類企業IT部門平均規模達216人，其中維運與管理占比高達64%，開發人力降至32%，資安僅3%。顯示其在深化AI應用後，更多的IT人力從過去的開發導向轉為平臺維運與管理。

77%CIO認為AI可補人力缺口

AI也正在改變企業對IT人力的看法，在未來幾年將使IT部門人力結構持續調整。

今年有77%的CIO認為，AI可緩解IT與資安人力不足，高於去年調查的64%。其中，服務業認同比例最高（84%），其次為高科技製造（79%）與金融業（75%）。

進一步來看，52%的CIO認為AI可取代部分軟體開發工作，比例高於去年；但認為可取代資安與IT維運的人數則略為下降。

一名來自政府部門的CIO指出，企業導入AI未必帶來人力縮減，導入AI不會減少IT人力需求，反而需要更多的資訊人力協助各單位應用AI。隨著AI提升IT人員的工作效率，高層也通常會要求IT部門承擔更多任務。

另一位CIO認為，企業確實開始感受到AI對IT人才缺口的緩解效果，但是並不代表IT 人才需求下降，而是需求正在結構性轉變。

他認為IT部門的結構性轉變是，未來企業將減少對初階、重複性技術工作的依賴，轉而強化對具備AI整合能力、業務理解與架構思維的高階人才需求。IT部門的人力結構也將從功能分工，轉向以能力平台與跨域整合為核心。

IT角色轉向全企業AI推動者

隨著AI工具普及，IT部門的角色也在轉變。

今年的調查顯示，已有3成2的企業今年採用AI強化軟體開發，但是更多的企業推動AI提升整體員工的生產力，調查結果發現4成2的企業導入ChatGPT、Gemini等工具，3成4採用Office類GAI應用。

這代表IT部門的重心正從過去IT維運管理、系統開發，轉向協助全體員工安全導入AI、控管風險並提升生產力，成為企業AI轉型的核心推動者。

2026 iThome CIO&CISO大調查說明：自2026年1月1日至1月29日執行，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份。71%填答者是企業CIO與資訊主管。57%是CISO與資安主管。

'

【2026 CIO&CISO大調查】AI帶動生產力與法遵優先，永續仍是企業十大目標

來源：https://www.ithome.com.tw/news/175274

企業永續轉型需要跨部門長期推動，難以短期見效。去年調查顯示，有33%的CIO將「ESG與數位永續」列為年度目標（第7位），然而今年降至27%，排名滑落至第9位，顯示短期優先事項出現轉移。

今年排名變動，主要受到「員工賦能與生產力」及「法規遵循」兩項目標的上升影響。隨著更多企業將AI視為提升效率的關鍵工具，企業同時面臨新科技帶來的風險與監管壓力，約3成企業將兩項目標列為重點，在今年前十大目標中排名上升至第7與第8位。相較之下，需長期投入的永續轉型暫居次位。

金融業生產力提升與法遵，製造業看重永續

從不同產業的角度來看，年度目標的優先順序差異明顯。金融業聚焦營運韌性、資安與生成式AI（GAI）創新，因應生產力與合規需求，「員工賦能與生產力」與「法遵」重要性高於永續。反觀高科技製造與一般製造業，在今年碳費開始實際徵收，碳排內化為企業的成本之下，對「ESG與數位永續」的目標排名（第6）明顯要高於員工賦能與法遵。

不論是提高生產力、效率，或是推動ESG節能減碳，都能優化成本，這也使得「成本控管」此一年度目標排名由第14升至第10，在製造業更進一步提升至第7、第8位。

整體而言，27%企業將永續列為優先，其中醫療業與政府學校約32%、高科技製造約30%、一般製造29%，金融業則最低（18.2%），反映產業之間受政策合規與成本壓力的影響程度有別。

IT成為永續推動關鍵支柱

IT通常在企業永續中扮演雙重角色，其一是推動IT永續，即IT自身的低碳化，如資料中心節能設計、採購綠色設備、導入零碳公雲、發展綠色軟體與綠色AI；其二是支援企業ESG治理，包括設計績效指標、建立永續儀表板、蒐集範疇一至三排放數據，並讓資訊架構與ESG目標對齊。

首先在IT永續方面，更多企業IT著墨在韌性治理類的做法，高達7成4的企業採用韌性治理類的IT永續做法，其中有4成7企業著重提升IT與業務韌性，4成5強化資料與隱私治理，另有26%投入未來IT職能發展，顯示在地緣政治與風險不斷升高下，提高IT核心基礎的穩定與可信賴成為更多企業IT永續關注的重點，也能將永續轉型和數位轉型策略相結合，加速雙軸轉型的務實做法。

低碳IT已有基礎，但綠電與低碳雲採用比例仍低

除了IT韌性治理做法，還有5成的企業採取IT低碳營運的做法，特別是24小時不間斷運作的機房更是IT低碳營運的首先目標，調查顯示3成企業導入機房節能設計；另外，IT永續也透過蒐集數據，分析碳排熱點，找出低碳營運的關鍵，調查顯示將近2成的企業開始蒐集IT碳足跡，11%計算IT維運的碳成本，顯示仍有不少提升空間。另外也有2成4的企業採取延長資訊設備使用周期或循環利用。

值得注意的是，儘管企業在永續發展上採用再生能源，但是在IT永續的做法上，IT設備採用綠電的比例只有8%，而使用零碳公雲更只有5%，顯示多數企業聚焦在IT機房設備的碳管理，較少關注範疇二(採用能源的間接溫室氣體排放)、範疇三(供應鏈排放)層面。

相較於韌性治理、硬體節能及碳管理，IT永續在軟體與AI層面的做法採用率明顯落後許多。採用綠色軟體開發的比例僅4%，而採用節能模型等做法的綠色AI也只有6%，顯示在企業導入AI的初期，多數企業仍以提升效率為優先，未來隨應用擴大，AI對能源與碳排影響才會受到更多關注。

此外，企業的IT永續策略在IT共融面，例如無障礙設計、DEI、多元參與，明顯投入的比例偏低，多數項目僅約4%或更低，顯示IT部門內培養永續共融的文化價值仍待深化。

IT助攻ESG落地，但供應鏈碳數據仍是挑戰

企業推動永續發展的驅力，通常包括提高企業形象、法遵合規、成本控制，IT永續也不例外。今年調查數據顯示，高達5成6的企業認為IT永續有助提升企業形象、提高ESG揭露與合規準備度，其次是成本優化。不同產業則認為IT永續帶來的成效明顯存在差異，例如金融業、醫療業多以提高企業形象為主，而面臨碳費徵收、減碳法遵要求的高科技製造、一般製造則更重視合規準備。

在IT促進企業ESG方面，約3成的企業將數位轉型、資訊架構與ESG目標對齊，甚至3成4讓IT參與ESG指標設計；今年調查顯示，24%的CIO加入企業永續發展委員會，近20%的資安長也參與其中，在企業推動永續發展上納入資訊管理、資訊安全的角度。。

在IT協助企業ESG方面，透過數據來強化企業的永續治理是不少企業的策略，已有25%的IT打造企業建立永續儀表板，提高永續各方面的數據可視化，方便根據現況擬定決策。

目前有22%透過IT自動蒐集範疇一、二的溫室氣體排放數據，各產業中，3成以上的高科技製造業、一般製造業採用IT蒐集範疇一、二的溫室氣體排放數據。但是在範疇三的溫室氣體排放數據蒐集方面，目前只有13%利用IT自動化蒐集，顯示企業在供應鏈的碳數據整合仍具挑戰，將是下一階段永續轉型的關鍵挑戰之一。

2026 iThome CIO&CISO大調查說明：自2026年1月1日至1月29日執行，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關及大學院校的資訊主管進行線上問卷調查，有效問卷數396份。71%填答者是企業CIO與資訊主管。57%是CISO與資安主管。

'

【資安日報】4月24日，資安公司Checkmarx遭遇供應鏈攻擊

來源：https://www.ithome.com.tw/news/175286

資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵

一個月前，資安公司Checkmarx開發的開源基礎架構掃描工具KICS遭遇供應鏈攻擊，駭客團體TeamPCP滲透KICS的GitHub Actions，植入可竊取憑證的惡意程式碼，影響使用該工具進行CI/CD流程的開發人員，如今KICS再度傳出遭遇供應鏈攻擊。

資安公司Socket近日接獲Docker的通報，得知KICS的Docker Hub儲存庫出現惡意映像檔，Socket進一步調查此事，發現攻擊者覆寫了原本的標籤，並引入與上游版本不符的新標籤。而且，映像檔內的KICS二進位檔被竄改，駭客加入了原本不具備的資料收集與外洩功能，使得惡意的KICS能產生未經審查的掃描報告，進行加密處理後傳送到外部。企業若是利用KICS掃描Terraform、CloudFormation或Kubernetes的組態，就有可能受到這波攻擊影響。

供應鏈攻擊得到證實，Checkmarx呼籲用戶採取行動因應

本月22日資安公司Socket發現，有人攻擊開源基礎架構掃描工具KICS的Docker映像檔，以及資安公司Checkmarx開發的Visual Studio Code（VS Code）延伸套件，後續Checkmarx證實此事，並公布影響範圍。

根據Checkmarx初步調查結果指出，駭客的惡意元件僅影響特定時間上傳的Docker映像檔，以及VS Code延伸套件，其餘他們先前發布的正常版本未遭到覆蓋。因此，使用者若是採用在攻擊發生之前的版本，將不受影響。而對於疑似受到影響的用戶，Checkmarx呼籲儘速封鎖特定網域，並暫時關閉IDE市集的自動更新功能，以SHA雜湊值進行確認，若認為系統可能已部署惡意軟體，就應該更換憑證與相關資料。

Checkmarx供應鏈攻擊事故擴大，密碼管理解決方案公司Bitwarden證實NPM套件遭駭

資安公司Socket、JFrog、StepSecurity與OX Security，以及獨立研究員Adnan Khan提出警告，密碼管理軟體開發公司Bitwarden推出的NPM套件Bitwarden CLI遭遇供應鏈攻擊，駭客發布了惡意版本2026.4.0，目的是搜刮開發環境的機密資料，其特徵與Checkmarx事故一致，疑似該起攻擊活動的延伸。

Bitwarden當天隨即發布聲明證實此事，該公司在美國東部時間（ET）4月22日晚間5時57分至7時30分，識別惡意套件活動並進行控制，並表明此事與廣泛的Checkmarx供應鏈攻擊事故有關。Bitwarden強調，根據初步調查的結果，終端使用者的密碼保險庫（Vault）資料未出現遭到存取或是曝險的跡象，該公司生產環境的系統與資料也未遭入侵。僅在特定時間下載Bitwarden CLI並安裝的使用者，才會受此事故影響，該公司也準備為本起事故登記CVE編號。

NPM套件Bitwarden CLI遭駭，疑與Shai-Hulud軟體供應鏈攻擊有關

資安公司Socket、JFrog、StepSecurity與OX Security，以及獨立研究員Adnan Khan，揭露密碼管理軟體開發公司Bitwarden遭遇供應鏈攻擊事故，並指出是資安公司Checkmarx大規模攻擊的一部分，而且得到Bitwarden證實。至於攻擊者的身分，上述研究人員提出不同看法。

JFrog先是於社群網站X發文指出，這起事故是TeamPCP攻擊Checkmarx的延續，不過他們後來發布部落格文章表示，有效酬載內含與小說《沙丘（Dune）》有關的種族、人名，以及巨型生物，駭客使用的GitHub儲存庫的名稱與說明也有類似情形，並聲稱是Shai-Hulud的第三波攻擊（Shai-Hulud: The Third Comingsardaukar）。對此，他們認為這起事故的攻擊者可能與Shai-Hulud有所交集。

資安公司還原Bitwarden CLI事故發生經過，駭客滲透工程師GitHub帳號而得逞

4月23日密碼管理軟體開發商Bitwarden遭遇供應鏈攻擊，該公司發布的命令列工具Bitwarden CLI遭到入侵，駭客透過GitHub Actions發布惡意NPM套件。有許多資安公司與研究人員試圖拼湊事件發生的經過，不過多半聚焦於惡意軟體帶來的危害，以及攻擊者的身分，不過，有資安公司嘗試透過NPM套件的活動監控，還原攻擊初期發生的過程，並指出這是首度出現濫用NPM受信任發布機制OIDC Trusted Publishing的攻擊活動。

資安公司StepSecurity指出，這起事故最初是1名Bitwarden工程師的GitHub帳號被入侵，駭客在儲存庫建立新分叉（Branch），存放事先建構完成的惡意Tarball檔案，然後竄改工作流程，透過NPM儲存庫的API，將GitHub Actions的OIDC權杖（Token）交換為NPM身分驗證權杖。接著，工作流程利用交換而來的權杖將Tarball檔案發布到NPM，得逞後駭客刪除所有工作流程的運行記錄、分支與發布標記。

NPM蠕蟲供應鏈攻擊竊取開發環境憑證與加密貨幣資產，透過遭駭帳號擴散

資安公司Socket發現新一波NPM供應鏈攻擊，駭客疑似針對AI系統建置服務及顧問公司Namastex Labs旗下的NPM套件進行竄改，挾帶的惡意軟體具備下列類似蠕蟲程式CanisterWorm的特性：套件安裝完成後即自動執行惡意程式，會從開發環境挖掘各式憑證、採用Canister智慧合約驅動的服務，以及透過自我複製的方式滲透其他的套件。

本次駭客使用的惡意程式具備4大功能，首先，會從開發環境收集各式機密資料，包括AWS、Azure與GCP雲端憑證，以及Kubernetes與Docker組態配置、SSH金鑰與組態、資料庫密碼檔，以及.npmrc、.git-credentials、.netrc與.env*等開發環境組態檔案，還有Terraform、Pulumi、Vault等平臺的資料。

蘋果修補iOS通知服務漏洞，試圖弭平已刪訊息仍保留於裝置內的爭議

不久前的4月初，蘋果才發布iOS 26.4.1與iPadOS 26.4.1，以及iOS 18.7.7與iPadOS 18.7.7，但僅僅兩週之後，又於4月22日釋出iOS 26.4.2與iPadOS 26.4.2，以及iOS 18.7.8與iPadOS 18.7.8。蘋果這次在正常更新週期之外的緊急更新，目的是修補通知服務（Notification Services）的漏洞，此弱點的存在，可能導致原本已標記為刪除的通知訊息內容，仍保留於用戶裝置，進而產生隱私疑慮。

這次修補的漏洞編號為CVE-2026-28950，蘋果在公告中指出此漏洞涉及的問題為：被標記為刪除的通知訊息內容，可能會意外地保留在裝置上，該公司則透過改進資料遮蔽機制（data redaction），以及修正日誌紀錄（logging）解決問題。

macOS終端機工具iTerm2存在執行任意指令漏洞，用戶需儘速修補

自從部分資安研究人員用Anthropic AI工具Claude發現大量資安漏洞，也讓利用AI輔助發掘軟體漏洞，成為資安領域的熱門議題，在這股熱潮下，資安研究機構Calif Global也與OpenAI合作，藉由結合研究人員與大型語言模型，尋找知名開源軟體中的漏洞，近日公布的macOS終端機工具iTerm2漏洞，便是這項計畫的成果之一。

Calif Global的報告指出，iTerm2存在可能導致執行任意指令的漏洞CVE-2026-41253，CVSS嚴重性評分為6.9分，問題源自iTerm2透過SSH整合功能處理遠端連線的conductor機制，未能驗證遠端連線來源，攻擊者可透過偽造特定格式的DCS 2000p與OSC 135序列訊息，誘使終端機執行任意指令。此漏洞影響3.6.9版以前的所有版本iTerm2，iTerm2開發團隊已發布修補的3.6.10版本。

Firefox的IndexedDB隱私漏洞恐成跨網站指紋，Tor Browser也受影響

裝置指紋與詐騙偵測資安公司Fingerprint揭露，所有以Firefox為基礎打造的瀏覽器受到IndexedDB隱私漏洞影響。問題發生在IndexedDB資料庫清單查詢功能的回傳順序，網站可藉此推導出穩定且可重現的瀏覽器程序識別資料，在沒有Cookie或其他共用儲存機制的情況下，辨識是否為同一個執行中的瀏覽器實體。該隱私漏洞不僅影響Mozilla基金會發布的Firefox，也波及主打隱私隔離設計的Tor Browser。

Mozilla針對此漏洞釋出修補，Firefox 150與ESR 140.10.0已納入修正。修正方式是讓API回傳結果改以固定順序排序，避免內部儲存結構的排列差異繼續外露成隱私風險。由於問題根源來自Gecko的IndexedDB實作，其他下游採用相同核心的產品若未額外處理，皆可能受到相同影響。

高德地圖在臺圖資紅綠燈倒數秒數精準惹議，資安署啟動檢測評估機制

中國導航服務高德地圖近期在臺灣快速竄紅，由於其可精準顯示紅綠燈倒數秒數等功能，但也因此引發資料來源與個資蒐集疑慮，引發資安與國安層級關注。數發部資安署已啟動檢測機制，評估是否對公部門甚至整體使用進行限制。

高德地圖近期在臺正式發布紅綠燈倒數功能，，且準確度極高，引發外界質疑其資料來源。由於臺灣各地方政府並未對外提供即時號誌資料API，也未與該業者合作，引發「資料從何而來」的疑慮，成為外界關心的重點。根據國內媒體的報導，業者回應，相關功能主要透過用戶定位資訊與歷史行車數據，結合演算法推估而成，而非直接介接政府系統，該說法證實並沒有直接取用地方政府的交通號誌控制系統數據，但也進一步引發對用戶數據蒐集的疑慮。

汽車產業資安威脅急速升溫，勒索軟體事故2025年翻倍成長

去年9月，印度塔塔汽車（Tata）旗下的英國車廠Jaguar Land Rover（JLR）遭遇勒索軟體攻擊，而受到全球高度關注，工廠被迫停止生產車輛1個月，損失慘重，金額高達19億英鎊，而成為英國史上損失最大的資安事件，英國政府提供15億英鎊貸款擔保，以協助JLR供應鏈恢復運作。有資安公司警告，勒索軟體對汽車產業的威脅加劇，過去一年勒索軟體是汽車產業成長最快的資安威脅，每兩起事故約有一起是勒索軟體攻擊。

資安公司Halcyon近日發布調查報告，指出汽車產業的資安事故自2023年開始不斷上升，2025年整體事件數量較2024年多出近50%。值得留意的是，勒索軟體是竄升速度最快的資安威脅，2025年的攻擊行動數量是2024年的兩倍。整體來說，2025年汽車產業遭遇的網路攻擊活動，有44%是勒索軟體攻擊。

其他資安威脅

◆CISA證實Microsoft Defender漏洞BlueHammer已遭利用，要求聯邦機構兩週內完成修補

◆惡意程式FireStarter鎖定思科防火牆已知漏洞發動攻擊

◆中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動

◆中國駭客綁架大量物聯網裝置建置固定代理伺服器網路，隱匿攻擊活動

◆UNC6692冒充IT服務臺，透過Teams散布惡意軟體Snow

◆勒索軟體Trigona利用自製的命令列工具從受害組織竊取資料

近期資安日報

【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞

【4月22日】雲端開發平臺Vercel驚傳資料外洩

【4月21日】2025年網路犯罪美國損失逾200億美元

'

【資安週報】0420~0424，資安漏洞五年暴增263%壓垮分析量能，NIST轉向風險優先策略

來源：https://www.ithome.com.tw/news/175284

這一星期資安焦點首推全球漏洞管理的巨大挑戰。美國NIST坦言，現行漏洞分析速度已難以負荷暴增的通報數量，未來將優先處理已被利用或涉及關鍵系統的風險；這似乎也反映即便AI技術進步，在自動化漏洞審核分析上仍存在瓶頸。

在網路威脅態勢方面，本週陸續傳出Checkmarx與Bitwarden遭受供應鏈攻擊，以及邊緣裝置遭攻擊者鎖定並發動零時差漏洞攻擊，這些攻勢迫使防守方必須更緊密地關注威脅情報與開發鏈的安全。

至於技術趨勢方面，本週報導呈現出多項關鍵演進。例如，針對AI Agent時代應運而生的KYA（Know Your Agent）概念，正成為KYC之後的新探討焦點；與此同時，eBPF技術、AI可觀測性技術，以及韌體分析平臺的發展，如今正有許多業者積極投入，展現出強大的技術潛力或市場需求。另一方面，面對如今竊資軟體橫行，造成日益嚴峻的Session Cookie竊取風險，產業面現在也有W3C協會正在推動DBSC、以及OpenID基金會推行DPoP，突顯過去缺乏防護的三不管地帶，終於有新的防護機制來應對此類風險。

政策法規

應對資安威脅需要公部門、私部門協力，例如美國主動排除在美受駭設備成為攻擊跳板的風險，是透過法院授權並結合民間技術力量來執行；而韓國為了修補金融漏洞，首度啟動安全漏洞清理服務計畫，是攜手4家資安業者主動偵測用戶電腦，並引導使用者同意修補舊版軟體，以縮短用戶未修補的風險空窗期。

美國因應俄羅斯軍方駭客入侵網路設備的威脅，成功阻斷駭客存取管道

美國數千臺路由器設備遭俄羅斯軍方駭客組織APT28入侵，被用於發動DNS劫持攻擊，該怎麼應對？美國採取更主動方式應對，FBI在資安公司Lumen、微軟、MIT林肯實驗室的技術協助下，依據法院授權，針對美國境內遭駭路由器進行反入侵，清除惡意設定並重設DNS。

韓國因應WGear網銀RCE漏洞，KISA首度啟動安全漏洞清理服務計畫

韓國軟體廠商Inswave Systems開發、用於企業網銀Excel大量資料處理的輔助程式WGear，被確認存在RCE漏洞，特別的是，韓國網路安全振興院（KISA）有全新應對方式，首度啟動安全漏洞清理服務（보안취약점 클리닝 서비스），協同4家資安業者防毒產品，在使用者電腦偵測到是舊版本時，引導使用者同意移除軟體。

漏洞數暴增263%，NIST縮減CVE分析範圍轉向風險優先

2025年CVE漏洞數量再創新高，近五年數量已暴增263%，美國NIST將改採「風險優先」策略。該單位坦言漏洞分析已無法跟上漏洞新增速度，之後將不再分析所有漏洞，而是優先處理已被利用與關鍵系統漏洞，其餘將列為未排程（Not Scheduled）。

數發部釋出公部門開源軟體應用參考手冊

鑑於公部門常因對開源授權條款（如GPL、MIT等）理解不足的問題，數發部資安署推出《公部門開源軟體應用參考手冊》，針對常見的授權、管理與資安議題，提供系統化指引，作為各級機關落實開源策略的重要依據，當中內容的結構主要涵蓋認識開源、應用評估分析、導入方法，以及維護與營運。

高德地圖在臺正式發布紅綠燈倒數秒數功能，資料來源與跨境資料處理受關注

高德地圖在臺圖資紅綠燈倒數秒數精準惹爭議，業者表示並未與國內地方政府合作，而是依據用戶的定位及行車數據推估而來，但由於高德地圖背後業者屬於阿里巴巴集團所有，引發國內進一步對資料處理與跨境傳輸機制的關注。數發部資安署表示已啟動檢測機制，評估是否對公部門甚至整體使用進行限制。

英國推動當地消費者數位服務的帳戶登入應以Passkey作為首選方式

英國國家網路安全中心（NCSC）宣布，現行面向消費者的數位服務應將Passkey（通行密鑰）列為首選登入方式，而在英國政府旗艦資安盛會CYBERUK上，NCSC同步發布相關技術報告，不僅列出傳統MFA與FIDO2在實際攻擊中的脆弱性比較表，並深入分析各類驗證機制在抵禦不同威脅時的技術特性與表現差異。

AI資安

自Mythos預覽版問世後，用AI發現漏洞的成果已然浮現，最近就有一例是Mythos發現Firefox存在271個漏洞，因此Mozilla基金會在Firefox 150版修補。這顯然只是開始，未來可望出現更多用AI協助偵測漏洞的案例。新趨勢的到來，反映過去受限於人力與資源，有大量潛在風險未被找出，如今，AI的能力日益強大，有機會補足資安研究人員的處理速度與分析能力。

AI推論框架SGLang曝RCE漏洞【CVE-2026-5760】

值得關注的是，這項漏洞CVE-2026-5760截至4月20日公告仍無官方修補程式。其風險在於，攻擊者可在惡意GGUF模型檔植入Jinja2酬載，待服務載入模型並觸發/v1/rerank端點後執行任意程式碼，至於緩解方式，CERT/CC已有兩項建議作法。

Firefox 150修補Claude Mythos找到的271個漏洞

Claude Mythos再度立功，Mozilla基金會指出，他們這次於大改版Firefox 150當中，一口氣修補了此語言模型找到的271個漏洞。Mozilla認為，長遠而言，這對防守方有利，過去駭客花大量人力與時間挖掘漏洞，當AI找漏洞的能力與人力大幅拉近，原本屬於攻擊方的優勢將不復存在。

Claude Opus 4.7資安能力刻意低於Mythos模型

新版模型推出速度極快，這次Opus 4.7版有哪些新重點？除了提升軟體工程執行、指令遵循與視覺處理的能力，特別的是，由於之前Mythos預覽版在資安攻防上表現過於強大，這次Opus 4.7發布中則同時測試一項新資安防護措施：能自動偵測並攔截那些可能被用於非法或高風險網路攻擊的狀況。不過，研究人員需加入Cyber Verification Program計畫方可使用。

FBI發布2025年網路犯罪報告，首度揭露AI相關威脅影響

投資詐騙已是連續三年超越BEC而成為傷害最大的犯罪型態，2025年這類損失金額更是達到86億美元，特別的是，今年報告新增網路犯罪使用AI的統計資料，進一步公布接獲逾2.2萬件與AI相關的投訴，帶來的損失金額超過8.93億美元。

Anthropic MCP協定遭揭存在設計缺陷

由Anthropic主導開發的開放標準MCP，被揭露其設計邏輯為先執行而後驗證，存在架構層級的系統性風險，並歸納出四大類攻擊手法，恐波及超過200個專案與20萬個實例，揭露的OX Security研究人員表示，通報Anthropic後得到的回應是：相關行為視為預期設計，因此未修改協定架構。

思科宣布將併購AI可觀測性平臺廠商Galileo

AI可觀測性技術成市場焦點，思科宣布併購專注此技術的新創公司Galileo Technologies，目標是提升其在AI代理監控與管理領域的能力，包括提升Splunk Observability Cloud服務，並聚焦整個AI代理開發生命週期（ADLC），從早期開發階段的提示最佳化與模型選擇、後續的評估、最終上線使用階段，提供監控、可觀測性與安全防護措施。

●Google AI開發工具Antigravity重大漏洞

資料安全

資料防護正面臨嚴峻挑戰，從法國國家憑證機構千萬筆資外洩，到Vercel因第三方AI工具漏洞引發的連鎖風險，突顯資料治理困境。另一方面，隨著數位錢包成為全球潮流，如何在身分驗證時也兼顧隱私已成關鍵課題，如今歐盟也有成果。

法國國家安全憑證機構遭駭可能洩露1900萬企業及個人帳密

法國負責發布身分證和護照的國家安全憑證機構（ANTS）遭駭，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取，初步調查顯示，包括登入ID、姓名、出生日期、帳戶識別碼等，至於電子郵件、出生地與電話號碼也可能外洩。另要注意的是，隨後網路犯罪論壇有人兜售聲稱來自ANTS的資料庫，內含近1900萬筆的紀錄。

兩個月前AI公司Context遭竊資軟體攻擊，疑為雲端開發平臺Vercel資料外洩事故的導火線

雲端開發平臺Vercel表示內部環境遭到入侵，指出這起事故是員工使用的第三方AI工具Context.ai被入侵造成，後續再有威脅情報公司HudsonRock指出，該事故的源頭可追溯到今年2月Context遭遇竊資軟體Lumma Stealer攻擊。而Context表示影響僅限於AI Office Suite等消費型產品，企業級產品不受影響，Bedrock用戶不受影響。

歐盟即將推出線上年齡驗證App，可確保隱私完成驗證

歐盟宣布其年齡驗證應用程式已開發完成，能讓用戶在不洩漏個資的前提下證明年齡，有效阻隔未成年人接觸色情、賭博及酒精等不適宜內容。該App的推行主要遵循歐盟《數位服務法》（Digital Services Act，DSA），並根據歐洲數位身分錢包（European Digital Identity Wallet）框架為基礎開發，要求線上平臺嚴格限制違規內容的存取。

端點安全

微軟零時差漏洞被研究人員接連揭露引發外界重視，最新揭露是名為UnDefend的漏洞，同於前兩次漏洞提前揭露的狀況，修補前皆被攻擊者搶先利用於攻擊活動，突顯駭客鎖定防禦空窗期積極攻擊的態勢。

又有第三個Microsoft Defender零時差漏洞被揭露！連同前面兩個皆已傳出用於攻擊活動【BlueHammer、RedSun、UnDefend】

繼BlueHammer（CVE-2026-33825）、RedSun之後，資安研究員又再公開另一名為UnDefend的零時差漏洞，更嚴峻的是，威脅情報公司Huntress指出，他們發現該名研究員公布的這3項資安漏洞都已遭到利用。由於後兩個漏洞尚未有修補釋出，需要留意相關攻擊活動。

蘋果修補iOS通知服務漏洞，試圖弭平已刪訊息仍保留於裝置內的爭議

蘋果修補通知服務（Notification Services）的漏洞CVE-2026-28950，此弱點的存在，可能導致原本已標記為刪除的通知訊息內容，仍保留於用戶裝置，進而產生隱私疑慮，如今該公司則透過改進資料遮蔽機制，以及修正日誌紀錄從而解決問題。

● Quest在2025年6月修補資產管理產品KACE Systems Management Appliance (SMA) 的漏洞被美國CISA列入KEV清單【CVE-2025-32975】

網路安全

近年時常有國家級駭客透過利用網路設備的漏洞入侵企業的消息，這星期又有思科新漏洞遭鎖定利用。由於網路邊界設備往往缺乏端點偵測軟體的覆蓋，顯示攻擊者仍將此視為相當有效的攻擊方式。

CISA警告思科SD-WAN資安漏洞遭到積極利用【CVE-2026-20122、CVE-2026-20128、CVE-2026-20133】

SD-WAN網路管理平臺的憑證管理與API存取等漏洞，可能導致權限提升、敏感資料外洩、覆寫檔案等問題，用戶需立即修補。其中CVE-2026-20128已被美國CISA列入KEV清單。

思科修補無線基地臺儲存空間異常占用缺陷，用戶須儘速修補確保系統正常更新

儲存空間耗盡，導致無法下載與執行更新程式，是智慧型手機或個人裝置無法更新系統的常見原因之一，在企業級網路設備上則相對罕見。不過近日思科的無線基地臺產品就發生此情形，由於IOS XE軟體的缺陷，日誌檔案占用容量持續異常增長，恐導致系統無法下載或安裝後續韌體更新，該公司為此發布重大（Critical）產品公告，提醒用戶儘速修補。

600萬臺連網伺服器還在使用FTP，四成未加密

還在使用FTP的企業注意！資安業者Censys最新一項研究發現，全球至今仍有近600萬臺連網主機是使用FTP，但其中約有245萬臺未觀測到TLS交握，原因可能是這些伺服器未更新系統、不支援或尚未完成TLS設定。

應對Session劫持終於有方法，W3C推DBSC、OpenID基金會推DPoP

雖然現行FIDO技術防禦了登入階段時的密碼遭網釣威脅，但驗證後的其他環節仍有風險，也就是，使用者登入後獲得的Cookie或Access Token，仍可能被惡意軟體竊取，如今W3C正推動的DBSC（Device Bound Session Credentials）標準，以及OpenID基金會推動的DPoP（Demonstrating Proof-of-Possession）標準，有望解決相關威脅。

●思科修補網路存取控制平臺ISE重大漏洞CVE-2026-20147

應用程式安全

供應鏈攻擊層出不窮，自從開源弱點掃描工具Trivy遭滲透後，越來越多資安業者成為攻擊者下手對象，最新消息是Checkmarx與密碼管理解決方案公司Bitwarden遭供應鏈攻擊。

Marimo重大漏洞遭利用，駭客透過Hugging Face散布惡意軟體NKAbuse【CVE-2026-39987】

Python資料分析工具Marimo重大漏洞CVE-2026-39987在開發團隊公布近半個月後，已出現攻擊行動，資安公司Sysdig警告，已有多組人馬加入利用的行列，其中一個是散布DDoS惡意軟體NKAbuse。

AI面試新創平臺Mercor遭供應鏈攻擊，傳言有臺灣企業受影響，已被否認

3月底Python套件LiteLLM遭遇供應鏈攻擊，不久後AI新創Mercor傳出資料外洩，該公司後續透露，發生的原因就與LiteLLM有關，此事後續引起國內關注，因為有網路傳言指出，臺灣有多家企業採用Mercor而受到影響，對此，104與PChome表示，未有資料庫串接或導入使用，他們並未受到影響。

Checkmarx遭供應鏈攻擊，KICS與VS Code延伸套件遭入侵

資安公司Checkmarx成駭客發動供應鏈攻擊的媒介目標，該公司表示影響範圍涵蓋上架於Docker Hub的KICS映像檔、公開GitHub儲存庫ast-github-action，以及兩款VS Code延伸套件Checkmarx與Checkmarx Developer Assist，用戶需留意是否受此事件而下載有問題的版本。

密碼管理解決方案公司Bitwarden證實NPM套件遭駭

Checkmarx供應鏈攻擊事故影響同樣擴大，密碼管理軟體開發公司Bitwarden推出的NPM套件Bitwarden CLI遭遇供應鏈攻擊，駭客發布了惡意版本2026.4.0，目的是竊取開發環境的機密資料，其特徵與Checkmarx事故一致，疑似該起攻擊活動的延伸。

修補Web應用框架ASP.NET Core DataProtection套件漏洞，用戶須升級並輪換金鑰

現代化Web應用框架ASP.NET Core的DataProtection套件存在漏洞CVE-2026-40372，微軟指出，受影響環境除須升級套件外，若漏洞期間曾對外提供服務，還需輪換DataProtection金鑰，否則攻擊者在此期間取得的合法權杖（Token）仍可能持續有效。

macOS終端機工具iTerm2存在執行任意指令漏洞

用AI發現漏洞再有新成果，資安研究機構Calif Global與OpenAI合作，揭露macOS終端機工具iTerm2漏洞CVE-2026-41253。iTerm2開發團隊已發布新版修補，呼籲用戶儘速更新。

工作流程自動化平臺n8n遭到濫用，駭客從事網釣活動散布有效酬載

以合法平臺掩護網路犯罪的狀況不斷，近期工作流程自動化平臺n8n竄紅，駭客也濫用此平臺來發動網路攻擊，但令人意外的是，這類攻擊活動近半年已增加近7倍。思科Talos指出，近半年來，駭客濫用n8n寄送的惡意郵件數量成長686%

● JetBrains TeamCity在2024年修補的漏洞被美國CISA列入KEV清單【CVE-2024-27199】

●微軟針對終止支援的舊版Exchange與Skype for Business發布第二階段ESU

身分安全

管理機器身分的挑戰，隨著Agent時代到來再顯擴大，如何應對仍在發展，但有一類議題大家可以優先關注，那就是KYA（Know Your Agent），也就是「認識你的代理人」的概念。

如何持續監控Agent行為？KYA概念成初步探討焦點

隨著Agentic AI發展，新興技術也帶來新的挑戰，近期FIDO聯盟正積極探討KYA（Know Your Agent），據與會參與討論的FIDO成員指出，過去我們驗證的是「人是否為本人」，但在AI Agent時代，誰來解決「Agent是不是那個Agent」的問題？還有如何持續監控Agent的挑戰需要各界共同設想對應之道。

帳號復原仍用簡訊OTP驗證身分問題可望有解！PNV與eSIM Passkey成焦點

現行雲端服務在帳號復原流程中，仍普遍依賴簡訊OTP驗證用戶身分，為了補強這塊安全缺口，據FIDO聯盟成員指出，目前FIDO生態系正聚焦於與電信業者合作，以強化身分驗證的安全性，在2026年有兩大發展動向受關注，一是電話號碼驗證（PNV）的發展，一是基於eSIM的去電話號碼識別技術。

Apple帳號變更通知遭濫用，有攻擊者將其用於發送釣魚信件，原廠通知機制反成為攻擊管道

Apple帳號變更通知被濫用於發送釣魚信件，在看似正常的原廠通知訊息挾帶釣魚詐騙訊息，攻擊者試圖藉此提高信件可信度，增加通過郵件驗證與過濾機制的機率。

殭屍網路PowMix鎖定捷克企業與求職者發動攻擊，採用隨機C2通訊匿蹤

有駭客鎖定捷克企業的人資與法務部門，以及求職者從事網釣攻擊活動，意圖散布殭屍網路PowMix，此惡意軟體的特別之處，在於C2連線導入隨機通訊機制，光是防堵已知的C2伺服器IP位址，恐難以因應相關攻擊

IoT/OT安全

近年我們多次報導廠商或非營利組織強調eBPF技術的重要性，如今再有業者強調其解決方案同樣是基於eBPF；韌體分析的資安與合規需求同樣受矚目，過去我們報導韌體分析業者揭露臺廠產品的漏洞，如今再有業者看中臺灣在地供應鏈的防護需求。

看好eBPF執行期防護與韌體分析市場，義大利商Exein登臺設立亞太營運中心

歐盟CRA上路在即，全球裝置端資安合規壓力同步升高，義大利物聯網資安業者Exein看重臺灣在供應鏈安全的關鍵角色，宣布在臺成立亞太營運中心暨臺北辦公室。同時，Exein公布聯發科與信驊科技導入其資安技術的最新進展，並表示看好IoT與嵌入式設備對執行期防護、韌體分析市場需求的增長。

Mirai殭屍網路變種Nexcorium綁架TBK DVR設備

出現新的Mirai殭屍網路變種Nexcorium，Fortinet指出這是Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發老舊CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。

惡意軟體ZionSiphon企圖滲透以色列水利設施，恐影響水資源處理與海水淡化

以色列水處理及海水淡化系統遭攻擊，資安公司Darktrace指出駭客打造專為OT環境設計的惡意軟體ZionSiphon，主要的目的是破壞氯氣和壓力控制的能力，並解析惡意樣本指出此惡意軟體結合了權限升級、透過USB裝置散播、掃描ICS設備等功能。

資安維運

在新竹物流的資安事故中，國內民眾的體感最為強烈，因為上週五即有許多民眾無法存取新竹物流網站，隔日仍是看到系統緊急修復的公告，由於斷網情況持續較久，且官網功能與物流配送息息相關，使得不少民眾紛紛上網反映此事。

新竹物流部分資訊系統遭網攻，服務停擺兩天【公開發行公司資安重訊】

新竹物流從4月17日（週五）多項服務中斷，該公司起初透露是系統當機所致，隔日（週六）該公司則透過證交所公開資訊觀測站發布重大訊息，揭露部分資訊系統遭受駭客攻擊。值得留意的是，新竹物流僅公開發行股票，並未上市或上櫃，不過，他們還是發布股市重大訊息來證實此事。

勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測

資安公司Sophos警告濫用虛擬化平臺QEMU迴避偵測的活動有所增加，並指出駭客組織STAC4713用於從事勒索軟體攻擊，藉由惡意程式PayoutsKing加密受害電腦檔案。

中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite

中國駭客散布後門程式LotusLite的情形不斷，繼上個月資安公司Zscaler揭露這方面攻擊活動後，Acronis也發現不同的攻擊活動，指出中國駭客Mustang Panda組織持續從事網路間諜活動，但攻擊目標從政府機關，轉向金融機構與外交政策相關組織。

汽車產業資安威脅急速升溫，勒索軟體事故2025年翻倍成長

汽車產業在2025年遭遇勒索軟體攻擊活動暴增，資安公司Halcyon近日發布調查報告指出，2025年汽車產業的資安事故數量較2024年多出近50%，其中勒索軟體是竄升速度最快的資安威脅，占比達44%，而且2025年的攻擊行動數量是2024年的兩倍，英國Jaguar Land Rover（JLR）車廠被迫停止生產1個月就是一例。

Mandiant團隊推免費資安教學平臺FLARE Learning Hub

AI時代仍要基本功，Mandiant新推出FLARE Learning Hub，採實作導向設計，透過Google Docs提供課程教材，目前平臺提供3個教學模組，涵蓋惡意程式分析入門課程、Go可執行檔逆向工程參考資料，以及時間回溯除錯入門教學，協助學習者逐步建立從基礎到進階的分析能力。

●連接線供應商維熹科技發布資安重訊，揭露資訊系統遭受駭客網路攻擊【上市公司資安重訊】

'