加拿大查獲簡訊廣播器犯罪活動，攻擊者假冒合法基地臺並利用2G連線弱點發送釣魚簡訊

來源：https://www.ithome.com.tw/news/175664

日前多倫多警察局（Toronto Police Service）公布「燈塔專案」（Project Lighthouse）調查結果， 指出3名男子涉嫌在多倫多市中心操作簡訊廣播器（SMS blaster），向大量行動裝置發送詐騙簡訊。 這起調查始於2025年11月， 當時有安全合作夥伴通報執法機關， 指出多倫多市中心疑似出現這類設備。

多倫多警方表示， 數個月內已有數以萬計的裝置曾連上這臺簡訊廣播器， 警方也辨識出超過1,300萬次網路中斷事件， 使部分裝置無法正常連上合法行動基地臺。此外， 攻擊者發送的詐騙簡訊看似來自可信任組織， 通常會要求收件者點選連結，並在假網站輸入個資、 銀行憑證與密碼。這類設備也可能干擾行動通訊， 使民眾撥打911等緊急服務受到影響。

Toronto Police Service

簡訊廣播器本質上是一種基地臺模擬器（cell site simulator），會假冒合法行動基地臺， 並廣播比周邊基地臺更強的訊號，誘使附近手機或平板裝置連線。 加拿大網路安全中心（Canadian Centre for Cyber Security）5月1日發布指引指出， 這類設備會利用2G網路缺乏強制身分驗證與加密的弱點， 在裝置連線後將其降級至2G模式， 進而繞過行動網路業者的防護與過濾機制。

TechCrunch報導引述多倫多警方說法指出， 這臺簡訊廣播器是特殊打造的設備，可從車輛後方操作， 因此能移動至多處地點使用。報導也提到， 泰國警方2024年曾查獲類似案件， 犯罪集團在曼谷以卡車搭載簡訊廣播器， 3天內發送將近100萬則釣魚簡訊。

加拿大網路安全中心建議，使用者收到非預期或可疑簡訊時， 不要點選其中連結或附件， 應改用官方App或官方網站確認訊息真偽； 多因素驗證也應優先採用驗證器App或硬體安全金鑰， 避免依賴SMS驗證碼或一次性密碼。若手機支援相關設定， 使用者也可手動關閉2G連線。另據蘋果（Apple）官方說明， iPhone使用者開啟「封閉模式」（Lockdown Mode）後，會關閉2G和3G行動網路支援， 降低遭簡訊廣播器誘導連線的風險。

'

約六成的密碼MD5雜湊值可在一小時內破解

來源：https://www.ithome.com.tw/news/175663

每年的5月第一個星期四是世界密碼日（World Password Day），許多資安專家會宣導密碼衛生的重要性，不過這次有資安公司揭露相當特別的分析結果，那就是應用系統存放的密碼資料，以現在的硬體資源而言相當容易破解。

近日卡巴斯基分析2023年至2026年流入暗網的2.31億個密碼，結果發現，駭客想要破解密碼，其中六成只需1小時與幾美元的費用值得注意的是，有近半數（48%）只要1分鐘就能破解。該公司說明，一般而言應用系統不會以明文存放密碼，而是經過特定演算法處理，並以雜湊值存放，一旦駭客取得這些雜湊值，而且能解密，就能還原成使用者輸入的密碼。

而該公司測試時，使用搭載RTX 5090顯卡的電腦，嘗試還原MD5雜湊值。卡巴斯基強調，實際上駭客不需自行擁有一臺高階工作站電腦，並耗資數千美元購買RTX 5090，而是直接以數美元的代價租用雲端的GPU運算資源，就能達到目的。針對上述測試結果，卡巴斯基強調，密碼的長度仍是影響其強度的主要因素，因為破解8個字元的密碼，大部分只需1天內就能完成。此外，該公司也認為密碼的內容多樣性及隨機性相當重要。

'

因應AI輔助開發風險，GitHub MCP Server加入提交前機密憑證與相依套件掃描

來源：https://www.ithome.com.tw/news/175660

GitHub正式推出GitHub MCP Server機密憑證掃描功能，並公開預覽相依套件漏洞掃描。這兩項功能的用途，是讓開發者在使用AI工具撰寫或修改程式碼時，可以在送出程式碼前先檢查是否誤放金鑰或權杖等敏感資料，或引入帶有已知漏洞的外部套件。

MCP（Model Context Protocol）是連接AI應用程式與外部系統的開源標準，可讓AI工具存取資料來源、工具與工作流程，而GitHub MCP Server則是GitHub提供給AI開發工具使用的連接介面。透過該機制，AI工具不只能回答問題，也可在取得授權後連接GitHub，協助處理儲存庫、議題、合併請求與程式碼相關工作。

過去，開發團隊多半是在程式碼送進儲存庫、建立合併請求，或進入自動化建置與測試流程後，才看到安全警示。現在，開發者可在支援MCP的開發環境中，要求AI代理工具先檢查目前修改的內容，降低敏感資料或脆弱套件被送出的機率。

機密憑證掃描功能適用於啟用GitHub Secret Protection的儲存庫，其可協助檢查程式碼變更中是否包含可能外洩的密碼、金鑰、權杖或其他憑證。相依套件漏洞掃描則適用於啟用Dependabot警示的儲存庫。GitHub說明，AI代理工具可透過GitHub MCP Server呼叫Dependabot相關工具，把專案使用的套件資訊送到GitHub漏洞公告資料庫比對，再回傳受影響套件、漏洞嚴重程度與建議修補版本。

另外，根據文件說明，透過MCP觸發的機密憑證掃描結果，只會顯示在目前AI代理工具的聊天工作階段，不會保存為GitHub正式安全警示，也不會出現在安全分頁、機密憑證掃描警示清單，或REST/GraphQL API的警示查詢結果中。因此，該功能應視為提交前的輔助檢查，不能取代既有安全警示、自動化檢查與程式碼審查流程。

GitHub也指出，機密憑證掃描工具目前只透過遠端GitHub MCP Server提供，本機MCP伺服器設定尚不支援。

'

Microsoft Teams將針對可疑外部來電示警，防範品牌冒用語音詐騙

來源：https://www.ithome.com.tw/news/175659

微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護（Brand Impersonation Protection for Teams Calling）功能，防範攻擊者透過外部的網路語音（Voice over Internet Protocol，VoIP ）來電假冒企業、 客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。

根據Microsoft 365訊息中心公告， 這項功能將於5月中旬推出，用戶可經由已設定目標發行（ Targeted Release）這個軟體最新版本發布管道取得。 這項防護主要針對首次聯繫的外部VoIP來電進行風險判斷； 若系統發現來電者疑似假冒為可信任的組織， 會在使用者接聽前顯示高風險來電警示。

若通話過程中仍出現可疑訊號， Teams也可能在通話期間持續顯示警示。 使用者仍可自行決定是否接聽，也能選擇封鎖來電者或結束通話。 微軟表示，這項功能將預設啟用，不需要管理員額外設定， 也不會影響既有Teams Calling政策。

微軟建議企業IT與服務臺人員預先了解這項變更， 因為使用者可能開始在Teams看到高風險來電警示。 若企業已將Teams安全納入員工訓練，也可同步更新內部教材， 說明遇到可疑外部來電時的處理方式。

這項更新也反映協作平臺正成為社交工程攻擊目標。Windows Central指出，Teams愈來愈常用於客戶、合作夥伴、銷售與支援等對象， 進行外部溝通， 因此，未知來電與外部邀請也成為攻擊者可利用的場景。

今年1月，資安業者Check Point揭露一波濫用Microsoft Teams來賓邀請功能的釣魚攻擊。攻擊者建立帶有帳單、 訂閱或付款語意的惡意Teams團隊名稱， 再透過合法Microsoft服務寄出邀請郵件， 誘使收件者撥打假客服電話，而非點擊惡意連結。Check Point統計，這波攻擊共發送12,866封釣魚郵件， 影響6,135家客戶。

'

OpenAI推出ChatGPT信任聯絡人功能，重大自傷風險可通知親友

來源：https://www.ithome.com.tw/news/175657

OpenAI週四（5/7）宣布推出ChatGPT信任聯絡人（Trusted Contact）功能，讓18歲以上使用者可自願指定一名信任的成年人，在系統判斷使用者可能有嚴重自傷風險時，通知該名聯絡人介入關心。

OpenAI說明，使用者有時會在ChatGPT中探索個人問題，甚至在對話中透露自己正處於困難或需要支持的狀態，因此OpenAI希望系統在敏感情境下不只提供回應，也能在必要時協助使用者連結到現實生活中的支援。

為此設計的Trusted Contact是ChatGPT既有在地危機專線提示之外的另一層安全機制，目標是在使用者可能陷入危機時，幫助其接觸已信任的人。

使用者可從ChatGPT設定中新增一名信任聯絡人，對方必須年滿18歲，南韓則為19歲以上。受邀者會收到說明其角色的邀請，並須在一週內接受，功能才會啟用；若對方拒絕，使用者可改選其他成年人。使用者也可隨時修改或移除信任聯絡人，聯絡人也能自行退出。

倘若OpenAI的自動化監測系統偵測到使用者談及自傷且呈現嚴重安全疑慮，ChatGPT會先告知使用者可能通知信任聯絡人，並鼓勵使用者主動聯絡對方，也會提供對話開場建議。

之後，OpenAI會交由一組受過專門訓練的人員審查；若確認對話可能代表嚴重安全疑慮，才會透過電子郵件、簡訊，或ChatGPT App內通知信任聯絡人。通知內容不會包含聊天細節或逐字稿，只會簡要說明自傷議題曾以可能令人擔憂的方式出現，並建議對方主動關心。

OpenAI強調，Trusted Contact是選用功能，不會取代專業照護、危機專線或緊急服務，而是ChatGPT既有安全機制之外的另一層保護。ChatGPT在敏感對話中，仍會視情況鼓勵使用者聯絡危機專線、緊急服務、心理健康專業人士，或生活中的可信任對象。

'

三星Galaxy Watch 6能以AI預測昏倒

來源：https://www.ithome.com.tw/news/175656

三星本週宣布在一項臨床研究中，Galaxy Watch 6可有效預測神經性失調引發的昏厥症狀，以便用戶採取預防措施。

三星是在與韓國中央大學光明醫院（Chung-Ang University Gwangmyeong Hospital）的聯合臨床研究中，利用Galaxy Watch 6偵測的生物訊號，準確預測迷走神經性昏厥（VVS）。

迷走神經性昏厥（Vasovagal syncope，VVS）可能在人感到恐懼、疼痛、焦慮、受威脅等，像是抽血引起疼痛、看到流血事件、也可能因長久站立、排便或排尿誘發短暫失去知覺而暈倒。暈倒前人可能出現冒冷汗、臉色蒼白、視力模糊現象，生理徵象則包括血壓降低、脈搏變慢、瞳孔放大。雖然該症狀一般持續數秒至一分鐘，病人即恢復知覺，但可能因摔倒引發二次傷害，如骨折或腦震盪。

率領此次研究的心臟科趙俊煥（Junhwan Cho）教授指出，40%的人一生發生過VVS，有1/3會發生多次，早期警示能讓病患提前找到安全姿勢或求救。

在臨床測試中，研究團隊讓132名潛在患者配戴Galaxy Watch 6進行VVS症狀偵測。研究小組利用手錶上的PPG感測器分析蒐集患者心率，並以AI演算法分析心律變異（HRV）。測試結果顯示，三星模型在患者暈倒前5分鐘預測準確率達84.6%，靈敏度達90%，特異性（specificity）則為64%，具有臨床上的顯著性。

本研究論文也發表在《歐洲心臟期刊-數位健康》中。

這項成果也是三星持續強化其Galaxy穿戴裝置的數位健康功能。在MWC 2026和CES 2026中，三星展示Galaxy Watch與手機分析長者的認知退化風險。三星藉手錶及手機蒐集用戶的語音模式、打字習慣、走路步態、睡眠來分析可能的早期失智症狀。其Galaxy Watch已能偵測和分析包括睡眠呼吸中止（Sleep Apnea）、血壓監測、身體組成分析及壓力監測與睡眠等健康狀況。其中血壓偵測在2026年開始擴展到美國市場。在CES 2026中，三星並與高通（Qualcomm）展示的新一代Snapdragon Wear Elite平臺加入NPU，以便在手錶端直接執行AI健康分析。

'

【資安日報】5月8日，Linux核心再傳本機提權漏洞Dirty Frag

來源：https://www.ithome.com.tw/news/175655

Linux核心再現本機提權零時差漏洞，攻擊程式已流出

資安研究人員Hyunwoo Kim公開名為Dirty Frag的漏洞鏈，指出攻擊者若已能在受影響Linux系統上執行程式，可能由低權限帳號取得Root權限。由於Dirty Frag漏洞影響所有主流Linux環境，且發行版修補與CVE編號申請尚未完成前，已有第三方公開部分漏洞細節與攻擊程式，迫使研究人員不得不提前揭露完整資訊。Dirty Frag的問題發生在Linux核心處理網路資料與加解密資料時，未能正確分辨部分資料其實來自檔案快取，攻擊者可讓原本只應被讀取的檔案快取頁面，被放進核心後續要處理的網路資料。

Ivanti修補裝置管理平臺EPMM已遭利用的高風險漏洞

5月7日資安公司Ivanti發布公告，端點管理平臺Endpoint Manager Mobile（EPMM）存在5個高風險漏洞，值得留意的是，其中一個登記為CVE-2026-6973的資安漏洞已出現實際攻擊活動。CVE-2026-6973為存取控制不當引起的弱點，通過身分驗證且具備管理權限的攻擊者，就有機會遠端執行任何程式碼（RCE），CVSS風險評為7.2分。Ivanti指出，他們已掌握少部分客戶遭遇漏洞利用的情形，並強調利用漏洞的必要條件，在於須預先通過管理員的身分驗證。

Palo Alto Networks防火牆作業系統零時差漏洞傳出遭國家級駭客利用

5月6日資安公司Palo Alto Networks揭露已被用於攻擊的零時差漏洞CVE-2026-0300，該公司威脅情報團隊Unit 42透露，他們4月9日開始看到國家級駭客CL-STA-1132利用CVE-2026-0300的活動，但當時並未成功，一週後，駭客對防火牆發動遠端程式碼執行（RCE）攻擊，並注入Shellcode，得逞後，為了避免留下作案痕跡，這些駭客隨即清除事件記錄，其中包含系統核心當機訊息、Nginx當機相關事件，此外，他們也移除核心當機傾印檔案。時隔數日，駭客部署多個具有root權限的工具，並利用防火牆服務帳號對AD環境進行偵察。

針對cPanel重大漏洞的攻擊激增，用戶需立即修補

威脅情報機構Censys近日發布報告指出，Linux主機管理平臺cPanel/WHM重大漏洞CVE-2026-41940公開後，大量cPanel主機已成為攻擊目標，自5月1日起，網際網路上相關惡意活動明顯增加，用戶需立即採取修補措施。攻擊者主要透過兩種手段來攻擊cPanel主機，一為在入侵系統後，部署Mirai變種惡意軟體，另一為使用變種的Sorry勒索軟體。而依照Censys自身的資料，他們目前偵測到大約9,500臺cPanel主機涉及惡意活動，多集中於虛擬私人伺服器（VPS）與雲端服務供應商。

駭客發動長達5小時慢而低調的DDoS攻擊以規避偵測

資安廠商DataDome發現近來駭客發動分散式阻斷服務（DDoS）攻擊手法有所演進，從短時大規模流量攻擊，轉向慢而低調的長時間活動。該公司於4月緩解鎖定一家生成內容平臺客戶的網頁機器人（Bot）的DDoS攻擊，駭客以時間換取空間，在5小時內發出24.5億次請求，但值得注意的是，過程裡未曾觸發傳統防護方案流量限制的機制。發動這波攻擊的殭屍網路，橫跨16,402個自治系統（AS），遍及120萬個不重複IP位址，是DataDome觀察到最繁複的DDoS基礎架構。

駭客濫用Anthropic與OpenAI的模型攻擊墨西哥水力及排水系統

工控資安公司Dragos指出，他們協助另一家資安公司Gambit Security調查墨西哥多個政府機關遭遇大規模入侵的事故，結果發現駭客竟利用AI從受害組織的IT環境，成功滲透關鍵基礎設施的OT環境。Gambit Security於今年2月發現，墨西哥政府機構2025年12月開始遭遇攻擊，其中有大量證據顯示，攻擊者使用Anthropic Claude與OpenAI GPT模型的情況，Dragos留意到針對城市供水與排水的公營事業的攻擊，在這波事故中，駭客成功滲透該公司的企業IT環境之後，試圖入侵相關的OT環境。

惡意軟體Beagle透過假Claude網站散布

上個月資安公司Malwarebytes揭露冒牌Claude網站的攻擊行動，駭客藉此散布遠端存取木馬PlugX，本週資安公司Sophos指出，由於駭客的攻擊鏈與PlugX的活動有多個共通的特徵，他們起初認為這起偽冒事故是PlugX攻擊，但進一步調查後發現，駭客使用了過往未曾出現的後門程式，該公司將其命名為Beagle，過程中，駭客使用第一階段酬載DonutLoader將其載入。根據駭客不慎曝露的Cloudflare原始來源憑證，假Claude網頁的主機可能在今年3月架設。

Anthropic程式碼助理Claude Code存在設計問題，可被MCP劫持竊取OAuth權杖

資安業者Mitiga研究人員發現Anthropic旗下的程式碼助理Claude Code存在設計漏洞，可能遭駭客發動MCP劫持（MCP Hijacking）竊走其OAuth權杖（Token），但開發人員可能渾然不覺，並透過供應鏈攻擊擴大下游受害範圍。這個漏洞出在Claude Code配置機制與擴展架構設計。這涉及Claude Code權杖的致命特徵，包括不安全儲存（存放在~/.claude.json目錄）、能跨連線階段（Session）重複使用與自動刷新（refresh），再者，開發人員因無從看出來源伺服器，無法追溯權杖的來源。

國安局指出高德地圖存在資安問題，使用者通話及個資會回傳中國

因具備精準顯示紅綠燈倒數秒數等功能，中國導航服務高德地圖在臺灣快速竄紅，但其資料來源與個資蒐集方式引發疑慮，使得我國政府關注此事並進行評估。繼4月下旬數發部根據資通安全管理法要求政府機關禁止使用，近日國家安全局也透露，他們已對高德地圖進行檢測，結果發現多項資安問題。5月7日立法院外交及國防委員會審查115年度中央政府總預算案，有立委在質詢時關切高德地圖的資安議題，詢問國安局是否對其進行分析。國安局長蔡明彥表示，他們已檢測高德地圖行動裝置應用程式，在15個項目中，有9個存在資安問題。

電源設備製造商碩天遭勒索軟體攻擊

專注於電源解決方案的科技公司碩天（3617）於5月7日下午在股市公開觀測站發布資安重訊，指出有不明人士入侵主機並將部分伺服器加密的情況，他們察覺此事後隨即啟動資安防禦機制並進行復原，對於這起事故可能會造成的影響，該公司經初步評估，表示對財務、業務，以及營運皆無重大影響。

Mozilla發布Firefox 150.0.2，修補3項高風險漏洞

5月7日Mozilla基金會發布Firefox 150.0.2，一共修補3項高風險資安漏洞，分別為CVE-2026-8090、CVE-2026-8092、CVE-2026-8093，這些弱點皆與記憶體有關，其中的CVE-2026-8090為記憶體釋放後再存取使用（Use After Free），存在於DOM: Networking元件。另外兩個弱點CVE-2026-8092與CVE-2026-8093，皆為影響記憶體安全性的程式臭蟲，攻擊者有機會用來執行任何程式碼。

WhatsApp修補觸發惡意連結漏洞，若未更新可能導致短影音被利用為攻擊入口

即時通訊服務WhatsApp近日發布資安公告，修補兩項可能導致觸發惡意連結與執行附件檔案的漏洞，建議用戶盡速修補。其中較受矚目的漏洞是CVE-2026-23866，CVSS嚴重性評分4.3分，問題源自處理Instagram Reels短影音相關訊息時，對媒體內容的來源驗證不足，可能導致WhatsApp載入任意網址，攻擊者可藉此誘使用戶開啟惡意網址。這項漏洞會影響iOS版WhatsApp的2.25.8.0至2.26.15.72版，以及Android版2.25.8.0至2.26.7.10版。

Node.js沙箱函式庫vm2再爆重大逃逸漏洞

Node.js沙箱函式庫vm2出現重大沙箱逃逸漏洞CVE-2026-26956，受影響版本為3.10.4，修補版本為3.10.5。GitHub安全公告顯示，該漏洞嚴重性等級為重大，CVSS v3.1分數為9.8，攻擊者若能將經過特殊設計的程式碼交由VM.run()執行，就可能跳離沙箱，並在主機端執行命令。由於概念驗證（PoC）的程式碼與檔案現已於GitHub公開，建議使用者升級至vm2 3.10.5或更新版本。

Wireshark發布4.6.5版修補逾40項漏洞，AI輔助通報加速風險揭露與修補

廣泛用於網路封包擷取、檢視與分析的開源封包分析工具Wireshark，近日釋出4.6.5版本，除改進功能、更新協定外，還修補四十多項漏洞。Wireshark基金會在公告中特別指出，這次改版所修補的漏洞數量大增，源自近期透過AI輔助通報漏洞的應用。這次Wireshark修補的漏洞中，最嚴重的是以下這4個。首先是CVE-2026-5402，CVSS嚴重性評分達8.8分，為TLS協定解析器的堆積溢位問題。CVSS嚴重性7.8分的漏洞有三個，分別是：CVE-2026-5403、CVE-2026-5405、CVE-2026-5656。

Oracle釋出2026年4月關鍵修補更新，共修補241項漏洞，含多項重大與高風險漏洞

Oracle近日發布2026年4月關鍵修補更新（Critical Patch Update，CPU），共包含481項更新程式，修補241項漏洞，包括22項重大漏洞，影響範圍包括資料庫、應用伺服器等28個產品家族。Oracle這次更新涉及的產品中，比重最大的是Oracle Communications產品家族，一共有139項更新程式，占所有更新程式總數近30%，其次是Oracle Financial Services Applications與Oracle Fusion Middleware，分別有75項與59項更新程式。弱點管理公司Tenable指出，約有六成漏洞無需通過身分驗證，即可透過網路發動攻擊。

劍橋研究指出逾8成金融業者已導入AI，監管機關最擔心資料隱私與AI幻覺風險

劍橋大學賈吉商學院（Cambridge Judge Business School）發布全球金融業AI研究《2026 Global AI in Financial Services Report》指出，目前已有81%的金融服務業者導入AI，主要用於內部流程與營運優化。研究也發現，資料隱私、AI幻覺（hallucination），以及AI輸出結果不可靠，已成為監管機關最關注的AI風險。金融業者導入AI的速度明顯快過監管機關。受訪金融機構中，有40%已進入成熟導入或轉型階段，相較於監管機關， 比例達到兩倍以上，後者僅20%達到相近成熟度。不過，僅14%的受訪者認為，AI已對企業策略與競爭優勢帶來明顯影響。

強化美國關鍵基礎設施韌性，CISA推動CI Fortify計畫

美國網路安全暨基礎架構管理署（CISA）本週宣布，啟動關鍵基礎設施強化（CI Fortify）計畫，要求能源、國防等基礎設施機構強化隔離作業及回復運作的能力，因應地緣政治中的網路安全威脅。此計畫是為了因應美國關鍵基礎設施面臨中國、伊朗、俄羅斯等國家級駭客帶來的威脅，其中包括擾亂及破壞美國能源與設施控制系統的操作環境（OT）系統、滲透電信基礎設施以癱瘓電話和網路服務。在這項計畫裡，CISA要求關鍵基礎設施的經營者，需增加隔離（Isolation）與復原（Recovery）有關的投資。

臺灣有74%企業為了轉型而用AI，卻有半數難辨威脅

針對臺灣企業導入AI的現況，趨勢科技示警，指出國內有相當多企業在追求導入AI速度之際，已經呈現出容易忽略風險控管的現況。該公司表示，根據旗下企業資安事業群（TrendAI）調查報告TrendAI 2026 global AI study顯示，有74%的臺灣企業迫於高層或市場壓力，核准了可能帶來資安風險的AI方案，這當中卻只有不到一半的企業認為，其內部團隊能辨識惡意或異常的AI行為。此狀況突顯一種內部風險，臺灣企業在提升競爭力與AI轉型的同時，儘管部分企業試圖建立安全配套，但有半數以上的風險控管能力已成為被忽略的一環。

【臺灣資安大會直擊】BEC郵件詐騙手法採用AI深偽技術，讓商業詐騙進入「真假難辨」新階段

隨著生成式AI與深偽技術快速普及，商業電子郵件詐騙（BEC）正從傳統假冒郵件，演變為結合雲端帳號滲透、AI視訊偽造與跨境社交工程的新型態攻擊。曾在KPMG、鴻海集團擔任顧問、資訊或資安主管的遠東新世紀資安處資安長易換棣，在今年臺灣資安大會中分享他的觀察及經驗，BEC已不只是資安事件，而是企業治理、信任機制與商業流程全面遭到操控的問題。

統合多種資安服務提供風險分析，AWS翻新偵測與應變方案

資安是大型公有雲業者持續擴增的服務類別，AWS旗下有5大類、33款產品，數量最多的類型是偵測與應變，其中的Security Hub在2025年12月改名為Security Hub CSPM，聚焦資安發現的匯聚、資安最佳實務的檢查、法規與政策遵循的監控，至於Security Hub這套資安服務，則是經過重新設計，從雲端安全態勢管理（CSPM）進化成統一的雲端安全解決方案。到了今年2月底，AWS 宣布Security Hub擴增延伸訂閱方案（Extended plan），目的是針對企業多種資安解決方案的採購、部署、整合，提供簡化使用的機制。

近期資安日報

【5月7日】駭客聲稱提供OpenClaw用戶擴充功能散布惡意軟體

【5月6日】Apache修補網頁伺服器高風險漏洞

【5月5日】2026臺灣資安大會正式登場

'

AWS美東資料中心傳出供電與冷卻異常，EC2與EBS服務受影響

來源：https://www.ithome.com.tw/news/175652

AWS透過其服務狀態儀表板警示，美國東部（北維吉尼亞）的US-EAST-1服務區域，因單一資料中心供電與冷卻系統異常，導致部分EC2與EBS服務出現「impairment（功能降級）」情況，進而影響到其他相關服務運作，AWS表示已著手修復問題，目前已有初步復原跡象，但尚未能確認完全復原的時程。

US-EAST-1是AWS最大型、也最重要的服務區域之一，一旦出現事故、往往牽連廣泛，2025年10月的大規模中斷事件，波及全球大量網站與雲端服務，仍讓人心有餘悸，因而這次散熱與供電異常，也格外引起我們注意。

AWS最初是在太平洋夏令時間（PDT）5月7日下午5點25分（臺灣時間5月8日上午8點25分）發出通知，表示US-EAST-1的use1-az4可用區出現執行個體功能降級（impairment）情況。稍後在5點53分說明更多細節，表示問題源自單一資料中心內的溫度升高，部分EC2 執行個體與EBS磁碟區的硬體，在機房環境過熱期間因斷電而導致功能降級，依賴這些EC2與EBS的其他AWS服務也可能受到牽連。

在6點47分的訊息更新中，AWS表示正努力將use1-az4可用區的溫度恢復到正常，並已暫停大部分服務流量，建議用戶暫時使用US-EAST-1的其他可用區，但AWS也承認，用戶的系統建立（provisioning）所需時間可能會比平常更長。

稍後在晚上8點6分，AWS表示use1-az4可用區已逐步恢復冷卻系統，但復原進度比預期要慢。受影響可用區的EC2、EBS與其他AWS 服務，也出現錯誤率和延遲升高的情況。作為復原工作的一部分，AWS已將大多數服務的流量，從受影響的可用區轉移出去，並再次建議用戶遷移到其他可用區。

最新於5月7日晚上10點11分發布的更新（臺灣時間5月8日下午1點11分），AWS表示已觀察到初步復原的跡象，藉由啟用額外的冷卻系統容量，從而能夠復原部分受影響的機架，並正積極地設法復原更多機架。

'

駭客濫用遠端管理工具Tiflux於受害電腦建立存取管道

來源：https://www.ithome.com.tw/news/175648

為了將攻擊活動融入合法行為，駭客濫用遠端監控及管理工具（RMM）的情況極為氾濫，其中最常見的像是AnyDesk、Splashtop、SimpleHelp，以及ScreenConnect等，不過，最近有人使用較不知名的工具，引起研究人員的注意。

威脅情報公司Huntress指出，他們從今年2月看到駭客使用巴西遠端監控及管理工具Tiflux的活動，並從2月27日出現顯著增加的情形。駭客先透過網路釣魚活動與誘餌文件檔案建立初期存取管道，然後再將存取管道與其他遠端管理工具串連，這些工具包括：UltraVNC、Splashtop、ScreenConnect。值得留意的是，駭客挑選Tiflux的原因，不光是該應用程式鮮為人知，其安裝程式亦存在過時且疑似有問題的元件，其中一個是驅動程式HwRwDrv.sys，此元件存在可被用於權限提升的弱點，而且簽章已經過期，因此Huntress認為，駭客濫用Tiflux帶來的危險，已超越單純一般利用遠端監控及管理工具的活動。

針對攻擊發生的過程，駭客通常會假借服務合約即將到期等誘餌寄送釣魚信，將收信人導向Cloudflare圖靈驗證網頁，最終要求他們下載經過掃描的安全文件檔案，但實際上，駭客提供的連結會下載Tiflux的安裝程式。若是收信人依照指示安裝，對方就會利用Tiflux內建功能，在完全不會出現通知訊息的情況下，將ScreenConnect與Splashtop偷偷推送到受害電腦。

'

Google發表全新健康平臺Google Health，整合Fitbit與Gemini

來源：https://www.ithome.com.tw/news/175658

Google本週四（5/7）揭露了全新的健康平臺Google Health，將既有Fitbit App升級為Google Health App，推出由Gemini驅動的個人健康教練Google Health Coach，並發表無螢幕、可24小時佩戴的新款健康追蹤器Fitbit Air。美國媒體多半將此事視為Google收購Fitbit以來最大規模的品牌及產品整合。

Google Health App是由Fitbit App升級而來，既有Fitbit用戶不必另外下載新App，資料也會自動轉移。新版App將以Today、Fitness、Sleep與Health等4個分頁呈現健康資訊，並可整合Fitbit與Pixel Watch等穿戴裝置資料、Android的Health Connect、iPhone健康App資料、第三方健康App，以及美國使用者的醫療紀錄，讓使用者集中查看運動、睡眠、生命徵象、用藥與檢驗結果等資訊。

Google準備在今年稍晚邀請Google Fit用戶把資料遷移至Google Health App，顯示長期與Fitbit App並行的Google Fit即將功成身退。

而Fitbit Premium訂閱服務也更名為Google Health Premium，核心功能是由Gemini驅動的Google Health Coach，可依據使用者的運動、睡眠、恢復與健康資料，提供個人化建議。

Google Health Coach預計於5月19日正式開放，Google Health Premium月費9.99美元或年費99美元；Google AI Pro與Google AI Ultra訂戶則可直接使用Google Health Premium，不必另行訂閱。

Fitbit Air則是Google新推出的無螢幕健康追蹤器，本體採小型感測器搭配腕帶設計，不顯示通知或數據，而是將健康資料同步到Google Health App查看。Google表示，Fitbit Air主打輕薄、平價與可24小時佩戴，並可與Google Health Coach搭配使用，讓AI教練取得更完整的日常健康資料。

Fitbit Air可追蹤24小時心率、心律不整警示、血氧、靜息心率、心率變異、睡眠階段與睡眠時間等資料，電池續航力最長一週，充電5分鐘可使用一整天。Fitbit Air售價99.99美元，另有NBA球星Stephen Curry特別版售價129.99美元，兩款皆附3個月Google Health Premium試用。

'

CISA在Palo Alto Networks防火牆重大漏洞揭露當下，即同步納入KEV清單，限期3天採取緩解措施

來源：https://www.ithome.com.tw/news/175627

5月6日揭露的Palo Alto Networks防火牆重大漏洞CVE-2026-0300，CVE-2026-0300，當天美國網路安全與基礎設施安全局（CISA）隨即證實已出現被利用的活動，將其納入已知遭利用漏洞清單（KEV），要求各機構5月9日前採取緩解措施，顯示此漏洞具備高度風險與急迫性。

CVE-2026-0300的CVSS v4.0嚴重性達到9.3分，問題源自Palo Alto Networks防火牆的User-ID身分驗證入口網站，存在越界寫入類型（Out-of-Bounds Write）弱點，攻擊者無須身分驗證，即可向入口網站服務發送特製封包觸發此漏洞，可能導致攻擊者以root權限執行任意程式碼。

Palo Alto Networks旗下的實體版與虛擬版防火牆產品都會受此漏洞影響，涵蓋這些產品搭載的10.2、11.1、11.2與12.1等版本PAN-OS防火牆作業系統，雲端防火牆服務Cloud NGFW、SASE平臺Prisma Access，以及Panorama管理平臺則不受影響。原廠公告中指出，目前已觀察到有限度攻擊行為，但目前尚未推出修補程式，CISA要求各機構先行依原廠建議採取緩解措施。首先，將User-ID身分驗證入口網站的存取權限，限制在受信任區域，確保只有受信任的內部網路才能存取；其次，若用戶環境中不需要強制入口網站功能，則直接停用這項服務。

'