經濟部擴大產業節能計畫，要求用電量超過800瓩的大用戶導入節能診斷並提出5年節能計畫

來源：https://www.ithome.com.tw/news/175910

為加速推動產業節能減碳與淨零轉型，經濟部今天(5/18)公告「能源用戶辦理節能診斷及訂定節能計畫規定」，要求契約用電容量超過800瓩的能源大用戶，全面導入節能診斷並提出5年節能計畫。政府希望透過制度化的節能管理，進一步挖掘產業用電場域的節能潛力，推動「深度節能」政策。

這項政策是行政院自2024年推動的「深度節能行動計畫」一環，整體目標是在4年內節電206億度。除了要求約4,900家能源大用戶達成年平均節電率1%或1.5%的要求，也同步推動國營事業節能診斷，以及家戶端的家電汰舊換新補助。

經濟部指出，截至2026年4月，各項措施累計已節電120.68億度，其中能源大用戶節電量超過29億度。2026年1至4月已節電約11.7億度，約可減少16.4萬公噸天然氣發電需求，相當於2.7艘LNG運輸船的供氣量，顯示大型用電場域的節能措施已逐漸發揮效果。

能源大用戶2年內完成節能診斷

根據新規定，契約用電容量超過800瓩的企業，須於2026年至2027年間完成全面節能診斷，並依診斷結果，在2028年第1季前提報5年節能計畫，後續也需每年定期向經濟部回報執行情形。

根據規畫，具資格的法人、學校、專業機構與執業技師組成節能診斷團隊，協助企業盤點老舊設備、分析節能潛力與規畫改善方案。後續也將建置「節能診斷資訊專區」，提供診斷團隊資訊，協助企業媒合所需的專業服務。

從政策方向來看，政策目標是讓節能從過去偏向的單點設備改善，進一步轉向整體用電場域與長期節能規畫管理。除了設備汰換，也希望企業建立持續性的節能治理機制。

政府提供投資抵減與節能補助降低導入門檻

為降低企業投入節能改善的成本壓力，經濟部同步提供租稅與補助配套。

例如《產業創新條例》第10-1條的投資抵減措施將持續實施，並擴大節能減碳適用項目，投資抵減上限提高至20億元。此外，也提供節能績效保證專案補助、廢熱與廢冷回收補助，以及動力公用設備補助等多項措施。

經濟部認為，透過節能診斷與5年節能計畫，不僅有助於提升能源使用效率，也可帶動節能診斷、能源管理與相關技術服務市場發展，形成新的節能產業商機，進一步推動產業淨零轉型。

'

經濟部推行動工商憑證，讓手機化身「數位大小章」，瞄準企業授權與金融應用

來源：https://www.ithome.com.tw/news/175909

為推動企業數位身分與商務流程的行動化，經濟部商業發展署正式推出「行動工商憑證」服務，讓企業不再受限於讀卡機與IC實體卡片，只要透過手機即可完成身分驗證、數位簽章與授權作業。經濟部表示，未來手機將成為企業的「數位大小章」，除可應用於公司登記、報稅與政府補助申請，甚至可延伸到證券下單、企業金融與保險等場景。

經濟部商業發展署指出，目前全臺的工商憑證IC卡累計發行量已超過230萬張，每年新增約12萬張，年使用次數約9億次，顯示企業對工商憑證的使用需求相當高。然而，過去傳統IC卡片憑證長期存在需要讀卡機、安裝驅動程式，以及忘記PIN碼等問題，因此決定推動工商憑證行動化。

商業發展署指出，行動工商憑證最大的改變，在於將原本的實體卡片與傳統的公司大小章概念，進一步整合進手機裝置中。企業使用者可透過手機完成身分驗證與數位簽署，不再需要攜帶卡片或依賴特定電腦設備，即使人在外地，也能即時完成企業授權、報稅或行政流程。

行動化後可支援分工授權，改善企業借卡問題

行動工商憑證強調和實體文件、大小章具備同等法律效力，該系統由中華電信受委託開發，支援iOS與Android平臺，採一卡一證設計，一張實體工商憑證(不論是正卡或附卡)都只能申請一張行動工商憑證，並且綁定在一臺行動裝置，其使用的數位憑證遵循工商憑證管理中心憑證實務作業基準，且符合國內電子簽章法規範，因此行動工商憑證除了可作為身分識別，也具有法律上的不可否認性，具備意思表達，可用於授權同意簽署文件。

設定上，使用者需先在行動工商憑證官網，以實體工商憑證及讀卡機，線上申請行動工商憑證，並且透過掃碼，將行動工商憑證綁定於行動裝置，之後可使用行動工商憑證的應用。

商業發展署指出，工商憑證本身具備三大功能，包括身分驗證、數位簽章與資料加密。其中，數位簽章涉及法律上的「意思表示」，若系統只有驗證登入身分，卻沒有完成數位簽章流程，則可能會影響文件法律效力，系統如結合數位簽章流程，則可發揮行動工作憑證的數位簽章功能。

過去許多企業只有一張工商憑證卡，往往由董事長、財務主管或特定幕僚保管，導致投標、報稅或公司登記等流程，必須頻繁「借卡」處理。如今行動工商憑證加入授權機制後，可依部門與業務需求，授權不同單位的員工使用特定功能，例如僅授權投標、報稅或公司登記用途，讓企業內部流程從集中管理轉向分工處理。

商業發展署指出，這套設計將能兼顧大型企業與中小企業需求。大型企業可透過授權控管改善流程效率，中小企業則能減少依賴實體卡與固定設備，提高行動辦公便利性。

憑證儲存在手機安全區域，支援MAS Level 2認證等級

對於外界關心的安全問題，行動工商憑證強調安全性比實體卡更高。憑證會儲存在手機的安全儲存區中，無法被匯出或複製，同時結合手機生物辨識，例如指紋或臉部辨識驗證。

過去曾有部分的企業直接將PIN碼貼在工商憑證卡片上，等於「大小章與密碼放在一起」，這麼做的風險極高；相較之下，使用手機驗證的安全習慣較成熟。此外，系統目前已取得MAS Level 2認證，未來若要進一步導入金融交易與更高敏感度場景，將朝Level 3認證邁進。

將串接數位憑證皮夾，朝金融場景延伸

行動工商憑證除了專用的App，以支援身分識別、電子簽章功能，為支援不同的應用場景，行動工商憑證App支援5種介接模式，包括較常使用的推播模式、QRCode主掃模式、應用程式串接的網頁轉導模式、App to App、Mobile web to App模式。

另外，行動工商憑證也加入數發部「數位憑證皮夾」生態系。商業發展署表示，未來行動工商憑證除了處理企業簽章外，也能搭配數位憑證皮夾進行公司資料的揭露控制。

舉例來說，一家公司若有15位董事，過去公司登記資料可能一次揭露所有董事個資；未來則可選擇只提供特定董事的必要資訊，例如僅揭露身分證字號或部分欄位，以降低董事的個資曝露風險。

目前行動工商憑證已可用於經濟部的線上公司與商業登記系統，下一階段將擴大推動與更多政府機關與民間應用，並推動企業授權機制。後續也希望進一步導入證券下單、企業金融、財稅申報、勞工的加退保與交易授權等場景。

商業發展署現場說明行動工商憑證未來可能的應用，包括合約簽署(申請書用印)、公司物料來源登記申報、公司車輛牌照申請、勞工勞健保可退保、稅務申報：

針對媒體詢問是否可能導入銀行與金融應用，商業發展署透露，未來2至5年內將與銀行公會及主管機關討論合作可行性。由於目前金融業大量使用OTP驗證，若能以行動工商憑證取代部分OTP機制，可望降低銀行驗證成本，同時提升交易安全性。

至於實體工商憑證卡是否會逐漸消失，商業發展署則認為，未來十年後實體卡片可能逐漸淡出，但不會強制淘汰，而是由市場與使用習慣自然決定。

'

【資安日報】5月18日，臺灣資安廠商DEVCORE於柏林場Pwn2Own奪冠

來源：https://www.ithome.com.tw/news/175908

臺灣資安廠商DEVCORE奪下Pwn2Own Berlin 2026破解大師殊榮

2026年度資安漏洞利用競賽Pwn2Own柏林場，於5月14日至16日舉行，這次參賽隊伍一共找到47個零時差漏洞，主辦單位Zero Day Initiative（ZDI）總共頒發1,298,250美元獎金。臺灣資安公司戴夫寇爾（DEVCORE）以總分50.5分獲得壓倒性勝利，拿下本次競賽的破解大師（Master of Pwn）殊榮，並贏得505,000美元獎金。第二、第三名的隊伍是STARLabs SG與Out Of Bounds，總共獲得25分與12.75分，贏得242,500、95,750美元的獎金。

微軟揭露Exchange Server存在8.1分重大漏洞，並已偵測到漏洞利用活動

5月12日微軟發布每月例行安全性更新，沒想到兩天後該公司突然又揭露CVSS評分8.1的重大漏洞CVE-2026-42897，受到影響的產品主要是部署於企業內部環境（on-premises）的Exchange Server 2016、Exchange Server 2019，以及Exchange Server訂閱版（SE），Exchange Online不受影響。根據微軟安全應變中心（MSRC）當天發布的安全性更新公告，此漏洞已遭利用（Exploited），微軟也偵測到漏洞遭利用的活動，隔天美國網路安全與基礎設施安全局（CISA）也發布警示，將CVE-2026-42897列入已知遭利用漏洞清單（KEV），要求聯邦機構須在5月29日採取緩解措施。

Windows存在零時差漏洞MiniPlasma，攻擊者可取得SYSTEM權限

Chaotic Eclipse公布資安漏洞MiniPlasma，並強調該漏洞並非他首度發現，而是Google Project Zero團隊於2020年9月向微軟通報，該漏洞被登記為CVE-2020-17103，微軟在2020年12月例行安全性更新已發布更新軟體。然而，Chaotic Eclipse在調查零時差漏洞GreenPlasma的過程發現，當時理應被修補的雲端過濾器驅動程式功能HsmOsBlockPlaceholderAccess，仍存在漏洞——該弱點實際上在6年前就被通報，微軟後續也表明已完成修補，不過，根據他的調查，這項問題迄今依然存在，而且Google當時提供的概念驗證程式碼（PoC），在無須修改的情況下竟能正常運作。

OpenClaw存在漏洞攻擊鏈Claw Chain，攻擊者可用於竄改組態並植入後門

5月15日資安公司Cyera提出警告，他們4月底在開源AI代理整合平臺OpenClaw發現一系列資安漏洞，通報後獲得開發團隊確認並完成修補，由於這個月仍有超過6.5萬個OpenClaw執行個體尚未更新，而暴露在相關漏洞風險之中，有可能成為駭客鎖定的目標，他們呼籲用戶應儘速採取行動因應。這些漏洞登記為CVE-2026-44112、CVE-2026-44113、CVE-2026-44115、CVE-2026-44118，涉及檔案系統隔離、權限提升與資料暴露風險，從個別漏洞的危險程度來看，風險值最高的是CVE-2026-44112，此為檢查時間及使用時間不一致（TOCTOU）的條件競爭漏洞，CVSS風險達到9.6分。

Nginx重大漏洞已被用於攻擊

5月13日F5修補網頁伺服器Nginx資安漏洞CVE-2026-42945，此漏洞是在18年前引入，有可能造成伺服器服務中斷（DoS），在特定情況下攻擊者還能用於執行任意程式碼，CVSS v4.0風險為9.2分（滿分10分），VulnCheck漏洞研究員Patrick Garrity於職場社群網站LinkedIn提出警告，他們在5月16日於蜜罐陷阱首度偵測到CVE-2026-42945被積極利用的跡象。雖然Nginx伺服器必須導入特定的重新寫入組態設定才會受到影響，但由於攻擊者無須通過身分驗證就能利用，再加上全球約有570萬臺伺服器尚未套用新版程式，儘管實際上真正存在風險的伺服器數量有限，VulnCheck也並未說明遭到利用的其他細節，但用戶仍應儘速採取防範措施。

Google發布電腦版Chrome 148更新，修補79個資安漏洞

5月12日Google發布電腦版Chrome更新148.0.7778.167、148.0.7778.168，總共修補79個漏洞，從嚴重程度來看，有14個是重大等級、37個屬於高風險等級，其餘28個為中度風險。從漏洞的類型來看，記憶體相關的弱點占大多數，其中又以記憶體釋放後再次存取利用（Use After Free）的漏洞最多，有24個，整數溢位漏洞8個居次、記憶體堆積緩衝區溢位漏洞有6個，記憶體越界讀取與越界寫入的漏洞各有5個。

Mozilla推出Firefox 150.0.3，修補多項JavaScript高風險漏洞

5月12日Mozilla基金會發布Firefox 150.0.3更新，總共修補5個高風險漏洞CVE-2026-8388、CVE-2026-8389、CVE-2026-8390、CVE-2026-8391、CVE-2026-8401。值得留意的是，雖然Mozilla評估這些漏洞都是高風險等級，但根據美國國家漏洞資料庫（NVD）登記的資料，美國網路安全暨基礎設施安全局（CISA）認為最危險的漏洞是CVE-2026-8401，此沙箱逃逸類型的弱點，存在Firefox個人設定檔備份（Profile Backup）元件，CVSS風險評為9.8分（滿分10分）。

Yarbo割草機器人傳出重大安全漏洞，可能遭攻擊者遠端控制，用戶需立即升級新版韌體

近日德國資安研究員Andreas Makris便在GitHub上發表報告， 揭露割草機器人廠商Yarbo，其機器人韌體存在重大安全問題，可能遭到遠端控制，甚至可能危及人身安全。Yarbo是中國漢陽科技旗下品牌，主打北美市場。Andreas Makris揭露的問題包括：系統寫死root密碼（hardcoded root password），內建長期開放的遠端維護通道，以及權限控管不足的MQTT通訊機制等，攻擊者可能藉此從遠端接管設備、存取攝影機畫面，竊取用戶Wi-Fi密碼與GPS位置資訊，甚至只要入侵單一設備後，就可能進一步橫向控制整個機器人群組，亦即同時控制多臺機器人。

新駭客基礎架構出現，加速裝置碼釣魚、竊取Microsoft 365權杖

資安公司Proofpoint發現近日出現新的攻擊基礎架構，可讓駭客更容易發動裝置碼釣魚（device code phishing）攻擊，進而竊取Microsoft 365或其他雲端帳號的存取權杖（Access Tokens）。攻擊者先發送電子郵件、檔案或QR code給受害者，利用社交工程誘使受害者點擊連結或掃描QR Code。當使用者點擊並造訪攻擊者設立的網頁，會觸發攻擊過程：該流程會發送一組裝置代碼要求使用者在手機介面輸入，這個動作完成了微軟伺服器端的驗證，表面上讓用戶得以存取微軟服務，如Microsoft 365，但同時間暗中將微軟服務的token傳給了攻擊者伺服器。

Tycoon 2FA被用於裝置驗證碼網釣，駭客搭配Trustifi追蹤器挾持M365帳號

今年3月遭大規模執法行動圍剿的對手中間人攻擊（AiTM）網釣工具包租用平臺Tycoon 2FA，當時歐洲刑警組織（Europol）聯合6國執法機構與13個企業組織，成功查封330個網域名稱，然而當時參與執法行動的資安公司eSentire指出，他們從4月看到Tycoon 2FA最新一波攻擊活動，駭客引誘收件者點選信件裡的URL啟動攻擊鏈，此為透過Trustifi點擊追蹤服務產生的網址，然後企圖誘騙收件者在不知情的狀態下，在微軟裝置登入網頁microsoft[.]com/devicelogin，將OAuth權杖（token）授予攻擊者控制的裝置。

Grafana Labs存取權杖外洩，導致其GitHub程式碼庫遭竊與勒索

開放原始碼IT系統監控與分析平臺業者Grafana Labs最近發生資料外洩事故，起因在於攻擊者非法取得GitHub的存取權杖，以此登入GitHub下載其程式碼庫，並向其勒索。5月17日Grafana Labs在社群平臺X和LinkedIn發文，坦承近期發現有個未經授權的團體獲得該公司GitHub環境的存取權杖，使攻擊者得以下載該公司的程式碼庫，根據內部調查指出，這起事故期間並無客戶資料或個人資訊被存取，也查無影響客戶系統或營運的相關證據。

工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊

美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。依據Fluke提交給緬因州檢察總長辦公室的資料外洩事件通報，駭客是透過該公司使用的第三方應用程式漏洞入侵內部網路。Fluke於2025年9月29日發現異常，但進一步調查顯示，攻擊者實際入侵時間可追溯至2025年8月10日，相關未經授權的存取持續到同年10月7日。

TeamPCP利用蠕蟲Mini Shai-Hulud滲透逾400個NPM與PyPI套件

上週TanStack的NPM套件、Mistral AI的PyPI套件遭遇供應鏈攻擊，有多家資安公司指出，這其實都是由駭客團體TeamPCP發起的蠕蟲活動Mini Shai-Hulud的一部分。資安公司Aikido、SafeDep、Snyk、Socket、Wiz指出，這波攻擊是4月底蠕蟲活動Mini Shai-Hulud的延續。SafeDep指出，截至5月11日，TeamPCP總共入侵170個NPM套件與2個PyPI套件，發布了404個惡意版本，其中，有42個是網頁應用程式框架TanStack的套件、65個是UiPath自動化工具的套件，Mistral AI的SDK軟體則是NPM與PyPI套件都被入侵。

OpenAI遭受TanStack供應鏈攻擊波及

5月13日OpenAI發布部落格文章表示，他們有兩名員工的裝置遭受Mini Shai-Hulud⁠供應鏈攻擊的影響，不慎安裝植入惡意程式碼的TanStack套件，該公司察覺後迅速展開調查，並採取措施保護系統。OpenAI隔離受影響的系統與身分、撤銷使用者連線階段，輪換受影響儲存庫的存取憑證，暫時限制程式碼部署流程，徹底審查使用者與憑證行為。由於受影響的原始碼儲存庫包含應用程式簽署憑證，為求謹慎他們將輪換憑證，macOS用戶必須因此而更新應用程式，否則等到該公司在6月12日完全撤銷現有憑證後，相關應用程式將無法使用。

TeamPCP兜售近450個Mistral AI程式碼儲存庫

之前傳出AI公司Mistral AI的PyPI套件遭到入侵，駭客發布含有惡意程式碼的2.4.6版，此為蠕蟲Mini Shai-Hulud供應鏈攻擊的一部分，Mistral AI也發布資安公告，證實NPM與PyPI套件先後遭到入侵，指出該公司是TanStack供應鏈攻擊事故而受到波及，如今傳出駭客已開始兜售竊得的資料。根據資安新聞網站Bleeping Computer的報導，駭客團體TeamPCP於網路犯罪論壇宣稱，他們竊得Mistral AI近5 GB的內部儲存庫與原始碼資料，總計涉及450個儲存庫的內容，開價2.5萬美元求售。

AI持續降低自動化網路攻擊門檻，2025惡意機器人活動霸佔全球網際網路流量4成

隨著AI技術普及與AI代理快速崛起，AI與自動化程式已成為網際網路基礎架構的常態。根據資安廠商Imperva與2023年將其買下的Thales近期發布的報告，從2024年開始，人類網路活動流量占比（49％）首度被自動化流量（51％）超越，惡意機器人（bad bots）占所有網路流量的 37％；到了2025年，機器人（bots）已主導網際網路，占據總流量的一半以上（53％），而有高達40％流量被歸類為惡意機器人。他們在2025年每天封鎖的AI驅動（AI-driven）機器人攻擊達到2,500萬次，而在2024年每天緩解這類活動的規模僅200萬次，暴增至12.5倍。

2026年全球資安長人力落差約1比1萬，AI與法規壓力擴大CISO職責

資安業者Sophos與資安市場研究機構Cybersecurity Ventures合作發布《2026 CISO Report》指出，2026年全球資安長（CISO）估計約有3.5萬名，僅較2023年的3.2萬名小幅增加；但全球營運中的企業約達3.59億家，相當於平均1名CISO需對應約1萬家企業，凸顯資安領導人才缺口依舊明顯。該報告指出，大型企業多半已配置全職CISO，部分中型企業則採用兼職或共同型資安長（fractional CISO）或導入虛擬資安長（virtual CISO，vCISO）服務，多數小型企業仍缺乏專責資安主管。

Akamai斥資2.05億美元買下LayerX，強化AI與瀏覽器安全

美國資安與雲端運算業者Akamai Technologies於5月14日宣布，已簽署最終協議，將以約2.05億美元併購以色列瀏覽器安全新創LayerX，交易預計於今年第三季完成。Akamai表示，此舉將強化其零信任（Zero Trust）與AI使用控制（AI Usage Control）產品線，以因應企業員工大量使用生成式AI、SaaS AI服務與AI代理人所帶來的新資安風險。交易完成後，LayerX團隊將加入Akamai的零信任部門。

Dell SupportAssist服務引發藍色當機BSOD災情

近日Dell電腦新版的SupportAssist應用程式出錯，引發部分用戶電腦出現藍色當機（BSOD）災情，並陷入無限重開機的循環。最早是有使用者在Dell的論壇反映此事，他於5月8日升級Dell Update、SupportAssist Remediation、SupportAssist OS Recovery，結果電腦每30分鐘就會出現藍色當機畫面，且會無預警自動重開機。Dell表示已經獲知狀況，正在解決問題，並表示目前的最佳解決方式，就是暫時移除5.5.16.0版SupportAssist Remediation service。

AWS強化Amazon EMR on EC2可觀測性，新增近即時日誌串流與YARN Application ID對應功能

隨著企業持續擴大在雲端大數據處理服務Amazon EMR on EC2上的資料處理與分析工作負載，AWS於5月12日公布這項服務的可觀測性功能更新，強化日誌蒐集、監控介面與指標管理。這波更新的重點之一，是自Amazon EMR 7.11.0版起，支援將叢集日誌近即時串流到雲端日誌服務Amazon CloudWatch Logs。使用者啟用CloudWatch日誌功能後，Amazon EMR即可擷取並串流EMR步驟執行日誌、分散式運算引擎Spark的驅動程式與執行器日誌。

近期資安日報

【5月15日】思科SD-WAN裝置重大漏洞被用於攻擊行動

【5月14日】Exim修補可導致任意程式碼執行的重大漏洞

【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊

'

工業測試設備製造商Fluke資料外洩波及1.85萬人，駭客竊取身分與身障等敏感資訊

來源：https://www.ithome.com.tw/news/175907

美國工業測試設備製造商Fluke，近日通報一起可追溯至2025年8月的資料外洩事件，約1.85萬人的個資遭駭客存取，該公司已知會受害者，並提供信用監控等緩解措施。

依據Fluke提交給緬因州檢察總長辦公室的資料外洩事件通報，駭客是透過該公司使用的第三方應用程式漏洞入侵內部網路。Fluke於2025年9月29日發現異常，但進一步調查顯示，攻擊者實際入侵時間可追溯至2025年8月10日，相關未經授權的存取持續到同年10月7日。外洩的資料包括受害者的社會安全號碼、出生日期，以及身心障礙申報資料等敏感資訊，該公司在通知受害者的信件中，表示將提供為期24個月的免費身分盜用監控、防護與緩解服務。

依據資安媒體Comparitech的報導，勒索軟體組織Clop聲稱Fluke的資料外洩事件是他們所為，在其資料外洩網站列出Fluke公司，但Fluke未對此做出回應。

'