駭客Storm-2949接管雲端帳號，濫用Azure權限滲透正式環境竊取資料

來源：https://www.ithome.com.tw/news/176337

微軟揭露一起濫用雲端身分入侵事件，編號為Storm-2949的攻擊者，先透過社交工程接管Microsoft Entra ID帳號，再濫用受害者原本就具有的Azure角色型存取控制（Azure RBAC）權限，存取Microsoft 365應用程式、雲端檔案服務，以及Azure託管正式環境中的資料與雲端資源。

微軟評估，該攻擊疑似與自助密碼重設流程遭濫用有關。攻擊者可能假冒內部IT支援人員，要求目標使用者核准看似正常的多因素驗證提示。當使用者完成驗證後，攻擊者便能重設密碼、移除原本的驗證方式，並把Microsoft Authenticator註冊到自己的裝置。遭鎖定的帳號包括IT人員與高階主管，顯示攻擊者挑選的是較可能接觸重要系統或資料的身分。

在取得帳號後，Storm-2949會盤點受害組織的雲端環境，尋找使用者、應用程式與可能具有更高權限的帳號。攻擊者也曾試圖替受害環境中的應用程式身分新增憑證，讓自己不必依賴被接管的使用者帳號也能維持存取，不過這個動作因權限不足而未成功。

在Azure環境中，攻擊者利用受害帳號既有的特權，轉向正式Azure訂閱與相關應用資源。Storm-2949曾取得Azure App Service的發布設定檔，藉此取得部署端點憑證，並可進一步查看應用程式環境與部署資訊。攻擊者也操作Azure Key Vault的存取設定，在短時間內讀取數十個祕密資料，包括資料庫連線字串與身分憑證，藉此擴大對正式應用程式與後端資料的存取。

Storm-2949也修改Azure SQL伺服器的防火牆規則與Azure Storage帳號的網路存取設定，取得可用來讀取資料的SAS權杖與帳號金鑰，再以自製Python指令碼列舉並下載大量Blob資料。攻擊者後續還濫用Azure虛擬機器的管理功能，在目標主機建立本機管理員帳號，嘗試透過VM的受管識別取得存取權杖並讀取Key Vault祕密資料，但因權限不足未成功取得祕密資料。後續還安裝ScreenConnect遠端管理工具，用來執行環境探索與憑證蒐集。

微軟建議組織強化身分與雲端資源控管，包括要求所有使用者啟用多因素驗證，並對管理員與特權帳號採用抗釣魚多因素驗證，啟用條件式存取，稽核Azure RBAC與Azure Key Vault權限，限制Azure App Service發布憑證與虛擬機器管理功能，並串聯身分、雲端與端點記錄，追蹤這類跨服務攻擊行為。

'

首期碳費徵收近50億元，半導體業碳費占比逾4成，企業減碳投資開始反映在國家排放數據

來源：https://www.ithome.com.tw/news/176338

環境部今天(6/3)宣布國內的首期碳費徵收正式完成，461家列管工廠全數如期繳納碳費，總金額達49.7億元。其中半導體業繳費占比超過4成。環境部並指出，目前已有402家工廠提出自主減量計畫並獲核定，預估至2030年可累計減碳4,745萬噸，未來將透過持續查核機制，確保企業落實減碳承諾。

我國碳定價制度邁入實施元年。環境部今公布首期碳費徵收結果，共有461家收費對象工廠、共涉及240家企業，在今年6月1日前全數完成繳費，累計徵收金額達49.7億元。環境部表示，首期碳費順利完成徵收，象徵臺灣碳定價機制正式上路，也反映產業界已逐步將減碳納入經營策略，為2050淨零排放目標奠定基礎。

從產業別來看，半導體業是本次碳費最大宗來源，繳納金額共約22億元，占總額44.3%。其次依序為電力供應業（12.77%）、化學原材料製造業（10.97%）、鋼鐵製造業（8.06%）、石油及煤製品製造業（4.83%）以及水泥及其製品製造業（2.61%）。

此外，印刷電路板、塑膠及合成橡膠原料、其他電子零組件及光電材料與元件等產業，也都納入主要繳費行業之列。

值得注意的是，在首期徵收過程中，並未有企業因國際局勢變化或其他不可抗力因素申請延後或分期繳納碳費。環境部認為，這顯示企業對於碳費制度已有一定程度的認知與準備，也展現配合國家減碳政策的態度。

402廠自主減量計畫上路，估可減碳4,745萬噸

環境部也公布企業自主減量計畫的推動進展。目前已有402家工廠提出自主減量計畫並獲核定，可依減量成果適用較低的優惠碳費費率。

其中，有64家工廠採用附表一指定削減率目標，可適用每公噸50元的優惠費率A；另有338家工廠採用技術標竿削減率目標，可適用每公噸100元的優惠費率B。環境部初步估算，這些自主減量計畫若能依規畫執行，至2030年累計減碳量可達4,745萬公噸二氧化碳當量（CO₂e）。

環境部指出，碳費制度的目的並非單純增加企業成本，而是透過價格訊號引導產業投資減碳技術與低碳轉型。企業若能有效降低排放，不僅可適用較低費率，也能提升未來面對國際供應鏈碳管理與碳邊境調整機制（CBAM）等要求的競爭力。

下半年啟動查核，減量未達目標將追繳差額

為確保企業減量承諾落實，環境部未來每年都將查核自主減量計畫執行情況。企業須於每年4月底前提報前一年度執行進度報告，經審查符合規定者，當年度才能繼續適用優惠費率。

預計下半年環境部將展開自主減量計畫查核作業，若發現企業未依核定內容執行，將依法追繳一般費率與優惠費率之間的差額，避免優惠制度流於形式。

碳費將投入減碳與淨零轉型

至於徵收所得的49.7億元碳費收入，未來將依《氣候變遷因應法》規定，專款專用於溫室氣體減量及氣候調適工作，包括補助企業與地方政府推動減碳措施、提供淨零轉型貸款利息補貼與信用保證，以及支持氣候調適研究與公正轉型相關計畫。

環境部強調，首期碳費徵收完成只是起點，真正的關鍵仍在於後續減碳成果是否落實。企業唯有持續推動能源效率改善、製程減碳及低碳技術投資，才能從根本降低碳費負擔，同時強化國際市場競爭力。政府也將持續透過查核、輔導與獎勵機制，推動產業加速邁向淨零轉型。

我國碳排減量有成

首期碳費徵收完成之際，環境部也公布最新的國家溫室氣體排放清冊。數據顯示，2024年臺灣溫室氣體淨排放量為2.51億公噸CO₂e，較2023年減少1.92%，相較2005年基準年則減少6.59%，已連續三年呈現下降趨勢。這也是碳費制度正式上路前，臺灣排放量持續下降的重要觀察指標。

從產業角度來看，本次碳費繳納金額最高的半導體、化工、鋼鐵與電力等產業，同時也是國內主要排放來源。隨著企業近年投入節能設備更新、製程改善、再生能源採購及能源管理系統建置，相關減碳成果已逐步反映在國家排放數據上。

環境部指出，2024年能源部門排放量首次低於2005年基準年，其中製造業與營造業的排放減幅最為明顯，顯示工業部門的能源效率改善已開始產生實質效果。

另外，從經濟發展與碳排放關係來看，近20年我國實質GDP成長超過九成，而同期二氧化碳排放密集度下降近五成。環境部指出，這代表產業創造單位產值所產生的碳排放持續降低，經濟成長與碳排放逐步脫鉤。根據《2025全球碳預算報告》分析，全球僅35個經濟體呈現類似趨勢，我國名列其中。

目前已有402家工廠提出自主減量計畫，其中338家選擇以技術標竿作為減量目標。企業正透過製程優化、設備汰換、智慧能源管理及低碳技術投資等方式，換取較低碳費費率。2030年累計可減少約4,745萬公噸二氧化碳當量，相當於全國年排放量近兩成規模。

'