下載逾160萬次的瀏覽器擴充套件ModHeader遭下架，暗藏資料收集功能引發資安疑慮

來源：https://www.ithome.com.tw/news/177307

資安業者Stripe OLT於7月13日揭露，Chrome與Edge瀏覽器擴充套件ModHeader內含隱藏的瀏覽紀錄收集引擎，可收集並外傳用戶的瀏覽資料，以致引發資安疑慮，先後遭到Google與Microsoft從網路商店下架。ModHeader可提供直接修改HTTP請求與回應標頭的功能，方便測試網站與線上服務，廣獲網站開發測試人員使用，累積超過160萬次下載，因而其暗藏的資料收集功能，可能影響大量用戶的瀏覽隱私。Stripe OLT建議用戶先行移除該擴充程式，並清除相關瀏覽器資料，以確保安全。

問題源自Stripe OLT在對ModHeader 7.0.18版的分析中，發現內含瀏覽紀錄資料收集引擎，以及預設的資料外傳通道，可收集用戶瀏覽過的網頁域名，經加密後存儲在本機，然後透過排程器以每天一次的頻率，將收集到的瀏覽紀錄打包上傳到指定網站。目前ModHeader的資料上傳功能為休眠狀態，觸發該功能的允許清單為空白狀態，但收集瀏覽紀錄與加密儲存的功能都正常運作，日後只需更新允許清單內容即能啟用上傳功能。研究人員追縱資料上傳指向的兩個網域，發現這些網域是真實存在的網站，可能來自相同的AWS伺服器，進一步分析其後端服務，則找到源自中國的軟體套件、簡體中文地區設定與中文標記等蹤跡。

藉由比對程式碼簽章，Stripe OLT確認包含瀏覽紀錄收集引擎的ModHeader擴充套件，為來自Google網站商店發布的正版套件，而非偽冒版本，雖然研究人員未發現實際資料外傳，但認為相關設計已構成重大供應鏈風險，經他們通報後，Microsoft與Google已分別於7月3日與7月10日將該擴充套件下架。

'

歐盟準備制定兒少使用社交媒體的最低年齡規範

來源：https://www.ithome.com.tw/news/177306

在澳洲、印尼、土耳其、英國及法國都已實施或準備限制青少年存取社交平臺之際，歐盟執委會（European Commission，EC）主席Ursula von der Leyen周一（7/13）表示，打算設定一個讓孩子可以合法使用社交媒體的年齡，且在夏天之後就會提出方案。

EC在2025年成立兒少網路安全特別小組（Special Panel on Child Safety Online），以替歐盟研擬一套兼具實務性與一致性的兒少網路保護政策，成員包括來自健康、神經科學、心理學、電腦科學、兒童權利與數位素養等領域的專家，也納入青少年代表及公民意見，主要研究是否制定全歐盟一致的社交媒體最低年齡，如何依據兒童年齡與平臺風險採取不同保護措施，社交媒體/遊戲/通訊軟體/AI工具對兒少健康與福祉的影響，以及科技平臺應負擔哪些兒少安全責任等，並在本周提交最終報告。

該報告建議限制未滿13歲者存取高風險數位服務，同時要求平臺證明產品安全，並依年齡逐步增加兒少的使用自主權。在更詳細的年齡規範中，主張0至2歲應避免接觸螢幕及社交媒體，12歲以下只能在監督下使用上網裝置，13至18歲則只應接觸適齡及預設安全的服務。

其核心政策建議為全歐盟統一設定13歲門檻，限制未滿13歲者存取社交媒體或其他高風險數位服務，包括AI伴侶。另也主張導入保護隱私的年齡驗證機制，並要求社交平臺及數位服務業者擔負主要責任，移除或限制無限捲動、自動播放及個人化推薦系統等成癮設計。

報告所建議的規範對象除了社交媒體、遊戲及AI伴侶之外，還包括影音分享平臺、應用程式商店，以及可能讓兒少接觸陌生人或不當商業行為的數位服務。

Leyen指出，平臺必須證明其服務不會對兒少造成危害，而非將責任交給家長或孩子。她認為，孩子應有足夠時間在演算法影響之前塑造自己的身分與個性，因此支持建立社交媒體最低使用年齡。

'

微軟警告ShinyHunters濫用OAuth攻擊SaaS應用程式

來源：https://www.ithome.com.tw/news/177305

微軟本周警告，ShinyHunters近來手法由以往運用惡意程式或暴力破解，轉向濫用OAuth驗證功能來攻擊Salesforce等合法SaaS應用程式，象徵其入侵手法的轉變。

在2025年中到2026年中，ShinyHunters犯下多波重大攻擊，每一波都涉及多家企業客戶及知名雲端應用，包括Salesforce、Oracle EBS、KLUE等。微軟分析近一年來的攻擊活動，歸納出三項新的、不同於以往的入侵途徑。

其一是使用語音釣魚（Vishing），ShinyHunters自2025年發動語音釣魚攻擊，冒充IT技術支援，誘騙企業員工准許其惡意OAuth應用程式，透過OAuth工作流通過驗證存取企業的Salesforce雲端租戶。例如其中一例是冒充Salesforce Data Loader工具。這使得駭客透過這些具高度權限的OAuth應用程式，代替用戶執行API呼叫。後續動作包括枚舉受害企業的Salesforce執行個體、長期存取Salesforce CRM資料、利用發現的憑證橫向移動到其他SaaS平臺。

在初次駭入系統後，ShinyHunters提升SaaS供應鏈攻擊，目標是受信賴的Salesforce第三方整合應用。例如2025年8月Salesloft Drift憑證被竊，讓ShinyHunters駭客得以取得連結憑證，獲取下游SaaS應用的OAuth權杖，入侵多家企業的Salesforce執行個體，進而竊取企業的客戶資料。類似的案例還有2025年11月的Gainsight出版的應用，以及2026年6月的市場情報平臺Klue。

第三路徑是濫用未授權的訪客權限（Guest Access）與GraphQL整合。駭客利用未驗證的Salesforce Aura端點，使用GraphQL的Aura請求，系統性查詢並檢索資料，繞過查詢紀錄筆數的限制，合法大量外傳CRM敏感資料。

微軟之前已和Salesforce技術合作，Salesforce Shield: Event Monitoring可串聯新的Defender for Cloud Apps Salesforce連結器，讓用戶可以更快偵測及調查針對Salesforce攻擊。最近雙方再進一步，在Defender for Cloud Apps加入更多遙測資料、應用屬性和應用核准分析，以偵測可疑的OAuth活動、調查可能被破壞的整合連結及事後分析。

'

NPM 12預設停用套件安裝的自動執行指令碼功能

來源：https://www.ithome.com.tw/news/177304

7月8日套件管理器NPM第12版大改版正式推出，如同一個月前預告的重大變更，將多項安裝過程過去自動執行的高風險行為改為預設關閉、需明確授權才會執行。同時，GitHub也宣布將分階段淘汰雙因素驗證（2FA）繞過型細粒度存取權杖（2FA-bypass Granular Access Tokens）中最敏感的使用情境，以降低帳號與套件發布流程遭濫用的風險。

其中，在執行npm install的套件安裝過程有3項明顯變更，首先是allowScripts預設改為關閉；再者，Git與遠端URL相依性參數--allow-git、--allow-remote，預設值皆調整為無，這些情境除非得到明確的允許，否則都不會執行或是解析。上述變更GitHub已於11.16.0以上版本NPM開始通知，用戶應在升級前進行準備，檢視並許可受到信任的指令碼，並提交到允許清單。

'