醫療零售首例！杏一醫療將FIDO導入會員端，年底更將延伸至供應商平臺與企業內部

來源：https://www.ithome.com.tw/news/177492

隨著電子商務會員帳號安全日益受重視，不只是金融業，提供各類醫療、保健與護理用品的「杏一醫療」（MedFirst），自去年起亦導入FIDO無密碼登入機制。該公司近日分享會員端的導入實務經驗，並透露年底將把FIDO技術進一步延伸，應用於供應商系統登入及企業帳號管理。

從數位會員管理到會員SSO認證架構建立，如今更進一步導入FIDO無密碼登入

成立36年的杏一醫療，從早年一間位於長庚急診室對面二樓的門市，發展成如今五大事業群，全臺總計有314家門市、29個商場體系，並涵蓋布品洗滌、居家照護用品批發代理，是臺灣規模最大的醫療護理用品零售連鎖通路。

在資訊系統演進上，杏一醫療用品資訊處處長涂靖國表示，除了基礎的POS系統、ERP系統的建置，2015年起陸續導入BPM（企業流程管理）、WMS（倉儲管理系統）與BI（商業智慧）等核心系統，以優化後端作業，近年亦持續推動各項系統的升級與數位轉型。

而在身分識別與數位服務的發展路徑上，杏一自2012年開始建立數位會員管理系統，當時面臨最大的挑戰是將傳統紙本會員卡轉為數位化，為了清理多年來因紙本手寫辨識不易與辨識錯誤的問題，團隊花費整整一年時間進行會員資料整頓。有了這項基礎工程，後續也讓2020年建構會員SSO（單一登入整合）認證架構順利落地，實現杏一App與實體門市POS系統的身分識別同步整合。

在擴大啟動會員服務後，目前杏一在LINE官方帳號已累積250萬名好友，App與線上購物的會員也達50萬人規模。

然而，過去採用簡訊驗證碼搭配帳號密碼的模式，根據杏一統計，每年產生高達100萬次的驗證需求，每年更有超過1萬件因忘記密碼而產生的客服請求，因此成為該公司導入FIDO Passkey的重要契機。

適逢政府數位發展部推動企業數位信任場域驗證計畫，加上透過資安業者深入瞭解強化身分驗證安全與優化用戶體驗的效果，促使杏一正式啟動FIDO解決方案導入計畫。

以減少用戶摩擦力為優先考量，密碼重設次數比例竟因此降低20％

關於推動FIDO的挑戰，涂靖國特別強調，減少摩擦力是他們一開始就會討論的重心。為了說服對新技術持抗拒態度的其他部門，用數據消弭內部疑慮是最好的辦法。

例如，他們在正式上線前，先針對傳統帳密登入與FIDO Passkey登入進行內部測試。結果顯示，使用FIDO登入的成功率一直都高於使用傳統帳密登入，特別是到了第四次測試，傳統帳密登入的成功率出現大幅下滑。透過上述統計數據，也證實FIDO能大幅降低操作門檻且不增加維運壓力。

同時，為了提升會員使用意願，他們採取了兩大策略：一個是「地推方案」，利用全臺密集的門市通路，由門市人員在介紹產品時引導會員設定FIDO Passkey。涂靖國表示，雖然年長會員不少，但其對數位應用的嘗試與接受度意外地高；另一個則是「行銷活動」增加吸引力，透過抽杏福禮物卡增加申請意願。

在服務成效方面，涂靖國表示自2025年9月導入以來，累計驗證次數已突破60萬次。杏一特別關注登入成功率與帳號重設指標的變化，例如：導入前（2025年上半年）的登入成功率為88％，從推動FIDO後的第二週起，成功率便提升並穩定在90％以上；而在密碼重設次數上，到了第五週，則有顯著成效，密碼重設需求降低20％。

至於其他實務端的挑戰，涂靖國強調門市人員的服務心態至關重要，而在技術上，要注意FIDO更換裝置、後臺需清除舊密鑰的問題。

繼去年完成會員端導入FIDO後，杏一今年下半已打算將FIDO Passkey應用延伸至「供應商平臺」，讓杏一合作夥伴登入系統也升級至FIDO安全登入，同時他們也正規畫將FIDO導入員工應用端，全面強化企業內部身分認證機制。

值得一提的是，在資料主權的議題上，涂靖國也十分認同「客戶資料回歸個人」的國際趨勢，也就是消費者在杏一產生的資料應屬於客戶本人，而非僅由企業保存。但他也直言，在醫療產業會有一定的執行難度，像是醫院會有非本人代領慢性病連續處方箋（慢箋），而在醫療零售服務過程，也會遇到輪椅或氣墊床購買者是照護者而非本人的狀況。

'

駭客的伺服器設定疏忽，意外暴露3起針對Microsoft 365的Evilginx釣魚攻擊活動

來源：https://www.ithome.com.tw/news/177493

法國資安公司Lexfo近日揭露，研究人員在例行性掃描中、在網路上意外找到一臺公開目錄列表（Directory Listing ）的Python網頁伺服器，發現3名攻擊者各自利用客製的Evilginx釣魚工具，對Microsoft 365用戶發動釣魚攻擊，竊取帳號憑證與驗證權杖，其中部分攻擊活動已持續一年以上，造成 12個國家共218個帳號受害，顯示攻擊者可利用公開GitHub程式碼庫，快速建立釣魚攻擊基礎設施。

Lexfo從曝光目錄列表的網頁伺服器，找到釣魚設定、憑證竊取紀錄、遠端監控管理（RMM）工具與帳號清單，並辨識出3名攻擊者，包括代號codemado的埃及攻擊者，代號mail-argenta的尼日攻擊者，以及代號saroula01的攻擊者，這3名攻擊者均使用從GitHub取得的Evilginx釣魚框架，客製化產生自身的攻擊工具，並分別使用兩種方式來繞過Microsoft 365的多因素驗證（MFA）機制，一是利用AiTM對手中間人攻擊，另一是濫用裝置驗證碼（Device Code）流程。

'

微軟WinApp擴充套件新增視覺化資訊清單編輯器，VS Code可直接處理多專案封裝

來源：https://www.ithome.com.tw/news/177491

微軟發布公開預覽中的WinApp VS Code擴充套件v0.2，新增AppxManifest視覺化編輯器，讓開發者透過表單調整Windows應用程式封裝資訊，不必直接修改XML。新版也支援工作區內的多專案偵測，開發者可維持開啟儲存庫根目錄，直接對工作區中的專案執行初始化、執行、除錯、封裝與簽署等指令。

WinApp擴充套件將Windows App Development CLI整合進VS Code，提供跨框架的專案初始化、執行、除錯、封裝與簽署流程，補足VS Code原本缺少的Windows應用程式封裝工具，可用於以.NET、WPF、WinUI、C++、Electron、Rust、Tauri或Flutter開發的Windows應用程式。

AppxManifest.xml或.appxmanifest檔案負責宣告應用程式套件識別、權限、相依性與啟動方式，但直接編輯XML時，開發者必須熟悉元素、屬性、命名空間，以及版本、GUID和發行者名稱等格式規則，錯誤也可能直到封裝階段才被發現。

新版的AppxManifest視覺化編輯器以分頁表單呈現套件名稱、發行者、版本、處理器架構、顯示名稱、商店圖示路徑、目標裝置系列、支援語言、功能權限，以及執行檔與進入點等設定。編輯器會即時檢查必要欄位、版本號碼與發行者名稱格式，讓開發者在封裝前修正問題。

編輯器採取局部修改方式更新底層XML，保留原有空白、註解及屬性排列，避免視覺化編輯後產生大量與實際設定無關的版本差異。開啟資訊清單檔案時，VS Code會提供視覺化與文字編輯器，開發者也可透過Open With切換回原始XML。

v0.2還會搜尋工作區內的相容專案，找到單一專案時直接執行，找到多個專案時則透過QuickPick讓使用者選擇。如果團隊已有固定的應用程式目錄，也可在.vscode/settings.json設定winapp.appDirectories，使指令只顯示指定專案。

專案初始化功能也會自動搜尋工作區中的相容專案，找到多個專案時再由開發者選擇。若工作區根目錄已有相容專案，擴充套件會直接初始化該專案；否則會搜尋工作區並讓開發者選擇，若仍未找到專案，則可在目前目錄初始化。選定專案後，開發者可選擇穩定版、預覽版、實驗版或不安裝SDK，再由winapp init建立資訊清單、SDK套件及相關設定。

WinApp VS Code擴充套件v0.2支援Windows 10以上及VS Code 1.109.0以上版本，目前可從VS Code Marketplace安裝。

'

英國醫療軟體商Craneware遭駭，逾2,000家美國醫院客戶資料恐受影響

來源：https://www.ithome.com.tw/news/177490

英國醫療軟體業者Craneware於7月20日向倫敦證卷交易所通報發生資安事件，表示該公司部分資料環境遭到非授權存取， 部份客戶、合作夥伴紀錄及大量員工資料遭竊。該公司提供醫療財務、計費與藥局管理軟體，客戶涵蓋超過2,000家美國醫院、近1萬家診所與零售藥局，因而此次事件可能牽涉廣泛的醫療產業客戶。

關於遭入侵時間、攻擊者身分與是否涉及勒索，Craneware均未說明，只表示事件已受控制，外部專家團隊未發現任何殘留入侵跡象，該公司營運與提供給醫療機構的服務均未受影響。該公司目前仍在持續評估遭竊資料的確切範圍，初步確認多數資料屬於非敏感或已公開監管資訊，並將進一步通知受影響的相關組織與個人。

'

【資安日報】7月21日，駭客聲稱從新思科技竊得客戶資料庫，遭該公司駁斥

來源：https://www.ithome.com.tw/news/177488

本日新聞焦點

● 勒索軟體駭客D1R聲稱竊得晶片設計軟體廠客戶資料

● 韓國外交官培訓平臺遭零時差漏洞攻擊，駭客滲透近10個月

● 東南亞政府與外交機構遭後門GoSerpent攻擊

● 殭屍網路NadMesh鎖定各式AI與MCP服務而來

● 數發部與三大公協會聯手推動可信任的數位廣告生態系

資安新聞總覽

晶片設計軟體廠Synopsys傳出遭駭，該公司否認並聲稱未發現資料洩露跡象

根據資安新聞網站SecurityWeek的報導，勒索軟體駭客組織D1R將晶片設計軟體廠新思科技（Synopsys）與德國工程與科技巨頭博世（Bosch）列於資料外洩網站。D1R聲稱利用新思科技網站的漏洞，存取含有4萬筆記錄的企業客戶資料庫，然後又從竊得的資料入侵博世，取得智慧財產資料。對此，新思科技表示，根據他們持續監控網路環境與調查，沒有發現該公司或客戶的技術資料遭未經授權存取的跡象，駭客也沒有向他們聯繫，而駭客聲稱取得博世內部資料的文件截圖，應該是已公開的使用手冊。詳全文

韓國外交官培訓平臺遭駭，攻擊者利用伺服器軟體零時差漏洞存取近10個月

7月20日韓國外交部發布新聞稿，說明所屬韓國國立外交院（KNDA）的線上教育系統遭到網路攻擊。外交部於2026年2月初接獲相關機關通報異常存取情況後，緊急關閉該系統，並與相關單位展開調查。調查顯示，身分不明的攻擊者利用外交院線上教育系統伺服器軟體的零時差漏洞，以及系統安全設定缺失，於2025年4月至5月間取得伺服器控制權，並持續存取至2026年2月，歷時近10個月。韓國中央日報指出，截至7月20日仍未恢復服務。詳全文

詐騙集團假冒FBI，鎖定受害者二次行騙

美國聯邦調查局（FBI）網路犯罪投訴中心（IC3）於7月20日警告，有詐騙集團假冒FBI人員，鎖定曾經遭到詐騙的受害者，謊稱能協助追回失款，藉此再次騙取個人資料與金錢。詐騙集團會透過電子郵件、電話、社交媒體及網路論壇接觸受害者，或建立假的FBI人員帳號與專頁。其中一名受害者在告知詐騙者準備向FBI報案後，隨即收到假冒FBI探員者透過Facebook Messenger聯絡，之後再轉往Telegram交談。詳全文

後門程式GoSerpent攻擊東南亞政府與外交機構，持續蒐集資料數週後再外傳

卡巴斯基揭露鎖定東南亞政府及外交機構的網路攻擊，駭客自去年底起利用後門程式GoSerpent控制受害電腦，持續蒐集文件及帳號資料，等待數週才部署另一批工具，將資料傳往指定的網路共享位置。研究團隊於2026年2月發現相關活動，並在5月觀察到攻擊手法進一步改變。一旦電腦遭到感染，GoSerpent就能接收攻擊者指令、操作命令列、傳送檔案及開啟網路連線，還能把受害電腦當成中繼站，協助攻擊者進入內部網路並隱藏真正的連線來源。詳全文

甫公開的ServiceNow重大漏洞傳出遭到利用

上週企業流程自動化廠商ServiceNow公布AI平臺的沙箱逃逸漏洞CVE-2026-6875，通報此弱點的Searchlight Cyber透露，攻擊者不僅能用來入侵ServiceNow執行個體，還能滲透與其連接的代理伺服器，相當危險。威脅情報公司Defused Cyber於職場社群網站LinkedIn提出警告，該公司於7月17日偵測到實際漏洞利用活動，呼籲ServiceNow用戶提高警覺。ServiceNow於7月20日向資安新聞網站Help Net Security透露，該公司已掌握此事，根據調查，尚無證據ServiceNow代管的執行個體受到波及。詳全文

NadMesh殭屍網路鎖定AI與MCP服務，整合逾20種RCE攻擊自動擴散

中國資安業者奇安信X實驗室上週五（7月17日）揭露，新型殭屍網路NadMesh正大規模掃描並入侵AI基礎設施與模型脈絡協定（MCP）服務。它整合逾20種遠端程式碼執行（RCE）攻擊，可在幾乎無人介入下完成尋找目標、入侵、植入惡意程式及向外擴散。NadMesh內建逾90個雲端服務業者網段，並利用Shodan搜尋曝露在網際網路上的ComfyUI、Ollama、n8n、Open WebUI、Langflow及Gradio等AI開發、部署與工作流程工具，再將相關主機列為最高優先等級的掃描目標。詳全文

竊資軟體ClickLock鎖定macOS用戶，癱瘓系統逼使用者輸入登入密碼

資安業者Group-IB揭露新型macOS竊資軟體ClickLock Stealer，它不需利用系統漏洞或事先取得管理權限，而是持續關閉使用者能操作的應用程式，讓電腦幾乎無法使用，藉此迫使受害者輸入系統登入密碼。該行動約從今年5月開始，已造成33國至少100名使用者受害，其中超過一半位於歐洲。攻擊者疑似透過ClickFix網釣手法散播，使用假的圖靈驗證網頁誘騙使用者上當，將惡意指令碼複製到終端機執行。一旦指令執行，電腦就會顯示假的Cloudflare駭證，並在背景下載相關的惡意程式模組。詳全文

惡意軟體ACR Stealer攻擊升溫，微軟揭WebDAV與圖片隱寫投遞手法

微軟從4月底至6月中旬，在客戶環境觀察到竊資惡意軟體ACR Stealer攻擊活動增加。攻擊者利用ClickFix社交工程手法，誘騙使用者自行執行惡意命令，竊取瀏覽器儲存的帳號密碼、Cookie、驗證權杖及企業文件，可能造成帳號遭接管、雲端資源被未經授權存取，並引發後續入侵活動。其中一種攻擊會透過遠端WebDAV分享區提供惡意DLL，再利用Windows內建的rundll32.exe載入。攻擊者也透過pushd將WebDAV路徑掛載為本機磁碟機，搭配無視窗執行及命令混淆，降低使用者察覺異常的機會。詳全文

惡意軟體載入器偽裝為TrueType字型檔，藉此降低偵測機率

資安公司Fortinet揭露自2026年3月底持續至今的大規模網路釣魚活動，攻擊者以商業合作、付款等主題寄送惡意壓縮檔，其中包含偽裝成TrueType字型檔（.ttf）的惡意軟體載入器，藉此降低被資安工具偵測的機率。攻擊者最終可在受害Windows電腦的記憶體中，部署Agent Tesla、Remcos、XWorm等遠端存取木馬，以及Best Private LOGGER鍵盤側錄程式。攻擊流程一旦啟動，惡意壓縮檔會先將惡意檔案複製至Windows主機上的特定目錄，並建立排程工作以獲得長期存取能力。詳全文

車用電子廠淳安遭勒索軟體攻擊

上市車用電子廠淳安電子（6283）於7月20日晚間，透過股市公開資訊觀測站發布重大訊息，說明公司近期發生網路資安事件。淳安表示，資安單位於接獲異常通報後，經查證確認為勒索軟體檔案加密攻擊，已即時啟動資安應變機制因應。對於本次事故造成的影響，淳安表示經初步評估，內部資訊系統及網站運作正常，未受實質影響，對公司營運無重大影響。詳全文

7-Zip修補遠端程式碼執行漏洞，若不處理攻擊者可透過惡意壓縮檔觸發

檔案壓縮軟體7-Zip於6月底釋出更新26.02版，以修補遠端程式碼執行（RCE）漏洞CVE-2026-14266，若不處理，攻擊者可在受影響的7-Zip程式中執行惡意程式碼。這項漏洞存在7-Zip處理XZ分塊式（chunked）資料機制中，經變造的XZ壓縮資料可觸發記憶體堆積緩衝區溢位，讓攻擊者得以在現行程序下執行程式碼，CVSS風險評分為7.0。由於該壓縮軟體並未內建自動更新機制，且曾經出現漏洞利用攻擊活動，用戶應儘速升級新版緩解弱點。詳全文

ClaudeBleed漏洞未完整修補，攻擊者可濫用瀏覽器擴充套件讀取Gmail信件

Anthropic為Claude瀏覽器提供的擴充套件Claude for Chrome，在今年5月揭露與修補的ClaudeBleed漏洞，近日遭資安公司Manifold揭露尚未完全修補，目前版本未能正確驗證觸發AI自動執行任務的點擊輸入，攻擊者能透過網頁擴充套件執行claude.ai指令碼偽造點擊，誘使Claude執行讀取Gmail、Google文件與行事曆等固定任務。由於Anthropic尚未解決問題，Manifold決定公開以提醒用戶相關風險，建議用戶關閉Claude for Chrome「無需詢問即可執行」的模式，限制AI代理須經用戶核准才能執行任務。詳全文

Cursor等AI程式代理曝沙箱繞過風險，工作區檔案可透過開發工具與Docker越界執行

資安業者Pillar公開一系列AI程式代理安全研究，指出Cursor、OpenAI Codex CLI、Google Gemini CLI及Antigravity等開發工具，出現多條可跨越沙箱邊界的途徑。多數案例並非AI代理直接突破沙箱，而是先在程式專案資料夾內建立或修改檔案，再由沙箱外的開發工具或Git功能執行，另有案例是代理透過位於沙箱外的Docker服務，在特定設定下間接取得主機操作能力。Pillar建議，代理建立的設定檔應視為未受信任內容，相關指令也應套用與代理相同的權限檢查及使用者核准機制。詳全文

開源LLM推理框架SGLang存在重大反序列化漏洞，可能導致遠端執行程式碼攻擊

美國CERT/CC近日揭露，開源大型語言模型（LLM）與多模態AI模型推理框架SGLang，存在可能導致遠端執行程式碼的重大漏洞CVE-2026-14890，CVSS嚴重性評分達9.1分，問題源自Expert-Parallel backup子系統缺乏適當驗證與反序列化防護，若該功能啟用且SGLang服務可從網路存取，未經身分驗證的攻擊者即可傳送惡意Pickle檔案，在伺服器上執行任意程式碼。由於目前SGLang專案團隊尚未發布修補版本，建議用戶先行採取緩解措施因應。詳全文

GitHub強化Copilot程式碼審查隔離，預設防火牆並拆分執行器設定

GitHub調整Copilot程式碼審查的執行與管理方式，現在預設以防火牆限制審查期間的對外網路連線，企業也能將程式碼審查與Copilot雲端程式開發代理分開設定，兩者可使用不同的執行環境及網路存取規則。Copilot程式碼審查會分析開發者提出的程式碼變更，找出可能的錯誤、安全問題或不符合專案規範之處。其中用來探索較完整專案脈絡的代理式功能透過GitHub Actions執行，可視需要查看儲存庫內的相關程式碼、目錄結構及參考資訊。詳全文

Linus Torvalds談Linux核心對AI的立場，人類仍須審查程式碼、確認授權並承擔全部責任

針對近期Linux核心開發者討論使用AI代理式程式碼審查系統Sashiko的方式，Linux核心創始人Linus Torvalds在linux-media郵件清單表明，Linux核心不會成為全面排斥AI工具的專案。他表示，AI和其他開發工具一樣，開發者可自行決定是否採用，但核心社群不會因為有人反對，就禁止其他人使用大型語言模型協助開發。然而，在提交AI協助產生的內容前，貢獻者應負起相關責任，充分審查並理解內容，也應揭露使用的系統、版本與協助方式。詳全文

歐盟要求Google開放Android AI功能並共享搜尋資料惹議

歐盟執委會於7月16日，依據《數位市場法》（Digital Markets Act，DMA）發布兩項具法律約束力的實施規範，要求Google開放Android作業系統的AI互通功能，並向符合資格的第三方搜尋服務分享匿名化搜尋資料，以促進AI助理及搜尋市場的公平競爭。Google則批評，相關措施恐削弱歐洲使用者的隱私與裝置安全。Google認為，目前手機製造商在審核相關AI服務時扮演重要角色，若外部App在缺乏同等防護下取得敏感系統權限，恐增加資安風險。詳全文

AWS開源企業AI代理平臺Loom，整合身分委派、權限控管與人工核准

AWS開源Loom for AWS，提供企業統一建立、部署及管理AI代理的參考平臺。AI代理可依使用者指令呼叫外部工具及執行工作，Loom則將代理的部署與操作、記憶、身分驗證、權限管理及人工核准整合到同一套系統，主要供企業平臺工程團隊使用。Loom不會在執行或部署過程中即時產生並部署程式碼，企業可先測試及安全掃描固定的代理程式，後續建立不同代理時主要只更換設定，減少每次部署都要重新審查程式碼的工作。詳全文

詐騙廣告侵蝕市場信任，數發部與三大公協會聯手推動可信任的數位廣告生態系

在數發部數位產業署輔導下，臺灣數位媒體應用暨行銷協會（DMA）、臺北市廣告代理商業同業公會（TAAA）及臺北市媒體服務代理商協會（MAA）共同成立「數位廣告信任聯盟」，串聯將近300家數位廣告相關業者，打造可信任的數位廣告生態系。該聯盟未來將建置聯防平臺，作為產業交換防詐情資的管道，協助業者掌握最新詐騙手法、高風險廣告樣態及相關風險資訊。聯盟也將發布產業自律規範，鼓勵業者建立內部防詐管理機制。詳全文

法務部以三層平臺架構串聯算力、法務LLM與AI Agent推動法務主權AI發展

在政府推動主權AI政策下，法務部6月甫宣布啟動法務部專屬大型語言模型計畫，目的在打造司法AI平臺。由於司法資料涉及高度敏感資訊，法務部此次AI平臺採落地部署（On-premises）架構，不使用公有AI服務處理敏感資料。為降低AI幻覺風險，法務部也規畫透過RAG限制模型引用法務資料庫內容，同時導入Human in the Loop機制，由檢察官、觀護人保留最終決策權，AI僅負責文書整理及輔助分析，不直接取代司法判斷。詳全文

'