【資安日報】10月30日，DEVCORE研究員公布在Pwn2Own競賽揭露的Edge攻擊鏈，串連5個弱點突破瀏覽器防護機制

● DEVCORE研究員串連5個弱點突破Edge瀏覽器防護機制 ● 微軟發布Windows緊急更新，移除eMudhra問題憑證的預設信任 ● Tailscale釋出1.104.4安全更新，修補SSH與Serve功能共4項漏洞 ● 惡意Markdown檔案企圖誘使Codex安裝惡意套件，威脅AI程式開發 ● 研究人員發現全球99國近1.3萬筆冷藏設備管理服務暴露於公開網路

日本樂天兩個旅遊網站遭駭外洩用戶個資354萬，臺灣網站不受影響

日本樂天集團於10月26日證實旗下兩個旅遊訂房網站遭外部人士未授權存取，約354萬筆客戶及旅宿業者資料受影響。第一起事件涉及Rakuten Travel Xchange管理營運的部分網頁，外洩約260萬筆登入用戶資料，以及4萬筆訂房紀錄，其中3.6萬筆包含信用卡發卡機構識別碼、卡號末4碼、持卡人姓名及有效期限；第二起則有樂天旅遊多語預約網站的86萬筆用戶電子郵件，及4萬筆旅宿業者帳號資料外洩。樂天已修補系統並封鎖入侵途徑，臺灣、香港等地網站不在影響範圍內。 詳全文

日本航空第三方訂位系統遭入侵，約9.2萬筆旅客資料受影響

日本航空（JAL）與日本越洋航空（JTA）於10月28日公告其使用的第三方旅客服務系統遭未授權存取，約9.2萬筆旅客訂位資料可能外洩。事件涉及委外業者Amadeus的系統，遭存取期間從2023年8月至2026年9月。其中約9萬筆資料包含訂位代號、姓名及航班資訊，另有約2,000筆還涉及電子郵件、電話、護照號碼、國籍及會員資料。兩家航空公司表示信用卡號與密碼未受影響，目前也未發現資料遭不當利用，航班營運不受影響，Amadeus則表示已完成必要的防護措施。詳全文

加拿大匿名犯罪檢舉平臺遭駭，17.7萬筆資料外洩後暫停服務

加拿大匿名犯罪檢舉組織Toronto Crime Stoppers使用的第三方檢舉系統遭駭，約17.7萬筆檢舉紀錄外洩，資料涵蓋2022年1月至2025年11月提交的案件，其中約1.5萬筆涉及可能辨識檢舉人或相關人士身分的姓名。該組織原本會在轉交警方前移除檢舉內容中的身分資訊，但駭客竊取的是原始紀錄。由於無法確認外洩資料的完整內容，Toronto Crime Stoppers已暫停電話、網站及App檢舉服務，並表示已於6月起尋找替代系統。詳全文

國際刑警組織掃蕩非洲網路犯罪，詐騙集團鎖定亞洲受害者

國際刑警組織於10月22日公布跨國掃蕩網路犯罪的最新成果，美國與非洲20個國家的執法機關於Serengeti III跨國掃蕩行動中逮捕1,462名嫌犯，瓦解10,909個惡意網路，並追回逾1.05億美元非法資金。調查確認有65,929人遭網路犯罪集團鎖定，損失超過3.85億美元。其中，烏干達警方瓦解兩個鎖定亞洲民眾的跨國詐騙集團，逮捕365名外籍嫌犯，涉及線上投資及退休金詐騙。詳全文

美國制裁北韓遠端IT工作詐騙網絡，鎖定俄羅斯洗錢中間人

美國財政部外國資產管制辦公室（OFAC）於10月28日宣布制裁10名個人及1個實體，打擊北韓利用遠端IT工作詐騙取得海外收入的網絡。遭制裁者包括在俄羅斯活動的北韓IT工作者、管理人員，以及協助洗錢的俄羅斯籍人士。美方指出，北韓人員利用偽造身分及AI工具應徵美國企業職缺，再透過加密貨幣交易轉移所得，其中俄羅斯中間人涉嫌協助轉換至少350萬美元資金，相關所得則用於資助北韓大規模毀滅性武器及彈道飛彈計畫。​詳全文

Hive與Nefilim勒索軟體集團成員遭美國判刑，將入獄70個月

美國司法部於10月27日宣布，36歲烏克蘭籍男子Artem Stryzhak因參與Hive與Nefilim兩個勒索軟體集團的攻擊行動，遭法院判處70個月徒刑。他自2021年6月起成為Nefilim附屬成員，負責發動攻擊並將贖金的20%交給集團管理者，另外也加入Hive勒索軟體集團。Hive在2021年6月至2023年1月間攻擊全球約1,500個政府機關、醫院及企業。美國政府目前仍懸賞最高1,100萬美元，持續追捕其共犯Volodymyr Tymoshchuk。詳全文

汽車零配件製造商橙的遭勒索軟體攻擊

汽車零配件製造商橙的（4554）於10月28日在股市資訊公開觀測站發布重大訊息，部分位於區域網路環境的網路儲存設備，遭受勒索軟體攻擊。事發後該公司資安團隊於第一時間啟動防禦機制與斷網隔離措施，並啟動相關資安應變機制，根據橙的初步評估，此事件對該公司整體營運不致有重大影響。詳全文

微軟發布Windows緊急更新，移除eMudhra問題憑證的預設信任

微軟於10月26日發布Windows緊急更新，將6張eMudhra G3根憑證及1張相關交叉簽署憑證，從Windows預設信任清單移除，以因應eMudhra旗下8組中繼憑證機構私密金鑰可被還原的問題，攻擊者可能利用這些金鑰偽造網站TLS憑證或簽署惡意軟體。微軟先前已於10月20日透過Windows不受信任憑證清單（Disallowed CTL）封鎖8組相關CA金鑰，並更新Edge及WebView2的CRLSet元件，封鎖由受影響CA簽發的TLS憑證，由於部分中繼CA憑證也由Sectigo旗下AAA Certificate Services交叉簽署，這些憑證使用相同的金鑰，因此微軟一併封鎖相關交叉簽署憑證。詳全文

Tailscale釋出1.104.4安全更新，修補SSH與Serve功能共4項漏洞

Tailscale釋出1.104.4版安全更新，修補SSH與Serve功能共4項漏洞，涵蓋權限提升、記憶體耗盡及存取控制問題。其中包括日前研究人員揭露的SSH轉送漏洞，可能讓已獲准登入的一般帳號存取Docker管理介面等高權限服務，還包括可能耗盡主機記憶體的另一項SSH漏洞，以及Serve功能的Unix通訊端轉送與HTTP/2權限資訊混用問題。Tailscale建議管理員升級至1.104.4或更新版本，若暫時無法更新，可先停用Tailscale SSH轉送功能，降低相關權限提升風險。詳全文

法國超市遭駭引發關注，研究人員發現全球99國近1.3萬筆冷藏設備管理服務暴露於公開網路

法國逾700家超市冷藏設備遭駭後，資安業者Forescout進一步調查全球冷藏設備控制系統，發現99個國家與地區共有12,976筆相關服務暴露於公開網路，涉及6,017個公開IP位址。其中，Copeland／Dixell XWEB及Danfoss StoreView占約91%，部分Danfoss設備仍使用存在已知漏洞的舊版韌體。研究人員建議，企業應避免直接將冷藏設備管理介面暴露於網際網路，並更新韌體、限制遠端存取權限。詳全文

惡意Markdown指引檔企圖誘使Codex安裝惡意套件，AI程式開發代理面臨攻擊風險

資安業者Forever Security揭露，攻擊者利用AI程式開發代理自動讀取工作目錄Markdown指引檔的特性，在用戶電腦植入惡意AGENTS.md指引檔，企圖誘使OpenAI Codex修改全機設定、註冊惡意MCP伺服器，並安裝竊密套件function-color。研究人員測試發現，Codex在逾90%的測試中會執行攻擊指令，惡意指引檔也可能誘使Anthropic Claude Code竊取OAuth權杖。研究人員建議，避免在下載資料夾等不可信位置啟動AI代理，並檢查指引檔來源及代理設定。詳全文

英國擬修法強化海底電纜安全，要求業者管理安全風險並通報事故

英國政府於10月22日公布白皮書，計畫修法強化海底關鍵基礎設施安全。英國約99%的國際資料流量仰賴海底電纜傳輸，擬議中的新法規將故意破壞海底電纜及能源管線者的最高刑期提高至14年，也要求海底電信業者評估並降低安全風險、做好事故應變與服務復原準備，並向政府及主管機關通報安全事件。詳全文

年末購物旺季將至，Palo Alto Networks示警零售業面臨多重網路威脅

Palo Alto Networks於10月28日發布報告，提醒零售業者年末購物旺季將面臨勒索軟體、資料竊取、DDoS及信用卡數位側錄等威脅。截至9月30日，各主要勒索軟體集團今年已宣稱攻擊565家零售企業；消費者則可能遭遇帳號接管、釣魚及禮品卡詐騙。報告中另外指出，駭客開始利用生成式AI加速偵察與入侵，近期案例甚至將原本需多名人員耗時兩週的攻擊流程，縮短至10小時內完成，建議業者應整合端點、網路、雲端及身分識別資訊，加快威脅偵測與應變。詳全文

AI加快漏洞發現，CSA提出VulnOps模式改善企業漏洞管理

雲端安全聯盟（CSA）提出VulnOps漏洞管理模式，因應AI加速發現漏洞、企業修補流程難以跟上的問題。VulnOps整合三類漏洞資訊，包括軟體開發階段發現的弱點、已部署系統的漏洞，以及外部揭露的漏洞資訊與供應商修補公告，再經過去重、驗證及風險評估，安排修補優先順序，不再只依賴CVSS分數，也納入系統暴露程度、營運重要性及實際利用證據。CSA另提出Absorption Rate指標，以近30天已處理漏洞數除以新增數量，衡量企業修補能力是否跟得上漏洞增加速度；若低於1，代表待處理漏洞可能持續累積。詳全文

行動App安全規範與技術持續更新，執行環境防護與白箱加密成焦點

隨著行動App安全規範與防護技術持續演進，叡揚資訊資安直屬事業處資安技術顧問李易潤表示，從政策到技術已出現一系列變化。在政策與規範方面，越南自2026年3月起要求行動銀行App檢查Bootloader解鎖等風險，OWASP也推出新版MASTG 2.0及MASWE 1.0，強化安全要求與測試方法。Google Play預計2027年2月起，要求DEX程式碼超過10MB的Android App，達到特定程式碼混淆與最佳化指標。App防護技術也出現新發展，以叡揚資訊的Digital.ai應用程式防護解決方案為例，除持續擴大對root框架、越獄及螢幕覆蓋等方面的偵測能力，也導入AI自動套用防護機制，另藉由白箱密碼學提高執行期間加密金鑰遭竊取的難度，未來也將支援後量子密碼學演算法。詳全文

防範AI代理越界行為，NIST提出事件應變指引

美國國家標準暨技術研究院（NIST）偕同國家安全局（NSA）及網路安全暨基礎設施安全局（CISA），提出10項AI代理事件應變建議，因應AI代理違反安全政策限制或執行未經授權操作的風險。指引涵蓋準備、偵測、應變、復原及通報5個階段，建議組織限制代理存取權限、持續監控工具呼叫與網路活動，並建立緊急停止機制，一旦發現異常，應立即停止代理活動、撤銷憑證，保存操作紀錄以供調查，並在重新測試防護措施後才恢復服務，也須通知受影響單位及主管機關，必要時對外公開事件內容。詳全文

OpenSSF發布AI漏洞處理指引，強調漏洞驗證與人工審查

開源軟體安全基金會（OpenSSF）發布AI漏洞發現與修補指引，建議開發團隊將漏洞搜尋與驗證分開進行，避免AI代理在自行檢查時，錯誤排除實際存在的漏洞。由於AI每次檢查結果可能不同，應重複執行並搭配不同方法，確認疑似漏洞是否成立，再依風險安排修補優先順序。即使AI能產生修補程式碼，也不能直接採用，必須經過自動化測試及人工程式碼審查，確認未影響既有功能或引入新問題。此外，OpenSSF建議將AI置於隔離環境，並為已修補漏洞建立迴歸測試及靜態分析規則，避免問題再次出現。詳全文

Gartner揭2027科技趨勢，AI代理身分管理與自主曝險修補成資安焦點

資訊科技研究機構Gartner公布2027年十大策略科技趨勢，其中資安重點包括AI代理身分管理、AI程式開發代理管理，以及自主曝險修補。Gartner預測，到了2028年，25%的企業資安侵害事件將與AI代理遭到濫用有關，企業須強化代理身分識別及動態存取權限管理，避免憑證遭濫用。此外，AI生成程式碼的速度可能超越人工審查能力，須透過自動化測試與安全檢查把關。自主曝險修補則結合AI與自動化技術，從漏洞發現、風險排序到部署修補措施，Gartner預估，到了2031年，採用這類技術的組織，可將平均漏洞控制時間從數週縮短至48小時內。詳全文

DEVCORE研究員公布在Pwn2Own競賽揭露的Edge攻擊鏈，串連5個弱點突破瀏覽器防護機制

臺灣資安公司DEVCORE首席資安研究員Orange Tsai（蔡政達）公開今年5月在Pwn2Own Berlin競賽展示的Microsoft Edge完整攻擊鏈，透過串連5個邏輯漏洞及濫用兩項Windows功能，突破瀏覽器沙箱，最終在作業系統層級執行任意程式碼。該漏洞利用鏈由研究人員花費兩個月手工打造，程式碼不到100行，先利用瀏覽器導覽機制缺陷取得通用跨站指令碼能力，再濫用沉浸式閱讀器及診斷記錄功能寫入任意檔案，最後藉由Windows通訊協定處理機制執行惡意程式。微軟已於5月15日透過Edge 148.0.3967.70修補相關漏洞，涉及CVE-2026-45492、CVE-2026-45494及CVE-2026-45495。詳全文

2026年資安技能金盾獎初賽登場，224隊爭奪決賽資格

數位發展部資安署與國家資安研究院於10月17日舉辦第21屆資安技能金盾獎初賽，共224隊報名，創歷屆新高，將選出40隊晉級決賽，競賽題目涵蓋逆向工程、網站安全、加解密演算法及數位鑑識，參賽者不得使用AI工具輔助，決賽預定11月27日舉行，今年並首度引入企業贊助，提供得獎團隊獎勵及實習、求職機會。詳全文