不要错过 - 頁面 19

美國白宮日前宣布，將於 2022 年 10 月 31 日起，舉辦第二屆「啟動對抗勒贖攻擊國際高峰會」（International Counter Ransomware Initiative Summit），結合各國力量，共同加強對於勒贖攻擊的防禦與打擊力量。 據美國白宮在記者會上的說明，這次為期兩天的高峰會，將以實體方式舉辦，邀請多達 36 個國家以及歐盟的資安領域專家和相關領導人士，分為五組，討論不同領域間如何強化對抗日益猖獗的勒贖攻擊，並且嚇阻在幕後發動勒贖攻擊的犯罪分子。 一位美國政府高層人士在記者會上指出，「勒贖攻擊確實是全球性的問題，已經見到勒贖攻擊不論在複雜度或攻擊發生次數的成長，都遠較防禦與防治能力的成長為快」。 官員也指出，這次高峰會不只是政府對政府間的會談，同時也邀請私部門共同參與，有 13 家全球大型企業指派代表與會，包括 Microsoft、Palo Auto Networks、Siemens、SAP、Crowdstrike、Mandiant 等，希望能促成公私部門在對抗勒贖攻擊時，合作能夠更加密切。 這次會議分成五個小組進行討論，「靭性」議題由印度與立陶宛主持、「防治」議題由澳洲主持、「虛擬貨幣」議題由新加坡與英國主持、「公私部門合作」議題由西班牙主持、「國際合作」議題由德國主持。 參加本次高峰會的國家除主辦國美國外，也包括奧地利、比利時、巴西、保加利亞、加拿大、克羅埃西亞、捷克、多明尼加共和國、愛沙尼亞、歐盟、法國、愛爾蘭、以色列、義大利、日本、肯亞、立陶宛、墨西哥、荷蘭、紐西蘭、奈及利亞、挪威、波蘭、南韓、羅馬尼亞、南非、瑞典、瑞士、烏克蘭、阿拉伯聯合大公國。

歐洲最大，也是全球第二大銅製品生產大廠 Aurubis 於 2022 年 10 月 28 日遭到駭侵攻擊，導致該公司被迫關閉其多處據點的 IT 系統，以防止損害進一步擴大。 總部位於德國漢堡，全球員工近 6,900 人的 Aurubis，日前在官網上發表資安通報，指出該公司部分廠區遭到不明駭侵攻擊；該公司目前正在會同有關單位進行調查，且為避免損害進一步擴大，已關閉部分 IT 系統的運作。包括精煉生產線與環保相關設備仍保持運作，而原料入廠與產品出廠則改採人工作業。 該公司表示，維持原料進廠與成品出廠數量在正常水準不受影響，是該公司目前的首要目標，因此部分生產流程在相關自動化系統修復之前，均改為人工操作；但該公司也表示，目前無法估計何時才能修復受損系統，全面恢復正常作業。 該廠也表示，正在努力復原該廠與上下游供應鏈與客戶之間的正常通訊管道；目前唯一可用的通訊方式是電話。 該廠尚未提供任何有關此次駭侵攻擊事件的詳細資訊，包括駭侵攻擊的形態、攻擊管理與具體的損失等，僅對外表示這次攻擊「明顯屬於針對金屬工業與礦業更大規模攻擊的一環」；不過資安專家普遍認為 Aurubis 這次的攻擊應屬勒贖攻擊。 Aurubis 並非大型金屬礦業公司遭到駭侵攻擊的首例，早在 2019 年 3 月，全球最大鋁業公司之一的 Norsk Hydro 就曾遭到 LockerGoga 勒贖攻擊，造成其 IT 系統被迫離線。 針對製造業發動的駭侵攻擊，往往會造成生產與供應鏈的衝擊；建議各製造業者應正視駭侵攻擊的可能性，除加強資安防護能力外，重要的製造相關系統不宜直接與 Internet 連線。

您肯定熟悉“數字營銷”或“在線營銷”的名稱。但是你知道它們是什麼意思嗎？在過去的幾年裡它是如何發展的？您應該更加了解數字營銷的哪些趨勢和方面？在這篇文章中，跨際數位行銷有限公司  揭示了有關網絡營銷的一切。   跨際數位行銷有限公司 ：數字營銷（或在線營銷）包括在媒體和互聯網渠道中執行的所有廣告或商業行為和策略。這種現象自 90 年代以來一直被應用，作為將線下營銷技術轉移到數字世界的一種方式。   在數字技術的巨大發展和演變的同時，在線營銷在所使用的技術和工具（以及它們的複雜性）以及為接受者提供的可能性方面都在經歷著漸進和非常迅速的深刻變化。   數字或網絡營銷的起源：從 web 1.0 到 web 2.0   根據 跨際數位行銷 的說法，在線營銷一開始是基於網頁 1.0，並開始將廣告從傳統媒體（電視、廣播、紙質媒體......）轉移到第一個網頁，他們不允許雙向與用戶的交流。廣告公司完全控制了信息，並將自己限制在向觀眾展示信息的範圍內。   此外，web 1.0 階段的廣告在大多數情況下僅限於以在線商店在線目錄的形式複制產品或服務的展示。即便如此，這種類型的廣告已經指出了有趣的優點，例如其潛在的普遍範圍、更新內容的可能性以及文本、圖像以及多媒體格式的組合。   但是，幾年後，革命來了。狂熱的技術發展允許大規模引入更高級別的互聯網。 Web 2.0 誕生了，隨之而來的是營銷 2.0（也稱為數字營銷或當前在線營銷）。多麼大的變化！   從那一刻起，所有用戶都可以通過社交網絡、論壇或平台輕鬆共享信息，從而幾乎可以即時交換以前不可能的內容，例如照片和視頻。   互聯網不僅僅是一種搜索信息的手段，而且成為了一個偉大的社區。目前，網絡僅被理解為在兩個方向交換信息的一種手段。因此，反饋是品牌和用戶之間的全部和基本的，這有其優點和缺點。    

求職求才社群服務 LinkedIn 日前推出三項新功能，以打擊該平台上日益猖獗的假帳號與相關惡意攻擊活動；推出後初見成效，偽裝任職於知名大公司如 Apple、Amazon 等的假帳號數量明顯減少。 過去數年以來，在 LinkedIn 平台上發生的惡意攻擊數量愈來愈多，包括各式社交工程、釣魚攻擊、散布惡意軟體、竊取登入資訊、金融詐騙等等，主要都是透過該平台上的假帳號來進行。 這些假帳號為了取信於被害人，多半會捏造出相當漂亮的工作經歷，例如在世界頂尖企業擔任重要管理職務；而這類假帳號可以透過人工智慧軟體大量產生，再配上由人工智慧合成的個人頭像，幾可亂真，造成用戶難以識別真偽。 LinkedIn 近日宣布推出的三項新功能，第一項是在用戶的個人檔案中提供更多資訊，例如該用戶檔案的建立日期、用戶是否已通過電話號碼驗證，以及是否提供工作用的企業 email 位址等等。這樣可以幫助用戶辨識帳號的真實性，也提高假帳號取信於人的難度。 第二項功能是利用人工智慧掃瞄並找出利用人工智慧合成而成的個人頭像；LinkedIn 指出該技術的深度學習功能，可以發現頭像是否為人工智慧產生，而非真人照片。 第三項功能是在用戶透過線上對談功能溝通時，如果系統發現有一方試圖把對方帶離 LinkedIn 平台進行私下溝通時，會在對話內容中顯示警訊。 LinkedIn 在近期推出這些功能後，同時也開始掃蕩平台上的假帳號；一位經常關注 LinkedIn 平台狀況的開發者於上周發現，在 LinkedIn 上號稱任職於 Apple、Amazon 等大企業的帳號總數突然大幅下降；在 2022 年 10 月 10 日，LinkedIn 上宣稱任職於 Apple 的帳號總數有 576,562 個，隔天就下降到 285,000人，而任職於 Amazon 的帳號數也少了 30%。 不過，這些數字還是遠高於這些企業的實際員工人數（Apple 員工人數約為 147,000 人），由此可見 LinkedIn 上的假帳號為數仍然非常多。 建議用戶在 LinkedIn 上與其他帳號互動時，務必提高警覺，小心查核對方身分是否屬實，以免受騙上當或遭到駭侵攻擊。

多家市場研究公司對於製造業與工業資安防護市場的調查報告共同指出，未來 10 年在工業、製造業的資安防護相關市場將會大幅成長；估計到 2030 年該市場的總產值將高達 400 億美元。 據資安專業媒體 SecurityWeek 整理自 Future Market Insight、Markets and Markets、Meticulos Research、Verified Market Research、Stratistics Market Research Consulting、ResearchAndMarkets、Reports and Data、Market Research Future 等市場調查研究機構發表的相關報告後，指出工業資安防護市場巨大的成長動能。 綜合各家研究報告，目前製造業/工業資安防護市場的總產值，約為 160 億到 200 億美元之間；據較保守的估計指出，2027 年時該市場總產值將成長到 201 美元，2030 年成長到 237 億美元；但樂觀的估計則認為製造業/工業資安防護市場的總產值，將從現在的 200 億美元，在 2032 年時成長到 435 億美元，年複合成長率 (compound annual growth rate, CAGR) 將達到 7.7%。 各家研究報告指出，製造業/工業組織為提高運作效率，將愈來愈依賴各式 IoT 技術/裝置與雲端技術，因此對製造業/工業資安防護解決方案的需求亦將日益提高。 此外，各國政府法規與管理對於製造業/工業資安防護能力的要求日漸嚴格，也將是推動製造業/工業資安防護市場總產值成長的重要助力。 Future Market Insight 同時指出，南亞與亞太地區的製造業/工業資安防護市場總產值成長將領先全球其他地區，主要原因在於印度、印尼、泰國與馬來西亞等開發中國家的製造業，將大量開始運用雲端技術；而北美仍舊為全球製造業/工業資安防護的最大市場。 建議相關領域製造業者應投注更多預算與人力，加強軟硬體資安防護能力與員工的資安防護認知。

美國紐約郵報（New York Post）日前證實，該報的網站系統與 Twitter 帳號遭到不明駭侵者挾持，並且用於攻擊包括美國總統、紐約市長、各州州長、國會議員等多位美國政治人物。 紐約郵報是在 2022 年 10 月 27 日遭到駭侵攻擊，不只其網路新聞的頭版大標題遭到駭侵者擅自替換為攻擊性文字，其經過官方認證的 Twitter 帳號亦遭駭侵者挾持，並且連續發出多則攻擊特定攻治人物的推文。 遭到攻擊的美國政治人物，包括現任總統拜登（Joe Biden）與其子 Hunter Biden、紐約市長 Eric Adams、紐約州民主黨眾議員 Alexandria Ocasio-Cortez、紐約州長 Kathy Hochul、德州州長 Gregg Abbot、伊利諾州共和黨眾議員 Adam Kiinzinger 等人。 目前紐約郵報沒有提供其網站系統與 Twitter 帳號如何遭到駭侵挾持的詳細資訊。 針對美國媒體發動的駭侵攻擊，近期亦有一例，遭駭的媒體是財經網路媒體 Fast Company；該媒體的內容管理系統（Content Management System, CMS）遭到不明駭侵者攻擊，其網站系統被駭侵者用來推送內含種族歧視的內容，該批內容甚至還發送到 Apple News 新聞聚合平台，並且以通知的形態推送到讀者手機內。 該攻擊行動導致 Fast Company 整整兩星期被迫將網站下線。 另一起攻擊事件於今年 2 月揭露，受害者是本次駭侵事件主角紐約郵報的擁有者新聞集團（News Corp），旗下還擁有 Fox News、華爾街日報等大型媒體。News Corp 在一月時發現駭侵者未經授權存取其工作人員與記者所有的文件與 Email 內容。 由於新聞媒體對社會具有極大影響力，一旦遭駭侵者用於發送不實消息，將造成巨大的社會衝擊；各媒體應加強自身的資安防護能力，同時做好員工教育訓練，避免駭侵者以社交工程、魚叉式釣魚攻擊等方式挾持媒體。

Apple 於日前推出的 iOS 16.1、iPadOS 16.1 中，修復一個可能已遭用於駭侵攻擊的 0-day 漏洞 CVE-2022-42827，該漏洞可讓駭侵者取得 kernel 權限並且遠端執行任意程式碼；iPhone 與 iPad 用戶應立即更新作業系統，以免遭到駭侵者透過此漏洞發動攻擊。 據 Apple 發表的資安通報與 iOS 16.1、iPadOS 16.1 更新記事中指出，CVE-2022-42827 是一個記憶體緩衝區越界寫入錯誤，導因於邊界檢查的漏洞所致；駭侵者可利用這個漏洞誘發記憶體崩潰，因而取得 kernel 權限並遠端執行任意程式碼。該漏洞為一位匿名資安研究人員發現並提報 Apple。 據 Apple 發布的資安通報指出，該公司已知悉本漏洞可能已遭駭侵者用於發動駭侵攻擊，惟目前並無相關攻擊事件的進一步訊息。 該漏洞影響的 Apple iPhone 與 iPad 產品，包括 iPhone 8 與後續機型、iPad Pro 所有機型、iPad Air 第 3 代與後續機型、iPad 第 5 代與後續機型、iPad mini 第 5 代與後續機型。 CVE-2022-42827 是 Apple 於 2022 年修復的第 9 個 0-day 漏洞。 此外，在 Apple 這次推出的 iOS 16.1、iPadOS 16.1 中，也同時修復多達 18 個資安漏洞；其中包括上述 CVE-2022-42827 在內，共修復多達 13 個可讓駭侵者遠端執行任意程式碼的各式資安漏洞。 由於 iPhone 與 iPad 使用人數眾多，往往成為駭侵者的絕佳攻擊目標，因此 iPhone 與 iPad 用戶，應在 Apple 推出作業系統更新的第一時間就進行更新，以免遭駭侵者利用已公開的漏洞發動攻擊。 CVE編號：CVE-2022-42827 影響產品(版本)：iPhone 8 與後續機型、iPad Pro 所有機型、iPad Air 第 3 代與後續機型、iPad 第 5 代與後續機型、iPad mini 第 5 代與後續機型。 解決方案：升級至 iOS 16.1、iPadOS 16.1。

資安廠商 McAfee 日前發表研究報告，指出該公司在 Google Play Store 中新發現 16 個 Android 廣告惡意軟體；這些惡意廣告軟體會在背景執行，以用戶看不見的隱形 frame 載入大量廣告，並進行假點擊以牟取暴利。 McAfee 指出，這 16 種廣告惡意軟體成功上架到 Google 官方的應用程式商店 Google Play Store，偽裝成各種工具軟體，例如匯率轉換、手電筒、QR Code 掃瞄器、系統記憶體清理工具、韓文字典、拍照軟體、記事工具等等。 其中一個名為 DxClean 的廣告惡意軟體，在遭到下架前獲得 500 萬次下載，在 Google Play Store 中的用戶評分甚至還高達 4.1 分（滿分為 5 分）。 該軟體號稱可以清理 Android 系統中閒置應用軟體佔用的記憶體並將其釋放出來，以改善手機運作效能與反應速率，甚至還能阻擋不必要的廣告；但實際上該軟體的行為恰恰相反，是在背景中大量載入廣告並進行假點擊。 據 McAfee 的分析指出，這些廣告惡意軟體會在安裝後自某個特定伺服器下載 Firebase Cloud Messaging listener，並開始接收自 FCM 傳來的指令；惡意軟體一旦接收到指令，即會開始在背景中載入廣告，並模擬用戶的點按行為。 由於這些廣告載入和點擊動作均不會有任何顯示，因此用戶難察覺；但用戶將會發現手機反應變慢、耗電加快、手機會發熱，數據連線的額度也會遭到耗用，甚至因此造成手機故障。 建議用戶即使在官方的 Googel Play Store 中下載軟體，也應提高警覺，仔細閱讀用戶意見回饋；並應在手機中安裝大廠出品的防毒防駭軟體，以防不小心安裝到惡意軟體。

資安廠商 Proofpoint 近日發布「2022 年董事會觀點」（2022 Board Perspective）調查報告，指出全球大型企業的董事中，有 65% 認為其企業將在 1 年內遭到嚴重資安攻擊，且有 47% 董事承認其公司並未做好充分準備。 該調查於 2022 年 8 月進行，採訪全球員工超過 5,000 人的大型企業董事共 600 名；這些受訪企業分布於十多個不同國家，跨多種不同產業，也包括公部門與私部門在內。 調查報告也指出，不同國家企業董事對自身企業的駭侵攻擊防範準備程度信心也各自不同；日本企業董事認為公司未準備應對駭侵攻擊的比例最高，高達 72%，其次為新加坡（62%）、英國（58%），而美國公司董事對企業已做好駭侵攻擊應對的比例最高，高達 88%，西班牙與巴西企業董事中也有約 86% 認為有做好準備。 此外，全球企業董事有高達 75% 認為資安防護與資料治理，是接下來公司的首要任務。 不過，報告也指出企業董事對於企業資安防範量能的認知，可能和實際情形有所落差；報告說有高達 76% 的企業董事認為公司員工已完全了解其在資安防護中的角色，且每月至少進行一次資安教育訓練，但從實際的攻擊案例來看，企業員工對於資安防護的認知與行為仍有所不足，甚至連資安教育訓練都未曾真正落實。 調查也指出，90% 的公私立單位設有資安長，73% 董事表示其資安長會對董事會進行定期資安報告；不過只有 50% 董事會經常與資安長保持互動，更有 33% 董事表示只有在進行報告時才會見到資安長。 建議各公司行號的高階主管與董事階層，應徹底真正了解公司的資安防護狀態，並投資於資安防護所需的軟硬體與教育訓練之上，才能防患未然。

Github 旗下的資安專家，日前發現廣為使用的開源程式庫 Apache Commons Text，內含一個可讓駭侵者用來發動攻擊，進而遠端執行任意程式碼的漏洞；採用此開源程式庫的應用軟體應立即升級至無此漏洞的新版本。 Apache Commons Text 是個相當受到開發者歡迎的開源 Java 程式庫，內含「文字改寫系統」（interpolation system）；開發者可以利用這個系統對輸入的文字進行多種操作，包括修改、解碼、生成、抽取等等。 該漏洞又被稱為「Text4Shell」，其 CVE 編號為 CVE-2022-42889，是存於文字改寫系統中的不安全程式碼評估處理；在預設組態情況下，駭侵者可以輸入特製的惡意內容，來觸發此漏洞，進而遠端執行任意程式碼。 CVE-2022-42889 的 CVSS 危險程度評分高達 9.8 分（滿分為 10 分）；危險程度評級達到最高等級的「嚴重」（Critical）等級。 資安專家在 Apache 的郵件群組內指出，自 Apache Commons Text 1.5 版起到 1.9 版之間，在預設的 Lookup instance 組態下，存有這個可導致遠端執行任意程式碼，或與遠端伺服器連線的漏洞；用戶應盡早將 Apache Commons Text 升級至 1.10.0 版本，該版本已預設停用有問題的文字改寫系統。 該漏洞是在 2022 年 3 月 9 日由 Github 的資安專家發現，並提報給此開源程式庫的開發單位 Apache Foundation；Apache Foundation 於 10 月 12 日推出修正此漏洞的 Apache Commons Text 1.10.0 版。 建議軟體開發者如有採用上述受影響版本的 Apache Commons Text，應立即升級至已修復此漏洞的 1.10.0 與後續版本。 CVE編號：CVE-2022-42889 影響產品(版本)：Apache Commons Text 1.5 到 1.9 版。 解決方案：升級至 Apache Commons Text 1.10.0 版與後續版本。