資安一周[1105-1111]：全球城市風險報告指出，臺北網路攻擊風險指數為全球第11名

重點新聞（11月05日-11月11日）

思科應徵網站有漏洞，導致應徵者個資外洩近1年
思科近日傳出旗下的應徵網站有發現漏洞，導致應徵者的個人資料外洩。一位匿名資安研究人員發現了這個漏洞，並且通報思科。思科表示，清查後發現2015年8月至9月，以及2016年7月至8月期間，有不正常的連線狀況。在這段期間，應徵者的姓名、登入帳號、密碼、住址、電話等個人資料都會曝露在網站上面。目前思科已通知受影響用戶，建議他們修改帳號跟密碼，也向個人信用紀錄評分機構申請詐欺警訊服務，要求徵信公司在任何金融機構提出新增信用要求時，進行額外的身分確認步驟。更多新聞

紐約成網路攻擊風險最高的城市，臺北則是全球第11高
英國保險機構Lloyd與劍橋大學聯合共同發表2015～2025年城市風險指數報告指出，未來10年全球網路攻擊風險將損失2,941億元美元（約新臺幣9兆元），紐約目前是全球網路攻擊風險最高的城市，將損失約140億元美元（約新臺幣4,435億元），其次是洛杉磯、聖保羅、巴黎和倫敦。而且，這份報告指出臺北位居網路風險損失第11名的城市，未來將損失51億元美元（約新臺幣1,615億元）。該報告也建議，國家應該有能力保護關鍵基礎措施來阻止攻擊，也可以實施保險政策，加強對網路攻擊影響的抒解，並且有助於幫助災後回復的經濟。更多資料

Svpeng木馬偽裝App合法植入手機竊取銀行帳號，31萬Android用戶遭駭
卡巴斯基近日揭露，從7月以來已經有318,000位用戶感染了金融木馬Svpeng。這支木馬程式會隱藏在Google廣告網路服務AdSense的廣告中，尤其鎖定使用Android系統的Google Chrome使用者。Svpeng會偽裝成一個要求瀏覽器更新的應用程式，或是一個較受歡迎應用程式來說服用戶同意安裝，暗中植入惡意程式。木馬會要求用戶授予設備管理權限，藉此可讓駭客竊取用戶的銀行資訊和個人資料。目前卡巴斯基已向Google回報此問題，Google將會在最近Android更新版本中發布此漏洞的修補程式。更多資料

What's App將與臉書共享用戶資訊，英國資訊委員會強烈反對
英國資訊委員會於11月7日公開反對Facebook提出的資訊共享計畫。臉書為了派送廣告，從9月25日開始在Whatt's App上蒐集用戶相關資料，此舉引起英國政府強烈抗議。英國資訊委員會資訊專員Elizabeth Denham認為，擔心消費者無法得到適當的個資保護，將要求Facebook與Whatt's App共同簽屬承諾，需將個資利用情形告知用戶。目前Facebook先行停止對Whatt's App英國用戶蒐集資料的行為。更多資料

賴比瑞亞疑遭DDoS攻擊全國網站大斷線，兇手也是殭屍網路Mirai
一名英國Princes食品公司的資安專家Kevin Beaumont，從一個監控Mirai殭屍網路攻擊的推特帳號Mirai Attacks推文中發現，近日賴比瑞亞國家網路曾遭到Mirai殭屍網路的DDoS攻擊，導致整個國家的所有網站都無法連線，攻擊指令還將這次攻擊行動命名為Shadows Kill。Mirai曾在10月底攻擊美國網路服務商Dyn，造成許多知名網站無法瀏覽。但此次受害規模更大，攻擊的對象不只是單一網路業者，而是整個國家的網路。Kevin Beaumont認為，這類攻擊已足以影響整個國家網路運作，未來影響更令人擔憂。更多資料

Gmail驚報驗證程序有漏洞，駭客可盜取停用帳號的控制權
一名網路安全研究部落客Ahmed Mehtab發現，Gmail驗證機制有漏洞，恐讓駭客從中挾持停用帳號的電子郵件。除了能竊取用戶的帳號資料之外，甚至可以重新啟用來冒名收發信件。駭客可透過Gmail驗證程序申請獲取用戶信箱帳號的所有權，當Google另外向用戶發送電子郵件來確認時，由於用戶已停用導致無法收到確認信，駭客可以攔截到該封確認信，進而利用信中驗證碼來獲得帳號的所有權。更多資料

中國強化網路直播管理，新聞直播須先審後發
中國國家互聯網信息辦公室近日發布了《互聯網直播服務管理規定》，要求要在網路上直播新聞必須先取得資格，服務供應商必須針對新聞直播內容先審後發，也必須建立發布者的信用等級與黑名單，同時必須紀錄及保留直播內容60天。這份規定還要求，直播服務商在直播新聞時，也規定新聞直播商必須設定總編輯，提供公正、客觀且準確的新聞。此規定預計於12月1日開始實施。更多新聞

英國3家醫院系統感染病毒得斷網清除，上千病患被迫停止看診
英國林肯郡NLAG（Northern Lincolnshire and Goole NHS Foundation Trust）連鎖醫療體系旗下醫院系統感染病毒導致系統失效，包括3家位於Goole、Grimsby和Scunthorpe三地的醫院的系統受到影響。為了清除系統內的電腦病毒，醫院決定關閉內部網路，至少影響數千名病患無法看診，以及35件手術無法進行。NHS發言人證實了這網路感染事件，目前還在調查原因，但還不知遭何種病毒或惡意程式感染。英衛生部的發言人也表示，NHS已經組成緊急應變小組CareCERT，未來可以幫助醫院減少會被遭受網路攻擊的漏洞，並且可以立即採取行動降低攻擊流量。更多資料

英零售Tesco旗下銀行驚傳遭駭，2萬帳戶存款遭盜領
英國零售業Tesco旗下的銀行事業Tesco Bank傳出遭駭客攻擊，超過4萬個帳戶遭鎖定、2萬個帳戶被成功駭入，用戶存款遭到盜領。Tesco Bank目前已在官網道歉，並已暫停所有銀行用戶的線上交易以預防損害進一步擴大。該案件的調查工作已經由英國國家犯罪調查局（NCA）接手主導，初步推測應是犯罪組織所為，與國家級駭客或有特定政治主張的行動駭客無關。更多新聞

中國通過網路安全法案，限制傳訊服務不得匿名
中國第十二屆全國人大會議近日通過《中國人民共和國網路安全法》，其中第24條規定「網路營運商除了在替用戶辦理網路存取、域名註冊、固網、行動電話時必須要求用戶提供真實的身分資訊之外，即使只是提供訊息發布與即時通訊等服務，也都必須取得用戶的真實身分，否則不得提供相關服務。」
儘管中國政府解釋實名制有助於發展電子身分認證，推動不同身分認證間的互動，人權觀察組織（Human Rights Watch）批評，強制要求各種網路服務都必須使用真實身分將會使得人民噤聲，造成寒蟬效應。更多新聞