資安一周（0704-0710）民進黨官網遭駭後已復原。澳洲將測試在登機流程導入臉部辨識技術

7/4～7/10一定要看的資安新聞

民進黨官網現已復原，但網站安全性的議題還是引人憂心

對於3日上午民進黨中央黨部的網站遭入侵，網站上出現簡體字樣的嘲諷語句而緊急關閉網站一事，在4日晚間10點，該網站已經恢復正常運作。

5日早上，我們聯繫到民進黨中央黨部媒創中心主任楊緬因，他表示，他們的網站已在7月4日晚間10點恢復正常運作，不過這次被有心人士侵入後臺的詳細資訊，有待進一步整理才會揭露。不過，此事件不僅影響國內執政黨的顏面，也讓我們更要警惕的是，臺灣政府、教育與醫療機構的網站，是否也會持續遭遇到同樣的威脅。更多內容

澳洲雪梨機場開始測試以臉部辨識報到、登機作業

持護照登機太麻煩，澳洲雪梨機場及澳洲航空5日宣佈將展開以臉部辨識取代護照查驗的測試。

這是雪梨機場去年宣佈5年自動化通關計畫的一部分，旨在取代過去仰賴紙本護照作業不便，澳洲航空是第一家合作夥伴。首階段從雪梨機場搭乘澳洲航空特定國際航班的旅客，將開始測試以臉部掃瞄完成報到、行李託運、進入機場貴賓室及登機。更多內容

小心! 巨集病毒取代電腦桌面捷徑以植入後門程式

趨勢科技研究人員發現一隻巨集病毒會感染、並綁架受害電腦的特定桌面捷徑，用以下載後門程式。

趨勢科技研究人員是在一封包含圖片檔的俄文文件發現這隻巨集惡意程式。它先要求使用者執行巨集以開啟整份文件，等用戶照做後，就會尋找知名App的桌面捷徑檔或快速啟動功能，包括Skype、Google Chrome、Mozilla Firefox、Opera及微軟IE等加以感染並取代指向的連結。更多內容

社群網站詐騙歪風吹向Instagram，而且日益猖獗

臉書、Twitter、Instagram、LinkedIn等社群網站，已經與我們的生活連結，甚至隨著實名制度，這些網站的帳號，形同代表個人，變成與這個人溝通的管道，不少人甚至將社群網站應用於商業活動的往來之中。但使用者帳號裡的內容保護，以及衍生的帳號詐騙、破解等，也隨之成為嚴重的問題。

例如，最近在點選了假冒名人認證的藍勾勾信件後，來自馬來西亞的華語創作歌手四葉草，她的Instagram帳號便遭土耳其駭客入侵，她已經前往警局報案，並開立備用Instagram帳號，請網友聲援向Instagram公司反映，試圖取回原有的帳號。更多內容

研究：2/3的網拍二手記憶卡殘留前任用戶資料，小心個人隱私曝光

專門評論科技產品與服務的Comparitech今年委託英國赫特福德大學（University of Hertfordshire）進行二手記憶卡的調查，他們自eBay與其它線上市集購買了100張二手的SD與MicroSD記憶卡，發現其中有65張仍然含有前任用戶的個人資料或機密資料。

根據研究，在這100張二手記憶卡中，有36張記憶卡完全沒有處理原本所儲存的資料，有29張已被格式化，但仍然能夠回復記憶卡上的資料，只有25張是利用資料移除工具成功地覆蓋了儲存區域。更多內容

WordPress釋出安全更新，修復可從外部刪除檔案的程式碼執行漏洞

資安公司Ripstech在7個月前向WordPress資安團隊回報，一個允許外部刪除檔案的程式碼執行漏洞，但WordPress卻音訊全無，即使在5月中推出的4.9.6版本，也不見修補該漏洞，Ripstech於是在6月26日怒公開該漏洞細節，WordPress只好在7月5日緊急釋出了4.9.7安全維護版本，並且強烈建議用戶，凡使用3.7到4.9.6版本的WordPress都應馬上更新。

駭客要使用這個任意程式碼執行漏洞，需要先取得編輯以及刪除媒體的權限，Ripstech提到，只要能獲得操作權限提升就能使用該漏洞，所以駭客可以接手像是作者這類低權限的帳戶，或是透過其他漏洞以及錯誤設定來獲得進一步的檔案編輯權限。這個漏洞的嚴重性在於，駭客能夠移除任何WordPress的安裝檔案，包括允許讓駭客抹除整個WordPress安裝，而當網站沒有適當的備份，將可能造成不可恢復的災難性後果。更多內容

駭客透過加密貨幣社群攻擊macOS用戶

安全研究人員Remco Verhoef最近指出，他觀察到多起鎖定macOS的惡意程式攻擊，而該駭客則是透過Slack或Discord的加密貨幣社群來散布惡意程式。

Verhoef表示，駭客在Slack與Discord上的加密貨幣社群中偽裝成管理員或關鍵人物，並貼出一個腳本程式要求大家執行，不小心上當的Mac用戶執行後就會下載並執行一個惡意程式。更多內容

針對世足賽賽局熱潮，攻擊者推出可追蹤球賽手機應用程式，藉此發動攻擊

在2018年世界足球賽開打之前，趨勢科技、Sophos、ESET等資安廠商，不約而同提醒觀眾，許多以提供賽事影音串流服務的網站，可能暗藏惡意程式，要小心防範，而這樣的警告如今成真。根據最近Symentec指出，以色列出現一款名為Golden Cup的Android手機應用程式，在這個Golden Cup手機App的介紹網頁上，表面上使用者可以瀏覽各隊基本資料、戰績、以及能觀看世界盃的照片等功能，但Symentec卻發現，它會背地裡與C&C中繼站連接，伺機發動攻擊。

這款App是含有攻擊目的的交友軟體GlanceLove變種，後者是巴勒斯坦組織哈馬斯（Hamas）針對以色列國防軍隊（Israeli Defense Force）士兵發動攻擊之用。但攻擊者似乎因應世足賽，倉促推出變種Golden Cup，目標也擴及到以色列的一般民眾。顯示攻擊者針對時下熱門焦點，改變攻擊標的。更多內容

劍橋分析事件爆發後，臉書仍舊提供61間公司使用者個資的存取權

今年3月，臉書遭爆料洩露了超過8千7百多萬用戶個資，並被劍橋分析資料分析公司（Cambridge Anaytica）非法取用一事，造成了人心惶惶，甚至臉書也在美國多家大型媒體登報道歉，執行長Mark Zuckerberg更到美國國會說明。

即使臉書強調，早在2015年發現後，便立即要求劍橋分析刪除相關資料，以保護用戶個資。但根據華盛頓日報的報導，在最近臉書送交美國國會的一份747頁報告內容指出，他們在發現劍橋分析濫用用戶個資後，仍以緩衝期為由，針對AOL、Nike、United Parcel Service（UPS），以及Hinge約會App等60家廠商延長存取用戶個資的權限，為期長達6個月，而Serotek更取得了8個月的展延。更多內容

英國健保系統因為程式錯誤編碼資料，意外洩漏15萬名病患的機密醫療資料

醫療軟體開發商TPP(The Phoenix Partnership）主動告知英國健康與社會照護資訊中心NHS Digital，由於其系統設計存在缺陷，導致15萬名病患的機密醫療資料，在違反意願的情況下，被分享用於醫療研究上，TPP對這個從2015年就存在的問題道歉，這項錯誤現在已經被修正，NHS Digital也發送信件通知家庭醫生（General Practice，GP）與每個受影響病患。

NHS Digital最近承認因為系統錯誤處理病患拒絕分享醫療資料的資訊，使得GP系統從2015年3月至2018年6月中，15萬名病患選擇自己的醫療資料只能用於直接治療，不得用於其他用途的資訊，未正確發送到NHS Digital的系統，導致NHS Digital意外的將這些資料全部用於臨床調查以及研究中。更多內容