資安一周第20期：投票當天中選會遭DDoS攻擊流量達9Gbps。南韓KT電信公司大火造成電話與網路大癱瘓

1129-1205一定要看的資安新聞

＃DDoS攻擊　＃選舉投票

行政院資安處：1124投票當天，中選會遭到DDoS攻擊，流量一度達到9Gbps

圖片來源／翻攝自中選會官方網站

在11月24日舉辦地方公職選舉以及公投選舉當天，傳出中選會網站遭到DDoS攻擊事件，行政院資安處處長簡宏偉表示，當天上午6點56分至7點01分，他們發現9Gbps來自境外的DDoS（分散式阻斷式）攻擊流量。在第一時間就已經透過中華電信的流量清洗方式，順利化解攻擊流量，這一波攻擊未影響中選會官網。由於投票最擔心受到不正常的外力干擾，以致於影響選舉結果，簡宏偉強調，中選會投開票的計票系統，則是採用獨立區隔的內網形式，並沒有受到DDoS攻擊的影響。更多內容

＃實體安全　＃南韓電信失火　＃網路中斷

南韓KT電信公司火災造成電話與網路大癱瘓

圖片來源／KT Corporation

韓國電信公司（KT Corporation）位於首爾西部的電信大樓，在11月24日發生火警，導致該處內部電纜受損嚴重，影響當地西大門區、龍山區、麻浦區與中區的用戶，電話與網路無法使用，且連網的各式應用也都受影響，像是信用卡支付、ATM與防盜系統等，都無法正常運作，嚴重影響個人生活與商家業務，也帶來治安問題，斷網危機將成為依賴資通訊技術的國家級的災難。

根據Korea Times報導，這場大火從上午11點開始，歷經10小時才撲滅。搶修過程中，KT也緊急架設行動基地臺來因應，但完全恢復要一個星期的時間。臺灣在2013年，也曾發生是方電訊大樓機房失火，造成全臺網路大當機，而這些事件都突顯了資安上的實體安全問題，千萬不容忽視。更多內容

＃駭侵事件　＃Dell

Dell遭駭客入侵，強制重設所有官網客戶密碼

Dell於本周指出，該公司在11月9日於內部網路中偵測到非授權的破壞性行為，且駭客企圖竊取Dell.com的客戶資料，雖然初步認定駭客空手而返，但仍強制該站客戶重設密碼，以防萬一。根據Dell的調查，駭客企圖竊取的客戶資訊，包括姓名、電子郵件帳號，以及雜湊密碼，儘管駭客可能刪除了Dell網路上的某些客戶資料，不過並無證據顯示駭客盜走了這些資料。更多內容

＃資料外洩　＃飯店服務業

史上第二多！Marriott飯店旗下喜達屋客戶資料庫遭駭，5億住客資料外洩

全球最大飯店集團萬豪國際（Marriott）上周公佈，集團旗下喜達屋（Starwood）連鎖包括W Hotels、喜來登、威斯汀、艾美等知名飯店的客戶資料庫入侵，恐已導致5億住客資料外洩。今年9月8日萬豪內部安全系統發出警示，顯示旗下喜達屋飯店在美國的客戶預約資料庫遭未授權存取並將之加密。在外部安全廠商協助下，萬豪於11月19日已經成功解密。該飯店進一步研究發現，喜達屋的網路在2014年即遭駭，駭客複製取走從2014年直到今年9月初的客戶資料。萬豪飯店已經報警並通知主管機關，同時從11月30日起已陸續透過電子郵件通知受到影響的客戶。更多內容

＃安全性弱點　＃Kubernetes

Kubernetes爆重大漏洞！不法人士可取得管理員權限，竊取機敏資料、癱瘓企業應用

近期Kubernetes爆出資安漏洞，該產品安全團隊表示，近日在Kubernetes API Server內存在權限擴張漏洞，目前開發團隊已經發布新版修補。紅帽雲端平臺副總裁Ashesh Badani表示，此權限擴張漏洞的影響非常重大，可讓不法人士在任何運算節點、Kubernetes Pod取得管理員權限，駭客可以盜取機敏資料、注入惡意程式碼，或者癱瘓企業正式環境內的應用程式。而紅帽使用Kubernetes作為核心調度引擎的產品線，包含容器平臺OpenShift、OpenShift Online、OpenShift Dedicated皆受該漏洞影響，他們也已經釋出更新修補，並且上傳給受該漏洞影響的企業用戶。更多內容

＃PHP　＃網站程式語言升級

PHP 5網站技術支援到期，恐將成為資安孤兒

PHP 5將在2018年12月31日邁向終點，但是，全球與臺灣企業網站升級速度仍緩慢，企業必須先意識到這樣的風險存在。目前，PHP是全球網站伺服器端使用率最高的程式語言，但問題是，現在臺灣仍有5或7成以上的網站，是使用PHP 5，甚至還有使用PHP 4的現象存在。假若駭客未來發現舊版漏洞，將面臨無以修補的狀況，致使企業網站存在潛在安全風險。而這樣的現象，似乎也反應出不少網站的態度，對於網站程式語言中止支援的漠視。更多內容

＃IoT攻擊　＃印表機濫用

印表機攻擊再起？駭客控制5萬臺印表機推出廣告列印服務

圖片來源／翻攝自Printeradvertising

近期傳出兩起鎖定印表機的攻擊與服務，其中一起控制了5萬臺網路印表機，並印出了他喜愛的YouTube頻道—PewDiePie的廣告來支持，並宣稱已經找到80萬臺可入侵的印表機。第二起則是直接推出印表機廣告列印服務，宣稱只要250美元就能協助客戶在全球的印表機上列印出廣告文宣。資安專家則建議，不管是企業或個人都不要讓印表機連上公開網路，最好定期更新印表機韌體，企業則應額外部署防火牆或限制以VPN連結印表機，以免成為相關攻擊行動的受害者。更多內容

＃FIDO線上身分識別　＃生物辨識技術

FIDO聯盟登臺，無密碼式線上身分識別發展受企業及政府關注

近年線上身分識別技術與安全的發展熱烈，如何帶動臺灣業者與政府部門投入應用，並與國際連結也勢在必行。在11月30日，FIDO（Fast IDentity Online）聯盟與2015年即加入的本土業者神盾公司（Egis），雙方合作於臺北主辦了2018 FIDO Taipei Seminar，現場並邀集產業與政府專家，共同探討未來的無密碼識別方式，如何提供給消費者更安全、更便捷的使用體驗。

為促進新世代線上身分識別技術的發展，我們看到在臺灣其實有不少國內外業者正積極推動，他們也以自身經驗分享不同應用經驗。其中，臺灣某銀行已開始為其行動銀行App導入FIDO解決方案，也有一家證券業也正在導入。甚至是資料中心與旅館業，以及IoT應用所面對的安全問題，都有案例。這讓我們瞭解到，新世代身分識別技術在不同領域與面向的廣泛應用。更多內容

圖片來源／FIDO Alliance

＃個資竊取　＃惡意廣告

惡意廣告攻擊行動在48小時內挾持3億次的瀏覽

專門挖掘不法廣告行為的Confiant本周指出，他們在11月12日觀察到大規模的惡意廣告（Malvertising）攻擊行動，駭客於48小時內挾持了3億次的行動瀏覽期間。這類的攻擊行動，通常是先於合法的線上廣告或網站上植入惡意程式，一旦使用者造訪這些網頁，就會被迫轉移到其他惡意網頁，秀出詐騙廣告以引誘使用者上當。例如駭客偽造了Amazon會員的獎勵專案，或是被引導到成人網站上，主要用意在於騙取使用者的個人資料，包括電子郵件帳號、收入或地址等。更多內容

＃點擊詐欺　＃行動App

獵豹移動8款行動App遭指控詐騙數百萬美元獎勵金

BuzzFeed News本周引用研究機構Kochava的調查數據，指出8款與中國獵豹移動有關的行動程式涉嫌廣告的點擊詐欺（Click fraud），詐騙金額可能高達數百萬美元。根據報導，這些程式先是取得了權限以得知裝置上所下載的新程式，當察覺當中的某些程式具備下載獎勵時，即會傳送偽造的點擊與程式歸因資訊以獲得獎勵。程式開發人員所提供的下載酬金自0.5美元到3美元不等，估計它們至少冒領了數百萬美元。此一手法的主要受害者為那些真正該領得獎勵的廣告網路，另一方面，使用者的裝置也會因為程式於背景中的活動太頻繁而加速電力損耗。更多內容

更多資安動態

●莫斯科纜車系統剛上線就染上勒索軟體
●德國耳機業者誤將憑證置入軟體，陷用戶於安全風險
●Elasticsearch伺服器配置不當，8千萬美國民眾資料外洩
●駭客入侵4.5萬台路由器，要為NSA攻擊工具開門，百萬PC和行動裝置恐成目標
●印度再破獲假冒微軟、蘋果及Google的技術支援詐騙據點
●Google遭7國消費者組織指控追蹤用戶位置，違反GDPR
●美國指控伊朗駭客散布勒索軟體SamSam，並斬斷駭客金流
●【升級PHP7與強化網站防護成焦點】不論是否升級至新版環境，PHP 5網站都不能坐以待斃
●開到哪都要追蹤，中國要求境內電動汽車分享位置資訊
●美國知識問答社群網站Quora驚傳1億用戶個資遭駭
●不肖app以健康減重名義，誘騙iPhone 用戶掃指紋刷卡
●猜猜那個國家擁有的FIDO認證數量最多？答案竟是韓國！
●萬事達卡與微軟聯手，將推新的數位身分驗證管理及應用
●中選會證實九合一大選網站受到攻擊，強調未波及計票結果
●FBI與Google聯手破獲上千萬美元的詐欺廣告犯罪集團
●WebEx Meetings漏洞沒補好，思科再補一次
＃資安生態圈
●微軟發表Azure Dedicated HSM，讓企業於雲端託管加密金鑰
●英特爾開源加密工具，訓練深度學習模型也不怕敏感資料外洩
●【re:Invent2018】AWS預覽雲端安全管理服務Security Hub
●微軟開源同態加密函式庫SEAL