0213-0219一定要看的資安新聞

全球資安會議

受武漢肺炎疫情影響，臺灣資安大會與亞洲黑帽駭客大會延期，IBM宣布退出RSA大會

武漢肺炎（COVID-19）疫情持續影響國內外的科技界活動，繼巴賽隆納舉行的世界通訊大會（MWC）取消後，在臺灣，原訂3月中旬舉行的臺灣資安大會，今年首度移師展場更大的南港展覽二館，主辦單位在2月14日早上10點宣布，基於所有參展人士、觀展來賓及工作人員的健康安全考量，將延至8月12日到14日於原場地進行。

後續又有大型資安會議有異動，例如，黑帽亞洲大會（Black Hat Asia）2020原訂於3月31到4月3日於新加坡舉行，主辦單位也宣布延期，預計是延至秋天，但詳細日期及細節尚未公告。至於今年2月底在美國舊金山舉行的RSA大會，雖然照常在2月24日到28日舉行，但贊助商之一的IBM已決定取消參加，並指出員工的健康一直是公司最大考量，而目前已有多家贊助廠商取消參加該大會，包括美國和加拿大各一家廠商，以及6家中國廠商。更多內容　更多內容

系統安全、Mac惡意程式

Mac資安威脅首度超過Windows平臺

圖片來源／Malwarebytes

資安局勢不斷變化，早年的印象可能也需要改變，在個人電腦的平臺上，過去可能Mac面對的威脅比Windows少，然而，近年開始出現不同的答案。資安廠商Malwarebytes公布的最新報告發現，去年Mac電腦上的惡意及不安全程式成長4倍，且平均數量首度超過Windows電腦，這是根據他們蒐集2019年安裝該公司產品的商用及消費型裝置，將偵測到惡意（或不安全）軟體活動進行分析，所得出的其中一項調查結果。

研究人員認為，這可能是因為Mac電腦市占率上升，而使Mac電腦成為網路犯罪者的新目標。此外，macOS內建的安全防護，並不封鎖廣告軟體或潛在有害程式，而讓一些磁碟清理程式等灰色軟體進入電腦。更多內容

BEC詐騙

FBI年度網路犯罪報告指出，2019年度商業電子郵件詐騙的損失金額最高，占整體一半

圖片來源／FBI

美國聯邦調查局（FBI）旗下的網路犯罪投訴中心（IC3），在本周公布了2019年的網路犯罪報告，他們指出去年相關的總投訴案件為46.7萬件，可分成超過30種的網路犯罪類型，當中，商業電子郵件詐騙（Business Email Compromise，BEC）雖然不到2.4萬件，只占所有投訴案件的5%，但此類犯罪所造成的損失，高達17.8億美元，占去年網路犯罪損失總額的一半。此外，為了追回被騙的金額，FBI設立了Recovery Asset團隊，鼓勵受害者及早報案，就有更大機會追回資產，實際上，該團隊在去年已替受害者尋回總計逾3億美元。更多內容

FIDO

蘋果加入FIDO聯盟董事會，成無密碼登入生力軍

在Google、臉書、Amazon、三星、微軟、PayPal等科技大廠加入FIDO聯盟之後，蘋果在本月終於也正式加入，可望加速推動無密碼登入網站和App的願景。

在此之前，以WebAuth標準或FIDO 2協定為基礎的無密碼登入而言，只有Android陣營支持，欠缺蘋果iOS平臺的支持，讓一些企業或開發商對部署FIDO2/WebAuthn-based無密碼登入，抱持觀望態度。隨著蘋果在去年底於iOS 13.3與iPadOS 13.3中的Safari，首度支援相容於NFC、USB及Lightning FIDO2等規格的實體安全金鑰，現在也跟進加入FIDO聯盟，這也讓外界認為，將可加速FIDO應用的發展。更多內容

系統安全、SMBv1

微軟督促Exchange管理員關閉SMBv1

微軟Exchange團隊再度提醒，最近幾年有眾多的駭客行動，都針對SMBv1展開攻擊，包括Emotet、TrickBot及WannaCry等，因此他們再度呼籲，舉凡在Exchange 2013/2016與2019啟用SMBv1的用戶，最好將它關閉，以防範近期的各種攻擊行動，同時他們提供相關建議作法，協助用戶自我檢查SMBv1是否開啟，以及如何關閉。此外， Exchange Server 2010將在今年的10月13日終止支援。更多內容

個資外洩

Equifax個資外洩案元兇可能是他們？美國司法部指控中國解放軍盜走1.5億名美國民眾個資

圖片來源／擷取自美國司法部官方網站

針對美國第三大消費者信用報告公司Equifax，在2017年爆發的重大個資外洩案，被盜走了1.5億名美國消費者的個人資料，近日美國司法部根據已完成的調查，指控這起事件是來自中國解放軍第54研究所的吳志勇、王乾、許可及劉磊所為，他們在2017年駭進Equifax的電腦網路，攻陷了Equifax未修補的Apache Struts網頁框架漏洞，並取得登入憑證以在該公司企業網路偵測，在系統上搜尋機密或個人資訊，並伺機將檔案傳送到位於美國之外的伺服器，估計總計執行了9千次的查詢，取得了近半數美國人的個資。更多內容

IE漏洞

微軟修補99個安全漏洞，其中一項IE零時差漏洞影響最大

微軟本月例行性的漏洞修補更新已發布，有11個屬重大漏洞。特別要注意的是，一項上個月已被成功利用的IE零時差漏洞CVE-2020-0674，波及多個Windows版本的IE 9/10/11，由於微軟今年1月已終止Windows Server 2008與Windows 7的延伸支援，代表這些過時的作業系統將無法取得最新修補，對於尚未升級至新版作業系統的用戶來說，影響最為重大。更多內容

網路釣魚

近日流傳LINE推出全新2階段密碼認證是假的，當心以強化安全為名的網釣攻擊！

圖片來源／165反詐騙

發生多起帳號盜用的事件之後，民眾也越來越瞭解其重要性，但也要注意以強化帳號安全為名的網釣攻擊，近日165反詐騙警告，在即時通訊軟體LINE上，瘋傳一段訊息，內容是：「最近有很多LINE帳號被駭客盜取，LINE推出全新2階段密碼認證，請點選下列URL提高帳號安全」，但實際上該連結所在的網頁是詐騙網站，警政署呼籲民眾不要上當，並指出該公司沒有發送這則資訊，同時也說明其安全性設定都是在App中操作。過去，也有駭客是用假Windows 10重大更新的電子郵件，附件則是暗藏看似JPG檔的勒索軟體。更多內容

物聯網資安、UL認證

虎頭山物聯網創新基地設資安檢測中心，UL IoT安全評等認證將有在地化檢測服務

圖片來源／財團法人電信技術中心

由國家發展委員會推動的「亞洲‧矽谷─強化物聯網資安防護裝備」計畫，近日有了新的進展，於虎頭山創新園區打造物聯網資安聯合檢測中心，由財團法人電信技術中心負責執行，偕同中華資安國際，以及身為該園區資安物聯網中心營運團隊──大同世界科技與互聯安睿資通，共同成立，後續期望能聚集多家檢測廠商進駐，提供不同服務，讓國內業者能得到一個全方位的解決方案。特別的是，全球產品安全測試認證機構UL也加入這次合作，將輔導檢測業者引進UL IoT安全評等，目前此評等服務將由電信技術中心協助，他們的副執行長林炫佑指出，日後國內業者產品若要取得相關認證，在臺灣就能做，不用像過去只能送到國外進行。以國家發展委員會的目標與計畫來看，是希望這個檢測中心能提供從設計、製造到產品輸出的資安服務。更多內容

更多資安動態
●Dell電腦內建管理軟體SupportAssist 爆權限升級漏洞
●金融木馬Emotet新增利用Wi-Fi 散布的能力
●美德情報單位秘密掌控加密設備龍頭數十載
●思科可能即將收購FireEye
●美國：有證據顯示華為設備含有後門
●Windows安全更新版本造成用戶設定被重設、安裝時凍住
●Google Project Zero指出，三星保護手機的作法反而讓Android不安全