資安一周第147期：臺灣入口網站蕃薯藤被駭資料流入駭客論壇

5/20-5/26 一定要看的資安新聞

＃資料外洩

臺灣入口網站蕃薯藤被駭資料流入駭客論壇

許多臺灣用戶曾經使用過的入口網站，竟傳出個資在駭客論壇流竄。密碼外洩查詢網站Have I Been Pwned（HIBP）近日接獲臺灣威脅情報研究人員Still Hsu通報，駭客論壇出現來自臺灣入口網站蕃薯藤的外洩資料，而究竟有多少資料外洩？HIBP表示，該資料庫內含超過1,300萬名用戶資料。

HIBP進一步指出，這批資料的外洩時間點為2013年6月，內含13,258,797筆電子郵件，以及這些帳號的用戶名稱、姓名、生日、電話號碼、地址，以及未加鹽的密碼MD5雜湊值。詳全文

圖片來源：Still Hsu

＃勒索軟體攻擊  ＃醫療機構  ＃資料外洩

愛爾蘭健康服務管理署遭勒索軟體攻擊，駭客要脅將出售民眾個資

愛爾蘭健康服務管理署（HSE）於5月14日證實，他們遭勒索軟體攻擊，勒索近2千萬美元，此事引起當局重視，並表明不會支付贖金。當地國家網路安全中心（NCSC）介入調查，發現駭客組織Conti在成功攻擊HSE後，亦企圖對其主管機關衛生部（DoH）下手未果。而對於HSE，駭客近期有了新的動作──他們在19日公布解密金鑰，但強調若不願付贖金，將會出售或是公布竊得的資料。

根據新聞網站SiliconANGLE報導，駭客宣稱握有HSE超過700GB資料，涵括病患住址、電話號碼，以及員工合約、薪資、財務資料。駭客公布了27個檔案，而這些資料與12人有關。詳全文

＃關鍵基礎設施  ＃供應鏈攻擊

險被水中下毒的佛州淨水廠事故，外包商也被駭

今年2月，佛州奧德馬爾（Oldsmar）市淨水處理廠員工發現，有不明人士入侵公司網路，企圖調高淨水過程的氫氧化鈉，使其濃度調高到正常值的100倍，幸好及時修正而未釀成大錯。資安業者Dragos著手調查後發現，該淨水廠的外包商也被捲入攻擊事件。

該資安業者指出，在淨水廠遭到攻擊之前，其中一家營建基礎架構外包商的WordPress網站上，出現惡意程式碼，攻擊者當時用這個網站來進行水坑式攻擊，並從連向該網站的相關系統收集資料。此外，淨水廠被駭事故當日，也出現從奧德馬市存取該網站的異常連線。詳全文

圖片來源：Dragos

＃供應鏈攻擊  ＃資料外洩

受SITA供應鏈攻擊波及，印度航空外洩450萬名乘客資料

全球航空業知名IT服務供應商國際航空電訊集團（SITA），在3月坦承，旗下專營航空公司乘客處理系統的子公司Passenger Service System（PSS）遭到駭客入侵，此事揭露後，多家航空公司隨即發出聲明，表明受影響的程度。但直至5月19日，印度航空（Air India）才宣布自己是受害者，約有450萬名乘客的資料外洩。

印度航空表示，他們在2月25日就收到SITA通知，但到了5月才確認所有受到影響的旅客，這些人是在2011年8月26日至2021年2月3日之間，向印度航空登記有關資料。詳全文

＃漏洞攻擊  ＃作業系統

針對甫修補的Windows 10漏洞，研究人員公布概念性驗證攻擊程式

研究人員Axel Souchet於5月22日，在GitHub發布概念性驗證攻擊程式，針對微軟甫於5月定期修補（Patch Tuesday）公布的重大漏洞CVE-2021-31166而來，使得資安社群紛紛呼籲Windows 10用戶，應儘速修補。

該漏洞與HTTP協定堆疊有關，攻擊者可藉由傳送特製的封包，來濫用這項漏洞，而此漏洞一旦遭到濫用，亦可能具有蠕蟲的大量散播與感染能力。受到這項漏洞影響的範圍，包含了所有的20H2、2004版的Windows 10，以及Windows Server，且無論是Arm或x86架構的電腦都存在相關風險。詳全文

＃漏洞揭露  ＃物聯網裝置

Eufy監視攝影機的臭蟲導致部分用戶隱私曝光

德國媒體MacErkopf於5月17日報導，中國安克創新（Anker）旗下的智慧家庭暨保全品牌Eufy，最近出現臭蟲，使得監視器用戶透過Eufy Security行動程式，竟能看到其他用戶家裡的監視畫面，包括即時與儲存的畫面。

針對此事Eufy也於同日做出回應，表示當天伺服器更新的軟體存在臭蟲，而該公司於2小時內修復，他們說，只有0.001%的用戶受到影響，同時也未影響嬰兒監視器或智慧鎖等其它產品。詳全文

＃漏洞揭露  ＃Android

甫修補的Android漏洞已有4個被用於攻擊行動

Google於5月初公布Android安全性公告，修補約50個安全漏洞。該公司近期再度更新公告內容，原因是有4個漏洞可能已經遭到濫用。Project Zero資安研究員Maddie Stone指出，相關漏洞皆存在於GPU，包含兩個源自高通GPU的CVE-2021-1905與CVE-2021-1906，另外兩個則是存在於Arm Mali GPU中的CVE-2021-28663，以及CVE-2021-28664。Maddie Stone認為，這些漏洞很可能被用於目標式攻擊。詳全文

圖片來源：Maddie Stone

＃雲端配置不當  ＃Android

23款Android應用程式雲端配置錯誤，1億用戶資料曝險

雲端服務配置錯誤的現象，很可能導致用戶存放的資料面臨曝光的風險。資安業者Check Point發現，有23款Android應用程式所使用的第三方雲端服務配置錯誤，可能讓全球超過1億的Android用戶個資曝險，包括13款程式的即時雲端資料庫缺乏密碼保護，同時，還有一些程式的開發者，把登入雲端服務的帳號密碼直接置放在程式碼內。詳全文

＃漏洞揭露

藍牙的核心與Mesh規格含有7個安全漏洞，允許駭客冒充合法裝置

藍牙技術聯盟（Bluetooth SIG）在5月24日，揭露了7個有關藍牙規格的安全漏洞，存在於核心及Mesh Profile規格中，將允許駭客冒充合法裝置，這項弱點波及Android開源專案、思科、Cradlepoint、英特爾、Microchip，以及紅帽的相關產品。詳全文

＃法規遵循  ＃金融產業

金管會揭露電支條例子法重點驗證機制

新電子支付機構管理條例將在7月1日正式上路，對此，金管會與央行近日皆對外預告需配合修訂的授權相關子法，其中，對於電子支付的部分，要求強化電子支付機構的用戶身分確認機制，相關規範將比照銀行數位存款帳戶的分類，其身分確認強度亦分為一到三類。詳全文

更多資安動態

●ProxyLogon公布5分鐘後，駭客就尋找攻擊目標
●Google強化Chrome密碼防護功能，能一鍵改掉外洩密碼
●微軟開源SimuLand專案，可用來部署模擬網路攻擊