資安一周第162期：為落實個資保護監管責任及跨機關協調，行政院建立個資保護執行聯繫機制

9/2-9/8必看資安新聞

＃法規遵循  ＃個資保護

為落實個資保護監管責任及跨機關協調，行政院建立個資保護執行聯繫機制

行政院在8月公布「行政院及所屬各機關落實個人資料保護聯繫作業要點」，當中確立公部門的個資保護執行聯繫機制，由一位政務委員擔任召集人，三位為協同召集人，國發會擔任幕僚作業單位，督促各主管機關落實對各事業的個資監管措施，包括資訊系統保護、個資外洩事件通報及行政檢查等。詳全文

＃勒索軟體攻擊

上櫃貿易百貨業關中公告子公司遭駭

近期國內餐飲業與零售業接連遭勒索軟體攻擊事件，國內上櫃貿易百貨業關中在8月30日公告，旗下美國子公司Grand Home Holdings遭受駭客網路攻擊。值得注意的是，隨著櫃買中心明訂上櫃與興櫃公司也應與上市公司一樣要主動揭露資安事件重大訊息，近期已有翔名與關中因資安事件發布公告。詳全文

＃勒索軟體攻擊  ＃食品供應鏈

勒索軟體鎖定農業與食品製造業下手，FBI特別發出公告呼籲各界重視

氣候變遷導致食品生產面臨更多挑戰，再加上美中貿易大戰持續延燒的情況下，如今勒索軟體駭客也來攪局，對於糧食、肉品、各類加工品的供應，更加雪上加霜。美國聯邦調查局（FBI）於9月1日發出警告，表示勒索軟體駭客目前鎖定食品、農業相關產業大肆發動攻擊，呼籲業者要加強有關的資安防護措施。詳全文

＃漏洞攻擊  ＃協作平臺

美國督促各大組織修補Atlassian Confluence漏洞

美國網戰司令部（US Cyber Command）於9月3日警告，駭客正在大規模掃描Atlassian Confluence安全漏洞CVE-2021-26084，呼籲用戶應儘速修補。

這項漏洞Atlassian甫於8月25日修補。但越南資安研究人員Tuan Anh Nguyen在8月31日警告，他已經看到針對該漏洞的大量掃描行動，隔天則有其他的研究人員則公布細節與概念性驗證攻擊程式。詳全文

圖片來源：美國網戰司令部

＃漏洞攻擊

思科修補NFV基礎架構軟體重大漏洞

9月1日，思科針對網路虛擬化設備Cisco Enterprise NFV Infrastructure Software（NFVIS）的重大漏洞CVE-2021-34746，推出4.6.1版更新軟體。這項漏洞CVSS風險層級達到9.8分，一旦遭到濫用，攻擊者可能得以接管設備。

本漏洞最早由Orange Group的研究人員Cyrille Chatras發現。思科尚未發現使用此漏洞的惡意活動，但根據他們的觀察，網路上已出現概念驗證（PoC）程式。詳全文

圖片來源：思科

＃漏洞攻擊  ＃藍牙

藍牙BrakTooth漏洞波及逾1,400款產品

新加坡科技設計大學（Singapore University of Technology and Design）揭露藍牙漏洞BrakTooth，當中集結了近20種不同的安全漏洞，這些弱點有可能造成服務阻斷或遠端程式攻擊。基本上，這些漏洞存在於13款藍牙晶片，據保守估計，將會影響1,423款產品，從電腦、手機到鍵盤等，全球可能有數十億裝置，都可能因此而有潛在的安全風險。

關於這批漏洞，研究人員已通報受到影響的業者，並獲得Espressif System及小米的抓漏獎勵。詳全文

圖片來源：新加坡科技設計大學

＃惡意軟體攻擊  ＃Proxyware

惡意程式牟利的方式有了新手法！不只會偷取算力和資料，還會竊取網路頻寬

資安業者思科於8月31日提出警告，指出他們發現攻擊者利用名為Honeygain的網路頻寬共享軟體Proxyware，來暗中賣掉Windows電腦的網路頻寬，而且，攻擊者也會安裝XMRig挖礦軟體，以及瀏覽器密碼復原工具ChromePass或WebBrowserPassView，來利用這些受害電腦賺取更多錢。詳全文

＃資料外洩  ＃武漢肺炎

印尼防疫網站未做好資料庫防護，百萬民眾資料外洩

資安廠商vpnMentor在7月中旬，於印尼政府的防疫管理網站eHAC（eHealth Alert Card），發現未做好防護的Elasticsearch資料庫，資料量為2GB，影響約130萬人。但該公司通報後，一個月後才得到印尼政府回應，資料庫亦加上防護，印尼當局亦於8月31日表示將調查此事。

eHAC是印尼政府開發，用於武漢肺炎接觸追蹤App的運作，當局要求所有入、出境的旅客，以及民眾安裝使用上述的追蹤App。此次資料庫未做好防護，可能曝光的資料包括個人可供辨識的身分資訊（PII）、旅行資訊、醫療記錄，以及武漢肺炎檢測資訊等。詳全文

＃勒索軟體攻擊

勒索軟體AvosLocker已有7個受害組織，部分機密文件已被公開

一款名為AvosLocker的勒索軟體，約自6月底被發現，而引起資安人員的關注，解析這款勒索軟體的攻擊行為。而到了最近，資安業者Palo Alto Networks指出，目前全球各地至少有7個組織受害，攻擊者開口索討的贖金，從5萬美元到7.5萬美元不等，而且，已有部分文件已經被駭客公開，當中含有組織私有文件，以及能識別個人的資訊。詳全文

＃漏洞攻擊  ＃Exchange

研究人員揭露Exchange Server新漏洞ProxyToken，恐導致電子郵件被竊取

越南VNPT ISC研究人員Le Yuan Tuyen，偕同趨勢科技Zero Day Initiative，揭露名為ProxyToken的Exchange Server漏洞（CVE-2021-33766），CVSS風險層級為7.3分。攻擊者一旦利用此漏洞，能在未經授權的情況下，在任意使用者的信箱竄改組態，進而複製這個用戶的所有郵件，並轉寄到攻擊者指定的信箱。研究人員通報微軟後，該公司於7月的例行修補提供更新軟體。詳全文

更多資安動態

●2020年美國學校受到勒索軟體攻擊達77次
●德國要求手機廠商提供7年安全更新惹議
●美國國安局準備因應量子電腦威脅