| 資料外洩 | WordPress | 供應鏈攻擊 | 網路釣魚攻擊
逾39萬筆WordPress帳密遭竊，攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透
雲端監控服務業者Datadog指出，他們發現新一波鎖定學術研究員與資安人員的攻擊行動，駭客已從中竊得逾39萬組帳密資料，研究人員研判，這些資料應該是WordPress帳密
2024-12-17
| 供應鏈攻擊 | Solana | JavaScript SDK
JavaScript軟體開發套件Solana Web3.js遭駭，從開發人員電腦竊走18萬美元加密貨幣
本週JavaScript軟體開發套件（SDK）Solana遭遇供應鏈攻擊引起高度關注，Solana開發團隊察覺後於數小時內撤下惡意版本，但仍有開發人員受害，目前已知有攻擊者因此搶奪18.4萬美元加密貨幣
2024-12-06
| Rackspace | 資料外洩 | 供應鏈攻擊 | 飛立德 | ScienceLogic | 零時差漏洞
Rackspace內部系統遭駭客侵入，問題出在他們採用的第三方應用程式
根據媒體The Register報導，雲端運算平臺Rackspace內部使用的監控軟體含有零時差漏洞，導致Rackspace管理憑證及企業客戶資料外洩
2024-10-01
資安業者Checkmarx警告，過去一年多來駭客持續散布大量惡意npm封包，鎖定Roblox開發人員發動攻擊
2024-09-03
| GitHub | PAT | PyPI | PyPA | Python | Python軟體基金會 | 供應鏈攻擊
PyPI套件共享平臺管理者不慎曝露的GitHub令牌恐波及Python、PyPI、Python軟體基金會的運作
研究人員揭露不慎曝光的GitHub令牌事故，值得留意的是，這個令牌具備大量Python、PyPI、Python軟體基金會的儲存庫管理員權限，一旦有人取得，後果將不堪設想
2024-07-17
研究人員調查與確認polyfill供應鏈攻擊範圍，至少有超過163萬臺網站伺服器曝險
針對polyfill[.]io供應鏈攻擊事故，有資安業者進一步調查指出，若是包含採用polyfill[.]io、polyfill[.]com、bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org惡意服務的網站，受害規模達到163.7萬臺主機
2024-07-08
| Midnight Blizzard | 俄羅斯駭客 | 微軟 | 供應鏈攻擊
微軟Midnight Blizzard入侵事件也影響美國政府
維吉尼亞州、國際媒體署（US Agency for Global Media）以及和平部隊（Peace Corps）等美國政府相關組織，接獲微軟通知要求因應俄羅斯駭客入侵事故，進行密碼更新或弱點修補
2024-07-05
| 供應鏈攻擊 | Conceptworld | 竊資軟體
印度軟體開發業者遭遇供應鏈攻擊，旗下產品安裝檔被植入竊資軟體
上週研究人員發現針對印度軟體開發業者Conceptworld的攻擊行動，駭客竄改應用程式安裝檔案，導致使用者下載並執行安裝，電腦就有可能被植入竊資軟體，使得瀏覽器及加密貨幣錢包資料外流
2024-07-03
Polyfill供應鏈攻擊事故受害規模擴大，對方同時運用至少8個網域，至少有30萬個網站受害
繼研究人員揭露駭客透過polyfill[.]io發動攻擊，該網域被封鎖，但對方又迅速架設polyfill[.]com另起爐灶。資安研究團隊MalwareHunterTeam進一步調查，近期Google向廣告業者提出警告的4個網域，其實都是這些駭客經營，估計至少有30萬至35萬個網站受害
2024-07-02
| Midnight Blizzard | 俄羅斯駭客 | 微軟 | 供應鏈攻擊
去年底俄羅斯駭客入侵微軟郵件系統事件延燒至今，除了資安業者發現今年上半微軟Teams釣魚訊息攻擊行動升溫，近期有組織收到微軟通知雙方email內容已遭駭客存取，需要採取進一步處理措施
2024-07-02
| Polyfill | 供應鏈攻擊 | CloudFlare | jsDelivr
發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼
本週最駭人聽聞的資安新聞，莫過於polyfill.io供應鏈攻擊，影響超過10萬個網站而被撻伐，昨天再度傳出他們使用新的網域polyfill[.]com提供類似服務，而有可能再度發動類似攻擊
2024-06-28