網路攻擊

這一星期適逢清明連假，而連假前夕最大條的資安消息，就是關於XZ Utils程式庫被植入後門與漏洞的事件，還有2個漏洞利用要注意，包括AI框架Ray與Android Pixel的漏洞；資安事件焦點方面，以CISA的Ivanti伺服器遭駭，及OWASP基金會資料外洩，最受矚目，臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件

去年美國政府官員的電子郵件帳戶因微軟發生資安事故而遭非法存取，促使美國國土安全部展開調查並於近期公布結果，直言微軟資安內控有重大疏失，要求微軟進行根本性的安全改革

在這一星期的漏洞新聞中，HTTP非同步傳輸框架Aiohttp於1月修補的漏洞遭利用的消息，需要特別留意；在重大資安新聞方面，以國際貨幣基金組織與富士通的遭駭最受關注，還有最新攻擊手法揭露，包括新型DoS攻擊手法Loop DoS、GoFetch微架構旁路攻擊

這星期有多家廠商發布每月例行安全更新修補，包括微軟、Adobe、SAP、西門子、施耐德電機等公司，以及WordPress有多個外掛程式漏洞遭利用需重視；在資安威脅焦點方面，勒索軟體與BEC詐騙蟬聯2023年企業最大風險與挑戰，美國FBI公布接獲2,825件勒索軟體攻擊事故，且BEC詐騙造成的損失持續增加，高達29億美元

勒索攻擊是主要威脅，受害產業不只高科技與電子製造，尤其2023年下半開始，藥局、汽車、電機、觀光、塑膠、化學、生技等傳統製造與服務業，都已嚴重受到威脅，沒有產業可以置身事外

這一星期有兩大漏洞利用消息狀況需要重視，都與微軟有關；在資安威脅焦點方面，國內又有上市公司遭遇資安事件，包括昶昕遭駭客網路攻擊，以及傳出中華電信內部資料在暗網被兜售

在這一期資安週報中，以Fortinet與微軟的零時差漏洞遭成功利用的消息最受關注；在資安威脅焦點方面，臺灣又有三家上市櫃公司發布資安事件重大訊息，國際間則有羅馬尼亞1百多家醫院遭網路攻擊，以及法國健保業者客戶傳出影響人數相當於半數民眾的資料外洩事件，另外還有多起與中國駭客網路攻擊活動有關的揭露

這一星期以Ivanti零時差漏洞遭成功利用的消息最受關注，還有Jenkins、Better Search Replace、蘋果日前才修補漏洞已被駭客鎖定利用；在威脅焦點方面，主要有微軟持續揭露公司電子郵件遭入侵的更多細節，以及國際間有施耐德電機與Lush遭勒索軟體攻擊的事故