臺北醫學大學附設醫院揭露醫療AI和區塊鏈新進展，不只布局醫療影像辨識應用，比如肝臟病灶辨識、顏面麻痺自動分析，還包括建立慢性疼痛患者的AI照護平臺、持續發展AI加護病房照護系統TED-ICU。此外，在區塊鏈應用上，北醫附醫近來還規畫採用壽險公會的區塊鏈平臺，要與壽險業者整合，來加速醫療醫療保險理賠申請過程。

打造全球首個已標註的顏面麻痺資料庫

在影像AI部分，北醫附醫資訊室主任康嵐媖表示，顏面麻痺自動偵測是北醫附醫發展較成熟的醫療影像AI專案，北醫附醫利用深度階層性類神經網路（Deep HNN）來自動標註影像、分析動作，可即時從錄影畫面中自動辨識異常顏面動作，準確度達94％，成果也發表於CVRP和IEEE等國際著名電腦視覺期刊上。康嵐媖提到，北醫附醫為這項專案所整理的資料，還成為「全球首個經標註的顏面麻痺影像資料庫。」

未來，北醫附醫也計畫開發臨床專用的多重顏面自動標註系統，要來辨識不同臉部表情和動作，比如疼痛、憂鬱、睡眠障礙等（目前準確率為62％、66％、56％），除了用於臨床，還要用於居家評估。

而其他醫療影像AI應用，還包括了心電圖預測、肝臟病灶偵測，以及建置中的肺結節影像資料庫。其中，在肝臟病灶偵測方面，北醫附醫採用美國國衛院的資料集（含3萬2千多張軸切面的CT影像和同數量的病灶），鎖定8種病灶，並發展出初期演算法。不過，由於該專案仍為初期階段，準確率只有30％。北醫附醫也自行收集資料、標註了1千多個病灶，要用來提高模型準確率。

結合穿戴式裝置打造慢性疼痛照護AI平臺

除了影像應用，北醫附醫也正開發一套慢性疼痛照護AI平臺，要整合各種數據來進行遠端照護。北醫附醫的構想，是藉一套雲端平臺和App，結合天氣、地理資訊，以及患者的穿戴式裝置數據，來偵測慢性病患者的生活習慣和行為模式（包括用藥、運動等），找出與疼痛相關的因子，再藉聊天機器人來給予建議。

目前，這套平臺已能連結4款臨床和穿戴裝置的數據，系統也能將病患自行輸入的症狀整合進病歷，並提供治療建議。康嵐媖指出，未來，北醫附醫希望進一步開發慢性肩頸痛的AI照護平臺，結合頸部和背部脊椎X光影像判讀、姿勢判讀，以及穿戴式裝置收集的睡眠和居家生活數據，來給予治療建議，並利用監督式和非監督式機器學習來判斷預後狀況。

另一方面，TED-ICU是北醫附醫2年前針對重症加護病房管理而開發的系統，目標是透過一個儀表板來即時整合所有臨床資訊，比如病患的生命徵象、檢驗影像，來初步預測病患病情嚴重程度，並即時通知醫生。

為進一步加強預測精細度，去年底，北醫附醫與臺灣人工智慧實驗室利用加護病房的歷史資料和臨床醫生經驗，找出影響敗血症的106種關鍵特徵，共同打造出AI敗血症預測系統，可預測病患4小時後發生敗血症的風險，並導入至TED-ICU。

康嵐媖指出，AI系統建置後，還需一連串的IT調校與臨床醫師反饋，而北醫附醫因此建立了反饋的臨床資料集，也將敗血症預測準確率從原本的85％提高至89％，更自行開發了一套AI病情學習平臺，讓臨床醫生利用系統收集到的病患生命徵象資訊，來挑選演算法和參數，來研究特定疾病的病情預測。

導入區塊鏈將病歷擁有權還給民眾，要加速保險理賠和轉診流程

此外，在區塊鏈應用上，北醫附醫先是於去年啟動健康醫療區塊鏈平臺，利用區塊鏈的儲存和加密特性，打造出電子病歷管理系統「智鏈護照。」這個月更結合新版醫院App iTPass，正式開放給所有北醫附醫患者申請使用，讓民眾能掌握完整的病歷資料，包括各種掛號資料、檢驗影像，民眾也能決定是否要將病歷分享給其他醫療院所或相關單位。

這一點，也能加速轉診和申請醫療保險的過程。為此，北醫附醫除了與數金科技（DTCO）發表健康醫療區塊鏈作業系統（phrOS），近來還計畫採用壽險公會的區塊鏈平臺，首波要與第一金控和中國人壽等壽險業者整合，來加速醫療醫療保險理賠申請過程。而上周末，更聯手工研院舉辦了保險金融與AI智慧健康區塊鏈黑客松大賽，要找出保險理賠新模式。文◎王若樸

市場研究機構IDC與Counterpoint相繼發表今年第二季全球智慧型手機的市場調查報告，顯示在今年5月中旬被美國列入實體名單（Entity List）的華為，依舊保持全球第二大手機製造商的地位，且出貨量還成長了8.3%。

根據IDC的調查，今年第二季全球智慧型手機市場出貨量為3.33億支，比去年同期下滑了2.3%，主要的原因在於中國及美國市場的嚴重下滑，幸好除了日本及中國之外的東南亞市場還有3%的成長幅度。

令外界關注的是，華為在被美國列入實體名單，禁止美國業者出售商品或服務予華為之際，市場一度傳出華為的手機業務將受到重挫，但華為在該季的手機出貨量不跌反升，達到5,870萬支，還比去年同期成長8.3%，市占率為17.6%，僅次於三星的22.7%，穩坐市場第二名。

而且在全球前五大智慧型手機製造商中，以華為手機的出貨量成長幅度最大，三星在該季也成長了5.5%，反而是蘋果手機出貨量下滑了18.2%，小米亦下滑0.2%。

IDC分析，儘管被美國列入禁止出口名單，但華為的手機出貨量只比上一季下滑0.6%，高於市場預期。不過，中國市場佔華為手機出貨量的比例也創下歷史新高，占了62%，這是因為華為將重要的人力資源調回中國，並鎖定二、三線城市進行通路部署收到成效所致。

不過，Counterpoint副主任Tarun Pathak指出，從第二季來看，華為的出貨量並未受到美國禁令的影響，但未來就不一定了；華為現在或未來幾季都將聚焦於擴大中國的內需市場，但應該仍無法彌補其海外銷售的下滑。

資安公司Positive揭露Visa感應式支付存在漏洞，可讓駭客進行中間人攻擊繞過支付限制，Positive已經成功在5家英國主要的銀行，實現這個感應式支付攻擊，無論使用的卡片終端裝置為何，都可以繞過感應式支付的30英鎊限制，而且研究人員發現，這種攻擊方式可能可以在英國之外的地方進行。

感應式支付攻擊的手段，主要是操作卡片與終端機器，在感應支付時交換的兩個資料欄位。在英國，當支付需要額外的持卡人驗證，像是支付超過30英鎊的情況，卡片會回應拒絕交易，以防止超過限額付款，另外，終端裝置上則有國家地區專門的設定，像是要求卡片或是行動錢包，對持卡人進行額外的驗證，例如在手機上輸入密碼或是指紋辨識。

而Positive成功使用裝置，攔截感應式卡片與機器之間的通訊，以繞過這兩種支付檢查，研究人員提到，這種裝置能夠扮演代理人的角色，用於中間人（MITM）攻擊。在支付階段，中間人裝置會告訴卡片即便超過30英鎊的限制也不需要驗證，同時中間人裝置還會欺騙終端裝置，假裝已經進行過其他支付驗證。

研究人員提到，之所以這種攻擊有機可乘，是因為Visa沒有要求發卡機構和收單機構，在沒有提供最低限度的檢查時阻擋交易。而且這種攻擊手法也可以用在GPay等行動錢包，當使用者在這些服務中綁定Visa卡片，可以在不解鎖手機的情況下，未經使用者同意收取最高30英鎊的金額。

要防範這種攻擊，研究人員建議用戶應該定期查看自己銀行帳戶報表，以提早發現相關的不正常款項，以及使用銀行額外的安全措施，像是支付驗證或是SMS通知。另外也提到，感應式卡片的詐欺事件正不斷增加，而Positive可以輕易地繞過這些驗證機制，則代表可能有更多的使用者遭遇損失，研究人員認為，發卡機構不應該依賴Visa提供安全的支付協定，要有自己的措施，阻止這類的攻擊。

資安業者enSilo上周揭露廣告程式DealPly會蒐集微軟SmartScreen及McAfee的WebAdvisor等服務，來確定用來散布DealPly的網站是否已被列入黑名單，以適時調整感染政策。

DealPly至少在2013年就存在了，感染DealPly的系統會在使用者瀏覽網站時跳出廣告，enSilo說，這類的廣告程式通常無法吸引資安業者的研究興趣，但他們發現DealPly除了具備應有的模組、機器指紋、VM偵測技術與強大的C&C架構之外，還蒐集合法SmartScreen與WebAdvisor服務的資訊，以在必要時變更DealPly的散布政策，儘可能延長每一代DealPly的壽命。

SmartScreen與WebAdvisor皆隸屬於安全服務，可在使用者造訪或下載惡意檔案時跳出警告，因此設有黑名單機制。

DealPly通常是隨著合法的免費程式散布，當使用者安裝該合法程式時，在不經意中也安裝了DealPly，而DealPly除了會跳出廣告之外，還會查詢SmartScreen與WebAdvisor的黑名單，並傳送到由駭客掌控的C&C伺服器。

enSilo猜測，DealPly索取黑名單的用意在於，檢查它的變種或下載網站是否已被列入黑名單，以作為以後散布DealPly的參考，可能是根據相關服務在不同市場的熱門程度，它在某些國家查詢SmartScreen，在某些國家則利用WebAdvisor。

研究人員指出，DealPly的目的是在評估防毒偵測的能力，以在需要時製造新的惡意樣本，以便時時領先安全解決方案，讓自己能夠長存，相信此一手法很快就會被其它惡意程式效法，成為新的趨勢。

安全工程師Avinash Jain上周警告，知名的缺陷追蹤工具Jira的錯誤配置，讓許多知名組織的機密資訊全都曝光，包括NASA、Google、Yahoo及各種政府網站。

Jira是由澳洲Atlassian所打造的缺陷管理、任務追蹤與專案管理軟體，去年JetBrains的調查顯示，它是最受開發人員青睞的任務追蹤工具。

根據Jain的描述，此一錯誤配置只是語意上的誤解，因為在Jira上建立過濾器與儀表板時，它的能見度預設值分別是All users及Everyone，管理員可能將它們誤以為是與組織內的所有人分享，但它卻是個公開分享的選項。

此外，Jira中的user picker功能則曝露了所有使用者的名稱與電子郵件位址，因此，只要不留心相關的權限配置，組織內的員工名稱、電子郵件帳號、Jira群組中的員工角色、現有專案，以及未來準備藉由Jira儀表板與過濾器達到的里程碑，通通會曝光。

今年初Jain就已披露相關配置讓他存取了NASA的機密資料，近日Jain更大爆其實他也從Google、Yahoo、GoJek、HipChat、Zendesk、Sapient、Western union、聯想或許多政府網站的Jira伺服器上，發現意外曝光的資料。

Jain表示，他其實只是在Google搜尋中使用特定的關鍵字，就能找到可公開檢視的Jira資料，與其稱它為安全問題，不如說它是個隱私問題，競爭對手可用這些資料來擬定策略，或者駭客也可利用它們來執行攻擊。

迄今Jain已向不少企業通報此一配置錯誤的問題，有些企業還支付獎勵金予Jain，有些企業已修補，但有些企業則不為所動，Jain也建議Jira的母公司Atlassian應該提供更清楚的說明，以免誤導了用戶並造成資訊的曝光。

過去Google分別在Google Analytics for Firebase以及Google Analytics中，提供行動裝置以及網站的使用者分析，而現在Google多提供了一個行動應用程式和網頁的選項，讓企業跨兩平臺追蹤使用者，同時，Google也使用了新的事件模型，可供企業自定義收集資料的事件。

Google提到，過去他們分別為行動裝置以及網站提供分析功能，但企業要取得兩者綜合的使用者參與報告並非易事，而現在所增加的行動應用程式和網頁分析工具，辨識可以結合兩者資料，提供統一的報告和分析。該屬性使用一致的衡量指標，綜合產生過去無法取得的行動應用程式和網頁報告，讓企業掌握不同的行銷通路，吸引各平臺使用者的狀況，以及兩平臺的獨立用戶數量等資訊。

新的行動應用程式和網頁統一量測工具，提供企業跨平臺的分析能力，企業能直接以拖放的操作方式，將多個變數加入畫布中，包括不同的維度與指標，並視覺化這些資料（下圖）。漏斗工具則能幫助企業了解，用戶進入服務的導覽過程，像是從哪個位置進入服務，以及放棄的位置。另外，路徑分析工具也能幫助企業了解，用戶在服務中每個階段採取的動作，以解釋用戶轉換與未轉換的原因。

這個新的量測工具使用了新的事件模型，企業能設置自定義的事件，來收集使用者與平臺內容互動的行為，另外，事件模型還會自動化原本需要手動進行的標記事件工作，而這項功能方便之處，在於企業不需要額外編寫程式碼。Analytics和Analytics 360使用者將在未來幾周內，就能夠用到新的事件模型和分析功能。

Mozilla說明了最新Firefox 68中的CSS功能細節，其跟上Chrome和Safari腳步，支援了Scroll Snap模組，並加入::marker偽元素功能，方便開發者為列表項目加入前置標記，另外還修正了ch單位以及列表編號的功能。

Firefox 68實作了和瀏覽器Chrome和Safari一致的Scroll Snap模組，Scroll Snap可以讓網頁容器滾動停止時，自然平滑地滑動到指定元素的指定位置，另外，Firefox 68也移除了早期Scroll Snap Points規範中的老舊屬性。

而::marker偽元素則是有助於開發者為列表加入項目符號，這對於複雜元素特別有用，像是需要將圖像作為項目符號，或是把列表中的文字包在Span中，以使用不同的項目符號與文字顏色的需求，::marker偽元素可以鎖定項目符號本身，讓開發者針對項目符號本身進行修改。雖然::marker偽元素只支援少數幾個CSS屬性，不過所有字型屬性都能夠使用，開發者可以自由地變化文字樣式。

開發者還可以使用display:list-item，將任何元素轉換成列表項目，而這樣就能在這些元素前面顯示項目符號。::marker偽元素是在CSS列表Level 3和CSS偽元素Level 4中的標準，目前僅在Firefox 68和Safari中實作，Chrome則尚未支援。

不同的瀏覽器，可能對同一個功能有著不同的運作方式，而這樣的問題通常是因不同版本的網頁平臺造成，由於有許多行為並沒有被明確地規範，因此Mozilla著手對CSS規範進行許多更改，解決互通性問題，Firefox 68就修正了ch單位以及列表編號功能。

微軟指出，俄羅斯國家贊助的駭客組織，正在利用印表機、VoIP電話等企業物聯網（IoT）裝置，伺機對企業網路發動攻擊。

微軟威脅情報中心（Microsoft Threat Intelligence Center）研究人員4月間發現三起攻擊行動，駭客正連上多台VoIP電話、辦公室印表機及影片解碼裝置，分析後發現攻擊者企圖利用這些裝置駭入企業網路。其中兩次攻擊是利用IoT 裝置的預設密碼，另外一次則是因為裝置韌體未升級到最新版本，而讓駭客有機可乘。

研究人員認為，入侵這些IoT裝置的目的，是在企業網路上建立據點，作為未來攻擊的準備。駭客成功入侵IoT裝置後，就會跑tcpdump軟體來聽取公司子網路的網路流量封包。攻擊者還會列舉管理群組，以便未來發動進一步攻擊。當攻擊者由一台裝置移動到另一台時，會丟一個簡單的shell script，以便日後持續由遠端控制。研究人員還發現這些裝置會和外部一台C&C伺服器建立連線。

由於三起攻擊都是在很早期被發現，因此微軟尚無法判斷最終的目標為何。但微軟判斷這三起攻擊來自同一個名為Strontium的駭客組織所為。它更為知名的稱號是Fancy Bear或APT 28。微軟在過去一年，就發出將近1,400次和這個組織有關的國家級駭客攻擊行動警報，其中1/5目標是全球非政府組織、智庫或政治團體，80%攻擊對象包括政府、IT業、軍事、國防、醫療、教育和製造業。

這不是第一次俄羅斯人被指控心懷不軌。2016年美國就指控Fancy Bear參與攻擊民主黨全國委員大會伺服器，以竊取當年總統大選的研究資料。它還曾經攻擊過奧林匹克委員會、世界反禁藥組織（WADA）及觀光業。此外，Strontium/Fancy Bear/APT 28去年涉入以VPN Filter惡意程式，大規模感染Linksys、TP-Link、華碩、D-Link等路由器的行動。

近兩年，企業x86伺服器處理器技術進展有了很大躍進，不論是先進製程技術的革新，或是在處理效能方面都有大幅度的提升，尤其，為了因應全球資料中心為主的高效能運算、雲端與AI運算任務所需，相較於傳統CPU，新一代CPU對於處理效能有著更高的運算力要求，因此，催生出了這一類具備超多核心、兼具更高效能的新一代CPU，更加遽企業伺服器市場的競爭態勢，開始進入超多核心處理器競爭的時代。

有別傳統通用伺服器，現在越來越多企業資料中心配備的伺服器，都要求須具備能夠應付更高複雜處理的運算工作的能力，甚至更多是得具備AI執行處理能力，而要提高運算力最直接的一種方式，就是增加處理器的核心數，來打造出超多核心、兼具更高效能的CPU，用以支撐企業資料中心更高運算架構需求。

因此，這些新一代伺服器內建的處理器核心，少說都是由數十個以上的超多核心組成。進而讓傳統單臺單路伺服器，也能具備有以往需兩臺或多臺單路伺服器組成的運算叢集，或更高階的多路伺服器才能具有的更高運算效能，可以用來執行各種複雜的運算工作，也讓伺服器CPU性能競爭更加白熱化，從原本多核心跨入超多核心。

而目前在超多核心處理器競爭的處理器大廠主要有兩家，分別是英特爾與AMD。儘管，英特爾現今仍以高達9成5的市占，穩坐x86處理器龍頭寶座，但是兩年前重返伺服器市場的AMD正逐步迎頭趕上，關鍵就在於超多核心處理器的推出。

AMD在兩年前率先推出第一款擁有高達32核心的x86伺服器CPU，刷新了當年由英特爾所保有的最多22核心的記錄，靠著在CPU晶片設計上整合單晶片設計，同時搭配全新的CCX核心模組打造其稱之為Zen架構的新一代CPU，來提高運算執行效能，使得AMD單顆CPU核心數，比競爭對手英特爾同級規格最高Xeon E5  CPU產品還高出10個。甚至也比使用在2路的Xeon E5伺服器，能夠支援更多高速I/O，與提供更大容量的記憶體頻寬。

AMD這款超多核心CPU產品EPYC，在2017年一推出便很快在市場上打響名號，不只雲端大廠，如Azure、AWS，就連傳統企業資料庫巨頭甲骨文也都採用，用它來提供雲端VM租用服務。接著，還有更多的伺服器與網通硬體商加入，如HPE、Dell、思科等，合計推出多達60款採用EPYC硬體的伺服器、網通等設備。

甚至，也因為看上AMD超多核心的CPU優勢特性，後來更有美國能源部、橡樹嶺國家實驗室等大型國家研究機構，將它用於接下來幾年打造新一代超級電腦，一旦完成的話，預期其處理效能，將會是目前全球排名第一名美國超級電腦Summit處理效能（Summit運算效能可達148.6 petaflops））的10倍多，將高達1.5 exaflops 。

不只是架構上的革新，隔年，AMD更展示出一款代號為Rome的第二代EPYC處理器的性能，核心數更是翻倍，達到了有史以來超多的64核心，更將伺服器CPU製程技術帶進更小晶片尺寸的7奈米級的先進製程設計，從原先的14奈米提升到更先進的7奈米製程，這也意謂著，製造技術難度更上一層樓，甚至為了能夠容納更多核心數，這代處理器架構也經過大改造，以更小型的晶片模組式設計，改在晶片兩側設計各4組合計8個7奈米的CPU小晶片模組（AMD稱之為chiplet）  ，每個模組小晶片最多可以容納8個核心，再通過晶片中間高速互連網路設計的一個14奈米的I/O die互連，藉此來達到具備超多核心處理器的架構設計。

採用新的Zen2超多核心架構，AMD表示，除了使得新款EPYC處理器的處理效能獲得大幅提升，連帶也將使得CPU每時脈周期（IPC）指令執行速度，能比前代提高多達15%，與獲得翻倍的浮點運算效能的提升。AMD執行長蘇姿丰在最近一場主持的財報電話會議上，也預告新款EPYC CPU產品，預計將於8月舊金山舉行的產品發表會推出上市。

靠著採用更先進製程與全新架構推出的超多核心CPU，兩年下來，不只替AMD中止連年虧損，從2017年逐漸轉虧為盈，也幫助長年在伺服器市場競爭始終落後的AMD，在伺服器市場重新站穩腳步，從原先不到1％的全球市占，提升到了如今的近5%，回到與英特爾的競爭行列。AMD更誇下豪語，目標數年內要超越當年全盛時期的27%市占。這也逼得英特爾不得不調整策略，推出更多核心的高效能CPU產品來迎戰。

除了先前以HPC應用為主、主打超多核心協同處理器的Xeon Phi產品線，英特爾近來也針對自家新一代Xeon Scalable系列處理器，持續採用新設計或優化架構，替CPU加入更多核心數，從而提高處理效能，從原先2017年推出的第一代Xeon Scalable系列處理器，當時CPU核心數最多只到28核心，到了今年上半推出同樣採用14奈米製程生產的第二代Xeon Scalable處理器時，核心數則有了翻倍成長，最多達到了56核心，直逼AMD新款EPYC處理器的核心數，更具備比前一代更強大運算效能，甚至，明年英特爾採用10奈米的伺服器處理器也將問世。

儘管，目前AMD伺服器CPU市占，仍遠低於英特爾，但是隨著企業伺服器市場的競爭，開始進入超多核心處理器競爭的時代，也吹響了AMD反攻的號角。因應大量AI運算任務與雲端爆炸性的發展需求，AMD也將持續推出擁有更多核心數的伺服器CPU，來提高市場占有率，縮小與英特爾之間的差距。

但是隨著更多處理器核心的加入，也將挑戰現有的伺服器處理器架構，如何讓這些超多核心之間能夠穩定協同運作，同時帶來更高處理效能的表現，以滿足企業資料中心各種複雜應用的需求，將是未來兩大處理器大廠設計新一代CPU所要面對的一大挑戰。

由於利用約聘人員或員工側聽分析AI語音助理的錄音引發隱私爭議，蘋果、Google和Amazon分別暫停人工分析，或讓用戶決定是否參加錄音蒐集的方案。

媒體接連爆料Amazon Alexa、Google Assistant和蘋果Siri和使用者的對話，都在用戶未知情之下，交由約聘人員或員工轉錄、標註及分類，其中甚至有許多被誤啟動而錄下的隱私錄音檔。雖然第一時間三家廠商都說，是為了提升AI助理能力不得不做，而且已有隱私措施，不過在輿論壓力下，仍然做出了修正。

上周被衛報爆料的蘋果率先修正做法。Techcrunch報導蘋果於上周全面暫停所有人工分析作業。蘋果並表示將在未來新版的Siri中加入讓使用者決定是否加入的選項。

7月中比利時公共電視VRT NWS報導Google請外包商轉錄、標註Google Home、Home mini消費者和Google Assistant的對話錄音後，德國資料保護主管機關上周宣佈已經介入調查。Google表示，已經自7月10起暫停在歐洲的人工錄音分析三個月，並正在研議如何告知消費者其資料運用方式。

最早被彭博發現的Amazon遲至上周才宣佈修正方式。Amazon原本已設立隱私入口網站，方便Alexa用戶了解自己被蒐集了哪些資料。The Verge報導，Amazon已更新入口網站的用語，更清楚告知用戶有權退出錄音蒐集方案。

自2016年7月設立的No More Ransom平臺，最近剛滿3週年，至今加入合作的全球執法機關，已增至39國，臺灣今年也出現其中，這讓我們關注到此計畫的新進展。目前，該平臺已經累積超過100種勒索軟體的解決方案，今年新增19種，歐洲刑警組織（Europol）更是指出，已幫助超過20萬名勒索軟體受害者，而且，這個計畫網站也支援了正體中文的介面。

臺灣刑事警察局與TWCERT都是這項國際計畫合作夥伴

為了打擊網路犯罪，這項專案計畫的合作夥伴，不只是歐洲多國執法機關，還有韓國、哥倫比亞、香港、澳洲等，目前，臺灣也有公家單位與執法單位加入此平臺。例如，臺灣電腦網路危機處理暨協調中心（TWCERT/CC），在去年5月，就成為計畫夥伴，開始協助平臺的正體中文網頁翻譯，而臺灣內政部警政署刑事警察局，也在今年4月加入這項計畫。

基本上，遭遇勒索軟體的受害者若要查詢是否已有解密工具，在前往該專案網站（www.nomoreransom.org）時，可選擇正體中文的語系，接著在「解碼警長」的頁面上依指示操作，像是上傳受感染的檔案，或是輸入任何在勒索訊息中所看到的電子郵件、網站網址、洋蔥網路網址或比特幣網址。在民眾查詢之後，一旦平臺辨識出目前已有解鎖工具，可解決用戶的問題，就會提供下載連結。

若是用戶已經知道勒索軟體類型，也可透過「解鎖工具」的頁面，從109種可解密勒索軟體項目，找出相應解密工具，接下來，就能前往開發解密工具單位所提供的網站下載。另外，網站上也有中文的防範建議以及問與答，幫助民眾瞭解其危害。

國內刑事警察局在7月底也發布公告宣導，這也讓我們注意到刑事警察局的官網上，在犯罪預防項目下也提供「反勒贖病毒平臺」的選項，因此民眾也能由此直接連至該平臺的「解碼警長」的正體中文頁面。對此，我們向刑事警察局詢問，該局國際刑警科警務正李翔婷表示，隨著合作關係的建立，也將促進國內執法單位在打擊網路犯罪與勒索軟體，與國際執法機關等的技術及偵辦經驗分享。

由於勒索軟體仍然持續危害企業與民眾，像是近期又有鎖定NAS的新勒索軟體攻擊，以及南非電廠遭遇勒索軟體的事件，還有美國地方政府多次遭受勒索軟體攻擊。臺灣也有不少企業與民眾深受其害，無論如何，面對勒索軟體加密用戶檔案並勒贖比特幣的行徑，用戶除了自保，國內執法單位也很難憑藉一己之力打擊網路犯罪，像是去年底刑事警察局長蔡蒼柏也曾投書國際外交性媒體，呼籲應讓臺灣加入國際刑警組織（INTERPOL），如今臺灣執法單位也正持續加強與國際間的合作。

必須與全球執法機構，以及公、民營機構通力合作

關於No More Ransom的計畫，最初由荷蘭國家警察高科技犯罪單位、歐洲刑警組織及旗下歐洲網路犯罪中心，以及資安業者Intel Security（現為McAfee）與卡巴斯基所共同創立，由於新的勒索病毒與變種持續發生，該計畫也期望集結全球警方、司法單位與民間的力量。發展至今，其實參與計畫的成員已經越來越多，包括超過15個提供解密工具的業者與組織，39個國家執法機關，以及89個公家與民間機關等，陸續號召了151名合作夥伴。

基本上，這項計畫的主要目的，是幫助遭遇勒索軟體的受害者，在不用付贖金的狀況下，復原被加密的檔案。因此，偵破勒索軟體背後的組織，以及開發解密工具至關重要，不只是創立平臺的Intel Security與卡巴斯基，參與的資安業者也包括Avast、Bitdefender、Check Point、Emsisoft、ESET、F-Secure與趨勢科技等，同時還有荷蘭與羅馬尼亞警方，西班牙電信的網路安全單位ElevenPaths，以及Bleeping Computer這樣的民間單位。

換言之，各方開發的勒索軟體解密工具，除了釋出在自家的網站上，這個平臺也成為另一管道，幫助全球民眾能有一個集中式的平臺，查詢自己遭遇的勒索軟體種類，以及是否有解密工具可恢復被加密的檔案。而且，該網站上也提供了勒索軟體的問與答，以及防範建議，供一般企業與民眾參考。

No More Ransom計畫的網站已經支援正體中文，勒索軟體受害者可透過「解碼警長」的頁面，查詢自己電腦上被駭客加密的檔案，是否有解密工具能復原，目前平臺上已經針對109種勒索軟體提供解法。

臺灣內政部警政署刑事警察局在今年4月也成為No More Ransom專案的合作夥伴，是加入的39國執法單位之一。現在民眾在刑事警察局官網上，也可從犯罪預防選單，找到「反勒贖病毒平臺」的選項，直接連至No More Ransom網站的「解碼警長」的正體中文網頁。

在參與No More Ransom計畫的公家與民間機關中，目前已有89個組織單位成為合作夥伴，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）也在去年5月，成為「拒絕勒索軟體(No More Ransom)」計畫夥伴之一，並於協助正體中文網頁的翻譯。

隨著越來越多的公、私機關加入此計畫，現在平臺上累積已可針對109種勒索軟體提供解密工具，包括GandCrab (V1, V4 and V5 up to V5.2 versions) 、GetCrypt、MegaLocker、Pewcrypt、Planetary等。民眾透過「解鎖工具」頁面，可直接連至資安業者、警方與民間單位提供的下載頁面，像是趨勢科技、Avast、Bitdefender、Check Point、Emsisoft、ESET、F-Secure、卡巴斯基、McAfee，以及Bleeping Computer等所提供的解密工具。

對於該平臺的成果，根據歐洲刑警組織（Europol）在7月29日公布的資訊指出，3年來已經幫助全球188個國家超過20萬名的勒索軟體受害者，將被駭客加密的檔案成功解密，並讓駭客少賺了1.08億美元。

 若是根據NJCCIC對於勒索軟體的統計結果，從2015年6月至今，全球大約有221種勒索軟體，以這樣的數字來看，No More Ransom專案已經可解救近半數的勒索軟體危害，但還是有近半數無法恢復，因此用戶最好還是做好定時備份的工作。

中國媒體《環球時報》周一報導，華為預定在本周開發者大會上公開自行開發的作業系統鴻蒙（HongMengOS），而屆時也將一併公佈搭載該作業系統的手機。

華為開發者大會預訂8月9日在廣東東莞市舉行。報導指出，首款搭載鴻蒙OS的手機將聯同旗艦手機Mate 30 Pro 在大會上亮相，同時招募應用開發商。但這款手機鎖定中低階市場，定價2,000人民幣（約9,000台幣），預定年底上市。

關於鴻蒙的定位，訊息似乎頗為混亂。華為先是宣稱鴻蒙橫跨電腦、平板、手機、電視、汽車和智慧型穿戴裝置的單一作業系統，並相容於所有Android App和Web應用。就這點來看，和Google開發中的Fuchsia很類似。但上個月華為又說，鴻蒙是為了IoT設備而開發的作業系統，並不是為了跑在手機上而設計。顯然美國長期以來的壓力及5月Google中止Android授權，加速華為開發自有作業系統的計畫。

路透社及環球時報皆報導，搭載鴻蒙OS的華為Honor智慧電視預定本周就會開賣，是第一批上市的鴻蒙OS產品。

中國與美國之間的貿易戰在上周又升溫了，美國媒體認為這也造成美國投資人的擔憂，使得微軟、蘋果、Amazon、Alphabet及臉書等美國五大科技巨頭在上周五（8/2）及本周一（8/5）兩天的市值，一共蒸發了2,280億美元。

美國總統川普在8月1日，因不滿中國主席習近平對中國向美國購買農產品的承諾跳票，除了已經對中國進口的2,500億美元商品徵收25%的關稅之外，宣布從今年9月1日起，將對其它價值3,000億美元的輸美商品，徵收10%的關稅。隔天微軟、蘋果、Amazon、Alphabet及臉書的股價即應聲下滑，市值跌落了660億美元。

繼之本周一中國人民幣對美元的匯率貶破7元人民幣，美國財政部宣布將中國列為匯率操縱國，中國也宣布暫停購買美國農產品。

於是，在台灣時間周二凌晨收盤的美國股市持續下滑，除了蘋果的股價下滑了5.23%之外，微軟、Amazon、Alphabet及臉書的股價也通通下滑超過3個百分點，總計又蒸發了1,620億美元。

其實在這五大科技巨頭中，臉書及Amazont與中國市場的關係並不大，影響最大的應該是重度仰賴中國硬體供應鏈的蘋果。

蘋果曾在今年6月中旬去信給美國貿易代表Robert Lighthizer，指出在向中國徵收的25%關稅產品中，即涵蓋了蘋果的iPhone、iPad、Mac、AirPods、Apple TV，以及電池、零組件及配件等，希望美國政府不要徵收相關產品的關稅，否則將會危及蘋果營收及其全球競爭力。

此外，蘋果也希望中國政府能減免自美國進口的Mac Pro零件關稅，但也直接遭川普拒絕。

在中美之間箭在弦上的緊張局勢下，分析師預期將衝擊美國本土的經濟狀況，周一美國股市亦反應了這股趨勢，除了代表科技領域的那斯達克綜合指數下滑了3.47%之外，S&P 500也下滑了2.98%，道瓊工業平均指數下滑2.90%。

日前資安業者相繼警告有一勒索軟體eCh0raix鎖定威聯通科技（QNAP）所生產的網路附加儲存（NAS）裝置展開攻擊，不過，代號為BloodDolly的勒索軟體專家，已透過BleepingComputer的論壇釋出了解密工具。

駭客是透過暴力破解及已知漏洞來入侵QNAP的NAS裝置，並將裝置上的檔案加密，換上.encrypt副檔案，並要求受害者以比特幣支付贖金。

BloodDolly則在上周釋出了eCh0raix Decoder 1.0.2版，以暴力破解了解密金鑰，可用來恢復受害者的加密檔案。不過，此一版本只支援在7月17日以前感染eCh0raix的用戶，目前BloodDolly仍在打造可解密新版eCh0raix的工具。

迄今BloodDolly已協助打造許多勒索軟體的解密工具，包括TeslaCrypt與Odcodc等。

Have I Been Pwned在本周揭露，以客製化T恤及各種商品聞名的CafePress在今年2月遭到駭客入侵，並有超過2,300萬名用戶的資料外洩。

Have I Been Pwned指出，這批資料涵蓋2,300萬名用戶的電子郵件位址，有些還包含姓名、實際地址、電話號碼以及雜湊密碼。

1999年成立的CafePress是美國的網路零售商，專門生產各種客製化商品，也是美國的股票上市公司，不過，迄今CafePress並未對外發表任何公開聲明，也未回應媒體的詢問。

根據外電報導，使用者並沒有收到資料外洩的警告或通知，但CafePress曾以變更密碼政策為由，要求所有用戶變更密碼，也許是CafePress已知道資料外洩事件，採取了因應措施，只是未曾確實告知用戶。

懷疑自己帳號已流落網路的使用者，則可透過Have I Been Pwned查詢。

GPU加速SQL引擎BlazingSQL建立在Nvidia的GPU資料科學平臺RAPIDS之上，RAPIDS開源平臺提供了一套基於GPU的CUDA加速函式庫，可用於機器學習以及資料視覺化。現在BlazingSQL團隊已經與RAPIDS團隊整合，並將程式碼於GitHub上開源。

RAPIDS奠基於跨語言開發平臺Apache Arrow，以及用來載入、聚合和過濾資料的GPU資料影格（GPU DataFrame，GDF）函式庫cuDF。GPU資料影格是一種GPU記憶體資料格式，可為GPU應用程式提供互通性。BlazingSQL提供一套存取cuDF的SQL介面，可將企業資料湖泊的查詢資料，編碼成GPU資料影格，方便GPU記憶體使用。

BlazingSQL讓開發者以SQL語法，就能利用GPU查詢資料，而不需要操作複雜的cuDF函式呼叫。另外，BlazingSQL也能用來連結雲端或是網路檔案系統，直接對原始檔案進行查詢。BlazingSQL中的SQL最佳化工具，可以使RAPIDS堆疊運作更加快速。

BlazingSQL還整合Python平行運算函式庫Dask，可以為資料科學家提供快速的分析運算。官方提到，過去需要數千臺伺服器進行的大規模資料科學研究，現在只需要其中一小部分的基礎設施就能夠完成，過去需要耗時數小時甚至是數天的大型資料集工作負載或是查詢，由於BlazingSQL利用GPU，數秒鐘就能完成，而這賦予資料科學家快速迭代模型的能力。

除此之外，BlazingSQL讓開發者在開發測試環境與正式產品環境，可以使用相同的程式碼，官方表示，資料科學家通常需要先小規模的測試工作負載雛形，待驗證完成之後，會為分散式系統重新建置程式，而BlazingSQL可以使用同一行程式碼，在不同發布規模中運作。

有鑒於BlazingSQL與RAPIDS發展息息相關，因此為了未來的發展，雙方整合了開發團隊，官方表示，他們認為RAPIDS將成就下一代分析生態系，而SQL又是構成當前主要分析生態系的重要語法，BlazingSQL為RAPIDS下的SQL標準，因此與RAPIDS團隊整合，以利為cuDF做出更多貢獻。BlazingSQL建構在RAPIDS的cuDF以及GPU檔案I/O函式庫上，因此當這些項目受到更新時，也同時改善了BlazingSQL的效能。

臉書在臺灣2019兒少網路安全年會中公佈了網路霸凌案件處理成果，近1年來，全球每季處理案件量約為2百萬到3百萬件，若再進一步分析，可以發現受通報而處理的案件約占8成，由AI自動偵測的案件量約占2成，臉書亞太區安全政策經理Snow White說明，涉及暴力、性剝削等圖片，99%可由AI主動發現而下架，但文字內容則因語言差異，如隱晦意涵而難自動偵測，大多需要靠民眾或iWIN等民間組織來舉報。

Snow White表示，臉書反霸凌言論機制上，無論對方的攻擊行為是透過照片、影片或文字，只要涉及霸凌、暴力、或仇恨言論等都可檢舉，臉書將透過全球3萬名專業人士審核內容，再根據各地區文化與法律的不同，因地制宜來決定如何處理不合時宜的內容。

此外，臉書也依據用戶是公眾人物、個人、或13-18歲的青少年，提供不同層級的保護措施，比如針對青少年，臉書與耶魯大學情緒智能中心共同合作創立「霸凌防制中心」，提供有關霸凌及其他衝突的相關支援，協助青少年、家長與教育工作者以正確的心態來面對並處理相關的問題。被檢舉人也有上訴機制，提供對於臉書處置有疑慮者進一步申訴。

另外，iWIN網路安全防護機構也揭露從去年開始研議的網路霸凌處理標準，iWIN要扮演各網路平臺業者的橋樑，針對「大量、明顯、嚴重」的言語霸凌內容，溝通平臺業者「緊急」刪除或隱藏。

依據兒少法第46條，早在6年前，國家通訊傳播委員會、衛生福利部、教育部、文化部、經濟部以及內政部共同委辦民間成立了iWIN機構來推動網路內容安全，iWIN更從去年開始建立網路霸凌的處理標準，邀請產官學26名代表召開多場會議，一來確認iWIN處理網路霸凌事件的角色，以及不同案件嚴重程度相對應的措施。

iWIN執行祕書劉昱均表示，由於網路霸凌事件的處理無專法，無法轉案或通報主管機關，且多數網路霸凌屬於告訴乃論，iWIN也難以代表民眾進行司法訴訟；而面對受害者的心理傷害時，其它非營利組織也有更專業且全面的社工資源來輔導與陪伴。

劉昱均進一步解釋iWIN的處理判準，「受害者會遭受到相關的人身安全，或他的精神狀況已經不堪一擊，這個情況下，iWIN會與業者商量，下架相關文章。」不過，其它涉及私人糾紛如侮辱、誹謗或騷擾等內容，則需由當事人透過司法途徑，為自己主張權益。

舉例來說，iWIN曾處理過一個個案。一位高中老師受到瘋狂家長的追求，但對方追求不成反而匿名開設粉絲專業，將老師的照片醜化，並散布老師有婚外情等不實謠言，時間長達兩年之久。iWIN剛開始向警局報案求助無果，後來與臉書溝通後，臉書以對方使用假帳號，也符合臉書的反霸凌守則規範等緣由，僅花一天時間就將粉絲專業下架，讓該名受害者免受霸凌的威脅。

從2018年的統計數據來看，民眾認為霸凌而通報的案件有180件，真正符合iWIN定義的有21件，顯示出iWIN的網路霸凌定義嚴謹，與民眾認為霸凌的標準有落差。而這21件由申訴小組聯繫平臺業者協助緊急處理的案件，業者協助處理下架的成功率達84.21%，「其實大多平臺業者還是願意自律來協助改善網路霸凌情形。」

臉書揭露即將在IG上線的網路霸凌防治新功能

近期，Instagram將要推出霸凌防治機制的新功能，當用戶留言的內容涉及霸凌或歧視性言論，AI將主動偵測並攔截留言，顯示是否確認要將訊息送出的提示，讓用戶在留言送出之前有機會再次思考；另一個功能，是讓用戶將針對自己的霸凌留言，設為限定瀏覽，如此一來，只有留言者能看見自己留下的霸凌言論，其他人均看不見，這是為了避免用戶使用網路檢舉功能後，反而在現實生活中被報復的一種手段。

目前，這兩項功能都還在測試中，待英文版先上線後，也才會逐漸推及到其它常用的15種語言。對於網路霸凌的防治，Snow White表示：「臉書會結合產官學界人士，盡力保護網路安全、防治霸凌。」

當用戶留言的內容涉及霸凌或歧視性言論，AI將主動偵測並攔截留言，顯示是否確認要將訊息送出的提示。(圖/取自IG官網)

用戶能將針對自己的霸凌留言，設為限定瀏覽，只有留言者能看見自己留下的霸凌言論，其他人均看不見。(圖/取自IG官網)

微軟本周宣布正式成立Azure Security Lab，這是一個模擬Azure且獨立的環境，允許安全研究人員盡情地在其中測試漏洞或發動攻擊。

微軟表示，Azure Security Lab是一個專供安全研究人員使用的雲端代管服務，可用來測試各種針對IaaS（基礎設施即服務）使用情境的攻擊，它具備一個安全的測試空間，也允許參與的研究人員直接與Azure的安全專家交流。

它的特別之處在於，不僅可用來研究Azure的安全漏洞，還能試圖開採這些漏洞，微軟將會舉辦基於場景的攻擊挑戰賽，最高獎金達30萬美元。

此外，微軟也在本周正式採納「安全港」（Safe Harbor）原則，將符合微軟抓漏獎勵專案準則的安全研究與漏洞揭露視為授權行為，不會向安全研究人員追究法律責任。

包括微軟及Google等龍頭科技業者就算內部擁有強大的安全團隊，也都透過抓漏獎勵以鼓勵第三方研究人員協尋漏洞，過去一年來，微軟已頒發超過440萬美元的獎金，本周微軟也將Azure抓漏獎勵的最高獎金提高了一倍，找到合格Azure漏洞的獎金將從500美元到4萬美元不等。

IBM在7月正式併購Linux作業系統發行商紅帽（Red Hat），現在發布了產品整合，除了OpenShift可在IBM公共雲上執行之外，現在IBM還推出預整合解決方案Cloud Paks，為企業提供整合通用服務集的原生雲端應用。這次發布還包括了在IBM混合多雲上，超過100種可在OpenShift上執行的IBM軟體解決方案。

IBM宣布其軟體解決方案將轉為原生雲端，並為OpenShift進行了最佳化，使得企業建立的應用程式，能在AWS、Azure、GCP、阿里巴巴和IBM的公有雲以及私有雲上運作。新的原生雲端功能，將以稱作IBM Cloud Pak的預整合解決方案形式提供，IBM會為經認證的容器化軟體，提供通用運作模型和服務，像是身份管理、安全性、監控與日誌紀錄服務等，使用者可以在統一的儀表板上，監控跨雲服務的運作狀況。

目前首波推出5個IBM Cloud Pak已經上市，包括自動化資料分析應用Cloud Pak for Data，之前產品名稱為IBM Cloud Private for Data，企業能夠統一收集、組織與分析資料工作，並跨雲端平臺提供廣泛的資料微服務。IBM Cloud Pak for Applications則讓企業可快速地部署Kubernetes應用程式，對於既存的應用程式，企業可以使用整合工具讓應用程式在Kubernetes上執行，或是快速地開發原生雲端應用程式。

Cloud Pak for Integration則提供企業跨雲端整合應用程式、資料、雲端服務和API，Cloud Pak for Automation則讓企業能夠在任何的雲端平臺上，建置並執行自動應用程式和服務，最後一個則為Cloud Pak for Multicloud Management，供企業管理跨雲工作負載，提供多雲工作負載的可見度、治理與自動化功能，降低大規模雲端應用營運成本。

另外，IBM也宣布在IBM Cloud上支援OpenShift，企業可以在IBM公有雲上運作OpenShift全託管服務，IBM提到，他們簡化了部署的程序，用戶只要點擊一個按鈕，系統就能自動開始部署工作，為企業提供混合雲端基礎設施。而現在OpenShift也能夠在IBM Z與LinuxONE企業平臺上執行，於用戶選擇的基礎架構上執行和管理原生雲端工作負載。

而相關的諮詢與技術服務，則繼續由紅帽認證的顧問團隊以及雲端應用程式服務團隊支援，IBM提到，這次的發布，也包含在IBM混合多雲平臺上，總共提供超過100個可在OpenShift上執行的軟體解決方案。