NASA上周末（5/30）在與民營公司Space X合作下成功發射火箭上太空，不料一個勒索軟體DopplePaymer背後的駭客組織也宣稱，他們成功入侵NASA一家IT外包商，取得NASA人事檔案。

DopplePaymer作者日前在暗網中貼出部落格文，首先恭禧SpaceX和NASA完成了成功發射任務，但指出，NASA的合作夥伴再一次沒有注意資料安全。這群駭客宣稱已竊取NASA IT外包商Digital Management Inc (DMI)的內部檔案，並貼出20多個壓縮檔為證，顯示已入侵DMI公司管理NASA資訊的系統。

駭客宣稱是NASA的壓縮檔中包含一個專案成員的人事檔案，如薪資、電子郵件等個資。ZDNet透過公開資料比對，證實似乎不假。

此外，暗網上也貼出超過2500個，疑似是DMI內部網路上的伺服器和工作站清單，駭客宣稱已經利用DopplePaymer加密提出勒索。

Cybersecurity Insiders報導，DMI提供IT外包的客戶除了NASA，還包括美國能源部和國防部。

DMI還未對此做出評論。

DopplePaymer作者的慣用手法是，他們會先公布受害組織一小部份資料樣本以勒索贖金，若受害組織拒不付錢，駭客就會在自己經營的網站上公布所有資料作為報復。

不過這群駭客也不是無差別攻擊。DopplePaymer宣稱自己從來不攻擊公立醫院、消防急救單位或照護機構。三月間如果有醫療機構不小心中了他們的招，他們還會免費為之解密。

政府外包商已經成為駭客攻擊的目標。5月間英國政府外包商也發生駭客攻擊事件，導致高達10萬名現任及前任員工個資及銀行帳戶等資訊外流。去年也分別發生俄羅斯情報機關及美國海關外包商被駭，導致重要資訊外洩。

在5月25日，居住於明尼蘇達州明尼阿波利斯（Minneapolis）的非裔美國人喬治·佛洛伊德（George Perry Floyd），他被白人警察德里克·蕭文（Derek Michael Chauvin）逮捕時，這名警員跪在佛洛伊德的頸部超過8分鐘，導致該名非裔人士當下失去知覺且送醫不治，有民眾將警員壓制的過程在臉書直播，使得此事曝光，引發美國各地民眾嘩然，發起示威遊行，要求當局重視種族歧視問題，並嚴審涉案的警察。這起事件也引發國際駭客組織匿名者（Anonymous）關注，並且採取行動，多次釋出影片，表示執法過當的警員要為此負責，否則要公布明尼阿波利斯警察的諸多罪行。

匿名者先是在28日在臉書上傳影片，表明要對於佛洛伊德遇害的事件有所行動，30日開始，明尼阿波利斯警局的網站無法存取，隔日該組織於推特上表示，此事是他們所為，並且也宣稱洩露了警方的電子郵件帳號密碼。然而，Troy Hunt認為，此事並非完全是事實，因為根據他與自己架設的Have I Been Pwned網站中，所採用的帳號密碼資料庫進行比對，發現駭客提出的資料其實早就已經外洩，沒有與這起攻擊事件直接相關。他認為各界在群情激憤的情況下，匿名者拿出這些資料，宣稱洩露警方的個資，很容易造成民眾和警方加深對立，引發更嚴重的衝突。因此，Troy Hunt也提出他的發現，來說明匿名者這次的攻擊行動，根本沒有從明尼阿波利斯警局的網站上，偷取電子郵件的帳號和密碼。

I'm seeing a bunch of tweets along the lines of "Anonymous leaked the email addresses and passwords of the Minneapolis police" with links and screen caps of pastes as "evidence". This is almost certainly fake for several reasons:

— Troy Hunt (@troyhunt) May 31, 2020

Troy Hunt指出，匿名者洩露了789組警方的電子郵件帳密，但實際上不重複的帳號只有689個，其中有87個在這組資料裡出現至少2次，有一個出現了7次之多。而這689個電子郵件信箱，有654個已經在Have I Been Pwned的資料庫裡，換言之，約有95％是曾經被洩露的帳號。

再者，大部分的明尼阿波利斯警局電子郵件帳號，還出現在不只一次攻擊事件中。根據Troy Hunt的統計，平均每個帳號已經被曝光5.5次，其中，有38個帳號資料只被洩露一次，最多的是有4個帳號曝光多達14次，換言之，這些資料多半在許多資料外洩事件出現過。附帶一提，他也從自己的推文分析，美國網頁應用程式服務的帳號資料一旦遭到外洩，通常有6成至8成的機率會再度被駭，但這些警局信箱帳號平均遭駭的頻率，還是比一般受害帳號要高出許多。

Troy Hunt分析這些警方電子郵件信箱曾經被洩露的次數，大部分都有出現2次的記錄，其中有4個帳號次數最多，曾出現在14起資料外洩事件。

為什麼這些警員的電子郵件信箱外洩的頻率這麼高？Troy Hunt指出，這些警官的密碼使用習慣，和許多社會大眾一樣差，近9成都是使用極為容易被猜到的密碼，再加上郵件系統管理者沒有要求密碼的強度，允許使用者設定8個全部是小寫字母的密碼，他不只看到像是123456這種懶人密碼，甚至還有只有「le」2個小寫字母的密碼，足見警員們對於密碼的設定可說是極度隨便，也有很多人是設定了像是andrew、maggie，以及martin等常見的人名。

Mozilla於本周二（6/2）釋出了Firefox 77，其中一項新功能是可自動選擇DNS over HTTPS（DoH）供應商，然而，Mozilla卻發現它造成部份供應商不堪負荷，於是在6月3日緊急釋出Firefox 77.0.1，關閉了該功能。

DoH為網域名稱系統DNS（Domain Name System）的加密解決方案，它利用HTTPS協定加密了瀏覽器傳送到DNS伺服器的內容，以防遭到窺探。Mozilla在去年的9月即宣布，要讓DoH成為Firefox瀏覽器的預設，目前的合作夥伴為Cloudflare與NextDNS。

在Firefox 77實施了可自動選擇DoH供應商之後，Mozilla資深軟體工程師Nihanth Subramanya卻發現該功能，可對NextDNS造成有效的服務阻斷攻擊，因此釋出Firefox 77.0.1將它關閉。Subramanya說，他們決定要按部就班地推出此一功能，才不會造成任何的供應商超載。

上述也是Firefox 77.0.1的唯一目的，至於本周出爐的Firefox 77主要提供了新的口袋名單推薦功能，在分頁上向使用者推薦全球網路最值得瀏覽的內容，另也針對Windows用戶，擴大部署新一代的2D渲染GPU引擎WebRender，以及修補了8個安全漏洞。

微軟更新Visual Studio 2019，新增多個可提升Linux開發體驗的功能，包括在Linux上支援建置系統Ninja，以及更完整地支援gdbserver，而且現在開發者也可以使用連接管理器（Connection Manager），編輯和配置預設的遠端連接。

使用Visual Studio 2019，可以在遠端Linux系統或是WSL上開發C++專案，開發者能選擇以建置引擎MSBuild來建置Linux專案，也能透過原生CMake支援進行Linux開發，微軟提到，使用CMake可以讓開發者以相同原始碼和建置腳本，建置跨平臺程式，而這也是微軟推薦的跨平臺解決方案。現在微軟要進一步改善Linux的開發支援，讓Linux的開發工作更加便捷。

Visual Studio現在於Linux支援Ninja，Ninja是一個高效能的建置系統，Ninja一直是針對Windows的CMake配置預設生成器（Generator），不過在最新的Visual Studio 2019版本中，微軟在Linux增加對Ninja的支援，微軟提到，Ninja通常執行得比Unix Makefile還要快，目前是遠端系統和WSL新的CMake配置生成器。

微軟使用bullet3以及LLVM兩個開源專案，來比較Ninja以及Unix Makefiles的效能，在虛擬機器中以Visual Studio完全重新建置這兩個專案，Ninja建置bullet3僅需要3分鐘，而Unix Makefiles則要11分鐘，LLVM的差異就更大了，Ninja只要40分鐘，Unix Makefiles卻需要花費143分鐘。

微軟在Visual Studio的第2項Linux開發改進，是強化對gdbserver的支援，gdbserver是可讓開發者遠端在Linux上除錯的程式，在最新的Visual Studio中，微軟新增了除錯器配置，讓開發者在遠端系統中，使用gdbserver對CMake專案進行除錯，這對目標系統可能沒有足夠資源執行gdb的嵌入式使用案例特別有用。

另外，微軟還改進了連接管理器，連接管理器是在Visual Studio中的好用工具，可讓開發者管理和儲存遠端系統的安全SSH連接，由於開發者的回饋，微軟在Visual Studio 2019 16.7版本中，開發者可以在連接管理器中，編輯和配置預設的遠端連接，也就是說，現在開發者可在不移除原本連接的情況，編輯已建立的遠端連接，Visual Studio不用重新複製遠端系統上編譯器引用（Include）目錄，這些目錄會自動複製到Windows上，提供IntelliSense使用。

定位為Microsoft Office 365電子郵件安全平臺的Abnormal Security，近日揭露多起鎖定Microsoft Office 365用戶的網釣攻擊行動，指出駭客假冒為使用者所服務的組織，聲稱自己是IT支援部門，要使用者進行VPN配置，但其實是為了竊取使用者的Office 365憑證。

Abnormal Security指出，由於疫情的關係，許多組織都要求員工在家上班，同時仰賴VPN以讓遠端的員工連結至重要的伺服器，同時確保安全的資料分享，然而，駭客也利用了此一現況，寄送謊稱為來自組織IT支援部門的郵件，並提供一個連向VPN配置的連結，以竊取使用者的Office 365帳號。

儘管駭客採用了不同的IP位址、不同的電子郵件帳號、鎖定不同的組織，但所連結的網釣網站卻是一致的，它是由一個Microsoft .NET平臺代管，看起來就像是Office 365的登入網站，只是它是假冒的。

根據估計，相關的網釣郵件已傳送到5千至1.5萬個Office 365用戶的信箱中。

自詡為全球首家區塊鏈鑑識公司的CipherTrace，在本周公布了今年前5個月的加密貨幣犯罪活動，指出在此一期間，有關加密貨幣竊盜、駭客及詐騙的損失，高達13.6億美元，其中貢獻最大的是發生在中國市場的Wotoken詐騙案，占了10億美元。

Wotoken被視為是一場龐式騙局，它在2018年7月以區塊鏈為名推出了Wotoken錢包，對外宣稱只要存入價值1,000美元的加密貨幣，就能換取等值的WOR幣，並參與加密貨幣的套利投資：在不同的交易平臺上買賣加密貨幣，以賺取中間的價差，並說每天的投資報酬率可達0.25%到0.5%，同時它也採用多層次傳銷架構，只要拉進新人，就可得到WOR幣。

然而，投資人在2019年的12月底發現，該錢包已無法交易或領錢，之後即被關閉，在短短的一年半，Wotoken吸引了71.5萬名投資人註冊，集資超過77億元人民幣（10.9億美元）。

這場騙局的受害者應該不只位於中國本土，因為連加拿大的不列顛哥倫比亞證券委員會，都曾在2019年的10月發出警告，指出Wotoken的高獲利與傳銷模式都是高風險投資的經典警報，呼籲投資人要多加留意。

其它在此一期間的詐騙案，則多半以武漢肺炎（COVID-19）為幌子，詐騙犯通常偽稱自己是合法機構，向投資人募集加密貨幣以救助受害者。

CipherTrace也公布了在2019年，接收最多犯罪加密貨幣的國家，第一名為芬蘭，在2019年所有犯罪所得的比特幣中，就有12.01%流入芬蘭，而當地的交易平臺LocalBitcoins即占了99%，居次的是俄羅斯的5.23%，英國則排名第三。這些比特幣可能來自於黑市交易、勒索軟體、駭客行動，或其它以加密貨幣交易的非法行為。

資安公司Lookout發布了最新的資安報告，Lookout調查了在過去一年的行動網路釣魚攻擊，發現去年專針對行動裝置的網路釣魚攻擊，在全球都呈現上升的趨勢，從2019年第四季到2020年第一季，全球行動釣魚攻擊事件更是大幅成長37％

而以區域各別來看，亞太區成長27.7％，歐洲、中東及非洲地區（EMEA）成長25.5％，美國則更是行動釣魚攻擊的重災區，從2019年底以來共成長了66%，Lookout提到，隨著釣魚攻擊越來越普遍，企業應該對員工進行適當的安全訓練，否則將會付出高昂的代價。

該報告提到，一旦網路釣魚攻擊成功，通常會讓企業損失慘重，在擁有1萬臺行動裝置的企業，每個釣魚攻擊事件會讓企業損失3,500萬美元，而擁有5萬臺行動裝置的企業，在每次釣魚攻擊事件中，損失將可能達1.5億美元。而在個人隱私資料更為重要的醫療保健產業，企業每年平均需要花費50萬美元來因應網路釣魚攻擊，Lookout表示，新興的技術通常是主要的攻擊目標，而行動裝置則提供有心人士攻擊企業的絕佳管道。

報告提到了今年2月，發生在加拿大銀行的大規模釣魚攻擊事件，有超過4,000個銀行客戶，收到了偽造的SMS訊息，這個訊息附帶網址，可連到一個看起來像是銀行線上服務的行動網站，雖然用戶可以從URL發現這是一個釣魚網站，但是多數使用者習慣快速操作手機，不會特別注意網址，導致多人上當。

Lookout提到，也由於在家工作的緣故，增加企業員工使用手機和平板的機會，雖然企業通常會部署電子郵件網路釣魚防護解決方案，攔截來自電子郵件的威脅，但是行動裝置的管道還有SMS、通訊軟體以及社交平臺，在簡化用戶體驗的同時，也讓使用者更容易受到攻擊。

Slack、AWS昨日（6/4）宣布一項多年合作，整合雙方產品及服務，提供企業遠端協同服務，並讓企業從Slack管理AWS資源，以便對抗共同對手微軟，而AWS也將導入Slack作為AWS員工協同平臺。

在這項合作下，Slack將把Slack Calls語音和視訊服務搬到Amazon通訊平臺Amazon Chime上，提供員工會議、聊天和通話服務。Slack並以AWS遍布各區域的資料中心，作為企業用戶服務的雲端底層。Slack也持續優先選用AWS的儲存、運算、資料庫、安全、分析及機器學習等服務，以開發新的協同功能。

除了技術整合外，AWS也將導入Slack作為內部協同平臺，成為Slack繼今年二月取得IBM這家客戶後，另一家重量級客戶。雙方顯然希望透過這項合作，以對抗共同主要競爭對手微軟。

雙方將有多項產品進行整合。首先Amazon Chime SDK即將原生整合於Slack Calls，提供即時影音通訊和螢幕分享等企業服務。

雙方也將整合金鑰管理服務（Key Management Service），Slack利用AWS金鑰管理服務，提供企業客戶加密金鑰的控管和發送。目前有超過90家企業，使用這項服務自行管理加密金鑰。

其次，Slack將整合AWS Chatbot。AWS Chatbot主要提供開發人員關於AWS應用的事件、安全問題、工作流程以及其他通知，透過雙方的整合，將讓Slack企業用戶的開發人員，利用AWS Chatbot 175項服務在不離開Slack環境下進行協同。最後，AWS雙向資料傳輸服務Amazon AppFlow將和Slack整合，使Slack用戶可在Slack和AWS服務如Amazon S3或RedShift進行資料傳輸。雙方也預告未來幾個月間會將加入新功能，讓多個Slack頻道（channel）可以在單一資料流和AWS服務，進行雙向資料傳輸。

Slack執行長Stewart Butterfield指出，藉由整合AWS和Slack頻道為基礎的通訊平臺，將可協助團隊在不離開Slack環境下，輕鬆和無縫管理雲端基礎架構專案，啟動雲端服務。

另一方面，Slack昨日（6/4）同步公布第一季財報，上季雖增加1.2萬家付費用戶，所有付費及免費新用戶來到9萬家，營收也成長50%來到2億美元，但扣除成本後仍然呈現負成長，每股盈餘虧損0.13美元遜於分析師預期，股價一度大跌13%，目前縮小到-5%來到37.94美元。

Google的威脅分析小組（Threat Analysis Group，TAG）總監Shane Huntley今日（6/5）在Twitter上透露，他們最近發現兩個由國家支持的駭客組織，企圖利用網釣郵件，滲透美國總統候選人拜登（Joe Biden）與川普（Donald Trump）的競選團隊，幸好並未成功。

自2012年起，Google就會針對國家級駭客的攻擊向用戶提出警告，這次TAG則揭露，攻擊拜登團隊的是由中國政府支持的APT31，打算滲透川普團隊的則是來自伊朗的APT35，他們除了已向使用者示警之外，亦已將調查內容提交給美國聯邦執法機構。

Huntley說，在此一大選期間，於競選團隊工作的使用者很可能成為駭客的攻擊目標，建議他們透過基於實體金鑰的雙因素認證，來保護個人帳號，就算駭客以網釣攻擊取得了使用者的登入密碼，也會因缺乏實體金鑰而功虧一簣。

根據德國暨歐洲最大應用科學研究機構夫郎和斐協會（Fraunhofer）的資料，APT31是由中國政府支持的駭客組織，主要任務為竊取智慧財產權；而源自伊朗的APT35看來，與微軟去年揭露的Phosphorus駭客集團是同一個，該組織擅長於長期的埋伏以收集戰略情報，通常鎖定美國與中東的軍事、外交及政府的個人，或是媒體、能源、國防基地、工程、電信及商業服務等領域的組織。

其實微軟去年8月亦曾觀察到APT35對選戰的興趣，當時APT35企圖攻擊241個微軟帳號，這些個人帳號有些屬於美國總統競選團隊，有些是美國前後任的政府官員，還有專跑全球政治新聞的記者，儘管駭客成功入侵了其中的4個帳號，但都非競選團隊或政府官員的帳號。

Threatpost引用了Digital Shadows安全工程師Charles Ragland的看法指出，這些進階持續性威脅（APT）團隊鎖定政治活動展開攻擊並非新鮮事，他們可能想要尋找可用來分化特定國家的資訊，或者是可用來支持其它駭客行動的情報。

美國明尼蘇達州非裔男子佛洛伊德（George Floyd）日前疑遭警方執法過當而致死，就在全美因此而掀起遊行、示威、抗議，甚至演變成暴動之際，蘋果執行長Tim Cook發表了一篇公開信來悼念Floyd，且蘋果官網也改用黑白色系來致哀。

Cook說，人們必須為了彼此而站出來，承認Floyd被無理殺害所引發的恐懼、傷害與憤怒，以及美國長期以來的種族主義。過去的傷痛迄今仍存在，不只是以暴力的形式，也根植於日常生活的歧視中，不管是在司法系統上、在特定社區不成比例的疾病上、在社區服務的不平等上，或者是孩子所接受的教育上。

就算法律已經改變了，但對種族的保護依然未得到普遍的應用，儘管這些年來有所進步，可是有色人種繼續遭受歧視與創傷也是事實。

Cook認為，為了推動改變，人們必須重新審視此一經常被忽視的、深感痛苦的觀點與行動。現在許多人都想恢復正常狀態，但不得不說的是，這樣的想法是一種特權的象徵，Floyd的死亡令人震驚，也是個悲劇，代表人們的眼光應該要遠高於「正常」的未來，著眼於建立一個基於平等與正義的未來。

事實上，不只是蘋果，美國許多科技公司都出面回應了Floyd事件，Google除了在美國的Google與YouTube首頁上悼念Floyd之外，執行長Sundar Pichai在Twitter上表示，那些感到悲傷、憤怒與恐懼的人並不孤單，Google支持種族平等；臉書也立刻表達要捐出1,000萬美元予人權組織；Tesla執行長Elon Musk在Twitter上提及此事時，採用了「替George追尋正義」（#JusticeForGeorge）的標籤；Amazon則在Twitter上寫下「美國必須停止對黑人的殘酷與不公正的對待，他們將與黑人社群一同對抗系統性的種族主義與不公平的現象。」

0530～0605

 電子支付   金管會  
國內電子支付使用人數逾829萬人，街口支付用戶233萬人超越LINE Pay Money
金管會銀行局副局長黃光熙日前公布4月份電子支付機構業務市場最新現況。他指出，截至今年4月底，共有5家專營電子支付機構與23家兼營電子支付機構，電子支付總使用者人數約829萬人，較上月增加39萬人。而當月代理收付實質交易款項金額約37.2億元，較上月增加2.2億元。

根據金管會4月統計，國內使用者人數最高的電子支付是街口支付，使用人數約233.6萬人；一卡通與LINE Pay合作的LINE Pay Money（原LINE Pay 一卡通）則排名第二，使用人數約229.2萬人；第三名則是玉山銀行的電子支付，有116.2萬名使用者。

 悠遊付   未成年註冊
未成年人也能註冊悠遊付，經兩名法定代理同意即可線上申辦
悠遊付自6月1日開始正式開放未滿20歲的未成年人註冊，悠遊卡公司表示，未成年人只要在雙法定代理人同意下，即可在線上申請註冊。在申請流程上，未成年人申請時需檢具2名法定代理人資料，來完成申請程序，再由悠遊卡公司核對身分資料、並經法定代理人同意後，就可以開通悠遊付帳戶。需注意的是，法定代理人須成年且為經悠遊付會員認證。

目前，悠遊付僅支援Android 6.0以上且具NFC功能的手機，未成年族群也能用手機嗶搭乘捷運或公車了。甚至，悠遊卡公司表示，父母還能透過悠遊付的轉帳功能，發放零用錢給小孩，且不需負擔轉帳費用。

 永豐銀行   QR Pay 
搶攻微型、個人商家行動支付收款市場，永豐銀首創自然人特約商店可線上申辦QR Pay收單
永豐銀行6月1日宣布，推出網路申辦自然人特約商店QR Pay收單，讓微型、個人商家可在一站式平臺線上申辦QR Pay收單。永豐銀行零售金融處處長吳建毅表示，政府推廣行動支付，去年超過6,000個小規模營業商家申請適用相關租稅優惠，比起2018年增加超過3倍，同時，主管機關也推行自然人可成為信用卡收單特約商店等政策。

永豐銀行表示，不具備營利事業登記的個人商戶，以往多受限於營業額較小、不符合佈建刷卡機成本等因素，傳統收單銀行往往不願受理自然人申請特約商店。為加速微型或個人商家導入，永豐銀行推出的自然人特約商店線上申辦，申辦人即便沒有公司登記或營利事業登記，只要能夠列舉營業事實，即可在線上完成QR Pay收單申辦作業，不用臨櫃申請，若需補繳文件，也能在線上直接完成。

永豐銀提到，申辦自然人特約商店採QR Pay掃碼收款解決方案經該行審核通過後，店家不須額外安裝硬體設備，消費者只要打開QR Code 掃描器，就能以信用卡、Apple Pay或Google Pay付款消費。

 國泰金控   區塊鏈   電動車車聯網  
國泰金控推電動車車聯網區塊鏈金融平臺，先聚焦銀行與產險業務場景
國泰金控數位數據暨科技發展中心近期對外發表第一個區塊鏈計畫「電動車車聯網區塊鏈金融平臺」，找來電動車充電站服務平臺ChargeSmith與區塊鏈新創BSOS合作，採用Hyperledger Fabric區塊鏈框架，要把電動車行車電腦資料上鏈。目前，已先找來4位特斯拉電動車車主，進行為期3個月的PoC驗證，來證明整套資料流運作模式的可行性之後，就會開始大量招募電動車車主。國泰金控預估，正式服務將在今年底陸續上線。

國泰金控計畫先用於銀行與產險業務場景。比如，國泰產險可針對車主的行車習慣或駕駛行為，評估規畫發送行車安全提醒簡訊，或是推薦合適的個人化保險商品。同時，也正在研究當車主發生交通事故時，運用區塊鏈資料不可竄改的特性，優化理賠審核流程。銀行則規畫用在融資申貸，未來當車主要用車體履歷申請融資時，國泰世華銀行的評估人員可透過區塊鏈來獲取車主行車資訊如里程數，以及維修記錄等來評估車況，像是用維修記錄判斷車子有無撞過，藉此減少車主與銀行一來一往的時間，加快核貸速度。（詳全文）

 國泰世華銀行   ATM查繳信用卡費 
不用帶帳單也能繳卡費，國泰世華銀行ATM推出信用卡費即時查繳服務
國泰世華銀行近期在自家ATM推出信用卡費即時查繳功能，讓客戶繳卡費不用再帶帳單。國泰世華銀行表示，客戶到ATM直接點選繳信用卡費功能，不用插入金融卡，只要輸入身分證字號與生日，即可查詢當期信用卡帳單，接著可選擇插入金融卡，自帳戶扣繳、或放入紙鈔來繳費。此外，也可用國泰世華銀行有零錢機功能的ATM，選擇用零錢繳費，繳完還能找零。

國泰世華銀行表示，截至5月底，在全臺擁有近4,500個ATM服務據點，177臺有零錢機功能的ATM。

 開放銀行   開放API  
開放銀行第二階段共3大類18支消費者資訊開放API，預計Q3上路
金管會主委黃天牧宣布開放銀行第二階段將在今年Q3上路。財金公司更揭露第二階段最新進程，去年底已完成第二階段消費者資訊查詢技術與資安標準制定，今年，財金要進行技術與資安標準的核備，下半年金融機構即可與合作的TSP業者，針對現行核備的自律規範與技術與資安標準，來提報金融機構業務申請試辦，試辦內容可依據金融創新試辦要點來進行。

財金也揭露第二階段API應用項目，共分為存款、貸款、其他銀行服務3大類，共有18支API，比如貸款類就開放了10支API，像是申請信用卡本期帳單分期、查詢信用卡當期帳單資訊等。不過，財金強調，這些未來都會滾動式調整修訂。另外，財金也針對開放API第二階段測試驗證進行說明，主要有訊息處理、憑證作業和認證機制三大要求。

此外，財金今年也會持續觀察英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。（詳全文）

 永豐金控   數位科技  
永豐金控今年要招募200名數位科技人才
永豐金控總經理朱士廷日前宣布，2020年計畫全年徵才目標約為1,500人，其中銀行約800人、證券約550人，主要招募對象為策略、數位科技、海外人才。然而，因疫情影響，所以金融業今年的校園招募紛紛取消，永豐金也改採遠距視訊面試模式，讓面試主管、應徵者、人資人員三方線上進行面試。

朱士廷指出，永豐金控今年要招募200位數位科技人才。他提到，在數位科技人才方面，永豐金投入大量資源發展AI，延攬了10位儲備AI科學家加入永豐AI實驗室，並啟動數位人才希望工程，從人才接觸永豐的形象前端，到後面一系列的甄選、任用、培育、晉升、發展與留任等部分進行全方位的檢視和調整，以吸引與留任科技人才。

 臉書Libra   數位錢包  
臉書加密貨幣子公司Calibra更名為Novi，首個服務將推數位錢包
臉書旗下的加密貨幣子公司Calibra近期宣布，已將公司名稱變更為Novi Financial，打算提供全球用戶更易存取金融服務的長期目標是不變的，而且會在Libra網路上線時，盡快推出Novi數位錢包服務。負責Novi Financial的David Marcus說明，Novi Financial的首個服務，將是基於Libra區塊鏈網路的Novi數位錢包。

Marcus解釋，Novi可讓轉帳變得跟傳訊一樣方便，使用者可單獨使用Novi程式，也能在Messenger或WhatsApp程式中使用Novi服務，不管是儲值、轉帳、收款或提錢都不會有任何的隱藏費用，而且帳款也會即時到達。此外，所有Novi用戶都能藉由政府頒發的身分證件進行認證，也將內建多種詐騙保護機制，並提供全天候的客戶支援服務。不過，Novi服務的推出時程得視Libra網路的上線日期而定，惟目前Libra並無明確的發表日。

圖片來源／悠遊付、永豐銀行、國泰金控、政大金融科技研究中心線上直播；攝影／李靜宜

責任編輯／李靜宜

思科安全研究團隊Talos Intelligence發現Zoom兩項安全漏洞，可能導致攻擊者在受害電腦上執行任意程式碼，或者結合其他漏洞。在思科團隊的通知下，Zoom已經完成修補。

Zoom的通話功能是跑在XMPP標準上，並以其他擴充功能增加訊息豐富度，而二項漏洞都是和擴充功能有關，一是支援包含GIF動畫檔，二是支援包含程式碼片段。

第一項漏洞CVE-2020-6109為一項路徑穿越（path traversal）漏洞，出在Zoom用戶端處理包含GIF圖檔的訊息過程中。Zoom原本允許使用來自Giphy（現為臉書買下）伺服器的動畫圖檔，為訊息加入效果，但在本漏洞中，卻讓Zoom接收任何伺服器的圖檔。這讓駭客對單一用戶或目標群組傳送惡意訊息觸發漏洞，造成任意檔寫入而引發任意程式碼執行，結果為洩露資訊。

在CVE-2020-6109中，攻擊者傳送的檔案可以.gif為副檔名，但內容可能是執行檔或腳本程式，協助開採其他漏洞。CVE-2020-6109 CVSS 3.0風險評分為8.5。

另一個漏洞編號CVE-2020-6110，則發生在Zoom用戶端處理有共享程式碼片段（code snippet）的訊息的過程中。Zoom分享程式碼片段時會是以壓縮檔ZIP進行。不同於普通ZIP檔，CVE-2020-6110下，ZIP接到的ZIP檔若為共享程式碼片段，會自動解壓縮以便預覽，而未驗證ZIP檔的內容檔案。這使得攻擊者得以植入任意二進位檔，而在目標電腦上執行。而路徑穿越問題，讓這個ZIP檔可以在原本應有的目錄以外寫入檔案，進而開採其他漏洞，但研究人員指出，後者攻擊需要使用者有動作。CVE-2020-6110 CVSS 3.0風險評分為8.0。

兩項漏洞都影響Zoom 用戶端4.6.10，而CVE-2020-6110還另外影響4.6.11版，包括Windows、macOS及Linux版本。CVE-2020-6109 CVSS 3.0風險評分為8.5，而在Talos Intelligence通報後，Zoom已經釋出新版4.6.12版予以解決。

德國與法國在本周正式發表了GAIA-X專案，同時在比利時成立了實體的GAIA-X基金會（GAIA-X Foundation），打算建置一個供全歐使用的資料基礎設施，以減輕對美國或中國雲端業者的依賴，新的架構預計於明年上線。

GAIA-X基金會的創始會員有22家，德國與法國分別占了11家，然而，該基金會定位為非營利組織，且將採用開放架構，邀請歐洲的國家一同參與，打算支援歐洲數位生態體系的開發，推動以資料驅動的各式創新服務與應用，最終目標是建立具備互動及可攜能力的架構、資料與服務，且奠基在高度的使用者信賴上。

德國聯邦經濟事務暨能源部（BMWi）去年就提出了GAIA-X專案，根據BMWi的規畫，他們想替歐洲各國、企業與民眾建立一個新一代的資料基礎設施，既符合數位主權的高標準，也能協助推動創新，期望在一個彼此信賴的環境中，提供資料與服務的應用、蒐集與共享。

BMWi表示，推動GAIA-X專案有三大因素，分別是資料主權、資料可得性，以及創新。因為市場上的雲端服務都是由非歐洲業者主導，它們擁有強大的市場與資金，但同時他們也看到國際間漸增的緊張局勢與貿易衝突，歐洲需要確保自己能夠永久地維護數位主權。

至於GAIA-X的資料基礎設施的核心，包括分散式、安全、信任、透明、開放，以及作為生態體系的基礎，期許它能夠激發新的生態系統，以強化雲端服務使用者的數位主權，同時協助歐洲的雲端服務供應商擴大業務並改善競爭力。

BMWi亦強調，GAIA-X的目的並非與既有的雲端服務供應商競爭，而是透過開放介面與標準，連結不同的元素以聚集資料，並建立一個創新平臺，歡迎各個國家及多元的產業參與。

隨著全球疫情持續，國際間早已傳出許多假借防疫名義的網路釣魚詐騙事件，近期臺灣也有相關案例，警政署刑事警察局在5月29日發布公告，指出這些網路釣魚行動的目的，是要竊取個資與電子郵件帳號密碼，且國內已有企業員工受害。

特別的是，這些釣魚網站都使用了國內的IP位址，經刑事局調查，結果他們發現，它們其實是國內企業與民眾所部署的無線路由器，並說明是設備存在漏洞被駭客控制，遭設定VPN作為跳板所導致，可能釣魚網站本身並不在臺灣。由於警方揭露的資訊有限，因此我們進一步詢問這次事件下，有關釣魚網站與網通設備漏洞的細節。

關於國內無線分享器被當成跳板一事，刑事局科技犯罪防制中心科技研發科股長黃翰文表示，他們最初是追查釣魚郵件的相關網址連結，以及郵件標頭，並分析其網釣行為模式，進而追查到被利用的跳板。

根據調查，駭客利用這些跳板轉發偽冒防疫的釣魚郵件，吸引使用者開啟電子郵件，並前往信中的釣魚網站。從調查局公布的資訊來看，這樣的網路釣魚攻擊方式，有可能是駭客要利用VPN來規避一些安全防護機制。

對於釣魚詐騙信的內容，黃翰文指出，駭客會針對入侵的對象來設計與偽造，目前發現中文、英文版本都有。在手法方面，這批釣魚詐騙信會假冒某些公司的人事部門，由於一般的疫調會詢問員工的健康狀況，確認是否有發燒、咳嗽症狀，但詭異的是，信件進行調查之前，會要求員工前往信中連結，而這些偽冒網站會需要登入自己公司的帳號密碼，其實就是藉此騙取身分機密。

這起事件的另一焦點，是用戶的無線分享器被當成跳板，國內這樣的情況多嗎？黃翰文表示，刑事局近期發現5到6起事件，都是網通設備存在漏洞，遭駭客利用進行犯罪，而且這些無線分享器，有的屬於個人，有的則是由企業管理，使用者並不知道自己的設備遭駭，直到接獲通知才知曉。

因此，刑事局科技犯罪防制中心科技研發科呼籲，面對網路威脅，應如同民眾主動配合防疫一樣，企業與民眾都應重視網通設備的安全管理，具備資安風險意識，以及做好基本的資安防護措施。

畢竟，民眾都能保持警覺配合政府防疫措施，面對同樣是肉眼看不見的電腦病毒，警方認為，在觀念上，民眾也應該要能配合，要有警覺性，以及具有防駭的意識與採取措施。

網通設備漏洞影響多家產品，Totolink產品用戶最要當心

特別的是，犯罪防制中心提到這些無線分享器的漏洞資訊，分別是CVE-2019-19822，以及CVE-2019-19823漏洞，同時他們也已通知廠商修補，但並未具體說明是哪家業者，僅表示對方已在今年4月發布更新修補程式，並關閉遠端管理漏洞。

在這次事件下，為了幫助用戶瞭解那些網通產品可能受影響，成為潛在的駭客攻擊對象，因此，對於上述兩個漏洞，我們也進一步找到相關資訊，這是研究人員Błażej Adamczyk在去年12月所揭露的漏洞。

簡單來說，上述兩個漏洞主要存在基於Realtek SDK的路由器系列，影響多個廠牌的產品，其中Totolink產品數量最多，共有8款產品受影響，包括A3002RU、A702R、N301RT、N302R、N300RT、N200RE、N150RT與N100RE。

其他受影響的廠商，還包括CIK Telecom、Coship、Fibergate、IO-Data、KCTVJEJU、t-broad與Sapido等，已知各有一款產品受影響。

在這次事件中，關於刑事局所指出連網設備存在的CVE-2019-19822，以及CVE-2019-19823漏洞，我們進一步搜尋相關資訊，這兩個漏洞是由來自波蘭西里西亞技術大學的研究人員Błażej Adamczyk，在去年12月16日所發現，影響Totolink與其他Realtek SDK的路由器產品。

國內兩大連鎖超商業者，先後運用IT強化鮮食管理，解決門市剩食導致食材浪費的問題。繼全家去年推出「友善食光」，以價格促銷即將過期的商品，7-Eleven也宣布6月開始，將在全國5700多家門市推動 i珍食專案，估計減少的浪費食材量，相當於一年超過400萬顆御飯糰。

全家超商在去年便推動「友善食光」，將到期前7小時的鮮食商品以折扣方式促銷，吸引消費者購買這些即期商品，有效降低鮮食報廢的情形，背後仰賴的正是全家在多年前就採用的時控條碼，最初目的為防止門市售出過期商品給消費者，「友善時光」進一步將時控條碼結合時間定價機制，讓條碼依時間反映價格折扣，以促銷即期商品，降低鮮食報廢的問題。

7-Eleven為強化門市的鮮食商品管理，在2014年導入智能標貼，將鮮食條碼和後臺的POS系統結合，當店員為消費者結帳時，如果掃描快過期的鮮食商品條碼，就會顯示警示訊息，無法刷讀條碼結帳。在此之前，門市靠著店員以人工方式檢視商品效期，挑出過期前30分鐘的商品報廢，但以人工方式挑出報廢商品可能會有遺漏。

7-Eleven表示，智能標貼需搭配系統升級，同時串聯門市帳務系統、支付工具等，鮮食商品為實現門市差異化的重要一環，除了提升商品力，協助門市減少食材浪費，可帶動鮮食商品銷售成長及提高訂貨信心。

今年4月在臺北市800家7-Eleven門市測試i珍食專案，升級智能標貼系統，將鮮食管理的時間限縮到賞味期前8小時，並提供7折的價格優惠，當消費者購買御飯糰等鮮食商品，在貨架上就會看到貼有 i珍食貼紙的商品，代表該商品即將過期，享有7折優惠。經過測試，發現折扣確實吸引消費者，購買者以19到35歲居多，以學生居多，女性消費者佔6成。

6月3日起i珍食專案擴大到5700家門市，鮮食商品品項也從原來的約60種，擴大到鮮食麵、湯品、沙拉、麵包、三明治、漢堡等上百種商品。7-Eleven估計省下的浪費食材，一年相當於超過400萬顆御飯糰的量。

7-Eleven也從門市端著手，例如門市的銷售預測訂貨系統，自動產生訂貨值，為了提高預測準確性，納入天氣氣候因素，以及去年同期銷售表現，減少庫存、報廢商品的情形。另外，從8月開始，4度C的門市鮮食預訂也將提前至12小時前訂貨，讓鮮食廠有更多的時間準備調整，避免食材的浪費。

目前已在門市銷售預測訂貨系統上導入AI，能做到單店精準銷售預測，部份商品類別在全門市導入，X-Store則可做到全類別商品導入。

在生產端為避免食材浪費，7-Eleven以7度C低溫冷鏈系統，涵蓋食材的處理、生產、配送各個環節，避免食材變質報廢；另依鮮食商品的不同，建立18度C及4度C溫度鮮食廠，搭配低溫冷鏈物流系統，以降低因溫度控制不當，報廢食材的問題。

透過上述種種方式，7-Eleven希望在2030年前達成剩食減半的目標。

在5月底，美國國家安全局（NSA）發出警告，俄羅斯駭客集團Sandworm自去年8月開始，針對郵件傳輸代理程式（Mail Transfer Agent，MTA）Exim，利用一個在去年6月被公開的漏洞CVE-2019-10149，不斷發出攻擊，呼籲企業要趕快修補Exim。但實際曝露於已知漏洞風險的Exim伺服器數量，究竟有多少？威脅鑑識公司RiskIQ公布了他們的分析結果，從5月1日到27日之間，他們總共發現有至少90萬臺Exim主機，存在被上述駭客集團攻擊的風險。

RiskIQ指出，美國國家安全局提到的CVE-2019-10149，他們認為只是其中一個被Sandworm濫用的漏洞，駭客還可能同時利用了2個Exim漏洞，分別是CVE-2019-15846與CVE-2019-16928，它們也都可被用於遠端程式碼執行攻擊（RCE），於去年9月獲得修補。這些漏洞都是在Exim在4.92版修補CVE-2019-10149之後，才被公開並得到處置。而上述提及存在相關風險的Exim郵件傳輸代理程式主機，有超過60萬臺是升級到4.92版，換言之，曝露於CVE-2019-10149漏洞的舊版Exim主機，有近30萬臺。

根據RiskIQ的統計數據，在面臨前述駭客組織威脅的Exim伺服器，大約每3臺就有2臺是4.92版，顯示許多企業相當重視CVE-2019-10149漏洞帶來的問題，但光是更新到4.92版還不夠，因為另外兩個漏洞也相當嚴重。另一方面，美國國家安全局呼籲企業要採取的因應措施，是升級Exim到最新版本（目前是4.94版），因此RiskIQ指出，企業不應認為只要升級到4.92版，就足以緩解遭到俄羅斯駭客鎖定的危機。

臺灣開放銀行第二階段Q3上路

金管會主委黃天牧宣布臺灣開放銀行第二階段，將在今年第3季上路，並先採取試辦模式。財金公司在去年底完成第二階段消費者資訊查詢技術與資安標準制定。今年，要進行第二階段技術與資安標準的核備，並且，協助銀行就核定版的技術與資安標準，進行業務申請試辦。

此外，今年財金也會持續觀察如英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。更多內容

使用者體驗明年開始影響Google搜尋排名

Google預告2021年會把使用者的網頁經驗，納入搜尋結果的排序依據。目前搜尋的排序依據是來自於數百種指標，未來則會加入與使用者經驗相關的指標，包含Chrome先前發表的Core Web Vitals。更多內容

臺灣超前部署防疫App將提供原始碼供外國政府防疫

圖片來源_疾管署

臺灣中央流行疫情指揮中心資訊組組長、也是行政院資安處處長簡宏偉，在6月1日記者會中正式對外公開，臺灣有2個超前部署App已經完成，包括：社交距離App以及健康回報App，將提供原始碼給外國政府防疫之用。更多內容

網路設備淪為轉發釣魚郵件跳板

隨著全球疫情持續，國際間已傳出許多以防疫為名的網釣事件，近期臺灣也有相關案例，警政署刑事警察局在5月29日發布公告，指出這些網釣行動，目的是竊取個資與電郵帳號密碼。特別的是，這些釣魚網站都使用了國內的IP位址，經刑事局調查，結果他們發現，它們其實是國內企業與民眾，所部署的無線路由器，並說明是設備存在漏洞被駭客控制，遭設定VPN作為跳板所導致，可能釣魚網站本身並不在臺灣。更多內容

Taiwan FidO行動身分識別使用人數破萬

報稅旺季來臨，今年5月，在綜合所得稅網路申報的網站系統上，提供了更多元的身分驗證選項，支援去年內政部新推的Taiwan FidO臺灣行動身分識別，讓民眾在登入政府網站服務時，可以透過手機的生物辨識，來驗證身分，免輸入密碼，截至5月底，已有超過1萬民眾使用這樣的方式，登入報稅系統。更多內容

國防資通電軍人員遭調查局偵辦

有臺灣媒體報導國軍網路戰聯隊，因執行漢光演習模擬紅軍攻擊任務，卻被依內亂外患罪送辦的消息，目前調查局與高檢署仍在偵辦。

我們取得一位與案情相關的前黃姓上尉說法，他表示，這起事件最初是在2017年5月舉行的漢光33號演習，當時舉行的國軍攻防演練計畫中，由當時稱之為網路戰大隊（網路戰聯隊前身）負責，在演練過程，攻擊團隊發現國防部參謀本部人事次長室（聯一）的網站漏洞。更多內容

行政院回應戶政個資外洩事件

資安公司Cyble在5月29日揭露，他們在暗網裡發現一個外洩資料庫，駭客宣稱包含超過2千萬筆民眾個資，資料庫的來源是內政部戶政司，而引起各界關注。

行政院資安處處長簡宏偉表示，該資料庫的內容其實不是戶政資料，是多組個資資料庫整併而成。根據資安處的說法，這些資料曾於2017年出現，當時他們就與戶政單位進行確認，內容不是戶政資料，而在5月29日的事件裡，他們先前已確認這些資料不是由戶政單位所流出，並且從資料的時間、欄位，以及內容等3個層面，來說明該資料庫的特性，例如，個資內容相當老舊，而且是由多個來源拼湊而成。更多內容

國泰金控推電動車車聯網區塊鏈金融平臺

圖片來源_國泰金控

國泰金控數數發對外發表首個區塊鏈計畫，透過與電動車充電站服務平臺ChargeSmith與區塊鏈新創BSOS共同合作，採用超級帳本開發框架，要把電動車行車電腦資料上鏈，規劃先應用在集團旗下銀行與產險的業務場景。數數發區塊鏈團隊更首度揭露採用超級帳本自行建鏈的關鍵。更多內容

臺灣5G手機前哨戰提前開打

國內最快將在7 月迎來5G，隨著5G開臺進入倒數階段，近期國內手機市場也開始升溫，繼三星之後，LG、Sony也先後推出5G手機，首波鎖定旗艦級手機。

中華電信可望搶先開通5G服務，6月初NCC發給中華電信3.5GHz、28GHz兩頻段特許執照，在取得特許執照後，接下來中華電信將籌備營運，只要準備妥當便能按自身規畫，適當時機宣布開通5G服務。更多內容

思科買下SaaS網路效能監控業者ThousandEyes

全球網通設備大廠思科（Cisco）準備買下美國SaaS網路效能監控業者ThousandEyes。ThousandEyes主要針對大型企業與服務供應商提供網路情報，包括微軟、Slack、PayPal及Salesforce都是其客戶。更多內容

Rust五度蟬聯開發者愛戴語言排名冠軍

開發者社群Stack Overflow針對6萬名開發人員進行調查，顯示Rust已是連續第五年獲得最愛程式語言排行榜上的冠軍，而在微軟的推動下，去年與Python不相上下的Typescript，在今年站上排行榜亞軍。更多內容

微軟裁撤約聘新聞編輯，以AI取代

圖片來源_微軟

報導指出，微軟正在導入AI的半自動化作業，由演算法自數十個出版夥伴網站挑選新聞、初步過濾及處理後交給編輯、還會建議搭配的照片，而由人類選擇頭條新聞，現在微軟決定全部自動化，AI還能改寫標題、配照片、製圖。微軟同時對外證實，已裁掉旗下數十名約聘新聞編輯。更多內容

微軟Package Manger爆出抄襲自他人產品

微軟在Build 2020大會宣布Windows Package Manager引起矚目，不過一名開發者聲稱這是微軟以欺騙手法，取得他人產品智財的結果。開發AppGet的Keivan Beigi聲稱，微軟曾找他面試並討論AppGet技術細節但未獲錄用，直到微軟發表Windows Package Manger後，Beigi才發現微軟抄襲了AppGet。更多內容

Chrome 84將開始封鎖遭濫用的網站通知

Google宣布，自2020年7月釋出的Chrome 84開始，就會對濫用的網站通知開鍘，自動封鎖那些遭到濫用的網站通知，包括要求使用者得先允許通知才能存取網站內容，以及把通知偽裝成系統對話視窗，誘騙使用者點擊時導向廣告的假網站通知。更多內容

樹莓派4最新8 GB版本售價75美元

圖片來源_樹莓派

在樹莓派4（Raspberry Pi 4）上市將近一年之後，官方推出版本更新，提供8 GB的記憶體版本，而2 GB版本則從原本的45美元降低至35美元，作業系統也同時更名成為Raspberry Pi OS。更多內容

駭客透過開發者在GitHub架後門

今年3月，一個署名為JJ的資安人員，向GitHub通報發現新的攻擊事件，駭客鎖定採用NetBeans整合開發環境的電腦來攻擊，導致這些開發者提交到GitHub的程式碼帶有後門。該團隊獲報後，隨即展開調查，發現有26個開源專案，被惡意軟體借殼上架後門。更多內容

BlackBerry資安研究單位與KPMG合作，最近發現了一個稱為Tycoon的勒索軟體，這個軟體以木馬化JRE（Java Runtime Environment）形式部署，研究人員提到，雖然Tycoon已經存在一段時間，但他們沒有觀察到大規模感染狀況，代表其具有很高的針對性。

研究人員第一次在網際網路上觀察到Tycoon是在2019年12月，這是一個針對Windows和Linux的多平臺勒索軟體，其使用了特殊的Java映像檔格式來規避偵測，並經高針對性的感染途徑，滲透到中小型的教育組織和軟體公司，藉由加密檔案伺服器來要求被害企業支付贖金解密。

經分析，Tycoon透過暴露在網際網路的RDP跳轉伺服器入侵企業網路，攻擊者使用網路上的RDP伺服器連接到系統，並且搜尋目標，尋找管理員的憑證，接著安裝駭客攻擊服務並且禁用防毒軟體，在留下後門後便離開。之後攻擊者會再次連接到RDP跳轉伺服器，並且把該伺服器當作樞紐，橫向地在網路中移動，連接到企業各系統，經過分析後，執行駭客攻擊服務，並以批次檔安裝勒索軟體，逐一感染企業網路中的伺服器。

為了讓惡意程式在受害者系統可長時間留存，攻擊者使用了一種稱為映像檔劫持（Image File Execution Options，IFEO）注入的技術，IFEO設定會儲存在Windows註冊表中，原本是讓開發者可以在執行主要應用程式的時候，能同時執行附加監控程式，來對主要應用程式進行除錯，而駭客利用這個方式載入惡意程式，作為獨立的程序執行。

攻擊者還使用了駭客攻擊工具禁用了企業網路的安全解決方案，並更改Active Directory伺服器密碼，讓受害者無法存取系統，最後，攻擊者執行了Java勒索軟體模組，對所有檔案伺服器加密，包括連接到網路的備份系統。

Tycoon勒索軟體是以ZIP檔案的方式散布，其中包含了一個木馬化的JRE，該惡意軟體被編譯成為Java映像檔（JIMAGE），研究人員提到，JIMAGE是一種特殊的檔案格式，用來儲存自定義的JRE映像檔，這個JRE映像檔會在執行時給JVM使用，其包含了支援特定JRE建置程式的所有Java模組資源和類別檔案。JIMAGE是在Java 9開始提供，不像是常用的JAR格式，JIMAGE通常用於JDK內部，相關的文件資源也很少，一般開發者很少使用。

勒索軟體映像檔解開後，裡面包含命名為Tycoon的專案，研究人員提到，因為JRE包含了Windows和Linux版本，這代表Linux伺服器也在鎖定目標中。

勒索軟體使用AES-256演算法加密檔案系統中的檔案，並且以10 MB為單位加密成檔案塊，研究人員解釋，勒索軟體會跳過大檔案，以求加速加密過程，更快地讓整個系統無法使用。由於勒索軟體使用非對稱的RSA演算法，對AES金鑰進行加密，因此要解密檔案，便需要攻擊者的RSA私鑰。雖然理論上可以破解1024位元RSA金鑰，但需要用上非常大量的運算資源，目前也尚未有實現的例子。

不過，在網路論壇有一名受害者發布了一個RSA私鑰，研究人員推測該私鑰來自於支付贖金的受害者，所取得的解密金鑰，而經過他們試驗，該金鑰可以破解最早版本的Tycoon勒索軟體加密的部分檔案，但在最新版本的Tycoon便已經失效。

發現Tycoon勒索軟體的重要性在於，該惡意程式應用了非典型的駭客技術，研究人員提到，攻擊者一直在尋找可以規避偵測的方法，而事實證明，這些惡意軟體開始使用一些非傳統的混淆技術，採用了不常見的程式語言以及資料格式，用Java和Go程式語言所撰寫的勒索軟體大幅成長，而Tycoon是他們發現第一個使用JIMAGE格式的惡意JRE程式。

在5月29日，刑事警察局公布有駭客集團假借防疫名義架設釣魚網站，當中提到釣魚信的寄發，是透過一家不知情企業的無線分享器作為跳板轉發，而設備之所以成為跳板，根據刑事警察局說明，原因是無線分享器存在CVE-2019-19822及CVE-2019-19823的漏洞，遭駭客利用，導致設備被對方掌控，並被擅自設定VPN連線所造成。

因此，當時刑事局科技犯罪防制中心科技研發科特別強調一點，就是網路設備若未立即修補更新，恐造成資安缺口，因此，當時他們函請該無線分享器廠商修補漏洞，同時也呼籲民眾要使用者重視連網設備的安全管理。

對於駭客掌控這些無線分享器設備的風險，科技犯罪防制中心科技研發科股長黃翰文說明，因此特定廠牌的無線分享器有VPN的功能，一旦該網通設備的VPN的連線功能被開啟後，駭客就可以使用Windows提供的SSTP VPN連線方式，連至該分享器，並將設備做為跳板進行連線。

在這次公布的資安事件中，由於刑事局只說明企業的無線分享器遭利用，但沒有具體說明那些品牌的連網設備，但根據上述兩個CVE漏洞編號，我們還是可以幫助民眾瞭解那些網通產品存在風險，可能是這個攻擊行動的下一受害者，因為刑事局提及已發現5起以上的這類遭駭案例。

對於上述兩個漏洞，我們進一步找出了相關資訊，這是去年12月由研究人員Błażej Adamczyk所揭露，他來自波蘭西里西亞技術大學，過去曾數次揭露無線分享器的漏洞，包括華碩與D-Link的產品。

簡單來說，上述兩個漏洞主要存在基於Realtek SDK的路由器系列，因此影響多個廠牌的產品，其中Totolink產品數量最多，共有8款受影響，其他還包括Sapido、CIK Telecom、KCTVJEJU、Fibergate、t-broad、Coship與IO-Data等廠商。

關於CVE-2019-19822、CVE-2019-19823漏洞的問題，根據研究人員Błażej Adamczyk的分析，多家設備廠商的無線路由器產品受影響，其中Totlink有8款機種為最多。以下為已知影響產品： 
●Totlink A3002RU , 702R  , N301RT  ,  N302R ,  N300RT , 200RE , N150RT與N100RE 
●Rutek RTK 11N AP 
●Sapido GR297n 
●CIK TELECOM MESH ROUTER
●KCTVJEJU Wireless AP
●Fibergate FGN-R2 
●Hi-Wifi MAX-C300N
●HCN MAX-C300N
●T-broad GN-866ac
●Coship EMTA AP
●IO-Data WN-AC1167R
possibly others.

以影響範圍與嚴重程度來看，Totolink產品用戶最需要注意。因為Błażej Adamczyk指出，該公司受影響的產品還存在另外兩個漏洞，分別是CVE-2019-19824與CVE-2019-19825的漏洞，攻擊者可將這4個漏洞串在一起利用，就能完全控制路由器。他估計，市面上有70萬設備受影響，其中並有7萬個裝置是易受攻擊的對象。

在發現漏洞之後，他聯繫了多家廠商，包括Totolink、CIK Telecom、Sapido、 Fibergate與Coship，只有兩家廠商回應，但都沒有具體修復行動。之後，他在去年12月16日對外揭露這些漏洞。

後續，他在今年1月聯繫到臺廠瑞昱半導體（Realtek），對方在1月中旬回應，說明預設SDK配置並沒有問題，主要是大多數設備廠商修改了軟體，同時也包含身分驗證機制在內，才使之成為弱點。接下來，瑞昱又在1月23日說明修補狀況，將減少以明文形式存儲密碼的影響。

然而，對於用戶而言，真正嚴重的問題在於，各家設備廠商是否修補。舉例來說，以Totolink受影響的其中一款產品而言，例如N300RT，我們在該公司官網上看到最新的韌體更新，是在2019年5月14日，這也意謂業者尚未修補上述漏洞，設備用戶可能面臨無從修補的困境。

整體來看，由於這次的漏洞問題與瑞昱SDK有關，又影響到多家廠商的產品，顯然這樣的資安事件與供應鏈安全的議題有關。

而對於企業與一般用戶而言，無論如何，以這次刑事警察局公布的國內受害案例來看，強調了企業無線分享器被駭客掌控的資安問題，也就是提醒用戶必須注意這類產品的漏洞修補更新，更進一步關注的是，產品業者是否持續有在修補漏洞維護設備安全，應用戶採購設備時可能需要留意之處。

近期刑事警察局科技犯罪防制中心科技研發科表示，發現國內民眾與企業的網通設備淪為跳板，其原因是無線分享器存在CVE-2019-19822及CVE-2019-19823漏洞且遭駭客利用，導致設備被對方掌控，並被設定VPN作為跳板。

近日全美許多人上街抗議非裔人士遭警殺害，為了防止影片被警方用作蒐證抓人，加密通訊工具Signal 6/4宣布下一版將加入臉部模糊化功能，協助抗議人士隱藏身份。

近幾個月美國接連發生路易斯維爾非裔女急救員Breonna Taylor，在家裏遭警員開槍死亡，以及George Floyd被警方壓頸窒息死亡，引發許多人上街抗議。Signal執行長Moxie Marlinspike指出，他們支持走上街頭表達心聲的人們。許多抗議團體利用Signal相互聯繫，而Signal也致力開發支援這些民眾的功能。Marlinspike說，「2020年面罩是個好東西」。最新版Android和iOS版Signal將在圖像編輯中新增模糊化功能，按下功能表中一個類似OK繃交叉成十字的圖示，即可將圖像中的人物臉部模糊處理。這項模糊功能使用Android和iOS最新的系統和平臺函式庫，所有處理都在裝置上進行，而非在雲端，以維護隱私。但Marlinspike解釋，這些函式庫存在一些瑕疵和偏差，以致於無法100%偵測到人臉而加以模糊處理，因此新功能也可在預設功能外，允許用戶手動模糊人臉，或特定地方。新版本已經送到兩大應用程式商店，以便儘可能及早釋出。