根據今日（10號）早上蘋果日報報導，有民眾投訴遠傳499續約簡訊中的網址存在漏洞，根據該民眾的說法，由於網址後方竟帶有用戶的手機號碼，因此可以不用高深的技巧，只要變更連結的手機號碼，再透過瀏覽器本身的網頁開發人員工具，就能檢視網頁後臺資料，輕易窺探他人個資。

對此，我們檢視過去遠傳發送的499活動簡訊，網址其實沒有沒有附上手機號碼，例如：https://fetnet.tw/UNOoRgXXXX。不過，以這次該民眾投訴的內容來看，簡訊中的網址末端則是用戶的手機號碼https://www.fetnet.net/estore/renewal?SSO=09XXXXXXXX，一般民眾若直接前往這樣的連結，其實會跳轉回遠傳電信官網中，我的續約專屬優惠的首頁，若登入遠傳官網，則可以看到像是身分條件暫時無法續約的提示。

為確認詳細狀況，我們在中午詢問遠傳電信，他們的官網是否存在這樣的弱點，以及修復的狀況，而對於影響範圍，也是民眾關心的焦點，是否只有符合續約專屬優惠的用戶才受到這次弱點的影響，還是所有用戶都受影響？

到了今日傍晚，遠傳回應了我們，並提供了他們的正式聲明，當中證實了此事。

根據遠傳的說明，他們已經將續約簡訊的客製化服務關閉，雖然沒有提到有多少用戶個資可能暴露，但表示已經清查過去是否有不當存取的事件，發現少數個案，不過沒有提到這些個案存取了多少的用戶資料，只說明會聯繫這些客戶，並將配合警政單位調查。

另外，他們也說明了這項簡訊續約的設計，是他們提供讓特定用戶本人，能以特定連結登入後，能夠看到自己的資料，方便續約。

不過，對於這項機制，後續他們提到，「但是的確疏於防範有心人士，透過其個人電腦背景找尋系統破綻去查看其他消費者的資料」，因此他們表示已在檢討改進。

從上述說法來看，提醒了民眾不要嘗試非法存取，然而，另一方面，以網站安全而言，外部使用者本應無權檢視該頁面內容，網站本身未能在每個功能或頁面都有驗證機制，網頁可能存在無效存取管控的弱點。

今日傍晚，遠傳已經表示將續約簡訊的客製化服務關閉，我們傍晚實際前往該網址，可以發現該網頁已經處於系統維護狀態。

對於新興科技，AI企業比一般企業更加積極採用，也願意大膽嘗試，這更反過頭來，拉大了AI企業在各類IT創新應用的領先距離，加速將一般企業拋在後頭。從今年CIO大調查結果來看，AI企業2020年在資料科技採用上，大數據技術是6成企業必備，更有4成3的AI企業持續投入深度學習應用。Chatbot仍舊火紅，但是應用型態變得不一樣了。超過3成AI企業今年要持續改良自家Chatbot服務，提供更準確的中文語言理解能力，或者要結合臉部辨識、IoT定位或其他IT技術，來提供整合式的功能，而不像過去大多聚焦於FAQ或簡單問答式的資訊查詢功能而已。

這兩年，智慧型手機開始內建AI晶片之後，再加上行動端AI推論技術框架的成熟，也帶動了行動AI應用的崛起，不過，過去2年，企業大多是嘗試性的發展行動AI應用，較少見將行動AI技術作為自家App主力特色，但是，臺灣5G電信服務開臺在即，最快夏天就可望出現第一家5G電信服務，5G手機也紛紛搶登臺。更強大的內建AI晶片，加上了更快的頻寬速度，今年有31.7%的AI企業要投入行動AI應用，有機會出現更深度的企業行動應用App實例。

另外，值得觀察的新興科技應用是RPA流程自動化在臺灣的普及，今年有25%的AI企業要採用RPA。去年已有不少高科技業者，金融業者大規模採用RPA，來將大量反覆作業或操作的例行性作業自動化，而且不只是小規模試用，在臺灣已有幾家大規模應用RPA的企業。RPA導入門檻不是技術或產品，而是得釐清業務作業流程的每一個細節，才能順利改為自動化作業，這不只需要IT人員，還需要業務部門雙方協同才能做到，不過，企業已開始看到RPA對於減少繁複人工作業的效果，今年才有這麼多企業有意採用。

除了相關新興資料科技的導入之外，AI企業對於新一代基礎架構技術的擁抱也格外積極，例如Kubernetes採用動向，有2成AI企業想用，遠高於整體平均的8.3%。

Kubernetes這個新一代的運算資源調度工具，可以用來快速擴充和調度容器化應用所需的運算資源，剛好可以用來建立一個大型運算叢集，而且可以在本地端或雲端部署，來支援需要大量計算的機器學習模型訓練之用，企業只要將自家AI模型打包成Kubernetes應用後，也很容易部署到雲端，短暫租用雲端運算，自動擴充叢集來處理更多的資料計算之用。這也是為何不少機器學習框架，都能支援Kubernetes，甚至出現了像Kubeflow機器學習排程工具，可以利用Kubernetes，快速調度機器學習訓練任務所需的運算資源。AI企業內部應用上雲的比例，今年預估會達到36%，也遠高於一般企業的31%上雲比例。

 調查說明  調查對象涵蓋了臺灣2千大規模的企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校IT主管等。線上調查從2020年1月20日到2月20日結束，完整問卷數373份，但AI戰略數據齊全的有效樣本329家，104家屬於AI企業，占31.6%。76.4％填答者是企業IT最高主管。有效樣本產業分布，一般製造業占比24.9％、高科技業占比24.4％、服務業占比26.3％、金融業占比7.2％、政府機關與學校占比7.8％。

iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露

iThome 2020 資安大調查

iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長

iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技

AI浪潮年年火熱，但是，只有3成臺灣大型企業，正式將AI運用到產品或服務中，這些企業今年AI發展策略如何布局？投資動向如何？優先採用那些新興科技？104家臺灣AI企業戰略數據首度公開

0604-0610 一定要看的資安新聞

＃視訊會議  ＃E2EE

Zoom付費版可望內建全程加密，但免費版不會有

自疫情期間在家工作成常態，市面上的視訊會議產品變得熱門，但其中的Zoom卻引起各種安全爭議，該公司也宣布啟動90天的改善計畫，最近，他們又有新的進展。Zoom執行長袁征在第一季財報會議上公布，他們在5月併購Keybase，將藉此來構建Zoom的全程加密（End-to-End Encryption，E2EE）會議模式，未來他們會將此功能提供給付費版用戶，但免費版用戶確定無法使用。

袁征表示，他們不打算在免費版本提供E2EE的原因，與FBI及各國政府執法的合作有關，為的是避免該版本被不當使用。詳全文

＃國家級攻擊

中國與伊朗駭客企圖滲透美國兩大總統候選人陣營

由國家在背後支持的駭客，近年來不斷試圖左右他國選舉。例如，6月5日，Google威脅分析小組總監Shane Huntley在推特上透露，他們發現由國家支持的駭客組織，企圖利用釣魚郵件，針對美國兩大總統候選人陣營下手，目標也就是拜登（Joe Biden）與川普（Donald Trump）的競選團隊，所幸沒有成功。

Shane Huntley指出，攻擊拜登團隊的是由中國政府支持的APT31，而打算滲透川普團隊的，則是伊朗駭客組織APT35。他也呼籲競選團隊的工作者，應該透過實體金鑰來執行雙因素身分驗證，來保護自己的帳號，減少可能會被駭客濫用的情況。詳全文

圖片來源：Shane Huntley

＃供應鏈攻擊 ＃勒索軟體攻擊

勒索軟體DopplePaymer宣稱成功入侵NASA外包商

企業合作的協力廠商，也成為駭客滲透的管道。像是根據ZDNet報導，勒索軟體DopplePaymer作者在暗網中的部落格張貼文章，表示他們竊得美國航空暨太空總署（NASA）的人事檔案，而拿到這些資料的管道，就是入侵NASA的IT外包廠商Digital Management LLC（DMI）。

為了證明確有此事，駭客提供ZDNet一個壓縮檔，宣稱內容是NASA專案成員的人事檔案，包含薪資與電子郵件等資料，而ZDNet透過公開資料比對，初步認定駭客所言為真。再者，駭客也宣稱加密了DMI的電腦，並在暗網張貼該公司的伺服器與工作站電腦清單。詳全文

圖片來源：ZDNet

＃勒索軟體攻擊

研究人員發現以Java映像檔製作的跨平臺勒索軟體

為了規避企業的偵測機制，駭客也嘗試使用非典型的攻擊手法。例如，BlackBerry與KPMG聯手，發現名為Tycoon的勒索軟體，駭客採用Java映像檔（.JIMAGE）格式製作而成。研究人員表示，Tycoon已經存在一段時間，但他們沒有觀察到大規模感染的情況，代表這個勒索軟體具有鎖定特定目標的性質。

研究人員是在去年12月發現Tycoon，這個勒索軟體可針對Windows和Linux電腦發動攻擊，目標是中小型教育組織與軟體公司，其入侵管道，是透過曝露於網際網路的RDP伺服器，進而植入攻擊服務與禁用防毒軟體，再逐一感染企業內部的伺服器。詳全文

圖片來源：BlackBerry

＃惡意程式攻擊

Valak惡意程式可竊取Exchange伺服器帳密

駭客用來輔助作案的工具，竟發展成功能複雜的惡意程式。美國資安業者Cybereason揭露惡意程式Valak，這個軟體最初是駭客用於下載惡意程式（Malware Loader），但短短半年內，駭客推出超過30個不同版本，Valak也演變為具備至少6個模組的惡意程式，其中1個模組能被用來竊取Exchange伺服器帳密。

研究人員指出，Valak主要被用來執行目標式攻擊，對象包括個人，以及美國與德國的大型企業。值得留意的是，駭客為了迴避偵測機制，捨棄無檔案攻擊（Fileless）常見的PowerShell，而是採用NTFS檔案系統的替代資料流（Alternative Data Stream，ADS），來挾帶攻擊工具。詳全文

圖片來源：Cybereason

＃漏洞攻擊

俄羅斯駭客鎖定Exim的3個漏洞發動攻擊，逾90萬臺仍尚未修補

在5月底，美國國家安全局（NSA）發出警告，俄羅斯駭客集團Sandworm自去年8月開始，針對郵件傳輸代理程式（Mail Transfer Agent，MTA）Exim，利用一個在去年6月被公開的漏洞CVE-2019-10149，不斷發出攻擊，呼籲企業要趕快修補Exim。但實際曝露於已知漏洞風險的Exim伺服器數量，究竟有多少？威脅鑑識公司RiskIQ公布了他們的分析結果，從5月1日到27日之間，他們總共發現有至少90萬臺Exim主機，存在被上述駭客集團攻擊的風險。

RiskIQ認為，駭客還可能同時利用2個Exim漏洞，它們是CVE-2019-15846與CVE-2019-16928，企業不能只有修補CVE-2019-10149。RiskIQ指出，企業至少要升級Exim到4.93版，才能防範上述3個漏洞。詳全文

＃SMB  ＃漏洞攻擊

美國政府警告駭客開始針對SMBGhost漏洞發動攻擊

軟體廠商已經提供修補程式的漏洞，使用者如果還沒有安裝，便可能成為駭客鎖定的目標。美國國土安全部於6月5日發出公告，呼籲Windows 10使用者，要趕快修補CVE-2020-0796，因為相關攻擊程式已經在網路上流傳。

這項漏洞又被稱為SMBGhost，是遠端程式碼執行（RCE）漏洞，存在於第3版SMB協定中，影響1903與1909版Windows 10，微軟於3月中旬提供修補程式。詳全文

＃漏洞攻擊  ＃物聯網裝置

Totolink等多家廠商無線路由器存在漏洞，遭駭客鎖定駭入並設定VPN作為跳板

在5月29日，刑事警察局公布有駭客集團假防疫名義架設釣魚網站，當中釣魚信的寄發，是透過一家企業的無線路由器作為跳板轉發，而這臺設備之所以成為跳板，原因是存在CVE-2019-19822及CVE-2019-19823的漏洞，導致設備管理者密碼被駭客取得，進而掌控並設定VPN連線造成。

上述的無線路由器漏洞，是去年12月波蘭西里西亞技術大學研究人員Błażej Adamczyk揭露，受影響設備的共通點，是採用瑞昱（Realtek）SDK。這名研究人員估計，市面上有70萬臺無線路由器受到影響，其中有7萬臺是易受攻擊的對象。詳全文

更多資安動態

●Zoom再傳2個安全漏洞，可讓駭客執行任意程式碼
●加拿大特許專業會計師協會遭駭，近33萬人資料外洩
●自動化設備廠盟立公告遭勒索軟體攻擊
●SAP ASE資料庫軟體出現任意程式碼執行漏洞
●VMware雲端管理平臺出現漏洞，可讓駭客接管雲端服務

加拿大多倫多大學的公民實驗室（Citizen Lab）本周揭露了一個規模不小的Dark Basin駭客服務，指出Dark Basin可能正在監控數萬個重要人士及組織的郵件帳號，相信Dark Basin是由印度業者BellTroX InfoTech所經營，而且這類的服務正在成長中。

一名受到網釣攻擊的記者在2017年向該實驗室求助，促使Citizen Lab展開調查，他們原本以為這是國家級駭客的攻擊行動，後來才發現是新興的駭客服務。這幾年的追蹤顯示，Dark Basin在郵件中夾帶了不同的短網址，以將受害者導至網釣網頁，竊取使用者的電子郵件憑證，展開長期的監控活動。

迄今Dark Basin已針對不同的對象寄出了2.8萬個短網址，鎖定的目標涵蓋了全球六大洲的數萬名個人與數百個組織，從記者、政府官員、人權鬥士、對沖基金、醫療產業到非營利組織等。而且最近這半年，Dark Basin所操縱的短網址服務就多達28個。

由Dark Basin所建立的網釣網頁，有的假冒成Gmail登入頁面，有的是Yahoo!Mail，也會偽裝成臉書或Linkedin等其它服務的登入頁面。

此外，Citizen Lab也發現，Dark Basin有許多員工與印度業者BellTroX重疊，它們還使用許多同樣的文件，而且Dark Basin的活動時間剛好符合印度的工作時間。

BellTroX為印度的資安業者，標榜可提供白帽駭客服務，強調專精於電子郵件滲透、漏洞開採、企業間諜，以及網路情報蒐集。且BellTroX的總監Sumit Gupta曾因涉及提供駭客服務，而在2015年被美國起訴。

Citizen Lab認為，Dark Basin駭客服務對所有領域來說都是個嚴重的問題，不管是政治、政府、非營利組織或商業行為，且看起來這是個正在成長的新行業，呼籲Google或其它平臺應該持續追蹤並回報這類的駭客服務，並應主動通知成為駭客目標的使用者。

Google大腦、英特爾和柏克萊大學合作開發了一種稱為Motion2Vec的演算法，讓機器人透過觀看影片，學習執行外科手術的相關任務，完成包括縫合、穿針以及打結等動作，研究人員將其實際應用在雙臂達文西外科手術系統，在實驗室中成功讓針穿過布料。

研究人員提到，在嵌入空間（Embedding Space）學習有意義的視覺表示，可以促進發展動作分割和模仿等任務。最新的Motion2Vec演算法，透過最小化孿生神經網路度量學習（Metric Learning）損失，從影片中學習深度嵌入特徵空間，研究人員表示，演算法在學習時，會講究圖像的排序，將同一動作片段的圖像匯集在一起。

Motion2Vec是一種半監督式學習演算法，其命名規則類似Word2Vec和Grasp2Vec等模型，都是從影片中學習動作，在孿生神經網路中，將相似動作分割和度量學習結合在一起，習得一個深度嵌入特徵空間。柏克萊大學之前就曾使用YouTube影片來訓練人工智慧跳舞、後空翻和各種雜耍，而Google也有相關研究，是使用影片教四足機器人學習狗的靈活動作。

研究人員提到，透過專家示範的影片，可以訓練機器人操作技能，以改進用於手術的機器人，實驗結果顯示，Motion2Vec的表現比目前最先進的方法都還要好。Motion2Vec從JIGSAWS資料集的公開影片中模仿手術縫合動作，達到了平均85.5％的分割精準度，比參考文獻的分割精準度更高，而在對手術縫合影片進行運動模擬時，每個測試集觀察到的位置誤差為0.94公分。研究人員提到，他們並未對針和縫合目標進行接觸動力學建模，而是僅在運動層級模擬縫合動作。

JIGSAWS是JHU-ISI Gesture and Skill Assessment Working Set的縮寫，該資料集包含了來自約翰霍普金斯大學，和生產達文西外科手術系統的直覺外科公司的手術影片。

Rust現在於Nightly版本開始提供新的行內組語（Inline assembly）語法，目的是要取代原本提供的LLVM組合語言，其提供更佳的穩定性，未來將會進入穩定版本。初始實作版本支援ARM、x86以及RISC-V架構，未來將會視需求擴充支援。

在最佳化、作業系統和嵌入式系統開發，或是其他類型的低階程式開發中，開發者可能會需要為處理器編寫組合語言程式碼，滿足因為效能、精確計時，或是低階硬體存取的需求，Rust官方提到，行內組語提供了簡單的方式，可以將一些組合指令整合到Rust程式中，將Rust表達式作為輸入放到暫存器中，並直接以Rust變數取得輸出。

Rust Nightly一直以來，都有行內組語的語法，但這個行內組語語法非常特殊，提供LLVM IR可用的行內組語語法輕量打包，其公開了非常原始的LLVM組合語言構造，缺乏安全防護讓開發者無法安全地使用語法來編寫程式，只要略有錯誤就會產生內部編譯器錯誤，而非像是Rustc能夠提供使用者友善的錯誤訊息。

另外，舊版組合語言的語法也容易發生錯誤，雖然看起來與GCC的行內組語語法很相似，但是仍然有一些差異，官方表示，這種語法並不準備在任何非LLVM後端上支援，組合語言是非常重要的功能，但是這個版本不可能從Nightly進到Rust穩定版本。

為此，官方才在Rust中加入新的行內組語語法，在x86平臺，行內組語預設使用英特爾語法，但也可以選用AT&T語法。官方表示，他們重新命名了舊的行內組語，開發者現在仍然可以繼續在Rust Nightly中使用，但其容易出現內部編譯器錯誤的特性，最終他們還是會刪除這個舊語法，只是在當前新語法剛加入的階段，他們留著舊語法作為比較和替代。

Google讓BigQuery使用者擁有更多的資料存取控制精細度選項，現在能以表格層級控制存取，Google提到，表格存取控制和其他資料倉儲系統基礎安全原語相容，因此能夠簡單地從其他系統搬遷安全政策到BigQuery中。

表格存取控制建立在Google的存取控制平臺Cloud IAM上，企業原本就能在BigQuery中，以資料集、專案和資料夾層級管理存取，而最新的表格存取控制，可以讓使用者在表格範疇，應用相同的控制功能，允許單一共享表格的讀取和寫入權限，Google提到，這個功能讓企業能向外部開放特定表格，讓外部能夠方便地貢獻資料。

另外，有不少BigQuery使用者使用授權檢視圖控制表格唯讀存取，Google表示，授權檢視圖能夠讓資料擁有者，連接多個表格，並在共享之前修整資料，但是當使用者僅想原封不動地分享單個表格，在授權檢視圖中操作起來反而會變得麻煩，而表格存取控制則簡化了這項工作。

表格存取控制還可和BigQuery的資料欄安全性控制一起使用，讓企業有效管理Google雲端上的資料，以符合GDPR和CCPA等法規規定。

本周有兩個陣營的研究人員，分別公布了兩個鎖定英特爾處理器的攻擊程式，其中一個SGAxe可用來竊取存放於飛地（enclave）內的證明金鑰，另一個CrossTalk，則能用來讀取所有處理器核心共享的暫存緩衝區中的資料，這兩項攻擊都能繞過英特爾為處理器所設計的SGX（Software Guard Extensions）安全保護，幸好英特爾已經釋出韌體更新，緩解了這兩個攻擊途徑所利用的安全漏洞。

SGX為英特爾替處理器所設計的安全機制，它提供以硬體為基礎的記憶體加密功能，可於記憶體內建立飛地（enclave）來隔離特定的應用程式碼與資料。

打造SGAxe的，是來自美國密西根大學與澳洲阿得雷得大學的4名研究人員，此一團隊曾在今年1月展示CacheOut攻擊，而SGAxe則為CacheOut的進階版，所開採的都是CVE-2020-0549漏洞。SGAxe能夠自英特爾於SGX中建立的引用飛地（Quoting Enclave）汲取SGX的私有證明金鑰，只要取得了這類的金鑰，駭客就能簽署假的證明引用，偽裝自己為正版的SGX飛地，削弱整個SGX生態體系的可靠性。

英特爾已於今年1月釋出韌體更新以緩解CVE-2020-0549漏洞。根據英特爾的說明，該漏洞起源於某些處理器在移除資料快取時出現清除錯誤，可能造成資訊揭露，但開採該漏洞的前提是，必須為本地端通過身分認證的使用者。

CrossTalk攻擊則是阿姆斯特丹自由大學系統及網路安全小組（Systems and Network Security Group at Vrije Universiteit Amsterdam，VUSec）的研究人員所打造，所開採的漏洞為CVE-2020-0543。

CrossTalk攻擊奠基在英特爾處理器核心所共享的暫存緩衝區（Staging Buffer），此一緩衝區保留了來自RDRAND與RDSEED的輸出資料，這兩個指令所提供的隨機數可用來產生加密金鑰。因此，只要取得了相關的隨機數，就能用來推斷在另一處理器核心上執行的SGX飛地金鑰，也讓CrossTalk成為了首個跨核心的暫態執行攻擊。

英特爾則是在本周發表的安全更新中，修補了CrossTalk所利用的CVE-2020-0543漏洞。根據說明，此一漏洞肇因於專用暫存器的讀取操作無法完全清除，而造成資訊揭露，要開採該漏洞同樣必須取得認證，且自本地端存取。

其實英特爾本周總計修補了25個安全漏洞，CVE-2020-0543的嚴重程度為CVSS 6.5，並不算太高，反而是兩個涉及主動管理技術（Active Management Technology，AMT）的漏洞被列為重大等級，嚴重程度高達CVSS 9.8。

這兩個AMT漏洞分別是CVE-2020-0594與CVE-2020-0595，前者為越界讀取漏洞，後者則是釋放後使用漏洞，皆允許未經授權的遠端使用者擴張權限。

0606～0612

 英國   開放銀行  
英國推出開放銀行App Store，供消費者和企業選擇最合適服務
由英國競爭及市場管理局（CMA）所成立的開放銀行實施組織（Open Banking Implementation Entity，OBIE）在6月8日宣布推出開放銀行App Store，以協助消費者與企業能獲得更多適合他們的金融產品。

OBIE表示，消費者和企業可以在這平臺上比較各類產品與服務，其中一些類別包括預算、會計與稅收、支付、借貸、債務諮詢、財務維護等，以利消費者、客戶能找到最佳的開放銀行解決方案。OBIE提到，這個App Store包含了超過45個列表，且每週都會添加新產品。而這也是OBIE為了增加消費者對於開放銀行的認識，以及提升接受度的措施之一。

英國CMA開放銀行業務領導人Bill Roberts表示，他們希望OBIE推出的App Store將使這些金融服務更容易被找到。此外，OBIE更揭露今年早些時候，使用開放銀行打造的產品之客戶數量達到了100萬，比起前6個月翻了一倍之多。

 臉書   PayPal   Gojek  
臉書、PayPal投資印尼叫車兼餐飲外送平臺Gojek，鎖定東南亞數位支付市場
臉書與PayPal在6月3日宣布跟進Google、騰訊等科技巨頭，參與印尼叫車兼餐飲外送平臺Gojek最新一輪募資，雖然雙方沒有透露具體投資金額，但Gojek表示，這項新投資將支持他們擴大在東南亞地區的數位支付業務與金融服務。

Gojek的聲明指出，這項交易是臉書在印尼的第一筆投資，臉書將透過旗下即時通訊平臺WhatsApp進行投資，而WhatsApp在東南亞有一定的業務規模。WhatsApp首席運營官Matt Idema表示，由於印尼沒有銀行帳戶的人口眾多，所以，大多數的小型企業僅能依靠現金營運。希望透過此次合作，能為東南亞數百萬個小型企業以及其服務的客戶帶入數位經濟。

而PayPal的支付功能則計畫整合到Gojek的服務中，這兩家公司的合作，也將讓Gojek旗下電子錢包GoPay的用戶，未來可以在PayPal全球超過2,500萬合作商家購物。

成立於2009年的Gojek，起初是提供快遞與摩托車乘車服務，在2015年推出一站式App，目前提供20幾種服務，囊括汽、機車叫車服務、餐飲外送、線上購物、電子錢包服務、快遞、房屋清潔、汽車保養等。Gojek的服務遍及東南亞5個國家的207個城市，截至2019年底，共有1.7億名用戶下載此App。

 銀行業   金融科技   純網銀 
KPMG發布臺灣銀行業報告：純網銀帶動傳統銀行積極備戰，加快自家金融科技發展
KPMG安侯建業在6月9日發布一份2020臺灣銀行業報告。報告指出，2020年3家純網銀即將加入市場戰局，開啟臺灣銀行業的新時代。KPMG觀察，2019年臺灣銀行業在投資市場多頭走勢與數位轉型的推助下，營收與獲利都繳出了亮麗的成績單；然而，今年受到疫情影響，本國銀行在國內及海外的營運面臨不少挑戰，比如在利息與手續費收入或將受到拖累。不過，KPMG提到，此波疫情也將迫使銀行業加速數位轉型，而數位金融則可能成為危機中受益的發展項目之一。

近年傳統銀行積極發展數位銀行頗有成效，根據金管會截至2019年12月底的統計，總開立戶數約338.4萬戶，市場排名前5家銀行開戶總數就有304.2萬戶，而數位帳戶除基本功能外，已具有購買保險，進行智能理財，申請信貸、房貸、信用卡等服務，部分銀行也可連結證券戶，作為證券交割帳戶。KPMG觀察，目前傳統銀行吸引民眾使用數位帳戶有三大理由，包括無時間限制、多元服務，更重要的是提供較高的存款利息，不過，這相對也為銀行帶來較高的營運成本。KPMG認為，未來純網銀是否也會採用相同策略來吸引潛在客戶，值得觀察。

KPMG更提到，數位金融服務要回歸信任、便利、創新，而國內數位銀行能吸引數百萬用戶，重要原因之一是提供幾乎沒有時間與地區限制的便利服務，不過，純網銀在這點上更有優勢。然而，不管是純網銀還是傳統銀行，在數位平臺與產品規畫設計，都需與客戶體驗與創意緊密結合。而創新更會是重要推手，銀行得善用資源、人才、數位技術來實現。

 Temenos   銀行業 
搭上純網銀、開放銀行風潮，銀行系統製造商Temenos也要搶攻臺灣銀行業數位創新市場
臺灣今年下半將迎來3家純網銀，以及開放銀行第二階段上路。銀行系統製造商Temenos 更要用國際金融數位轉型經驗，來搶攻臺灣銀行業數位創新市場。Temenos 指出，開放銀行將讓跨銀行間，以及銀行與第三方業者之間的關係形成新時代的競合。未來，客戶資料並不只掌握在銀行手中，共享涉及隱私保護問題，因此金融業者必須克服API標準化、網路資安、個資保護等技術面挑戰。

Temenos大中華區銀行解決方案總監 Frankie Wai更舉例，西班牙桑坦德集團旗下的開放銀行導入Temenos Transact，以支援其全球零售和中小企業銀行業務。利用開放式API，透過與TSP業者合作，進一步提供服務給客戶。他解釋，Temenos Transact融合雲端原生，API技術和人工智慧。產品在公有雲、私有雲、和本地端皆可營運。

對於開放銀行帶來法規面與執行面的挑戰，Temenos也提出攻略，比如遵循PSD2的要求，即向第三方提供帳戶和交易數據訪問權限，或像是開放PSD2指引以外的數據，採取收費模式並產生收益，讓銀行來應對監管要求。

 中國人壽   智能 Chatbot 
中國人壽運用大數據、AI為業務員打造智能Chatbot
中國人壽繼2018年上線行動投保工具i-Agent，能為業務員整合客戶經營、行事曆、組織管理等功能，業務員帶著行動裝置即可跑客戶。去年6月，中壽就曾透露他們的下一步，是要把i-Agent發展成一個應用平臺，再往上加值AI、大數據分析等功能，為中壽業務員打造更強的武器。

近期，中國人壽在這個原有系統架構基礎下，為業務部隊打造了Chatbot，具備數位助理功能。中國人壽總經理黃淑芬表示，中壽導入新科技採小步快行策略，上線後持續推出新功能並優化使用者體驗，目前業務員的使用率已近9成。她提到，這個Chatbot是透過大數據模型，通知業務員保戶服務動態資訊，比如主動提醒客戶生日祝福、今日待辦工作等事項，就如同業務員專屬的數位助理。此外，還能提供保險商品或業務規則查詢，即便是口語化的文字也能理解。

 北富銀   奈米投   智能理財 
北富銀智能理財平臺奈米投通過金融創新試辦，正式全面開辦
台北富邦銀行在去年4月推出的智能理財平臺奈米投，因該平臺是與英國線上資產管理公司Nutmeg進行跨國合作營運模式，經1年測試營運後在客戶資訊安全及系統運作方面表現穩健，通過金管會金融創新試辦審查，在近日正式全面開辦。

北富銀指出，過去這種精細化的投資配置需要大量資金作後盾，但隨著許多新的持股智能化切割技術陸續被研發出來，像是奈米投所獨有的Fractional Shares交易分割技術，能夠將ETF由最小單位1股切分為萬分之一股，並進行精準帳戶分配，投資者只要用最低投資門檻100元美金，就可完成原本必須1萬美元以上才能執行的投資配置比例。

 加密貨幣   竊取 
截至今年5月，全球加密貨幣竊取與詐騙損失高達13.6億美元
自詡為全球首家區塊鏈鑑識公司的CipherTrace，公布了今年前5個月的加密貨幣犯罪活動，指出在此一期間，有關加密貨幣竊盜、駭客及詐騙的損失，高達13.6億美元，其中貢獻最大的是發生在中國市場的Wotoken詐騙案，占了10億美元。CipherTrace也公布了在2019年，接收最多犯罪加密貨幣的國家，第一名為芬蘭，在2019年所有犯罪所得的比特幣中，就有12.01%流入芬蘭，而當地的交易平臺LocalBitcoins即占了99%，居次的是俄羅斯的5.23%，英國則排名第三。這些比特幣可能來自於黑市交易、勒索軟體、駭客行動，或其它以加密貨幣交易的非法行為。

圖片來源／OBIE、Gojek、中國人壽、台北富邦銀行
責任編輯／李靜宜

 金融科技近期新聞 
1. 43家新創團隊今年五月起正式進駐金融科技創新園區，進駐團隊更可申請AWS創業輔導資源
資料來源：iThome整理，2020年6月

開源資料廠商MongoDB釋出多項產品與服務更新，包括資料庫MongoDB新版本4.4，提供用戶更多有用的資料查詢功能，也為資料庫服務MongoDB Atlas增加不少功能，擴展資料分析能力，還推出了全新資料庫同步平臺MongoDB Realm與Realm Sync。

開源文件資料庫MongoDB是一種NoSQL資料庫，可用於支援龐大資料應用程式，以及各種資料密集工作負載，其一大特色便是支援JSON資料格式，能夠任意新增欄位，不需要像傳統關聯式資料庫一樣預先定義架構，因此可用來靈活地支援各種應用程式。

MongoDB在4.4強化了聚合功能，提供一種類似Union的新功能，讓用戶可以從多個資料集混合資料到單一集合中，以達到更易深入探索和分析資料的目的，用戶可以定義自己的資料聚合表示式，使用新的運算子處理陣列和字串操作；該版本還增加了定義和修正分片鍵值功能，用戶可以透過在分片鍵值加上後綴，以擴展和修正資料分布。

MongoDB的雲端託管服務MongoDB Atlas，也加入了Atlas Data Lake和Atlas Search等新功能，Atlas Data Lake讓用戶可以從MongoDB Atlas控制臺設定，存取Amazon S3儲存桶，用戶便能使用MongoDB查詢語言，即時地進行聯合分析，同時對MongoDB Atlas上的資料和Amazon S3中的歷史資料進行查詢，並取得統一的查詢結果。

另外，去年MongoDB釋出的搜尋功能Atlas Search，現在成為正式版，只要用戶以使用者介面或是API對資料進行索引，便能使用MongoDB查詢語言執行複雜查詢，對資料進行全文搜尋。

MongoDB基於之前併購的Realm，推出了無伺服器行動資料庫以及同步平臺MongoDB Realm，MongoDB Realm是專為行動應用程式設計，在不過度消耗電量或是占用網路頻寬的情況下，Realm Sync能夠雙向同步Realm行動用戶端和MongoDB Atlas間的資料，讓用戶可以在裝置間無縫共享資料。

任天堂4月間發生駭客入侵系統，致使16萬用戶個資外洩。但任天堂昨（10）日坦承，隨著調查進行，他們發現資料外洩的數字將提升為30萬。

4月24日任天堂公布一起大規模用戶資料外洩事件。該公司管理舊產品Wii U及Nintedo 3DS用戶帳號的舊系統Nintendo Network ID (NNID)遭駭，駭客並利用新、舊帳號的整合，成功存取新產品的用戶帳戶個資，包括ID、密碼、暱稱、生日、國籍及電子郵件等，致使部份用戶Nintendo帳號被盜刷，拿去購買遊戲幣或遊戲服務。

初步調查下，任天堂公布有16萬用戶受到影響，但強調新系統（Nintendo）的資料庫和伺服器並未被駭入。

昨日任天堂更新訊息指出，本事件持續調查發現，還有另一批約14萬名NNID用戶帳號可能遭惡意存取。一如4月底事件，這批用戶帳號下的資訊，包括暱稱、生日、國籍、電子郵件也可能遭到非授權存取。

一如之前的處置，任天堂重設了這批帳號及與之關聯的Nintendo帳號密碼，通知可能個資外洩的用戶，同時中止了以NNID登入Nintendo帳號存取連線。

任天堂說，因為NNID和Nintendo帳號整合關係，使得其Nintendo帳號可能被用於盜刷購物的用戶比例，不到NNID用戶數量的1%，這些用戶大部份也都已獲得任天堂退費。

任天堂也建議所有Nintendo帳號用戶，使用不重複的強密碼及兩步驟驗證。

The Motherboard報導臉書和外部廠商開發了一項駭客工具，曾協助美國聯邦調查局（FBI）駭入一名兒童色情犯的匿名作業系統Tails，以便逮捕他。且最後FBI也獲得這項工具。

被逮的人為加州居民Buster Hernandez。他多次利用通訊軟體、電子郵件和臉書騷擾青少女，並威脅如果不寄裸照和影片給他，就會殺害她們，或是到她們就讀學校開槍濫射及放炸彈。但這個人生性狡猾，不但未以真名註冊，也懂得隱藏其真實IP，使FBI一直苦於無法追查身份。

The Motherboard引述消息來源報導，臉書破天荒地幫助FBI駭入自己的用戶，時間點落在2017年前後。報導指出，臉書花了6位數的費用聘請一家第三方安全廠商開發了一個零時差攻擊程式，用於突破Hernandez使用的匿名作業系統Tails，這個作業系統會自動以連網流量導向Tor網路以隱藏IP。臉書這項工具可以在Tails影片播放軟體漏洞加入攻擊程式，以顯示播放者的真實IP。

而且根據多名不具名的臉書前員工指稱，臉書最後還透過一家中間人，將這工具交給了FBI。所以FBI可能不知道這工具和臉書的關係。

Hernandez於2017年8月被控網路恐嚇罪。

臉書證實曾有此事。臉書說，因為這犯人手法高明，迫使他們試盡一切方法後，不得不和「安全專家」合作開發這項工具，協助FBI駭入Hernandez帳號，表示面對這種喪心病狂的人，唯一可以接受的結果就是將其繩之於法。

但此事也引發道德爭議，令外界擔憂臉書可以隨時刺探、監控用戶，還可以把個資交給警方。

對此臉書表示這只會是個案，不會是常態，他們的專業不是在開發駭客工具，也不希望讓執法機關以為臉書會常常配合他們。一名知情的前員工也說，這項工具對Hernandez以外的人絕對沒有風險，臉書也不會做出其他侵犯性的變更，像是加入加密後門。

但是另一問題是，Tails並未被告知他們的軟體被植入攻擊程式。

許多人權運動者、家暴受害者、記者及政府官員使用Tails，以避免政府或加害人的追查，也為知名吹哨者史諾登（Edward Snowden）推薦使用。

Tails說他們從頭到尾不知道追捕Hernandez的事，也不知其產品有漏洞。曾參與專案的臉書前員工表示，他們相信Tails不知道有漏洞存在，而他們原本也打算等警方逮捕犯人後要通報Tails，但最後他們認為沒有必要告知，因為該漏洞會因Tails釋出新版而自動修補掉。

非裔美國人George Floyd因警方執法過當而死亡的事件，讓美國重新審視了與種族主義相關的各種技術與政策，繼IBM於日前宣布將放棄人臉辨識及分析業務之後，Amazon也宣布將暫時禁止警方使用該公司的人臉辨識服務Rekognition，為期一年。

Amazon並非打算終結Rekognition服務，將持續允許其它組織使用Rekognition，包括定位為兒童數位守護者的Thorn、國際失蹤和受虐兒童援助中心（International Center for Missing and Exploited Children），以及以AI與大數據來辨識犯罪活動的Marinus Analytics等。

Amazon表示，政府應該制定更強大的法令，來規範人臉辨識技術的道德使用，而且美國國會最近亦計畫採取行動，希望這一年的暫停措施，能夠讓國會有充裕的時間來實施相關的規定。

不過，當TechCrunch詢問此一暫時禁令是否擴及諸如FBI等聯邦執法機構時，Amazon卻拒絕回應。

而電子前線基金會（EFF）與美國公民自由聯盟（American Civil Liberties Union，ACLU）則呼籲，Amazon應該也要停止旗下家用監控系統Ring與警方之間的合作。

去年Amazon坦承，旗下的家用監視器品牌Ring已與超過400個執法機關合作，以讓執法機關能透過Neighbors Portal於Ring社群張貼通緝犯或犯罪活動的通知，也允許警方請求Ring用戶提供監視影片。EFF則批評，雖然Ring標榜此舉可強化居家安全，但其實是侵犯了人們的隱私，也可能造成許多無辜的人被懷疑是嫌犯。

ACLU認為，人臉辨識技術讓政府監視人們的一舉一動，也助長了警察的濫用，必須停止使用此一監控技術。ACLU及EFF也呼籲微軟及其它業者都應加入IBM與Amazon的行列，不再銷售相關服務予警方。

日前才傳出Uber有意買下在美國的食物外送服務競爭對手Grubhub，但已被他人捷足先登。歐洲的食物外送平臺Just Eat Takeaway在周三（6/10）宣布，已與Grubhub簽署併購協議，將以價值73億美元的股票，換得Grubhub的所有股份。

成立於2004年的Grubhub原本只是在網路上提供電子菜單，並媒合餐廳與使用者，但在2014年開始替沒有外送服務的餐廳提供送餐服務，迄今足跡已遍及全美的3,200個城市，合作的餐廳超過11萬家，活躍用戶接近2千萬名。

今年初市場傳出Grubhub有意出售的消息，且包括Walmart與Uber都是潛在買家，不過，CNBC引用消息來源報導，Uber的出價低於Just Eat Takeaway，只願意以每股70美元的價格併購Grubhub，低於Just Eat Takeaway提供的每股75.15美元，而讓Grubhub情歸Just Eat Takeaway。

至於Just Eat Takeaway原名為Takeaway，是2000年在荷蘭成立的食物外送平臺，但在今年2月併購了2001年於英國成立的競爭對手Just Eat，從此更名為Just Eat Takeaway，該平臺的市場版圖涵蓋奧地利、比利時、保加利亞、法國、德國、以色列、荷蘭、羅馬尼亞、英國及越南等14個國家，現在則藉由整併Grubhub，將勢力範圍擴大到美洲市場。

雙方預計於明年第一季完成併購，屆時Grubhub的創辦人暨執行長Matt Maloney將加入Just Eat Takeaway董事會，並負責北美業務。

消息傳出後，只有Grubhub的股價上漲了1.95%，收在59.05美元，Just Eat Takeaway在倫敦股市的股價下滑了13.08%，Uber股價亦下挫4.81%。

微軟昨（10）日釋出Patch Tuesday安全更新，修補了一個能和SMBGhost串聯使用的SMBleed漏洞。

本周Patch Tuesday修補了129個漏洞，包括11項重大風險漏洞，其中包括CVE-2020-1206，它和上周美國CISA警告有網路攻擊的SMBGhost一樣，出現在Windows 10中 Server Message Block 3.1.1（SMBv3）協定對特定訊息處理不當。未授權的遠端攻擊者可設立一臺惡意SMBv3伺服器，誘使用戶連結以傳送惡意封包以開採漏洞。成功開採CVE-2020-1206可讓遠端攻擊者讀取Windows核心記憶體內容，因而又被稱為SMBleed漏洞。

安全廠商ZecOps解釋，SMBleed漏洞出在壓縮元件對SMBv3 的解壓縮函式對SMB2 WRITE的訊息處理不當，可造成SMB v3 Server未初始化（uninitiatized）核心記憶體洩露，進而修改壓縮函式。

SMBleed的CVSS 3.0 Base基準風險評分為8.5，屬於高風險。雖然不若「wormable」的SMBGhos為10分，但研究人員還發現，若SMBleed和SMBGhost串聯起來，將可讓遠端攻擊者未經驗證在Windows 10電腦或伺服器上執行任意程式碼。

ZecOps也釋出兩個概念驗證程式，說明SMBleed單獨以及結合SMBGhost的驗證可能性。

SMBleed漏洞影響Windows 10 1903、1909以及Server 1903、1909及2004版。本周Patch Tuesday 已經修補。但如果用戶來不及安裝，微軟建議關閉SMBv3壓縮功能，以封鎖未驗證人士的開採行為。

Twitter在本周宣布，為了促進使用者之間的資訊討論，他們將在Android平臺上測試一個新功能，當使用者要轉推一則沒有開啟過的文章時，Twitter會提醒使用者是否要先看一下。

Twitter的官方帳號只輕描淡寫的說明，這是因為文章的分享會激起談話，所以在轉推時應該要先閱讀一下。不過，Twitter的產品負責人Kayvon Beykpour進一步解釋，在Twitter上分享的文章或連結很容易造成病毒行銷，它既強大又危險，特別是當使用者沒有閱讀所散布的內容時，此一新功能將能鼓勵使用者在轉推前先行閱讀。

這是因為許多人只看標題就分享了文章，而不管文章內容是否為不實資訊，為了避免自己成為不實資訊的散布平臺，Twitter希望轉推的使用者多負一些責任。

根據研究人員在2016年所進行的調查，當使用者在Twitter上分享連結時，有59%根本沒有點選過這些連結，代表他們很可能沒看過就分享了。

目前此一功能只在Android版上英文版Twitter試行。

聚集了眾多高科技產業的美國那斯達克綜合指數（Nasdaq Composite）在本周三（6/10）首度突破1萬點，創下10,020.35點的歷史紀錄，同一天蘋果的身價也接近1.53兆美元，成為全美第一家市值觸及1.5兆美元的企業。

蘋果只是全美第一家市值超越1.5兆美元的企業，並非全球，因為全球第一的頭銜已經被去年12月才上市的沙烏地阿拉伯國家石油公司（Saudi Aramco）給奪走了，Saudi Aramco去年剛上市沒幾天就創下2兆美元的市值，就算近來全球石油市場劇烈震盪，Saudi Aramco本周三的市值也還有1.72兆美元。

蘋果在10日的收盤價為352.84美元，市值是1.529兆美元，而緊追其後的則是微軟與Amazon，微軟當天的收盤價為196.84美元，市值則達到1.493兆美元，亦已逼近1.5兆美元大關，Amazon同一天的收盤價是2647.45美元，市值為1.32兆美元。至於Alphabet與臉書目前的市值都低於1兆美元。

今年，臺灣發生多起企業組織與名人臉書粉絲專頁遭駭事件，例如，2月臺北市體育局的「台北運動吧」就遭盜用，並貼出許多色情圖片與連結，在最近一個多月，事件更是相當密集，包括臺灣知名人物、企業、網紅與演藝圈等粉絲專頁陸續遭盜，值得關注的是，6月初又有新一波的攻擊行動出現。

根據資安業者趨勢科技的觀察，近日，有網路詐騙者大量設立偽冒臉書官方的粉絲專頁，雖然尚未傳出有人因此受害，不過其中一個假粉專，鎖定了多達700個臺灣知名人物，企圖騙取他們的臉書帳密。由於這個詐騙行動鎖定的對象，完全都是臺灣的粉專，因此受到不小的關注。

偽冒官方臉書訊息的手法大同小異，不過這起攻擊特別針對臺灣

事實上，這幾年來，網路詐騙集團一直都有鎖定熱門Facebook粉絲專頁下手，而透過釣魚網站騙取用戶帳密的方式，也不時就有聽聞。關於攻擊者是如何竊取粉專？日前，趨勢科技在6月3日揭露了一起攻擊行動，也是要以釣魚網站竊取用戶臉書帳密，可以讓外界看到一種詐騙手法的實際過程。

根據他們的調查，發現有不肖分子企圖偽裝成Facebook官方通知，先是開設了偽裝成臉書官方的「Prıvacy Policy」粉絲專頁，並透過Tag用戶的方式，讓對方收到Facebook通知訊息，或是E-mail信件的通知，進而利用用戶粉專被檢舉的名義，引導受騙用戶前往指定連結去確認臉書使用者身分，但實際上，該連結是假冒的釣魚網站。

由於在5年前，趨勢科技就曾警告外界，有這種假冒官方Privacy Policy的手法，因此，我們進一步詢問趨勢科技，這次攻擊有何不同之處？

對此，該公司全球消費市場開發暨行銷資深經理劉彥伯指出，這類假冒臉書官方名義的手法，都不是新的招式，手法其實大同小異，他舉例，去年就有鎖定電商類型粉絲專頁詐騙的事件，而且臺灣、東南亞都有類似案例。

不過，劉彥伯指出，這次攻擊有一個很大的不同之處，就是鎖定的對象，全是臺灣知名人物帳號。

駭客取名混淆用戶的粉專名稱，並利用Telegram網頁當連至釣魚網站的跳板

在詐騙手法上，根據趨勢科技的說明，這次有兩個值得注意的地方。第一，是關於假冒官方粉專的名稱，詐騙方利用英文字母「i」與「ı」這樣的小差異，企圖混淆使用者，再者，他們還會利用一個Telegram網頁當作跳板，再引導用戶前往釣魚網站。

對於假冒臉書官方粉絲專頁的方式，劉彥伯表示，上述「Prıvacy Policy」只是一例，詐騙方其實會設立大量這類假粉專，來引誘使用者上當，他並提供我們另一假粉專的資訊，名稱為Prıvacy Corporation Policy Page Identify，同樣有放上臉書Loge作為大頭照。當時，我們可以看到這個粉專還沒有被移除，因此發現該粉專的動態消息中，在兩、三小時前，正分享許多臺灣知名人物的貼文，並聲稱「你的粉絲專頁已被其他人舉報，為了防止這種情況，我們需要驗證你的帳號」，在此詐騙內容中，會要求用戶遵循指示以驗證Facebook帳號。

特別的是，在引導用戶至釣魚網站的過程中，攻擊者在粉絲專頁所附上的網站連結，是一個Telegram網頁，例如：https://telegra.ph/NOTIFY-XX-XX-X。基本上，這是攻擊者運用即時通訊Telegram的線上發布平臺，所建立的網頁。劉彥伯指出，建立該網頁的用戶可以編輯文字、連結，也能插入影片與圖片，平臺如同一個拋棄式的匿名網頁，被攻擊者當成跳板使用，這點相當少見。

在這個Telegram網頁上，又會引導用戶點擊連結，才會進入到真正的釣魚網站，也就是偽冒的Facebook網頁。該網頁介面與真正的官方頁面很相像，而且攻擊者還建立了一個很長的網址，劉彥伯說明這也是詐騙方企圖混淆用戶的一個地方，連結中包含social-network-corporation，以及Facebook-verification等字串，目的是要讓不懂的使用者無法分辨，但其實，該真實網域根本與正版Facebook網站無關。

近日有不肖分子正開設大量假冒FB官方的粉專，企圖偽裝成Facebook官方通知，並假藉用戶粉專被檢舉的說詞，要騙取用戶FB帳號。
根據趨勢科技在6月5日提供給我們的一個假冒FB官方的粉絲專頁，當時我們前往該專頁，正看到詐騙者正對國內數十位名人、企業與歌手詐騙，像是郭台銘也在其中。

在這起攻擊行動中，詐騙者所假借的名義，是聲稱「你的粉絲專頁已被其他人舉報，為了防止這種情況，我們需要驗證你的帳號」，進而要求用戶遵循指示以驗證Facebook帳號。特別的是，粉絲專頁所附上的網站連結，是一個Telegram網頁，具有一次性匿名網頁的特性，當成跳板，用戶再次點擊連結，才會進入釣魚網站，也就是假冒的Facebook登入頁面。

在追查過程中，我們實際依循來到詐騙方指示的身分驗證之處，可以看到這個網頁假冒了FB的風格設計，不過連結明顯與官方網址不符。

當心進階手法是冒用身分行為，以及注意企業管理平臺帳號安全

在上述假冒臉書官方粉專的攻擊之外，是否還有其他值得關注的問題，劉彥伯指出，以往的攻擊當新聞事件傳出後，可能就會暫停一下，現在則是持續發生，更難以防範的情況是，攻擊者用已經騙到的粉絲專頁，透過冒用身分的方式，再來取信尚未被騙的用戶。

此外，除了一般粉專管理者的帳號安全，我們也詢問臉書企業管理平臺方面的問題，劉彥伯指出，平臺管理者的帳號安全更要注意，一旦攻擊者掌控了平臺，等於可對平臺下的多個粉絲專頁進行控制，甚至，攻擊者還可以將網路廣告營利的設定上，偷偷更改入帳的金融資訊，將營利轉入他人帳戶，或是用盜取的企業帳戶去刊登廣告色情的內容，做到故意破壞的效果。

粉專管理者與小編應開啟臉書雙重驗證自保

對於一般臉書粉絲專頁管理者而言，要如何才不會上當？其實上述詐騙過程，有不少地方存在破綻，譬如說，如果用戶有檢視假冒的粉絲專頁，可以發現該專頁沒有官方認證的藍底白勾，讚數也很少，對此，劉彥伯也提到，臉書不會透過這樣的官方粉專來聯繫用戶。此外，還有像是貼文中的連結，以及釣魚網站的網域，實際都與臉書無關。

因此，從這個詐騙案例，可以了解到駭客假冒的方式，不過，用戶還要知道是，這個攻擊行動只是攻擊手法的一種，還有許多不同的假冒與社交工程手法，有些形式看起來會更是以假亂真，例如釣魚網址前方就偽造相似facebook的字串，讓不懂檢視網域的人無從判別。

關於自保之道，除了電腦上防毒軟體有機會能避免用戶連上釣魚網站，有一點用戶常常容易忽略，就是近年雲端服務大多提供雙因素驗證的功能，臉書也有支援，用戶只要啟用Facebook上的雙重認證功能，一旦有人嘗試從不明裝置或瀏覽器登入自己的臉書帳號，臉書的系統就會要求輸入驗證碼，多增加一道帳號防護措施。

Google透過將文本挖空，訓練模型生成挖空間隙的字句，藉以改善抽象摘要模型的效能，這個名為PEGASUS的新模型，是Google以網路爬抓的資料預訓練後，再以12個摘要資料集進行微調，只要使用少量的監督範例資料進行訓練，就能達到和人類摘要能力相似的效能。Google現在將訓練程式碼以及模型，開源在GitHub上。

研究人員提到，抽象文本摘要是自然語言處理任務中，非常困難的工作，因為這要求模型要能夠理解長篇文章，並且還要進行資訊壓縮以及語言生成。目前要訓練機器模型做到這一點，主要是用seq2seq學習方法，讓神經網路學習把輸入序列映射到輸出序列；seq2seq使用遞迴神經網路技術，但因為Transformer編碼和解碼器，在處理長序列中的相依關係表現更好，因此逐漸變得熱門。

Transformer模型和自我監督式預訓練技術相結合，研究人員認為，這是一個非常有效解決各種語言任務的框架。而在之前的研究中，預訓練的自我監督目標是較為通用性目的，而現在Google想要讓自我監督目標，可以更緊密地反映最終任務，以達到更好的效能。

Google假設預訓練自我監督的目標，越接近最終的任務則效能就越好，因此在PEGASUS預訓練中，研究人員將文件裡的幾個完整句子刪除，而模型的工作便是要恢復這些句子，也就是說，用來預訓練的範例輸入，是有缺少句子的文件，而輸出則是缺失句子的串連。

Google提到，這是一個非常困難的工作，對人類來說也一樣，不過，這項任務可以促使模型學習語言和一般事實，還有為了要生成摘要，而學習從文件中提取資訊的能力，這種自我監督方法的優點在於，研究人員可以創建不需要人工註解的大量範例。

而文件中移除的句子，則是越重要的句子越好，自我監督的範例的輸出，最好就相當於摘要，Google利用了一種稱為ROUGE的度量標準，自動找出這些重要的句子。一開始Google會先以網路爬抓的大量文件預訓練PEGASUS，接著才以12個公共抽象摘要資料集微調PEGASUS，這些資料集分別有新聞、科學論文、專利、短篇小說、電子郵件和法律文件等各種主題。

事實上，經過大型資料集預訓練的PEGASUS模型，效能已經相當良好，僅需要非常少量的範例進行微調即可。Google以類似圖靈測試的方法，讓評分人員從PEGASUS模型與人工產生的摘要二選一，而評分人員並非總是選擇人工產生的摘要，而且PEGASUS模型只要以1,000個範例進行微調訓練，效能表現就能與人類相去不遠。

研究人員提到，這樣的成果代表摘要模型不再需要大量監督範例資料集，因此可以大幅降低訓練成本。