0213-0219一定要看的資安新聞

 

全球資安會議

受武漢肺炎疫情影響,臺灣資安大會與亞洲黑帽駭客大會延期,IBM宣布退出RSA大會

武漢肺炎(COVID-19)疫情持續影響國內外的科技界活動,繼巴賽隆納舉行的世界通訊大會(MWC)取消後,在臺灣,原訂3月中旬舉行的臺灣資安大會,今年首度移師展場更大的南港展覽二館,主辦單位在2月14日早上10點宣布,基於所有參展人士、觀展來賓及工作人員的健康安全考量,將延至8月12日到14日於原場地進行。

後續又有大型資安會議有異動,例如,黑帽亞洲大會(Black Hat Asia)2020原訂於3月31到4月3日於新加坡舉行,主辦單位也宣布延期,預計是延至秋天,但詳細日期及細節尚未公告。至於今年2月底在美國舊金山舉行的RSA大會,雖然照常在2月24日到28日舉行,但贊助商之一的IBM已決定取消參加,並指出員工的健康一直是公司最大考量,而目前已有多家贊助廠商取消參加該大會,包括美國和加拿大各一家廠商,以及6家中國廠商。更多內容 更多內容

 

 

系統安全、Mac惡意程式

Mac資安威脅首度超過Windows平臺

圖片來源/Malwarebytes

資安局勢不斷變化,早年的印象可能也需要改變,在個人電腦的平臺上,過去可能Mac面對的威脅比Windows少,然而,近年開始出現不同的答案。資安廠商Malwarebytes公布的最新報告發現,去年Mac電腦上的惡意及不安全程式成長4倍,且平均數量首度超過Windows電腦,這是根據他們蒐集2019年安裝該公司產品的商用及消費型裝置,將偵測到惡意(或不安全)軟體活動進行分析,所得出的其中一項調查結果。

研究人員認為,這可能是因為Mac電腦市占率上升,而使Mac電腦成為網路犯罪者的新目標。此外,macOS內建的安全防護,並不封鎖廣告軟體或潛在有害程式,而讓一些磁碟清理程式等灰色軟體進入電腦。更多內容

 

BEC詐騙

FBI年度網路犯罪報告指出,2019年度商業電子郵件詐騙的損失金額最高,占整體一半

圖片來源/FBI

美國聯邦調查局(FBI)旗下的網路犯罪投訴中心(IC3),在本周公布了2019年的網路犯罪報告,他們指出去年相關的總投訴案件為46.7萬件,可分成超過30種的網路犯罪類型,當中,商業電子郵件詐騙(Business Email Compromise,BEC)雖然不到2.4萬件,只占所有投訴案件的5%,但此類犯罪所造成的損失,高達17.8億美元,占去年網路犯罪損失總額的一半。此外,為了追回被騙的金額,FBI設立了Recovery Asset團隊,鼓勵受害者及早報案,就有更大機會追回資產,實際上,該團隊在去年已替受害者尋回總計逾3億美元。更多內容

 

FIDO

蘋果加入FIDO聯盟董事會,成無密碼登入生力軍

在Google、臉書、Amazon、三星、微軟、PayPal等科技大廠加入FIDO聯盟之後,蘋果在本月終於也正式加入,可望加速推動無密碼登入網站和App的願景。

在此之前,以WebAuth標準或FIDO 2協定為基礎的無密碼登入而言,只有Android陣營支持,欠缺蘋果iOS平臺的支持,讓一些企業或開發商對部署FIDO2/WebAuthn-based無密碼登入,抱持觀望態度。隨著蘋果在去年底於iOS 13.3與iPadOS 13.3中的Safari,首度支援相容於NFC、USB及Lightning FIDO2等規格的實體安全金鑰,現在也跟進加入FIDO聯盟,這也讓外界認為,將可加速FIDO應用的發展。更多內容

 

系統安全、SMBv1

微軟督促Exchange管理員關閉SMBv1

微軟Exchange團隊再度提醒,最近幾年有眾多的駭客行動,都針對SMBv1展開攻擊,包括Emotet、TrickBot及WannaCry等,因此他們再度呼籲,舉凡在Exchange 2013/2016與2019啟用SMBv1的用戶,最好將它關閉,以防範近期的各種攻擊行動,同時他們提供相關建議作法,協助用戶自我檢查SMBv1是否開啟,以及如何關閉。此外, Exchange Server 2010將在今年的10月13日終止支援。更多內容

 

個資外洩

Equifax個資外洩案元兇可能是他們?美國司法部指控中國解放軍盜走1.5億名美國民眾個資

圖片來源/擷取自美國司法部官方網站

針對美國第三大消費者信用報告公司Equifax,在2017年爆發的重大個資外洩案,被盜走了1.5億名美國消費者的個人資料,近日美國司法部根據已完成的調查,指控這起事件是來自中國解放軍第54研究所的吳志勇、王乾、許可及劉磊所為,他們在2017年駭進Equifax的電腦網路,攻陷了Equifax未修補的Apache Struts網頁框架漏洞,並取得登入憑證以在該公司企業網路偵測,在系統上搜尋機密或個人資訊,並伺機將檔案傳送到位於美國之外的伺服器,估計總計執行了9千次的查詢,取得了近半數美國人的個資。更多內容

 

IE漏洞

微軟修補99個安全漏洞,其中一項IE零時差漏洞影響最大

微軟本月例行性的漏洞修補更新已發布,有11個屬重大漏洞。特別要注意的是,一項上個月已被成功利用的IE零時差漏洞CVE-2020-0674,波及多個Windows版本的IE 9/10/11,由於微軟今年1月已終止Windows Server 2008與Windows 7的延伸支援,代表這些過時的作業系統將無法取得最新修補,對於尚未升級至新版作業系統的用戶來說,影響最為重大。更多內容

 

網路釣魚

近日流傳LINE推出全新2階段密碼認證是假的,當心以強化安全為名的網釣攻擊!

圖片來源/165反詐騙

發生多起帳號盜用的事件之後,民眾也越來越瞭解其重要性,但也要注意以強化帳號安全為名的網釣攻擊,近日165反詐騙警告,在即時通訊軟體LINE上,瘋傳一段訊息,內容是:「最近有很多LINE帳號被駭客盜取,LINE推出全新2階段密碼認證,請點選下列URL提高帳號安全」,但實際上該連結所在的網頁是詐騙網站,警政署呼籲民眾不要上當,並指出該公司沒有發送這則資訊,同時也說明其安全性設定都是在App中操作。過去,也有駭客是用假Windows 10重大更新的電子郵件,附件則是暗藏看似JPG檔的勒索軟體。更多內容

 

物聯網資安、UL認證

虎頭山物聯網創新基地設資安檢測中心,UL IoT安全評等認證將有在地化檢測服務

圖片來源/財團法人電信技術中心

由國家發展委員會推動的「亞洲‧矽谷─強化物聯網資安防護裝備」計畫,近日有了新的進展,於虎頭山創新園區打造物聯網資安聯合檢測中心,由財團法人電信技術中心負責執行,偕同中華資安國際,以及身為該園區資安物聯網中心營運團隊──大同世界科技與互聯安睿資通,共同成立,後續期望能聚集多家檢測廠商進駐,提供不同服務,讓國內業者能得到一個全方位的解決方案。特別的是,全球產品安全測試認證機構UL也加入這次合作,將輔導檢測業者引進UL IoT安全評等,目前此評等服務將由電信技術中心協助,他們的副執行長林炫佑指出,日後國內業者產品若要取得相關認證,在臺灣就能做,不用像過去只能送到國外進行。以國家發展委員會的目標與計畫來看,是希望這個檢測中心能提供從設計、製造到產品輸出的資安服務。更多內容

 

更多資安動態
Dell電腦內建管理軟體SupportAssist 爆權限升級漏洞
金融木馬Emotet新增利用Wi-Fi 散布的能力
美德情報單位秘密掌控加密設備龍頭數十載
思科可能即將收購FireEye
美國:有證據顯示華為設備含有後門
Windows安全更新版本造成用戶設定被重設、安裝時凍住
Google Project Zero指出,三星保護手機的作法反而讓Android不安全
 

 


Advertisement

更多 iThome相關內容