【資安日報】2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞

透過挾持手機SIM卡的手法（SIM Swapping），進而洗劫被害人財物的情況，在最近3至4年歐美陸續有事故發生。但最近，這樣的事故也在臺灣出現，而且是針對長年在國外工作的民眾，等到他發現異狀時，不只銀行帳戶的存款被盜領，信用卡也被補發、盜刷。但與國外不同的是，臺灣SIM卡掛失、補辦，需要臨櫃持雙證件辦理，而非一通電話就能申請，歹徒的手法仍有待釐清。

因應遠距工作、上課的需求，視訊會議系統的重要性與日俱增，但這類系統很可能存在可讓攻擊者暗中動手腳的漏洞。在今天的資安日報裡，Zoom就被發現這樣的漏洞，但值得留意的是，研究人員特地購買相關服務才能進行研究，因此他們認為，該系統可能還有更多存在已久的類似漏洞，有待廠商提供資安人員研究的管道，才能早日被挖掘出來修補。

駭客意圖騙取使用者的雲端服務帳號，手法越來越細緻，很難透過資安防護系統察覺異狀。例如，最近一起假冒美國勞動部（DoL）的攻擊行動，攻擊者使用來自新網域的電子郵件信箱，而能夠回避資安威脅系統的黑名單，但使用者還是能從釣魚網站的網址察覺異狀。針對這樣的現象，研究人員除呼籲使用者要提高警覺，也建議網管人員要配置適當的郵件管制措施，來防堵這類攻擊行動。

【攻擊與威脅】

臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口

在歐美許多國家橫行的SIM挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。至於聯合新聞網報導的裁罰事件，NCC表示這是另一起事件，狀況不同。

冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號

網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。

紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊

人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。

市場行銷業者唐納利遭到勒索軟體Conti攻擊

勒索軟體Conti攻擊大型企業的事故又一樁。根據資安新聞網站Bleeping Computer的報導，美國大型市場行銷業者唐納利（RR Donnelley）於2021年12月27日，向美國證券交易委員會（SEC）通報遭到駭客入侵，導致該公司部分IT系統關閉，客戶無法收到用於供應商付款、支付支票、機動車輛所需的文件檔案。勒索軟體駭客Conti於1月15日，宣稱此起事故是他們所為，並洩露竊得的2.5GB資料，但不久後將其移除。

勒索軟體BlackCat攻擊義大利服飾業者Moncler，員工、客戶資料遭到外洩

自2021年12月出現的勒索軟體BlackCat（亦稱Alphv），已有大型企業成為受害者。義大利服飾業者Moncler於12月24日表明遭到惡意軟體攻擊，近期向資安新聞網站Bleeping Computer透露初步的調查結果，他們的員工、前員工、供應商、業務合作夥伴，以及客戶的部分資料，已經遭到勒索軟體駭客BlackCat外洩，但強調沒有客戶的付款資料受到波及。

勒索軟體White Rabbit透過加密保護來規避偵測，已有銀行受害

新的勒索軟體對於美國一家銀行發動攻擊，引起資安人員的注意。趨勢科技發現名為White Rabbit的勒索軟體，攻擊者運用的規避偵測手法相當少見，是藉由密碼保護方式進行，攻擊者執行時必須先使用命令列輸入密碼，才能讓這款勒索軟體運作。該勒索軟體也同樣運用雙重勒索的手法，要脅受害者不付贖金電腦資料將被公開，研究人員認為，發動攻擊的人士疑似與駭客組織FIN8有關。

擔心中國監控，英、荷將提供北京奧運選手臨時手機

北京奧運即將於2月4日舉行，中國意圖監控與會人員的情況，也引發歐美各國擔憂。根據衛報的報導，英國奧委會（BOA）、荷蘭奧委會（NOC*NSF）已向運動員提出警告，前者建議英國運動員最好不要攜帶自己的電腦和行動裝置，該單位可為運動員提供臨時的裝置；後者則是宣稱將提供運動員手機與筆電，這些裝置將在運動員回國後銷毀。

【漏洞與修補】

Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動

武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。

【近期資安日報】

2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊

2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注

2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手

2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料

2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動

2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼

2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙

2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊

2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放

2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟

2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法