【資安月報】2025年11月，「小烏龜」資安風險恐衝擊國家安全。網路詐騙防範挑戰備受關注

在2025年11月的資安新聞中，「小烏龜」資安風險與網路詐騙防範成為最熱門、最受矚目的焦點議題，還有國內外重大資安事件、針對開發者生態的攻擊，以及其他威脅升溫的趨勢同樣不容忽視。我們整理出6大焦點，帶大家快速回顧本月的關鍵新聞與資安趨勢。

（一）小烏龜資安風險衝擊國家安全

本月最熱門的資安新聞，莫過於電信業者提供的數據機──也就是俗稱的「小烏龜」──被揭露存在多項安全漏洞，牽動網路服務供應商與網通設備產品安全的整體討論。過去一年來，趨勢科技資深威脅研究員游照臨多次談及此議題，本月我們進行專訪了解整體概況。首要問題點是ISP方面，他指出中華電信配發數據機給用戶後，缺乏妥善維護，當數據機產品生命週期終止（EoL），廠商與用戶卻仍未更換這些設備。他可以理解相關電信業者遇到的困難，但引發政府、金融、軍方網路門戶洞開的危機需要正視，而且事件爆出一年仍未汰換完畢，處理明顯不夠積極。

產品資安漏洞議題也受到討論，因為游照臨最早的發現過程，就是因為自己搬家順手檢查中華電信新裝的數據機，這項下班後研究卻讓他挖出超過30個、跨多家大廠的CVE漏洞。他並指出，許多老設備都有不安全的設計，存在3種常見漏洞問題，包括認證繞過、隱藏後門、遠端程式碼執行，而且這些產品資安問題都沒妥善解決，常有漏洞繼承未處理的現象。另外，許多廠商表示產品已達EoL而拒絕修補，資安風險將轉嫁使用者。

更需要我們重視的是，游照臨還提及未修補漏洞的數據機可能成為詐騙集團的間接幫凶。一旦駭客取得邊緣設備的控制權，不只可以竊取資料，更能監控或攔截整個網路封包；也能竄改使用者要存取的網頁，置換成精心設計的釣魚頁面；甚至將設備納入殭屍網路，成為詐騙、DDoS攻擊或更複雜滲透行動的跳板。

（二）網路詐騙威脅持續成全球重要議題

網路詐騙議題持續受關注，本月我們有一期封面故事是探討LINE如何對抗詐騙產業鏈，有兩大焦點議題：
　第一點：LINE分享今年6月與刑事局合作的打詐經驗，說明如何運用警方提供的高風險門號資料分析模型，成功揪出7.3萬個異常帳號，且誤封率極低，僅1名用戶需恢復權限。LINE並提及過去封鎖可疑帳號的兩難，直到去年打詐新四法的詐欺犯罪危害防制條例提供平臺「避風港」，得以強化自動化處置流程，更即時阻斷可疑帳號。
　第二點：2024年投票釣魚問題大幅暴增，帳號遭盜通報數量是2023年的5.5倍。此類攻擊以假「投票活動」名義，濫用合法的LINE帳號轉移機制來奪走帳號控制權，雖然多數民眾知道連結要檢查、不亂點，也對LINE帳號轉移有了解而有所警覺，但對年幼、長者或不熟網路者仍具高度迷惑性。因此，LINE從攻擊者角度思考，繪製授權釣魚運作流程，以尋找最有效的阻斷點。

另外，本月還有台灣數位信任協會發表「2025社群冒名詐騙報告書」，解析臺灣社群冒名貼文的場景，同時也指出全球有更多國家都在針對打詐立法，包括數位詐騙防治新法、澳洲實施SPF防詐框架，都是今年重要議題。

國際間還有簡訊網釣威脅最受關注，Google指出近年假冒物流「包裹卡住」或「未繳路費」的簡訊氾濫，他們設法從政策與立法層面發力，針對一個提供簡訊釣魚服務的PhaaS平臺Lighthouse背後團體提起訴訟，希望幫助打擊詐騙工具鏈。而Lighthouse網路犯罪平臺是由中國駭客打造，利用iMessage/RCS對全球121國發動攻擊，並會竊取信用卡資料和OTP驗證碼，以便綁定數位錢包進行盜刷。

（三）國際重大資安新聞事件

本月國際資安新聞中，有4則具代表性、影響範圍廣或備受討論的事件。
　●中國資安公司「知道創宇」11月發生資料外洩事件，駭客聲稱竊取1.2萬份機密資料。更受全球關注的是，資安研究員NetAskari分析指出，其外洩文件再次揭露該公司受政府委託從事全球網路間諜活動，而其攻擊目標涵蓋臺灣、日本、越南等20多個國家。
　●與Salesforce有關的供應鏈威脅再度浮現，11月20日Salesforce針對Gainsight遭駭示警，指出由Gainsight提供且與Salesforce連接的應用程式有異常活動，估計事件影響200家Gainsight用戶的Salesforce資料，由於3個月前曾發生攻擊者利用竊取的Drift OAuth憑證入侵，這次事件再度引發CRM生態系供應鏈安全問題關注。
　●先前曝光的Oracle商業應用系統E-Business Suite（EBS）零時差漏洞攻擊事件，到了11月有大量受害者身分曝光。從施耐德電機、艾默生電機，到英國NHS、安聯人壽英國子公司、華盛頓郵報、羅技、日立子公司GlobalLogic等。迄今，攻擊並外洩Oracle EBS資料的Cl0p駭客，已宣稱駭入100多家企業組織，並公開近半組織的資訊。
　●安永會計師事務所資料庫雲端備份暴露在公開網路，這項消息在當時也成為熱門的資安新聞。通報此事的研究人員對外揭露這項發現並提醒，即便具備完整資源與專業能力的大型組織，也可能因設定不當而意外將SQL Server資料庫備份暴露於外，各機構都應以此為戒。

（四）多起臺灣上市櫃重大資安事件

接下來將焦點回到國內，本月共有4家上市櫃公司在公開資訊觀測站發布資安重大訊息，我們整理如下：
　●第一週1起，福貞-KY子公司福建福貞金屬包裝遭受駭客網路攻擊，傳出Radar勒索軟體組織宣稱是其所為。
　●第三週2起，東和紡織表示部分資訊系統遭受駭客網路攻擊；中菲電腦說明發生網路資安事件。
　●第四週1起，有成精密揭露部分資訊系統遭受駭客網路攻擊。
另外留意的是，Google威脅情報團隊揭露中國駭客APT24的攻擊手法轉變，攻擊型態從水坑式攻擊擴展為多向量攻擊，當中曝光了一家臺灣數位行銷業者去年7月遭該組織發動供應鏈攻擊，因此波及逾千個網域。

（五）蠕蟲攻擊活動正大量鎖定開發者生態而來

開發人員當心，軟體開發套件儲存庫與整合式開發環境的延伸套件，持續成為駭客攻擊重心，近來蠕蟲攻擊最受關注，有多家資安業者不約而同提出警告，揭露這方面的威脅態勢：

IndonesianFoods蠕蟲程式：已在NPM孳生逾10萬個套件，研究人員指出，攻擊者大量上架無用套件，疑似牟取開源專案貢獻獎勵的Tea加密貨幣，但此狀況也引發供應鏈安全專家對未來可能被惡意利用的憂慮。
Shai-Hulud蠕蟲程式：新一波攻擊活動在短短3天內上傳逾千個NPM套件，並感染約2.7萬個GitHub儲存庫。該蠕蟲可在Windows、Linux、macOS的開發環境快速擴散，利用掃描工具TruffleHog搜索外洩金鑰與雲端憑證，並將資料上傳到公開的GitHub儲存庫，同時又再自我複製後持續上架新套件。
GlassWorm蠕蟲攻擊活動：近期攻擊活動再度現身Open VSX，其行為會蒐集受害開發環境中的NPM、GitHub與Git憑證，並破壞其他套件或擴充元件。研究人員指出，攻擊程式碼混入肉眼難以察覺的Unicode字元，近期發現該惡意套件已被下載近1萬次。

（六）多項資安威脅快速升級需要戒備

近期多起網路威脅活動也陸續被揭露，同樣值得高度關注，我們列出6起重要態勢：
●運輸物流業者當心！資安業者Proofpoint揭示一波鎖定運輸物流業的攻擊行動。攻擊者濫用合法遠端管理工具（RMM），目的不在竊取資料，而是取得帳號與權限後竄改配送資訊，進而竊取實體貨物轉售獲利，各界需提高警覺。
●中國駭客鎖定華碩WRT系列路由器已知漏洞入侵，資安業者SecurityScorecard警告，許多使用者未套用安全更新，使其有可乘之機，而攻擊者入侵綁架設備的目的是架設ORB網路，用來隱匿網路攻擊與間諜活動的真實來源。
●中國駭客PlushDaemon最新攻擊活動被揭露，資安業者ESET指出其攻擊是入侵路由器後竄改DNS組態，從而讓受害者電腦自攻擊者的伺服器下載包含惡意的更新，已棄用的搜狗輸入法也是他們利用的目標。
●中國製生成式AI語言模型隱憂受關注，法務部調查局抽查DeepSeek、豆包、文心一言，警政署刑事警察局抽查通義千問、騰訊元寶，發現相關產品普遍存在資安風險及內容偏頗等問題，提醒國人慎選並注意資料外洩。
●微軟10月修補的WSUS漏洞CVE-2025-59287成國家級駭客鎖定目標，資安業者Darktrace指出有攻擊者利用並植入Skuld竊資軟體，後續韓國資安業者AhnLab示警，發現中國APT駭客鎖定未修補用戶攻擊，並部署惡意程式ShadowPad。
●Amazon威脅情報團隊揭露，伊朗駭客Imperial Kitten與MuddyWater正以「cyber-enabled kinetic targeting」模式，透過軍用船隻的自動識別系統與監視器等系統蒐集情資，支援後續軍事打擊行動。

【資安月報】2025年11月，「小烏龜」資安風險恐衝擊國家安全。網路詐騙防範挑戰備受關注

【資安週報】1103~1107，普發現金萬元開跑，財政部封假冒網站並提醒國人務必識別政府網域

【資安週報】1110~1114，零時差漏洞攻擊再升溫，2個多月前揭露的Citrix與思科漏洞在公布前即遭國家級駭客利用

【資安週報】1117~1121，電信業提供「小烏龜」已屆EoL，卻未主動幫用戶更換，邊緣裝置產品資安風險成焦點

【資安週報】1122~1126，LINE資安弱點揭露受關注。Salesforce針對Gainsight遭駭示警

【2025年10月資安月報，AI助攻漏洞防禦，自動化漏洞發現與修補快速崛起】

【2025年9月資安月報，臺灣企業組織的資安預算創新高，總統公布資安法修正通過】

【2025年8月資安月報，駭客鎖定Salesforce用戶，語音網釣與第三方應用程式成主要破口】

【2025年7月資安月報，語音網釣與ClickFIX網釣日益嚴峻】

【2025年6月資安月報，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊】

【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】

熱門新聞