| iThome

壽險公會宣布「理賠服務全程無紙化」正式達成，結合FIDO驗證與電子簽章，申請保險理賠不用跑醫院

壽險公會在10月29日舉辦數位信任成果發表會，宣布「理賠服務全程無紙化」目標正式達成，此項成果是基於過去幾年持續建構的數位理賠生態圈，整合理賠聯盟鏈、保險理賠醫起通，以及保險存摺，並運用符合國際標準的FIDO技術來幫助身分驗證，透過電子簽章技術提供可線上申請同意書

2025-10-31

俄羅斯駭客Sandworm透過寄生攻擊隱匿行蹤，對烏克蘭大型商業服務及地方政府機關下手

資安業者賽門鐵克觀察到與Sandworm有關的俄羅斯駭客組織的攻擊活動，這些駭客入侵其中一家烏克蘭大型商業服務公司長達兩個月，過程中運用記憶體診斷公用程式Windows資源洩漏診斷工具（rdrleakdiag.exe）竊取資料，並透過OpenSSH建立連線

2025-10-31

社交工程 | 資安署

數發部示警：社交工程利用信任，擊潰臺灣資安防線

根據《資通安全署資安月報》統計，有三成的威脅來自於社交工程或資料收集，許多駭客從傳統的釣魚郵件到利用AI的深偽技術，創造更擬真的詐欺情境，並利用民眾的信任、恐懼和好奇心，進而做到竊取資料、騙取金錢以及控制電腦

2025-10-31

加拿大網路安全中心 | 工業控制 | 駭客行動主義 | 水利

加拿大警示駭客濫用公開工控系統，多起水利與能源設施遭干擾

加拿大網路安全中心警示，駭客正濫用可直接連網的工控系統，已出現水壓竄改與油槽誤報等事件，呼籲各單位強化監測與存取控制

2025-10-31

OpenAI | Aardvark

OpenAI發表資安研究AI代理Aardvark，可自動找漏洞及寫修補程式

基於GPT-5的Aardvark能像人類資安專家一樣分析程式碼、找出漏洞並自動提出修補方案

2025-10-31

滲透測試工具 | AdaptixC2 | 俄羅斯駭客

駭客聲稱提供開源滲透測試框架AdaptixC2，實際上是發展犯罪工具

針對近幾個月被用於攻擊行動的開源滲透測試框架AdaptixC2，資安業者Silent Push發現，背後的開發者很有可能是駭客，主要目的是提供俄羅斯網路犯罪圈運用

2025-10-31

Chrome | HTTPS

明年10月Chrome將預設優先造訪HTTPS網站

自Chrome 154版起，將預設啟用「永遠使用安全連線」以優先存取HTTPS網站，碰到不熟悉的HTTP網站則發出核准要求

2025-10-31

資安日報

【資安日報】10月30日，NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測

NPM套件今天有兩起事故揭露受到關注，其中一個是植入惡意程式碼手法更間接的攻擊行動PhantomRaven，另一起是同時針對3大作業系統用戶而來的竊資軟體攻擊，兩起事故存在共通點，那就是惡意套件都上架數個月才被察覺有異

2025-10-30

資安鑑識工具Velociraptor遭到濫用，中國駭客Storm-2603用於勒索軟體活動

思科威脅情報團隊Talos揭露中國駭客組織Storm-2603最新一波攻擊行動，過程中運用開源數位鑑識與事件回應（DFIR）工具Velociraptor建立存取管道，最終於受害組織利用勒索軟體Warlock、LockBit，以及Babuk加密檔案

2025-10-30

AI | MCP | Shadow Escape

零點擊攻擊手法Shadow Escape利用MCP伺服器弱點，從AI代理竊取敏感資料

資安業者Operant AI揭露新型態攻擊手法Shadow Escape，攻擊者可對採用模型上下文協定（Model Context Protocol，MCP）的企業組織下手，透過AI助理竊取內部機敏資料

2025-10-30

竊資軟體 | npm | Typosquatting

竊資軟體透過NPM套件散布，針對三大平臺盜取敏感資料

資安業者Socket公布一批專門散布竊資軟體的NPM套件，這些套件同時針對Windows、macOS、Linux電腦而來，上架約4個月才被發現，主要原因在於，攻擊者透過4層混淆手法處理惡意酬載，使得相關檢測工具難以察覺異狀

2025-10-30

惡意NPM套件攻擊PhantomRaven鎖定開發人員，意圖竊取NPM與GitHub憑證等CI/CD機密

惡意NPM套件埋藏惡意程式碼出現更隱密的手法！資安業者Koi Security揭露一起大規模攻擊行動PhantomRaven，並指出攻擊者將惡意內容存放於外部伺服器上的相依套件，使得大部分資安檢測工具難以察覺異狀

2025-10-30

資安日報

【資安日報】10月29日，勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手

勒索軟體Qilin的威脅態勢加劇，引起資安圈高度關注並提出警告，繼趨勢科技上週公布這些駭客採用的特殊手法後，本週思科威脅情報團隊Talos也公布相關調查結果，指出這些駭客在今年的6月與8月，均聲稱對接近100個企業組織發動攻擊

2025-10-29

ASP.NET | ASP.NET Core | CVE-2025-55315 | HTTP Request Smuggling

微軟修補有史以來最嚴重的ASP.NET Core漏洞

微軟在10月例行更新（Patch Tuesday）修補風險值9.9分的漏洞CVE-2025-55315，此漏洞是ASP.NET Core有史以來最危險的資安漏洞，本週有開發人員揭露細節，說明其發生的原因

2025-10-29

TEE.fail | 可信執行環境 | Intel TDX | AMD SEV-SNP | Nvidia 機密運算

研究揭露TEE.fail攻擊，千美元裝置可破解Intel、AMD處理器與Nvidia GPU機密運算

喬治亞理工與普渡大學發表TEE.fail攻擊研究，指出以低成本DDR5匯流排攔截即可偽造Intel與AMD機密運算證明，威脅雲端可信執行環境完整性，連Nvidia GPU信任鏈也可能遭間接繞過

2025-10-29