| iThome

臺灣首度引爆憑證信任危機

過往臺灣曾發生憑證過期、失效等意外，但此次Google向全世界的公告而引發軒然大波，到底發生什麼問題？該公司的Chrome瀏覽器因為不信任中華電信根憑證管理的作為，從今年8月1日起，將不再信任由中華電信簽發的TLS憑證；若是7月31日前到期換發的中華電信憑證，仍有一年效期不受影響。

2025-06-13

資安日報

【資安日報】6月12日，大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注

本週韓國大型電子商務平臺Yes24發生網站運作停擺的情況，引起當地媒體持續追蹤，事隔一天該公司才終於透過網站正式說明，他們遭遇勒索軟體攻擊

2025-06-12

勒索軟體 | K-POP | Yes24 | 售票平臺

韓國電子商務平臺Yes24遭勒索軟體攻擊

本週韓國大型書店暨購票平臺Yes24驚傳遭到勒索軟體攻擊，事件曝光的原因，在於該公司網站服務無預警停擺，事隔兩天，他們在說明事件發生的經過，但表示對於資料外洩的情況仍有待釐清

2025-06-12

Acronis Cyber Protect | Acronis Cyber Protect Cloud

Acronis修補資料保護與備份軟體多個漏洞，包括資料外洩與非授權存取的重大漏洞

Acronis於6月上旬發布旗下Cyber Protect備份與病毒掃描軟體漏洞，並釋出修補

2025-06-12

OTP網釣 | OTP竊取 | 網釣 | 信用卡盜刷 | 盜刷網釣

【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型

隨著OTP盜刷與網路釣魚攻擊的技術與規模不斷擴張，支付與電商產業作為首當其衝的防守方，應採多層次安全策略來積極應對，例如，減少對OTP的依賴、採用新型身分驗證機制，並強化裝置指紋識別技術，例如整合時區、GPU、IP位址等環境與硬體綁定資訊，以及建立AI/ML詐欺偵測模型，以更早發現可疑行為並及時應對

2025-06-12

【OTP盜刷網釣現況大公開2】2025中國信用卡盜刷網釣即服務百家爭鳴，甚至公然在即時通訊軟體頻道打廣告與教人盜刷

隨著網釣即服務（PhaaS）平臺的擴張，正助長信用卡盜刷網釣攻擊的犯罪規模，例如，中國信用卡黑市如今已有1百多個網路釣魚犯罪服務，數量較兩年前倍增，其功能上也日益強大，多數都已提供即時網釣的犯罪技術，也內建多種規避資安偵測的能力，而且這些不肖份子還在微信與Telegram頻道來宣傳網路犯罪服務

2025-06-12

【OTP盜刷網釣現況大公開1】即時網釣手法已經氾濫，AiTM中間人攻擊技術助長此類威脅

信用卡盜刷的網釣攻擊手法不斷演進，今年上半一場資安攻擊型研討會，有企業藍隊專家特別剖析這類威脅背後的生態，指出攻擊早已轉變為能即時竊取OTP的「同步魚」手法，是支付與電商業者必需掌握的威脅態勢

2025-06-12

UEFI | Insyde | NVRAM | CVE-2025-3052 | CVE-2025-4275

Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機

卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）、資安業者Binarly不約而同揭露系微（Insyde）UEFI韌體的資安弱點CVE-2025-4275、CVE-2025-3052，並指出若不處理，攻擊者能用來繞過安全開機（Secure Boot）防護機制

2025-06-12

Rust | Myth Stealer | 竊資軟體

惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布

資安業者Trellix揭露名為Myth Stealer的竊資軟體，駭客同時針對Chrome與Firefox兩大陣營的瀏覽器用戶而來，假借提供遊戲或作弊工具散布

2025-06-12

研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞

資安業者Aim Security旗下的Aim Labs揭露零點擊AI漏洞CVE‑2025‑32711，允許駭客在無需使用者互動的情況下，竊取M365 Copilot脈絡中的機密資訊

2025-06-12

Tomcat | Apache | 暴力破解 | DigitalOcean

Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試

威脅情報業者GreyNoise在上週偵測到專門針對網頁應用程式伺服器Apache Tomcat的攻擊活動，駭客利用400個IP位址，試圖對其管理介面嘗試登入或是進行暴力破解，很有可能是駭客要發動相關攻擊行動的前兆

2025-06-12

Dell | PowerScale | OneFS | CVE-2024-53298

Dell橫向擴展NAS儲存系統PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統

Dell修補網路儲存設備作業系統PowerScale OneFS，其中最受到注意的資安漏洞是重大層級的CVE-2024-53298，Dell指出此漏洞相當危險，若不處理攻擊者能藉此完全入侵NAS環境

2025-06-12

Patch Tuesday | 微軟 | Windows 11 24H2 | KB5063060 | 例外更新

Patch Tuesday不相容部分Windows 11 24H2 PC，微軟罕見以例外更新部署

針對某些無法安裝6月例行安全更新的Windows 11 24H2裝置，微軟另外發布KB5063060例外更新

2025-06-12

HPE | StoreOnce | CVE-2025-37093

HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞

HPE發布4.3.11版備份儲存系統StoreOnce更新，主要修補由漏洞懸賞專案Zero Day Initiative（ZDI）通報的一系列弱點，其中最值得留意的部分，是重大層級的身份驗證漏洞CVE-2025-37093

2025-06-11

MacOS | AMOS惡意程式 | 網釣攻擊 | Homebrew | 電信公司

竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊

駭客假冒電信業者Spectrum發動針對macOS用戶的新一波網釣攻擊，透過ClickFix流程及假Homebrew軟體庫散布AMOS惡意程式，竊取密碼等敏感資料

2025-06-11