April 2024

來源 iThome新聞 內容 4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。 究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。

來源 iThome新聞 內容 《Techcrunch》報導，在Google I/O舉行前夕，Google傳出裁員消息，影響Flutter、Dart、Python開發工具及其他部門。Google官方也證實此事。

來源 iThome新聞 內容 OpenAI與英國《金融時報》（Financial Times，FT）宣布策略合作，OpenAI將可使用其內容訓練AI模型，並提供給OpenAI的用戶。 根據雙方最新合作，FT將授權OpenAI使用其新聞內容訓練底層GPT模型，提升模型有效性，而且OpenAI的ChatGPT將可在回應用戶的內容中，包含FT特定新聞摘要、引述、以及內容連結。

來源 iThome新聞 內容 4/15~4/26金融科技精選新聞

來源 iThome新聞 內容 以今年3月的資安新聞而言，隨著2023年的結束，如今正有多個重要的資安年度報告揭露，統整出2023全年的真實威脅態勢，包括零時差漏洞利用、BEC詐騙、投資詐騙、勒索軟體攻擊等面向。 雖然我們先前已經報導部分重點，然而，當中其實還有一些關鍵態勢，我們認為相當值得企業關切。

來源 iThome新聞 內容 去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。 資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。

來源 iThome新聞 內容 這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。 另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。

來源 iThome新聞 內容 攝影分享平臺EyeEm的一名用戶Powen Shiah在4月初收到該平臺的來信，指稱該平臺變更其服務條款，將利用平臺上的照片來訓練AI模型，若不願意自己的照片被使用，則必須自行刪除。

來源 iThome新聞 內容 今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，駭客當時曾罕見竄改該公司網站首頁而引起軒然大波，近期出現新的進展。4月26日證券交易所指出，因該公司延遲發布重大訊息，他們根據相關規定開罰。 證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。

來源 iThome新聞 內容 去年8月底互動式BI系統Qlik Sense修補被稱為ZeroQlik的兩項漏洞，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。