資安業者ESET發現，3家捷克銀行客戶遭到這前所未見新手法的攻擊。攻擊者使用名為NGate的惡意程式，將受害者的實體信用卡、支付卡等卡片資料，由被植入NGate的智慧型手機利用NFC通訊，傳送給攻擊者的手機。

攻擊者取得卡片資料後即可執行ATM交易。若這方法失敗，攻擊者還有備援計畫，可以從受害者帳戶傳到其他人的帳號。由於攻擊手法使用了NFCGate的NFC流量分析開源工具，研究人員因而將惡意程式命名為NGate。

這起資安事故在今年3月因主謀被捕而終止，期間有3家捷克銀行客戶受害，研究人員共發現6隻不同的NGate變種，但受害人數不明。

其他攻擊與威脅

◆WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，已出現實際攻擊行動

◆駭客透過AppDomain注入手法散布Cobalt Strike

◆俄羅斯駭客利用惡意程式MegaMedusa發動DDoS攻擊

◆PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式

◆竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來

【資安產業動態】

臺灣駭客年會邁入20年，不只點燃駭客精神，半導體封裝測試大廠日月光也加入資安社群行列

今年臺灣駭客年會（HITCON）社群場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20周年，象徵著該活動在臺灣資安社群中的深厚歷史與影響力。

其中，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演說，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰；還有一款UCCU AI Challenge的遊戲，是由資安社群UCCU Hacker開發，這遊戲不僅有探索安全防護機制的提示注入（Prompt Injection）挑戰。

值得一提的是，本次半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家回答。這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安技術專業對企業的重要性，不亞於普遍資安業者。

【資安防禦措施】

Telegram執行長Pavel Durov在法國被逮捕

根據法國媒體TF1的報導，Telegram創辦人暨執行長Pavel Durov上周六（8月24日）搭乘私人飛機降落在法國巴黎附近的Bourget機場時遭到逮捕，主要原因是Telegram平臺上缺乏內容管理機制，使它成為犯罪的溫床，而讓法國法官簽署了Durov的逮捕令。

根據報導，法國之所以發布Durov的逮捕令是因Telegram缺乏管理機制，而讓各種犯罪活動於該平臺上暢行無阻，這令Durov可能面臨支持恐怖主義、販毒、大規模詐欺、洗錢、戀童、閃避制裁或共謀犯罪等洋洋灑灑的指控。事實上，有調查員認為，Telegram根本已經成為有組織犯罪的最大平臺。

路透社則指出，Telegram是烏克蘭戰爭中未經證實之消息的主要散布管道，甚至有人稱為烏克蘭戰爭的虛擬戰場，不管是俄羅斯或烏克蘭高層都透過該平臺放話。

近期資安日報

【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料

【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞

【8月21日】PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門