今年的黑色星期五（Black Friday）即將於11月29日到來，各家電商購物網站無不磨拳擦掌，打算藉此衝高業績。但在此同時，駭客也伺機而動，企圖從中騙取信用卡及個資。

威脅情報業者EclecticIQ自10月上旬，發現針對歐洲及美國的網路購物者而來的網路釣魚攻擊，駭客針對尋找黑色星期五折扣的購物者而來，假借提供折扣商品為誘餌，從而引誘受害者交出持卡人資料（Cardholder Data，CHD）、敏感身分驗證資料（Sensitive Authentication Data，SAD），以及個人可識別資訊（PII）。

而對於攻擊者的身分，研究人員指出他們來自中國，並稱呼這些駭客為SilkSpecter，研判是基於經濟利益發起這波攻擊行動。

中國駭客入侵美國多家電信業者，T-Mobile傳出也受害

華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，並指出受害的電信業者包含AT&T、Verizon、Lumen，如今傳出有其他電信業者遇害的情況。

11月15日華爾街日報引述知情人士的說法，T-Mobile的網路環境也在這波攻擊當中遭到入侵，與中國軍情單位有關的駭客發動長達數個月的間諜行動，鎖定高價值的情資標的，對於行動電話通訊進行監控。但究竟駭客取得那些資訊，目前仍不明朗。

對此，T-Mobile的發言人表示，他們與同業及相關執法單位合作，緊密監控這波廣泛針對電信產業的攻擊行動，根據他們掌握的情況，該公司的系統及資料尚未受到影響，客戶資訊也並未出現受到影響的跡象。

9月揭露的VMware vCenter重大漏洞快修補！已出現被用於攻擊的情形

今年9月博通公告VMware vCenter伺服器的記憶體緩衝區堆疊溢位漏洞CVE-2024-38812、權限提升漏洞CVE-2024-38813，本週這份公告內容更新，當中提到有人實際將這些漏洞用於攻擊行動。

值得留意的是，博通曾在10月表示，他們最初提供的更新軟體，對於CVE-2024-38812的修補並不完全，已套用9月更新程式的IT人員，仍須下載最新版軟體，才能獲得更完善的修補。

其他攻擊與威脅

◆駭客透過臉書推送冒牌Bitwarden密碼管理工具的廣告，意圖散布惡意Chrome外掛

◆竊資軟體透過假AI影片產生工具散布，鎖定Windows與macOS用戶而來

◆釣魚郵件利用SVG圖檔迴避偵測的情況日趨頻繁

【漏洞與修補】

Palo Alto Networks修補已出現攻擊行動的防火牆零時差漏洞

11月8日資安業者Palo Alto Networks針對防火牆用戶發布相當不尋常的公告，編號為PAN-SA-2024-0015，表示他們得知有人掌握一項防火牆漏洞，呼籲用戶應限縮管理介面的存取管道因應，如今該公司對此情況提出進一步說明。

11月18日該公司更新PAN-SA-2024-0015公告，指出此為網頁管理介面的身分驗證旁路漏洞，登記的通用漏洞揭露編號為CVE-2024-0012，而且，已出現一定數量的漏洞利用情形。未經身分驗證的攻擊者存取網頁管理介面，就有機會得到防火牆作業系統PAN-OS的管理員權限，並執行管理行為，像是竄改防火牆組態，或是利用其他漏洞（如同日公布的CVE-2024-9474）進行權限提升。

而對於利用漏洞的攻擊行動，Palo Alto Networks將其命名為Operation Lunar Peek，並指出有一定數量的管理介面遭到駭客鎖定，相關攻擊來自已知的代理伺服器及隧道IP位址，研判對方利用匿名VPN服務從事相關活動。

其他漏洞與修補

◆網路流量監控系統LibreNMS存在重大漏洞，攻擊者有機會執行作業系統層級命令

◆GitHub命令列存在高風險漏洞，攻擊者有機會藉此遠端執行任意程式碼

【資安產業動態】

針對零售業個資保護範圍擴大，經濟部納管6800家業者

為防堵店家洩露個資的情況，經濟部去年8月針對百貨超商等綜合零售業者，根據個資法訂定「綜合商品零售業個人資料檔案安全維護管理辦法」，針對資本額達到新臺幣1千萬元以上、並有招募會員或可取得交易對象個人資料的綜合商品零售業者，在頒布施行的6個月內，訂定個人資料檔案安全維護計畫。如今經濟部調整這項管理辦法，擴大列管的範圍。

11月13日經濟部發布「零售業個人資料檔案安全維護管理辦法」，將原本僅針對「綜合商品零售業者」的個資保護要求，擴及所有資本額達到1千萬元、並有招募會員或可取得交易對象個人資料的所有零售業者，估計約有6,800家零售業者，包含服飾業者Uniqlo、NET，以及全國電子，皆為納管對象。

臺灣遊戲業者智冠導入FIDO身分驗證機制，上線3個月使用量突破百萬人次

今年7月臺灣遊戲業者智冠取得FIDO認證，他們在11月14日至17日舉行的2024資訊月活動裡，公布導入之後的使用情形。

該公司表示，他們從7月下旬正式導入FIDO，截至10月18日透過生物辨識進行身分驗證的次數已經突破100萬人次。他們也指出在導入FIDO後，客訴案件減少、用戶滿意度顯著提升、系統運作效率提高。

近期資安日報

【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境

【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來

【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織