今年的黑色星期五（Black Friday）即将于11月29日到来，各家电商购物网站无不磨拳擦掌，打算借此冲高业绩。但在此同时，黑客也伺机而动，企图从中骗取信用卡及个资。

威胁情报业者EclecticIQ自10月上旬，发现针对欧洲及美国的网络购物者而来的网络钓鱼攻击，黑客针对寻找黑色星期五折扣的购物者而来，假借提供折扣商品为诱饵，从而引诱受害者交出持卡人数据（Cardholder Data，CHD）、敏感身分验证数据（Sensitive Authentication Data，SAD），以及个人可识别信息（PII）。

而对于攻击者的身分，研究人员指出他们来自中国，并称呼这些黑客为SilkSpecter，研判是基于经济利益发起这波攻击行动。

中国黑客入侵美国多家电信业者，T-Mobile传出也受害

华尔街日报先后于9月底至10月初报导，中国黑客Salt Typhoon成功入侵美国多家互联网服务供应商（ISP），目的是渗透美国政府的窃听系统并收集情报，并指出受害的电信业者包含AT&T、Verizon、Lumen，如今传出有其他电信业者遇害的情况。

11月15日华尔街日报引述知情人士的说法，T-Mobile的网络环境也在这波攻击当中遭到入侵，与中国军情单位有关的黑客发动长达数个月的间谍行动，锁定高价值的情资标的，对于移动电话通信进行监控。但究竟黑客取得那些信息，目前仍不明朗。

对此，T-Mobile的发言人表示，他们与同业及相关执法单位合作，紧密监控这波广泛针对电信产业的攻击行动，根据他们掌握的情况，该公司的系统及数据尚未受到影响，客户信息也并未出现受到影响的迹象。

9月揭露的VMware vCenter重大漏洞快修补！已出现被用于攻击的情形

今年9月博通公告VMware vCenter服务器的内存缓冲区堆栈溢出漏洞CVE-2024-38812、权限提升漏洞CVE-2024-38813，本周这份公告内容更新，当中提到有人实际将这些漏洞用于攻击行动。

值得留意的是，博通曾在10月表示，他们最初提供的更新软件，对于CVE-2024-38812的修补并不完全，已套用9月更新程序的IT人员，仍须下载最新版软件，才能获得更完善的修补。

其他攻击与威胁

◆黑客通过脸书推送冒牌Bitwarden密码管理工具的广告，意图散布恶意Chrome插件

◆窃资软件通过假AI视频产生工具散布，锁定Windows与macOS用户而来

◆钓鱼邮件利用SVG图档回避侦测的情况日趋频繁

【漏洞与修补】

Palo Alto Networks修补已出现攻击行动的防火墙零时差漏洞

11月8日资安业者Palo Alto Networks针对防火墙用户发布相当不寻常的公告，编号为PAN-SA-2024-0015，表示他们得知有人掌握一项防火墙漏洞，呼吁用户应限缩管理界面的存取管道因应，如今该公司对此情况提出进一步说明。

11月18日该公司更新PAN-SA-2024-0015公告，指出此为网页管理界面的身分验证旁路漏洞，登记的通用漏洞揭露编号为CVE-2024-0012，而且，已出现一定数量的漏洞利用情形。未经身分验证的攻击者存取网页管理界面，就有机会得到防火墙操作系统PAN-OS的管理员权限，并运行管理行为，像是窜改防火墙组态，或是利用其他漏洞（如同日公布的CVE-2024-9474）进行权限提升。

而对于利用漏洞的攻击行动，Palo Alto Networks将其命名为Operation Lunar Peek，并指出有一定数量的管理界面遭到黑客锁定，相关攻击来自已知的代理服务器及隧道IP位址，研判对方利用匿名VPN服务从事相关活动。

其他漏洞与修补

◆网络流量监控系统LibreNMS存在重大漏洞，攻击者有机会运行操作系统层级命令

◆GitHub命令行存在高风险漏洞，攻击者有机会借此远程运行任意代码

【资安产业动态】

针对零售业个资保护范围扩大，经济部纳管6800家业者

为防堵店家泄露个资的情况，经济部去年8月针对百货超商等综合零售业者，根据个资法订定「综合商品零售业个人数据文件安全维护管理办法」，针对资本额达到新台币1千万元以上、并有招募会员或可取得交易对象个人数据的综合商品零售业者，在颁布施行的6个月内，订定个人数据文件安全维护计划。如今经济部调整这项管理办法，扩大列管的范围。

11月13日经济部发布「零售业个人数据文件安全维护管理办法」，将原本仅针对「综合商品零售业者」的个资保护要求，扩及所有资本额达到1千万元、并有招募会员或可取得交易对象个人数据的所有零售业者，估计约有6,800家零售业者，包含服饰业者Uniqlo、NET，以及全国电子，皆为纳管对象。

台湾游戏业者智冠导入FIDO身分验证机制，上线3个月使用量突破百万人次

今年7月台湾游戏业者智冠取得FIDO认证，他们在11月14日至17日举行的2024信息月活动里，公布导入之后的使用情形。

该公司表示，他们从7月下旬正式导入FIDO，截至10月18日通过生物辨识进行身分验证的次数已经突破100万人次。他们也指出在导入FIDO后，客诉案件减少、用户满意度显著提升、系统运作效率提高。

近期资安日报

【11月18日】中国黑客利用FortiClient零时差漏洞存取VPN，入侵受害组织网络环境

【11月15日】中国黑客APT41打造恶意软件框架，锁定政治人物与记者的电脑而来

【11月14日】NTLM散列泄露欺骗漏洞5个月前被用于攻击乌克兰企业组织