【資安日報】10月8日，龔化中上任兩個月揭「國家資安防護2.0」，明年4月AI紅隊先攻政府機關

新聞

本日新聞焦點

● 龔化中上任兩個月揭「國家資安防護2.0」，明年AI紅隊先攻政府機關
● 韓國金融業接連遭駭，疑似中國駭客結合AI與滲透測試工具發動攻擊
● OpenAI為AI代理越權存取澳洲政府網站致歉，支持事故強制通報
● ARTC與美、德合作成立國內首個車輛資安實驗室
● Google呼籲軟體業者建立正式修補前的緊急應變機制，提出4種作法

資安新聞總覽

金融機構接連爆發資料外洩案，韓國政府要求徹查

韓國近來發生多起銀行及其他金融機構的公司與客戶資料外洩，影響數萬民眾，促使金融機構主管機關要求徹查。韓國金融服務委員會主席Lee Eog-weon上週日針對近期韓國多家金融機構發生資料外洩召開緊急會議，要求金融業必須正視情況嚴重性並提高警覺。由於這些事件幾乎都發生在9月底到10月初，引發韓國政府關注。Lee Eog-weon指出，近日資料外洩事件初步調查顯示，原因可能源自金融機構系統驗證薄弱、資料保存期過長，以及存取管理過於鬆散，但也不排除部分攻擊是利用AI或代理人發動。詳全文

多家韓國金融業者接連遭駭，CrowdStrike揭露疑似中國背景駭客結合AI與滲透測試工具發動攻擊

自9月底以來，韓國金融業接連發生網路攻擊與個資外洩事件，促使韓國主管機關召開緊急會議並要求徹查，資安業者CrowdStrike於10月7日揭露，發現疑似使用中文的攻擊者可能涉及上述事件，該攻擊者於9月底至10月初利用中國開發的AI滲透測試工具ARTEX搭配大型語言模型（LLM），入侵韓國金融機構並竊取資料，其活動時間與針對的目標，與前述韓國金融業個資外洩事件重疊，顯示其可能與這些事件有關。CrowdStrike在攻擊者控制的伺服器取得Claude Code工作紀錄、ARTEX設定及Claude記憶體檔案，認為攻擊者可能使用中文，且具有經濟動機，但僅有中等信心，尚未將活動歸因於特定攻擊組織。詳全文

日本大阪公立大學傳出遭勒索軟體攻擊而被迫停課

日本大阪公立大學於10月2日發布公告，指出校園資訊基礎設施發生故障，大學被迫停課。該校後續表示因系統故障，將停課至10月8日，預計自10月9日恢復實體課程，線上課程則依系統復原狀況決定。10月5日校方召開記者會進一步說明資訊基礎設施服務中斷情況，認定本次事故是遭遇網路攻擊，並研判是勒索軟體造成，同時公布受影響範圍，包括校園網路、電子郵件、企業及大學網站、教育支援系統、學術事務系統、財務會計系統、人事與薪資系統，以及圖書館系統等，目前校方正調查是否有個資外洩，並向個人資料保護委員會通報。詳全文

OpenAI為AI代理越權存取澳洲政府網站致歉，支持建立重大事故強制通報制度

OpenAI策略長Jason Kwon 10月6日出席澳洲國會人工智慧聯合特別委員會聽證會，就旗下模型未經授權存取澳洲政府網站及延遲通報事件致歉，並表示支持建立強制事故通報制度，由法律明確規範重大事件揭露門檻與通報要求。該事件發生在今年6月，OpenAI進行內部模型訓練與評估時，AI代理未經授權進入澳洲政府Medicare統計網站，還在內部伺服器寫入檔案。OpenAI承認該公司對這起事故的通報過晚，內部通報流程也需改善，OpenAI執行長Sam Altman在9月1日與澳洲副總理會面時，對Medicare事件仍不知情，而OpenAI已於8月中旬發現相關活動，若建立明確的強制揭露規範，可讓業者面對類似事件時依一致標準處理。詳全文

駭客組織ShinyHunters約旦成員被捕前曾勒索波音前子公司

近日遭約旦當局拘留、疑為駭客組織ShinyHunters成員的Saif Al-Din Khader（網名Rey），在被捕前正參與針對原屬波音（Boeing）旗下公司Jeppesen ForeFlight的勒索事件，獨立資安媒體KrebsOnSecurity引述消息人士指出，該事件涉及竊取敏感資料，促使FBI加速調查。KrebsOnSecurity取得的駭客圈內訊息顯示，ShinyHunters近年已逐漸形成「品牌化」運作模式，近期以該集團名義活動的成員，已非早期以法國人為主的核心成員，而是由不同犯罪分子取得或冒用其名義，透過獨立駭客或附屬成員取得的企業SaaS服務憑證發起攻擊，並分享勒索收益。詳全文

杏一網站疑似發生個資外洩

10月7日醫療用品零售通路公司杏一（4175）於夜間在股市公開資訊觀測站發布重大訊息，該公司接獲少數消費者反映，由委外廠商管理的網站平臺，疑似遭第三方不當取得資料，並透過電子郵件聯繫消費者。對此杏一啟動資安事件應變機制，責成網站維護廠商進行調查，並透過網站與App向消費者加強反詐騙宣導。詳全文

鈊象營運資訊設備遭到入侵，部分營運資料與玩家個資外洩

遊戲軟體公司鈊象（3293）於9月底公告，該公司營運資訊設備遭不明IP位址入侵，10月7日該公司於股市公開資訊觀測站發布重大訊息進一步說明，表示這起事故造成遊戲營運資料外洩，其中包含部分玩家姓名、電話、電子郵件等個資，該公司已依法通報個資主管機關，並透過電子郵件及簡訊通知當事人，以及提供專屬客服協助與關懷聯繫資訊。詳全文

上福公告子公司Katun Corporation發生資安事故

10月7日晚間，雷射印表機與影印機耗材製造商上福（6128）於股市公開資訊觀測站發布重大訊息，表示旗下子公司Katun Corporation發生資安事故，經調查發現部分資訊系統出現異常存取行為，對此，該公司已將受影響設備隔離，並進行權限控管、系統檢查等措施，持續監控事件與調查影響範圍，目前尚未發現個資、機密、重要文件資料外洩的情形。詳全文

開源檔案共用軟體Rejetto HFS重大漏洞的細節公開後出現嘗試利用活動

威脅情報公司VulnCheck指出，今年7月開源檔案共用軟體Rejetto HTTP File Server（HFS）修補的重大漏洞CVE-2026-61500（CVSS v4.0嚴重程度評為9.3分），在發現漏洞的資安公司Horizon3.ai於9月30日公布細節後，10月1日VulnCheck就在蜜罐陷阱偵測到有中國駭客針對美國發動攻擊。後續該公司補充說明，攻擊來自中國電信的IP位址，似乎正在進行小規模偵察，目標涵蓋美國和日本。CVE-2026-61500存在於3.0.0至3.2.0版Rejetto HFS，起因是該系統會從非加密的Math.random()產生器得到連線cookie金鑰，並在登入過程中洩露給未通過身分驗證的用戶端，可能導致攻擊者取得完整的管理存取權限，並遠端執行任意程式碼。詳全文

IBM與Red Hat透過Lightwell服務已修補逾400個Java漏洞，支援舊版軟體修正

IBM與Red Hat共同推出的企業開源軟體供應鏈安全服務Lightwell，已在廣泛使用的Java函式庫中找出並修補超過400個先前未知的漏洞，企業仍在使用的舊版函式庫也可獲得修補，企業可透過Lightwell Network取得修補過的軟體版本，加入既有的開發、測試及部署流程，不需要更換原本使用的漏洞掃描或軟體管理工具。兩家公司也正式開放Lightwell Clearinghouse服務，企業可主動提交正在使用的開源軟體，由IBM與Red Hat優先檢查及處理，包括已使用多年且仍部署在正式環境中的舊版本。詳全文

SonicWall修補SMA1000設備滿分伺服器請求偽造漏洞

10月6日資安廠商SonicWall針對SMA1000用戶提出警示，該公司發布熱修補更新，修補該設備的4個漏洞，由於沒有其他替代的緩解措施，呼籲用戶儘速套用更新。這些漏洞當中，最受到注意的是CVSS嚴重程度評分達到滿分10分的CVE-2026-102255，此為未經身分驗證即可利用的伺服器請求偽造（SSRF）漏洞，存在於SMA1000的Appliance Work Place介面，一旦攻擊者利用，就有機會在無須通過身分驗證的情況下，接觸內部功能並執行未經授權操作。詳全文

LLM加速及快取管理平臺LMCache多行程模式曝重大RCE漏洞

大型語言模型推論加速及快取管理平臺LMCache爆出重大遠端程式碼執行漏洞CVE-2026-105192，CVSS風險評分達9.8。LMCache主要用來管理大型語言模型推論時產生的KV快取，讓先前算過的部分內容可以重複利用，減少模型再次運算所需的時間。JFrog揭露，LMCache在多行程模式中，用來交換資料的ZeroMQ服務缺乏身分驗證，收到的特定資料又會交給Python內建機制直接還原成程式物件，攻擊者只要能連上該服務，就可能在不需登入的情況下執行任意程式碼，目前尚無修補版本。在修補版本推出前，JFrog建議用戶不要讓多行程服務暴露在不受信任的網路，並透過防火牆或叢集網路限制5555連接埠的連線來源。詳全文

Anthropic發表Glasswing計畫成果，合作夥伴半年找到逾12萬個漏洞

Anthropic於10月6日宣布，原本獨立運作的AI協同漏洞研究計畫Project Glasswing，將整併入擴大的Cyber Verification Program（CVP），同時也發表Project Glasswing迄今的成果，指出自今年4月到7月間，相關合作夥伴已發現至少12.9萬個經過驗證的軟體漏洞，Anthropic也以相同的Claude資安能力掃描開源專案，於4月至10月額外找出5,500個安全漏洞，總計前述漏洞中，有超過3.3萬個被評為重大或高嚴重度漏洞。詳全文

北約量子技術戰略走向實作，持續導入PQC並規畫量子安全通訊試驗

北大西洋公約組織（NATO）進一步落實2023年提出的量子技術戰略，於7月30日核准量子技術路線圖（Quantum Technology Roadmap），並於9月29日公布公開摘要，進一步列出量子技術測試、部署等工作及具體時程，包括持續採用及實作後量子密碼學（PQC）標準，2027年第2季也將評估產業因應量子安全密碼技術的準備程度。在量子安全通訊方面，北約規畫透過Quantum Zero Beacon計畫（QZBP），在比利時的北約總部與歐洲盟軍最高司令部（SHAPE）之間進行試驗部署，此項計畫將取得實際作業驗證資料與技術經驗，並據此制定轉型路線圖，支援北約在2030年前更廣泛採用量子安全密碼技術。詳全文

PKI成熟度模型2.0新增密碼學治理，納入PQC轉型與密碼學敏捷性

PKI聯盟（PKI Consortium）近期發布2.0.0版公開金鑰基礎建設（PKI）成熟度模型PKIMM，這是PKIMM自2023年推出1.0.0後首次版本更新。新版首度將密碼學治理列為獨立類別，要求組織掌握密碼學技術的使用情況，並預先規畫如何因應演算法安全性降低、既有密碼學技術遭淘汰或法規改變等情況，強化密碼學敏捷性，並為PQC轉型奠定基礎。PKIMM這套開放且廠商中立的模型，可供組織評估目前PKI成熟度，並找出後續改善方向，經這次改版後，模型涵蓋治理（Governance）、管理（Management）、營運（Operations）及資源（Resources）等4個模組，共16個類別、77項要求，仍採5個成熟度等級，但第2級由Basic更名為Foundational，等級定義不變。詳全文

Google呼籲軟體業者建立正式修補前的緊急應變機制，整理Hotpatch等4種作法

隨著AI加快漏洞發現與利用速度，軟體業者面對新漏洞時的反應時間也進一步縮短，Google Project Zero近日指出，當高風險漏洞已遭積極利用，對於軟體業者而言，如何在最短時間內降低使用者曝險更顯重要，因此呼籲軟體業者應事先建立緊急應變機制，以便在正式修補完成前先降低風險。而緊急修補難點在於，既要盡快降低漏洞遭利用風險，又須完成必要測試與部署程序。為此，Project Zero整理出4類可在正式修補完成前採取的應變方式，包括Feature Flag、輸入過濾、替代更新管道，以及熱修補（Hotpatch）。Project Zero強調，快速更新機制不必能修補所有漏洞，也不必在任何情況下都完全維持原有使用體驗，只要能在短期內處理最可能遭利用或危害程度最嚴重的漏洞，就能在緊急情況下發揮作用。詳全文

AWS發布支付卡產業資料安全標準PCI DSS架構指引，說明多帳號環境如何界定適用範圍

AWS近期發布支付卡產業資料安全標準（PCI DSS）架構指引，延伸既有AWS安全參考架構（SRA），進一步將AWS多帳號架構中的不同帳號類型對應至PCI DSS適用範圍。企業可依各帳號在支付架構中的角色，判斷哪些帳號應納入PCI DSS範圍、哪些與範圍內環境連接或可能影響其安全，以及哪些可排除於範圍之外。既有的AWS SRA架構已能提供PCI DSS所需的安全基礎，但相關指引仍不足以滿足PCI DSS要求。因此，這次PCI DSS指引在既有AWS SRA服務組態中加入PCI DSS特定控制，包括更細緻的日誌、加密要求及網路限制等措施。詳全文

龔化中上任兩個月揭「國家資安防護2.0」，明年4月AI紅隊先攻政府機關

上任屆滿兩個月的資安院院長龔化中10月5日首度對外說明工作方向，公布「國家資安防護2.0」藍圖，因應AI加速攻擊的趨勢，將AI納入國家資安防禦體系，從程式碼漏洞檢測、威脅情資分析到攻防演練，提升整體防禦速度與縱深。其中最受矚目的AI紅隊演練預計明年4月展開，將由AI模擬攻擊者，針對政府機關重要服務、系統與網路進行自動化滲透測試，主動找出防線弱點，再透過紅藍隊演練驗證防禦能力，作為國家資安防護2.0從規畫走向實戰的重要一步。詳全文

軟體定義汽車時代來臨，車輛資安成外銷新標準，ARTC與美、德合作成立國內首個車輛資安實驗室

汽車產業正從機械製造走向軟體定義汽車（SDV）與智慧連網時代，隨著AI、自駕、車聯網與OTA更新功能導入，車輛資安已成為全球車廠與供應鏈關注的新課題。因應UN R155、R156等國際車輛資安與軟體更新規範，10月6日車輛中心（ARTC）在臺灣車輛國際論壇上宣布，已完成國際級車輛資安實驗室建置，並取得德國TÜV SÜD實驗室認可，同時與美國OmniAir Consortium合作建置車聯網驗證環境，協助臺灣車廠與車電業者在國內完成國際標準測試，加速產品進入海外市場。詳全文

語音AI新創Modulate募資2,500萬美元，從遊戲語音安全擴展深偽偵測與AI代理監督

語音AI新創公司Modulate宣布取得2,500萬美元新一輪投資，使累計募資金額達6,000萬美元。該公司表示，這筆資金將投入AI模型、產品及工程開發，目前其音訊分析技術已應用於深偽（Deepfake）偵測、AI語音代理監督等領域。Modulate成立於2017年，最初投入遊戲語音變聲技術，之後轉向遊戲語音內容管理，利用音訊分析技術辨識線上遊戲及社群平臺中的騷擾、兒童誘騙等行為。該公司之後也將這類技術拓展至企業語音安全及AI語音代理監督，例如分析AI代理與客戶的對話，找出不符合企業作業規範或法規遵循要求的情況。詳全文