2026-10-16 資訊安全新聞重點報告

1. PCI SSC發布AI系統安全指引
- 結論：支付卡產業安全標準委員會要求，AI代理若要處理明文持卡人資料，必須先取得人工核准，反映金融支付場景正為AI自動化設下更明確的人為監督門檻。
- 關鍵事實：
- 指引聚焦AI系統涉及支付卡資料時的安全治理與操作控制要求。
- AI代理處理明文持卡人資料前，人工核准被列為必要控管措施。
- 後續：各支付服務商與導入AI代理的企業如何落實指引，仍待觀察。

2. 日本兩大服務業者接連傳出大規模個資外洩
- 結論：日本漢堡王與黑貓宅急便系統分別傳出資料外洩，其中黑貓宅急便逾530萬筆個資受影響；零售與物流業的客戶資料保護及事故應變能力再受檢視。
- 關鍵事實：
- 日本漢堡王被報導有千萬筆資料外洩，速食消費資料也可能成為攻擊目標。
- 黑貓宅急便系統遭駭，已知外洩規模超過530萬筆個人資料。
- 後續：外洩資料類型、受害者通知及兩家公司補救措施尚未明朗。

3. 微軟瓦解中文釣魚服務YAM Store生態系
- 結論：微軟表示已瓦解中文釣魚生態系YAM Store；其三套釣魚工具在2026年已發出逾10億則訊息，顯示以服務化工具大量散播釣魚內容的威脅規模仍在擴大。
- 關鍵事實：
- YAM Store被指為提供中文釣魚套件與相關服務的犯罪生態系。
- 三大釣魚套件今年累計發送超過10億則訊息，具高度自動化與規模化特徵。
- 後續：犯罪者是否轉移至新網域、基礎設施或替代套件，仍待追蹤。

4. BeyondTrust零時差漏洞遭疑似中國相關駭客利用
- 結論：BeyondTrust已修補一項零時差漏洞，報導稱疑似與中國有關的駭客自8月起便鎖定攻擊；使用相關產品的組織應優先確認修補狀態與既有入侵跡象。
- 關鍵事實：
- 漏洞屬於零時差風險，代表攻擊活動可能早於公開修補資訊。
- 攻擊者被描述為疑似與中國有關，且鎖定行動自8月開始。
- 後續：受影響產品範圍、攻擊手法與確切受害規模仍待官方進一步說明。

5. 思科郵件閘道器漏洞再遭實際利用
- 結論：思科郵件閘道器再出現已遭實際利用的漏洞，攻擊者可透過寄送電子郵件寫入檔案；此類以郵件作為入口的弱點，增加企業邊界設備遭入侵的風險。
- 關鍵事實：
- 攻擊觸發方式與寄送郵件有關，不必先取得一般帳號互動。
- 漏洞結果可能讓攻擊者在設備上寫入檔案，具後續擴大控制風險。
- 後續：受影響版本、修補時程與入侵指標須以思科公告為準。

6. 駭客濫用多家設備與企業軟體漏洞轉賣頻寬
- 結論：駭客濫用D-Link、Ubiquiti及SAP漏洞，劫持超過百台設備進行「代理劫持」並轉售頻寬，顯示未修補的網通與企業系統設備正被納入地下代理網路。
- 關鍵事實：
- 被濫用的漏洞涉及網路設備品牌D-Link、Ubiquiti及企業軟體SAP。
- 超過百台設備遭劫持後被用作代理節點，供他人轉售或使用網路頻寬。
- 後續：遭劫持設備所在地、漏洞版本與營運者身分尚未明朗。

7. QNAP調查：異地備份普及但防刪除能力不足
- 結論：QNAP台灣企業資安韌性調查顯示，78%企業已建立異地備份，但其中近七成備份仍可能被刪除；備份是否可被竄改已成企業復原能力的主要缺口。
- 關鍵事實：
- 調查中已有78%企業採行異地備份，顯示基本備援觀念逐步普及。
- 已做異地備份者近七成仍缺乏防刪除保護，勒索攻擊下可能同失原始與備份資料。
- 後續：企業是否進一步採用不可變備份與復原演練，值得持續觀察。

8. 資安院與沃旭能源合作強化離岸風電防護
- 結論：資安院與沃旭能源簽署合作備忘錄，將聚焦離岸風電資安韌性；此舉顯示能源基礎設施業者正透過公私協作，提升關鍵營運環境的防護與應變能力。
- 關鍵事實：
- 合作雙方為資安院與離岸風電業者沃旭能源。
- 合作主軸明確指向離岸風電資安韌性，而非一般性資訊系統防護。
- 後續：合作涵蓋的技術項目、演練機制與具體執行時程尚未公布。

9. AvePoint台灣及亞太代理權由展碁取得
- 結論：展碁取得AvePoint台灣及亞太代理權，意味其企業雲端資料管理與協作平台產品布局擴大；雙方後續能否藉由通路整合提升企業服務覆蓋率仍待市場驗證。
- 關鍵事實：
- 展碁此次取得的授權範圍涵蓋台灣及亞太市場。
- AvePoint主要提供企業資料管理、治理與雲端協作相關解決方案。
- 後續：代理產品線、合作客戶類型與業績目標尚未明朗。

10. 幣託Bito.ONE導入Liminal支援穩定幣結算
- 結論：Liminal將支援幣託Bito.ONE的穩定幣結算閘道，反映虛擬資產服務商持續強化結算基礎設施；實際服務範圍與風控安排，仍須視後續產品落地而定。
- 關鍵事實：
- 合作主體包括數位資產技術業者Liminal與幣託Bito.ONE。
- 合作項目為穩定幣結算閘道，涉及交易與資產結算流程。
- 後續：支援幣種、上線時間及適用客群尚未公布。

11. AI與物聯網裝置的資安治理壓力升高
- 結論：多則報導指出，AI正加劇行動裝置安全風險，連網廚房家電也可能成為攻擊入口；資安焦點已從傳統電腦延伸至個人終端與家庭物聯網設備。
- 關鍵事實：
- iVerify與NCFTA將合辦進階高峰會，聚焦AI時代行動裝置資安風險。
- 專家警告連網廚房家電等物聯網裝置可能因防護不足形成新威脅。
- 後續：相關高峰會成果及業者是否提出具體設備防護標準，尚待觀察。

12. 無聲來電與語音仿冒詐騙風險受關注
- 結論：專家警告無聲來電可能被用於錄取聲音樣本，再以AI模擬聲紋向親友詐騙；民眾面對陌生來電宜避免隨意出聲、透露身分或依語音要求轉帳。
- 關鍵事實：
- 報導提醒，短暫語音內容可能被蒐集並用於AI聲音仿冒。
- 自保重點包括核實對方身分、避免提供個資及以其他管道回撥確認。
- 後續：此類手法的實際案件規模與平台防堵機制仍待進一步資訊佐證。

13. 科技產業持續討論創新資金與人類責任
- 結論：前SpaceX專家Austin Spiegel談論矽谷創新，並揭露新創Sift獲6700萬美元創投；台泥張安平則強調AI再強仍不能取代人類承擔後果的責任。
- 關鍵事實：
- Sift獲得6700萬美元創投，反映市場對新創技術與商業化潛力的資金支持。
- 張安平提出AI時代不應忽略「HI」，強調人類判斷與責任仍不可取代。
- 後續：Sift資金用途及相關企業如何將AI治理落實於營運，仍待觀察。

14. 微軟將《查理周刊》攻擊歸因NEPTUNIUM
- 結論：微軟將《查理周刊》遭攻擊事件歸因於NEPTUNIUM，代表大型資安業者持續針對具政治與媒體敏感性的網路攻擊進行追蹤與威脅歸屬分析。
- 關鍵事實：
- 受害目標為法國諷刺媒體《查理周刊》。
- 微軟以NEPTUNIUM名稱標記其所歸因的攻擊行動或威脅團體。
- 後續：攻擊時間、技術細節、攻擊目的及相關回應仍待取得更多公開資訊。