這一週台港兩地接連傳出個資外洩：台灣電子書平台 BOOK☆WALKER（台灣漫讀）10/26 公告伺服器遭未授權存取；香港私隱專員公署則證實接獲香港航空、友和香港（YOHO）、百老滙攝影器材三宗外洩通報，已有逾 1,600 名客戶接到詐騙來電。兩邊的共通點只有一個：資料外洩之後，緊接著就是「冒充客服」的詐騙。

事件經過

台灣：BOOK☆WALKER 台灣漫讀

• 官方表示於 2026/10/24 凌晨發現伺服器遭第三方未經授權存取。
• 已遭竊取：會員電子郵件、交易紀錄、少數電話號碼。
• 官方說法：不儲存完整信用卡卡號，信用卡資訊未受影響；密碼經加密處理，未發現遭破解或被用於登入；書籍與閱讀不受影響。
• 已隔離系統、修補漏洞、全面更換存取權限，並通報數位發展部，後續將由外部資安廠商鑑識。
• 日本 BOOK☆WALKER 於 10/21 曾因軟體重大漏洞緊急維護；媒體推測可能與同週爆發的 PHP 漏洞有關，但官方未說明原因，兩者關聯目前未經證實。

香港：港航、友和、百老滙

公司	私隱署接獲通報	已知受影響	可能外洩資料
香港航空	10/2	815 名於 9/29–10/22 出發的乘客接獲疑似詐騙來電	姓名、電話、航班日期、航班編號、航線
友和香港（YOHO）	10/5	790 名於 9/29–10/12 下單的客戶接獲疑似詐騙來電	姓名、電話、送貨地址、訂單編號、購買產品
百老滙攝影器材	10/26	客戶接獲疑似詐騙來電（人數未公布）	姓名、電話、購買產品、付款金額

• 騙徒話術：訛稱「航班取消可安排賠償」或「包裹損壞可安排退款」。
• 截至 10/26，私隱署就三宗事件共接獲 23 宗投訴、20 宗查詢，已依機制展開調查。

重點

• 外洩的多是姓名、電話、訂單、航班這類資料，騙徒說得出你的訂單或航班，不代表他是真客服。
• BOOK☆WALKER 點名的詐騙關鍵字：「訂單錯誤」、「重複扣款」、「解除分期」，要求操作 ATM、網銀或提供付款資訊。
• 香港私隱署提醒：商戶處理賠償或退款，一般不會要求先付「保證金」「手續費」或轉帳驗證帳戶。

對你的實務建議

• BOOK☆WALKER 會員：更改密碼；若其他網站用同一組密碼，一併更換。
• 接到「客服」來電說要退款、賠償、解除分期，掛斷後自己打官網上的客服電話查證。
• 不點簡訊或電郵裡的連結、不加陌生 LINE／WhatsApp、不分享螢幕、不給驗證碼。
• 台灣查證管道：165 反詐騙諮詢專線；BOOK☆WALKER 客服 customer@bookwalker.com.tw
• 香港查證管道：防騙易 18222；私隱署「個人資料防騙熱線」3423 6611；可用「防騙視伏器」查可疑電話或網址

資料來源

• BOOK☆WALKER 台灣官方公告（2026/10/26）：https://www.bookwalker.com.tw/announce/427
• 4Gamers（2026/10/27）：https://www.4gamers.com.tw/news/detail/82867/taiwan-book-walker-announces-it-was-hacked
• 香港電台（2026/10/27）：https://news.rthk.hk/rthk/ch/component/k2/1875456-20261027.htm
• 無綫新聞（2026/10/27，附私隱署回應）：https://news.tvb.com/tc/1202992
• 星島（私隱署回覆及防騙提示）：https://www.stheadline.com/society/3630258/
• The Standard：https://www.thestandard.com.hk/news/article/346598/At-least-1600-affected-in-Hong-Kong-airline-retail-data-breaches

不少工程師、小公司甚至家用 NAS 玩家都用 Tailscale 組內網。研究員 Erica Windisch（Cyberdione Labs）10/25 發表報告「Tailworm」，指出在特定條件下，已被入侵的一台設備可以透過 Tailscale SSH 的轉送功能，取得其他伺服器的 root 權限。截至目前官方尚未發布修正版、也沒有 CVE，只能靠設定先擋。

事件經過

• 報告於 10/25 發布，測試版本為 Tailscale 1.104.2、headscale 0.29.5，在實驗室環境測試三天，不是真實網路遭攻擊的案例。
• 成立條件：① Tailscale SSH 允許埠轉送（port forwarding）；② 攻擊者已控制一台存取規則允許連到目標的設備。
• 實驗室中示範三種手法：讓以 root 執行的 tailscaled 代為連上僅限 root 的系統 socket；置換 root 擁有的 socket；以競態條件繞過路徑限制。
• Tailscale 工程副總 Mike Shaver 在 Reddit 表示已收到報告、正與外部資安專家修正，但「不建議所有人停用 Tailscale SSH」。
• 有媒體報導 Tailscale 已在 main 分支提交修正（台灣時間 10/26 11:08），但尚未發布正式版（未獲第二來源證實）；官方安全公告頁最新仍為 TS-2026-013。

重點

項目	狀態
官方修正版	尚未發布
CVE 編號	尚無
Tailscale 官方服務	可依規則關閉 SSH 轉送
headscale 0.29.5	無法關閉轉送，報告建議把每條 SSH 授權都視同給了 root
研究結論	僅研究員一人發表，尚無他人公開重現；PoC 未公開

對你的實務建議

企業 / IT 管理者

• 檢查 SSH 存取規則：改成「一台來源對一台目標」的精確規則，移除用身分或 tag 大範圍授權的規則（報告指這是測試中唯一能擋住擴散的控制）。
• 能關的 SSH 埠轉送先關掉；使用 headscale 0.29.5 者無法關閉，請把每條 SSH 授權視同給了 root。
• 移除不需要的 app connector 權限，以及指向 Unix socket 的 tailscale serve 轉送。
• 開啟 node key 到期、SSH check mode；啟用 Tailnet Lock 可讓攻擊鏈的最後一步無法完成。
• 設備若遭入侵，要到控制台刪除該節點，只重灌機器不會撤銷已被複製走的金鑰。

一般用戶

• 這次漏洞的前提是啟用 Tailscale SSH 並允許埠轉送；有用到 Tailscale SSH 的，先把轉送關掉。
• 開啟自動更新，正式修正版一出就更新。

資料來源

• The Hacker News（2026/10/25）：https://thehackernews.com/2026/10/unpatched-tailscale-ssh-flaws-could-let.html
• Tailworm 原始報告：https://tailworm.com/
• ThaiCERT（2026/10/26）：https://www.thaicert.or.th/en/2026/10/26/tailscale-ssh-vulnerability-could-allow-privilege-escalation-and-root-access-to-servers/
• Tailscale 官方安全公告：https://tailscale.com/security-bulletins
• lilting channel（修正提交追蹤）：https://lilting.ch/en/articles/tailscale-ssh-tailworm-unix-socket-forwarding-root

HTTPS 能信任，靠的是憑證機構（CA）保管好私鑰。印度憑證機構 eMudhra 10/17 被研究人員回報：旗下 8 個 emSign G3 中繼 CA 的私鑰可以被還原。eMudhra 隔天撤銷這 8 個中繼憑證，Apple、Google、Microsoft、Mozilla 等也已封鎖相關憑證並不再信任其 ECC 根憑證。問題是，很多開發工具不看作業系統的信任清單。

事件經過

• 2025/4/30：這 8 個中繼 CA 在金鑰產生儀式中建立。eMudhra 說明，是金鑰包裝／解包步驟產生出另一組弱金鑰，而弱金鑰才是被公開的那組。
• 2026/10/17：研究人員同時通報 eMudhra 與 Apple、Google、Microsoft、Mozilla；Mozilla 當天以 OneCRL 封鎖。
• 10/18：eMudhra 撤銷 8 個中繼 CA；Apple 10/19 起自動封鎖，10/23 起也封鎖 emSign ECC Root CA – G3。
• 10/20：Python 官方發布公告，要求更新 certifi、pip、uv 等工具。
• eMudhra 表示，這些中繼 CA 未簽發過公開信任的終端憑證，也沒有證據顯示弱金鑰在揭露前被人利用。

重點

環境	狀態 / 要做什麼
Safari、Mail、Apple 系統 App	已自動封鎖，不用動作
Firefox	OneCRL 已封鎖；另有 158.0.1／ESR 更新
Mac 終端機工具（curl、git、python3 等）	使用 /etc/ssl/cert.pem，要等 macOS 更新，或依 Apple 說明手動移除根憑證
Python pip	必須升到 pip 26.2.2 以上：pip 一定會載入自帶的 certifi，只更新作業系統憑證不夠
certifi / uv / conda	certifi 2026.10.19、uv 0.13.4、conda 26.9.4 以上
Python 本體	3.15.2／3.14.10／3.13.18／3.12.16／3.11.18 會自動拒絕這些中繼憑證
Docker 映像	要停用快取重建，才會拿到新的系統憑證

• 風險：有人握有這些私鑰，就能做出「看起來合法」的任意網站憑證，用來發動中間人攻擊，包括 pypi.org。

對你的實務建議

企業 / IT 管理者

• 所有 Python 環境、虛擬環境、CI runner、容器映像：pip 升 26.2.2、certifi 升 2026.10.19，映像停用快取重建。
• Python 官方建議用帶 SHA256 雜湊的直接網址安裝 pip，避免升級過程本身被中間人攻擊。
• Linux 主機更新 ca-certificates；Mac 開發機留意 Apple 的 /etc/ssl/cert.pem 更新。
• 盤點「自帶憑證清單」的軟體：Java truststore、Node、Electron App、IoT 設備韌體。

一般用戶

• 瀏覽器、手機、電腦保持自動更新就好，這次主要是開發者和 IT 要動手。

資料來源

• eMudhra 官方聲明（10/20 首發、10/26 更新）：https://emudhra.com/en/post/certificate-security-incident
• Apple 支援文件（2026/10/23）：https://support.apple.com/en-us/149555
• Python 官方公告（2026/10/20）：https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576
• GitHub Advisory（certifi）：https://github.com/advisories/GHSA-6q48-6c7w-9gw2

上週 PHP2Shell 還沒處理完，另一個「×× 2Shell」又來了。Google 的壓縮函式庫 Brotli 解碼器被發現有越界寫入漏洞 CVE-2026-111497（俗稱 Node2Shell／HTTP2Shell），攻擊者只要讓程式解壓一段特製的 Brotli 資料，就可能造成當機、記憶體內容外洩，甚至遠端執行程式碼。Node.js、Bun、Envoy、Istio 都已發布修補。

事件經過

• 漏洞由 OpenAI 在內部紅隊演練中發現；Node.js 安全公告致謝 OpenAI Codex Security 的 Khai Tran、Sylvie Mayer。
• 10/21 Node.js 發布安全更新（22.23.4／24.22.1／26.12.1）；Brotli 上游修正版為 1.0.10／1.1.1／1.2.1。
• 10/23 新加坡網路安全局（CSA）發布警示；10/26 Red Hat 發布安全公告；日本 JPCERT/CC 亦於 10/26 發布注意喚起。

重點

項目	修正版本
Google Brotli（上游）	1.0.10、1.1.1、1.2.1
Node.js	22.23.4、24.22.1、26.12.1（已停止支援的版本視同受影響）
Bun	1.4.4
Envoy Proxy	1.40.0、1.39.3、1.38.6、1.37.8
Istio	1.29.9、1.30.6、1.31.2

• 受影響範圍：Brotli 1.0.3 至 1.2.0 各分支未修正版本。
• 前提條件：程式必須解壓「攻擊者可控」的 Brotli 資料，例如帶 Content-Encoding: br 的請求、從不受信任伺服器抓回的回應、或壓縮檔案。只用 Brotli「壓縮輸出」不等於受影響。
• 嚴重度各家評分不一：新加坡 CSA 引用 CVSS 9.8，Red Hat 自評 8.1（攻擊複雜度高）。
• Red Hat 表示已有可造成記憶體損壞與當機的公開 PoC，尚未觀察到公開可靠的遠端執行 exploit。

對你的實務建議

企業 / IT 管理者

• 把 Node.js、Bun 升到上表版本，重建容器映像並重啟所有服務，再確認實際執行的版本。
• 暫時無法更新：在任何 body parser 或 proxy 之前拒絕 Content-Encoding: br 的請求，HTTP client 關閉 Brotli 自動解壓（只把 br 從 Accept-Encoding 拿掉並不夠）。
• 別忘了 Electron 桌面程式、Python／Java 綁定、curl/libcurl 等內嵌的 Brotli，這些都要各自更新。

一般用戶

• 桌面 App、瀏覽器開啟自動更新即可。
• Red Hat 指出 Firefox、Thunderbird 也內嵌 Brotli，請保持最新版本（未獲第二來源證實）。

資料來源

• Patch the Planet（OpenAI 發起，修補總覽）：https://patchtheplanet.org/brotli
• Node.js 22.23.4 發布說明：https://nodejs.org/en/blog/release/v22.23.4
• NVD：https://nvd.nist.gov/vuln/detail/cve-2026-111497
• 新加坡 CSA 警示（2026/10/23）：https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/
• Red Hat RHSB-2026-015：https://access.redhat.com/security/vulnerabilities/RHSB-2026-015
• GIGAZINE（2026/10/26）：https://gigazine.net/news/20261026-openai-brotli-vulnerability/

數位發展部資通安全署 10/21 召開「新型態 AI 攻擊來襲」記者會。署長蔡福隆表示，AI 工具被攻擊者「武器化」，大幅降低攻擊成本、提升攻擊速度，但防禦的核心觀念沒變：縮小攻擊面、做好備份備援。

事件經過

• 資安署舉例：韓國金融機構遭 AI 工具結合多層跳板入侵、外洩逾 6 萬筆個資；日本多個關鍵基礎設施密集遭勒索軟體攻擊；國內公私部門的備用與測試系統也遭刺探。
• 資安署指出，資安監控單位 7 月發現境外駭客以 AI 代理工具（AI Agent）攻擊政府機關與產業，受影響包括能源業、政府供應商、公共服務與專業組織，以及國防科技、法律科技等外國企業（中央社報導）。
• 資安院院長龔化中提醒：會員資料多的公司要特別小心；選擇 SaaS 合作夥伴時，「雞蛋不要放在同一個籃子裡」。

重點

重點	具體做法（資安署新聞稿）
一、縮小攻擊面	建立網站、VPN、遠端桌面、NAS、路由器的對外資產清冊；後台與測試站只限 VPN；停止支援的設備汰換或隔離
優先修補	參考 TWCERT/CC 預警與 KEV 清單，優先修補「已被利用」的漏洞
帳號管理	遠端連線、郵件、管理員帳號全面導入 MFA 或 Passkey；離職當天停用帳號；每季覆核權限
二、備份 3-2-1	3 份資料、2 種媒介、至少 1 份離線或不可刪改；每季至少一次實際還原演練
監控	針對異常改名、加密、備份刪除、非上班時間登入設告警；部署 EDR、集中保存日誌

• 免費資源：TWCERT/CC 預警與惡意樣本分析、《中小企業基本資安防護指引》、企業資安專線 0800-280-280（線上 24 小時，專人平日 08:30–18:00）。

對你的實務建議

企業 / IT 管理者

• 這週就做一份「對外資產清冊」，NAS 和路由器也算。【很多公司連自己有幾台 NAS 都不知道】
• 測試站、舊後台：非必要不對外，能關就關。
• 備份做了不等於能還原。排一次真的還原演練，計時看看要多久。

一般用戶

• 家裡 NAS、路由器開自動更新，管理介面不要開外網；雲端帳號開 Passkey 或 MFA。

資料來源

• 資安署新聞稿（2026/10/21）：https://moda.gov.tw/ACS/press/news/press/21130
• 中央社（2026/10/21）：https://www.cna.com.tw/news/afe/202610210295.aspx
• 自由財經：https://ec.ltn.com.tw/article/breakingnews/5614050
• 青年日報：https://www.ydn.com.tw/tw/News/ugC_News_Detail.aspx?ID=648387

百貨龍頭新光三越 10/22 發布聲明，坦承資訊系統疑遭外部不法入侵，宅配訂單顧客的姓名、地址、聯絡電話受到影響，約 2 萬名顧客。正值週年慶檔期，很多人剛下單請專櫃宅配，或寄禮盒給親友。這類「真資料」最容易被拿來包裝成「客服來電」。（BOOK☆WALKER 與香港港航、友和、百老滙外洩事件，請見本站另文。）

事件經過

• 10/22：新光三越發布聲明，表示「日前」透過內部資安監測機制主動發現資訊系統異常，疑似遭外部不法入侵，隨即啟動緊急應變。
• 初步清查結果：受影響資料僅限宅配訂單的顧客姓名、地址、聯絡電話。
• 受影響規模：新光三越回覆媒體詢問時表示約 2 萬名顧客（書面聲明本身未列人數）。
• 已通報主管機關，並協同警察機關調查；也已主動通知受影響顧客。
• 聲明發布時，警方尚未接獲顧客因本次事件被詐騙的通報。
• 新光三越官網目前掛著一則「新光三越資訊安全提醒公告」，內容只有一般性的防詐提醒，沒有提到這次外洩事件。

目前已知與未知

項目	狀態
外洩資料	宅配訂單的姓名、地址、聯絡電話
受影響人數	約 2 萬名（業者回覆媒體）
發現方式	內部資安監測主動發現
發現日期	未公布（聲明只寫「日前」）
入侵原因／手法	未公布，仍待調查
是否涉及委外廠商	未公布
通報對象	「主管機關」與警方，未說明是哪個機關
主管機關後續處置	截至 10/27 未見公開資訊
是否已有人被騙	聲明發布時警方未接獲通報

重點

• 外洩的不是密碼或卡號，而是「誰、住哪、電話幾號、買過東西」。這正是假客服詐騙最需要的劇本素材。
• 騙徒可以準確說出你的名字、地址，甚至你最近有宅配，不代表他是新光三越。
• 會用到宅配的情境很多：專櫃消費請店家寄送、節慶禮盒寄給親友、買大件或大量商品、線上購物選宅配到府。寄給親友的禮盒，對方的資料也可能在宅配單上，記得提醒收件的家人。

對你的實務建議

• 接到自稱新光三越、物流或銀行的電話，說「訂單錯誤」「重複扣款」「要解除分期」「宅配地址有誤要補運費」，一律先掛斷，再自己撥官方客服查證。
• 官方查證管道：新光三越客服 0800-008-801、165 反詐騙諮詢專線。
• 不點簡訊或電郵裡的連結、不加陌生 LINE、不操作 ATM 或網銀「解除設定」、不給驗證碼。
• 曾用宅配寄禮給爸媽、長輩的，主動打電話提醒他們。長輩最容易被「您的包裹有問題」騙到。
• 收到「你的資料外洩，可以幫你申請賠償／補償」的來電或訊息，同樣是詐騙高風險訊號。

資料來源

• 中央社自由財經（2026/10/22）：https://ec.ltn.com.tw/article/breakingnews/5615326
• 經濟日報／聯合新聞網（2026/10/22）：https://udn.com/news/story/7240/9831648
• 工商時報（2026/10/22）：https://www.ctee.com.tw/news/20261022702332-431401
• 知新聞（2026/10/22，業者回覆約 2 萬名）：https://www.knews.com.tw/news/3EE29A8E385FAA420B6257217ACB774D
• 今周刊（2026/10/23）：https://www.businesstoday.com.tw/article/category/183030/post/202610230004/
• 新光三越官網資訊安全提醒公告：https://www.skm.com.tw/page/fraud-prevention-action

筆者敢言

91APP、BOOK☆WALKER、新光三越，一個月內已經數不完。主管機關到底是誰、有沒有去查，請公開講清楚，不要每次都只剩「已通報」三個字。

PHP 已於 2026 年 10 月 21 日發布緊急安全更新，修補兩個 CVSS v4.0 評分為 9.2 的嚴重漏洞（CVE-2026-109618、CVE-2026-109619）。問題可能導致記憶體損壞，並在某些條件下讓未認證攻擊者在伺服器上執行任意命令。

建議立即確認：

• PHP 版本是否已套用官方最新安全修補。
• 對外暴露的 PHP-FPM / Apache / Nginx 服務是否已重啟並完成部署。
• WAF、存取日誌與異常程序是否需要檢查。
• 若使用共享主機或套件管理器，確認供應商是否已推送修補版本。

https://www.msn.com/zh-hk/news/other/%E6%97%A5%E6%9C%AC%E9%85%92%E5%BA%97%E9%9B%AA%E6%AB%83%E5%BE%8C%E8%97%8F%E9%9B%BB%E8%85%A6-%E9%85%92%E5%BA%97-wi-fi-%E7%99%BC48-%E8%90%AC%E5%B0%81%E9%87%A3%E9%AD%9A%E9%9B%BB%E9%83%B5-%E4%B8%AD%E5%9C%8B%E7%B1%8D%E7%94%B7%E5%AD%90%E8%A2%AB%E6%8D%95/ar-AA2embiM?ocid=msedgntp&pc=SCOODB&cvid=6ad233128d4c4a6185790fdd6553d344&ei=22

這宗案件的核心不是「駭入酒店 Wi-Fi」，而是有人假扮住客把小型電腦留在客房雪櫃後方，讓它持續連上酒店住客網絡，再由他人遙距操作，把酒店網絡當成發信中繼站。日本兵庫縣警方於 10 月 15 日以涉嫌「偽計業務妨害」等罪名逮捕 39 歲中國籍男子葉加鋒；其妻子申琪亦因涉嫌盜刷被捕。

案件經過

• 警方指，葉男涉嫌於 2025 年 5 月 15 日與他人假扮旅客入住神戶市一間酒店，將小型電腦藏在客房冰箱後方並接上酒店 Wi-Fi。m.jiji
• 兩人退房後，另一名涉案者疑從遠端控制該電腦，持續利用酒店網絡發送釣魚郵件。
• 警方在電腦中發現約 240 萬個目標電郵地址，以及至少 48 萬封釣魚郵件的發送紀錄。
• 郵件假冒信用卡公司，附上偽造網站連結，目的是誘使收件人輸入信用卡號碼和個人資料。
• 警方認為，疑犯使用酒店公共網絡是為了掩蓋真實操作位置和 IP 位址，增加追查難度。
• 葉男此前已因 2025 年 7 至 8 月在神戶另一間酒店藏置電腦發送釣魚郵件而被起訴；警方也在調查背後是否有犯罪組織。

對酒店網絡的啟示

這手法暴露了典型飯店住客 Wi-Fi 的弱點：設備只要取得住客網絡存取權及路由器或防火牆控制權，就可能長時間對外發信，而酒店未必即時察覺異常流量或大量 SMTP 連線。

風險	實際影響	可行的防護
住客房內遺留設備	長期占用網絡、充當攻擊中繼	房務清潔時檢查冰箱後、床底、插座與窗簾盒等隱蔽位置
大量外寄郵件	IP 信譽受損、被收件方封鎖	在防火牆或路由器限制住客網段的 TCP 25/465/587 外寄，改經受控郵件閘道
異常連線與遠端控制	設備被遙距操作、持續濫用	偵測非典型出站流量、長連線、陌生管理協定與異常 DNS 查詢
網段橫向風險	若隔離不足，可能影響其他住客或內部系統	住客 Wi-Fi、辦公/POS/監控/物聯網網絡必須以 VLAN 與防火牆嚴格隔離
追溯困難	共用 NAT 使來源難以定位	保留設備 MAC、認證帳號、房號、DHCP 租約與 NAT 對應紀錄，並設定保留期限

對一般用戶的提醒

收到「信用卡公司」「銀行」通知時，不要點擊郵件內連結；應自行開啟官方 App 或在瀏覽器輸入官方網址後登入查看。此案中的釣魚郵件正是以信用卡公司名義，引導收件人進入假網站提交卡片與個人資料。

若你經營或管理酒店、民宿或共用 Wi-Fi，最直接的第一道防線是：

1. 禁止住客網段直接對外寄送 SMTP 郵件
2. 對大量外連、異常流量及長期在線設備建立警報
3. 限制每個月戶連線數目(session)
4. 建立排隊機制，避免單一用戶佔據頻寬

中國駭客以 AI 自動化攻擊，規模倍增

• 台灣資安研究機構 TeamT5 分析指出，與中國政府有關的駭客組織自採用 DeepSeek 等開源 AI 模型後，攻擊量已「增加一倍以上」，並用於自動化任務與開發更進階的惡意軟體。straitstimes+2
• 國際媒體進一步引述 TeamT5 報告，強調這些組織正以 AI 加速對海外目標的攻擊，反映防護缺口與 AI 濫用風險同步上升。

台灣政府與關鍵基礎設施遭滲透的「法醫級」細節曝光

• 外媒與資安媒體披露，數週前對台灣的攻擊事後鑑識顯示：攻擊者同時運行「最多 8 個 AI 代理」，在 4 天內掃描 21 個政府系統、破解 85 個帳號、竊取 2,500 多筆人事資料，並擴散至核安主管機關、IT 供應鏈廠商與至少 7 家能源公司。
• 攻擊工具被指基於兩個開源代理框架（Hermes、OpenClaw），內部文件出現簡體中文，輿論多指向中國大陸，但官方尚未正式歸因。

貿聯（3665）公告資訊系統遭攻擊

• 連接線束與高速傳輸系統廠貿聯於 8 月 24 日公告，8 月 21 日偵測到部分資訊系統遭網路攻擊，已啟動應變、隔離受影響系統並進行清查與復原

中華資安（CHT Security）獲獎與產品動向

• 中華資安國際於 8 月 25 日獲 Frost & Sullivan 頒發「2026 台灣年度最佳資安服務公司」，肯定其在創新、策略執行與客戶影響的表現。v
• 同期也公布上半年 EPS 6.16 元創同期新高，並推出 AI 治理相關產品與防詐公益 App 等動向

每日要點摘錄（8/25–8/31）

• 8/25：安卓車載系統遭惡意程式攻擊案例曝光；貿聯公告遭攻擊；TeamT5 報告與中國駭客用 DeepSeek 擴大攻擊成為焦點；中華資安獲 Frost & Sullivan 大獎。
• 8/26：資安日報聚焦 AI 摘要被隱藏指令「灌毒」、微軟 Defender 驅動漏洞可繞過 EDR、OWASP 公布 2026 LLM 十大風險預覽（AI 代理過度授權躍升）。
• 8/31–9/1：資安漏洞與個資外洩日報點出 Next.js 兩項 CVSS 9+ RCE 漏洞、Gitea 重大漏洞 CVE-2026-60004 被積極利用等