台灣資安新聞彙整 2024.12.02-12.08

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

12/2

微軟修補 AI、雲端與 ERP 系統漏洞，一個已遭駭客利用

微軟近日修補四個影響其 AI、雲端、ERP 和合作夥伴中心的資安漏洞，其中一個已遭駭客積極利用。被標記為「已遭利用」的漏洞為 CVE-2024-49035 (CVSS 評分 8.7)，這是一個存在於 partner.microsoft.com 的權限提升漏洞。微軟在本週發布的公告中表示，「partner.microsoft.com 存在不當的存取控制漏洞，允許未經認證的攻擊者透過網路提升權限。」

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11432&mod=1

12/3

大型企業 76 萬名員工的資料被傾倒到網上

包括 Xerox、Nokia、Koch、Bank of America、Morgan Stanley 等在內的大型企業的數十萬名員工似乎是與去年檔案傳輸工具 MOVEit 攻擊相關的大規模資料外洩事件的最新受害者。一個使用代號「Nam3L3ss」的實體開始洩露他們聲稱屬於上述公司以及受 MOVEit 漏洞影響的其他公司員工的個人資料。

https://www.theregister.com/2024/12/03/760k_xerox_nokia_bofa_morgan/

惡意軟體 SmokeLoader 假借報價名義攻擊臺灣多個領域的企業

資安業者 Fortinet 針對惡意軟體 SmokeLoader 最新一波攻擊行動提出警告，指出駭客鎖定臺灣製造業、醫療保健、資訊科技等多個領域的公司，從事攻擊行動。

https://www.ithome.com.tw/news/166328

12/5

勒索軟體集團聲稱竊取資料後，英國電信 (BT) 正在調查駭客攻擊事件

在一個臭名昭著的勒索軟體集團聲稱竊取了大量檔案（包括敏感資訊）後，英國電信巨頭英國電信 (BT) 已展開調查。 Black Basta 勒索軟體集團將英國電信新增到其基於 Tor 的洩露網站，聲稱已取得大約 500 GB 的資料，包括財務、公司和個人資訊。網路犯罪分子威脅說，除非支付贖金，否則將在一週內洩露被盜資料。

https://www.securityweek.com/bt-investigating-hack-after-ransomware-group-claims-theft-of-sensitive-data/

未能終止存取權限導致 119 萬美元的 HIPAA 罰款

美國衛生與公眾服務部 (HHS) 民權辦公室 (OCR) 對佛羅里達州的一家疼痛管理診所處以 119 萬美元的民事罰款，原因是該診所未能終止前員工對包含電子受保護健康資訊 (ePHI) 的系統的存取權限，以及其他違反 HIPAA 安全規則的行為。

https://www.hipaajournal.com/gulf-coast-pain-consultants-hipaa-penalty/

12/6

Atrium Health 資料外洩事件影響 58.5 萬人

醫療保健公司 Atrium Health 已通知美國衛生與公眾服務部 (HHS)，最近發現的資料外洩事件影響了超過 58.5 萬人。 Atrium 表示，很難準確確定傳輸到第三方的資料內容，但它假設 2015 年 1 月至 2019 年 7 月期間所有 MyAtriumHealth 或 MyCarolinas 病患平台的使用者都受到影響。根據使用者的瀏覽器、配置和操作，IP 位址、Cookie、治療或提供者資訊、姓名、電子郵件地址、電話號碼和實際地址等資訊可能已洩露。

https://www.securityweek.com/atrium-health-data-breach-impacts-585000-people/

多家依賴 CDN 業者提供 WAF 服務的企業用戶因設定不當暴露於資安威脅

研究顯示，使用 CDN 業者所提供的 WAF（網站應用程式防火牆）服務的組織中，有不少因常見的錯誤設定，導致其後端伺服器直接暴露在網際網路上，成為攻擊者的目標。研究團隊發現，包括 Chase、Visa、Intel、Berkshire Hathaway 和 UnitedHealth 等知名企業，都可能遭受此類資安攻擊威脅。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11441&mod=1