台灣資安新聞彙整 2026.01.28-02.03

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

1/28

49 億筆憑證大規模外洩，衝擊 Gmail、iCloud 等雲端服務

研究人員發現一個未受保護的資料庫，內含超過 1.49 億筆獨特憑證（使用者名稱與密碼）。該資料庫並非單一企業遭駭，而是多年來從各平台（如 Gmail、Facebook、iCloud）竊取的憑證彙整，暴露了雲端帳戶面臨的大規模憑證填充（Credential Stuffing）風險。

https://cybersecuritythreatai.com/149-million-records-data-leak-2026/

開源 AI 代理專案 Clawdbot 部分系統配置不當，導致企業雲端資料暴露

近期爆紅的開源 AI 代理（Agent）專案 Clawdbot（後更名為 Moltbot）因部分使用者配置不當，導致研究人員發現外人可隨意存取系統內的機敏資料。此事件反映出企業在快速導入 Agentic AI 到雲端環境時，往往忽視了基礎權限控管。

https://www.ithome.com.tw/news/173641

1/29

Fortinet 揭露 FortiCloud SSO 身份驗證繞過重大漏洞

Fortinet 證實其 FortiCloud 單一登入（SSO）功能存在路徑驗證繞過漏洞（CVE-2026-24858）。具備 FortiCloud 帳號的攻擊者，可能利用此漏洞登入其他帳戶下註冊的受控設備，對雲端託管的安全防禦體系構成重大威脅。

https://www.twcert.org.tw/tw/cp-169-10678-e5cd4-1.html

1/30

前 Google 中國籍工程師因竊取 AI 雲端商業機密遭判有罪

美國司法部宣佈，前 Google 工程師丁林葳（Linwei Ding）因竊取超過 500 份涉及雲端 AI 超級電腦架構與自研晶片的機密文件，並意圖協助中國企業，正式被裁定有罪。此案例凸顯了雲端核心技術的內部人威脅風險。

https://thehackernews.com/2026/01/ex-google-engineer-convicted-for.html

ShinyHunters 鎖定 Okta 與 Google SSO 發動大規模語音網釣攻擊

知名駭客組織 ShinyHunters 轉向以身份驗證為核心的攻擊模式，透過偽造 IT 部門的語音釣魚（Vishing）騙取員工的 SSO 憑證與 MFA 驗證碼，藉此直接接管企業在 Azure 與 Google Cloud 上的整套辦公系統。

https://www.ithome.com.tw/news/173682

2/2

俄羅斯 APT28 駭客利用 Office 零時差漏洞，並透過雲端儲存進行 C2 通訊

俄羅斯國家級駭客組織 APT28（Fancy Bear）被發現利用 Microsoft Office 的零時差漏洞（CVE-2026-21509）發動攻擊。特別的是，該組織利用合法雲端儲存服務 Filen.io 作為指令與控制基礎設施，藉此規避傳統流量偵測。

https://thecyberexpress.com/russian-apt28-exploit-zero-day-cve-2026-21509/

Ivanti 發布緊急更新，修補 2 個 CVSS 9.8 分的 RCE 漏洞

Ivanti 針對其多款網關產品發布緊急通報，修補代號為 CVE-2026-1281 與 CVE-2026-1340 的代碼注入漏洞。這些漏洞允許攻擊者在無需驗證的情況下遠端執行代碼（RCE），嚴重威脅連接雲端與內部網路的邊緣設備安全。

https://hackread.com/ivanti-urgent-fix-critical-zero-day-vulnerabilities/