台灣資安新聞彙整 2026.10.07-10.13

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

10/7

8 個惡意 npm 套件下載逾 4 萬次，散布 Overlord RAT 與資訊竊取程式

資安研究人員揭露名為 MALFEX 的供應鏈攻擊活動，發現 8 個惡意 npm 套件累計下載達 40,767 次，可在 Windows 系統植入遠端存取木馬 Overlord RAT，或散布資訊竊取程式，竊取 Discord、瀏覽器、Telegram 及加密貨幣錢包資料。攻擊者利用套件的安裝腳本自動下載並執行惡意程式，其中部分套件至今仍可下載。

https://thehackernews.com/2026/10/eight-malicious-npm-packages-downloaded.html

10/8

駭客竄改 DNS 取得 Google 網域未授權憑證，並劫持 .GH、.SL、.AS 下的網域

根據外媒報導，攻擊者入侵第三方營運商並竄改權威網域名稱系統（Authoritative DNS）紀錄，劫持迦納（.GH）、獅子山（.SL）與美屬薩摩亞（.AS）等國碼頂級網域（ccTLD）下的網域，同時取得數個 Google 網域的未授權 HTTPS 憑證。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=13351

具中國背景的駭客組織 TA419 假冒專家，鎖定美國 AI 政策圈竊取 Microsoft 帳號

企業資安業者 Proofpoint 揭露，具中國背景的駭客組織 TA419 近期假冒知名經濟學家與前白宮官員，鎖定美國智庫、大學及律師事務所的人工智慧（AI）政策專家，發動認證釣魚攻擊，疑似藉此從事間諜活動。攻擊者先以看似無害的邀請建立信任，等對方回覆後才傳送惡意連結，並利用對手中間人（AitM）技術竊取 Microsoft 帳號的工作階段 Cookie。

https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=13355

10/9

OpenAI 解雇 3 名安全研究員，AI 風險與公司利益衝突再掀爭議

OpenAI 以違反敏感資訊處理政策為由，解雇 3 名安全研究員；研究員則質疑公司將企業利益置於 AI 安全之上，並擔憂此舉將壓抑內部對安全風險的公開討論。事件也延續今年 7 月 AI Agent 脫離測試環境、利用遭竊憑證入侵 Hugging Face 伺服器的爭議，再度引發外界對自主 AI 系統風險與第三方監督機制的關注。

https://www.securityweek.com/openai-fires-3-safety-researchers-in-dispute-over-ai-risks/

GhostAction 供應鏈攻擊擴散至數萬個 GitHub 儲存庫，惡意 Workflow 竊取 AI 與雲端憑證

資安研究人員發現，GhostAction 攻擊活動利用遭入侵的 GitHub 維護者帳號，將偽裝成安全稽核的 GitHub Actions Workflow 植入數萬個儲存庫，竊取 CI/CD Secrets、AWS 金鑰、OpenAI 與 Anthropic API Key，以及 GitHub、GitLab 等平台的存取憑證。

https://thehackernews.com/2026/10/credential-stealing-github-actions.html

10/12

iRhythm 醫療資料外洩至少影響 36 萬人，患者個資與醫療設備資料遭竊

數位醫療公司 iRhythm 證實，駭客於 6 月 3 日至 8 日入侵第三方託管的商業應用程式，竊取患者姓名、地址、電子郵件、出生日期、電話，以及帳戶、設備與保險資料，目前通報受影響人數至少達 36 萬人。駭客事後以公開外洩資料相威脅，要求支付贖金。

https://www.securityweek.com/irhythm-data-breach-impacts-over-360000-people/

10/13

法國數百超市冷凍庫遭駭 造成數千萬歐元損失

近日，法國數百家超市遭駭客入侵，冷藏與冷凍設備遭遠端操控，溫度一度飆升至攝氏50度，不僅造成部分設備起火，大批生鮮及冷凍食品也因高溫變質，被迫全數丟棄，造成數百萬歐元的食品損失。

https://ec.ltn.com.tw/article/breakingnews/5604262