台灣資安新聞彙整 2026.11.04-11.10

巨變時代，掌握資安資訊必不可少！HENNGE 為您彙整每週資安新聞，快速洞悉產業趨勢、資安新知！

11/4

APT29 利用遭劫持的網站分析腳本散布 iOS、Android 漏洞攻擊，竊取手機敏感資料

資安研究人員發現，疑似與俄羅斯有關的駭客組織 APT29 發動名為 Poisoned Source 的水坑式攻擊，透過入侵合法網站、架設仿冒網站，以及劫持烏克蘭網站分析服務 Plerdy 的追蹤腳本，植入惡意 JavaScript，辨識訪客裝置後投遞對應的 iOS 或 Android 漏洞利用工具。攻擊可竊取瀏覽器 Cookie、Wi-Fi 密碼，甚至 iOS 裝置中的訊息、通訊錄、照片及 iCloud Keychain 等資料；使用者僅需瀏覽遭入侵的網站就可能受害，建議及時更新行動裝置系統與瀏覽器，並留意第三方網站腳本的供應鏈風險。

https://thehackernews.com/2026/11/apt29-linked-hackers-hijack-web.html

Codex 越獄工具暗藏「Prompt 廣告程式」，竄改 AI 指令持續植入第三方服務廣告

資安研究人員揭露名為 Haiou 的 OpenAI Codex 越獄工具包，會竄改 Codex 設定檔及全域指令，讓 AI Agent 在收到特定問候語時，自動推薦第三方 AI 模型閘道服務，將廣告植入後續回應中。研究人員將此行為稱為「Prompt Adware」，指出攻擊者可透過第三方 Skills、提示詞及設定檔改變 AI Agent 的行為，形成新型供應鏈風險；企業導入 AI 工具時，應審慎檢查第三方設定套件與 Skills 的來源及權限。

https://thehackernews.com/2026/11/researchers-uncover-prompt-adware.html

11/5

王品旗下萬鮮購物網站服務委外廠商系統出現異常資料存取

餐飲集團王品旗下子公司萬鮮接獲委外購物網站服務廠商通知，其系統近期發現異常資料存取情形。廠商已阻擋異常存取行為，萬鮮也啟動資安事件應變及調查機制。目前萬鮮的購物網站營運正常，但實際受影響的資料範圍仍待釐清。

https://www.ithome.com.tw/news/180246

11/6

日本公布緊急資安應對方案，投入 100 億日圓導入 AI 防禦與網路救援團隊

日本近期多家企業及政府機關接連遭受未授權入侵與客戶資料外洩，政府因此宣布投入 100 億日圓（約 6,300 萬美元）推動緊急資安方案，運用 AI 偵測網路弱點、強化駭客追蹤能力，並成立跨部會資安專家團隊及公私協力的「網路救援團隊」，協助受害企業應變與復原。此外，日本經濟產業省也預計於 11 月底前成立 AI 資安專家團隊，提升企業及政府整體防禦能力。

https://www.securityweek.com/japan-announces-emergency-cybersecurity-package-following-a-wave-of-attacks/

11/7

Claude Code 設定檔意外儲存明文密碼與 API Key，逾千份公開 GitHub 檔案存在外洩風險

資安公司 Apiiro 發現，Claude Code 使用者選擇「Yes, and don't ask again」時，系統可能將核准執行的完整指令（包含密碼、Token 及 API Key）以明文儲存在專案設定檔 .claude/settings.local.json。研究人員在公開 GitHub 上發現 1,122 份含有機密資訊的設定檔，涉及資料庫密碼、SSH 帳密、雲端金鑰及開發平台 Token；即使刪除檔案，Git 歷史紀錄與 Fork 仍可能保留資料。

https://thehackernews.com/2026/11/claude-codes-dont-ask-again-file.html

11/9

日本 ISP 業者 Arara 遭駭，影響小學館、BIC Camera、摩斯漢堡等數百家客戶，可能外洩 8,100萬筆資訊

日本知名 ISP Arara 母公司 PayCloud 上週六公告，旗下 Arara 公司的郵件發送服務 Arara Message 及相關伺服器環境發生攻擊事件，造成郵件發送服務 7,700 萬筆在內共超過 8,100 萬筆客戶資訊可能外洩，影響超過 380 家企業客戶。

https://www.ithome.com.tw/news/180324