(文：陳宣宏博士）
必維集團驗證事業部(Bureau Veritas Certification，以下簡稱BV)即日起提供資安暨AI週報，定期彙整台灣與全球重要資安事件、最新法規動態、產業趨勢及資訊安全相關議題，協助企業即時掌握資安風險與管理重點，強化組織資訊安全韌性。
本週資安焦點集中在三個面向：第一，FortiMail與Citrix NetScaler等位於企業邊界的設備持續出現高風險漏洞，其中FortiMail漏洞已遭實際利用，顯示Internet-facing設備仍是攻擊者優先突破點；第二，ASOS資料外洩再次證明社交工程與憑證竊取可繞過傳統防線，而南韓銀行事件則反映AI工具正逐步被納入偵察、弱點發現與攻擊自動化；第三，Microsoft最新數位防禦報告顯示臺灣仍是亞太國家/區域級駭客活動的重要觀測區域，與臺灣推動「資安防護2.0」及AI紅隊演練形成呼應。對企業而言，本週最重要的課題不是增加更多安全工具，而是縮短修補時間、強化身分與第三方存取治理，並用實戰方式驗證防禦是否有效。
FortiMail零時差已遭利用：邊界設備應優先處理
FortiMail CVE-2026-104286已遭實際利用，攻擊者可藉由特製HTTP／HTTPS請求在系統寫入任意檔案，CISA亦已將其列入KEV。[1] 郵件安全閘道通常直接暴露於網際網路，一旦被突破，可能成為後續橫向移動與持久化的入口。企業應立即盤點受影響版本、限制管理介面曝露、完成修補，並依原廠IoC回溯異常活動。
Citrix NetScaler重大漏洞：遠端存取入口需加速修補
Citrix NetScaler的CVE-2026-107406被評為高風險漏洞，特定SAML SP／IdP組態下可能造成遠端程式碼執行或阻斷服務，Citrix已要求客戶儘速升級。[2] 對企業而言，VPN、ADC、WAF與身分驗證設備不宜沿用一般月度Patch節奏，應建立獨立的緊急漏洞處理SLA，並針對外部曝露資產設定更高優先級。
ASOS資料外洩：身分與第三方存取仍是弱點
ASOS確認攻擊者透過社交工程取得員工登入憑證，再存取第三方平臺，造成部分客戶姓名與聯絡資料外洩；支付卡與帳號密碼未遭存取。[3] 此事件顯示MFA並非終點，企業仍需強化抗釣魚驗證、條件式存取、異常Session偵測，以及第三方SaaS權限最小化。
南韓銀行疑遭AI輔助攻擊：攻擊自動化門檻下降
南韓金融主管機關因多家銀行遭攻擊召開緊急會議，其中新韓銀行已確認資料外洩；調查過程出現與ARTEX AI自動化滲透工具相關跡象，但官方尚未證實AI與入侵存在直接因果關係。[4] 這類事件的重要性在於，AI正降低攻擊自動化門檻，企業SOC需要更快整合威脅情報、身分異常、端點與網路事件，縮短偵測與回應時間。
Microsoft 2026報告：臺灣持續面臨國家/區域級威脅
臺灣「資安防護2.0」把政策方向進一步推向AI攻防與實戰驗證，規畫以AI紅隊檢視政府機關防禦能力。[6] 這也反映未來企業資安成熟度將更重視攻擊面管理、偵測回應與紅隊／紫隊演練。綜合本週事件，企業應優先建立Internet-facing資產清單與緊急修補機制，持續監控帳號、Token與Session，並對AI Agent與第三方服務採最小權限及完整稽核軌跡。
面對日益複雜的資安威脅與快速發展的 AI 應用，企業更應建立系統化的管理機制。必維集團 Bureau Veritas 為全球知名的第三方驗證機構（Certification Body），提供：
- ISO/IEC 27001 資訊安全管理系統（ISMS）驗證
- ISO/IEC 27701 隱私資訊管理系統（PIMS）驗證
- ISO/IEC 42001 人工智慧管理系統（AIMS）驗證
- 資訊安全治理評估與教育訓練
- AI 治理與風險管理相關服務 (負責任的AI)
透過獨立第三方驗證，協助企業建立可信賴之管理系統，提升資訊安全、個人資料保護及人工智慧治理成熟度，以因應快速變化的數位風險環境。
參考
[1]https://www.securityweek.com/exploited-fortinet-fortimail-zero-day-calls-for-urgent-action/
[2]https://www.securityweek.com/citrix-urges-immediate-patching-of-critical-netscaler-vulnerability/
[3]https://www.bleepingcomputer.com/news/security/asos-links-data-breach-to-social-engineering-attack-credential-theft/
[4]https://www.bleepingcomputer.com/news/security/south-korea-probes-bank-breaches-amid-suspected-ai-powered-attacks/
[5]https://www.microsoft.com/en-us/corporate-responsibility/topics/cybersecurity/reports/microsoft-digital-defense-report/
[6]https://www.ithome.com.tw/news/179495
作者簡歷
- 必維集團驗證事業部大中華區ICT產品經理