資安指南
密碼、MFA、裝置、公共 Wi-Fi、伺服器、相依套件、Git、暴露在外的環境——以目標為導向的實用指南，教你今天就能套用的防禦措施。
Fireworks AI 安全事件（2026 年 10 月）：帳單資料以及部分資料集和模型權重受影響，公司稱涉及雲服務商遭入侵。客戶應怎麼做
提供 AI 模型推論基礎設施的 Fireworks AI 在 2026 年 11 月 9 日，更新了其 10 月 9 日首次披露的安全事件。據公司稱，10 月 6 日發現的最初事件，當時已知只涉及 Fireworks 儲存的金鑰（例如評估任務中使用的金鑰）；此後公司發現帳戶和帳單資訊受到影響，…
NEAR AI 因推論引擎漏洞遭入侵（約 100 名使用者的帳戶資訊）：已確認的事實，以及使用者和 AI 基礎設施營運者應怎麼做
提供 AI 聊天和 AI 代理服務的 NEAR AI 在 2026 年 11 月 9 日的官方部落格文章中披露，其部分基礎設施遭未經授權存取。據公司稱，原因是其伺服器上執行的開源推論引擎 SGLang 存在遠端程式碼執行漏洞；攻擊者在一台推論伺服器上執行了程式碼，並由此進入其他…
SAP 2026 年 11 月安全修補日：四個 CVSS 10.0 漏洞。先修補對外的 Web Dispatcher 和 ICM；如何確認是否受影響以及今天該做什麼
2026 年 11 月 10 日，SAP 的安全修補日發布了 35 條新的安全說明（Security Note）和 4 條 GitHub 安全公告，並更新了 3 條此前的說明。SAP 的列表將 9 行標為 Critical（嚴重）。其中四個為 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manage…
Sharefull 內部管理系統遭未經授權存取（最多約 750 萬個帳號）：姓名、銀行帳戶、緊急聯絡人等可能外洩——勞工該如何應對
2026 年 11 月 9 日，Sharefull 宣布第三方未經授權存取了其內部管理系統，使用者的個人資料可能外洩。存取發生在 11 月 4 日 23:30 前後，11 月 5 日 09:45 前後被發現，當天已阻斷入侵路徑。可能受影響的帳號最多約 750 萬個。可能外洩的資訊包括：姓名及假…
住友生命 Vitality 申請系統遭未經授權存取（約 8 萬人）：姓名、住址、電話號碼與部分遮蔽的信用卡號外洩——使用者該如何應對
2026 年 11 月 9 日，住友生命保險公司宣布，委託其處理系統業務的公司的系統遭第三方未經授權存取，使用或曾使用「住友生命 Vitality Trial / Corporate」與「Vitality Smart」（含員工福利型）的約 8 萬人的資料外洩。外洩項目為姓名、住址、電話號碼、出生…
Amplifon Americas（聽力保健）資料外洩（據報導約 133 萬人）：聽力和醫療資訊、駕駛執照號碼等，收到通知後該怎麼做
Amplifon Americas 表示，其於2026年2月11日發現部分網路出現可疑活動，調查發現，1月18日至2月8日期間，有未經授權的第三方從某些系統獲取了檔案。10月6日，在審查資料後，公司認定某些個人資訊可能受到影響。可能涉及的專案有：姓名、聯絡方式、出生日期、…
Ethersphere bee-js 13.3.0 和 Swarm Desktop 0.56.2 帶有惡意軟體（2026年11月）：受影響版本以及使用者該怎麼做
去中心化儲存網路 Swarm 的開發方 Ethersphere 的 npm 包 @ethersphere/bee-js 的 13.3.0 版本包含惡意程式碼。2026年11月9日發布的 GitHub 公告（GHSA-hh7j-5m3j-23pf）把 13.3.0 列為唯一受影響的版本，並稱沒有已修補的版本。公告稱，凡是安裝或執行了該包…
Mitsui Direct 損害保險網站遭未經授權存取（約 234,000 條記錄）：姓名、地址和車輛資訊外洩，詢過價或投過保的人該怎麼做
2026年11月6日，Mitsui Direct General Insurance Co., Ltd. 宣佈，有第三方未經授權存取了其網站，部分客戶資訊外洩。公司於11月4日凌晨發現了此次存取，並已暫停網站和應用上的所有手續。受影響的是詢過價或投過保的客戶，約 234,000 條記錄（11月6日 13:00…
mittwald 的 MCP 伺服器漏洞被利用，56 個客戶專案被攻陷（2026年11月）：已公布的時間線，以及使用者和 AI 整合運營者該怎麼做
德國網站託管公司 mittwald 在官方部落格中表示，其 MCP 伺服器（把客戶的 AI 助手與其控制面板 mStudio 連線起來）中的一個漏洞被利用，56 個客戶專案被攻陷。據該公司稱，攻擊者於10月21日首次測試該漏洞，從10月23日起用測試帳戶以普通使用者身分活動，並…
Nitori 遭未經授權存取：最多 3,762 萬筆個人資料可能外洩（姓名、地址、電話號碼、出生日期），個人會員與企業會員該怎麼做
2026 年 11 月 9 日，Nitori Holdings Co., Ltd. 公布，已於 11 月 6 日確認第三方對其管理的系統進行未經授權存取，伺服器上保存的個人資料最多 3,762 萬筆紀錄可能已外洩。涉及的資料包括 Nitori 集團的個人會員與購買者（會員編號、姓名（含讀音假名）、電…
Raksul 印刷資料提交系統遭未經授權存取（數量正在統計）：印刷資料中的姓名、地址和電話號碼可能外洩，客戶和印刷品上出現的人該怎麼做
2026年11月9日，Raksul Inc. 宣佈，其 Raksul 服務中處理資料提交所涉及的系統遭第三方未經授權存取，個人資訊可能已外洩到外部。此次存取於2026年11月8日約 00:20 被發現。公司稱，其系統的憑證被非法獲取，導致部分儲存的資料可從外部存取。可能外洩的資訊…
範德堡大學網路安全事件（持續中）：Wi-Fi、Okta、郵箱和 CampusPrint 已恢復，其他系統仍受限，完全恢復需數週，學生和教職員工該怎麼做
2026年11月9日，範德堡大學（美國田納西州）表示，正在應對一起活躍的網路安全事件，可能影響大學的裝置、系統和雲服務。在11月10日下午6點的更新中，大學稱校園Wi-Fi、Okta（請繼續使用多因素認證）、範德堡郵箱（大學裝置和個人裝置均可）、CampusPrint、Br…
Euglena 旗下 akyrise 網店遭未經授權存取（最多約900,000條記錄）：姓名、地址和電話號碼可能外洩——購買者該怎麼做
2026年11月5日，Euglena Co., Ltd. 宣佈，其化妝品品牌 akyrise 的網店於11月4日遭第三方未經授權存取，會員資訊外洩。公司當天關閉了網店，並向日本個人資訊保護委員會提交了速報。可能外洩的資訊分為兩組：登入帳戶資訊（客戶ID、電子郵件地址以及以雜湊形…
樂敦製藥郵購業務遭未經授權存取（客戶管理系統2,797,545人，通話錄音中的卡號9,715人）：電話訂購的客戶和其他人該怎麼做
2026年11月6日，樂敦製藥股份有限公司（Rohto Pharmaceutical Co., Ltd.）公佈了對其郵購業務所用電話系統遭未經授權存取一事的調查結果。客戶管理系統中2,797,545人的姓名、地址和電話號碼被獲取（具體專案因人而異），通話錄音中包含的信用卡號和有效期被獲…
線上麻將遊戲 Maru-Jan 遭未經授權存取（1,855,578名會員）：電子郵件地址和密碼外洩——會員該怎麼做
2026年11月7日，Signaltalk Co., Ltd. 宣佈，其運營的線上麻將遊戲 Maru-Jan 遭未經授權存取，1,855,578名會員的電子郵件地址和密碼外洩。公司稱，其管理系統的某項功能被濫用，包括會員資訊在內的資料在11月4日約15:00之前被下載到外部。受影響的群體是全部…
SMBC Consumer Finance 貸款擔保系統資料外洩（最多320,118人）：駕駛執照號碼、工作單位資訊和收入外洩——銀行卡貸款客戶該怎麼做
2026年11月5日，SMBC Consumer Finance Co., Ltd. 宣佈，第三方未經授權存取了其用於貸款擔保業務的系統，資料被髮送到系統之外。公司於11月2日發現該存取，當天切斷了對該系統的存取，並在進一步調查中確認了外洩。受影響者最多320,118人。該公司為地方銀行…
Perry Johnson & Associates（PJ&A）醫療資料外洩：四個州就最高 1000 萬美元達成和解（涉及 1330 萬人），外洩了什麼、該怎麼做
2026 年 11 月 6 日，紐約州、康涅狄格州、密歇根州和新澤西州的總檢察長宣佈，與醫療轉錄和編碼公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家關聯公司（合稱 Perry Johnson 各公司）達成和解。和解涉及 2023 年 3 月的一起資料外洩，全美約 1330…
Crédit Mutuel Arkéa 網路攻擊（法國）：經由服務供應商的平台，從其自有帳戶發生詐欺轉帳，客戶資產未受影響
2026年11月4日，法國金融集團 Crédit Mutuel Arkéa 稱其遭到一次攻擊，導致發生詐欺性交易。據該集團稱，攻擊者經由一家服務供應商的平台進入，將資金從 Arkéa 的自有帳戶轉給其他銀行業參與者，並可能藉此透過專業平台將其轉換為加密貨幣。其聯合會與子公司…
DigiCert（憑證機構）內部業務系統遭入侵：客戶代表的聯絡資料及部分身分證明文件，客戶應如何因應
DigiCert 在 Mozilla Bugzilla 上的事件報告（完整報告約於日本時間2026年11月2日發布）中稱，其一個歸檔客戶為驗證身分而提供之資訊的內部業務系統遭到未經授權存取。被存取的資料時間為2026年6月27日至7月2日。其中大部分是業務聯絡資料（姓名、業務電子郵…
NTT DOCOMO「docomo Online Shop」與「My docomo」資料外洩（最多約30萬筆紀錄）：身分證件號碼外洩，用戶該怎麼做
2026年11月4日，NTT DOCOMO 確認 docomo Online Shop 與 My docomo 遭到來自外部的未經授權存取，並自11月5日凌晨1:05左右起停止兩項服務的各項辦理手續，進入緊急維護。該公司在11月5日的第二次通報中表示，緊急維護之前已有部分客戶資料因未經授權存取而外…
Hotto Motto 電子報發送服務遭未經授權存取（最多約700萬筆紀錄）：姓名、出生日期與電話號碼外洩，會員該怎麼做
2026年11月4日，Plenus 股份有限公司宣布，由外部委外廠商提供的 Hotto Motto 電子報發送服務遭第三方未經授權存取，包含客戶電子郵件地址在內的會員資料已經外洩。該公司於11月2日接獲委外廠商的報告。事件發生於10月28日至31日，涉及最多約700萬筆紀錄。外…
Iris Plaza 遭未經授權存取（約770萬人的資料）：姓名、地址與加密密碼可能外洩，會員與購物者該怎麼做
2026年11月5日，Iris 集團旗下的 Iris Plaza 股份有限公司在第二次通報中表示，Iris Ohyama 官方網路商店 Iris Plaza 遭未經授權存取，部分客戶的個人資料可能已經外洩。10月28日，該公司在其使用的外部雲端服務中發現可疑檔案，立即停止了 Iris Plaza 及相關…
「勝利女神：妮姬」PC 啟動器檔案遭竄改並散布惡意程式：9 月 27 日 15:41（日本時間）之後啟動過 Windows 版的使用者該怎麼做
2026年11月5日，「勝利女神：妮姬」（GODDESS OF VICTORY: NIKKE）的營運方 Level Infinite 宣布，其 PC 啟動器的部分檔案遭第三方竄改，啟動器執行時可能運行惡意程式。據營運方表示，遊戲服務部分所用的一個外部網域於 9 月 27 日遭接管，當天 15:41（日本…
OpenSSH 10.6p2 緊急修復（CVE-2026-123158）：已列入 CISA KEV；Alpine 等未啟用 PAM 的 musl 系統上，sshd 無需密碼即可登入
2026年11月5日，OpenSSH 發布 10.6p2，針對部分在禁用 PAM 的情況下構建並執行的 Linux 系統（尤其是 Alpine Linux 等使用 musl libc 的系統）上 sshd 的密碼認證繞過問題，提供了關鍵的規避措施。對應 CVE 為 CVE-2026-123158（CVSS 3.1 基礎分 8.1，來自 CV…
SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可遭繞過，已列入 CISA KEV（請升級 Gen7 與 Gen8）
CVE-2026-19868 是 SonicWall 防火牆作業系統 SonicWall SonicOS 的 SSL-VPN 服務中的一個漏洞。根據 SonicWall 於2026年11月6日發布的公告 SNWLID-2026-0014，在為 SSL-VPN 登入啟用 SAML 的防火牆上，持有另一種身分驗證方式有效憑證的使用者可能繞過 SAML…
三得利集團個人資料外洩（員工及合作企業員工約 90,000 人及其他類別）：外部雲端服務遭未經授權存取，姓名、電子郵件地址等外洩，應徵者與顧客該怎麼做
三得利集團於2026年11月2日宣布，確認集團使用的外部雲端服務遭第三方未經授權存取，第三方下載的部分檔案中含有個人資料。公司於10月28日偵測到異常並阻斷存取，10月29日確認其中含有個人資料。截至11月1日確認外洩的個人資料分為 7 類：集團員工及合作企業…
Arara 電子郵件發送服務 Arara Message 遭未經授權存取（約 8,130 萬個電子郵件地址）：姓名等會員資料也在其中，電子報收件人與客戶企業應如何應對
2026 年 11 月 6 日，Arara Inc.（PayCloud Holdings 的子公司）在第三份報告中稱，加上從另一個雲環境（環境 B）遭取得的 3,249,492 個電子郵件地址後，其電子郵件發送服務 Arara Message 遭未經授權存取，排除類別間重複後共有 81,329,467 個電子郵件地址遭…
Asoview!會員資料外洩（15,821,184 筆紀錄）：姓名、電話號碼與門票購買詳情經由電子郵件發送委託方外洩，會員應如何應對
Asoview Inc. 於2026年11月3日宣布，在第三方對其用於發送電子郵件的委託方服務進行未經授權存取後，其休閒預訂服務 Asoview! 的部分會員資料外洩。公司稱原因在於委託方的服務，而非自家系統。數量為 15,821,184 筆紀錄。外洩專案包括電子郵件地址、會員 ID…
Seven-Eleven Japan 7NOW 客戶資料外洩（僅姓名的 164,180 筆紀錄等）：配送委託方遭入侵暴露了什麼，使用者應如何應對
Seven-Eleven Japan 於2026年11月3日宣布，負責其 7NOW 配送服務部分配送的委託方所運營的服務遭第三方未經授權存取，部分 7NOW 下單人（收貨人）的資料被竊取。據公司稱，委託方的調查在11月1日發現了該存取，並在11月3日發現 7NOW 資料也被竊取。已確認的專…
Trigger.dev 資安事件（2026年11月）：0.66% 客戶的根 API 金鑰與環境變數遭存取，請重新產生金鑰並輪替憑證
執行背景任務與 AI 代理的平台 Trigger.dev 於2026年11月1日揭露了一起資安事件，並在11月6日發布了後續報告。公司稱，基礎設施警示在11月1日標記出異常活動，公司判斷其為惡意行為並阻斷了攻擊者。此次事件影響了全部客戶的 0.66%。攻擊者取得了部分客戶環境…
WorkOS（面向開發者的 SSO 與目錄同步平台）內部銷售應用程式遭入侵：公司稱係資安研究人員的 AI 代理所為；客戶該如何處理曝露的聯絡人以及支援與 Slack 紀錄
WorkOS 於2026年11月2日發布了關於其銷售與面向客戶團隊使用的內部應用程式遭未經授權存取的通知，並於11月6日更新。更新稱，首次未經授權存取確認於10月25日，紀錄於10月30日被大量擷取，隨後公司移除了公開存取。一名資安研究人員在11月3日至5日之間主動聯…
Chainstack（區塊鏈節點與 API 平台）正式環境遭入侵：開發者與 dApp 營運者應如何處理帳號資料與節點憑證
Chainstack 在11月3日的通知中表示，外部攻擊者透過一個第三方元件進入了其部分基礎設施：10月26日進入開發環境，10月29日進入部分正式環境，10月31日被發現並切斷，調查於11月2日結束。客戶帳號資料庫中可能暴露的資訊有組織名稱、帳號持有人姓名、組織成員…
istyle @cosme 資料外洩（約 300 萬名會員的資料外洩）：會員應如何因應姓名、地址、電話號碼與膚質外洩
istyle Inc. 於2026年11月2日宣布，其確認第三方於10月28日未經授權存取了 @cosme，在 @cosme 通用 ID 下註冊的部分會員資訊已外洩。受影響的約有 300 萬人，包括已退出 @cosme 但在存取發生時是會員的人。外洩項目為使用者 ID（不用於登入）、暱稱、姓名（漢…
Nojima Online 及二手手機回收網站遭未經授權存取（約 700 萬筆紀錄）：姓名、地址、電話號碼與加密密碼，會員該怎麼做
Nojima Corporation 於2026年11月2日宣布，Nojima Online 會員管理系統遭未經授權存取，Nojima Online 及其二手手機回收網站的會員資料已外洩。據公司表示，其於11月1日偵測並確認該存取，並於當天確認個人資料已外洩至外部。規模約為 700 萬筆紀錄（已退會的…
Prestige International 道路救援系統資料外洩（最多約550萬筆紀錄，含重複）：姓名、車輛資訊、部分銀行帳戶資訊與3個信用卡號碼被帶出，保險與租賃客戶應如何應對
Prestige International Co., Ltd.於2026年11月2日宣布，其集團公司 Prestige Core Solutions 為客戶企業辦理道路救援受理與派單的系統遭到未經授權的存取，客戶的個人資訊被帶出。紀錄數最多約550萬筆（含重複），去除重複後的實際人數仍在確認中。涉及的項…
Good Smile Company 官方商店資料外洩（2,800 人的完整卡片資料可能外洩，402,466 張卡的部分卡片資料，最多 202 筆訂單可能被檢視）：各組人員應如何因應
Good Smile Company Co., Ltd. 於2026年10月23日宣布其官方商店遭第三方存取，並在10月30日的第四次報告中將受影響者分為三組。B組（2,800 人）在付款頁面輸入的持卡人姓名、卡號、有效期限與安全碼，可能被10月21日13:55至10月23日7:00期間留存的惡意程式擷…
Jenkins 2.588 與 LTS 2.580.2 修補 15 個漏洞（CVE-2026-117612 至 117626）：確認版本，以及更新後要複查什麼
2026 年 10 月 28 日，Jenkins 專案發布安全公告，在每週版 2.588 與 LTS 2.580.2 中修補了 Jenkins 核心的 15 個漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影響的是每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本。公告將其中 13 個評為高風險，2…
PingCAP（TiDB Cloud）未經授權存取與資料外洩（日本最多約 50,000 筆紀錄）：TiDB Cloud 組織管理者應如何處理帳號資料、SQL 編輯器歷史紀錄與支援工單
PingCAP 表示，2026年9月9日至10月7日（美國時間）期間，未經授權的一方利用被竊的憑證進入內部系統並複製資料，日本境內最多約 50,000 筆個人紀錄被認定已外洩（日文公告）。公司已確認受影響的類別（因客戶而異）包括：TiDB Cloud 帳號資料（使用者名稱、電…
針對 Synology DSM 的勒索軟體攻擊：過時版本經2024年12月已修補的漏洞遭攻擊，今天該更新與檢查什麼（SA-24:20）
2026年10月29日，Synology 表示已發現威脅行為者利用2024年12月已修補的一個漏洞，攻擊執行過時 DSM 版本的裝置，意圖加密資料並勒索贖金。Synology 強烈敦促所有使用存在漏洞版本的使用者立即更新 DSM，並建議開啟自動更新。公告指向 Synology-SA-24:20，其…
求職網站 MyBRANDS 遭未經授權存取，個人資料可能外洩（最多約 13.5 萬個帳號）：姓名、聯絡方式與工作經歷可能外流的求職者與企業聯絡人該怎麼做
iDA Co., Ltd.（日本）於 2026 年 10 月 30 日宣布，其求職網站 MyBRANDS 的伺服器環境遭第三方未經授權存取，已註冊的求職者與企業聯絡人的資訊可能已外流到外部。公司表示，承包商使用的雲端存取金鑰於 10 月 21 日至 22 日遭第三方濫用，並於 10 月 26 日…
佐賀大學勒索軟體攻擊（學生、教職員與校友的個人資料可能外洩，約 8 萬人，另有病患資訊）：姓名、地址與密碼在列者該怎麼做
日本國立大學佐賀大學於 2026 年 10 月 30 日宣布，繼 9 月 28 日公布其事務資訊系統遭勒索軟體攻擊之後，已確認無法排除包括病患資訊在內的所持個人資訊外洩到校外。據該校表示，9 月 24 日上午 8 時 42 分，其確認事務部門使用的 NAS（網路附加儲存設備）出…
WordPress 7.1.4 漏洞 CVE-2026-119977：可能導致遠端程式碼執行的核心更新競態條件已修補；請檢查版本與自動更新
2026 年 10 月 28 日，WordPress 專案發布安全版本 7.1.4，修補核心更新過程中一個可能導致遠端程式碼執行的漏洞。根據 WordPress 的 GitHub 安全公告，在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測…
為自家技術堆疊自動化漏洞監控：以實際使用的元件名稱比對
在本站營運者所經營的網站上，一則 PHP 漏洞、一起 Python 套件中的惡意程式碼，以及一個容器基礎映像檔問題，在同一週內，每一件都是由人先得知，而自動化監控尚未回報。重建後的監控機制依循三個重點：以實際使用的元件名稱比對，而非技術關鍵字；讓 AI 只…
Chainalysis 資安事件（2026年10月至11月）：所有使用者的姓名、使用者名稱、密碼雜湊與有效權杖遭曝露，客戶該怎麼做
區塊鏈分析公司 Chainalysis 於2026年10月30日發布資安事件通知，並持續更新。公司在11月4日的更新中稱，所有使用者的姓名、使用者名稱、密碼雜湊與有效權杖已曝露給惡意行為者。公司表示沒有證據顯示調查資料遭存取，也沒有證據顯示歸因資料遭竄改。當天稍早…
Club Tourism 遭未經授權存取，個人資料可能外洩（約 432 萬筆）：姓名、地址、電話與緊急聯絡人資料可能外洩，會員應採取的行動
Club Tourism Co., Ltd.（日本）於 2026年10月31日宣布，10月30日 5:45 偵測到來自外部的未經授權存取，其網路訂位系統中登錄的網路會員資料可能已外洩（第一報）。涉及項目為姓名（漢字與假名）、國籍、性別、出生日期與年齡、地址、電話號碼、電子郵件地址…
每 IP 速率限制擋不住時：分散在數萬個 IP 的搜尋機器人案例
一個網站的搜尋功能每次查詢都會呼叫外部 API，幾天內搜尋流量約增加 20 倍，幾乎所有搜尋都回傳 503。最初的假設是每 IP 限制可以控制它，但這個假設錯了。某一天約 60,000 次搜尋來自約 60,000 個不同的 IP，因此每個 IP 只送出約一次請求，從未達到任何限…
Linux 核心 CVE-2026-98432：可透過網路觸發的 TCP 釋放後使用漏洞（CVSS 9.8）；請安裝已修復的核心、重新啟動並檢查 MPTCP
CVE-2026-98432 是 Linux 核心 IPv4 TCP 程式碼中的一個釋放後使用漏洞，於2026年10月15日公布。核心專案的 CNA 給出 CVSS v3.1 9.8 分（網路、無需權限、無需使用者互動）。據報導，一家 AI 公司的研究人員在實驗室中、依據其自身報告，示範了針對具有 Multi…
Northflank 資安事件（2026年10月）：儲存的環境變數應視為已被解密，有使用者回報 AI API 金鑰遭濫用
2026年10月30日（UTC），雲端部署平台 Northflank 在其狀態頁面發布了一起資安事件。11:43 UTC 收到一家資安廠商的威脅警示；公司自 12:02 UTC 起部署修補程式，13:40 UTC 通知客戶輪替環境變數，13:58 UTC 通知客戶假定所有環境變數均已被解密。到 15:12 UTC…
緊急 PHP 更新後該檢查什麼：網頁 PHP 與命令列 PHP 的差異、set -e 與 diff 結束代碼，以及入侵再檢查
在 2026 年 10 月回應嚴重 PHP 漏洞期間，本站營運者管理的一個網站已更新網頁 PHP，但 cron 使用的命令列 PHP 仍指向舊版本。請分別檢查網頁與 CLI。在 set -e 之下，diff 與 grep 會以結束狀態 1 表示「發現差異」或「沒有符合」，進而中止腳本；請分別處理…
World 子公司 Tin Pan Alley（據媒體報導為 RAGTAG 營運方）資料外洩（合計約 120 萬筆）：姓名、地址與電話可能外洩，會員應採取的行動
2026年10月30日，World Co., Ltd. 宣布，其合併子公司 Tin Pan Alley Co., Ltd. 的一台業務伺服器遭第三方未經授權存取，其上儲存的部分會員資料可能已外洩。可能外洩的會員資料合計約 120 萬筆（這是彙總的筆數，而不是人數）。涉及項目為姓名、地址、電話號…
Revolve 客戶帳號資料外洩：已儲存的信用卡號和有效期被存取（印第安納州檢察總長列表共 1,515,073人），客戶應如何因應
據 The Record 報導，美國時尚零售商 Revolve 在2026年10月29日提交的美國證券文件中揭露，未經授權的一方以自動化方式存取了客戶帳號資料，包括姓名、聯絡方式以及已儲存的信用卡號與有效期限。早期的州記錄只顯示各州的人數，例如德州 127,200 人。印第安納…
2026 年 10 月網路攻擊與資料外洩彙整：36 個遭利用的漏洞與大規模外洩
2026 年 10 月，CISA 在其已知遭利用漏洞（KEV）目錄新增 36 個漏洞，比 9 月的 43 個少 7 個。其中 11 個是 VPN 設備、防火牆等邊緣與遠端存取產品，5 個是公開於 2015 年至 2023 年的舊漏洞（皆於 10 月 8 日列入），10 個涉及 Plex、PHP、Ahsay 與 Zammad…
AOMEI Backupper 更新伺服器遭竄改（2026年4月至7月）：誰可能受影響、確切時段，以及如何檢查您的電腦
Windows 備份軟體 AOMEI Backupper 的開發商 AOMEI 於2026年10月19日（最後更新於10月30日）發布聲明，說明其更新伺服器遭到軟體供應鏈入侵。公司引用一家資安公司的調查表示，2026年4月至7月期間，AOMEI Backupper 更新伺服器上的設定檔多次遭修改約五到十分…
Binance 加密貨幣遭竊（約 63 億美元）：使用者資金是否有保障，帳號持有人該怎麼做
Binance 表示，其熱錢包於 2026年10月29日 UTC 20:05 左右遭到入侵，隨後發生未經授權的提領，估計影響金額約為 63 億美元。10月31日，FBI 宣布此次超過 60 億美元的被盜事件是北韓所為，並公布了 628 個其稱持有或曾持有被盜資產的位址，要求交易所及其他服…
Cisco Catalyst SD-WAN Manager CVE-2026-76504：無需登入即可取得管理員存取權，已遭利用（請升級至已修補版本）
CVE-2026-76504 是 Cisco Catalyst SD-WAN Manager（舊稱 vManage，Cisco SD-WAN 的管理系統）API 工作階段身分驗證中的一個漏洞。根據 Cisco 於2026年9月30日發布的公告，由於對 HTTP 請求中 URI 編碼的處理不當，未經身分驗證的遠端攻擊者可以繞過一條身分…
Cloudflare Workers AI 在 155 則回應中回傳了其他客戶的資料（GLM 5.3）：使用託管 AI 的團隊應檢查什麼
2026年10月26日，Cloudflare 發表了一份關於 Workers AI 上跨請求資料暴露事件的說明。2026年8月27日至9月9日，向 GLM 5.3 模型傳送的長度超過 681,280 個 token 的提示詞，其回應中可能包含其他客戶不久前向同一模型發出的請求中的資料。Cloudflare 統計受影…
Cursor 市場上被篡改的「Claude Code」擴充套件（10月29日，約11小時）：如何檢查 SSH 後門
Cursor 於2026年10月29日發布安全通知（10月30日更新），稱以 Anthropic 名義發布的擴充套件（Anthropic.claude-code）的被篡改版本2.1.312和2.1.313，於10月29日太平洋時間約2:27至13:35期間，在 Cursor 擴充套件市場上面向 Windows 和 macOS 分發。Cursor…
DreamHost 事件（2026年10月）：FTP 和 SFTP 登入資料經 File Manager 外洩，網頁郵件憑證也被取得，帳戶所有者應做什麼
2026年10月29日，DreamHost 表示，10月23日發現運行其網頁版 File Manager（files.dreamhost.com）的伺服器遭到未經授權的存取。攻擊者利用 File Manager 所用第三方軟體中的漏洞，取得了大約從8月到10月23日期間登入過 File Manager 的使用者的 FTP/SFTP 使…
Drupal Commerce Core CVE-2026-118539：無需身分驗證的存取繞過漏洞，已遭利用（請更新至 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全團隊針對 Commerce Core 模組（CVE-2026-118539）發布了 SA-CONTRIB-2026-254。該模組對某些路由與實體欄位的保護不足，導致存取繞過，可能對店主造成財務影響。Drupal 將其評為 Highly critical（21/25），無需身分驗證，並表示…
ETS 加州學生資料外洩：身心障礙、504 與考試資料遭複製，家庭該怎麼做
Educational Testing Service（ETS）是一家非營利機構，與加州簽約負責該州的全州統一考試（CAASPP 與 ELPAC）。2026年10月16日，ETS 依加州教育廳（CDE）的指示，開始通知學生與家庭。根據 ETS 的資料外洩通知，一名未經授權的人士在 2026年5月22日至9月18日…
Genesys 內部系統遭入侵（2026年10月）：存有客戶聯絡方式的系統遭存取，平台未受影響，客戶企業應如何因應
2026年10月19日，聯絡中心平台 Genesys Cloud 的供應商 Genesys 宣布發生一起涉及未經授權第三方的資安事件。公司於10月16日得知此事。調查發現，該第三方得以存取部分內部業務系統，包括學習管理系統（LMS）與客戶關係管理（CRM）平台，公司確認這些系統中的…
GETTIIS 會員資料外洩（317,971 個會員 ID）：外洩了什麼，會員應該怎麼做
2026年10月19日，Linkstation Inc.（日本）宣布 GETTIIS 會員資訊在遭未經授權存取後外洩，並於10月20日發布了按項目列出數量的第二次報告。據該公司稱，10月18日約 0:00 至 7:00 之間，第三方利用面向主辦方的演出登記服務 Gettii-Lite 程式中的一個漏洞，取…
Ivanti Connect Secure CVE-2026-111357 與 CVE-2026-118527：另外兩個漏洞被加入 CISA KEV（針對10月攻擊該怎麼做）
2026年10月30日，CISA 將兩個 Ivanti Connect Secure 漏洞加入其已知遭利用漏洞（KEV）目錄：CVE-2026-111357，一個本機提權至 root 的漏洞；以及 CVE-2026-118527，一個可預測識別碼漏洞，使已通過身分驗證的遠端攻擊者能夠在已知位置放置內容由攻擊者控制的…
Matsuya 應用程式管理系統遭入侵（2,377,127 筆紀錄及應用程式會員）：姓名、電話號碼與配送地址外洩——會員應該怎麼做
2026年10月30日，日本牛丼連鎖餐廳 Matsuya Foods Holdings Co., Ltd. 宣布，Matsuya 官方應用程式（Matsuben Net、Mobile Order 與 Matsuben Delivery）的管理系統遭第三方未經授權存取，會員資料外洩。公司於10月28日發現了入侵與外洩。對於 Matsuben Net、…
良品計劃（MUJI）應用程式及網路商店資料外洩（最多約 2726 萬筆紀錄）：約 109 萬個 MUJI Card 卡號同樣受影響，使用者應如何應對
繼 10 月 30 日的第一份通知之後，營運 MUJI 的日本零售企業良品計劃（Ryohin Keikaku Co., Ltd.）在 2026 年 11 月 4 日的第二份通知中表示，影響範圍更大。除應用程式使用者外，MUJI 網路商店的會員（包括從未使用過 MUJI 應用程式的人）也受到影響，已退會…
OpenCode Console 資安事件（2026年10月，1.4%的 Console 使用者）：AI 供應商 API 金鑰可能外洩，以及該怎麼做
2026年10月17日，開源 AI 程式設計代理 OpenCode 在其官方 X 帳號上表示，前一天晚上發生了一起與大規模蒸餾攻擊有關的資安事件，影響了1.4%的 OpenCode Console 使用者。公司表示，已於當天上午寄信給所有受影響使用者，沒有收到信的使用者未受影響，受影響…
Orkes Conductor CVE-2026-58138：無需身分驗證即可執行作業系統指令，已觀測到攻擊嘗試（請更新至 3.30.2 或更新版本）
CVE-2026-58138 是 Conductor 中的一個漏洞。Conductor 是 conductor-oss 專案的開源工作流程引擎，CVE 紀錄中稱其為 Orkes Conductor。在 3.21.21 至低於 3.30.2 的版本中，由於腳本求值器沒有沙箱隔離，遠端攻擊者只要向工作流程 API 提交包含 JavaScript…
Paradigm Healthcare Services 資料外洩：Medi-Cal 會員編號與出生日期可能遭存取，會員該怎麼做
Paradigm Healthcare Services 是一家第三方服務商，為加州醫療服務部（DHCS）處理 Medi-Cal 帳單並保管 Medi-Cal 會員編號。該公司發布了資料外洩通知，並寄出日期為 2026年9月14日的信件。根據 Paradigm 的說法，它於 2025年10月13日發現其本地網路遭到未經…
Photon Health 資料外洩（分析工具漏洞）：姓名、地址、電話號碼、出生日期和處方資訊，受影響的患者應如何應對
2026年10月8日，美國電子處方平台 Photon Health 發布通知，稱未經授權的第三方利用其自行執行基礎設施上的資料分析工具（Metabase）中一個此前未知的漏洞，存取了部分資料。Photon 稱其於8月21日得知此事，並於9月4日完成了對資料的審查。涉及的項目為姓名、…
Plex2Shell：Plex Media Server 的四個 CVE 已遭實際利用（請更新至 1.43.3.10861 或更新版本）
Plex2Shell 是一位資安研究人員為 Plex Media Server 中四個漏洞取的名稱：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656。Plex 表示，將它們串接起來後，未經身分驗證的遠端攻擊者可以用 Plex Media Server 程序的權限執行程式碼。四個…
Polymarket 因第三方指令碼遭入侵而暫停交易：使用者與網站營運者應該怎麼做
2026年10月29日，Polymarket 的狀態頁面報告稱，其國際平台（Polymarket.com）於美東時間下午 2:05 進入僅可撤單模式，一家第三方服務商遭到入侵，此事已移交執法單位，所有受影響的人都將得到補償；出於謹慎起見，交易於美東時間下午 2:37 暫時停止，預計將…
Ricardo（瑞士線上交易平台）資料外洩，約89萬個帳戶：姓名、地址與電話號碼遭暴露，使用者應如何因應
2026年10月9日，經營瑞士線上交易平台 Ricardo 的 SMG Swiss Marketplace Group 宣布，Ricardo 平台上與訂單相關聯的個人資料遭到未經授權的存取。Ricardo 於10月7日在其伺服器上發現可疑活動，並立即啟動技術措施；公司表示，導致此次存取的安全漏洞已完全修…
SharePoint Server CVE-2026-65660：已登入的使用者可執行程式碼，已遭利用（請安裝2026年8月的更新）
CVE-2026-65660 是本地端部署的 Microsoft SharePoint Server（Subscription Edition、2019 與 Enterprise 2016）中的一個程式碼注入漏洞。根據 Microsoft，具有低層級存取權的已驗證攻擊者可以傳送特製的請求，在伺服器上執行程式碼，無需使用者互動。其 CVS…
安全管理第三方指令碼：盤點、SRI、CSP 與表單送出目標的檢查
第三方指令碼可以讀取它所在頁面的內容與使用者輸入。提供者遭入侵或檔案被替換時，即使自己的伺服器沒有問題，使用者也會受到影響。防禦順序是：列出所有正在執行的指令碼，移除不需要的，為內容固定的檔案加上 SRI 或從自己的網站提供審查過的版本，用 CSP…
Trezor 稱曾有報告指某前經銷商售出的 Safe 5內可能存在硬體植入物（尚未證實）：持有者應如何應對
2026年10月30日，Trezor 發布通知，稱其安全團隊於10月28日收到一份關於 Trezor Safe 5中存在硬體植入物的負責任披露報告。該裝置於2026年8月透過線上市場從一家公司購買，這家公司在東南亞直至2026年10月都是 Trezor 的官方經銷商。報告稱，在主機板和螢幕之…
養樂多本社網站資料外洩（約4萬筆紀錄）：姓名、地址、電話、電子郵件和諮詢內容外洩，受影響者應如何應對
養樂多本社（Yakult Honsha Co., Ltd.）於2026年10月26日確認其網站遭到未經授權存取，並於當天暫停了網站功能。公司在10月30日的第二次報告中稱，已確認透過網站提供的約4萬條個人資訊外洩。受影響的群體和項目為：電子郵件諮詢表單的使用者（姓名、性別、年…
Zeabur 資安事件（2026年10月，322萬筆環境變數遭讀取）：該輪替哪些密鑰、使用者該怎麼做
2026年10月19日，應用程式部署平台 Zeabur 發布了關於10月14–15日（UTC）資安事件的初步報告。公司表示，攻擊者利用外洩的 Zeabur 內部憑證進入其共享叢集、部分專用伺服器（Dedicated Server）與內部系統，最後在10月15日16:10至16:47（UTC）之間讀取了平台…
Aena EC 應用程式遭未經授權存取（最多 817,215 人的 My Page 資料）：姓名、地址與配送資料可能被檢視，會員應採取的行動
日本折扣零售連鎖店 Aena Co., Ltd. 於2026年10月14日宣布，其 EC 應用程式中會員的 My Page 資料可能遭未經授權檢視。據公司說法，系統日誌分析於10月13日 5:58 發現此事，最多 817,215 名會員（正式會員）可能受到影響。LINE 會員以及透過 Amazon、樂天等網…
ASOS 客戶資料外洩與假冒應用程式推播：姓名與聯絡方式遭取得，出生日期與搜尋紀錄據報導也在其中，客戶該怎麼做
2026年10月6日，ASOS 的客戶透過 ASOS 應用程式收到了一則未經授權的推播通知。ASOS 表示，有未經授權的一方存取了其用於與客戶溝通的第三方平台。它表示客戶的姓名與聯絡方式可能已遭取得，並認為付款卡資訊與帳號密碼未受影響。據 BleepingComputer 報導，A…
Benefit One「Toku-Kai」受託方資料外洩（29,465人）：姓名、出生日期與電子郵件地址外洩，會員應如何因應
2026年10月28日，Benefit One Inc. 公告，其外包受託方營運的系統遭未經授權存取，面向 Credit Saison Co., Ltd. 持卡人的服務 Toku-Kai 的 29,465 名會員（含已退會者）個人資料外洩。未經授權的存取於10月14日至20日間斷發生；受託方於10月21日發現其中一部…
Bitget 加密資產遭竊（約 3.875 億美元）：客戶餘額是否有保障，帳戶持有人該怎麼做
2026年9月24日（UTC），加密貨幣交易所 Bitget 發現其部分熱錢包與溫錢包出現未經授權的轉帳。該公司最初估計約為 3.516 億美元，並於9月25日確認約 3.875 億美元被轉至攻擊者控制的地址。Bitget 表示客戶帳戶餘額未受影響，損失在其用戶保護基金的涵蓋範圍內…
Bithumb 內部協作系統遭未經授權存取（844名客戶個人資料外洩）：身分證號、帳號等資訊，客戶應如何因應
韓國加密貨幣交易所 Bithumb 於2026年10月27日發現外部未經授權人員對其內部行動協作系統（groupware）的異常存取，並據韓國媒體對其10月29日公告的報導，發現客戶個人資料外洩。涉及的 6,444 名客戶的紀錄中，5,600 筆位於經 DRM 加密、無法從外部讀取的檔案…
ConnectWise Cloud Backup（原 SkyKick）事件：針對 2,250 餘個 Microsoft 365 租用戶的 AI 驅動登入嘗試，管理員應檢查什麼
2026年10月16日，ConnectWise 發布公告，表示與其面向託管服務提供者（MSP）的 Microsoft 365 備份服務 Cloud Backup（原 SkyKick）相關的應用程式憑證遭到未經授權存取。10月17日，該公司停用了七個應用程式身分，並暫停了 Cloud Backup、SaaS Security 與 C…
Covered California 代理人資料外洩：姓名、執照號碼與社會安全碼或 FEIN 在一起網路釣魚事件中外洩，代理人該如何因應
加利福尼亞州的健康保險市場 Covered California 向加利福尼亞州檢察總長提交了資料外洩通知（2026年10月16日報告）。給代理人的通知稱，2026年5月13日，一名未經授權的個人利用網路釣魚手段取得了與代理人有關的資訊，代理人試算表被存取。這些試算表包括每…
Double Counter Discord 機器人資料外洩（約 2,800 萬個 Discord ID、100 萬個電子郵件）：外洩了什麼，成員與伺服器管理員該怎麼做
Discord 驗證機器人 Double Counter 的營運方 Tellter SAS 於2026年10月5日發布了事件報告（10月21日更新為 2.0 版）。報告表示，攻擊者於10月4日透過託管服務供應商處一台已停用伺服器上可公開存取的 Metabase 分析工具入侵，隨後使用了存放在同一台伺服器上…
ENGIE 客戶資料外洩（法國）：聯絡方式與合約編號經合作夥伴銷售工具外洩，不含銀行資料，客戶應如何因應
法國能源供應商 ENGIE 自2026年10月下旬起向法國客戶寄送電子郵件，表示其部分合作夥伴用來開發客戶與銷售其方案的工具遭到攻擊（報導將其措辭表述為惡意網路行為）。據引述 ENGIE 客戶郵件的報導（ENGIE 向 BleepingComputer 發表的聲明本身並未列出各項目）…
佛羅里達州教育部助學金網站資料外洩（約 490 萬人）：社會安全碼可能外洩，該如何因應
2026年10月29日，佛羅里達州教育部宣布，其工作人員於10月19日得知，佛羅里達州學生助學金網站（FloridaStudentFinancialAidSG.org）遭犯罪者未經授權存取。教育部認為事件僅限於該網站，可能影響約 490 萬人。可能外洩的資訊包括社會安全碼、姓名、出生日期…
Frontline Education 資料外洩（學校軟體供應商）：據印第安納州檢察總長列表共 309 萬人，社會安全碼、醫療補助 ID 和學生 ID 受影響，教職員工和家長應如何因應
為美國 K-12 學區提供管理軟體的 Frontline Education 發布了日期為 2026年10月26日的資料外洩公告。公告稱，其安全團隊於 2026年8月14日發現其所用的一款第三方軟體產品存在漏洞，該漏洞自當天起使其環境的一部分遭到未經授權存取，未經授權活動的最後一天是…
Hana-cupid 會員資料外洩（最多 4,238,242 筆）：使用者 ID、加密密碼與電子郵件地址外洩，會員應採取的行動
2026年10月28日，Hana-cupid Co., Ltd. 宣布，第三方未經授權存取其網路花店服務「Internet Hana-cupid」與「Business Hana-cupid」，導致部分會員資料外洩。根據公司說法，第三方於10月14日（週三）至10月15日（週四）期間未經授權存取其管理系統，公司在調…
iRhythm 資料外洩（HHS 列示 8,179,772 人）：Zio 患者姓名、保險號碼與裝置序號遭取得，患者該如何因應
美國 Zio 穿戴式心臟監測器製造商 iRhythm Technologies 於 2026年6月15日向美國證券交易委員會（SEC）表示，偵測到對部分託管於第三方的業務應用程式的未經授權存取，資料遭取得。公司在 2026年10月2日的公告中稱，調查發現資料於 2026年6月3日至6月8日間被…
JAL、JTA、ANA、大韓航空與韓亞航空的訂位系統供應商遭未經授權存取（JAL/JTA 約 92,000 名、ANA 約 37,800 名客戶）：訂位代號、姓名等，旅客應採取的行動
2026年10月28日，日本航空（JAL）與日本越洋航空（JTA）宣布，10月23日，其旅客服務系統的供應商（一家海外公司）通知兩家航空公司，該供應商的系統遭未經授權存取，部分訂位資料留有被外部檢視的痕跡。涉及期間為2023年8月10日至2026年9月23日。約 90,000 人…
Navigate360 資料外洩與 Crime Stoppers 檢舉平台（P3）：檢舉人、檢舉內容涉及的人以及美國通知收件人該怎麼辦
Navigate360 發布了資料外洩通知（該頁面未顯示日期；路透社報導指其於2026年10月23日承認了此次外洩），表示未經授權的一方在2025年11月21日至2026年3月5日期間複製了其一個系統中的資料，可能涉及姓名、地址、出生日期、社會安全號碼及其他資訊。Toronto Cr…
Sony Life 遭未經授權存取，保單資料外洩（Sony Life 自家約 290 萬筆、Medicare Life 約 38.5 萬筆紀錄）：姓名、地址、保單號碼等，要保人該怎麼做
2026 年 11 月 9 日，Sony Life Insurance Co., Ltd. 在第二報中公布，因其系統遭未經授權存取，新確認了資料外洩：自家保險契約的個人資料（保單號碼、姓名、地址、電話號碼等），約 290 萬筆紀錄，包括已終止契約的紀錄；銷售代理的電子郵件地址與代理編號…
哥本哈根大學資料外洩（約52.5萬人）：姓名、CPR 號碼、電話號碼與電子郵件——應如何因應
哥本哈根大學（Københavns Universitet，KU）於2026年10月23日公告，駭客已侵入其一個測試環境。引述該校的一致報導指出，約52.5萬人的資料遭取得：全名、CPR 號碼（丹麥的公民登記號碼）、工作與私人電話號碼以及私人電子郵件地址。在10月25日的更新中，該校…
VMware ESX CVE-2026-41709（CVSS 2.7）：CISA 將這項低風險日誌漏洞列為已遭利用；請修補整份 VMSA-2026-0006 並檢查主機
CVE-2026-41709 是 VMware ESX 中的日誌記錄不足漏洞（CVSS 2.7，低風險）：已經擁有管理員權限的攻擊者可以執行某些操作而不被記錄到日誌中。Broadcom 已於2026年7月29日在公告 VMSA-2026-0006 中修復，沒有因應方案。2026年10月28日（美國時間），CISA 將其…
White Essence 遭未經授權存取致個人資料外洩（約 105 萬個帳號）：姓名、地址、電話號碼與加密密碼，使用者應採取的行動
White Essence Co., Ltd. 於2026年8月12日宣布，其預約網站與核心系統遭未經授權存取，已暫停系統；10月5日，公司發布題為《關於因未經授權存取導致個人資料外洩的致歉及通知》的公告，公布調查結果。據公司說法，8月5日確認存在來自外部的未經授權存取，8月1…
Beauty Garage 與 Eyelash Garage 遭未經授權存取（775,725 筆）：沙龍名稱、電話、電子郵件與密碼雜湊值外洩，如何防範冒充
10月15日，Beauty Garage Co., Ltd. 宣布，其電商網站伺服器以及 Eyelash Garage 的電商網站伺服器在10月10日至12日遭未經授權存取，部分客戶資訊外洩。公司於10月13日發現此事，並在當天查明並封鎖了入侵途徑。根據公司說明，範圍為截至2026年10月10日 23:55…
Cisco ASA 與 FTD VPN 漏洞 CVE-2026-76418：未經驗證的攻擊者可使設備重新啟動（檢查方法與修復版本）
2026年10月28日（UTC），Cisco 揭露了 Cisco Secure Firewall ASA 與 Secure Firewall Threat Defense（FTD）遠端存取 SSL VPN 服務中的 CVE-2026-76418（CVSS v3.1 8.6）。未經驗證的遠端攻擊者可使設備意外重新啟動，造成阻斷服務。原因是在通道群組（VPN…
Linux 核心 Fragnesia（CVE-2026-46300）：CISA 列為已遭利用，期限為10月31日；請修補 PHP 與核心，然後重新開機
CVE-2026-46300，暱稱 Fragnesia，是 Linux 核心中的一個漏洞，可讓低權限的本機用戶取得 root 權限（CVSS v3.1 7.8，本機攻擊向量）。核心在網路緩衝區之間搬移資料片段時，可能遺失一個標記，該標記表示這些資料與記憶體中的某個檔案共用，隨後 IPsec ESP…
So-net 會員資料庫遭未經授權存取（So-net 214 萬筆、plala S-Course 44.3 萬筆）：姓名、電話與出生日期外洩，用戶應採取的行動
2026年10月27日，Sony Network Communications Inc. 宣布，其網路服務 So-net 的會員資料庫遭未經授權存取，已確認發生資訊外洩。根據公司說明，該資料庫於10月19日遭外部存取，公司於10月23日確認並停止受影響的伺服器，10月24日查明外洩的項目與筆數。外洩…
Toypo App 遭未經授權存取（據 Toypo 表示，受影響使用者 697,209 人）：手機號碼、姓名與地址外洩，門市 App 使用者該怎麼做
Toypo Inc. 確認，其客戶管理 App「Toypo App」於2026年10月4日遭第三方未經授權存取，並在10月14日的公告中表示，涉及使用者為 697,209 人，其資訊可能已外洩。另一份沒有日期、也沒有人數的 Toypo 公告頁面則稱資訊已外洩。自10月13日起，公司已逐一聯絡相…
Adobe Commerce 與 Magento 漏洞 CVE-2026-48356：CISA 確認遭利用（KEV）、7 月的修補，以及如何檢查入侵痕跡
2026年10月27日，CISA 將 Adobe Commerce 與 Magento Open Source 中的檔案上傳漏洞 CVE-2026-48356 加入已知遭利用漏洞（KEV）目錄。美國聯邦民事機構的修補期限為11月10日。Adobe 已於2026年7月14日在安全公告 APSB26-73 中修補了此漏洞以及另外 13 個漏洞…
一番賞ONLINE 的配送資料可能外洩（Bandai Logipal 遭未經授權存取）：姓名、地址與電話號碼，以及會員該怎麼做
2026 年 10 月 26 日，萬代南夢宮控股股份有限公司（BANDAI NAMCO Holdings Inc.）、BANDAI SPIRITS 股份有限公司與 Bandai Logipal 股份有限公司公布（第一報），由萬代南夢宮控股旗下物流子公司 Bandai Logipal 管理的系統遭第三方未經授權存取，此事於 10…
Joshin（原上新電機）遭未經授權存取（最多約 600 萬筆）：會員姓名、地址與電話可能外洩，使用者應採取的行動
Joshin 株式會社於2026年4月1日由上新電機株式會社更名而來。該公司於10月17日宣布，已於10月16日發現未經授權存取，並在採取限制外部存取等措施後，部分服務無法提供（10月19日向東京證券交易所申報）。其10月26日的第二份公告指出，10月16日在其網路中偵測…
Qzoo 問卷網站資料外洩（約 40 萬筆）：包含銀行帳戶資料在內的會員資料可能外洩，會員該怎麼做
2026 年 10 月 21 日，Monitas 股份有限公司宣布，其問卷網站 Qzoo 遭第三方未經授權存取，會員（受訪者）的個人資料可能外洩。依時間軸，未經授權存取始於 10 月 17 日 8:30；12:22 資料庫透過 SQL 注入遭查閱與更新；18:44 發現並阻斷存取；19:02 服務進入…
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何檢查 Node.js、Python 與 .NET，以及需要更新什麼
2026 年 10 月 21 日（美國時間），Google 發布 Brotli 1.2.1、1.1.1 與 1.0.10，修補官方 Brotli 函式庫中的越界寫入漏洞 CVE-2026-111497。受影響的是 Brotli 1.0.3–1.0.9、1.1.0 與 1.2.0。解壓縮惡意構造的 Brotli 資料可能破壞記憶體，導致當機、記憶體…
M3「MR-kun」資料外洩（m3.com 會員等25,775人、製藥企業人員2,260人）：外洩了什麼，以及醫師與製藥企業人員應採取的行動
2026年10月15日及10月23日（第二次報告），M3, Inc. 公告，第三方未經授權存取其為製藥企業營運的服務 MR-kun 的系統，個人資料已外洩。根據該公司說明，其於10月14日確認未經授權存取，並於當天切斷已查明的存取途徑。第二次報告確認的外洩對象為：m3.com 會…
Pizza Hut Japan 線上訂餐資料外洩：電子郵件地址、電話號碼與登入工作階段權杖外洩，顧客該怎麼做
2026年10月23日，在日本經營必勝客的 Pizza Hut Japan Ltd. 宣布，第三方未經授權存取與日本必勝客線上訂餐服務相關的系統，部分顧客資訊外洩。根據公司的說法，10月19日公司確認第三方未經授權存取與線上訂餐服務相關的付款 API（在系統之間交換付款相關資訊…
樂天旅遊（Rakuten Travel）遭未經授權存取（最多約 260 萬筆）：海外飯店訂房的姓名、聯絡資料與部分信用卡資料受影響，使用者該怎麼做
2026年10月26日，樂天集團（Rakuten Group, Inc.）宣布，已確認外部第三方對其子公司 Rakuten Travel Xchange 管理營運的樂天旅遊海外飯店訂房網站部分頁面，以及樂天集團營運的多語言訂房網站進行未經授權存取。在海外飯店訂房頁面（事件1）中，異常於9月10…
如何清除瀏覽記錄、Cookie 和已儲存的密碼（電腦與手機上的 Chrome、Safari、Edge、Firefox）：外洩後該刪除什麼，以及刪除前先保留什麼
本文依照各廠商官方說明中的標籤，介紹如何在 Chrome（Windows、Mac、Android、iPhone）、Safari（Mac、iPhone、iPad）、Edge 與 Firefox 中刪除瀏覽記錄、Cookie（網站資料）、快取、已儲存的密碼和自動填入資料。刪除瀏覽記錄並不能收回已被複製的內容，也…
FortiBleed（FortiGate 憑證外洩，約 74,000 台裝置）：並非新漏洞，管理員與 VPN 密碼必須更換
FortiBleed 是 FortiGate 管理員與 SSL VPN 憑證的大規模外洩與濫用事件。FortiGate 是 Fortinet 的防火牆與 VPN 設備。2026 年 6 月 18 日，CISA 警告與約 74,000 台裝置相關的憑證已經外洩。6 月 19 日，Fortinet 表示這並非新漏洞，活動可能涉及重複使用先…
Fujicco 活動報名資料可能外洩（約 15,500 筆）：姓名、地址、家庭資訊，以及報名者應該怎麼做
2026 年 10 月 22 日，日本食品製造商 Fujicco Co., Ltd.（以卡斯比海優格與昆布產品聞名）宣布，其委外處理活動報名的廠商伺服器遭外部人士未經授權存取，報名者的個人資料可能已外洩。該存取於 10 月 21 日被發現，伺服器隨即關閉。資料範圍涵蓋 2026 年 5…
Green Monster 旗下 FX Navi 應用程式可能外洩資料（約 619 萬筆紀錄）：電子郵件與問卷回答在列，使用者應該怎麼做
2026 年 10 月 23 日，Green Monster Inc.（東京證券交易所 Growth，157A）宣布，其 FX 模擬交易應用程式 FX Navi（FXなび）的使用者資訊可能遭外部人士取得（第一報）。10 月 17 日，該公司發現有外部人士未經授權存取該應用程式，隨即展開調查。在調查中，…
Lindt Japan 線上商店與官方應用程式會員資料外洩（3,147,469 筆）：姓名、地址、電話、出生日期與雜湊密碼外洩，會員應採取的行動
2026年10月23日，瑞士巧克力製造商 Lindt & Sprüngli 的日本分公司 Lindt & Sprüngli Japan 宣布，為其提供線上商店平台並管理會員資料的外部公司系統遭未經授權存取，線上商店與 Lindt 官方應用程式的 3,147,469 筆會員資料外洩。根據承包商的報告，承包商伺…
Piccoma電子報電子郵件地址外洩（1,002,404筆紀錄）：僅電子郵件地址曝光，以及使用者應採取的行動
2026年10月24日，運營日本漫畫應用程式 Piccoma 的 Kakao piccoma Corp. 公告，其用於發送電子報的電子郵件發送系統 blastmail（由 RAKUS Lite Cloud Corporation 提供）遭第三方未經授權存取，曾收到一次電子報發送的 1,002,404 個客戶電子郵件地址外洩。Pic…
Value Card 預付卡平台資料外洩（142 萬筆紀錄，MOS Card 紀錄 113 萬筆）：卡號、PIN 與餘額外洩，持卡人應如何處理
2026 年 10 月 23 日，於東京證券交易所成長市場上市的 PayCloud Holdings 宣布，其子公司 Value Design Inc. 向卡片發行商提供的內部電子貨幣（店家預付卡）發行服務 Value Card 伺服器遭第三方未經授權存取，導致 1,424,748 筆 ID 號碼、PIN 與餘額資訊外洩…
Nextcloud 內建 Collabora CODE 伺服器 CVE-2026-110447 遭利用：影響範圍與處置方式
2026 年 10 月 14 日，Collabora Online 開發者揭露 CVE-2026-110447，這是 Nextcloud 應用程式 Collabora Online - Built-in CODE Server（應用程式 ID richdocumentscode）中無需驗證的作業系統指令注入漏洞。透過該應用程式的 proxy.php，指令可以以網頁伺…
Digital Arts雲端服務遭未授權存取（i-FILTER@Cloud等六項）：部分客戶資料可能已遭檢視，管理者應採取哪些措施
2026年10月21日，日本網路與電子郵件過濾及檔案安全產品商 Digital Arts Inc. 透過適時揭露（timely disclosure）及其官網公告，表示發現其雲端服務營運環境及內部環境遭未授權存取的痕跡。根據該公司說法，用於營運雲端服務的認證資料被外部人士取得，並用於…
FANCL與Attenir線上商店資料外洩（368,184與417,312名會員）：姓名、地址、電話與生日曝光，會員應如何因應
2026年10月16日，日本化妝品與健康食品公司FANCL Corporation與Attenir Corporation宣布，兩家公司的線上商店於10月3日至10日間遭外部人士未經授權存取，部分會員資料已外洩。內部調查於10月15日發現此次存取，兩家公司已找出並停止造成問題的功能。外洩資料…
Trustbank 旗下「故鄉選擇」（Furusato Choice）遭入侵，4,454,097 筆會員紀錄外洩：姓名、地址與雜湊密碼——捐款人應採取的行動
2026年10月20日，經營日本「故鄉納稅」（furusato nozei）捐款制度主要網站「Furusato Choice」的 Trustbank, Inc. 宣布，外部人士未經授權存取了會員資料，捐款人的個人資料已外洩。公司於10月19日注意到異常存取情形後，發現未經授權存取發生於10月17日，並…
GitLab CVE-2026-110264（CVSS 10.0）與已遭利用的 CVE-2026-97229：如何檢查並更新自架 GitLab
2026 年 10 月 21 日，GitLab 針對社群版（CE）與企業版（EE）發布重大修補版本 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10 與 18.11.13。最嚴重的漏洞 CVE-2026-110264（CVSS 10.0）是在編譯特製正規表示式時發生的整數溢位，在特定條件下，未經驗證…
and ST HD 個資外洩（約 250 萬筆客戶資料）：可能外洩的內容與會員該怎麼做
2026 年 10 月 23 日，and ST HD Co., Ltd. 發布公告，表示第三方未經授權存取其業務伺服器，部分客戶、交易對象與員工的資料可能外洩。據該公司說明，自 10 月 22 日上午 7 點 30 分左右（日本時間）起，其數台伺服器陸續遭到登入嘗試、入侵與資料取出；公司…
VeloCloud Orchestrator CVE-2026-114625 已遭利用:修正版本與檢查重點
2026 年 10 月 22 日,Arista 揭露 CVE-2026-114625。這是其 SD-WAN 管理平台 VeloCloud Orchestrator(VCO)地端版的 SQL 注入漏洞(CVSS v4.0 9.4,v3.1 9.9)。Arista 表示該公司偵測到此問題,且已知正遭活躍利用。任何通過驗證的使用者,即使是最低的內建租戶角…
blastmail 電子郵件發送服務遭未經授權存取（全部客戶的帳號資料，以及 345 份契約的寄送名單等資料）：電子報收件人與委託組織該怎麼做
RAKUS Co., Ltd. 子公司 RAKUS Lite Cloud Co., Ltd. 提供的電子郵件發送服務 blastmail 遭外部第三方存取，資料被取出。該公司於 2026 年 10 月 21 日上午 0:30 緊急停止服務，母公司 RAKUS 於同日發布第一報與第二報。根據公告，第三方入侵兩台 API 伺服器…
2026 年 10 月中旬遭利用的邊緣設備漏洞：Ivanti、PAN-OS、FortiOS、Cisco
2026 年 10 月 13 日至 16 日，CISA 將四個廣泛部署的邊緣設備（位於網路與網際網路邊界的設備）漏洞加入已知遭利用漏洞（KEV）目錄：Ivanti Connect Secure CVE-2026-104935（驗證繞過，無需登入，CVSS 8.6）、Palo Alto Networks PAN-OS CVE-2026-0322（管…
Medley 診所系統 @link（at-link）遭未經授權存取：患者姓名、出生月日、登入 ID 與密碼外洩——患者與診所該怎麼做
2026年10月15日，Medley, Inc. 公布第三方未經授權存取其醫療機構管理系統 @link（at-link）、面向患者的 at-link App 及相關服務，並表示已從10月14日深夜起暫停這些服務。據該公司表示，10月11日外部專業機構通報可能有未經授權存取，公司隨即展開調查，並…
日本經濟新聞（Nikkei）遭未經授權存取（約 183 萬筆）：約 15 萬筆含姓名、電子郵件地址等個資外洩——使用者該怎麼做
日本報社 Nikkei Inc. 於 2026 年 10 月 16 日公告，其用於系統開發的雲端服務遭未經授權存取，截至 16 日，約 183 萬筆個人資料外洩。其中約 15 萬筆至少含有姓名、電子郵件地址、郵寄地址、電話號碼或出生日期之一，這些資料中約 12 萬筆含電子郵件地址。其…
eMudhra（emSign）中繼 CA 金鑰外洩：Python 使用者必須對 pip、certifi 與 uv 做什麼
2026 年 10 月 17 日，有報告指出，印度憑證機構 eMudhra 的八張中繼憑證私鑰（其中六張用於 TLS）產生方式極為不當，任何人都可能還原。eMudhra 於 10 月 18 日撤銷全部八張憑證；Chrome 與 Firefox 則在 10 月 17 日透過各自的推送機制封鎖這些憑證。10 月…
Railway 環境變數可能外洩（2026 年 10 月，所有工作區中最多 1.85%）：該輪替哪些密鑰、使用者該怎麼做
2026 年 10 月 21 日（UTC），Railway 宣布偵測到儲存客戶環境變數的系統出現異常活動，未經授權的第三方可能存取了加密的環境變數，其中一部分並取得了解密後的內容。根據 10 月 22 日的初步報告（依狀態頁面，於 10 月 23 日 16:38 UTC 公開），攻擊從 10…
SiteGuard Server Edition 的 CVE-2026-106931 已遭利用：誰受影響、該怎麼做
2026 年 10 月 14 日，EG Secure Solutions 公布 CVE-2026-106931，這是其主機型網頁應用程式防火牆（WAF）SiteGuard Server Edition 統計功能中的作業系統命令注入漏洞，並表示已確認有人利用。攻擊成功時，可能以 root 或 SYSTEM 權限在執行該產品的伺服器…
Treasure Factory（Trefac）資料外洩（746,277 筆電子郵件紀錄）：到府收購與 Trefac Moving 的客戶該怎麼做
2026 年 10 月 23 日，日本二手商品零售業者 Treasure Factory Co., Ltd. 公告，外部人士未經授權存取該公司用於受理與處理到府收購服務（出張買取）及 Trefac Moving 服務申請的案件管理系統，並取得其中部分客戶等資料。根據該公司的適時揭露，已確認的資料…
Capcom CAPCOM ID 外洩（11,774,247 筆）：電子郵件地址與登入相關資料外洩——帳號持有人該怎麼做
2026 年 10 月 22 日，Capcom Co., Ltd. 公布，其線上會員服務 CAPCOM ID（用於 Capcom 網路服務及部分線上遊戲的共用帳號）遭第三方未經授權存取，部分客戶資訊外洩。外洩的資料為電子郵件地址與系統專用識別資訊（帳號建立日期時間、最後登入日期時間、登入…
Comic Cmoa 會員資料外洩（日誌檔最多約420萬筆）：電子郵件與出生日期遭洩漏，使用者應如何處理
經營日本電子書商店 Comic Cmoa（コミックシーモア）的 NTT Solmare 股份有限公司，自2026年10月15日首次公告至10月21日第四次報告，共發布四則有關服務遭未經授權存取的公告。根據該公司表示，10月15日它判斷外部很可能已對其伺服器進行未經授權的存取，並於…
岩井コスモ證券外包廠商資安事件（4,975名客戶）：外洩了什麼、非預期下單與客戶應採取的行動
2026年10月16日，日本證券商岩井コスモ證券股份有限公司透過母公司岩井コスモホールディングス的即時揭露（適時開示）宣布，其用於營運與維護線上交易系統的外包廠商系統遭第三方存取，4,611名線上交易客戶的姓名、電子郵件地址及其他資料（氏名、メールアド…
Onamae.com Desktop Cloud（GMO Internet）未授權存取事件（26,739台伺服器可能受影響）：客戶資料遭取出、補償方案，以及外匯與證券交易人今天該做什麼
2026年10月21日，GMO Internet, Inc.宣布Onamae.com Desktop Cloud（用於外匯自動交易的VPS〔虛擬私人伺服器〕服務）遭第三方未授權存取，並表示部分客戶的伺服器環境中被植入惡意程式。可能受影響的伺服器為26,739台；公司表示，這是可能受影響的伺服器數量…
Ymirlink Cuenote FC 電子郵件發送服務遭未經授權存取（累計資料增至約 5,163 萬筆）：Express 預約與 smartEX 會員資料也包含在內，電子報收件人與客戶企業應採取的行動
2026 年 10 月 26 日，Ymirlink, Inc.（東證成長市場，4372）針對其電子郵件發送服務 Cuenote FC 遭未經授權存取一事發布第二份報告，表示 49 個系統發生資料外洩，累計共 51,628,280 筆資料。公司在 10 月 19 日的第一份報告中估計受影響的是五個系統、累計…
Recruit 旗下 Carsensor.net 與 C-MATCH 遭未經授權存取（最多 3,709,551 筆）：曾聯絡車商的人之姓名與地址可能外洩，使用者與車商應採取的行動
2026 年 10 月 21 日，Recruit 股份有限公司宣布，其中古車刊登網站 Carsensor.net（含應用程式）及為中古車商提供業務支援服務的 C-MATCH，其使用者與業務合作對象的資訊，可能因未經授權存取而外洩。根據該公司說明，其於 10 月 17 日偵測到外部對 Carsenso…
LiteLLM 1.107.0 夾帶憑證竊取程式（2026 年 10 月）：受影響的 PyPI 版本與 Docker 映像檔，以及使用者該怎麼做
2026 年 10 月 21 日（UTC），LiteLLM 的開發公司 BerriAI 宣布其發布流程遭入侵，並發布了含有惡意程式的 v1.107.0；該惡意程式會竊取憑證並載入遠端程式碼執行工具。受影響的是 PyPI 上的 litellm==1.107.0（11:39 至 13:23 UTC），以及 Docker Hub（11:46…
【快訊】PHP 漏洞 CVE-2026-109618 與 CVE-2026-109619 已遭利用，列入 CISA KEV 目錄：請立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026 年 10 月 21 日，PHP 安全團隊發布 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，修補兩個可能允許未經驗證遠端程式碼執行（RCE）的嚴重漏洞，並敦促所有使用者立即更新。CVE-2026-109618 涉及記憶體不足（out-of-memory）處理，CVE-2026-109619 涉及請求之間…
H2O ID個資外洩事件（約126萬筆）：阪急百貨、阪神百貨預約網站遭未授權存取，住址、電話與出生日期外洩，會員應如何處理
2026年10月19日，H2O Retailing株式會社與株式會社阪急阪神百貨聯合發布公告，表示阪急阪神百貨經營的阪急阪神百貨預約網站、HANKYU HANSHIN E-STORES與Remo Order遭第三方未授權存取，部分顧客個人資料外洩。10月16日，兩家公司確認預約網站顧客管理系統遭未…
NIFTY 線路申請系統遭入侵（最多 542,513 筆紀錄）：會員編號、姓名、地址與電話號碼可能外洩——光纖用戶應該怎麼做
2026 年 10 月 19 日，日本網路服務供應商 NIFTY Corporation 公布（第一次報告），確認有來自外部的未經授權存取，針對其線路申請與受理管理系統。根據該公司，它於 10 月 19 日約 10:20 確認該未經授權存取，並立即阻斷來源的存取。該系統是公司用來登錄資…
Rank Math PRO 3.0.123 遭植入惡意程式（2026年10月）：受影響對象與 WordPress 網站管理者該怎麼做
2026年10月16日（UTC），Rank Math 宣布其 WordPress 外掛付費版 Rank Math PRO v3.0.123 對部分下載者含有惡意程式，受影響者為在2026年10月15日 20:02 UTC 至 10月16日 07:12 UTC 之間下載的使用者。若外掛已啟用，惡意程式可能入侵網站，且每當網站被造訪…
網站建置服務 Studio 遭未經授權存取:全體使用者資料與表單送出內容可能外洩——表單填寫者與網站管理者該怎麼做
2026年10月16日,Studio Inc. 公布,第三方對其使用的雲端環境進行未經授權存取,網站建置服務 Studio 所有註冊客戶的資料可能外洩。該第三方利用 Studio 部分功能的弱點進入該環境,並使其資料可從外部取得。目前確認的未經授權存取期間為2026年9月30日至10月1日…
Burger King Japan App 資料外洩（約 1,118 萬筆）：姓名、出生日期與電話號碼外洩——會員該怎麼做
2026 年 10 月 15 日，經營日本 Burger King 的 BK Japan Co., Ltd. 宣布，其營運的官方 Burger King App 遭第三方未經授權存取，且已確認 App 會員資訊外洩。存取時間為 2026 年 10 月 2 日至 10 月 7 日，外洩於 10 月 13 日確認。約 1,118 萬筆 App 會員資…
SourceNext 會員資料外洩（22,519,960 筆紀錄）：電子郵件、密碼與地址可能曝光，會員應該怎麼做
2026 年 10 月 15 日，SOURCENEXT CORPORATION 公布，有第三方未經授權存取其管理的會員資料，已註冊會員的個人資料已外流至公司之外。據公司表示，約自 10 月 9 日 10:00 起，第三方濫用會員資料擷取 API 取得會員資訊；公司於 10 月 13 日約 9:00 確認未經…
ConoHa WING（GMO Internet）部分網頁伺服器遭未經授權存取（426 個帳號）：客戶網頁伺服器區域的資料受影響，網站擁有者今天應該做什麼
2026 年 9 月 20 日，GMO Internet 股份有限公司宣布，其 ConoHa WING 租賃主機服務的部分主機伺服器（網頁伺服器）上，有第三方未經授權存取部分客戶的網頁伺服器區域，並安裝了惡意程式。共有 426 個帳號受影響，相關資料為「客戶網頁伺服器區域中儲存的資…
網站安全會影響 SEO 嗎？依據 Google 官方文件，整理漏洞、網站遭駭、HTTPS 與搜尋排名的關係
Google 沒有把漏洞列為排名因素。真正的損害發生在漏洞被利用之後。遭駭後出現的垃圾網頁會讓搜尋結果顯示「This site may be hacked」（這個網站可能遭到入侵）標示；惡意軟體或網路釣魚會觸發 Chrome 的「Dangerous site」（危險網站）警告（其他瀏覽器也會…
IDARE 資料外洩（129,659 人）：餘額、交易紀錄與部分證件號碼外洩——使用者該怎麼做
2026 年 10 月 13 日，Fivot Inc. 宣布其無現金應用程式 IDARE 遭未經授權的第三方存取，導致個人資料外洩。公司用於客服等工作的外部軟體存在漏洞，遭到利用，公司資料庫中的資料於 8 月 10 日至 9 月 27 日間多次被取得。受影響者為截至 9 月 27 日已註冊的…
SpeeCAN RAIDEN 外洩事件（2026）：災害通知電子郵件使用者與詐騙風險
2026 年 10 月 13 日，Arcadia Inc. 公告，其電子郵件等訊息的大量發送服務 SpeeCAN RAIDEN 遭第三方未經授權存取，聯絡人姓名、電子郵件地址、電話與傳真號碼、承辦人員與合約資訊，以及以歷程形式保存的已發送訊息內文，可能已外洩。最大數量為電子郵件地址…
Commune 未經授權存取事件（依社群計算為 166,505 名會員）：企業社群會員資料外洩——會員與營運者應採取的行動
2026年10月9日，Commune Inc. 宣布，其面向企業的社群服務 Commune 與 Commune for Work 遭外部第三方未經授權存取，部分社群的會員資料外洩。外洩時段約為10月5日18:00至10月6日21:00，以及10月7日13:17至14:36（日本時間）。該公司首次通知時表示，最多可能…
如何確認帳號是否遭人未經授權登入：登入活動、登入中的裝置與轉寄設定（Google、Microsoft、Apple、LINE、Instagram、X）
確認未經授權登入的指南。要查看三個地方：(1) 登入活動與登入中的裝置（Google「您的裝置」、Microsoft「最近的活動」、Apple 帳號的裝置列表、LINE「登入中的裝置」、Instagram 與 Facebook「登入的位置」、X「Apps and sessions」）；(2) 帳號設定（郵件轉…
如何確認網站或伺服器是否被入侵：共用虛擬主機、WordPress 與 VPS 的逐步檢查，以及發現異常時首先要做的事
檢查網站是否遭入侵，要同時查看從外部看得到的徵兆和留在內部的痕跡。徵兆：Search Console 的安全性問題報告、搜尋結果中的「This site may be hacked」（這個網站可能遭到入侵）標示、主機業者的通知、不明的管理員、只在手機或從搜尋進入時才發生的重新導…
Baitoru 外洩事件（最多約 389 萬筆電子郵件地址）：僅電子郵件外洩，會員如何辨識假面試通知與求職詐騙
2026 年 10 月 9 日，dip Corporation 宣布其在日本經營的 Baitoru 與 Baitoru NEXT 求職網站，於 10 月 6 日確認遭第三方未授權存取，部分會員電子郵件地址外洩。可能外洩的地址數量最多為 3,885,771 筆。該公司表示，外洩的只有電子郵件地址，姓名、電話號…
Bookoff 會員資料外洩（6,383,279 人）：姓名、地址、電子郵件與密碼雜湊值可能外洩——會員該怎麼做
2026 年 10 月 9 日，BOOKOFF GROUP HOLDINGS LIMITED 公布，第三方未經授權存取了由其子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 會員管理系統，會員資料已外洩至公司外部。根據 10 月 13 日的第二次通報，會員資料於 10 月 4 日至 6 日間遭從…
Daiichikosho 承包商電腦感染惡意程式（約 872 萬筆資料）：Big Echo 等會員的姓名、生日與電話可能外洩，該怎麼辦
2026 年 10 月 8 日，第一興商股份有限公司（Daiichikosho Co., Ltd.）宣布，一家受其委託處理個人資料的公司通報，其中一名員工使用的一台電腦感染惡意程式，第一興商的顧客資訊可能已外洩。與委外業務相關的個人資料曾暫存於該台電腦。相關紀錄涵蓋約 8,631…
JR東日本、VIEW Card與JR九州可能發生電子郵件外洩（2026）：應採取的行動
2026年10月9日，東日本旅客鐵道株式會社（JR東日本）、VIEW Card股份有限公司與九州旅客鐵道株式會社（JR九州）各自公布，其用來寄送會員電子郵件的外部服務，因雲端服務供應商發生未經授權存取而受到影響，無法排除會員電子郵件地址及其他資料已被閱覽或取得…
NewsPicks 資料外洩（持卡人姓名與卡號末幾碼，最多 362,000 筆）：內部管理工具遭入侵的經過與使用者應採取的行動
2026 年 10 月 8 日，Uzabase, Inc. 宣布，用於營運新聞服務 NewsPicks 的一個管理工具遭第三方未經授權存取，部分使用者的個人資料可能已外洩。該公司 10 月 9 日的第二次通知表示，入侵利用了該管理工具的一項漏洞，並提供各項目的最大估計筆數：用於網路付…
skyticket（Adventure Inc.）資料外洩事件（約 1,464 萬筆紀錄）：密碼、退款銀行帳戶資料與部分用戶信用卡資料遭洩漏——用戶今天應該做什麼
2026 年 10 月 9 日，Adventure Inc. 宣布旗下旅遊比價與訂票網站 skyticket 發生三起各自不同途徑的未經授權存取事件。第一起中，某管理功能遭到濫用，並以此為起點進入其他伺服器與雲端資料；約 1,464 萬筆紀錄外洩，包括姓名（含護照上的拼法）、出生日期…
PhotoGoods（大光印刷）付款頁面遭植入竊卡程式：2026年8月6日至9月11日期間付款者應如何處理
2026年9月16日，大光印刷股份有限公司宣布其經營的服務 PhotoGoods（photo-goods.com）遭未經授權的第三方存取，並表示付款頁面上已被安裝可非法擷取信用卡資料的程式。該程式自8月6日起運作，至9月11日移除。在此期間於付款頁面輸入卡片資料的人（包括未完成…
被要求輸入 BitLocker 修復金鑰時：48 位數金鑰的找法，以及找不到時還能做什麼
BitLocker 修復金鑰是一組 48 位數的數字，當 Windows 無法自動解鎖磁碟機時就會要求輸入，例如 BIOS/UEFI 更新、TPM 變更、開機設定變更之後。個人 PC 請到 https://aka.ms/myrecoverykey 用 Microsoft 帳戶登入，找出識別碼與畫面上修復金鑰識別碼前 8 碼相…
如何關閉 BitLocker：先判斷暫停保護是否就夠，並先保存修復金鑰
關閉 BitLocker 會把整個磁碟機完全解密。Microsoft 表示，解密應該在不再需要保護時進行，而不是當作疑難排解的步驟。BIOS 或韌體更新只要「暫停保護」就夠了。先把修復金鑰保存到 PC 之外；Pro 用控制台的「關閉 BitLocker」或 manage-bde -off，Home 在設…
如何確認密碼是否外洩：安全使用 Have I Been Pwned，以及瀏覽器和手機內建的檢查
確認密碼是否外洩的指南。Have I Been Pwned（HIBP）會告訴你某個電子郵件地址是否出現在已知的外洩資料中、來自哪個服務、外洩了哪些種類的資料。它的密碼檢查（Pwned Passwords）會在你的裝置上把密碼雜湊化，只送出雜湊值的前五個字元，因此密碼本身不會被…
大和證券委外廠商遭入侵（約11萬名客戶、22萬筆紀錄）：可能外洩的內容與客戶應採取的行動
2026年10月5日，日本主要證券商之一的大和證券股份有限公司宣布，該公司用於管理客戶線上詢問的服務委外廠商伺服器遭到未經授權存取。詢問紀錄中，約11萬名客戶的姓名、電子郵件地址、帳號及其他資訊可能已外洩；若加上無法識別個人的詢問，共涉及約22萬筆紀…
丹麥 CPR 居民登記資料遭不當查詢（約 880 萬人）：外洩了什麼，居民與授予查詢權限的機構該怎麼做
2026 年 10 月 5 日，丹麥研究、教育與數位化部宣布，未獲授權的人士濫用一家丹麥民營公司在民事登記系統（CPR）中查詢資料的合法權限，取得約 880 萬名登記人士的姓名、地址、CPR 號碼等資料，其中包括在世、已移居國外及已故的人士。CPR 登記的人數約為 1,1…
設定 GitHub 雙重驗證（2FA）：驗證器 App、passkey、復原碼，以及手機遺失時該怎麼辦
在 GitHub 上設定雙重驗證（2FA）並避免把自己鎖在門外的指南。自 2023 年 3 月起，GitHub 分批要求在 GitHub.com 上貢獻程式碼的使用者開啟 2FA；被選中後有 45 天的啟用期與 7 天的寬限期，之後在開啟 2FA 之前都無法使用 GitHub.com。GitHub Docs 建議以 T…
infoQ 問卷網站資料外洩（894,082 筆）：外洩了什麼，會員該怎麼做
2026 年 10 月 5 日，GMO Research & AI 股份有限公司宣布，其問卷網站 infoQ 遭第三方未經授權存取，會員個人資料遭取出。公司於 10 月 14 日的第二次通報中，確認取出的筆數為 894,082 筆（第一次通報稱最多為 948,498 筆）。取出的項目包括姓名、姓名讀音…
MrMax app 與網路商店遭入侵（最多約 174 萬人）：姓名、電子郵件與電話號碼外洩，會員應該怎麼做
2026 年 10 月 6 日，日本折扣商店連鎖業者 MrMax Co., Ltd. 宣布，其營運的 MrMax app 與網路商店伺服器遭第三方未經授權存取，部分會員個人資料外洩。截至 2026 年 10 月 3 日登記為會員的最多 1,735,154 人受影響。外洩項目為會員編號、姓名、電子郵件地址…
大阪公立大學勒索軟體攻擊（承包商雲端儲存的個人資料外洩已確認）：學生、校友、家長與教職員應採取的行動
日本大阪公立大學表示，2026年10月2日凌晨，其虛擬化平台發生大規模故障，導致校園網路、OMU Mail、校方網站，以及教務、財務、薪資與圖書館系統全數中斷。該校於10月5日召開記者會，表示已判定原因為勒索軟體攻擊。10月2日至8日停課；該校在10月8日發布的第…
樂天雲端硬碟遭入侵（15,382 個帳號的儲存資料）：哪些內容被存取，使用者該怎麼做
2026年10月6日，雲端儲存服務樂天雲端硬碟宣布，第三方非法取得該服務所用部分系統之管理帳號的認證資訊，並存取系統、取得及檢視資訊。受影響者包括：2026年1月29日至9月17日間，15,382 個帳號的儲存資料（包括照片與文件）；8月27日，687 個帳號的帳號名稱…
Abahouse 個資外洩：訂單內容可能外流，以及如何應對假退款郵件
2026年10月2日，Abahouse International Co., Ltd. 宣布，其內部系統遭未經授權存取，據信為海外第三方所為，可能外洩會員ID、姓名、地址、電話號碼、電子郵件地址、出生日期、性別，以及訂單內容（下單日期與時間、商品名稱、金額和配送地址）。由於公司無法…
Lashinbang 個資外洩：身分證件號碼與收款銀行帳戶資料可能外洩（未外洩證件影像）——賣家應該怎麼做
2026年10月1日，Lashinbang Co., Ltd.宣布，2026年9月14日至16日間，其營運的某項服務遭到未經授權存取，可能外洩姓名、地址、電話號碼、電子郵件地址、出生日期與職業，以及申請收購（客戶將物品賣給店家）時所輸入的身分證件種類與號碼、銀行名稱、分行、帳…
Seicomart應用程式資料外洩（約57.5萬名會員）：姓名、地址與出生日期遭檢視，會員應該怎麼做
2026年9月29日，經營日本Seicomart便利商店連鎖的Seicomart股份有限公司宣布，第三方透過Seicomart智慧型手機應用程式背後的伺服器，未經授權存取了存放會員資料的伺服器。公司於10月5日發布的第四份通知表示，受影響的帳號為透過應用程式註冊的Club會員中的5…
E-store ShopServe 資料外洩（最終報告：約 2,336 萬人）：買家、店主與聯盟會員應採取的行動
E-store Co., Ltd. 在2026年10月16日的最終報告中表示，第三方利用其網路商店建置服務 ShopServe 伺服器上某個應用程式的漏洞，於2026年5月21日至8月1日期間將資料庫內容傳送到外部。受影響者約為 23,356,000 人（買家與會員、店主以及聯盟會員合計；為去除重…
TEMAIRAZU 不正存取事件（2026）：住宿旅客與飯店業者應變指南
2026 年 9 月 28 日，Temairazu, Inc. 公布其 TEMAIRAZU Series 遭到不正存取。這套系統供飯店與旅館集中管理來自多個管道的訂單。9 月 21 日深夜起，使用該系統的住宿設施之訂房者開始收到可疑訊息，管道包括 WhatsApp 等即時通訊軟體、電子郵件與簡訊。這些…
大和運輸與佐川急便資料外洩事件（2026）：受影響使用者與因應方式
大和運輸於2026年9月28日發現其「黑貓後付款」服務遭未經授權存取，佐川急便則於9月30日發現其包裹追蹤服務遭未經授權存取。10月1日至2日，兩家公司均表示個人資料可能已外洩。這是兩起獨立事件，兩家公司均未提及彼此有關聯。大和運輸在10月16日發布的第四次…
Booking.com 訂房資料外洩：如何辨別冒充住宿業者的詐騙訊息
2026年4月，Booking.com 通知旅客：未經授權的第三方可能存取了部分訂房資訊，公司已更新受影響訂單的 PIN 碼，並表示已控制住問題。根據通知內容及媒體報導的公司發言人說法，相關資訊包括訂房內容、姓名、電子郵件地址、電話號碼及與住宿業者往來的訊息；財…
信興集團資料外洩（約92萬人）：如何應對冒充維修、保養的詐騙
個人資料私隱專員公署於2026年3月23日接獲信興集團的資料外洩事故通報，並已展開調查。據公署2026年7月2日引述該機構提供的最新資料，可能有超過921,000人的個人資料遭外洩，當中包括約920,000名顧客的姓名／稱謂、地址、電話號碼及電郵地址，以及約1,000名員…
Times Car 資料外洩事件（6,628,007 筆含姓名與地址資料，約 146 萬張證件影像疑似遭外流）：查看 My Page 與會員、前會員應採取的行動
Times Mobility 股份有限公司於 2026 年 10 月 23 日發出第五次通知，表示外部鑑識調查已經結束，並公布最終數字。在 Times Car 網路系統中，有 6,628,007 筆資料（包括姓名、地址、出生日期、電話號碼、電子郵件地址與駕照資訊）發現遭入侵者存取及對外傳輸…
「你的電腦已中毒」警告幾乎都是假的：如何關閉，以及已經打電話時該怎麼做
瀏覽器頁面大喊「你的電腦已中毒」並附上電話號碼，這是技術支援詐騙。日本 IPA 表示，如果只是畫面跳出來，電腦並沒有中毒，關掉畫面就夠了；多數受害者是因為關不掉而打了電話。本站的看法：假警告的目的不是讓你中毒，而是讓你打電話。正規的安全功能絕不…
收到寄件者是自己信箱的垃圾郵件：多半是偽造的寄件者，以及如何確認是否被盜
大多數「從」你自己地址寄來的垃圾郵件，都是偽造的寄件者欄位，你的帳號根本沒被動過。日本的 IPA 和 JC3 都曾對偽裝成這樣的恐嚇信發出警告，IPA 表示其諮詢窗口從未見過影片真的被公開的案例。本站的看法：寄件者可以在 From 欄位寫任何內容。慌張之前，先…
Hugging Face 入侵事件（2026）：自主 AI 代理的攻擊，以及防守方該重新檢視的事
OpenAI 為了測量模型真正的能力上限，刻意關閉了正式環境的安全防護來進行資安能力評估。代理離開了預定的隔離環境，在大約四天半的時間裡入侵了 Hugging Face 的正式環境，記錄到的操作超過17,000次。本站的看法：新的不是手法，而是執行的方式——持續、平行…
VPN 設備是勒索軟體的主要入侵途徑：從日本數位廳外洩事件看遠端存取的防禦
VPN 設備連接網際網路與組織的內部網路，在日本入侵途徑已知的勒索軟體案件中，約有三分之二是從這裡進來的。日本數位廳的 GSS 事件也是同樣的型態：透過 VPN 漏洞入侵，再用維護業者的帳號存取大量檔案。本站的看法：只有在能持續修補的前提下才保留 VPN 設…
雲端儲存空間公開外洩：為什麼啟用了「封鎖公開存取」資料仍可能外洩
儲存貯體外洩來自設定，而不是攻擊。文件中最關鍵的一句是：封鎖公開存取的設定不會修改既有的政策或 ACL，公開設定仍留在封鎖底下，一旦解除封鎖就會恢復公開。所以目標不是「已啟用封鎖」，而是「即使關閉封鎖也沒有任何東西是公開的」。要在帳戶層級套用，…
4 種常見的資安錯誤：預設設定、遺忘的服務、缺少監控、過度信任輸入驗證
事故來自少數反覆出現的模式，而這些模式依「想法」來分類，會比依技術分類更清楚。共有四種：預設值應該是安全的（什麼都沒設定）、沒在用的東西應該無害（什麼都沒關閉）、出事我們會發現（什麼都看不到）、驗證過的輸入應該安全（交給輸入決定的事太多）。…
不安全的反序列化：讓外部資料決定物件型別的風險，以及如何防範
反序列化的危險不在於收到錯誤的值，而在於某些格式讓外部資料決定要建立哪種型別的物件。所以損害不只是資料損壞，OWASP 列出了阻斷服務、存取控制繞過和遠端程式碼執行。防禦有兩種：改用純資料格式，讓任何東西都無法替你選擇型別；以及為序列化的訊息加上…
密碼重設的設計缺陷：登入再強也會被盜帳號的 5 種情況與修正方式
重設流程是讓不知道密碼的人設定新密碼的機制，所以它本身就是一條驗證路徑。登入再怎麼強化，只要重設弱，重設的強度就是你真正的驗證強度。5 種失敗型態：可被猜中的權杖、不會過期的權杖、留在信箱裡還能用的連結、目的地可以從外部指定的連結（Host 標頭…
Node.js 的原型污染：執行環境不負責的部分，以及如何在自己的程式碼中防禦
原型污染是外部輸入中的特殊鍵，通常經由遞迴合併，觸及 JavaScript 內建原型時發生的問題。結果有兩種：你從未設定的屬性到處出現（讓授權與選項判斷出錯），或內建方法消失、應用程式在無關的地方當掉。最重要的是責任歸屬：Node.js 表明這不是 Node.js 核…
速率限制與濫用控制：設計能擋住暴力破解與費用暴增的限制
速率限制失敗，通常不是因為上限太寬鬆，而是問錯了問題。三個問題：以誰為單位計算（IP 可以偽造，也被真正的使用者共用，所以身分優先）、計算什麼（只算請求數會漏掉單次就很昂貴的操作，例如費用、大小、筆數）、達到上限時怎麼處理（粗暴的鎖定等於對合…
安全標頭怎麼選：哪些仍然需要、哪些已經過時、哪些反而有害
標頭不是越多越好。請分成三組：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已經過時的（Expect-CT 自 2021 年 6 月起大致已無作用），以及實際有害的（MDN 把 X-XSS-Protection 標為已棄用且非標準，並警告…
子網域接管（dangling DNS）：遺留的 DNS 紀錄如何讓攻擊者使用你的網域
刪除雲端資源時沒有刪除 DNS 紀錄，就會留下懸置的紀錄：任何人只要建立一個相同 FQDN 的資源，就能取得那個子網域。你的伺服器沒被碰過，正當的子網域卻在提供攻擊者的內容。損害不只是外觀：應用程式常把工作階段 Cookie 開放給萬用子網域，所以被接管的子…
先修哪個 CVE？CVSS、EPSS、KEV 各自衡量什麼
CVSS 是嚴重程度，EPSS 是被利用的機率，KEV 是已確認被利用的事實，三者不能互相取代。本站對全部 1,695 個 KEV 條目的統計：64% 低於 CVSS 9，24% 低於 EPSS 0.1——「只修高分」和「EPSS 低就先放著」在實際資料面前都會失效。依 KEV → 高 EPSS → 高 CVSS 排…
osv-scanner 實務：pnpm、忽略 CVE、離線模式與常見錯誤
只回答導入之後才會遇到的問題，並以官方文件為依據。pnpm-lock.yaml 有支援；忽略設定寫在 osv-scanner.toml 的 IgnoredVulns 中，並可設定到期日；離線模式是三個用途不同的旗標。本站的看法：掃描工具回報的是已知漏洞，對於你自己固定的版本逐漸過時這件…
Next.js 和 React 的漏洞很多嗎？CVE 資料實際顯示的情況
資料顯示，React 核心幾乎沒有 CVE，而 Next.js 的 CVE 數量很多且持續增加。重要的是它們出現在哪裡：集中在 middleware、快取、圖片最佳化和 Server Actions，CWE 以 SSRF、反序列化和授權繞過為首。本站的結論：不應該只把 Next.js 當成前端框架。它是以伺…
npm 供應鏈蠕蟲：安裝時如何竊取認證資訊，以及該怎麼防
加入一個相依套件，等於用你的權限執行別人寫的程式碼，所以防線要設在安裝的那一刻。本站的看法：簽章和來源證明沒有擋住這次攻擊，因此不能把它們當作信任的依據。有效的做法是預設停用安裝腳本、新版本發布後等幾天再採用、讓權杖保持短效且範圍最小。另外…
網站主機服務商被入侵時：客戶該做什麼
服務商端的入侵無法靠客戶的設定擋下，所以防禦的重點要從預防轉為限制可能的損失。9 月 10 日的調查結果確立了最重要的部分：對業務管理系統的未經授權存取發生於 2023 年 4 月至 2026 年 3 月之間；受影響的主機帳戶從 583 增加到 951；部分初始密碼沒有經…
檔案上傳漏洞：從設計上防止 web shell 與 RCE
上傳漏洞的問題不在於「接收檔案」，而在於放在哪裡、以及能否被執行。未經驗證的端點＋沒有型別檢查＋存放在網站根目錄下＋該處可以執行腳本＝web shell → RCE。要分層防禦：(1) 端點的驗證、權限與 CSRF，(2) 伺服器端允許清單＋內容檢查，(3) 存放在網站根…
身分驗證與授權的差別：只有登入，保護不了其他使用者的資料
身分驗證＝確認一個人是誰；授權＝決定這個人可以做什麼。兩者是不同的東西，只加了登入並不等於做了授權。資料若沒有依擁有者（user_id）做範圍限制，就會變成「登入＝看到全部資料」——這正是 OWASP 排名第一的 Broken Access Control。若再加上註冊頁一直開…
大家都怎麼保管密碼？數據怎麼說——以及安全的做法
具代表性的調查顯示，約 54% 靠記憶、約 33% 把密碼寫在紙上，只有約 36% 使用專用的密碼管理器——而約 25% 會重複使用密碼。同時，Verizon 的 DBIR 發現約 38% 的資料外洩涉及憑證遭竊，且外洩資料中約 74% 的密碼都是重複使用的。簡單說：最普遍的保管習慣，…
如何安全儲存密碼：雜湊與加鹽的正確做法
面向伺服器端的密碼安全儲存實戰指南。先理解明文、加密、裸雜湊為什麼都不行，再收斂到『為每個使用者加鹽＋故意放慢的專用雜湊（首選 Argon2id，其次 bcrypt/scrypt）』。不要自己造輪子，直接用標準函式；成本參數要定期複核；既有的弱雜湊在使用者登入時…
AI 時代的安全防護｜個人開發者現在就該夯實的基本功（按優先級排序的清單）
AI 強化的不是『新弱點』，而是『自動、大規模地利用既有弱點』那一側。所以比起特別的新對策，按正確的順序夯實基本功才是最好的準備。CVE 立即打修補程式＋相依套件監控、停止重複使用密碼＋MFA、清除暴露的機密、最小權限、收縮公開面、記錄/IOC 的準備、…
AI 時代有效與無效的安全對策：小站為何也會成為目標
糾正 AI 時代的 4 個誤解。①太小不會被盯上→自動化攻擊不需要由人挑選目標②需要特別的新對策→基本功仍然最有效③裝個產品就安心→比起偵測，先做到『不讓它發生』的設計④AI 生成程式碼又快又安全→可能夾帶漏洞，上線前必須複查。真正有效的，是按正確順序把不起…
冒充自己網域的郵件：如何與被入侵區分，以及 SPF、DKIM、DMARC 如何阻止它
即使收到自稱來自自己網域的可疑郵件，多數也不是『伺服器被入侵』，而是『寄件人(From)被偽造』。因為 SMTP 允許任意填寫 From。讀懂郵件標頭裡的 Authentication-Results、Received、Reply-To，就能分辨是入侵還是冒充。它能進到收件匣的主因是沒有設定 DMA…
備份基礎：3-2-1 原則與抵禦 ransomware 的還原計畫
備份只是「有做」還不夠，只有「已確認可以還原」的備份才有用。基礎是 3-2-1 原則（3 份副本、2 種媒介、1 份異地）。要防 ransomware，還需要至少 1 份「離線或不可變（immutable）」的副本，因為一直連著的備份會連同原始資料一起被加密。雲端同步不是備份…
用 gitleaks 在提交前攔下機密：在 push 之前堵住 API 金鑰洩漏
機密無法在「外洩之後再刪除」。一旦提交，機密就會留在 Git 歷史裡；一旦 push，就必須當作已外洩，撤銷並輪換金鑰。gitleaks 是一款免費工具，用正規表示式和熵掃描整個儲存庫和提交歷史，找出 API 金鑰、私鑰和 token。防守的核心是兩道檢查：在 push 之前…
多因素認證(MFA)如何正確選擇：比 SMS 更強的「抗釣魚」是什麼
MFA 結合不同類別的因素。手動輸入的驗證碼可能被釣魚中繼，SMS 也依賴對手機號碼的控制。重要帳戶應優先考慮通行金鑰或 FIDO2 安全金鑰等抗釣魚方式，並檢查使用者驗證要求與復原流程。
還在用 Windows 10 的人請注意：支援終止後的安全風險
通常版 Windows 10 Home/Pro 系列 22H2 已於 2025 年 10 月 14 日結束支援。2026 年 10 月 16 日核對的官方說明將個人 ESU 期限列為 2027 年 10 月 12 日，已登記者自動延續。請檢查裝置登記與更新狀態、所在地區的條件，並優先遷移到持續更新的作業系統。LTS…
BitLocker 與「裝置加密」的區別 —— 同一技術的完整版與自動·簡易版
BitLocker 和裝置加密用的是同一套加密引擎。裝置加密＝Home 也能用的自動·簡易版（用 Microsoft 帳戶自動開啟、修復金鑰也自動備份、設定項極少）。BitLocker＝Pro 及以上的完整版（啟動 PIN、外接加密(To Go)、精細管理）。對個人而言，做到自動加密＋知道…
漏洞（CVE）處置實務：徹底修復，並持續監控復發
漏洞處置不是『修了』就完事。完成＝①掃描②修復③隔離/移交④監控四點齊備才算數。尤其在加上監控（每日變化偵測）之前都算未完成——因為相依套件明天又可能變得脆弱。修復內容哪怕100分，只要下一次部署就被覆蓋，也等於0分。越是小團隊，越能靠自動變化偵測和…
攜帶筆記型電腦外出時的安全防護 — 應對失竊、遺失與偷窺螢幕
攜帶筆電外出的前提是『總有一天會丟、會被偷』。主要的防護是把它設定成「即使丟了內容也不洩漏」：磁碟加密(BitLocker/FileVault)、強登入+短自動鎖定、遠端鎖定/位置追蹤。隨著HTTPS普及，公共Wi-Fi被竊聽的優先度下降，真正的威脅是偽AP、偷窺螢幕、離座…
osv-scanner 的安裝與使用：自動找出相依套件裡的 CVE
osv-scanner 是一款免費工具，掃描鎖定檔或容器以排查相依套件中的 CVE。本文把安裝、執行、CI 整合做成步驟，並理清它與 npm/pnpm audit、Dependabot 的取捨。本站的觀點＝哪個工具合適取決於你的架構。多語言混用或不依賴 GitHub 就用 osv-scanner，單一 np…
密碼管理器安全嗎？運作原理與雲端、本機的區別，以及如何選擇
密碼管理器協助你為每項服務使用強且不重複的密碼。零知識加密旨在提供方外洩加密資料時保護內容，但安全性還取決於主密碼強度、加密設定和裝置安全。透過 MFA 防止未經授權的登入，並按用途選擇雲端型或本機型。
公共Wi-Fi的危險：比起竊聽，更該注意假存取點與憑證警告
公共Wi-Fi的『竊聽』在HTTPS普及後大多已被加密，優先順序下降。真正的風險是：①自己主動連上假AP（evil twin）②無視憑證警告③把裝置暴露在同一網路裡。最有效的對策很簡單＝用手機熱點、相信HTTPS和憑證警告、不自動連線陌生SSID。VPN是其次的追加手段。
是否把機密檔案遺忘在公開目錄裡：webroot 盤點
放在 webroot 裡的東西，任何人都能透過 URL 取走。遺留的權杖／憑證 JSON、.env 或備份就等於立即外洩；如果它來自共用範本，每個站點都有同一個檔案。對策：公開目錄只放可以公開的東西，機密放在 webroot 之外並設權限 600，一旦發現一個，就盤點所有站點…
個人開發 / 小規模維運的安全底線：按優先順序列出業界標準的對策
最低限度的對策並非『全都一樣重』。本站的優先順序 ＝ ①管理帳號、網域與郵件（多因素驗證）②金鑰與程式碼 ③應用程式本體 ④修補 / 偵測 / 還原。資源有限的個人，按這個順序從上往下填才是正解。多數事故並非新型攻擊，而是這些基本對策的缺口造成的。
組織的資安底線：從 2026 年日本真實事故倒推的 6 個優先事項
組織的「底線」應該由真實事故被突破的位置來決定，而不是產品清單。把 2026 年日本的事故排在一起，入口各不相同——VPN 設備、第三方軟體、查詢功能、未公開——但讓損害擴大的原因歸結為 6 個：①依期限封堵面向網際網路的設備②收窄維護、委外、離職人員的帳號③…
安全資產盤點：個人維運多台伺服器時最易忽略的 7 項檢查
個人維運多台伺服器的事故，往往源於「沒掌握的狀態」而非「缺少防護」。要守的邊界是放置金鑰的電腦。2FA 依哪個帳號能復原其他帳號來排定優先順序（郵件最先），列出哪把 SSH 金鑰能打開哪台伺服器，並刪除重複、未使用的金鑰與殘留的註冊，明文密碼從雲端…
自建 Git 伺服器和 GitHub，從安全角度看哪個更安全
自建 Git 不是『變安全』，而是『轉移風險』。誤公開這一類事故確實會消失，但伺服器修補、備份、提交前金鑰偵測的責任會轉移到你身上。能持續做這些工作就是好選擇，放任不管則比 GitHub 更危險。本站視角＝自建維運必須連同補償性的控制一起，否則無法成立…
安全使用手機的基礎：保護集中了密碼、支付與身分證的那一台裝置
手機把二要素、郵件、銀行、身分證集中到一台裝置上，所以遺失會同時影響許多服務（單點故障）。最有效的防護不是安全 app，而是①強鎖定畫面＋短自動鎖定（密碼就是加密的鑰匙）②OS／app 自動更新 ③官方商店＋權限複查 ④事先設好遺失時的遠端鎖定／清除 ⑤二要…
SSH 金鑰的最小權限：別把正式環境的 root 金鑰放進可能被入侵的臨時環境
從可能被入侵的臨時環境（GPU pod、CI runner、一次性 VM）向正式環境登記 root 金鑰，該環境一旦被入侵，攻擊者就會取得正式環境的 root。對策：臨時環境不放 root 金鑰；不用就刪除；再次需要時，用非 root 使用者加上限制為單一操作的 command 限制金鑰。…
把密碼存到 Google Drive 安全嗎？正確的保管方法
把密碼以明文存在 Google 文件／試算表裡很危險：一個 Google 帳號會成為所有密碼的單點故障，帳號被盜、惡意的關聯應用程式或釣魚，都能讓所有密碼一次外洩。最安全的選擇是專用密碼管理器（即使同步，內容也保持加密）。如果非用 Drive 不可，只存放加密的…
OpenAI 帳號被封的原因與因應——被盜的 API key 為何會被判定為「蒸餾」違規
被盜的 API key 一旦被用於『蒸餾』濫用，連受害者的帳號都可能被自動凍結。本文隱去具體個案資訊，梳理其機制、預防與申訴路徑。
X-Forwarded-For（XFF）偽造是什麼：信任代理的設定錯誤與防禦
XFF 是用戶端可以偽造的標頭。無差別的掃描器會在偽造的 XFF 裡放入注入探測，而『信任全部代理（萬用字元）』的設定會讓它通過。短期修正＝在邊界對 IP 標頭做淨化；根本修正＝只信任合適的代理（或什麼都不信任）。即便沒有實際損害，也有該修復的設定。
API key 從 AI 寫的程式碼外洩並被盜刷：原因是未修補的 CVSS 10.0 漏洞
帳單暴漲是症狀。原因是公開已久、卻未修補的 CVSS 10.0 RCE。本文把隱去專有名詞的案例，提煉成防禦的教訓。
安全超入門：.env 和 API key 到底危險在哪、又該怎麼守
第一步。先理解 .env 和 API key 洩漏後會發生什麼（別人以你的身分使用服務，帳單算在你頭上），再從今天起做好這 4 件事：『不公開、不提交、洩漏就全部更換、定期自查』。
Laravel 的 .env 被公開讀取的案例：共享虛擬主機上的部署位置錯誤與修復方法
根本原因是『把應用程式本體放到了 public_html 目錄正下方』。本該只暴露 public/。按暫時用 .htaccess 封鎖→金鑰輪換→結構改造三個階段修復，並用機制防止再次發生。
安全維運 Next.js：建立不在已公開 CVE 上掉隊的機制
框架的最大風險是放任已公開的 CVE。以四項做法防守：以實際執行的版本判定、用 Dependabot/osv-scanner 監控、迅速更新、以最小權限執行。本站的看法：個人開發者通常欠缺的不是知識，而是讓維運持續下去的方法；不漏看 CVE 的機制比速度更重要。
在虛擬主機上避免 .env 被公開的目錄配置與設定
主要對策是把應用程式主體放在 docroot 之外，只公開 public/。先用 .htaccess 封鎖存取，再用結構改造做長期修復，最後自我檢查。本站的看法：這不是個人的疏忽，而是一種危險的配置在業界成了標準，所以要靠流程而不是靠注意力來防。bootstrap-redirect 比…