嗨，這裡是《TO》本週資安事件一樣告訴你本週數個與資訊安全有關的新聞事件。
（1）Proton 推出密碼管理器：Proton Pass
瑞士知名的加密電郵服務 Proton Mail 母公司 Proton 宣布推出密碼管理器：Proton Pass。
和 Proton 所有產品一樣，使用者儲存在 Proton Pass 的所有內容都是端到端加密的，包括密碼、電郵地址、URL 等，連 Proton 公司都無法存取使用者的個資。另外，由於解密數據需要用戶密鑰，加上加密操作是在使用者設備端進行，因此即使 Proton 的伺服器遭到破壞，使用者的數據依然是安全的。
Proton Pass 現有桌面瀏覽器擴充功能（適用於 Google Chrome、Mozilla Firedox）、iOS、Android 應用程式版。使用者也可以使用 Proton Pass 作為 2FA 驗證器。
近日，Proton 還達成了一個重要里程碑，其旗下所有產品（包括 Proton Mail、Proton VPN、Proton Drive、Proton Calendar 等等）的註冊用戶數已突破 1 億。
♦ 延伸閱讀：離開辦公室更要注重資安！推薦商業人士 4 個好用 VPN 工具，哪款更適合你？
♦ 延伸閱讀：【台裔科學家打造】你知道 Gmail 蒐集了你多少資料嗎？更隱私的電郵服務 ProtonMail 挑戰巨頭
（2）研究人員：iPhone「鎖定模式」確實可保護記者、維權人士免受間諜軟體攻擊
去年 7 月，蘋果為了擔心成為間諜軟體攻擊目標的 iPhone 用戶（如記者、維權人士）推出了一項新功能「鎖定模式」。近日研究人員指出，這項模式真的能抵禦駭客使用 NSO Group 製造的間諜軟體進行攻擊。
研究人員分析了 iOS 15、iOS 16 中的 3 個新的零日漏洞，其中有 1 個漏洞被「鎖定模式」成功阻止。
由以色列資安業者 NSO Group 開發的 Pegasus 間諜軟體可以透過 Android、iOS 平台或應用程式的零時差漏洞進駐手機裝置，並且存取簡訊、電郵、照片／影片、GPS 資料、行事曆、通訊錄、啟用麥克風／攝影鏡頭，並將資料回傳至遠端伺服器。雖然該業者強調不會販售 Pegasus 予恐怖份子或有犯罪行動的政府，但依然有不少調查指出， Pegasus 被安裝在記者、人權鬥士、異議人士，甚至是政治人物的手機中，儼然成為多國政府的監控工具，2022 年該公司執行長下台，並裁撤 100 名員工。
不過，這類間諜軟體仍然正在持續被濫用。上週亦有研究人員公布報告，發現 NSO Group 競爭對手 QuaDream Ltd 開發的間諜軟體被用來對付至少 10 國的記者、反對派人物與倡議組織，這也顯示類似 iPhone「鎖定模式」的功能，市場上仍然有強烈需求。
更了解鎖定模式：Apple.com
（3）知名 3CX 供應鏈攻擊的原因找到了！來自另一個供應鏈攻擊
近來最知名的 3CX 供應鏈攻擊調查仍在持續，近日調查人員指出，此次攻擊是由另一起供應鏈攻擊所引起的。
3CX 與網路安全公司 Mandiant 合作調查的調查報告中指出，攻擊者藉由 Trading Technologies 公司開發的 X_Trader 金融軟體中的漏洞植入惡意軟體以入侵 3CX。 X_Trader 是交易員用來查看即時和歷史市場的平台，Trading Technologies 已在 2020 年逐步淘汰該平台，但 Mandiant 指出，直到 2022 年，仍可自該公司網站下載到 X_Trader 。
Mandiant 懷疑，Trading Technologies 網站遭到一群由北韓支持的駭客團體所攻擊。調查發現，一名 3CX 員工曾在 2022 年 4 月從 Trading Technologies 網站下載到了受感染版本的 X_Trader 軟體。一旦安裝，該軟體就能在員工的設備中植入後門，並能完全存取受感染的系統，接著透過此存取權限，在 3CX 的網路中橫向移動，最終在其客戶的企業網路中植入惡意軟體、竊取所需資訊。
Google 威脅小組去年的一份調查報告也證實 Trading Technologies 的網站曾經在 2022 年 2 月遭到入侵。
Mandiant 技術長指出，「這對我們來說很值得注意，因為這是我們首次發現軟體供應鏈攻擊能導致另一次軟體供應鏈攻擊的具體證據，這一系列的供應鏈攻擊恰恰說明了北韓駭客不斷增進的網路攻擊能力。」
Mandiant 也指出，與這兩次供應鏈攻擊有關的「更多受害者」可能會在未來幾周或幾個月內陸續出現。
♦ 延伸閱讀：北韓駭客又發動一波「軟體供應鏈攻擊」！企業如何築起資安防護網？
（4）歐盟網路團結法來了！強化歐盟網路安全能力、成員國間的團結
歐盟委員會近日通過了一項關於歐盟網路團結法（EU Cyber Solidarity Act ）的提案，以加強歐盟的網絡安全能力，目標在於提升發現、準備、應對重大網路安全事件的能力，同時加強成員國之間的團結、危機管理和回應能力，預計有助於確保公民與企業所處的數位環境更加安全，並保護醫院以及公共事業等基礎關鍵設施，歐盟委員會稱該法案將能打造「歐洲網路安全之盾」。
（5）《彭博》專文探討日本獨有的資安文化
最後一則新聞也與供應鏈安全高度相關，《彭博》近日刊登一篇文章，探討日本的網路安全問題，並指出該國擁有的全球供應鏈關鍵地位，導致該國的安全問題很有可能成為全球的問題，提醒各國不可輕忽。
有趣的是，該篇文章也介紹了該國「獨有」的資安文化，例如：日本企業在遭受勒索軟體攻擊時，往往能透過「紙本庫存」慢慢將被損壞的數據拼湊回來，並且繼續營運，因此有些企業能不付贖金。
♦ 延伸閱讀：日本網路安全問題，就是全球的問題！《彭博》揭開「製造供應鏈最關鍵角色」日本獨有的資安文化
參考資料：TechCrunch1、Proton Pass、路透社、TechCrunch2、An official website of the European Union、VentureBeat。圖片來源：Photo by Tyler Lastovich on Unsplash
