2025年12月第一週 資訊安全威脅情資2025.12.08風險情境本報告彙整 2025 年 11 月至 12 月間重大資安事件，包含假冒 Calendly 會議邀請劫持 Google Workspace、瀏覽器擴充功能供應鏈滲透、GitLab 公開程式碼庫洩漏超過 17,000 個金鑰，以及攻擊者欺騙 AI 系統的新手法。提供企業風險評估與防護措施參考，協助強化雲端、瀏覽器與 AI 安全。
CISA推出產業合作平台，旨在加速與業界在新興網路安全解決方案方面的合作2025.12.09組織治理美國網路安全與基礎設施安全局 (CISA) 推出產業合作平台 (IEP)，旨在深化與業界在安全前沿技術上的溝通與合作。IEP 提供產業清晰透明的管道，分享技術簡介和能力概述，幫助 CISA 掌握市場趨勢並應對不斷演變的威脅，共同強化國家韌性。
英偉達的研究表明，智能體人工智慧在攻擊下會失效2025.12.09人工智慧NVIDIA 和 Lakera AI 共同發布了一項全面的智能體 AI 安全與保障框架，旨在解決新型系統中模型、工具和資料互動產生的複雜風險。該框架引入了操作分類法、動態評估方法，並透過 AI-Q 研究助理進行案例研究，以支援業界實現大規模安全部署，同時釋出了超過一萬條攻擊與防禦運行軌蹟的資料集。
ChrimeraWire木馬偽造Chrome活動以操縱搜尋排名2025.12.09資訊安全新型Windows木馬程式ChrimeraWire透過隱藏的Chrome瀏覽器實例，模擬真實使用者活動，惡意操縱Google與Bing的搜尋引擎排名，旨在進行聯盟行銷或SEO操縱。
新版 JS#SMUGGLER 活動透過受感染網站投放 NetSupport RAT 惡意軟體2025.12.09資訊安全安全研究人員揭露JS#SMUGGLER惡意軟體活動，這是一種複雜的三階段網路攻擊，利用混淆的JavaScript和隱藏的HTA檔案，在Windows桌面上秘密安裝NetSupport RAT，以達成完全遠端控制和持久存取。
針對美國大學的長達數月的網路釣魚攻擊使用了超過70個域名2025.12.09資訊安全Infoblox報告揭露一場長達數月針對至少18所美國大學的網路釣魚活動，攻擊者利用開源工具Evilginx執行「中間人攻擊」(AiTM)，成功竊取會話Cookie，繞過多因素身份驗證（MFA）並控制學生及教職員帳戶。
惡意 VSCode 擴充功能在微軟註冊表中投放資訊竊取程式2025.12.09資訊安全微軟Visual Studio Code Marketplace上發現兩個惡意擴充功能（Bitcoin Black與Codo AI），利用DLL劫持技術向開發者電腦植入資訊竊取程式，用於竊取憑證、加密錢包和瀏覽器會話。
如何使用共享訊號框架簡化零信任流程2025.12.10資安管理探討在數位化轉型浪潮中，企業如何運用共享訊號框架 (SSF) 及自動化工具，克服零信任架構實施時面臨的複雜性與工具互通性挑戰。透過詳解身份中心的安全模型、微分段技術，以及如何利用協作平台將非原生支援 SSF 的安全工具整合至持續存取評估 (CAEP) 流程中，本報告提供了一套簡化零信任部署、實現即時風險反應與提升整體安全防護的實務藍圖。