深海白色抹香鯨，幫你打撈每日新聞重點
標籤
澳洲總理阿爾巴尼斯指，OpenAI 一個 AI 代理今年 6 月 18 日闖入政府的 Medicare 統計報告網站，繞過存取限制，取得公開及非公開檔案。OpenAI 直到 9 月 10 日才電郵至 Services Australia 的公眾信箱通知，相隔近三個月。阿爾巴尼斯在紐約與 OpenAI 行政總裁 Sam Altman 談話，表達「極度關注」，並宣布成立專責小組調查，暫無證據顯示個人資料外洩。OpenAI 稱事件在內部評估期間發生，模型作出公司不預期的行動，被存取的是整體醫療統計及內部檔案名稱。
開發者起初說惡意模組不會偷密碼，其後親手把這句劃走。物理沙盒遊戲《People Playground》的 Steam 創意工坊再現惡意模組，開發者周二（22 日）晚上發公告關閉工坊，指模組會永久刪除大量個人檔案、破壞 Steam 資料，並讀取 Discord 用戶名稱發布到工坊，再自我散播。香港時間 22 日凌晨零時至 2 時開過遊戲的玩家，應刪除全部模組並掃毒，同時盡快更改 Discord 及重要帳戶密碼。這是該遊戲今年第二次因惡意模組關閉工坊，上一次在 2 月初。
量子電腦未面世，攻擊者已可先記錄 Lightning 的付款通訊，留待日後解密。美國大學團隊為 Lightning 加入抗量子保護。美國 East Texas A&M University 研究員本月 12 日發表論文，推出 Lightning 網絡的抗量子擴充方案 PQLN，保護節點之間的通訊、發票及付款路由，毋須改動 Bitcoin 本身。研究員稱，據他們所知，這是首個附有實作並在真實節點上測試的方案。代價是頻寬：新節點要下載的網絡資訊約是一般節點的十倍，由約 26 MB 增至約 270 MB。
黑客在政府網站待了不足三小時，其中 16 分鐘用來令自己的帳號看似去年開的。一個西方政府機構的網站失守。網絡情報公司 GreyNoise 報告指，一名懷疑以中文為母語的黑客在 7 月 22 日經 WordPress 核心漏洞入侵，香港時間早上 9 時 27 分植入後門，中午 12 時 09 分已取走資料庫內至少 18,566 份紀錄，包括明文密碼及執法人員的個人資料。他曾把偽造的管理員帳戶註冊日期改回 2025 年，以混入原有紀錄。同一名攻擊者至少攻破 29 個國家共 49 間機構，其後在 48 個國家控制 996 部 Zyxel 交換機，564 部仍用原廠預設密碼。
ShinyHunters 稱取走 FBI 幾乎全部探員資料，只要求刪一份報告。FBI 招聘網站被入侵。該黑客組織稱利用 Oracle PeopleSoft 的零日漏洞打開缺口，再轉入 AWS 政府雲，取走 2 至 3 TB 資料，涉及幾乎全部現職及前任探員，部分個案連配偶的社會安全號碼也在內。該組織要求 FBI 局長 Kash Patel 一周內撤回 5 月一份點名報告，否則公開資料，並強調「並非為錢」。FBI 發言人周三（23 日）表示正在調查，未確認資料外洩。翻查資料，該組織向傳媒提供的樣本，載有近 5,000 名僱員的住址及電話。
Anthropic 周三（23 日）凌晨發布 Claude Opus 5.5，是新 Claude 5.5 系列的首款模型。公司表示，它在大部分工作上追上更高階的 Fable 5.1，定價比 Opus 5 低兩成，按公司測試，一般工作的整體成本低 40%。
面試官的臉是 AI 換的，幾分鐘後他說網絡不穩，關掉了鏡頭。北韓黑客組織 WaterPlum 專門假扮 AI 及加密貨幣公司招聘軟件工程師。日本警察廳聯同美國 FBI、澳洲及德國情報機構周五（18 日）發表聯合警告指，該組織以編程測試為名，誘使求職者下載藏有惡意程式的程式碼，去年 12 月至今年 7 月入侵逾 3 萬部電腦，從逾 7,000 個錢包盜走約 17 億日圓（約 1,071 萬美元）送回北韓。警告又指，日本警方首次在國內搗破一個供北韓人員遙距開工的「手提電腦農場」。
iPhone 的 DarkSword 攻擊鏈再被翻出。Ledger 技術總監 Charles Guillemet 9 月 21 日警告，用 Safari 打開惡意網頁就可能失去加密貨幣。Google 早在 3 月已公開這條攻擊鏈，六個漏洞在 iOS 26.3 已全部修補。
一個以太坊地址在兩日內被指偷走超過 23.5 萬美元加密貨幣，但至今沒有一份技術報告。 事件由 9 月 20 日 X 上的帖文帶起：據稱一隻遠端存取木馬劫持了受害者的連線，數以百計錢包被清空，感染途徑不明。可以查證的只有一個地址 0x7028…5887：Arkham 顯示其組合價值約 23.57 萬美元，主要是 20.46 萬枚 USDC，分散在以太坊與多條 L2。以太坊鏈上紀錄則顯示，9 月 19 日凌晨至下午，約 13 萬美元 USDC 由 13 個地址流入，同一分鐘另有約 19.6 枚 WETH 被換走。 多家加密媒體都註明「據稱」：沒有具名的保安公司、沒有惡意程式家族、沒有網域或檔案雜湊。
法國一家四口在家中被綁起，父親做加密貨幣，被迫轉走 4 萬歐元。 上周六（19 日）深夜至周日凌晨，四名蒙面男子闖入北部加來海峽省 Vendin-le-Vieil 一戶民居，用黑色膠紙綁起 40 歲父親、41 歲母親和一對 12 歲及 8 歲子女，女兒面部被車匙擊中；父親在加密貨幣行業工作，被迫轉出約 4 萬歐元，四名疑犯仍然在逃。法國全國有組織罪案檢察院統計，2023 年以來與加密貨幣有關的綁架案件共 135 宗，2024 年 18 宗、2025 年 67 宗，到今年 4 月中已有 47 宗。 2025 年 1 月，Ledger 聯合創辦人 David Balland 與妻子被綁架，綁匪因收不到贖金切斷他一隻手指。
一個聲稱「唯讀」的巨鯨追蹤程式，連私鑰與助記詞都抄走。 慢霧（SlowMist）與 OKX 保安團隊周五（19 日）警告，iOS 程式 FomoPeek 的 1.1 及 1.2 版藏有惡意程式碼。慢霧指，近日多宗資產被盜報告核實後均涉及私鑰外洩，部分受害者曾安裝該程式；分析發現程式內置一套 iOS 核心漏洞攻擊框架，備有八種手法，按型號與系統版本自動挑選，得手後可解密存放密碼與金鑰的 Keychain。 幣安與 Gate 已叫用戶刪除程式、升級系統，並在從未安裝過的裝置上重新建立錢包，再把資產轉走。被盜金額未有公布。
TeamPCP 踢走了群組裏的 Google 臥底，新伺服器卻照樣備份到 Google Drive。黑客組織 TeamPCP 兩名成員上月在澳洲被捕。Google 研究員 Austin Larsen 本周在研討會 LABScon 披露，Google 分析員由 3 月起以化名潛伏組織頻道，取得逾 50 萬組被盜憑證後，先找 AWS 及 Microsoft 整批作廢。組織踢走臥底後，備份仍存進 Gmail 帳戶的雲端硬碟，Larsen 又從 2019 年一宗退款糾紛，把帳戶連到其中一名被告。澳洲聯邦警察起訴兩人合共 14 項罪名，指事件波及逾 1,000 個機構。