本日的资安新闻当中，有两则提及骇客攻击出现新的手法，其中，与一般社会大众较为相关的电商网站交易资料侧录攻击，特别值得我们关注。
有研究人员发现，骇客制作了WordPress外挂程式，并在网路犯罪论坛兜售，标榜攻击者能即时取得受害者输入的付款内容，甚至能借此窃取线上刷卡流程所需的动态密码（OTP）。
【攻击与威胁】
骇客针对电商网站下手，从中窃取买家的交易资料屡见不鲜，但如今攻击手法出现变化，而能进一步突破相关防护机制。
根据专精上网安全的资安业者SlashNext观察，有人暗中于俄罗斯网路犯罪论坛向骇客兜售名为PhishWP的恶意WordPress外挂程式，可用来建立几可乱真的付款网页，从而窃取购物者的信用卡号、浏览器中继资料，以及其他个资。
攻击者可入侵一般的WordPress网站，或是自行建置网站来「加装」这项外挂，然后将外挂程式伪装成支付闸道，引诱购物者输入付款资料。但与一般作案工具不同的是，此外挂能将收集到的资料，直接透过特定的Telegram频道即时传送到攻击者手上。
骇客将资安工具用于从事网路攻击的情况不时传出，其中最常出现的是渗透测试工具Cobalt Strike，后来也有滥用Brute Ratel C4（BRc4）、红队演练工具EDRSilencer的事故，如今有人将歪脑筋动到检测应用程式安全的工具上。为了强化软体开发安全，有资安业者开始提供名为界外应用程式安全测试（Out-of-Band Application Security Testing，OAST）的机制，借此在网页应用程式找出弱点，但如今这种机制也被不肖份子滥用，拿来从事恶意套件攻击。
资安业者Socket过去一年发现一种新型态的恶意JavaScript、Python、Ruby套件，其共通点就是滥用oastify.com、oast.fun等OAST检测服务，将敏感资料传送到攻击者的伺服器，而且，他们发现攻击者利用这类工具来窃取资料、建立C2通道，甚至是进行多阶段攻击的情况越来越频繁。
1月3日上午7时45分，传出野柳东北方海域海底国际电缆发生损坏，海巡署淡水海巡队于12时40分接获中华电信报案，初步研判是喀麦隆籍「SHUNXIN39（音译顺兴39）」货轮造成。虽然这艘货轮在喀麦隆注册，但传出所有者是中国公民郭文杰开设的香港捷阳贸易有限公司，因此外界普遍认为这起事故并非单纯意外，疑似中国蓄意破坏。针对这起事故，数位发展部也对相关因应处理作为提出说明。
1月6日数位发展部韧性建设司指出，国家通讯暨网路安全中心（NCCSC）在3日上午9时接获中华电信的通报，由于该公司已启动其他海缆备援，语音电路、网际网路、企业客户服务皆不受影响，并预计于2月3日修复受损的海缆。
其他攻击与威胁
【漏洞与修补】
其他漏洞与修补
【资安产业动态】