【防詐柴國際資安與反詐騙新聞】WhatsApp 發出緊急警告，未點擊也可能遭駭！

防詐小幫手 AI
2025年9月2日
讀畢需時 3 分鐘

WhatsApp 發出緊急更新警告：iOS 出現極高風險零點擊漏洞

新聞重點：WhatsApp 發出緊急警告，未點擊也可能遭駭！Meta 警告部分用戶其 iPhone 或 Mac 裝置可能遭利用 CVE‑2025‑55177 零點擊漏洞入侵，甚至未點擊內容亦可能被植入間諜軟體。建議馬上更新 WhatsApp 至指定版本、恢復出廠設定，並啟用 iOS Lockdown Mode 或 Android 先進保護模式。

為何重要：此類攻擊可能讓攻擊者不經用戶動作即取得設備完全控制權，對人權工作者、公民社群等高風險對象尤其致命。

建議：立即升級 WhatsApp 版本，執行完整恢復出廠動作，並啟用系統保護模式強化防護。
CISA 發布 Git 高危漏洞警告：已被實戰操弄

新聞重點：CISA 通報 CVE‑2025‑48384 已在野外遭濫用，Git 子模組配置中的換行字元處理錯誤可能導致隱藏惡意程式執行，要求聯邦政府機構在 9 月 15 日前修補或停止使用 Git。

為何重要：Git 是全球開發流程核心工具，此漏洞可被供應鏈攻擊者利用，廣泛影響政府與企業 CI/CD 系統安全。

建議：儘速更新至修補版本，避免使用不可信遞迴子模組、禁用 Git hooks，全面審查所有子模組設定。
國際聯手偵測並關閉 VerifTools 假證平台

新聞重點：國際執法單位（包括 FBI 與荷蘭警方）聯手取締 VerifTools 平台，該工具曾做為幫助製作假身分證明文件的重要基礎，並涉入多起客服詐騙與加密貨幣竊盜案件。

為何重要：此平台一旦被惡用，可能擴散至社會工程詐騙與身份盜用等多種犯罪用途，根除其影響有助減少全球詐騙事件發生。

建議：提升對假證平台生成技術的防禦意識，建立完善客服核查與身份驗證流程，防止利用假身分進行詐騙。
Supply‑chain 攻擊波及 Zscaler：Salesloft Drift 整合工具導致資料外洩

新聞重點：Zscaler 通報其客戶資料與支援紀錄因供應鏈攻擊遭外洩，源頭為 Salesloft Drift 的整合漏洞導致 Salesforce 被濫用。

為何重要：供應鏈整合若被攻破，不僅單一工具崩潰，更可能造成大量跨平台資料洩漏，企業防護難度倍增。

建議：全面撤銷涉及第三方整合的 OAuth 權杖、檢查不正常的 API 存取、實施最小權限與憑證輪替策略。
南韓學者成為 APT ScarCruft（APT37）最新釣魚攻擊目標

新聞重點：北韓背景駭客組織 ScarCruft 發動「HanKook Phantom」釣魚行動，針對南韓學術與研究人員，散佈 RokRAT 惡意程式以蒐集敏感資料。

為何重要：針對學界與研究機構的攻擊破壞開放資訊交流與信任，也可能影響長期科研成果曝光與國家安全。

建議：加強教育工作者與研究人員針對釣魚郵件識別能力，部署行為分析與端點防護措施，並對關鍵資產進行存取控管與監測。