本文為學習筆記與模擬作業情境，目的在於把第二單元課程內容與公開新聞案例結合起來分析與分享，不代表來自任何機構或法律意見。所有資料來自公開來源，讀者請基於自身環境與政策評估適用性。
第二單元「威脅與攻擊」涵蓋以下核心：
以下三起事件不僅新近，技術複雜度與影響範圍也大，非常適合用來看資安演進與課程理論如何實際應用。
| 年份／時間 | 事件名稱 | 攻擊類型與技術特點 | 問題 & 教訓 |
|---|---|---|---|
| 2025-09 中旬 | Shai-Hulud NPM Supply Chain 攻擊 | - 一種自動繁殖 (worm-like) 的惡意程式植入 npm 套件中，如 @ctrl/tinycolor 等，被維護者憑證或發佈權限濫用。- 在安裝時的 post-install 腳本 (bundle.js) 被觸發，會試圖蒐集憑證、GitHub token、雲端 credential，並試圖利用維護者憑證注入惡意版本到其他套件。- 攻擊規模超過 180 個套件被確認初期受感染（部分報告指出可能更高）。(Unit 42) |
課堂對應：典型的 supply chain 攻擊 +漏洞 +攻擊者 +風險如何交互。教學洞察：憑證管理（如 npm token, GitHub 憑證）與持續監控變更極為關鍵；依賴不只是外包件或 library，也包括整個 CI/CD 管道與維護者帳號安全。 |
| 2025-09 第三週 | Collins Aerospace 的 MUSE 系統攻擊 / 歐洲機場航班系統中斷事件 | - 此次攻擊針對 Collins Aerospace 提供給多家機場的 MUSE check-in / 值機與行李託運系統。- 自動值機與電子行李托運功能受到影響後，各機場不得不啟用手動流程，導致大量延誤與航班取消。- 涉及多國機場，如 Heathrow、Brussels、Berlin 等，影響航班運營與乘客流程。(Reuters) | 課堂對應：營運中斷型攻擊 +外部依賴 +第三方軟體／供應商風險。教學洞察：即使是非核心後端系統，只要是關鍵用戶流程（如登機、行李），就必須準備備援流程。第三方系統安全審查與 SLA 條款要強，且手動流程／備援方案要預先測試。 |
| 2025-09 中旬／近期 | 零日漏洞與自動化惡意軟體加速攻擊 | - 多起零日漏洞被發現被主動利用，例如 npm 裡被注入惡意程式來執行 post-install 腳本；惡意程式可能透過 GitHub Actions workflow 或其他自動化管道擴散。- 武器化的資料外洩與自動化工具融合，讓攻擊從“單點”擴散成多點、甚至 worm 類型迅速傳播。(sysdig.com) | 課堂對應：Threat vs Vulnerability vs Risk；零日與自動化攻擊對防禦所帶來的壓力；效力與效應的比較。教學洞察：偵測與回應速度是關鍵；工具與流程要設計得能快速發現新威脅／IoC；監控與版本更新機制不能延誤；自動化流程不要忽略安全性設定。 |
攻擊範圍與速度提升
自從供應鏈攻擊／worm 型態被廣泛採用之後，攻擊者能在極短時間內造成廣大影響。這對資安防禦要求從“被動防禦 +定期更新” →“主動偵測 +快速迴應 +自動化控制”轉變。
憑證與維護者權限是弱點核心
在 Shai-Hulud 案例中，攻擊者利用被侵入的維護者憑證來發佈惡意版本。這突顯了維護者身份與權限安全性、憑證輪替／存放安全與最小權限原則的重要性。
供應鏈審查與外部依賴不可忽略
很多應用開發者／企業會依賴第三方套件或服務；Collins 的案例則提醒我們，依賴平台提供商或外部系統的安全可信度與韌性設計也同等重要。
備援 / 手動替代流程為關鍵運營保險
當值機系統被攻擊或不可用時，如果手動流程／替代系統沒準備，就會造成乘客與航班混亂。這是營運韌性的一部分，且必須被納入風險評估。
策略、政策與流程設計也要前置
攻擊發生時，技術往往反應不及時，但如果有預先設計的 playbook、安全框架、第三方風險審查政策、與供應商契約中的安全條款，再與技術練習組合起來，就能把影響降到最低。
當代資安威脅不再只是理論或遠端事件，而是隨時可能影響使用者體驗與營運流程的關鍵節點。Shai-Hulud 與 MUSE 系統攻擊都是提醒。
課程中學到的架構（威脅 + 弱點 + 風險、安全領域、控制框架、攻擊者動機與能力）對理解這些案例非常實用。
建議未來練習／專案方向：
iThome鐵人賽
看影片追技術
看更多
