Fake it till you exfiltrate it.

本週資安情報涵蓋六大領域的重要發展。首先在地緣政治間諜活動上，澳洲顧問公司Horizzen成為中國假網站詐騙的受害者。從2025年中開始，該公司收到大量虛假職位應徵，對應的職位實際上從未發佈。FBI在追查過程中查獲13個與中國智能機構關聯的假網站，這些網站使用盜用身分、AI生成頭像與虛構顧問公司來招募掌握敏感資訊的美國國防與政治專家。這個案例凸顯了AI與精密網路冒充如何提升間諜招募效率，促使五眼聯盟呼籲企業與求職者提高警覺。

其次在社群媒體監管方面，Meta正面臨首場聯邦試點訴訟。美國四州控訴該公司故意設計Facebook與Instagram使青少年成癮，並貢獻到青少年心理健康危機。若訴訟成功，四州尋求索賠可能達2000億美元。Meta辯稱已實施青少年保護措施，包括隱私保護與訊息限制，但控方認為公司隱瞞風險。預計6-8週的審期將包括CEO Zuckerberg出庭與內部文件披露，此判決將影響數千起類似訴訟與未來社群媒體監管方向。

在勒索軟體與惡意軟體威脅上，多個高危事件顯示攻擊生態系統演化加速。Windows Task Host漏洞CVE-2025-60710自4月被CISA收錄，上週確認被勒索軟體團幫積極利用，允許本地攻擊者升權至SYSTEM層級。同時，Zscaler發現新型Rust惡意軟體C2Looper，首次於2026年7月觀測，支援遠端指令執行與payload部署，最新變種採用GitHub型C2架構，顯示持續演進。另一方面，WordPress Forminator外掛的CVE-2026-15748漏洞影響60萬網站，約30萬未更新，允許未認證攻擊者上傳惡意shell完全控制網站。

在AI驅動犯罪工具商業化方面，Trellix發現MessiahGPT平台在BreachForums廣告，聲稱提供不受限制的惡意軟體、釣魚內容生成服務。該服務月費$8起、接受加密貨幣、無身分驗證，反映網路犯罪正在AI工具上商業化投資，與DarkGPT、APEX AI等服務並行形成生態。

資料洩露方面，Heights Finance Holdings通知120萬人其個人與財務資訊遭竊，包括姓名、社會安全號、銀行帳戶與政府ID，公司已提供24個月信用監控與身分保護。司法追訴上，一名烏克蘭開發者在瑞士因參與LockerGoga、MegaCortex、Nefilim勒索軟體運作被起訴，檢控方尋求12年監禁與沒收180萬瑞士法郎。

此外，法國政府對EncroChat的駭客行為解密也帶來法律啟示。捷克公司Invasys逆向工程該惡意軟體，發現其利用CVE-2019-2215漏洞與開源Frida工具，以在地方式複製訊息並傳送至警方。英歐律師指出這項技術證據可能對EncroChat證據的法律有效性提出重大挑戰，影響正在進行的上訴案件。