本週資安新聞對中小企業最有感：遠東生技、騰勢兩家公司因委外電商或線上服務廠商遭異常存取而受牽連，顯示供應鏈風險已是日常；OpenSSH 修補可繞過驗證的 SSHole 漏洞，使用 Alpine 或 Docker 映像檔的人要立即檢查。另外，土地增值稅記存暫緩繳納規定，對有併購或分割計畫的企業也值得留意。
中小企業 IT 與 AI
遠東生技電商委外廠商遭異常存取
興櫃公司遠東生技於11月5日公告，電子商城平臺委外廠商順立智慧（Cyberbiz）發生資安事件，資料庫部分資料遭未經授權的異常存取，包含電子商城的訂單及個人資料。公司表示對財務及業務尚無重大影響，但目前無法確認資料是否受影響及涉及範圍，已要求順立智慧儘速釐清。遠東生技也透過會員 EDM、網站及社群平臺發布防詐騙提醒。
對你的意義：若你的網路商店或會員系統由外部廠商代管，現在就向廠商確認資料備份、存取紀錄與事件通報流程，並準備好提醒客戶防詐騙的說明。
來源：iThome
騰勢委外線上服務系統遭異常存取
興櫃保健食品公司騰勢於11月5日公告，委外線上服務系統發生異常資料存取。廠商發現後已阻擋相關行為，騰勢接獲通知後啟動資安應變與調查，並要求廠商儘速確認受影響的系統與資料範圍。公司初步評估對營運及財務沒有重大影響，也已透過網站提醒消費者防範詐騙，並將強化委外廠商資安管理與個資保護機制。
對你的意義：委外合約應明訂資安事件的通報時限與配合調查義務，並定期要求廠商提供資安管理說明，不要等出事才釐清責任。
來源：iThome
NTT Docomo 線上服務遭駭，恐外洩30萬筆個資
NTT Docomo 於11月4日確認 Docomo 線上商店及 My docomo 遭第三方未經授權存取，並於11月5日凌晨暫停相關手續。可能外洩的資訊高達30萬筆，包括姓名、地址、出生日期、手機號碼、聯絡電話等。兩項服務截至當天下午4:00仍未恢復，公司呼籲用戶小心冒充 Docomo 的信件或聯繫。報導指出，此事與上個月 Sony Network Communications 的外洩事件似乎為獨立事件。
對你的意義：客戶資料含生日、地址與電話者，最容易被拿來做詐騙。店家應檢視自家會員資料欄位，不必要的就不要蒐集或長期保存。
來源：iThome
OpenSSH 修補 SSHole 驗證繞過漏洞
OpenSSH 於11月5日發布更新，修補漏洞 SSHole（CVE-2026-123158）。攻擊者在密碼欄位輸入257至1,024個字元的任意字串，就可能登入原本沒有設定密碼的帳號。此漏洞僅影響採用 musl C 程式庫、OpenSSH 未啟用 PAM、且 SSH 密碼驗證保持開啟的 Linux 系統，包含 Alpine Linux、OpenWrt、postmarketOS 及部分 Docker 映像檔。無法立即更新時，可停用 PasswordAuthentication 並重新啟動服務；若登入記錄出現密碼欄位為「*」且有 Accepted password 記錄，應視為可能遭利用並進一步調查。
對你的意義：自行維運伺服器或使用 Alpine 型 Docker 映像檔的公司，今天就檢查 SSH 設定，優先更新套件，或先關閉密碼登入、改用金鑰。
來源：iThome
Claude 推出個人理財功能，可連結銀行帳戶
Anthropic 於11月5日推出 Claude Personal Finance，透過 Plaid 取得使用者授權的銀行與信用卡交易紀錄，讓使用者以自然語言查詢收支。功能可分類支出、與過去數月比較，並找出重複扣款、異常手續費或上漲的訂閱費。本周起先於美國以測試版開放 Claude Pro、Max 及 Ultra 付費用戶。Claude 僅有唯讀權限，無法轉帳或投資，使用者可授權讀取最多兩年的交易紀錄並隨時解除連結，該專區對話不會用於模型訓練。
對你的意義：這類以人工智慧整理銀行交易的做法，未來可能延伸到帳務對帳與記帳作業，記帳士可先觀察，思考如何把客戶授權與資料安全做好。
來源：iThome
稅務與電子發票
企業併購移轉土地，土增稅可記存暫緩
桃園市政府地方稅務局說明，公司進行合併，或進行分割、依企業併購法收購財產或股份且以有表決權股份作為對價並達全部對價65%以上者，移轉不動產時免徵契稅及印花稅。該次土地移轉原由土地所有權人負擔的土地增值稅，可記存於併購後取得土地的公司名下，待再移轉時一併繳納。記存僅是暫緩繳納，若土地另行移轉，或自移轉登記日起3年內，被收購公司、被分割公司或其股東轉讓取得的股份致持有低於原取得對價65%，會被補徵原記存稅額。
對你的意義：協助客戶規劃合併、分割或收購時，要提醒3年內股份持有比例的限制，並在客戶資料中追蹤記存土地與相關期限。
來源：財政部稅務入口網
政策與補助
中油桶裝瓦斯每桶虧損，經部盼預算撥補
經濟部11月6日表示，中油配合政策緩凍漲，桶裝瓦斯每公斤吸收27.25元，高於牌價20.01元，等於賣一桶虧一桶，中油負債比已高達94%。經濟部估算，若中油不吸收，夜市攤商每月瓦斯燃料成本將增加1635元至1萬6350元，自助餐、餐廳則增加3270元至2萬1800元。台電今年也吸收民生用電超過新台幣750億元。經濟部期盼社會支持編列預算撥補中油、台電。
對你的意義：餐飲與攤商應留意：目前的瓦斯價格是由政策吸收成本，若預算未獲通過，未來調價風險仍在，可先估算成本上漲對菜單定價的影響。
來源：中央社財經
能源與製造
華新第3季每股賺1.78元，高壓電纜滿載
華新公布第3季稅後純益79.08億元，年增692.2%，每股純益1.78元，為同期新高；前三季稅後純益205.4億元，每股純益4.63元。公司表示第3季認列權益法投資利益約79億元，推升整體獲利。電線電纜業務受台電強韌電網計畫、半導體擴廠及AI資料中心需求帶動，高壓電纜產能已滿載，台電電網建設需求高峰預估落在2029年至2030年。公司正推進345kV高壓電纜認證，預計2027年取得，高雄海底電纜廠預計2028年開始出貨。
對你的意義：製造業客戶若屬電力、電纜供應鏈，訂單與產能規劃壓力會持續，也是導入生產與庫存管理系統的好時機。
來源：經濟日報
3Q 編輯部觀點
今天最值得中小企業注意的，是三則資安新聞指向同一件事：風險常常不在自己機房，而在委外廠商。遠東生技與騰勢都是委外的電商或線上服務系統被異常存取，公司自己能做的，多半是等廠商釐清範圍、提醒客戶防詐騙。這和我們在電子發票、POS 與記帳士系統的實務觀察一致：客戶最常問的不是系統功能，而是出事時資料在誰手上、誰要通報、多久內要知道。建議店家與事務所在合約裡寫清楚通報時限、資料備份與存取紀錄的提供方式，並定期盤點會員與客戶資料欄位，不需要的就不蒐集，外洩時損失才會小。
OpenSSH 的 SSHole 漏洞則提醒我們，基礎設定仍然重要。受影響的是特定組合：musl、未啟用 PAM、開啟密碼登入，常見於 Alpine 與部分 Docker 映像檔。對自行架設系統的公司，關閉密碼登入、改用金鑰，是成本低又有效的做法。
Anthropic 推出 Claude 個人理財，目前僅在美國測試，但可以看到人工智慧開始接觸帳務與交易資料，授權範圍與資料保護會是導入的前提。至於稅務與政策面，土增稅記存的3年持股條件、瓦斯補貼能否持續，都屬於會直接影響客戶現金流的細節，值得在年底前提早跟客戶討論。
本文由 3Q 編輯部以 Claude 從台灣媒體與官方公告（iThome、財政部稅務入口網、中央社財經、經濟日報）中選題、依原文改寫並加上對中小企業的觀點。各則新聞著作權屬原始發佈者，請點上方連結看原文。