企業資安 - 資安趨勢部落格

勒索病毒演進深入剖析:商業模式改變背後的誘因 (中篇)

2023 年 04 月 19 日2023 年 03 月 15 日趨勢科技 TrendMicro

本系列三篇部落格深入剖析勒索病毒(勒索軟體,Ransomware) 商業模式的演進 (從早期發展到最新趨勢)。

勒索病毒已經變成一種越來越具破壞力的存在，對所有產業、所有規模的企業都造成危害。如果不了解這種惡意手法背後的傳統，想要對抗它可能會覺得難上加難。

在第 1 篇當中，我們討論了勒索病毒過去的演進，看看勒索病毒集團如何隨著這項威脅的演變而調整他們的手法。本篇將探討網路犯罪集團商業模式改變背後的誘因。

典範轉移的誘因

網路犯罪集團是精明且適應能力強大的一群，他們能快速修正商業模式來因應資安情勢的變化。以下是幾個可能促使他們小幅修正或徹底改變勒索病毒營運方式的誘因：

繼續閱讀

勒索病毒演進深入剖析:從假防毒軟體到多重勒索(上篇)

2023 年 04 月 18 日2023 年 03 月 15 日趨勢科技 TrendMicro

本系列三篇部落格深入剖析勒索病毒商業模式的演進 (從早期發展到最新趨勢)。

勒索病毒(勒索軟體,Ransomware) 目前已成為一種惡名昭彰又極具破壞力的惡意程式型態，對企業機構、政府機關、醫療產業以及核心基礎設施造成嚴重的財物損失。對駭客集團來說，勒索病毒一直是個非常賺錢的商業模式。不過，我們想了解在長期與短期未來當中，有哪些因素可能造成勒索病毒商業模式的改變。

趨勢科技團隊做了一番徹底的研究來了解勒索病毒的未來，分析它們經歷的各種情況：從聚焦風險評估、躲避執法機關，到設法在經營過程當中尋找更好的賺錢機會。

很顯然地，地緣政治事件 (如 2022 年俄羅斯入侵烏克蘭) 是引發變革的誘因之一。除此之外還有：政府祭出更強力的主動防禦策略、逮捕犯罪集團、制定虛擬加密貨幣相關法規來減少洗錢管道等等。我們相信這些情況都有利於建立一個更不利於勒索病毒活動、進而打擊犯罪集團的環境。

勒索病毒的演進

⚠️ 2005-2010年 假防毒軟體：勒索贖金的惡意程式始祖

繼續閱讀

資安主管請注意：勒索病毒再進化的 4 類資安風險

2023 年 04 月 17 日2023 年 03 月 14 日趨勢科技 TrendMicro

未來勒索病毒(勒索軟體,Ransomware) 的商業模式勢必改變，以下四點預測可協助您確保自己的企業不會遭到新型態的網路勒索襲擊。

數十年來，資安領導人和資安長 (CISO) 一直在保護自己的企業免於勒索病毒襲擊，並因應技術的變遷來防範資料竊盜及關鍵系統停機的昂貴風險。然而歹徒總是能想出更多新的招數，如今，全世界的勒索病毒集團似乎正在準備掀起一場革命，好讓他們變得績效更好、更多才多藝、也更危險。

勒索病毒的商業模式將如何演變？

其實，勒索病毒的感染過程只要稍加調整就能輕易地轉成其他類型的犯罪活動。駭客可以轉而從事網路勒索、變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise, BEC)、竊取虛擬加密貨幣，以及操弄股市。事實上，有證據顯示這樣的轉變已經發生。

為了隨時保護企業免於新一代的資安風險，資安領導人應認真思索以下四個勒索病毒可能演進的方向。

如欲進一步了解有關勒索病毒商業模式未來可能的 7 大演變，請閱讀「 勒索病毒商業模式的短期與長期未來」(The Near and Far Future of Ransomware Business Models) 一文。

⭕️ 1. 勒索病毒集團開始幫政府工作

目前已經有勒索病毒集團接受政府招募，將其滲透企業的技能轉而投入正當用途。例如，英國國家犯罪調查局 (National Crime Agency) 就成立了一個計畫來改造青少年駭客，讓他們成為有道德的資安專家。不過，其他國家則對於如何利用這些駭客的工具和技能比較有興趣，而非改造他們。

繼續閱讀

CISO 如何培養企業資安文化來降低風險?

2023 年 04 月 13 日2023 年 03 月 13 日趨勢科技 TrendMicro

想要培養良好的資安習慣，應從獲得全體員工認同開始。看看 CISO 如何培養企業資安文化來降低風險。

「再好的藥，如果人們不願服用或是讓人討厭，也沒有用。」
Anthony Fauci 醫生

資安習慣為何重要？

隨著資料外洩的成本不斷攀升，企業必須隨時維持良好的資安習慣。然而，光採取一些資安控管與程序 (例如使用防毒軟體和套用資安修補) 是不夠的。我們需要改變作法。想要避免資料外洩和資安事件發生，所有可能造成資安措施無法普及或導致資安習慣不良的行為都應該列入考量。

人員通常是防禦的第一線，遠距上班以及大量連網裝置與行動裝置連上不安全的家用網路已經使得企業的受攻擊面因而擴大。Verizon 指出，有 82% 的資安事件都是人為錯誤所引起。此外，Reciprocity 也指出，僅有 55% 的人在家上班時會特別留意網路資安的問題。因此，即使您架設了 VPN 給遠距上班人員使用，如果員工在登入自己的信箱時根本沒有連上 VPN，那一切都是惘然。

這不僅讓企業陷入風險，而且員工也會受到影響，因為昂貴的資安事件很可能導致企業破產或倒閉，員工將因而失業。

繼續閱讀

「Payzero」詐騙與 Web3 資產竊盜手法演進

2023 年 04 月 12 日2023 年 03 月 31 日趨勢科技 TrendMicro

本文探討一種 Web3 詐騙情境：詐騙集團利用假的智慧合約 (smart contract) 攻擊潛在受害者，進而以零元的代價取得其數位資產 (如 NFT token)。我們將此詐騙手法稱為「Payzero」(支付零元) 詐騙。

Web3 是一項擁有龐大獲利潛力的新興技術，能讓人透過各種賺錢方式從數位資產快速致富。Web3 與傳統 Web2 不同之處在於使用者不再只是參與者，同時也是數位資產的擁有者。只不過，Web3 使用者不再透過傳統的使用者名稱和密碼來進行驗證，而是透過使用者持有的一對加密金鑰來簽署交易，透過簽署的方式來確認及認證使用者的動作。

相較於 Web2，這又多了一層複雜性，因為新的典範和認證機制有時並不易理解。在 Web2 中，使用者是透過使用者名稱和密碼來向大型線上服務進行認證。然後，這些服務再負責與第三方應用程式進行驗證程序，使用者必須記住自己在這些服務使用的帳號和密碼。

然而到了 Web3，最重要的登入憑證是使用者錢包的私密金鑰。使用者必須自己執行認證手續，而這手續有時相當複雜，尤其對新手而言。圖 1 顯示 Web2 與 Web3 在認證方式上的差異。