資安/3C/防詐小百科 - 資安趨勢部落格

重複使用密碼是幫了網路犯罪份子大忙

2013 年 03 月 06 日2013 年 06 月 18 日 Trend Labs 趨勢科技全球技術支援與研發中心

最近Twitter被駭的消息，其中最重要的就是攻擊者大約竊取了廿五萬個帳號內的資料。

Twitter說被取走的資料是「有限度的」 – 只有「用戶名稱、電子郵件地址，連線代碼（Session Token）和加密/加料過的密碼。」他們接著說，他們已經重置了受影響帳號的密碼。所以如果你有受到影響，那應該已經接到通知（我在上週六接到通知）。

你可能會覺得奇怪：到底是發生了什麼事？你該怎麼辦？

雖然Twitter說明被偷了什麼，但如果人們看到「有限度的」，就認為並沒有什麼好擔心而不做任何動作是很危險的。這將會是個錯誤。我們看到這些被偷的資料，其實是會對你其他的帳號帶來危險的，如果你在多個網站上都使用相同的密碼。

被拿走的資料組合起來，可以讓攻擊者能夠去入侵你的其他帳號。如果你已經收到Twitter的通知並且重置了你的密碼，事情還沒有結束。你應該更進一步地去更改任何使用相同密碼的網站。最好是將每個密碼都設成不一樣，可以避免未來發生一樣的事情。

但是除了變更密碼，我會希望有其他種做法，比如密碼管理軟體。

重複使用密碼是幫了網路犯罪份子大忙

雖然我們已經說了很多年，重複使用密碼是有風險的，但是要管理許多組密碼也是件困難的工作，這也是為什麼許多人會使用一樣的密碼。在過去，你可以重複使用密碼而不會遇上什麼太糟糕的事情。網站會好好地保護使用者帳號。

但是這過去的一年顯示出網路犯罪份子開始佔得上風，可以輕易地獲得數以百萬計的帳號資料。在過去的一年，我們看到網站像是LinkedIn、Last.fm、Formspring和Yahoo等的帳號資料被盜。每次只要發生這種情況，任何重複使用密碼的人資料都有被竊的風險。繼續閱讀

想跟你做朋友的是真人還是假帳號 ? Google 圖片搜尋,過濾FB臉書朋友邀請

2013 年 03 月 04 日2021 年 10 月 15 日 Trend Labs 趨勢科技全球技術支援與研發中心

趨勢科技部落格曾介紹過的兩篇文章有趣的手機與 iPad失而復得故事(找回手機只要一張辣妹照片和一把鐵鎚?),和足球隊員和過世的虛擬女友:一張被高中同學冒用的臉書大頭貼,引發的荒謬/激勵故事,如果撿到手機的小偷,沒有相信那個有美女大頭貼的交友邀請;如果前陣子轟動全美的足球隊員跟”女友”交心前,曾利用以下文章的 Google圖片搜尋功能,也許故事結局就會改寫了。

作者：Vic Hargrave

如果你在Facebook或其他社群網路上待過一段時間，你可能收到過那些來自完全不認識人的朋友邀請。即便你的Facebook資料設成只有朋友可以看到，還是可能會發生。因為你的部分朋友可能比你公開更多資訊，所以他們所連結的陌生人可能會看到你的個人資料。

最近，我在趨勢科技的同事，威脅研究員 – Jon Oliver收到來自陌生人的朋友邀請。他想出一個非常簡單的方法來檢查這個想加他朋友人的身分，可以非常好的判斷這是真人還是想試圖騙你的假帳號。

Google圖片搜尋是你的好朋友

進行身分驗證的關鍵是Google圖片搜尋，他們提供讓你可以透過照片來搜尋網路圖片的功能。Google接著會出現所有找到的名字和照片。下面是如何進行的範例。

比方說，你在Facebook或LinkeIn上收到來自Robert Dray醫生的朋友邀請：

Robert Dray醫生的LinkedIn個人檔案上有他的照片。看起來很像真是個醫生，不是嗎？你可能會因為這個原因而想加他朋友。但先讓我們用Google查一下這張照片。你也可以拿這張照片試試看。

滑鼠右鍵點擊上面的照片，或是你所真正收到朋友邀請的對方照片。

將照片儲存到桌面或其他容易找到的資料夾。

打開瀏覽器，進入Google圖片。

點擊圖片搜尋框的照相機圖示，就在藍色搜尋按鈕的左邊。

點擊以圖搜尋框的「上傳圖片」連結。

點擊「選擇檔案」按鈕。

選擇你在第二步裡用來儲存Robert Dray照片的地方。

觀察你從Google得到的名字。

編按:你也可以用”貼上圖片網址”來搜尋,滑鼠移到圖片上方,按右鍵,即可複製圖片網址(如下圖)

這裡只是一些我從Robert Dray醫生照片所找到的結果：

注意到，這些結果沒有提到Robert Dray的名字，如果你看到搜尋結果符合你所期待的名字，那可以相當程度地確認這人是真的。這並不代表你要接受他的邀請，但至少你會覺得比較安心，這人的確是他所說的人。
繼續閱讀

以”你的照片”為餌的點擊劫持（clickjack）最常出現在Facebook、Twitter、Google+

2013 年 02 月 22 日2014 年 07 月 18 日 Trend Labs 趨勢科技全球技術支援與研發中心

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「有沒有看過你的這張照片呀，哈哈」，還包含一個短網址。因為這位朋友是個攝影師，也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息，裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持（clickjacking）是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件，但按下「播放」按鈕並不會真正播放影片，反而是被誘騙到另一個購物網站。

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結，行動瀏覽器帶她到看來像是Twitter的登錄頁面,，即使她覺得很奇怪，為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的，試了幾次輸入帳號密碼，「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了，就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著，看了看手機，凌晨四點半。手機出現訊息通知，有則來自朋友的Twitter私密訊息，問說：「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片？」”哦，不！我做了什麼？”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言，告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站，而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號，發送一樣的垃圾訊息跟惡意連結 – 「有沒有看過你的這張照片呀，哈哈」給所有關注我的人，讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息（Facebook、Twitter、Google+等等），讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性，如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶，並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

如果你懷疑可能中了點擊劫持，馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號，因為它們可能是惡意的，並且會竊取資料。（當你改變密碼時，Twitter會強迫你檢查所有有權限連到你帳號的應用程式。）
如果你有其他重要帳號使用已經被竊取的密碼，要馬上全部更換，而且不要使用相同的密碼。繼續閱讀

如何更安全地使用PDF檔案

2013 年 02 月 19 日2013 年 02 月 21 日 Trend Labs 趨勢科技全球技術支援與研發中心

Adobe Reader最近出現新的零時差漏洞攻擊，不禁會讓人想知道，是否有更安全的方式來使用PDF檔案。答案是肯定的：你可以在使用PDF檔案時降低它的風險。以下是建議的作法:

保持PDF閱讀器在最新版本,使用內建的自動更新功能或直接從廠商網站下載。

首先是每次都必須重複強調的，保持PDF閱讀器在最新版本。許多受歡迎的PDF閱讀器都內建某種形式的自動更新功能，讓你更容易做到這一點。要小心從不知名網站下載來的「更新」，因為常常會出現惡意的版本。使用內建的自動更新功能或直接從廠商網站下載。

這裡先不提那些老生常談的建議，像是不要打開可疑檔案或網站等。現在讓我們假設攻擊已經出現，透過那些看似正常而無法輕易分辨的手法，像是黑洞垃圾郵件攻擊。

你可能會以很多種方式接觸到惡意PDF檔案，但大致來說，可以歸類為在瀏覽器內或不是兩種。瀏覽器內的攻擊是PDF檔案會在瀏覽器中打開，透過外掛程式或瀏覽器本身的功能。漏洞攻擊包就是個讓使用者經由瀏覽器接觸到PDF檔案的例子。

另外一種則是相反地，在瀏覽器以外的攻擊：檔案經由郵件程式或瀏覽器儲存到電腦上，然後用PDF閱讀器打開它。

在瀏覽器內的攻擊，你可以做的就是盡量不要使用外掛程式來開啟PDF檔案。Google Chrome和Mozilla Firefox都可以使用整合的PDF閱讀器而無需依賴於外部應用程式。（Chrome瀏覽器是內建的功能，Firefox則需要下載一個外掛程式）。想要使用這功能，可能需要先關閉PDF閱讀器所安裝到瀏覽器的外掛程式，不同瀏覽器可能有不同的作法。

至於瀏覽器以外的攻擊，經由PDF閱讀器去開啟PDF檔案。一個常見的建議是避免使用Adobe Reader，但這並不是萬靈丹。第三方閱讀器也不能倖免於漏洞攻擊。使用不同的PDF閱讀器只是治標而不治本的作法，並沒有真正提供太多保護。繼續閱讀

從青少年一天的作息,看廣告商如何蒐集孩子們的網路隱私

2013 年 02 月 18 日2013 年 02 月 18 日趨勢科技 TrendMicro

從青少年一天的數位生活作息,看廣告商如何蒐集孩子們的網路隱私 孩子們所貼出的資訊，甚至那些沒有貼出的資訊，像是他們在哪點入、他們喜歡什麼和他們搜尋的東西，對於想賣他們東西的企業來說都是非常有價值的資料。孩子們很容易被操弄，大多數都沒有意識到廣告商在追踪他們，或是他們的資訊會被用來向他們發送精準的廣告。

作者：Anne Livingston和Lynette Owens

孩子們花很多時間上網。他們在網路上找功課答案、一起合作學校專案、分享事物、玩遊戲和看影片。在網路上時，他們可能會覺得自己只跟家人和朋友分享，但許多企業也正在看著。網站和廣告網路透過追蹤工具來記錄孩子和大人們在網路上做些什麼。

華爾街日報發現廣告商收集這些資訊來建立消費者檔案。這些檔案並不包括真實姓名，但幾乎包括其它所有的一切：年齡、口味、愛好、購物習慣、種族、興趣和位置。孩子們所貼出的資訊，甚至那些沒有貼出的資訊，像是他們在哪點入、他們喜歡什麼和他們搜尋的東西，對於想賣他們東西的企業來說都是非常有價值的資料。

Pew研究中心發現，有81％的家長對於廣告商從他們的孩子身上收集多少資訊感到憂心。孩子們很容易被操弄，大多數都沒有意識到廣告商在追踪他們，或是他們的資訊會被用來向他們發送精準的廣告。這些廣告並不只是出現在螢幕上的橫幅。企業們正在開發互動式的廣告，讓孩子們的個人資訊成為廣告的一部分。

一個青少年的數位生活

想了解資料是如何被生成和利用，讓我們來看看一個典型青少年的一天：她在網路上作了什麼，企業們如何追蹤她的活動，以及他們如何使用這資訊以對她行銷：

起床了。檢查社群網路帳號。

在網路上所收集到最個人的資料是孩子自己所輸入的。當他們加入一個網路服務，他們會提供自己的電子郵件、姓名和其他個人資料。在這些服務裡，企業們可能會要求他們填寫問卷調查或是參加問答以收集更多的資訊。

快一點，找找地理作業的答案

當孩子們瀏覽網站，企業們會將稱為Cookie的小文件檔放在他們的電腦上。追蹤公司、資料中介商和廣告網路利用這些Cookie來收集他們在網上做什麼的資訊。柏克萊大學所做關於網站隱私普查的一項研究發現，最受歡迎的網站們平均會放50個第三方Cookie，有一個放了234個。華爾街日報還發現，兒童喜歡的網站會比大人上的網站放更多資料收集技術到電腦上。

寫封電子郵件給老師。

Google會掃描經由他們免費電子郵件服務Gmail所發送的電子郵件內容。他們這樣做的原因，有部分是為了提供垃圾郵件過濾和病毒偵測。他們還會搜尋電子郵件內的關鍵字，以期找出更多個人興趣，並將之加到網路個人檔案。他們現在可以在他們的Gmail服務裡，根據你所輸入或搜尋的事物來提供橫幅廣告。

送祝賀訊息給Facebook好友。

對Facebook訊息來說也是一樣。當孩子們發送訊息給Facebook上的朋友，Facebook會自動掃描他們的訊息來偵測病毒和關鍵字。當孩子們在訊息裡提到某個品牌或公司，就可以出現在他們Facebook的「喜好」上。

坐車上學，用智慧型手機上網。 針對性的廣告也出現在行動裝置上。當孩子們用他們的手機找東西時，資料像是他們的實體位置可以被自動的收集。廣告網路可以知道他們在哪裡，提供他們附近商店的廣告。

找到新的應用程序，並下載到自己的行動設備 行動應用程式會收集各種資料。有些應用程式會收集像是位置、電話號碼和聯絡人等資料。FTC審查了受兒童歡迎的兩百多個遊戲和應用程式，發現許多應用程式會將資料賣給不同的廣告網路。比方說，憤怒鳥應用程式會將資料分享給四家針對行動廣告的公司，兩家行動廣告網路，一家應用程式分析網站和一家廣告最佳化及回報公司。 晚餐後，登入Facebook和逛網頁。 當登錄到Facebook，Facebook會記錄使用者所瀏覽的每一個可以讓人按「讚」的網頁，不管他們有沒有真的按「讚」下去（許多網站都有這樣的功能）。