資安/3C小百科 - 資安趨勢部落格

在雲端裡你是哪一種人?該注意些什麼?

2012 年 09 月 07 日2012 年 09 月 03 日趨勢科技 TrendMicro

你已經進入了雲端世界

雲端技術對數位生活來說是重要的下一步。社群媒體、即時通、行動應用程式、網路銀行還有電子商務，這些服務都集中在雲端。將資料掌握在手上總是會讓人感覺比較安心，但網路犯罪分子也可能會侵入這讓你覺得放心的地方。根據預測，基於雲端運算的消費化和行動運用對於資安威脅會帶來很大的改變。

你的數位生活又是如何呢？

快速回顧網路活動

使用搜尋引擎

十個美國人中有九個在網上搜尋過。^註1

電子郵件

全世界有33億個電子郵件帳號。^註2

即時通（IM）

全世界有27億個即時通帳號。

社群網路

在網路上，每五分鐘有一分鐘是花在社群媒體上。^註3

手機使用

到2012年底，估計會有65億個手機號碼。^註4

遊戲

91％的玩家玩線上或行動社群遊戲。^註5

網路購物/電子商務

可支配收入的五分之一都花在網路購物上。^註6

網路銀行

有四分之一的網路使用者會上銀行網站。_註7

網路高手

對你來說，網際網路是訊息來源。你會深入挖掘並善用搜尋引擎去探查每個角落，只為了找到你所要的資料。你會點開來路不明廣告郵件內的連結和附加檔案。曾經收過「限量促銷」的電子郵件嗎？你會急著去點相關連結，甚至打開來路不明的附加檔案。

你會訂閱社群網站上的各種頁面，並熱切地分享新的發現。你經常連上開放免費的無線網路，並且在使用銀行應用程式和其他帳號時會啟動自動登錄。

活動	風險	影響
使用搜尋引擎	偽造或惡意的網站	惡意軟體感染、資料竊取、金錢損失
電子郵件	惡意附加檔案	惡意軟體感染
即時通	被網路犯罪份子所駭的即時通帳號	聊天記錄造成資料外洩
社群網路	讚劫持、假應用程式、垃圾訊息、惡意連結	被自動張貼留言、惡意軟體感染、資料竊取、讓網路惡意份子追蹤到你的所在
行動電話	惡意應用程式、要求過多權限的應用程式	惡意軟體感染、資料竊取、金錢損失
遊戲	無	無
網路購物 / 電子商務	惡意購物網站	劫持購物連線可能會導致資料被竊
網路銀行	釣魚詐騙、偽造網站	網路惡意份子可能會遠端存取銀行資料

商務人士

在現實生活裡有良好的品味，你不習慣使用網路，因為你在現實世界裡已經擁有了一切。「網路只是用來增加生產力的工具」是你的口頭禪。你會在網路搜尋跟自己興趣有關的活動。

不過你常常會拼錯朋友所推薦的網站。你會打開來自不明寄件者的附加檔案和連結，也會被免費促銷活動所吸引。你在社群網站上的隱私設置為「低安全性」，而且在許多網站上都共用相同的密碼。你會在網路上分享許多個人愛好和旅遊活動。你甚至可能會在電話上將個人資料交給自稱是銀行代表的人。你還會購買雲端儲存服務，不是嗎？

活動	風險	影響
使用搜尋引擎	可能會連上偽造或惡意網站	惡意軟體感染、資料竊取
電子郵件	連上垃圾郵件內的惡意連結	惡意軟體感染、資料竊取
即時通	掉進社交工程詐騙或不當內容的陷阱裡	惡意軟體感染、資料竊取
社群網路	假活動或行銷的垃圾訊息攻擊	垃圾訊息
行動電話	落入假/惡意應用程式的陷阱裡	資料竊取、金錢損失
遊戲	無	無
網路購物 / 電子商務	被假銀行網站所騙	金錢損失
網路銀行	社交工程詐騙、假銀行網站	資料竊取、金錢損失

網路名人

你在你的社群網路上是個名人。網際網路對你來說就代表了一切的喜怒哀樂，因為你的生活和情緒波動都在上面。

你經常會拼錯朋友們熱烈討論的新網站。你會點下熱門事件的連結，並且按通知行事，只因為朋友也這麼做。你會將不認識的人加為好友，而且在網路上分享太多個人的生活，甚至隱私設置也只是「低安全性」。你會用信用卡玩社群網站遊戲，還會分享你的帳號資料。你甚至會在Facebook 上購物，不是嗎？

活動	風險	影響
使用搜尋引擎	不經意地去點偽造或惡意網站	惡意軟體感染
電子郵件	可能會收到垃圾郵件	散播惡意軟體的惡意附件
即時通	即時通和聊天室上的詐騙份子	身分竊取
社群網路	讚劫持、利用假事件或行銷的垃圾訊息	垃圾貼文或推文
行動電話	手機上存放太多資料，當手機遺失時會導致資料外洩	資料外洩
遊戲	社交工程詐騙和不當內容	資料竊取、金錢損失
網路購物 / 電子商務	可能為假網站或假網址所駭	惡意軟體感染、資料竊取、金錢損失
網路銀行	假銀行網站	惡意軟體感染、資料竊取、金錢損失

遊戲高手

遊戲是你的生命。你會在這虛擬世界裡，為了找到遊戲所需而和人來往並在網路上搜尋。會做到什麼程度只有你自己知道。

你會訂閱Facebook頁面或關注Twitter帳號，只要跟你所喜愛的遊戲有關，你至少會有一次的將現實裡不認識的人加為好友，只因為網路遊戲的關係。由於遊戲是你的生命，你會下載破解程式和盜版軟體，並且沉浸在遊戲內部訊息和來自電子郵件的遊戲廣告。你太沉迷其中了。

活動	風險	影響
使用搜尋引擎	不經意地去點偽造或惡意網站	惡意軟體感染
電子郵件	可能會收到垃圾郵件	散播惡意軟體的惡意附件
即時通	即時通和聊天室上的詐騙份子	身分竊取
社群網路	讚劫持、利用假事件或行銷的垃圾訊息	垃圾貼文或推文
行動電話	手機上存放太多資料，當手機遺失時會導致資料外洩	資料外洩
遊戲	社交工程詐騙和不當內容	資料竊取、金錢損失
網路購物 / 電子商務	可能為假網站或假網址所駭	惡意軟體感染、資料竊取、金錢損失
網路銀行	假銀行網站	惡意軟體感染、資料竊取、金錢損失

最佳作法

太過放心而大意？
小心你貼文的內容會提供找出你個人資料的線索。
網路犯罪份子開始針對那些移動中的資料�
不安全的無線網路和假/惡意應用程式可能會讓惡意份子存取到敏感資料。
無止盡的垃圾郵件？
小心帶有惡意連結的垃圾郵件。
網路壞人們玩的是不同的遊戲
不要下載遊戲破解或是盜版軟體。小心你購買遊戲中物品的地方。
主動去找而你將會發現
務必確認你所輸入的是正確的網址，或是將可靠的資訊來源設成書籤。
小心你所想要的
收到促銷訊息後，先到真正的網站上確認，以確保這是真實的消息，然後將這網站設成書籤。
提防偽造！
詐騙份子會利用偽銀行通知來騙你去點惡意網站。如果你屬於那十分之一會將所有網路帳號都設成同一密碼的使用者，最好現在就改變你的密碼。

加入想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁上按讚：https://www.facebook.com/trendmicrotaiwan

@原文來源:https://about-threats.trendmicro.com/ebooks/who-am-i-in-the-cloud/#/1/zoomed

註:數據來源:

【立即下載試用PC-clin 2012 雲端版臉書地雷區 bye bye~】

◎ 免費下載防毒軟體：歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻【按這裡下載】

@參考推文

◎ 歡迎加入趨勢科技社群網站

< 網路危機 > 69％的人每週都碰到網路釣魚,25% 高階員工被釣得逞~反網路釣魚自保四步驟

2012 年 09 月 04 日2015 年 05 月 26 日趨勢科技 TrendMicro

這則報導李宗瑞影片千名公僕上鉤,以”「李宗瑞影片，趕快下載呦！”為標題發出測試信,近千名員工好奇點閱「中招」，點閱員工分十梯上2小時的資訊安全課,可見人性真是沒有修補程式的漏洞啊!社交工程陷阱( Social Engineering)以好奇心為餌,歷久不衰。

員工點了一封測試信,有這麼嚴重嗎?以下的影片(10分:22秒)有看似熟人寄發信件,點擊後卻引發攻擊的多則實際案例,標題包含:

“看了這個文章多活 10 年”

“新年度行政機關行事曆”

如果你還影興趣可以看看駭客入侵模擬(20分:20秒)

如果你沒時間看完全文,請先花幾秒鐘,將你的滑鼠移到下面三個看似 “Google “的連結,再看看瀏覽器左下方的真實連結:

（1）https://www.google.com

（2）https://www.google.com

（3）click here to go to Google（按這裡去Google）

這就是一般網路釣魚常用的陷阱,如果你沒有使用可以阻擋惡意連結的防毒軟體 ,又常常管不了自己的好奇心,而點選facebook Security 通知信:你的帳號從不明位置登錄,已經被鎖定;朋友推薦的WhatsApp for Facebook版 ,不疑有他立即按滑鼠; 因為看到免費而點選的假星巴克Starbucks 網路問卷…等等,這個簡單小動作,可以降低你成為網路釣魚（Phishing）受害者的機率。

處理網路釣魚威脅四步驟

作者：趨勢科技 Vic Hargrave

根據Dark Reading的文章 – 「Study: Phishing Messages Elude Filters, Frequently Hit Untrained Users（研究：網路釣魚（Phishing）郵件避開過濾軟體，經常命中未經訓練的使用者）」，還是有許多人被網路釣魚（Phishing）郵件給攻擊成功了。

該文章總結了在2012年7月舉行的Black Hat USA安全大會上所做的調查。有250個與會者進行了投票，69％的人表示每週都會有網路釣魚（Phishing）郵件進入到使用者的信箱。超過25％的人表示有高階主管和其他高權限員工被網路釣魚攻擊成功。

許多網路釣魚（Phishing）郵件並不難被察覺，但如果你不知道該注意什麼，那就很可能會被輕易的釣上。

簡單的說，網路釣魚（Phishing）就是想要透過電子郵件或社群媒體來獲取你個人資料的詐騙。有了你的信用卡號碼、銀行帳戶資料或社群媒體帳號資料，壞蛋們就可以偷走你的錢，並且將網繼續撒向你網路上的其他朋友。

https://www.google.com居然連到 Yahoo!?
防止網路釣魚找上你四步驟

以下是我檢查是否為網路釣魚（Phishing）的清單，以及該做和不能做的事情。有些建議來自Jason Hong（卡內基美隆資工系的助理教授）的文章 – 「The State of Phishing Attacks（關於網路釣魚）」，和微軟Security and Safety Center網站上的「How to Recognize Phishing Email Messages, Links or Phone Calls（如何識別釣魚郵件、連結或電話）」。

1.點選連結前,先移動滑鼠檢查真實來源
大部分的網路釣魚（Phishing）訊息都希望讓人進入會收集個人資料的惡意網站。現在這些電子郵件或其他形式訊息都是用HTML格式，所以可能會讓你在不知不覺下連到惡意網站。因為每個連結都有可能出現和實際網址不符的文字。

例如，以下連結似乎都指向Google：

（1）https://www.google.com

（2）https://www.google.com

（3）click here to go to Google（按這裡去Google）。

上述網址只有第一個連結會將你帶到Google，另外兩個都會將你帶到Yahoo。將滑鼠箭頭停在這些連結上，你可以在左下方瀏覽器狀態列上看到他們的實際網址（通常在瀏覽器或電子郵件軟體視窗的底部）。

繼續閱讀

Android – 更潮就更危險！六個Android 主要威脅與安全守則

2012 年 08 月 10 日2013 年 01 月 10 日趨勢科技 TrendMicro

Android – 更潮就更危險！六個Android 主要威脅與安全守則

你也許不知道你下載的 APP可能做以下的行為:

偷偷用你的手機撥打高費率電話
用你的手機自動點閱搜尋引擎上的廣告
將你手機個資如通訊錄等賣到黑市
監聽 GPS 資料
監聽電話和簡訊
自動開啟手機上的麥克風或相機
有別於 Apple App Store 的嚴密控管，上傳至 Google Play 的 App 程式只需通過簡單的檢查，因此該網站上經常出現一些惡意程式 (儘管 Google 只要一發現任何可疑程式就會將它下架)。

Android – 更潮就更危險！六個Android 主要威脅與安全守則

單月惡意 APP 翻 2 倍:從 10,000 增到 20,0000

Google Android 正快速成為 90 年代的 Windows：在使用者之間非常流行，在網路駭客之間也不遑多讓。最新的統計數據顯示，Android 所占的智慧型手機市場已超過 60%，遠超過 Apple 的 iOS，而其平板電腦亦表現不差，這要歸功於各大廠商 (Samsung、HTC、Acer 等等) 對該平台的投入。

不幸的是，趨勢科技 TrendLabs 的研究人員每天都會發現一些新的惡意程式變種，專門鎖定毫無戒心的使用者，從事竊盜、監聽或盜轉銀行帳戶存款等等。

傳統的一些感染方式當然也可能出現在 Android 裝置上，例如：點選了電子郵件和社交網站上的惡意連結、開啟惡意的附件檔案，或者瀏覽了已遭感染的網站等等，但是，歹徒目前最專注的是惡意 App 程式。光是在最近的一個月中，趨勢科技就發現惡意 App 程式數量增加到 2 倍:從 10,000 增到 20,0000。繼續閱讀

雲端有多安全？7 個雲端數位生活自保守則

2012 年 08 月 08 日2012 年 08 月 08 日趨勢科技 TrendMicro

作者：趨勢科技全球消費性行銷副總裁 Tony Larks

雲端運算安全嗎？

還記得「無知是一種幸福」這句老話嗎？坦白說，如果講到線上安全，這句話可是大錯特錯。身為網際網路使用者，很重要的一點就是要隨時保持警覺，並且時時留意身邊所發生的一切，就像這個大家都在討論的「雲端運算」。它安全嗎？它可靠嗎?它…到底是什麼？

基本常識

好消息是，你在不知不覺當中已經每天都會接觸到雲端運算。雲端運算是 Yahoo、Gmail、部落格、社交網站、線上遊戲，還有 Google Docs 這類生產力工具，甚至是線上備份與網路儲存等等背後的技術基礎。

儘管我們習慣稱它為雲端，但其實並沒有一個包山包海的「雲端」存在，它是由許許多多獨立分散的小雲端組成。某些雲端背後是一些知名的大企業，如 Google、Facebook、Apple 及 Microsoft，他們透過雲端來直接提供你各種線上服務，其中某些是專為企業而設、只有企業內部員工在使用，也有某些是設計給一般個人和網路企業租用。

因此，雲端實際上存在全球數百萬個資料中心內的伺服器上，有些彼此相連，其他的各自獨立。這些伺服器透過網際網路為你的個人電腦、筆記型電腦、平板電腦和智慧型手機提供服務與應用程式。

反過來看，你也會將各種資料，包括：相片、電子郵件、即時通訊、記事本等等存放在服務供應商的伺服器上。也就是說，當你從智慧型手機登入 Gmail 帳號時，不論你在世界的哪一個角落，你都能立即開啟你的收件匣。而且當你將 iPhone 與 Apple Store 同步時，你就可以從 iCloud 存取你的應用程式、音樂與相片。

風險

我們都知道「雲端」為我們的生活帶來多大的改變，試試看一個星期不登入你的 Google 或 Facebook 帳號就知道，但這不是沒有風險的。凡是人潮和錢潮聚集的地方，歹徒絕對不會缺席。網路犯罪是相當龐大的商機，而且駭客在詐騙受害者以牟取暴利方面是箇中老手。

此外，網路上還有一個不斷壯大的地下黑市，專門買賣偷來的使用者資料，因此，這一切值得我們多提高警覺，並且遵循一些簡單的守則來防範這些歹徒。歹徒從你身上獲利的方式，不外乎利用一些假冒來自正式來源的網路釣魚電子郵件，誘騙你提供一些個人資訊，或者讓你的系統感染惡意程式。要讓你的電腦感染，只需讓你點選一下電子郵件或社交網站上的惡意連結，或是開啟一個惡意附件檔案，或者下載一個看似正派的手機 App 程式，甚至是讓你瀏覽某個遭到入侵的一般網站即可。

確保安全的技巧

雲端運算的龍頭廠商，如 Google、Facebook、Microsoft 都投注了不少經費來盡量確保其雲端資料中心的安全，包括採用國際認可的 IT 標準以及一些你看不到的額外實體安全措施。但儘管有這麼多的努力，雲端還是存在著某些漏洞，而且身為使用者的我們也必須負起部分責任。以下是一些你可做到的安全技巧：

務必使用複雜的登入密碼，而且不同的網路帳號切勿使用相同的密碼，以免一個外洩、全部遭殃。或者，你也可以試試趨勢科技的DirectPass密碼管理 e 指通這套解決方案來安全地管理你的所有密碼。
考慮使用一個安全的線上備份服務，將你所有的資料安全地存放在雲端，以防你的筆記型電腦或手機遺失或失竊。你可以試試趨勢科技 SafeSync™ 服務來安全地保管及存取你的資料。繼續閱讀

Dropbox入侵外洩事件所遺留的疑點

2012 年 08 月 07 日2012 年 08 月 06 日趨勢科技 TrendMicro

作者：趨勢科技資深分析師Rik Ferguson

在7月18號，Dropbox宣稱他們開始調查有使用者聲稱在只跟Dropbox帳號有連結的電子郵件信箱裡收到垃圾郵件(SPAM)電子郵件的事件。兩個星期過後，這其中的問題似乎已經被釐清了。

Dropbox表示：「最近其他網站被盜的使用者名稱和密碼可以被用來登入到少數的Dropbox帳號」。而其中一個被不當存取的帳號正好屬於Dropbox員工，「裡面含有帶使用者電子郵件地址的專案文件」。他們相信垃圾郵件(SPAM)

是因此而來的。

對我來說，這項消息跟它被處理的方式裡面有幾個真正重要的問題。Dropbox工程師在「專案文件」裡使用真正的客戶資料，為什麼，不是應該用假資料嗎？而這份文件可以被存取，看起來是因為Dropbox員工將公司帳號密碼重複使用在其他被入侵的網頁服務上。他們沒有指明是哪些服務，但再次地，為什麼呢？

其次，Dropbox選擇透過電子郵件去通知被外洩的使用者，郵件內包含一個連結去重設密碼。這做法跟我們一直以來建議使用者不要去點來路不明郵件內的連結相衝突，尤其是那些要求你連上某個網站去輸入認證資料的郵件。總的來說，根據使用者回報，首頁上沒有出現對這次攻擊事件的說明，也沒要求使用者變更密碼，這樣子讓他們送出的密碼重置信件的可信度產生了問題。比較理想的作法是，受影響的組織可以發送電子郵件通知，但不是提供密碼重置連結，他們應該引導使用者到公司首頁，並在那裡提供進一步的資訊。

最後，Dropbox表示，因為被入侵的結果，有些使用者的密碼會被重設（「在某些狀況下，我們會要求你變更密碼（例如，如果它是個常見密碼或已經很長一段時間沒有變更）」）。問題是，Dropbox要如何知道一個使用者的密碼是個「常見密碼」呢？他們是用明文儲存密碼的嗎？他們儲存密碼是用未加料的雜湊值（unsalted hash）嗎（就像LinkedIn）？他們對每個使用者都加一樣的料，還是他們設計雜湊演算法時注重速度更勝於安全呢？如果以上任一點屬實，那麼他們的密碼資料庫就很容易遭受彩虹表（rainbow table）攻擊，這可不是件讓人放心的事情。

理想上，儲存使用者密碼時，應該為每個使用者都加獨特的料，而在設計雜湊程序時也要採用可以加入「工作因子（work factor）」的演算法（像是Blowflish）。這會大大增加破解個人密碼的時間，因為工作因子是可變動的，可以進行修改以跟上電腦運算能力的進步。只要增加工作因子就可以讓雜湊演算過程變慢。對單一運算的影響是微不足道，但想利用彩虹表攻擊來進行大規模運算就變得不大可能了。

很高興聽到Dropbox會替使用者實施雙因子認證，還有他們所宣布的其他的安全加強措施。但這次消息跟他們的處理方式還是留下了許多疑點。

除此之外，Dropbox的使用者現在要小心會利用Dropbox做餌的釣魚攻擊了。犯罪份子一定會想到去利用它的。而且這件事也告訴了我們，為什麼應該要在每個網路帳號都使用不同的密碼。如果你無法信任你的服務供應商，你就必須會自己的安全負責。

＠原文出處：Dropbox Breach leaves unanswered questions

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁上按讚：https://www.facebook.com/trendmicrotaiwan