「手機需要裝防毒軟體嗎？」這是經常會聽到的問題。跟個人電腦一樣，智慧型手機也在不斷地發展，變得越來越強大，隨時隨地都能儲存和處理大量資訊。當有如此多的資料可能會面臨風險時，你應該認真地考慮用防毒軟體來保護你的智慧型手機。
趨勢科技行動安全防護保護您的手機、平板電腦，免於遭受手機病毒及詐騙網站威脅。免費下載
※ 若想同時保護更多行動裝置或電腦，建議您可以免費下載試用 PC-cillin 雲端版
在開始本文之前,先問自己幾個問題:
1.
你收到手機作業系統更新通知時,會馬上執行嗎?
2. 你知道內嵌惡意功能的APP，會在觸發前保持休眠狀態以避免被發現嗎?
3. 你知道有報告指出Google Play商店裡有近7%的應用程式包含隱藏後門嗎?
4. 當你安裝應用程式不假思索點「允許」時,有考慮到可能會授權 APP 存取和收集個資嗎？
5. 你知道大多數身份竊盜發生在公共 Wi-Fi 網路上嗎?
如果你有其中一個答案是否定的,那麼建議你花點時間閱讀本文介紹的行動裝置會面臨的常見威脅，以及使用防毒軟體的重要性。
繼續閱讀手機簡訊認證早已成了許多線上平台和應用程式預設的認證方,但現在網路犯罪集團藉著SMS PVA 地下服務,已經能夠大規模破解手機簡訊認證機制, 從事非法購物或洗錢行為。甚至建立僵屍網路、網軍或是假帳號。
而且當執法單位在追查可疑帳號時，只會追查到感染「簡訊攔截惡意程式 」的無辜手機持有人。 令人背脊發涼的問題是，該地下服務不只侷限於攔截認證碼，還可以用來蒐集一次性密碼 (OTP)。
已經企業化經營的SMS PVA服務-手機簡訊 (Short Message Service ,SMS) 電話認證帳號 (Phone-Verified Account,PVA) 服務,近兩年來越來越多。這項地下服務讓提供不需擁有手機號碼也能註冊各種線上服務及平台的帳號。不僅能規避許多線上平台及服務用來認證新註冊帳號的手機簡訊認證機制,犯罪集團還可大量註冊一些拋棄式帳號，或利用經過電話認證的帳號來從事犯罪活動。
以下內容將分享我們針對某家 SMS PVA 業者 (smspva[.]net) 的營運方式進行深入研究的成果。更詳細的內容請參閱我們的研究報告「SMS PVA：可讓駭客註冊大量假帳號的地下服務」(SMS PVA: An Underground Service Enabling Threat Actors to Register Bulk Fake Accounts)。
基本上，Smspva[.]net 和其他 SMS PVA 服務都有一些主要共同特點：
報導有 兩名中國男子一夜將菜場100多攤付款QR Code都換成自己的，躺著賺錢但警察也來了 , 兩人辭職後突發奇想,列印了多達 1500 張收款 QR Code，趁著凌晨前往菜市場，偷偷將攤販們的二維條碼替換掉。
其實在台灣也有類似的情形:實聯制出現假QR code, 當心掃到被調包的高額付費號碼,警政署呼籲傳送前請確認傳送至「1922」。
由於 新冠肺炎(COVID-19)疫情的關係，幾乎每天我們都會用手機掃描 QR Code 進行「簡訊實聯制」,在中國，掃 QR Code 主要是用在電子支付,無論是攤商或店家都會在收銀台張貼一張 QR Code，讓消費者用微信或是支付寶支。所以這種偷偷把店家張貼的QR Code 換成自己的QR Code 藉此騙錢的伎倆時有所聞。
中國的共享單車支付系統就曾經發生過這樣的案例，歹徒偷偷將使用者在租借單車解鎖之前必須掃描的 QR code 換掉，結果，不知情的使用者所支付的款項都被偷偷轉到歹徒的帳戶，但使用者還是無法解鎖單車來使用。
就在最近，美國有好幾個城市的執法單位都發出警告，要民眾小心有歹徒將假的 QR code 貼在停車計費錶上來欺騙民眾，讓民眾連上網路釣魚網站輸入了自己的付款資訊。
本文將介紹幾則與 QR Code 有關的烏龍詐騙案例: 
烏龍案例” 知名番茄醬表示:「我不是故意的!」 QR Code 開通蝦皮帳戶? 賣家被詐5萬4千元 好心幫忙掃活動條碼，下一秒臉書帳號竟被盜 掃描QRCode連到色情網站,不繳遮羞費就公布個資 「黃牛」私訊表示有管道可搶演唱會門票,但須透過QRCode付款 有心人士在真的QRCode上面貼上假的QRCode,欺騙消費者
美國 FBI 最新文章警告，冒牌的 QR 碼會盜取帳號密碼或是銀行存款。
某個針對 Android 和 iPhone 手機設計的最新行動惡意程式可能是用來竊取日本電信公司會員網站的登入憑證。
簡訊或文字訊息成為行動惡意程式散播途徑已有好一段時間。2021 年 9 月，趨勢科技證實了某種針對 Android 和 iPhone 手機設計的最新手機病毒/行動惡意程式，它是經由假冒電信公司名義的網路釣魚簡訊來感染，據推測，這個惡意程式可能是用來竊取日本主要電信公司會員網站的登入憑證。
這是趨勢科技確認的第一個會經由網路釣魚簡訊感染 iPhone 手機的惡意程式，其他的案例向來大多以 Android 手機為目標。這是一個值得注意的威脅，日本網路犯罪管制中心 (Japan Cybercrime Control Center，簡稱 JC3) 也發出了類似的警示。
Citizen Lab 發布了一項有關 iPhone 最新威脅「ForcedEntry」的報告。這個零點選 (zero-click) 的漏洞攻擊手法似乎能夠繞過 Apple 的 BlastDoor 安全機制，讓駭客直接存取裝置而不假使用者之手。
Citizen Lab 最近發布了一份報告，內容詳述 9 名巴林的人權分子如何遭到精密的 iPhone 漏洞攻擊。這些人權分子據稱遭到以色列 NSO Group 駭客公司的 Pegasus (飛馬) 間諜程式攻擊，經由兩種 iMessage 零點選 (zero-click) 漏洞攻擊手法駭入其 iPhone：其一是 2020 年發現的 Kismet，其二是 2021 年最新發現的 ForcedEntry。零點選攻擊手法可說是一種相當精密的威脅，因為它有別於一般惡意程式，完全不假使用者之手就能感染裝置。前述兩種手法當中，後者又特別值得關注，因為它能繞過 Apple 的 BlastDoor 安全機制，而該機制正是專為防範零點選攻擊手法而生。
根據 Citizen Lab 的報告，Kismet 攻擊手法的流行期間是從 2020 年 7 月至 9 月，針對的是使用 iOS 13.5.1 至 13.7 的裝置，自從 Apple 在 9 月份推出 iOS 14 更新之後就已經失效。接著在 2021 年 2 月，NSO Group 開始推出能夠繞過 BlastDoor 保護的零點選漏洞攻擊手法，也就是 Citizen Lab 所稱的「ForcedEntry」。國際特赦組織 (Amnesty International) 旗下的 Amnesty Tech (集合了全球數位人權專家與資安研究人員) 也在這段期間觀察到 iMessage 零點選漏洞攻擊相關的活動，並將它命名為「Megalodon」。
繼續閱讀