分類: 網路購物

假日購物季節已經到來，消費者們也在尋找關於熱門玩具、電子產品和服裝等的特別折扣。雖然這季節會出現很棒的優惠和禮品，不過也有來自惡意攻擊者狡猾複雜的威脅。駭客們利用大增的購賣慾望和網路活動來發動無數的假日購物詐騙。

購物旺季 企業也該留心的四項威脅

消費者不只是在自己的個人時間進行購物。根據CareerBuilder的一項研究發現，有53%的企業員工在工作時選購禮物。這之中有43%承認自己在網路購物上花超過了一個小時。

這樣一來，假日購物詐騙影響到的不只是個人，使用企業網路的工作者也會將企業基礎設施帶入危險。隨著消費旺季的到來，這裡提供該注意的四項常見威脅：

1.讓人不由自主點進去的網路釣魚郵件

“雖然消費者中有91%表示自己意識到網路釣魚威脅，還是有五分之二的美國人被騙。”

網路釣魚攻擊在年度購物季節橫行，大部分都是針對想尋找優惠的消費者。駭客針對這點來加以利用，製作包含折扣、優惠券、禮物卡等誘人內容的電子郵件。而這些電子郵件往往夾帶了惡意連結，會讓受害者電腦感染惡意軟體或是騙取個人資料。

根據USA Today的報導，雖然消費者中有91%表示自己已經意識到網路釣魚威脅，但還是有五分之二的美國人受騙。

要發現網路釣魚攻擊，可以檢查寄件者地址是真的來自該公司。此外，在點擊電子郵件連結前先將滑鼠游標移到上面來確認會被導到想去的網站。

繼續閱讀

年終購物季正如火如荼展開，如同往常一樣，網路犯罪集團早已盯上全球瘋狂購物的消費者。

不過這並非什麼網路詐騙或網路犯罪最新趨勢。多年來，每到年終，消費者遭到詐騙的案件數量便邁入高峰。從  2008 年起，趨勢科技即開始追蹤專門騙取消費者信用卡資料與其他寶貴資訊的網站和垃圾郵件。年終購物潮期間，這類網站數量的增加完全在預料之內，但消費者只需了解歹徒的詐騙手法如何運作，就能保障自身安全。

四種引誘標題,就是要你點進去

今日，使用者已經越來越能分辨垃圾郵件，但網路犯罪集團也不是省油的燈，其社交工程（social engineering ）技巧越來越細膩。許多社交工程誘餌看起來幾可亂真，甚至會精心仿冒一些使用者平常不加思索就會點進去的電子郵件或訊息。

最近我們經常看到歹徒利用下列四種標題來引誘使用者上當：

1. 網購訂單或包裹相關的標題
2. 帳單或發票
3. 旅遊好康或優惠
4. 虛構的促銷或假日特賣

以下是一個網路犯罪集團利用這類標題的範例：這封典型的垃圾郵件看起來很像一封郵局寄來的信件，裡面隨附了一個看似平常的連結，但該連結卻是指向專門散布惡意程式的網站： 繼續閱讀

安全研究人員在黑色星期五這週披露了阿里巴巴所擁有網路購物服務AliExpress.com(全球速賣通)的一個漏洞，這家公司在全球擁有超過1億的客戶。該網路購物網站被發現一個開放式重新導向（open redirect）漏洞，讓攻擊者能夠展示假優惠券給購物者，以騙取敏感資料。AliExpress在被通知的兩天內採取了行動並加以修復。

受駭者一旦執行包含惡意Javascript程式碼的AliExpress網頁連結，主畫面上會跳出假優惠券視窗來要求客戶提供信用卡資料。攻擊者控制了這個假視窗，使得信用卡資料直接送給攻擊者而非購物網站。

替此漏洞找出攻擊方法的安全研究人員指出，AliExpress只用了簡單的方法來阻止這類攻擊。這方法會檢查請求的referer標頭。如果referer沒有設定或不正確，請求會被伺服器拒絕。referer是用來標識請求來源網頁地址的HTTP標頭。

為了繞過AliExrpress的檢查網址來源的保護機制，研究人員送出會由許可且受信賴AliExpress網址導向的惡意連結。為了測試成功，研究人員找出AliExpress內會重新導向第二個AliExpress內連結的連結，讓惡意連結可以加以取代。研究人員將所選擇連結作成了短網址，好讓其看起來不會可疑。點擊這連結的客戶會被送到一個AliExpress登入畫面，接著會將JavaScript注入頁面並發出假優惠券。

防範網路釣魚攻擊

隨著購物季節的到來，攻擊者可能會趁這機會來利用網路釣魚攻擊賺一筆。如果你懷疑自己成為了網路釣魚騙局的受害者，請立刻變更所有帳號的密碼和個人識別碼。

以下是其他如何發現和防止網路釣魚詐騙的九個建議：

1. 將購物網站加入書籤。避免用搜尋引擎來找優惠。將你的搜尋結果限制在受信任且安全的購物網站，這能夠減少你連到詐騙網站的機會。
2. 記得要檢查連結。在點入內嵌的連結前先將游標移到上面來確認網址是否正常。
3. 詐騙郵件通常包含制式的問候語。同時收件者也可能只用使用者的郵件地址而沒有加上他/她的名稱，這是一個警訊。
4. 注意不良的文法或拼寫錯誤。正常郵件不會出現明顯的錯誤。
5. 識別設計完善的電子郵件。錯誤或不當的標誌和版面設計也可以看出郵件並非來自可信來源。
6. 當網站要求輸入密碼時要小心謹慎。切勿將密碼或敏感資訊交給不受信任或第三方網站。
7. 小心那些要求採取緊急行動的郵件或網站。有些郵件會包括緊急的行動要求，如點入某些連結或給出個人資料。
8. 提防各種誇張得不真實的好康優惠。有一種說法是：“如果事情看起來好得太不真實，那可能就不是真的”，這同樣也適用於網路購物。小心那些用非常低價格提供的商品。
9. 定期檢查信用卡帳單。注意未經授權的交易。

繼續閱讀