年度資安報告/年度回顧與預測 - 資安趨勢部落格

【2019 年資安預測】不只是企業高層主管，變臉詐騙也將開始鎖定一般員工 (6-5)

2019 年 01 月 10 日2019 年 01 月 17 日趨勢科技 TrendMicro

一封假冒的電子郵件竟讓一名受害者將 531,981 美元匯到詐騙帳戶!
今年初,媒體揭露中國駭客集團山寨一家印度公司CEO電郵,，安排一系列的網路語音會議，洽談中方有意收購的「極機密」事件，竟得手13億盧比（約台幣5億元）,受害公司自去年11月單週內3次轉帳到香港銀行，到了第4次才察覺有異。
截至 2018 年為止，全球因變臉詐騙 (BEC) 所損失之金額已超過 120 億美元。為了掌握詐騙集團的最新情況，我們回顧了今年一些最值得注意且讓變臉詐騙經常占據媒體版面的事件和趨勢。

變臉詐騙攻擊或稱為商務電子郵件入侵BEC)之所以屢屢能讓受害者上當，大多可歸因於人員的疏忽。人性的弱點，再加上詐騙郵件似乎總能夠躲過網路資安產品的偵測，使得變臉詐騙成為一項使用者和企業仍應嚴肅看待的持續威脅。

根據美國聯邦調查局 (FBI) 的統計，這類詐騙截至 2018 年為止已累計造成125 億美元的損失。這表示變臉詐騙儘管技巧上相當單純，事實上卻非常有效。2018 年我們一直在持續追蹤變臉詐騙的嘗試攻擊案例，從第一季至第三季共偵測到 9,291 次變臉詐騙嘗試攻擊，這數字較去年同期的 6,342 次增加了 46%。根據我們的資料，美國、澳洲和英國是詐騙集團最常攻擊的前三大國家。

2018 年前三季變臉詐騙(BEC)較 2017 年成長 46%,房地產業成鎖定目標

2018 年前三季偵測到 9,291 次變臉詐騙攻擊嘗試，較 2017 年成長 46%

有別於一些仰賴高深技術的手法，變臉詐騙利用的是社交工程伎倆與人性的弱點。雖然，隨著科技服務日益普及，變臉詐騙集團也開始假冒 Microsoft 和 Amazon 的名義來從事詐騙，但他們仍舊經常冒充企業高層主管來促使財務部門將款項匯到詐騙帳戶。2018 年，根據趨勢科技 Smart Protection Network™ 全球威脅情報網的資料顯示，執行長 (CEO) 和董事總經理/董事 (Managing Director/Director) 是歹徒最常冒充的高階主管。

為了掌握詐騙集團的最新情況，我們回顧了今年一些最值得注意且讓變臉詐騙經常占據媒體版面的事件和趨勢。繼續閱讀

【2019 年資安預測】工業控制系統 (ICS) 的攻擊將成為一項日益嚴重的問題 (6-4)

2019 年 01 月 09 日2019 年 01 月 08 日趨勢科技 TrendMicro

趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域,將分批刊出。

一些正在發展網路攻防能力的國家，會拿較小國家的關鍵基礎架構來當成攻擊對象。他們可能利用這種方式來獲得一些政治或軍事上的優勢，或針對一些尚無報復能力的國家測試其攻擊能力，或是任何其他可能的動機。

至於攻擊目標是水、電力設施或製造業的工業控制系統 (ICS) ，將視攻擊者的意圖或機會而定。但不管怎樣，這類事件所突顯的正是歐盟網路資訊安全規範 ( NIS Directive) 所希望管制的弱點。

工業控制系統一旦遭到攻擊，其可能影響將包括營運停擺、設備損壞、間接財務損失等等，最糟的情況還可能造成人員傷亡。

【2019 年資安預測】網路犯罪集團將運用更多魚目混珠的技巧 (6-3)

2019 年 01 月 08 日2019 年 01 月 09 日趨勢科技 TrendMicro

趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域。我們將分期刊出。

為了因應資安廠商推出的新技術，尤其是機器學習在網路資安領域重新獲得青睞，網路犯罪集團將運用更高的技巧來「魚目混珠」。歹徒將不斷開發出所謂「就地取材」的技巧，也就是將一些日常運算裝置用於原本設計之外的用途，並且在網路上分享。我們已經看到幾個這樣的例子。

使用一些非傳統常見副檔名的惡意檔案，例如：URL、.IQY、.PUB、.ISO 及 .WIZ。
減少對一般執行檔的依賴，例如採用「無檔案式」元件、 Powershell、腳本以及巨集。
採用經過數位簽章的惡意程式。
採用新的惡意程式啟動方法 (一些較舊的範例如：Mshta、Rundll32、Regasm 及 Regsvr32)。
利用電子郵件帳號或雲端儲存服務和應用程式來當成幕後操縱 (C&C) 的存取點、下載點或資料外傳匯集點。
以最小幅度篡改或感染正常的系統檔案。

當網路犯罪集團採用上述技巧來感染系統時，單靠機器學習技術來防禦資安威脅的企業將面臨嚴重考驗。我們預料這些網路犯罪技巧在 2019 年將越來越盛行。

99.99% 的漏洞攻擊依然不會是零時差漏洞攻擊

零時差漏洞攻擊一直是資安界的注目焦點之一，因為：

目前已有像趨勢科技 Zero Day Initiative (ZDI) 這類的漏洞懸賞計畫，讓漏洞研究人員有一個正常揭發漏洞又能獲得適當回報的管道。
軟體廠商只要一發現自家的產品遭到攻擊，就會立即採取適當的措施來因應。

網路犯罪集團發動攻擊的最佳時機，其實是廠商釋出修補更新到企業系統真正套用這些更新之間的空窗期。

2019 年，漏洞攻擊的成功方程式是：利用一些已經釋出修補更新、但企業卻尚未套用更新的漏洞。這些漏洞可能有數週、甚至數個月的時間可以讓歹徒利用。未來，這類利用修補空窗期的漏洞攻擊，將是網路資安的一大禍源。

【2019 年資安預測】員工在家上班,將為企業帶來那些資安風險?(6-2)

2019 年 01 月 03 日2019 年 01 月 09 日趨勢科技 TrendMicro

趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域,分期刊出。

即使是最小的裝置也可能成為企業最大的安全漏洞。為何？個人自備裝置 (BYOD) 的出現，讓企業因而敞開大門，各種威脅得以經由員工疏失所造成的網路漏洞進入企業。所謂的 BYOD 就是員工攜帶個人裝
置進入公司網路。這是 IT 消費化的潮流之一，在此潮流之下，將有更多新的消費性資訊技術進入企業環境。

員工家中連上網際網路的裝置，出乎意料地將成為歹徒駭入企業網路的最新途徑

遠距工作的崛起：當員工從家中透過雲端應用程式或協同作業軟體來聊天、開視訊會議以及分享檔案時，企業將更難掌握資料的流向。
越來越多智慧裝置進入家庭：而且因為工作方便的關係，員工也將在工作中使用這些裝置，造成公私不分的情況。

以上兩大趨勢令人意想不到,但卻無可避免的成為歹徒駭入企業網路的最新途徑：趨勢科技的研究人員已經證明，智慧喇叭可能被用來洩漏個人資料。2019 年將出現一些針對性攻擊案例利用智慧喇叭的弱點來從員工家用網路進入企業網路。

繼續閱讀

【2019 年資安預測】被偷的帳號都被拿來做什麼?累積里程、製造假評論、灌票…(6-1)

2019 年 01 月 02 日2019 年 01 月 11 日趨勢科技 TrendMicro

漏洞攻擊套件的活動將持續減少,網路犯罪集團回歸到一個更基本的漏洞那就是：人心的弱點。近年來，網路釣魚攻擊的數量開始增加，從趨勢科技所攔截的網路釣魚相關網址數量就能看出端倪。
過去一年網路犯罪集團從各種資料外洩當中累積了大量的帳號登入憑證，根據 Ponemon Institute 和 Akamai 所做的一份報告指出，透過自動化方式將某處偷來的同一組帳號密碼嘗試登入多個其他熱門網站的密碼填充攻擊 (credential stuffing) 手法情況日益嚴重，我們將看到網路犯罪集團利用這些偷來的帳號密碼註冊一些累積里程和點數回饋方案、註冊一些假鄉民帳號來從事網路宣傳、張貼假評論來操縱一些消費性入口網站、或者在一些社群民調上灌票等等。

當不斷有少年駭客回嗆:「不是我厲害,是你的密碼設定太弱了!」時,「Iloveyou」或「 1234 」等弱密碼卻仍年年蟬聯傻瓜密碼排行榜,網友的安全意識顯然需要加強。

另外,趨勢科技也預測 2019 年將看到一些更細膩或更新的數位勒索手法出現。例如，青少年或青年遭到非錢財方式的勒索案例將會增加。

趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域,並分期刊出。

網路犯罪回歸到一個基本漏洞：人心弱點;網路釣魚將取代漏洞攻擊套件,成為主要攻擊管道

網路釣魚攻擊 在 2019 年將大幅成長。今日，軟體與作業市場占有率分布較以往更加零散，沒有單一作業系統能獨占一半以上的市場 (已不再像五年前的情況)。因此，網路犯罪集團也開始回歸到一個更基本的漏洞那就是：人心的弱點。的確，近年來，網路釣魚攻擊的數量開始增加，從我們所攔截的網路釣魚相關網址數量就能看出端倪。