如何保護你的多個網路帳號

你會在網路上擁有多個帳號,不管你是一般的網路玩家,社群網路專家還是精通技術的網站站長。趨勢科技做過一項研究,結果發現每個使用者平均會有至少十個網路帳號。這其實並不令人驚訝,因為網路提供許多的便利服務,像是電子郵件、網路購物、網路銀行,以及其它更多服務。

如何保護你的多個網路帳號how-to-secure-your-multiple-online-accounts1

 但是有著十個或以上的帳號,使用者要如何確保每個帳號都是安全的?隨著越來越多基於網頁的服務出現,這些使用者要如何管理自己的帳號安全?

這份電子指南會幫助使用者了解如何維護多個網路帳號,不管到底有多少個。

我為什麼要關心?

如何保護你的多個網路帳號

 如果有什麼是網友所必須關心的,那就是個人資料會交到錯的人手上的風險。這裡提到了一些個人所可能會遭受的風險:

 

  • 身份竊盜。網路犯罪份子可能將你的身份資料用在自己的交易上。這可能會造成非預期的產品或服務費用。身份竊盜非常普遍,每三秒鐘就發生一次。此外,根據我們的最新研究,每三個人就有一個人認識身份竊盜的受害者。

 

  • 財務竊取。網路犯罪分子會滲透並搾乾受害者的銀行帳戶。僅僅在二〇一〇年,美國就有超過810萬個成年人遭受電子竊盜,損失超過370億美元。
  • 真實世界內的竊盜。你的線上資訊也會讓現實住家面臨竊盜的風險。網路犯罪份子可以利用網路資訊所帶來的脈絡線索,來判斷你和你的家人是否不在家。一項研究顯示,有80%的劫匪會檢查受害者的社群網路帳號來規劃劫案1
  • 信譽受損。當其他人進入你的網路帳號時,可能會導致不好的後果。他們會發送惡意郵件給你的聯絡人,或在你的社群網路上張貼不適當的內容。而且其他連結的帳號也很有可能會一起淪陷。

我要如何保護我的網路帳號?

 我要如何保護我的網路帳號?how-to-secure-your-multiple-online-accounts4

幸運的是,你的帳號在建立之初就開始就受到保護,這要歸功於那不起眼的密碼。就跟數位世界的鑰匙一樣,密碼從早期的電腦世界就開始保護著使用者。由於他們是由使用者所建立,所以本該萬無一失。註2

繼續閱讀

< APT 攻擊> 駭客跟你一樣關心「二代健保補充保險費扣繳辦法說明」–假冒健保局名義信件夾毒發送中!!(含信件樣本)

<更新>根據報導41 歲高中學歷嫌犯因為不爽被罰錢 冒健保局散播電腦病毒,該嫌透過網路自學成為駭客,因不滿被健保局罰錢,冒用健保局名義,寄發內含竊取個資木馬的惡意郵件,至少已經竊取一萬多筆個資。該報導中還指出警另查出,潘嫌替友人組裝電腦,還暗中安裝木馬程式,用來監視友人上網情況

有心人士發動社交工程攻擊,冒用健保局散佈木馬與後門程式 ,意圖竊取個資

Trojan 木馬有心人士冒用健保局北區業務組名義,散發內含名為「二代健保補充保險費扣繳辦法說明」RAR壓縮檔的郵件。郵件主旨則為收件民眾姓名、公司電話,以及公司名稱。

 有心人士發動社交工程攻擊 假冒健保局散佈木馬與後門程式 意圖竊取個資

有心人士發動社交工程攻擊 假冒健保局散佈木馬與後門程式 意圖竊取個資

                圖說:趨勢科技獨家取得有心人士冒用健保局名義發出的原始信件,

內容詳細提供各項連絡電話與方式,以取信收件者。

  繼續閱讀

從美聯社 Twitter 帳號被入侵事件,看推特為何一直被駭?

我想你們一定看過這幾個月的新聞,發生了好幾起高調的推特(Twitter)駭客事件,包括了知名品牌,如Jeep,漢堡王(Burger King),以及最近的美聯社(AP)。一般不是很懂電腦的人可能會出現下列的疑問:

  • 這些帳號為什麼及如何被駭客攻擊的?這些企業不是應該都會設定又長又複雜的密碼來保護自己的帳號嗎?
  • 如果他們不能持續維護自己的安全,我將會遇到什麼?
  • 什麼是雙因子認證?我一直聽說這會讓我更安全。

推特帳號一直會被駭的原因

推特帳號一直都有被駭事件的原因很多。可能只是簡單地因為有人為了好玩去散播謠言,也可能是惡毒的想要抹黑特定個人或公司。這可不僅僅是傷害到這公司或個人,在某些案例裡,像是美聯社的帳號被入侵,就實際地讓美國股市出現短暫的下跌。而正如你可以想像的,這樣一個短期波動可是在股市獲得巨大利益的機會。

圖說:媒體報導駭客入侵美聯社推特 美股暴跌消息(截圖來自 中時電子報)
圖說:媒體報導駭客入侵美聯社推特 美股暴跌消息(截圖來自 中時電子報)

推特被駭也凸顯出關於密碼安全一個更大的問題。你可以使用有史以來最長、最複雜的密碼,但如果你點入一個惡意連結或偽裝成推特的網站讓你輸入密碼,基本上這就已經跳過任何密碼的安全性,直接把密碼交到壞人手上。

常見的社交工程伎倆

這是今天在推特上一個令人難以想像常見的社交工程陷阱( Social Engineering)伎倆。透過從你關注的一個被駭帳號發送「私人訊息」給你,網路犯罪份子就可以駭入你的帳號。這訊息可以裝得非常簡單:「嘿!我看到你這個有趣的畫面!」然後,它會連到一個惡意網站。這種戰術在過去已經被廣泛成功地運用在電子郵件病毒上,今日轉移陣地到社群媒體上也是一樣的成功。

另一種常見用來竊取你密碼的方式,就是去入侵並不具備推特安全控管等級的網站或服務。如果你在多個服務上都使用相同的密碼,就可以利用自動化工具,很快地在多個網站和社群媒體服務上嘗試這偷來的帳號/密碼組合。

繼續閱讀

重複使用密碼是幫了網路犯罪份子大忙

作者:Christopher Budd

最近Twitter被駭的消息,其中最重要的就是攻擊者大約竊取了廿五萬個帳號內的資料。

Twitter被取走的資料是「有限度的」 – 只有「用戶名稱、電子郵件地址,   連線代碼(Session Token)加密/加料過的密碼。」他們接著說,他們已經重置了受影響帳號的密碼。所以如果你有受到影響,那應該已經接到通知(我在上週六接到通知)。

你可能會覺得奇怪:到底是發生了什麼事?你該怎麼辦?

雖然Twitter說明被偷了什麼,但如果人們看到「有限度的」,就認為並沒有什麼好擔心而不做任何動作是很危險的。這將會是個錯誤。我們看到這些被偷的資料,其實是會對你其他的帳號帶來危險的,如果你在多個網站上都使用相同的密碼。

被拿走的資料組合起來,可以讓攻擊者能夠去入侵你的其他帳號。如果你已經收到Twitter的通知並且重置了你的密碼,事情還沒有結束。你應該更進一步地去更改任何使用相同密碼的網站。最好是將每個密碼都設成不一樣,可以避免未來發生一樣的事情。

但是除了變更密碼,我會希望有其他種做法,比如密碼管理軟體。

 

重複使用密碼是幫了網路犯罪份子大忙
重複使用密碼是幫了網路犯罪份子大忙

雖然我們已經說了很多年,重複使用密碼是有風險的,但是要管理許多組密碼也是件困難的工作,這也是為什麼許多人會使用一樣的密碼。在過去,你可以重複使用密碼而不會遇上什麼太糟糕的事情。網站會好好地保護使用者帳號。

但是這過去的一年顯示出網路犯罪份子開始佔得上風,可以輕易地獲得數以百萬計的帳號資料。在過去的一年,我們看到網站像是LinkedIn、Last.fm、Formspring和Yahoo等的帳號資料被盜。每次只要發生這種情況,任何重複使用密碼的人資料都有被竊的風險。 繼續閱讀

以”你的照片”為餌的點擊劫持(clickjack)最常出現在Facebook、Twitter、Google+

Sherry在深夜裡收到一則從親密好友所傳來的Twitter私密訊息 – 「沒有看過你的這張照片呀,哈哈」,還包含一個短網址。因為這位朋友是個攝影師,也有她的照片。所以收到這訊息並不奇怪。於是她點了進去,賓果!這個常用的社交工程陷阱( Social Engineering),讓她就此中了clickjacking點擊劫持。你猜到了嗎?這假造朋友發的訊息,裡面的網站連結導到一個會偷密碼的假Twitter網站。

註:點擊劫持(clickjacking)是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件,但按下「播放」按鈕並不會真正播放影片,反而是被誘騙到另一個購物網站。

 

假的 Twitter 登錄頁面,一直出現密碼錯誤訊息,其實密碼已經被偷了

當Sherry從iPad點入這私密訊息裡的網頁連結,行動瀏覽器帶她到看來像是Twitter的登錄頁面,,即使她覺得很奇怪,為什麼照片沒有出現在Twitter應用程式瀏覽器內。正在看電視影集的她心不在焉的,試了幾次輸入帳號密碼,「假Twitter網站」都顯示密碼錯誤。她很沮喪也放棄了,就上床睡覺了。但這錯誤的嚴重性一直到幾個小時之後就浮現了。

點擊劫持的後果

Sherry睡不著,看了看手機,凌晨四點半。手機出現訊息通知,有則來自朋友的Twitter私密訊息,問說:「你傳給我的是垃圾訊息嗎?還是你真的有我好笑的圖片?」”哦,不!我做了什麼?”Sherry 知道麻煩來了,只因為她點了那個連結。

一整天裡Sherry收到數十封簡訊、Twitter推文、電子郵件和Facebook留言,告訴她有人駭入她的Twitter帳號。

因為登錄到「假Twitter」網站,而給了非法份子Twitter帳號密碼。他們就可以登錄到Sherry真正的Twitter帳號,發送一樣的垃圾訊息跟惡意連結 – 「沒有看過你的這張照片呀,哈哈」給所有關注我的人,讓這起犯罪攻擊繼續循環下去。這就是所謂的clickjacking點擊劫持。通常出現在社群媒體的動態消息、塗鴉牆和私密訊息(Facebook、Twitter、Google+等等),讓不知情的人點入會竊取密碼和資料的網站。

這結果可能很災難性,如果你的銀行帳號和社群媒體帳號使用相同密碼的話。網路犯罪份子可能會登錄到銀行帳戶,並在幾小時內偷走被害者的錢、身份認證以及盜刷信用卡。

如果你已經中了點擊劫持該怎麼辦?

  1. 如果你懷疑可能中了點擊劫持,馬上變更你的密碼。然後檢查是否有任何新應用程式有權限連到你的帳號,因為它們可能是惡意的,並且會竊取資料。(當你改變密碼時,Twitter會強迫你檢查所有有權限連到你帳號的應用程式。)
  2. 如果你有其他重要帳使用已經被竊取的密碼,要馬上全部更換,而且不要使用相同的密碼。 繼續閱讀