HBO 的Twitter和Facebook帳號被駭

最近的報告顯示HBO同意支付25萬美元來換取駭客從其伺服器竊取的1.5TB資料,現在他們又面臨了另一個安全漏洞。

以劫持知名社群帳號而聞名的白帽駭客組織OurMine攻下了許多電視網路認證過的Twitter和Facebook帳號。這包括了HBO的節目帳號,如“權力遊戲(Game of Thrones)”,“女孩我最大(Girls)”和“好球天團(Ballers)”。

圖1、遭駭HBO Twitter帳號截圖

 

駭客在所有的帳號上發布了相同訊息,內容如下:“你好,這裡是OurMine,我們只是在測試你的安全性,HBO團隊請聯絡我們來提升安全性 – ourmine.org à 聯絡人”。他們還在推特上發出:“讓我們讓#HBOHacked紅起來!” Continue reading “HBO 的Twitter和Facebook帳號被駭”

【常見資安問題】分享照片在社群網站(如 Instagram)有可能洩漏居家位置嗎?/防毒軟體就像門鎖,越多越安全?/上飛機前一定要來個自拍上傳 FB ?

q4


 

  1. 使用公共的手機充電器安全嗎?
  2. 借用別人的 Wi-Fi 上網安全嗎?
  3. 付費的公共無線網路安全無虞?
  4. 著名景點如迪士尼樂園, 紐約時代廣場,Wi-Fi相對安全?
  5. 分享照片在社群網站(如 Instagram)有可能洩漏居家位置嗎?
  6. 在五星級飯店刷卡會發生個資外洩嗎?
  7. 防毒軟體就像門鎖,越多越安全
  8. 朋友邀請我安裝 FB 官方不讚(dislike)按鈕,既然是官方版應該沒問題
  9. 尋找廠商技術支援,找 Google 大神最安全?
  10. Facebook帳號被盜,也會波及其他帳號安全?
  11. “好久沒來了吧,有人想你了..” 明知道是詐騙訊息,故意裝傻跟她玩一玩不會有損失
  12. 上飛機前一定要來個自拍上傳 FB ?
  13. 吃大餐時一定也要拍照上傳?
    1. 使用公共的手機充電器安全嗎?

      q2
      目前這類手法仍屬於驗證性質,並未發現實際的病毒程式在外流竄。 另外iPhone具有較高的安全性,Apple一旦發現新漏洞也都會主動釋出更新程式。若Apple釋出更新程式,建議進行更新以取的最佳的安全性。延伸閱讀這篇文章作者提到一種新型態的駭客能將資料經由公用充電站從行動設備(像智慧型手機或平板)擷取出來。作者提到「在熱門公共區域設置假的充電區或入侵現有的充電站都相當容易,只需要價值約50到60元澳幣的電子元件和幾個小時在家準備。」

    2. 借用別人的 Wi-Fi 上網安全嗎?
      q3
      當您使用開放的 Wi-Fi 網路時,任何心懷不軌的人,都能透過一些網路上現成的工具來查看您的瀏覽階段內容。幾年前,某位資訊安全研究人員甚至將這類「窺探」工具做成知名瀏覽器 FireFox 的外掛程式 (並取名為:Firesheep)。歹徒甚至可以連上相同的網路,然後在您渾然不覺的情況下取得您的電子郵件或銀行帳號登入資訊,或是其他資訊。這可不是件好玩的事。
      》到這裡看更多
    3. 付費的公共無線網路安全無虞?
      可別以為,您向親切的吧台人員、飯店櫃台、咖啡店老闆索取到店內的網路密碼,您就安全無虞,因為,歹徒也可能跟你一樣擁有密碼。就算是付費的開放 Wi-Fi 熱點也不會比較安全。
      》到這裡看更多
    4. 著名景點如迪士尼樂園, 紐約時代廣場,Wi-Fi相對安全?
      一項報告指出公共wifi可能會因保全人力不足,而容易遭入侵,竊取個人資料,其公布的全球15個最不安全Wifi地點,包含:
      .紐約時代廣場
      .巴黎聖母院
      .巴黎迪士尼樂園
      .舊金山金門公園
      .香港海洋公園
      一份研究顯示,全世界有64%的旅館提供某種形式的免費無線網路,一般而言,提供給旅客的上網服務通常是開放的無線網路,這表示它面對任何攻擊時都不安全。對於攻擊者來說,從開放熱點截取網路、甚至是做個假熱點來執行中間人攻擊,都是輕而易舉的事。
      》到這裡看更多
    5. 分享照片在社群網站(如 Instagram)有可能洩漏居家位置嗎?
      社群網站雖然方便有趣,公開資訊時還是必須留意,免得像小明一樣,不小心將自己的體重洩漏給大家知道了,提醒大家除了貼文本身的內容外, 也要當心上傳照片時,GPS公開你的拍攝位置。以廣受歡迎的照片分享社群網站Instagram為例,其「照片地圖」功能,可將位置資訊加入照片中,然後顯示在地圖上。旅遊時,開啟「新增照片地圖」並張貼照片,即可在地圖上回顧旅途的點點滴滴。必須注意的是,在不自覺的情況下新增含有個人位置資訊的照片。一旦在Instagram網站中開啟「新增照片地圖」功能,下一次張貼照片時將會記住上次的設定而自動設為開啟。若未仔細查看設定而張貼在家裡拍攝的照片,其他人就能推測出使用者住家的位置。為了不讓使用社群網站的快樂分享變成尷尬的回憶,公開資訊時請特別留意。
      》到這裡看更多
    6. 在五星級飯店刷卡會發生個資外洩嗎?quiz HD 1026近年有住過希爾頓飯店嗎? 相關的駭客入侵活動可能在2014年11月開始,至今仍持續.
      》到這裡看更多
    7. 防毒軟體就像門鎖,越多越安全
      一台電腦中僅能安裝一套防毒軟體,同時使用兩種以上的防毒軟體,不但沒辦法達到雙重防護的效果,反而更容易使得電腦門戶大開,嚴重受到病毒威脅,連帶還會影響電腦的執行效能。所以在安裝新版防毒軟體之前,記得一定要先移除舊版
    8. 朋友邀請我安裝 FB 官方不讚(dislike)按鈕,既然是官方版應該沒問題
      自從Facebook宣布即將推出”不讚” 或“同情”按鈕之後,已經陸續出現相關鼓勵受害者“立即下載官方不讚按鈕”詐騙,一旦安裝後,該惡意應用程式會用受害人的名義發文,第一則貼文就是要引誘更多朋友上當
    9. 尋找廠商技術支援,找 Google 大神最安全?
      雅虎信箱被盜,搜尋解決方案,竟”找”到麻煩:假技術支援中心,藏身搜尋結果,伺機詐財
      》看更多
    10. Facebook帳號被盜,也會波及其他帳號安全?
      犯罪分子可以用竊來的Facebook帳號存取其他要求Facebook登錄的網站。從那裡,犯罪分子可以竊取可能在另一個網站上找到的敏感資料。再拿乘車共享應用程式Uber做例子,犯罪分子可以用竊來的帳號叫車,然後讓真正的帳號擁有者付車資。
      看更多
    11. “好久沒來了吧,有人想你了..” 明知道是詐騙訊息,故意裝傻跟她玩一玩不會有損失
      一些騙人的約會程式會顯示「親切的」問候訊息,但這些自動回應的罐頭訊息一旦使用者若信以為真而想要回覆這些訊息的話,程式就會要求使用者支付大約 16 美元的月費。》看更多:看片神器?! 以色情為號召的惡意程式威脅中國、台灣及日本 Android 使用者
    12. 上飛機前一定要來個自拍上傳 FB ?
      如果上傳照片內含登機證請小心,美國資深記者柯瑞(Brian Krebs)在部落格裡解釋,為什麼將登機證照片分享出去,可能洩漏個資,因為他發現一個網站,可以將登機證上的條碼進行解碼,除了能查到旅客的姓名以外,還包括班機號碼、出發地、目的地以及未來的每一個航班,甚至可以隨意竄改裡面的個人資料,也許要更改裡面的資料要先通過安全提問,但對於駭客而言,要獲取這些資料不需花費太多心力,特別是在社群網站上總能快速得找到那些需要提問的解答。相關報導

Continue reading “【常見資安問題】分享照片在社群網站(如 Instagram)有可能洩漏居家位置嗎?/防毒軟體就像門鎖,越多越安全?/上飛機前一定要來個自拍上傳 FB ?”

從遠親姨媽到表哥的兩歲孩子,甚至是鄰居的狗都有社群帳號,這對網路犯罪者意味著什麼?

如果你是網路世代的孩子,你會相信自己已經探索過或至少知道可能在網路上出現的一切事物。但是網際網路也隨著時間的不斷改變。雖然你還是能從中得到許多東西,但它也會以各種方式從新使用者或不知情者身上取得些什麼。年輕網友和年長使用者在隱私和安全意識間的差距可能需要有個橋樑連結。

你是否有過以下的經驗:

☑ 一次意外的點擊,從此卻接二連三跑出充滿性和暴力的網站?

☑  喜歡發文打卡,在家要發,搭公車要發,外出用餐要發,出遠門旅遊更要發?

☑ 「不要理他就好了 。」孩子遇到網路霸凌(bully) 時,你也講過這句話嗎?

風險和解決方法:維護家庭和兒童的線上隱私

網際網路在本質上是公開的,但這並不代表你該放棄自己在隱私和安全方面的權利。孩子們在五歲就已經知道如何下載和玩遊戲,而且今日你可以在社群網路上找到幾乎每個人,從你的姨媽到你表哥的兩歲孩子(甚至是你鄰居的狗)。而他們大多數仍然認為網際網路是個遊樂場,可以自由取用資訊、娛樂和其他類型的內容而不會有任何後果。事實是,當我們不去思考的享受網際網路時,網路犯罪分子也在不斷地尋找新受害者,特別是那些容易被巧妙偽裝騙局所誘騙的對象。

無論我們是否喜歡,每個網路使用者都經常會在網路上遇到危險。只要能了解這些威脅,要保持安全在線並非難事。年輕的孩子、新使用者和不知情的成年人都需要關於這些威脅的教育。這裡有個簡短的列表:

一次意外的點擊就可能導致成千上萬充滿性和暴力的網站跑出來

 

惡意和不當內容 – 雖然網際網路為孩子們提供了一個有趣和學習的世界,但它也充斥著含有性、暴力和不當內容的網站。一次意外的點擊就可能導致成千上萬這樣的網站跑出來。

解決方法:為避免意外暴露於這些網站,家長應制定電腦及網際網路的使用規則。家長還可以通過瀏覽器內建的內容過濾器及提供家長監護功能的安全軟體來防止連到成人或不當的網站。

要「牛奶」,給「腥羶」最平凡的字彙,竟有另人臉紅的搜尋結果

在網路上搜尋最平凡的詞彙卻產生令人不堪入目的結果,其中不僅充斥各類色情網頁,更有夾帶惡意程式的色情圖片在其中。趨勢科技發現不僅造訪賭博網站或成人網站會受到網頁威脅攻擊,輸入一般性查尋的詞彙,所出現的連結更有出現令人傻眼的內容,例如輸入「 milk(牛奶)」這個字眼,竟出現「 Sex(性)」、Porn(色情)」等兒童不宜字眼。一旦好奇點選,更有被潛藏其中的惡意程式入侵之危險。》看更多

每天8則發文,就可以知道發文者的工作地點甚至住家

據《每日郵報》報導,專家指出,美國麻省理工學院和英國牛津大學專家指出,每天8則的發文,即便是沒有任何技術和相關知識,也可以精確的指出發文者的工作地點甚至住家。研究報告指出, 65%測試者可以大致知道使用者住家位置,而70%能推算出工作位置,甚至能有85%的能夠精準掌握其公司所在地。

Continue reading “從遠親姨媽到表哥的兩歲孩子,甚至是鄰居的狗都有社群帳號,這對網路犯罪者意味著什麼?”

《資安漫畫》還用公司 email 註冊社群網站?上班族四個使用社群網路 NG行為

 

kv
tm_logo
在臉書或推特這類的社群網路上發文時, 你會不經意談到與公司或工作有關的內容嗎?雖然使用社群網路有種好像跟朋友正在面對面坐著聊天的感覺,而且也相當容易就會聊到日常生活的瑣事或私密內容。但一個不小心,PO 文可能會洩漏了公司或客戶的資料,對發文者和公司都不是件值得按讚的事。下面就是幾個NG的例子。
NG1:使用公司的電子郵件帳號註冊社群網站
使用在 Facebook 帳號的電子郵件,在網路犯罪地下市場販售的個資中,黑市價碼較高,因為攻擊者可使用許多策略來攻破信任的圈子進入攻擊目標的社交圈名單。因為攻擊者可使用許多策略來攻破信任的圈子進入攻擊目標的社交圈名單。將一個不認識或裝熟的人加入你的社群網站小團體中,等於就是將朋友們的資料向不能受信任的第三者公開,即使對方是名人也是一樣。許多人使用公司電子郵件地址註冊 LinkedIn, Facebook 和 Adobe 等網站,小心被竊的憑證可能讓攻擊者進入公司內部網路。
NG2:將工作上的情報資訊公開
將公司或客戶開發中商品、規格、價錢、開賣日提前曝光,有可能不慎讓競爭對手得到資訊,恐怕會影響到公司或客戶的利益。發文前檢查三遍,任何與公司業務相關的機密資料,不要PO 上網路。以免像當年的微軟員工一樣,在LinkedIn 個人資料檔說了不能說的秘密。或是像十三名維珍航空公司艙員因為在臉書上公開討論工作上的事情而被解僱,他們分享飛機引擎更換的時間,還有某些機艙內有蟑螂出沒。他們還連帶侮辱了乘客-那些支付他們薪水的衣食父母。
網路上有一個知名的故事:一位 Cisco 的準員工面試了一份顯然不太情願的工作。這位年輕人在 Twitter 上抱怨自己「必須為了這份豐厚的報酬而每天通勤到 San Jose 上班,而且恨透了這份工作。」不幸的是,一位 Cisco 的員工看到了這則訊息,然後將這則訊息傳遍了整個公司和網際網路,因而引起宣然大波。
NG3:在社群網路上批評往來客戶或競爭對手
萬一你的社群網站隱私設定百密一疏,你自認為天衣無縫的抱怨文,不小心被客戶看到了,你個人單方面所發表的意見,客戶可能會曲解公司的立場。不單會傷害到公司好不容易與客戶間建立的良好關係,更有可能會因此失去這個客戶。
客戶看到你的 Facebook 貼文的原因,可能是:

  • Facebook 隱私設定不周全
  • 忘了曾經加客戶為朋友
  • 你和客戶有共同的朋友,其中有人對你的留言按讚叫好
NG4:未經允許擅自公開與客戶開會內容或照片
不管你有沒有 “偶像包袱”,大多數的人都不喜歡突然看到自己的照片被公開在社群網路上,更何況也有可能會被看到工作場合上不適合公開的事實。前陣子阿帕契風波成為新聞焦點,其實早在 2012 年英國也有相關網路事件,當時威廉王子在英國皇家空軍基地擔任救難直升機駕駛,為展現親民作風,也常常將他的軍旅照片刊登在網站上。其中有張照片是威廉王子與他的救難小隊組員,在看來像是指揮中心辦公室的地方氣氛和樂地聊天,這張照片發佈沒隔到一天,就被網友發現了問題。原來會把登入密碼也大方的貼在牆壁上的不只是尋常百姓!隨後,皇家空軍也發表官方聲明表示,已經全面更換了共同登入的使用者名稱以及密碼,也強制要求基地中的幕僚人員全面重設自己的使用者名稱以及密碼,以確保基地的資訊安全。
*小提醒:公眾場合上無法正正當當公開的事,在社群網路上就不要輕易的公開出來。
為了防止自己被朋友發布的相片或貼文所標示,且該發文無預期的在自己的臉書上被公開,請將自己臉書帳號內的"標籤審查"功能開啟.

  • 在主畫面右上角點選「▼」,選擇「設定」
  • 請點選左側「動態時報與標籤」
  • 請點選「在朋友將你標註在內的貼文,顯示在你的動態時報之前,先加以審查」右側的「編輯」,從選單中選擇「啟用」功能
  • 當有人標記你時,在審查頁面就會出現該內容,你可自行決定是否加到自己的動態時報上與否

 

當年英國威廉王子這張照片發佈不到一天,就被迫全面下架,不過內容早就被有心人備份了….你看到問題了嗎?

Posted by 趨勢科技 Trend Micro

7個使用社群網站安全提醒

  • 發出訊息前先檢查三遍,務必確認沒有任何後顧之憂後再按下發送鍵。
  • 如果發佈的這個訊息只能用悄悄話或私密訊息發送,那就不要張貼。發出訊息前,要有無法確實刪除的心理準備。
  • 千萬別公開個人或公司內部其他同仁的個人資訊 (電子郵件地址、電話號碼、住址等等)。
  • 設立複雜而不易破解的安全強度高的密碼。
  • 若使用不同的社交網路不可使用一模一樣的密碼。
  • 任何與公司業務相關的機密資料,不要PO 上網路。
  • 不要在社交網路提到公司組織成員、內部進行中的專案等等,可能導致企業資料外洩的訊息。
【延伸閱讀】
什麼是 Facebook Fired?下班後,不能在臉書說的話(多則先烈案例)
他在社群網路的推文,為何讓他登機遭拒?
六個常在 Facebook上犯下的錯誤與案例(詳盡案例說明)
“裸胸照的讚不是我按的!”從一張影響選情的 Facebook 照片談社群隱私
找上你的是獵人頭公司,還是….如何看穿商務社群網站上的詐騙?
愛發文打卡者請注意!一天8篇發文,就能推測出你住家和辦公室位置
《資安漫畫》還用公司 email 註冊社群網站?上班族四個使用社群網路 NG行為
Copyright © 2016 Trend Micro Incorporated. All rights reserved.

 

盤點 2016 十大資安數字-一般用戶篇

2016 年發生了資安事件? 讓我們用一些資安數字來回顧相關新聞:
本系列另一篇:盤點2016 十大資安數字-企業機構篇

1.雅虎 5 億用戶資料外洩

今年九月底Yahoo發生了大規模資料外洩事件。這家網路先驅最近承認5億筆帳號相關資料是兩年前竊自它的網路,只是最近才發現。這可能給了壞人很長一段時間來侵害你的資料,如果你是Yahoo使用者的話。
這是一連串網路巨擘出現資料外洩事件的其中一起,其他還包括了LinkedIn、tumblr、MySpace、成人交友網站 FriendFinder Networks 等等。但它是目前以來的最大咖,可能也是外洩最嚴重的一次。

其中 11 月成人交友網站 FriendFinder Networks逾4億成人網站帳號曝光外洩的用戶資料中,有高達99%的密碼是清晰可見的明文。前五名最常用密碼依序是123456、12345、123456789、12345678、1234567890。相關報導

信件 網路釣魚Mail

 

⊙延伸閱讀:

Yahoo驚爆史上最大資料外洩, 必學!五步驟密碼安全小技巧

< CTO 觀點 >從LinkedIn 逾一億資料外洩事件,看密碼設定等更多未解的問題

Dropbox 超過 6,000 萬帳戶資料被盜 /刷卡機加裝側錄機 過卡2次個資恐外洩

 

2.一天8篇文就能推測出你住家位置

據英國《每日郵報》報導,美國麻省理工學院和英國牛津大學專家指出,每天8則發文,即便是沒有任何技術和相關知識,也可以精確的指出發文者的工作地點甚至住家位置。研究報告指出, 65%測試者可以大致知道使用者住家位置,而70%能推算出工作位置,甚至能有85%的能夠精準掌握其公司所在地。

延伸閱讀:愛發文打卡者請注意! 一天8篇發文,就能推測出你住家和辦公室位置

周末愉快~小提醒:打卡不要將別人拖下水▼請看:安全打卡 8 要點▼blog.trendmicro.com.tw/?p=2950

Posted by 趨勢科技 Trend Micro

 

3.全台每8秒一個裝置受到勒索病毒攻擊!

趨勢科技針對台灣勒索病毒最新現況提出警訊:全台平均每8秒就有一個裝置受到攻擊!其中有高達4成是針對一般消費者的電腦裝置進行攻擊。在日漸頻繁的勒索病毒攻擊下,網路大數據顯示消費者最心痛的遭勒索經歷前三名依序為:舊時照片找不到、拯救電腦要花錢以及重要文件打不開,再再都造成消費者難以計算的精神與金錢損失。 Continue reading “盤點 2016 十大資安數字-一般用戶篇”

假面攻擊(Masque Attack)利用iOS程式碼簽章漏洞,造假應用程式並繞過隱私防護  

 

假面攻擊(Masque Attack)利用iOS程式碼簽章漏洞,造假應用程式並繞過隱私防護   

假面攻擊(Masque Attack)在2014年被首度報導,駭客只要使用相同Bundle ID的變造企業簽章應用程式就能替換掉App Store上的真正程式。Apple隨後就修補了這個漏洞(CVE-2015-3772CVE-2015-3725),不過當它關上了一扇門,詐騙分子也隨及打開了另一扇窗。Haima重新封裝過的廣告軟體和其原生Helper應用程式證明App Store詐騙仍然存在。

⊙ 延伸閱讀:iOS再曝高危險漏洞,會置換你合法下載的應用程式

趨勢科技在App Store上發現大量使用企業憑證及跟合法應用程式使用相同Bound ID的有問題iOS應用程式。經過深入研究後,我們發現Haima和其他第三方應用程式商店利用iOS程式碼簽章程序內的功能來達成資料繼承,從而完成其惡意行為。我們與Apple進行合作,並在iOS 10解決了這些問題,現在可以防止合法應用程式被造假版本蓋過。但是使用iOS 9.3.5或之前版本的設備仍可能受到影響,因此建議使用者要更新到iOS的最新版本。

 

潛在風險

不僅僅用來製造山寨版,這些漏洞也造成嚴重的風險,惡意分子可以針對合法應用程式來散布惡意軟體。詐騙者只需要建立跟正版應用程式具備相同Bundle ID的惡意程式,接著利用其熱門程度來誘騙使用者安裝他們的惡意軟體。企業所用的內部應用程式也一樣能夠透過相同Bundle ID來偽造、重新簽章和重新封裝。

對合法應用程式所造成的影響可能有很多種,取決應用程式如何控制自己的資料或如何實作其功能。許多合法應用程式用JavaScript來實作服務,其程式碼會自伺服器取回。利用這漏洞可以讓攻擊者用自己的伺服器連結替換掉原本的連結。讓他們能夠變更應用程式邏輯,接著控制應用程式的行為。

他們還可以修改資料來偽造網址,讓合法應用程式連到惡意服務來騙取個人身份資料,甚至直接竊取使用者的網路銀行帳號。還可以修改應用程式功能,例如替換應用程式開啟的網址來下載惡意軟體(在使用者「信任」憑證後執行)。也可以修改合法應用程式的廣告識別碼,將產生的廣告獲利轉給詐騙者。

 

假社群媒體應用程式(下方)顯示跟官方/正版程式使用相同的Bundle ID(上方)
圖1、假社群媒體應用程式(下方)顯示跟官方/正版程式使用相同的Bundle ID(上方)

Continue reading “假面攻擊(Masque Attack)利用iOS程式碼簽章漏洞,造假應用程式並繞過隱私防護  “