社群(交)網路 - 資安趨勢部落格

《資安漫畫》【FB 與 IG 隱私設定】出遊打卡,把親友拖下水,還告訴小偷:闖空門正是時候?

2018 年 01 月 16 日2019 年 08 月 22 日趨勢科技TrendMicro

據英國《每日郵報》報導，美國麻省理工學院和英國牛津大學專家指出，每天8則發文，即便是沒有任何技術和相關知識，也可以精確的指出發文者的工作地點甚至住家位置。研究報告指出， 65%測試者可以大致知道使用者住家位置，而70%能推算出工作位置，甚至能有85%的能夠精準掌握其公司所在地。

網友發表一篇要跟愛打卡的老婆離婚了引起很多迴響,作者說:” 我工作請假是說家裡有事情,也沒告訴同事說要出國,連爸媽我都沒說…”一周後回國卻發現 “我的電視、音響，家裡所有值錢的東西都被搬光了, 我心裡有碎掉的聲音…..”,這是個血淋淋的真實案例.

以下還有兩則跟打卡有關的新聞報導,不禁讓小編要再度提醒大家安全「打卡」重要性了。

【案例一】:臉書打卡慶生女通緝犯躲16年破功,一名判刑遭通緝的沈姓女子，逃匿十六年，追訴時效再過十四天將消滅，但她過生日時在臉書上打卡，台南市玉井警方因此掌握到她行蹤，將她逮捕到案。

【案例二】:這則新聞小開臉書打卡洩蹤,綁匪按表擬擄人計畫報導說男子得知某小開常使用臉書紀錄個人資料，整理其臉書訊息以了解其作息及擬定擄人計畫，將他擄走後勒贖500萬元。

在這個社群網路快速擴張的時代，不僅是年輕人，小孩、大人們的FB、Ig使用率居高不下。但因為能輕易上傳日常生活動態以及刊登個人資訊得緣故，您公開的資訊，很有可能會被不法分子盯上。

繼續閱讀

Digmine 數位貨幣挖礦程式,透過Facebook Messenger 散播中

2017 年 12 月 27 日2017 年 12 月 27 日趨勢科技 TrendMicro

趨勢科技發現一個新的數位貨幣挖礦殭屍網路會透過Facebook Messenger散播，該惡意程式已經從韓國蔓延至越南、亞塞拜然、烏克蘭、越南、菲律賓、泰國和委內瑞拉等地,以散播方式來看，相信很快就會散播到其他國家。我們將其命名為 Digmine，這是根據在韓國最近所發生相關事件的報告內所提到的別名（비트코인채굴기bot）。

Digmine會偽裝成影片檔傳送，但實際上是個] AutoIt 可執行的腳本程式。如果使用者的Facebook帳號設定為自動登入，Digmine會操作Facebook Messenger將該檔案連結送給帳號的好友。對Facebook的利用目前僅限於散播，但攻擊者未來也可能會劫持Facebook帳號本身。功能性程式碼是取自命令和控制（C&C）伺服器，意味著可以被更新。

Digmine並會搜尋並啟動Chrome，然後載入從C&C伺服器取得的惡意擴充功能。

數位貨幣挖礦殭屍網路的已知工作模式（特別是挖掘門羅幣的Digmine）會盡可能地留在受害者系統內。它也會希望感染盡可能多的機器，因為這代表了運算力的增加以及更多可能的網路犯罪收入。

圖1：Digmine的攻擊鏈

圖2：透過Facebook Messenger（上）發送的Digmine連結及偽裝成影片的檔案（下）；原始圖檔來源：c0nstant（右下）

繼續閱讀

Facebook投票功能竟可刪除他人照片!漏洞發現者獨得美金一萬元

2017 年 12 月 06 日2017 年 12 月 05 日趨勢科技 TrendMicro

Facebook出現一個能夠讓惡意人士刪除使用者張貼在社群網路上照片的漏洞。安全研究人員發現Facebook新的投票功能有漏洞，這投票功能可以讓使用者建立給朋友和關注者投票的兩問題投票。這問題已經回報給社群網路的安全團隊並在12小時內提供初步修復，兩天之後會全面修復。

伊朗的安全研究和網路開發人員Pouya Darabi在檢查Facebook的新功能時注意到此漏洞。Darabi發現自己可以經由變更ID號碼來加入圖片。這讓他可以預覽Facebook使用者在線上傳的圖片，並將其加入到投票內。當他刪除這次投票，附加的圖片也會被從社群網路中永久刪除。

這漏洞並不容易攻擊，因為上傳圖片的ID號碼並不完全照順序。攻擊者必須計算自己的步驟來碰上有效的圖片。因此想針對特定照片會很困難。

Darabi因發現並回報此安全漏洞而獲得10,000美元獎金。這並不是這名安全研究人員第一次從Facebook獲得獎金。在2015年，他因為繞過跨站請求偽造（CSRF）保護系統而獲得15,000美元獎金。而次年他因為類似漏洞又獲得了7,500美元。

這漏洞的出現提醒了人們社群網路跟其使用者同樣容易遭受網路威脅。使用者在瀏覽自己的社群網路帳號時也要小心，因為如果不是Facebook在安全研究人員通知後快速地解決，他們自己並沒有辦法來處理這漏洞所造成的問題。這次修復可以防止使用者的數位資產被外露，不過還是要持續關注網路犯罪分子未來可能開發的漏洞攻擊。

保護你的社群媒體帳號

最近一項研究顯示人們平均每天在社群網路上花費約116分鐘。社群媒體的無處不在加上它的帳號跟越來越多應用程式和帳號連結，社群媒體平台自然成為了惡意攻擊者的理想目標。

以下是保護帳號安全的一些建議：

保持行動應用程式在最新狀態。確保更新到所使用平台的最新版本。安全修補程式可以保護你免於上述漏洞攻擊等威脅危害。
關閉沒有在用的帳號。遺忘的社群媒體帳號可能會洩漏資訊而不自知。駭客可以利用它來存取所連結的其他帳號，像是你的電子郵件。
檢查有哪些應用程式連結你的社群媒體。你是否有用Facebook或Google來登錄其他應用程式？評估這是否必要。
遵循良好的密碼習慣。在每個社群媒體帳號使用不同的密碼，並確保每個密碼都很複雜且不常見。替所有的帳號啟用雙因子認證來防止有人未經授權的存取。
替你的社群媒體帳號使用獨特的電子郵件地址。可以的話專門替社群媒體建立全新的電子郵件帳號，這樣萬一你遭到入侵，駭客也無法存取到任何有價值的資訊。

繼續閱讀

如何保護你的社群媒體帳號?

2017 年 10 月 25 日2017 年 12 月 05 日趨勢科技 TrendMicro

最熱門的社群平台擁有數十億的使用者，而且這數字還在每年的增加中。Facebook、YouTube和Instagram等各領域的巨擘已經遠超過原本只是用來分享、娛樂和溝通的目的。現在企業將它們視為有用的廣告工具，而使用者也可以將分享內容當作職業。不僅如此，其他應用程式也會用主流社群媒體帳號來驗證使用者身份 – 你可以用Facebook或Twitter帳號來註冊各種應用程式和遊戲。而企業現在也經常在社群媒體上調查未來的員工，將其作為一種人格特質檢查。

根據一項最新的研究，因為社群平台的多樣用途，讓它們成為一般人每天會花費約116分鐘在上面的重要工具。由於它們的無所不在，並且連結了越來越多手機或其他設備上的應用程式，讓保護它們安全變得更加必要。

以下是提供給使用者和企業關於社群媒體管理的一些最佳做法。

保護你的個人社群媒體帳號

駭客可以拿入侵的帳號做什麼？

取得個人資料 – 透過社群媒體帳號可以找到購物帳號，甚至是銀行資訊
如果你的社群媒體帳號和你的工作電子郵件相連結，還可以用來連上企業網路，讓駭客有機會去入侵企業網路
竊取身份 – 帳號可以用來在另一個網站上註冊
寄威脅信給使用者 – 在極端的案例中，駭客可以用敏感資料來騷擾受害者

各家社群平台都具有你可以加以利用的安全功能。以下是五個保護個人帳號安全的一些建議：

關閉沒有在用的帳號。
被遺忘的社群媒體帳號可能會被入侵而不被注意。駭客可以利用來存取與其相連結的其他帳號，如你的電子郵件。
檢查有哪些應用程式連結到你的社群媒體。
你是否有用Facebook或Google帳號來登錄其他應用程式？評估這些連結是否必要。
建立良好的密碼使用習慣。
替你的每個社群媒體帳號設定不同的密碼，確保每個密碼都足夠複雜而不過於簡單。啟用雙因子認證（2FA）可以防止未經授權的使用者存取你的帳號。
保持行動應用程式在最新狀態。
確保自己使用最新版本的平台。安全修補程式可以保護你免於最新的已知威脅。
讓社群媒體帳號使用獨特的電子郵件。
如果可以的話，替社群媒體帳號建立專用的新電子郵件地址。這樣即使被盜用，駭客也無法存取有價值的資訊。