|
分類: 社群(交)網路
盤點 2016 十大資安數字-一般用戶篇
2016 年發生了資安事件? 讓我們用一些資安數字來回顧相關新聞:
本系列另一篇:盤點2016 十大資安數字-企業機構篇
1.雅虎 5 億用戶資料外洩
今年九月底Yahoo發生了大規模資料外洩事件。這家網路先驅最近承認5億筆帳號相關資料是兩年前竊自它的網路，只是最近才發現。這可能給了壞人很長一段時間來侵害你的資料，如果你是Yahoo使用者的話。
這是一連串網路巨擘出現資料外洩事件的其中一起，其他還包括了LinkedIn、tumblr、MySpace、成人交友網站 FriendFinder Networks 等等。但它是目前以來的最大咖，可能也是外洩最嚴重的一次。
其中 11 月成人交友網站 FriendFinder Networks逾4億成人網站帳號曝光外洩的用戶資料中，有高達99%的密碼是清晰可見的明文。前五名最常用密碼依序是123456、12345、123456789、12345678、1234567890。相關報導
⊙延伸閱讀:
Yahoo驚爆史上最大資料外洩, 必學!五步驟密碼安全小技巧
< CTO 觀點 >從LinkedIn 逾一億資料外洩事件,看密碼設定等更多未解的問題
Dropbox 超過 6,000 萬帳戶資料被盜 /刷卡機加裝側錄機 過卡2次個資恐外洩
2.一天8篇文就能推測出你住家位置
據英國《每日郵報》報導，美國麻省理工學院和英國牛津大學專家指出，每天8則發文，即便是沒有任何技術和相關知識，也可以精確的指出發文者的工作地點甚至住家位置。研究報告指出， 65%測試者可以大致知道使用者住家位置，而70%能推算出工作位置，甚至能有85%的能夠精準掌握其公司所在地。
⊙延伸閱讀:愛發文打卡者請注意! 一天8篇發文,就能推測出你住家和辦公室位置
周末愉快~小提醒:打卡不要將別人拖下水▼請看:安全打卡 8 要點▼blog.trendmicro.com.tw/?p=2950
Posted by 趨勢科技 Trend Micro
3.全台每8秒一個裝置受到勒索病毒攻擊！
趨勢科技針對台灣勒索病毒最新現況提出警訊：全台平均每8秒就有一個裝置受到攻擊！其中有高達4成是針對一般消費者的電腦裝置進行攻擊。在日漸頻繁的勒索病毒攻擊下，網路大數據顯示消費者最心痛的遭勒索經歷前三名依序為：舊時照片找不到、拯救電腦要花錢以及重要文件打不開，再再都造成消費者難以計算的精神與金錢損失。 繼續閱讀
假面攻擊（Masque Attack）利用iOS程式碼簽章漏洞,造假應用程式並繞過隱私防護
假面攻擊（Masque Attack）在2014年被首度報導，駭客只要使用相同Bundle ID的變造企業簽章應用程式就能替換掉App Store上的真正程式。Apple隨後就修補了這個漏洞（CVE-2015-3772和CVE-2015-3725），不過當它關上了一扇門，詐騙分子也隨及打開了另一扇窗。Haima重新封裝過的廣告軟體和其原生Helper應用程式證明App Store詐騙仍然存在。
⊙ 延伸閱讀:iOS再曝高危險漏洞,會置換你合法下載的應用程式
趨勢科技在App Store上發現大量使用企業憑證及跟合法應用程式使用相同Bound ID的有問題iOS應用程式。經過深入研究後，我們發現Haima和其他第三方應用程式商店利用iOS程式碼簽章程序內的功能來達成資料繼承，從而完成其惡意行為。我們與Apple進行合作，並在iOS 10解決了這些問題，現在可以防止合法應用程式被造假版本蓋過。但是使用iOS 9.3.5或之前版本的設備仍可能受到影響，因此建議使用者要更新到iOS的最新版本。
潛在風險
不僅僅用來製造山寨版，這些漏洞也造成嚴重的風險，惡意分子可以針對合法應用程式來散布惡意軟體。詐騙者只需要建立跟正版應用程式具備相同Bundle ID的惡意程式，接著利用其熱門程度來誘騙使用者安裝他們的惡意軟體。企業所用的內部應用程式也一樣能夠透過相同Bundle ID來偽造、重新簽章和重新封裝。
對合法應用程式所造成的影響可能有很多種，取決應用程式如何控制自己的資料或如何實作其功能。許多合法應用程式用JavaScript來實作服務，其程式碼會自伺服器取回。利用這漏洞可以讓攻擊者用自己的伺服器連結替換掉原本的連結。讓他們能夠變更應用程式邏輯，接著控制應用程式的行為。
他們還可以修改資料來偽造網址，讓合法應用程式連到惡意服務來騙取個人身份資料，甚至直接竊取使用者的網路銀行帳號。還可以修改應用程式功能，例如替換應用程式開啟的網址來下載惡意軟體（在使用者「信任」憑證後執行）。也可以修改合法應用程式的廣告識別碼，將產生的廣告獲利轉給詐騙者。
