資料外洩/個資外洩 - 資安趨勢部落格

【密碼管理】Yahoo雅虎驚爆史上最大資料外洩, 必學!五步驟密碼安全小技巧

2016 年 10 月 06 日2019 年 02 月 11 日趨勢科技 TrendMicro

英國每日鏡報（Mirror）報導，個資外流的雅虎帳號中，最常用的密碼分別是以下十個:
❶ 123456
❷ password
❸ welcome
❹ ninja
❺ abc123
❻ 123456789
❼ 12345678
❽ sunshine
❾ princess
❿ qwerty

(2016/11/11 更新)

如果你還待在地球上，應該已經知道Yahoo發生了大規模資料外洩事件。這家網路先驅最近承認5億筆帳號相關資料是兩年前竊自它的網路，只是最近才發現。這可能給了壞人很長一段時間來侵害你的資料，如果你是Yahoo使用者的話。在前一篇文章專家提醒大家光是變更密碼並不足夠保護帳號安全!,請檢查使用Yahoo帳號的iPhone郵件應用程式是否仍可存取,這一篇文章我們來複習保持密碼安全小技巧。

這是一連串網路巨擘出現資料外洩事件的最新一起，其他還包括了LinkedIn、tumblr、MySpace等等。但它是目前以來的最大咖，可能也是外洩最嚴重的一次。讓我們藉此機會來檢視一些最佳實作跟安全提示，可以幫助你保護使用密碼帳號的安全。

當心假冒 Yahoo官方發送的確認帳號網路釣魚信

根據Yahoo所說，國家等級的駭客侵入了它的網路，可能已經取走姓名、電子郵件地址、電話號碼、出生日期、密碼雜湊值，還在某些情況下的加密或未加密的安全問題和答案。這影響了整個Yahoo、Yahoo理財、Yahoo運動和Flickr使用者。

當此種網路攻擊發生時，不只是會讓該公司陷入麻煩，還包括其服務的使用者們。Yahoo指出使用者的支付資料和銀行帳號資料不會儲存在系統中，所以是安全的。但使用者在攻擊過後仍然面臨許多風險。

本落格曾報導過刑事局警告:假 Gmail異常登入通知,真騙密碼!駭客善於利用竊來的帳號資料來進行所謂的網路釣魚（Phishing）攻擊，偽裝成Yahoo或其他公司來寄送電子郵件給目標。詳細的資料可以用來讓電子郵件看起來更真實。他們可能會要求受害者點入連結來確認帳號或是類似的手法。這樣做的目的是為了得到更多使用者的敏感資訊，通常跟財務有關。或甚至利用資料竊取惡意軟體來加以感染。

萬萬不可一組密碼走天下

更甚之，許多Yahoo使用者可能會在不同網站使用相同的密碼，甚至是相同的使用者名稱/密碼組合。如果這樣，那麼擁有你詳細資料的網路犯罪份子就可以侵入其他網路帳號，造成更多的傷害和經濟損失。

刑事局曾破獲歹徒將生日、電話等個資，破解數百名Yahoo！等網站用戶密碼，再以同一帳號密碼登入其他網站。總之別和 Facebook 創辦人一樣用萬用密碼！五招讓帳密更安全

犯罪者會利用這些隨處使用同一組帳號密碼的使用者心理，將到手的帳號密碼組合使用，嘗試登入各種服務。因此，若隨處使用相同的帳號密碼，其他各種服務也會遭到非法登入，受害的範圍將會擴大。

LINE台灣臉書官方帳號公布「7種最常被盜的登入密碼」，看看你中獎了嗎?

1.一組密碼走天下
2.生日
3.純數字
4.密碼太短
5.跟帳號一樣繼續閱讀

從論壇受駭事件,看熱門網路平台的漏洞攻擊

2016 年 08 月 30 日2016 年 08 月 22 日趨勢科技 TrendMicro

最近的遭受駭客攻擊的Ubuntu、列王的紛爭（Clash of Kings）、戰甲神兵（Warframe），還有最新一起的迪士尼Playdom都具備了兩個共通點，都是使用vBulletin（一個為線上社群設計的網路論壇軟體），它們還有一個共通的特點:都被駭了。雖然這些事件並沒有關聯，報告指出每起攻擊背後的駭客都可以取得類似的詳細資料 – 用戶名稱、電子郵件地址、IP地址和兩款熱門遊戲的Facebook個人檔案資料。

論壇軟體：一個被低估的危險性

最近的這些論壇受駭事件顯示熱門網路平台仍然可能遭受基礎的漏洞攻擊。不幸的是，儘管多數網路平台的外觀感覺都已經大幅改變，要管理論壇軟體仍然是個艱鉅的挑戰，因為這些平台都是公開使用，意味著大多數的資料庫仍然容易受到特定類型的攻擊。

論壇軟體一向都很難加以防護。它們需要處理大量傳入的使用者輸入，如搜尋和貼文，需要SQL資料庫來儲存所有之前的文章，通常都是由小型開發團隊所為戶，所以疏漏有時是難以避免。升級論壇軟體通常是件不簡單的任務，而且更新程式需要時間才會發布，這可能是為什麼大多數管理員不會立刻更新。

在列王的紛爭（Clash of Kings）被駭事件中（可能還有其他也是），駭客攻擊了一個未更新修補程式的漏洞，據說是因為列王的紛爭論壇使用的是2013年的舊版本vBulletin，而且沒有使用任何加密。在Ubuntu和戰甲神兵（Warframe）被駭事件中，攻擊者利用了SQL注入漏洞，這也是駭客們最喜歡的工具之一。輕微的疏忽，如使用舊版或過時的軟體，或是沒有更新修補程式都會讓危險放大。

在2016年6月，駭客從超過一千個熱門論壇竊取了數萬名帳號，這些論壇都是架設在VerticalScope，一家多倫多媒體公司。根據入侵外洩通知網站LeakedSource，資料外洩的範圍可能已經大於原先的預期。再一次，連串駭客事件顯示受駭網站沒有達到今日安全環境的要求：更強的加密和持續更新修補程式以解決已知的安全漏洞。

被竊的資料怎麼了？

使用者的認證資料，如使用者名稱和密碼是攻擊者的共同目標，並且能為進一步的攻擊和詐騙提供相當長期的價值。網路犯罪分子會利用資料的金融價值，貨幣化他們所竊取的資料 – 多寡取決於資料的類型。例如，在巴西地下市場，市內電話號碼清單可以賣到317美元到1,931美元之間，而一組電子郵件登入憑證可以在中國黑市賣較便宜的價格 – 163美元。工作和個人電子郵件地址可以在俄羅斯地下市場賣到高達200美元。

[延伸閱讀：遭竊個人資料的全球黑市]

繼續閱讀

調查:超過 20% 受訪單位防禦勒索病毒不及格;26%企業未做好資料外洩防範

2016 年 07 月 21 日2017 年 06 月 30 日趨勢科技 TrendMicro

2016 年 1 月至 5 月期間，趨勢科技做了一項網路調查，請受訪者就「趨勢科技 2016 年資安預測」報告當中所提出的各項資安領域評估一下其所屬公司的準備情況。我們統計了受訪者的回應，並就其公司的資安準備度與今年最大的資安威脅做個比較，得出一項對應的成績。

成績「優良」者，代表企業機構已能防範今年最大的資安威脅。成績「及格」者，代表企業機構已建置了相當的安全防護，但在某些領域仍有改善空間。成績「不及格」者，代表企業機構並未達到保護企業資料和資產的最低基本要求。不過，不及格的企業機構不必氣餒，只要強化一下當前的資安策略並投資適當的解決方案即可。

根據這項「企業資安準備度調查」，僅有 18% 的受訪者已做好充分準備，另有 21% 在一些關鍵的防護點並未做好防禦措施。以下是我們根據產業和地理區域所做出來的統計數據和圖表。

不同產業的資安準備度

26%受訪單位未做好資料外洩防範

整體來看，資料防護依然是許多企業機構最弱的環節，有 26% 的受訪者表示並未做好網路攻擊相關資料外洩的防範。此外，在全部的受訪者中，有 18% 的受訪者對於網路勒索、行動惡意程式以及其他行動付款機制相關的威脅並未做好準備。

超過 20% 受訪單位防禦勒索病毒不及格

今年依然有各種新的網路勒索手法和形態出現。根據美國聯邦調查局 (FBI) 的統計，2016 年第一季勒索病毒 Ransomware (勒索軟體/綁架病毒)的獲利創下有史以來的新高：2.09 億美元。然而，有 33% 受訪者仍表示其公司不是沒有嚴格執行重要資料的強制備份，就是不曉得他們到底有沒有備份。有超過 20% 的通訊/媒體、銀行，以及教育機構在勒索病毒防範方面拿到不及格的成績。

25%使用智慧型裝置的醫療機構，未能充分採用最佳實務原則防範威脅

當被問到公司是否有配發 PC、筆記型電腦、平板、智慧型手機之外的工作用聯網裝置給他們時，受訪者的回答呈現兩極化。將近 50% 表示沒有，其餘的則被允許在工作上使用個人或配發的智慧型裝置。那些使用智慧型裝置來工作的受訪者，顯然已做好嚴格的身分認驗證措施，並且會定期更新。然而，在使用智慧型裝置的醫療機構當中，有 25% (大多在美國) 並未充分採用最佳實務原則來防範物聯網（IoT ,Internet of Thing）威脅。繼續閱讀

【密碼管理】大量資料外洩事件後遺症, 重複使用密碼攻擊上升

2016 年 07 月 12 日2019 年 02 月 11 日趨勢科技 TrendMicro

刑事局曾破獲歹徒將生日、電話等個資，破解數百名Yahoo！等網站用戶密碼，再以同一帳號密碼登入其他網站。這不是個案,跨國軟體大廠Citrix的GoToMyPC團隊在6月19日的安全訊息中通知重要客戶出現「複雜的密碼攻擊」，要求所有客戶立即重設密碼，這是因為前幾天被發現且適時回報的安全問題，那時使用者聲稱無法登錄帳號，他們建議使用者透過網站上的忘記密碼選項來重設密碼。

在此道歉啟事過後，該團隊在6月20日披露了更多相關分析結果。Citrix的產品線總監John Bennett在一份聲明中指出：「Citrix確認最近所發生的事件是密碼重複使用攻擊，攻擊者使用來自其他網站所洩漏的使用者名稱和密碼來存取GoToMyPC使用者的帳號，此外，並沒有發現其他Citrix產品線遭受攻擊」。

該聲明強調並無客戶敏感資料（如信用卡資訊）被取出系統。除了強制重設密碼外，該公司還強烈建議啟用雙因子認證，好在此事件過後建立更緊密的防禦措施。繼續閱讀

2 億 7,200 萬筆失竊電子郵件帳號資料，駭客只賣 1 美元

2016 年 06 月 03 日2016 年 05 月 30 日趨勢科技 TrendMicro

美國威斯康辛州資安廠商 Hold Security 的員工 Alex Holden 表示，他在某駭客的收藏品當中發現了數億筆使用者帳號資料，包括：電子郵件地址和登入密碼。這批資料包含了各大電子郵件服務廠商的帳號：Mail.ru (俄羅斯知名電子郵件服務)、Google、Yahoo、Microsoft (Hotmail)，以及一些德國和中國的電子郵件服務。

該研究人員表示，其公司研究人員是在某俄羅斯地下網路論壇上看到有駭客吹噓自己收藏了高達 11.7 億筆使用者帳號密碼，才會讓這件事浮上檯面。經過進一步的分析並去除重複資料之後，該公司確認非重複的帳號資料有 2 億 7,230 萬筆，其中 15% 是之前未曾曝光的。Holden 指出，其中有 5,700 萬筆是 Mail.ru 帳號，若對照 Mail.ru 在 2015 年底所公布的 6,400 萬活躍用戶來看，比例可說是相當驚人。其餘的資料還有：Yahoo! 帳號 4,000 萬筆、Hotmail 帳號 3,300 萬筆， Gmail 帳號 2,400 萬筆等等。

有趣的是，駭客原本想將整批資料以 50 俄羅斯盧布 (不到 1 美元) 的價格出售，但 Hold Security 卻藉由同意在駭客論壇上給該賣家優良評價而免費取得了這批資料。

[延伸閱讀：揭開五個資料外洩的迷思]

此事件讓幾星期以來的一連串資料外洩又增添一樁，其中最知名包括：美國電信業者 Verizon Enterprise、天主教丹佛總教區 The Catholic Archdiocese of Denver、史丹佛大學 Stanford University 以及美國知名連鎖超市 Sprouts Farmers Market。繼續閱讀