資料外洩/個資外洩 - 資安趨勢部落格

回顧（及前瞻）PoS惡意軟體

2015 年 02 月 17 日2016 年 01 月 25 日趨勢科技 TrendMicro

2014年是PoS（銷售終端）威脅倍受矚目的一年。沒錯，PoS威脅已經存在多年了。但去年一月的Target資料外洩事件讓普羅大眾注意到此種威脅。

2014：PoS惡意軟體的一年

雖然Target資料外洩事件可能是2014年第一起和銷售終端有關的攻擊，但很快地我們就清楚地知道這並非最後一起。到去年第三季為止，出現了六個PoS記憶體擷取惡意軟體，這跟2011年到2013年間所發現的變種總數一樣。

更讓人感興趣的是，這些新變種不是借用早期版本的功能，就是直接從舊版PoS記憶體擷取惡意軟體家族演進而來。例如，BackOff是Alina的前身。BackOff據報導曾被用在針對Dairy Queen和UPS的攻擊中。

但它們並非唯一在2014年活躍的變種。備受矚目的Home Depot外洩事件跟一個被稱為BlackPoS的知名PoS惡意軟體家族有關。這也是用在Target資料外洩事件中的惡意軟體家族。PoS惡意軟體還出沒在美國的感恩節周末，這是有名的購物假期。另一個被稱為LusyPoS的銷售終端惡意軟體則出現在俄羅斯地下論壇。

在地下世界的PoS相關活動

由於PoS記憶體擷取程式漸漸地被大量做為快速賺錢的工具，開發套件也開始在網路犯罪地下世界浮出檯面。其中一個是VSkimmer，在2013年出現用來打造PoS記憶體擷取程式的工具。

透過記憶體擷取程式竊取信用卡資料後，多數詐騙份子接著會在論壇上批次出售偷來的信用卡資料。交易都是使用比特幣、西聯匯款、MoneyGram、Ukash或WebMoney等完成，因為這些方式提供買賣雙方便利性和匿名性。

就跟一般產業一樣，供需問題會大大的影響地下世界。不同的信用卡根據需求和供給狀況而在地下卡片市場有著不同的單位價格。一次性大量購買信用卡資料通常都有折扣，在某些例子中甚至可以拿到高達66％的折價。

一個有意思的發現是Discover和美國運通（AMEX）卡的單價比Visa和MasterCard卡高。這是因為AMEX和Discover卡的資料跟較通用的Visa和MasterCard卡比起來更難看到；少見的資料價格較高。不過並沒有明確原因顯示出AMEX和Discover卡資料會比Visa和MasterCard卡資料來的更有利可圖。

擴大目標

PoS攻擊也在2014年擴大其目標範圍。詐騙份子走出了購物中心，開始攻擊像機場、地鐵站和停車場等新目標。

資安公司Census的研究人員展示關於針對機場旅客的PoS攻擊資料。Census將PoS的定義延伸到機場的自助登機服務站、無線網路服務站、行李定位服務站等。研究人員可以發動簡易的攻擊以從這些自助服務機台擷取旅客的資料。資安公司IntelCrawler談論到一個稱為「d4re| DEV1|」（daredevil）的PoS惡意軟體，它的目標是大眾運輸系統的車站。該惡意軟體具備遠端管理、遠端更新、記憶體擷取和鍵盤側錄等功能。

停車場也成為詐騙份子竊取付費資訊的熱門目標。一家美國的停車場管理廠商有17座停車場的付費處理系統受到入侵。另一家泊車服務公司Park’N Fly也發生資料外洩事件，被竊走的資料出現詐騙事件裡。另一家服務onestopparking.com也成為Target和Home Depot資料外洩事件幕後網路犯罪集團的受害者。

PoS攻擊的未來

那PoS攻擊的未來會是什麼？繼續閱讀

敏感的醫療資料,受到駭客前所未有的注意

2015 年 02 月 13 日2015 年 02 月 24 日趨勢科技 TrendMicro

敏感的醫療資料現在受到駭客前所未有的注意。網路犯罪分子渴望去偷到寶貴的病人醫療資訊以在深層網路賣個好價錢，他們到目前為止都很成功 — 在2014年至少有750萬份記錄外洩。不過當其使用更加隱蔽也更為複雜的攻擊技術時，醫療體系的IT人員可以借助新的威脅情報系統來加以解決。

這裡會談論該如何做。

更具威脅的環境

跟其他產業一樣，醫療體系也受到越來越多的攻擊。在2014年回報的資料外洩紀錄中，醫療產業受到最嚴重的攻擊。通常是以魚叉式釣魚郵件的形式抵達，設計來誘騙使用者打開惡意附件檔或點擊惡意連結 — 比方說偽稱來自醫院高層的試算表。這會讓受害者在不知情下去下載惡意軟體。一旦進入系統，攻擊者可以躲藏好幾個星期到幾個月，悄悄地偷出病人醫療資訊（PHI）和其他敏感資料。

攻擊者會使用多個端口及多種協定，而且通常會特製惡意軟體以躲避傳統的過濾程式。大多數網路犯罪分子能夠在地下論壇找到他們發動攻擊所需的一切，可以買到工具和服務。所以醫院管理者和醫療體系IT人員需要的比防毒軟體、防火牆及入侵偵測防禦系統還要更多。

讓他們的工作變得更加艱難的是，對駭客來說，這是一項低風險而高報酬的工作。他們利用了高速全球網路架構，可以躲在司法單位無法管轄的地方。然而對醫療體系的IT人員來說，有日益複雜的環境要加以防護 – 各種系統加上安全產品，還有包括雲端應用程式、社群媒體和員工自有設備等等所帶來更廣泛的受攻擊面。

健康所要付出的清理帳單

面對日益嚴峻的資源挑戰和對抗複雜而持久的敵人，醫療體系的IT管理者需要假設自己已經被攻擊。接著，他們需要答案和方向。他們需要知道誰在攻擊，已經被獲取那些資料，已經發生多長時間以及如何阻止再次發生。簡而言之，他們需要情報。繼續閱讀

國際消費電子展（CES）破天荒地將個人隱私和網路安全加入主題

2015 年 01 月 16 日2015 年 01 月 19 日趨勢科技 TrendMicro

網路安全在2015年的國際消費電子展得到該有的重視

知名的國際消費電子展（CES）在今年破天荒地將個人隱私和網路安全加入商展主題。根據主辦單位的介紹，這一區將會展示從「智慧錢包和安全支付應用程式，到防護訊息與私密網路存取」的一切。

對參觀者來說，這是個很棒的機會去了解最新的個人數位防護。同時它也代表了大家對個人數位安全日益關注的認同。

資料外洩的一年

過去這12 個月充滿了戲劇性揭露政府監控和高知名度攻擊。這些令人印象深刻的報告也讓網路安全問題首度被納入主流，而看來2015年還會持續此一趨勢。根據我們TrendLabs對未來一年的預測，我們認為還會看到另一波針對消費者的威脅快速成長，所以必須要全力地加強上網安全。

Android惡意軟體在2014年突破了400萬大關，我們預測會在下一年看到加倍的成長，因為駭客們也在尋找新漏洞攻擊包來針對此一平台。同時，Apple Pay的出現帶動了整個行動支付產業，但Google錢包使用率增加的同時，也會引來想賺快錢的網路犯罪份子。接著，網路銀行的使用者也將面臨不斷成長的威脅風險 – 這是另一波會在2015年引起消費者關注的威脅。

雖然在專家圈內（IT產業到學術界、執法單位及其他），數位隱私與安全相關主題已經被討論多年，但現在已經來到非技術性用戶也會積極尋找維護或改善自身隱私的時間點。

國際消費電子展的新展區是我們可以開始開誠布公地討論未來網路生活的重要一步。這類型的討論來得絕不算太快。隨著智慧型手錶這類會結合定位追蹤健康跟健身活動的裝置出現，個人隱私風險的意識已經相當地高漲。智慧型裝置潛在客戶在購買前先問好安全及隱私防護相關問題已經變得十分重要了，因為買後（及收集資料後）再出現問題的成本實在太高了。

國際消費電子展到來

國際消費電子展（CES）是世界上歷史最悠久的消費性電子產品展；可以一直追溯到1967年。今年預計會有超過14萬的參觀者湧入拉斯維加斯。

這也是為什麼新的網路安全展區可以好好地提高人們對網路安全的認識。今年的會場有超過20個特定主題的展區，從3D列印與遊戲到智慧型住家及行車智慧。網路安全展區的重點大部份應該會放在對消費者的教育上，由產業界、政府及學術界的夥伴們所結盟的黃金組合來加以贊助。

趨勢科技的承諾
在過去26年來，趨勢科技一直對抗壞傢伙來保護著我們的客戶 – 無論是消費者、企業還是政府機構。在很多時候，我們都知道網路犯罪份子在增加著其力量與資源來對付著他們的受害者。繼續閱讀

醫療保健的網路安全：獨一無二的挑戰

2015 年 01 月 06 日2015 年 02 月 24 日趨勢科技 TrendMicro

像趨勢科技這樣致力於建立良好網路安全的廠商，一直以來都扮演著資安產業內的兩個角色。一個是日以繼夜、不眠不休地努力讓世界各地企業、政府和消費者免於最新威脅所害。另一個則是致力於讓個人和組織都能更加認識威脅情勢的變化 – 打造一個交換數位資訊零風險的世界。

而醫療保健是我們這兩個身份目前都在努力中的目標。一方面，有越來越多網路犯罪分子將其當作目標，另一方面，也有部分組織對於病患健康資料（PHI）的資料外洩威脅反應遲緩。

醫療保健占美國資料入侵外洩事件的43%

醫療保健記錄對網路犯罪份子來說是個極具吸引力的目標，他們所需要的各種敏感資訊（像是社會安全號碼）都集中在一個地方。這珍貴的資料可以在深層網路的地下市場賣個好價錢，因為它讓網路犯罪份子的身份詐騙成功率可以變得更高。正因為這資料的價值，也就能夠清楚的知道為什麼美國資料竊盜資源中心最新的 2014年資料入侵外洩報告內可以發現醫療保健占了所有入侵外洩事件的43%。

也正因為如此，非營利的ECRI Institute將「醫療IT系統的資料完整性缺失」列為2014年的頭號病人安全關切也就不令人驚訝了。當你看到它甚至排名還在藥品短缺或測試結果報告錯誤之上，就可以知道它顯然是個嚴重的問題。

IT 工作者最大的挑戰

醫療體系內的 IT 和資安工作人員所面臨的挑戰是他們必須改善資料防護而不會去阻礙到醫護人員快速存取生命垂危的患者資料。因為許多醫院 IT 環境的龐大規模加上複雜性，這當然是一件艱巨的任務，但並非不可能。

以下簡要地列出醫療 IT 工作者所面臨的一些關鍵挑戰：繼續閱讀