從青少年一天的作息,看廣告商如何蒐集孩子們的網路隱私

從青少年一天的數位生活作息,看廣告商如何蒐集孩子們的網路隱私

孩子們所貼出的資訊,甚至那些沒有貼出的資訊,像是他們在哪點入、他們喜歡什麼和他們搜尋的東西,對於想賣他們東西的企業來說都是非常有價值的資料。孩子們很容易被操弄,大多數都沒有意識到廣告商在追踪他們,或是他們的資訊會被用來向他們發送精準的廣告。

作者:Anne Livingston和Lynette Owens

孩子們花很多時間上網。他們在網路上找功課答案、一起合作學校專案、分享事物、玩遊戲和看影片。在網路上時,他們可能會覺得自己只跟家人和朋友分享,但許多企業也正在看著。網站和廣告網路透過追蹤工具來記錄孩子和大人們在網路上做些什麼。

華爾街日報發現廣告商收集這些資訊來建立消費者檔案。這些檔案並不包括真實姓名,但幾乎包括其它所有的一切:年齡、口味、愛好、購物習慣、種族、興趣和位置。孩子們所貼出的資訊,甚至那些沒有貼出的資訊,像是他們在哪點入、他們喜歡什麼和他們搜尋的東西,對於想賣他們東西的企業來說都是非常有價值的資料。

fb friend Pew研究中心發現,有81%的家長對於廣告商從他們的孩子身上收集多少資訊感到憂心。孩子們很容易被操弄,大多數都沒有意識到廣告商在追踪他們,或是他們的資訊會被用來向他們發送精準的廣告。這些廣告並不只是出現在螢幕上的橫幅。企業們正在開發互動式的廣告,讓孩子們的個人資訊成為廣告的一部分。

一個青少年的數位生活

想了解資料是如何被生成和利用,讓我們來看看一個典型青少年的一天:她在網路上作了什麼,企業們如何追蹤她的活動,以及他們如何使用這資訊以對她行銷:

起床了。檢查社群網路帳號。

在網路上所收集到最個人的資料是孩子自己所輸入的。當他們加入一個網路服務,他們會提供自己的電子郵件、姓名和其他個人資料。在這些服務裡,企業們可能會要求他們填寫問卷調查或是參加問答以收集更多的資訊。

快一點,找找地理作業的答案

當孩子們瀏覽網站,企業們會將稱為Cookie的小文件檔放在他們的電腦上。追蹤公司、資料中介商和廣告網路利用這些Cookie來收集他們在網上做什麼的資訊。柏克萊大學所做關於網站隱私普查的一項研究發現,最受歡迎的網站們平均會放50個第三方Cookie,有一個放了234個華爾街日報還發現,兒童喜歡的網站會比大人上的網站放更多資料收集技術到電腦上。

寫封電子郵件給老師。

Google會掃描經由他們免費電子郵件服務Gmail所發送的電子郵件內容。他們這樣做的原因,有部分是為了提供垃圾郵件過濾和病毒偵測。他們還會搜尋電子郵件內的關鍵字,以期找出更多個人興趣,並將之加到網路個人檔案。他們現在可以在他們的Gmail服務裡,根據你所輸入或搜尋的事物來提供橫幅廣告。

送祝賀訊息給Facebook好友。

對Facebook訊息來說也是一樣。當孩子們發送訊息給Facebook上的朋友,Facebook會自動掃描他們的訊息來偵測病毒和關鍵字。當孩子們在訊息裡提到某個品牌或公司,就可以出現在他們Facebook的「喜好」上。

 

 坐車上學,用智慧型手機上網。 針對性的廣告也出現在行動裝置上。當孩子們用他們的手機找東西時,資料像是他們的實體位置可以被自動的收集。廣告網路可以知道他們在哪裡,提供他們附近商店的廣告。

shutterstock_72832726_Cell Smart Phone Ringing Mobile

 找到新的應用程序,並下載到自己的行動設備 行動應用程式會收集各種資料。有些應用程式會收集像是位置、電話號碼和聯絡人等資料。FTC審查了受兒童歡迎的兩百多個遊戲和應用程式,發現許多應用程式會將資料賣給不同的廣告網路。比方說,憤怒鳥應用程式會將資料分享給四家針對行動廣告的公司,兩家行動廣告網路,一家應用程式分析網站和一家廣告最佳化及回報公司晚餐後,登入Facebook和逛網頁。 當登錄到Facebook,Facebook會記錄使用者所瀏覽的每一個可以讓人按「讚」的網頁,不管他們有沒有真的按「讚」下去(許多網站都有這樣的功能)。

FB like keyboard

發送些推文。 Twitter會收集使用者所關注和轉發的資訊。Twitter利用這些資訊來找出使用者的個人興趣,並讓廣告商可以根據這些個人興趣來發送廣告給Twitter使用者。 繼續閱讀

小心保護線上隱私

越來越多人會在網路上處理各種個人事務(像是網路購物和使用網路銀行)。你一定會想知道,到底有多少你的資訊可以在網路上被看到。網路跟我們的日常生活已經結合的如此緊密,網路犯罪份子也會用更新、更有創意的方式來打破我們在網路上的隱私。

一切都跟廣告有關

因為網際網路用途的大量增加,也讓網路公司很有興趣去追蹤大家都在網路上做些什麼。好讓這些公司可以據此來行銷產品和服務,多數人也都可以在社群網站、新聞部落格、線上娛樂頻道看到。事實上,網路廣告已經是大多數網站的金錢來源。

在2010年,Google披露了他們96%的收入來自廣告(放在自身網站或使用其廣告業務的網站上)。而社群網路巨頭Facebook的全球廣告收入也預估會在2011年上升104%,來到38億美元。

因為一些廣告服務供應商(像是Google AdSenseYahoo! Advertising Solutions)都提供客製化廣告的服務,你應該會發現服務供應商和廣告商是可以追踪你的線上活動的。廣告商會想辦法去收集資訊,比方說從你去過的網站和你填寫的線上個人資料中得知。


客製化廣告:
仙丹還是毒藥?

大部分網站的廣告需求都是經由第三方廣告網路來管理。線上廣告或是廣告網路是中介廣告商和希望提供廣告的網站所有者間的橋樑,廣告網路使用集中伺服器去提供對的廣告給對的網站訪客,也會在網路上監看著使用者的活動。

廣告網路還可以讓第三方公司透過使用者的網頁瀏覽記錄來觀察他們的線上活動,進而了解他們的喜好。雖然對某些人來說,將使用者與可能引起他們興趣的網路廣告做配對不是什麼問題,但也有些人覺得這是種對隱私的侵犯。對多數賣家來說是很方便跟有用,但對於他們所監看的人來說卻是在侵犯隱私。

要在瀏覽網頁時保護個人隱私,牢記下面的秘訣:

  • 定期刪除CookieCookies存放了網站相關資訊,所以有可能被網路犯罪分子所竊取利用。刪除Cookie有一個缺點,就是每當你再次訪問網站時,都會要求你重新輸入帳號名稱和密碼。
  • 使用隱私瀏覽:瀏覽器提供這種特殊模式好讓你的網路活動得以保密,不被窺探。選擇隱私瀏覽會使用新的瀏覽器視窗,並且會在你關閉視窗時刪除所有的歷史記錄和cookie。但是要注意的是,如果你的視窗還是開著,並不保證可以保持匿名,會讓廣告商仍然可以追踪到你。
  • 使用網路廣告促進會(NAI的選擇退出(Opt-out)工具。這個工具讓你可以選擇退出客製化廣告的目標。身為促進網路廣告自我節制的組織,網路廣告促進會(Network Advertising Initiative,NAI)讓你可以選擇不接受其成員公司的廣告行銷。因此,你可以不再被這些會量身打造廣告,但被你所封鎖的廣告公司所打擾。

過度分享的陷阱

當廣告網路需要根據你的網站偏好和使用模式來猜測你會感興趣的內容時,社群媒體已經擁有了所有的資訊,他們只需要你自己不停的提供給他們。感謝社群媒體整合了多個網站,社群網站可以很簡單的找到你的好惡。

也因此,社群媒體「採礦」快速地成為業界的標準做法,尤其是對那些保險和人力資源(HR)公司來說。比方說,他們會監看社群媒體好找到可能的詐騙案子,特別是根據報導,這些詐騙案每年會讓保險業損失大約三千萬美元。

被貼到社群網站的內容,現在也會被拿來在法庭聽證會上作為證據。像是在離婚過程中,會利用上傳到Facebook的照片來證明丈夫的不忠。

重新定義「隱私

大部分得歸功給今天的年輕人,在網路上保持使用者資料機密已經結束了。新一代的年輕社群媒體玩家對於保護和分享資訊有著不同的態度,他們樂意對各方提供個人資料。在短短幾年之內,具有隱私意識的人將成為少數。而這將是廣告業者,或者更糟的是 – 攻擊者的美好未來。

要將米蘭達宣告(Miranda Rights)的內容銘記在心 – 「你所說的一切,都可能成為對你不利的證據」,這代表你在網路上發表任何事情前都要先三思。避免分享太多,尤其是當你還不清楚如何設好你在社群網站上的隱私設定。想知道更多小技巧,來參考Facebook隱私設定:

Facebook 隱私設定-1(應用程式和廣告設定)

Facebook隱私設定-2(標籤,打卡與個人檔案能見度)

Facebook隱私設定-3(不是朋友也能”訂閱”及五個例外規則)

一個應用程式值得冒險嗎?

當越來越多使用者下載應用程式到他們的行動設備上時,安全和隱私也變成了更為嚴重的問題。智慧型手機已經成為駭客愛好的惡意軟體平台。

我們已經看到有應用程式用遊戲當幌子來監視使用者。也因此你要養成習慣,在安裝應用程式前先檢查它所要求的權限。許多應用程式都是透過廣告獲利,這代表著它們有著一樣的廣告網路隱私問題。 繼續閱讀

詐騙份子會想用我的資料做些什麼?

作者:Kyle Wilhoit(威脅研究員)

順帶一提,我想起當我跟鄰居提起我在資訊安全界工作時,他的下個問題就是:「這些詐騙份子為什麼想要我的資料?」越多人問我這個問題,也就越加明顯地,使用者資料是非常有價值的。

DLP

當你知道,只要花五美元就可以在地下論壇或網站購買你所有的個人資料,會感到很驚訝嗎?有些人可能還會驚訝地發現,被販賣的資訊還遠遠不止於你的姓名和地址。

在地下論壇被提到的「Fullz」所包含的不只是信用卡號碼、姓名和出生日期。「Fullz」通常透過幾種方式傳遞。首先,可能是文字檔或CSV檔案,一個包含所有資料,用逗號分隔的檔案。所有被蒐集來的個人細節都會包含在該檔案中,方便閱覽。此外,「Fullz」也可能透過可攜式資料庫格式來傳遞,像是MDF檔案,方便輸入本地端資料庫。你還可以找到註冊帳號時的個人問題,還有駕照資訊、社會安全號碼以及其他資料。

這些詐騙份子很邪惡,卻不代表沒有生意頭腦。如下圖,一個賣方提供折扣給大量購買的訂單。

 

 

這些詐騙份子還提供轉錄(Dumps)資料出售,這是來自你信用卡磁條的原始數據。除了轉錄(Dumps)資料,他們也賣塑片(Plastics),用來寫入轉錄(Dumps)資料的空白卡。

最後,為了讓詐騙活動更加容易,攻擊者也販賣銀行帳戶登錄資訊和高階電子產品。被賣的銀行帳戶可以直接用來存取錢,不再需要買轉錄(Dumps)資料和塑片(Plastics)了,只需要使用你的銀行登錄資訊,並且把錢轉走。

高階電子產品也可以用合理的價格在黑市上販賣。這些詐騙份子利用偷來的信用卡資料來以零售價購買設備,並且在網路上折扣價出售以換取現金。

 

 

詐騙份子可以用我的資料做些什麼?

雖然很多人可能會說,「如果犯罪份子拿了兩萬份Fullz,不會正好用到我那份。」這並不是真的。雖然偷你資料的網路犯罪份子可能不會用到所有的兩萬份轉錄(Dumps)資料,他們可能會用低價去拋售部分未使用到的資料。 繼續閱讀

十大駭客最愛網釣誘餌,淘寶、花旗銀行、萬事達卡、Paypal 皆入榜

最常被攻擊的網路釣魚(知名銀行/信用卡公司/網路購物/拍賣)網站排行

簡單方便是使用者喜愛網路購物的主要原因,雖然方便,但網路購物也可能讓使用者的認證資料和個人身份資料(PII)陷入危險,因為網路犯罪分子可以輕易地設計出網路釣魚(Phishing)攻擊來竊取資料。

來自中國的淘宝网在購物網站中排名第一而Paypal 則居網路交易平台冠軍
<最常被攻擊的網路釣魚(知名銀行/信用卡公司/網路購物/拍賣)網站排行>來自中國的淘宝网在購物網站中排名第一而Paypal 則居網路交易平台冠軍

趨勢科技主動式雲端截毒服務  Smart Protection Network和其他專門技術,我們辨識出二〇一二年十二月的首要網路釣魚(Phishing)網站。下面是針對五十個流行品牌的偽造網站圖表。

 

五十個流行品牌的網路釣魚偽造網站表
五十個流行品牌的網路釣魚偽造網站表。

 

最常被網路釣客攻擊的電子商務網站(知名銀行/信用卡公司) 排行前 10名

根據我們所收集的資訊,電子商務網站 – PayPal是最被針對的公司,有17,573個偽造網站利用它的名字,緊接在後的是美國富國銀行(Wells Fargo)。使用者如果被誘騙連上偽PayPal網站,就可能讓系統感染TROJ_QHOST.EQ。到目前為止,這惡意軟體已經感染了台灣、泰國和美國的系統。正如下表所示,排名前十位的詐騙網站差不多都是知名銀行或信用卡公司。

 

公司名稱/網站 釣魚網站數量
PayPal 18947
富國銀行(Wells Fargo) 2049
Visa 1661
花旗銀行 1628
美國銀行(Bank of America) 1477
萬事達卡 986
Chase 656
Bancolombia 369
Natwest 324
Cielo 310

花旗銀行也是最常被偽造的公司之一,可能是因為黑洞漏洞攻擊包(BHEK)攻擊活動的原因。BHEK最被為人所知的就是會利用有名的公司(如花旗銀行)來引誘使用者打開垃圾郵件,然後點入郵件內夾帶的惡意連結。

某些BHEK攻擊活動會偽裝成花旗銀行來誘騙使用者下載WORM_CRIDEX.CTS,這是一個已知會竊取敏感資料的惡意軟體(如網路銀行憑證)。透過趨勢科技主動式雲端截毒服務  Smart Protection Network,我們確認有277個系統感染這惡意軟體,其中有88%位在美國。

此外,單單在十二月,我們就發現有四個BHEK攻擊活動利用花旗銀行。在最後一次的攻擊活動中,我們發現使用者電腦感染了TROJ_CDOWN.A、SWF_BLACOLE.BBB、JAVA_DLOADR.XM和WORM_CRIDEX.EZ。被偵測為JAVA_DLOADR.XM的JAR檔案出現3,095次,主要受影響使用者位在美國和日本。

公司名稱/網站 釣魚網站數量
AOL 1475
Yahoo 1349
Hotmail 1205
Gmail 1200
其他 188

網路釣魚(Phishing網站數量最多的購物/拍賣網站是淘寶網

另一方面,網路釣魚(Phishing)網站數量最多的購物/拍賣/交易網站最多的是淘寶網、eBay和Amazon。來自中國的淘寶網在電子商務網站列為最常被偽造成釣魚網頁的第一名。

公司名稱/網站 釣魚網站數量
淘寶網 1691
eBay 504
Amazon.com 251

在我們的研究中,我們也發現下列攻擊會影響世界各地的行動用戶。

  • 我們看到偽裝成丹麥電子支付公司 – Nets Group的攻擊正在增加中。這威脅通常透過電子郵件,要求使用者確認更新或啟動帳號。
  • 針對日本使用者的萬事達卡網路釣魚攻擊活動正在進行中。在986個偽萬事達卡網站中,有717(72%)個是為日本使用者而設計。在十二月,這717個網站吸引了2,029次點擊量,大多來自日本。

針對日本用戶的信用卡釣魚網站

針對日本用戶的信用卡釣魚網站  
  • 特定惡意集團偽造出902個REMAX網站(一個跨國房地產公司)。
  • 在世界的另一端,巴西仍然充斥著內藏木馬的偽造網站,通常是TROJ_BANLOAD變種,最為人所知的行為是會下載TSPY_BANKER變種。這種攻擊通常透過偽稱來自布拉德斯科銀行、巴西銀行等的電子郵件出現。電子郵件還會夾帶連往惡意網站的短網址,通常來自像bit.ly的短網址服務。位在哥倫比亞的使用者也被被趨勢科技偵測為TSPY_BANKER.TGF的惡意銀行木馬軟體所攻擊。這個惡意軟體利用微軟Excel圖示,並且以免費禮物卡為餌來誘騙使用者執行惡意執行檔案。
  • 不幸的,行動用戶也不能免於這些網路威脅。下面是個使用者必須特別小心偽PayPal行動網站的例子。因為行動用戶通常不會看到整個網址,所以會讓使用者輕易地認為自己瀏覽的是正常網站。

 

PayPal 真假網站比較(右邊是真的,左邊是釣魚網站)
PayPal 真假網站比較(右邊是真的,左邊是釣魚網站)

 

  • 我們還發現一個帶有附加檔案的垃圾郵件針對大通銀行。趨勢科技將這附加檔案偵測為TROJ_DLOADER.YZX。一旦被執行,這惡意軟體會下載大量其他惡意軟體,如TSPY_ZBOT.MDN、TSPY_ZBOT.LOA和TROJ_FAKE.BMC。

如果我們可以從這些威脅趨勢中學到什麼,那就是我們必須保持小心謹慎,防範網路釣魚攻擊,特別是在假節期間或有其他特殊事件時。想知道如何在這些網路購物的日子裡保護自己,可以參考我們的電子指南 – 「網路購物更簡單」和「享受無憂無慮的行動購物體驗!」還有我們的資料圖表 – 「網路購物小秘訣」。

想知道如何區分偽造的網路釣魚(Phishing)跟正常郵件,就要檢查下列蛛絲馬跡:

繼續閱讀

後門程式偽裝Java伺服器,控制有漏洞的網頁伺服器

後門程式偽裝Java伺服器,控制有漏洞的網頁伺服器

類似BKDR_JAVAWAR.JG的惡意軟體證明了網頁伺服器也會是網路犯罪份子的目標,可以被用來儲存重要資料,也可以在不知情使用者連上這些受影響網站時,輕易地去感染他們的系統。

趨勢科技最近發現到一個Java伺服器網頁出現後門程式行為的BKDR_JAVAWAR.JG,並且控制有漏洞的伺服器。這惡意軟體可能是經由某惡意網站的檔案下載,或是被其他惡意軟體所植入。

這攻擊要得逞,目標系統必須是Java Servlet容器(像是Apache Tomcat),或是Java-based的HTTP伺服器。另一個可能是當攻擊者檢查到採用Apache Tomcat的網站時,就會試圖存取Tomcat Web應用程式管理員。

利用密碼破解工具,網路犯罪份子可以登錄並獲得管理權限,能夠佈署包含後門程式的Web應用程式包(WAR)到伺服器。這後門程式會自動地被加入可存取的Java伺服器網頁。要執行動作,攻擊者可以連到Java伺服器網頁的下列路徑:

{Tomcat Webapps目錄內的子目錄}/{惡意軟體名稱}

一旦完成,就可以透過下面的網頁主控台來利用這後門程式進行瀏覽、上傳、編輯、刪除、下載或從受感染系統複製檔案:

也可以利用這網頁主控台來遠端輸入命令列指令:

 

攻擊者可以透過網頁主控台來查看系統資訊、程式版本、安裝和重要目錄資訊:

 

 

除了能夠存取敏感資訊,攻擊者可以透過這後門程式來控制受感染系統,在這有漏洞的伺服器上進行更多惡意指令。

繼續閱讀