報告數據 - 資安趨勢部落格

過年期間謹記社群防駭 8 要訣

2016 年 02 月 03 日2016 年 02 月 03 日趨勢科技 TrendMicro

農曆新年連假長達9天，是與家人及好友團聚的好日子，不論是家庭聚餐或是與好友出遊，身處社群分享的時代，網路社群使用習慣的建立及必要性不可不知；趨勢科技列出社群五大地雷提醒民眾小心：

把臉書當請假系統，出門度假必在 Facebook公布
不曾使用隱私權控制
不使用私訊，常常把只能少數人知道的悄悄話公開
公布過多孩童的相關資訊，比如名字及就讀學校
【延伸閱讀】:爸媽是否在臉書facebook 上分享太多小孩的生活細節?(含孩童照片遭盜用案例)
使用傻瓜密碼或是臉書找得到答案的密碼提示答案
曾經發生歹徒鎖定在Facebook上公開郵件位址的女性，然後從這些女性張貼的訊息了解郵件帳號的安全問題與答案，再偽裝成當事人向郵件供應商取得新密碼;刑事局亦曾破獲歹徒以生日、電話等個資，破解數百名 Yahoo！等網站用戶密碼，再以同一帳號密碼登入其他網站。

安全「打卡」8要訣

有以上行為的網友，在開心分享的同時，恐造成個人私密資料外洩，成為駭客覬籲的目標。趨勢科技呼籲網友要注重自身的資料安全，並提供安全「打卡」8要訣：

1)打卡時不將朋友也拖下水，請確認你的朋友也希望公開所在位置
【延伸閱讀】:“打卡”時不要再將朋友拖下水-安全「打卡」8 要點

2)確定哪些 App會幫你自動二次打卡

3)將Facebook 個人檔案設為私密且無法搜尋

4)家裡沒人的時候請不要在社群網站告訴別人
延伸閱讀:全家出遊時打卡,就像在你家屋頂架一個超大霓虹燈,亮著:”沒人在家”

5)沒有你的允許 (FB 隱私設定)，別人不能在 Facebook 看到你繼續閱讀

AV-Test：趨勢科技蟬聯端點防護第一

2016 年 01 月 29 日2016 年 02 月 19 日趨勢科技 TrendMicro

今日 IT 主管承受了龐大的日常壓力，使得他們沒有太多時間來仔細評估各家廠商的端點防護產品，而這正是為何獨立機構的測試如此重要。不僅如此，端點防護市場的廠商和產品越來越多，有些甚至宣稱自己擁有比業界領導廠商 (如趨勢科技) 更先進的「新一代」技術。基於這點，企業更應該仔細參考一下這些測試結果。

我們很高興能再次在業界推崇的 AV-Test 獨立測試機構最近一項企業端點防護產品評比當中獲得多項優異成績。

網路犯罪：低投資、高報酬

或許，在今日的威脅情勢下，企業資訊安全長 (CISO) 確實承受了龐大的壓力，但即便如此，CISO 也承擔不起挑錯端點防護產品的後果。網路犯罪是一個數十億美元的產業，經常造訪地下黑暗網路市集的駭客，就連最精密的進階惡意攻擊工具也不難找到。這是個低投資、高報酬的產業，駭客甚至能發動專門躲避傳統資安防禦的針對性攻擊。而且，駭客隨時都在開發新型態的惡意程式 (如勒索軟體 Ransomware )，使得企業資料面臨更大的風險。繼續閱讀

什麼是魚叉式網路釣魚 (Spear Phishing )？

2016 年 01 月 04 日2022 年 06 月 06 日趨勢科技 TrendMicro

一起鎖定某跨國企業法務部門三名員工的「魚叉式網路釣魚(Spear Phishing)」郵件能逞嗎?

針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法,其中包含「魚叉式網路釣魚(Spear Phishing)」

魚叉式網路釣魚通常鎖定特定個人或某機構的特定員工及其社群媒體帳號 (如 Twitter、Facebook 和 LinkedIn)，它們會精心製作出很有說服力的電子郵件內容，並且在電子郵件當中挾帶可造成感染的附件檔案和連結。一旦開啟檔案或連結，就會執行惡意程式或將使用者導向某個網站。接下來，駭客就能建立其祕密通訊網路，然後朝攻擊的下一階段邁進。

》魚叉式網路釣魚 (Spear Phishing )是勒索軟體 Ransomware攻擊企業的主要手法

》醫療保險公司 Anthem Inc. 大規模資料外洩的主因:魚叉式網路釣魚 (Spear Phishing )

》南韓爆發最大駭客攻擊事件因魚叉式網路釣魚 (Spear Phishing )而起

》91％的APT 目標攻擊來自:魚叉式網路釣魚 (Spear Phishing )

檢視「防範魚叉式網路釣魚：保護電子郵件如何能夠防止針對性攻擊」

2015年稍早，醫療保險公司 Anthem Inc. 發出聲明表示自己發生了一起大規模的資料外洩，導致 8,000 萬名客戶受到影響。根據媒體報導，駭客經由一項精密的針對性攻擊/鎖定目標攻擊(Targeted attack ) 取得了進入 Anthem 公司 IT 系統的權限，進而竊取系統上儲存的個人資料。有些人對於企業資料外洩事件或許略知一二，但很少有人知道實際發生的經過以及網路犯罪集團所用的手法。

在所謂的「針對性攻擊/鎖定目標攻擊(Targeted attack ) 」當中，駭客必須擁有相當高的專業技能以及充裕的資源來進行這類長期的計謀。針對性攻擊要能成功，很重要的一點是歹徒必須根據受害者的防禦機制而調整及改進其攻擊方法。

駭客會利用各種最新時事、業務相關內容，以及攻擊目標可能有興趣的資訊來從事社交工程（social engineering ）攻擊。此外，後門程式、零時差或軟體漏洞攻擊、水坑式攻擊、魚叉式網路釣魚等等，也是歹徒經常用來竊取資訊的技巧。

雖然一般的網路釣魚（Phishing）和魚叉式網路釣魚所使用的技巧類似，但兩者之間還是有所差別。網路釣魚基本上是一種針對大量目標的亂槍打鳥式攻擊，但魚叉式網路釣魚則是專門針對特定目標。兩者的差異在於，一般的網路釣魚（Phishing）相對單純，歹徒一旦偷到受害人的資料 (如網路銀行登入資訊)，就算達到目的。但對於魚叉式網路釣魚來說，取得登入資訊或個人資訊通常只是攻擊的開端，這是歹徒進入目標網路的手段，只能算是的跳板而已針對性攻擊/鎖定目標攻擊(Targeted attack ) 。

何謂魚叉式網路釣魚攻擊？

前面提到，魚叉式網路釣魚是專門針對特定對象的網路釣魚（Phishing），其對象通常是某個機構，其最終目標是取得機密資訊，其技巧則包括：假冒他人名義、使用迷人的誘餌、避開安全機制 (如電子郵件過濾及防毒) 等等。預算和一般網路釣魚（Phishing）的都會誘騙目標對象開啟郵件中的附件檔案或點選郵件中的連結。繼續閱讀