《 IoT 物聯網安全趨勢》穿戴式裝置來了,您準備好了嗎?

IOE資料圖表 穿戴式裝置面面觀 ins-and-outs-of-wearable-devices-hi-res
圖文解說:穿戴式裝置面面觀(點小圖可放大)

穿戴式科技正逐漸興起,並且將在數位領域留下不可磨滅的足跡。有了穿戴式裝置,您再也不會漏接任何電話、電子郵件、最新消息等等,其方便性還不只如此。方便性似乎已成了今日科技所追求的目標。

這一波彼此密切相關的全新智慧型裝置不僅滿足了功能、方便性與可靠性需求,更何況還能低調地融入您的一身打扮當中。一個很好的例子就是健身記錄器,這些設計得如同一般手環的智慧型裝置,內建多種生物感應器,能測量您身體的數據並即時計算您的進度,卻完全不影響您日常的健身習慣。其最新數據可以藉由藍牙傳送至您的行動裝置,讓您隨時掌握最新的進度。 

另一個例子是智慧型手錶(如:蘋果 Apple 發表的 Apple Watch ),之後它可當成智慧型手機的延伸。其功能就像一般的電子錶,但卻多了顯示手機來電通知的功能。許多智慧型手錶的早期採用者表示,這些裝置能讓他們在忙其他事情時省去隨時查看手機的麻煩。儘管這類手錶的功能目前仍顯陽春,但各大電子廠商皆已承諾在未來不久之內為智慧型手錶開發出更多實用又提升生產力的 App 程式。

延伸閱讀:從陽春到智慧:物聯網 (Internet of Everything) 串連智慧裝置讓生活更便利

這類智慧型裝置的終極版本就是智慧型眼鏡。如果說健身記錄器和智慧型手錶讓您的真實生活和虛擬生活同步的話,那麼智慧型眼鏡則讓您隨時捕捉這世界的驚鴻一瞥。它能幫您搜尋網路、記錄資料、錄下視訊和影像、撥打電話、發送訊息,全都透過簡單的語音指令完成。如同其他尖端技術一樣,這項穿戴式裝置目前仍未成熟,還有許多改進空間,縱然它技術規格很強大,但依然有待開發。

不過,雖然這些智慧型裝置革命性十足,但它們也可能侵犯人們的生活、讓人容易分心、或者帶來危險。由於這些裝置會蒐集並傳送敏感資料,例如您健身記錄器上的健康進度與每日行經路線,或是您透過智慧型手錶發送的訊息,或是您的確切位置以及從智慧型眼鏡看到的畫面,這些都是網路犯罪集團覬覦的全新目標。歹徒一旦攔截到您的資料,就能竊取您的身分。若您在工作場所使用這些裝置,他們就可能潛入您的公司網路。當您在使用這類智慧型裝置時,您必須問問自己願意犧牲多少個人隱私來換取方便性和連線能力。

文章一開始的圖文解說根據傳輸及接收的資料將穿戴式裝置分成三種不同類型:「輸入型」裝置會蒐集並儲存本地端的資料,「輸出型」裝置會顯示來自配對裝置的通知讓使用者閱讀,「輸入輸出型」裝置則可傳送、接收並顯示資料。請點選上面的影像來查看穿戴式裝置圖文解說的全文。

 

◎原文出處:https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/understanding-ioe/ready-for-wearable-devices

IOE BANNER

《網路釣魚》HTTPS 鎖頭保證是安全網站的識別標誌?

隨著越來越多網站使用 SSL以提升在 Google搜尋中的排名,使用者將必須瞭解到 HTTPS 鎖頭不再是他們存取安全網站時的識別標誌。他們必須在輸入認證資料和個人識別資訊(PII)前先檢查憑證。此外,也建議除了使用合法來源的授權應用程式外,不要使用行動設備進行交易。

 資料外洩 信用卡 信上購物 網路銀行 網路釣魚 Credict Card1

根據報導,Google將會改善 HTTPS網站在他們搜尋引擎的排名。這可能會鼓勵網站所有者從HTTP切換到 HTTPS。不過網路犯罪分子也會加入了此項轉換。比方說,我們最近發現一起案例,當使用者搜尋安全版本的遊戲網站時,會反而被導到網路釣魚(Phishing)網站。

趨勢科技研究了使用HTTP S而且在2010年到2014年間被趨勢科技的網頁信譽評比技術所封鎖的釣魚網站。根據調查結果顯示,釣魚網站的數量在增加,我們預期它在2014年後半因為假期季節的到來會有倍數的成長。

圖1、2010年到2014年的HTTPS釣魚網站數量

 

這一高度成長的原因之一是對網路犯罪分子來說,很容易就可以建立使用HTTPS的網站:他們可以入侵已經使用HTTPS的網站或是利用使用HTTPS的合法代管網站或其他服務。所以網路犯罪份子不需要去取得自己的SSL憑證,他們只要去濫用或入侵具備有效憑證的伺服器。

這種利用HTTPS的手法也出現在行動網路釣魚(Phishing)。就在最近,趨勢科技發現一個Paypal釣魚網頁使用HTTPS和有效的憑證。看起來這詐騙網頁是放在一合法網站上,顯示該網站可能已經淪陷。

要偵測一特定網站是否為釣魚網站,使用者需要檢查憑證的有效性和檢查一般名稱(CN),它通常會和網域名稱相符。在螢幕擷圖中,mobile.paypal.com是一般名稱(CN)和組織是Paypal, Inc。釣魚網站的憑證則沒有這些特徵。

圖2-3、合法網站(左)和釣魚網站(右)的截圖

 



繼續閱讀

過去廿年他一直在販賣火車乘客資料; 1/5資料外洩事件來自內部

內部來的風險:美國國鐵資料外洩的教訓

最近由美國國鐵督察長辦公室所發表的一份報告顯示,這家鐵路大眾運輸公司的一名員工在過去廿年一直在販賣乘客資料。這份資料的買主不是別人,就是美國緝毒署,他們在過去支付了該員工854,460美元。愛荷華州的資深參議員Check Grassley致信緝毒署來表達對此事件的嚴重關切

內部來的風險:美國國鐵資料外洩的教訓

這起資安事件最誇張的地方是這名前員工可以從1995年就開始販賣美國國鐵乘客個人身份資料這件事。也就是說,這種不當行為在廿年來從沒有任何人發現。透過這樣未經授權的販賣客戶資料,這員工收到來自緝毒署總共854,460美元。

緝毒署應該是有權免費地要求有問題的客戶資料,只要透過美國國鐵和緝毒署的聯合工作小組。也就是說,美國納稅人付錢買了應該可以免費取得的資料。事件爆發後,為了不被懲罰,該名員工選擇了退休。

這起資料外洩事件一開始是如何被確認並沒有包含在國鐵的報告中。想到員工可以在這麼長的時間內一再地進行不當行為這件事,必須問一個嚴重的問題 –有進行內部控管和稽核嗎?有實施哪些安全措施來防止此類外洩事件嗎?

 

調查顯示:有五分之一受訪者的外洩事件來自內部

不管是來自網路攻擊或惡意員工,資料外洩事件持續地成為世界各地的頭條新聞。趨勢科技在2014年3月對1,175位日本IT安全專家和決策者所進行的調查顯示,有233(19.8%)在2013年經歷過內部系統的資料外洩事件。換句話說,有五分之一受訪者的外洩事件來自內部。

總共有778位受訪者(近三分之二)證實曾經歷過某種形式的安全入侵事件。有28名(3.6%)補充說,被竊的資料已經在某些地方被使用或運作。這些統計數據只代表在日本的資安入侵外洩問題,但在其他地方所得到的數據即便不一樣,可能也不會差太多。資料外洩已不再是「別人的問題」。 繼續閱讀

《資料圖表》員工信箱是 APT 目標攻擊最佳掩護攻擊的進入點

惡意威脅份子會對企業和組織進行間諜和破壞活動。經過足夠的研究後,惡意威脅份子可以製造社交工程陷阱( Social Engineering)誘餌來騙得足夠多的員工點入連結或打開附加檔案。電子郵件是目標攻擊最常使用的進入點

APT Mail Box

•每天的電子郵件流量有超過60%屬於企業用途

•一般企業員工平均每天會寄送41封和接收100封的電子郵件。

•收到的郵件中有16%是垃圾郵件

 

infographic-APT Targeted Attacks via Employee Inboxes0721 電子郵件是apt 目標攻擊最常使用的進入點

 點圖片可放大

攻擊者會假造內容讓它符合時事且更具有說服力

•攻擊者利用常見網頁郵件服務(如Yahoo!、Gmail等等)的帳號和之前所入侵獲得的帳號來寄送電子郵件

•在RSA受到的攻擊中,送給員工的電子郵件中有主旨為:「 Recruitment Plan(聘僱計畫)」

•攻擊者偽造來自特定部門或目標辦公室內高階主管的電子郵件

•攻擊者假造附加檔案名稱來變得更符和時事,更有說服力

•在Nitro攻擊活動中,電子郵件偽裝成來自目標公司的資訊部門

•一封送至印度目標的電子郵件偽稱含有印度彈道導彈防禦計畫的資料

企業需要更大規模的多層次安全解決方案來讓網路管理者可以深入了解並掌控整體網路的全貌,以降低目標攻擊的危險性,不管它會利用什麼設備或是入侵點。

@原文出處:https://www.trendmicro.com/cloud-content/us/images/business/ig_targeted-attacks-via-employee-inboxes-infographic.jpg

臉書當萬用帳號,到處網購超方便?!幫好友回撥新門號,竟成網拍人頭戶 !….網拍購物安全小秘訣

“才剛交易完三天,就接到詐騙集團假冒發卡銀行人員打來的電話!”,報案者抱怨連連指稱接獲詐騙集團電話說手機交易時銀行人員將刷卡付費金額多了一個零,要受害人趕緊到ATM操作更正。根據165反詐騙專線統計資料,在最近一年 ATM詐騙案單月最高超過一千五百件被害人報案,其中該拍賣網站的客戶占六成之多。提醒網友們遇到類似要你操作 ATM 的電話,請提高警覺,並撥打  165 反詐騙專線諮詢。

"手機交易刷卡多刷一個零?!" 、"幫好友回撥新門號,竟成網拍人頭戶 !"網拍購物安全小秘訣

以下提供幾個網拍防詐騙小秘訣:

1.不要幫”好友”撥打0809開頭新門號

另外也要提醒大家幫「好友」撥打新門號,小心成為網拍人頭賣家,刑事局指出,這類詐騙歹徒鎖定特定對象在網拍平台上冒用其手機門號申請新帳號,再假冒為「好友」請求受害民眾幫忙撥打新辦的手機門號0809031088(某拍賣的帳號申請認證門號),撥打後即成功為歹徒申請新的網拍帳號,歹徒藉此進行交易,收取貨款後即人間蒸發,而受害者即成為網拍人頭帳號,直到警察找上門,或買家打電話催貨才知道被「好友」騙了

2.網拍購物,勿用臉書當萬用帳號

網拍衍伸的另一個安全問題是,很多網拍帳號直接連動臉書, 一個萬用帳號通行無阻,但也有一旦遭入侵時所有資料全都露的危險 
✓ 建議使用不同帳號及不同密碼登錄
✓【PC-cillin雲端版】防止個人資訊外洩 免費下載,免費下載

pw 0822

3.遠離危險密碼:寵物名字,紀念日,生日,123456,password,英文菜市場名….

網路購物要無後顧之憂,帳號密碼設定是第一步!!

1位副總統候選人,2位總統 , 3位大明星,猜猜哪位用 12345 當密碼?(含12個保護密碼實用的祕訣)怎麼知道這些大人物用過這些密碼呢?當然是被駭客入侵後公布的。那改用中文諧音的521314(我愛你一生一世)總可以了吧?在大陸駭客的密碼破解字典中,除了甜滋滋的「5201314」還列入以下必備弱密碼,中國人最愛的「666666」和「888888」,請看密碼別再12345,521314(我愛你一生一世)了~PE_MUSTAN.A 病毒鎖定 246 組弱密碼刪除檔案


根據「時代雜誌」(Time)網站報導,Google 訪問2000名民眾選擇帳號密碼的方式。發現”寵物名字”是最爛的密碼。

三大爛密碼

“大部分民眾依據手邊的資訊選擇密碼”研究結果凸顯了這項令人憂心的事實,駭客只要動動手指頭,使用搜尋引擎,查一下 facebook 個人資料,就能輕易找到寵物名字,紀念日,就讀學校等資料,進而能入侵多數帳號。

根據Google 分析,做常見的密碼如下:

1、寵物名字
2、大日子,如結婚紀念日
3、家人生日
4、孩子的名字
5、家庭成員名字
6、出生地
7、最愛的節日
8、最愛的運動團隊
9、重要人士的名字
10、直接用「password」當密碼

報告也顯示,48%民眾會讓別人知道自己的密碼,3%的人還會將密碼記在便利貼上。

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

《提醒》將滑鼠游標移動到右上方的「已說讚」欄位,勾選「搶先看」選項。建議也可同時選擇接收通知新增到興趣主題清單,最新貼文就會優先顯示在動態消息頂端,讓你不會錯過任何更新。

以下我們分享更多駭客破解密碼統計:

106個黑莓機列入不得使用的蠢密碼(含 19 個男女英文名字)

name list

(如果太多密碼總是記不住,不妨來考慮使用PC-cillin 雲端版密碼管理e 指通功能)

《以上英文名字如有雷同,純屬巧合:D》延伸閱讀:駭客菜市場名入圍者: Robert

一向以安全性聞名的黑莓機,宣佈了 106 個無法在新一代黑莓機上設置的密碼,包含 19 個男女英文名字.

RIM (Research In Motion)黑莓手機母公司宣佈的 106 種密碼,其中包括了【Yahoo 遇駭,10大最駭密碼】和【LinkedIn被盜帳號的前30大常用密碼】都很受歡迎的「123456」之類的密碼,現在就來檢查一下,哪些是你以為天衣無縫,但是卻被黑莓機列為拒絕往來戶的傻瓜/危險密碼呢?請盡快更新吧.

Yahoo被駭前十大密碼
Yahoo被駭前十大密碼

Llinkedin前 30 大被駭密碼

繼續閱讀