七月iOS 和 Android 最新手機遊戲 Pokemon Go (精靈寶可夢) 在真實世界投下了一顆震撼彈。
Pokemon Go 是神奇寶貝系列最新的熱門遊戲。Pokemon Go 遊戲的目標就是「Gotta catch ‘em all」(必須將它們全部收服)，這一點玩家須靠手機和擴增實境技術在真實世界中達成。Pokémon Go 會利用手機的 GPS 定位並搭配 Google 地圖在真實世界的某些地點放置一些神奇寶貝供您透過手機搜尋。一旦您所在位置附近有神奇寶貝出沒，您就可以利用手機的相機來查看神奇寶貝，然後將它收服。此功能必須使用手機來尋找神奇寶貝，再藉由手機的照相功能讓您在周遭的環境上看到神奇寶貝。接著，您要在螢幕上投出一個神奇寶貝球來收服神奇寶貝並獲得經驗點數。
除此之外，Pokémon Go 還會指引使用者帶著神奇寶貝到真實世界的某些地點去找神奇寶貝競技場 (Gym)，好讓神奇寶貝在此進行戰鬥訓練及升級。
假使去除了真實世界的元素，基本上這遊戲其實並無真正創新之處。Pokémon Go 結合擴增實境在真實世界進行遊戲的方式，可說是獨創而前所未見。不過，也讓我們見到擴增實境遊戲一些始料未及的風險。
這些始料未及風險就是真實的人身傷害。Pokémon Go 遊戲在上市的幾天之後即發生了多起武裝搶劫事件，歹徒利用遊戲來尋找及引誘受害者。此外，還有一些瘋狂玩家為了尋找和收服神奇寶貝竟然私闖民宅。美國更出現有玩家為了抓神奇寶貝而私闖民宅並且遭主人打傷的案例。還有些玩家因為玩得太過忘我、未注意到周遭情況而受傷或死亡。
因為遊戲本身相當有趣，就像任何電玩遊戲一樣，您很容易太過著迷，而且這款遊戲又需要全神貫注。是的，遊戲在一開始都會特別警告您要小心，但很快就會被遺忘。
App Store 和 Google Play 市集上源源不絕的新遊戲，可說是行動市場不斷成長的一股動力。不過，手機遊戲的不斷成長，也讓這些遊戲成為網路犯罪集團最佳的攻擊途徑之一。Pokemon Go 這款利用擴增實境技術的最新遊戲讓全球粉絲為之瘋狂。不幸的是，網路犯罪集團很快就盯上這股熱潮，遭到篡改的冒牌 Pokemon Go 應用程式，已開始在網路上流傳。冒牌版本裡頭暗藏著一個名為 DroidJack 的 RAT 遠端存取木馬程式 (趨勢科技命名為 AndroidOS_SANRAT.A)。此惡意版本已於 7 月 7 日上傳至非官方檔案分享網站 (離該遊戲在美國、澳洲和紐西蘭正式上市僅僅不到 72 小時)。
[延伸閱讀：數字會說話：遊戲玩家所面臨的危險]
惡意版本的目標並非美國、澳洲和紐西蘭的玩家，而是那些急著想要嘗鮮、卻位於遊戲尚未正式發行地區的玩家，他們會從非官方商店下載該遊戲並自行安裝。這個遭到篡改的遊戲，基本上可讓駭客完全掌控受害者的手機。此惡意程式可取得 Android 裝置所有主要功能的權限，包括存取、修改及執行各種功能：電話、簡訊、通訊錄、相機、錄音機，以及啟用或停用 Wi-Fi 連線。
一些新聞網站也提供了如何從非官方管道下載該遊戲的說明，包括如何在 Android 系統上安裝該遊戲的 APK檔，導致伺服器大量超載。也因為這一波瘋狂熱潮，該遊戲的 APK 檔案目前正在網路上到處流竄，因此就算住在 Pokemon Go 尚未正式發行的地區，也可輕易下載並安裝該遊戲。
除此之外，該遊戲還需要 Gmail 帳號的完整存取權限，這表示 Pokemon Go 和其開發廠商 Niantic 將可讀取使用者的電子郵件以及 Google Drive 雲端硬碟中的內容。如果使用者以自己的 Google 帳號登入，使用者很可能不會完全意識到該程式可取得完整帳號存取權限 (這一點是 iOS 版特有的風險)。根據進一步分析，Pokemon Go 遊戲不會在登入 Google 帳號時明確要求提供完整的帳號存取權限。不過其開發商 Niantic 已出面聲明該遊戲不會讀取使用者的電子郵件，其 iOS 版本所取得的「完整帳號存取權限」會受到 Google 限縮。Niantic表示：「Pokemon Go 只會存取 Google 設定檔的基本資訊 (確切來說是使用者名稱和電子郵件地址)，我們不會、也從未蒐集 Google 帳號上的其他資訊。」
雖然惡意版本的遊戲目前尚未傳出災情，但我們仍建議使用者要小心任何從非官方商店下載的應用程式。除非使用者特別去檢查該程式所要求的權限，並與官方版本做比較，否則已遭篡改的 Pokemon Go 版本在 APK 檔案上看不出有明顯的特徵。
為了安全起見，使用者最好還是從官方商店下載這款遊戲。另外，也應留意程式要求提供什麼權限，先了解其風險之後再接受其使用條款或提供權限給應用程式。
原文出處：Malicious Version of Popular Mobile Game Pokemon Go App Spotted
Pokémon Go: Real World Risks of Apps