《實測》有可能找到公司高層主管在線上交友網站上的相應帳戶嗎?

太多人太熱衷於分享過多但不必要的敏感資訊,而這些敏感資訊就像是給攻擊者的寶藏

從線上交友網站個人檔案收集到的企業資訊數量,高得嚇人。有些交友網站需要連接 Facebook 帳戶才能使用,有些則只需要電子郵件地址即可設立帳戶。以 Tinder 為例,它會在未經使用者認可的情況下,擷取使用者在 Facebook 上的資訊,然後顯示在 Tinder 的使用者資料上。這些資訊在 Facebook 上有可能是設定為私密資料,卻就這樣曝露在其他使用者、惡意攻擊者等人的眼前。

線上交友軟體透露過多的敏感資訊,也提供攻擊者素材

現在有越來越多的人使用線上交友尋找對象,但線上交友會對企業造成威脅嗎?使用者本身透露的資訊種類及資訊量,例如個人資料、工作場所、經常前往與居住的地點等,對於尋找對象的人而言是很有用的資訊,但同時攻擊者也會利用這些資訊,做為入侵組織的起點。

為了證實這項風險,趨勢科技研究了多個線上交友網站,初步包括 先請回答以下問題:

  • 假定有一個已知的目標 (例如公司高層主管、IT 部門主管、公職人員),是否有可能找到他們在交友網站上的相應帳戶 (假設他們有這樣的帳戶)?
  • 針對線上交友網站上的特定帳戶,是否有可能追蹤到他們在其他社群網站的資料,例如 Facebook、LinkedIn 或企業網頁?

不幸的是,以上答案皆為「是」。

Honeyprofile誘騙用個人檔案
Profile matching

(physical attributes, job information, tec.)

個人檔案匹配

(外表特徵、工作資訊等)

Location profiling地點分析
Target’s real-word social media profile目標現實生活的社群媒體個人檔案
Open Source Intelligence profiling公開來源情報分析
Target’s only dating network profile目標的線上交友網站個人檔案


1 我們如何追蹤可能目標的線上交友及現實生活/社群媒體個人檔案

 

駭客也可在線上交友網站,找到特定個人檔案之外的相應身分

在幾乎所有的線上交友網站上,我們發現如果要尋找一個已知在該網站註冊的目標,是非常容易的事。這並沒有什麼好奇怪的,因為線上交友網站可讓使用者運用各種條件來過濾對象,例如年齡、地點、教育程度、職業、薪資,當然還有外表特徵,例如身高與髮色,除了 Grindr 之外,因為此網站要求提供的個人資訊較少。

地點是非常有用的資訊,因為利用 Android 模擬器,可將 GPS 位置設定在地球上的任何地方,將所在地點設定在目標企業的地址,然後將匹配對象的半徑範圍盡可能縮小。

相反的,我們可以透過典型的公開來源情報 (OSINT) 分析,找到特定個人檔案在線上交友網站之外的相應身分。同樣的,這一點也不讓人感到驚訝,許多人太熱衷於分享過多但不必要的敏感資訊,而這些敏感資訊就像是給攻擊者的寶藏。其實有份研究指出,運用手機上的交友應用程式進行三角測量,就能找到持有人的實際所在位置。

在找到目標的位置並連結目標的真實身分後,攻擊者要做的只剩下利用這些管道。我們對此進行測試,在我們的測試帳戶之間傳送內含已知惡意網站連結的訊息,而這些訊息都正常地發送出去,未被標記為惡意訊息。

只要利用一點社交工程,很容易就能欺騙使用者點擊連結。攻擊者發送的連結可能是常見的網路釣魚網站,例如偽裝的交友應用程式或網站,如果受害者的密碼在多處重複使用,攻擊者就能侵入個人的生活圈。攻擊者也可能使用攻擊套件,但大多數人是在手機上使用交友應用程式,因此入侵難度較高。一旦成功入侵目標,攻擊者可嘗試劫持更多電腦,最終入侵受害者的工作及其企業網路。

接受交友就會被鎖定攻擊?

這種攻擊理論上可行,但實際上真的有發生過嗎?是的,真的有。今年初發生在以色列軍隊的鎖定攻擊,就是利用社群網站的個人檔案做為攻擊進入點。網路愛情詐騙不是什麼新鮮事,但線上交友網站上究竟發生過多少類似事件?

我們用假帳戶設立「誘騙用個人檔案」以進一步探索。將研究範圍縮小至 Tinder、Plenty of Fish、OKCupid 以及 Jdate,選擇這些網站的理由,是根據顯示的個人資訊量、互動的方式,以及無需支付初始費用。

然後,我們建立涵蓋不同地區及產業領域的個人檔案。大多數交友應用程式會限制搜尋區域,而且對象必須也接受你或給你按「讚」才能進行匹配,這表示我們也必須給真人持有的個人檔案按「讚」。於是就出現了一些有趣的情況:我們晚上在家陪伴家人時,得給搜尋範圍內每個新出現的個人檔案按「讚」(是的,我們的配偶都能諒解)。

我們也為研究訂定了幾項規則,就是不輕易答應交往,但保持開放交友心態:

  • 不率先連絡對方
  • 僅回應特定訊息 (以確認對方是否為真人,或只是傳送惡意連結)
  • 嘗試加快對話的速度;在一開始就提供對方良性社群網站的連結,讓攻擊者更容易在回覆中提供惡意連結
  • 嘗試成為被鎖定的目標;不要鎖定任何人或以網路釣魚方式攻擊任何人

以下是我們收到的訊息範例:

2 我們收到的搭訕內容

以下詳細說明我們的誘騙用個人檔案:

  • 對照組為「一般」的男性及女性:個人檔案列出常見的興趣、未列出工作、外表「普通」(至少從我們的觀點而言普通;建立的群組包含分數為「五分」(滿分十分) 者的個人檔案)
  • 另一個群組,則是在醫院及軍隊內部工作的「一般」IT 管理員/專業人士,個人檔案中有關於工作的詳細說明

研究目標是熟悉各個線上交友網站的特性。我們在設定個人檔案時,盡可能讓資料看起來很真實,但不會過度吸引正常的使用者,而是吸引根據個人檔案的職業來尋找對象的攻擊者。我們在數個地點建立了基準,看看這些地點是否出現任何主動式的攻擊。我們的誘騙用個人檔案地點與特定領域有潛在關聯,像是鄰近醫院的醫療管理人員、鄰近軍事基地的軍職人員等。


3 兩件列出工作或職業類型的個人檔案範例

 

從線上交友網站個人檔案收集到的企業資訊數量,高得嚇人

擁有特定職業頭銜的個人檔案自然吸引到了更多的注意。我們收到了許多油腔滑調的搭訕對話,也有一些好人與我們聯繫,但我們並未遭到鎖定攻擊。

也可能是因為我們沒有給正確的帳戶按「讚」。或許我們的研究選擇的線上交友網站及地區,目前沒有進行中的攻擊活動,但這並不表示攻擊不會發生或沒有發生,我們知道這種攻擊在技術上絕對是可行的。

然而,能夠從線上交友網站個人檔案收集到的企業資訊數量,是高得嚇人。有些交友網站需要連接 Facebook 帳戶才能使用,有些則只需要電子郵件地址即可設立帳戶。以 Tinder 為例,它會在未經使用者認可的情況下,擷取使用者在 Facebook 上的資訊,然後顯示在 Tinder 的使用者資料上。這些資訊在 Facebook 上有可能是設定為私密資料,卻就這樣曝露在其他使用者、惡意攻擊者等人的眼前。

已訂定營運安全政策的企業會限制員工能在社群媒體 (例如 Facebook、LinkedIn 及 Twitter) 上透露的資訊,這些企業應將此類限制延伸到線上交友網站或應用程式。而且,身為使用者,如果你發覺疑似遭到鎖定攻擊,應向業者回報並停止匹配個人檔案,這在大多數線上交友網站上都能輕鬆完成。


4 Tinder 的取消配對功能

使用電子郵件及其他社群媒體帳戶時,也應同樣謹慎,因為這些工具很容易存取,不受企業控制,而且是網路犯罪者的下手目標。就像使用電子郵件、即時通訊軟體及網站一樣,在你點擊連結之前,請務必三思。交友應用程式及網站也是一樣,無論這些應用程式網站看起來多麼無害,都不要提供超出必要範圍的資訊。你也可以使用提供反惡意軟體及網站封鎖功能的分層安全解決方案,例如 Trend Micro 行動安全防護

另外,如果你還不知道週末出門怎麼跟對象開啟話題,不妨參考我們收到的這則最佳搭訕用語。

原文來源:Can Online Dating Apps be Used to Target Your Company?