五年前的外遇網站資料外洩受害者,竟成最新勒索行動目標

根據報導指出，最近出現了一波專門針對五年前 Ashley Madison 婚外情網站資料外洩事件受害者的最新勒索行動。

Ashley Madison 是一個專門針對想要尋求婚外情的人設計的約會網站。經營該網站的 Avid Life Media 公司在 2015 年遭某個稱為「Impact Team」的駭客集團入侵並竊取了資料。駭客集團要脅 Avid Life 若不關閉 Ashley Madison 網站和另一個類似的網站，就要公開其竊取到的敏感資訊。當時該公司並未答應歹徒的要求，因此 Impact Team 便將數百萬名使用者的資料散布到暗網/黑暗網路(Dark Web)上。

該起資料外洩事件發生之後，各種網路犯罪集團隨即開始利用該起事件散布電子郵件威脅。這些資料也在 2017 年引發了另一起恐嚇事件。很顯然的，在最初的資料外洩事件發生之後多年仍有受害者遭到恐嚇。

[ 延伸閱讀：“給錢,不然告訴你親友 ….!! “Ashley Madison 偷情網站用戶遭勒索封口費]

為了避免被偵測，附檔提供QR Code 連結到付款頁面

在最新一波的勒索行動當中，歹徒威脅將公布受害者在 Ashley Madison 上的個人檔案和其他令人羞恥的活動證據。如同近期其他性愛勒索的案例一樣，歹徒要求受害者以比特幣支付贖金。歹徒的電子郵件當中並未提到勒贖金額 (美金 1,000 元)，而是將金額寫在一個以密碼保護的 PDF 附件中。電子郵件內文解釋這是為了避免電子郵件過濾軟體的偵測，因為這類軟體通常無法掃描附件檔案的內容。附件檔案內還提供了一個 QR Code 來連結到付款頁面。

駭客給受害者六天的時間考慮 (從電子郵件發出時間起算)，時間一到就會採取對應的行動。

[延伸閱讀：「你瀏覽色情網站，已被側錄」「QR Code 掃到關不掉的成人網站」兩個性愛勒索案例]

資料外洩與可能的後續效應

這幫歹徒有可能其實手上並無受害者的資料，只不過是利用這起事件為社交工程 social engineering ）攻擊的恐嚇手段。但這並非意味著這樣的威脅就毫無殺傷力。假使受害者真的認為駭客手上握有資料，就很可能迫於恐懼和壓力而讓駭客予取予求。

儘管如此，我們仍無法排除駭客手上確實握有從 Ashley Madison 網站外洩的資料。像這樣發生在五年前的資料外洩事件至今都還能成為網路犯罪集團的工具，實在令人不安，但卻也不令人意外。任何個人資訊一旦發布到網路上，基本上就可能遭到竊取，而且持有這些資料的單位，對於誰可以存取這些資料其實沒有真正的掌控能力。像這類的恐嚇事件，不但可能影響受害者本身，更可能影響受害者身邊的人。歹徒可能利用這些外洩的個人資料來試圖入侵受害者任職的企業。

[延伸閱讀：歷年十大資料外洩事件]

再者，外洩的個人資料不但可用來勒索被害人，還可用於所謂的憑證填充攻擊。憑證填充是一種利用殭屍網路（botnet）來自動化大量使用外洩的帳號密碼試圖登入各種網路服務的攻擊手法。