信用卡刷卡資料外洩,該如何自保?

在一個民智大開的社會，大眾已逐漸對數位生活所暗藏的各種危險有了更清楚的認識。人們都知道在網路購物、聊天、理財、分享的便利性背後，其實暗藏著資料竊盜、勒索病毒與身分盜用的風險。這正是為何我們應該安裝通過市場考驗的防毒軟體/資安軟體來保護家用電腦及裝置，而且每次上網也都應特別小心。

然而，那些我們提供資料給他們處理的企業呢？

很不幸地，許多企業至今依然未能充分保護我們的個人資料和財務資訊，包括我們在線上購物或建立帳號時所輸入的付款資訊，或是我們在實體店頭刷卡消費、隨後被彙整到線上的刷卡資料。這些企業資料是犯罪集團目前鎖定的重大目標，歹徒只要走運一次，能夠駭入任何一家企業的客戶資料庫，就如同阿拉丁一樣意外挖到大量金銀財寶。

這代表著什麼意義？這意味著資料外洩已經成為新時代的常態。美國去年共有 1,473 件資料外洩通報案例，外洩的客戶資料將近 1.65 億筆。最新一起資料外洩事件的受害者是美國知名加油站連鎖超市 Wawa，而且是有史以來最大的類似外洩事件之一，有 3,000 萬名持卡人受到波及。

以下我們就來看看到底這起事件是如何發生，以及客戶該如何防範這類犯罪。

超過850家的連鎖超商Wawa,顧客刷卡資料發生外洩

Wawa 最早發出的通知是在 2019 年 12 月，他們告知客戶該公司的刷卡資料發生外洩。但儘管該公司是 12月才發現自家的刷卡交易處理伺服器上有惡意程式，但此惡意程式卻是從 3 月份便早已存在，因此很可能早就暗中竊取了每一家 Wawa 店面所傳送來的刷卡資料。換句話說，等於是遍布美國賓西法尼亞、紐澤西、特拉華、馬里蘭、維吉尼亞、佛羅里達等州以及華盛頓特區總共超過 850 家店面都在受害之列。

截至目前為止，該公司仍拒絕透漏有多少客戶受到影響。但是，正當持卡人懷疑自己是否受到影響的同時，卻又發生了另一起件事。今年 1 月底左右，駭客開始將竊取到的刷卡資料上傳至 Joker’s Stash 這個知名的黑暗網路市集。

駭客宣稱自己手上總共握有 3,000 萬筆刷卡資料，如果這項數字屬實的話，這起事件將與 Home Depot (2014 年) 和 Target (2013 年) 的資料外洩並列為有史以來最大的刷卡資料外洩事件。

信用卡資料一旦被駭客拋到暗網販賣,會有什麼後果?

資料一旦被駭客拋到暗網/黑暗網路(Dark Web)市集販賣 (例如這次的情況)，資料最後通常會被詐騙集團所收購，接著就會出現許多身分盜用詐騙。這次外洩的資料當中包括了信用卡與金融簽帳卡卡號、有效期限以及持卡人姓名，但卻不包括 PIN 碼，也不包含 CVV 驗證碼。在這樣的情況下，歹徒無法製作偽卡在 ATM 提款機使用，也無法在線上刷卡，因為大部分的網路商店都要求提供 CVV 驗證碼。

但是如果卡片仍採用舊式的磁條，那麼歹徒還是可以製作偽卡在實體店頭消費使用。

儘管 Wawa 公司表示他們已通知相關的發卡機構，但持卡人自己也必須仔細核對自己的帳單是否出現異常的交易，並且「及時」向發卡機構通報才能免於承擔被盜刷的費用，而且這會是一個耗費心力和時間的過程。

受害者兩步驟自我保護

像這樣的資料外洩事件絕非第一起也不會是最後一起，之前的希爾頓飯店 (Hilton Hotels)、Hy-Vee 連鎖超市、Bebe Stores 零售商店以及 Krystal、Moe’s 和 Schlotzsky’s 等餐廳所外洩的客戶資料，後來都被賣到 Joker’s Stash 黑暗網路市集。當消費者看到自己的個人資料一次又一次地遭網路犯罪集團外洩，真是相當令人沮喪。

當這樣的情況發生時，很多時候消費者往往都被蒙在鼓裡，沒有明確的資訊可以告訴他們自己的個人資料或刷卡資訊是否遭到竊取，取而代之的是一種令人不安的感覺，好像有不好的事情即將發生。如果連企業自己都不知道有多少持卡人受到影響，那消費者怎麼採取具體行動？

發生資料外洩的企業通常會提供所謂的信用監控服務來幫助消費者，但這只是一個不得已的彌補方法。首先，這類服務只會在有人試圖以消費者的名義申請信用額度時才會通知消費者，而非在失竊卡片遭到盜刷的時候發出通知。其次，他們只會在事件發生之後才通知消費者，此時歹徒很可能已經對您的財務造成嚴重損害。

某些時候，隨時留意銀行帳戶是否出現可疑交易，或許還來得更為實際，Wawa 資料外洩事件的情況正是如此。不過，這樣的做法還是太過被動，以下是兩個最方便且能達到更好效果的步驟：

步驟 1：監控黑暗網路, 看看你的個人資料是否正在販售?

消費者若想採取主動，可對黑暗網路 (Dark Web) 進行監控。市面上有些工具可幫您搜尋黑暗網路上的一些網站 (如 Joker’s Stash) 看看是否有您的個人資料在販售。這種方法的優點是能夠在資料外洩發生之後，針對被拿到黑暗網路販售的外洩資料發出警訊，此時犯罪集團仍未將您的失竊資料拿來從事詐騙。一旦掌握了這樣的資訊，您就可以主動要求您的銀行註銷某張卡片，同時另發一張新卡。

這方法對於所有您想要保護的資料都適用，包括：電子郵件、駕照、護照號碼以及密碼。

步驟 2：變更失竊帳號的密碼，妥善保管新密碼

一旦您發現您的資料已經遭到外洩並且被賣到黑暗網路，您最重要的一件事就是立即變更您失竊帳號的密碼，以便降低詐騙集團所可能造成的傷害。

此時密碼管理員之類的工具就很方便。這類工具可幫使用者針對每個不同的網站或應用程式帳號保管一個較長、不易猜測、又不重複的密碼。換句話說，如果某個密碼遭到外洩 (例如發生資料外洩)，您的其他帳號依然能夠安全無虞。除此之外，這類工具也讓歹徒更難猜出您的密碼，因為他們可能會使用自動化密碼破解工具，尤其是他們已經有了您的電子郵件地址之後。

在資料外洩發生之後，您最好也要特別提防網路釣魚(Phishing)攻擊，詐騙集團會利用這類攻擊來誘騙您上當，進而騙取更多個人資訊。以下提供幾個防範的祕訣：

小心任何不請自來的電子郵件，即使看似來自信譽優良的廠商。
對於不請自來的電子郵件，切勿點選其中的連結或下載附件檔案。
如果某個電子郵件要求您提供個人資料，請直接與電子郵件來源確認，而非點選其中的連結或回覆郵件。
安裝一套信譽優良又具備網路釣魚防護的資安軟體，包括所有的電腦和行動裝置。
確保所有作業系統與應用程式都隨時更新到最新版本。

趨勢科技能提供什麼協助?

所幸，趨勢科技提供了多種產品來協助您應付可能發生的資料外洩狀況，讓您主動防範這類資安事件的後續效應，不讓詐騙集團得逞。

Trend Micro ID Security：可檢查您的個人資訊是否已經被駭客賣到黑暗網路。這是一項非常安全的服務，包括 Android 和 iOS 行動裝置都有對應的應用程式版本，您所查詢的資料會運算成雜湊碼並透過加密連線傳送，如果程式在黑暗網路上找到您所輸入的資料，就會發出警告讓您採取行動。您可使用該軟體來確認您的電子郵件、信用卡卡號、密碼、銀行帳號、護照等資料是否已遭外洩。

趨勢科技密碼管理通：提供一個讓您安心儲存、管理及更新密碼的地方，幫您記住您的登入憑證，針對您需要登入的每一個網站和應用程式建立較長、安全、且非重複的密碼。這表示，萬一某個網站發生資料外洩，駭客將無法使用相同的密碼來登入您的其他帳號。密碼管理通提供了 Windows、Mac、iOS 及 Android 等版本，並且讓您的密碼在所有平台上都能同步。

Trend Micro Fraud Buster：這是一個免費的線上服務，可幫您檢查可疑的電子郵件。它採用進階機器學習技術來偵測不含惡意網址或附件檔案的詐騙郵件，但這些郵件對使用者來說仍具威脅，因為郵件內容可反映出歹徒是否已先從黑暗網路取得您的電子郵件地址。接下來，使用者再決定是否要檢舉詐騙郵件，或者取得進一步資訊，或是照常開啟郵件。

Fraud Buster 現在也已內建至 Windows 版趨勢科技PC-cillin當中，可保護 Gmail 和 Outlook 網頁郵件，支援 Internet Explorer、Chrome 與 Firefox 瀏覽器。除此之外也內建在 PC-cillin for Mac 當中，同樣可檢查 Gmail 網頁郵件，支援 Mac 上的 Safari、Chrome 與 Firefox 瀏覽器。