IOE - 資安趨勢部落格

《 IoT 物聯網新趨勢》你家需要智慧型電視嗎?

2014 年 08 月 19 日2016 年 11 月 01 日趨勢科技 TrendMicro

時代終於來臨。還記得那些科幻影集當中的未來世界，人們只要用嘴巴大喊一聲，或是揮一揮手就能切換電視頻道嗎？互動式連網智慧型電視的時代終於要來臨了，原本遙不可及的假想電視機即將成真，而且甚至更好。

智慧型電視是一種內建電腦作業系統而且能連接網際網路的電視。因此，這些電視能執行特殊用途的應用程式，並存取其他線上內容和資訊。它們可設定針對特定族群提供特定內容，例如，透過家長監護功能，兒童就不會看到不當的內容。

這類電視也可以綁定某個儲值帳號，因此想要觀賞隨選節目只需輕鬆點一下即可。它們甚至可以當成其他內容的儲存和播放裝置，如：相片、音樂及影片。由於電視或影片觀賞經常被視為一種社交的潤滑劑，因此，您也可以直接在智慧型電視上更新您的 Facebook 狀態，針對某個節目發表意見，並看看他人的回應。

以目前智慧型電視的銷售速度來看，這些電視的產量預計將從 2012 年的 6,900 萬台成長到 2016 年的 1 億 9,800 萬台。屆時，85% 的平面電視都將是智慧型電視。

智慧型電視將為網路使用者帶來新的使用習慣，有 60% 的使用者將直接透過電視觀賞網路影片、15% 從網路收聽音樂、10% 瀏覽網站、6% 存取檔案。

: 點擊小圖可放大

infographic 資料圖表 IOE-Smart TV 智慧型電視

既然智慧型電視必須儲存個人資訊才能讓使用者存取網路帳號，因此網路犯罪者自然而然會想要竊取這些資訊。網路犯罪者一旦取得您的資訊，他們就會利用暴力破解方式來試圖取得更多資料。這並非一件難事，由於智慧型電視沒有實體鍵盤的關係，絕大多數的成年人 (英國為 55%) 都只使用很容易猜測的簡單密碼。

有鑑於此，維護安全是智慧型電視使用者很重要的一件事。帳號保護、家用網路安全、節目控管都非常重要。智慧型電視使用者應在網路帳號上使用強化密碼，在家用路由器上設定複雜的登入資訊，並且投資一套可過濾內容並提供家長監護功能與安全控管的防護軟體。

◎原文來源: https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/understanding-ioe/are-smart-tvs-ready-for-prime-time

Raspberry Pi (樹莓派)蘊藏潛力也暗藏風險

2014 年 08 月 15 日2019 年 06 月 24 日趨勢科技 TrendMicro

Raspberry Pi 樹莓派是一種有如信用卡般大小的微電腦模組。不過，可別讓它小巧的體積給唬了。它原本是專為學生設計的一種低成本電腦程式設計輔助工具，但它豐富的多元性卻讓它應用到各式各樣的專案。有許多人發揮創意為 Pi 找到了很酷的用途，例如將它改造成無線路由器、私人音樂串流裝置，甚至變成一台可幫您泡咖啡的機器人。

圖文解說：Raspberry Pi 是否需要安全防護？(點小圖可放大)

它不僅用途廣泛，而且定價只有 25 美元，大約是五個大麥克漢堡或三個月 Xbox Live® 金會員資格的價格。這正是 Pi 在美國大賣的原因。

Pi 輕輕鬆鬆就登上 DIY 之王，它可以用來建立強大的系統。它提供了 SD 卡插槽、USB 連接埠、乙太網路連接埠、RCA 插槽、HDMI 連接埠、音訊輸出以及 micro USB。因此，您可以擴充它的儲存容量、用它來播放多媒體、或者用它來連上網際網路。您可以將它打造成一台行動電腦、檔案伺服器、居家保全控制盒、遊戲裝置、玩具或創意電子設備，或是當成教學工具。

但它也不是沒有風險。Raspberry Pi 強大而吸引人的原因之一是可以連上網際網路，而這將帶來風險。網路上充斥著惡意程式感染與資料外洩的風險。既然 Pi 是可儲存與載入資料的硬體，因此自然需要受到保護。

由於這台多用途微電腦當中使用了許多手機上的技術，因此，其防護措施做起來也不算全然陌生。光是將您 Pi 上的作業系統安全功能全都打開或許還不足夠。就像桌上型電腦與行動裝置一樣，切記避免從可疑來源下載 App 程式到 Pi 上，因為這很可能導致資料遭到竊取。由於 Pi 可輕鬆連接各種裝置與網路，因此這些全都應該採用最新的安全防護方案。

◎原文來源:https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/understanding-ioe/raspberry-pi-has-its-potentials-and-perils

《 IoT 物聯網安全趨勢》介紹智慧型電表

2014 年 08 月 06 日2016 年 01 月 25 日趨勢科技 TrendMicro

雖然穿戴式技術可能是物聯網（IoT ,Internet of Things）最為人所知的項目，但最被廣泛使用的可能是智慧型電表（包括水表、瓦斯表等）。

智慧型電表到底是什麼？它是公用事業（電力、煤氣或水）的記錄器，記錄這些公用事業的消費量，並將其透過某種形式來雙向跟供應商溝通。（包括使用無線網路、電力網或用戶自己的網路服務連線。）不只是簡單的住家監控，智慧型電表可以收集資料作為遠端公用事業報表之用。

單單一個智慧型電表的用途有限。但如果大多數電表都是「智慧型」，就會對公用事業產生較大的效益。有了大規模智慧型電表所提供的額外資訊，公用事業可以根據需要來調整服務，以提升服務的效率、可靠性、成本效益和持續性。

部署和使用方法

有些人可能會認為智慧型電表只是種理論。然而，它們已經在某些國家廣泛使用，可以想見在未來幾年內會變得更加普遍。

讓我談談我所知道的世界 –歐洲。比方說之前義大利的電力獨佔企業 – 義大利國家電力公司（Enel）已經推出智慧型電表給它幾乎所有的3600萬個客戶。此外，義大利國家電力公司已經部署稱為Telegestore的遠端管理系統，讓公用事業公司能夠透過智慧型電表來採取動作，不然就需要進行實地訪問。3.3億次電表讀取和超過一百萬次的其他遠端操作，讓一切對客戶和義大利國家電力公司來說都更加容易。義大利國家電力公司還擁有西班牙公用事業公司Endesa公司的92％股份，並且推出同類產品到市場中。

義大利和西班牙並不是唯一帶頭採用智慧型電表的歐洲國家。其他被歐盟認定為智慧型電表「動態推動者」的國家包括愛沙尼亞、芬蘭、法國、愛爾蘭、馬爾他、荷蘭、挪威、葡萄牙、瑞典和英國。這些國家裡的監管機構和公用事業都會做出必要動作來對推動採用智慧型電表。

技術標準與風險

有多個產業團體和協定正在推動智慧型電表技術。這也相當程度地反映出智慧型電表有多種部署和使用方式：不同的應用可能需要不同的技術。然而這也代表智慧型電表使用種類廣泛的技術標準。

其他類似的利基設備 – 如住家自動化設備和連網路由器 – 都已被證明有嚴重的安全問題。電燈開關有漏洞是一回事。但公用事業電表和控制有漏洞就是另外一回事了。智慧型電表和智慧型電網還沒有對潛在性安全隱患做過完整的測試和審查；我們必須要考慮到當這些設備出現漏洞時會產生什麼可能的狀況 – 因為這是必然會發生的。

下面的影片介紹了些可能的情景。在未來的部落格文章裡，我們會探討其中一些場景的細節和討論可能導致這些問題的情況。

繼續閱讀

《 IoT 物聯網安全趨勢》智慧型電表攻擊情境

2014 年 07 月 31 日2016 年 01 月 25 日趨勢科技 TrendMicro

在之前的文章裡，我們探討了智慧型電表如何地引進到多個國家和地區，以及為什麼這些設備會帶給它們用戶安全隱憂。

在它們的心臟，智慧型電表簡直就是…一台電腦。讓我們看一看現有的電腦 – 無論是電腦、智慧型手機、平板電腦或嵌入式設備。很相似地，這些智慧型電表透過可以互相理解的技術通訊：行動網路連線、電力線網路或是用戶自己的網路連線。

想到這一點，我們必須考慮可能的威脅 – 如果智慧型電表被入侵會發生什麼事？同樣地，如果智慧型電表的連線被干擾，可能會發生什麼事？讓我們來看看。

最明顯的風險很簡單：電表被篡改。如果智慧型電表可以被駭客攻擊，就會送回不正確的資料給公用事業單位，讓攻擊者可以調整讀取的數據和導致帳單出錯。比方說，你跟你的鄰居起爭執。為了報仇，如果他可以存取你的智慧型電表，那你可能會收到一筆相當大的電費。

圖1：駭客入侵鄰居的智慧型電表（來自我們的影片截圖 – 強調攻擊情境）

繼續閱讀

CryptoLocker勒索軟體肆虐可能助長網路銀行惡意程式

2014 年 07 月 30 日2016 年 01 月 25 日趨勢科技 TrendMicro

在經歷了過去的假防毒軟體和警察木馬程式之後，新的 CryptoLocker 變種開始將目光轉移到特定的攻擊目標。我們看到許多勒索程式變種在警告受害者時會針對不同國家，如：匈牙利、土耳其、日本以及美國使用對應的語言。同樣地，一些勒索軟體 Ransomware也會將訊息和警告通知在地化，讓受害者覺得更真實。此外，另有報導指出，有些變種還會設下嚴格的期限，指示受害者必須在 72 小時內付款以取得解密金鑰，否則系統將被摧毀。

而猙獰的 BitCrypt 則不僅會挾持檔案和系統以勒索現金，還會要求支付比特幣 (Bitcoin)。BitCrypt 主要透過 FAREIT 變種下載，還會竊取比特幣錢包相關資料，這使得勒索程式變得比以往更加複雜。

2014年第一季勒索程式受害者主要分布在美國 (28%)、日本 (22%) 和印度 (9%)，這些同樣也是網路銀行受害最嚴重的國家。或許這只是巧合，但我們仍不禁懷疑勒索程式的氾濫情形是否也可能會助長網路銀行惡意程式的數量。不過，我們過去確實曾經看過網路銀行惡意程式會下載勒索程式，因此若相反的情況發生也不算是太大的突破。