Apple ID - 資安趨勢部落格

《看漫畫談資安》「 Apple ID 帳號復原通知」有可能是網路釣魚?!

2020 年 01 月 03 日2020 年 06 月 15 日趨勢科技 TrendMicro

網路釣客近年來鎖定 Apple ID 的事件頻傳,以下是本部落格介紹過的幾個案例:

繼續閱讀

【網路釣魚簡訊】「您本月 Apple iTunes Store 帳單有問題?」當心 Apple ID 被駭!

2019 年 11 月 27 日2019 年 11 月 27 日趨勢科技 TrendMicro

如果你收到以下簡訊,請勿點選址,以免 Apple ID 帳號遭駭!

您本月 AppleiTunesStore 賬單存在安全因隱患問題,請仔細核對後繼續使用:h**p://s***k.top

點選簡訊連結後,會出現 APP ID 網路釣魚登入頁面,之前也有發生類似的詐騙行為,不同的是上次用電子郵件,這次是用簡訊。
請參考:【網路釣魚警訊】「帳號出現異常活動請更新您的付款資料」一按下去, Apple ID 就被盜

繼續閱讀

「尋找我的 iPhone」卻找到釣魚網站,導致 Apple 登入憑證被盜

2019 年 09 月 27 日2019 年 10 月 04 日趨勢科技 TrendMicro

她的 iPhone 被偷後,收到一則看似正常的簡訊，裡面提供了一個看似指向「尋找我的 iPhone」(Find My iPhone) 連結。沒過多久歹徒就進入了她的 iPhone 並且將資料徹底清除。

傳統犯罪與網路犯罪的結合，已使得傳統犯罪的受害者陷入更悲慘的境遇。最近的一個案例就是，一位女子在參加芝加哥一年一度的 Lollapalooza 音樂節時不慎 iPhone被偷。結果在她經由網路尋找 iPhone 時卻不小心誤觸盜賊的網路釣魚網站，導致 Apple ID 和密碼也被騙走。

這名受害者向當地的新聞媒體 CWBChicago 分享了這段經歷，希望不要再有其他人受害。如同一般的網路釣魚詐騙一樣，這名女子收到一則看似正常的簡訊，裡面提供了一個看似指向「尋找我的 iPhone」(Find My iPhone) 網頁的連結。但她直到自己的登入憑證被盜了之後才意識到這則簡訊以及剛剛登入的網頁很可能是假的，因為，沒過多久歹徒就進入了她的 iPhone 並且將資料徹底清除。

顯然，要是這名女子能一開始就識破那則網路釣魚訊息，這一切的悲劇就不會發生。這話說來容易，但歹徒就是有能力偽造出幾可亂真的網路釣魚頁面，就連最謹慎的用戶也可能被騙。

不必故意使用拼錯的字,就可讓網路釣魚網址看起來完全無任何異樣

繼續閱讀

《資安漫畫》「警告：你的 apple 帳號將暫時無效」常見竊取帳號密碼的網路釣魚詐騙手法

2018 年 06 月 13 日2018 年 07 月 31 日趨勢科技 TrendMicro

近年來網路上大量地充斥著冒充知名企業，騙取個資及信用卡資料的釣魚詐騙信件。

其中，又以Apple ID及Yahoo、Google帳號等多功能帳號的資訊最容易遭受釣魚詐騙攻擊。多功能帳號是指下載購物軟體，或是在雲端存取資訊，或是使用郵件等的服務時所共通使用的帳號密碼，一旦遭到騙取的話就有被盜用的危險存在。

例如，假冒Apple公司之名傳送「警告：帳號將暫時無效」等的信件。

Apple 在消費者心目中安全又可靠的形象，讓它成為消費性電子產品最受信賴的品牌之一。然而，其廣受歡迎的產品與服務也經常讓客戶成為網路釣魚攻擊的目標。

繼續閱讀

【網路釣魚警訊】「帳號出現異常活動請更新您的付款資料」一按下去, Apple ID 就被盜

2018 年 05 月 16 日2018 年 07 月 29 日趨勢科技 TrendMicro

趨勢科技偵測到一波新的 Apple ID 網路釣魚攻擊，利用社交工程技巧假藉可能必須終止服務的名義強迫使用者提供個人資料。這波網路釣魚電子郵件是假冒 Apple 的名義，通知客戶因為帳號出現異常活動而被鎖住，必點選郵件內的連結來更新付款資料。當受害者點選郵件中的「Update Your Payment Details」(更新您的付款資料) 按鈕時，就會連上一個外觀類似 Apple 網站的假冒網站，網站上所使用的影像背景甚至跟正版的 Apple 網站一樣。

這網站的確做得比絕大多數網路釣魚網站都來得精緻而逼真。而且內含基本的輸入資料檢查，會利用基本的總和檢查 (checksum) 來確定信用卡號碼輸入正確，同時也會檢查數字和文字欄位的長度是否正確，或者是否包含特殊字元。日期、電子郵件、姓名、CVC 檢查碼等等都會檢查是否輸入正確。

在所有個人資料和帳號資訊都填妥之後，網站會告訴使用者他們將被登出以確保安全。接著，使用者會被重導到真正的 Apple 網站。

惡意網站使用了AES 加密來反制資安廠商網站信譽評等的爬網動作，此外還搭配了其他反制措施。對一個網路釣魚詐騙攻擊來說，使用 AES 加密相當反常，因為正如我們前面所述，歹徒通常會將心思花在詐騙行動上，而非安全與躲避機制。而且此採用的加密有別於一般保護整個連線階段的 HTTPS 加密。

趨勢科技提醒使用者須小心注意任何經由電子郵件發送的連結，尤其是用來登入 Apple ID、Google 帳號、PayPal、社群網站以及其他敏感網站的連結。除此之外，信中還可能有其他惡意連結或附件檔案，因此請務必使用防毒軟體來掃瞄附件檔案。比如能保護使用者的多台裝置，並能攔截惡意連結的
PC-cillin雲端版，同時，使用者也應透過其他管道來求證信件當中所說的緊急情況，例如該公司的社群網頁。

PC-cillin 雲端版防範勒索保護個資 ✓手機✓電腦✓平板，跨平台防護３到位

網路釣魚詐騙使用 AES 加密並騙取 Apple ID

近期發生的資料外洩與隱私權風波再加上歐盟通用資料保護法 (GDPR) 即將上路，使得企業紛紛改變其處理使用者資料的方式。也因此，許多企業開始透過電子郵件通知用戶更新自己的個人檔案或主動強化資安防護。而這些電子郵件儘管來自不同的企業，其內容卻大致相同，不外乎開頭先來一段標準的問候，接著說明為何要更新其政策，最後再提供一個很顯著的按鈕讓使用者點選。由於最近這類郵件非常的多，而且陸陸續續還會有更多企業發送這類郵件，因此，不令人意外的，歹徒也看上這波郵件通知熱潮，開始假冒企業發動網路釣魚攻擊。歹徒非常擅長假冒知名企業，以「使用者政策更新」的名義發送網路釣魚郵件。繼續閱讀