【軟體無所不在5-1】軟體更新一旦出了問題,有可能會危及生命安全!

精密複雜的軟體是工業成長的動力,讓工業以前所未有的方式茁壯,但最新的科技卻也伴隨著風險和後果。

軟體更新一旦出了問題,有可能會危及生命安全,例如交通運輸便是一例。針對軟體的安全性,全球航空產業已制定了嚴格的規範,但仍舊過度依賴一套無法預見所有情況的系統。

才不過數十年前,系統的邏輯設計還在使用機械開關來控制。要將一輛列車停止,駕駛員必須扳動一個控制桿,經由電力或機械方式將列車切換至「危險」狀態 (代表列車應該停止)。在進入隧道之前,若列車的高度超過隧道的限高,列車就會撞壞隧道前方某處的一個水銀管,使得該列車的電力被切斷。倫敦地鐵北線 (Northen Line) 就時常發生這樣的情況。這類控制邏輯相對上容易理解、也容易確認。

但隨著系統的日益複雜,系統慢慢開始改用電機零件來控制,再複雜一點的邏輯,就用離散電路來控制。如果訊號必須經過中繼轉送,那系統會發出聲音來確認操作已確實執行。因此,只要按部就班執行各樣動作,就能確保邏輯的正常運作。

到了今日,系統上的電機零件已經很少,因為,為了提升效能和效率,系統必須具備更複雜的邏輯。為了實現關鍵系統所需要的複雜邏輯,製造商開始在系統內導入微處理器。微處理器不僅擁有更大的彈性,而且比離散電路更容易透過程式控制。

繼續閱讀

美國國土安全部警告:小型飛機容易遭受 CAN 匯流排元件的網路攻擊

美國國土安全部網路安全局 (CISA) 提出警告,由於小型飛機元件存在漏洞,如果攻擊者能夠實際接觸,就可改變航空器的遙測功能。

美國國土安全部警告:小型飛機容易遭受 CAN 匯流排元件的網路攻擊

這項漏洞位於小型飛機的控制器區域網路 (CAN) 匯流排;CAN 匯流排可讓航空器 (或任何其他類型載具) 內部的各種裝置及元件互相通訊。

如果要利用這項漏洞,就必須實際接觸航空器。由於必須實際接觸,潛在攻擊者可裝設裝置,將偽造資料注入航空電子設備的 CAN 匯流排,導致航空器航空電子設備的讀數錯誤。

繼續閱讀

回顧歷年針對未修補系統的攻擊

網路犯罪集團攻擊未修補的系統漏洞,依然是當前企業遭駭客入侵最常見的原因之一。隨著網路基礎架構和連網裝置的數量不斷成長,建立一套適當的修補管理程序可說是迫在眉睫。

儘管單單一次的系統修補就必須耗費企業數小時的時間來完成,但根據以往的事件來看,系統未隨時保持更新的代價反而更高。

以下快速回顧近幾年來所發生的一些最具破壞性的網路攻擊與資料外洩事件,從這些事件,我們不難看出未修補的漏洞對企業機構的傷害有多大。

[相關新聞:How to get ahead of vulnerabilities and protect your enterprise business]

2016-2017年: Petya/NotPetya

  • 受害者:歐洲與美國的各種企業機構
  • 漏洞攻擊手法/漏洞:EternalBlue、EternalRomance (2017 年 4 月已修補)
  • 事件發生日期:2016 年 3 月 / 2017 年 6 月
  • 估計損失:100億美元

歐洲及美國各種銀行、發電廠、交通運輸系統、海運、藥廠、石油、營建、醫療等機構的系統在感染之後離線了數個小時。據稱這些攻擊主要鎖定烏克蘭境內的關鍵基礎架構及系統 (事件發生在放假前夕),但卻因為橫向擴散的原因而迅速蔓延至歐洲其他國家。

繼續閱讀

網路詐騙如何巧妙地讓你上鉤?網路詐騙的最新手段及6種對策

假冒系統服務的負責人向公司人員發送系統登入的催促信件;

宅配業者的不在府通知單的簡訊,誘導收件者前往釣魚詐騙網站;

偽裝成大型的網購業者,「如沒有印象請按取消」,企圖讓使用者開啟網址連結的訂單確認;

謊稱要進行市調,利用謝禮當成誘餌進而盜取信用卡資訊;

要脅寄送「散佈觀看成人影片的視頻」的假郵件,企圖讓收件者誤認為真實信件進而威脅索取遮口費;

詐騙信件中,將原始郵件地址(From:)偽裝成收件者自己的郵件地址

   
以上網路詐騙手法,你遇過哪幾個? 駭客的犯罪手法日漸巧妙化。其中又以煽動使用者內心空隙的網路詐騙手法特別顯著。為了不被騙取資訊及金錢,請了解最新的犯罪手法並徹底實施6項對策:

網路詐騙如何巧妙地讓你上鉤?網路詐騙的最新手段及6種對策
  • ˇ請留意煽動(操控)內心不安的手法
  • ˇ請留意偽裝成著名的網路服務及大型企業的手法
  • ˇ請留意假冒公司高階主管或廠商的詐騙郵件
  • ˇ針對網路詐騙的6項有效對策

請留意煽動(操控)內心不安的手法

    近年來,利用社交工程從網路使用者身上騙取資訊及金錢的手法等的被害事件是越來越顯著。社交工程(Social engineering),是伺機利用人們好奇或恐懼心理,讓對方進行詐騙行為的一種手法。

比如偽裝成金融機構或網路服務等的郵件及簡訊等通知:「貴用戶您的密碼有效期限將近」「一旦於時間內未重新開啟帳號的話帳號將失效」,並利用簡訊內的惡意連結誘導用戶進入網路釣魚(Phishing)網站,企圖騙取信用卡資訊等典型詐騙手法。

    其他還包含,用語音讀出「發現病毒」等的詐騙資安警告文,或是出現在瀏覽器上,或是唆使用戶打電話給偽裝的客服支援中心的手段,我們稱之為技術支援詐騙

參考:小心假 WannaCry(想哭)勒索病毒趁火打劫 !跳出中毒視窗,撥打技術支援電話,12500元台幣飛了!

    這類的詐騙資安警示的手段,利用「系統損壞」等假警告文誘導用戶進入非法網站,企圖利用修復系統及清除病毒等的名目,讓受害者進行安裝假防毒軟體( Fake AV)等的手法。

參考:假防毒軟體恐嚇詐財,看到中毒警告,請睜大眼

繼續閱讀

駭客正在覬覦您的個人資料,您該如何預防?

人們的生活越來越數位化,從購物、社交、通訊、到電視欣賞和玩遊戲,現在都能舒舒服服地透過桌上型電腦、筆記型電腦或行動裝置來完成。不過,要享受這樣的便利,我們必須提供一些個人資料來獲得服務。不論是提供簡單的姓名和電子郵件地址,或者進一步提供更敏感的資訊,如:身分證字號和信用卡卡號,這些所謂的身分識別資訊 (PII) 一旦提供給他人,都有可能讓我們暴露在危險當中。為什麼?因為駭客隨時都在覬覦這些資料,隨時都在想辦法竊取這些資料來讓他們獲利。

美國聯邦調查局 (FBI) 網際網路犯罪申訴中心 (Internet Crime Complaint Center,簡稱 IC3) 的最新報告即可看出這類網路威脅的當前規模。2018 年,個人資料外洩在網路犯罪案例當中名列前茅,受害者高達 50,642 人,相關損失超過 1.488 億美元。而這很可能只是冰山一角,因為還有更多受害者並未報案。去年,資料外洩所導致的身分冒用讓受害者蒙受 1 億美元以上的損失。此外,專門誘騙使用者提供個人身分識別資訊與帳號密碼的網路釣魚(Phishing)攻擊,其造成的損失也超過 4,800 萬美元。

這傳達了一個相當明確的訊息:消費者迫切需要採取一些作為來防範這些網路竊賊,以保護自己最敏感的身分資料與金融資訊。而這也是趨勢科技為何撰寫這篇文章的原因:希望能協助您掌握自己的敏感資料,了解駭客的竊取手法,以及您該如何防範。

哪些資料可能面臨風險?

追根究柢,駭客的最終目的就是為了賺錢。雖然他們也可能利用網路勒索或勒索病毒 Ransomware (勒索軟體/綁架病毒)來達成目的,但最普遍的作法還是竊取資料來賺錢。駭客一旦偷到您的身分識別資料與金融資訊,就會將這些資料拿到黑暗網路賣給犯罪集團來從事各種詐騙。犯罪集團可能利用買來的網路銀行登入資訊進入您的帳戶、掏空您的存款。或者,也可能冒用您的身分來申辦信用卡,讓您欠下鉅額負債。

繼續閱讀