行動裝置被竊或遺失的問題在增加

作者:Richard Medugno

在過去幾個月裡,我們部落格發表了幾篇關於智慧型手機被偷或遺失的問題日益嚴重。我希望可以藉由這些文章讓人們更小心這些可以避免的意外。

然而現實並非如此。事實上,問題似乎變得更糟。就好像全世界都沒有人看我的部落格或採納我的意見。這很顯然地惹惱了我。

 

如果你有看到紐約時報的頭版故事,標題是「Cellphone Thefts Grow, but the Industry Looks the Other Way(手機失竊事件增加,但是產業界視而不見)」,你會知道「新的全國被竊手機資料庫會追踪手機的獨特識別碼,防止它被啟動,理論上可以嚇阻竊盜…並沒有阻止被竊手機人數的不斷上升,部分原因是許多被竊手機都運到了海外,不在資料庫搜尋範圍,另一部分原因是識別碼可以輕易地被修改。」

唔…更令人驚訝的是,這篇文章表示手機產業並不關心,也不想要去增加更多的安全功能。因為,如果你手機遺失或被偷後必須再去買支新手機,那他們就可以賺更多的錢。

CNET有更多的壞消息,標題是「Smartphone safety lagging(智慧型手機安全性落後)」,參考Consumer Reports的年度「State of the Net」報告:

  • 許多使用者並不保護自己的手機。將近40%完全不採取安全措施。
  • 惡意軟體是個真正的威脅。去年有560萬個美國人經歷過像未經授權的簡訊發送,和未經允許去存取帳號等問題。

繼續閱讀

《總經理看資安趨勢》被APT攻擊後,該怎麼辦?

BOB作者:洪偉淦  趨勢科技台灣暨香港區總經理

假使企業發現遭受APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT),如何因應?不久前恰好有一份相關的統計報告出爐,歸納最常見處理方式不外下面三種,第一種是「強化傳統資安解決方案」,就現有防護工具進行全面補強;其次是將受害電腦予以Format,也就是「毀屍滅跡」;甚至有人索性「放任不管」,因缺乏專業知識,不知如何下手,只好置之不理。

綜觀上述三種方式,除了「放任不管」明顯不值得鼓勵外,另兩種做法亦存在盲點。首先,APT攻擊與一般威脅的最大不同之處,在於它是針對特定目標量身訂做的攻擊,傳統方案無法偵測其蹤影,所以「強化傳統資安解決方案」效用不大。其次,APT攻擊通常依循著攻擊、控制、擴散等步驟,企業必須瞭解其發展至哪一個階段,方知已造成或潛在的傷害有多大,才有助於對症下藥,如今好不容易有線索可還原事件原貌,卻急於「毀屍滅跡」,殊為可惜,因為那些被Format的標的,可能只是冰山一角,恐存在更多漏網之魚。

持平而論,APT是持續性的滲透攻擊,完整的防禦機制理應包含工具、流程,以及APT攻擊專家介入協助,三者缺一不可。也就是說,企業在部署偵測、分析、欄截、鑑識等APT專用解決方案之餘,另須搭配事件反應處理流程IR Process(Incident Response Process),輔以APT攻擊專家針對攻擊型態深入剖析,才足以洞察事件全貌。一方面將分析結果回饋到防禦機制,持續發揮偵查之效,遏止新的攻擊入侵,另一方面產製真正有效的解藥,針對潛伏在企業的APT暗樁,進行大規模清除。 繼續閱讀

超便宜無可挑剔正品的「iPhone 5」和「Samsung Galaxy Note II」?!手機應用程式內的詐騙廣告,專騙個資

行動應用程式作者常常會在應用程式內加入廣告以增加收入。這些廣告會用誘人的標語或敘述來吸引更多使用者去點。通常這些廣告會要求使用者去下載應用程式或重新導向一個網頁。不過網路犯罪份子永遠不會放棄利用新方法,所以也會利用這管道來竊取使用者的資料。

趨勢科技發現近來疑似有詐騙集團利用行動/手機應用程式廣告進行詐騙。該廣告宣稱可以極優惠的價格提供消費者「iPhone5」以及「Samsung Galaxy Note II」等知名品牌手機,一旦點選該廣告後,使用者將被導向特定網頁,該網頁要求使用者提供手機號碼和詳細住址,造成使用者個資外洩,進一步為不肖人士利用。購買者不但不會收到下單的物品,還會接到後續的詐騙電話。此類透過行動應用程式廣告的詐騙手法目前已盛行於中國大陸,但不排除有可能針對台灣使用者進行類似的網路詐騙攻擊,民眾應提高警覺。

有一名網友被價格吸引曾經下過訂單,但後來覺得不妥取消了訂單,事後忽然接到對方的電話,聲稱為了感謝下訂者對他們公司的支持,要送他一對總售價超過4萬塊人民幣的Omega手錶,但是需要支付包括手續費、保險費、快遞費等各種費用約260元人民幣。

打著 Samsung Galaxy Note II名號的手機 app詐騙廣告
圖一、Samsung Galaxy Note II的廣告
官方限時搶購 iPhone 5的手機app 詐騙廣告
圖二、iPhone 5的廣告

繼續閱讀

《總經理看資安趨勢》BYOD端點亦應納管

BOB作者:洪偉淦  趨勢科技台灣暨香港區總經理

行動裝置出貨量目前已凌駕傳統PC,展望未來,此類設備現身於企業網路的機率,已是不可避免的趨勢。企業應重新定義企業的端點裝置的範圍,不管是桌機、筆電、伺服器或行動裝置,皆應被涵蓋在內,任何一項端點,都沒有自外於中央控管機制之理,行動裝置也應不例外。

BYOD端點亦應納管
BYOD端點亦應納管

 

自帶設備(Bring Your Own Device,BYOD)不僅是熱門辭彙,也的確是當前頗為盛行的趨勢,在企業內此現象已十分普遍;但在此同時,大多資訊主管其實很清楚,BYOD最大隱憂就在於資料外洩,未加以管制的行動裝置一開放使其存取公司網路、收取公司電子郵件及其他資訊,便可能成為資料外洩或駭客入侵的重要管道。

行動裝置遺失率高,內存的資訊外洩的風險也相對升高。此外,駭客可運用惡意App或弱點攻擊等方式,以受害的行動裝置為切入點,一路取得企業資料的存取權限,屆時受駭企業的個人資料、甚或價值更高的機密資料,都可能成為竊賊的囊中之物,企業輕則陷入個資外洩訟訴,重則因智財權外洩導致競爭力驟降,資訊主管不能漠視其影響。 繼續閱讀

《總經理看資安趨勢》個資法來了,怎麼辦?

BOB作者:洪偉淦  趨勢科技台灣暨香港區總經理

新版個資法對於企業蒐集、處理、利用、停止利用以及刪除個人資料之歷程,不僅都有嚴格規範,而且制定嚴厲罰則,對企業肯定是巨大挑戰。

眾所矚目的新版個人資料保護法,總算在今年10月1日正式施行。就條文來看,新版個資法對於企業蒐集、處理、利用、停止利用以及刪除個人資料之歷程,不僅都有嚴格規範,而且制定嚴厲罰則,對企業肯定是巨大挑戰。

按理說,企業一路「觀望」了兩年多,早該基於個資防護做好充分準備;但實則不然,特別是中小企業,迄今仍有許多人還抱持觀望態度,他們寧可「賭」自己不會這麼倒楣,凡事等到第一個違法判例成立再說。

持平而論,這些毫無動靜的企業,未必不遵循法規,說穿了就是因為「無所適從」。以往國人保護個資觀念堪稱薄弱,對於個資的蒐集與使用,總認為理所當然、無傷大雅,如今面對千頭萬緒的法條,還真不知該如何下手;再者,幾乎所有資訊安全廠商,都說自家產品可以防護個資,而且個個要價不菲,企業無力消化繁複的產品資訊,更難以負擔高昂的購置成本,所以索性按兵不動。

這群企業的苦衷,固然情有可原,但世事難測,面對最高可達兩億元的賠償金額,更是不可承受之重,因此絕不宜兩手空空賭運氣。企業必須先有一個觀念,要100%杜絕個資外洩,那是不可能的,但最起碼需要盡到良善保管的責任,所以當務之急,即是趕緊從法律條文中找出關鍵點,再配合資訊技術加以落實,才是明哲保身之道。

最值得企業謹記在心的法律關鍵點為何?無非就是設備安全、資料安全稽核、使用資料的軌跡記錄,為了迎合這些關鍵需求,企業必須做到三件事。第一,建立內容過濾機制,針對所有從PC或伺服器等設備向外傳送的資料,逐一加以監控,辨識其內容是否挾帶個資;不可諱言,傳送個資的行為,有些是出自商業行為,未必個個都是蓄意外洩,但倘若個資數量達到一定筆數,或即將觸及企業的規範底線,就需要加以警示、甚至攔阻,一來可以提醒無心人,二來更可遏阻有心人。 繼續閱讀