駭客正在覬覦您的個人資料,您該如何預防?

人們的生活越來越數位化,從購物、社交、通訊、到電視欣賞和玩遊戲,現在都能舒舒服服地透過桌上型電腦、筆記型電腦或行動裝置來完成。不過,要享受這樣的便利,我們必須提供一些個人資料來獲得服務。不論是提供簡單的姓名和電子郵件地址,或者進一步提供更敏感的資訊,如:身分證字號和信用卡卡號,這些所謂的身分識別資訊 (PII) 一旦提供給他人,都有可能讓我們暴露在危險當中。為什麼?因為駭客隨時都在覬覦這些資料,隨時都在想辦法竊取這些資料來讓他們獲利。

美國聯邦調查局 (FBI) 網際網路犯罪申訴中心 (Internet Crime Complaint Center,簡稱 IC3) 的最新報告即可看出這類網路威脅的當前規模。2018 年,個人資料外洩在網路犯罪案例當中名列前茅,受害者高達 50,642 人,相關損失超過 1.488 億美元。而這很可能只是冰山一角,因為還有更多受害者並未報案。去年,資料外洩所導致的身分冒用讓受害者蒙受 1 億美元以上的損失。此外,專門誘騙使用者提供個人身分識別資訊與帳號密碼的網路釣魚(Phishing)攻擊,其造成的損失也超過 4,800 萬美元。

這傳達了一個相當明確的訊息:消費者迫切需要採取一些作為來防範這些網路竊賊,以保護自己最敏感的身分資料與金融資訊。而這也是趨勢科技為何撰寫這篇文章的原因:希望能協助您掌握自己的敏感資料,了解駭客的竊取手法,以及您該如何防範。

哪些資料可能面臨風險?

追根究柢,駭客的最終目的就是為了賺錢。雖然他們也可能利用網路勒索或勒索病毒 Ransomware (勒索軟體/綁架病毒)來達成目的,但最普遍的作法還是竊取資料來賺錢。駭客一旦偷到您的身分識別資料與金融資訊,就會將這些資料拿到黑暗網路賣給犯罪集團來從事各種詐騙。犯罪集團可能利用買來的網路銀行登入資訊進入您的帳戶、掏空您的存款。或者,也可能冒用您的身分來申辦信用卡,讓您欠下鉅額負債。

繼續閱讀

犯罪集團瞄準 Office 365 系統管理員,並利用預先駭入的帳號從事網路釣魚攻擊

犯罪集團瞄準 Office 365 系統管理員,並利用預先駭入的帳號從事網路釣魚攻擊

雖然網路釣魚(Phishing)是一種相對單純的社交工程詐騙,但這並不表示網路犯罪集團不會持續加以改進並試驗各種新式手法。
最近,網路釣魚出現了兩種新的發展趨勢:

  • 其一是專挑 Microsoft Office 365 系統管理員下手
  • 其二是利用預先駭入的帳號來散發網路釣魚郵件。

這兩項技巧確實提高了網路釣魚的成功機率,因為在缺乏全方位機器學習(Machine learning,ML)資安技術的幫助下,受害者有時真的很難辨別真假。

繼續閱讀

《資安新聞周報》 iOS URL Scheme有可能被惡意劫持/修臉軟體 FaceApp 有安全疑慮/防詐達人台可辨識網站、文字,查證圖片

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

資安新聞週報
CLOUDSEC2019 企業資安高峰論壇
8/21 建立資安 one version

一周精選媒體資安新聞

ProFTPd修補遠端程式攻擊漏洞,上百萬臺未更新ProFTPd伺服器恐曝險   iThome

VLC 影音播放器存有嚴重漏洞 數百萬使用者面臨資安風險    點子生活

中國指使 德大廠接連遇駭    自由時報

全球雲端資訊服務市占龍頭 趨勢科技物聯網時代的網路超級衛兵    財訊雜誌網

玩《英雄聯盟》也要擔心個資?Riot遭點名助中國打造監控軟體    4Gamers電競賽事平台

防詐達人平台 可辨識網站、文字 查證圖片    公視新聞網

惡意軟體Mirai新變種 專門鎖定攻擊物聯網裝置    Content Party

直接整合威脅偵測與系統強化,趨勢推出預裝在IoT設備的SDK    iThome

結合AI技術 資訊安全防護更強大    新電子網

線上付款怕信用卡被盜刷?手機、電腦都能用!趨勢科技PC-cillin雲端版安心Pay網購時的保衛者    電獺少女

智慧城市危機?趨勢總經理洪偉淦:萬物聯網,代表萬物皆可被駭    天下雜誌網

俄修臉軟體FaceApp有安全疑慮 美參院領袖要求調查    中央通訊社

台中地下道裝中國製監視器 引資安疑慮    公視新聞網

人腦直接上網?馬斯克新項目:將晶片無痛植入人腦中    新頭殼

專門攻擊 QNAP 網路儲存裝置的 eCh0raix 勒索病毒    雅虎奇摩

藍牙裝置漏洞可用來追蹤iOS/Mac、Windows 10裝置、Fitbit用戶位置    iThome

繼續閱讀

為何漏洞修補會成為企業的一項挑戰?談虛擬修補( Virtual Patching)

當應用程式或企業 IT 基礎架構含有未修補漏洞會如何?以下說明虛擬修補如何協助企業解決漏洞與修補管理的困境。

Security 101: Virtual Patching

檢視圖文解說:虛擬修補如何協助企業確保安全

從去集中化到導入雲端行動裝置物聯網 (IoT) 技術,隨著企業網路基礎架構日益複雜,修補管理的工作也更加耗時費事、消耗更多企業資源。

不過,應用程式的修補工作一旦有所延誤或甚至擱置,將為企業帶來莫大風險。2017 年 Equifax 資料外洩事件就是最好的例子,該事件洩漏了數百萬名客戶的個人身分識別資訊,而這起事件追根究柢的原因,就是該機構的某個網站應用程式含有未修補的漏洞。在一切都塵埃落定之後,Equifax 表示該事件造成了高達 4.39 億美元的財務損失,此外還要加上英國資訊委員會 (ICO) 針對該事件所做出的處分:50 萬英鎊 (約 66 萬美元) 的罰鍰。

[趨勢科技年度資安總評:Notable Vulnerabilities Disclosed and Exploited in 2018]

為何漏洞修補會成為企業的一項挑戰?

以下是企業在漏洞修補與修補管理上所面臨的一些挑戰

  • 影響業務永續性。儘管定期安裝修補更新是一項良好的資安實務原則,但許多企業卻覺得修補作業太過冗長,而且會中斷營運、耗費成本,因此選擇將這些工作延後 (或者乾脆捨棄) 以免影響業務。
  • 需要修補的漏洞數量過多。這樣的情況對經常升級 IT 基礎架構的企業來說尤其如此,因為他們會有更多漏洞需要修補。根據趨勢科技 Zero Day Initiative (ZDI) 漏洞懸賞計畫 (目前有 3,500 多名外部獨立研究人員參加) 所累的資料顯示,從 2017 至 2018 年,該計畫所發現並通報的漏洞數量增加了 34%。
  • 掌握度不夠。網路基礎架構越龐大,更新流程就越複雜。再加上如果 IT 基礎架構零散,包含各種不同作業系統或應用程式版本,甚至分散多個不同地理位置,那問題將更麻煩。
  • 修補更新過於頻繁。這使得修補管理變得缺乏效率,特別是難以整理出哪些才是最重要、非修補不可的漏洞。
  • 老舊及無法修補的系統。有些已經終止支援的系統和應用程式已無法再獲得更新,即使目前仍有一些營運關鍵作業可能會用到這類系統和應用程式。此外,還有一些內嵌式系統的軟體或元件通常也無法修補,例如:銷售櫃台系統 (POS) 終端機、IoT 裝置以及工業控制系統
繼續閱讀