智慧工廠浪潮下的六種潛在資安威脅
智慧工廠(Smart Factories)是工業物聯網 (IIoT) 改造傳統製造業的最佳展現。製造業現在對智慧工廠的願景、能力、優勢和建置挑戰，已有相當程度的基本認識。然而最大改變之一就是，智慧工廠這類技術轉型需耗費相當龐大的經費，因此，如何發揮最大投資效益，將是一項重要的考量。針對這點，系統整合商可從重新評估現有的資安措施著手。
只要遭遇一次的網路攻擊，智慧工廠所帶來的效益，如：即時資料監控、供應鏈管理、預期性維護等等，將瞬間化為烏有。這正是為何企業在邁向「智慧化」時，千萬不能輕忽資安的重要性。不過，只要稍微研究一下過去的網路攻擊案例，並回顧一下網路攻擊常見的發生情況，就能發掘 IIoT 資安最常被忽略的問題以及最需要加強的地方。
回顧針對聯網工業系統的攻擊
重新回顧那些針對 IIoT 系統的攻擊，不僅有助於重新認識該領域的真正威脅，更能當成個案研究來讓我們進一步了解 IIoT 威脅的性質。下圖顯示過去十多年來一些專門針對 IIoT 系統的攻擊。
從這些事件可以看出智慧工廠內的一些工業控制系統 (ICS)，尤其是監控與資料擷取 (SCADA) 系統，在遭遇攻擊時可能帶來的潛在損失。從過去的案例來看，針對基礎架構的攻擊很有可能造成大規模損失，視其攻擊對象而定。而且，專門攻擊這類系統的歹徒目前仍在不斷研究如何改善其工具以翻新其攻擊手法。 繼續閱讀
《資安新聞周報》一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中,請小心迴避/2018年不可思議14個駭客入侵手法懶人包
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 「你肉腳」這個詐騙購物網站 , 台語發音令受害人好崩潰!一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中,請小心迴避
- 【LINE惡作劇】「鈕承澤醜聞私密照曝光了」專家:人性,是最大的安全漏洞,別亂點!
媒體資安新聞精選:
亞洲最有權勢女強人 陳怡樺談趨勢王國 寰宇新聞網
Media OutReach/趨勢科技榮獲2018Gartner用戶端防護平台同儕意見客戶首選 Pchome 新聞
怕染毒 趨勢科技攜手中華電從機房防毒 台灣蘋果日報網
【再也沒有 123456 了】加州立法禁用「預設密碼」，IoT 產品全得強制改密碼 科技報橘網
微軟網站登入系統有漏洞，用戶點選惡意連結帳號就被綁架 iThome
駭客在黑市兜售全球逾30個國家的4萬個政府服務憑證 iThome
Mygopen》【假LINE】鈕承澤醜聞私密照曝光？專家：小心熱門訊息不明連結 自由時報電子報
獨／沒有PayPal帳戶卻收到交易信 跨國第三方支付資安出現漏洞 ETtoday新聞雲
手電筒等22款Android程式暗藏木馬，下載已破200萬 iThome
由2萬個WordPress網站組成的殭屍網路正在殘害手足 iThome
全球遭惡意挖礦程式感染的Mikrotik路由器數量已激增到41.5萬台 iThome
觀點》進軍數位金融的LINE 藏著什麼隱憂？(陳瑞霖) 華視全球資訊網
Email有假！蘋果、網易、QQ、Gmail等郵箱均可被仿冒 新浪網(臺灣)
被嚴重低估的人為失誤，已成資安危機 iThome電腦報周刊
個資竊取 惡意廣告 惡意廣告攻擊行動在48小時內挾持3億次瀏覽 Thome電腦報周刊
BSI 蒲樹盛：資安風險是全球成長最快的科學風險 網路資訊雜誌
最新版本的 Chrome 會主動阻擋詐騙網站的廣告了 Engadget
華為風波！立委要國銀主管禁用微信 三立新聞網
打安全牌 爭取歐洲採購5G商機 華為擬砸600億更新軟體 經濟日報(臺灣)
華為遭圍剿 歐盟高層也補刀 副主席：歐盟應對陸科技公司感到擔心 工商時報
中華電攜手趨勢科技 推資安物聯網 台灣時報
日本舉國拒絕中國資安威脅！四大電信業者拒用華為產品 台灣英文新聞
【獨家】華為效應揭資安漏洞 市售僅5支通過手機資安認證 台灣蘋果日報網
5G之戰 國際聯軍封殺華為 自由時報
「不信中國」 川普政府將起訴大陸多名駭客 聯合新聞網
Adobe緊急修補Flash Player的零時差漏洞 iThome
臉書內部資料遭披露 涉嫌出賣用戶好友資訊 中央廣播電臺
滅不完的火！《異塵餘生 76》典藏版補償方案推出後再陷玩家個資外洩危機 遊戲基地
要科技公司交出加密資料 澳眾議院通過法案 中央通訊社
資安聯防告捷 今年來擋下 8億次駭客入侵 工商時報
5 千萬用戶個資外洩！Google+ 因「軟體漏洞」，明年 4 月提早閉站 中央通訊社
「養」了 11 年！駭客濫用 Firefox「高齡」漏洞強制用戶輸入資訊 科技新報網
府：新政府上台後 國安單位不用資安疑慮設備 中央通訊社
智慧科技穿上身 穿戴裝置安全標準有規範 新通訊元件雜誌
６→27 台航太吸引力排名急墜 業界建議政府應積極改善投資環境，及減輕稅賦 工商時報
〈觀察〉數位轉型資安意識抬頭 資安防護監管成企業優先要務 鉅亨網
假訊息成國安問題 總統多次籲國內外因應 中央廣播電臺
趨勢科技三十年！新願景「全視界」 網管人
2018人工智慧與應用研討會亞大登場 中央通訊社
建立管理機制 企業資安防護首要 經濟日報網
Fortinet預測企業組織將運用更多自動化技術來因應網路威脅 iThome
用破億資安設備與駭客對幹 企業資安攻防賽14日登場 自由時報電子報
當建築資訊模型加入雲端運算 AI將顛覆建築設計流程 電子時報
動態防護龍頭「星盾科技」發表 2018 資安報告：自動化攻擊將變得「更像人」 科技報橘網
高通推出 7 奈米製程驍龍 8cx 個人電腦處理器，瞄準全時聯網筆電市場 科技新報網
G0V可以解決政府與民眾的資訊落差嗎？公民科技的期望、實踐和挑戰 關鍵評論網
AR·VR雙周報第23期：免接PC就能用，VR虛擬桌面應用登上獨立VR頭戴裝置了 iThome
AI趨勢周報第67期：就靠表情辨識技術！美新創讓身障者用臉部表情來控制電動輪椅 iThome
《東坡在臺灣》大型文學舞台劇 讓民眾一同領略文學之美 中華日報
【資安 】AutoIt 蠕蟲透過可移除磁碟,散播無檔案後門程式BLADABINDI/njRAT
BLADABINDI（也被稱為njRAT/Njw0rm）是一種遠端存取工具（RAT），具備了鍵盤側錄、執行分散式阻斷服務攻擊” (DDoS)攻擊等眾多後門功能，一再地被重複運用在各種網路間諜活動中。事實上，BLADABINDI的可客製性及可從網路地下世界取得讓它成為一種常見的惡意威脅。趨勢科技前幾日就發現了一隻蠕蟲病毒Worm.Win32.BLADABINDI.AA，它會透過行動碟來散播並安裝無檔案版本的BLADABINDI後門程式。
雖然仍無法確切知道惡意檔案如何進入受感染系統，但其散播行為顯示出它會透過行動碟來進入系統。AutoIt除了是一種靈活且易於使用的腳本語言外，BLADABINDI如何去濫用它也很令人關心。它利用AutoIt（FileInstall命令）來將後門程式和主腳本編譯成單一的執行檔，讓後門程式難以被偵測到。
圖1：截圖顯示出常見的AutoIt編譯腳本標示（用紅色框圈出）
【詐騙】「你肉腳」這個詐騙購物網站 , 台語發音令受害人好崩潰! 「https 」開頭的一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中!
美國聯邦調查局（FBI）六月提出警告，大部分人都以為網址 HTTPS 開頭及網址列有上鎖的符號，代表是安全的網站 。愈來愈多的網路釣客,憑藉著人們對這類網站的信賴, 進行網路釣魚攻擊,包含內文中一頁式詐騙的案例。
請參考 IT Home 報導:FBI警告：不要以為HTTPS網站很安全，有些暗藏網釣攻擊
(2019.7.1 更新)
臺灣電腦網路危機處理暨協調中心（TWCERT/CC）呼籲:「許多商品利用社群媒體(如：Facebook、Line等)的高點閱率，進行網路行銷。近期網路上出現大量的惡意賣家，利用上述特性建置一頁式商品廣告頁面，並向社群媒體購買廣告，進行網路行銷詐騙。」趨勢科技也發現這些強調超低價、免運費等各種誇大優惠的一頁式詐騙廣告,不僅在 Facebook 刊登廣告,也開始在各入口網站刊登廣告,網友很容易掉入陷阱,在詐騙集團建立的假網頁上買了東西，除了收到的東西可能跟下單的商品完全不一樣外，也可能讓詐騙集團掌握你購物時輸入的個資。趨勢防詐達人自去年11月初至12月，已偵測到累積近2,000筆一頁式詐騙件數，預期可能持續升高。
一頁式詐騙網站網址列上竟顯示著掛鎖,讓你以為它是安全的!!
有報告指出,49% 近半數釣魚網站都會讓你以為它是安全的,別以為 https:// 開頭,網址列上顯示著掛鎖就等於安全,以下圖 LIBAKA 嚴選商城為例,就是 https:// 開頭,還被網友踢爆該商城用台語唸就是你肉腳(你笨蛋)的嘲諷諧音:「 LIBAKA用台語唸就是你肉腳(你笨蛋)啊~被騙還要被吃豆腐的概念」網友表示。
為了因應 Chrome 今年起針對未加密的 HTTP 網站標記“不安全連線”,網路釣魚詐騙集團也隨之申請 SSL 憑證，用以掩人耳目。提醒大家有掛鎖圖示的網址列代表著這網頁傳輸的資料獲加密保護，但並非證明這網站安全無虞。道高一尺,魔高一丈,還是交由趨勢科技 PC-cillin 雲端版幫你把關,當你搜尋時 PC-cillin 會以紅色標示危險網址，綠色標示安全網址;如果你因一時不察點入詐騙購物網站時, PC-cillin會封鎖該網站,不會讓你荷包失血。
詐騙集團在入口網站刊登的廣告,可能夾雜在熱門新聞的列表中,一般人不容易分辨, 以下即是嘲諷用戶的 LIBAKA 嚴選商城在 Yahoo 刊登的廣告:
趨勢科技PC-cillin 2019 雲端版全新線上購物安心Pay防護功能，可即時阻擋以竊取登入帳號或信用卡資訊為目標的惡意攻擊，讓消費者安心享受購物樂趣。同時 PC-cillin2019 智能防毒全面功能再進化，今年再度榮獲AV-TEST偵測率100%，透過趨勢科技XGen™ 創新融合AI+人工智慧的多層式防護技術，精準抵禦詭譎多變的各種安全威脅，全面守護網路世界的安全，讓民眾365天都安心！ 》即刻免費下載試用
刑事局公布六大一頁式詐騙購物廣告特徵
提供刑事局六大一頁式詐騙購物廣告特徵，幫助民眾進行初步診斷：
特徵一：網頁上沒有公司地址以及客服電話(或是無人接聽)，只留下電子信箱。
特徵二：售價明顯低於市場行情。
特徵三：常以限時或倒數方式吸引民眾。
特徵四：免運費、號稱有7天鑑賞期及可拆箱驗貨。
特徵五：只能使用貨到付款或信用卡付款(有信用卡盜刷風險)。
特徵六：網頁大多會夾雜簡體字。
趨勢科技呼籲民眾，看到上述類型的一頁式購物廣告，且勿衝動點選購買，避免遭到詐騙或是駭客集團利用。
一頁式詐騙廣告詐騙在臉書平台上也很氾濫。犯罪集團透過建立facebook 臉書粉絲專頁，與受害買主聊天互動博取信任，同時在社群網站或是入口網站購買廣告迅速傳播，臉書一頁式詐騙廣告混雜於合法嵌入式廣告與一般訊息連結當中，民眾不易分辨察覺，透過低於市場行情的商品優惠、限定期間免運費等訊息，搭配精美的商品圖示，吸引民眾不疑有他點選下單、填入個人以及轉帳資料，數日後卻遲遲等不到商品寄達，詢問賣家竟無法取得聯繫，求償無門成了冤大頭。
國人信用卡一年被盜刷逾18億！防詐三招助你守護荷包安心購物
一頁式詐騙也會藉由假過卡方式進行詐騙,也就是假裝該購物網頁可以刷卡，然後之後客服聯絡你刷卡失敗改貨到付款。
根據聯合信用卡中心統計註一，2017年國人信用卡被盜刷總金額為18.8億元，其中以電商網路購物、網拍消費的盜刷最多，比例飆破9成！便利購物的背後，隱藏的各種資安風險伴隨而來，一旦不小心中了圈套，即便完成付款也可能無法收到商品，輸入的個資、信用卡資料還可能遭到惡意使用！
趨勢科技提醒民眾，防範詐騙就是省荷包，平時上網購物應謹記「三要」原則：
(一)要確認網購網站上的URL是否為官方網址
(二)要固定檢查信用卡刷卡的紀錄是否異常
(三)要定期更改密碼，同時安裝防毒軟體，並維持在最新版本的狀態。