標籤: Apple

Siri 漏洞：Apple 個人助理會洩漏個人資料

趨勢科技 TrendMicro

 

iOS上的Siri讓日常工作變得更加容易；無論是詢問到最近加油站的路線或是保持與不斷成長社交媒體網路的聯繫。iOS使用者只要講出聯絡人姓名，手機就會將電話號碼和電子郵件地址帶出來。然而，便利是有代價的：個人資料。

iphone MOBILE 手機

如果我告訴你，只要30秒，就可以讓任何人從朋友開啟Siri功能的iOS設備上拿到你的姓名、電子郵件地址、電話號碼甚至是你的照片，不管手機有沒有上鎖呢？會擔心嗎？

iOS行動設備上的Siri可能被濫用的情境是會讓任何人使用語音辨識來取得設備上的資料，即便有設定密碼。在理想狀態下，密碼鎖定應該會防止任何對行動設備上所儲存資料的未經授權存取，就跟電腦上的密碼一樣。鎖定的設備不該洩漏所有者的身份和聯絡方式，以及所有者的朋友、家人和聯絡人。Siri可以繞過這些而在鎖定的行動設備上提供詳細資料及其他功能。

自從Siri出現之後，就已經有多個相關討論串出現在Apple支援論壇上。然而，我們想要強調安全性和隱私方面的風險，並讓我們的讀者能夠注意到。

 

Siri可以做什麼？

一旦任何人可以實際上拿到你的行動設備，就可以用語音辨識呼叫多種命令，包括可以存取名字、電話號碼、行事曆及其他更多功能。這裡是鎖定而有啟用Siri的iOS行動設備上可以使用的命令列表：

 

  • 「我的名字」 – 顯示並唸出手機上Siri所設定「我的資料」內的名字。
  • 「傳簡訊給某某某/號碼<訊息內容>」 – 用指定內容傳簡訊給指定的聯絡人或電話號碼
  • 「打電話給某某某/號碼」 – 打電話給指定的聯絡人或電話號碼
  • 「更新臉書狀態<訊息內容>」 – 更新手機上所設定Facebook帳號的動態訊息
  • 「我的位置在哪裡」 – 顯示地圖和唸出目前位置
  • 「<某姓>」 – 顯示所有該姓聯絡人的聯絡方式
  • 「顯示我的電子郵件地址」 – 顯示和唸出手機上Siri所設定「我的資料」內的電子郵件地址
  • 「在明天早上3點叫醒我」 – 設定指定時間的鬧鐘
  • 「取消早上3點的鬧鐘」 – 關閉指定時間的鬧鐘
  • 「建立<日期/時間>的事件/提醒/約會/預約」 – 建立行事曆
  • 「顯示<日期/時間>的行事曆」 – 顯示指定日期或時間內的行事曆
  • 「刪除<日期/時間>的事件/提醒/約會/預約」 – 刪除指定日期和時間的行事曆

 

下圖示範使用者如何利用Siri命令來取得資料和執行其他操作：

 

 

圖1-4、各種Siri命令

繼續閱讀

從 Apple 對惡意程式防護軟體採取嚴厲措施,看 iOS 安全問題

趨勢科技 TrendMicro

 

據報，Apple 為了避免目前已發行六個多月的 iOS 8 (該公司宣稱為 iOS 有史以來最重大的一個版本) 給使用者一種含有可攻擊漏洞的印象，目前正在對 iOS App Store 上的病毒/惡意程式防護軟體採取嚴厲措施。

[延伸閱讀：iOS 8 最新安全功能 (The New Security Features of iOS 8)]

最近，一個知名的 iOS 電子郵件及雲端掃瞄 App 遭到 App Store 下架，使得原先希望自己轉寄給非 iOS 用戶的檔案不含惡意程式的該軟體使用者因而受到影響。Apple 的理由是，該軟體在 App Store 上的說明有誤導之嫌，可能讓客戶以為 iOS 8 產品含有漏洞。該軟體的代表指出 Apple 可能計劃將 iOS App Store 上的防毒和惡意程式防護軟體類別完全剔除。

我們目前仍未見到任何成功攻擊 iOS 8 平台的威脅，但這並不代表能夠假設該平台未來不會遭到攻擊或出現漏洞。基於下列理由，iOS 裝置用戶應該隨時保持警戒：

  • 封閉的生態體系不是應用程式安全的保證

去年，有數百萬的 iOS 用戶遭到 Masque 和 Wirelurker 的攻擊，不論越獄或無越獄的裝置都無法倖免。值得注意的是，Masque 和 Wirelurker 是透過企業內配發機制 (provisioning) 來攻擊無越獄的 iOS 裝置。 繼續閱讀

iPhone 6 謠言滿天飛,網路釣魚信件伺機蠢動

趨勢科技 TrendMicro

經驗告訴我們跟Apple有關的詐騙往往會隨著Apple新品上市謠言的出現而成長(請參考:網路釣客也愛啃蘋果!成千上百釣魚網站伺機竊取Apple ID)。隨著 iPhone 6 預期推出時間點愈來愈靠近，一些謠言也助長了騙局順水推舟。

一些負責Apple的記者回報說，他們收到偽造的「the wait is over（等待已經結束）」iPhone 6上市通知郵件。趨勢科技也收到了幾封,以下是樣本 之一：

圖一、垃圾郵件樣本

 

沒有追蹤 Apple 謠言或 iPhone 發表時程的使用者可能會被這電子郵件所騙，因為它的內文並不會跟真正的 Apple 通知有太多差別。然而，有兩個值得注意的地方：一個是七月並不符合最近幾次的 Apple 發表日程（iPhone5 和 5S 都是在九月發表），而且電子郵件中的設計也跟最近 Apple 謠言網站所發表的樣本機不符。

隨著 iPhone6（或許還有 iWatch）發表日期的接近，我們預期會看到更多的詐騙和利用這些（謠言中）Apple 產品為誘餌的攻擊。呼籲使用者要小心這些「通知」電子郵件，因為它們充斥著網路釣魚（Phishing）或其他威脅。

趨勢科技已經封鎖這起攻擊所用的垃圾郵件，也封鎖對所有相關威脅網站的存取。

 

@原文出處：iPhone 6 Rumors Spur Scams作者：Johnliz Ortiz（垃圾郵件研究工程師）

 

 

趨勢科技PC-cillin 2014雲端版 獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛！即刻免費下載

免費下載 防毒軟體 PC-cillin 試用版下載

 

UDID入門：了解Apple的資料外洩狀況

趨勢科技 TrendMicro

當前一陣子出現了一百萬筆Apple UDID被駭客激進份子竊取的消息傳出後，使用者驚慌失措：什麼是UDID？個人識別身份資訊要怎麼經由UDID洩漏？我該如何保護我的個人識別資訊？

 什麼是UDID？

 UDID本身只是一段冗長的字串，是所有iPhone、iPad和iPod Touch的唯一序號，由長長的一串數字和字母所組成。因此，它對駭客來說幾乎是無用的，也不會影響到使用者的隱私或安全。直到最近讓開發者可以在未經使用者許可下自由的收集，使得開發者和他們的合作廣告網路可以追踪安裝應用程式的族群並監控使用狀況，提供針對性廣告或提升使用者體驗。

 個人識別資訊要如何跟UDID連結？

 在收集UDID時，許多蘋果開發者會將匿名UDID字串代碼儲存在資料庫中，還加上了開發者同樣從應用程式擷取來的裝置擁有者的個人識別資訊。這也是為何應用程式開發者 – BlueToad可以去建立一個龐大的UDID和個人資料（如使用者姓名、個人郵件地址和電話號碼）的資料庫，原本被駭客錯誤的認為是來自「FBI外洩」的資料。一旦結合這些額外的個人資訊， UDID就可以提供網路犯罪份子一個寶庫用來進行個人詐欺、網路詐騙等活動，或用來幫忙破解其他更有價值的使用者帳號。

 我該如何在這類型風險下保護自己？

 壞消息是，沒有辦法知道誰存取過你的UDID，也沒有辦法防止它落入壞人之手。在這由iOS開發者、發行商、廣告網路和其他第三方團體所組成的Apple複雜生態環境中，你的UDID可能已經被分享給太多外部團體了，特別是如果你超喜歡玩應用程式的話。這件事本身並沒有太大問題，真正的問題是開發者所建立的資料庫會綁定這個產品的唯一識別碼和你的個人資料。你可以在出現警告時試著限制授權給開發者的資訊，安裝應用程式前先讀一讀那幾行小字，仔細檢查每個應用程式所要求的權限。但是，在許多狀況下，資訊已經存在那裡了，如果黑客知道要去哪找，最終就是會落入壞人之手。

 好消息是，Apple嚴格的應用程式商店審核小組已經開始拒絕新的應用程式去要求UDID，而且昨天所介紹的新iOS 6作業系統也會用一套新的API來取代UDID，這也是Apple朝向完全不使用這組數字的不久將來所踏出的第一步。

 對於那些已經受到影響或是關心UDID使用的人，主要問題是UDID依然存在，這個龐大資料庫的資訊還握在第三方開發者手上。就這一點而言，唯一可以讓你變換代碼並且重新開始的方法只有買支新手機，然後在選擇要分享哪些資訊給應用程式時更加小心。

＠原文出處：UDID Primer: Breaking down Apple’s leaky situation作者：Erica Benton

◎延伸閱讀

⭕️ AI 防詐防毒

趨勢科技PC-cillin雲端版 運用最新 AI 防毒防詐技術，全面保護您的身分隱私，讓您享受上網安心點。

不只防毒也防詐騙 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用



✅ 獨家 AI 隱私權分析技術 讓您的個資，由你自己掌握
✅社群帳號盜用警示 在災害擴大前，搶先一步做好防範
✅全球個資外洩追蹤 24小時為您監測守護
✅跨平台密碼安全管理讓 您安心儲存所有網路帳密

IG