迎接智慧家庭的到來:物聯網 (IoT) 的普及與安全責任

將來有一天,一切開關按鍵都將消失。人們再也不需透過遙控器來轉台,或者透過開關來關燈。這些裝置都將按照其設計的功能自動運作,完全不需使用者操作:不需拍手、不需語音指令、也不需在空中畫手勢。它們將擁有某種程度的自主性,因此不需人為介入。這將是無可避免、非常接近、且非常真實的未來。智慧科技已經來臨,而且只會越來越聰明。

iot1

人們在討論這些科技及物聯網 (IoT) 時通常會以這些裝置和基礎架構是否自動化來作為它是否「智慧」的標準,但其實光自動化還不算。

首先,任何歸類在物聯網之下的裝置都必須超越其最原始的基本功能。它必須要能像個人電腦一樣接收、處理、傳送數位資訊。要達到這點,它必須具備第二項條件,那就是:連線能力。裝置必須能夠連上網際網路,甚至要能和附近的其他智慧裝置溝通。

比方說,智慧家庭中的自動化窗簾會在日出時自動打開,此時將觸動室內的智慧型燈泡自動熄滅。這樣的連動不但可以引入自然光,讓室內明亮,而且可以節省能源。另一個裝置之間彼此溝通的例子是,每當電話鈴聲響起時,智慧型電視就自動調低音量,讓使用者更容易聽到電話鈴聲。

 

自動化與連線能力既是物聯網的動力,也是阻力。

家庭物聯網必將崛起

物聯網的發展已停滯多年,因為使用者發現智慧型裝置並不實用。而且這些獨特的裝置生產成本很高,因此價格居高不下。幾年前,它們可說是奢侈品,而非必需品。而且,不是每個國家都有適當的基礎建設讓人人都能連上網際網路。因此,早期的採用者皆是科技狂熱者,而且要負擔得起物聯網裝置,又要位於能夠發揮這類裝置效益的地區。

然而,物換星移,市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

市場的風向早已轉變。現在,人們對智慧型裝置開始趨之若鶩,一方面為了追求生活上的便利,一方面也為了追求個人的生活享受。這一點,業界早已留意。

 

那些市值動輒數十億的美國矽谷科技公司,競相追逐創新,因此推出各式各樣的物聯網裝置供大眾選擇。所有企業,不論規模大小,只要是漠視這股趨勢變化者,終將被市場所遺忘。這令人聯想到當年的手機巨擘正是因為未能抓住消費者對智慧型手機的需求趨勢,最後消失在地平線上。

2018 年,全球將有超過十億個連網裝置

市場研究顧問機構 Gartner 甚至預言,至 2018 年,全球將有超過十億個連網裝置,而這數字還只包括智慧家庭而已。另外十億個裝置預料將出現在智慧商業建築,其餘的十億個裝置則將分布各種不同產業,如:醫療、交通運輸以及其他推動智慧城市運作的產業。

日本德國兩個國家的都會區都已開始擁抱智慧型家庭浪潮。在這些地區,物聯網已經深深融入人們的生活當中,成為日常必需品。

在通勤量極大的日本大都會地區,通勤族可藉由家庭自動化來善用通勤的時間並節省能源。例如,配備智慧廚房家電的公寓可在主人踏入公寓門口的同時已準備好美味的料理。

在老年人口龐大的德國,許多人都選擇配戴健康監視器。當發生緊急狀況時 (如心臟病發),裝置就能自動呼叫緊急救援。因此,這類監視器確實可以救人一命。

負起家庭物聯網的安全責任

家庭物聯網的普及終將使得市場競爭更加激烈。然而,缺乏統一的監理機構來制定這些裝置的功能與安全規範,長期下來將衍生許多安全問題。

那麼,問題是:誰應負起物聯網的安全責任。

 

物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

 

是不是該由物聯網的使用者來承擔?就目前而言,答案似乎如此。因為,使用者能自由選擇要在家中導入哪些裝置。他們可以在家中安裝一套智慧型家庭娛樂系統,並完全掌握每次使用時裝置會將哪些資訊傳送給廠商。使用者永遠必須在個人的隱私和安全、以及生活的舒適與滿意之間做出取捨。

但物聯網的版圖正在不斷演變。隨著物聯網走出家庭、進入城市,使用者的主導權將大為削弱。

一個很好的例子就是,新的智慧型公寓已經開始配備物聯網裝置,如:監視保全攝影機或緊急情況感應器。這些公寓的住戶將被迫必須接受一定程度的監視。想像一下,假使未來所有新蓋的大樓,不論公家或私人住宅,都必須安裝這些物聯網裝置會是什麼情況。

一旦智慧科技廣泛應用在公共建築或交通工具,使用者將完全無法掌握自己的隱私和個人安全。如此一來,安全的重擔將從使用者移轉到物聯網裝置的生產者。那麼,廠商應該先預見哪些危險才能保護其使用者和其企業本身,防範可能發生的災難?

我們將在本部落格繼續探討有關這方面的問題。

原文出處:Securing Smart Homes

攻擊舊金山市交通局的勒索病毒HDDCryptor 變種:小更新仍造成大威脅

自從在今年九月第一次寫到關於HDDCryptor的發現,趨勢科技就一直緊密追踪此一勒索病毒Ransomware(勒索軟體/綁架病毒)的演變。它在上個禮拜出現了一個新版本。根據分析,這新變種在最近被用來攻擊舊金山市交通局(SFMTA)。系統被入侵後,所有的電子售票機都出現了「停止服務」或是「捷運(地鐵)免費」的訊息。

⊙延伸閱讀: 勒索病毒造成藍色當機畫面:HDDCryptor使用商業工具來加密網路分享和鎖住硬碟

此次攻擊就跟我們在HDDCryptor的其他版本所看到的一樣,勒索病毒會植入一些工具來加密整個磁碟,同時會加密掛載的網路磁碟。趨勢科技認為此次攻擊並沒有用漏洞攻擊套件和自動安裝工具來入侵感染受害者。而是先透過針對性攻擊/鎖定目標攻擊(Targeted attack )或攻擊漏洞等作法取得對機器的存取能力,接著再手動執行惡意軟體。儘管我們沒有詳細資料去解釋這攻擊如何涵蓋SFMTA內的2000台機器,但很有可能是透過管理權限在所有設備上設定排程任務來達成。

繼續閱讀

假冒執行長的《變臉詐騙 》郵件,沒有惡意附件或網址,該如何預防?

與其他網路犯罪計劃不同,要防禦商務電子郵件入侵可能特別有困難度。攻擊者通常只對「寄件者」和「回覆」地址動手腳,並將主旨限制在幾個字,以避免引起懷疑並增加急迫性。換句話說,郵件本身不會在本文出現典型的惡意內容(惡意附件或網址)。這意味著傳統安全解決方案根本不會加以刪除。

收到這種信件的員工也要如何有效地阻止BEC詐騙?其實很簡單…

假冒執行長(CEO)詐騙郵件鎖定醫療機構

mail2

 

上個月一連串利用假冒執行長騙局的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise,簡稱 BEC)攻擊了美國17家、英國10家和加拿大8家的醫療機構。這些機構包括了一般醫院、教學醫院,專業照護和私人診所。即便是製藥公司也不能免於BEC詐騙,因為英國一家和加拿大兩家的製藥公司也成為目標。

假冒執行長詐騙(CEO fraud)是BEC商務電子郵件詐騙的一種,透過假冒執行長或其他高階主管的電子郵件帳號來對管理公司匯款的負責人(財務長、財務總監或會計)發送詐欺性匯款請求。不知情的員工因為誤信這是個正常的請求而將資金轉帳到網路犯罪分子所控制的銀行帳戶(每次事件的平均金額是14萬美元)。
看起來像是來自執行長或高階主管的來信, 使用與目標醫療機構非常相似的網域名稱

趨勢科技發現針對醫療機構的攻擊活動主要使用兩種技術。

  1. 第一種是假造寄件者地址讓它看起來像是來自執行長或高階主管的電子郵件,而回覆地址則使用詐騙分子的電子郵件地址。
  2. 第二種技術是利用相似的網域名稱,詐騙分子使用跟目標醫療機構非常相似的網域名稱。這可以讓電子郵件地址只有一個字元的不同。詐騙分子接著製作簡單而無害的主旨,通常包含以下字詞:
  • 非常緊急
  • 付款到期
  • 緊急付款

幾個國家保健署(NHS)的機構也被觀察到成為這些攻擊的目標,使用顯示成<醫院名稱>-nhs.co的模仿網域而非nhs.uk。偵察顯示這些假冒執行長詐騙背後的惡意分子可以輕易地利用公開來源資訊(OSINT)來針對這些機構 – 從公開的組織圖來收集公司內部職位。

 

攻擊者通常只對「寄件者」和「回覆」地址動手腳,郵件本身不會出現惡意附件或網址

與其他網路犯罪計劃不同,要防禦商務電子郵件入侵可能特別有困難度。根據針對醫療機構的電子郵件,攻擊者通常只對「寄件者」和「回覆」地址動手腳,並將主旨限制在幾個字,以避免引起懷疑並增加急迫性。換句話說,郵件本身不會在本文出現典型的惡意內容(惡意附件或網址)。這意味著傳統安全解決方案根本不會加以刪除。 繼續閱讀

滿滿的大平台來啦!平台受害事件點點名

歲末年終活動總是多,南韓音樂盛典「2016 MAMA」也在本月2日於香港閃亮登場。以「我的少女時代」一炮而紅的王大陸擔任引言人,似乎因緊張過度而說出「滿滿的大~平~台~」這話,讓觀眾們有聽沒有懂呢!不過,2016的確是個充滿大平台的時代,平台連結著緣慳一面的人們,可能僅因為一個興趣、一篇文章、甚至一個hashtag產生連結 🙂 然而平台的特性也可能讓傷害散步更加迅速廣闊,這篇文章要點名近日與平台相關的資安事件,希望大家在享受平台好處之虞也有所警惕喔!

雲端Cloud server雲端平台成為勒索病毒新據點
隨著雲端服務逐漸淘汰單機版應用程式,駭客也將魔手轉至雲端平台了!駭客透過攻擊雲端生產力平台來將處理敏感企業資料的用戶變成受害者,當資料無法存取時就會對業務運作造成嚴重的影響。

一個典型的例子:CERBER勒索病毒 Ransomware (勒索軟體/綁架病毒),它的最新變種被趨勢科技偵測為RANSOM_CERBER.CAD,被發現會針對微軟的雲端辦公室方案:Office 365的使用者,特別是家庭用戶和企業。
更多資料請至 >> Cerber勒索病毒利用雲端平台,感染家庭用戶和企業
繼續閱讀

2016年三大讓你荷包失血的行動裝置惡意程式

還記得您上一次不帶行動裝置出門是什麼時候嗎?

一整天下來,我們都會不時透過行動裝置和親朋好友聯絡,或是瀏覽平常最愛的網站、支付帳單、上網購物,甚至完成工作。行動裝置已成為我們日常生活不可或缺的元素,我們不只用它來消費服務或完成日常工作,更用它來儲存資料。一些重要的聯絡人、個人照片、電子郵件與檔案,甚至娛樂內容,都需仰賴行動裝置來儲存。不幸的是,有些威脅會讓這些個人資料和寶貴資訊陷入危險,甚至連累重要的親朋好友。

以下是三隻2016年三大讓你荷包失血的行動裝置惡意程式:

Marcher 從專偷Google Play 信用卡資料到攔截使用者和銀行之間的雙重安全認證
假冒 Google Chrome 更新的Android 資訊竊取程式, 暗中監聽來電和簡訊,甚至會竊取銀行帳號密碼
假的《Pokemon Go(精靈寶可夢)》偷偷幫你點色情廣告,亂訂閱服務,讓你手機帳單暴增

Marcher :從專偷Google Play 信用卡資料到攔截使用者和銀行之間的雙重安全認證

網路犯罪集團一直在不斷尋找可攻擊的應用程式、作業系統及軟體漏洞,試圖在廠商發現和修補這些漏洞之前發動攻擊。其主要目標是使用者的資料:從信用卡資料、電子郵件帳號密碼到通訊錄。此外,歹徒也會嘗試誘騙使用者下載一些廣告程式或訂閱一些付費服務。

網路犯罪集團經常利用各種技巧來蒐集資訊。Android 平台有一個名叫「Marcher」的惡意程式 (趨勢科技命名為 ANDROIDOS_FOBUS.AXM) 從 2013 年首次被發現至今仍不斷演進。一開始,這個惡意程式只竊取 Google Play 商店使用者的信用卡資料,其手法是在該商店的付款畫面上重疊一個仿冒的畫面。後來,Marcher 又冒出新的版本,不僅改進了竊取和詐騙的手法,更專門鎖定英國九大銀行的客戶。它會攔截使用者和銀行之間的雙重安全認證,然後將使用者的帳號密碼傳送至幕後操縱 (C&C) 伺服器。

 

 Android 資訊竊取程式:假冒 Google Chrome 更新通知, 暗中監聽來電和簡訊,甚至會竊取銀行帳號密碼

Android 病毒今年五月出現了一個假冒 Google Chrome 更新的 Android 資訊竊取程式

其手法是利用貌似正常 Google 更新的網址來騙過使用者,當使用者連上這些網址時,會看到提醒使用者「更新」瀏覽器的訊息。研究人員指出,該惡意程式會蒐集裝置上儲存的資料,並暗中監聽來電和簡訊,甚至會竊取銀行帳號密碼。

 

 

 

 

假的《Pokemon Go(精靈寶可夢)》:偷偷幫你點色情廣告,亂訂閱服務,讓你手機帳單暴增

Malicious-Pokemon-Go-Apps-FB除此之外,網路犯罪集團也很喜歡利用一些熱門時事。就在今年七月,許多犯罪集團都盯上了《Pokémon Go》遊戲的熱潮,誘騙使用者下載經過重新包裝的應用程式,這些程式暗藏著一些假冒的內容。有些地區的使用者等不及遊戲官方在當地正式開放,因此就前往一些非官方應用程式商店下載這些經過變造的版本。趨勢科技研究人員發現,這類非官方應用程式商店上經過重新包裝過的《Pokémon Go》應用程式不論Android 和 Apple 平台都有。還有一些惡意的程式甚至會偽裝成所謂的「《Pokémon Go》指南」,試圖吸引正在尋找遊戲秘訣的狂熱玩家。 繼續閱讀