本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
iOS發現新臭蟲，恐允許駭客偷用iPhone打電話 IT HOME
Yahoo坦承2014攻擊事件，部分員工當時就知情 IT HOME
雙十一掃貨小心！數百個山寨 App 可能矇騙你！自由時報電子報
雙11光棍節駭客虎視眈眈 小心”滑”出中毒風險 假淘寶真釣魚 山寨App蠢蠢欲動 資安趨勢
趨勢資安套件 獲雲端物聯網創新獎冠軍 中央通訊社商情網
光棍節駭客虎視眈眈 小心”滑”出中毒風險 假淘寶真釣魚 山寨App蠢蠢欲動 趨勢科技五大秘訣 看緊荷包免遭駭客魔爪 iThome
上網遭駭客入侵「鎖資料」 想恢復遭勒索萬元 tvbs新聞網 繼續閱讀
2016 年發生了資安事件? 讓我們用一些資安數字來回顧相關新聞:
本系列另一篇:盤點2016 十大資安數字-企業機構篇
今年九月底Yahoo發生了大規模資料外洩事件。這家網路先驅最近承認5億筆帳號相關資料是兩年前竊自它的網路，只是最近才發現。這可能給了壞人很長一段時間來侵害你的資料，如果你是Yahoo使用者的話。
這是一連串網路巨擘出現資料外洩事件的其中一起，其他還包括了LinkedIn、tumblr、MySpace、成人交友網站 FriendFinder Networks 等等。但它是目前以來的最大咖，可能也是外洩最嚴重的一次。
其中 11 月成人交友網站 FriendFinder Networks逾4億成人網站帳號曝光外洩的用戶資料中，有高達99%的密碼是清晰可見的明文。前五名最常用密碼依序是123456、12345、123456789、12345678、1234567890。相關報導
⊙延伸閱讀:
Yahoo驚爆史上最大資料外洩, 必學!五步驟密碼安全小技巧
< CTO 觀點 >從LinkedIn 逾一億資料外洩事件,看密碼設定等更多未解的問題
Dropbox 超過 6,000 萬帳戶資料被盜 /刷卡機加裝側錄機 過卡2次個資恐外洩
據英國《每日郵報》報導，美國麻省理工學院和英國牛津大學專家指出，每天8則發文，即便是沒有任何技術和相關知識，也可以精確的指出發文者的工作地點甚至住家位置。研究報告指出， 65%測試者可以大致知道使用者住家位置，而70%能推算出工作位置，甚至能有85%的能夠精準掌握其公司所在地。
⊙延伸閱讀:愛發文打卡者請注意! 一天8篇發文,就能推測出你住家和辦公室位置
周末愉快~小提醒:打卡不要將別人拖下水▼請看:安全打卡 8 要點▼blog.trendmicro.com.tw/?p=2950
Posted by 趨勢科技 Trend Micro
趨勢科技針對台灣勒索病毒最新現況提出警訊：全台平均每8秒就有一個裝置受到攻擊！其中有高達4成是針對一般消費者的電腦裝置進行攻擊。在日漸頻繁的勒索病毒攻擊下，網路大數據顯示消費者最心痛的遭勒索經歷前三名依序為：舊時照片找不到、拯救電腦要花錢以及重要文件打不開，再再都造成消費者難以計算的精神與金錢損失。 繼續閱讀
智慧型手機約莫使用一年後就開始卡卡的(董茲董茲)，再用半年三不五時罷工當機，電池的續航力也大幅下降，有時明明還有20%左右的電量，卻突然自動關機…。這時候，你會不會懷念起剛換新手機時不用等LINE開啟的光速以及超強續航力的電池呢？
為此，Dr. Safety安全達人提供全新「系統加速」功能，讓你輕輕鬆鬆揮別慢速手機！
*想要立即使用「系統加速」功能請記得將Dr. Safety安全達人更新至最新版本喔！*
系統加速功能分成兩部分，分別針對記憶體以及電池最佳化： 繼續閱讀
11月 11 日,雙11光棍節近年來已成為網購族“不可不敗”的大日子！根據資策會的報告註1顯示，2015年台灣雙11當日網購金額約新台幣57.2億元，但巨大的交易量也容易成為駭客覬覦的目標。根據刑事局統計，今年上半年網拍詐騙已造成高達5000多萬元的損失註2。駭客偽裝成知名電商的釣魚網站與山寨 App，提供虛假優惠竊取消費者個人資料與金錢。以阿里巴巴為例，去年「雙11」銷售額中，以手機下單比例將近七成，可見行動網購的“滑商機”驚人！針對網路購物的資安風險，趨勢科技提供行動購物五大秘訣，同時推出趨勢科技PC-cillin雲端版限時三天5折優惠方案，讓消費者能夠安心搶貨。
秘訣1：使用官方 App
消費者應避免下載來自不明第三方應用程式商店的 App，消費者可從購物網站提供的官方載點下載 App，以免駭客透過山寨 App 竊取個資。
祕訣2：避免使用公共 Wi-Fi
關閉行動裝置上自動連線 Wi-Fi 的設定，可降低駭客暗中連上裝置的風險。此外，若須使用公共 Wi-Fi，建議消費者使用虛擬私人網路（VPN），加密收發的資料，確保網路連線安全性。
秘訣3：不點閱可疑電子郵件
消費者應避免點閱來路不明的郵件中所附的連結及檔案，以免成為駭客攻擊的目標。同時，驗證郵件也是釣魚郵件常見的手法之一，消費者在點選郵件內的網址前，務必再次確認網址是否正確。
秘訣4：瀏覽網址細細看
消費者應確認完整網址內容的正確性，避免駭客在網址中藉由拼字錯誤或多餘字以假亂真。此外，消費者也可以善用手機瀏覽器的書籤功能，將常用的網站加入書籤中，降低因為拼錯字而誤觸釣魚網站的可能性。
秘訣5：電腦防毒外，也不忘安裝行動安全防護程式
消費者除了安裝電腦版的 趨勢科技PC-cillin雲端版保護電腦防毒外，透過手機購物時，也要記得安裝 趨勢科技PC-cillin雲端版 提供的 行動安全防護 程式，有效防堵惡意釣魚網站，杜絕山寨 App，保護裝置與資料的安全。
趨勢科技PC-cillin雲端版 除保護個人電腦上網安全外，所提供 行動安全防護 可保護手機、平板裝置過濾並封鎖惡意釣魚網站，主動偵測並預警可能竊取消費者資料的假冒 App。其獨家的 Wi-Fi 安全性檢查功能，可主動偵測並排除具風險的公共 Wi-Fi，提供消費者安全無虞的上網環境。趨勢科技因應光棍節網購熱潮可能伴隨而來的安全威脅，自11月10日中午12:00至11月13日夜間12:00，推出 PC-cillin 2017雲端版 3年3機版限時優惠方案，新購下載版即享限時5折優惠，為消費者一一擊破各種網購資安風險！
最新優惠訊息請參考
註1：資策會FIND(2015.11)/臺灣消費者雙十一線上購物行為報告
註2：內政部警政署刑事警察局：網購APP祭優惠折扣 小心遭詐！
###
假面攻擊（Masque Attack）在2014年被首度報導，駭客只要使用相同Bundle ID的變造企業簽章應用程式就能替換掉App Store上的真正程式。Apple隨後就修補了這個漏洞（CVE-2015-3772和CVE-2015-3725），不過當它關上了一扇門，詐騙分子也隨及打開了另一扇窗。Haima重新封裝過的廣告軟體和其原生Helper應用程式證明App Store詐騙仍然存在。
⊙ 延伸閱讀:iOS再曝高危險漏洞,會置換你合法下載的應用程式
趨勢科技在App Store上發現大量使用企業憑證及跟合法應用程式使用相同Bound ID的有問題iOS應用程式。經過深入研究後，我們發現Haima和其他第三方應用程式商店利用iOS程式碼簽章程序內的功能來達成資料繼承，從而完成其惡意行為。我們與Apple進行合作，並在iOS 10解決了這些問題，現在可以防止合法應用程式被造假版本蓋過。但是使用iOS 9.3.5或之前版本的設備仍可能受到影響，因此建議使用者要更新到iOS的最新版本。
潛在風險
不僅僅用來製造山寨版，這些漏洞也造成嚴重的風險，惡意分子可以針對合法應用程式來散布惡意軟體。詐騙者只需要建立跟正版應用程式具備相同Bundle ID的惡意程式，接著利用其熱門程度來誘騙使用者安裝他們的惡意軟體。企業所用的內部應用程式也一樣能夠透過相同Bundle ID來偽造、重新簽章和重新封裝。
對合法應用程式所造成的影響可能有很多種，取決應用程式如何控制自己的資料或如何實作其功能。許多合法應用程式用JavaScript來實作服務，其程式碼會自伺服器取回。利用這漏洞可以讓攻擊者用自己的伺服器連結替換掉原本的連結。讓他們能夠變更應用程式邏輯，接著控制應用程式的行為。
他們還可以修改資料來偽造網址，讓合法應用程式連到惡意服務來騙取個人身份資料，甚至直接竊取使用者的網路銀行帳號。還可以修改應用程式功能，例如替換應用程式開啟的網址來下載惡意軟體（在使用者「信任」憑證後執行）。也可以修改合法應用程式的廣告識別碼，將產生的廣告獲利轉給詐騙者。
