《資安新聞周報》拍照愛比YA ,小心”指紋”被盜?/瀏覽器自動輸入功能被爆有重大安全風險/支付寶大漏洞 無密碼竟可登錄
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
【比個 YA 也會泄露個資？！】日本研究：從照片就能盜取指紋，以後水水們拍照要更小心噢 科技報橘
拍照時對著鏡頭擺出 V 字手勢，可能導致指紋資料遭人竊取嗎？日本國立情報學研究所（NII）研究團隊如此警告，為了安全起見，可別對著鏡頭比出拍照常見的 V 字和平手勢
一不小心就會說漏嘴！瀏覽器自動輸入的功能被爆有重大安全風險 INSIDE
超過一打駭客加入資料庫勒索行列，MongoDB祭出安全查核表 iThome
心臟去顫器配件有漏洞恐被駭 台灣有116部 台灣蘋果日報網
VR太空巴士進偏鄉 集集國中生「像坐飛碟」 自由時報電子報
【比個 YA 也會泄露個資？！】日本研究：從照片就能盜取指紋，以後水水們拍照要更小心噢 科技報橘
拍照愛比YA 日學者:小心”指紋”被盜取 驚! 拍照距離3米內 透過影像盜指紋?德駭客稱靠照片盜指紋 台專家看法不同鑑識專家態度保留 指紋細節”偷不走” 台視全球資訊網
商務電子郵件安全 》不只抓假冒寄件者 ,利用人工智慧才厲害!
為何趨勢科技的 BEC 變臉詐騙偵測技術與眾不同？
九月我們發表了搭載採用 XGen防護技術的新郵件安全防護技術以及新產品Smart Protection for Office 365。其中一個關鍵的技術就是利用人工智慧的電子郵件詐騙或變臉詐騙攻擊或稱為商務電子郵件入侵（Business Email Compromise，簡稱 BEC）偵測技術。
FBI:平均每起事件所造成的損失達到13.2萬美元
使用者收到BEC詐騙郵件時往往很難去分辨是真是假。可能會因為專注在採取行動來滿足高階主管的迫切要求而錯過發覺這封郵件是偽造的細微跡象。傳統的電子郵件安全解決方案很難去阻止這類攻擊，因為通常沒有附件或網址可供檢查，而內容看起來也跟正常的電子郵件一樣。這些原因都讓BEC詐騙攻擊難以偵測。根據FBI的資料，平均每起事件所造成的損失達到13.2萬美元。
趨勢科技的Hosted Email Security包含了電子郵件認證標準（SPF、DKIM以及最新的DMARC）來防止偽造網域/寄件者，但這只解決了一部分的問題。這些標準可以防止你的網域/寄件者被偽造，但無法防止其他的郵件偽造技術，如“濫用免費郵件帳號”（使用免費但合法的電子郵件網域）和“濫用入侵郵件帳號”（使用內部被入侵的帳號）。這時就需要更進一步的防BEC詐騙技術來提供電子郵件使用者完善的保護。
趨勢科技如何利用人工智慧偵測BEC變臉詐騙? 繼續閱讀
資安預測: 去年勒索病毒疫發不可收拾, 2017 年成長力道將開始平緩，但更多非 PC 裝置可能成為肉票
趨勢科技在「資安攻防新層次：趨勢科技 2017 年資安預測」報告當中指出，勒索病毒的成長力道在 2017 年將開始趨緩，但攻擊手法和攻擊目標將開始朝多元化發展。讓我們來仔細看看這意味著什麼，以及這項威脅明年將如何演變。
趨勢科技的資安預測基本上是根據 IT 運算潮流的發展與威脅情勢的演變而歸納出來。勒索病毒及其幕後的犯罪集團多年來已有長足的進步，從最早的FakeAV 假防毒軟體，到專門鎖住螢幕的 Screen Locker 勒索病毒，最後發展成今日的加密勒索病毒 Ransomware (勒索軟體/綁架病毒)。這樣的演變事實上是因為歹徒希望盡可能提高整體投資報酬率與單一目標感染率。而 FakeAV 和 Screen Locker 就是無法達成這項目標，因此歹徒後來想到，如果可以挾持使用者的重要檔案或系統，不僅受害者更可能支付贖金，而且還可以提高贖金的價碼。2017 年，除了將看到更多勒索病毒家族之外，同時也將看到更多樣化的攻擊手法和攻擊對象。
►《延伸閱讀》: 資安攻防新層次：趨勢科技 2017 年資安預測」報告
2016 年勒索病毒疫發不可收拾, 150 個新勒索病毒家族，成長率高達 400%
目前，勒索病毒是全世界最大的資安威脅之一。2015 年，我們發現的勒索病毒家族僅有 29 個，但 2016 年我們已發現 150 個新的家族，成長率高達 400%。不過，我們預料這股成長力道將無法持續下去，儘管如此，2017 年仍將較 2016 年成長 25%。換句話說，我們仍需面對各種新的勒索病毒，不過歹徒將專心開發新的對象，以及更多針對企業的攻擊技巧。
2016 年我們已見到這樣的發展，例如舊金山市交通運輸局 (Municipal Transport Agency，簡稱SFMTA) 最近發生的案例，歹徒入侵了該局的自動收費機，使得營運受到影響。SFMTA 為了不影響大眾權益，決定以不收費的方式繼續維持營運。像這類針對企業機構的攻擊，2017 年將更為常見，因為企業為了維持營運，很可能會願意支付較高的贖金。一般來說，勒索病毒要求的贖金大約是 1 至 2 比特幣（Bitcoin） (約合 775 至 1550 美元)，但如果對象是SFMTA 這樣的企業機構，歹徒的贖金價碼將大幅提高，約為 100 比特幣 (73,000 美元左右)，這麼高的投資報酬率，正是歹徒鍥而不捨的原因。凡是營運不能稍有閃失的企業 (如：醫療、製造、公共事業等等) 都應設法將營運管理系統與內部主要網路隔離，或者在傳統的防禦之外，額外增加一些防護。
預測更多的針對性攻擊/鎖定目標攻擊(Targeted attack )利用勒索病毒; 更多非 PC 裝置可能成為肉票
另一項有關勒索病毒的預測是歹徒的攻擊手法將多元化。我們將看到更多的針對性攻擊/鎖定目標攻擊(Targeted attack )開始在受害者電腦上植入勒索病毒，因為這樣不僅可竊取受害者的資料拿到地下市場販售，更可挾持這些資料來勒索贖金 (如果你支付 $XX 贖金，我就不將這些資料公開)。除此之外，我們也將看到一些非 PC 裝置，如：物聯網 IoT ,Internet of Thing裝置、PoS 銷售櫃台系統，甚至銀行 ATM 提款機，都將成為勒索病毒的攻擊目標，如同近幾年來專門攻擊 Android 裝置的行動勒索病毒一樣。發掘更多的攻擊面，一向是歹徒擴大感染率和獲利的策略之一。 繼續閱讀
《資安漫畫 》你家的 Wi-Fi 路由器,是否符合這三種設定?
你有正視過家裏 Wi-Fi路由器的資安問題嗎？利用手機下載專屬的APP就能對 Wi-Fi 路由器進行簡單的初期設定，沒有各種繁瑣的管理畫面的設定。
如果不幸使用到了有缺陷的路由器， 並遭不肖第三者入侵，導致通訊內容被盜，而且有被不當使用的可能性。此時請即刻連結至Wi-Fi路由器的管理畫面，重新進行資安設定:
1.變更管理畫面的認證帳號/密碼 繼續閱讀