【密碼管理】Yahoo 爆發史上最大帳號被駭事件,專家:光是變更密碼並不足夠保護帳號安全!

Yahoo坦承兩年前遭駭客入侵,至少5億用戶帳號被竊,許多Yahoo使用者聽從了官方建議變更了密碼。不過就如同零時差計畫(ZDI)的Simon Zuckerbraun所指出,光是換新的密碼是不夠的。為什麼?

password 密碼

 

如果你有一個Yahoo帳號,那就有機會收到帳號資料遭受攻擊者竊取的通知。你並不孤單。根據公開報導,超過5億筆的帳號受到2014年資料外洩事件的影響。雖然不知道為什麼會花Yahoo超過18個月的時間來通知人們,來自Yahoo資訊安全長Bod Lord的通知包含了變更密碼的建議。雖然這是對的建議,也是好的第一步,零時差專案(ZDI)研究員Simon Zuckerbraun發現單單這一步驟並不足夠來保護你的帳號。

變更密碼後, 使用Yahoo帳號的iPhone郵件應用程式仍可存取!

和許多人一樣,Simon收到帳號被列入外洩事件的通知。也和許多人一樣,Simon登錄自己的帳號並變更了密碼。然後,他開啟設定會使用Yahoo帳號的iPhone郵件應用程式,原本預計將會出現輸入新密碼的提示,但是有些驚訝的是,他發現並不需要。儘管他已經變更了Yahoo帳號的密碼,手機仍然可以存取。

根據調查,顯然地Yahoo簽發了永久憑證給設備。這個憑證不會過期,變更密碼也不會撤銷。換句話說,如果有人取得你的帳號並且設定在iOS郵件應用程式內,他們還是可以存取該帳號,即便是在變更密碼之後。更糟的是,你很可能不會發現有人仍然可以存取你的電子郵件。

 

 

PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載

Windows10Banner-540x90v5

 

 

繼續閱讀

又有明星私密照?是時候好好正視密碼這道防線了!

本週娛樂新聞亮點除了布裘銀色夫妻組解散,還有GD戀小8歲日本嫩模 私密浴照火辣流竄。年僅 20歲的日籍女模小松菜奈於9月18日被爆與BIGBANG隊長GD相戀,起因源自於GD私人Instagram帳號疑似遭駭客盜用,而使得GD與小松菜奈的私下親密照曝光。
01
明星、名人私人照流出已不是第一次了,2014年
蘋果 iCloud 平台遭逢駭客攻擊,多位明星私密照流出,包含許多已刪除許久的照片、影片。當時涉及到的明星包括奧斯卡影后珍妮佛勞倫斯(Jennifer Lawrence)、愛莉安娜·格蘭德(Ariana Grande),凱特·阿普頓(Kate Upton)和維多利亞·嘉絲蒂(Victoria Justice)等等。

雖然多數民眾的私人社群照片不會如同明星們的廣為流傳,但一想到自己的照片在網路上任人宰割總還是怪怪的吧?這邊有幾個小撇步讓大家好好保護自己喔!

繼續閱讀

趨勢科技與國際刑警組織 (INTERPOL) 合作逮捕奈及利亞網路犯罪集團首腦

在趨勢科技研究人員的協助下,國際刑警組織 (INTERPOL) 和奈及利亞經濟與金融犯罪委員會 (Economic and Financial Crime Commission,簡稱 EFCC) 最近破獲了一個變臉詐騙集團 (又稱為商務電子郵件入侵Business Email Compromise, BEC)   ,並且逮捕了 40 歲的奈及利亞籍犯罪首腦「Mike」,該集團涉及了多起 BEC 詐騙、419 詐騙以及愛情詐騙等等。

Mike 旗下的犯罪集團成員遍布奈及利亞、馬來西亞與南非等國,警方相信其不法獲利超過 6,000 萬美元以上,受害者分布廣泛,其中單一受害者甚至損失 1,500 萬美元以上。

趨勢科技對於 BEC 詐騙集團的調查

我們是在 2014 下半年調查 Predator Pain 和 Limitless 兩個 BEC 詐騙惡意程式時開始注意到 Mike (他曾經化名為「Chinaka Onyeali」和「Beasley Martyn」)。我們在分析前述惡意程式幕後操縱 (C&C) 基礎架構的過程中追查到 Mike。隨後在 2014 年末,我們將所有關於 Mike 的資料轉交給國際刑警組織。國際刑警組織正是透過這份資料,再加上其他研究人員提供的資訊,循線追查到 Mike 並於 2016 年 6 月將他逮捕到案。

BEC 可說是一種非常有效的詐騙手法,歹徒已經從各式各樣的企業手中騙到相當龐大的金額。根據估計,從 2013 年至 2015 年,BEC 已累積造成 23 億美元的損失,到了 2016 年甚至攀升至 30 億美元。這類詐騙專門鎖定企業內部掌管公司帳目的員工 (會計、行政及財務),且專門假冒成公司高層主管 ( CXX之類的)。這種詐騙手法可說是屢試不爽,許多企業都曾遭其毒手。我們先前就曾在「數十億美元的詐騙:商務電子郵件入侵 (BEC) 背後的數字」一文當中探討過這類手法。

趨勢科技從 2014 年起便 經由國際刑警組織在新加坡的全球創新總部 ( Global Complex for Innovation,簡稱 IGCI) 與國際刑警組織展開密切合作 。這項合作案已促成多個網路犯罪集團的破獲及逮捕行動,其中甚至包括一些自以為躲在法律鞭長莫及之處的歹徒。未來,我們將繼續與國際刑警組織密切合作,協助他們將更多網路犯罪集團繩之以法。

 

趨勢科技技術長 Raimund Genes 表示:「趨勢科技一向致力推動公私部門合作共同打擊網路犯罪。這群專門利用科技來犯罪的分子是我們的共同敵人,因此趨勢科技將盡力協助執法機關逮捕並起訴這些網路歹徒。這一次的成功經驗,象徵著網路資安社群合作又再度邁向另一個里程碑。」

這位奈及利亞籍嫌犯據稱是某個 40 人犯罪集團的首腦,其成員遍布奈及利亞、馬來西亞與南非,他負責提供惡意程式並執行網路攻擊。同時,警方懷疑他利用中國、歐洲與美國洗錢集團提供的人頭帳戶來存放贓款。

國際刑警組織全球創新總部 (INTERPOL Global Complex for Innovation) 執行董事 Noboru Nakatani 表示:「這次的逮捕行動全靠資安社群成員們的群策群力才能順利達成。因為,創造一個更安全的網際網路世界,是大家共同努力的目標。由於複雜性使然,變臉詐騙非常難以追查,因此公私部門合作變得非常重要。」

趨勢科技身為國際刑警組織的策略合作夥伴,經常透過該組織位於新加坡的國際刑警組織全球創新總部為該組織及其會員國提供必要的知識、資源及策略來打擊全球網路犯罪。

ATM 盜領事件非偶發,自動提款機惡意程式逐年攀升

 近日台灣發生銀行ATM 遭盜領 7千萬事件震驚全國,其實自動提款機盜領在國際間層出不窮,本文介紹目前已知的幾種 ATM 攻擊手法。

歹徒再也不必靠蠻力就能輕鬆偷走 ATM 自動提款機的錢。現在,資安產業和執法機關已意識到,ATM 也開始成為駭客攻擊的目標。早在幾年之前就有資安研究人員發現專門攻擊 ATM 提款機的惡意程式,而且也實際看過歹徒得逞的案例。在這些案例中,歹徒使用的是專門針對 ATM 設計的惡意程式。從實體轉到數位的犯案手法,意味著犯罪集團已經發現一項事實,那就是:採用惡意程式來竊取提款機中的鈔票或提款卡資料,反而更輕鬆、更隱密。看來,這股趨勢未來只會更加嚴重,因此值得我們來探討一下網路犯罪集團目前已知的幾種 ATM 攻擊手法。

圖 1:歐洲 ATM 攻擊案例 (2011 至 2015 年)。
圖 1:歐洲 ATM 攻擊案例 (2011 至 2015 年)。

 

ATM 相關詐騙與實體攻擊

前述數字顯示,ATM 相關詐騙和攻擊數量在過去幾年大致呈現上揚的走勢 (ATM 相關詐騙與攻擊從 2014 至 2015 年成長了 15%)。軟體攻擊的成長趨勢,意味著精明的網路犯罪集團已意識到駭客工具在該領域的潛在應用商機。然而這些數字卻還只是惡意程式在 ATM 竊盜領域初試身手而已,未來勢必更加猖獗。 繼續閱讀