半夜「女兒房」傳出「陰兒房」配樂,夜晚出現的隱形人,自稱是聖誕老公公…

一名夜班護士趁著「黑色星期五購物節」打折期間,買了監視器,以方便觀察孩子們以方便監看孩子。隔不到幾天空無一人的女兒房間裡傳來陌生人的聲音,還播放恐怖片「陰兒房」的配樂。
自稱是聖誕老公公的陌生人跟她說「哈囉」,還講髒話。女孩從此不敢在房間裡睡覺,只好睡在客廳。🥶

 

2020資安預測報告:家用物聯網興起全面擴大資安風險範圍

隨著家中物聯網環境逐漸興起,根據創市際2018年公佈的「2018台灣微智慧生活」調查2,台灣智慧家庭裝置使用率約三成,顯示台灣智慧家庭狀況正逐漸普及,然而此現象也成為駭客入侵的機會點之一 ! 趨勢科技預測駭客將利用家中 IoT 設備進行勒索、詐騙甚至企業間諜活動,透過裝置漏洞為管道,如智慧電視、智慧揚聲器等,監視在家工作者與企業間的對話,掌握企業情資,進一步鎖定企業為勒索目標。

同時,駭客看準物聯網裝置逐漸普及,更鎖定智慧型家用物聯網設備如路由器,進行DNS (Domain Name Server) 挾持攻擊。透過劫持DNS將使用者引導至假的網址,取得帳密、個資等重要裝置及個人資訊,進一步進行勒索或販售個資牟利等不法行為,趨勢科技提醒消費者必須要將智慧家庭裝置納入資安防護的考量之一。

-2019/12/14 更新-

「快起來,你爸爸在找你。」總在夜晚出現的隱形人,竟是它…

從舒適到災難:智慧家庭的風險

我們真的要讓全世界的駭客連結到我們的廚房、空調以及其他家用設備嗎?尤其是我們的門鎖?

當原本應該為生活帶來舒適便利的東西頓時變成一場災難,該怎麼辦?

時間發生在 2015 年 4 月,美國華盛頓的一對夫妻陷入了一個令人寢食難安的狀況。好一陣子,他們的三歲兒子一直在抱怨有個隱形人會在晚上出來跟他講話。一開始,他們還一直叫小孩不要亂講,直到有一天他們真的聽到陌生人的聲音從他們兒子房間裡安裝的嬰兒監視器中傳出。

那個聲音說:「小朋友,快起來,你爸爸在找你。」

更令他們毛骨悚然的是,他們發現該裝置的攝影鏡頭竟然還會跟著他們移動,那鬼魂般的聲音接著說:「看看是誰來了。」

這只是眾多家庭物聯網(IoT ,Internet of Thing裝置遭駭的恐怖故事之一。

家庭物聯網裝置的設計都是以功能為優先考慮,其次才想到安全

人們應該要能安心地使用智慧型裝置,但今日的現況並非如此。今日家庭物聯網裝置的設計都是以功能為優先考慮,其次才想到安全。因此,當這些酷炫裝置上市時,經常暗藏一些消費者在購買當下考慮不到的安全風險。這不禁讓人懷疑,消費者是否真有辦法在興沖沖地將這些裝置帶回家之前,仔細想清楚它們的好處與風險。

駭客將知道屋主是否在家,或者他們監視的對象是否正在前往某處。當然,這些是較極端的情況,但卻一點也不誇張。

嬰兒監視器直播隱私

首先是隱私的問題。許多物聯網裝置都具備錄影和錄音的功能,或者會將影音資料傳送至雲端處理。萬一駭客有辦法攔截這些內容,那就能看到並聽到屋內的狀況。再回頭看看前述嬰兒監視器的案例,由於駭客找到了裝置的軟體漏洞,因此就能將這些原本讓家長隨時關心兒童狀況的裝置變成現成的監視器材。

iot

語音助理蒙上監聽陰影

某些物聯網裝置 (如自動化語音助理) 會隨時等候使用者下達語音指令,然後將語音內容傳送至雲端處理,並在幾秒之內做出回應。過去已發生許多關於這類裝置傳送過多語音資料的爭議繼續閱讀

從SIM卡劫持到不良決策:非公共網路內的5G威脅及安全建議

趨勢科技最新的研究探討了5G網路所面臨的威脅 – 從SIM卡劫持、身份詐騙、假新聞、下毒(poisoning)機器學習(Machine learning,ML)規則到操縱商業決策,以及如何透過基於身份的作法來防護及解決。

From eSIM Jacking to Fake News: Threats to 5G and Security Recommendations
下載透過網路電信身份聯合保護5G網路

許多產業都想開始去利用5G所帶來的速度、自動化及全球影響力,而對其中大多數來說這都是新的電信技術。通常他們都還沒有做好準備、技術不夠且設備不足,無法應對許多強大新技術突然一起出現。這使得老練的駭客團體以及全球電信業界內復雜漏洞所造成的影響變得更加嚴重。除了它本身已有的風險外,還可以被利用成為相當強大的攻擊引擎。

很難一次解釋清楚這複雜性。可以利用較小規模的非公共網路(NPN)或“園區本地端5G”來說明和闡述。報告中會以一個NPN 5G工廠作為範例。

5G非公共網路(NPN)的風險和威脅

我們最新的研究探討了5G網路所面臨的威脅 – 從SIM卡劫持、物聯網身份詐騙、錯誤的決策引擎資料和日誌,以及下毒(poisoning)機器學習規則來操縱商業決策。我們還研究了如何透過基於身份的安全作法來減輕及應對這些風險和威脅。

下毒(poisoning)決策引擎及人工智慧-機器學習(ML)部署

5G和5G NPN依靠於自動化的巢狀層次(雲端內的雲端)。各種決策引擎的這類相依關係是其速度及擴展性的關鍵要素。這種分層自動化在很大程度上依賴於調整模型,從而提高大規模部署的效率和成本節省。

主動錯誤遙測資料及被動盲點的注入就能會損害決策引擎,從而改變決策所根據的“地面實況(ground truth)”。這是真實的5G等級企業GIGO(垃圾進,垃圾出)。這在攻擊者穿越IOT感測器雲時最為有用。

繼續閱讀

有效的 IoT 資安該從何著手?

不論在都市、辦公室甚至在家中,我們工作和生活的地方越來越智慧化。根據 Gartner 的一項最新研究預測,全球至 2020 年將有 58 億個商用及車用物聯網(IoT ,Internet of Thing裝置。這些裝置讓企業的日常營運和生產變得更輕鬆、更安全,這一點毋庸置疑。但擁抱這些新的技術可能會帶來什麼樣的風險?隨著這些裝置的日益普及並逐漸融入一些關鍵基礎架構,成為企業營運的重要推手,甚至儲存一些敏感資料,我們將因此必須面臨一些相關的資安問題。

繼續閱讀

透過智慧門鈴就可攻擊整個房子聯網設備!Amazon 已修補Ring Video Doorbell Pro 漏洞

Amazon Patches Ring Video Doorbell Pro Vulnerability That Threatens Network Security

日前研究人員在 Amazon 的 Ring Video Doorbell Pro 智慧門鈴當中發現了一個可能讓駭客取得網路或 Wi-Fi 登入憑證的漏洞。雖然 Amazon 在今年 9 月就已修正了這項問題,但此漏洞最近才被揭露 。

Ring Video Doorbell Pro 是一款能讓家庭使用者過濾訪客並從遠端監控家中狀況的家用保全裝置。然而,駭客可經由該漏洞來取得家用 Wi-Fi 網路的登入憑證,連帶引起其他網路攻擊。

繼續閱讀

Alexa 和Google 智慧家居裝置可能被用來竊聽或進行網路釣魚

Alexa 和Google 智慧家居裝置可能被用來竊聽或進行網路釣魚

安全研究實驗室(SRL)的研究人員展示了應用程式(Amazon Alexa上的 Skills和Google Home上的 Actions)如何經由某些裝置功能來產生安全問題。

SRL的報告顯示可以利用下列方式來偷走帳號密碼或付款資訊等敏感資料:

  • 製作一個正常的應用程式並通過Amazon或Google的審查
  • 在審查通過後修改應用程式,將歡迎訊息偽裝成錯誤訊息(如「你所在的國家/地區目前不提供此功能」),並且加上長時間的暫停(如讓應用程式讀無法發音的字元)
  • 透過在應用程式內設定訊息來欺騙使用者(像是「裝置有重要的安全更新可用。請先說開始更新,接著輸入密碼。」),這會讓使用者洩露敏感資料
  • 將取得的資料作為槽值(slot value,使用者的語音輸入)傳送給攻擊者
繼續閱讀