當你的手機等行動設備被偷時該怎麼辦?

小編曾做過一個調查手機中毒,手機遺失,你比較擔心哪一個?,投票結果有 6 成的人比較擔心手機遺失,以下文章我們就來看看這個掉了手機的實際案例,如果是你你會怎麼辦呢?

 

當你的手機等行動設備被偷時該怎麼辦?

作者:Michael Ricigliano

是的,就發生在我身上。我的iPhone 4S被偷了,就在感恩節週末的家庭出遊路上。

事情就發生在轉眼之間。當我在三明治店幫我小孩清理時,這也是小偷最佳的行動時間。我知道是「他」,因為店家有人發現了,但在要採取行動的時候,這混蛋就一溜煙的跑了。然後他們也承認看到了整個經過。唉〜

從過去的歷史來看,我並不是個容易掉東西的人。我還在用幾十年前發給我的那張舊舊社會安全卡,並且用著在1979年所買的鑰匙圈,所以我對個人財產被侵犯的感覺特別強烈。我特別生氣的是才剛剛拍了一堆我的孩子和家人的照片,但卻還來不及備份我的iPhone就不見了。這些已經永遠不會再回來了。我知道,而且讓我很痛心。

結果

在絕望又憤怒下,我太太和我將所有東西都堆到我們的廂型車上繼續開。她建議我用她iPhone上的「尋找我的iPhone 」應用程式,看能不能追踪到我的手機。「我們會去抓到這傢伙的!」她用著她典型的「就這樣做」語氣講著。我也真的要去拿她的電話了,不過後來我想到車上載滿了小孩,他們不該看到老爸和一個該死的罪犯在加州薩利納斯的某個停車場扭打起來,所以我放棄了這想法。

不過我還是用她的iPhone撥了611,通知AT&T的客服我要暫停服務,讓這混蛋不能用我的iPhone打電話。(我有用安全密碼來鎖定我的iPhone,所以我可能是太過擔心了,但你永遠不知道會發生什麼事。)AT&T客服向我詢問「這支被盜iPhone最常撥打的電話,至少要講出一個。」我給了她我太太的手機號碼。這就完成了確認,30秒內我的電話號碼就會被「暫停服務」了。

 

停掉我的iPhone號碼

我繼續開在路上,看著窗外,拿著我太太的iPhone來代用。就在那一瞬間,我驚覺到手機和行動設備是多麼個人的東西。和我的iPhone相處幾年後,它充滿了我親朋好友的名字和地址,大量我喜歡的音樂和照片,一些很酷的應用程式跟那熟悉的手機殼,這些年來在我的口袋裡或黑暗的電影院內陪伴著我。我甚至將錢包裡的大部分東西清空,將健身房會員卡、借書證、咖啡隨行卡等都轉成照片存在我的手機上,這樣就可以輕易的透過iPhone的照片應用程式來使用。

握住我太太的iPhone時覺得怪怪的。就好像陌生人一樣,嘲笑著、提醒著我,它所裝的東西裡只有很小的部分對我有用。每當我呼吸一次,我就會詛咒小偷一次。

繼續閱讀

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙!

作者:趨勢科技資深資安顧問Rik Ferguson

 當我在這個週末用iPhone來上Facebook時,我看到一個好友利用圖片分享網站來分享一個非常有趣的圖片,很值得仔細看看。我點了那張圖片,本來是想要看到全螢幕圖片版本,結果卻遇到一次非常積極且具有針對性的賺錢騙局。我的瀏覽器被重新導向到一個網站,出現一個訊息通知我首次進入英國(Apple)抽獎活動。因為只有「OK」按鈕,我也不得不繼續下去…

 

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙!
一開始跳出的訊息

 

 

 

下個畫面就非常明確的告訴我,我的iPhone手機號碼被隨機抽中,有資格在下列獎項中四選一:MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2。為了加強可信度,這個頁面還會秀出之前幸運中獎者的110個留言中選出的十筆。我可以確定Marcus、Alex和Sue都是很可愛的人,但我並不真的相信有這些人存在。

 

 

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙!
出現的留言

 

 我選擇了iPad 2(看起來是唯一還可以選的獎品),我的獎品立刻被「保留」起來,我只要再回答最後一個問題就可以了…

 我被重新導到一家Quizir公司所提供的測驗服務。一開始畫面上問我一個很簡單的問題。但是當我滑動螢幕,我注意到一段很長的小字通知,我需要付3英鎊來加入測驗,而且每回答多一個問題都要再3英鎊。嗯嗯,也許我並沒真的那麼幸運。這個條款還說,我只是有中獎資格,就跟其他參加者一樣。當然,我並沒有真的在我的手機上繼續他們所要求的步驟。

 

 

iPhone 用戶幸運抽獎: MacBook Air、Amazon的Kindle Touch、iPhone 4S或iPad 2四選一?!是詐騙!
那些討厭的條款

 

 

 

這整個騙局看起來非常具有針對性,而且顯然是假的,我決定小小的研究一下。我發現這家Quizir是荷蘭一家RD Media的子公司(其他子公司還有Crosmo,Djugo…)。我瀏覽了他們的網頁,好找出更多關於這顯然被人所濫用測驗服務的線索。

 

根據一些其他的線上條款,每個參加者必須獲得至少5000點才有資格獲獎,每個比賽必須最少有100名參加者,才能夠產生贏家。這些條件都沒有在我的手機測驗畫面中被提及。而且,不管在網路或手機上都沒有提到要怎麼去累積積分。當我打電話給他們的客服,他們很高興的替我解釋。如果我可以在七秒內回應簡訊的話,我會得到700分,每多5秒就會少100分,如果我的時間超過1分鐘,我只能得到100分。每則簡訊3英鎊,如果我真正想要成為贏家,那我可得要花上不少錢!

 

雖然一開始的誤導性視窗和重新導向的惡意廣告並不是來自RD Media,我在電話上交談的那名工作人員也沒辦法跟我說清楚和合作廠商的支付行為是怎麼進行的。不過我也很懷疑他們是否有支持這些合作廠商的惡意廣告。RD Media當然也不能說是無辜的,他們在其條款的透明度上也有嚴重的瑕疵。

 

然而,就如同我們年初所預測的,這是犯罪分子會去濫用合法服務以產生收益的進一步證據,證明了網路犯罪並不需要惡意軟體或感染設備也可以成立。不管是用哪一種系統平台,使用者都應該要了解並小心這種高度針對性的社交工程詐騙威脅。當我們朝向去利用行動設備來作為主要連網和作業平台時,網路犯罪分子和不法企業也會想辦法在這管道上找出更多具有說服力的詐騙方式。

 

我已經發送一個問題清單給RD Media,同時也聯絡了英國的監管單位 – PhonepayPlus。如果有任何進展,我會再更新這篇文章。

 

加入想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁上按讚:https://www.facebook.com/trendmicrotaiwan

@原文出處:iPhone targeted Malvertising

 

@延伸閱讀
假的 WhatsApp for Facebook正在塗鴉牆流傳

假拉票真詐騙~我朋友參加攝影比賽,幫忙一下…別上當!!手機簡訊認證碼詐騙新招「網路投票」

熱門電影惡意 APP 誘餌,蜘蛛人詐騙再起;黑暗騎士帳單暴漲~”Android的暢銷遊戲″網站詐很大

Android – 更潮就更危險!六個Android 主要威脅與安全守則

雲端有多安全?7 個雲端數位生活自保守則

天氣預報軟體 – GoWeather出現木馬山寨版,攔截手機認證碼,駭客看影音你付費

假 Android 版本Skype,安裝後簡訊爆量,帳單暴增

銀行詐騙軟體再進化:自動轉帳系統

使用手機等行動設備上Facebook,要注意的三件事

 

臉書詐騙
臉書詐騙

 

 

◎ 歡迎加入趨勢科技社群網站

有了這款協尋兒童手機app,爸媽再也不擔心小孩走失?

還記得本部落格提過的這款: ”正妹行蹤通報器”APP,現在有針對孩子所在位置的 APP,但爸媽別急著安裝….

作者:趨勢科技資深分析師Rik Ferguson

 

爸爸我要永遠跟你在一起

最近我注意到有個智慧型手機的應用程式號稱能夠幫忙父母親找到走失的小孩。我很驚訝於這樣一個有價值的想法,卻是這麼糟糕的實行方式,讓所有這服務使用者的的小孩都可能落入在危險之中。

 

這軟體的運作原理是這樣的:

 

1 – 父母親下載這應用程式並購買服務,讓他們將小孩的資料加入以準備好哪天可能會不見。我不是在開玩笑,我有三個小孩,我知道這種事有多常發生,我也記得我曾經讓我媽這樣擔心受怕過好幾次。而到目前為止都還好…

 

2 – 有個志同道合的「社群」,這些人喜歡小孩,也希望能夠幫上驚慌父母的忙。他們會下載免費版本的應用程式。這些人不上傳任何小孩的資料,他們是「支援網路」。

 

3 – 小塔昆覺得寵物店比老爸想用來消磨一整個下午的五金行倉庫要有趣得多了,所以就偷偷溜出去了。

 

4 – 就在走過水管區和排氣管區時,老爸發現小塔昆不見了,於是立刻在他的手機軟體上發出警報。通知附近的其他智慧型手機使用者(有裝此應用程式)小塔昆走失了。

 

5 – 附近的每個「支援網路」成員都收到了通知,包括照片和小塔昆的資料,可以大幅加快安全找到他的機會。成員之一會找到他,並發送簡訊給驚慌的父親,讓他知道一切都還好。

 

到目前為止都還好?

 

如果你是一個壞人,目標是走丟的無助孩童,你會想要下載哪個應用程式?

 

應用程式廠商對於可能被壞人濫用的說法是,一旦在當地廣播失踪兒童的詳細資訊後,就會產生一個「白熱區域」,也讓壞人不敢接近。因為在該地區有太多人知道這孩子走丟了,所以壞人不敢去接近這無助的孩子。

 

這個說法建立在兩件事上,第一,有足夠多的人下載這應用程式,才有辦法建立這白熱區域。第二,在該地區警示等級升高並不代表沒人敢去接近孩子是因為怕被指控是壞人。我知道是怎麼回事,特別是男生,你必須先想清楚是不是該去接近公園裡哭哭啼啼的孩子,並嘗試幫助他,即便你是跟自己的孩子在一起。

 

在最壞的情況下,廠商還聲稱,他們有所有安裝這應用程式使用者的詳細聯絡方式。我安裝測試後發現,我可以輸入任何電子郵件地址,任何電話號碼和任何名字。沒有任何檢查步驟,這應用程式就可以執行,即便是完全虛假的資料。而他們的隱私權政策明確指出,他們不會將使用者的位置資料儲存在他們的伺服器上,這表示,當真正出問題的時候,並沒有什麼資料可以提供給執法單位參考。

繼續閱讀

不要騙我,SIRI

作者:趨勢科技Ben April (資深威脅研究員)

Applidium的研究人員最近發表了一個有趣的報告,是關於Siri使用的通訊協定。每一次使用者對Siri發出指令,iPhone 4都會將這指令的語音壓縮後送回Apple的伺服器來轉換成文字。然後,對應成iPhone可以理解的命令再送回手機。

這個通訊協定以HTTPS為基礎,想要攔截或是欺騙它需要有一個有效的SSL憑證給 guzzoni.apple.com或是想辦法讓設備認為你的憑證是有效的。然後還必須劫持DNS,讓手機認為那個你所控制的IP位址就是guzzoni.apple.com。這篇Applidium的文章解釋的非常清楚,所以就讓我們來談談可以做些什麼。

我先從正面、有創造性的事情開始。理論上,如果你有一個有效的iPhone 4S ID,那應該可以很容易的將Siri移植到任何設備。只要這個設備可以錄音,而且又裝了可和網路連線的應用程式就行了。這包括了筆記型電腦、平板電腦、智慧型手機、甚至冰箱和洗衣機。

你甚至可以建立自己的Siri伺服器來和已啟動Siri的設備交談。就可以應用在日常生活上,像是執行「開燈」、「關車庫門」等指令。這也可以跟工作整合:想像一下,將這系統和你的例行工作結合,可以讓你的工作流程照你的語音命令來執行。任何可以寫成腳本的事情都可以用Siri來執行。

不幸的是,也有可能拿來做一些不那麼善良的事情。比方說,我們假設攻擊者已經成功地在設備內加入了自己的憑證,而且也用某種方法控制了DNS的回應,而這二者都是要攔截Siri通訊的必要條件。

最可能出現的就是中間人攻擊(man-in-the-middle),可以截獲所有Siri接收的指令和回應。單單這麼做可能沒有用,但是你發給Siri的指令可能會得到違背你原意的動作。很快的,我們就可以很輕易的變更該有的回應,像是改變股市行情,或是想要打給某個聯絡簿上的同事,卻被置換了指令。所以可以將通話先接到不同的號碼,再轉發給原本你想聯絡的對象,然後記錄談話內容。這需要先能了解受害人的地址簿,但是對一個真正想要攻擊的人來說還是能做到的。

Apple有許多方法可以解決這個問題。最完整的作法就是使用一個盤問與回應(Challenge-Response)認證系統。要求伺服器的 SSL金鑰要能對應給定的金鑰ID,或是比較可行的,使用帶有編號的金鑰。無論是哪種方式,如果真的出問題的時候,只有Apple有能力去解決它。

@原文出處:Siri, Don’t Lie To Me

 

◎ 歡迎加入趨勢科技社群網站