對美國國家安全局和憤怒鳥感到憤怒嗎 ?

資料隱私日(一月二十八日)這天,很多新聞討論最近被披露的美國國家安全局(NSA)收集資料的事件,特別是針對熱門遊戲憤怒鳥。資料隱私日這一天是為了致力於提高對於網路隱私和保護個人資料的意識。最近所披露的這事件肯定也提高了意識。不過雖然有很多談論重點放在美國國家安全局和憤怒鳥,但如果將重點放在它們身上,這不僅是個錯誤,還會錯失了良機。最近的這些爆料應該刺激出對行動世代隱私狀態更廣泛的討論,特別是行動設備和應用程式所收集的那些資料,被用來做什麼和是否提供清楚的告知。

隱私 個資外洩 FB

從最近這些爆料中所學到的教訓並非只是美國國家安全局是否做得太超過(這需要另一分開而關於政策的討論),或憤怒鳥廠商Rovio是否幫助了他們(這也在討論中)。真正該學到的是各式各樣的行動設備和應用程式收集了比自身所需還要更多的資料,透過不明確的方式使用,用來做些大多數我們(如果不是全部)都不了解的事情。更重要的是,我們應該更進一步,討論即將到來的物聯網(IoT),這些問題在那時將變得更加嚴重。

隱私的兩個關鍵原則是告知資料收集以及同意。好的隱私做法依賴這兩個原則來幫助使用者清楚地了解哪些資料被收集,被拿來做什麼(告知),並選擇是否接受該產品或服務(同意)。對於需要同意的告知,清楚而能夠理解的資訊是必須的。不然我們就會面臨我稱為「噢!該死」的一刻:就像是「噢!該死!當我同意時,我不知道你會將拿到的資料這樣使用。」

當我們讀到關於美國國家安全局從行動設備和應用程式(包括但不限於憤怒鳥)收集資料的消息,它就像是一個大大的「噢!該死!」。根據The Guardian的故事:

根據使用者所提供和文件所指示的個人檔案資料,該單位幾乎能夠收集使用者生活的每個關鍵細節:包括母國、當前位置(通過地理位置)、年齡、性別、郵政號碼、婚姻狀況(有「單身」、「已婚」、「離婚」、「可換偶」及其他更多選項)、收入、種族、性取向、教育程度和子女數量。

這份報告明確指出這些資料並非來自系統內的惡意軟體:它來自使用者自己願意安裝的這些表面上合法的應用程式。也就是說,這些使用者已經同意這樣的資料收集。然而,幾乎每個讀到這列表的人都感到衝擊和驚訝。為什麼呢?

這有兩個原因。首先,告知並不清楚。其次,很明顯地,行動設備和應用程式收集了比它們所需還要更多的資料。而且這次的事件顯示出這些資料並沒有被好好的保護,因為美國國家安全局聲稱收集到該資料是因為它被「外洩」了。

清楚告知是長久以來業界的一個問題。人們知道這是個問題:最近一項微軟的研究顯示,人們對於讀取隱私政策感到無奈。但到目前為止,人們還是會接受並不清楚的狀況,最後都會按下同意(只有25%的人在研究中表示自己會閱讀隱私聲明)。不過雖然明確告知的問題在過去的PC時代可能被接受,在行動時代,因為現在能夠收集到的資料數量和類型,讓這成為更加嚴重的問題。

行動設備將我們自身實體和網路結合的更加緊密。就其本質而言,它們可以收集比電腦還要更多關於我們是誰和我們正在做什麼的資料。而且行動設備和應用程式廠商對資料採取的做法是 – 「有問題時就收集它」,就如同現在這些事件所顯示的一樣。如果我們對於知道我們的行動設備和應用程式收集什麼資料而感到十分震驚,那它也代表告知的做法失敗。

應用程式所「外洩」資料的問題,就跟這裡所說的是非常普遍。在趨勢科技所分析的近600萬應用程式裡,有超過25%有某種形式的資料外洩。

 

 

當人們都專注在美國國家安全局是否應該去收集這些資料時,就忽略了更大的問題。不管他們有沒有或應不應該,還是會有其他機構,像政府機關、私人企業和非政府單位會為了自身目的而在我們一無所知下去收集資料。他們會這樣做是因為他們可以,是因為行動設備和應用程式廠商讓他們能夠這樣做。如果我們不喜歡聽到我們的資料被收集和使用,我們需要將討論這些資料收集放在第一位。 繼續閱讀

趨勢科技協助 FBI 定罪 SyEye 銀行木馬駭客背後的故事

loveme、kissme、抓我、試試看

圖片來自dprotz,透過創用授權使用

最近美國聯邦調查局(FBI)發表一份新聞稿關於對Aleksandr Andreevich Panin(一名俄國人,更為人所知的名稱是「Gribodemon」或「Harderman」,在網路上跟惡名昭彰的SyEye銀行木馬連結在一起)和Hamza Bendelladj(一名突尼西亞人,網路綽號為「Bx1」)所進行的法律行動。Panin已經為進行線上銀行詐騙的指控認罪,而針對Bendelladj的控訴還在進行中。美國聯邦調局的新聞稿裡也感謝趨勢科技的前瞻性威脅研究(FTR)團隊協助此次調

Bendelladj被指稱經營至少一個 SpyEye 的命令和控制伺服器,雖然我們的TrendLabs部落格和我們的調查已經明確指出他的參與還要更為深入。他在2013年1月5日在曼谷機場被逮捕,而Panin是在去年7月1日飛經亞特蘭大時被捕。

趨勢科技的前瞻性威脅研究團大概在四年前就開始對SpyEye的幕後黑手進行調查。在這段調查期間,我們描繪出支援該惡意軟體的基礎設施,確認該基礎設施的弱點,並找到若干重要線索指出這惡意銀行木馬背後的個人身份。當我們覺得已經有足夠的資訊時,我們和執法單位合作以達到今日你所見到的圓滿結果。

我們進行中的研究有著相當豐富的資料,許多因為法律行動還在進行中而不適合分享出來,但你可能會有興趣知道這些被告最常使用的密碼包括了「loveme」、「kissme」和「Danny000」。我讓你自己去想想有關安全實作的結論。

去年的逮捕行動和最近的認罪再次證明了趨勢科技針對網路犯罪幕後黑手 繼續閱讀

趨勢科技拍電影 ?! 趨勢科技與國際同步發表《2020》白皮書,並推出系列自製影片預測未來網路危機

 

2020 網路危機
 

你能想像再過十年,我們所處的社會會變成什麼樣子嗎?我們將如何購物、社交和使用服務?企業會如何認證客戶,管理我們的服務,對抗越來越多成熟且堅定的攻擊來保護關鍵資料?當然,趨勢科技並沒有所有的答案,但我們已經往正確的方向邁出一大步,透過我們的2020網路系列。

趨勢科技與兩大國際資安組織「歐洲刑警組織」(Europol) 及「國際網路安全防護聯盟」(簡稱ICSPA)共同合作的重量級資安關鍵報告:《2020》白皮書,及斥資獨立製作《2020》網路危機系列影片,影片中呈現未來科技發展將如何影響全民的生活,更由於網路新應用蓬勃發展而引發跨越實體與虛擬界線的資訊安全防禦戰,身為世界網路公民的一員,《2020》網路危機系列影片將是不可不看的首部年度最佳資安鉅作。

趨勢科技《2020》網路危機系列影片獲得 USA Today(上圖) , PCMag(下圖) 專文報導
趨勢科技《2020》網路危機系列影片獲得 USA Today(上圖) , PCMag(下圖) 專文報導

2020

趨勢科技台灣及香港區總經理洪偉淦表示:「趨勢科技與 Europol 及ICSPA合作,共同製作了《2020》白皮書,透過預測未來網路犯罪形態,讓政府、企業及一般人民都能針對未來10年即將面臨的挑戰及機會預做準備。當中趨勢科技所扮演的角色,就是我們累積25年來、對全球網路威脅的各種觀察與分析經驗,所聚焦出來的未來資安預測。」

放眼未來,趨勢科技更改編《2020》白皮書,斥資獨立製作系列影片,透過未來網路生活型態的精采故事,以深入淺出的電影情節,清楚呈現出在未來的真實世界中,網路科技發展將如何影響人們的生活;並且因為網路犯罪的數位虛擬化,不僅對一般網際網路使用者,對於企業及政府皆會造成不可輕忽的衝擊與挑戰。

繼續閱讀

趨勢科技協助FBI(美國聯邦調查局),將惡名昭彰 SpyEye 銀行木馬駭客繩之於法

前幾日美國司法部宣布惡名昭彰的SpyEye銀行惡意軟體作者 – Aleksandr Andreevich Panin(又名Gribodemon或Harderman)已經為製造和散佈SpyEye而認罪。趨勢科技在這次的調查中扮演關鍵角色,和美國聯邦調查局合作這個案子很長一段時間。各團體都花費相當大的力氣來讓此次調查活動可以圓滿結束。

hacker 偷錢

我們的調

Panin的共犯之一是Hamza Bendelladj,,他的暱稱是bx1。Panin和Bendelladj都參與建立和設置各SpyEye網域和伺服器,這也是趨勢科技獲得這對犯罪伙伴資訊的來源。雖然SpyEye的建立僅僅有很少的文件公開,我們還是仍然能夠拿到這些文件並取得文件中的資訊,其中包括(比方說)伺服器控制者的電子郵件地址。

我們將這些設定檔所取得資料和我們在其他地方所收集到的資料進行關聯。例如我們潛入各個已知Panin和Bendelladj會訪問的地下論壇。只要閱讀他們所貼出來的文章,他們會在不經意間透露像電子郵件地址、ICQ號碼或Jabber號碼等資訊,這些都是可能揭露他們真實身份的資料。

例如,我們發現了C&C伺服器lloydstsb.bz也和SpyEye程式和設定檔有關。解密過的設定檔包含了代碼bx1。該伺服器上的設定檔也包含了電子郵件地址。第二個設定檔(也用了bx1)被發現含有virtest的登錄憑證 ,這是網路犯罪份子所使用的偵測測試服務。所有的資料都被趨勢科技用來幫助美國聯邦調查局找出他的真實身份。

圖一、設定檔

接下來在地下論壇的貼文顯示Bendelladj和SpyEye的關連比他所公開宣稱的還要更深入:

圖二、地下論壇貼文

下圖顯示出各種不同網站、電子郵件地址和Bendelladj所使用惡意軟體間的關聯:

圖三、此圖顯示各網站、電子郵件地址和惡意軟體間的關係

繼續閱讀

關於美國零售業業者 Target 資料外洩常見問題集

2014年1月10日星期五,Target宣布,在他們2013年12月19日所披露的外洩事件裡,有更多的資料被外洩。而在那一天,也有報導指出Neiman Marcus有部分店內客戶的信用卡和借記卡(Debit Card)資料被盜。

這些新訊息可能讓整個局面更加混亂。為了幫你更清楚地瞭解發生了什麼事,對你來說代表了什麼,以及你該做些什麼,我們整理出了一份常見問題(FAQ)列表來舉出這些狀況並加以解釋。

除了這份常見問題列表,你也該去看看Target的官方常見問題列表。Target也將所有關於這次事件的資料和資源整合在集中的資訊站

DLP1

有關Target資料外洩的最新狀況?

在2014年1月10日星期五,Target宣布有高達7000萬份個人資料在最初於2013年12月19日所宣布的資料外洩事件中丟失。

這是新的資料外洩事件?

不是。根據Target所表示,這並不是新一起的資料外洩事件。Target表示這些資料被竊是屬於他們最初在2013年12月所公布資料外洩事件的一部份。

 

但Target是說新的資料外洩,對不對?

不錯。雖然他們說並沒有出現新的事件,但他們表示現在知道有比以前所認為更多的資料在12月的事件裡丟失。用一般的例子做比喻,竊賊在十二月只闖進他們的房子一次。但是除了原本Target所知道被偷的電視外,他們又發現了竊賊還拿了一台筆記型電腦。

 

Target原本在2013年12月的公告裡聲稱外洩了哪些資料?

Target在12月宣稱,有高達4000萬名在2013年11月27日到2013年12月15日間在美國店面購物過的人們信用卡和借記卡資料被竊。

 

這新外洩的資料和Target在12月所宣布的有何不同?

在這最新的公告裡,Target聲稱有高達7000萬名客戶的個人資料被外洩。這次外洩並不相同,因為資料類型不同:這是個人資料,而非信用卡和借記卡資料。而且是不同的受害族群:它有7000萬人,而非4000萬人。

 

這兩個Target外洩的資料間關係為何?如果我是2013年12月所公佈資料外洩受害的4000萬人之一,我也會受到這一個的影響嗎?

可能會。但是我們無法肯定。

Target並沒有說這兩個外洩的資料間有任何關係,只是它們都屬於同一起資料外洩事件的一部份。有報導表示它們有部分重疊,意味著有些客戶可能會同時受到兩個外洩資料的影響。但報導也顯示有超過一億的客戶被這兩個事件影響。華盛頓郵報指出,這代表有三分之一的美國住戶可能被這情況所影響。

 

Target在2014年1月公告的資料外洩事件中丟失哪些資料?

根據Target所說,這外洩的資料包括客戶的姓名、郵寄地址、電話號碼或電子郵件地址。

 

兩個Target外洩的資料之間還有其他不同嗎?

是的。Target公司在回應2013年12月的資料外洩時表示,他們將提供免費的信用監控給在他們商店購物的所有顧客,而不僅僅是4000萬名信用卡和借記卡資料被竊的客戶。不過到目前為止,Target沒有表示會提供信用監控給任何受2014年1月資料外洩影響的客戶。

 

別人可以利用這些資料作什麼?各外洩的資料有多嚴重?我該關心什麼?我該怎麼做?

2013年12月外洩的資料有信用卡和借記卡資料。這些資料可能會被拿來做詐騙性購物。事實上,這已經發生了好幾個星期。如果你受到這資料外洩事件影響,這是非常嚴重的,你應該要非常關心。你必須定期查看你的帳單,出現任何詐騙性費用時要立即回報。既然Target提供信用監控給所有在他們店裡購物的客戶,如果你還沒有監控你的信用狀況,應該要馬上登記。

2014年1月外洩的是個人資料,但不包括像社會安全號碼這樣的重要資料。Target還說明在某些狀況下,資料是部分的,代表可能只有姓名和電子郵件地址而已。可能並沒有足夠的資料來做身份竊盜。但它可以結合其他資料來進行身份竊盜。該資料還可以用來建立高品質的垃圾郵件或釣魚郵件。要特別小心垃圾郵件和網路釣魚,特別是那些偽裝成來自Target的電子郵件。

繼續閱讀