帳號入侵 - 資安趨勢部落格

Skype出現帳號大漏洞！連小孩都能駭入帳號

2012 年 11 月 19 日2012 年 11 月 15 日趨勢科技 TrendMicro

一個Skype嚴重的漏洞已經浮上水面了。這個漏洞讓你只要在知道對方電子郵件地址的情況下，就可以取得任何使用者的Skype帳號。

對於這問題的概念驗證文章大約在三個月前被貼到俄羅斯的論壇上。原本的作者在昨天又再貼到另一個網站上。作者還指出，這漏洞已經被廣泛的濫用了，影響到許多他聯絡人列表上的使用者。

基本上，整個過程非常的容易，就算是最沒經驗的電腦使用者也可以做到。需要作的只是用別人的電子郵件地址註冊一個新的Skype帳號，一旦完成這個步驟，密碼重設程序的一個漏洞就可以讓攻擊者利用線上密碼重設網頁來取得受害者的帳號。這會將受害者鎖在他們的Skype帳號之外，讓攻擊者可以接受並回應所有發給受害者的訊息。我測試了這個漏洞，整個過程只需要花幾分鐘的時間。

這問題已經回報給微軟（去年收購了Skype），在深入調查這漏洞的同時，他們先移除線上密碼重設網頁以作為預防措施。

在重設密碼網頁被禁用前，唯一可以保護自己的作法，就是註冊一個完全獨立而不為人知的電子郵件地址給Skype帳號使用。不過這作法有點不切實際，而且理論上這樣做會讓你更容易被攻擊，因為你不太可能定期調查很少用到的收件夾。

這個故事讓我們學到什麼？即使你只是發信給別人，這資訊也可以用來對付你，盡力維護隱私總是不會錯的。

＠原文出處：Skype vulnerability makes hijack child’s play.

趨勢科技建議使用者應選取具有主動偵測並封鎖惡意程式與網頁的資訊防護軟體，如：趨勢科技PC-cillin 2013 雲端版


PC-cillin 2013雲端版跨平台同時支援Win、Mac及Android手機與平板,立即下載

◎即刻加入趨勢科技社群網站,精彩不漏網

測試你的密碼：更多的密碼外洩事件(含複雜密碼,簡單記憶法設定教學)

2012 年 07 月 30 日2012 年 08 月 01 日趨勢科技 TrendMicro

Formspring、Billabong、Nvidia和雅虎都傳出了大規模的密碼外洩事件，許多使用者的用戶名稱和密碼都被放到網路上。雅虎被入侵事件影響了45萬名使用者，另外還有39萬名是在Nvidia外洩的。

大約在一個月前，我們首先談到了不安全的密碼和關於密碼的基本問題。隨著最近發生的事件，許多使用者可能需要被再次提醒關於密碼的問題以及如何保護它們。

你的密碼能通過測試嗎？

密碼安全該做和不該做的事

不要使用常見字或連續數字所建立起的短密碼
不要在不同平台使用相同的密碼
要定期變更你的密碼

常見問題

LinkedIn、eHarmony、last.fm、英雄聯盟（LOL）和雅虎，這些網站有何共同點？這些網站都曾經是嚴重的資料外洩受害者，讓數百萬的用戶名稱和密碼被公布在網路上。這些事件告訴我們，大多數網路使用者還在使用不安全的密碼，有太多短密碼（像1234）。還有使用者會用很容易被猜中的密碼。雅虎受駭事件可以看出，這45萬被外洩的用戶名稱和密碼主要都是連續數字（如12345）或用單字當密碼。

不幸的是，這不會是最後一次看到資料竊取攻擊。只要網路犯罪分子可以從偷來的資料中獲利，他們就會不斷地嘗試破解使用者的帳號。一旦發生這種情況，你對你的密碼強度有信心嗎？你的密碼是否有機會對抗這些潛在的攻擊者？

為何我要保護好密碼？

密碼這玩意就跟人類的歷史一樣古老。還記得阿里巴巴和四十大盜的名句「芝麻開門！」嗎？如果你熟悉這故事，你就知道為什麼強盜要用密碼來保護他們的寶藏了。

這就是我們現代密碼的功能。它是我們網路生活的鑰匙。密碼保護我們的身份和敏感資料（像是網路銀行身分認證和信用卡資料等）。這些資料對於我們來說就像是四十大盜的寶藏一樣。而就跟現實生活裡一樣，也有現代的小偷或網路犯罪份子會想去得到你寶貴的資料。一旦他們成功了，任何人都有可能成為網路犯罪分子的受害者，像是身份竊盜，甚或是在某些情況下會造成實際的金錢損失。

繼續閱讀

“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上，裡面是大有東西在。

2012 年 07 月 25 日2012 年 07 月 25 日趨勢科技 TrendMicro

「網路安全？我不在乎這個東西，因為我的帳戶又沒有錢」，或是「他們要偷什麼？我的Facebook臉書帳戶嗎？我的電子郵件帳號登錄資料？那裡面根本沒東西呀。」你常常聽到這樣的說法嗎？

「裡面沒東西」的電子郵件帳號被入侵，真的沒關係嗎？事實上，裡面是大有東西在。

除了無法使用電子郵件的麻煩外，你其它帳戶的資料可能同時遭殃。因為控制了你的電子郵件帳戶，就能讓他們在許多的網站中「重設你的密碼」。很多人通常會將這些網站的「歡迎加入」的信件留存在收信匣中，其中包括了你的使用者名稱，有時還會有你的密碼。除此之外，你的電子郵件聯絡人也會被加入到垃圾訊息發送的資料庫中，結果你可能會（非直接地）大量散發垃圾訊息給朋友們。社交網路帳戶對網路犯罪份子們來說更加有用，因為除了掠奪你朋友們的電子郵件位址外，惡棍們還可以傳送不好的連結,試圖偷你朋友們的社交網路帳號。