” 詐騙集團為何知道我的名字 ? “一旦個資外洩,就等於是開放給所有的網路詐騙集團….包含勒索病毒!

一旦你的資料被竊取,就等於是開放給所有的網路詐騙集團

 

 陳○○女士,您的電信本月應繳費賬單,查詢電子帳單..」、「 ○○先生,你的露天商品已經送達門市..」、「 ○○這是你那晚沒來的照片,我被整慘了」、「謝○○我在墾丁拍的照片,你覺得哪張最好看?」、「林○○這是上次同學聚會的照片,大家都有來」 、「何○○這是上次聚會的照片,你好好  笑」….很多受害人因為收到標記有自己姓名的簡訊,而不疑有他的按下詐騙連結因而損失數千元不等 …繼裝熟簡訊之後,最近災情疫發不可收拾的勒索病毒,也起而效尤類似的社交工程手法。

簡訊小額詐騙露天送達門市

會直呼你名字的勒索病毒 Zepto,大規模散發帶毒垃圾信

Zepto 是一個隨著一波垃圾郵件攻擊行動而迅速竄紅的勒索病毒 Ransomware (勒索軟體/綁架病毒)變種,這波行動在短短四天之內至少散送了 13 萬封垃圾郵件(SPAM)。就目前所知,Zepto 與 Locky 勒索病毒家族有所淵源,此家族專門利用垃圾郵件 (及其他方式) 來大量散布。

這波挾帶勒索病毒的垃圾郵件行動運用簡單的社交工程social engineering技巧來誘騙使用者開啟附件檔案。這些電子郵件會直呼收件人的名字讓信件看來更親切,信件一旦開啟,就會在背後執行一個惡意的 Javascript,然後將使用者電腦上的檔案全部加密,並加上「.zepto」這個附檔名。

會直呼你名字的勒索病毒釣魚信不稀奇,還有知道你家地址的勒索病毒….

勒索病毒竟知道你家地址? 推測這些資料很可能來自一些外洩事件中失竊的資料庫。

BBC 報導指出一個叫做「Maktub」的勒索病毒(勒索軟體 / Ransomware)大量散發網路釣魚郵件,警告收件人積欠某企業機構數百英鎊,要求他們點郵件中的連結列印發票,而這個連結會讓電腦感染勒索病毒Ransomware。有些網路釣魚郵件還冒名專門輔導更生人或監獄受刑人的慈善機構。

值得注意的一點是,網路釣魚(Phishing)郵件內容當中不僅寫出了收件人的姓名,還附上了受害人的地址。包含 BBC 的工作人員在內,都發現這些地址的正確性頗高。據推測這些資料很可能來自一些外洩事件中失竊的資料庫。

勒索軟體 Maktub 網路釣魚信中,含有受害人發票寄送地址的個資
勒索病毒 Maktub 網路釣魚信中,含有受害人發票寄送地址的個資

一但看到勒索警告訊息,硬碟上有價值的檔案都已加密,過程不到幾秒宛若電腦版的搶劫

BBC 報導指出,有受害人擔心歹徒是從他們的 eBay 帳號取得這些資料,因為他們在 eBay 帳號中的住址寫法和歹徒網路釣魚郵件當中的寫法一模一樣。文中受訪的資安專家表示:「它的動作非常迅速,當畫面上出現警告訊息時,硬碟上有價值的檔案都已被加密,整個過程不到幾秒,就像是電腦版的搶劫,歹徒希望的就是快速拿到錢。」

幾乎跟所有的加密勒索病毒 Ransomware一樣,Maktub要求以比特幣(Bitcoin)支付贖金,而且贖金還會隨著時間而提高。超過三天贖金會從1.4 比特幣(Bitcoin)(約合 580 美元)提高到 1.9比特幣(Bitcoin)(約合 790 美元)。

趨勢科技表示,除了網路釣魚(Phishing),當使用者不小心連上惡意網站時也可能被暗中下載到系統上。

Maktub勒索病毒 Ransomware會在檔案加密完成之後顯示視窗
Maktub勒索病毒 Ransomware會在檔案加密完成之後顯示視窗

 

 

Trend Labs,2016 年 4 月:99% 的勒索病毒都是透過電子郵件或網站連結進行散播攻擊

PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外,更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能,跨平台跨裝置全面保護消費者遠離威脅!!即刻免費下載

 

Windows10Banner-540x90v5

 

 

 

網路詐騙集團的供應商:專業地下市場的價格

一旦你的資料被竊取,就等於是開放給所有的網路詐騙集團。本部落格曾發表過16 個俄羅斯網路非法服務/地下經濟價目表以及 失竊信用卡,竊取帳號價格下滑,因 ”供應量增加 ”:再訪俄羅斯地下世界,在有利可圖的情況下,被竊的個資在地下經濟市場流傳,許多部分都已經高度的專業化。網路犯罪份子不再需要去自己建立所有的攻擊工具,相反地,他可以和買家購買特定產品及服務。 包含:

  • 垃圾簡訊: 每一百至一萬則簡訊3到150美元,如果要加上號碼變換,單則價格單價約漲 5 倍
  • 大量轟炸垃圾郵件服務: 一千封郵件3美元
  • 郵件帳號:每一千至十萬筆地址7到500美元(依帳號來源定價不一)
  • 信用卡重製:25 美金
  • 偽造釣魚網站: 5–20美元
  • 網路釣魚用網域:一年每個 50 美金
  •  指定入侵帳號價格:Facebook 100 美金;Gmail 100 美金;Hotmail 100 美金
  • 以非法手段影響搜尋引擎排名服務價格(Black_Hat SEO):6-295 美金

PC-cillin雲端版主動封鎖竊個資釣魚網頁,不讓個資全都露 》即刻免費下載

 

中國地下市場之旅中,我們也發現中國的地下市場跟其他正當合法的經濟市場一樣:它提供各式各樣的產品和服務,以及不同的價格區段。所提供的服務包括:網路釣魚(Phishing)工具包及竊盜使用者資料…等等。在這些交易底下,有著一個強大和健全的生態系,網路犯罪分子可以用不同的價格購買他們所選擇的產品。

 

趨勢科技PC-cillin 雲端版主動預警並封鎖詐騙、網路釣魚惡意網頁, 》即刻免費下載


PCC 免費下載

外洩嗶聲! 攻擊者監視呼叫器通訊, 收集電話號碼、員工姓名,甚至高階目標的電子郵件

許多公司都會想辦法在網路上隱藏自己的電話目錄及公司電子郵件地址模式。然而,這些努力卻會被仍在使用中的舊技術所破壞,因為攻擊者可以監視呼叫器通訊而從中找到這些聯絡資訊

 

趨勢科技在「外洩嗶聲」系列的前幾期中討論了醫療體系工業控制系統透過傳呼通訊協定POCSAG和FLEX發送了明文形式的訊息。當我們探討醫療體系的呼叫器(或稱傳呼機或 BB.Call)使用時,很驚訝地發現內容包含病患的敏感資料。同時也對工業環境內使用POCSAG和FLEX進行無線通訊的自動化系統數量感到吃驚。這讓有心攻擊的人能夠取得足夠的資訊在未來進行攻擊。

在進行研究的過程中,我們再次看到IT系統會用明文向公司基礎設施發送重要訊息。包括會發送傳呼訊息來記錄誰打電話給公司內部員工的系統。由於這是用明文發送並且能夠被遠端觀察,攻擊者可以收集電話號碼、員工姓名,及在某些情況下包括可能高階目標的電子郵件地址。

在現今這個時代,許多公司都會想辦法在網路上隱藏自己的電話目錄及公司電子郵件地址模式。然而,這些努力卻會被仍在使用中的舊技術所破壞,因為攻擊者可以監視呼叫器通訊而從中找到這些聯絡資訊。

 

帶有個人資訊的傳呼範例

筆者還記得小時候去父親的辦公室時,看到IT人員為了警報和通訊目的而攜帶呼叫器。當我開始在IT部門工作時,仍會看到一些呼叫器的使用,但我認為只是一些老IT人員習慣於使用呼叫器作為通報機制。隨著時間的過去,手機變得越來越受歡迎。當我們開始這項研究時,並沒有預期到會看到來自IT系統的訊息。例如,來自伺服器或網路入侵偵測系統的syslog訊息: Continue reading “外洩嗶聲! 攻擊者監視呼叫器通訊, 收集電話號碼、員工姓名,甚至高階目標的電子郵件”

呼叫器/傳呼機會洩漏機密?

「外洩嗶聲」是趨勢科技的系列研究,用意在凸顯呼叫器/傳呼機技術(台灣一般稱為B.B.Call或Call機)的弱點及它如何讓受影響公司的重要活動面臨危險。這個研究檢視了仍在日常運作中使用呼叫器/傳呼機的不同產業。系列文章從醫療單位使用的呼叫器/傳呼機開始 – 外洩嗶聲:醫療產業內的未加密傳呼機訊息,不過醫院並非最後一個還在用呼叫器/傳呼機的產業。

查看外洩嗶聲:業界環境內未加密的傳呼機訊息

查看外洩嗶聲:業界環境內未加密的傳呼機訊息

我們對美國和加拿大等國家未加密傳呼訊息的分析顯示,關鍵基礎設施如核電廠、變電所、發電廠、化工廠、國防承包商,及其他工業環境如半導體廠、製造廠及暖通空調(HVAC)公司等至今都仍在使用傳呼機。

不幸的是,趨勢科技發現傳呼機所使用的通訊並不安全。由於傳呼訊息通常沒有加密,所以攻擊者甚至可以遠距離地看到傳呼訊息 – 攻擊者所需要的只是對軟體定義無線電(SDR)有些了解,以及一個價值20美元的工具。

這項研究檢視惡意分子能用外洩的傳呼訊息來獲取被動情報的方法。被動情報代表的是連網或連線組織無意間洩露的資訊。我們發現,大量企業通常認為機密的資訊令人不安地會透過未加密傳呼訊息輕易地取得。像是我們可以看到下列工廠/運作的相關訊息:

 

  • 警報/事件通知(關於外洩、機械故障、偏差等)
  • 診斷訊息(顯示感應器數值,設定等)
  • 設施相關狀態更新(可用來識別所使用的工業控制系統 – ICS或監視控制和資料擷取 – SCADA設備)
  • 電子郵件地址
  • 主管姓名
  • 電話號碼
  • 專案代碼

任何具有動機的攻擊者都可以利用這些資料來進行有效的社交工程攻擊。因此,每個組織都有被進行針對式攻擊的危險,可能後果包括了產業間諜、失去客戶忠誠度和信任,以及更極端的情況如破壞公共設施造成傷亡的恐怖攻擊。

這份研究包含數個案例研究,說明我們在傳呼訊息所看到的資訊,第三方可以如何加以使用及對仍使用傳呼機之組織的建議。到這裡觀看關於傳呼機的全部報告 – 查看外洩嗶聲:業界環境內未加密的傳呼機訊息

 

@原文出處:Are Your Industrial Plant Beepers Leaking Secrets?

還用公司的電子郵件帳號註冊社群網站嗎? 駭客拿到你的帳密,可能發生哪些事?

□你用公司的電子郵件帳號註冊社群網站嗎?

□為何一個帳密被盜,其他帳密也連鎖整串失守?

□你有定期檢查你的對帳單嗎?

許多人會用公司電子郵件地址註冊LinkedIn,Facebook和Adobe等網站,被竊的憑證可能讓攻擊者進入公司內部網路。

攻擊者假設使用者會在多個網站上重複使用密碼,因此請確保為不同的帳號使用高強度和個別的密碼。刑事局曾破獲歹徒將生日、電話等個資,破解數百名 Yahoo!等網站用戶密碼,再以同一帳號密碼登入其他網站。為了防止帳號不再被盜,每次註冊新程式時,最好設定不同的帳號/密碼!

延伸閱讀:相同帳密惹禍! 淘寶2059萬筆帳號遭測試攻擊

下文將告訴你一旦駭客拿到你帳號密碼,可能發生的七件事和如何保護你的帳號密碼。包含為何要定期檢查你的信用卡或金融簽帳卡。

 

隱私秘密 dlp 個資

 大量資料外洩事件連環爆,你必須懂的帳密被竊七個流向與七個保護密訣

 

從買衣服和付帳單到溝通和求職,人們越來越常使用這些讓生活更加方便的網站和線上服務。網路娛樂的使用度也在成長,人們放棄了傳統電視而轉向訂閱隨選服務,像是Netflix、Hulu和Amazon。甚至音樂也來自線上服務,如Spotify和Apple Music。雖然這些服務的價格合理且方便,但在消費者使用前必需給出一定的資料 – 至少需要電子郵件地址或電話號碼,以及信用卡資料和付費帳單地址。

這些服務都是為了方便、快速而設計,安全性可能就沒有列在優先考慮之中。最近大量的大規模資料外洩事件顯示多麼容易就能夠在網路上竊得個人資料。就在上個月,雅虎證實約有5億筆帳號被竊,讓5億人蒙受一連串可能的安全問題。在地下市場可以輕易地找到Netflix密碼,還有PayPal、Ebay、Dropbox和其他熱門網站的用戶憑證。網路犯罪分子取得帳戶資料並打包銷售。

他們可以得到什麼?純粹的利益。你可以到這裡計算網路犯罪分子可以從各種不同網站憑證中賺得多少。

用竊來的使用者名稱和密碼破解其他網站上的帳號

憑證填充(Credential stuffing)或者說用竊來的使用者名稱和密碼,破解其他網站上的帳號,是使用這些遭竊憑證的方法之一。顯然地,許多使用者會重複使用密碼,這說明了為什麼這種作法被證實很容易成功。外洩的電子郵件地址還會給受害者帶來許多其他風險。個人電子郵件帳號常用來驗證其他網路帳號,這讓網路犯罪分子可以用一組憑證來存取其他網站。 Continue reading “還用公司的電子郵件帳號註冊社群網站嗎? 駭客拿到你的帳密,可能發生哪些事?”

從論壇受駭事件,看熱門網路平台的漏洞攻擊

最近的遭受駭客攻擊的Ubuntu列王的紛爭(Clash of Kings)、戰甲神兵(Warframe),還有最新一起的迪士尼Playdom都具備了兩個共通點,都是使用vBulletin(一個為線上社群設計的網路論壇軟體),它們還有一個共通的特點:都被駭了。雖然這些事件並沒有關聯,報告指出每起攻擊背後的駭客都可以取得類似的詳細資料 – 用戶名稱、電子郵件地址、IP地址和兩款熱門遊戲的Facebook個人檔案資料。

論壇軟體:一個被低估的危險性

最近的這些論壇受駭事件顯示熱門網路平台仍然可能遭受基礎的漏洞攻擊。不幸的是,儘管多數網路平台的外觀感覺都已經大幅改變,要管理論壇軟體仍然是個艱鉅的挑戰,因為這些平台都是公開使用,意味著大多數的資料庫仍然容易受到特定類型的攻擊。

論壇軟體一向都很難加以防護。它們需要處理大量傳入的使用者輸入,如搜尋和貼文,需要SQL資料庫來儲存所有之前的文章,通常都是由小型開發團隊所為戶,所以疏漏有時是難以避免。升級論壇軟體通常是件不簡單的任務,而且更新程式需要時間才會發布,這可能是為什麼大多數管理員不會立刻更新。

在列王的紛爭(Clash of Kings)被駭事件中(可能還有其他也是),駭客攻擊了一個未更新修補程式的漏洞,據說是因為列王的紛爭論壇使用的是2013年的舊版本vBulletin,而且沒有使用任何加密。在Ubuntu和戰甲神兵(Warframe)被駭事件中,攻擊者利用了SQL注入漏洞,這也是駭客們最喜歡的工具之一。輕微的疏忽,如使用舊版或過時的軟體,或是沒有更新修補程式都會讓危險放大。

在2016年6月,駭客從超過一千個熱門論壇竊取了數萬名帳號,這些論壇都是架設在VerticalScope,一家多倫多媒體公司。根據入侵外洩通知網站LeakedSource,資料外洩的範圍可能已經大於原先的預期。再一次,連串駭客事件顯示受駭網站沒有達到今日安全環境的要求:更強的加密和持續更新修補程式以解決已知的安全漏洞。

 

被竊的資料怎麼了?

使用者的認證資料,如使用者名稱和密碼是攻擊者的共同目標,並且能為進一步的攻擊和詐騙提供相當長期的價值。網路犯罪分子會利用資料的金融價值,貨幣化他們所竊取的資料 – 多寡取決於資料的類型。例如,在巴西地下市場,市內電話號碼清單可以賣到317美元到1,931美元之間,而一組電子郵件登入憑證可以在中國黑市賣較便宜的價格 – 163美元。工作和個人電子郵件地址可以在俄羅斯地下市場賣到高達200美元。

[延伸閱讀:竊個人資料的全球黑市]

Continue reading “從論壇受駭事件,看熱門網路平台的漏洞攻擊”

調查:超過 20% 受訪單位防禦勒索病毒不及格;26%企業未做好資料外洩防範

2016 年 1 月至 5 月期間,趨勢科技做了一項網路調查,請受訪者就「趨勢科技 2016 年資安預測」報告當中所提出的各項資安領域評估一下其所屬公司的準備情況。我們統計了受訪者的回應,並就其公司的資安準備度與今年最大的資安威脅做個比較,得出一項對應的成績。

成績「優良」者,代表企業機構已能防範今年最大的資安威脅。成績「及格」者,代表企業機構已建置了相當的安全防護,但在某些領域仍有改善空間。成績「不及格」者,代表企業機構並未達到保護企業資料和資產的最低基本要求。不過,不及格的企業機構不必氣餒,只要強化一下當前的資安策略並投資適當的解決方案即可。

根據這項「企業資安準備度調查」,僅有 18% 的受訪者已做好充分準備,另有 21% 在一些關鍵的防護點並未做好防禦措施。以下是我們根據產業和地理區域所做出來的統計數據和圖表。

 

不同產業的資安準備度 

 26%受訪單位未做好資料外洩防範 

整體來看,資料防護依然是許多企業機構最弱的環節,有 26% 的受訪者表示並未做好網路攻擊相關資料外洩的防範。此外,在全部的受訪者中,有 18% 的受訪者對於網路勒索、行動惡意程式以及其他行動付款機制相關的威脅並未做好準備。

超過 20% 受訪單位防禦勒索病毒不及格 

今年依然有各種新的網路勒索手法和形態出現。根據美國聯邦調查局 (FBI) 的統計,2016 年第一季勒索病毒 Ransomware (勒索軟體/綁架病毒)的獲利創下有史以來的新高:2.09 億美元。然而,有 33% 受訪者仍表示其公司不是沒有嚴格執行重要資料的強制備份,就是不曉得他們到底有沒有備份。有超過 20% 的通訊/媒體、銀行,以及教育機構在勒索病毒防範方面拿到不及格的成績。

 25%使用智慧型裝置的醫療機構,未能充分採用最佳實務原則防範威脅

當被問到公司是否有配發 PC、筆記型電腦、平板、智慧型手機之外的工作用聯網裝置給他們時,受訪者的回答呈現兩極化。將近 50% 表示沒有,其餘的則被允許在工作上使用個人或配發的智慧型裝置。那些使用智慧型裝置來工作的受訪者,顯然已做好嚴格的身分認驗證措施,並且會定期更新。然而,在使用智慧型裝置的醫療機構當中,有 25% (大多在美國) 並未充分採用最佳實務原則來防範物聯網(IoT ,Internet of Thing)威脅。 Continue reading “調查:超過 20% 受訪單位防禦勒索病毒不及格;26%企業未做好資料外洩防範”

大量資料外洩事件後遺症, 重複使用密碼攻擊上升


刑事局曾破獲歹徒將生日電話等個資破解數百名Yahoo!等網站用戶密碼,再以同一帳號密碼登入其他網站。這不是個案,跨國軟體大廠CitrixGoToMyPC團隊在6月19日的安全訊息中通知重要客戶出現「複雜的密碼攻擊」,要求所有客戶立即重設密碼,這是因為前幾天被發現且適時回報的安全問題,那時使用者聲稱無法登錄帳號,他們建議使用者透過網站上的忘記密碼選項來重設密碼。

在此道歉啟事過後,該團隊在6月20日披露了更多相關分析結果。Citrix的產品線總監John Bennett在一份聲明中指出:「Citrix確認最近所發生的事件是密碼重複使用攻擊,攻擊者使用來自其他網站所洩漏的使用者名稱和密碼來存取GoToMyPC使用者的帳號,此外,並沒有發現其他Citrix產品線遭受攻擊」

該聲明強調並無客戶敏感資料(如信用卡資訊)被取出系統。除了強制重設密碼外,該公司還強烈建議啟用雙因子認證,好在此事件過後建立更緊密的防禦措施。  Continue reading “大量資料外洩事件後遺症, 重複使用密碼攻擊上升”

Hacking Team 資料外洩曝光的漏洞攻擊,仍影響 Android 用戶

專門提供駭客服務的Hacking Team自己也被駭了! 這是 2015 年備受矚目的資安事件。雖然,Hacking Team 資料外洩事件已經是好幾個月前的事了,但因漏洞攻擊程式碼的曝光而引發一連串的攻擊,至今仍持續影響著我們。

最近,趨勢科技發現了一批 Android 惡意程式很顯然是採用了 Hacking Team 事件當中的某項漏洞攻擊程式碼。這批在網路上發現的惡意應用程式一旦得逞,就能讓遠端駭客取得感染裝置的系統管理員 (root) 權限,所有 Android 4.4 (KitKat) 以及更早版本的行動裝置 (占了將近所有 Android 裝置的 57%)都受到此漏洞的影響。

Android 病毒

 

攻擊細節

根據趨勢科技的分析,這批惡意應用程式含有一段稱為「reed」 的漏洞攻擊程式碼,也就是 Hacking Team 的 kernel_waiter_exploit 漏洞攻擊程式碼,這段程式可藉由 TowelRoot 漏洞 (CVE-2014-3153) 在裝置上植入一個後門程式,TowelRoot 是 Linux 系統在 2014 年就已修補的一個舊漏洞。

有了這個後門程式,駭客就能到幕後操縱 (C&C) 伺服器 (hxxps://remote.ibtubt.com/phone/ )下載最新的惡意程式到裝置上,並以系統管理員權限執行程式。

圖 1:Hacking Team 事件所外洩的漏洞攻擊程式碼。

駭客將這段漏洞攻擊程式碼暗藏在多款遊戲和 Launcher (啟動器) 應用程式當中,並透過下列網站散布:hxxp://risechen.b0.upaiyun.com,例如:Maria’s Coffie Shop、酷酷斗地主、iLauncher、One Launcher 以及 Launcher IP Style 6s 等等。我們發現至少有 88 個應用程式含有這段漏洞攻擊程式碼,但目前我們尚未見到其任何一個惡意程式在第三方應用程式商店上架。

圖 2:含有漏洞攻擊程式碼的惡意遊戲範例。 Continue reading “Hacking Team 資料外洩曝光的漏洞攻擊,仍影響 Android 用戶”

2 億 7,200 萬筆失竊電子郵件帳號資料,駭客只賣 1 美元

美國威斯康辛州資安廠商 Hold Security 的員工 Alex Holden 表示,他在某駭客的收藏品當中發現了數億筆使用者帳號資料,包括:電子郵件地址和登入密碼。這批資料包含了各大電子郵件服務廠商的帳號:Mail.ru (俄羅斯知名電子郵件服務)、Google、Yahoo、Microsoft (Hotmail),以及一些德國和中國的電子郵件服務。

該研究人員表示,其公司研究人員是在某俄羅斯地下網路論壇上看到有駭客吹噓自己收藏了高達 11.7 億筆使用者帳號密碼,才會讓這件事浮上檯面。經過進一步的分析並去除重複資料之後,該公司確認非重複的帳號資料有 2 億 7,230 萬筆,其中 15% 是之前未曾曝光的。Holden 指出,其中有 5,700 萬筆是 Mail.ru 帳號,若對照 Mail.ru 在 2015 年底所公布的 6,400 萬活躍用戶來看,比例可說是相當驚人。其餘的資料還有:Yahoo! 帳號 4,000 萬筆、Hotmail 帳號 3,300 萬筆, Gmail 帳號 2,400 萬筆等等。

有趣的是,駭客原本想將整批資料以 50 俄羅斯盧布 (不到 1 美元) 的價格出售,但 Hold Security 卻藉由同意在駭客論壇上給該賣家優良評價而免費取得了這批資料。

[延伸閱讀:揭開五個資料外洩的迷思]

此事件讓幾星期以來的一連串資料外洩又增添一樁,其中最知名包括:美國電信業者 Verizon Enterprise、天主教丹佛總教區 The Catholic Archdiocese of Denver、史丹佛大學 Stanford University 以及美國知名連鎖超市 Sprouts Farmers MarketContinue reading “2 億 7,200 萬筆失竊電子郵件帳號資料,駭客只賣 1 美元”

< CTO 觀點 >從LinkedIn 逾一億資料外洩事件,看密碼設定等更多未解的問題

 

Raimund Genes (CTO)

 

 

作者:趨勢科技技術長CTO Raimund Genes

 

 

報導指出2012年的LinkedIn資料外洩事件和原本的認知有很大的差距:並非如當時所說的是650萬筆紀錄遭竊,事實上,有1.67億使用者受到影響。其中有1.17億筆的資料包含使用者的電子郵件地址和密碼。

linkedin

直到這些大量的外洩資料在黑暗網路社群上進行販賣,才讓所有人意識到這變得更加嚴重的問題。LinkedIn發表一篇文章確認了此外洩資料的真實性,並且要求受影響的使用者重設密碼。

我也是受影響的人之一,所以我研究了一下。如果我選擇Raimund_Genes作為密碼,系統會出現綠色並且說是可行的密碼。當我嘗試使用Linkedin_Raimund,它也會被標示為強密碼。但這些都不是我所認為的強密碼。你發生了受人注目的資料外洩事件,應該要利用這個機會來重新教育使用者來使用強密碼。

顯示或取得我的瀏覽器、作業系統和位置資訊可能也並非是個好主意:

 

除了「可笑」的密碼等級外,還有一些其他值得關注的地方。目前還不清楚為何會誤判資料外洩的規模大小,是什麼導致大家認為這起2012年的事件比真正的規模要小的多。LinkedIn的使用者有權知道發生了什麼事 – LinkedIn知道什麼,他們什麼時候知道的?到底有多少使用者受到影響,有哪些資料處在危險中? Continue reading “< CTO 觀點 >從LinkedIn 逾一億資料外洩事件,看密碼設定等更多未解的問題”