指紋鎖不安全?滑手機聲音恐洩露指紋!不可思議駭客入侵手法大全

指紋鎖是一種方便的生物辨識技術,但並非絕對安全。使用者應提高安全意識,採取必要的防護措施,以降低指紋被洩露的風險。

滑手機聲音恐洩露指紋!

根據科羅拉多大學丹佛分校(University of Colorado Denver )和中國華中科技大學、武漢大學及清華大學組成的網路科學家團隊在 2024 年 2 月 29 日發表的研究論文,透過使用者手指滑動螢幕的聲音,的確可以推斷出使用者的指紋型樣。

該研究團隊開發了一套名為「PrintListener」的系統,該系統可以透過手機內建的麥克風,捕捉使用者手指在螢幕上滑過所產生的微弱摩擦聲。研究人員發現,這些摩擦聲會包含與使用者指紋紋路相關的資訊。

研究人員在實驗中,使用 PrintListener 系統成功地從手指滑動螢幕的聲音中推斷出使用者的指紋型樣,準確率高達 90%。

因此,上述說法是正確的。

不過,PrintListener 系統仍有其侷限性。首先,該系統需要在相對安靜的環境下才能有效運作。其次,該系統的準確率可能會受到使用者手指滑動速度、螢幕材質等因素的影響。

因此,指紋鎖使用者仍需提高安全意識,採取必要的防護措施,如設定密碼等,以降低指紋被破解的風險。

此外,PrintListener 系統目前仍處於研究階段,尚未在實際應用中得到驗證。

(以上2024.3.7更新)


14 種不可思議駭客入侵手法

(以下文章發表於2018.12.7)


有哪些不可思議的駭客攻擊手法?根據  iThome Security粉絲專頁貼文敘述:「在新興資安威脅中,也有一些可能帶來威脅但看似冷門的技術。像是近日,有研究人員利用中階的熱感攝影機,可在一分鐘內蒐集到鍵帽上殘留的餘溫,便能蒐集到使用者剛輸入的密碼。記得,在去年臺灣資安大會上,也曾經有專家分享,用生活中無線訊號感知的研究。像是家中房間有一臺無線路由器,而使用者在這樣的空間用電腦打字,這時訊號會受到某種程度都卜勒效應干擾,因此打字的動作將反應在此訊號上,再傳送到接收端,而這個現象可以被觀察到,如果建立起一個模式,就有可能一一區分使用者現在正在按哪個按鍵。資安威脅真的是無所不在。

無所不在的新興資安威脅有哪些?本文整理了四大類 14 起不可思議的攻擊手法,讓我們繼續看下去:

😳 失「手」竟會外洩密碼

  • 手指按壓過的鍵盤餘溫,竟會洩漏密碼 !
  • SIM卡劫持,讓你的手機無法打電話或上網,Google、FB帳戶密碼也被竄改
  • 「一指」ATM 領款好方便,又安全!?日專家:數位相機拍下手掌照片就可在 10 分鐘內解讀出手指靜脈圖
  • AI 可產生假指紋以假亂真

😳「聽」力超強的駭客攻擊

  • 「海豚攻擊」(Dolphin Attack)的技術,可向智慧語音助理,發送人耳接收不到的聲音
  • 「Mosquito」(蚊子) 概念驗證攻擊,可利用喇叭或耳機從連網或隔離的電腦將資料外傳
  • 只靠控制電流噪音就能「聽」出你的螢幕內容
  • 喇叭或耳機可將電腦資料外傳

😳 萬物皆聯網 萬物皆可駭

  • 結帳櫃檯的網路攝影機,偷拍信用卡資料
  • 信用卡資料外洩,付款時網路攝影機搞鬼!
  • 好脆弱!大聲一吼電腦系統就崩潰了

😳 崩潰了!這樣也能駭

  • 不連網也中招!利用電線傳遞電流的變動,盜取電腦數據
  • 閉關修練! 數百名囚犯利用電子系統「JPay」漏洞,聯合竊取22.5萬美元(約台幣689萬元)

😳 失「手」外洩密碼

1.手指按壓過的鍵盤餘溫,竟會洩漏密碼 !


中階熱感攝影機,可利用鍵帽上殘留餘溫,蒐集使用者在一分鐘內輸入的密碼。

如果你輸入密碼後就立刻離開座位,密碼可能立馬被人竊走。

加州大學艾爾文分校(University of California, Irvine, UCI)研究人員發展出以熱感攝影機量測手指留在鍵盤上的餘溫,藉此竊取密碼。此攻擊手法,可在輸入密碼後一分鐘內,利用中階熱感式攝影機蒐集到鍵帽上被按壓過的溫度。

●原文參考來源: IT  Home

繼續閱讀

四種網路犯罪集團

本文探討當今最主要的四種網路犯罪集團:存取服務、勒索病毒服務、防彈主機代管,以及群眾外包,並提供一些協助您強化防禦策略的祕訣。

所謂「眾志成城」,同樣的道理也適用於網路犯罪集團。為了提高網路攻擊的成功率,專精不同領域的駭客集團已經開始聯合起來組成所謂的「網路犯罪服務」(Cybercrime as a Service,CaaS)。

我們看到駭客們正開始分工合作,各自負責整個攻擊程序的不同階段。這意味著,我們將看到駭客更少因為犯錯而被逮到,此外也預料,在一個受感染的網路當中,將出現多個犯罪集團同時存在的情況。

目前,CaaS 大致上可細分成四種:

若從事件回應團隊的角度來看,這意味著他們必須找出整起攻擊當中負責執行不同階段的不同駭客集團,這將使得攻擊的偵測及攔截變得更難。所以,如果能夠掌握駭客常用的手法、技巧與程序 (TTP),將有幫助於資安長 (CISO) 和資安領導人強化網路資安策略並降低風險。

繼續閱讀

為什麼聖誕假期很多大尾駭客被抓?

根據報導,除了暑假外,年終聖誕假期前後是駭客高調前往度假勝地揮霍黑心錢的旺季,也是司法單位逮人的好時機。為什麼執法單位可以掌握到駭客行蹤?被逮捕的駭客,教了我們哪些事?

為何聖誕假期成為大尾駭客的聖誕劫?
為何聖誕假期成為大尾駭客的聖誕劫?

以下外出旅行時的行為,你曾經做過的有哪幾個?

 

□ 在社群網站定點打卡

□ 在社群網站貼文時,標註與旅行相關的標記(#)

□ 社群網站貼文宣告旅遊日期及目的

□ 很放心的使用飯店和機場的 Wi-Fi
□ 總是見到 QR code 就掃?

繼續閱讀

【防毒軟體 2021 推薦】 防疫加速數位轉型,資安防護更要升級,趨勢科技 PC-cillin 2021,不論電腦、手機,一次解決病毒、駭客與詐騙之苦!

2021 年防疫加速數位轉型,資安防護更要升級,趨勢科技 PC-cillin 2021,不論電腦、手機,一次解決病毒、駭客與詐騙之苦!

2020 年,新冠肺炎疫情大大影響人們的生活,其中生活的「數位轉型」更是顯著,大家對於網路的使用更為依賴,但卻鮮少人注意到,雖然網路十分便利,隨之而來的風險也要比想像更大!尤其是各類詐騙充斥,甚至有許多因疫情而生的詐騙手法出現,甚至許多名人也都成為病毒與詐騙的受害者,像是道演吳念真、Youtuber 小玉、歌手楊丞琳…等案例層出不窮;此外,原本就十分猖獗的詐騙簡訊與一頁式購物網頁詐騙更是令人防不勝防,一般大眾都需要格外注意!

根據趨勢科技的統計,台灣今年前三季的網路詐騙網址數量高達 170 萬,相較於去年成長達 4 倍之多,其中又以「貼圖贈送」、「一頁式購物」與「投資資訊」這三種類型最多;此外,網路詐騙在今年也非常「應景」的推出各種不同類型的新操作手法,包括以口罩購買、三倍券發放…等為主題,試圖魚目混珠,當然,更不用說已經肆虐網路多年的勒索病毒、挖礦病毒…等嚴重的資安危害。

今年疫情肆虐,大家出門都得戴好口罩來主動防疫,當然,在網路世界中你也需要有一套值得信賴的資安防護工具來為你守護數位安全。▲ 今年疫情肆虐,大家出門都得戴好口罩來主動防疫,當然,在網路世界中你也需要有一套值得信賴的資安防護工具來為你守護數位安全。

在接下來的文章中,筆者就將回顧一下今年常見的網路詐騙手法,以及仍舊不可忽視的駭客與病毒攻擊…等網路威脅,同時為大家帶來趨勢科技新一代 PC-cillin 2021 的功能介紹!

網路詐騙也會「與時俱進」,令人防不勝防!

網路的誕生徹底改變了人們的生活,尤其許多實體服務的線上化,讓人們真的可以「宅」在家裡不出門也能維持正常的生活,而今年 Covid-19 全球疫情持續不斷,為了防疫隔離,無論生活與工作,大家對於網路的依賴性更高,也讓許多有心人士覬覦。

大家每天都會接觸到數以百計的網路連結,但其實有不少暗藏惡意的網址,將會造成你的個資甚至財物上的損失!▲ 大家每天都會接觸到數以百計的網路連結,但其實有不少暗藏惡意的網址,將會造成你的個資甚至財物上的損失!

絕大多數的網路詐騙,都是利用人性的弱點,以「釣魚網址」詐騙使用者個資為目的,雖然詐騙的流程基本上都大同小異,可是詐騙網頁的介面卻越做越精美,比如假的Facebook登入帳號、或是假的信用卡刷卡介面等,一般人如果沒有防毒軟體提醒,很難分辨出來。過去社群平台並不發達的年代,網路詐騙主要是透過電子郵件來傳遞釣魚網址,而郵件也會以較聳動的標題或內容來吸引大家點擊,現在郵件也演變成假冒銀行繳費、Netflix、Apple、網路商城公司E-mail,藉此騙取使用者的個資、網路服務帳密與信用卡付費資訊…等。

除了電腦平台,智慧型手機上的簡訊、即時通訊軟體與社交軟體,也成為各類詐騙資訊散佈的主要管道。▲ 除了電腦平台,智慧型手機上的簡訊、即時通訊軟體與社交軟體,也成為各類詐騙資訊散佈的主要管道。而現今除了詐騙郵件,智慧型手機的普及也讓詐騙入侵的管道更為多元,像是今年因為疫情的關係,口罩購買不易,因此出現許多以此為誘因的的詐騙方式,像是透過假的口罩到貨通知,或是以口罩贈送為名的活動連結,若是使用者一時不查,就可能受騙上當;而且詐騙連結甚至還會依據使用者手機系統的不同,提供對應的帳號登入頁面,藉此來取得 Google 或是 Apple 帳號的權限,並進一步盜用相關服務。

繼續閱讀

指令列惡意腳本正持續演進

本文討論指令列腳本 (shell script) 在網路犯罪集團手中如何演進,以及如何搭配惡意程式的發展以從事惡意活動。

Unix 程式設計師經常運用指令列腳本 (shell script) 來讓他們很方便地在一個檔案中指定所要執行的多個 Linux 指令。許多使用者也都會利用這個方式來管理檔案、執行程式或執行列印。

不過由於每台 Unix 電腦都內建了指令列腳本的解譯器,所以這也成為歹徒喜愛的一個泛用工具。我們先前就曾撰文說明駭客如何利用指令列腳本來散布惡意程式,並用來攻擊組態設定不當的 Redis 運算實體暴露在外的 Docker API 或者清除競爭對手的虛擬加密貨幣挖礦程式。本文討論指令列腳本 (shell script) 在網路犯罪集團手中如何不斷演進、如何配合不斷發展的惡意程式來從事惡意活動。

指令與程式設計技巧不斷變化


使用指令列腳本並非什麼最新技巧,網路上早已相當盛行。不過我們確實注意到這類腳本開始出現一些變化,而且能力正大幅攀升。

繼續閱讀