資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

《電子郵件詐騙》用 AI 人工智慧及機器學習防堵 BEC 變臉詐騙

2018 年 05 月 17 日2018 年 09 月 08 日趨勢科技 TrendMicro

變臉詐騙攻擊或稱為商務電子郵件入侵( BEC)變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)，是對於全球企業的危險威脅。目前 BEC 已在全球一百多個國家出現，2013 年至 2016 年期間，美國聯邦調查局 (FBI) 共接獲超過 40,000 起事件，報告指出全球損失達 53 億美元。然而 BEC 攻擊在 2017 年繼續擴散，從上半年到下半年增加了 106%；但網路罪犯不只依靠其盛行程度來獲得豐厚的報酬。網路罪犯變得更加狡猾，BEC 詐騙不再需要完全依賴可偵測得到的惡意元件。儘管惡意軟體仍然是發起攻擊的一種選擇，但網路罪犯正在增加網路釣魚及社交工程攻擊，鎖定企業內可能容易受到陰險手段攻擊的個人。

讓 BEC變臉詐騙難以偵測的特徵

由於 BEC 的發展與詭計多端，面對攻擊，一般的最佳做法及資安解決方案已經顯得薄弱。由於傳統防毒軟體偵測不到，社交工程式的 BEC 詐騙攻擊進行很快，相較於需要放置鍵盤記錄程式、遠端存取工具的攻擊計畫，所需的事前勘查相對較少。網路罪犯使用以下欺詐策略：

在 BEC 攻擊計畫中使用緊迫性、行動要求或財務影響等，讓目標落入陷阱。例如，網路罪犯聯絡企業的員工及/或高階主管，並且扮演第三方供應商、律師事務所的代表，甚至執行長 (CEO) 的角色，操縱目標員工/高階主管祕密處理資金轉移。
偽造的電子郵件看似正當。網路罪犯會利用員工希望儘快處理遭冒充高階主管交辦事項的心理。過去幾年來，最容易成為目標的職位是財務長 (CFO)，財務主管、財務經理、財務總監，而最常遭到冒充的高階主管為執行長、董事總經理、總裁。
使用者的帳戶或電子郵件信箱遭到入侵時，攻擊者可以使用遭到入侵的帳戶發送內部網路釣魚郵件或 BEC 郵件。由於電子郵件來自正當使用者的電子郵件信箱，因此郵件標頭或寄件人地址不會有任何可疑內容。

繼續閱讀

【網路釣魚警訊】「帳號出現異常活動請更新您的付款資料」一按下去, Apple ID 就被盜

2018 年 05 月 16 日2018 年 07 月 29 日趨勢科技 TrendMicro

趨勢科技偵測到一波新的 Apple ID 網路釣魚攻擊，利用社交工程技巧假藉可能必須終止服務的名義強迫使用者提供個人資料。這波網路釣魚電子郵件是假冒 Apple 的名義，通知客戶因為帳號出現異常活動而被鎖住，必點選郵件內的連結來更新付款資料。當受害者點選郵件中的「Update Your Payment Details」(更新您的付款資料) 按鈕時，就會連上一個外觀類似 Apple 網站的假冒網站，網站上所使用的影像背景甚至跟正版的 Apple 網站一樣。

這網站的確做得比絕大多數網路釣魚網站都來得精緻而逼真。而且內含基本的輸入資料檢查，會利用基本的總和檢查 (checksum) 來確定信用卡號碼輸入正確，同時也會檢查數字和文字欄位的長度是否正確，或者是否包含特殊字元。日期、電子郵件、姓名、CVC 檢查碼等等都會檢查是否輸入正確。

在所有個人資料和帳號資訊都填妥之後，網站會告訴使用者他們將被登出以確保安全。接著，使用者會被重導到真正的 Apple 網站。

惡意網站使用了AES 加密來反制資安廠商網站信譽評等的爬網動作，此外還搭配了其他反制措施。對一個網路釣魚詐騙攻擊來說，使用 AES 加密相當反常，因為正如我們前面所述，歹徒通常會將心思花在詐騙行動上，而非安全與躲避機制。而且此採用的加密有別於一般保護整個連線階段的 HTTPS 加密。

趨勢科技提醒使用者須小心注意任何經由電子郵件發送的連結，尤其是用來登入 Apple ID、Google 帳號、PayPal、社群網站以及其他敏感網站的連結。除此之外，信中還可能有其他惡意連結或附件檔案，因此請務必使用防毒軟體來掃瞄附件檔案。比如能保護使用者的多台裝置，並能攔截惡意連結的
PC-cillin雲端版，同時，使用者也應透過其他管道來求證信件當中所說的緊急情況，例如該公司的社群網頁。

PC-cillin 雲端版🔴防範勒索 🔴保護個資 ✓手機✓電腦✓平板，跨平台防護３到位

網路釣魚詐騙使用 AES 加密並騙取 Apple ID

近期發生的資料外洩與隱私權風波再加上歐盟通用資料保護法 (GDPR) 即將上路，使得企業紛紛改變其處理使用者資料的方式。也因此，許多企業開始透過電子郵件通知用戶更新自己的個人檔案或主動強化資安防護。而這些電子郵件儘管來自不同的企業，其內容卻大致相同，不外乎開頭先來一段標準的問候，接著說明為何要更新其政策，最後再提供一個很顯著的按鈕讓使用者點選。由於最近這類郵件非常的多，而且陸陸續續還會有更多企業發送這類郵件，因此，不令人意外的，歹徒也看上這波郵件通知熱潮，開始假冒企業發動網路釣魚攻擊。歹徒非常擅長假冒知名企業，以「使用者政策更新」的名義發送網路釣魚郵件。繼續閱讀

為 GDPR 做好準備：強化易受攻擊的郵件系統

2018 年 05 月 15 日2018 年 05 月 15 日趨勢科技 TrendMicro

歐盟通用資料保護條例（GDPR）的目的是保護歐盟居民的個人資料，無論位在何處。該法規強制企業遵守關於如何收集、儲存和使用資料的隱私規定，包括數位識別資料（如電子郵件地址），通過郵件交換的訊息及郵件聯絡人列表（大多數電子郵件都涵蓋在“GDPR”所要保護的“個人資料”內）。

趨勢科技2018年第一季封鎖了近95億筆的威脅 – 其中有82%與電子郵件有關

電子郵件對企業來說是特別脆弱的一環，因為它是一種溝通工具，同時也是網路犯罪份子最愛用的威脅載體。趨勢科技的Smart Protection Network在2018年第一季封鎖了近95億筆的威脅 – 其中有82%與電子郵件有關。

電子郵件會成為主要的攻擊途徑是因為這是種無處不在且被廣泛利用的通訊方式。根據市場調查公司Radicati Group在2017年所進行的研究顯示，該年每天發送了2,690億封電子郵件。除了數量外，電子郵件也被各種人士所使用，從年輕學生到跨國企業執行長都有。它已經成為日常生活的一部分，人們經常會打開電子郵件，滑動內容或點擊連結。網路犯罪分子也利用這樣的習慣來嘗試各種手法攻擊使用者：

網路釣魚(Phishing)：
這是種古老卻仍被廣泛應用的攻擊方式，網路犯罪分子會冒充公司同事來向目標受害者索取個人資料或帳號內容。網路釣魚有時也被用來取得深入企業網路的權限。電子郵件只是網路釣魚攻擊的眾多形式之一。
變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱BEC)：
在BEC詐騙中，網路犯罪分子會入侵高階主管的電子郵件帳號，並且試圖誘騙員工或財務長將資金轉到詐騙用帳戶。
垃圾郵件（Spam） :
垃圾郵件是另一個老舊但仍在使用中的技術。根據我們在2016年的調查結果，有71%的勒索病毒透過垃圾郵件散播。網路犯罪分子會製作看似合法的電子郵件（從工作相關郵件到行銷郵件都有）加上附加惡意檔案或連結。可以用來散播各種惡意軟體來危害使用者或企業的系統。

繼續閱讀

【資安數字月報】66%的連結推文來自機器人/ 逾兩成美國學生用助學貸款來買加密貨幣/技術支援詐騙案例增加24%

2018 年 05 月 14 日2018 年 05 月 14 日趨勢科技 TrendMicro

微軟：去年技術支援詐騙案例較前年增加24%

低成本而有效的技術支援詐騙手法開始受到駭客的青睞。根據微軟自己的統計，2017年差點及實際受害人數比前一年成長24%,這些用戶中，15%遭遇金錢損失，平均金額在200到400美元

這些用戶中，15%遭遇金錢損失，平均金額在200到400美元。有人則損失慘重；去年12月荷蘭一名客戶在一次技術支援詐騙中，慘遭騙走89,000歐元（約322萬台幣）。

相較之下，2016年微軟贊助的調查中，2/3的受訪者過去12個月內遭遇過各種假網站、網釣郵件、假冒的惡意程式或電話形式的技術支援詐騙，近1/10有金錢損失。》相關報導

《延伸閱讀》偽裝成微軟Windows通知的技術支援詐騙頁面,散佈Coinhive門羅幣採礦程式

機器人是Twitter上的最佳公關！研究：66%的連結推文來自機器人

Pew Research Center本周公布一研究報告，指出機器人帳號在Twitter上扮演重要的角色，該組織在去年夏天調查了2,315個網站與120萬則張貼相關連結的英文推文，發現有66%的連結出自機器人帳號。》相關報導

《延伸閱讀》假新聞為何能創下歷史上最貴的推文!研究: 假新聞散播速度比真新聞快六倍

The Student Loan Report詢問了1000名已申請助學貸款的大學生,有21.2% 把部份資金拿來投資加密貨幣。》相關報導

繼續閱讀

以 GDPR 的隱私始於設計 (Privacy by Design) 保障資料安全

2018 年 05 月 14 日2018 年 05 月 14 日趨勢科技 TrendMicro

資料外洩已成為主流資安事件，每次新出現的外洩事件似乎都比之前更嚴重。近期外洩事件的嚴重程度，讓資料保護成為近年來立法領域討論最多的話題，促成了各國的嚴格立法，例如歐盟的一般資料保護規則 ( General Data Protection Regulation ( GDPR) 以及世界各地，包括英國、美國、澳洲及中國。

這些事件的詳細資訊，向大眾展示了他們的個人資訊遭到使用或濫用的各種方式 – 用於分析、精準行銷、公然盜用身分等等。而大眾開始更加關注企業如何收集與保護他們的個人資料。光是去年一年，我們已經看到企業如何儲存資料儲存失當、缺乏適當更新的安全性，並且輕率處理存取權限，導致第三方得以不當使用資料。這個情況顯示，雖然大多數企業已經制訂並改善了資料收集與使用政策，但並未將資安納入考量。

企業資料安全狀況

越來越多的大規模隱私暴露事件以及後續引發的結果，促使企業增加了資安解決方案的開支。根據 Gartner的資料顯示，今年全球資安支出將達到 960 億美元；到了 2020 年，超過 60% 的企業將投資多種資料安全解決方案。調查受訪者表示，這些支出決策背後的主要推動力是資料外洩的風險。

但是部署尖端資安技術，只是周全有效的資料保護計畫中的一小部分。另一個重要部分是改變保障隱私做法的實際方法。涉及個人資料的任何計畫或專案，一開始就必須將隱私納入首要考量，而非將其視為附加功能。企業應該儘早在所有技術、流程及系統的設計階段納入隱私原則，這是一種主動而非被動的避險方法。

企業要如何進行改善？

組織需要採納隱私始於設計 (Privacy by Design) 的架構，在最初階段就對隱私及資料保護問題進行預測及因應。世界各地的主管機關已經體認到這種方法的優點，由近期如 GDPR 等法規的制訂可見一斑。遵循法規是朝著正確方向邁出的一步。遵循 GDPR 不僅是處理歐洲公民資料的必要要求，而遵守規則也為任何收集及處理個人資料的組織樹立了良好的典範。企業若希望將隱私全面整合至其基礎架構中，還應該注意由 GDPR 推動的重要資料隱私原則：資料最少化 (data minimization) 及匿名化 (pseudonymization)。

資料隱私從明確定義兩件事開始：要收集的個人資料類型，以及收集資料的用途。一些組織正在收集超出其真正需要的資料，並用於未明確告知使用者的用途。一種避免這種情況的方式，是資料最少化：僅向客戶收集需要的資料，用於使用者同意的用途，並遵循適當的資料保留政策，或在達成預期目的後刪除資料。

另一方面，匿名化資料能夠讓個人資料無法直接識別出特定人士。要將個人資料連結到特定某人的唯一方法，是將它與分開儲存及保護的其他資料組合在一起。這表示組織仍然可以處理個人資料並繼續為客戶提供服務，同時保護他們的隱私權。繼續閱讀