中文繁體版   English   星期二 ,11月 21日, 2017 (台北)
登入  申请试用  MY DIGITIMES228
 
Research AI
EVENT

资安威胁历历在目 个人与企业不容轻忽大意

  • 洪千惠

DIGITIMES企划

持平而论,台湾相较于世界各国,资安意识并不算高;有关这点,只要观察Shodan.io网站揭露的统计数据,即可看出端倪,台湾所使用的网络摄影机、NAS或相关套件中,超过9,000台采用缺省帐号与口令,数量之高居于全球首位,相当令人咋舌,显见国人对于去年所发生的Mirai DDoS攻击事件,感触并不够深。

在此前提下,肯定有不少人认为,业界一再倡议信息安全,似乎有些危言耸听,但事实上并不然。按美国FBI辖下网络犯罪投诉中心(Internet Crime Complaint Center)所公布的数据显示,2016年美国网络犯罪案件数超过29.8万,较2015年略增,尽管增幅尚称缓和,但个中仍蕴含让人惊悚的趋势,也证实了网络犯罪不仅在世界上流窜,且杀伤力愈来愈强,倘若个人或企业依旧掉以轻心,唯恐在未来付出惨重代价。

若以网络犯罪所造成的金钱损失而论,2015年大约10.7亿美元,已超过新台币300亿元之谱,时至2016年,损失金额则推升到13.3亿美元,上看新台币400亿大关,年增率超过两成四,比起案件数的成长幅度更大,显示已有愈来愈多高危害性的网络犯罪型态出现。

电邮诈骗的杀伤力惊人

究竟有哪里些高危害性的网络犯罪?若欲选出榜首,绝对是「变脸诈骗」(BEC)。在2016年期间,美国一共投诉了12,005起BEC案件,仅占了整体案件数的4%左右,乍看之下并不算太严重,但如果从损失金额的角度来看,BEC就是一门极具破坏性的犯罪手段。2016年因为BEC而造成的损失高达3.6亿美元,整体占比为27%,显见对于黑客而言,BEC的「投资报酬率」相当高。

事实上,不仅美国因为BEC损失惨重,台湾的受灾户也不在少数,尤其是一些外贸导向的中小企业。其常见的攻击情境是这样的,黑客入侵得逞后,持续监控受骇企业的邮件沟通情况,从中掌握该企业所属供应链或中大型客户的相关信息,也对于彼此汇款模式与习性有所认知。

直到时机成熟,黑客便伪冒大型供应伙伴的执行长或财务长,发送造假信件予该企业,言明因为种种缘故需要换置汇款帐户,要求该企业的财务人员将款项汇入该帐号;往往直到供应伙伴迟迟未收到款项,一经询问,才让企业赫然发现遭致诈骗,因而蒙受可观损失。

根据以色列资安服务商Cyren的统计,因电子邮件而引发诈骗或恶意攻击的趋势,确实呈现逐年攀升之势;尽管数据的发生时点距今有些久远,但仍具参考价值。在2015年期间,全球每天有517.5亿封垃圾邮件,即便为数庞大,然而年增率呈现负值,足见危害程度逐渐减缓,反倒应当留意的,则是仍在上升趋势的钓鱼邮件、恶意软件。

以夹带恶意软件的信件而论,全球每天有9,554封,较前一年度增加14%,成长幅度颇为显著;另外论及钓鱼邮件,日平均产量最低仅396万封,但它却是以55%的高年增率陡角扬升,成为企业今后必须提高警觉的邮件威胁项目。

所谓网络钓鱼(Phishing),即是黑客意图透过电子邮件、通讯软件获取你的个资,进而窃取你的身份认证;多数网络钓鱼会企图让自己看起来象是一般行为,例如来自银行、信用卡公司、信誉良好的公私立机构的正式通知,但事实上却在讯息中夹带恶意连结,诱使你来到几可乱真的山寨网站,提供帐号口令,满足黑客预期的犯罪目标。

恶意软件量少质精,破坏性未减反增

近年让人闻之色变的勒索病毒,最常见的攻击方式,便是透过钓鱼信件。早年常听人建议,凡是看到陌生人寄来的信件,千万不要开启,否则就有可能感染勒索软件,但其实到了近期,勒索病毒经常使用社交工程邮件手法,达到绑架计算机之目的,更教人防不胜防。

依照本文一开始所引用的FBI网络犯罪投诉中心报告,继变脸诈骗之后,严重性名列第二的网络犯罪手段,便是勒索软件,总计2016年在美国发生2,673起案例,造成约240万美元的损失。

尽管台湾在资安素养层面有待提升,但在各种网络犯罪型态当中,勒索软件算是让国人最为有感的威胁,只因为它近几年可谓肆虐全球、哀鸿遍野,不少人就算本身不是受灾户,从周遭亲朋好友中,也不难找到遇难者。

根据卡巴斯基实验室所披露的2017年第一季恶意软件追踪报告,共计出现了11个新增的加密恶意软件家族,以及高达55,679个最新变种,据闻部份变种会将加密程序模块装载到系统目录,增加使用者清除的难度,更有甚者,针对行动装置而设计的勒索软件,也在2017年首季达到218,625个之多,比起前一季的61,832,增长幅度相当惊人。

据了解,埋伏在行动装置的勒索软件一经运行,木马即要求取得管理员权限,搜集关于该装置的诸多信息,包括GPS、通话记录等等,并且将这些信息上传到服务器,接著服务器会根据所得数据发送指令,指挥木马继续锁定装置。

总括而论,迄今已在世上曝光的恶意软件,其累积数量已相当庞大,据资安测试机构AV-TEST统计,现今差7亿大关只剩一步之遥;回顾2012年,当时还未达1.1亿水平,等于之后用了不到5年,便涨升至少6倍之多。

也许有人看过AV-TEST的这份报告而稍感欣慰,只因2016年新增的恶意软件样本数为1.28亿左右,明显较2015年的1.44亿为低,是2006年以来首度减少,足以推论网络攻击态势逐渐和缓。但其实AV-TEST提到,恶意软件样本增速减缓,并不意谓资安威胁骤降,只能说明攻击者愈来愈在意攻击成效与质量,务求以少量质精的恶意软件达到犯罪目的,由此可见,个人或企业今后所面临的风险反而更大,万万不可对防护基本功有所懈怠。