网安威胁历历在目 个人与企业不容轻忽大意

持平而论，台湾相较于世界各国，网安意识并不算高；有关这点，只要观察Shodan.io网站揭露的统计数据，即可看出端倪，台湾所使用的网络摄影机、NAS或相关套件中，超过9,000台采用缺省帐号与口令，数量之高居于全球首位，相当令人咋舌，显见国人对于去年所发生的Mirai DDoS攻击事件，感触并不够深。

在此前提下，肯定有不少人认为，业界一再倡议信息安全，似乎有些危言耸听，但事实上并不然。按美国FBI辖下网络犯罪投诉中心(Internet Crime Complaint Center)所公布的数据显示，2016年美国网络犯罪案件数超过29.8万，较2015年略增，尽管增幅尚称缓和，但个中仍蕴含让人惊悚的趋势，也证实了网络犯罪不仅在世界上流窜，且杀伤力愈来愈强，倘若个人或企业依旧掉以轻心，唯恐在未来付出惨重代价。

若以网络犯罪所造成的金钱损失而论，2015年大约10.7亿美元，已超过新台币300亿元之谱，时至2016年，损失金额则推升到13.3亿美元，上看新台币400亿大关，年增率超过两成四，比起案件数的成长幅度更大，显示已有愈来愈多高危害性的网络犯罪型态出现。

电邮诈骗的杀伤力惊人

究竟有哪些高危害性的网络犯罪？若欲选出榜首，绝对是「变脸诈骗」(BEC)。在2016年期间，美国一共投诉了12,005起BEC案件，仅占了整体案件数的4%左右，乍看之下并不算太严重，但如果从损失金额的角度来看，BEC就是一门极具破坏性的犯罪手段。2016年因为BEC而造成的损失高达3.6亿美元，整体占比为27%，显见对于黑客而言，BEC的「投资报酬率」相当高。

事实上，不仅美国因为BEC损失惨重，台湾的受灾户也不在少数，尤其是一些外贸导向的中小企业。其常见的攻击情境是这样的，黑客入侵得逞后，持续监控受骇企业的邮件沟通情况，从中掌握该企业所属供应链或中大型客户的相关信息，也对于彼此汇款模式与习性有所认知。

直到时机成熟，黑客便伪冒大型供应夥伴的CEO或财务长，发送造假信件予该企业，言明因为种种缘故需要换置汇款帐户，要求该企业的财务人员将款项汇入该帐号；往往直到供应夥伴迟迟未收到款项，一经询问，才让企业赫然发现遭致诈骗，因而蒙受可观损失。

根据以色列网安服务商Cyren的统计，因电子邮件而引发诈骗或恶意攻击的趋势，确实呈现逐年攀升之势；尽管数据的发生时点距今有些久远，但仍具参考价值。在2015年期间，全球每天有517.5亿封垃圾邮件，即便为数庞大，然而年增率呈现负值，足见危害程度逐渐减缓，反倒应当留意的，则是仍在上升趋势的钓鱼邮件、恶意软件。

以夹带恶意软件的信件而论，全球每天有9,554封，较前一年度增加14%，成长幅度颇为显着；另外论及钓鱼邮件，日平均产量最低仅396万封，但它却是以55%的高年增率陡角扬升，成为企业今后必须提高警觉的邮件威胁项目。

所谓网络钓鱼(Phishing)，即是黑客意图透过电子邮件、通讯软件获取你的个资，进而窃取你的身份认证；多数网络钓鱼会企图让自己看起来像是一般行为，例如来自银行、信用卡公司、信誉良好的公私立机构的正式通知，但事实上却在信息中夹带恶意连结，诱使你来到几可乱真的山寨网站，提供帐号口令，满足黑客预期的犯罪目标。

恶意软件量少质精，破坏性未减反增

近年让人闻之色变的勒索病毒，最常见的攻击方式，便是透过钓鱼信件。早年常听人建议，凡是看到陌生人寄来的信件，千万不要开启，否则就有可能感染勒索软件，但其实到了近期，勒索病毒经常使用社交工程邮件手法，达到绑架电脑之目的，更教人防不胜防。

依照本文一开始所引用的FBI网络犯罪投诉中心报告，继变脸诈骗之后，严重性名列第二的网络犯罪手段，便是勒索软件，总计2016年在美国发生2,673起案例，造成约240万美元的损失。

尽管台湾在网安素养层面有待提升，但在各种网络犯罪型态当中，勒索软件算是让国人最为有感的威胁，只因为它近几年可谓肆虐全球、哀鸿遍野，不少人就算本身不是受灾户，从周遭亲朋好友中，也不难找到遇难者。

根据卡巴斯基实验室所披露的2017年第一季恶意软件追踪报告，共计出现了11个新增的加密恶意软件家族，以及高达55,679个最新变种，据闻部份变种会将加密程序模块装载到系统目录，增加使用者清除的难度，更有甚者，针对移动设备而设计的勒索软件，也在2017年首季达到218,625个之多，比起前一季的61,832，增长幅度相当惊人。

据了解，埋伏在移动设备的勒索软件一经运行，木马即要求取得管理员权限，蒐集关于该装置的诸多信息，包括GPS、通话记录等等，并且将这些信息上传到服务器，接着服务器会根据所得数据发送指令，指挥木马继续锁定装置。

总括而论，迄今已在世上曝光的恶意软件，其累积数量已相当庞大，据网安测试机构AV-TEST统计，现今差7亿大关只剩一步之遥；回顾2012年，当时还未达1.1亿水准，等于之后用了不到5年，便涨升至少6倍之多。

也许有人看过AV-TEST的这份报告而稍感欣慰，只因2016年新增的恶意软件样本数为1.28亿左右，明显较2015年的1.44亿为低，是2006年以来首度减少，足以推论网络攻击态势逐渐和缓。但其实AV-TEST提到，恶意软件样本增速减缓，并不意谓网安威胁骤降，只能说明攻击者愈来愈在意攻击成效与品质，务求以少量质精的恶意软件达到犯罪目的，由此可见，个人或企业今后所面临的风险反而更大，万万不可对防护基本功有所懈怠。