網絡欺詐者的手法日漸細密，甚至在發動攻擊前，深入瞭解潛在受害人的詳細背景。
4 r0 P m! I5 R1 S7 j' @5 I0 O5 _1 F
& q& k4 J8 X q電腦安全專家最近發佈的報告指出，利用電郵地址作為密碼提示和註冊識別碼的網站，已成為欺詐者取得民眾詳細個人信息的渠道。
: v& }7 I0 t7 \* h+ X& }" f! V3 ~3 R2 ^, M" a3 L
根據報告的描述，欺詐者通過網站的註冊和密碼提示工具，自動輸入數萬個電郵地址。由於許多電子商務網站會回復特定的信息給已註冊的電郵帳號，攻擊者便可借此確定哪些地址是有效的。9 h- j& Y& U' F. S2 T
! i4 r' D0 [% ~" K* `/ z7 V利用從數個不同網站收集的信息，惡徒便可針對特定的收件人，量身製作欺詐電郵，讓網絡使用者更難分辨這些信件究竟是一般的垃圾還是騙局。此外，專家表示，量身製作的信息也容易逃過垃圾郵件過濾器的偵測。$ y0 b2 P2 B- m' l# P
' y; n$ q. H9 ] O4 H" @2 Y反釣魚詐騙工作小組(Anti-Phishing Working Group)主席Dave Jevans 說:「釣魚攻擊最近變得更個人化和準確化。」這類欺詐相關的信息，現在會包含收件人的姓名或電郵地址，或甚至含有更多關於收件人的個人信息。
& x2 z1 [- |* @7 ~* ~- x6 y8 h6 ~0 W; `6 y& W4 ?* n; s" Z
釣魚是一種盛行的在線欺詐，歹徒試圖竊取受害者的帳號、密碼和信用卡號等敏感信息，然後對外出售或盜用身份。這類騙局通常利用垃圾電郵和偽裝成合法網站的欺詐網頁。6 ~4 n3 d: D/ P i
4 K( G% q1 n% h) f; m8 q# h欺詐者通常以自行編列、購買或在線收集等方法，準備大量的電郵地址。註冊或密碼提示攻擊的竅門在於網站的回應。許多商務網站會回覆特定的信息，如「這個地址已被註冊」，以便申請人更改帳號，但攻擊者卻可借此辨別哪些帳號有效。
3 |# o! X, Q7 d( h- K. p
7 f( V5 Q( L2 w# L2 Z" d安全專家Eran Reshef 表示，電郵地址與網站配對之後，網絡罪犯便可取得真正使用者的性別、性取向、政治立場、居住地區、嗜好和消費過的網絡商店等詳細個人信息。- @ G, x3 `* ^0 ~! L3 ~9 t6 \
% O8 a& N9 ]+ d) i6 v' Z6 u
Rashef說:「想像某個人知道你所有註冊過的網站，再想想那代表什麼。集合所有這類信息，你可以一份創造非常詳盡的個人側寫，不只是片段的信息。」# ~# i/ s# ?6 u; y
/ c6 d7 [ J0 q$ t
因此，這類攻擊的成功率也較高，因為當中所含的準確信息，會讓不知情的收件人以為那是合法的郵件。舉例來說，一封假冒銀行或信用卡公司的信件，可能指出收信人確實使用過的網絡商店名稱。
( P9 q, _( u, H* O- F& ^. h6 m3 `" `' _6 P* {6 w: C
安全專家發現，美國大多數受歡迎的網站都能讓欺詐者進行「惡意的個資收集」。此外，許多小型網站，包括網絡商店、運動團隊網站、政治組織和其他團體的網站也相當容易被利用。
7 u1 M s4 U; n/ ~1 U/ |* R3 w1 Y" z2 I2 P) r2 a
不過，該安全專家的研究顯示，惡意的個資收集尚未大幅擴散。Reshef說，某些網站經營者–例如大型銀行企業–似乎已注意到這個問題。這些網站都不讓使用者以電郵地址註冊帳號，並要求額外信息才會發出註冊或密碼提示，或採取其他安全措施。
/ L# [7 ?, E- z* U0 m" s
2 W( {) Q' e9 I/ j* J( reBay也是以實際行動阻擋註冊與密碼提示攻擊的商業網站之一。eBay的全球隱私權標準資深顧問Scott Shipman 表示，早在釣魚詐騙肆虐之前，該站便停止接受電郵地址作為使用者帳號，並在註冊與密碼提示過程中，採取其他保護措施。) M$ c7 e5 y/ h# N; E4 D+ |
; r1 K/ L: n2 n0 A$ bShipman說:「這一切都是專門防範未授權的信息揭露，不管是多麼細微的信息，例如某個電郵地址或使用者帳號是否為本站的有效帳號。」 以eBay為例，不論特定電郵帳號是否曾在該站註冊，使用者帳號的提示功能均發出一樣的回應。Shipman說:「錯誤信息的用字遣詞讓人無法分辨這個帳號是否有效。」
o. V9 b5 {' k' E9 ], i4 B
. n- W* h+ H+ N! m/ [3 ~Shipman 認為，設計一個不會洩漏使用者信息的網站，是所有網站經營者的責任。他表示:「這是何謂最佳經營行為的典範。」- e J- Z4 G0 q+ L
& W2 X1 m9 v& J* S M- Y4 a
惡意的個資收集只是釣魚詐騙信息日益準確化的方式之一。本月稍早，安全研究人員曾提報，遭竊的消費者信息被用來盜領特定銀行個人帳戶內的存款。
! F- ]# {2 N3 H5 G; g; ~1 z( X. J1 A) V3 z
反釣魚詐騙工作小組的Jevans表示，安全專家的研究顯示一股新興的釣魚欺詐威脅。他贊成在線組織應採取行動，消除註冊與密碼提示功能的安全弱點。他說:「我認為這項研究是真的，你絕對可以改寫網站的這項功能，或許也應該這麼做。」. ?. i* e" v9 z8 e2 N
5 X8 i4 ^; g* }' L) }
個資收集如何進行?
; D; ]* A$ C1 j2 ]3 S/ _+ m( a: y; M& E U
以下條列出網絡惡徒如何建立潛在受害者的個人側寫，以提高欺詐犯罪的成功率。6 M9 g) m* d5 K# K. P
, D, C5 Y' q/ t! G8 L$ D3 `攻擊者用購買、網絡收集工具、自行編造或其他方式，準備大量電郵地址。9 H' y. {" z- m$ u/ v
- r( {6 f, f% [1 U2 O
編寫一段script程序，自動執行將所有電郵在不同網站登入的程序，以便收取回覆。- z* t3 F5 x( }/ i) t/ r
* j O& O0 d" H" R1 k+ Z: B4 p網站的回覆讓攻擊者確認個別電郵地址是否有效，再將這些信息彙編成詳盡的文件。/ H* V* O: g3 O2 C5 {$ s% l
* e1 ?+ m0 W9 `" C7 Z/ k
製作完成的個人文件用來量身定作欺詐電郵。
* M3 ^. [) l) C0 \7 Q, t5 C; x! `6 A
如何阻擋攻擊?2 V! M9 l, p$ w! @2 w
# q7 ?5 i [$ g7 n3 m唯有網站企業對註冊與未註冊電郵發出不同的回覆，「惡意個資收集」手段才有可能奏效。
! g' C p2 R9 O- q6 l
# H2 W( U0 Q. o當網站允許電郵地址作為註冊帳號，且沒有要求難以捏造的個人細節信息，如信用卡號以為驗證，其註冊功能才有可能被惡徒利用。" S" s- _& L. W% V7 \& N
% \" ?. L" |5 Z& h& ~1 y% G
其他安全措施，如要求新登記者解答圖像問題，也能防範這類攻擊。
) I9 S8 d: t0 W2 t" }' b6 B' b# B5 d/ D5 x& ^3 `) A _9 A
除電郵地址之外，提示功能若還要求其他個人信息，惡徒便難以利用。
3 j: D* A" |% H5 _% j s' R1 b' D, `. d8 t
網站所提出的圖像式問題，也能有效制止這類欺詐手段。 |
發表於 2006-1-6 17:45:59
提升卡
沉默卡
变色卡