這篇文章是從IT Business Edge看到的。標題打的很簡潔有力：「Nine Threats Targeting Facebook Users」。其實這些威脅一直都是存在的，只是現行的網路文化讓威脅有了演化的機會。
該篇文章的第一個小標就是「當社交網路遇上社交工程（Social Networks Social Engineering ）」，由於社交網路的特性，讓這些威脅不但脫胎換骨，同時還搖身一變成了難以察覺的存在。在這邊除了標題與大意翻譯之外，其他都是我個人想法與見解，如果有興趣的人，還請直接點閱原文。
如果說早期各種資訊攻擊都是攻擊設備，那麼過去三到五年前主要則是以攻擊作業系統為主，但三年前所有的攻擊就突然轉向，專門研究特定應用服務的弱點侵入；也因此我們看到資訊安全防護設備從防火牆、演變成IPS後來更增加了應用程式防火牆等產品。但這些產品都是以邏輯上的「端點」為防護對象。現在的攻擊由於各種社交網路的興起，攻擊對象已經不再是機器，也不是應用程式或服務，而是藉由人的好奇心、貪念或其他慾望，藉此竊取人的個人資料、認同甚至網路評價。
而在經過統計與分析之後，專家認為在目前人口最多的社交網站--Facebook上，已經有9種威脅正在虎視眈眈，這九種威脅分別是：假防毒軟體、cookiejacking、假套件、帳戶關閉騙局、密碼釣魚攻擊、假影片、假文件木馬攻擊、蠕蟲攻擊、讚綁架攻擊
1. 假防毒軟體（Fake Anti-Virus）：
假防毒軟體的事情其實一直存在，但是透過社交網路傳遞卻又替這件事情添增了些許可信度。目前在國外常見的是藉由近來發生的各種緋聞或是大事件，誘使使用者點選連結，接著導向到下載網頁要求更新部分元件才能觀賞該連結，這時，同時就下載了假防毒軟體...接著，就不用我多說了吧！
2. Cookiejacking：
Cookiejacking目前沒有比較正確的翻譯，我姑且稱之為暫存綁架攻擊吧。事實上，它就是利用IE的漏洞（別笑，別的瀏覽器不見得沒有），攻擊者就可以取得電腦中的cookie，並修改其中的內容。過去其實就已經有類似的事件，但是由於人們對於惡意連結的警戒心提高，cookiejacking的機率其實有所降低。但很好玩的，當同樣的連結在社交網路上出現時，往往反而會降低人的戒心...最少是我觀察到的感覺，是因為門檻效應的關係嗎？我不知道....
3. 假套件（Fake Plug-In）:
假套件的攻擊方式與假防毒軟體其實蠻類似的，就是要求你要更新才能觀賞特定內容。細節我就不多說了。
4. 帳戶關閉騙局（Account Closure Scam）：
這是前陣子台灣好像還蠻常發生的狀況，就是突然間收到一封信，說某某網站已經無法負荷，必須要關閉帳號；或是說因為某某行為，你的帳號即將被關閉，如果需要啟用帳號，就必須要怎樣怎樣的。
OK，結果很多人因為不想放棄自己努力以久的成果，當然就會照著做囉，結果一照著做就掛了。事實上，這項攻擊事件在未來應該會越來越多，除了手法會越來越精緻（就跟當初網路詐騙一樣），社交網站與社交工程的不可分割性，也會讓整個攻擊行為更遍佈於其上。
5. 密碼釣魚攻擊（Password Phishing）：
這其實是利用facebook新增的「直接email發佈訊息」功能，設計出來的攻擊行為。攻擊者可能早一部先行註冊某些名字，而當你申請或使用該名字時，相關的訊息就會被email出去，進而取得帳號與密碼。如果在帳戶安全設定處設定相關安全選項，應該會提前察覺該問題。
6. 假影片（Fake Video）：
7. 假文件木馬攻擊（Fake Word doc trojan）：
8. 蠕蟲攻擊（Lolbot.Q worm）：
本來想都寫一點，但是其實內容大同小異，簡單的說，就是用一些足以吸引人的標題或連結吸引人去點選，然後透過特定應用程式的漏洞，或是誘使使用者直接下載並開啟（執行）這些檔案。就整體攻擊行為來說，這些攻擊都算是先期攻擊，後續有可能引發更大規模或更深入的攻擊事件。
9. 讚綁架攻擊（Likejacking）：
這件事情，其實去年就已經有媒體報導了，但是我依然找不到正式（或適合）的中文翻譯，所以我就自己這樣解釋了吧。
事實上前幾個月也是吵的沸沸揚揚的，「為什麼一定要按讚才能看」，這是大家異口同聲的想法，也有人覺得無所謂。事實上，按讚之時，你不但只是按了讚，可能還同意該應用服務存取你的個人資料、聯絡方式甚至聯絡人清單。在這邊真的奉勸幾位按讚達人，按讚沒關係，不要逢讚必按，不然害了自己不說，可能也會害了人。
最後簡單寫個後記，現在不管是facebook、plurk或是twitter都是擁有相當多用戶的社交網路，而其中又以facebook可分享的內容最多，也最多用戶。但在這種狀況之下，使用者必須了解到，由於facebook的開放性，往往也引起眾多攻擊者的覬覦，在某些狀況之下，就連自己的至親好友都不能完全相信，不能因為是社交網路上的好友，就輕易認為所分享的連結或資訊是正確無誤的，真的不能不謹慎啊！
沒有留言:
張貼留言