為了特定目的而搜集個人資訊案例已經出現

以往，企業是網路犯罪者主要的攻擊、牟利對象，然而，惡意程式攻擊的形態似乎已經轉變。一般的使用者也應該好好保護自己的個人資訊，以免聯絡資訊遭到歹徒濫用

【2010 年 1 月 28 日台北訊】根據趨勢科技 TrensLabs病毒防治中心從 2009 年 10 月至 12 月所接獲的顧客回報資料顯示，惡意程式的形態已經開始出現轉變，金錢不再是唯一的目標，為了特定目的而搜集個人資訊與聯絡人的案例已經出現。社交工程 ( Social Engineering ) 依然是網路犯罪者的主要手段之一，垃圾郵件攻擊則以特定主題為誘餌，而網路釣魚 Phishing則逐漸鎖定地區性網域名稱。

有越來越多的社交工程 ( Social Engineering ) 攻擊開始運用一些熱門時事，而且形態也出現各種變化。例如，去年 12 月，各大社交網站上就紛紛混雜了許多以耶誕節為主題的惡意訊息。此外，夾帶惡意程式附件的電子郵件也刻意仿冒來自電子賀卡網站 123greetings.com 的訊息。不令人意外的還有電影《暮光之城》(Twilight) 的新續集《新月》(New Moon) 也成了社交工程利用的對象之一，成為某個檔案分享入口網站的廣告工具，目的是希望藉由會員註冊來非法搜集個人資料。

那麼，網路犯罪者如何找到新的社交工程管道呢？這要歸功於所謂的Black_Hat SEO搜尋引擎最佳化毒化技巧，這已成了歹徒最愛的工具之一。惡意程式 SEO 技巧經常利用一些熱門話題，歹徒每天都會監視這些熱門話題，然後部署一些惡意網站來接收被重新導向的使用者。

隨著個人電腦安全防護的改進，網路犯罪份子正尋求其它迂迴方式接觸帳戶。一款新的詐騙手法牽涉了“錢騾（money mules）”這個名詞是用來形容在自願或非自願被召募的狀況下，協助網路詐騙者從企業處偷盜金錢。

案例之一是一名年輕女性被一家宣稱是設立在紐約的投資公司所召募。這家公司透過電子郵件接觸這名女性，聲稱是從熱門的人力網站找到她的履歷，並提供她一份在家工作的“金融經理”職位。這位女性基於自己上一份職位是薪資經理而因此認為此工作是量身定做。

在回覆了召募電子郵件後，她被要求提供大量的個人與金融資料，包括駕駛執照和銀行帳戶的掃瞄影本。

投資公司通知這名女性在她的銀行帳戶會收到高達1萬元（美金）的金額，要她提領後留下8%的佣金，再將餘額經由西聯匯款（West Union）匯到投資公司戶頭。在存入第一筆轉帳後，女性使用的銀行發現詐騙手法並立即關閉她的帳戶。經過數日的審核後，銀行認定該名女性為空頭投資公司錢騾詐騙手法的受害者之一。

錢騾詐騙有許多種不同的進行方式。多數的案例中，空頭的公司多設在美國境外，可透過電子郵件位址末端的國別碼輕易的辨識出。要避免這些詐騙手法的最佳方法是：不要使用電子郵件傳送任何敏感的個人或金融資料。也不要提供個人或金融資料，除非你確定是和聲譽良好的公司打交道。

部份案例顯示，Trojan木馬程式甚至會修改受害人的線上銀行對帳資料以掩護犯罪行徑；其它時候駭客會將硬碟清除讓受害者離線一陣子。被偷盜的錢則是轉到騾子那邊（stolen money goes to mules），騾子指的是被以所謂在家工作的機會招募的人員，這些人的工作在於將帳戶中的錢提出，利用Moneygram國際速匯金送交給詐騙者。這套犯罪手法相當完善，FBI聯邦調查局表示此法已竊得高達美金1億元，金額仍持續上升中。

Trend Micro趨勢科技提供的免費工具如WTP Add On可即時防阻接觸可能帶惡意的網站。

@ 瞭解 LeakProof 企業資料外洩防護方案  

＠ 認識趨勢科技 TrendMicro 主動式雲端截毒服務 Smart Protection Network

＠瞭解與試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2010

@NSS 測試報告(中文版)：最新防毒軟體排名

＠欲第一手取得中英文版最新網路安全資安訊息，請找崔嘻一起噗浪

新版個資法草案若立法通過，非公務機關要證明「無故意或過失責任」才能免責，公務機關則須負「無過失責任」。

個資保護：有資料才有真相

勤業眾信會計師事務所副總經理萬幼筠在行政院資策會舉辦的2009創新服務論壇的個資保護議題上，用一句話點出目前個資法的精神：「有資料才有真相。」在個資法修法之前，地下經濟體並不屬於列管對象。他表示在新版個資法草案中數位鑑識成為關鍵，因為只要數位證據蒐集證明你是對的，對企業就會成為利點。但問題是很多機關平日沒有保留log，他表示即便駭客關掉 log 查得出關掉的時間，也會成為佐證。

建議企業的對策是：

料敵機先

進行封包檢測，針對終端電腦的可疑行為進行每日報表與每週統計。透過封包檢測將揭露已被種植的後門程式電腦IP位置與帳號，進而在敏感資料被竊取之前先行攔阻。

抓賊抓贓

當駭客透過公司網路將敏感資料傳送至外部同時進行檔案內容與比對，即時記錄違規電腦IP位置、傳送資料、甚至備份敏感資料供其事後稽核與存證。

個資法草案目前已擴大試(適)用範圍，如適用行業從舊法的僅適用於徵信業等八類行業擴增成一般行業及個人皆受規範，以及保護的客體從舊法的只限於電腦處理的個人資料擴大到非經電腦處理的個人資料。

根據電腦處理個人資料保護法修正草案，該草案除將名稱修正為「個人資料保護法」外，還包括以下2要點：

首先是擴大保護客體，不再以經電腦處理的個人資料為限。

其次是普遍適用主體，刪除非公務機關行業別等限制，使任何自然人、法人或其他團體，除為單純個人或家庭活動之目的而蒐集、處理或利用個人資料外，皆須適用本法。

這意味著修法通過後，最近爆發隱私爭議的網路購物平台業者將會被列入適用範圍。而且損害賠償金也將從原先合計最高總額新臺幣二千萬元增至行政院版草案的十億新台幣。

另值得關注的是，該法案對消費者比較有利(但相對於企業較嚴峻)的是受害民眾申請索賠時，不須負舉證責任，可逕行委託符合規定的公益團體，替當事人提起團體訴訟，如由個人資料保護協會等組織進行代訴。

新版個資法的衝擊與對策

企業面對的是法規與便利/福利的兩難，企業必須先瞭解自己應遵循的法規有哪些、內容為何，並且盤點出應該受到保護的資料。

接下來是瞭解企業內部現況。像是個人資料現存於哪裡、哪些被讀取或列印的可能性會發生，還有什麼樣的情況可能導致個人資料的外洩等問題，皆是企業主容易忽略的問題環節。

另外，個資法草案中關於非公務機關要證明「無故意或過失責任」才能免責，公務機關則須負「無過失責任」這方面的舉證，企業該如何防止資料外洩？禁止外人帶電腦進公司？禁止外人用電腦傳資料或帶出？禁止上網？還是鎖住USB Port？

    台北市政府法規會主委葉慶元在19日舉行記者會指出，有網友投訴，10月初玩Facebook臉書「開心水族箱（MyFishbowl）」遊戲時，依系統指示輸入手機號碼，卻在近日收到新台幣300元的簡訊費用帳單。其實 Facebook網站平台提供的電腦遊戲、心理測驗等應用程式，中隱藏許多陷阱。相關新聞：臉書會變臉小心個資曝光遇詐騙

這樣的事件其實不是偶發，在國外也有傳出案例，以下以 Twitter 為例。

微網誌帳號遭入侵，通常拿來做什麼？通常是像這樣，散發垃圾訊息：好友Twitter 你買巴西紫莓減肥？，但趨勢科技最近發現的案例是會邀你一起來玩智力測驗，並讓你的手機費每月多出10美金。

被入侵的Twitter帳戶，會發出邀請函請你的粉絲團一起來做個智商測試

圖 1、藉由 Twitter 散發的智商測驗訊息

這式直接訊息基本上通常是和Twitter極為相像的個人訊息，其中包含了一個看來像是智商測試的網站連結：

圖 2、使用者點擊傳單中的URL連結後進入的登陸頁面

趨勢科技 TrendLabs安全研究專家 Jonell Baltazar

安全專家眼中的「十大危害企業病毒」之一的KOOBFACE Botnet 殭屍網路/傀儡網路 最近又出現一個新的元件，可以自動執行下列流程：

• 註冊一個 Facebook 帳號
• 利用 Gmail 電子郵件地址進行已註冊 Facebook 帳號的確認與啟用
• 隨機加入一些 Facebook 群組
• 新增 Facebook 好友
• 張貼訊息到 Facebook 好友的塗鴉牆

基本上，這個新元件的行為就像一個初次使用 Facebook 來與好友聯絡的網際網路使用者。此元件註冊的所有 Facebook  帳號，都與一般正常使用者的帳號無異。帳號細節非常完整，包括：相片、生日、最愛的音樂、最愛的書籍等等。此外，每個註冊的帳號也獨一無二，甚至詳細資料也都不一樣。

KOOBFACE 透過 Internet Explorer 自動化的技巧來完成這些帳戶註冊步驟。不過，如果遇到 Internet Explorer 6 的使用者，此流程就會中斷而無法進行。此外，它還會檢查 Facebook 所設定的好友數量限制，避免超過這個額度。因此才能躲過偵查，不讓 Facebook  系統管理員發現任何警訊。

 
圖說：此元件會從其Botnet 殭屍網路/傀儡網路 可用的代理器 (proxy) 網域取得詳細的資料。

圖說：這些張貼在 Facebook 塗鴉牆上的訊息含有一個連結指向常見的假 Facebook 網頁或假 YouTube 網頁，該網頁暗藏著 KOOBFACE 載入程式。( 我看了這個影片，睡不著…又是個社交工程 ( Social Engineering ) 陷阱)

我們建議 Facebook 使用者應特別小心謹慎，並且隨時提高警覺。因為，在這麼多 Facebook 帳號當中，很可能有些就是KOOBFACE所擁有的帳號。所幸，主動式雲端截毒服務 Smart Protection Network會持續鎖定 KOOBFACE 所散發的垃圾 URL，並且加以攔截。

如需有關 Facebook 使用方面的更多秘訣，可以參考 Facebook 的安全性網頁：

• http://www.facebook.com/safety
• http://www.facebook.com/security

原文來源：New Koobface Component Imitates Facebook User

延伸閱讀：
Google 閱讀器出現冒牌貨，荼毒社交網站用戶
假Facebook 密碼更新通知信，內有”假掃瞄，真騙錢”木馬

被盜用的Facebook 帳號都用來做什麼？(實際案例)

＠ 認識趨勢科技 TrendMicro 主動式雲端截毒服務 Smart Protection Network

＠瞭解與試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2010

＠欲第一手取得中英文版最新網路安全資安訊息，請找崔嘻一起噗浪

1.         企業必須不斷對員工進行社交網路的使用安全守則的相關教育，但企業施予行銷人員的訓練，不只是如何使用社交網路行銷的技巧，還要包含使用社交網路的安全守則。

2.          企業必須在Client 端和Cloud 端皆有佈屬安全防禦措施，呼籲使用社交網站作為行銷工具的員工，必須在發出連結之前，得先用安全工具檢查確信非惡意連結。如趨勢科技 TrendMicro 主動式雲端截毒服務 SPN( Smart Protection Network)

3.          發出訊息前先檢查三遍，務必確認沒有任何後顧之憂後再按下發送鍵。

4.          如果發佈的這個訊息只能用悄悄話或私密訊息發送，那就不要張貼。發出訊息前，要有無法確實刪除的心理準備，因為目前並沒有任何方法可以真正刪除或取消公開發表的訊息。

5.          千萬別公開個人或公司內部其他同仁的個人資訊 (電子郵件地址、電話號碼、住址等等)。因為您在社交網路的訊息不但是公開的，而且所有搜尋網站也都能搜尋得到。

6.          .當行銷人員要使用與社交網路整合的各種服務時，請務必在輸入登入資料時檢查該網頁確實為該社交網路廠商所有 (也就是瀏覽器顯示的網址確實為該廠商的網址)，避免落入網路釣魚圈套。

趨勢科技偵測到一波網路釣魚垃圾郵件是針對個人或特定公司的目標攻擊。這波針對 Gmail 用戶的攻擊，信件標題是：「個人簡歷」，不但寄信者來源是冒稱同公司員工名字，信件中的連結也已經客製化，一旦受害者點選信中相關繁體中文連結，就會自動連到 Gmail台灣登錄頁面，這時連電子郵件帳號也幫你事前輸入好了，只等收件人上鉤輸入密碼。目前發現的幾個釣魚網站是在中國大陸登記的。

＠本文係由「iThome電腦報週刊」授權刊載

導入DLP之前，企業必須先思考幾件事情，並且作好前置作業，才能有效發揮產品功能

有鑒於資料外洩對於企業造成的危害，以及未來的法令規範，因此DLP成為最近相當熱門的資安產品類型，不過在導入之前，企業必須思考幾件事情，才能將產品的功能發揮到最大功效。

在一開始，企業必需評估資料外洩的漏洞來自於何處？再決定是否適合購買DLP，或者是其他的資安產品。如同我們在前面一篇文章當中所提到的，DLP的功能是防止機密資料從內部流出，如果你要保護的資料必須在不同的業務單位間「流動」，或者儲存在隨身碟這類容易遺失的移動性裝置，在這個時候，比較適合的工具會是DRM等其他功能的資安產品。

至於在內部，如果你要監控的對象不是大多數的員工，可能只是一小部份具有特殊權限的使用者，例如資料庫的管理者，這時，DLP在功能上雖然也能做到防止這些人偷取機密資料，不過，業界也有推出專用的稽核產品協助評估寫出、寫入的行為是否正常。要採用何者比較適合，需視企業的實際需求做決定。

決定購買DLP後，接著需要界定機密資料的來源，以及種類，才能有效避免產品導入後，仍不斷有外洩事件的發生。

DLP在功能上，是一種內容過濾型式的資安產品，因此我們必須提供機密資料的範本檔，供產品分析，產生特徵檔，才能以相似度高低的方式，辨識資料的真實屬性。就來源來說，除了一般最常見的檔案伺服器之外，像是SQL Server資料庫、SharePoint Server這類的知識平臺，乃至於員工儲存在郵件伺服器的郵件，都有可能在其中儲存了需要保護的資料或機密內容。

隨著企業的產業別不同，乃至於同一企業的不同部門，被界定為機密資料的檔案也不盡相同，因此以我們這次採訪的兩家實際導入DLP的企業來說，都是先確定好機密檔案可能擺放的來源位置之後，再請相關部門提供範本檔，而不是先直接針對放有資料的整臺伺服器做掃描分析，貿然作業，可能會增加DLP的導入難度。

導入DLP最好是採分階段的方式做建置，以免影響到現有運作中的環境。一般來說，很多企業都是先以閘道器的產品來部署DLP，待過濾能力沒有問題，或者是有更進一步的控管需求，才會考慮在個人端電腦上安裝代理程式。以安裝代理程式的做法，大多都是先以資訊部門的員工做為測試對象，即使產生問題也不會造成太嚴重的影響，直到測試確認不會和企業現有的應用程式相衝突之後，再擴大部署範圍。

由於DLP所記錄下來的，大多是企業內部的機密資料，對於資訊部門來說，並不一定有能力稽核這些事件是否為誤判，有些企業會交由專責的資安部門來稽核這些記錄，而比較常見的是由單位的各部門主管，透過報表及郵件通知的方式，了解內部員工是否有外流機密資料的事件發生。

由於DLP不但能提供事件的即時阻擋，同時也是洩密事件發生時的重要舉證工具，因此對於報表功能的完整性，企業也可以在評估階段加以留意。

【原文刊載於「iThome電腦報週刊」第418期第30頁】

@ 瞭解 趨勢科技 TrendMicro LeakProof(TMLP) 資料外洩防護方案

iThome online : : 資料外洩防護產品趨勢LeakProof 5.0

@NSS 測試報告(中文版)：最新防毒軟體排名