發佈日期:

2019資安回顧:勒索病毒依然猖獗,新型態攻擊不斷出現!

文/Qmo | 2019-12-30發表

回顧2019一整年的資安事件,勒索病毒的肆虐,讓企業或機關會馬上陷入無法運作的窘境;台灣多家醫院,在2019年遭到勒索病毒的攻擊,國際間,更有政府機關受到攻擊,以至於此攻擊型態受到高度重視。勒索病毒之所以會這麼猖獗,是因為有越來越多的攻擊套件不斷被開發出來,且取得也越來越容易。然而,資安公司也致力於解決鎖檔的問題,目前已經有部分是已經有解了。不過,仍然會造成經濟損失。

慶幸的是,因為勒索病毒的肆虐,「資料備援」的概念越來越被重視。中毒後,處理是需要時間,為了不讓公司或政府機構的運作中斷,即時的將備援資料啟用,就變得相當重要。「資料定時備分」在個人使用的裝置也是相當重要的。備份出來的資料一定要另外儲存,不可以跟運作中的裝置同時運作使用。另外,備份資料前也務必先確認資料安全無虞後,再斷網進行備份。

勒索病毒會讓人非常有感,然而有種攻擊是無聲無息,讓你完全感覺不到它的存在;那就是「無檔案式攻擊」。顧名思義,他不會以檔案的形態存在於儲存媒體上,而是寄居在記憶體中,伺機而動。它可怕之處,除了讓使用者感覺不到受感染之外,會隨攻擊目標的不同,可以產生非常多樣的變種型態。它主要就是利用系統和軟體的安全漏洞,靜悄悄的躲在記憶體中,等待遠端伺服器或內定攻擊時間一到,展開攻擊。這種攻擊通常都是會取得裝置的系統中最高的權限,得以發號司令。不過,撰寫這種病毒,需要非常高竿的技巧。所以,通常都是極具攻擊價值的機關或企業,才會被盯上。

最後,提醒您:不管是否安裝了付費或免費的防毒軟體,都不可太依賴。以為有裝防毒就萬無一失。具備「資安的警覺」及「良好的上網習慣」,才是資訊安全的不二法門喔!

發佈日期:

微軟作業系統Windows 10(版本1909)更新通知。

文/Qmo | 2019-11-27發表

微軟作業系統Windows10最新的版本1909已經釋出,讓使用者可以自行下載安裝更新了。此次1909版本的更新是採手動自行下載更新,和以往一定都強迫自動更新稍微不同,可以讓使用者自行決定何時才要更新。(或許是每次微軟的重大更新都會造成嚴重災情,所以不強迫使用者更新了。不過,1803或更早以前的版本,會被強迫升級更新。因為,1803以前的版本,微軟即將終止更新了。)因此,若您要使用1909版本,請務必要自行進行安裝程序才能使用,步驟如下:

點選「開始功能表」(畫面最左下”視窗”圖示) → 點選「設定」→ 點選「更新與安全性」→ 點選「檢查更新」→ 1909更新項目必須再確認一次,才會進行下載安裝

不過,有安裝『AVG』或『AVAST』這兩套防毒軟體的使用者,請先暫緩更新!因為,有出現嚴重衝突的災情,敬請注意!

發佈日期:

美國的美食外送服務公司DoorDash遭駭客入侵,被竊取消費者及外送員個資!

圖:擷取至DoorDash官網

文/Qmo | 2019-09-27發表

台灣外送服務當道,知名的兩大平台Foodpanda和Uber Eats更是夯到不行。然而,您是否在意服務平台的資訊安全是否有做好呢?

美國的美食外送服務公司DoorDash平台,坦承於5月4日遭到駭客入侵並竊取「消費者」及「外送員」的個資。被竊取的資料如下:

【消費者】

姓名、電子郵件、電話號碼、遞送地址、訂單歷史紀錄、支付卡末四碼

【外送員】

駕照號碼

發佈日期:

眼見為憑嗎!?未來,圖片和影片皆能有非常完美的偽造合成品!

文/Qmo | 2019-09-25發表

拜AI人工智慧之賜,未來一年內將會出現以假亂真,幾乎無法分辨真假的合成影片作品問世!

以AI技術製作造假影片的先驅,「Deepfake影片技術」將會在未來一年內製作出幾近完美的造假影片。Deepfake影片是指,以AI技術將名人臉部和色情片主角或其他人的嘴形或身體移花接木,製作造假影片,達成惡作劇或毁謗目的。南加州大學助理教授暨Pinscreen創辦人黎顥,接受美國媒體專訪時,說:「目前要分辨是不是造假影片還是很容易,大部份deepfake影片用肉眼即可分辨出來。但是已經有人可以做出,以假亂真的影片,而這需要相當功力和技術。」

以下影片為 Pinscreen創辦人黎顥展示自家研發的臉部追蹤App影片。

發佈日期:

1111人力銀行個資外洩,被駭客於國外論壇網站販售!

圖:國外論壇外洩個資的帖子

文/Qmo | 2019-07-19發表

1111人力銀行有個資外洩,高達20萬筆,所包含的個資有:求職者的身分證字號、姓名、生日、電子郵件、電話號碼、地址、工作經歷。曾在1111人力銀行求職過並還留存資料的求職者,要多注意自己資料的安全性,並可以依據台灣個資法的規定,捍衛自身的權益。

個資法第27條:「非公務機關保有個人資料檔案者,應採行適當之安全措施,防止個人資料被竊取、竄改、毀損、滅失或洩漏。」

個資法第29條:「非公務機關違反本法規定,致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者,負損害賠償責任。」

近期,多留意人力銀行官方發布的消息,或寫信去詢問該事件的情況。可先登入人力銀行網站後,看是否有任何異常。

提醒您:當您利用人力銀行完成求職後,若該網站是可以刪除帳號的話,就刪除。倘若不行刪除,就盡可能的減少自己的資料留存在網站上。

 

發佈日期:

小心,使用LINE或LINE群組「轉傳」發送個資,恐違法。

文/Qmo | 2019-07-03發表

前一陣子,有大量的公務員個資(資料非常詳盡,且還有從事機密安全性的人員)外洩,有人透過管道取得資料後,將取得的個資發送在LINE或LINE群組上分享。(可能是基於炫耀心態或是有他用),這樣的行為,基本上已經觸犯個資法第6條、第15條、第16條、第19條、第20條、第41條 的規定,會被處以五年以下有期徒刑,得併科新臺幣一百萬元以下罰金。

重點整理並提醒:個資法基本上並沒有限制蒐集使用個資,但要取得對方的同意。會產生觸法的原因是,若B要蒐集使用A的個資,必須要取得A的「同意使用」(A可以限定使用範圍),一旦B取得同意使用,就可以使用。但是B不可以將取得的個資提供給C使用,除非C也取得A的「同意使用」。

LINE已經深植每個人的生活了,在使用分享的同時,也要多留心自己是否觸法喔!

發佈日期:

注意,網路釣魚有新招式!

QR-Code偽裝釣魚網站示意圖

文/Qmo | 2019-07-02發表

近日發現,網路釣魚的方式有新招式。網路釣魚會利用電子郵件、網站的相關連結,引誘使用者透過連結,進入釣魚網站。傳統上的資安做法是:要注意(電子郵件/網站) 的來源可靠度,確認無誤後,才能進行回覆郵件或登入網站進行動作。然而,這種新招式,偽裝的郵件能讓人相信其可靠度,但惡意連結採用QR-Code,因為QR-Code無法顯示出網址,造成無法判斷真偽。一旦相信,就等於上鉤了。因此,在進入連結後,還是必須要注意一下連結網址,確認其真偽,以確保安全。在此要特別提醒:惡意行為未必只有偽裝成釣魚網站讓你上鉤,也有可能該連結是讓你觸發,進而植入惡意的程式碼到你的電腦或手機,若這是其目的,是較難預防的喔!只能說,跟連結有相關的,都要特別注意。

發佈日期:

注意,OFFICE2016更新出現BUG,會引發當機。

圖:微軟官網擷取

文/Qmo | 2019-05-10發表

微軟於五月七日釋出的OFFICE2016更新(KB4462238),出現嚴重BUG,會導致當機!受影響的版本有:OFFICE STANDARD 2016、OFFICE PROFESSIONAL 2016、OFFICE PROFESIONAL PLUS 2016、OFFICE HOME AND STUDENT 2016、OFFICE HOME AND BUSINESS 2016。以上版本的使用者,若有安裝到更新,請盡早移除更新。

發佈日期:

日本將研究開發「自衛用」惡意程式

圖:日本東京新聞

文/Qmo | 2019-05-07發表

日本防衛廳正在考慮研發一款病毒,可在日本政府機關或陸海空軍網路遭遇攻擊時發揮遏阻效果。這隻病毒預計在今年內開發完成,病毒的詳細能力並不清楚,但可能僅在對方「有明確攻擊意圖」時予以反擊。

反觀國內,台灣遭受網路攻擊,在世界排行是名列前茅的。然而,政府僅以「假新聞」、「假消息」很被動消極地告訴民眾有這樣的現象。但是,也只有政府機構有能力去分辨真假。然後立法要處罰「散佈假消息」,若國外向台灣攻擊,這樣的立法是要處罰誰?日本的作法很能讓台灣借鏡,應該要以國防的觀點去看資訊戰,我們不攻擊別人,但遭受攻擊時,是有能力自衛的。