駭客如何犯罪?電子郵件篇

圖片來源:https://www.imagenesmi.com

現在我們生活中已經是由電腦資訊(information)、資料數據(Data),建構而成,大量的資訊包括(金融銀行帳戶、醫療紀錄、購物消費紀錄、稅務紀錄、交易資訊、運動數據、健康數據、國防系統等)。我們卻很少關心這些資料跑去哪裡了??
 
有誰可以看的到這些資料、資訊,甚至不知道這些資料對我們有什麼影響?大部分的人,對這些資料其實漠不關心,甚至也沒有任何防護意識,也就是所謂的資訊安全的概念。
 
實際上,我們其實對這類的資訊該如何保存,一點風險意識都沒有。我們太信任所謂的大公司(Google, facebook, Apple, 騰訊)會好好保護我們的資料。導致我們很開心的在網路上公布我們的資料,為了方便儲存信用卡資料,在各個企業的資料庫裡。
 
“科技力量增加,副作用和潛在危害也逐漸升高—艾文·托夫勒(Alvin Toffler)”
 
不論程式寫的再完美,一定會有缺點,根據卡內基美隆大學的研究指出,一般商業軟體通常每1,000行程式碼會有20-30 個漏洞,而如果程式碼有5,000萬行,就可能有100-150萬個可能遭到利用的漏洞。
 
趨勢科技 亞太區前瞻資安威脅研究團隊資深經理 Ryan Flores 表示:「變臉詐騙攻擊猶如勒索病毒一樣,已逐步入侵全球各個產業,舉凡製造、服務、醫療、教育、金融業等至今皆有傳出受害案例,企業收信時應特別留意寫有「緊急通知」或「付款到期」等字詞的信件主旨。」
 
根據統計近兩年全球變臉詐騙的累計金額為 900億台幣,平均每起案件金額便高達 400多萬台幣。這麼多駭客入侵的行為,逐步影響了我們的生活,但我們不能渾然不知。
 
我們該了解一下駭客是怎麼做的?如何偷偷的從我們的口袋裡把錢偷出來,而且很輕鬆。
  • 駭客如何進行金融犯罪
  • 駭客常見的攻擊手法-詐騙郵件、勒索郵件
  • 物聯網為什麼變成下 一個狙擊的目標?
 
註解:何謂變臉詐騙? 北市某貿易公司業務經理的電郵帳號遭仿冒,宣稱上游供應商要求變更匯款帳戶,逕行匯款,損失折合台幣近百萬元。這就是近年相當猖獗的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise,簡稱 BEC)
 
“古德曼定律:「生產和儲存的資料越多,就愈有組織犯案樂於取用。」”
 
 

駭客如何進行金融犯罪

“把網路不法行為的角色列出清單來,包括,民族國家、地區惡棍、組織犯罪集團、外國情報機構、激進駭客(hacktivist)、軍人、 網路戰士、國家出資的伺服器攻擊者、腳本小子((script kiddie)、 一般駭客、飛客(phreaker,又譯「盜撥駭客」)、信用卡盜卡人 (carder)、黑客(cracker)、心懷不滿的內部人士,以及產業問諜等。-《未來的犯罪》馬克.古德曼 Marc Goodman”
 
還記得台灣近期發生的兩個銀行被盜領的事件嗎??
1.2016年一銀ATM吐鈔案-損失金額8000多萬台幣,最後追回贓款6000多萬台幣。
2.2017年遠東銀盜匯18億元至海外三國,預估損失15.65萬美元。
 
駭客計畫金融犯罪,需要嚴密的組織犯罪。一銀盜領案根據調查局所揭露的資料,可以將駭客入侵一銀ATM的流程,分成6個階段,包括了
階段1、從分行入侵內網
階段2、建立內網潛伏基地
階段3、暗中蒐集入侵情報
階段4、ATM入侵準備
階段5、開啟ATM遠端控制
階段6、植入ATM控制木馬,發動盜領。
 
資料來源:iThome
 
關鍵在於階段1,駭客利用釣魚郵件,讓倫敦分行的員工收到郵件點選連結,下載木馬軟體,入侵個人電腦成功後,進入企業內網的能力。
來路不明的連結千萬不要亂點,就算發信的人是你主管、同事都一樣。
 
遠東銀駭客入侵手法上,當遠銀受害員工點選惡意附件,將惡意木馬下載到電腦後,這個惡意網站還另外藏了一個後門機制,可以讓犯罪者存取銀行內受害者的電腦系統。兩者結合下,讓攻擊者得以進入銀行的內部電腦,進一步取得系統的帳號密碼。McAfee研究員更從惡意程式樣本的程式碼分析中,找到了攻擊者手上的2組遠銀管理者帳密資料。
 
兩起金融犯罪,可以窺見只是一封夾帶附件的email或是點了不明的連結。結果都造成了駭客入侵內網取得權限。若我們對郵件如果都一直保持著鬆懈的態度,很容易就會成為駭客入侵的入口。無論是我們的個人電腦、手機或是公司電腦都一樣。
 
 
 

駭客常見的攻擊手法-詐騙郵件、勒索郵件

既然知道郵件是最常見的攻擊手法,那麼該思考一下,我們的郵件信箱是怎麼洩漏出去的???取得email信箱是駭客的第一件事情,所以擁有最多email的地方就是他們攻擊的地方。
 
“根據Gemalto的統計,在2018年上半所遭駭的33.5億資料裡,高達3/4來自社群網站,而其中來自臉書就有22億筆,推特為3.4億筆,顯示這類網站一旦遭駭,攻擊者可得到的個資數量相當龐大。(圖片來源/Gemalto)”
email是駭客最喜歡攻擊的路徑,電影劇情也演了不下上萬遍。高階主管因為一封疑似登入信箱請更換密碼的電郵,結果是一封鍵盤側錄的木馬程式信件。在更新密碼的同時,也把登入密碼送給了駭客。
詐騙郵件,可能的方式有假裝是你的長官,或是假裝是供應商的財務人員,提供假的匯款帳號,請對方匯款到假的帳號。等到真正的供應商來催收帳款時,才發現錢已經匯出去很久了,對方卻一直沒收到款項。
 
勒索郵件(比特幣)常見範例如下:
用我的enail信箱帳號寄郵件給我,說我常常用公司電腦看A片網站(馬的!我真的沒有那麼蠢),然後說我被安裝木馬,跟我勒索美金783元。
Subject: Security Alert. Your account was compromissed. Password must be changed.
Hi, your account has been infected! Renew the password this time!
You do not know anything about me and you may be probably surprised for what reason you’re reading this particular letter, proper?
I’m hacker who exploited your emailand all devicesnot so long ago.
Never try out to msg me or alternatively seek for me, it’s impossible, because I forwarded you this message using YOUR hacked account.
I’ve installed special program on the adult videos (porno) site and guess that you visited this site to have fun (you understand what I mean).
While you have been keeping an eye on video clips, your internet browser started out to act like a RDP (Remote Control) having a keylogger that provided me access to your screen and network camera.
Then, my softobtainedall information.
You have typed passcodes on the online resources you visited, I caught them.
Surely, you are able change each of them, or have already modified them.
However it doesn’t matter, my program renews needed data regularly.
What actually I have done?
I generated a reserve copy of every your system. Of all the files and each contact.
I formed a dual-screen videofile.
The first part displays the film that you were watching (you have got an interesting preferences, ahahhh…), and the second screen displays the recording from your own camera.
What exactly should you do?
Clearly, I think, $783(USD) will be a fair price for our small riddle.
You will make the deposit by bitcoins
(if you do not understand this, go searching “how to purchase bitcoin” in any search engine).
My bitcoin wallet address: 12s4cfoNTzT68gSdxLjmSRT3qdvaqwDWNz
(It is cAsE sensitive, so copy and paste it).
Important:
You will have 2 days in order to make the payment.
(I have an unique pixel in this letter, and at the moment I understand that you’ve read through this email).
To tracethe reading of a messageand the actionsin it, I utilizea Facebook pixel.
Thanks to them. (That whichis usedfor the authorities may helpus.)
In case I fail to get bitcoins,
I shall undoubtedly send your video files to each of your contacts, along with relatives, co-workers, etc?”
 
基本上我看到類似的郵件是置之不理,至於他只是更改了郵件顯示名稱。若你有權限進入郵件伺服器,應該可以知道他由不同的位址寄件過來。比較嚴重的勒索郵件則是挾持你的電腦硬碟,讓你無法開啟重要檔案。
 
不論是勒索或詐騙郵件,收到信的當下,請直接打電話確認(尤其是長期合作的供應商突然跟你說改帳號的時候)。
 
當email帳號、個資全部都被駭客奪取時,駭客可以輕而易舉毀掉一個人,利用個資掛失電話,更改email信箱,再透過email大量寄送詐騙郵件,或是臉書被盜後,盜用者立刻傳訊息向好友詐騙,請求匯款,盜刷信用卡等。當你依靠的手機、email帳號都被奪取時,你會發現一切都來不及了。
 

 

 
 

物聯網成為下一個被狙擊的目標

“1999年由麻省理工學院研究人員凱文·愛斯頓 (Kevin Ashton)所創,他當時正在寶潔公司(Procter&Gamble, P&G) 負責一項專案,忽然想到「如果日常生活中的所有物品都裝上識別器並具備無線連網能力,這些物品就能彼此溝通、也能由電腦管理。 ……『如果我們能讓電腦知道那些該知道的事,也就是自行收集資訊而無須人類介入,我們就能追蹤計量所有事物,大幅減少浪費、損失和成本。』」”
 
物聯網的起源來自P&G的一名研究人員,在2007年智慧型手機問世後,加速了物聯網的發展。接著,英國HIS顧問公司預測,到2020年時,全球將有750億個物聯網設備,也就是會有750億個裝置連上網路。駭客集團當然不會放過這麼大的一個目標,萬物皆上網,也就是萬物皆可駭。
 
駭入物聯網主要作為下一代DDOS分散式阻斷服務攻擊(distributed denial-of-service attack)攻擊的部署,部署駭客集團的殭屍網路。想想這個龐大的連網裝置數量,駭客可以輕輕鬆鬆讓一個小國家斷線、讓一個軍事單位對外通訊中斷、讓一個網路服務中斷服務,影響數百萬用戶無法使用服務。
 
駭客將物聯網裝置集結成僵屍大軍,不僅發動DDoS攻擊(針對銀行、信用卡支付閘道器、甚至根域名伺服器等)。還有發送垃圾郵件、挖礦,以及讓辦公室的印表機大量列印廣告(駭進辦公室的印表機)。
 
想像一下,你常用的Apple Watch, 小米手環,變成駭客的工具,在監測你健康的同時,資料自動被上傳到駭客的資料庫。還有,在駭客想要發動攻擊時,你會突然發現自己的小米手環故障,但過一段時間又恢復正常,你會覺得沒有什麼繼續使用下去。是的!我們完全不會發現有這樣的攻擊。
 
只有當影響到我們生活時,例如前陣子2019年3月13日Google的Gmail與Google Driver出現問題,Facebook臉書、Instagram大當機,2019年3月14日蘋果的iCould也發生服務異常。我們才會思考,為什麼我無法使用臉書、Instagram…是不是哪裡出了問題?
 
 

小結

在現代的江湖走跳,我們與網路的連結愈來愈深,但我們對於防護意識卻愈來越淺薄。希望透過這篇文章介紹駭客如何透過一封email進行犯罪,比起直接入侵你的電腦要來的方便又快速,當收到不知名或可疑的郵件訊息時,直接刪除不要猶豫吧!
 
 
 
 

 
If you enjoyed this article, please like it up, and share. 如果喜歡我的內容,請按讚分享給需要的朋友,或者輸入e-mail訂閱文章,點我訂閱
 
或是電腦版網頁請掃描右方QR code加Line@好友(手機版請直接 點我家好友) 或手動輸入 Line ID: @Iqq0534b ,(記得加入後,和我打聲招呼:-) 
Facebook用戶請點擊網頁上Messenger的按鈕,便可以直接和我對談。
 
你將會不定期收到一篇文章關於知識探索、生產力/專注力提升、行銷/品牌、科技/技術、運動訓練相關的內容,若有更好的想法要和我分享,歡迎在下面留言。
 
 

 
 
 

發表迴響

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料