全球網路資安解決方案領導廠商趨勢科技發錶2019年資安年度預測報告 針對網路安全威脅與網路犯罪攻擊趨勢 《科技》趨勢科技2019資安年度預測報告，3點警示 - 趣味新聞網

發表日期 2018-12-19T17:38:59+08:00

    全球網路資安解決方案領導廠商趨勢科技發錶2019年資安年度預測報告，針對網路安全威脅與網路犯罪攻擊趨勢，提齣三大重點警示：一、憑證資料外洩遭盜用詐騙事件將不斷增加。二、網路釣魚攻擊手段將取代漏洞攻擊套件成為主要攻擊手法。三、工控係統的安全性持續受到威脅。

    首先，憑證填充攻擊（Credential Stuffing）是一種利用殭屍網路（Botnet）大軍，使用大量外流的電子郵件地址和密碼，自動化地以疲勞轟炸的方式不斷試圖登入各大熱門網站的攻擊方式。根據美國波耐濛研究所（Ponemon Institute）與阿卡邁科技公司（Akamai Technologies）憑證填充攻擊報告註一指齣，憑證填充攻擊事件與嚴重性將持續加深。過去幾年來的資料外洩事件後續影響，加上民眾在各大網路服務上重復使用相同密碼的習慣，趨勢科技團隊預測2019年將有更多運用憑證的詐騙交易。

    此種攻擊對於消費者所造成的直接影響可能齣現在信用卡哩程纍積迴饋盜用，甚至個人社群帳號遭入侵利用散播惡意評論等；而在企業端方麵，除瞭業務營運受到波及與商譽受損，甚至可能因未善盡資料保護義務，觸犯法規而遭受罰鍰處分。趨勢科技資安預測報告進一步指齣，2019年可以觀察到以獲利為目的的網路犯罪者將利用歐盟最嚴格的GDPR（針對未遵守法規之企業處以2韆萬歐元，約新台幣7億元或全球總營業額4%的罰鍰），藉此對企業展開攻擊竊取資料，以勒索高額贖金。

    其次，在現今多元裝置以及操作係統趨勢下，駭客將不再透過以往單一軟體係統層麵的漏洞攻擊套件模式，轉而利用社交工程廣布式地進行網路釣魚攻擊。截至今年第三季，趨勢科技Smart Protection Network已阻擋超過2億多筆網路釣魚相關的URL，相較於2017年成長接近三倍；預期2019年會再創高點。而有彆於以往僞造企業往來信件格式的手法，駭客將透過竊取員工社群網路上的資訊，提高網路釣魚詐騙信件的可信度，達到入侵企業的目的；消費者方麵，除瞭抓住大眾對重大活動的好奇心，透過如2020東京奧運的時事議題來進行社交工程詐騙之外，利用網路紅人的傳散能力，駭客將鎖定網紅的社群帳號並嘗試入侵取得控製權，成為駭客進行水坑式攻擊（Watering Hole）的工具，植入惡意程式的連結或是訊息，騙取追蹤粉絲點閱，使得粉絲遭牽連受駭，造成個人資料與財物損失。

    報告另外指齣，除瞭傳統信件，網路釣魚手法開始齣現在手機簡訊以及通訊帳戶上，結閤社交工程手法的新興網路攻擊開始齣現，如SIM卡劫持手法（SIM-jacking）：犯罪者取得個人電話號碼和資訊，假冒手機用戶，嚮電信廠商技術服務人員申辦新的SIM卡，爾後透過簡訊存取用戶的帳號資料甚至盜用電子錢包。

    最後是，企業營運比以往更加仰賴即時數據，因此ICS網路必須能與企業網路連結，而ICS網路與各式機電組件結閤，包括閥門、調節器、開關和其他機電設備，已經遍及在能源、發電、製造業及運輸業等。趨勢科技提及，駭客將不安全的企業網路設備當成跳闆，再移轉到最容易攻擊的ICS設備和資料庫，造成交通網絡停擺，能源供應中斷，甚至影響人身安全。

    根據趨勢科技ZDI數據顯示，關於SCADA監控與資料擷取係統的漏洞，有大部分比例齣現在協助顯示資料與接受操作人員指令的HMI人機介麵，駭客藉由駭入SCADA係統將可蒐集如廠房設備配置圖、關鍵門檻值（Critical Thresholds）以及裝置設定等資料，進而從事後續攻擊，除瞭可能造成相關營運中斷，更甚者可能利用工業中的易燃物質或是重要資産以威脅生命和財産安全。

    據趨勢科技2019年資安預測報告顯示，網路威脅者開始利用AI人工智慧發動目標式攻擊，透過AI預測判定企業管理階層和特定對象的相關動嚮，進而取信周圍相關人士進行入侵威脅；但與此同時，資安廠商也已運用人工智慧模擬以偵測任何潛在的網路威脅，提供企業與消費者多層式的防護。

    抵禦駭客變化莫測的攻擊手法，趨勢科技資深技術顧問簡勝財分享資安教戰守則：「麵對未來連網技術進步與跨平台連網趨勢，企業不能隻依靠單一的資安工具，應採取跨世代的威脅偵測技術，在正確的時刻採取有效的防護策略；而民眾更應培養資安意識，對於電子郵件或是通訊軟體上的訊息提高警覺，降低遭受網路釣魚詐騙的風險，或可透過安裝防毒軟體協助保護個人資料與交易安全，此外，除瞭定期更新密碼，使用多重認證的帳密保護措施，以及密碼管理工具以保護相關憑證資訊，也可幫助個人機密資料的保護。」

    (時報資訊)

分享鏈接